31 490 Vernieuwing van de rijksdienst

Nr. 159 BRIEF VAN DE MINISTER VAN BINNENLANDSE ZAKEN EN KONINKRIJKSRELATIES

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 9 september 2014

In mijn bestuurlijke reactie op het rapport van de Algemene Rekenkamer over het verantwoordingsonderzoek 2013 heb ik toegezegd uw Kamer schriftelijk te informeren over de voortgang van het verbetertraject op de door de Algemene Rekenkamer geconstateerde onvolkomenheden.

Met deze brief geef ik uitvoering aan deze toezegging en informeer ik u over de stand van zaken van de verbeteringen in de bedrijfsvoering van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK), inclusief Wonen en Rijksdienst.

Onvolkomenheden

In 2013 heeft het Ministerie van BZK reeds stappen gezet om de bedrijfsvoering te verbeteren. De Algemene Rekenkamer beschreef in haar rapporten over 2013 negen geconstateerde onvolkomenheden. Het betrof:

• zes onvolkomenheden bij het kerndepartement (begrotingshoofdstuk VII Binnenlandse Zaken en Koninkrijksrelaties): financiële functie, subsidiebeheer kerndepartement, inkoopbeheer kerndepartement, beveiliging digitale dienstverlening, de wet normering bezoldiging topfunctionarissen publieke en semipublieke sector (WNT) en informatiebeveiliging;

• drie onvolkomenheden bij de baten-lastenagentschappen (begrotingshoofdstuk XVIII, Wonen en Rijksdienst): inkoopbeheer FMHaaglanden, inkoopbeheer Rijksgebouwendienst en controleraamwerk P-Direkt).

Om deze onvolkomenheden op te lossen, en om te voorkomen dat er nieuwe onvolkomenheden ontstaan, is een duurzame verbetering van de bedrijfsvoering in gang gezet. Dit wordt fundamenteel aangepakt en alle gelederen van de organisatie zijn hierbij betrokken.

Het vervolg van de brief bestaat uit drie paragrafen. In de eerste paragraaf ga ik in op de hoofdlijnen van het verbetertraject dat ik heb opgestart om de bedrijfsvoering duurzaam te verbeteren bij het Ministerie van BZK. In paragraaf twee en drie geef ik respectievelijk de acties weer op de afzonderlijke onvolkomenheden in de bedrijfsvoering op hoofdstuk VII, BZK en hoofdstuk XVIII, Wonen en Rijksdienst.

I Verbetertraject

In 2014 is het programma Financieel Beheer gestart bij het Ministerie van BZK. De doelstelling van het programma is het structureel op orde brengen van het financieel beheer¹ door het opschonen van de financiële administratie en via heldere procedures en afspraken borgen dat geld blijvend op een rechtmatige manier wordt uitgegeven en kan worden verantwoord. Het programma is gerelateerd aan drie van de negen onvolkomenheden: financiële functie (totstandkoming jaarverslag), het subsidiebeheer kerndepartement en het inkoopbeheer kerndepartement.

Bij het duurzaam verbeteren van het financieel beheer wordt een aantal essentiële stappen onderkend. De eerste stap heeft betrekking op het opschonen van de administratie en het oefenen met een periodeafsluiting van de financiële administratie. De tweede stap bestaat uit het op orde brengen van de aspecten die het financieel beheer faciliteren (kaderstelling, informatievoorziening en opleiding van betrokkenen). Verder is kritisch gekeken naar sleutelposities binnen de financiële functie en waar nodig is de organisatie versterkt door mensen met geëigende vaardigheden en competenties. De derde stap is het creëren van bewustwording dat het financieel beheer onderdeel uitmaakt van de integrale managementverantwoordelijkheid. De managers binnen BZK borgen het sturen op de naleving van regels en afspraken die zijn gemaakt over het financieel beheer binnen het Ministerie van BZK. De Auditdienst Rijk en de Algemene Rekenkamer hebben aangegeven dit in opzet een goede aanpak te vinden.

