[22bb003282] Bijlage 3 behorende bij 22bb3280 - Verantwoordingsrapportage WOZ GEHEIM OPGEHEVEN

Bestuurlijke verantwoordingsrapportage WOZ Informatiebeveiliging en informatie-architectuur WOZ 2021 Gemeenten en uitvoeringsorganisaties zullen bij de interne beheersing van risico’s in het WOZ-proces voldoende aandacht moeten hebben voor de beheersing van geautomatiseerde systemen. Beheersingsaspecten die te maken hebben met architectuur, informatiebeveiliging, continuïteit, beschikbaarheid en algemene IT-beheersingsmaatregelen (General IT Controls als back-up & recovery, change management), moeten voldoende worden beheerst. Door snelle ontwikkelingen op het terrein van minimale beveiligingsmaatregelen en gewenste architectuur vergen deze aspecten even snel mee-ontwikkelende beheersingsmaatregelen. Gezien de maatschappelijke behoefte aan WOZ-waarden en WOZ-gegevens van hoge kwaliteit met de mogelijkheid tot inbreng van belanghebbenden (regie op gegevens) en gezien de ontwikkelingen rond basisregistraties en het tot stand brengen van één objectenregistratie zullen gemeenten en uitvoeringsorganisaties zich moeten realiseren dat er aanzienlijke investeringen in de komende jaren nodig zijn. Dat betreft voor een belangrijk deel investeringen in de vernieuwing van automatiseringssystemen, gericht op het benutten van geografische informatiesystemen (GIS), het benutten van AI-technieken in taxatiemodellen en de overgang naar een andere informatie-architectuur.

Deze andere informatie-architectuur is nodig om mee te gaan met technische Zie ook de toolbox Samenhangende ontwikkelingen, met ontwikkelingen op objectenregistratie en ICT-ontwikkelingen op de het terrein van informatieveiligheid en website van de Waarderingskamer de hiervoor geschetste ontwikkelingen (https://www.waarderingskamer.nl/basisregistratierond basisregistraties en het tot stand woz-lv-woz/investeringsagenda). brengen van één objectenregistratie. Maar zeker ook de communicatie met inwoners en het realiseren van "regie op gegevens" vergt op korte termijn investeringen in de ICT-infrastructuur rond het WOZ-domein. Concrete stappen zijn bijvoorbeeld vervangen van bestandsuitwisselingen door beveiligd berichtenverkeer. Tot slot is de verwachting dat voor de geobasisregistraties en de WOZ in de komende jaren verdere samenwerking aan de orde is, ook in uw gemeente. Daarbij is ook aandacht voor de datakwaliteit van groot belang.

Datum vaststelling door College van B&W:

WOZ-rapportage ENSIA 2021

19 april 2022

Gemeente Rotterdam

Pagina 1 van 4

In onderstaande tabel zijn de uitkomsten van de WOZ-vragenlijst zoals deze binnen ENSIA zijn ingevuld voor uw organisatie samengevat. Onder het kopje ‘tips’ leest u meer over het betreffende aspect en hoe u dit, indien nodig, kunt verbeteren. Status Conclusie

Tips

De BIO is volledig geïmplementeerd binnen de Elke gemeente en gemeentelijke uitvoeringsorganisatie WOZ en er worden controles uitgevoerd op dient te voldoen aan de BIO. naleving! Ook voor de WOZ-systemen moet daarom door de organisatie bekeken zijn, welke BIO-controls nodig zijn. De naleving van deze controls dient periodiek gecontroleerd te worden en de resultaten van deze beoordeling, in hoeverre de WOZ-systemen binnen de organisatie aan de BIO voldoen, dienen beschikbaar te zijn. De overgang naar Common Ground conforme Bekijk hier (https://commonground.nl/) wat deze architectuur voor de WOZ is nog niet gestart. ingrijpende hervorming van de informatievoorziening voor uw organisatie gaat betekenen en wat u al kunt doen. Er wordt gebruikt gemaakt van de gewenste koppelvlakken (API's en/of xmlberichtenverkeer) voor de communicatie tussen de diverse applicaties voor de WOZuitvoering.

Gezien de privacy-gevoeligheid van (een deel van) de gegevens in de WOZ-administratie en de ontwikkelingen in de architectuur van de WOZinformatiehuishouding is permanente aandacht voor beveiliging van de genoemde koppelvlakken en bijgewerkt (releases and patches) houden van alle betrokken systemen van groot belang.

Tussen de applicaties die de uitvoering van de Het is raadzaam een volledig overzicht van de WOZ-processen ondersteunen vindt interactie verschillende koppelvlakken / interfaces te hebben plaats. Er is een volledig overzicht van de zodat u deze kunt beheren. onderlinge relaties tussen deze systemen. Er is onderzocht of de verschillende geautomatiseerde systemen informatie juist delen met externe systemen zoals bijvoorbeeld de Landelijke voorziening WOZ (LV WOZ) en MijnOverheid.

