36 191 Regels omtrent de instelling van een adviescollege voor de algehele verbetering en beheersing van ICT-projecten en informatiesystemen bij de centrale overheid (Wet Adviescollege ICT-toetsing)

C NOTA NAAR AANLEIDING VAN HET VERSLAG

Ontvangen 27 september 2023

1. Inleiding

Het verheugt mij dat de leden van de fracties van de BBB, GroenLinks-PvdA, SP, PvdD, VVD en D66 kennis hebben genomen van het voorstel van wet omtrent de instelling van een adviescollege voor de algehele verbetering en beheersing van ICT-projecten en informatiesystemen bij de centrale overheid (Wet Adviescollege ICT-toetsing).

De leden van voornoemde fracties hebben over het wetsvoorstel verschillende vragen en opmerkingen. Ik dank de fracties voor hun inbreng in het voorlopig verslag en ga graag in deze nota naar aanleiding van het verslag in op de – hieronder gecursiveerde – vragen en opmerkingen. Hierbij is de indeling en volgorde van het verslag aangehouden. Achter de diverse vragen van de fracties is dikgedrukt het vraagnummer genoteerd, zodat bij de beantwoording van vragen ook verwezen kan worden naar de beantwoording van andere vragen. Hierbij is de indeling en volgorde van het verslag aangehouden.

2. Adviesaanvragen

Voor nieuwe ICT-projecten boven de 5 miljoen euro moet de Minister een adviesverzoek doen over de risico’s en slaagkans van een ICT-project (artikel 11, lid 1). In artikel 11, lid 5, staat dat nader advies gevraagd kan worden over de risico’s en slaagkans van een ICT-project dat is gestart. De leden van de fracties van GroenLinks-PvdA, SP en PvdD vragen de regering of er criteria zijn opgesteld om nader invulling te geven aan verzoeken om een nader advies (artikel 11, lid 5)? Zo ja, welke? Zo nee, acht de regering dit wenselijk om te bepalen? (01)

Artikel 11, lid 5 bestaat ook in het huidige instellingsbesluit (zie artikel 5) en in het instellingsbesluit van voorganger tijdelijk Bureau ICT-toetsing (BIT). Er zijn in het wetsvoorstel geen nadere criteria gesteld. De regering acht het ook niet wenselijk om dit met criteria wettelijk vast te leggen. In de huidige praktijk wordt er door bewindspersonen (en ook door het parlement) nader advies gevraagd. Dit gebeurt vooral bij de zeer grote en langlopende ICT-projecten. Voorbeelden zijn: Grensverleggende IT bij Defensie en Digitaal Stelsel Omgevingswet waar meermalen advies is gevraagd, terwijl het ICT-project al liep. Het is overigens altijd een afweging die het Adviescollege zelf maakt of een adviesaanvraag in behandeling wordt genomen, dit geldt ook voor het vragen van een nader advies.

Voor het project CHAM Common Highway Agency Rijkswaterstaat Model (CHARM) heeft het Adviescollege ICT-toetsing recent (mei 2023) een ongevraagd advies gegeven. De planning in 2015 voorzag in oplevering van het nieuwe systeem in 2018, voor 34,5 miljoen euro. Sindsdien zijn er verschillende heroriëntaties uitgevoerd en is het budget drie keer opgehoogd met gereduceerde functionaliteit. De laatste heroriëntatie van medio 2022 bedroeg een budget van 169 miljoen euro. Op basis van dit ongevraagd advies heeft de Minister inmiddels recent stevig ingegrepen. De leden van deze fracties kunnen zich voorstellen dat gezien de budgetoverschrijdingen bij dit, reeds gestarte project, door de Minister een advies van het Adviescollege ICT-toetsing was gevraagd. Kan de regering aangeven waarom dit niet is gebeurd? Wat is er te leren uit deze casus? (02)

In 2018 heeft de Minister van Infrastructuur en Waterstaat het project CHARM aangemeld voor toetsing bij het voormalig BIT. Het BIT heeft risicogerichte selectie toegepast en in 2020 geconcludeerd dat, hoewel zij het risicoprofiel van dit project hoog inschat, CHARM niet was geselecteerd voor toetsing. Reden hiervoor was dat – gezien de beschikbare capaciteit van het BIT – een ander aangemeld project van Rijkswaterstaat met eveneens een hoog risicoprofiel de voorkeur kreeg voor toetsing.

Naar aanleiding van verschillende signalen bij het Adviescollege in 2021 over de beheersbaarheid van het project CHARM is er, na overleg met het Adviescollege, door CIO IenW een CIO-oordeel uitgevoerd. Het Adviescollege zag naar aanleiding hiervan nog mogelijke technische en financiële risico's die verder uitgediept konden worden en besloot tot een onderzoek uit eigen beweging.

Adviezen van het Adviescollege en CIO-oordelen zijn onderdeel van een uitgebreider kwaliteitssysteem voor projecten. Naast dit soort toetsen worden regelmatig externe kwaliteitstoetsen uitgevoerd om de slaagkans van projecten te vergroten. Voor projecten die niet geselecteerd worden voor toetsing door het Adviescollege is de les uit deze casus dat ministeries alert blijven op signalen over de beheersing. Dit is een belangrijke indicatie voor interventie. Deze signalen kunnen, zoals ik in vraag 16 en 24 verder uiteenzet, ook komen vanuit andere rollen binnen de «three lines model».¹ Denk aan de departementale CIO, CIO Rijk, de Auditdienst Rijk, de Algemene Rekenkamer of een externe partij.

In het jaarverslag 2022 van het Adviescollege ICT-toetsing staat te lezen dat er geen adviesaanvragen zijn gedaan in het kader van de uitbreiding van de taak om de doeltreffendheid en doelmatigheid van het onderhoud en beheer van informatiesystemen te onderzoeken. Kan de regering aangeven waarom er geen aanvragen zijn ingediend? Mogelijk is dit onvoldoende bekend op de verschillende departementen? (03)

Er geldt geen aanmeldplicht voor onderhoud en beheerprojecten.² Hierdoor is er geen overzicht zoals dat wel geldt voor de risico’s en slaagkans van ICT-projecten. Het Adviescollege ICT-toetsing voert jaarlijks een inventarisatie uit bij alle departementen, de politie en de rechtspraak. Hierin wordt verzocht om aan te geven welke adviesaanvragen men verwacht in te dienen. In die uitvraag wordt ook expliciet gevraagd naar adviesaanvragen over beheer en onderhoud.

