Resultaten verantwoordingsonderzoek 2017 Wonen en Rijksdienst

Onze conclusies

De minister van Binnenlandse Zaken en Koninkrijksrelaties (BZK) heeft op 27 januari 2017 de portefeuille teruggekregen van de minister voor Wonen en Rijksdienst (WenR). Er is voor 2017 nog een apart jaarverslag WenR uitgebracht. Daarom richten we ons in dit rapport tot de minister van BZK. In dit rapport bij het Jaarverslag 2017 van WenR gaan we vooral in op de taak van de minister van BZK op het gebied van de rijksbrede bedrijfsvoering.

Beheersing IT-risico’s onvoldoende

We maken ons zorgen over de beheersing van IT-risico’s bij het Rijk. De afhankelijkheid van ICT voor de uitvoering van taken is sterk toegenomen en zal verder toenemen. De urgentie om de informatiebeveiliging goed op orde te hebben is hoog. Daarbij is het van belang om – vanwege de voortdurende ontwikkeling van ICT – ook de beveiliging hiervan continu te verbeteren. De minister van BZK heeft kaders opgesteld voor het vereiste niveau van beveiliging. De vakministers moeten er zelf voor zorgen dat de beveiliging van hun IT-systemen voldoen aan de gestelde eisen. Dat is echter bij veel departementen niet het geval. Enkele departementen hebben de sturing op beveiligingsrisico’s in 2017 op onderdelen verbeterd. Bij andere departementen zien we echter geen of onvoldoende vooruitgang. Binnen de rijksoverheid hebben we bij in totaal 10 organisaties de geconstateerde tekortkomingen in informatiebeveiliging aangemerkt als een onvolkomenheid. De minister van BZK heeft andere ministers wel aangespoord om de beveiliging te verbeteren. Zo ontvangt het ministerie jaarlijks rapportages over de kwaliteit van de beveiliging en bespreekt het aandachtspunten regelmatig met andere ministeries. Vooralsnog zien we echter dat het aantal onvolkomenheden voor de informatiebeveiliging niet daalt, maar toeneemt.

We constateren dat de beheersing van IT-risico’s ook onvoldoende aandacht krijgen in situaties waarin het IT-beheer is uitbesteed aan een shared service organisatie binnen het Rijk. Deze vorm van interdepartementale uitbesteding vindt steeds vaker plaats. We zien echter dat de ministers als opdrachtgever niet vragen naar informatie over de kwaliteit van het IT-beheer en de beheersing van IT-risico’s. De diensten die het IT-beheer uitvoeren verstrekken zelden uit eigen beweging informatie hierover. De kans is hierdoor groot dat relevante risico’s die een grote impact kunnen hebben op de taakuitvoering niet in beeld zijn bij de betrokken partijen.

Versterking gewenst van de taak van de minister van BZK voor ICT rijk

Vorig jaar hebben we in overweging gegeven om – analoog aan de rijksbegrotingsvoorschriften – regels op te stellen die de minister van BZK een titel geven om de rijksbrede bedrijfsvoering te bevorderen en zijn collega’s te kunnen aanspreken. Op verzoek van het Tweede Kamerlid Middendorp heeft de minister van BZK een vergelijking gemaakt tussen de bevoegdheden en verantwoordelijkheden van de minister van BZK rond het thema ICT en die van de minister van Financiën rond de rijksfinanciën (BZK, 2017a). De minister van BZK gaf aan dat hij zich kon voorstellen dat, in het licht van het toenemend belang van digitalisering binnen de overheid een andere rol van de minister van BZK wenselijk zou kunnen zijn. Hij vond dat verschillende elementen uit het financiële stelsel, zoals planning, control en toezicht, wellicht ook bruikbaar waren voor het thema ICT. Verdere besluitvorming liet hij over aan het nieuwe kabinet. 

Gezien het toenemend belang van digitalisering voor de uitvoering van rijkstaken en de toenemende dreigingen adviseren wij de minister van BZK meer instrumenten in handen te geven om de beheersing van IT-risico’s rijksbreed te verbeteren. Mogelijkheden zijn bijvoorbeeld het inrichten van een plancyclus, het voorschrijven van generieke minimum beheersmaatregelen voor IT-organisaties, voorafgaande toetsing van plannen en de mogelijkheid om voorafgaand toezicht in te stellen.

BZK vervult nog geen voorbeeldfunctie IT-gebied

Wanneer het gaat om het beheersen van IT-risico’s vervult de minister van BZK helaas nog geen voorbeeldfunctie richting de andere departementen. Het IT-beheer van het personeels- en salarissysteem van de shared service organisatie P-Direkt is niet op orde. Dit komt deels door P-Direkt en deels door Shared Service Center-ICT (SSC-ICT). Deze shared service organisaties zijn een onderdeel van het Ministerie van BZK. P-Direkt is verantwoordelijk voor de personele administratie en de salarisverwerking van alle rijksambtenaren. De systemen draaien bij SSC-ICT. SSC-ICT beheert de IT-systemen van 8 ministeries. De tekortkomingen in het IT-beheer van de systemen van P-Direkt hebben wij als een onvolkomenheid aangemerkt. Daarnaast zijn verbeteringen nodig in het IT-beheer bij SSC-ICT. Verder vragen wij in ons rapport bij het Jaarverslag 2017 van BZK aandacht voor de informatiebeveiliging van IT-systemen die het Ministerie van BZK beheert (Algemene Rekenkamer, 2018a). In het rapport bij het Jaarverslag 2017 voor Koninkrijksrelaties en BES-fonds hebben wij een ernstige onvolkomenheid toegekend aan de informatiebeveiliging van de Rijksdienst Caribisch Nederland. Deze dienst maakt onderdeel uit van het Ministerie van BZK (Algemene Rekenkamer, 2018b).

