BKWI Jaarverslag 2015

Transcriptie

1 BKWI Jaarverslag 2015

2 Inhoudsopgave 1 VOORWOORD PRESTATIE-INDICATOREN EN KERNCIJFERS DOELEN EN ACTIVITEITEN INLEIDING OPDRACHTLIJN 1: UITVOERING PRIMAIRE OPDRACHT VAN HET MINISTERIE VAN SZW... 5 CLUSTER 1 BORGEN CONTINUÏTEIT EN STABILITEIT VAN GEGEVENSLEVERINGEN VIA SUWINET... 6 CLUSTER 2 VERBETEREN BEVEILIGING SUWINET... 7 CLUSTER 3 ONDERSTEUNEN SUWIPARTIJEN IN HET GEBRUIK VAN SUWINET... 8 CLUSTER 4 IMPLEMENTEREN VAN VERANDERDE OF NIEUWE WET- EN REGELGEVING VOORTGANG OPDRACHTLIJN 2: AANVULLENDE OPDRACHTEN VAN HET MINISTERIE VAN SZW OPDRACHTLIJN 3: OPDRACHTEN VAN EEN OF MEER SUWI-PARTIJEN OPDRACHTLIJN 4: OPDRACHTEN VAN DERDEN BEDRIJFSVOERING MEDEDELING BEDRIJFSVOERING PRIVACY & BEVEILIGING (P&B): EDP-AUDIT FINANCIËLE VERANTWOORDING KWALITEIT NIET-FINANCIËLE INFORMATIEVOORZIENING DOELMATIGHEID RECHTMATIGHEID BEVINDINGEN INSPECTIE SZW JAARREKENING OVERIGE GEGEVENS...28 Bijlagen Bijlage 1: Lijst met afkortingen 2

3 1 Voorwoord In 2015 is BKWI er wederom in geslaagd de primaire taak, de levering van gegevens middels aansluiting van afnemers op Suwinet en functioneel beheer van Suwinet, goed uit te voeren. Alle aangesloten partijen/stakeholders en professionals hebben zoals gebruikelijk gebruik kunnen maken van een stabiele infrastructuur, die ervoor zorgde dat bedrijfsprocessen en werkzaamheden vakkundig en terdege werden ondersteund, met als eindresultaat dat uitkeringen snel, rechtmatig en tijdig konden worden vastgesteld en betaald en mensen optimaal naar werk werden begeleid. Naast de uitvoering van de reguliere dienstverlening was 2015 een dynamisch jaar voor BKWI aangezien zowel de omgeving als de interne organisatie onderhevig waren aan veel dynamiek. Verandering in de keten, de constatering van toezichthouders dat er tekortkomingen zijn in de processen en procedures en de wens van het ministerie dat BKWI zich richt op kerntaken hebben geleid tot een interne reorganisatie, genaamd Toekomstvast BKWI. De interne organisatie kreeg een nieuwe structuur, met onder andere de inrichting van kwaliteitsmanagement en portfoliomanagement. Daarnaast is de rol van BKWI als opdrachtnemer nader uitgekristalliseerd en voor wat betreft de personele kant zijn nieuwe functies opgesteld en hebben medewerkers hun belangstelling kenbaar gemaakt. Verder heeft BKWI in 2015 een wisseling van haar directie passend geaccommodeerd. Een belangrijke mijlpaal is de migratie van het rekencentrum naar een nieuwe externe partij geweest. De continuïteit voor tienduizenden gebruikers is hierbij niet in gevaar gekomen. De start van de Baseline Informatiebeveiliging Rijksdienst (BIR) -implementatie adresseert een aantal beheeraspecten, die aandacht verdienen, denk daarbij aan continuïteitsbeheer en toegangsbeveiliging. Ook de vaststelling van Karwei 2.5, de referentie-architectuur Werk en Inkomen, die voor andere ketens als voorbeeld dient, was een belangrijke mijlpaal. Het afgelopen jaar heeft BKWI geparticipeerd in het programma Borging Veilige Gegevensuitwisseling Suwinet. (BVGS). BKWI ziet dit programma als een belangrijk vehikel om het beveiligingsniveau van het gebruik van de voorziening Suwinet te verhogen. Hierbij faciliteert BKWI de opdrachtgevers van dit programma UWV, SVB en VNG. De eerste functionele producten zijn opgeleverd door BKWI o.a. in de vorm van zes nieuwe pagina s binnen Suwinet-Inkijk voor gemeentelijke gebruikers. Het afgelopen jaar zorgden de onderzoeken van toezichthouders als Inspectie SZW en CBP (Authoriteit Persoonsgegevens), evenals media-aandacht voor de nodige dynamiek. Dit vergde veel afstemming, inzet en capaciteit van BKWI. Ondanks dat zijn alle services en diensten geleverd en in stand gehouden. BKWI kijkt terug op een jaar waarin veel is gebeurd. De basis is gelegd voor een toekomst waarin de beheertaak centraal staat, de beveiliging van Suwinet in de keten op orde is en de organisatie voorspelbaar opereert. 3