Ik wil het inzicht in het onderhoud en beheer verbeteren. Het Rijks ICT-dashboard gaat meer ICT-activiteiten laten zien rondom onderhoud en beheer, waardoor er meer informatie beschikbaar komt over deze activiteiten.

3. Evaluatie

In de wet staat in artikel 13 dat de wet na 4 jaar wordt geëvalueerd. De leden van de fracties van GroenLinks-PvdA, SP en PvdD hechten aan een onafhankelijke evaluatie. Mede gezien de situatie rondom de vorige evaluatie van het BIT (2018) hebben zij hierover enkele vragen. Is de regering het met de leden eens dat evaluatie onafhankelijk moet worden uitgevoerd? Zo ja, hoe is de onafhankelijkheid in het voorliggend wetsvoorstel geborgd? (04)

In dit wetsvoorstel is bepaald dat beide kamers der Staten-Generaal binnen vier jaar na de inwerkingtreding van het wetsvoorstel een verslag ontvangen over de doeltreffendheid en de effecten daarvan. Vervolgens zal ik het wetsvoorstel elke vier jaar opnieuw evalueren en daarvan een verslag aan beide Kamers doen toekomen.

Zoals ik ook eerder in de nota naar aanleiding van het verslag aan de Tweede Kamer van 2 mei jl. heb geschreven, is het op dit moment te vroeg om vooruit te lopen op de definitieve criteria die in de evaluatie zullen worden meegenomen.³ Dit geldt tevens voor de wijze van inrichting van de evaluatie. De Minister van BZK blijft stelselverantwoordelijk over de wetgeving die nodig is voor de instelling en taakopdracht van het Adviescollege, maar de regering onderschrijft het belang van een onafhankelijke evaluatie.⁴ Om de inrichting van de evaluatie zoveel mogelijk onafhankelijk te laten plaatsvinden, zou een begeleidingscommissie met onafhankelijke experts door de Minister van BZK, geadviseerd door het Adviescollege, benoemd kunnen worden en zou de evaluatie uitgevoerd kunnen worden door een extern bureau.

In het instellingsbesluit van het voormalig BIT, stond vermeld dat de evaluatie uitgevoerd moest worden door een onafhankelijke instantie. Waarom is dit vereiste niet meegenomen in de voorliggende wet? (05)

Vooropgesteld wil ik meegeven dat bij een evaluatie altijd gelet wordt op de onafhankelijkheid en de regering onderschrijft het belang hiervan. Het vereiste dat de evaluatie onafhankelijk moest worden uitgevoerd stond expliciet in het Instellingsbesluit van het voormalig BIT omdat het BIT toen volledig onder de ministeriële verantwoordelijkheid viel. In de toelichting op het Instellingsbesluit BIT was opgenomen dat de evaluaties van het BIT zouden moeten wijzen in hoeverre de doelstelling van het inrichten van het BIT behaald wordt en of opheffing geboden is.⁵ Het opnemen van een dergelijke vereiste van onafhankelijkheid van de evaluatie was toen nodig om te voorkomen dat het ministerie zichzelf zou evalueren. Nu het Adviescollege met dit wetsvoorstel onafhankelijk en een permanente status krijgt, is het opnemen van een dergelijke vereiste voor de evaluatie niet meer strikt noodzakelijk. Zoals ik de vorige vraag (04) heb beantwoord, onderschrijf ik echter dat de inrichting van de evaluatie vooralsnog zoveel mogelijk onafhankelijk behoort plaats te vinden. De bewoording van de evaluatiebepaling in dit wetsvoorstel sluit aan bij andere zelfstandige bestuursorganen en adviescolleges met een onafhankelijke taak en laat onverlet dat de evaluatie onafhankelijk zal worden uitgevoerd.

In het instellingsbesluit van het voormalig BIT stond vermeld dat de toezichtraad BIT de opdracht geeft voor de evaluatie. Waar is het opdrachtgeverschap van de evaluatie, bedoeld in artikel 13 van de voorliggende wet, belegd? (06)

Op grond van artikel 13 van het wetsvoorstel is de Minister van BZK de opdrachtgever van de wetsevaluatie. Naast de wetsevaluatie is er een andere regeling, die betrekking heeft op de (evaluatie) verslagen die het Adviescollege zelf uitbrengt. Het gaat om de regeling in de Kaderwet adviescolleges, die in artikel 12 van het wetsvoorstel van toepassing is verklaard. Die regeling houdt onder andere in dat het Adviescollege op verzoek van de Minister van BZK, maar ten minste iedere vier jaar, een evaluatieverslag uitbrengt waarin aandacht wordt besteed aan zijn taakvervulling. Dit evaluatieverslag en het standpunt van de Minister van BZK daarop worden met de beide Kamers gedeeld. Als het verslag van betekenis is voor de wetsevaluatie kan dit als inbreng dienen voor de wetsevaluatie.

4. Benoeming leden Adviescollege ICT-toetsing

In deze wet staat in artikel 2 beschreven hoe de benoeming van de leden van het Adviescollege ICT-toetsing plaatsvindt. De leden van de fracties van GroenLinks-PvdA, SP en PvdD hechten zeer aan de onafhankelijkheid van deze leden. De wijze van benoeming kan van invloed hierop zijn. Welke waarborgen heeft de regering in dit wetsvoorstel of anderszins getroffen om maximaal te zorgen voor onafhankelijkheid van de leden van het Adviescollege ICT-toetsing? (07)

Door het Adviescollege permanent bij wet op afstand te plaatsen wordt er voor gezorgd dat de afzonderlijke leden onafhankelijk zijn. In artikel 2 van het wetsvoorstel is in dit verband bepaald dat ambtenaren of andere personen die werkzaam zijn onder de verantwoordelijkheid van een Minister, een publiekrechtelijk zelfstandig bestuursorgaan, de Raad voor de rechtspraak of de politie niet kunnen worden benoemd tot voorzitter of lid van het Adviescollege. De benoeming van de personen tot lid van het Adviescollege zou namelijk afbreuk doen aan de onafhankelijkheid van de advisering en kunnen leiden tot ongewenste vermenging van taken en verantwoordelijkheden van de ambtenaren.⁶ Daarnaast wordt in artikel 4 gesteld dat leden op persoonlijke titel zitting nemen en zonder last en ruggenspraak hun taken uitoefenen. Ook dient het Adviescollege zelf een integriteitscode op te stellen.

