Inhoud
Inleiding
Doorontwikkeling financieel beheer

Herstel- en veerkrachtplan
Ontwikkeling bevindingen 2022
SSO CN : Kwaliteit IT-beheer
O&P Rijk: risico’s personele
uitgaven
BZK2 Financieel beheer

SSC-ICT: Beveiliging componenten
SSC-ICT: Inhuurkrachten
RvIG: volledigheid opbrengsten
Ontwikkelingen financieel en ITbeheer
Monitoring en bijsturing
OBF
Gemeente- en provinciefonds
RVB
Ontwikkelingen in IT-beheer
AVG
Ontwikkelingen rijksbreed IT beheer
Ondertekening
Bijlage: verantwoording

Interim-auditrapport 2023
Koninkrijksrelaties (IV)
Ministerie van Binnenlandse
Zaken (VII)
Gemeentefonds (B)
Provinciefonds (C)
BES-Fonds (H)

2

Inhoud
Inleiding
Doorontwikkeling financieel beheer
Herstel- en veerkrachtplan
Ontwikkeling bevindingen 2022
SSO CN : Kwaliteit IT-beheer

Colofon

O&P Rijk: risico’s personele
uitgaven

BZK2 Financieel beheer
SSC-ICT: Beveiliging componenten
SSC-ICT: Inhuurkrachten
RvIG: volledigheid opbrengsten
Ontwikkelingen financieel en IT-

Titel:

Interim-auditrapport 2023
Koninkrijksrelaties (IV)
Ministerie van Binnenlandse Zaken (VII)
Gemeentefonds (B)
Provinciefonds (C)
BES fonds (H)

beheer
Monitoring en bijsturing
OBF

Uitgebracht:
Datum:
23 oktober 2023
Kenmerk:
2023-0000229977

Gemeente- en provinciefonds
RVB
Ontwikkelingen in IT-beheer
AVG
Ontwikkelingen rijksbreed IT beheer

Inlichtingen: Auditdienst Rijk
Korte Voorhout 7
2511CW Den Haag

Ondertekening
Bijlage: verantwoording

Interim-auditrapport Ministerie van Binnenlandse Zaken en
Koninkrijksrelaties (VII)

Inhoud
Inleiding

3

Inleiding

Doorontwikkeling financieel beheer

Herstel- en veerkrachtplan
Ontwikkeling bevindingen 2022
SSO CN : Kwaliteit IT-beheer
O&P Rijk: risico’s personele
uitgaven

Hierbij bieden wij u ons interim-auditrapport aan dat wij hebben
opgesteld in het kader van onze wettelijke taak over de eerste negen
maanden van 2023 bij het ministerie van Binnenlandse Zaken en
Koninkrijksrelaties. In dit rapport beschrijven wij de stand van zaken
van bevindingen en signaleren we risico’s en ontwikkelingen waar we
uw aandacht voor vragen.

BZK2 Financieel beheer

SSC-ICT: Beveiliging componenten
SSC-ICT: Inhuurkrachten
RvIG: volledigheid opbrengsten
Ontwikkelingen financieel en ITbeheer
Monitoring en bijsturing

Momentopname
Dit interim-auditrapport is een momentopname en geeft onze
tussentijdse bevindingen weer over het financieel en IT-beheer. Onze
onderzoeken bevinden zich nog in uitvoering. Onze definitieve
bevindingen over het financieel en IT-beheer zullen wij in maart 2024
rapporteren. Deze kunnen afwijken van onze tussentijdse bevindingen.

OBF
Gemeente- en provinciefonds
RVB
Ontwikkelingen in IT-beheer
AVG
Ontwikkelingen rijksbreed IT beheer
Ondertekening
Bijlage: verantwoording

Interim-auditrapport Ministerie van Binnenlandse Zaken en Koninkrijksrelaties
(VII)

4

Inhoud
Inleiding
Doorontwikkeling financieel beheer

BZK werkt aan doorontwikkeling van het financieel en ITbeheer

Herstel- en veerkrachtplan
Ontwikkeling bevindingen 2022
SSO CN : Kwaliteit IT-beheer
O&P Rijk: risico’s personele
uitgaven
BZK2 Financieel beheer

SSC-ICT: Beveiliging componenten
SSC-ICT: Inhuurkrachten
RvIG: volledigheid opbrengsten
Ontwikkelingen financieel en ITbeheer
Monitoring en bijsturing
OBF
Gemeente- en provinciefonds
RVB
Ontwikkelingen in IT-beheer
AVG
Ontwikkelingen rijksbreed IT beheer
Ondertekening
Bijlage: verantwoording

BZK toont eigenaarschap voor de kwaliteit van het
financieel beheer. Zo heeft zij sinds 2021 een
monitoringscommissie die actief de voortgang bewaakt van
de uitvoering van diverse verbeterplannen. Met de
implementatie van deze verbeterplannen wil BZK de
geconstateerde bevindingen en onvolkomenheden in de
financiële- en IT-processen oplossen. FEZ heeft een
dashboard ingericht voor het monitoren van de
rechtmatigheidsfouten en onzekerheden. Het karakter van
deze maatregelen is vooralsnog repressief, op basis
waarvan correcties kunnen plaatsvinden.

FEZ investeert momenteel in risicoanalyses voor de
processen, interne beheersingsmaatregelen en toetsing
daarvan in de eerste lijn. Met monitoring en handhaving
vanuit de tweede lijn op de interne beheersing door de
eerste lijn zal de Plan-do-check-act (PDCA)-cyclus worden
gesloten en het ‘Three Lines model’ versterkt. Dit zal BZK in
staat stellen om zelf tijdig bij te sturen in het financieel
beheer om bevindingen in de interne beheersing en fouten
in de rechtmatigheid te voorkomen. Ook bij de
uitvoeringsorganisaties zijn er ontwikkelingen op dit vlak.
De komende periode gaan wij onderzoeken in hoeverre bij
BZK de PDCA-cyclus gesloten is en het ‘Three lines model’
ingeregeld is om de interne beheersing voldoende te
borgen.

Interim-auditrapport Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (VII)

Op het vlak van haar rijksbrede regiefunctie ten aanzien
van IT-beheer heeft directoraat-generaal Digitalisering en
Overheidsorganisatie (DG DOO) verdere stappen gezet. Met
het in augustus goedgekeurde plan van aanpak voor
Rijksbreed IT-beheer beoogt zij te komen tot een PDCAcyclus waarin departementen, agentschappen en ICTdienstverleners de CIO Rijk periodiek gaan informeren over
de wijze waarop zij hun IT beheren.