4 1.1 Prestatie-indicatoren en kerncijfers Prestatie-indicatoren Prestatie-indicator Norm Uitvoeren en coördineren technisch en functioneel beheer voorzieningen Suwinet Beschikbaarheid Suwinet Netwerk Applicatie(s) 99,5% 99,8% 99,9% Suwinet gegevens binnen 6 sec. 95% 99,1% 97,1% Goedkeurende auditverklaring beveiliging Suwinet Ja Ja Ja Klanttevredenheid eindgebruikers (even jaar) 7 N.v.t. 7,2 Voorbereiden en beheren ketenafspraken Aantal afgehandelde wijzigingsverzoeken (Centraal Meldpunt Ketenwijzigingen) Aantal afgehandelde beveiligingsincidenten + totaal aantal incidenten 100% tijdig afgehandeld (=100% tijdig afgeh.) 11(=100% tijdig afgeh.) Actualisatie van de Suwi-standaarden 1 x per jaar Conform norm Conform norm Klanttevredenheid Suwi-partijen 7 N.v.t. 3 - Innovatie Suwinet en keten werk en inkomen Uren besteed aan afgeronde activiteiten met een innovatief karakter Financieel 5% van besteedbare uren 0% van besteedbare uren 4 Goedkeurende accountantsverklaring Ja Ja Ja 7,9% van besteedbare uren Benutting regulier budget < 100% 91,6% 89,9% Benutting project budget (ten behoeve van vervangingsinvesteringen) < 100% 85,4% 206,1% Rechtmatigheid 99% 95,7% 92,4% Kengetallen Kengetallen Aantal fte s in vaste dienst (einde jaar) 47,7 52,9 Aantal fte s op jaarcontract (einde jaar) 1,84 2,00 Aantal fte s externe inhuur lijn (einde jaar) 1,65 3,10 Aantal releases 9 4 Aantal actieve gebruikers Suwinet-Inkijk (gemiddeld per maand) Aantal raadplegingen 5 binnen Suwinet-Inkijk Gemiddelde responsetijd BKWI 0,63 sec. 0,92 sec. Aantal via Suwinet-Mail verzonden berichten Het aantal binnengekomen en afgehandelde verzoeken 2 Conform rapportage uit het bronsysteem RT. 3 In het kader van de BKWI reorganisatie heeft BKWI in 2015 haar primaire stakeholders geconsulteerd ten aanzien van de verwachtingen. Derhalve is besloten om het klanttevredenheidsonderzoek van stakeholders in 2015 over te slaan en deze uit te voeren als de resultaten van de BKWI reorganisatie zijn geoperationaliseerd en geborgd. 4 De inzet van innovatieve uren in 2015 wijkt af van de norm vanwege de nadruk op beheer activiteiten Suwinet 5 Onder een raadpleging wordt verstaan het raadplegen van een gegevenspagina. Een gegevenspagina kan uit meerdere berichten bestaan. 4

5 2 Doelen en activiteiten Inleiding BKWI is als afzonderlijk en herkenbaar organisatieonderdeel van UWV reeds vele jaren actief namens de drie Ketenpartijen en voert als zelfstandige entiteit de volgende werkzaamheden uit: Inrichten en beheer Suwinet; Inrichten toegangsbeveiliging Suwinet; Ondersteunen van de gebruikers bij het beheer en gebruik van Suwinet (inclusief beheer en doorontwikkelen wettelijke standaards); In overleg met de Ketenpartijen adviseren en doen van voorstellen over de ontwikkeling van de regelgeving over het gebruik van Suwinet. Naast het uitvoeren van deze primaire-/ wettelijke taak, kunnen SZW, de drie Ketenpartijen en ook overige partijen BKWI verzoeken aanvullende taken uit te voeren. Bij het aanvaarden van opdrachten afkomstig van overige partijen is een aantal voorwaarden van toepassing. De belangrijkste voorwaarde is dat uitvoering van de opdracht niet ten koste mag gaan van de primaire taak. Deze voorwaarde is ook van toepassing op additionele opdrachten van ketenpartners. De