Voor wat betreft de inrichting van de sollicitatieprocedure van leden van het Adviescollege wordt in artikel 2, vijfde lid, van het wetsvoorstel aansluiting gevonden bij meerdere inhoudelijke en procedurele vereisten bij benoemingen uit de Kaderwet adviescolleges. Hoewel de Minister van BZK vacatures openbaar maakt, wordt de voordracht voor de benoemingen altijd besproken in de ministerraad. Bovendien volgt uit de huidige procesafspraken dat de voorzitter van het Adviescollege de voorzitter is van de sollicitatiecommissie. Deze commissie bestaat verder uit een lid van Auditdienst Rijk, CIO Rijk en een ander lid van het Adviescollege. De sollicitatieprocedure van leden van het Adviescollege wordt derhalve uitgevoerd onder leiding van het Adviescollege.

In het instellingsbesluit van het voormalig BIT stond vermeld dat de toezichtsraad bestond uit 3 leden: een lid op voordracht van de Auditdienst Rijk; een lid op voordracht van de Koninklijke Nederlandse Academie van Wetenschappen; een lid op voordracht van het CIO-platform Nederland. Is overwogen om een soortgelijke werkwijze te hanteren voor de selectie en benoeming van de leden van het Adviescollege ICT-toetsing? (08)

Die overweging heeft zeker een rol gespeeld bij de inrichting van het benoemingsproces voor de selectie en benoeming van de leden van het Adviescollege ICT-toetsing. Mijn ambtsvoorganger heeft in diens brief van 20 december 2019, alles overwegende, gekozen voor een permanent adviescollege met een wettelijke grondslag.⁷ Door de keuze voor een adviescollege is zoveel mogelijk aansluiting gezocht bij de Kaderwet Adviescolleges, dus ook bij de daar geldende benoemingsprocedure. Dit komt de rechtszekerheid en de eenvoud (vergelijkbaarheid van adviescolleges) ten goede.

De huidige sollicitatieprocedure wordt uitgevoerd onder leiding van de voorzitter van het Adviescollege. Daarbij wordt ook rekening gehouden met een verdeling over accountancy, wetenschap en bedrijfsleven (CIO’s). Deze drie profielen zijn nu goed vertegenwoordigd in het Adviescollege.

5. Profiel leden Adviescollege ICT-toetsing

De adviezen van het Adviescollege ICT-toetsing zijn regelmatig kritisch, waardoor deze niet altijd met luid gejuich ontvangen worden. Het is daarom van belang dat de leden van het Adviescollege ICT-toetsing in staat zijn autonoom te functioneren. Deelt de regering deze mening van de leden van de fracties van GroenLinks-PvdA, SP en PvdD? Zo ja, welke waarborgen heeft de regering hiertoe in het kader van de benoeming van de leden van het Adviescollege ICT-toetsing in dit wetsvoorstel of anderszins getroffen?» (09)

Ik verwijs hierbij naar het antwoord op vraag 7.

De leden van de VVD-fractie vragen de regering hoe zij van plan is om te borgen dat actuele praktijkkennis uit het bedrijfsleven ten aanzien van ICT in ruimte mate aanwezig zal zijn? (10) Gegeven het feit dat het wetsvoorstel niet voorziet in een beperking van de zittingstermijn van leden van het Adviescollege, hoe wil de regering de bij dit soort colleges gebruikelijke personele doorstroom borgen? (11)

Het wetsvoorstel volgt ter zake de bepalingen in de Kaderwet adviescolleges waarin de waarborgen voor werving van deskundigheid is geregeld. Het lidmaatschap van het college betreft een deeltijdfunctie van 0,2 fte voor leden en 0,3 fte voor de voorzitter, wat volop ruimte biedt om op praktijkkennis buiten de ICT van de rijksoverheid door te ontwikkelen. Bovendien voorziet het wetsvoorstel wel degelijk een beperking in de zittingstermijn van leden door aan te geven dat leden ten hoogste voor vier jaar worden benoemd en slechts twee keer voor vier jaar kunnen worden herbenoemd (zie artikel 2, derde lid van het wetsvoorstel).

6. Onpartijdigheid Adviescollege ICT-toetsing

De leden van de BBB-fractie vragen de regering in hoeverre het Adviescollege ICT onafhankelijk van het ministerie werkt. (12)

Er is gekozen voor een Adviescollege waarbij de waarborgen uit de Kaderwet adviescolleges van overeenkomstige toepassing zijn. Dit betekent dat de wetgever de instelling en taakopdracht van het Adviescollege bepaalt.⁸ Daarnaast kan het Adviescollege op grond van de Kaderwet adviescolleges en dit wetsvoorstel onafhankelijk onderzoeken uitvoeren en tot een advies komen.

