Informatieveiligheid en Privacy
In 2022 is opnieuw een meting uitgevoerd van de Functionaris voor Gegevensbescherming (FG). Daarnaast hebben, op basis van het controleplan, verdiepende toetsen plaatsgevonden. Onder andere op het register van verwerkingen en de procedure voor het melden van datalekken.
Blijvende aandacht vraagt het beleid en de governance voor Informatieveiligheid en Privacy. Door ambtelijke en bestuurlijke gesprekken wordt dit landschap steeds beter ingekleurd. Ook was er aandacht voor de inrichting voor het veilig thuiswerken zodat privacy en informatieveiligheid geborgd blijft, ook in een hybride werkomgeving.
Bewustwording blijft een voortdurend aandachtpunt. Met behulp van Data Protection Impact Assessments (DPIA’s) zijn bij nieuwe ontwikkelingen de risico’s voor privacy en informatieveiligheid in kaart gebracht. Voor bestaande processen hebben we vastgesteld dat hier een inhaalslag nodig is, waarvoor de acties inmiddels zijn uitgezet.
Daarnaast was er inspanning nodig van de FG, als onderdeel van de driehoek informatieveiligheid en privacy, voor onder andere het datagedreven werken en datadienst sociaal domein.
De ingezette samenwerking met de gemeenten Rhenen en Wageningen met betrekking tot de uitvoering van de AVG verloopt naar tevredenheid.
Auditing
In 2022 is vooral gewerkt aan de voorbereidingen en implementatie van de in 2023 verplicht wordende rechtmatigheidsverantwoording door het college.
Het daarop betrekking hebbende wetsvoorstel is medio 2022 eindelijk besloten door de Tweede en Eerste Kamer.
Op basis van de benoemde acties uit een in 2021 uitgevoerde Quick Scan zijn we volop aan de slag gegaan.
De accountant heeft in haar bevindingen in de interim-controle 2022 ook aangegeven dat we een inhaalslag hebben gemaakt en op de goede weg zijn.
Diverse stappen uit het gerelateerde plan van aanpak zijn uitgevoerd. We beschikken nu over een stromenoverzicht, een geactualiseerde (fraude)risicoanalyse, een VIC-plan en auditprogramma’s voor alle materiële processen. We zetten deze professionaliseringsslag nu door.
We kijken daarbij ook naar de kansen van verdere digitalisering en data-analyse en in samenwerking met onze accountant kijken we ook naar IT-gerichte pilots controles.
Wij zullen de Auditcommissie en Raadswerkgroep Programmabegroting en -verantwoording bij deze doorontwikkeling betrekken.
Ook voor 2021 werd een goedkeurende accountantsverklaring afgegeven.
In 2022 is de Netwerkmonitor geactualiseerd. Hierin worden de risico’s op al onze netwerkrelaties in kaart gebracht en geeft een beeld van de relaties die belangrijk zijn voor realisatie van onze beleidsdoelstellingen én risicovol zijn en dus aandacht vragen.
Ook de selectie voor de raadsvisitaties door een delegatie van de raadswerkgroep bij netwerkrelaties vindt op basis van deze monitor plaats.
Verder zijn onderzoeken in gang gezet als Quick Scan Samenwerking in de Regio en evaluatie Werkkracht.
Preventie van fraude, misbruik en oneigenlijk gebruik
In 2022 is aanvullend aandacht besteed aan de preventie van fraude, misbruik en oneigenlijk gebruik. Voor fraude, misbruik en oneigenlijk gebruik worden onderstaande definities gehanteerd:
- Fraude omvat een opzettelijke handeling door een of meer leden van het management, met governance belaste personen, werknemers of derden, waarbij gebruik wordt gemaakt van misleiding teneinde een onrechtmatig of onwettig voordeel te verkrijgen.
- Misbruik omvat het opzettelijk, niet tijdig, onjuist of onvolledig verstrekken van gegevens met als doel ten onrechte overheidssubsidies of -uitkeringen te verkrijgen of een te laag bedrag aan heffingen aan de overheid te betalen. Bij misbruik is er geen sprake van samenwerking van derden met interne werknemers.
- Oneigenlijk gebruik omvat het verkrijgen van overheidsbijdrage of het betalen van een te laag bedrag aan heffingen door het aangaan van rechtshandelingen in overeenstemming met de bewoording van de regelgeving maar in strijd met het doel en de strekking daarvan.
In 2022 is er een opzet gemaakt voor een overkoepelende (fraude)risicoanalyse waarin alle onderkende frauderisico’s zijn opgenomen. In deze risicoanalyse zijn tevens de beheersmaatregelen (bestaande uit preventieve en repressieve interne controles) opgenomen ten aanzien de onderkende frauderisico’s. Vermoedens van fraude, al dan niet vanuit deze beheersmaatregelen, worden intern gemeld. Aanvullend op de risicoanalyse is er een gedragscode integriteit, een klokkenluidersregeling en een vertrouwenspersoon. Bewustwording c.q. integriteit is een belangrijk punt in de preventie van fraude. Middels afdelingsoverleggen en online dilemma trainingen is het thema integriteit actueel gehouden in 2022.
De preventie van fraude is per heden nog niet geformaliseerd in een overkoepelend fraudeprotocol.
Voor de preventie van misbruik en oneigenlijk gebruik (hierna: M&O) is er al een vastgestelde Nota Misbruik & Oneigenlijk Gebruik. In deze nota is opgenomen hoe de interne bewustwording, de controle en de sancties ten aanzien van M&O geregeld zijn. Bij elk nieuw beleid wordt aan de voorkant bepaald of dit een M&O gevoelige regeling betreft. Dit gebeurt aan de hand de bewoording van het beleid (oneigenlijk gebruik) en gelegenheid en motivatie (misbruik). Voor misbruik worden preventieve en repressieve interne controles opgezet. Voor oneigenlijk gebruik wordt een analyse gemaakt voor de doelmatigheid.
In 2022 hebben er geen gevallen van fraude, misbruik of oneigenlijk gebruik voorgevallen.