VERANTWOORDINGSONDERZOEK

Ministerie van
Algemene Zaken (III)
Rapport bij het Jaarverslag 2020

2021

Vooraf
Verantwoordingsonderzoek 2020
De Algemene Rekenkamer doet ieder jaar onderzoek naar de verantwoording die
ministers in hun jaarverslagen afleggen over hun bestedingen, hun bedrijfsvoering
en hun beleid. Dit noemen we het verantwoordingsonderzoek. Onze centrale
vragen in dit jaarlijkse verantwoordingsonderzoek zijn:
• Is het geld in het afgelopen jaar besteed en verantwoord volgens de regels?
• Waren de zaken op het departement goed geregeld?
• Heeft het gevoerde beleid de gewenste resultaten opgeleverd?
Op basis van deze vragen beschrijven wij per begrotingshoofdstuk of de verant­
woordelijke ministers hun zaken op orde hebben. Zoals onze wettelijke taak
voorschrijft, geven wij daarbij ook oordelen over de financiële informatie, de
kwaliteit van de bedrijfsvoering en de totstandkoming van de bedrijfsvoerings- en
beleidsinformatie in de jaarverslagen van de ministers. Pas nadat de verklaring van
goedkeuring van de Algemene Rekenkamer bij de rijksrekening en rijkssaldibalans
is ontvangen, kunnen de Staten-Generaal per begrotingshoofdstuk decharge
verlenen aan de minister. Bijlage 2 bevat een uitgebreidere toelichting over ons
verantwoordingsonderzoek.
Door de coronapandemie heeft het kabinet vanaf het voorjaar van 2020 veel
steunmaatregelen getroffen voor de economie en de arbeidsmarkt. De financiële
consequenties hiervan hebben een grote invloed gehad op de departementale
jaarverslagen over 2020 en daarmee ook op ons verantwoordingsonderzoek.
De normen voor onze oordeelsvorming over de financiële rechtmatigheid en
het financieel beheer zijn ongewijzigd.
In ons verantwoordingsonderzoek hebben wij vanwege coronamaatregelen
noodgedwongen meer werkzaamheden op afstand uitgevoerd. Deze manier van
werken heeft het moeilijker voor ons gemaakt om bepaalde controles te doen,
in het bijzonder onderzoeken ter plaatse. Bij het plannen van onze werkzaam­­heden hebben wij aandacht besteed aan de risico’s hiervan. We hebben waar
nodig aanvullende werkzaamheden gepland en uitgevoerd. Wij zijn dan ook
van mening dat de verkregen informatie voldoende en geschikt is als basis
voor onze oordelen in het kader van ons verantwoordingsonderzoek.
Dit rapport heeft betrekking op het Jaarverslag 2020 van het Ministerie van
Algemene Zaken. Onze overige publicaties in het kader van het verantwoordings­
onderzoek 2020 vindt u op www.rekenkamer.nl/verantwoordingsonderzoek2020.
Hier vindt u ook ons rapport Staat van de rijksverantwoording 2020. Hierin nemen
wij de goedkeuring van de rijksrekening op. Ook bevat deze publicatie een over­
koepelende uiteenzetting over het verantwoordingsonderzoek 2020.

Inhoud
1.

Onze conclusies | 4

2.

Feiten en cijfers | 6

3.

Financiële informatie | 9

3.2

Oordeel over de financiële verantwoordings­informatie op artikelniveau | 12

4.

Bedrijfsvoering | 14

3.1

Oordeel over de financiële verantwoordings­informatie op totaalniveau | 10

4.1

Ontwikkelingen in de bedrijfsvoering | 14

4.2

Oordeel over de bedrijfsvoering | 16

4.3

Belangrijke risico’s en aandachtspunten in de bedrijfsvoering | 16

4.3.1 Lifecyclemanagement | 16
4.3.2 Informatiebeveiliging | 18
4.3.3 Beheer ICT-middelen | 20
4.3.4 General IT controls | 20
4.3.5 Inkoopbeheer en prestatieverklaringen | 21
4.4

Oordeel over totstandkoming bedrijfsvoerings­informatie | 21

5.

Beleidsresultaten | 22

6.

Reactie minister en nawoord Algemene Rekenkamer | 23

6.2

Nawoord Algemene Rekenkamer | 24

5.1

6.1

Oordeel over totstandkoming beleidsinformatie | 22

Reactie minister van Algemene Zaken | 23

Bijlagen | 25

Bijlage 1 Overzicht fouten en onzekerheden Ministerie van Algemene Zaken,
het Kabinet van de Koning en de Commissie van Toezicht op de Inlichtingen- en
Veiligheidsdiensten 2020 | 25
Bijlage 2 Over het verantwoordingsonderzoek | 29
Bijlage 3 Eindnoten | 34

1. Onze conclusies
Het Ministerie van Algemene Zaken (AZ) is een kleine organisatie, die gegeven de aard van de taken
wel aan grote risico’s bloot staat, bijvoorbeeld op het gebied van informatievoorziening en -beveiliging.
We zien dat door gebeurtenissen buiten de reguliere werkzaamheden om (zoals de uitbraak van het
nieuwe coronavirus en de verhuizing) de reguliere bedrijfsvoering en de doorlooptijd van vernieuwingsprojecten onder druk komen te staan. Het Ministerie van AZ is hierin kwetsbaar. We vragen daarom
aandacht van de minister van Algemene Zaken voor continuïteit en kwaliteit van de bedrijfsvoeringsprocessen.

Informatiebeveiliging grotendeels
op orde

Lifecyclemanagement Ministerie van
Algemene Zaken behoeft aandacht

Voor informatiebeveiliging bij het Ministerie van
Algemene Zaken deden wij in het in het verant­
woordingsonderzoek 2019 een aanbeveling om
het incidentmanagement verder te verbeteren.
De minister van Algemene Zaken heeft deze
aanbeveling deels opgevolgd. Gecombineerd
met de bevindingen over de werking van het
risico- en incidentmanagement voor Webex
en WhatsApp concluderen we dat de risico’s
op informatiebeveiliging voldoende worden
beheerst door het ministerie. Wel vragen
we aandacht voor het expliciet afwegen van
informatiebeveiligingsrisico’s bij de introductie
van nieuwe applicaties binnen het Ministerie
van Algemene Zaken. Wij herhalen daarnaast
de aanbeveling uit het verantwoordingsonder­
zoek 2019: Maak helder welke procesbeschrij­
vingen gehanteerd moeten worden bij het
incidentmanagement, zodat de werking
geëvalueerd en verbeterd kan worden in
de Plan-Do-Check-Act-cyclus (PDCA-cyclus).

Het beheerst en planmatig onderhoud van het
IT-landschap wordt ook wel lifecyclemanagement
(LCM) genoemd. Een goed ingericht lifecycle­
managementproces verkleint het risico dat
niet-functionerende of verouderde IT-systemen
de dienstverlening aan burgers en bedrijven
verstoren. De departementale chief information
officer (CIO) is de belangrijkste adviseur van
de minister op het gebied van het IT-landschap
van het ministerie. Planmatig en beheerst
onderhoud van het IT-landschap begint met
het hebben van inzicht: welke applicaties en
software zijn binnen het ministerie in gebruik
en wanneer zijn deze aan vervanging toe?
Welke kosten zijn daarmee gemoeid? Het
inzicht dat de CIO van het Ministerie van
Algemene Zaken heeft in het IT-landschap
van Algemene Zaken is thans niet volledig en
behoeft aandacht. Met beter inzicht in de status
van het IT-landschap en de financiële aspecten
kan de CIO gerichter sturen op onderhoud
van IT en daarmee op de continuïteit van de
processen binnen het ministerie.

Verantwoordingsonderzoek Ministerie van AZ

4

Algemene Rekenkamer

Financieel oordeel bij het Jaarverslag 2020 van het Ministerie van
Algemene Zaken, het Kabinet van de Koning en de Commissie
van Toezicht op de Inlichtingen- en Veiligheidsdiensten
De financiële verantwoordingsinformatie in het Jaarverslag
2020 van het Ministerie van Algemene Zaken, het Kabinet van
de Koning en de Commissie van Toezicht op de Inlichtingenen Veiligheidsdiensten voldoet op totaalniveau aan de
daaraan te stellen eisen, zoals opgenomen in de
Comptabiliteitswet 2016 en de Rijksbegrotingsvoorschriften.

