Gemeente Woudenberg - accountantsverslag (definitief 10-07-2025) (1).pdf
Tekst van het document
Financiële omvang in euro's
Toelichting fout of onzekerheid
Fout n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
Onzekerheid
Fout
Onzekerheid
Fout Onzekerheid Fout Onzekerheid Fout
Onzekerheid Fout
Onzekerheid Fout
Onzekerheid
Gemeente Woudenberg
Pagina 28
E81
1
E81
2
G2
1
G2
2
G2
3
G2
G2A G2A
G2A
G2A
G3 G3
G3
G3
4
1 2
3
4
1 2
3
4
Accountantsverslag 2024
Regeling specifieke uitkering OVambassadeurprojecten 2022 Regeling specifieke uitkering OVambassadeurprojecten 2022 Gebundelde uitkering op grond van artikel 69 Participatiewet_gemeentedeel 2024 Gebundelde uitkering op grond van artikel 69 Participatiewet_gemeentedeel 2024 Gederfde baten die voortvloeien uit kwijtschelden schulden in het kader van de hersteloperatie kinderopvangtoeslagaffaire gebundelde uitkering Participatiewet in jaar T_gemeentedeel 2024 Gederfde baten die voortvloeien uit kwijtschelden schulden in het kader van de hersteloperatie kinderopvangtoeslagaffairegebundelde uitkering Participatiewet in jaar T_gemeentedeel 2024 Gebundelde uitkering op grond van artikel 69 Participatiewet_totaal 2023 Gebundelde uitkering op grond van artikel 69 Participatiewet_totaal 2023 Gederfde baten die voortvloeien uit kwijtschelden schulden in het kader van de hersteloperatie kinderopvangtoeslagaffaire gebundelde uitkering Participatiewet_totaal 2023 Gederfde baten die voortvloeien uit kwijtschelden schulden in het kader van de hersteloperatie kinderopvangtoeslagaffaire gebundelde uitkering Participatiewet_totaal 2023 Besluit bijstandverlening zelfstandigen 2004_gemeentedeel 2024 Besluit bijstandverlening zelfstandigen 2004_gemeentedeel 2024 BBZ vóór 2020 - Gederfde baten die voorvloeien uit kwijtschelden schulden levensonderhoud BBZ in jaar T (exclusief BOB)_gemeentedeel 2024
BBZ vóór 2020 - Gederfde baten die voorvloeien uit kwijtschelden schulden in het kader van de
Fout Onzekerheid
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
Fout
Onzekerheid Fout
Onzekerheid
Fout Onzekerheid
Fout
Onzekerheid
Fout Onzekerheid
Fout
Onzekerheid
Gemeente Woudenberg
Pagina 29
G3
G3
G3
G3
G3
G3
5
6
7
8
9
10
G3A
1
G3A
2
Accountantsverslag 2024
hersteloperatie kinderopvangtoeslagaffaire levensonderhoud BBZ in jaar T (exclusief BOB)_gemeentedeel 2024 BBZ vóór 2020 - Gederfde baten die voorvloeien uit kwijtschelden van achterstallige betalingen kapitaalverstrekkingen BBZ in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar T (exclusief BOB)_gemeentedeel 2024 BBZ vóór 2020 - Gederfde baten die voorvloeien uit kwijtschelden van achterstallige betalingen kapitaalverstrekkingen BBZ in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar T (exclusief BOB)_gemeentedeel 2024 BBZ vóór 2020 - Gederfde baten die voorvloeien uit kwijtschelden schulden levensonderhoud BBZ en achterstallige betalingen kapitaalverstrekkingen BOB in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar T_gemeentedeel 2024 BBZ vóór 2020 - Gederfde baten die voorvloeien uit kwijtschelden schulden levensonderhoud BBZ en achterstallige betalingen kapitaalverstrekkingen BOB in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar T_gemeentedeel 2024 BBZ vanaf 2020 - Gederfde baten die voorvloeien uit kwijtschelden van achterstallige betalingen kapitaalverstrekkingen BBZ in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar T_gemeentedeel 2024 BBZ vanaf 2020 - Gederfde baten die voorvloeien uit kwijtschelden van achterstallige betalingen kapitaalverstrekkingen BBZ in het kader
van de hersteloperatie kinderopvangtoeslagaffaire in jaar T_gemeentedeel 2024 Besluit bijstandverlening zelfstandigen 2004 (uitsluitend kapitaalverstrekking)_totaal 2023 Besluit bijstandverlening zelfstandigen 2004 (uitsluitend kapitaalverstrekking)_totaal 2023