Inhoud
Inleiding

5

Beheer Herstel- en Veerkrachtplan BZK vraagt aandacht

Doorontwikkeling financieel beheer

Herstel- en veerkrachtplan
Ontwikkeling bevindingen 2022
SSO CN : Kwaliteit IT-beheer
O&P Rijk: risico’s personele
uitgaven
BZK2 Financieel beheer

SSC-ICT: Beveiliging componenten
SSC-ICT: Inhuurkrachten
RvIG: volledigheid opbrengsten
Ontwikkelingen financieel en ITbeheer
Monitoring en bijsturing
OBF
Gemeente- en provinciefonds
RVB
Ontwikkelingen in IT-beheer
AVG
Ontwikkelingen rijksbreed IT beheer
Ondertekening

Op 4 oktober 2022 hebben de ministers van Financiën van
de lidstaten van de Europese Unie het door Nederland
ingediende Herstel- en Veerkrachtplan (HVP) goedgekeurd.
Een voorwaarde hiervoor is dat Nederland de in het HVP
opgenomen doelstellingen en mijlpalen realiseert. De
Europese Commissie heeft strenge eisen gesteld over de
precieze wijze van verantwoording en de controle die
daarop uitgevoerd moet worden, waaronder het
voorkomen van fraude- en corruptie en het tegengaan van
dubbele financiering en belangenverstrengeling. In het
kader hiervan moeten onder andere de eindbegunstigden
van alle investeringen in kaart gebracht worden.
BZK is momenteel bezig om alle benodigde gegevens op te
vragen bij gemeenten. Als deze gegevens aanwezig zijn
kan met behulp van deze gegevens de controle op fraude,
corruptie, dubbele financiering en belangenverstrengeling
plaatsvinden conform de procesbeschrijving. BZK heeft
voor 2023 twee ‘maatregelen’ in het HVP, te weten
Bouwimpuls en Subsidie duurzaam maatschappelijk
vastgoed.
Als de mijlpalen niet worden gehaald, kan Nederland een
korting krijgen die kan oplopen tot wel EUR 150 mln. per
mijlpaal.

Bijlage: verantwoording

Interim-auditrapport Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (VII)

Dit onderwerp wordt door de ADR rijksbreed separaat
onderzocht en gerapporteerd. Op dit moment zijn de
bevindingen daaruit nog niet in een stadium om in dit
interim-rapport te vermelden.
Gedurende dit onderzoek is tussentijds geadviseerd om
alvast de procesbeschrijvingen op maatregelniveau op te
stellen en daarin de eerste en tweede lijns-controle te
beschrijven (opzet) en uit te voeren (bestaan en werking).
BZK heeft dit advies overgenomen en stelt momenteel
procesbeschrijvingen op.

Inhoud

6

Inleiding

Ontwikkelingen in de zes gewogen
bevindingen over 2022

Doorontwikkeling financieel beheer

Herstel- en veerkrachtplan
Ontwikkeling bevindingen 2022
SSO CN : Kwaliteit IT-beheer
O&P Rijk: risico’s personele
uitgaven
BZK2 Financieel beheer

SSC-ICT: Beveiliging componenten
SSC-ICT: Inhuurkrachten
RvIG: volledigheid opbrengsten
Ontwikkelingen financieel en ITbeheer
Monitoring en bijsturing
OBF
Gemeente- en provinciefonds
RVB
Ontwikkelingen in IT-beheer

Monitoringscommissie bewaakt actief de voortgang van de
uitvoering van de verbeterplannen
Over 2022 hebben we zes bevindingen gerapporteerd over de
kwaliteit van het financieel en IT-beheer. BZK heeft sinds 2021 een
monitoringscommissie ingesteld om systematisch opvolging te geven
aan de geconstateerde bevindingen (ADR) en onvolkomenheden
(AR).
Voor het oplossen van de bevindingen zijn BZK-breed
verbeterplannen opgesteld door de dienstonderdelen. De
monitoringscommissie komt elke 5-6 weken bijeen om de voortgang
van de verbeterplannen van de betreffende dienstonderdelen te
bespreken. Eventuele zorgpunten van de monitoringscommissie
brengt zij onder de aandacht van het betreffende management en
waar nodig onder de aandacht aan de departementsleiding.
Met de monitoringscommissie heeft BZK inzicht in de voortgang van
de verbeterplannen en stelt zij het management van de betreffende
dienstonderdelen in staat om het verbeterproces waar nodig bij te
sturen.

AVG
Ontwikkelingen rijksbreed IT beheer
Ondertekening
Bijlage: verantwoording

Interim-auditrapport Ministerie van Binnenlandse Zaken en Koninkrijksrelaties
(VII)

Inhoud

7

Overzicht van gewogen bevindingen over 2022

Inleiding
Doorontwikkeling financieel beheer

Kwaliteit van het financieel beheer verbetert zichtbaar in 2023

Herstel- en veerkrachtplan
Ontwikkeling bevindingen 2022

Dienstonderdeel

Bevinding

SSO CN : Kwaliteit IT-beheer
O&P Rijk: risico’s personele
uitgaven

Informatiebeveiliging in opzet verbeterd,
de beproeving in de praktijk gestart

SSO-CN

Risico’s in de geautomatiseerde gegevens
verwerking personele uitgaven

O&P Rijk

Verbeteringen financiële administratie en
IT-beheer, maar het tempo blijft achter op
de planning

BZK2

Beveiliging van componenten en
monitoring van bevindingen behoeven nog
aandacht

SSC-ICT

2020

2021

2022

Voortgang 2023 *)

Verbetering zichtbaar

BZK2 Financieel beheer

SSC-ICT: Beveiliging componenten
SSC-ICT: Inhuurkrachten
RvIG: volledigheid opbrengsten
Ontwikkelingen financieel en ITbeheer
Monitoring en bijsturing
OBF
Gemeente- en provinciefonds
RVB

Inkoopbeheer inhuurkrachten kwetsbaar

Verbetering zichtbaar

Verbetering zichtbaar

Verbetering zichtbaar

SSC-ICT
Verbetering zichtbaar

Ontwikkelingen in IT-beheer
AVG
Ontwikkelingen rijksbreed IT beheer

Volledigheid van opbrengsten blijft onzeker

RvIG

Actie nodig

Ondertekening
Bijlage: verantwoording
Licht

Gemiddeld

Ernstig

Interim-auditrapport Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (VII)

*) Deze voortgang betreft een momentopname. De weging
van de bevindingen over geheel 2023 is afhankelijk van de
effectiviteit van de verbeteracties.

Inhoud
Inleiding
Doorontwikkeling financieel beheer

8

Samenvattend beeld van de ontwikkelingen in de gewogen
bevindingen over de eerste negen maanden van 2023

Herstel- en veerkrachtplan
Ontwikkeling bevindingen 2022
SSO CN : Kwaliteit IT-beheer
O&P Rijk: risico’s personele
uitgaven
BZK2 Financieel beheer

SSC-ICT: Beveiliging componenten

IT-beheer SSO-CN
• Verbetering in kwaliteit GITCmaatregelen
• Te ruime rechten in het
gebruikersbeheer (SAP)
• ADR onderzoekt maatregelen
verouderde software in relatie tot ITsecurity in het vierde kwartaal (2023)

SSC-ICT: Inhuurkrachten
RvIG: volledigheid opbrengsten
Ontwikkelingen financieel en ITbeheer
Monitoring en bijsturing
OBF
Gemeente- en provinciefonds
RVB
Ontwikkelingen in IT-beheer
AVG
Ontwikkelingen rijksbreed IT beheer
Ondertekening