Gemeenten moeten verifiëren of de gegevens in de LV WOZ nog overeenkomen met die van de gemeentelijke Basisregistratie WOZ. Indien dit niet gebeurt bestaat het risico dat afnemers niet de juiste gegevens krijgen, inwoners niet tijdig hun WOZ-waarde op www.wozwaardeloket.nl zien en de belastingcapaciteit per gemeente, die het CBS op basis van de LV WOZ vaststelt, niet klopt.

Op terrein van de beheersing van informatiebeveiliging conform BIO is voor de WOZ-uitvoering de gewenste managementinformatie beschikbaar.

Op pagina 88 en 91 van de Waarderingsinstructie (https://www.waarderingskamer.nl/hulpmiddelengemeenten/waarderingsinstructie/) is onder het kopje “stuurinformatie” beschreven welke managementinformatie er belangrijk is bij het inzicht krijgen in de naleving van beveiligingsbeleid en normen (BIO).

In de bijlage zijn de complete vraagteksten en opgegeven antwoorden terug te vinden. Daar vindt u ook welke conclusies uw WOZ-specialist heeft getrokken over de rol en invloed van IT op de WOZuitvoering binnen Gemeente Rotterdam en welke verbetermaatregelen in 2021 reeds zijn getroffen ten aanzien van informatieveiligheid en informatie-architectuur in het kader van de WOZ-uitvoering. In november 2021 is in ENSIA op de vraag ten aanzien van het werken volgens de Common Ground architectuur “NEE” geantwoord. Daarom bevat de tabel hierboven een rood kruis. De complexiteit van de implementatie van de Common Ground is een Concern opdracht en uitgewerkt in gemeentebrede architectuurprincipes. Bij de meerjarige doorontwikkeling van de WOZ applicatie zijn deze principes ook een uitgangspunt. Daarnaast worden er nu al standaarden toegepast (meer tekst in de bijlage). De beantwoording van deze vraag zouden we met deze informatie op “Ja, de overgang naar Common

Ground conforme architectuur voor de WOZ is gestart” hebben gezet. Echter is aanpassing in de ENSIA tool na 31-12-2021 niet meer mogelijk.

WOZ-rapportage ENSIA 2021

Gemeente Rotterdam

Pagina 2 van 4

Bijlage Vraag

Antwoord

Worden er controles uitgevoerd of de BIO wordt nageleefd voor de WOZ-uitvoering?

Ja

Geef een korte toelichting hoe deze controles eruitzien of waarom de BIO niet of nog niet volledig is geïmplementeerd.

De RIA bevat de BIO normen en die zijn getoetst op implementatie.

Is de overgang naar Common Ground conforme architectuur voor de WOZ gestart?

Ja deze architectuurprincipes worden erkent. Er wordt al gewerkt met Api’s en xml-standaarden. De toekomstvisie voor het WOZ ondersteunende informatiesysteem ONS, bevat ook de common ground oplossingen als richting in de komende jaren van het platform.

Geef een korte toelichting op de stand van zaken.

Lopend meerjarig traject

Maakt uw organisatie gebruik van standaard koppelvlakken voor de communicatie tussen de diverse applicaties voor de WOZ-uitvoering?

Ja, zowel API’s als xml (StUF woz 03.12)

Geef een korte toelichting op uw gegeven antwoord.

De gemeente Rotterdam werkt met verschillende softwareapplicaties t.b.v. de WOZ-uitvoering. Tussen de verschillende applicaties wordt gewerkt met verschillende koppelvlakken/interfaces. ER wordt gewerkt met twee softwareapplicaties: GouwIT en ONS. Kadastermutaties, objectmutaties en taxatiegegevens worden vanuit GouwIT naar ONS overgehaald. WOZbelangen, subjectmutaties en beschikkingsgegevens worden vanuit ONS naar GouwIT verstuurd. Vervolgens wordt de LV-WOZ vanuit GouwIT via een opentunnel gevoed. Daarnaast worden binnengemeentelijk de gegevens opgehaald via StUF vanuit het gegevensmagazijn als het gaat om persoonsgegevens.

Heeft uw organisatie een volledig overzicht van de verschillende koppelvlakken/interfaces tussen de diverse applicaties die de uitvoering van de WOZprocessen ondersteunen?

Ja

Geef een korte toelichting op uw gegeven antwoord.

zie architectuurplaten

Zijn er audits uitgevoerd om te beoordelen of de Ja, onderzoek door eigen medewerkers en externe verschillende geautomatiseerde systemen informatie partij juist delen met externe systemen (als bijv. LVWOZ en de landelijke voorzieningen van de diverse basisregistraties. Geef hier aan voor welke systemen dit het geval is.