opdrachten voor BKWI zijn onder te verdelen in diverse activiteiten, met daaraan gekoppeld capaciteit en financiering. Dit resulteert in vier verschillende opdrachtlijnen, namelijk: Primaire, wettelijke taken in opdracht van het ministerie van SZW. Hiervoor dient de jaarlijkse rijksbijdrage van het ministerie; Aanvullende, specifieke opdrachten van het ministerie van SZW. Hiervoor verleent het ministerie additionele middelen op basis van programma en/of projectplannen; Additionele opdrachten van één of meer van onze ketenpartners (SVB, UWV, VNG). De opdrachtgever(s) zorgen voor financiering; Opdrachten van derden. Deze worden ook additioneel gefinancierd door de opdrachtgever(s). De voortgang van de activiteiten binnen de 4 opdrachtlijnen wordt beschreven in het volgende hoofdstuk. In de meibrief van 2014 verzocht het ministerie van SZW om het jaarplan 2015 in te delen conform de opdrachtlijnen. Deze indeling is eveneens gevolgd voor het jaarverslag De genoemde aspecten omtrent privacy en beveiliging zijn deels opgenomen in het programma Borging Veilige Gegevensuitwisseling Suwinet en BKWI heeft hier eveneens separaat aandacht aan gegeven bij de start van de implementatie BIR. Tevens is in 2015 het escalatieprotocol, voor wat betreft afsluitingen van Suwinet van kracht geworden. Hiermee kan BKWI, op aanwijzing van het ministerie, overgaan tot afsluiting van afnemers. Op basis van de uitkomsten van het CBP-onderzoek (november 2014) zijn de bevindingen met betrekking tot Inkijk opgelost, die nader zijn omschreven op pagina 7. Met betrekking tot Suwinet-Inlezen zijn eveneens bevindingen gedaan door de Autoriteit Persoonsgegevens, die ertoe hebben geleid dat in samenwerking met alle betrokken partijen een plan van aanpak is opgesteld. 2.2 Opdrachtlijn 1: uitvoering primaire opdracht van het ministerie van SZW De uitvoering van de primaire opdracht van het ministerie van SZW binnen opdrachtlijn 1 is opgebouwd uit diverse Clusters, te weten: Borgen continuïteit en stabiliteit van gegevensleveringen via Suwinet; Verbeteren beveiliging Suwinet; Ondersteunen Suwipartijen in het gebruik van Suwinet; Implementeren van veranderde of nieuwe wet- en regelgeving. Binnen elk cluster hebben activiteiten plaatsgevonden, die hiernavolgend in specifieke tabellen nader zijn toelichting. 5

6 Cluster 1 Borgen continuïteit en stabiliteit van gegevensleveringen via Suwinet Binnen het cluster Borgen continuïteit en stabiliteit zijn diverse activiteiten ontplooid. In de tabel op de volgende pagina zijn deze activiteiten beschreven, die met uitzondering van de vervanging van de Centrale omgeving, vallen onder de zogenaamde vervangingsinvesteringen. De vervanging van de centrale omgeving was reeds opgenomen in de begroting van 2014 en is deels doorgeschoven naar 2015 op basis van een aangepaste baseline, vanwege uitloop van werkzaamheden. Doel Resultaat Voortgang Benodigde actie? Userinterface Suwinet-Inkijk functioneel en technisch up to date Meer samenhang en sturing op opdrachtlijnen De upgrade Suwinet- Inkijk heeft tot doel een nieuw technisch framework en een nieuwe architectuur te introduceren, waardoor de functionaliteit van de interface verbetert en de continuïteit meer wordt geborgd. Vervanging CRM (Customer Relationship Management). In 2015 is opgeleverd: Verbetering zoeken door accounts; Verheldering toewijzen van rollen; Exporteren accounts (voor controle); Feedback mogelijkheid; Verheldering presentatie fouten. Bovendien is er functionaliteit opgeleverd die de overgang van de huidige naar de nieuwe interface makkelijker maakt: Per organisatie