Wijziging Regeling periodieke audit GBA

20 juni 2002

BPR2002/U75634

DGOB/BPR

De Minister voor Grote Steden- en Integratiebeleid,

Gelet op artikel 120a van de Wet gemeentelijke basisadministratie persoonsgegevens en artikel 53b, 53c en 53c van het Besluit gemeentelijke basisadministratie persoonsgegevens;

Besluit

Artikel I

De Regeling periodieke audit GBA wordt gewijzigd:

A

Artikel 1 komt te luiden:

Artikel 1

1. In deze regeling wordt verstaan onder:

- de wet: de Wet gemeentelijke basisadministratie persoonsgegevens;

- het besluit: het Besluit gemeentelijke basisadministratie persoonsgegevens;

- de Regeling GBA: de Regeling gemeentelijke basisadministratie persoonsgegevens;

- auditee: de gemeente die onderwerp is van de audit;

- auditor: de medewerker van de auditinstelling die het inhoudelijke deel van de audit namens de auditinstelling uitvoert of de medewerker van de auditinstelling onder wiens verantwoordelijkheid het procesmatige en privacydeel van de audit namens de auditinstelling wordt uitgevoerd;

- auditinstelling: het bedrijf dat door de minister is aangewezen om de audit als bedoeld in artikel 120a van de wet uit te voeren;

- kwaliteitsbrochure: een vanwege de minister uitgegeven brochure, bedoeld in artikel 8;

- de minister: de Minister van Binnenlandse Zaken en Koninkrijksrelaties;

- het agentschap BPR: het agentschap Basisadministratie Persoonsgegevens en Reisdocumenten van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties;

- de persoonslijst: de in het GBA-systeem van de auditee opgeslagen persoonslijst als bedoeld in artikel 1 van de Wet GBA.

2. Brondocumenten als bedoeld in deze regeling zijn de kopie van de persoonskaart van het Vestigingsregister en Nederlandse brondocumenten die door instanties in Nederland zijn opgemaakt, niet zijnde de persoonskaart. Indien de gemeente het brondocument niet heeft bewaard, dient de gemeente bij de desbetreffende instantie een nieuw exemplaar op te vragen. Het betreffen derhalve: de kopie van de persoonskaart, (kennisgevingen van) akten van de burgerlijke stand, besluiten, (afschriften van) rechterlijke uitspraken, kennisgevingen van het gezagsregister (voorheen het voogdijregister en kennisgevingen van het curateleregister, tenzij deze de vorm hebben van een Og01-, Og11-, Tb01- dan wel een TB02-bericht.

B

Artikel 2 wordt gewijzigd:

1. Het bepaalde in dit artikel wordt genummerd tot eerste lid door voor de tekst: `1.' te plaatsen.

2. In het eerste lid vervalt de zinsnede: `of heraudit'.

3. Na het eerste lid wordt een tweede lid opgenomen, luidende:

2. Bij de uitvoering van de heraudit wordt uitgegaan van hetzelfde aantal inwoners dat ingevolge het eerste lid voor de audit is vastgesteld.

C

Artikel 3 wordt gewijzigd:

1. In het eerste lid, wordt de zinsnede `De auditor draagt zorg voor een niet-selecte steekproef' vervangen door: De auditor is verantwoordelijk voor het trekken van een niet-selecte steekproef.

2. Na het vierde lid wordt een vijfde lid toegevoegd, luidende:

5. De auditee draagt er zorg voor dat na ontvangst van de door de auditor opgegeven A-nummers, de daarbij behorende persoonslijsten binnen een werkweek aan de auditor beschikbaar worden gesteld. Indien dit niet binnen de genoemde termijn heeft plaatsgevonden, geeft de auditor onmiddellijk nieuwe A-nummers op en stelt de auditee alsnog binnen een werkweek na ontvangst van deze nieuwe A-nummers, de daarbij behorende persoonslijsten aan de auditor beschikbaar.

D

Artikel 4 wordt gewijzigd:

1. In het tweede lid wordt de eerste volzin, luidende: `2. Het aantal select getrokken persoonslijsten bedraagt:' vervangen door: 2. De aantallen select verzamelde persoonslijsten bedragen:

2. In het derde lid wordt `getrokken' vervangen door: verzamelde.

E

Artikel 6 wordt gewijzigd:

1. In de tweede volzin van het tweede lid wordt na `trekken' opgenomen: dan wel verzamelen.

2. In het vierde lid, onder a, vervalt de zinsnede: en de brondocumenten die de auditee in het paspoortdossier dient te hebben opgenomen.

