26 643 Informatie- en communicatietechnologie (ICT)

26 448 Structuur van de uitvoering werk en inkomen (SUWI)

Nr. 969 BRIEF VAN DE MINISTER VAN SOCIALE ZAKEN EN WERKGELEGENHEID

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 2 februari 2023

Het Adviescollege ICT-toetsing (AcICT) heeft onderzoek verricht naar het UWV-programma WORKit en heeft op 22 december jl. het definitieve advies opgeleverd. Het AcICT concludeert dat het onzeker is of de doelen van WORKit worden bereikt, en doet een aantal aanbevelingen om de haalbaarheid te vergroten. Met deze brief bied ik u het advies aan vergezeld van mijn reactie hierop.

Ik beschouw het advies als waardevol en dank het AcICT voor het uitbrengen hiervan.

Het WERKbedrijf van UWV fungeert als trefpunt voor werkzoekenden en werkgevers. Het WERKbedrijf biedt diensten aan vanuit de domeinen Arbeidsbemiddeling en re-integratie (AB&R), Voorzieningen en re-integratiemiddelen, en de Arbeidsjuridische Dienst (AJD). De primaire processen van deze domeinen worden ondersteund door de applicaties SONAR, VERA en WBS. In 2020 is na onderzoek geconstateerd dat SONAR tekortkomingen kent op het gebied van informatiebeveiliging en privacy (IB&P). In de Kamerbrief¹ van 5 oktober 2020 is uiteengezet wat de tekortkomingen zijn, en welke maatregelen UWV neemt om deze tekortkomingen op te lossen. Sindsdien is uw Kamer in opvolgende brieven Stand van de uitvoering telkens geïnformeerd over de voortgang hiervan. Inmiddels is een groot aantal issues opgelost, maar niet alle IB&P kwetsbaarheden en tekortkomingen kunnen worden verholpen in het huidige systeem (SONAR). Ook ervaart UWV dat de applicaties SONAR en VERA moeilijk zijn aan te passen vanwege het maatwerk en de beperkte beschikbaarheid van benodigde expertise.

Het programma WORKit heeft daarom als doel om genoemde applicaties voor 2026 stapsgewijs te vervangen om zo te komen tot een wendbaar, veilig en stabiel ICT-landschap. Met deze vervanging wil het WERKbedrijf de dienstverlening aan werkzoekenden en werkgevers, evenals de ondersteuning van medewerkers en samenwerkingspartners, verbeteren.

Hieronder sta ik stil bij de conclusies en aanbevelingen van het AcICT, en licht ik kort toe hoe UWV opvolging geeft aan het advies.

Conclusies AcICT

De belangrijkste conclusie van het AcICT is dat het onzeker is of de doelen van WORKit worden bereikt. Hiervoor geeft het adviescollege twee redenen.

Als eerste reden benoemt AcICT dat het programma WORKit niet gereed is op 1 januari 2026. Het adviescollege stelt hierbij dat onvoldoende inzicht is in de voortgang van het programma door het ontbreken van een onderbouwde planning. Het risico is met name dat te optimistisch is gepland, waardoor de kans op vertraging groot is. Zo is de impact van niet-beproefde onderdelen («componenten») op de planning onderschat. UWV bevestigt deze conclusie van het AcICT dat, hoewel er intussen aanzienlijke voortgang wordt geboekt, de uitfasering van de betreffende verouderde systemen inderdaad niet voor 2026 geheel zal zijn afgerond. De vervanging is met verschillende onzekerheden omkleed en de planningen hieromtrent worden periodiek herijkt, waarbij het voor UWV van doorslaggevend belang is dat de dienstverlening doorgang kan blijven vinden. Verder stelt het adviescollege dat het onzeker is of het budget voor WORKit de komende jaren wel beschikbaar wordt gesteld. UWV heeft zich gecommitteerd aan het programma WORKit en de meerjarige financiering hiervan. Het fasegewijs verstrekken van het daadwerkelijk benodigde budget aan het programma is een gebruikelijke werkwijze binnen UWV.

De tweede reden die het AcICT aanvoert voor de conclusie dat het onzeker is of de doelen van WORKit worden bereikt, is dat de huidige aanpak niet per se leidt tot een wendbaar en veilig ICT-landschap. Het adviescollege stelt hierbij dat de beweging van grotere applicaties naar kleinere componenten ook nieuwe complexiteit introduceert bij het doorvoeren van wijzigingen. Dit betreft specifiek de afhankelijkheid tussen divisies en programma’s bij het doorvoeren van wijzigingen, maar ook het risico dat de juiste resources (inclusief kennis en de juiste mensen) voor de verschillende nieuwe systemen en technologieën niet voorhanden is. UWV erkent dat de beweging die is ingezet van grotere applicaties naar kleinere componenten niet op voorhand leidt tot minder complexiteit, en neemt de adviezen van het AcICT om de complexiteit van het ICT landschap te beperken over. UWV beweegt doelbewust naar een ICT-landschap met generieke componenten en gemeenschappelijke voorzieningen in de overtuiging dat het huidige ICT-landschap met grotere applicaties die alle ondersteunende processen verzorgen, zoals bijvoorbeeld de communicatie met klanten, niet meer past bij de moderne manier van ontwikkelen. De applicaties worden daardoor groot en complex en voor de ondersteunende functies moet identieke functionaliteit in veel verschillende systemen worden onderhouden. De nieuwe wijze van werken draagt bij aan consistente en wendbare dienstverlening. Dit wordt al zichtbaar doordat de tijd die nodig is voor het doorvoeren van wijzigingen in nieuwe applicaties korter is dan de huidige doorlooptijden. De zorg die het adviescollege terecht aankaart over de beperkte beschikbaarheid van resources blijft, ongeacht de gekozen technologie, een uitdaging. Door het intern opleiden en trainen van medewerkers tracht UWV dit risico zo goed mogelijk te mitigeren.