WOZ-rapportage ENSIA 2021

Aangaande aansluiting op de LVWOZ is initieel een conformiteitstoets gedaan. Vervolgens wordt jaarlijks gecontroleerd of we nog voldoen aan de minimaal gestelde eisen door de waarderingskamer (controlerend orgaan op de woz). De waarderingskamer hanteert een februari- en oktoberinventarisatie waarin een zelfevaluatie verankerd zit aangaande de aansluiting op de LVWOZ. Deze zelfevaluatie wordt door ons geïnterpreteerd als een continue controle op de subject, waarderings- en objectgegevens die verstuurd worden aan de LVWOZ. Hierop worden overzichten opgevraagd en vergeleken met de WOZ-administratie. Tegelijkertijd biedt GouwIT de ruimte om qua volledigheid het berichtenverkeer te toetsen op aantallen, uitval en inhoud. Daarbij is het mogelijk om rapportages samen te stellen

Gemeente Rotterdam

Pagina 3 van 4

Zijn er audits uitgevoerd om te beoordelen of alle Ja, onderzoek door eigen medewerkers en externe voor de WOZ-uitvoering gebruikte systemen de partij gegevens uit interne systemen juist verwerken? (Tot de "interne" systemen rekenen we ook systemen die in service beheerd worden door een andere gemeente, door een dienstverlener, een cloudoplossing of systemen die als SaaS beschikbaar zijn). Geef hier aan voor welke systemen dit het geval is.

Door interne en externe auditors worden controles gedaan op verschillende delen van de WOZadministratie. Hierbij moet gedacht worden of de data correct is, bijvoorbeeld naar aanleiding van een mutatie uit een andere basisregistratie. Dit wil zeggen staat de juiste eigenaar in het systeem, of is het object gesloopt en komt de werkelijkheid overeen met de administratie. Ook wordt gekeken naar de modelmatige waardebepaling. Dit gebeurt allemaal steekproefsgewijs. Daarnaast worden er volledigheidschecks gedaan op de waarde van alle WOZ-objecten. Tot slot wordt ook gecontroleerd of alle gegevens vanuit de koppelvlakken juist zijn.

Is vanuit de WOZ-systemen de gewenste managementinformatie beschikbaar?

Ja

Geef een korte toelichting op uw gegeven antwoord.

Diverse rapportages voor diverse doelgroepen zijn er

Geef beknopt aan welke conclusies u, in het kader van de interne beheersing op basis van de stuurinformatie, heeft getrokken over de rol en invloed van IT op de WOZ-uitvoering.

In relatie tot de risicoanalyse informatieveiligheid, de ingevulde PIA en de invloeden van common ground worden jaarlijks stappen ondernomen t.b.v. een betere informatiebeveiliging. Dit jaar heeft gestaan in het teken van de Oracle-upgrade naar 12.2, waardoor de software volledig ondersteund wordt. Hiermee is het belangrijkste doel succesvol afgerond, gedurende een project van ¾ jaar. De WOZ-uitvoering voldoet aan de conformiteitstoets van de waarderingskamer, m.b.t. de LVWOZ. Tegelijkertijd worden volledigheidsrapportages gemaakt waarbij de WOZ-gegevens worden gecontroleerd aan de LVWOZ. Hieruit blijkt dat wij voldoen.

Geef kort aan welke verbetermaatregelen u in 2021 heeft getroffen ten aanzien van informatieveiligheid en informatie-architectuur in het kader van de WOZuitvoering.

In 2021 heeft een Oracle upgrade plaatsgevonden naar 12.2, zodat onze software volledig ondersteund wordt. Elk kwartaal worden de laatste CPU-patches van Oracle opgehaald. Daarnaast worden alle Java-updates gedaan. Ook wordt dit jaar nog een upgrade van Gouw gedaan. Het streven is dat we maximaal 1 versie achterlopen. Daarnaast wordt uitgebreid gebruik gemaakt van de releasemanagementmodule waar alle wijzigingen/releases/software worden gedocumenteerd en bijgehouden. Daarnaast is concern breed ingevoerd dat er gewerkt wordt met labels bij documenten en email. Er wordt geclassificeerd op vertrouwelijkheid volgens een bepaald stramien. Ook vinden er netwerkscans plaats, over wie er probeert in te loggen. Elk kwartaal wordt er onderhoud gepleegd en er wordt een uitwijktest uitgevoerd. Het uit de lucht halen van een gedeelde netwerkschijf.

WOZ-rapportage ENSIA 2021

Gemeente Rotterdam

Pagina 4 van 4