O&P Rijk: Hoge risico’s in personele
uitgaven naar verwachting opgelost
• Aantal hoog risico kwetsbaarheden
zijn direct opgelost
• Laatste hoog risico kwetsbaarheid
naar verwachting in oktober 2023
opgelost
• Verbeterplan is opgesteld voor het
oplossen voor overige risico
kwetsbaarheden
BZK2
• Eerste verbeteringen in financieel en
IT beheer zichtbaar
• Meer sturing zichtbaar op proces van
prestatieverklaringen

Bijlage: verantwoording

Interim-auditrapport Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (VII)

SSC-ICT beveiliging van
componenten verder verbeterd
• Kwaliteit Internal Control Framework
en Internal Audit functie verbeterd
• Aantoonbare werking van monitoring
is aanzienlijk verbeterd
• Aandachtspunten bij
loggingrapportage en de opvolging
van ‘hardening’.
SSC-ICT investeert in het verbeteren
inkoopbeheer inhuurkrachten
• Oorzakenanalyse uitgevoerd en
verbeterplan opgesteld, interne
beheersing nog niet effectief
• Internal audit voert (achteraf)
controles uit, waarbij
onrechtmatigheden zijn
geconstateerd
• SSC-ICT onderzoekt of
onrechtmatigheden zich hebben
voorgedaan
RvIG: volledigheid van
opbrengsten
• Nog geen assurance rapport
ontvangen voor het borgen van de
volledigheid van opbrengsten

Inhoud
Inleiding

9

SSO-CN: Verbetering in kwaliteit IT-beheer

Doorontwikkeling financieel beheer

Herstel- en veerkrachtplan

In 2022 hebben we geconstateerd dat de informatiebeveiliging bij SSO Caribisch Nederland (CN) in opzet
is verbeterd. De werking van de getroffen maatregelen zullen wij in het najaar onderzoeken als de
organisatie is gevorderd met de uitvoering van de verbetermaatregelen.

Ontwikkeling bevindingen 2022
SSO CN : Kwaliteit IT-beheer
O&P Rijk: risico’s personele
uitgaven

Bevinding

BZK2 Financieel beheer

In onze interim-controle hebben we verder de general IT-controls (GITC) onderzocht, en hebben wij medio
2023 verbetering geconstateerd in het wijzigingsbeheer, beveiliging van componenten en back-up en
recovery.

SSC-ICT: Beveiliging componenten

In het gebruikersbeheer van SAP zijn te ruime rechten aangetroffen, zonder maatregelen (onder andere
in het financieel beheer) die erop toe zien dat deze rechten juist worden gebruikt. Hiermee loopt de
organisatie risico op misbruik van verhoogde rechten met als mogelijk gevolg financiële schade
(frauderisico).

SSC-ICT: Inhuurkrachten
RvIG: volledigheid opbrengsten
Ontwikkelingen financieel en ITbeheer
Monitoring en bijsturing

Risico

OBF
Gemeente- en provinciefonds

Verder was in 2022 sprake van verouderde software van specifieke klant applicaties, die SSO-CN
verhinderden om de juiste beveiligingsmaatregelen te treffen. Hierbij hebben we het belang aangegeven
van het in gezamenlijkheid bespreken van de eisen en wensen op het gebied van IT-security en de
samenhang op het gehele beveiligingsstelsel te bewaken. SSO-CN heeft onlangs maatregelen getroffen
om dit risico te borgen. In het najaar zullen wij deze onderwerpen nader onderzoeken.

RVB
Ontwikkelingen in IT-beheer
AVG
Ontwikkelingen rijksbreed IT beheer
Ondertekening
Bijlage: verantwoording

Handelingsperspectief

SSO-CN is bezig met het onderzoeken van de noodzaak en waar nodig intrekken van ruime rechten. Wij
adviseren de toekenning van rechten zoveel als mogelijk te beperken. Verder adviseren wij het gebruik
van ruime rechten actief te monitoren om risico’s op misbruik te mitigeren. Tot implementatie van deze
monitoring adviseren wij SSO-CN om gerichte controles op de betalingen uit te voeren, om de
rechtmatigheid van de betalingen te borgen en mogelijke financiële schade als gevolg van misbruik/fraude
te voorkomen.

Interim-auditrapport Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (VII)

Inhoud
Inleiding
Doorontwikkeling financieel beheer

10

O&P Rijk: Hoge risico’s in personele uitgaven naar de
toekomst toe opgelost

Herstel- en veerkrachtplan
Ontwikkeling bevindingen 2022
SSO CN : Kwaliteit IT-beheer
O&P Rijk: risico’s personele

In 2022 heeft Organisatie & Personeel (O&P) Rijk (voorheen P-Direkt) beveiligingsaudits laten uitvoeren
waarbij een aantal kritieke kwetsbaarheden zijn geconstateerd. O&P Rijk heeft de kritieke
kwetsbaarheden (hoog risico’s) direct opgepakt en opgelost, met uitzondering van eentje waarvan de
verwachting is dat deze in oktober 2023 zal zijn opgelost.

uitgaven
BZK2 Financieel beheer

SSC-ICT: Beveiliging componenten
SSC-ICT: Inhuurkrachten

Bevinding

RvIG: volledigheid opbrengsten
Ontwikkelingen financieel en IT-

O&P Rijk heeft in 2023 een verbeterplan opgesteld om het laatste stuk van de kritieke kwetsbaarheid en
de minder kritieke kwetsbaarheden (midden en laag risico’s) op te lossen. De monitoringscommissie
monitort de voortgang van de uitvoering van het verbeterplan.

beheer

Tot het moment dat kwetsbaarheden zijn opgelost, loopt O&P Rijk rechtmatigheidsrisico’s in de personele
uitgaven.

Monitoring en bijsturing
OBF
Gemeente- en provinciefonds

Risico

Wij adviseren O&P Rijk om de impact (financieel en niet-financieel) van eventueel niet opgeloste
kwetsbaarheden eind november in kaart te brengen en in voorkomende gevallen te controleren en of
misbruik is gemaakt van de kwetsbaarheden.

RVB
Ontwikkelingen in IT-beheer
AVG
Ontwikkelingen rijksbreed IT beheer
Ondertekening
Bijlage: verantwoording

Handelingsperspectief

In het najaar zullen wij onderzoeken welke aanvullende maatregelen O&P Rijk heeft getroffen om de
risico’s volgend uit de (hoog risico) kwetsbaarheden voordat deze zijn opgelost.

Interim-auditrapport Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (VII)

Inhoud
Inleiding

11

BZK2: Maatregelen getroffen in financieel en IT-Beheer

Doorontwikkeling financieel beheer

Herstel- en veerkrachtplan
Ontwikkeling bevindingen 2022
SSO CN : Kwaliteit IT-beheer
O&P Rijk: risico’s personele
uitgaven
BZK2 Financieel beheer

SSC-ICT: Beveiliging componenten
SSC-ICT: Inhuurkrachten

Bevinding

BZK2 werkt in 2023 verder aan het verbeteren van het financieel en IT-beheer. In het IT-beheer zijn
aantoonbare stappen gezet met de invoering van nieuwe beheer en beveiligingsmaatregelen. Verder zien
wij meer sturing op het proces van prestatie verklaren, waarmee met onderliggende documentatie de
aantoonbaarheid en navolgbaarheid van de onderbouwing van de prestatieverklaring wordt vergroot. Wij
hebben vastgesteld dat beleid is geformuleerd en het proces is ingericht voor de controle van de
prestatieverklaring voordat een factuur wordt betaald. BZK2 heeft dit binnen de organisatie
gecommuniceerd om zo meer bewustwording te creëren en het belang van prestatie verklaren te
onderstrepen.