3. In het vijfde lid wordt `getrokken' vervangen door: verzamelde.

F

Artikel 8 komt te luiden:

Artikel 8

1. Iedere aangetroffen afwijking wordt geteld als één fout.

2. Meervoudige afwijkingen worden geteld als één fout en ingedeeld in de hoogste van de van toepassing zijnde foutklassen, indien:

a. de afwijkingen die op meerdere persoonslijsten zijn geconstateerd, worden veroorzaakt doordat het geautomatiseerde systeem van de auditee op een bepaald aspect niet goed werkt(e) of doordat een onjuiste procedure door een auditee is gevolgd, tenzij dezelfde afwijking tijdens een eerdere audit is geconstateerd;

b. de op één persoonslijst geconstateerde afwijkingen met elkaar samenhangen dan wel worden veroorzaakt door één en dezelfde fout, tenzij dezelfde afwijking tijdens een eerdere audit is geconstateerd.

3. Afwijkingen worden niet als fout geteld, indien:

a. door of namens de minister schriftelijk kenbaar is gemaakt dat de desbetreffende afwijking bij de bepaling van het resultaat van de audit niet als afwijking wordt aangemerkt;

b. in de door het agentschap BPR uitgegeven Kwaliteitsbrochure kenbaar is gemaakt dat de desbetreffende afwijking niet als afwijking wordt aangemerkt.

4. In verband met het bepaalde in het tweede lid overlegt de auditee de door de auditor verlangde managementsamenvattingen.

G

In artikel 9 wordt `aangetroffen' vervangen door: geteld.

H

Artikel 10 komt te luiden:

Artikel 10

De onderzochte persoonslijst wordt door de auditor gewaarmerkt. De afwijkingen alsmede de telling van deze afwijkingen als fouten, worden in de auditrapportage vermeld.

I

In artikel 11 wordt na de zinsnede `door de auditee aangeboden documenten', opgenomen: alsmede de waarneming ter plaatse door de auditor.

J

Artikel 13, eerste lid, komt te luiden:

1. De auditor toetst of ten aanzien van de onderdelen back-up en herstel en uitwijk de voorgeschreven maatregelen zijn getroffen, of deze in de praktijk worden nageleefd en welke risico's daarbij zijn te onderkennen.

K

Artikel 14 wordt gewijzigd:

1. Het eerste lid komt te luiden:

De auditor toetst of ten aanzien van het onderdeel beveiliging de voorgeschreven maatregelen zijn getroffen, of deze in de praktijk worden nageleefd en welke risico's daarbij zijn te onderkennen.

2. In het tweede lid, onder d, wordt `gemeente' vervangen door: auditee en wordt de zinsnede `Besluit GBA' vervangen door: besluit.

L

In artikel 15 wordt na `vragenlijst', de zinsnede toegevoegd, luidende:

en de ingevolge artikel 15a, eerste lid, door de auditee aangeboden documenten.

M

Artikel 15a, vierde lid, komt te luiden:

4. De auditor toetst of ten aanzien van het onderdeel privacy de voorgeschreven maatregelen zijn getroffen, of deze in de praktijk worden nageleefd en welke risico's daarbij zijn te onderkennen.

N

In artikel 16, onder d, wordt na `de managementsamenvatting', de zinsnede toegevoegd, luidende:

, bevattende de in artikel 53c, tweede lid, van het besluit bedoelde onderdelen van de auditrapportage.

O

In artikel 17, eerste lid, onder c, wordt `getrokken' vervangen door: verzamelde.

P

Artikel 18, tweede lid, komt te luiden:

2. De bevindingen voor de aspecten back-up, herstel, uitwijk en beveiliging worden onderverdeeld naar:

a. de verplichte maatregelen en voorzieningen die niet zijn getroffen;

b. de verplichte maatregelen en voorzieningen die niet zijn nageleefd;

c. de risico's die zijn onderkend ten aanzien van de onderdelen back-up, herstel, uitwijk en beveiliging, ongeacht of van de voorschriften is afgeweken.

Q

Artikel 21 wordt als volgt gewijzigd:

1. Het bepaalde in de eerste volzin wordt genummerd tot eerste lid door voor de tekst: `1.' te plaatsen.

2. In het eerste lid komt de zinsnede `in ieder geval' te vervallen.

3. In het eerste lid, onder b, wordt na de zinsnede `het procesmatige deel' opgenomen: dan wel het privacydeel.

4. Aan het eerste lid wordt een onderdeel d toegevoegd, luidende:

d. een passage met aanbevelingen en voorgestelde maatregelen ter verbetering van bij de auditee in het kader van een audit of een heraudit geconstateerde afwijkingen en tekortkomingen.

5. Na het eerste lid wordt een tweede en derde lid opgenomen, luidende:

2. Een afschrift van de managementsamenvatting wordt op het in artikel 21a, derde lid, bedoelde tijdstip gezonden naar het agentschap BPR.