Fout n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
Onzekerheid
Fout
Onzekerheid
Fout
Onzekerheid
Fout Onzekerheid
Gemeente Woudenberg
Pagina 30
G3A
G3A
G3A
G3A
G3A
G3A
G3A
G3A
3
4
5
6
7
8
9
10
Accountantsverslag 2024
BBZ vóór 2020 - Gederfde baten die voorvloeien uit kwijtschelden schulden levensonderhoud BBZ in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar T1 (exclusief BOB)_ totaal 2023 BBZ vóór 2020 - Gederfde baten die voorvloeien uit kwijtschelden schulden levensonderhoud BBZ in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar T1 (exclusief BOB)_ totaal 2023 BBZ vóór 2020 - Gederfde baten die voorvloeien uit kwijtschelden van achterstallige betalingen kapitaalverstrekkingen BBZ in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar T1 (exclusief BOB)_ totaal 2023 BBZ vóór 2020 - Gederfde baten die voorvloeien uit kwijtschelden van achterstallige betalingen kapitaalverstrekkingen BBZ in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar T1 (exclusief BOB)_totaal 2023 BBZ vóór 2020 - Gederfde baten die voorvloeien uit kwijtschelden schulden levensonderhoud BBZ en achterstallige betalingen kapitaalverstrekkingen BOB in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar 2023 BBZ vóór 2020 - Gederfde baten die voorvloeien uit kwijtschelden schulden levensonderhoud BBZ en achterstallige betalingen kapitaalverstrekkingen BOB in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar 2023 BBZ vanaf 2020 - Gederfde baten die voorvloeien uit kwijtschelden van achterstallige betalingen
kapitaalverstrekkingen BBZ in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar 2023 BBZ vanaf 2020 - Gederfde baten die voorvloeien uit kwijtschelden van achterstallige betalingen kapitaalverstrekkingen BBZ in het kader van de hersteloperatie
Fout n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
Onzekerheid
Fout
Onzekerheid
Fout
Onzekerheid
Fout n.v.t.
n.v.t.
Onzekerheid
Gemeente Woudenberg
n.v.t.
n.v.t.
Pagina 31
G4
5
kinderopvangtoeslagaffaire in jaar 2023 Tozo 1_fundamentele rechtmatigheidseisen _gemeentedeel 2024 Tozo 1_fundamentele rechtmatigheidseisen _gemeentedeel 2024 Tozo 1_belangrijke rechtmatigheidseisen _gemeentedeel 2024 Tozo 1_belangrijke rechtmatigheidseisen _gemeentedeel 2024 Tozo 2_gemeentedeel 2024
G4 G4 G4 G4 G4 G4
6 7 8 9 10 11
Tozo 2_gemeentedeel 2024 Tozo 3_gemeentedeel 2024 Tozo 3_gemeentedeel 2024 Tozo 4_gemeentedeel 2024 Tozo 4_gemeentedeel 2024 Tozo 5_gemeentedeel 2024
Onzekerheid Fout Onzekerheid Fout Onzekerheid Fout
G4 G4
12 13
Tozo 5_gemeentedeel 2024 Kwijtschelding schulden Tozo in het kader van de hersteloperatie kinderopvangtoeslagaffaire gederfde baten die voortvloeien uit kwijtschelden schulden levensonderhoud in jaar T_gemeentedeel 2024 Kwijtschelding schulden Tozo in het kader van de hersteloperatie kinderopvangtoeslagaffaire gederfde baten die voortvloeien uit kwijtschelden schulden levensonderhoud in jaar T_gemeentedeel 2024 Kwijtschelding schulden Tozo in het kader van de hersteloperatie kinderopvangtoeslagaffaire gederfde baten die voortvloeien uit kwijtschelden van achterstallige betalingen op kapitaalverstrekking in jaar T_gemeentedeel 2024 Kwijtschelding schulden Tozo in het kader van de hersteloperatie kinderopvangtoeslagaffaire gederfde baten die voortvloeien uit kwijtschelden van achterstallige betalingen op kapitaalverstrekking in jaar T_gemeentedeel 2024 Tozo 1_fundamentele rechtmatigheidseisen_totaal 2023
Onzekerheid Fout
G4
G4 G4
G4
G4
G4
G4
G4A
1
2 3
4
14
15
16
1
Accountantsverslag 2024
Fout n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t. n.v.t. n.v.t. n.v.t. n.v.t. n.v.t. n.v.t.