Op totaalniveau
Verder in het rapport
• Hoofdstuk
2 Feiten en cijfers
Rechtmatigheid
van de
verplichtingen
• Hoofdstuk
3 Financiële informatie
• Hoofdstuk 4 Bedrijfsvoering
Rechtmatigheid van de
• Hoofdstuk
5 Beleidsresultaten
uitgaven
en ontvangsten
• Hoofdstuk 6 Reactie minister en nawoord Algemene Rekenkamer
Betrouwbaarheid en ordelijkheid
van de verplichtingen
Betrouwbaarheid en ordelijkheid
van de uitgaven en ontvangsten
Tolerantiegrens

Verantwoordingsonderzoek Ministerie van AZ

5

Algemene Rekenkamer

2.
Feiten en cijfers
Het begrotingshoofdstuk III bestaat uit 3 begrotingen met een eigen beheer­
verantwoordelijkheid. Het gaat om:
• het Ministerie van Algemene Zaken (IIIA);
• het Kabinet van de Koning (IIIB);
• de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (IIIC).
Het Ministerie van Algemene Zaken heeft afspraken gemaakt met het Kabinet van
de Koning en de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten
(CTIVD) over de dienstverlening door het ministerie op het gebied van bedrijfsvoering.
Het gaat om ICT, financiële administratie en personeelszaken. De afspraken gaan ook
over de planning- en controlcyclus.
Het Ministerie van Algemene Zaken verzorgt ook de bedrijfsvoering van de begroting
van de Koning (I). De uitgaven van het Kabinet van de Koning en de uitgaven van de
Rijksvoorlichtingsdienst (RVD) voor communicatie over het Koninklijk Huis worden
doorbelast aan de begroting van de Koning, zie hiervoor begrotingshoofdstuk I, artikel 3.
Het Ministerie van Algemene Zaken, het Kabinet van de Koning en de Commissie
van Toezicht op de Inlichtingen- en Veiligheidsdiensten hebben in 2020 € 75 miljoen
uitgegeven. Dit is 0,03 % van de totale rijksuitgaven over 2020. Daarnaast zijn zij
verplichtingen aangegaan voor € 75 miljoen. De ontvangsten bedroegen € 7 miljoen.

Verantwoordingsonderzoek Ministerie van AZ

6

Algemene Rekenkamer

Tabel 1 Ministerie van Algemene Zaken (IIIA) in cijfers in miljoenen € en aantallen fte’s
2018

2019

2020

Verplichtingen

60

62

70

Uitgaven

60

62

70

Ontvangsten

4

4

4

357

388

420

Fte’s

Het Ministerie van Algemene Zaken (IIIA) heeft een baten-lastenagentschap: de
Dienst Publiek en Communicatie. De belangrijkste taak van dit agentschap is het
verzorgen van de overheidscommunicatie van de rijksdienst. De baten bedroegen
in 2020 € 128 miljoen, de lasten € 126 miljoen. De baten zijn afkomstig van het
Ministerie van Algemene Zaken, andere ministeries en derden.
Het Kabinet van de Koning (IIIB) heeft in 2020 € 2,7 miljoen uitgegeven, is voor
hetzelfde bedrag verplichtingen aangegaan en had € 2,7 miljoen aan ontvangsten.
Bij de CTIVD (IIIC) waren de uitgaven en verplichtingen € 2,2 miljoen.
Tabel 2 Het Kabinet van de Koning (IIIB) in cijfers in miljoenen €
2018

2019

2020

Verplichtingen

2

3

3

Uitgaven

2

3

3

Ontvangsten

2

3

3

2018

2019

2020

Verplichtingen

2

2

2

Uitgaven

2

2

2

0,04

0,002

0,001

Tabel 3 De CTIVD (IIIC) in cijfers in miljoenen €

Ontvangsten

Verantwoordingsonderzoek Ministerie van AZ

7

Algemene Rekenkamer

Figuur 1 Uitgaven Ministerie van Algemene Zaken in 2020

De minister van AZ geeft het meeste geld uit aan apparaatsuitgaven
Apparaatsuitgaven AZ

Dienst Publiek en Communicatie

Kabinet van de Koning

Commissie van toezicht op de Inlichtingen- en veiligheidsdiensten

Rijksvoorlichtingsdienst

Toetsingscommissie Inzet Bevoegdheden

Wetenschappelijke Raad voor het Regeringsbeleid

0

10

20

30

40

Uitgaven x € miljoen

Verantwoordingsonderzoek Ministerie van AZ

8

Algemene Rekenkamer

3.
Financiële informatie
In dit hoofdstuk bespreken we de resultaten van ons onderzoek naar de financiële
verantwoordingsinformatie in het Jaarverslag 2020 van het Ministerie van Algemene
Zaken (IIIA), het Kabinet van de Koning (IIIB) en de Commissie van Toezicht op de
Inlichtingen- en Veiligheidsdiensten (IIIC).
Wij werken zoveel mogelijk conform de internationale controlestandaarden voor
rekenkamers (International Standards of Supreme Audit Institutions, ISSAIs).
We houden daarbij rekening met het controlebestel waarin de Auditdienst Rijk
(ADR) als intern controleur het jaarverslag certificeert. Voor haar oordeel maakt
de Algemene Rekenkamer daarom zoveel mogelijk gebruik van de resultaten van
de werkzaamheden van de ADR conform de Comptabiliteitswet 2016.
Als gevolg van de invloed van het coronacrisis op de (werk)omstandigheden heeft de
Algemene Rekenkamer een beperkt deel van de werkzaamheden risicogericht moeten
bijstellen in de afrondende fase van de controle. Die bijstelling heeft voornamelijk
betrekking op de controle van delen van de saldibalans en de toets op de verslag­
gevingsvereisten. Door gebruik te maken van de werkzaamheden van de ADR in
aanvulling op onze eigen werkzaamheden gedurende het jaar, hebben wij een
voldoende basis voor onze financiële oordelen.
We geven oordelen over de rechtmatigheid, betrouwbaarheid en ordelijkheid van
de financiële verantwoordingsinformatie. Dat doen we in § 3.1 op totaalniveau en
in § 3.2 op artikelniveau. In onderstaande figuur zijn onze oordelen weergegeven.

Verantwoordingsonderzoek Ministerie van AZ

9

Algemene Rekenkamer

Figuur 2 Financieel oordeel bij het Jaarverslag 2020

Financieel oordeel bij het Jaarverslag 2020 van het Ministerie van
Algemene Zaken, het Kabinet van de Koning en de Commissie
van Toezicht op de Inlichtingen- en Veiligheidsdiensten
De financiële verantwoordingsinformatie in het Jaarverslag
2020 van het Ministerie van Algemene Zaken, het Kabinet van
de Koning en de Commissie van Toezicht op de Inlichtingenen Veiligheidsdiensten voldoet op totaalniveau aan de
daaraan te stellen eisen, zoals opgenomen in de
Comptabiliteitswet 2016 en de Rijksbegrotingsvoorschriften.

Op totaalniveau
Rechtmatigheid van de
verplichtingen
Rechtmatigheid van de
uitgaven en ontvangsten
Betrouwbaarheid en ordelijkheid
van de verplichtingen
Betrouwbaarheid en ordelijkheid
van de uitgaven en ontvangsten
Tolerantiegrens

Gedetailleerde informatie over de geconstateerde fouten en onzekerheden in de
verplichtingen en in de uitgaven en ontvangsten staat in afzonderlijke overzichten
in bijlage 1.

3.1 Oordeel over de financiële verantwoordings­
informatie op totaalniveau
In deze paragraaf geven wij onze oordelen over de financiële verantwoordings­
informatie op totaalniveau.

