26 643 Informatie- en communicatietechnologie (ICT)

Nr. 893 LIJST VAN VRAGEN EN ANTWOORDEN

Vastgesteld 8 juli 2022

De vaste commissie voor Digitale Zaken heeft een aantal vragen voorgelegd aan de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties over de brief van 13 mei 2022 inzake over de Jaarrapportage Grote ICT-projecten 2021 (Kamerstuk 26 643, nr. 850).

De Staatssecretaris heeft deze vragen beantwoord bij brief van 7 juli 2022. Vragen en antwoorden zijn hierna afgedrukt.

De voorzitter van de commissie, Kamminga

Adjunct-griffier van de commissie, Tilburg

Vraag 1

Welk deel van de totale uitgaven aan ICT-projecten is besteed aan het opleiden van het eigen personeel om meer kennis te hebben van Digitalisering?

Antwoord

De opleidingskosten van eigen personeel om meer kennis te hebben van digitalisering zijn niet één op één te koppelen aan de grote ICT-projecten.

Daar waar het gaat over de ICT-kennis van projectleiders en medewerkers om een ICT-project goed op te zetten, uit te voeren en/of in beheer te nemen, is het zo dat er niet altijd binnen de scope van dat specifieke ICT-project wordt geïnvesteerd in deze kennis bij medewerkers. Dat gebeurt bijvoorbeeld ook via kennissessies, expertgroepen, gateway reviews of opleidingen die buiten het project via reguliere departementale opleidingsbudgetten worden gevolgd.

In tabel 49 uit de Jaarrapportage Bedrijfsvoering Rijk¹ is in algemene zin, voor alle rijksambtenaren (excl. inhuur) aangegeven hoeveel uitgaven er gemiddeld per arbeidsjaar is uitgegeven aan scholing en opleiding, namelijk € 1.410,– in 2021. Hierbij gaat het niet enkel om ICT-gerelateerde scholing en opleidingen, maar om alle soorten scholing en opleiding. Dit bedrag komt tot stand door het totaalbedrag dat per ministerie is besteed aan scholingskosten te delen door het aantal arbeidsjaren dat er bij het betreffende ministerie is gewerkt. Op deze manier worden bij het gemiddelde bedrag ook de medewerkers meegenomen die niet een geheel jaar in dienst zijn geweest door in- of uitdiensttreding. De bedragen worden jaarlijks per ministerie geïnventariseerd.

Opleidingskosten aan de gebruikerskant, bijvoorbeeld voor het implementeren en in gebruik nemen van een opgeleverd ICT-systeem, vallen indien sprake is van implementatie in de bedrijfsvoering wel binnen de scope van het project. Die uitgaven zijn echter niet apart gelabeld als opleidingskosten, maar vallen vaak onder «overige projectkosten».

Vraag 2

Hoe ziet het toezicht op de 138 ICT-projecten er precies uit?

Antwoord

Het toezicht is ingericht volgens het «three lines model»; een belangrijke leidraad voor het inrichten van de governance. We onderscheiden daarin de volgende driedeling:

• 1. Projectbeheersing door de opdrachtgever, projectmanager en stuurgroep;

• 2. Controle vanuit de departementale CIO;

• 3. Externe controle door CIO Rijk, het Adviescollege ICT-toetsing, de Auditdienst Rijk en de Algemene Rekenkamer.

Zoals het «three lines model» laat zien, is het toezicht op de grote ICT-projecten breed ingericht. Om het toezicht zo onafhankelijk, effectief en efficiënt mogelijk uit te kunnen voeren, zijn er langs drie lijnen rijksbrede afspraken gemaakt. Graag geef ik per lijn een toelichting hoe dit toezicht is ingericht.

Binnen de eerste lijn van het «three lines model», de lijn van de projectbeheersing, is de opdrachtgever van het project verantwoordelijk voor het primaire toezicht. Een projectmanager regelt de operationele sturing, bewaakt het toezicht over het project en rapporteert aan de opdrachtgever. Aanvullend kan een stuurgroep worden aangesteld.

De tweede lijn binnen het model is het toezicht vanuit de departementale CIO. Om het toezicht op de grote ICT-projecten zo goed mogelijk uit te voeren, heeft de CIO een aantal verplichte beheersmaatregelen, waaronder het portfoliomanagement. Dit is een permanent proces van inventariseren, prioriteren, selecteren, beheren en evalueren van grote ICT-projecten.

Andere beheersmaatregelen zijn het stellen van eisen aan het projectplan, het geven van een CIO-oordeel, het aanvragen van een AcICT-advies en het laten uitvoeren van een ICT-markttoets. Dit zijn verplichte beheermaatregelen voordat het grote ICT-project start. Deze beheersmaatregelen worden ook tijdens de uitvoering van het project ingezet. De CISO ondersteunt met kaders en richtlijnen en kan vooraf en tijdens het project advies geven. Zij zijn ook bij het CIO-oordeel betrokken. De CISO ondersteunt bij de risico-analyse rondom de uitvoering van het project en de bescherming van gegevens.