n.v.t. n.v.t. n.v.t. n.v.t. n.v.t. n.v.t. n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
Onzekerheid Fout
Onzekerheid Fout
Onzekerheid
Fout
Onzekerheid
Fout
Gemeente Woudenberg
Pagina 32
G4A
2
Onzekerheid
5 6
Tozo 1_fundamentele rechtmatigheidseisen_totaal 2023 Tozo 1_belangrijke rechtmatigheidseisen_totaal 2023 Tozo 1_belangrijke rechtmatigheidseisen_totaal 2023 Tozo 2_totaal 2023 Tozo 2_totaal 2023
G4A
3
G4A
4
G4A G4A G4A G4A G4A G4A G4A G4A
7 8 9 10 11 12
Tozo 3_totaal 2023 Tozo 3_totaal 2023 Tozo 4_totaal 2023 Tozo 4_totaal 2023 Tozo 5_totaal 2023 Tozo 5_totaal 2023
Fout Onzekerheid Fout Onzekerheid Fout Onzekerheid
G4A
13
Kwijtschelding schulden Tozo in het kader van de hersteloperatie kinderopvangtoeslagaffaire gederfde baten die voortvloeien uit kwijtschelden schulden levensonderhoud in jaar 2023 Kwijtschelding schulden Tozo in het kader van de hersteloperatie kinderopvangtoeslagaffaire gederfde baten die voortvloeien uit kwijtschelden schulden levensonderhoud in jaar 2023 Kwijtschelding schulden Tozo in het kader van de hersteloperatie kinderopvangtoeslagaffaire gederfde baten die voortvloeien uit kwijtschelden van achterstallige betalingen op kapitaalverstrekking in jaar 2023 Kwijtschelding schulden Tozo in het kader van de hersteloperatie kinderopvangtoeslagaffaire gederfde baten die voortvloeien uit kwijtschelden van achterstallige betalingen op kapitaalverstrekking in jaar 2023 Wet inburgering_ gemeentedeel 2024
Fout
G4A
G4A
G4A
G10
G10
14
15
16
1
2
Accountantsverslag 2024
Wet inburgering_ gemeentedeel 2024
Fout Onzekerheid Fout Onzekerheid
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t. n.v.t. n.v.t. n.v.t. n.v.t. n.v.t. n.v.t. n.v.t.
n.v.t. n.v.t. n.v.t. n.v.t. n.v.t. n.v.t. n.v.t. n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
Gemeente heeft algemeen M&O beleid, maar dit moet nog specifiek worden gemaakt voor de Wet inburgering.
n.v.t.
n.v.t.
Onzekerheid
Fout
Onzekerheid
Fout
Onzekerheid
Gemeente Woudenberg
Pagina 33
G12
G12
G12
G12
G12A
G12A
G12A
G12A
1
2
3
4
1
2
3
4
G13
1
G13
2
G13
3
Accountantsverslag 2024
Gederfde baten die voortvloeien uit kwijtschelden schulden Bijzondere bijstand in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar T_ gemeentedeel 2024 Gederfde baten die voortvloeien uit kwijtschelden schulden Bijzondere bijstand in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar T_gemeentedeel 2024 Gederfde baten die voortvloeien uit kwijtschelden schulden Wet Inburgering van 13 september 2012 in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar T_gemeentedeel 2024 Gederfde baten die voortvloeien uit kwijtschelden schulden Wet Inburgering van 13 september 2012 in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar T_gemeentedeel 2024 Gederfde baten die voortvloeien uit kwijtschelden schulden Bijzondere bijstand in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar 2023 Gederfde baten die voortvloeien uit kwijtschelden schulden Bijzondere bijstand in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar 2023 Gederfde baten die voortvloeien uit kwijtschelden schulden Wet Inburgering van 13 september 2012 in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar 2023 Gederfde baten die voortvloeien uit kwijtschelden schulden Wet Inburgering van 13 september 2012 in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar 2023 Besteding/baten
onderwijsroute_gemeentedeel 2024 Besteding/baten onderwijsroute_gemeentedeel 2024 Bestedingen/baten overige voorzieningen_ gemeentedeel 2024
Fout n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
Onzekerheid
Fout
Onzekerheid
Fout
Onzekerheid
Fout
Onzekerheid
Fout Onzekerheid Fout