Verantwoordingsonderzoek Ministerie van AZ

10

Algemene Rekenkamer

De financiële verantwoordingsinformatie in het Jaarverslag 2020 van het
Ministerie van Algemene Zaken, het Kabinet van de Koning en de Commissie
van Toezicht op de Inlichtingen- en Veiligheidsdiensten, onderdeel Ministerie
van Algemene Zaken (IIIA):
• is op totaalniveau rechtmatig;
• is op totaalniveau betrouwbaar en ordelijk en voldoet aan de regels voor
het inrichten van de jaarverslagen.

De financiële verantwoordingsinformatie in het Jaarverslag 2020 van het
Ministerie van Algemene Zaken, het Kabinet van de Koning en de Commissie
van Toezicht op de Inlichtingen- en Veiligheidsdiensten, onderdeel Kabinet van
de Koning (IIIB):
• is op totaalniveau rechtmatig;
• is op totaalniveau betrouwbaar en ordelijk en voldoet aan de regels voor
het inrichten van de jaarverslagen.

De financiële verantwoordingsinformatie in het Jaarverslag 2020 van het
Ministerie van Algemene Zaken, het Kabinet van de Koning en de Commissie
van Toezicht op de Inlichtingen- en Veiligheidsdiensten, onderdeel Commissie
van Toezicht op de Inlichtingen- en Veiligheidsdiensten (IIIC):
• is op totaalniveau rechtmatig;
• is op totaalniveau betrouwbaar en ordelijk en voldoet aan de regels voor
het inrichten van de jaarverslagen.
Wij geven deze oordelen onder het voorbehoud dat de Staten-Generaal goedkeuring
zullen verlenen aan de slotverschillen waarin alle geraamde uitgaven, verplichtingen
en ontvangsten uit de begroting van het Ministerie van Algemene Zaken (begrotings­
hoofdstuk III) in overeenstemming zijn gebracht met de uiteindelijk gerealiseerde
bedragen.

Verantwoordingsonderzoek Ministerie van AZ

11

Algemene Rekenkamer

Voorbehoud slotverschillen – nog door de Staten-Generaal te autoriseren
budgetten
Het bedrag aan verplichtingen dat in het Jaarverslag 2020 van het Ministerie
van Algemene Zaken is opgenomen omvat € 1,2 miljoen aan overschrijdingen
op het begrotingsartikel 1. Het bedrag aan uitgaven omvat eveneens € 1,2
miljoen aan overschrijdingen op het begrotingsartikel 1. Gaan de StatenGeneraal niet akkoord met de daarmee samenhangende slotverschillen,
dan moeten wij onze oordelen over de financiële verantwoordingsinformatie
mogelijk herzien.

3.2 Oordeel over de financiële verantwoordings­
informatie op artikelniveau
In deze paragraaf geven wij onze oordelen over de financiële verantwoordings­
informatie op artikelniveau.
De financiële verantwoordingsinformatie in het Jaarverslag 2020 van het
Ministerie van Algemene Zaken, het Kabinet van de Koning en de Commissie
van Toezicht op de Inlichtingen- en Veiligheidsdiensten, onderdeel Ministerie
van Algemene Zaken (IIIA):
• is op artikelniveau rechtmatig;
• is op artikelniveau betrouwbaar en ordelijk en voldoet aan de regels voor
het inrichten van de jaarverslagen.

De financiële verantwoordingsinformatie in het Jaarverslag 2020 van het
Ministerie van Algemene Zaken, het Kabinet van de Koning en de Commissie
van Toezicht op de Inlichtingen- en Veiligheidsdiensten, onderdeel Kabinet van
de Koning (IIIB):
• is op artikelniveau rechtmatig;
• is op artikelniveau betrouwbaar en ordelijk en voldoet aan de regels voor
het inrichten van de jaarverslagen.

Verantwoordingsonderzoek Ministerie van AZ

12

Algemene Rekenkamer

De financiële verantwoordingsinformatie in het Jaarverslag 2020 van het
Ministerie van Algemene Zaken, het Kabinet van de Koning en de Commissie
van Toezicht op de Inlichtingen- en Veiligheidsdiensten, onderdeel Commissie
van Toezicht op de Inlichtingen- en Veiligheidsdiensten (IIIC):
• is op artikelniveau rechtmatig;
• is op artikelniveau betrouwbaar en ordelijk en voldoet aan de regels voor
het inrichten van de jaarverslagen.

Verantwoordingsonderzoek Ministerie van AZ

13

Algemene Rekenkamer

4.
Bedrijfsvoering
In dit hoofdstuk bespreken we de resultaten van ons onderzoek naar de bedrijfsvoering
van het Ministerie van Algemene Zaken, het Kabinet van de Koning en de Commissie
van Toezicht op de Inlichtingen- en Veiligheidsdiensten. We beschrijven kort in
hoeverre de situatie is veranderd vergeleken met 2019 en we staan stil bij enkele
belangrijke ontwikkelingen in de bedrijfsvoering van het ministerie (§ 4.1). Aansluitend
geven we een oordeel over de bedrijfsvoering (§ 4.2). In de daaropvolgende paragraaf
bespreken we belangrijke risico’s en aandachtspunten (§ 4.3). We sluiten dit hoofd­
stuk af met ons oordeel over de totstandkoming van de informatie over de bedrijfs­
voering die de minister van Algemene Zaken in zijn jaarverslag verstrekt (§ 4.4).

4.1 Ontwikkelingen in de bedrijfsvoering
Programma AZ Next
De Unit ICT van het Ministerie van Algemene Zaken is in 2019 gestart met het
programma AZ Next. Dit programma is nodig omdat de dienstverlening van de Unit
ICT niet is gericht op de wensen van de organisatie, de omgeving niet toekomst­
bestendig is en de ICT matig beheersbaar is. Het programma heeft als doel de
werkplekdienstverlening, het Document Management Systeem en de IT-infrastructuur
die daarvoor nodig is, volledig te vervangen. In 2019 is de voorbereiding van het
programma gedaan. Eind 2019 was de planning dat het programma voor de zomer
van 2021 afgerond moet zijn.

Verantwoordingsonderzoek Ministerie van AZ

14

Algemene Rekenkamer

Voordat de uitvoering van het programma AZ Next in 2020 kon beginnen, heeft het
Ministerie van Algemene Zaken een toets laten uitvoeren door het Bureau ICT-toetsing
(BIT). Het BIT is in mei 2020 gestart met de toets en in november ontving het ministerie
het definitieve advies. De daadwerkelijke uitvoering van AZ Next is aangehouden
totdat het definitieve BIT-advies was afgegeven. Daarom heeft het grootste gedeelte
van 2020 voor het programma in het teken gestaan van de BIT-toets.
Het BIT heeft naar hun opvatting serieuze zorgpunten benoemd en een aantal adviezen
gedaan. Op 9 december 2020 heeft de Minister van Algemene Zaken een brief aan de
Tweede Kamer gestuurd met daarin de reactie op de uitkomsten van de BIT-toets. In
de brief zet de minister uiteen hoe het Ministerie van Algemene Zaken de zorgpunten
van het BIT adresseert en de beschreven risico’s mitigeert.
De uitvoering van het programma AZ Next heeft in 2020 vertraging opgelopen. Deze
vertraging kent de volgende oorzaken. De uitbraak van het nieuwe coronavirus heeft
zijn weerslag gehad op het Ministerie van Algemene Zaken. Door de uitbraak moest
in een korte tijd het thuiswerken voor de medewerkers van het ministerie worden
ingericht, terwijl op kantoor werken voorheen de norm was. Het heeft de nodige
capaciteit van het ministerie gevraagd om het thuiswerken te organiseren. Daardoor
was er minder capaciteit beschikbaar voor AZ Next. Daarnaast nam de BIT-toets
meer tijd in beslag dan verwacht. Het ministerie heeft bewust gewacht met de
uitvoering van het programma AZ Next, totdat het ministerie het definitieve BIT-advies
had ontvangen. Alleen no-regret-maatregelen om de continuïteit van dienstverlening
te borgen werden uitgevoerd. Het Ministerie van Algemene Zaken is eind 2020 aan
de slag gegaan met de uitkomsten en de opvolging van de adviezen van het BIT. De
adviezen die voortkomen uit de BIT-toets en de gevolgen van de coronapandemie
voor de organisatie zijn van invloed op de planning en uitvoering van het programma
AZ Next. De planning is daarom aangepast en het programma loopt nu door tot in 2023.
Wij zijn van oordeel dat het gezien de omstandigheden een verstandige keuze is
dat het Ministerie van Algemene Zaken een BIT-toets heeft laten uitvoeren, en we
begrijpen de vertraging die ook hierdoor is opgetreden. Wel bevelen wij het Ministerie
van Algemene Zaken aan om in 2021 prioriteit te geven aan de uitvoering van het
programma.
Renovatie Binnenhof
Wegens de renovatie van het Binnenhofcomplex verhuist het Ministerie van Algemene
Zaken tijdelijk naar de omgeving van het Catshuis. In 2019 is besloten de verhuizing
een jaar uit te stellen, tot de zomer van 2021. In 2020 is gebleken dat deze planning
niet zou worden gehaald. De voornaamste redenen hiervoor zijn vertragingen in het