toegang kunnen geven tot de nieuwe interface; Nieuwe interface gebruik laten maken van dezelfde databases (ondanks de gewijzigde architectuur). In 2015 is voorwerk verricht bestaande uit: Het opstellen van een pakket van eisen; Opstellen van een plan van aanpak. Borging van de samenhang met het programma Borging Veilige Gegevensuitwisseling, waarbij Suwinet upgrade een technisch fundament neerzet ten behoeve van BVGS. Nadere uitvoering van de Upgrade loopt door in De uitvoering is uitgesteld tot medio 2016 in verband met de reorganisatie bij BKWI en is opgenomen in jaarplan Meer mogelijkheden Kantoor Automatisering (KA) Betere technische ontwikkelmogelijkheden Suwinet in relatie met agile werken Bestendige dienstverlening Vervanging KA. Het project is op 2 november 2015 gestart. De voordelen die hiermee behaald worden zijn: betere interconnectiviteit, betere beveiliging, meer stabiliteit en minder intensief beheer. Vervanging ondersteunende software. Vervanging gedeelte servers. Op basis van analyse heeft het op dit moment nog geen prioriteit gekregen. De agile werken methodiek is ingevoerd. Uit de evaluatie blijken de implicaties op de ontwikkelmethodiek. BKWI heeft twee servers vervangen, conform een uitgebalanceerde vervangingscyclus en borgt hiermee, ook op het niveau van hardware, de stabiliteit en continuïteit. De implementatie wordt fasegewijs uitgevoerd vanaf het vierde kwartaal. In juni 2016 is de afronding voorzien. Nadere uitvoering en vervanging van de ontwikkelmogelijkheden is uitgesteld tot Q Regulier life cycle management uitvoeren. Verbetering informatie en werking website BKWI.nl Website wordt aangepast. De verbetering van de lay-out volgt uit de ontwikkelingen die plaatsvinden binnen Toekomstvast BKWI. In 2016 uitvoeren, zodra de organisatorische wijzigingen vanuit BKWI Toekomst vast zijn uitgehard. Toekomstbestendige centrale omgeving Nieuwe centrale omgeving. De transitie is, na een aangepaste baseline, succesvol verlopen. De afgelopen periode heeft deze omgeving succesvol gedraaid. Afgerond. 6

7 Cluster 2 Verbeteren beveiliging Suwinet In 2015 is BKWI gestart met voorbereidende werkzaamheden om, in navolging van UWV, in 2016 de Baseline Informatiebeveiliging Rijksdienst (BIR) te implementeren. De Raad van Bestuur van UWV heeft het nieuwe beveiligingsprotocol van BKWI goedgekeurd. Verder heeft het Opdrachtgeversberaad, waarin vertegenwoordigers van SVB, UWV en VNG zitting hebben, de procedure autorisatie gebruikersbeheerder afnemer goedgekeurd en ingestemd met de impactanalyse op het implementeren van een nieuwe transactiestandaard. Doel Resultaat Voortgang Benodigde actie? Betere afhandeling van incidenten. Verbetering Privacy en Beveiliging (P&B). Door Suwipartijen geaccordeerde en geactualiseerde incidentenprocedure en vastgestelde beschrijving van beveiligingsincidenten. Een vastgestelde en gedocumenteerde procedurebeschrijving autorisatie gebruikersbeheerder afnemer. Per 1 april 2015 is de geactualiseerde KetenDAP versie 3.0 van toepassing. Deze is in de ketenbrede Domeingroep ICT Beheer (DIB) vastgesteld. De DAP is geactualiseerd met een nieuwe incidentenprocedure en de beschrijving van de behandelingswijze van beveiligingsincidenten. Deze procedure is vastgesteld in de Domeingroep ICT Beheer (DIB) en in het Opdrachtgeversberaad van 25 maart 2015 en in werking genomen. Geen. Geen. Implementatie BIR. Op basis van een risicoanalyse zijn de verbeterplannen opgesteld en ingepland. De risicoanalyse is in december 2015 afgerond. In 2016 staan gepland: Opstellen risico profiel Analysemethodiek/ classificatie Bepalen P&B