Gemeente Woudenberg
Pagina 34
G13
4
H4
1
H4
2
H30
1
H30
2
H35B
1
H35B
2
J55 J55
1 2
J94
1
J94
K28
2
1
K28
2
M16
1
M16
2
Bestedingen/baten overige voorzieningen_ gemeentedeel 2024 Regeling specifieke uitkering stimulering sport 2024-2025 Regeling specifieke uitkering stimulering sport 2024-2025 Specifieke uitkering versterking voor sport en bewegen, gezondheidsbevordering, cultuurparticipatie en de sociale basis 2023-2026 Specifieke uitkering versterking voor sport en bewegen, gezondheidsbevordering, cultuurparticipatie en de sociale basis 2023-2026 Specifieke uitkering IZA-doelen 2023-2026 Specifieke uitkering IZA-doelen 2023-2026 Aanpak energiearmoede Aanpak energiearmoede
Onzekerheid
Regeling specifieke uitkering verduurzaming slecht geïsoleerde woningen van eigenaar-bewoners en woningen van verenigingen van eigenaars, woonverenigingen en wooncoöperaties in het kader van het Nationaal Isolatieprogramma Regeling specifieke uitkering verduurzaming slecht geïsoleerde woningen van eigenaar-bewoners en woningen van verenigingen van eigenaars, woonverenigingen en wooncoöperaties in het kader van het Nationaal Isolatieprogramma Tijdelijke regeling capaciteit decentrale overheden voor klimaaten energiebeleid Tijdelijke regeling capaciteit decentrale overheden voor klimaaten energiebeleid Bekostigingsregeling opvang ontheemden Oekraïne Bekostigingsregeling opvang ontheemden Oekraïne
Fout
Fout Onzekerheid
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t. n.v.t.
n.v.t. n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
n.v.t.
Fout
Onzekerheid
Fout Onzekerheid Fout Onzekerheid
Onzekerheid
Fout
Onzekerheid Fout Onzekerheid
Rechtmatigheidsoordeel specifieke uitkeringen (zoals blijkt uit de controleverklaring): goedkeurend Strekking controleverklaring getrouwheid gehele jaarrekening: goedkeurend
Accountantsverslag 2024
Gemeente Woudenberg
Pagina 35
9. Bijlage 2 – Detailbevindingen geautomatiseerde gegevensverwerking (IT) In het kader van de jaarrekeningcontrole 2024 van Woudenberg is door ons een onderzoek uitgevoerd naar de kwaliteit van de IT-organisatie, het IT-landschap en de beheersing daarvan. In de onderstaande tabel zijn, door middel van observaties en concrete acties, onze belangrijkste signaleringen, bevindingen en daarbij horende aanbevelingen en adviezen weergegeven.
Identificatie en authenticatie (logische toegangsbeveiliging) Observaties Risico(’s) Identificatie en authenticatie vormen het Een zwak identificatie- en fundament voor het geauthentiseerd toegang authenticatiemechanisme vergroot de kans op verlenen van gebruikers tot de IT-omgeving, het als ongeautoriseerde gebruiker toegang en daarmee de (bedrijfskritieke en/of kunnen verschaffen tot de IT-omgeving, en persoonsgerelateerde) data, van de daarmee de (bedrijfskritieke en/of Gemeente Woudenberg. persoonsgerelateerde) data, met mogelijk verlies dan wel manipulatie en/of andere Wij hebben, aan de hand van enkele best beveiligingsincidenten tot gevolg. practices (waaronder de NIST, CIS en de Microsoft Security Baseline), vastgesteld dat voor de applicatie Youforce sprake is van onvoldoende ‘sterke’ wachtwoorden. Wij hebben niet (tijdig) over voldoende en geschikte controle-informatie (waaronder langs het uitvoeren van een ‘AD-analyse’) kunnen beschikken teneinde, vaktechnisch verantwoord, te kunnen vaststellen of SSO voor (tenminste de voor de jaarrekeningcontrole relevante) gebruikers consequent wordt afgedwongen (en, de betreffende, gebruikers daarmee op passende wijze worden geauthentiseerd) voor respectievelijk de (kern)applicaties Key2Burgerzaken, Centric Leefomgeving, Key2Belastingen, Key2Finance en het netwerk.