Tekort aan ICT-deskundigheid

Voor de verschillende IT-diensten heeft het Rijk veel ICT-expertise nodig. Daaraan is een tekort, waardoor het Rijk al jaren veel ICT-deskundigheid extern inhuurt. Een voorbeeld is Logius, bekend van DigiD en MijnOverheid. Deze publieke organisatie besteedde in 2017 ongeveer de helft van de personeelskosten aan de inhuur van externen. Het Ministerie van BZK heeft verschillende activiteiten uitgevoerd om het rijksbrede tekort aan ICT-expertise terug te dringen. Een plan voor nieuwe activiteiten is in de maak. Het is niet zeker of de (voorgenomen) activiteiten voldoende bevorderen dat de rijksoverheid aantrekkelijker is voor de schaarse ICT’ers op de arbeidsmarkt. We bevelen de minister van BZK aan om het werken bij het Rijk zo aantrekkelijk mogelijk te maken voor ICT’ers, door betere arbeidsvoorwaarden en ontwikkel- en loopbaanmogelijkheden aan te bieden.

Geen zicht op de volume en de waarde van al het rijksvastgoed

In het rijksvastgoed zit een belangrijk deel van het vermogen van de Nederlandse staat. Het Rijk is bovendien de grootste vastgoedeigenaar in het land. Er is echter grote diversiteit in de vastlegging van het volume en de waarde van diverse onderdelen van het rijksvastgoed. Er is geen instantie bij het Rijk die ons een actueel, volledig en eenduidig beeld kan geven van het volume en de waarde van al het rijksvastgoed. We bevelen de minister van BZK aan om zorg te dragen voor beter inzicht. Dit draagt bij aan doelmatiger beheer en exploitatie. Een rijksbreed toegepast boekhoudkundig stelsel dat gebaseerd is op baten en lasten bevordert een betere afweging omdat het de financiële gevolgen voor de lange termijn in beeld brengt. Deze aanbeveling doen wij ook in het licht van het advies van de Adviescommissie Verslaggevingsstelsel Rijksoverheid aan het kabinet (maart 2017) om opnieuw een staatsbalans te introduceren. Zie ook onze brief op de kabinetsreactie op het rapport Baten en lasten geherwaardeerd (Algemene Rekenkamer, 2018c). 

Herijking huisvestingsplannen nodig

Het Rijk beoogt tot 2020 € 136 miljoen op de huisvestingslasten te besparen, dit is ongeveer 20% van de totale huisvestingslasten, en € 20 miljoen structureel op de apparaatskosten. Al in 2015 concludeerden we dat de onderbouwing van de voorgenomen besparing op de huisvestingslasten niet goed te controleren was. Er ontbrak een langetermijnblik en een gedegen businesscase. Het Rijksvastgoedbedrijf (RVB) denkt de besparingen desondanks te kunnen realiseren. Randvoorwaarden zijn volgens het RVB wel dat de plannen onverkort uitgevoerd kunnen worden, de prijzen op de vastgoedmarkt niet te veel stijgen en de behoefte aan vastgoed niet stijgt. Deze randvoorwaarden voor het realiseren van deze bezuinigingen lijken ons weinig realistisch. Daarnaast zien we dat de apparaatskosten niet zijn afgenomen met € 20 miljoen maar vooralsnog juist toegenomen met € 20 miljoen. We bevelen de minister van BZK aan om de huisvestingsplannen te herijken en de haalbaarheid van de bezuinigingsdoelstellingen opnieuw te beoordelen. 
De herijkte huisvestingsplannen zouden moeten uitmonden in een samenhangend lange termijn huisvestingsplan voor het rijksvastgoed inclusief de financiële en maatschappelijke gevolgen voor de vastgoedportefeuille. Daarbij hoort ook een strategische langetermijnblik op de vraag hoe het Rijksvastgoedbedrijf wil omgaan met de dynamiek en grilligheid van de vastgoedmarkt. Bij het maken van businesscases kan de minister ook haar nieuwe taken uit het regeerakkoord betrekken aangaande ruimtelijke ordening en de omgevingswet en rekening houden met ontwikkelingen zoals de energieopgave voor Nederland uit het Klimaatverdrag van Parijs.

In de volgende hoofdstukken werken wij bovenstaande conclusies verder uit:

• Hoofdstuk 3, ‘Financiële informatie’: hierin geven wij ons oordeel over de financiële informatie in het Jaarverslag 2017 van WenR.
• Hoofdstuk 4, ‘Bedrijfsvoering’: hierin geven wij ons oordeel over de bedrijfsvoering van WenR. In 2017 zijn er twee onvolkomenheden geconstateerd. Daarmee is het aantal onvolkomenheden gelijk gebleven in vergelijking met 2016.
• Hoofdstuk 5, ‘Beleidsresultaten’: hierin geven wij ons oordeel over de totstandkoming van de informatie die in het Jaarverslag 2017 van WenR is opgenomen over het gevoerde beleid.
• Hoofdstuk 6, ‘Reactie minister en nawoord Algemene Rekenkamer’: hierin vatten wij de reactie samen die wij op 25 april 2018 ontvingen van de minister van BZK.