RvIG: volledigheid opbrengsten
Ontwikkelingen financieel en ITbeheer

Om risico’s in het financieel en IT-beheer en daarmee mogelijke fouten en/of onzekerheden in de
rechtmatigheid te voorkomen is het van belang dat BZK2 de werking van de maatregelen monitort en
tijdig bijstuurt op mogelijke afwijkingen in het proces.

Monitoring en bijsturing
OBF
Gemeente- en provinciefonds
RVB

Risico in
follow up

Ontwikkelingen in IT-beheer

Wij adviseren BZK2 om aandacht te blijven houden voor het juist toepassen van de in opzet getroffen
maatregelen zodat risico’s in het financieel en IT-beheer weggenomen worden. In de komende periode
zullen wij de werking van de beheersmaatregelen verder onderzoeken.

AVG
Ontwikkelingen rijksbreed IT beheer
Ondertekening
Bijlage: verantwoording

Handelingsperspectief

Interim-auditrapport Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (VII)

Inhoud
Inleiding

12

SSC-ICT: Beveiliging van componenten verder verbeterd (1)

Doorontwikkeling financieel beheer

Herstel- en veerkrachtplan
Ontwikkeling bevindingen 2022
SSO CN : Kwaliteit IT-beheer
O&P Rijk: risico’s personele
uitgaven
BZK2 Financieel beheer

SSC-ICT: Beveiliging componenten
SSC-ICT: Inhuurkrachten
RvIG: volledigheid opbrengsten

Bevinding

Ontwikkelingen financieel en ITbeheer
Monitoring en bijsturing
OBF
Gemeente- en provinciefonds
RVB
Ontwikkelingen in IT-beheer
AVG
Ontwikkelingen rijksbreed IT beheer
Ondertekening

Risico

In 2023 heeft SSC-ICT het verbeteren van de informatiebeveiliging aantoonbaar doorgezet. Dit blijkt door
de verbeterde kwaliteit van het Internal Control Framework (ICF), het bijbehorend beheersingsproces en
het toevoegen van meer systemen aan dit framework. SSC-ICT heeft de interne auditfunctie, uitgevoerd
door de afdeling Internal Audit, versterkt en doorgezet met het verbeteren van het geheel van
maatregelen en processen voor de betrouwbaarheid van de informatiebeveiliging. Voorbeelden hiervan
zijn het aanzetten van risicomanagement, aandacht voor en verbetering van de beveiliging van
componenten en het uitvoeren van de interne auditplanning. Verbeteringen zien wij verder in
aantoonbare nadere uitwerkingen van de doelstellingen vanuit het beleidsdocument voor Security
Informatie & Event Monitoring (SIEM).
Over de beveiliging van componenten zien wij op veel punten verbetering en SSC-ICT is hiermee op de
goede weg. SSC-ICT werkt actief aan vervolmaking, de aantoonbare werking van de monitoring is
aanzienlijk verbeterd. Wel ontbreekt van Leonardo de logging over een periode door een
configuratieaanpassing. Daarnaast is er geen navolgbare vastlegging van dreigingen die door SSC-ICT als
niet relevant worden beschouwd en om deze reden niet worden geïmplementeerd. Ook zien wij
aandachtspunten bij de loggingrapportage. Het gaat hierbij om de actualiteit van opzetdocumentatie, de
periodiciteit en de volledigheid van de rapportage. Verder verdient de opvolging van ‘hardening’
(versterken van componenten tegen digitale bedreigingen) extra aandacht.
Wij constateren dat ondanks het hoge ambitieniveau van SSC-ICT met betrekking tot de transformatie en
arbeidskrapte het oplossen van bevindingen voortvarend plaatsvindt.

Bijlage: verantwoording

Interim-auditrapport Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (VII)

Inhoud
Inleiding

13

SSC-ICT: Beveiliging van componenten verder verbeterd (2)

Doorontwikkeling financieel beheer

Herstel- en veerkrachtplan
Ontwikkeling bevindingen 2022
SSO CN : Kwaliteit IT-beheer
O&P Rijk: risico’s personele
uitgaven
BZK2 Financieel beheer

SSC-ICT: Beveiliging componenten
SSC-ICT: Inhuurkrachten
RvIG: volledigheid opbrengsten
Ontwikkelingen financieel en IT-

Handelingsperspectief

Wij adviseren SSC-ICT om zich blijvend te richten op het verbeteren van de monitoring- en
loggingpraktijk om de aantoonbare beveiliging te vergroten. Blijf de rapportage van logging kritisch
beoordelen en zorg ervoor dat deze aantoonbaar compleet, periodiek beschikbaar en volledig is. Het
verbeteren van de weerbaarheid van componenten is essentieel en SSC-ICT kan dit doen door ervoor te
zorgen dat alle systemen en componenten worden geconfigureerd volgens beschikbaar beleid.

Tenslotte adviseren wij SSC-ICT om door te gaan op de ingeslagen weg voor het continue versterken van
de algehele beveiligingshouding, het optimaliseren van doorlooptijden voor oplossen van
beveiligingsbevindingen en het verder verrijken van haar ICF.

beheer
Monitoring en bijsturing
OBF
Gemeente- en provinciefonds
RVB
Ontwikkelingen in IT-beheer
AVG
Ontwikkelingen rijksbreed IT beheer
Ondertekening
Bijlage: verantwoording

Interim-auditrapport Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (VII)

Inhoud
Inleiding
Doorontwikkeling financieel beheer

14

SSC-ICT investeert in het verbeteren inkoopbeheer
inhuurkrachten

Herstel- en veerkrachtplan
Ontwikkeling bevindingen 2022
SSO CN : Kwaliteit IT-beheer
O&P Rijk: risico’s personele
uitgaven
BZK2 Financieel beheer

SSC-ICT: Beveiliging componenten

Bevinding

SSC-ICT: Inhuurkrachten

Het SSC-ICT heeft begin 2023 een oorzakenanalyse uitgevoerd en een verbeterplan opgesteld (waaronder
interne controles op knock-out criteria en verlengingsopties) om het financieel beheer van de externe
inhuur te verbeteren. Onderdeel van die maatregelen is versterking van de interne beheersing in het
inkoopproces, onder andere door middel van een integrale controle (eerste lijn). Daarnaast wordt ook
controle uitgevoerd door de afdeling Internal Audit. Door Internal Audit zijn over het eerste halfjaar 25
dossiers gecontroleerd waarvan drie onrechtmatig zijn, wat een signaal is dat de interne beheersing nog
niet effectief is.

RvIG: volledigheid opbrengsten
Ontwikkelingen financieel en ITbeheer
Monitoring en bijsturing
OBF
Gemeente- en provinciefonds

Risico

We hebben discrepanties vastgesteld tussen het aanvraagformulier zoals deze met leveranciers is gedeeld
en de informatie zoals deze in het inkoopsysteem voor externe inhuur is opgenomen. Omdat het
aanvraagformulier leidend is, kan de afwijking tussen het formulier en het inkoopsysteem leiden tot een
onrechtmatigheid wanneer kandidaten worden geselecteerd die niet aan de eisen voldoen. SSC-ICT
onderzoekt momenteel of dit leidt tot mogelijke onrechtmatigheden en wat eventueel de omvang hiervan
is.