Ook voor de overige onvolkomenheden zijn verbetertrajecten opgestart.

Ik heb uw Kamer reeds geïnformeerd over de voortgang ten aanzien van beveiliging digitale dienstverlening en de wet normering bezoldiging topfunctionarissen publieke en semipublieke sector (WNT). Daarnaast wordt er hard gewerkt aan de actualisatie van de beveiligingsplannen om de informatiebeveiliging te verbeteren. Verder zijn ter verbetering van de onvolkomenheden bij de baten-lastenagentschappen de nodige maatregelen genomen. Ter verbetering van het inkoopbeheer worden controles uitgevoerd op de naleving van de inkoopprocedures en aanbestedingsregels door de baten-lastenagentschappen FMHaaglanden en Rijksgebouwendienst. Bij P-Direkt wordt een goede werking van het vorig jaar verbeterde controleraamwerk bestendigd.

II Onvolkomenheden in de bedrijfsvoering op hoofdstuk VII, BZK

1. Financiële functie

Het oplossen van de onvolkomenheid financiële functie maakt onderdeel uit van het in paragraaf 1 beschreven programma financieel beheer. De Algemene Rekenkamer schreef in haar rapport dat eind 2013 diverse maatregelen zijn geïmplementeerd om de financiële functie te verbeteren. Dit heeft niet alle tekortkomingen weggenomen. Er werd bijvoorbeeld nog niet volledig gewerkt conform de nieuwe procesbeschrijvingen en werkinstructies, daarnaast was het beheer van voorschotten en verplichtingen in 2013 nog niet op orde.

Onder de paraplu van het programma Financieel Beheer heeft het Ministerie van BZK diverse acties in gang gezet om de tekortkomingen binnen de financiële functie weg te nemen. De focus van het programma ligt in 2014 op het opschonen van de financiële administratie. Om de financiële administratie op te schonen wordt in september bij de verschillende organisatieonderdelen de administratie doorgelicht en opgeschoond. Verder zijn, met als doel het financieel beheer voor de organisatieonderdelen beter te faciliteren, de regels en aanleverspecificaties voor het doen van inkopen, verstrekken van subsidies en laten instellen van vorderingen (her)bevestigd. Tevens worden trainingen georganiseerd voor alle medewerkers van het Ministerie van BZK om de financiële kennis te vergroten. Om de aandacht voor het financieel beheer binnen het integraal management beter te borgen worden taken en verantwoordelijkheden ge(her)formuleerd. Tot slot is een tussentijdse afsluiting van de financiële administratie uitgevoerd over de eerste vijf maanden van dit jaar. De controle van de Auditdienst Rijk van de tussentijdse saldibalans laat zien dat er ten opzichte van de jaarafsluiting een verbetering heeft plaatsgevonden. De Auditdienst Rijk constateert echter ook dat de betrouwbaarheid van de cijfers nog niet optimaal is. Verder zijn de kwaliteitscontroles niet altijd aantoonbaar uitgevoerd. Deze verbeterpunten worden meegenomen in de voorbereiding en uitvoering van de tweede proefafsluiting die voor eind september gepland staat.

De eerste resultaten van het programma Financieel Beheer moeten leiden tot een zichtbare verbetering van de financiële functie in 2014. Het programma loopt door in 2015.

2. Subsidiebeheer kerndepartement

Het verbeteren van de onvolkomenheid subsidiebeheer maakt onderdeel uit van het in paragraaf 1 beschreven programma Financieel Beheer. De Algemene Rekenkamer schreef in haar rapport dat er in 2013 maatregelen genomen zijn om het subsidiebeheer te verbeteren, zoals actualisatie van de procesbeschrijvingen en de aanstelling van functionarissen per beleidsdirectie die de aanlevering van boekingen moeten controleren, de zogenoemde Financieel en Inkoop Verantwoordelijken. De Algemene Rekenkamer constateerde echter ook dat het Ministerie van BZK deze maatregelen nog niet volledig had geïmplementeerd in 2013. Ook een beschrijving van het beleid ter voorkoming van misbruik en oneigenlijk gebruik van subsidies ontbrak.