Het hanteren van onvoldoende ‘sterke’ wachtwoorden herbergt een verhoogd risico on ongeoorloofde toegang tot de IT-omgeving, en daarmee de (bedrijfskritieke en/of persoonsgerelateerde) data, van de Gemeente Woudenberg en, daarmee, de betrouwbaarheid van de uit genoemde (kern)applicaties afkomstige data. Aanbevelingen 1. Professionaliseer het bestaande wachtwoordbeleid, bijvoorbeeld aan de hand van enkele best practices, zoals de NIST, CIS of de Microsoft Security Baseline, en stel deze formeel vast.
Accountantsverslag 2024
Gemeente Woudenberg
Pagina 36
2. Implementeer dit beleid binnen de voor gemeente Woudenberg relevante ITomgeving(en). 3. Configureer multi-factor-authentication, voor zowel in- als externe toegang, en dwing dit af voor alle gebruikers. 4. Richt binnen de Active Directory zogeheten ‘event logs’ in waarmee een historie van wijzigingen rondom (wachtwoord)settings (per gebruiker) wordt opgebouwd. 5. Stel, minimaal, jaarlijks vast of het wachtwoordbeleid nog passend is en breng, daar waar nodig, de noodzakelijke wijzigingen aan. Autorisaties en autorisatiebeheer (logische toegangsbeveiliging) Observaties Risico(’s) Het risico op ongeoorloofde toegang kan, Het onvoldoende, preventief, beheersen van de naast identificatie en authenticatie, mede minimaal gewenste functiescheiding vergroot worden gemitigeerd door het definiëren en de kans op het als ongeautoriseerde gebruiker inrichten van functieprofielen met aanpalende toegang kunnen verschaffen tot de ITrechten (autorisaties) waardoor de minimaal omgeving, en daarmee de (bedrijfskritieke en/of gewenste functiescheiding kan worden persoonsgerelateerde) data, met mogelijk gewaarborgd binnen de IT-omgeving(en) van verlies dan wel manipulatie en/of andere gemeente Woudenberg. beveiligingsincidenten tot gevolg.
Naast inrichten is beheersen (autorisatiebeheer) het kernwoord om, mits gedegen ingericht en frequent zichtbaar uitgevoerd, preventief ‘in control’ te komen en blijven. Wij hebben vastgesteld dat de bestaande functieprofielen naar ‘eer en geweten’ zijn ingericht, maar niet als zodanig een autorisatiematrix als uitgangspunt van de minimaal gewenste functiescheiding vormen. Daarnaast ontbreekt een procedure voor het onder functiescheiding toekennen, wijzigen en intrekken van rechten binnen de ITomgeving(en) van gemeente Woudenberg alsmede een passende oplossing waarin dergelijke aanvragen consequent worden geregistreerd. Wij concluderen dat er onvoldoende sprake is van preventieve beheersing teneinde de minimaal gewenste functiescheiding te kunnen waarborgen hetgeen, naast voornoemde, tevens wordt gevoed vanuit het ontbreken van een zogeheten ‘IST-SOLLvergelijking’ waarbij de autorisatiestructuur (‘IST’) periodiek, doch minimaal jaarlijks,
Accountantsverslag 2024
Gemeente Woudenberg
Pagina 37
wordt afgezet tegen de autorisatiematrix (‘SOLL’) gevolgd door passende follow-up. Aanbevelingen 6. Definieer, in samenwerking met de business, ‘handelingen’ (op zowel applicatie- als applicatie-overstijgend niveau) welke niet door één gebruiker mogen worden uitgevoerd. 7. Vertaal deze handelingen naar de bestaande dan wel nog, deels, te definiëren rollen en rechten. Dit resulteert in een overzicht van de ‘ongewenste combinaties’ van rollen en rechten, welke niet door één gebruiker zouden mogen worden uitgevoerd. 8. Stel de ‘ongewenste combinaties’ formeel vast, zodat het een uitgangspunt vormt voor het toekennen, wijzigen en intrekken van rechten binnen de IT-omgeving(en). 9. Voer periodiek, zichtbaar, een vergelijking uit waarbij de autorisatiestructuur (‘IST’) wordt afgezet tegen de ‘ongewenste combinaties’ (‘SOLL’), zodat kan worden vastgesteld of de minimaal gewenste functiescheiding wordt gewaarborgd. 10. Geef zichtbaar invulling aan de follow-up, zodat een belangrijke stap wordt gezet naar (meer) preventieve beheersing. Change management Observaties Applicaties in eigen beheer. Gemeente Woudenberg maakt gebruik van de (kern)applicaties Key2Burgerzaken en Key2Finance welke, in de basis, zelfstandig worden beheerd.