Artikel 4 heeft betrekking op de onpartijdigheid. De leden van de fracties van GroenLinks-PvdA, SP en PvdD hebben daarover de volgende vragen. Er is sprake van «betrokkenheid». Waarom wordt niet de term «belang» gehanteerd? Is het mogelijk dat iemand wel een (in)direct belang heeft bij een advies, maar geen (in)directe betrokkenheid? (13)

In de memorie van toelichting op het wetsvoorstel wordt gesproken over de «incompatibiliteit» bij de taakuitoefening door een van de leden. Hieronder versta ik zowel dat een lid betrokken kan zijn, als belang kan hebben. Ook uit de memorie van toelichting op de Kaderwet adviescolleges volgt dat belang, betrokkenheid, kennis en deskundigheid in elkaars verlengde kunnen liggen.⁹ Net als in artikel 11 van de Kaderwet adviescolleges beoogt de voorgestelde bepaling aan te geven dat leden als deskundigen en dus op persoonlijke titel en op grond van hun persoonlijke kwalificaties worden benoemd en hun taken uitvoeren.¹⁰ Wanneer er sprake is van belang bij een advies is er altijd sprake van betrokkenheid en onthoudt een collegelid zich bij de beraadslagingen en besluiten over het advies. Desalniettemin kan het Adviescollege in de integriteitscode dit begrip en de procedure verder verduidelijken.

Waarom wordt gesproken over betrokkenheid «bij een adviesaanvraag» en niet bij «het advies»? Is het mogelijk dat iemand wel een belang kan hebben bij een bepaalde uitkomst van een advies maar op zich niet bij een adviesaanvraag? (14)

In artikel 4, tweede lid, wordt gesproken over adviesaanvraag, dit impliceert mede dat een collegelid zich zal moeten weerhouden van enige bemoeienis bij het verdere adviestraject, zoals het uitbrengen van een advies en het stemmen daarover. Ook indien later gedurende het adviestraject blijkt dat een collegelid directe of indirecte betrokkenheid bij de adviesaanvraag heeft, zal hij zijn bemoeienis moeten staken. In het reglement van orde van het Adviescollege staat reeds dat een lid niet deelneemt aan de beraadslaging of besluitvorming over een advies waarbij hij of zij persoonlijk is betrokken.¹¹

Kunnen zich met betrekking tot een lid omstandigheden voordoen die «schijn van partijdigheid» opleveren? Zo nee, waarom niet? Zo ja, is artikel 4, tweede lid dan op zo’n geval van toepassing en waar blijkt dat uit? (15)

Uit de bewoording van artikel 4, tweede lid, van het wetsvoorstel volgt dat een collegelid niet betrokken kan zijn bij een adviesaanvraag indien uit de feiten en omstandigheden blijkt dat een lid direct of indirect betrokkenheid heeft bij een adviesaanvraag. Van een dergelijke betrokkenheid kan sprake zijn indien een collegelid direct of indirect belangen heeft bij het ICT-project of het informatiesysteem of partij(en) waar de adviesaanvraag op ziet. De bepaling in artikel 4, eerste lid, dat leden zitting hebben op persoonlijke titel, heeft nu juist tot doel dat leden als deskundigen op het gebied van ICT op persoonlijke titel en op grond van hun persoonlijke kwalificaties worden benoemd en hun functie dan ook op onafhankelijke wijze uitoefenen.¹² Om de betrokkenheid vast te stellen, kijkt het Adviescollege of er daadwerkelijk indirect of direct sprake is van feiten en omstandigheden. De «schijn van partijdigheid» moet dus objectief gerechtvaardigd zijn.

De Algemene Rekenkamer, de Auditdienst Rijk, de Raad van State, de Autoriteit Persoonsgegevens en het Adviescollege ICT-toetsing kunnen allen een rol spelen bij het toetsen van ICT-projecten en informatiesystemen. De leden van de D66-fractie vragen de regering hoe de taken en verantwoordelijkheden zijn verdeeld tussen deze instellingen/organisaties/organen? (16)

De verschillende controleorganen komen bij de uitvoering van hun wettelijke taken gelijksoortige vraagstukken tegen. Toetsende rollen binnen een ministerie zijn georganiseerd volgens het «three lines model» van het Instituut van Internal Auditors¹³ en zoals verwoord in verantwoordingsonderzoeken van de Algemene Rekenkamer.¹⁴ De derdelijns controle wordt uitgevoerd door de interne auditor, de Auditdienst Rijk. Wettelijke controletaken liggen ook buiten een ministerie bij organisaties die vanuit verschillende perspectieven ICT-projecten en informatiesystemen kunnen of moeten toetsen. Een externe analyse op ICT-aspecten kan gedaan worden door de Algemene Rekenkamer, de Raad van State, de Autoriteit Persoonsgegevens of het Adviescollege ICT-toetsing waarbij de aard van het onderzoek sterk verschilt om overlap ook zo veel mogelijk te voorkomen. Daarnaast kan afhankelijk van de onderzoeksvraag of de fase waarin een ICT-traject zich bevindt een ministerie ook zelfstandig een beroep doen op externe organisaties, ook buiten het rijk.

De Autoriteit Persoonsgegevens is de bevoegde toezichthouder als het gaat om het toezicht op persoonsgegevens in Nederland. De andere controleorganen zijn, conform hun respectievelijke wettelijke taken, verantwoordelijk voor het toezicht binnen hun eigen domein waarvoor zij het mandaat hebben.

7. Benoeming Secretaris-Directeur en overige medewerkers

In deze wet staat in artikel 6 beschreven dat de Minister voorziet in een ambtelijk secretariaat, met aan het hoofd een secretaris-directeur. Over het vertrek van het toenmalig hoofd van het BIT zijn enkele artikelen in de media verschenen, waarin de complexiteit van deze functie beschreven wordt. De leden van de fracties van GroenLinks-PvdA, SP en PvdD hechten zeer aan een onafhankelijke positie van het ambtelijk secretariaat. Daarom stellen zij de volgende vragen.

Welke waarborgen heeft de regering, in dit wetsvoorstel of anderszins, getroffen om maximaal te zorgen voor onafhankelijkheid van het ambtelijk secretariaat en in het bijzonder de secretaris-directeur? (17)

De waarborgen die zijn getroffen om te zorgen voor onafhankelijkheid van het ambtelijk secretariaat en in het bijzonder de secretaris-directeur volgen uit artikel 15, tweede en vijfde lid, van de Kaderwet adviescolleges, dat in artikel 6, derde lid, van het onderhavige wetsvoorstel van overeenkomstige toepassing is verklaard. Dit betekent dat de Minister van BZK de secretaris-directeur en de overige medewerkers alleen na overleg met de voorzitter kan benoemen, bevorderen, schorsen en ontslaan. Daarnaast zijn de secretaris-directeur en de medewerkers voor hun werkzaamheden uitsluitend verantwoording verschuldigd aan het Adviescollege.¹⁵ Gezien de positie van de secretaris-directeur zal de Minister van BZK de arbeidsovereenkomst met hem of haar in samenspraak met de voorzitter van het Adviescollege sluiten, wijzigen en beëindigen. Tot slot kan het Adviescollege in het Reglement van orde en de integriteitscode nadere waarborgen opnemen met betrekking tot de interne procedures en werkwijzen van het ambtelijk secretariaat.