RVB
Ontwikkelingen in IT-beheer

Wij adviseren SSC-ICT te onderzoeken waarom de onrechtmatigheden niet door de eerste lijn zijn ontdekt
en maatregelen te treffen die de rechtmatigheid van de externe inhuur voor de rest van het jaar
waarborgen.

AVG
Ontwikkelingen rijksbreed IT beheer
Ondertekening
Bijlage: verantwoording

Handelingsperspectief

Interim-auditrapport Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (VII)

Inhoud
Inleiding

15

RvIG: Volledigheid van opbrengsten blijft nog onzeker

Doorontwikkeling financieel beheer

Herstel- en veerkrachtplan
Ontwikkeling bevindingen 2022
SSO CN : Kwaliteit IT-beheer
O&P Rijk: risico’s personele
uitgaven
BZK2 Financieel beheer

SSC-ICT: Beveiliging componenten
SSC-ICT: Inhuurkrachten

Bevinding

Het agentschap Rijksdienst voor Identiteitsgegevens (RvIG) krijgt opbrengsten uit het berichtenverkeer.
De opbrengsten zijn gekoppeld aan het aantal berichten dat afkomstig is uit meerdere bronsystemen.
Dienst ICT Uitvoering (DICTU), een agentschap van het ministerie van Economische Zaken en Klimaat,
voert het technisch beheer uit over de applicatie (bronsysteem) die een deel van het berichtenverkeer
afhandelt via een webservice. Voor het bronsysteem OpenText ontvangt RvIG inmiddels jaarlijks een
assurance-rapport.
Om de onvolkomenheid op te lossen, moet DICTU aantonen dat de beheerprocessen rond het
bronsysteem op orde zijn. RvIG heeft met DICTU afgesproken om hiertoe een assurance audit te laten
uitvoeren door een onafhankelijke auditor.

RvIG: volledigheid opbrengsten
Ontwikkelingen financieel en ITbeheer
Monitoring en bijsturing
OBF
Gemeente- en provinciefonds

Risico

RVB
Ontwikkelingen in IT-beheer
AVG
Ontwikkelingen rijksbreed IT beheer
Ondertekening
Bijlage: verantwoording

Handelingsperspectief

RvIG en DICTU zijn momenteel in gesprek over de inhoud van het onderzoek en de follow up op eventuele
bevindingen. De opdrachtverstrekking aan de externe auditor vindt naar verwachting binnenkort plaats. De
tijdigheid van de uitvoering van het onderzoek in combinatie met de redelijke mate van zekerheid en
adequate follow up van eventuele bevindingen om restrisico’s weg te nemen, zijn bepalend of de
onvolkomenheid in 2023 als opgelost kan worden beschouwd.
Wij adviseren de RvIG en DICTU om na de opdrachtverstrekking de uitvoering goed te ondersteunen,
tijdig kennis te nemen van de (tussentijdse) bevindingen en waar nodig aanvullende maatregelen uit te
voeren naar aanleiding van eventuele bevindingen, zodat (rest)risico’s tijdig en voldoende worden
gemitigeerd.

Interim-auditrapport Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (VII)

Inhoud
Inleiding
Doorontwikkeling financieel beheer

16

Ontwikkelingen in het financieel
beheer en bedrijfsvoering BZK

Herstel- en veerkrachtplan
Ontwikkeling bevindingen 2022
SSO CN : Kwaliteit IT-beheer
O&P Rijk: risico’s personele
uitgaven

Inleiding
In dit hoofdstuk behandelen wij ontwikkelingen en aandachtspunten
in het financieel beheer die kunnen leiden tot nieuwe
beheerbevindingen na afronding van onze controle over 2023 in
maart 2024.

BZK2 Financieel beheer

SSC-ICT: Beveiliging componenten
SSC-ICT: Inhuurkrachten
RvIG: volledigheid opbrengsten
Ontwikkelingen financieel en IT-

Daarnaast behandelen wij onderwerpen in de bedrijfsvoering van
BZK. Het gaat hierbij om:
• Algemene Verordening Gegevensbescherming (AVG)
• Ontwikkelingen in IT-beheer BZK

beheer
Monitoring en bijsturing
OBF
Gemeente- en provinciefonds
RVB
Ontwikkelingen in IT-beheer
AVG
Ontwikkelingen rijksbreed IT beheer
Ondertekening
Bijlage: verantwoording

Interim-auditrapport Ministerie van Binnenlandse Zaken en Koninkrijksrelaties
(VII)

Inhoud
Inleiding

17

Werken aan monitoring en bijsturing (1)

Doorontwikkeling financieel beheer

Herstel- en veerkrachtplan
Ontwikkeling bevindingen 2022
SSO CN : Kwaliteit IT-beheer
O&P Rijk: risico’s personele
uitgaven
BZK2 Financieel beheer

SSC-ICT: Beveiliging componenten
SSC-ICT: Inhuurkrachten
RvIG: volledigheid opbrengsten
Ontwikkelingen financieel en ITbeheer
Monitoring en bijsturing
OBF
Gemeente- en provinciefonds
RVB
Ontwikkelingen in IT-beheer
AVG
Ontwikkelingen rijksbreed IT beheer
Ondertekening
Bijlage: verantwoording

Op dit moment heeft BZK nog geen volledig inzicht in
mogelijke fraude risico’s
FEZ heeft in 2022 een werkgroep ingesteld voor het
inzichtelijk maken van frauderisico’s bij de uitvoering van
de financiële processen. Om inzicht te krijgen in de
frauderisico’s bij het kerndepartement en de
uitvoeringsorganisaties is in 2022 een fraude-control
raamwerk samengesteld. Dit fraude-control raamwerk is
een belangrijk instrument in de fraudebeheersing en heeft
tot doel om FEZ vanuit haar toezicht rol inzicht te bieden in
de belangrijkste risico’s en of deze risico’s in opzet
voldoende geborgd zijn door het treffen van de juiste
beheersmaatregelen. Met dit inzicht kan FEZ monitoren of
deze beheersmaatregelen op basis van een risicoafweging
door het onderdeel zelf, voldoende zijn.
De FEZ-werkgroep gaat in het najaar van 2023 aan de slag
met het actualiseren en samen met de
uitvoeringsorganisaties analyseren van het fraude-control
raamwerk. Daarnaast wordt bij de onderdelen een training
frauderisico en preventie onder de aandacht gebracht, om
bewustwording bij de controllers te verbeteren.
Momenteel kan het voorkomen dat bij dienstonderdelen
onvoldoende maatregelen zijn getroffen om mogelijk fraude
te voorkomen. Een recent voorbeeld hiervan is het
Interim-auditrapport Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (VII)

ontbreken van afdoende functiescheiding tussen het
wijzigen van betaalgegevens en het uitvoeren van
(incidentele) betalingen.