3. De managementsamenvatting wordt gedurende zeven jaren door de auditee bewaard.

R

Er wordt een nieuw artikel 21a toegevoegd, luidende:

Artikel 21a

1. Uiterlijk twee maanden nadat met de uitvoering van de audit is begonnen, wordt een concept van de auditrapportage voorgelegd aan de auditee.

2. Het concept van de auditrapportage wordt vervolgens met een vertegenwoordiger van de auditee besproken.

3. De uiteindelijke auditrapportage wordt uiterlijk twee maanden nadat deze aan de auditee is voorgelegd, vastgesteld en door de auditor of een door de auditinstelling gemachtigd personeelslid ondertekend.

4. De termijn van een jaar, bedoeld in artikel 120a, vijfde lid, van de wet vangt aan op het moment dat de auditrapportage is vastgesteld, dan wel op het tijdstip dat deze ingevolge het derde lid uiterlijk had moeten zijn vastgesteld.

S

Artikel 22 wordt gewijzigd:

1. In de aanhef van het eerste lid wordt het jaar `1999' vervangen door: 2002.

2. In het eerste lid, onder a wordt het bedrag van `€ 2.344,68' vervangen door: € 3641,-.

3. In het eerste lid, onder b wordt het bedrag van `€ 3.516,80' vervangen door: € 4911,-

4. In het eerste lid, onder c wordt het bedrag van `€ 4.688,91' vervangen door: € 6181,-

T

Artikel 23 komt te luiden:

Artikel 23

1. Bij de niet-selecte steekproef is een heraudit verplicht als er

meer fouten zijn geconstateerd dan de desbetreffende norm toestaat.

2. Een heraudit is verplicht bij een negatief antwoord op één van de onderdelen 1.1 tot en met 1.4, 2, 3.1 tot en met 3.4, 4, 5.1 tot en met 5.3, 6.1.1, 6.1.2, 6.2, 6.3, 7.1, 7.7, 7.9 tot en met 7.12, 8.1, 9 en 10 uit bijlage 2, dan wel het ontbreken van één van de in die onderdelen gevraagde afschriften.

3. De in het tweede lid genoemde onderdelen 1.1 tot en met 1.4, 2, 3.1, 3.3, 3.4, 5.2, 5.3, 7.1 en 7.7 uit bijlage 2 wordt ook getoetst of de voorgeschreven maatregelen zijn getroffen en in de praktijk worden nageleefd.

4. Een heraudit is verplicht bij een negatief antwoord op één van de onderdelen 1.1 tot en met 1.3, 2, 3.2, 3.3, 4.1 en 6 tot en met 9 uit bijlage 3, dan wel het ontbreken van één van de in die onderdelen gevraagde afschriften.

U

Artikel 23a vervalt.

V

Artikel 24 wordt gewijzigd:

1. In het tweede lid wordt `gemeente' vervangen door: auditee.

2. Na het vijfde lid wordt een zesde lid opgenomen, luidende:

6. Artikel 21 en 21a zijn van overeenkomstige toepassing.

W

Artikel 34 wordt gewijzigd:

1. In het eerste lid wordt na `uitgevoerde audit', opgenomen: of heraudit.

2. Het derde en vierde lid vervallen.

X

Artikel 40 wordt gewijzigd:

1. In onderdeel a, wordt `Besluit GBA' vervangen door: besluit.

2. Onderdeel b komt te luiden:

b. de auditor beschikt over voldoende inzicht in de werking van geautomatiseerde systemen in het algemeen en van de verschillende GBA-applicaties in het bijzonder om vast te kunnen stellen of een steekproef uit de basisadministratie op de voorgeschreven wijze is getrokken, of het select verzamelen van persoonslijsten op de juiste wijze is geschied, om de persoonslijst op de juiste wijze te kunnen interpreteren en om vast te kunnen stellen dat een opgemerkte afwijking mogelijk niet als een fout moet worden geteld.

3. In onderdeel c, wordt `fouten' vervangen door: afwijkingen.

Y

Bijlage 2 wordt als volgt gewijzigd:

1. In onderdeel 1.2. komt het tweede gedachtestreepje als volgt te luiden:

- Voor iedere betrokkene is vastgelegd wie zijn/haar taak overneemt ingeval van (plotselinge) afwezigheid.

2. In onderdeel 3.2. komt het tweede gedachtestreepje als volgt te luiden:

- Voor iedere betrokkene is vastgelegd wie zijn/haar taak overneemt ingeval van (plotselinge) afwezigheid.

3. In onderdeel 4.1. komt het tweede gedachtestreepje als volgt te luiden:

- Voor iedere betrokkene is vastgelegd wie zijn/haar taak overneemt ingeval van (plotselinge) afwezigheid.