Ook de wijze van selectie, benoeming en de arbeidsverhoudingen kunnen invloed hebben op de (ervaren) onafhankelijkheid van de secretaris-directeur en de overige medewerkers. Hoe draagt de wijze van selectie, benoeming en de arbeidsverhoudingen bij aan de gewenste onafhankelijkheid? (18)

Bij de selectie van de secretaris-directeur wordt de voorzitter van het Adviescollege betrokken. Ten aanzien van de overige medewerkers is de secretaris-directeur door de Minister van BZK gemandateerd om de wijze van selectie te bepalen en de medewerkers te benoemen, bevorderen, schorsen en ontslaan. Daarnaast zijn de secretaris-directeur en de medewerkers bij de uitoefening van hun werkzaamheden uitsluitend verantwoording verschuldigd aan het Adviescollege.¹⁶

Welke rol/verantwoordelijkheid heeft het adviescollege ICT-toetsing bij de selectie en benoeming van de secretaris-directeur? (19)

Bij de selectie van de secretaris-directeur wordt de voorzitter van het Adviescollege betrokken. De benoeming van de secretaris-directeur door de Minister van BZK vindt plaats in samenspraak met de voorzitter van het Adviescollege.

8. Budget en capaciteit

De leden van de fracties van GroenLinks-PvdA, SP en PvdD vragen zich af of de hoogte van beschikbare budget voor het Adviescollege ICT-toetsing voldoende is om haar huidige en aanvullende taak goed te kunnen uitvoeren. (20)

Het Adviescollege ICT-toetsing ontvangt jaarlijks € 5,4 miljoen en hier is nog niet volledig gebruik van gemaakt en wil naar dit kader toe groeien.¹⁷ Het Adviescollege kan derhalve zijn huidige en aanvullende taken nu invullen. De wet bepaalt dat ICT-projecten boven € 5 miljoen worden aangemeld. Het is aan het Adviescollege zelf om te bepalen welke verzoeken om advies in behandeling worden genomen. Het Adviescollege doet daar een risicoselectie voor. Capaciteit speelt ook een rol. Het Adviescollege wil groeien in de beschikbare capaciteit, wat ik graag ondersteun. De collegeleden hebben in de technische briefing van 15 september 2022 aangegeven dat zij willen richten op een gecontroleerde groei, wat een geleidelijk proces is en dus tijd kost.¹⁸ Niet alleen is er een tekort van ICT-kennis op de arbeidsmarkt, maar ook moeten medewerkers goed ingewerkt worden voor het behouden van de kwaliteit en continuïteit in het opstellen van de adviezen.

In de periode 2015–2022 is 44% van de aanvragen niet in behandeling genomen. In het jaarverslag 2022 van het Adviescollege ICT-toetsing wordt een onderbesteding gemeld. Als motivatie wordt genoemd minder kosten voor scholingen opleiding van medewerkers en een nog niet volledige invulling van de formatie van het secretariaat. In het jaarverslag is niet te zien wat de omvang is van de onderbesteding van het budget 2022. Kan de regering dat inzichtelijk maken? (21)

In 2022 is € 3,5 miljoen uitgegeven. Daarmee was de onderbesteding € 1,9 miljoen ten opzichte van het budgettaire kader van € 5,4 miljoen.

Uit alle jaarverslagen van het Adviescollege blijkt dat niet alle adviesverzoeken uitgevoerd kunnen worden. Er wordt daarom een risico-inventarisatie gemaakt om keuzes te maken welke adviesaanvragen wel en welke niet worden opgepakt. Gezien de taakuitbreiding is te verwachten dat er komende jaren nog steviger geprioriteerd moet worden. Mede hierdoor adviseert de politie, in reactie op het conceptwetsvoorstel om het takenpakket niet uit te breiden. Gezien het maatschappelijk belang van de adviezen van het Adviescollege, de daarmee samenhangende potentiële besparing van kosten en het effect op de kwaliteit van de ICT-kennis binnen de Rijksdienst is het belangrijk om de gevaagde adviezen ook daadwerkelijk te kunnen uitvoeren. Hoe beoordeelt de regering deze situatie? Is de regering bereidt om de beide Kamers actief te informeren over een verzoek tot ophoging van het budget van het Adviescollege ICT-toetsing? (22)

Ik verwijs hierbij naar het antwoord op vraag 20. Overigens heb ik in het debat van 17 mei 2023 bij de Tweede Kamer aangegeven dat ik met het Adviescollege in gesprek zal gaan indien het in de toekomst nodig blijkt het budget op te willen hogen.¹⁹ Dat is op dit moment nog echter niet nodig.

9. Ongevraagd advies

Het Adviescollege ICT-toetsing kan, op basis van Artikel 7, lid 3, ongevraagd advies geven op 2 van de 3 deelgebieden verwoord in artikel 7, lid 1a, 1° t/m 3°. Waarom kan Adviescollege ICT-toetsing geen ongevraagd advies geven over artikel 7, lid 2, 1°: «een doeltreffende en doelmatige inrichting en toepassing van een informatiesysteem ter uitvoering van beleid of regelgeving», zo vragen de leden van de fracties van GroenLinks-PvdA, SP en PvdD. (23)

Er is hier de keuze gemaakt voor een duidelijk afbakening waarover het Adviescollege – ongevraagd – advies kan geven, dat betreft de risico’s en slaagkans van ICT-projecten en de doeltreffendheid en doelmatigheid van onderhoud- en beheeractiviteiten van een informatiesysteem, zoals in het voorgestelde artikel 7 omschreven. Er is gekozen om geen ongevraagd advies te geven over de doelmatigheid en doeltreffendheid van ICT op beleid en regelgeving omdat dit niet primair bij de rol van collegeleden als – ICT-experts – past. Dat vraagt immers ook het vermogen om maatschappelijke belangenafwegingen te maken die verder gaan dan het terrein van ICT en digitalisering. Desalniettemin kan het Adviescollege advies hierover uitbrengen indien de Staten-Generaal of de desbetreffende Minister hierom vraagt.