Verantwoordingsonderzoek Ministerie van AZ

15

Algemene Rekenkamer

ontwerpproces, de invoering van de nieuwe stikstofwet en realisatie van de
strenge beveiligingsvoorschriften. Het Ministerie van Algemene Zaken kan
daardoor niet eerder dan halverwege 2022 naar het Catshuisterrein verhuizen.
Naast het Ministerie van Algemene Zaken zijn ook de Eerste Kamer, Tweede Kamer
en een deel van de Raad van State gevestigd op het Binnenhof. Deze organisaties
moeten ook tijdelijk verhuizen. De verhuizing van deze 3 organisaties is voorzien
in het zomerreces van 2021.
De kosten van de verhuizing en de renovatie van het Binnenhof zijn door het Rijks­
vastgoedbedrijf in 2015 geraamd op € 475 miljoen. De raming van de totale kosten
is in 2020 verhoogd tot € 562 miljoen door aanpassing van het prijspeil. Deze kosten
komen voor rekening van het Rijksvastgoedbedrijf via de begroting van het Ministerie
van Binnenlandse Zaken en Koninkrijksrelaties. De kosten die met de verhuizing van
het Ministerie van Algemene Zaken samenhangen, zijn niet geraamd in de begroting
van hoofdstuk III, maar zijn opgenomen in de begroting van het Rijksvastgoedbedrijf.
Binnen de begroting van het Ministerie van Algemene Zaken is alleen een budget
gereserveerd voor de niet-huisvestingskosten. Dit budget was in eerste instantie
voor 2020 geraamd en is nu doorgeschoven naar 2021.

4.2 Oordeel over de bedrijfsvoering
In deze paragraaf geven wij ons oordeel over de bedrijfsvoering van het Ministerie
van Algemene Zaken, het Kabinet van de Koning en de Commissie van Toezicht op
de Inlichtingen- en Veiligheidsdiensten.
De onderdelen van de bedrijfsvoering van het Ministerie van Algemene Zaken,
het Kabinet van de Koning en de Commissie van Toezicht op de Inlichtingenen Veiligheidsdiensten die wij hebben onderzocht, voldeden in 2020 aan de
gestelde eisen.

4.3 Belangrijke risico’s en aandachtspunten in
de bedrijfsvoering
4.3.1 Lifecyclemanagement
Aandachtspunt: beheerst en planmatig onderhoud van het IT-landschap
Het beheerst en planmatig onderhoud van het IT-landschap wordt ook wel lifecycle­
management genoemd. Een goed ingericht lifecyclemanagementproces1 verkleint

Verantwoordingsonderzoek Ministerie van AZ

16

Algemene Rekenkamer

het risico dat niet-functionerende of verouderde IT-systemen de dienstverlening aan
burgers en bedrijven verstoren. Afgelopen jaar werd de waarde van IT-systemen
zichtbaarder dan ooit. Dankzij snelle aanpassingen van IT-systemen konden financiële
steunmaatregelen voor burgers en bedrijven snel worden opgezet en uitgevoerd.
Dankzij een robuuste IT-infrastructuur en IT-toepassingen konden tienduizenden
ambtenaren van de ene op de andere dag vanuit huis hun werk voortzetten. Juist
in tijden van crisis is het belangrijk dat IT-systemen snel en gemakkelijk aangepast
kunnen worden aan een nieuwe realiteit. Ook is het belangrijk dat IT-systemen
robuust genoeg zijn om grote pieken in het gebruik aan te kunnen. Goed ingericht en
planmatig uitgevoerd onderhoud van de IT-systemen draagt bij aan de inzetbaarheid
van IT en zo aan de continuïteit van de overheidsdienstverlening.
De departementale chief information officer (CIO) is de belangrijkste adviseur van
de minister op het gebied van het IT-landschap van het ministerie. Deze CIO is verant­
woordelijk voor “het ontwikkelen en coördineren van lifecyclemanagement in het hele
departement” en zorgt ervoor dat op het niveau van het hele ministerie planmatig
onderhoud van de IT-systemen op orde is. Deze rol van de departementale CIO is
opgenomen in het Besluit CIO-stelsel Rijksdienst 2021.2
Planmatig en beheerst onderhoud van het IT-landschap begint met inzicht in dat
landschap, inclusief de bijbehorende levensfase, risico’s en financiële aspecten
van de IT-systemen. Dat inzicht is immers de noodzakelijke basis om verouderde
systemen aan te pakken, systemen bij de tijd te houden die belangrijk zijn voor de
dienstverlening aan burgers en bedrijven, en om keuzes te kunnen maken over de
inzet van IT-experts en geld. In het verantwoordingsonderzoek over 2020 hebben wij
onderzocht in hoeverre de CIO van het Ministerie van Algemene Zaken inzicht heeft
in het IT-landschap.
Inzicht in IT-landschap heeft meer aandacht nodig
De CIO van het Ministerie van Algemene Zaken heeft AZ-brede kritieke informatie­
systemen en kantoor- en bedrijfsapplicaties in beeld via een centrale applicatiedata­
base. Het inzicht in de status van applicaties is echter niet volledig en beperkt zich
tot inzicht in hun levensfase.
De CIO beschikt over een algemeen beeld van de financiële aspecten van het
IT-landschap, maar niet over de financiële aspecten (zoals vervangingskosten)
per applicatie. Hierdoor is de CIO beperkt in zijn mogelijkheden om te sturen op
het bestaande IT-landschap en bestaat het risico dat onderhoud, vernieuwing en
vervanging van IT-systemen en applicaties niet tijdig kunnen worden uitgevoerd.
Het ministerie is bezig met het verbeteren van het inzicht in het IT-landschap en

Verantwoordingsonderzoek Ministerie van AZ

17

Algemene Rekenkamer

het inrichten van het applicatieportfoliomanagement, bijvoorbeeld door het gestructu­
reerd bijhouden van de applicatiedatabase. Met beter inzicht in de status van het
IT-landschap en de financiële aspecten kan de CIO gerichter sturen op onderhoud
van IT en daarmee op de continuïteit van de processen binnen het Ministerie van
Algemene Zaken.
Conclusie en aanbevelingen
Het inzicht dat de CIO heeft in het IT-landschap is niet volledig en behoeft aandacht.
Wij bevelen de minister van Algemene Zaken aan om:
• structureel de kwaliteit van de applicaties bij te houden in de applicatiedatabase
zodat beheer, onderhoud en vernieuwing ingezet kunnen worden om
de continuïteitsrisico’s te verkleinen of weg te nemen;
• na en tijdens de vernieuwing door het programma AZ Next aandacht te
blijven besteden aan beheer en onderhoud van het bestaande IT-landschap.