Om de implementatie van het geactualiseerde subsidieproces te realiseren worden werkinstructies opgesteld met betrekking tot het vaststellen van subsidies en worden er in het najaar van 2014 workshops georganiseerd over het subsidieproces.

Daarnaast is het beleid ter voorkoming van misbruik en oneigenlijk gebruik (M&O- beleid) van subsidies beschreven. Bij uitwerking van het M&O- beleid is per subsidieregeling een risicoanalyse uitgevoerd. In de procedure is vastgelegd dat bij het opstellen van een nieuwe subsidieregeling voortaan standaard een risicoanalyse op M&O- beleid dient te worden uitgevoerd.

Verder is in het M&O- beleid ook het reviewbeleid uitgewerkt. Voor subsidieregelingen geldt dat deze allemaal periodiek gereviewed moeten worden door de Auditdienst Rijk. Het Ministerie van BZK bepaalt samen met de Auditdienst Rijk welke regeling wanneer wordt gereviewed. De uitkomst van de risicoanalyse is hierin bepalend.

Tot de aanpak van M&O behoort ook het toepassen van sancties op het moment dat er sprake is van misbruik of oneigenlijk gebruik. Afhankelijk van de ernst, omvang en impact van het gepleegde misbruik of oneigenlijk gebruik wordt een sanctie opgelegd. Er is bij het Ministerie van BZK een centraal register ingericht, waarin misbruik en oneigenlijk gebruik bij subsidieverlening worden vastgelegd.

3. Inkoopbeheer kerndepartement

Het verbeteren van de onvolkomenheid inkoopbeheer kerndepartement maakt onderdeel uit van het in paragraaf 1 beschreven programma Financieel Beheer. De Algemene Rekenkamer constateerde dat de interne beheersing van het inkoopbeheer van het kerndepartement in 2013 nog niet op orde was. Het verbeterplan inkoop was nog niet volledig geïmplementeerd, het contractenregister was nog niet volledig en in het centraal bijgehouden overzicht van afwijkingen van Europese aanbestedingsprocedures over 2013 ontbrak voor enkele opdrachten informatie over het financieel belang. Hieronder wordt ingegaan op de verbeteracties die in 2014 worden geïmplementeerd om het inkoopbeheer van het kerndepartement verder te verbeteren.

Op 1 juli 2014 zijn de werkinstructies vastgesteld. Hiermee is het inkoopproces verder verduidelijkt, opdat verplicht gebruik gemaakt wordt van de dienstverlening van de Haagse Inkoop Samenwerking (HIS) en de juiste procedures worden gehanteerd. Ter bevordering van de implementatie worden in het najaar inkoopworkshops georganiseerd. Het gebruik van een juiste werkwijze en procedure is ook van belang voor een volledige registratie van contracten. Voor het eerste halfjaar van 2014 is een vergelijking van de inkoopverplichtingen en de registratie van contracten bij de HIS uitgevoerd. De ontbrekende contracten zijn aan het register toegevoegd. Deze monitoring wordt de komende maanden voortgezet. Daarnaast zal in het laatste kwartaal van 2014 een interne controle worden uitgevoerd op de volledigheid van het contractenregister.