10. Relatie met CIO’s

In het jaarverslag 2022 van het Adviescollege ICT-toetsing lezen de leden van de fracties van GroenLinks-PvdA, SP en PvdD dat er tussen de CIO’s afspraken zijn gemaakt dat, voorafgaand aan een aanvraag voor advies aan het Adviescollege, een «departementaal CIO-oordeel» wordt opgesteld. Waar heeft dit CIO-oordeel betrekking op? Betreft dit een oordeel op de concept-adviesaanvraag? Zo nee, waarop dan wel? (24)

Het CIO-oordeel is een kwaliteitstoets op de grote ICT-activiteit zelf. Het is geen oordeel op de concept-adviesaanvraag aan het Adviescollege ICT-toetsing. Met een CIO-oordeel geeft een CIO een beoordeling en aanbevelingen aan de opdrachtgever van een ICT-activiteit om de kans te vergroten dat het vervolg en de afronding slagen. Dit zorgt voor beter beheersbare ICT-activiteiten, een hogere slaagkans van de realisatie van de beoogde resultaten en een groeiend lerend vermogen binnen de organisatie zelf.

Een grote ICT-activiteit kan niet starten zonder een positief oordeel van een CIO over dat traject.²⁰ Een CIO-oordeel wordt daarom gegeven bij de start, bij faseovergangen en bij andere kritische momenten van een ICT-activiteit.

11. Hoor en wederhoor

In artikel 3, lid 5 van het voormalig instellingsbesluit BIT stond vermeld: «De Minister van Binnenlandse Zaken en Koninkrijksrelaties zendt het conceptadvies van het BIT aan de Minister die het aangaat. Na een termijn van twee weken ten behoeve van hoor en wederhoor zendt de Minister van Binnenlandse Zaken en Koninkrijksrelaties het definitieve advies aan de Minister die het aangaat». De voorliggende wet bevat geen bepalingen over hoor en wederhoor. Wat is de gangbare praktijk ten aanzien van hoor en wederhoor? (25)

Allereerst hecht ik er aan te benadrukken dat met dit wetsvoorstel het Adviescollege voor zijn taakuitoefening niet langer ressorteert onder het Ministerie van BZK en derhalve zonder tussenkomst van de Minister van BZK conceptadviezen worden verzonden aan de Minister die het aangaat of het parlement. Nu het Adviescollege op afstand wordt geplaatst, is het passend dat het Adviescollege ook gaat over de eigen werkwijze, waaronder het plegen van hoor en wederhoor. Het Adviescollege hier enige ruimte bieden past bij de professionaliteit van deze organisatie. Dit is ook bevestigd door de Raad van State die in haar advies over dit wetsvoorstel heeft opgemerkt dat een dergelijke verplichting niet wettelijk vastgelegd hoeft te worden.²¹ Om die reden is de betreffende bepaling over hoor en wederhoor naar aanleiding van dit advies van de Raad van State uit het wetsvoorstel geschrapt.²² In de praktijk blijft dus het uitgangspunt dat partijen zich zullen inspannen om te reageren op een conceptadvies binnen de twee weken termijn die het Adviescollege daarvoor stelt. Daarnaast worden er in het algemeen werkafspraken gemaakt binnen het CIO-stelsel om goed contact te onderhouden.²³

Meer in algemene zin blijft het uitgangspunt dat adviescolleges zich voor inlichtingen kunnen wenden tot door Onze Minister aangewezen ambtenaren (zie artikel 19, eerste lid, van de Kaderwet adviescolleges). Overigens vloeit dit reeds voort uit de informatieplicht in artikel 3:7 van de Algemene wet bestuursrecht.

Om de schijn van afhankelijkheid te voorkomen achten de leden van de fracties van GroenLinks-PvdA, SP en PvdD het noodzakelijk om transparant te zijn over de wijze waarop hoor en wederhoor plaatsvinden. Deelt de regering deze opvatting? Zo ja, hoe kan hierin voorzien worden? Is overwogen om conceptadviezen, hoor en wederhoor openbaar te maken? Zo ja, waarom is hiervoor niet gekozen? Zo nee, waarom niet? (26)

De werkwijze voor hoor en wederhoor en omgang met concepten is aan het Adviescollege dat ook hierin onafhankelijk kan opereren. In oktober 2022 zijn hierover Kamervragen gesteld in het kader van een advies over het Digitaal Stelsel Omgevingswet welke door mijn collega, de Minister voor VRO, zijn beantwoord. Daarin benadrukt het adviescollege het belang van vertrouwelijkheid van de hoor en wederhoor fase voor de objectieve waarheidsvinding. Vanuit het onderzoeksbelang kan het Adviescollege dus niet toezeggen de uitkomsten van de hoor en wederhoor procedure openbaar te maken.²⁴ Zoals uit de beantwoording van de vorige vraag (25) ook blijkt, worden er hierover momenteel werkafspraken gemaakt tussen de verschillende CIO’s.