4.3.2 Informatiebeveiliging

Wereldwijd zijn overheden vrijwel dagelijks doelwit van cyberaanvallen. Zo werd eind
2020 bekend dat hackers bij meerdere Amerikaans ministeries waren binnendrongen.
Ook in Nederland is de publieke sector een doelwit. Recente cyberaanvallen op de
gemeente Hof van Twente, de Partij van de Arbeid en hogeronderwijsinstellingen
in Amsterdam illustreren dat. In het licht van deze permanente dreiging oordelen
wij over de informatiebeveiliging van ministeries en Hoge Colleges van Staat. Het
massale thuiswerken als gevolg van de coronamaatregelen bracht in 2020 nieuwe
risico’s. Met het samenwerken op afstand maakte de overheid zich afhankelijk van
de beschikbaarheid van digitale middelen en de waarborgen die ze moeten bieden
bij het vertrouwelijk delen van informatie. In een focusonderzoek naar digitaal thuis­
werken constateerden we in 2020 dat ambtenaren ICT bij het thuiswerken soms
gebruiken op een manier die risico’s voor de informatiebeveiliging met zich mee­
brengt. Bijvoorbeeld door tegen de afspraken in vertrouwelijke informatie te delen
via WhatsApp.
Bevindingen
Bij het Ministerie van Algemene Zaken verviel op basis van het verantwoordings­
onderzoek 2019 de onvolkomenheid op informatiebeveiliging. Wel deden wij een
aanbeveling om het incidentmanagement verder te verbeteren. We constateren in
2020 dat deze aanbeveling deels is opgevolgd. In 2020 is het ministerie begonnen
met een project om alle processen rond het beheren van ICT te herzien. Daaronder
zijn processen om informatiebeveiligingsincidenten te melden, vast te leggen en
op te lossen.

Verantwoordingsonderzoek Ministerie van AZ

18

Algemene Rekenkamer

Hiernaast onderzochten we de werking van het risico- en incidentmanagement voor
WhatsApp en de videobelvoorziening Webex. Voor videovergaderen maakte het
Ministerie van Algemene Zaken in 2020 gebruik van het door de CIO Rijk aan meerdere
organisaties beschikbaar gestelde Webex. Bij ingebruikname van een nieuwe applica­
tie moet een organisatie volgens de Baseline Informatiebeveiliging Overheid (BIO) de
risico’s daarvan voor de informatiebeveiliging expliciet afwegen en eventueel extra
maatregelen treffen om veilig gebruik te waarborgen. Het Ministerie van Algemene
Zaken heeft Webex in 2020 gebruikt zonder een dergelijke expliciete risicoafweging.
Gedurende 2020 werkte de CIO Rijk aan een risicoanalyse, als gezamenlijke basis
waarmee de afnemers van Webex risico’s af konden wegen voor hun specifieke
situatie. Deze risicoanalyse is eind 2020 afgerond. Het Ministerie van Algemene
Zaken heeft in 2020 de informatiebeveiligingsrisico’s bij gebruik van Webex niet zelf
afgewogen, omdat volgens het ministerie de minister van Binnenlandse Zaken en
Koninkrijksrelaties (BZK) verantwoordelijk is voor de informatiebeveiliging van Webex.
Wij hebben begrip voor de omstandigheden waaronder Webex in gebruik is genomen.
Tegelijkertijd wijzen wij op de verantwoordelijkheid van de vakministers voor informa­
tiebeveiliging op het eigen departement. Individuele afnemers van Webex moeten de
mogelijke risico’s expliciet wegen conform de BIO, ook al betreft het een gemeen­
schappelijke dienst. Bij uitblijven van een risicoanalyse van de CIO Rijk als basis voor
die afweging had het Ministerie van Algemene Zaken de risico’s voor gebruik expliciet
moeten accepteren, op basis van voorlopige of onvolledige informatie. In ons rapport
Resultaten verantwoordingsonderzoek 2020 Ministerie van Binnenlandse Zaken en
Koninkrijksrelaties gaan we uitgebreider in op de rol van de CIO Rijk bij de introductie
van Webex.
Het Ministerie van Algemene Zaken beschouwt WhatsApp als niet-vertrouwde applicatie
en ontraadt medewerkers het gebruik ervan. Daarbij mag geen vertrouwelijke infor­
matie gedeeld worden en zijn er eisen aan het archiveren van berichten. De Wet
openbaarheid van bestuur (Wob) is namelijk ook van toepassing op communicatie
in berichtenapps als WhatsApp. Wij onderschrijven de analyse van het ministerie dat
de populariteit van WhatsApp digitale aanvallers aantrekt en er onzekerheid is over
de privacy-voorwaarden van eigenaar Facebook. Het ministerie raadt medewerkers
aan Signal te gebruiken als alternatief voor WhatsApp. Net als bij WhatsApp zijn de
berichten in Signal versleuteld, maar in tegenstelling tot WhatsApp deelt de applicatie
geen gebruikersgegevens (metadata) met de makers.
Veiligheidsbewustzijn (awareness) onder medewerkers draagt bij aan veilig en
verantwoord gebruik van ICT in een organisatie. Wij verwachten dat de awarenessaanpak van het ministerie de effectiviteit vergroot van op veiligheidsbewustzijn

Verantwoordingsonderzoek Ministerie van AZ

19

Algemene Rekenkamer

gerichte campagnes. Wij stellen daarom voor dat het Ministerie van Algemene
Zaken deze aanpak deelt met andere departementen.
Conclusie en oordeel
De minister van Algemene Zaken heeft de aanbeveling voor het incidentmanagement
deels opgevolgd. Gecombineerd met de bevindingen over de werking van het risicoen incidentmanagement voor Webex en WhatsApp concluderen we dat het Ministerie
van Algemene Zaken de risico’s op informatiebeveiliging voldoende beheerst. Wel
vragen we aandacht voor het expliciet afwegen van informatiebeveiligingsrisico’s
bij de introductie van nieuwe applicaties bij het Ministerie van Algemene Zaken.
Wij herhalen daarnaast de aanbeveling uit het verantwoordingsonderzoek 2019:
• Maak helder welke procesbeschrijvingen gehanteerd moeten worden bij het
incidentmanagement, zodat de werking geëvalueerd en verbeterd kan worden
in de Plan-Do-Check-Act-cyclus (PDCA-cyclus).

4.3.3 Beheer ICT-middelen

Bij het Ministerie van Algemene Zaken rapporteert de ADR al sinds 2016 een bevin­
ding over de juistheid en volledigheid van de registratie van de ICT-middelen. Bij het
Ministerie van Algemene Zaken heeft in 2019 een inventarisatie plaatsgevonden van
de ICT-middelen. Hieruit bleek een groot aantal verschillen tussen de aantallen uit
de inventarisatie en de aantallen die geregistreerd stonden in het systeem. In het
najaar van 2020 heeft het ministerie een hernieuwde inventarisatie (nulmeting)
van de ICT-middelen uitgevoerd. Hieruit blijkt dat er nog steeds verschillen bestaan
tussen de aanwezigheid en registratie van ICT-middelen. Het ministerie geeft aan
dat er verdere verbeteringen in het proces van registratie en afgifte plaatsvinden.
De verwachting is dat hierover in het eerste kwartaal van 2021 gerapporteerd kan
worden. ICT-middelen brengen een financieel risico met zich mee door hun diefstal­
gevoeligheid. Ook is er sprake van een politiek en bestuurlijk risico, namelijk als
onbevoegden toegang zouden krijgen tot gevoelige informatie. Wij bevelen het
Ministerie van Algemene Zaken aan de registratie van ICT-middelen in 2021 op
orde te brengen. Daarnaast doen wij de aanbeveling om te onderzoeken wat de
oorzaak is van de verschillen tussen de aanwezige en geregistreerde ICT-middelen.

4.3.4 General IT-controls

In 2019 heeft de ADR onderzoek verricht naar verschillende general IT-controls
(GITC). GITC zijn maatregelen die een organisatie neemt om ervoor te zorgen dat
onder andere informatie alleen kan worden ingezien door medewerkers die daartoe
bevoegd zijn en dat altijd herleidbaar is wie welke handelingen in het systeem heeft
verricht. In 2019 zijn bij 2 belangrijke onderdelen van de IT-infrastructuur meer

Verantwoordingsonderzoek Ministerie van AZ

20

Algemene Rekenkamer

accounts met beheerbevoegdheden aangetroffen dan gezien de functie van de
accounthouders nodig is. Bij de controle in 2020 heeft de ADR deze onderdelen
opnieuw onderzocht. Uit dit onderzoek bleek weer dat er te veel persoonsgebonden
accounts met vergaande beheerbevoegdheden zijn dan uit hoofde van de functies
van de accounthouders nodig is. Hierdoor bestaat nog altijd het risico op foutieve
handelingen of bewust misbruik van de bevoegdheden.
Wij bevelen de minister van Algemene Zaken aan om het aantal accounts met
systeembeheerbevoegdheden terug te brengen en voor de resterende accounts
de noodzaak van de bevoegdheden te onderbouwen. Ook bevelen wij aan een
autorisatiematrix op te stellen waarin de beheerbevoegdheden op persoonsniveau
of per functie vooraf zijn geautoriseerd door het management.