In 2014 wordt in het overzicht van afwijkingen van Europese aanbestedingsprocedures extra aandacht besteed aan informatie over het financieel belang. Eveneens is het besluitvormingsproces rondom het afwijken van (Europese) aanbestedingsregels herzien. Met ingang van 15 augustus 2014 worden afwijkingen van (Europese) aanbestedingsregels (waiververzoeken en managementbesluiten) geaccordeerd op het hoogste niveau, namelijk door de Secretaris-generaal. Managementbesluiten voor het afwijken van de aanbestedingsregels voor opdrachten onder de Europese aanbestedingsgrens worden geaccordeerd door een Directeur-generaal. Het afwijken van de (Europese) aanbestedingsregels moet tot een minimum worden beperkt.

4. Beveiliging digitale dienstverlening

De Algemene Rekenkamer constateerde dat de DigiD-omgeving, die het Ministerie van BZK beheert, in 2013 niet voldeed aan een deel van de normen van het Nationaal Cyber Security Centrum voor de beveiliging van webapplicaties. Daarnaast merkte de Algemene Rekenkamer op dat een deel van de overheidsinstellingen die DigiD gebruikte in 2013 niet voldeed aan de ICT-beveiligingsnormen die de Minister van BZK heeft vastgesteld voor de webpagina’s en systemen die gekoppeld zijn met DigiD. Tot slot heeft de Algemene Rekenkamer erop aangedrongen dat het Ministerie van BZK de aangesloten organisaties concreter informeert over het vereiste betrouwbaarheidsniveau van authenticatie voor hun dienstverlening.

Medio mei 2014 is een actieplan DigiD assessmentnormen vastgesteld dat beoogt de bevindingen voor het einde van 2014 opgelost te hebben. Daarnaast waren er al mitigerende maatregelen genomen, zodat er geen sprake is van een acuut beveiligingsrisico. De Auditdienst Rijk wordt intensief betrokken in het traject.

Voor alle organisaties die DigiD gebruiken voor hun digitale dienstverlening geldt de verplichting om jaarlijks een ICT-Beveiligingsassessment DigiD uit te voeren. Over de uitvoering van de ICT-Beveiligingsassessments heb ik uw Kamer recent een brief gestuurd (Kamerstuk 26 643, nr. 323). In deze brief informeer ik u over een aantal ontwikkelingen ten aanzien van DigiD, in het bijzonder over de voortgang van de uitvoering van de ICT-Beveiligingsassessments DigiD en de stappen die worden gezet om DigiD te versterken. Het algemene beeld is dat, mede door het proces van de uitvoering van de assessments, bij overheidsorganisaties en andere afnemers van DigiD in het afgelopen jaar een ontwikkeling in gang is gezet om de beveiliging van hun ICT op orde te brengen, met name in relatie tot DigiD. In de brief zijn ook de vervolgacties van organisaties die structureel niet voldoen aan de assessmentnormen toegelicht.

Aan de hand van de «Handreiking betrouwbaarheidsniveaus voor authenticatie bij elektronische overheidsdiensten» van het Forum Standaardisatie zullen de aangesloten organisaties nadrukkelijker worden geïnformeerd over de afwegingen die aan het bepalen van het betrouwbaarheidsniveau ten grondslag liggen, zodat zij een weloverwogen keuze kunnen maken ten aanzien van het authenticatieniveau voor hun dienstverlening. Dat is namelijk mede afhankelijk van de vraag hoe de betreffende overheidsorganisaties hun processen hebben ingericht en met name of er in die processen ook sprake is van extra controles of andere maatregelen die het verantwoord maken om van het beschikbare betrouwbaarheidsniveau gebruik te maken.

5. Wet normering bezoldiging topfunctionarissen publieke en semipublieke sector (WNT)

De Algemene Rekenkamer oordeelde dat het Ministerie van BZK voor de verslaglegging over 2013 te laat en onvoldoende sluitend nadere voorschriften over topinkomens had bekendgemaakt. Bovendien bleken elementen uit de wet deels onuitvoerbaar.

Met het vaststellen van een zogenoemd normenkader in februari 2014 en de aanpassingswet WNT 2014 is in de wet meer duidelijkheid ontstaan. Daarnaast is er, op basis van een tussenevaluatie en een analyse van de verschillende ervaringen met de WNT in het eerste toepassingjaar, een verbeterplan opgesteld.