12. Openbaarheid adviezen

De leden van de BBB-fractie vragen de regering waarom er bewust voor is gekozen om de adviezen van het Adviescollege niet onverwijld openbaar te maken? In het instellingsbesluit BIT was de openbaarheid van adviezen, in artikel 4, lid 4, 5 en 6, ruimer geregeld dan in het voorliggend wetsvoorstel. Alle adviezen werden, na vier weken, openbaar gemaakt door het BIT en door de Minister verzonden aan de Tweede Kamer. In de voorliggende wet is de openbaarheid van adviezen beperkt tot het openbaar maken van de adviezen op verzoek van de een van de beide Kamers (artikel 7, lid a). Waarom is gekozen voor deze inperking? Graag een toelichting. (27)

Artikel 9, eerste lid, van het wetsvoorstel bepaalt dat adviezen als bedoeld in artikel 7, eerste lid onderdeel a, binnen twee weken openbaar dienen te worden gemaakt. Deze bepaling geldt voor alle adviezen die door het Adviescollege zijn uitgebracht aan de Minister die verantwoordelijk is voor de ICT-voorzieningen, een zelfstandig bestuursorgaan, de politie, de Raad voor de rechtspraak of de Staten-Generaal.²⁵ Zoals tijdens het debat in de Tweede Kamer van 17 mei j.l. aangegeven, wordt met deze termijn de gelegenheid geboden om het advies te kunnen bestuderen en van een beleidsreactie te kunnen voorzien.²⁶ Het Adviescollege maakt deze adviezen uit eigener beweging openbaar op zijn website; dit hoeft niet middels een verzoek openbaar te worden gemaakt. Hiermee wordt aangesloten bij het openbaarmakingsregime uit de Wet open overheid (hierna: Woo). Overigens stuurt het Adviescollege adviezen die het aan de Staten-Generaal uitbrengt naar de Voorzitters van de Kamers die het openbaar zullen maken via plaatsing als Kamerstuk. Met deze regeling wordt aangesloten bij artikel 3.3 van de Woo.

Hoe verhoudt deze inperking zich tot de Wet open overheid en de doelstelling hiervan, zo vragen de leden van de fracties van GroenLinks-PvdA, SP en PvdD. (28)

Gelet op de beantwoording van voorgaande vraag (27) wordt met dit wetsvoorstel juist aansluiting gevonden bij de bepalingen uit de Wet open overheid en wordt er niet vanaf geweken.

13. Overige

De leden van de fracties van GroenLinks-PvdA, SP en PvdD hebben voorts nog de volgende vragen over het wetsvoorstel. Hoe verdraagt zich artikel 8, eerste lid met de omschrijving van de taak in artikel 7, eerste lid, aanhef en onder a? Is het college bevoegd om een verzoek als bedoeld in artikel 7, eerste lid, aanhef en onder a niet in behandeling te nemen? Zo nee, wat is dan de precieze betekenis van het bepaalde in artikel 8, eerste lid? Zo ja, waarom is die bevoegdheid tot niet in behandeling nemen toegekend? (29)

Afgelopen jaar heeft het Adviescollege 31 adviesaanvragen ontvangen, waarvan 18 zijn onderzocht en leidden tot een advies.²⁷ De keuze voor het Adviescollege om een adviesaanvraag al dan niet in behandeling te nemen, verdisconteerd in artikel 8, eerste lid van het wetsvoorstel, wordt gebaseerd op een risico-inschatting. Deze keuze is nodig omdat het aantal adviesaanvragen hoger is dan de beschikbare capaciteit en omdat niet elke aanvraag een onderzoek rechtvaardigt. Het Adviescollege baseert de risico-inschatting op een aantal aspecten, zoals (i) het potentiële leereffect van een advies, (ii) de omvang van de aanvraag, (iii) de maatschappelijke impact, (iv) signalen dat een project of organisatie mogelijk «in zwaar weer» verkeert.²⁸

Dit betekent derhalve dat adviesaanvragen ingestuurd door het parlement, de desbetreffende Minister die verantwoordelijk is voor de ICT-voorziening of een informatiesysteem, een zelfstandig bestuursorgaan, de korpschef van de politie of de voorzitter van de Raad voor de rechtspraak niet altijd door het Adviescollege in behandeling zullen worden genomen.

Wie bepaalt de termijn waarbinnen het college op een adviesverzoek dient te beslissen? (30)

Het is aan het Adviescollege zelf om de termijn te bepalen waarbinnen op een adviesverzoek wordt besloten. Het Adviescollege hanteert hier nu geen vaste termijn voor omdat dat besluit afhankelijk is van wanneer de benodigde informatie voor de risico-inschatting beschikbaar is. Deze informatie hangt samen met de adviesaanvraag.

Wat is het rechtskarakter van het besluit van het college tot vaststelling van het toetsingskader als bedoeld in artikel 7, vijfde lid? Wat is het rechtskarakter van het naschrift als bedoeld in artikel 8, vierde lid? (31)

Het toetsingskader wordt beschouwd als een interne regel, die transparantie biedt aan partijen die een adviesaanvraag hebben ingediend. Het geeft duidelijkheid aan deze partijen, maar het betreft een niet bindend document waardoor zij hier geen rechtsgevolg aan kunnen ontlenen. Voor het naschrift, evenals het advies zelf, geldt hetzelfde. Het Adviescollege neemt namelijk geen besluiten waaraan rechtsgevolgen kunnen worden ontleend, maar adviseert. De besluitvorming over informatiesystemen en ICT-projecten ligt bij de initiërende partijen, terzake blijft de ministeriële verantwoordelijkheid onverkort gelden. Hierdoor kan desgewenst ten aanzien van dergelijke besluitvorming, waaronder ook wordt verstaan de kabinetsreactie op de adviezen van het Adviescollege, verantwoording worden afgelegd in het parlement.²⁹

Waarom is uitdrukkelijk bepaald dat het naschrift niet als «advies» wordt aangemerkt? (32)

Het naschrift kan worden beschouwd als addendum bij het advies. Het geeft het Adviescollege de gelegenheid om naar aanleiding van de door de verantwoordelijke Minister voorgestelde maatregelen ter opvolging van een advies een nadere duiding te geven. Het naschrift is uitdrukkelijk geen zelfstandig «advies», zodat de Minister die verantwoordelijk is voor het ICT-project of het informatiesysteem, waarop het advies betrekking heeft, niet verplicht is over het naschrift een aparte kabinetsreactie te sturen.