4.3.5 Inkoopbeheer en prestatieverklaringen

Voor een klein aantal onderdelen van dit begrotingshoofdstuk heeft de ADR recht­
matigheidsfouten geconstateerd. Deze worden veroorzaakt door afwijkingen van
aanbestedingsregels. De rechtmatigheidsfouten blijven ruimschoots binnen de
tolerantiegrenzen.
Wij bevelen de minister van Algemene Zaken aan om ook in de toekomst aandacht te
blijven houden voor het administreren van prestatieverklaringen bij de facturen. In het
bijzonder vragen wij aandacht hiervoor bij de hardware en software die het ministerie
voor het programma AZ Next inkoopt, omdat het hier om grote investeringen gaat.

4.4 Oordeel over totstandkoming bedrijfsvoerings­
informatie
Wij hebben de betrouwbaarheid van de totstandkoming van de bedrijfsvoerings­
informatie in het jaarverslag onderzocht, in aanvulling op ons oordeel over de
bedrijfsvoering.
De bedrijfsvoeringsinformatie in het Jaarverslag 2020 van het Ministerie van
Algemene Zaken, het Kabinet van de Koning en de Commissie van Toezicht op
de Inlichtingen- en Veiligheidsdiensten is betrouwbaar tot stand gekomen en is
niet strijdig met de financiële verantwoordingsinformatie.

Verantwoordingsonderzoek Ministerie van AZ

21

Algemene Rekenkamer

5.
Beleidsresultaten
Wij hebben onderzoek gedaan naar de informatie die de minister van Algemene
Zaken in het Jaarverslag 2020 van het begrotingshoofdstuk Algemene Zaken heeft
opgenomen over het gevoerde beleid. We geven in dit hoofdstuk een oordeel over
de totstandkoming van deze informatie.

5.1 Oordeel over totstandkoming beleidsinformatie
Wij hebben de totstandkoming van de beleidsinformatie in het jaarverslag
onderzocht.
De beleidsinformatie in het Jaarverslag 2020 van het Ministerie van Algemene
Zaken, het Kabinet van de Koning en de Commissie van Toezicht op de
Inlichtingen- en Veiligheidsdiensten is betrouwbaar tot stand gekomen en
is niet strijdig met de financiële verantwoordingsinformatie.

Verantwoordingsonderzoek Ministerie van AZ

22

Algemene Rekenkamer

6.
Reactie minister en
nawoord Algemene
Rekenkamer
De minister van Algemene Zaken heeft op 23 april 2021 gereageerd op ons
conceptrapport. Hieronder geven we zijn reactie weer. We sluiten dit hoofdstuk
af met ons nawoord.

6.1 Reactie minister van Algemene Zaken
De minister van Algemene Zaken schrijft:
“Met belangstelling heb ik kennis genomen van uw conceptrapport bij het jaarverslag
2020 van het ministerie van Algemene Zaken, het Kabinet van de Koning en de
Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten. Tot mijn
genoegen constateert u dat de in het jaarverslag opgenomen financiële verantwoor­
dingsinformatie op totaalniveau rechtmatig, betrouwbaar en ordelijk weergegeven
is en voldoet aan de regels voor het inrichten van de jaarverslagen.
Ook voldoen de door u onderzochte onderdelen van de bedrijfsvoering en
beleidsinformatie aan de gestelde eisen.
Met betrekking tot de bedrijfsvoering vraagt u wel mijn aandacht voor verdere
verbeteringen op het gebied van lifecyclemananagement, inzicht en beheer van ICT
middelen en informatiebeveiliging. De verbeterslagen op deze terreinen zijn reeds in
gang gezet. Hier gaat AZ ook in 2021 mee door. Ik licht dit per onderwerp verder toe.
Lifecyclemanagement, inzicht en beheer van ICT middelen
We herkennen de weergave met betrekking tot goed ingericht en planmatig
uitgevoerd onderhoud van de IT-systemen die bijdraagt aan de inzetbaarheid

Verantwoordingsonderzoek Ministerie van AZ

23

Algemene Rekenkamer

van IT en zo aan de continuïteit van de overheidsdienstverlening. Ten behoeve daarvan
wordt extra capaciteit vrijgemaakt. U constateert dat het inzicht dat de CIO heeft in
het IT-landschap niet volledig is en aandacht behoeft. De aanbeveling om structureel
de kwaliteit van de applicaties bij te houden in de en na en tijdens de vernieuwing
door het programma AZ Next aandacht te blijven besteden aan beheer en onderhoud
van het bestaande IT-landschap nemen we over.
Het beheer van ICT middelen is opgenomen in het verbeterplan van AZ.
Informatiebeveiliging
Informatiebeveiliging is een zeer belangrijk kwaliteitsaspect binnen de processen
en informatiesystemen van het ministerie van Algemene Zaken (AZ). U constateert
dat informatiebeveiliging grotendeels op orde is.
U constateert verder dat de aanbeveling uit uw onderzoek van 2019 om het incident­
management te verbeteren, deels is opgevolgd. U vraagt om helderheid van welke
procesbeschrijvingen gehanteerd moeten worden, zodat de werking geëvalueerd en
verbeterd kan worden in de Plan-Do-Check-Act cyclus (PDCA-cyclus). Daar gaat AZ
mee aan de slag.
Ik hoop u hiermee voldoende te hebben geïnformeerd.”

6.2 Nawoord Algemene Rekenkamer
De minister van Algemene Zaken herkent onze conclusies en neemt onze aanbevelingen
over, en zegt reeds de eerste verbeterslagen door te voeren. We zien daarom geen
aanleiding voor nadere op- of aanmerkingen.

Verantwoordingsonderzoek Ministerie van AZ

24

Algemene Rekenkamer

Bijlagen
Bijlage 1 Overzicht fouten en onzekerheden Ministerie
van Algemene Zaken, het Kabinet van de Koning en
de Commissie van Toezicht op de Inlichtingen- en
Veiligheidsdiensten 2020
Deze bijlage bevat een infographic met daarin de geconstateerde fouten en onzeker­
heden op totaalniveau en op artikelniveau. Op deze gegevens baseren wij ons oordeel
over de verplichtingen en de uitgaven en ontvangsten in het Jaarverslag 2020 van
het Ministerie van Algemene Zaken, het Kabinet van de Koning en de Commissie van
Toezicht op de Inlichtingen- en Veiligheidsdiensten.
Op onze website www.rekenkamer.nl/verantwoordingsonderzoek2020 vindt u een
overzicht van alle gecontroleerde bedragen en fouten en onzekerheden die we
aantroffen in:
• verplichtingen;
• uitgaven en ontvangsten;
• saldibalans;
• afgerekende voorschotten;
• baten-lastendiensten.
De infographic bevat ons oordeel op 2 criteria: rechtmatigheid en betrouwbaarheid
en ordelijkheid. De figuur kent de volgende onderdelen:

Verantwoordingsonderzoek Ministerie van AZ

25

Algemene Rekenkamer

• Bovenaan staat de weergave van de fouten en onzekerheden op het totaal
van de verantwoordingsstaat.
• Daarna volgen de begrotingsartikelen waarin het hoogste percentage fouten
en onzekerheden is geconstateerd. Begrotingsartikelen waarin geen fouten en
onzekerheden zijn geconstateerd zijn niet in de infographic opgenomen. Naast het
verantwoorde totaalbedrag per begroting is het totaalbedrag per begrotingsartikel
opgenomen.
• De verticale rode streep geeft de tolerantiegrens aan.
• De groene balk illustreert de relatieve financiële omvang van het begrotingsartikel
ten opzichte van het totaalbedrag per begroting.

