jMAA11 - Rekenkamercommissie Maasdriel - opvolgingsonderzoeken 2022

Rekenkamercommissie Maasdriel

Memorandum

Opvolging aanbevelingen uit (eerdere) memoranda 21 augustus 2023

Rekenkamercommissie Maasdriel Opvolging aanbevelingen uit (eerdere) memoranda 21 augustus 2023 Blad 1 van totaal 6

Opvolging aanbevelingen uit (eerdere) memoranda

Ter introductie Als deel van het onderzoeksprogramma voor 2022 heeft de Rekenkamercommissie bezien in hoeverre in de voorbije jaren de aanbevelingen zijn opgevolgd die zijn gedaan in eerdere memoranda – en die door de raad van de gemeente Maasdriel zijn overgenomen. Conform het vastgestelde onderzoeksprogramma (van 11 februari 2022) heeft de commissie zich gericht op de aanbevelingen uit de memoranda inzake: 

inkoop en aanbesteding, specifiek waar het gaat om het onderzoeken en documenteren van de (financiële) soliditeit van aanbieders voordat wordt besloten tot het aangaan of verlengen van een overeenkomst. Volgend uit het memorandum ‘Inkoop en aanbesteding’ van eind 2016 gaat het hierbij met name om overeenkomsten die de gemeente voor grote opdrachten en met een aanzienlijk financieel belang sluit met betrekking tot bijvoorbeeld asfalteringswerkzaamheden of (doorlopend) groenonderhoud



beveiliging van informatie, waarover de Rekenkamercommissie (en college en raad) eind 2017 en begin 2018 grote zorgen had – tegen de achtergrond van (a) de samenwerking met Zaltbommel en (b) de destijds aanstaande invoering van de Algemene Verordening Gegevensbescherming (AVG).

Uitvoering Inkoop en aanbesteding – toetsing financiële soliditeit De Rekenkamercommissie heeft – zie hierboven – vastgesteld of in een beperkte deelwaarneming van inkoop- c.q. contractdossiers van de gemeente Maasdriel een toets van de financiële soliditeit zichtbaar is met betrekking tot een of de onderneming waarmee de gemeente voornemens is een overeenkomst te sluiten. De commissie hecht aldus een logisch belang aan een toets die zichtbaar is uitgevoerd voordat een overeenkomst wordt gesloten. De commissie acht het – niet anders dan in 2016 – inhoudelijk noodzakelijk dat een dergelijke toets bij grotere overeenkomsten standaard wordt uitgevoerd. Immers, de gemeente Maasdriel moet alleen zaken willen doen met ondernemingen die (a) conform wettelijk voorschrift jaarlijks cijfers bij de Kamer van Koophandel deponeren, en die

Rekenkamercommissie Maasdriel Opvolging aanbevelingen uit (eerdere) memoranda 21 augustus 2023 Blad 2 van totaal 6

(b) met die vervolgens openbare cijfers, al dan niet in meerjarig perspectief, een stabiele financiële positie laten zien. Hoewel de bedoelde cijfers uitsluitend iets zeggen over het verleden, en er tussen de datum waarop die cijfers betrekking hebben en het raadplegen daarvan veel kan zijn veranderd, geeft de informatie in kwestie minimaal een indruk van de soliditeit van de beoogde contractpartij 1. Een onderneming die niet (tijdig) de verplichte informatie deponeert, en waarvan de bestuurder daarmee een economisch delict begaat, zou in geen geval contractpartij van de gemeente moeten kunnen worden. In november 2016 gaf het college van Maasdriel in de bestuurlijke reactie op het memorandum van de Rekenkamercommissie het volgende aan:

De Rekenkamercommissie nam hierop de volgende passage in het nawoord bij dat memorandum op:

1

De verplichting tot het deponeren van financiële informatie speelt niet als de onderneming de rechtsvorm eenmanszaak kent, of als sprake is van een vennootschap onder firma waarin alleen IB-ondernemers samenwerken. De Rekenkamercommissie heeft voor de deelwaarneming geput uit een overzicht met uitsluitend deponeringsplichtige ondernemingen.

Rekenkamercommissie Maasdriel Opvolging aanbevelingen uit (eerdere) memoranda 21 augustus 2023 Blad 3 van totaal 6

De Rekenkamercommissie heeft de door het college (al) in 2016 aangegeven ‘bestaande praktijk’ in het voorjaar van 2023 getoetst aan de hand van de dossiers waarin alle documentatie zou moeten zijn opgenomen met betrekking tot vijf grote, recent afgesloten of hernieuwde overeenkomsten. De commissie heeft zich geconcentreerd op dossiers uit het domein realisatie en beheer. De commissie, die vanuit de afdeling met deze naam ambtelijk uitstekend en welwillend is gefaciliteerd, heeft zich alleen gericht op de zichtbare uitvoering van een (voorafgaande) toets op de financiële soliditeit van een (beoogde) contractpartij. De geselecteerde dossiers zijn dus niet beoordeeld op bijvoorbeeld de rechtmatige totstandkoming van de door de gemeente gesloten overeenkomsten. Uiteraard is wel bezien of (per dossier) een overeenkomst is aangegaan met de rechtspersoon waarvan in een voorkomend geval de winnende inschrijving is ontvangen – en dus niet, wat in de praktijk zomaar kan gebeuren, met bijvoorbeeld een zuster- of dochtervennootschap van de entiteit die bij een aanbesteding heeft ingeschreven, en die mogelijk om redenen van risicobeperking voor het tekenen van de overeenkomst een vennootschap naar voren heeft geschoven met minder of nauwelijks eigen vermogen.