4. De onderdelen 4.3 tot en met 4.5 en 5.4 vervallen.

5. In onderdeel 5.1. komt het tweede gedachtestreepje als volgt te luiden:

- Voor iedere betrokkene is vastgelegd wie zijn/haar taak overneemt ingeval van (plotselinge) afwezigheid.

Artikel II

De bedragen genoemd in onderdeel S gelden voor de audits die vanaf 1 juli 2002 dienen te worden uitgevoerd.

Artikel III

De tekst van deze regeling wordt in de Staatscourant geplaatst.

Artikel IV

Deze regeling treedt in werking met ingang van 1 juli 2002.

De Minister voor Grote Steden- en Integratiebeleid,R.H.L.M. van Boxtel,

¹Beschikbaarheid; de informatie moet zonder belemmeringen beschikbaar zijn overeenkomstig gemaakte afspraken en wettelijke voorschriften.

Integriteit; de informatie moet in overeenstemming zijn met de realiteit en niets mag ten onrechte worden achtergehouden of zijn verdwenen.

Exclusiviteit; uitsluitend bevoegde personen hebben toegang tot en kunnen gebruik maken van de in de registratie opgenomen gegevens.

Controleerbaarheid; de controleerbaarheid is de mate waarin het mogelijk is kennis te verkrijgen over de structurering en werking van een object. Tevens de mate waarin het mogelijk is de overeenstemming met de eisen vast te stellen.

Toelichting

Deze regeling wijzigt de Regeling periodieke audit GBA. Naar aanleiding van de evaluatie van de GBA-audit en opmerkingen van gemeenten en auditinstellingen is het wenselijk gebleken de tekst van enige artikelen aan te passen. De betreffende wijzigingen verduidelijken de wijze waarop de audit dient te worden uitgevoerd.

Voor wat betreft de inhoudelijke wijzigingen wordt het volgende opgemerkt.

Bij de niet-selecte steekproef van het inhoudelijke deel van de audit dient de auditee, nadat zij de A-nummers van de niet-select getrokken persoonslijsten van de auditor heeft ontvangen, de betreffende persoonslijsten binnen een werkweek aan de auditor beschikbaar te stellen. Aan artikel 3 is een vijfde lid toegevoegd om het proces van de steekproef ordelijk te laten verlopen.

Ten behoeve van de in artikel 8, tweede lid, bedoelde afwijkingen dient de auditee desgevraagd de managementsamenvattingen van eerdere (her)audits aan de auditor ter beschikking te stellen. Artikel 21 regelt in het nieuwe derde lid dat de managementsamenvatting gedurende zeven jaar moet worden bewaard.

In de managementsamenvatting worden door de auditor aanbevelingen en voorgestelde maatregelen opgenomen. Ten behoeve van de auditee dienen deze als verbeterpunten voor de bij de (her)audit aangetroffen afwijkingen en tekortkomingen. Artikel 21, eerste lid, is om die reden uitgebreid met een onderdeel d.

In het nieuwe artikel 21a zijn de termijnen opgenomen ten aanzien van het moment dat de auditrapportage vastgesteld dient te worden. De wijziging houdt in dat een concept van de auditrapportage uiterlijk twee maanden nadat met de uitvoering van de audit is begonnen, aan de auditee moet worden voorgelegd. De auditrapportage dient vervolgens uiterlijk binnen twee maanden nadat het concept aan de gemeente is voorgelegd, definitief te worden vastgesteld door de auditinstelling. Op dat moment gaat de termijn van een jaar lopen waarbinnen een eventuele heraudit uiterlijk dient plaats te vinden.

Artikel 23 geeft een opsomming van de onderdelen waar een heraudit voor verplicht is indien deze negatief beantwoord worden. Op een tweetal punten is de huidige regeling aangescherpt daar waar het normen voor de heraudit aangaat. Het betreft de vragenlijst voor het procesmatige deel van de audit. Op de eerste plaats heeft het onderdeel beveiliging op sommige punten een verplichtend karakter gekregen. Onder de oude Regeling was dit onderdeel niet verplichtend. Daarnaast worden voor het onderdeel beveiliging alsmede de onderdelen back-up, uitwijk en herstel het bestaan en de werking van bepaalde procedures en maatregelen getoetst.

Deze wijziging treedt op 1 juli 2002 in werking. Op dat moment gaat ook de nieuwe driejaarlijkse cyclus van start. Het is daarom een natuurlijk moment om wijzigingen door te voeren teneinde de GBA audit verder te optimaliseren.

De Minister voor Grote Steden- en Integratiebeleid,

R.H.L.M. van Boxtel.