Wij adviseren BZK om met prioriteit (fraude)risico’s in kaart
te brengen en in geval van hoge risico inschattingen te
controleren of oneigenlijk gebruik, misbruik, dan wel
corruptie of fraude zich hebben voorgedaan.

Inhoud
Inleiding

18

Werken aan monitoring en bijsturing (2)

Doorontwikkeling financieel beheer

Herstel- en veerkrachtplan
Ontwikkeling bevindingen 2022
SSO CN : Kwaliteit IT-beheer
O&P Rijk: risico’s personele
uitgaven
BZK2 Financieel beheer

SSC-ICT: Beveiliging componenten
SSC-ICT: Inhuurkrachten
RvIG: volledigheid opbrengsten
Ontwikkelingen financieel en ITbeheer
Monitoring en bijsturing
OBF
Gemeente- en provinciefonds
RVB
Ontwikkelingen in IT-beheer
AVG
Ontwikkelingen rijksbreed IT beheer

Monitoring voorschotten agentschappen
FEZ heeft een plan opgesteld voor het verbeteren van de
monitoring van de voorschotten aan de agentschappen. De
voortgang van de uitvoering van dit verbeterplan wordt
gemonitord door de monitoringscommissie.
De verbetermaatregelen betreffen vooral applicatie
controles die in de Bijdragenapplicatie (DBA) worden
geïmplementeerd. Uit onze controle blijkt dat tot en met
eind augustus een beperkt aantal (vier) bijdragen in de
DBA zijn opgenomen. Op basis van de ervaringen is het
voornemen van FEZ om het systeem te optimaliseren,
waarna andere aanvragen via de DBA zullen worden
verwerkt. Tot dat moment doorlopen de aanvragen het
reguliere proces. Een voorzien gevolg hiervan is dat de
maatregelen die in het systeem zijn geïmplementeerd, niet
werken voor een groot deel van de bijdragen
agentschappen in 2023. FEZ voert in 2023 zelf nog een
aanvullende interne controle uit op de rechtmatigheid van
de dossiers.

Ondertekening
Bijlage: verantwoording

Interim-auditrapport Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (VII)

Wij adviseren FEZ om handmatig maatregelen te treffen om
de rechtmatigheid van het voorschottenbeheer te borgen,
de werking van deze maatregelen te monitoren en waar
nodig tijdig bij te sturen.

Inhoud
Inleiding

19

Organisatie Bedrijfsvoering en Financiën (OBF)

Doorontwikkeling financieel beheer

Herstel- en veerkrachtplan
Ontwikkeling bevindingen 2022
SSO CN : Kwaliteit IT-beheer
O&P Rijk: risico’s personele
uitgaven
BZK2 Financieel beheer

SSC-ICT: Beveiliging componenten
SSC-ICT: Inhuurkrachten
RvIG: volledigheid opbrengsten
Ontwikkelingen financieel en ITbeheer
Monitoring en bijsturing
OBF
Gemeente- en provinciefonds
RVB
Ontwikkelingen in IT-beheer

Inzicht in mate van beheer en beveiliging van
uitbestede informatiesystemen vergroot
OBF heeft het beheer en de beveiliging van zijn
informatiesystemen uitbesteed aan een derde partij. In
2022 hebben wij OBF geadviseerd om expliciet aandacht te
besteden aan het maken van duidelijke afspraken over de
kwaliteit van de dienstverlening en de IT-beheersprocessen
(Baseline Informatiebeveiliging Overheid (BIO), Algemene
Verordening Gegevensbescherming (AVG) en de
beleidskaders van BZK).

Uit ons onderzoek blijkt dat OBF heeft geïnvesteerd in een
service level agreement en een GITC-beheersingskader
voor een assurance opdracht dat haar zekerheid zal
verschaffen omtrent de IT-beheerprocessen. Verder heeft
OBF daaromtrent rapportage afspraken gemaakt met KPN
en voert zij periodiek overleggen over de governance rond
de dienstverlening.

Ondertekening
Bijlage: verantwoording

OBF heeft een procesbeschrijving opgesteld met
maatregelen om de rechtmatigheid van de uitgaven
(bestellingen en betalingen) te borgen. Dit lost overigens
niet de issues met tijdigheid van betalen op. Wij vinden
deze procesbeschrijving in opzet toereikend. Onderdeel
daarvan is het toetsen van de werking van de getroffen
beheersingsmaatregelen. OBF voert momenteel deze
controles uit.
Wij gaan de controlewerkzaamheden van OBF in oktober
2023 reviewen en daarnaast andere
controlewerkzaamheden uitvoeren om de rechtmatigheid en
getrouwheid van bestellingen en betalingen in eCBF te
toetsen.

Inkoopsysteem eCBF werkt nog niet optimaal

AVG
Ontwikkelingen rijksbreed IT beheer

voor de tijdigheid van bestellingen en betalingen. Dat heeft
de dienstverlening van OBF en de bedrijfsvoeringsprocessen van de gebruikers van eCBF verstoord. OBF is
druk bezig geweest om de issues op te lossen en heeft
daarin vooruitgang geboekt.

In 2023 is het inkoopsysteem Elektronisch Contracten
Bestellen en Factureren (eCBF) als vervanger van DigiInkoop, live gegaan bij OBF. Het inkoopsysteem eCBF en
bijbehorende keten is complex van aard. Gedurende 2023
hebben zich functionele issues voorgedaan met gevolgen
Interim-auditrapport Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (VII)

Bij BZK bestaat zorg over de kwaliteit van eCBF. Hierbij
gaan we tevens onderzoeken of er nog issues zijn en in
hoeverre deze issues tijdig worden opgelost om mogelijke
problemen in de verantwoording te voorkomen.

Inhoud
Inleiding

20

Gemeente- en Provinciefonds

Doorontwikkeling financieel beheer

Herstel- en veerkrachtplan
Ontwikkeling bevindingen 2022
SSO CN : Kwaliteit IT-beheer
O&P Rijk: risico’s personele
uitgaven
BZK2 Financieel beheer

SSC-ICT: Beveiliging componenten
SSC-ICT: Inhuurkrachten
RvIG: volledigheid opbrengsten
Ontwikkelingen financieel en ITbeheer

Interne beheersing gemeentefonds en provinciefonds
verbeterd
BZK heeft in 2023 de risicoanalyse en documentatie in de interne
beheersing van het Gemeentefonds en het Provinciefonds
geactualiseerd. Daarmee heeft BZK aantoonbaar gemaakt dat met
de ingerichte interne beheersing de onderkende risico’s tot op een
aanvaardbaar niveau zijn teruggebracht.
Naast bovenstaande uitgevoerde acties is het van belang dat
periodiek monitoring en bijsturing plaatsvindt op de werking van de
interne beheersing. BZK beraadt zich momenteel op de wijze waarop
dit vormgegeven zal worden.