De Rekenkamercommissie heeft op basis van een vanuit de ambtelijke organisatie aangeleverde lijst, waaraan in termen van juistheid en volledigheid niet hoefde te worden getwijfeld, de dossiers doorgenomen met betrekking tot de onderstaande contractpartijen. Na (a) hun naam en (b) de opdracht waarop de afgesloten overeenkomst ziet is verwoord wat de Rekenkamercommissie heeft gezien van een wel of niet uitgevoerde toets op de financiële positie van de onderneming in kwestie. De gemeente Maasdriel heeft in 2022 aan alle onderstaande opdrachtnemers betalingen gedaan. De totale omvang van de (vijf) onderliggende overeenkomsten beloopt ruim € 1,8 miljoen.

J. van Esch B.V. – onderhoud sportvelden – geen zichtbare toets Van de Haar Buitenruimte B.V. – ‘ontzorgingscontract openbare ruimte’ – geen zichtbare toets Aannemingsbedrijf Joh.F. Goesten & Zn. B.V. – verbouw dorpshuis – geen zichtbare toets Gebr. Van Kessel Wegenbouw B.V. – herinrichting diverse straten – geen zichtbare toets Van der Plas Civiel B.V. – groot onderhoud en herinrichting – geen zichtbare toets.

Rekenkamercommissie Maasdriel Opvolging aanbevelingen uit (eerdere) memoranda 21 augustus 2023 Blad 4 van totaal 6

Zoals aangegeven heeft de Rekenkamercommissie in 2016, voorzien van een uitgebreide toelichting, geadviseerd om voorafgaand aan het afsluiten van grotere overeenkomsten een beknopte, maar relevante toets te doen op de financiële positie van iedere beoogde contractpartij. De uitvoering en uitkomsten van die toets zouden zichtbaar moeten zijn in de dossiers in kwestie. De raad omarmde het bedoelde advies, terwijl het college aangaf de gesuggereerde werkzaamheden al standaard te laten uitvoeren. Anno 2023 blijkt uit de door de commissie doorgenomen dossiers terzake een andere dan de destijds door het college genoemde ‘praktijk’. De commissie heeft geen reden om te veronderstellen dat de uitvoering van de voorgestelde toets wel zou blijken uit andere dossiers dan die in de gekozen deelwaarneming. De Rekenkamercommissie adviseert de raad: 

het college te vragen vanaf nu wel of alsnog te doen wat de commissie in 2016 heeft aanbevolen



de dan voor de gemeente Maasdriel actieve rekenkamer (met kleine letter, en zonder ‘commissie’) te verzoeken eind 2024 opnieuw een selectie van ‘grotere’ overeenkomsten – logischerwijs weer binnen het domein realisatie en beheer – op de zichtbare uitvoering van een tijdige financiële toets te onderzoeken.

Beveiliging van informatie In 2017 deed de Rekenkamercommissie onderzoek rond het thema ‘beveiliging van informatie’. Als hoofdvraag hanteerde de commissie de volgende: draagt de gemeente Maasdriel, waar aan de orde in samenwerking met de gemeente Zaltbommel en afgezet tegen in dit verband gangbare normen, zorg voor een adequate beveiliging van alle informatie, waarvan niet-geautoriseerde inzage en/of gebruik door interne en/of externe derden moet worden voorkomen? In het uit dit onderzoek voortgekomen memorandum (van 22 januari 2018) toonde de Rekenkamercommissie zich kritisch, maar vooral ook bezorgd. Kort gezegd – en vastgesteld door de toenmalige werkelijkheid te toetsen aan vier heldere, ook elders in het land gehanteerde normen – was er met betrekking tot de opzet en werking van het informatiebeveiligingsbeleid weliswaar een flink aantal zaken in de spreekwoordelijke steigers gezet, maar tegelijk nog enorm veel te doen.

(vervolg op blad 5)

Rekenkamercommissie Maasdriel Opvolging aanbevelingen uit (eerdere) memoranda 21 augustus 2023 Blad 5 van totaal 6