Wij concluderen dat er, met betrekking tot de (kern)applicaties Key2Burgerzaken en Key2Finance, sprake is van onvoldoende (preventieve) beheersing met betrekking tot het change management proces wegens het ontbreken van: • Het, consequent, uitvoeren van een impactanalyse waarmee de ‘impact’ van nieuwe/gewijzigde functionaliteit op de bestaande/gewenste functionaliteit wordt vastgesteld, hetgeen (mede) bepalend is voor het al dan niet uitvoeren van; • Acceptatietesting op basis van voorgedefinieerde testscenario’s waarbij de resultaten en follow-up consequent worden vastgesteld; en • Het ‘GO-NO-GO-live-besluit’, te nemen door de systeemeigenaar (bijvoorbeeld de directie), alsmede de hiermee gepaard gaande primaire registratie(s). SaaS-applicaties Ondanks de veelal primaire doelstelling van organisaties om met uitbesteding ontzorgd te worden, vervult het change management proces
Accountantsverslag 2024
Risico(’s) Het onvoldoende, consequent, waarborgen van de continue werking van de minimaal, ter ondersteuning van de bedrijfsvoering, van belang zijnde functionaliteit, waardoor de bedrijfsvoering kan stagneren en/of leidt tot een verhoogd risico in het kader van de betrouwbaarheid van de langs deze functionaliteit gegenereerde data (o.a. a.g.v. ongeoorloofde toegang, foutieve berekeningen etc.)
Gemeente Woudenberg
Pagina 38
een belangrijke rol binnen de context van met name de betrouwbaarheid van de geautomatiseerde gegevensverwerking. Immers, de keuze voor standaard functionaliteit, welke SaaS-oplossingen bieden, is een bewuste maar het blijft onverminderd van belang de aansluiting tussen de ‘gewenste’ (demand) en ‘geboden’ (supply) functionaliteit te waarborgen. Bovenstaande benadrukt het belang van proportionele IT-uitgangspunten, kpi’s alsook het definiëren en afstemmen van de, hiermee gepaard gaande, informatiebehoefte met, tenminste, de IT-partners Centric en Visma|Raet. Wij concluderen dat de met voornoemde onlosmakelijk verbonden IT-regiefunctie onvoldoende is geborgd binnen het Service Level Management. Aanbevelingen Applicaties in eigen beheer 11. Professionaliseer het change management proces met betrekking tot de (kern)applicaties Key2Burgerzaken en Key2Finance door de diverse stappen (hierna, deels, te benoemen) eenduidig en consequent vast te leggen waardoor, onder andere, de trace- en auditability toeneemt. 12. Denk na over de ‘toekomstvastheid’ van de (kern)applicaties Key2Burgerzaken en Key2Finance welke, in de basis, zelfstandig worden beheerd. 13. Verricht, in geval van een (major) change, consequent en zichtbaar een impactanalyse, zodat changes met (significante) impact tijdig worden gesignaleerd en geadresseerd. 14.