Algoritmes en automatisch besluitvorming kunnen onderdeel zijn de ICT-projecten en informatiesystemen waar het Adviescollege een advies over geeft. De regering heeft in de memorie van toelichting en de nota naar aanleiding van het verslag aan de Tweede Kamer aangegeven dat expertise over algoritmes in het college wenselijk is. Welke rol heeft het Adviescollege bij de toetsing van de rechtmatige inzet van algoritmes en automatische besluitvorming in ICT-projecten en informatiesystemen? Hoe is de rolverdeling met de Autoriteit Persoonsgegevens en andere toezichthouders op algoritmes, zo vragen de leden van de fractie van D66. (33)

Het Adviescollege ICT-toetsing richt zich op de beheersing van ICT-projecten en informatiesystemen. In het toetsingskader van het Adviescollege zijn geen afzonderlijke risicogebieden onderkend die toezien op privacy en op toezicht op algoritmes. Deze aspecten zijn onderdeel van de eisen aan systemen en de realisatie daarvan en worden door het Adviescollege ICT-toetsing vanuit dat perspectief beschouwd.

De Autoriteit Persoonsgegevens (AP) is de bevoegde toezichthouder als het gaat om het toezicht op persoonsgegevens in Nederland. De andere toezichthouders zijn, conform hun respectievelijke wettelijke taken, verantwoordelijk voor het toezicht binnen hun eigen domein waarvoor zij het mandaat hebben, ook wanneer algoritmes worden gebruikt. De verschillende toezichthouders komen bij de toepassing van hun wettelijke bevoegdheden gelijksoortige vraagstukken op het gebied van algoritmes tegen. De algoritmetoezichthouder, die in 2023 is gestart in de vorm van de Directie Coördinatie Algoritmes (DCA) bij de AP, versterkt de samenwerking tussen toezichthouders, deelt domein-overstijgende risico’s met betrekking tot algoritmes en streeft naar uniforme normuitleg (en guidance), in samenspraak met de andere betrokken toezichthouders. Deze uniforme normuitleg en guidance doet niets af aan de onderscheidende mandaten die verschillende toezichthouders hebben, ook niet op algoritmegebied.

De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties, A.C. van Huffelen

---

1 Zie https://www.iia.nl/actualiteit/nieuws/belangrijke-update-three-lines-model.

2 Kamerstukken II 2022–23, 36 191, nr. 7 (Nota na aanleiding van het verslag), bijlage 1.

3 Kamerstukken II 2022–23, 36 191, nr. 7 (Nota na aanleiding van het verslag), p. 12.

4 Kamerstukken II 2021–22, 36 191, nr. 3 (memorie van toelichting), par. 5.

5 Stcrt. 2015, 21 178, p. 5.

6 Kamerstukken II 1995–96, 24 503, nr. 3 (memorie van toelichting bij de Kaderwet adviescolleges), p. 134.

7 Kamerstukken II 2019–20, 26 643, nr. 635.

8 Kamerstukken II 2021–22, 36 191, nr. 3 (memorie van toelichting), par. 5.

9 Kamerstukken II 1995–96, 24 503, nr. 3 (memorie van toelichting bij de Kaderwet adviescolleges), p. 13.

10 Kamerstukken II 1995–96, 24 503, nr. 3 (memorie van toelichting bij de Kaderwet adviescolleges), p. 13.

11 Zie artikel 7, zesde lid Reglement van orde en integriteitscode Adviescollege ICT-toetsing (https://www.adviescollegeicttoetsing.nl/onze-werkwijze/reglement-van-orde-en-integriteitscode-adviescollege-ict-toetsing/het-reglement-van-orde-en-integriteitscode-adviescollege-ict-toetsing).

12 Overeenkomstig de Kaderwet adviescolleges. Kamerstukken II 1995–96, 24 503, nr. 3 (memorie van toelichting bij de Kaderwet adviescolleges), p. 13.

13 Instituut van Internal Auditors, 21 juli 2020, zie https://www.iia.nl/actualiteit/nieuws/belangrijke-update-three-lines-model.

14 Algemene Rekenkamer, «resultaten verantwoordingsonderzoek 2022 Ministerie van Binnenlandse Zaken en Koninkrijksrelaties», 17 mei 2023, p. 14.

15 Kamerstukken II 2021–22, 36 191, nr. 3 (memorie van toelichting), p. 15.

16 Kamerstukken II 2021–22, 36 191, nr. 3 (memorie van toelichting), p. 15.

17 Kamerstukken II 2022–23, 36 191, nr. 7 (Nota na aanleiding van het verslag), p. 10.

18 Technische briefing Adviescollege ICT-toetsing met de Commissie Digitale Zaken, 15 september 2022.

19 Handelingen II 2022–23, 36 191, nr. 10, p. 3.

20 Zie artikel 5, derde lid, van het Besluit CIO-stelsel (Stcrt. 2022, 62488).

21 Kamerstukken II, 2021–22, 36 191, nr. 4 (Nader rapport bij advies van de Raad van State), p. 8.

22 Zie artikel 8, tweede lid, van de consultatieversie van het wetsvoorstel (https://www.internetconsultatie.nl/acict).

23 Kamerstukken II, 2021–22, 36 191, nr. 4 (Nader rapport bij advies van de Raad van State), p. 9.

24 Brief 17 oktober 2022, «Beantwoording vragen over documenten betreffende conceptadvies AcICT», zie https://open.overheid.nl/documenten/ronl-db0610e152e319612b951dc662e7d40b32113ac0/pdf.

25 Kamerstukken II 2021–22, 36 191, nr. 3 (memorie van toelichting), p. 17 en specifiek voor wat betreft adviesaanvragen door de Staten-Generaal artikel 8, derde lid in samenhang met artikel 9, eerste lid van het wetsvoorstel.

26 Handelingen II 2022–23, 36 191, nr. 10, p. 9.

27 Jaarverslag 2022 Adviescollege ICT-toetsing, p. 14 (zie https://www.adviescollegeicttoetsing.nl/documenten/publicaties/2023/03/29/jaarrapportage-2022-adviescollege-ict-toetsing).

28 Jaarverslag 2022 Adviescollege ICT-toetsing, bijlage.

29 Kamerstukken II, 2021–22, 36 191, nr. 4 (Nader rapport bij advies van de Raad van State), p. 7.