Het verbeterplan heeft als doel de praktische uitvoerbaarheid van de wet te verbeteren. De hierin opgenomen maatregelen hebben betrekking op het beleid, de wet- en regelgeving, de informatievoorziening, de toerusting van de uitvoering, het toezicht en de handhaving. Over deze maatregelen heb ik uw Kamer reeds afzonderlijk geïnformeerd met mijn voortgangsbrief d.d. 10 juli jl. inzake het programma normering topinkomens (Kamerstuk 30 111, nr. 72).

6. Informatiebeveiliging

De Algemene Rekenkamer constateerde dat eind 2013 voor de meeste kritische systemen risicoanalyses en informatiebeveiligingsplannen zijn opgesteld. De beveiligingsrisico’s werden echter niet voldoende onder de aandacht gebracht bij medewerkers en de beveiligingsmaatregelen van informatiesystemen waren nog niet geëvalueerd.

Door het uitvoeren van het programma ibewust wordt de aandacht van lijnmanagers en medewerkers voor beveiligingsrisico’s vergroot. Dit programma start in september 2014.

De resterende actualisatie van de informatiebeveiligingsplannen en risicoanalyses is inmiddels ingelopen. Voorts wordt gewerkt aan de implementatie van de Baseline Informatiebeveiliging Rijksdienst (BIR). De BIR is een geïntegreerd normenkader op het gebied van Informatiebeveiliging dat geldt voor alle organisaties die vallen onder het werkingsgebied van het Voorschrift Informatiebeveiliging Rijksdienst (VIR).

III Onvolkomenheden in de bedrijfsvoering op hoofdstuk XVIII, Wonen en Rijksdienst

7. Inkoopbeheer FMHaaglanden

Het inkoopbeheer bij het baten-lastenagentschap FMHaaglanden (FMH) was volgens de Algemene Rekenkamer in 2013 onvoldoende. Het betrof ondermeer het ontbreken van een juist en volledig contractenregister, uit de inkoopanalyse bleek onvoldoende of op alle aspecten van Europese en nationale aanbestedingsregels werd gecontroleerd en de interne controle diende te worden verbeterd.

De afdeling Leveranciersmanagement van FMH voert periodiek controles uit op de juistheid en volledigheid van het contractenregister en waarnodig worden herstelacties uitgevoerd. Om tijdige verlenging of tijdige aanbesteding te waarborgen, wordt in het contractenregister de actiedatum geregistreerd. FMH heeft in januari 2014 de bevindingen uit de interne controle op de juistheid en volledigheid van het contractenregister van het vierde kwartaal 2013 nogmaals getoetst. Uit deze controle zijn geen tekortkomingen naar voren gekomen. In juli 2014 is opnieuw een interne controle op de juistheid en volledigheid van het contractenregister uitgevoerd. Ook bij deze controle zijn geen tekortkomingen geconstateerd.

FMH heeft een aanbestedingskalender die maandelijks wordt bijgewerkt. FMH stelt per twee maanden een spendanalyse op. De spendanalyse wordt verder vorm gegeven om aan te sluiten op het normenkader inkoop van de Algemene Rekenkamer. De planning is dat de spendanalyse over het eerste halfjaar alle aspecten bevat uit het normenkader. De interne controle op naleving van de inkoopprocedures is medio 2014 van start gegaan.

8. Inkoopbeheer Rijksgebouwendienst

De Algemene Rekenkamer constateerde dat er nog acties nodig waren voor het verder op orde brengen van het inkoopbeheer van de Rijksgebouwendienst (RGD). Zo beschikten nog niet alle onderdelen in 2013 over een inkoopkalender en waren de aanbestedingsprocedures onvoldoende zichtbaar in de interne controle meegenomen. Ook waren de bewuste afwijkingen van inkoopprocedures onvoldoende duidelijk geregistreerd.