Monitoring en bijsturing
OBF
Gemeente- en provinciefonds
RVB
Ontwikkelingen in IT-beheer
AVG
Ontwikkelingen rijksbreed IT beheer
Ondertekening
Bijlage: verantwoording

Interim-auditrapport Ministerie van Binnenlandse Zaken en Koninkrijksrelaties
(VII)

Inhoud
Inleiding

21

Rijksvastgoedbedrijf (RVB)

Doorontwikkeling financieel beheer

Herstel- en veerkrachtplan
Ontwikkeling bevindingen 2022
SSO CN : Kwaliteit IT-beheer
O&P Rijk: risico’s personele
uitgaven
BZK2 Financieel beheer

SSC-ICT: Beveiliging componenten
SSC-ICT: Inhuurkrachten
RvIG: volledigheid opbrengsten
Ontwikkelingen financieel en ITbeheer
Monitoring en bijsturing
OBF
Gemeente- en provinciefonds
RVB

Ordelijkheid en controleerbaarheid
projectadministratie vraagt blijvende aandacht

RVB heeft intern aandacht voor het verbeteren en
opschonen van de projectadministratie voor (onderhouds-)
projecten. De opschoningsactie is noodzakelijk om een
actueel inzicht te houden in de volledigheid en juistheid van
de omzet en de kosten van de onderhoudsprojecten, dat zij
beschikt over juiste en actuele stuur- en
verantwoordingsinformatie. Andere gebruikers binnen het
Rijk (waaronder DJI en RWS) zijn daar ook van afhankelijk
voor hun eigen verantwoording. Meerdere afdelingen die
ook afhankelijk van elkaar zijn, zijn betrokken bij de
opschoningsactie. Voor de RVB is het daarbij van belang
om overzicht te houden en te rapporteren over de
voortgang van de opschoningsactie, met als doel om te
kunnen vaststellen dat de projectadministratie in zijn
geheel is opgeschoond.
Vooruitgang op toegangs- en gebruikersbeheer,
project IAM vertraagd

Ontwikkelingen in IT-beheer
AVG
Ontwikkelingen rijksbreed IT beheer
Ondertekening

De implementatie van het verbetertraject Identity en
Access Management (IAM) heeft vertraging opgelopen
waardoor wij nog geen relevante verbeteringen hebben
kunnen waarnemen.

Bijlage: verantwoording

Interim-auditrapport Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (VII)

Het RVB heeft aangegeven dat zij het eerder intern
aangegeven moment van implementatie van de IAM voorziening bij twee systemen van eind 2023 niet meer
haalt. Zij verwacht de voorziening nog wel te kunnen
realiseren in 2023, maar de aansluiting van de systemen
medio 2024 te kunnen implementeren.
Op het gebied van de IAM van Oracle heeft het RVB door
intern onderzoek problemen met de autorisatiematrix
gesignaleerd, die zijn opgelost. Daarnaast heeft het RVB
voorzieningen getroffen die moeten voorkomen dat de
autorisatiematrix afwijkt van de gewenste situatie. Door de
recente implementatie van deze verbetering hebben wij
hier nog geen onderzoek naar kunnen doen.
Het proces en de controles rondom het toekennen van
beheerrechten zijn grotendeels geautomatiseerd. Waar de
afdeling Fiscaliteit, Audits en Risicomanagement (FAR)
voorheen per kwartaal de handmatige procedures intern
controleerde, volstaat nu toezicht door het sectiehoofd en
kan volstaan worden FAR jaarlijks dit proces intern te laten
controleren.
In onze ogen ontwikkelt de interne beheersing – zij het met
enige vertraging - zich positief op het punt van toegangsen gebruikersbeheer.

Inhoud
Inleiding

22

Ontwikkelingen in IT-Beheer

Doorontwikkeling financieel beheer

Herstel- en veerkrachtplan
Ontwikkeling bevindingen 2022
SSO CN : Kwaliteit IT-beheer
O&P Rijk: risico’s personele
uitgaven
BZK2 Financieel beheer

SSC-ICT: Beveiliging componenten
SSC-ICT: Inhuurkrachten
RvIG: volledigheid opbrengsten

Reorganisatie IV-functies BZK
De CISO, BVA en CPO BZK, zijn onderdeel van de directie
CIO & Informatiemanagement binnen het cluster Mensen &
Middelen, als stafafdeling onder de plaatsvervangend
Secretaris-Generaal (pSG). Op deze manier versterkt BZK
de integrale beveiliging en is daarmee in staat om de
integrale samenhang van IV-vraagstukken beter te
bewaken. BZK breidt het bestaande kader voor
informatiebeveiliging en privacy verder uit met de taken,
bevoegdheden en verantwoordelijkheden van de BVA.

OBF

Ter informatie geven wij aan dat de ADR op verzoek van de
directeur-generaal Digitalisering en Overheidsorganisatie
(DG DOO) start met een Rijksbrede evaluatie van het CIOstelsel. De positionering van de CIO BZK maakt onderdeel
uit van het onderzoek.

Gemeente- en provinciefonds

Awareness

Ontwikkelingen financieel en ITbeheer
Monitoring en bijsturing

RVB
Ontwikkelingen in IT-beheer
AVG
Ontwikkelingen rijksbreed IT beheer
Ondertekening
Bijlage: verantwoording

BZK heeft in 2022 een Awareness-strategie voor
bewustwordingsactiviteiten op het gebied van
informatiebeveiliging en privacybescherming vastgesteld en
voert diverse awareness activiteiten uit, zoals de week van
de Integrale Informatiebeveiliging en de basisopleiding
Digitale weerbaarheid. De koppeling tussen deze
activiteiten en de geformuleerde strategie is niet duidelijk.

Interim-auditrapport Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (VII)

BZK heeft nog geen opvolging gegeven aan onze
aanbeveling uit 2022 om een nadere analyse van
noodzakelijke activiteiten vanuit deze strategie op te
stellen. Op basis hiervan kunnen awareness activiteiten
worden gepland in overeenstemming met de awareness
strategie en kan de samenhang tussen awareness
activiteiten worden verbeterd.

Inhoud
Inleiding

23

Algemene Verordening Gegevensbescherming (AVG)

Doorontwikkeling financieel beheer

Herstel- en veerkrachtplan
Ontwikkeling bevindingen 2022
SSO CN : Kwaliteit IT-beheer
O&P Rijk: risico’s personele
uitgaven
BZK2 Financieel beheer

SSC-ICT: Beveiliging componenten
SSC-ICT: Inhuurkrachten
RvIG: volledigheid opbrengsten
Ontwikkelingen financieel en ITbeheer
Monitoring en bijsturing
OBF
Gemeente- en provinciefonds
RVB
Ontwikkelingen in IT-beheer
AVG
Ontwikkelingen rijksbreed IT beheer
Ondertekening

Versterking privacy-stelsel bij BZK vraagt aandacht
BZK heeft het privacy-beleid verder versterkt door het
expliciet benoemen van de taken, bevoegdheden en
verantwoordelijkheden van de Chief Privacy Officer (CPO)
en het beschrijven van de invulling en uitvoering van het
Three Lines Model.
De CIO-BZK heeft een onderzoek laten uitvoeren door CIOFlex, om de tekortkomingen van het huidige privacy-stelsel
te identificeren en een advies te geven waarmee de
kwaliteit van het privacy stelsel binnen BZK kan worden
verbeterd.
Op basis van ons rijksbrede AVG-onderzoek en mede op
basis van het onderzoek van CIO-Flex, adviseren wij de
CPO om aandacht te besteden aan de versterking van het
privacy-stelsel binnen BZK. Het gaat hierbij om het verder
uitwerken van de BZK-brede privacy-processen, zodat
onder andere de controle en monitoring van de
verwerkingsovereenkomsten structureel plaatsvindt,
waardoor tijdig verwerkersovereenkomsten onderbouwd
kunnen worden, verlengd, beëindigd of nieuw kunnen
worden afgesloten.