beleid en uitvoering conform beleid inregelen. CBP-onderzoek naar BKWI Het Rapport van het CBP over bevindingen onderzoek toegang Suwinet voor niet-suwi-partijen dat in november 2014 formeel is vastgesteld heeft geleid tot vier concrete maatregelen, die BKWI heeft doorgevoerd in Het betreft: Het beveiligingsplan en het continuïteitsplan BKWI zijn geactualiseerd; Een procedure inzake beveiligingsincidenten is vastgesteld; Een gedocumenteerde procedurebeschrijving met betrekking tot de autorisatie van de gebruikersbeheerder van de afnemer is vastgesteld; UWV Inkoop Contractbeheer is gestart met herstelacties aangaande de gegevensleveringscontracten. Dit houdt in dat aan het contract, waar het van toepassing is, een addendum wordt toegevoegd. Het addendum dient vervolgens te worden ingevuld en ondertekend door de afnemende partij, UWV en BKWI, zodat levering van gegevens buiten de SUWI-partners is geborgd. Op dit moment heeft BKWI, als contractpartij, het addendum beoordeeld en akkoord bevonden. Bij de uitvoering van deze actie, die waarschijnlijk eind maart 2016 is afgerond, wordt ieder addendum afzonderlijk ook door BKWI ondertekend. 7

8 Cluster 3 Ondersteunen Suwipartijen in het gebruik van Suwinet Doel Resultaat Voortgang Benodigde actie? Scholing in het gebruik van Suwinet en informeren over wijzigingen binnen Suwinet. Suwipartijen zijn in staat medewerkers te toetsen in het correct gebruik van Suwinet Wijzigingen worden op impact en wenselijkheid beoordeeld Met Suwipartijen worden releases vastgesteld Beheer, vernieuwen en implementeren keten-standaarden Beheer, vernieuwen en implementeren keten-standaarden Beheer, vernieuwen en implementeren keten-standaarden Gebruikersbeheerders, kwaliteitsmedewerkers en Security Officers Suwinet worden geschoold via cursussen en workshops. Aanleveren gebruikersrapportages. Goed werkend wijzigingsbeheer gerelateerd aan operationeel beheer. Prioritering en inhoud van de releases van Suwinet met afgevaardigden Suwipartijen. Suwi Gegevens Register(SGR). Bericht en transactiestandaard. Gemeenschappelijke electronische voorziening Suwinet (GeVS) Keten SLA. In het kader van het Programma BVGS wordt een aanpak voor e-learning voor Suwinet gebruikers uitgewerkt. Inzet is dat gebruikers deze e-learning module doorlopen alvorens ze toegang krijgen tot Suwinet. Via meerdere (ongeveer 30) regionale bijeenkomsten hebben VNG en BKWI gemeenten geïnformeerd over de ontwikkelingen rond privacy en beveiliging van Suwinet. De maandelijks aangeleverde generieke rapportages (800) aan alle afnemende partijen geven een indruk over het gebruik van Suwinet. Tevens dienen deze rapportages als basis voor de afnemende partijen om additionele, specifieke rapportage op te vragen indien daar aanleiding toe is. Het Centrale Meldpunt Ketenwijzigingen (CMK), de ondersteunende tool, voor het ketenbreed wijzigingsbeheer, is herbouwd in een nieuw webcontent management systeem, omdat het oude systeem niet meer ondersteund wordt. Hierbij is de functionaliteit zoveel mogelijk één op één overgenomen en de userinterface is voorzien van modern uiterlijk. De wijzigingen worden altijd ter toetsing voorgelegd aan de ketenpartijen, zodat vaststelling in onderlinge afstemming plaatsvindt. Binnen het Keten Change Advisory Board (CAB) en de Domeingroep ICT Beheer (DIB) is nagedacht over de wijze van formaliseren van wijzigingen. Hierover heeft BKWI een advies geschreven en daar wordt in 2016 vervolg aangegeven. Het aantal releases is van 4 naar 9 gestegen, waarmee op een meer lean wijze invulling is gegeven aan uitvoering van de klantvraag. Jaarlijks