Eind 2022 heeft de Rekenkamercommissie de actuele stand van zaken beoordeeld. Dat is gedaan: 

aan de hand van een set (deels vertrouwelijke) stukken, die zijn respectievelijk worden opgesteld, toegepast en onderhouden door de zogenoemde information security officers en de privacy officer die vanuit de Bedrijfsvoeringseenheid Bommelerwaard voor de gemeente Maasdriel actief zijn



door het voeren van een uitgebreid interview met de bovenbedoelde drie medewerkers. Bij dat interview zijn de volgende aandachtspunten als leidraad gehanteerd: In de kern krijg ik graag een goed beeld van de manier waarop de gemeente Maasdriel organisatorisch en inhoudelijk omgaat met het brede aandachtsveld ‘beveiliging van informatie’. Tegen die achtergrond, en overigens in de wetenschap dat Maasdriel en Zaltbommel (ook) op dit terrein intensief samenwerken, denk ik dat beeld het beste te kunnen opdoen aan de hand van stukken waaruit voor de jaren 2021, 2022 en 2023 blijkt:  hoe is de (centrale) organisatie van de informatiebeveiliging ingericht en bemenst? Is de kernbezetting doorlopend op niveau (geweest), en is en wordt die gerealiseerd met vaste formatie? Zo nee, waarom niet, en welke keuzes zijn dan op welke gronden gemaakt? Wat zijn de precieze functieomschrijvingen van de CISO, de PO en hun naaste collega’s, wie stuurt hen aan, welke werkafspraken zijn en worden gemaakt, en welke follow-up is of wordt gegeven aan recente evaluaties over hun functioneren (inclusief opleiding en ervaring, communicatie, manier van rapporteren, et cetera)?  welke op preventie gerichte acties zijn en worden (met welke overwogen prioriteit) in en rond de ambtelijke organisatie genomen waar het gaat om het beveiligen van informatie? Hoe wordt het thema periodiek onder de aandacht van

medewerkers en leidinggevenden gebracht, hoe wordt het doen van meldingen van (bijna-) incidenten en het doorgeven van potentiële verbeteringen gestimuleerd, hoe wordt de ‘awareness’ van medewerkers periodiek of juist onverwacht getest?  zijn hetzelfde type acties (dus als hierboven bedoeld) van toepassing op leden van de raad en van het college? Zo nee, welke (andere) acties ervaren die wel of juist niet, en welke keuzes of afwegingen liggen daar dan aan ten grondslag?  hoe, aan wie en met welke follow-up worden (bijna-) incidenten gerapporteerd, op basis van welke vastleggingen gebeurt dat, en wie maakt keuzes waar het gaat om het direct, niet of later opvolgen van specifieke meldingen? Welke procedures zijn in dit verband ingeregeld (inclusief opties tot interne en/of externe escalatie), door wie zijn die geaccordeerd en door wie zijn of worden die, met welke uitkomsten, periodiek getest?  welke actieve of passieve bemoeienis heeft het college, en meer specifiek de verantwoordelijk portefeuillehouder voor het beveiligen van informatie met de materie in kwestie? Waaruit blijkt dat (concreet)?  wat doet de gemeente Maasdriel in casu richting de inwoners van de gemeente: mogelijk niet alleen in digitale of juist ‘papieren’ contacten, maar ook waar het gaat om het in algemene zin alert maken op pogingen tot phishing, gedoe met malware, ID-fraude, spoofing of wat ook?

Rekenkamercommissie Maasdriel Opvolging aanbevelingen uit (eerdere) memoranda 21 augustus 2023 Blad 6 van totaal 6

 wordt de organisatie van de beveiliging van informatie, zowel in opzet als in feitelijke uitvoering, met een wel of niet vaste frequentie periodiek extern getoetst? Zo ja, door wie, met welke gehanteerde normen en met welke uitkomsten (en eventuele verbeterpunten)? Worden in dat verband ook vergelijkingen met andere gemeenten gemaakt, en zo ja: hoe verhoudt de situatie in Maasdriel zich ten opzichte van die in (een aantal) min of meer vergelijkbare gemeenten? Wat weet het college, en wat weet in voorkomend geval ook de raad van (de resultaten van) dergelijke toetsingen?

Bewust zonder in details te treden (specifiek over deelonderwerpen waaromheen het niveau van beheersing nog verdergaand kan worden opgevoerd): de Rekenkamercommissie heeft aan de combinatie van beschikbaar gekregen documentatie en het verloop en de uitkomsten van het gehouden interview de overall-waarneming overgehouden dat ‘de’ beveiliging van informatie voor en in de gemeente Maasdriel inmiddels is ingericht en werkend wordt gehouden op het niveau dat noodzakelijk is. Vanzelfsprekend vormt deze waarneming – nog los van de heel beperkte diepgang van het uitgevoerde onderzoek – geen garantie dat zich in of vanuit de gemeente geen incident kan voordoen. Tegelijk zijn de grootste risico’s – inhoudelijk en organisatorisch – die de commissie in 2017 moest waarnemen gemitigeerd, en is voorzien in de borging van de diverse ingeregelde procedures.

Bestuurlijke reactie Met verwijzing naar artikel 11, lid 8 van de Verordening op de rekenkamercommissie Maasdriel heeft de Rekenkamercommissie het college op 12 juni 2023 gevraagd om een (korte) bestuurlijke reactie bij het voorliggende memorandum. Die reactie is op het blad hierna opgenomen.

De Rekenkamercommissie vindt het goed, belangrijk en plezierig dat het college toezegt de door de commissie gedane aanbeveling – dezelfde als die Hordijk in 2016 deed – te volgen. De Rekenkamercommissie vertrouwt erop dat de aldus gedane toezegging vanaf heden ‘toetsbaar’ gestand wordt gedaan.