Bijlage: verantwoording

Interim-auditrapport Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (VII)

Inhoud
Inleiding
Doorontwikkeling financieel beheer

24

Ontwikkelingen in Rijksbreed ITbeheer

Herstel- en veerkrachtplan
Ontwikkeling bevindingen 2022
SSO CN : Kwaliteit IT-beheer
O&P Rijk: risico’s personele
uitgaven
BZK2 Financieel beheer

SSC-ICT: Beveiliging componenten
SSC-ICT: Inhuurkrachten
RvIG: volledigheid opbrengsten
Ontwikkelingen financieel en ITbeheer
Monitoring en bijsturing
OBF
Gemeente- en provinciefonds
RVB
Ontwikkelingen in IT-beheer
AVG
Ontwikkelingen rijksbreed IT beheer
Ondertekening

Rijksbreed risicomanagement
De Interdepartementale Commissie Bedrijfsvoering Rijksdienst
(ICBR) heeft naar aanleiding van het Rijksbrede beeld
Informatiebeveiliging in 2022 besloten tot het opstellen en
introduceren van een rijksbreed kader en beleid voor
risicomanagement om daarmee risicogerichte sturing op
informatiebeveiliging te verbeteren.
Een eerste versie van het projectplan is begin 2023 opgesteld en
onder andere besproken in de stuurgroep Digitale Weerbaarheid en
het CIO-beraad. Het plan van aanpak zal het besluitvormingsproces
nogmaals doorlopen.
Rijksbreed IT-beheer
DG DOO heeft in augustus het plan van aanpak voor Rijksbreed IT
beheer goedgekeurd. Het doel is te komen tot een PDCA-cyclus
waarin departementen, agentschappen en ICT dienstverleners de
CIO Rijk periodiek informeren over de wijze waarop zij hun ICT
beheren (gebruik kaders, volwassenheid). De vraagstelling is mede
risico-gedreven: indien zich bij de organisaties middel of hoge
risico’s zich voordoen in het IT-beheer, bevraagt CIO Rijk het plan
van aanpak voor het oplossen en de voortgang daarvan. In een
tweede parallelle PDCA - cyclus wordt vastgesteld of de gebezigde
kaders (Kaderboek) nog voldoen of bijstelling nodig is.

Bijlage: verantwoording

Interim-auditrapport Ministerie van Binnenlandse Zaken en Koninkrijksrelaties
(VII)

25

Inhoud
Inleiding
Doorontwikkeling financieel beheer

Herstel- en veerkrachtplan
Ontwikkeling bevindingen 2022
SSO CN : Kwaliteit IT-beheer

Ondertekening

O&P Rijk: risico’s personele
uitgaven
BZK2 Financieel beheer

Plaats: Den Haag

SSC-ICT: Beveiliging componenten
SSC-ICT: Inhuurkrachten
RvIG: volledigheid opbrengsten

Datum: 23 oktober 2023

Ontwikkelingen financieel en ITbeheer
Monitoring en bijsturing
OBF
Gemeente- en provinciefonds
RVB
Ontwikkelingen in IT-beheer
AVG
Ontwikkelingen rijksbreed IT beheer
Ondertekening
Bijlage: verantwoording

Interim-auditrapport Ministerie van Binnenlandse Zaken en
Koninkrijksrelaties (VII)

Inhoud
Inleiding

26

Bijlage: Verantwoording interim auditrapport

Doorontwikkeling financieel beheer

Herstel- en veerkrachtplan
Ontwikkeling bevindingen 2022
SSO CN : Kwaliteit IT-beheer
O&P Rijk: risico’s personele
uitgaven
BZK2 Financieel beheer

SSC-ICT: Beveiliging componenten
SSC-ICT: Inhuurkrachten
RvIG: volledigheid opbrengsten
Ontwikkelingen financieel en ITbeheer
Monitoring en bijsturing
OBF
Gemeente- en provinciefonds
RVB
Ontwikkelingen in IT-beheer
AVG
Ontwikkelingen rijksbreed IT beheer
Ondertekening
Bijlage: verantwoording

In dit rapport doen wij tussentijds verslag van de belangrijkste
uitkomsten van de werkzaamheden van onze wettelijke taak over
2023 voor de begrotingshoofdstukken van Binnenlandse Zaken (VII)
en Koninkrijksrelaties (IV). Wij verrichten deze werkzaamheden als
interne auditdienst van het Rijk conform artikel 6 Besluit ADR.
Daarbij wordt aangetekend dat onze onderzoeken zich in wisselende
stadia van uitvoering bevinden. Onze interim-bevindingen geven
geen volledig tussentijds beeld van de stand van zaken, maar zijn
afhankelijk van de bij elk departement passende mix van
procesgerichte en cijfermatige controles voor zover deze op dit
moment zijn uitgevoerd en geëvalueerd. Onze definitieve
bevindingen, die in maart 2024 worden gerapporteerd in het
auditrapport 2023, kunnen daarom afwijken van onze tussentijdse
uitkomsten.
In dit interim-auditrapport willen wij met name bevindingen en
risico’s signaleren die de aandacht behoeven zodat in 2023 nog
maatregelen ter verbetering kunnen worden getroffen. Wij focussen
ons daarbij op de bevindingen in het beheer. In dit interimauditrapport melden we ook eventuele significante tekortkomingen
in de interne beheersing die wij tot dusverre op basis van onze
controlewerkzaamheden hebben geïdentificeerd.
Onze controle is gericht op het verstrekken van een oordeel bij de
financiële overzichten over het gehele jaar 2023. Wij betrekken
hierbij de interne beheersing die voor het opstellen van de financiële

Interim-auditrapport Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (VII)

overzichten van belang is. Wij geven geen oordeel over de
effectiviteit van de interne beheersing.
Doel en doelgroepen
Het rapport is opgesteld voor de minister, de staatssecretaris en de
secretaris-generaal van het ministerie Binnenlandse Zaken en
Koninkrijksrelaties en wordt tevens verstrekt aan de leden van het
audit committee, de directeur Financieel-Economische Zaken en de
Algemene Rekenkamer.
De ADR is de interne auditdienst van het Rijk. Dit rapport is primair
bestemd voor het ministerie van Binnenlandse Zaken en
Koninkrijksrelaties. Voor openbaarmaking door het opdrachtgevende
ministerie van door de ADR aan dit ministerie uitgebrachte rapporten
gelden de voorschriften uit de Wet open overheid. De minister van
Financiën stuurt elk halfjaar een overzicht naar de Tweede Kamer
met de titels van door de ADR uitgebrachte rapporten.
De minister van Financiën heeft de collega-ministers verzocht om de
interim-rapportages, zodra deze beschikbaar zijn, naar de vaste
Kamercommissies te sturen. De ministers kunnen in hun
aanbiedingsbrief aan de Kamer zo nodig een managementreactie
geven op de interim-rapportage.