wordt de SGR vastgesteld. Op 21 januari 2015 is SGR 11.0 in het Opdrachtgeversberaad vastgesteld. De SGR 12.0, voor 2016 is in januari vastgesteld, waarbij mogelijke wijzigingen uit wet- en regelgeving zijn meegenomen. In samenwerking met de ketenpartijen heeft BKWI een Impactanalysedocument over end-to-end security in ketenstandaard aan het Opdrachtgeversberaad aangeboden. Met deze nieuwe standaard en technische maatregelen wordt geborgd dat de identiteit van de afnemer niet wordt misbruikt en de berichten gedurende het transportproces niet kunnen worden aangepast. Het Opdrachtgeversberaad heeft inmiddels de voorstellen, een impactanalyse bij de ketenpartners, goedgekeurd. De Domeingroep ICT Beheer (DIB) levert Q een (finaal gereed) nieuwe Keten SLA op, die eind 2015 in concept gereed was. De ketenpartners zijn in overleg over een eventuele uitrol van de E-learning module. Het tijdig aanleveren van gebruikersrapportages, conform reguliere dienstverlening. De procedure ketenbreed wijzigingsbeheer is op dit moment actief en is een continue proces, vanuit operationeel beheer. Geen. Terugkerend jaarlijks proces. In 2016 is de nadere uitvoering van de SuwiML- Transactiestandaard aan deze technische beveiligingsmaatregelen ingepland. Geen. 8

9 Doel Resultaat Voortgang Benodigde actie? Beheer, vernieuwen en implementeren keten-standaarden. Beheer, vernieuwen en implementeren keten-standaarden Beheer, vernieuwen en implementeren keten-standaarden Keten DAP Ketenarchitectuur Karwei. Lijst Wet Eenmalige gegevensuitvraag (WEU). De geüpdatete Keten SLA kent vernieuwde prestatie-indicatoren met betrekking tot oplos- en reactietijden, en een betere aansluiting op afnemers en leveranciers. In 2015 is de nieuwe Keten DAP (versie 3.0) opgeleverd. De Keten DAP is een operationele uitwerking van de GeVS Keten SLA. De nieuwe versie is in lijn gebracht met de GeVS Keten SLA en bevat o.a. nieuwe afspraken met betrekking tot de beveiligingsincidenten. Dit jaar is hard gewerkt aan een nieuwe versie van de ketenarchitectuur. In november is deze versie 2.5 van KARWEI opgeleverd en door het Opdrachtgeversberaad vastgesteld. Zo werken nu de projecten Upgrade Suwinet Inkijk en Upgrade KA onder architectuur. Dit houdt in dat beide projecten aansluiten op de BKWI Enterprise Architectuurprincipes en op KARWEI. Op dit moment worden, in het onderhoud van de lijst behorende bij de Wet Eenmalige Uitvraag, geen werkzaamheden uitgevoerd. Geen. Geen. Geen. Beheer, vernieuwen en implementeren keten-standaarden Verantwoordingsrichtlijn en normenkader. Beide zijn gekoppeld aan-/opgenomen in het programmaplan Privacy en Beveiliging. Verantwoording daarover vindt separaat plaats onder opdrachtlijn 2 op pagina 10. Onderdeel van programma Borging Veilige gegevensuitwisseling. Ondersteuning Programmaraad Secretariaat en facilitering arbeidsmarktregio s. Sinds aug 2015 ondersteunt BKWI niet langer de Programmaraad en heeft de ondersteuning overgedragen aan UWV en VNG. In het vastgestelde jaarplan van de Programmaraad is geen opdracht opgenomen. Het secretariaat is ondergebracht bij VNG. Overdracht is afgerond. Geen. 9