De Rijksgebouwendienst heeft een verbeterplan inkoopbeheer opgesteld, waarin de verbeteracties zijn opgenomen. De inkoopgegevens worden in een centrale inkoopkalender verwerkt. De geplande realisatiedatum is medio oktober 2014.

Daarnaast zijn aanpassingen in het proces en werkinstructies doorgevoerd voor aantoonbare naleving van de Aanbestedingswet. Ook de aanpassing van het verificatieplan is in gang gezet. De geplande realisatiedatum van deze aanpassingen is medio september. De relevante controleaspecten waarop de naleving van de Aanbestedingswet moet worden gecontroleerd, worden expliciet opgenomen in het verificatieplan en in de desbetreffende procesbeschrijvingen. Ook is de uitvoering van het interne controleonderzoek naar de inkopen gestart. Dit loopt door tot 1 november 2014.

Voorts worden bewuste afwijkingen in het inkoopproces met een zichtbare motivatie en aandacht voor het financieel belang op een juiste wijze gedocumenteerd. De Regeling Aanbestedingsprocedures Rijksgebouwendienst (RAR) is in juli aangepast: de waiver-procedure voor afwijkingen van aanbestedingsprocedures is in de regeling opgenomen.

9. Controleraamwerk P-Direkt

De Algemene Rekenkamer adviseerde naar aanleiding van haar onderzoek over 2013 aanvullende maatregelen te nemen ter borging van een goede werking van het wijzigingenbeheer SAP-HR, het autorisatiebeheer SAP-HR en de juistheid en volledigheid van de handmatige mutatieverwerking.

Voor het changeproces (wijzigingenbeheer) geldt dat het proces voldoet aan verreweg de meeste beheersdoelstellingen. Het resterende punt, de detailuitwerking van de procesbeschrijving «realisatiefase changeproces SAP HR» is ingevoegd in de opzet/uitwerking Enterprise Architectuur. Dit is een grootschalig traject dat geheel 2014 doorloopt.

Het plan van aanpak voor de uitwerking van het beheer van keycontrols is vastgesteld. Na uitvoering van dit plan is het beheer van deze geautomatiseerde controles structureel onderdeel van het changeproces. Dit houdt in dat bij elke release wordt gecontroleerd op (nieuwe) controles op basis van concrete criteria. Inmiddels is gestart met het beschrijven van de in dit kader relevante geautomatiseerde controles. De toetsing door de Auditdienst Rijk op de aanpak en de uitgevoerde analyse staat gepland voor najaar 2014. Uitvoering van het volledige plan loopt door tot eind 2014.

De autorisatiematrix en SAP-autorisaties zijn in mei 2014 geactualiseerd. De controle hierop is ingebed in het interne controleprogramma.

Eind 2013 was de handmatige mutatieverwerking met borging van de 4-ogencontrole volledig op orde gebracht. Dit is door de Auditdienst Rijk getoetst en op orde bevonden. Ook op de overige punten, die geen direct onderdeel zijn van het primaire proces van personeels- en salarisadministratie, zijn in 2013 en doorlopend in 2014 de nodige verbeteringen doorgevoerd.

Naar verwachting is de kwaliteit van het controleraamwerk hiermee op het gewenste niveau.

De Minister van Binnenlandse Zaken en Koninkrijksrelaties, R.H.A. Plasterk

---

1 Het financieel beheer maakt deel uit van de bedrijfsvoering. Het deelterrein financieel beheer heeft betrekking op het rechtmatig verrichten van ontvangsten, uitgaven, voorschotten en verplichtingen. Financieel beheer houdt tevens in dat de financiële transacties in een begroting worden geraamd, dat de gerealiseerde transacties worden vastgelegd in een administratie en dat na afloop van het jaar een financiële verantwoording wordt opgesteld.