Twee wezenlijke maatregelen in dit proces licht ik graag iets uitgebreider toe. In het projectplan wordt gekeken naar alle aspecten van het project, zoals de zakelijke rechtvaardiging (businesscase), informatiebeveiliging en privacy. Met de Data Protection Impact Assessment (DPIA) houdt de functionaris gegevensbescherming (FG) toezicht op de naleving van departementale en interdepartementale privacykaders en -wetgeving. Het CIO-oordeel is een kwaliteitstoets op het welslagen van een groot ICT-project. Hiermee geeft de CIO een beoordeling met aanbevelingen aan de opdrachtgever over het project. Het samenstel van deze maatregelen zorgt voor beter beheersbare ICT-projecten, een hogere slaagkans en een groeiend lerend vermogen binnen de organisatie zelf.

De derde lijn in het model omvat het toezicht dat buiten het ministerie is belegd. Zo doet de Auditdienst Rijk (ADR) tweejaarlijks onderzoek naar het proces over de volledigheid en juistheid van de identificatie, registratie en selectie van alle grote ICT-projecten. Daarnaast kan de ADR kwaliteitstoetsen uitvoeren voor elk project. De Algemene Rekenkamer (AR) controleert de departementen, inclusief de grote ICT-projecten. Het Adviescollege ICT-toetsing (AcICT) adviseert de Minister die opdrachtgever is van een project. Dit advies, vergezeld van een reactie van de betrokken Minister, wordt aan beide Kamers gestuurd.

Tot slot worden alle grote ICT-projecten op het Rijks ICT-dashboard gepubliceerd. De huidige en voorgenomen projecten worden door de CIO ook in de reguliere CIO-gesprekken met de CIO Rijk besproken. Dat gebeurt in de zogenaamde voor- en najaarsgesprekken en voor de CISO’s wordt dit gesprek gevoerd met de

Ik vind het belangrijk dat er bij ICT-projecten structureel naar de juiste toepassing van algoritmen en de mensenrechten wordt gekeken. Daarom onderzoek ik de mogelijkheden om de al bestaande toetsingskaders te stroomlijnen en effectief in te zetten in het toezicht op de grote ICT-projecten. Over het toezicht op algoritmen ontvangt uw Kamer nog voor het zomerreces een aparte brief.

Vraag 3

Wat is de reden voor het verschil tussen de actuele schatting totale kosten 2021 en de initiële schatting meerjarige kosten?

Antwoord

Het is niet ongebruikelijk dat er tijdens de looptijd van een project (significante) wijzigingen worden doorgevoerd. Voorbeelden zijn wijzigingen vanwege het overnemen van aanbevelingen van een extern advies of BIT-toets, of mee- of tegenvallers binnen het project. Zo’n significante wijziging kan (grote) impact hebben op de scope, doorlooptijd en kostenschatting van een project. De schatting van de meerjarige kosten wordt daarop aangepast en verschilt dan van de initiële schatting. Vanuit het oogpunt van departementale controle en projectbeheersing kijkt de CIO regelmatig mee met grote ICT-projecten. Een significante wijziging is voor de departementale CIO en externe controllers zoals CIO Rijk, de Auditdienst Rijk of de Algemene Rekenkamer een reden om opnieuw naar een project of projectplan te kijken.

Vraag 4 en 5

Hoe worden de kostenoverschrijdingen gemeld aan de Kamer en de Algemene Rekenkamer, hoe wordt voldaan aan de comptabiliteitswet?

Hoe is het budgetrecht van de Kamer gewaarborgd?

Antwoord

Conform het eerste lid van artikel 105 van de Grondwet wordt de begroting (inclusief suppletoire begrotingen en slotwetten) van elk ministerie voorgelegd aan het parlement. Als er bij een ICT-project sprake is van een wijziging in het budget wordt dit meegenomen in de reguliere begrotingscyclus, waarmee het budgetrecht van de Tweede Kamer wordt gewaarborgd. Een significante wijziging in de scope, doorlooptijd of kostenschatting van het project wordt via een brief aan uw Kamer gemeld en op het Rijks ICT-dashboard gepubliceerd. Daarbij worden de nieuwe schattingen van kosten en einddatum ook vermeld.

Daarmee worden zowel het parlement als de Algemene Rekenkamer geïnformeerd.

Vraag 6

Hoe wordt er van falende ICT-projecten Rijksbreed geleerd?

Antwoord:

We leren van ieder project. Het evalueren van ICT-projecten is een belangrijk onderdeel van het portfoliomanagementproces dat rijksbreed is ingericht. Ook rode draden uit bevindingen van de Auditdienst Rijk, de Algemene Rekenkamer en het Adviescollege ICT-toetsing worden meegenomen. De geleerde lessen en best practices worden steeds beter en systematischer ingebed in onze processen. Vanuit de stelselverantwoordelijkheid neemt CIO Rijk de geleerde lessen mee in de kaders voor portfoliomanagement en CIO-oordelen.

Kennis en kunde wordt op allerlei niveaus en in verschillende doelgroepen gedeeld. Een goed voorbeeld hiervan zijn de jaarlijkse overlegmomenten van het Adviescollege ICT-toetsing met het CIO-beraad over de bevindingen en rode draden. Het Adviescollege geeft dan een terug- en vooruitblik op basis van rode draden uit BIT-toetsen. Ook zijn er zogenaamde specials, waarbij een CIO die recentelijk een BIT-advies heeft gehad het proces van advies en de belangrijkste lessen uit het advies in vertrouwelijke setting deelt met de collega’s in het CIO-beraad.

---

1 Kamerstuk 31 490, nr. 316