Definieer passende testscenario’s, verricht consequent en zichtbaar testwerkzaamheden in een van de ontwikkel- en productieomgeving gescheiden testomgeving en leg de resultaten hiervan vast. 15. Waarborg het tijdig, juist en volledig afwikkelen van testincidenten en maak het ‘Go-NoGo-live’ besluit consequent zichtbaar. 16. Verricht onderzoek naar een passende IT-beheertool ter ondersteuning van de primaire registratie met betrekking tot het incident-, problem- en change management proces. SaaS-applicaties 17. Neem, met betrekking tot de applicaties Centric Leefomgeving, Key2Belastingen en Youforce kennis van het change management proces van de IT-partners Gemeente Veenendaal, Centric en Visma|Raet (bijvoorbeeld door het raadplegen van diens ISAE 3402 en/of SOC 1/2/3 assurance-rapport) en stel vast of dit proces (en de hierbinnen geïmplementeerde maatregelen) aansluit op de IT-uitgangspunten en risicobereidheid. 18. Tref, op basis van voornoemd inzicht, passende (aanvullende) maatregelen, zodat de functionaliteit (‘supply’) blijft aansluiten op de wensen (‘demand’) van de business (en daarmee de strategie). 19. Betrek de ‘balans’ tussen de door de betreffende IT-partner getroffen maatregelen en de eigen, aanvullende, maatregelen in het Service Level Management proces. Back-up en recovery
Accountantsverslag 2024
Gemeente Woudenberg
Pagina 39
Observaties Het back-up en recovery proces van gemeente Woudenberg, met betrekking tot de door de gemeente Veenendaal gehoste omgeving (waarbinnen de (kern)applicaties Key2Burgerzaken, Key2Belastingen en Key2Finance draaien)), kent zowel een on- als offsite oplossing. Voor, tenminste, de SaaS-applicaties Centric Leefomgeving en Youforce geldt dat genoemd proces tot de operationele taken, verantwoordelijkheden en bevoegdheden van de betreffende IT-partner behoort. In tegenstelling tot de inrichting van het backup proces voor de door gemeente Veenendaal gehoste omgeving, constateren wij onvoldoende preventieve beheersing voornamelijk uitmondend in het: • Ontbreken van een passende ‘RTO’ (Recovery Time Objective) en ‘RPO’ (Recovery Point Objective) waarmee respectievelijk de/het geaccepteerde hersteltijd en dataverlies wordt geduid; en het • Ontbreken van het periodiek (minimaal jaarlijks) zichtbaar uitvoeren en followup geven aan een representatieve restore test van een volledige back-up.
Risico(’s) Het ontbreken van voldoende inzicht in de beschikbaarheid en/of bruikbaarheid van back-ups, waardoor de bedrijfsvoering, in geval van een calamiteit, kan stagneren en/of leidt tot een verhoogd risico in het kader van de bedrijfskritieke (waaronder persoonsgerelateerde) data
Dit betekent dat gemeente Woudenberg preventief, onvoldoende inzicht heeft in zowel de beschikbaarheid als de bruikbaarheid van back-ups. Wij constateren een vergelijkbare mate van preventieve beheersing in het kader van het back-up en recovery proces met betrekking tot de (SaaS-)applicaties Centric Leefomgeving en Youforce, wegens het ontbreken van (voldoende) inzicht in de wijze waarop de betreffende IT-partner dit proces, al dan niet voldoende, beheerst. In tegenstelling tot de beschikbaarheid, schort het gemeente Woudenberg aan voldoende inzicht in de bruikbaarheid van back-ups. Aanbevelingen 20. Stel in samenspraak met de business, op basis van de proportionele IT-uitgangspunten, risicobereidheid en de minimaal te treffen maatregelen, een passende ‘RTO’ (Recovery Time Objective) en ‘RPO’ (Recovery Point Objective) vast.
Accountantsverslag 2024
Gemeente Woudenberg
Pagina 40
21. Stem de ‘RTO’ en ‘RPO’ met de betreffende IT-partners af, stel vast in hoeverre deze gewaarborgd kan worden en tref, indien nodig, aanvullende maatregelen. 22. Neem kennis van de bestaande ISO certificeringen en/of, bij voorkeur, assurancerapportages (ISAE 3402 en/of SOC 1/2/3) waaruit kan worden afgeleid in hoeverre de betreffende IT-partner ‘in control’ is. 23. Waarborg dat, tenminste jaarlijks, een representatieve restore test wordt uitgevoerd van een volledige back-up, bij voorkeur, op basis van telkens wisselende scenario’s en geef zichtbaar follow-up aan het geconstateerde. 24. Betrek de uitkomsten van tenminste de restore test in de jaarlijks opnieuw vast te stellen ‘RTO’ en ‘RPO’. Service Level Management Observaties De IT-omgeving van gemeente Woudenberg kent een hoge mate van afhankelijkheid van externe IT-partners en kent als zodanig de nodige uitdagingen om ‘in control’ te geraken en blijven (ofwel het uitoefenen van de regiefunctie). Echter om daar (‘in control’) te komen is ‘slechts’ het hebben van een overeenkomst, al dan niet in de vorm van een SLA, onvoldoende. Immers, dergelijke overeenkomsten zijn veelal geschreven vanuit het perspectief van de leverancier en sluiten, daarmee, niet aan op: 1. de informatiebehoefte van de klant, laat staan; 2.
perspectief bieden om hier zogeheten ‘kpi’s’ in onder te brengen waarlangs, onder andere, de kwaliteit van de dienst en/of het product kan worden gemeten.