Opvolging adviezen AcICT

Hieronder ga ik in op de wijze waarop UWV opvolging geeft aan de adviezen van het AcICT.

Zorg voor meer grip op de voortgang van de vervanging

Het AcICT adviseert om meer grip te krijgen op de voortgang van de vervanging. Het adviescollege stelt hierbij dat de roadmap onderbouwd moet worden met een planning en begrotingen en hierbij rekening gehouden moet worden met de omvang van de te vervangen onderdelen. UWV neemt dit advies over. De roadmap zal beter worden onderbouwd, conform het advies van het adviescollege. Om tempo te maken adviseert het AcICT daarnaast om meer zeggenschap bij de programmamanager te beleggen. UWV neemt dit advies met betrekking tot de rol van de programmamanager mee in een evaluatie die eind 2023 wordt uitgevoerd. UWV heeft namelijk recent wijzigingen doorgevoerd in de governance van het programma en is van mening dat het de stabiliteit en continuïteit van het programma niet ten goede komt om hier op zo’n korte termijn weer wijzigingen in aan te brengen.

Realiseer de voorwaarden voor een veilig ICT-landschap

AcICT adviseert dat UWV de voorwaarden schept om de projecten binnen Werkbedrijf aan IB&P-eisen te laten voldoen. Hiertoe adviseert het adviescollege twee maatregelen: 1) formaliseer de verantwoordelijkheid voor informatiebeveiligingsbeleid en pas het vervolgens aan, en 2) creëer op korte termijn duidelijkheid over de wijze waarop IB&P-eisen moeten worden verwerkt in het programma van eisen bij de aanbesteding en realisatie van nieuwe applicaties. De formalisering van de verantwoordelijkheid voor informatiebeveiligingsbeleid heeft UWV in gang gezet. Ook is UWV bezig met het aanpassen van het informatiebeveiligingsbeleid. Omdat dit een omvangrijke operatie is, mede gezien de grootte van de organisatie, zorgt UWV er tegelijkertijd voor dat bij nieuwe aanbestedingen wordt gewerkt met actuele kaders. Het advies met betrekking tot het opnemen en verwerken van de IB&P-eisen in het programma van eisen neemt UWV over. Met de leverancier worden afspraken over structurele borging van IB&P en ontbindende voorwaarden op dit onderwerp contractueel vastgelegd. Tevens wordt vastgesteld of de IB&P issues zijn opgelost door dit voorafgaand aan contractering en gedurende het project te testen.

Reduceer complexiteit waar mogelijk

AcICT adviseert om de complexiteit van zowel de oplossingsrichting als de sturing hierop te reduceren. Het advies is hierbij om WORKit minder afhankelijk te maken van andere divisies en programma’s. Verder geeft AcICT aan om als divisie kritisch te blijven op de oplossingsrichting en bij de implementatie van generieke componenten en gemeenschappelijke voorzieningen de integratie in de «eigen» (divisie-specifieke) context voorop te stellen. UWV neemt dit advies over en zal kritisch blijven in de afwegingen en keuzes om voor de vervanging gebruik te maken van gemeenschappelijke voorzieningen en generieke componenten. De afhankelijkheid tussen divisies en programma’s blijft bestaan. De divisie Werkbedrijf heeft wel de ruimte om zelfstandig keuzes te maken voor de aankoop of ontwikkeling van applicaties en voorzieningen die zijn gericht op specifieke ondersteuning van haar werkprocessen en elders bij UWV niet nodig zijn. Op basis van goede onderbouwing is afwijken van bijvoorbeeld de inzet van generieke en gemeenschappelijke voorzieningen altijd mogelijk als dat de dienstverlening in de breedste zin ten goede komt.

Tot slot adviseert het AcICT om de verantwoordelijkheden ten aanzien van de beheersituatie snel helder te maken. UWV is zich bewust van de noodzaak hiervan, en gaat de consequenties met betrekking tot bijvoorbeeld wijzigende verantwoordelijkheden snel inzichtelijk maken in duidelijke processen en procedures.

Rest mij het AcICT nogmaals te bedanken voor het advies en de aanbevelingen. Ik vertrouw erop dat UWV met het programma WORKit de dienstverlening aan burgers en samenwerking met partners kan voortzetten en verbeteren.

De Minister van Sociale Zaken en Werkgelegenheid, C.E.G. van Gennip

---

1 Kamerstukken 26 643 en 26 448, nr. 714.