Verplichtingen (bedragen x € 1.000)
Commissie van Toezicht
betreffende de Inlichtingenen Veiligheidsdiensten (IIIC)
Rechtmatigheid (RM)
Betrouwbaarheid en ordelijkheid (BO)

Verplichtingen
Bedragen x € 1.000
Verantwoord bedrag

Fout + Onzekerheid

RM- 0%
Totaal

1. Commissie van Toezicht
op de Inlichtingen- en
Veiligheidsdiensten

Verantwoordingsonderzoek Ministerie van AZ

2.168
217 tolerantiegrens

26

BO- 0%

//
//

BO- 0%

RM- 0%
2.168
217 tolerantiegrens

9

Tolerantiegrens

9

//
//

Algemene Rekenkamer

Uitgaven en ontvangsten (bedragen x € 1.000)
Algemene Zaken (IIIA)
Rechtmatigheid (RM)
Betrouwbaarheid en ordelijkheid (BO)

Uitgaven + Ontvangsten
Bedragen x € 1.000
Verantwoord bedrag

Fout + Onzekerheid

RM- 0%
Totaal

1. Eenheid van het
algemeen regeringsbeleid

74.277
7.428 tolerantiegrens

//
967

BO- 0%

RM- 0%
74.277
7.428 tolerantiegrens

45

//

45

BO- 0%

Tolerantiegrens

//
967

//

Kabinet van de Koning (IIIB)
Rechtmatigheid (RM)
Betrouwbaarheid en ordelijkheid (BO)

Uitgaven + Ontvangsten
Bedragen x € 1.000
Verantwoord bedrag

Fout + Onzekerheid

RM- 0%
Totaal

2.715
271 tolerantiegrens

Verantwoordingsonderzoek Ministerie van AZ

2.715
271 tolerantiegrens

27

BO- 0%

//
//

BO- 0%

RM- 0%
1. Kabinet van de Koning

5

Tolerantiegrens

5

//
//

Algemene Rekenkamer

Commissie van Toezicht
betreffende de Inlichtingenen Veiligheidsdiensten (IIIC)
Rechtmatigheid (RM)
Betrouwbaarheid en ordelijkheid (BO)

Uitgaven + Ontvangsten
Bedragen x € 1.000
Verantwoord bedrag

Fout + Onzekerheid

RM- 0%
Totaal

1. Commissie van Toezicht
op de Inlichtingen- en
Veiligheidsdiensten

Verantwoordingsonderzoek Ministerie van AZ

2.169
217 tolerantiegrens

28

BO- 0%

//
//

BO- 0%

RM- 0%
2.169
217 tolerantiegrens

3

Tolerantiegrens

3

//
//

Algemene Rekenkamer

Bijlage 2 Over het verantwoordingsonderzoek
In ons jaarlijkse verantwoordingsonderzoek beoordelen wij de jaarverslagen die
de ministers op Verantwoordingsdag aanbieden aan de Staten-Generaal. Wij onder­
zoeken ook de bedrijfsvoering en beleidsresultaten van de ministeries gedurende
het begrotingsjaar.
Wij voeren ons onderzoek uit op basis van de internationale kwaliteitsstandaarden
voor rekenkamers, de International Standards of Supreme Audit Institutions (ISSAIs).
Ons kwaliteitssysteem vereist dat wij onafhankelijk, integer en deskundig zijn, gedegen
onderzoek doen, onze oordelen goed onderbouwen met feiten en daarover helder
rapporteren. We waarborgen de kwaliteit van onze onderzoeksrapporten door een
interne kwaliteitstoets uit te voeren.
Deze bijlage beschrijft kort de manier waarop wij ons verantwoordingsonderzoek
uitvoeren. Een uitgebreide methodologische verantwoording staat op onze website:
www.rekenkamer.nl/verantwoordingsonderzoek2020.
Financiële informatie
De financiële verantwoordingsinformatie die wij onderzoeken bestaat uit de rijks­
rekening en de rijkssaldibalans in het Financieel Jaarverslag van het Rijk, en de
jaarverslagen van de ministeries (art. 7.12 CW 2016, 1e lid onder c). De minister
van Financiën is verantwoordelijk voor het opmaken van het Financieel Jaarverslag
van het Rijk (art. 2.29 CW 2016, 4e lid).
Wij onderzoeken of:
• de financiële verantwoordingsinformatie in de rijksrekening en de rijkssaldibalans
aansluit op de financiële verantwoordingsinformatie in de verantwoordingsstaten
en de saldibalansen in de jaarverslagen van de ministeries (art. 3.8 CW 2016,
2e lid);
• de financiële verantwoordingsinformatie in de jaarverslagen van de ministeries
aan de wettelijke eisen voldoet.
Op basis van ons onderzoek geven wij een verklaring van goedkeuring bij de
rijks­rekening en de rijkssaldibalans (art. 7.14 CW 2016, 2e lid). Deze verklaring
is een voorwaarde voor de Staten-Generaal om, aan de hand van het betreffende
jaarverslag, goedkeuring te kunnen verlenen aan de minister voor het gevoerde
financieel beheer (art. 2.40 CW 2016, 2e lid).

Verantwoordingsonderzoek Ministerie van AZ

29

Algemene Rekenkamer

De verklaring van goedkeuring nemen wij op in ons rapport Staat van de rijksverantwoording. Hierin geven wij een beschouwing over het jaar dat is onderzocht. Het
oordeel van de Algemene Rekenkamer is een bestuurlijk oordeel, geen controle­
verklaring zoals een accountant afgeeft. Wij kunnen bij onze verklaring een aan­
tekening plaatsen als wij bezwaar hebben gemaakt tegen het financieel beheer,
de materiële bedrijfsvoering of de verantwoording daarover en dat bezwaar
handhaven (art. 7.22 CW 2016, 6e lid).
Wij onderzoeken de jaarverslagen van de ministeries. De inhoud van de jaarverslagen
is uitgewerkt in de Regeling Rijksbegrotingsvoorschriften. De minister is verantwoor­
delijk voor het opmaken van het jaarverslag (art. 2.29 CW 2016, 2e lid).
Wij onderzoeken of de financiële verantwoordingsinformatie voldoet aan de normen
van betrouwbaarheid, ordelijkheid en rechtmatigheid. Ook onderzoeken we of de
jaarverslagen op de juiste manier zijn ingericht (art. 3.8 CW 2016, 1e lid).
Voor de normen voor onderzoek naar financiële informatie (financial audit) sluiten
de ISSAIs aan bij de internationale controlestandaarden: de International Standards
of Auditing (ISA). Deze standaarden stellen gedetailleerde eisen aan de planning en
uitvoering van een controle en aan de rapportage daarover. Wij passen de ISSAIs toe,
rekening houdend met de inrichting van het Nederlandse controlebestel en de comp­
tabele regelgeving. De jaarverslagen van de ministeries worden gecontroleerd door
de Auditdienst Rijk (ADR). De ADR geeft bij elk jaarverslag een controleverklaring af.
Om efficiënt te werken maken wij zoveel mogelijk gebruik van de controlewerkzaam­
heden van de ADR. Wij toetsen jaarlijks het kwaliteitssysteem van de ADR en stellen
risicogericht vast of de controlewerkzaamheden van de ADR goed zijn uitgevoerd en
de bevindingen hebben geleid tot de juiste oordelen. Daartoe reviewen wij de controle
van de ADR en voeren wij aanvullende eigen controlewerkzaamheden uit. Daarnaast
ligt onze opdracht en de formulering van ons oordeel vast in de Comptabiliteitswet.
Wij leggen onze bevindingen en conclusies uit het onderzoek vast in een rapport per
jaarverslag (art. 7.14 CW 2016, 1e lid). De Algemene Rekenkamer geeft bestuurlijke
oordelen over de betrouwbaarheid, ordelijkheid en rechtmatigheid op totaalniveau
en op artikelniveau.
Belangrijke fouten en onzekerheden lichten wij toe als uitzondering bij ons oordeel.
Een fout of onzekerheid kan om 2 redenen belangrijk zijn:

Verantwoordingsonderzoek Ministerie van AZ

30

Algemene Rekenkamer

• op grond van de financiële omvang, als de fout of onzekerheid hoger is dan
de tolerantiegrens;
• op grond van de aard van de fout, los van de financiële omvang.
Deze fouten en onzekerheden nemen wij op in een toelichtende paragraaf
bij ons oordeel.
Bedrijfsvoering
De minister is verantwoordelijk voor:
• de bedrijfsvoering van het ministerie;
• het periodiek onderzoeken van de doeltreffendheid en doelmatigheid
van die bedrijfsvoering;
• het begrotingsbeheer en de daartoe gevoerde administraties;
• het financieel beheer en de daartoe gevoerde administraties;
• het materieelbeheer voor zover dat betrekking heeft op roerende zaken
en de daartoe gevoerde administraties (art. 4.1 CW 2016, 2e lid);
• het opmaken van het jaarverslag (art. 2.29 CW 2016, 2e lid).
Wij onderzoeken of:
• het begrotingsbeheer ordelijk en controleerbaar is (art. 3.2 CW 2016);
• het financieel beheer doelmatig, rechtmatig, ordelijk en controleerbaar is
(art. 3.2 CW 2016);
• het verwerven, beheren en afstoten van materieel doelmatig, rechtmatig,
ordelijk en controleerbaar is (art. 3.4 CW 2016);
• de financiële administratie betrouwbaar en controleerbaar wordt ingericht
en gevoerd (art. 3.5 CW 2016);
• de overige aspecten van de bedrijfsvoering, zoals informatiebeveiliging, IT-beheer,
management control, sturing en toezicht, voldoen aan de daaraan te stellen eisen;
• de niet-financiële verantwoordingsinformatie in het jaarverslag over de bedrijfs­
voering betrouwbaar tot stand is gekomen en niet strijdig is met de financiële
verantwoordingsinformatie (art. 3.9 CW 2016).
De eisen waaraan de bedrijfsvoering moet voldoen zijn uitgewerkt in lagere regel­
geving en/of opgenomen in beoordelingskaders die de Algemene Rekenkamer of
andere organisaties hebben opgesteld. Waar dat van belang is, vermelden wij het
normenkader dat wij hebben gehanteerd.
Het normenkader voor het verantwoordingsonderzoek naar de informatiebeveiliging
komt voort uit de Baseline Informatiebeveiliging Overheid (BIO). De BIO bevat maat­
regelen om informatiebeveiligingsrisico’s te beheersen. We toetsen een selectie van

Verantwoordingsonderzoek Ministerie van AZ

31

Algemene Rekenkamer

deze beheersmaatregelen binnen 4 aandachtsgebieden: governance, organisatie,
risicomanagement en incidentmanagement. Daarmee richten we ons op het
fundament van de informatiebeveiliging binnen organisaties. We toetsen zowel de
beschreven procedures en verantwoordelijkheidsverdeling op papier, als de werking
daarvan in de praktijk.
Voor elke organisatie beoordelen we de effectiviteit van de beheersmaatregelen:
in hoeverre dragen zij bij aan het beheersen van een informatiebeveiligingsrisico?
Vervolgens bepalen we met een risico-impactanalyse de ernst van de bevinding
per beheersmaatregel. De ernst hangt onder andere af van de context van het depar­
tement en of het ministerie aanvullende beheersmaatregelen heeft getroffen bij het
risico. Daarnaast nemen we in ons eindoordeel mee in hoeverre onze aanbevelingen
uit eerdere verantwoordingsonderzoeken zijn opgevolgd.
Het normenkader voor het onderzoek naar het lifecyclemanagement van het ITlandschap is gebaseerd op relevante normen en best practices uit de internationaal
geaccepteerde raamwerken COBIT, ITIL en ASL. Deze normen en best practices zijn
vervolgens gemodelleerd naar de situatie bij het Rijk.
Het normenkader is opgebouwd uit de 5 stappen in het lifecyclemanagementproces,
het inzicht in het IT-landschap en de PDCA-cyclus van Deming (Plan, Do, Check, Act).
In het verantwoordingsonderzoek 2020 beoordelen wij de beheersingsmaatregelen
die zijn getroffen om te voldoen aan de normen met betrekking tot het inzicht in het
IT-landschap.
Een groot deel van de taken en verantwoordelijkheden die horen bij lifecycle­
management zijn belegd bij de departementale CIO’s. We toetsen alleen de normen
bij hun taken en verantwoordelijkheden voor het lifecyclemanagement. Deze taken
en verantwoordelijkheden zijn bijvoorbeeld vastgelegd in (openbare) Kamerstukken,
maar ook in stukken die in het rijksbrede CIO-beraad zijn gepasseerd.
Wij onderzoeken niet ieder jaar alle onderdelen van de bedrijfsvoering. Wij maken
een selectie op basis van risicoanalyse en periodiciteit. Als wij in ons onderzoek
tekortkomingen constateren in de bedrijfsvoering, vermelden wij deze. Wij spreken
dan van (ernstige) onvolkomenheden. In onze rapporten geven we niet alleen informatie
over de onvolkomenheden, maar ook over belangrijke risico’s en aandachtspunten.
Daarnaast geven wij een oordeel over de totstandkoming van de bedrijfsvoerings­
informatie in het jaarverslag. Het onderzoek naar de betrouwbare totstandkoming

Verantwoordingsonderzoek Ministerie van AZ

32

Algemene Rekenkamer

richt zich op het proces van de totstandkoming van de informatie en minder op
de informatie zelf. Wij geven dus geen oordeel over deze niet-financiële informatie.
Beleidsresultaten
De minister is verantwoordelijk voor:
• het ontwikkelen, vaststellen en uitvoeren van het beleid;
• het toezicht houden op het uitvoeren van het beleid;
• het periodiek onderzoeken van de doeltreffendheid en doelmatigheid
van het beleid;
• de in de begroting opgenomen informatie;
• de in het jaarverslag opgenomen informatie (art. 4.1 CW 2016).
Wij onderzoeken of:
• het gevoerde beleid doeltreffend en doelmatig is (art. 7.16 CW 2016);
• de niet-financiële verantwoordingsinformatie in het jaarverslag over het
beleid betrouwbaar tot stand is gekomen en niet strijdig is met de financiële
verantwoordingsinformatie (art. 3.9 CW 2016).
In het onderzoek gaat het vooral om de vraag of de belastingbetaler waar voor zijn
geld krijgt en of de ministers het parlement hierover voldoende informeren. De eisen
waaraan beleid moet voldoen zijn uitgewerkt in lagere regelgeving en/of opgenomen
in beoordelingskaders die de Algemene Rekenkamer of andere organisaties hebben
opgesteld. Waar dat van belang is, vermelden wij het normenkader dat wij hebben
gehanteerd.
Wij selecteren de beleidsterreinen die wij onderzoeken op basis van thema en
maatschappelijke relevantie. De concrete vraagstelling en normstelling verschilt
per onderzoek.
Ons onderzoek naar de doelmatigheid en doeltreffendheid van beleid binnen het
verantwoordingsonderzoek leidt tot bevindingen, conclusies en aanbevelingen.
Daarnaast geven wij een oordeel over de totstandkoming van de beleidsinformatie
in het jaarverslag. Het onderzoek naar de betrouwbare totstandkoming richt zich op
het proces van de totstandkoming van de informatie en minder op de informatie zelf.
Wij geven dus geen oordeel over deze niet-financiële informatie.

Verantwoordingsonderzoek Ministerie van AZ

33

Algemene Rekenkamer

Bijlage 3 Eindnoten
1. Een goed ingericht lifecyclemanagementproces bestaat uit 5 stappen:
inzicht, plannen maken, plannen uitvoeren, meten van resultaten
en evalueren.
2. BZK (2020), Besluit CIO-stelsel Rijksdienst 2021, 18 december 2020.

Verantwoordingsonderzoek Ministerie van AZ

34

Algemene Rekenkamer

Verantwoordingsonderzoek Ministerie van AZ

35

Algemene Rekenkamer

Algemene Rekenkamer
Afdeling Communicatie
Postbus 20015
2500 EA Den Haag
070 342 44 00
voorlichting@rekenkamer.nl
www.rekenkamer.nl

Den Haag, mei 2021