Risico(’s) Het, in geval van (een zekere mate van) uitbesteding van (IT-gerelateerde) diensten en/of producten, onvoldoende inrichten en, daarmee, beheersen van de regiefunctie, herbergt een vergroot risico op zowel de betrouwbaarheid als beschikbaarheid van respectievelijk de bedrijfskritieke (waaronder persoonsgerelateerde) data en/of de voor de bedrijfsvoering minimaal gewenste functionaliteit
Daarnaast wordt het op gedegen wijze kunnen uitoefenen van de regiefunctie sterk beïnvloed door de mate waarin de betreffende IT-partner verantwoording kan afleggen over de kwaliteit van diens dienst en/of product. Hierbij kan worden gedacht aan verantwoording langs passende: • (ISO-)certificeringen (waaronder ISO 27001); en/of • Assurance-uitingen (met name in de vorm van ISAE 3402 en/of SOC 1/2/3, beiden type II). Wij concluderen op basis van: • Onvoldoende inzicht in de zogeheten ITketen bestaande uit hoofd- en onderaannemers (respectievelijk
Accountantsverslag 2024
Gemeente Woudenberg
Pagina 41
• •
aanbieder applicatie en, bijvoorbeeld, het datacenter van waaruit de applicatie wordt gehost); Beperkte formalisatie van gemaakte afspraken; en Onvoldoende inzicht of, en zo ja in de mate waarin en waarlangs, IT-partners verantwoording kunnen afleggen over de kwaliteit van diens dienst en/of product,
dat de regiefunctie, als onderdeel van Service Level Management (en daarmee de ‘IT-functie’), van gemeente Woudenberg onvoldoende is ingericht en daarmee als zodanig wordt beheerst. Aanbevelingen 25. Breng de IT-keten (verder) in kaart resulterend in een overzicht (bij voorkeur gevisualiseerd) van (uitbestede) processen, producten en/of diensten en diens leveranciers (zowel hoofd- als onderaannemers respectievelijk aanbieder applicatie en, bijvoorbeeld, het datacenter van waaruit de applicatie wordt gehost). 26. Voer, op basis van inzicht in de volledige IT-keten, een risicoanalyse uit waarin de kwaliteitsaspecten beschikbaarheid, integriteit en vertrouwelijkheid centraal staan en schat de kans en/of impact van mogelijke incidenten in relatie tot genoemde kwaliteitsaspecten in, resulterend in een risicobereidheid. 27. Tref, op basis van de risicobereidheid, passende maatregelen om de geïdentificeerde risico's tot een aanvaardbaar laag niveau te kunnen reduceren, zodat de ‘IT-functie’ van de Gemeente Woudenberg verder, gedegen kan worden ingericht. 28. Vertaal, op basis van de IT-uitgangspunten en risicobereidheid, de minimaal te treffen maatregelen per IT-partner in zogeheten kpi’s en integreer deze in de op te stellen, dan wel aan te passen, overeenkomsten (al dan niet in de vorm van een SLA). 29.
Inventariseer, per IT-partner, diens beschikking over passende (ISO-)certificeringen, waaronder ISO 27001, maar ook assurance-uitingen in de vorm van ISAE 3402 en/of SOC 1/2/3 (beiden type II) en neem dit op in de informatiebehoefte. 30. Stem de informatiebehoefte met de IT-partner af en kom, gezamenlijk, tot een passende rapportagevorm en -frequentie. 31. Maak, met elke IT-partner, afspraken over periodieke afstemming over de (kwaliteit van de) dienstverlening, zodat verwachtingen ‘ongoing’ op elkaar blijven afgestemd en verrassingen worden voorkomen. 32. Breng de (verschillende) informatiestromen bij elkaar en maak een gedegen afweging tussen hetgeen de, betreffende, IT-partner reeds beheerst (bijvoorbeeld langs passende ISO-certificeringen en/of assurance-rapportages) en de maatregelen welke aanvullend getroffen zouden moeten worden om de risico’s in voldoende mate te kunnen beheersen. 33. Zorg dat het Service Level Management gepaste aandacht blijft krijgen door deze te integreren in een zogeheten ‘Plan-Do-Check-Act’ cycle (o.b.v. proportionaliteit).
Accountantsverslag 2024
Gemeente Woudenberg
Pagina 42