10 Cluster 4 Implementeren van veranderde of nieuwe wet- en regelgeving Doel Resultaat Voortgang Benodigde actie? Implementeren wet- en regelgeving Herzien frauderegister De producten van BKWI ondersteunen de dienstverlening van de ketenpartijen. Kostenraming. BKWI levert via UWV een bijdrage aan de Uitvoeringstoetsen. Er is een pagina gebouwd voor het ondersteunen van de kostendelerstoets medebewoners bij de uitvoering van de Participatiewet. Er is een pilot gestart voor het ontsluiten van de Persoonsinformatievoorziening Nederlandse Antillen en Aruba. Hierop staan de persoonsgegevens van inwoners van de nieuwe gemeenten in Caraibisch Nederland. Verder is de GBA-pagina voor de Wet op de Lijkbezorging uitgeschakeld en verwijderd omdat de doelbinding voor transport via Suwinet niet onderbouwd kon worden. De baseline dienstverlening is vastgesteld; Hierin staan de producten en diensten voor de opdrachtgevers van BKWI beschreven. Het vormt het uitgangspunt voor herijking van die producten en diensten. Het ministerie van SZW is bezig met een herziening van dit frauderegister. BKWI heeft in 2015 geen kostenraming hoeven maken. Geen Geen. 2.3 Voortgang opdrachtlijn 2: aanvullende opdrachten van het ministerie van SZW Het Programma Borging Veilige Gegevensuitwisseling Suwinet (BVGS) Begin 2014 heeft het Opdrachtgeverberaad de verantwoordelijkheid op zich genomen om een Programmaplan op te stellen, dat een breed scala aan maatregelen bevat om het uitwisselen en het gebruik van gegevens via Suwinet veiliger en beter te maken. Het doel van het Programma is het realiseren van de maatregelen die de Suwi-partijen gezamenlijk nemen. De maatregelen zijn ondergebracht in werkgroepen die in 2015 de maatregelen hebben geanalyseerd, oplossingsrichtingen hebben gedefinieerd en de impact op de verschillende organisaties daarvan hebben bepaald. BKWI neemt deel aan het programma vanuit de rol van opdrachtnemer. In het Opdrachtgeversberaad van 12 mei 2015 zijn de plannen van de werkgroepen 1 en 2 geaccordeerd. Het programma bevond zich in 2015 voornamelijk in de initiatie- en analyse fase, waarbij coördinatie en afstemming belangrijke aspecten waren en diverse impact-analyses en ramingen voor de maatregelen zijn opgeleverd. In het najaar van 2015 is de overgang bereikt van de analyse- naar realisatiefase waarbij de korte termijn oplossingen zijn gerealiseerd. Vervolgens is afgesproken dat de afzonderlijke ketenpartijen een implementatieplan en team opstellen en inrichten. Door BKWI is in 2015 gerealiseerd: Er zijn 6 nieuwe specifieke pagina s voor gemeentes opgeleverd. Dit is een korte termijn maatregel ten behoeve van fijnmazig autoriseren; Functionaliteit, die voorgeselecteerde gebruikers de mogelijkheid geeft om met opgave van reden af te wijken van de werkvoorraadlijst. De proefimplementatie van deze functionaliteit is voorbereid.; Naar aanleiding van inzicht in specifieke en algemene rapportages zijn inhoudelijke aanpassingen doorgevoerd en heeft procesoptimalisatie plaatsgevonden op het gebied van rapportages; Ten aanzien van ontwikkeling en vaststelling aansluitvoorwaarden heeft BKWI een bijdrage geleverd aan de opgeleverde visienota met uitgangspunten, de gedragscode en het geformuleerde aansluitprotocol; De actualisatie van de verantwoordingsrichtlijn en het normenkader vindt plaats onder verantwoording van het programma; De gerealiseerde maatregelen binnen het programma hebben eveneens deels betrekking op werkzaamheden binnen cluster 2 en 3. 10

11 De urenrealisatie in 2015 is nagenoeg conform urenbegroting uitgevoerd en is verantwoord aan het Programma. Doel Resultaat Voortgang Benodigde actie Technisch beheer en exploitatie van de interventieteam-applicatie en opzetten nieuwe onderzoeken Kernkaart Uitvoering technisch beheer en nieuwe onderzoeken. Het beheer van Kernkaart.nl is beëindigd. In overleg met het ministerie van SZW wordt niet geïnvesteerd in nieuwe functionaliteit. Wel zijn noodzakelijk beheer uitgevoerd en gebruikers ondersteund. Via UWV wordt overleg gestart over de verantwoordelijkheden, de toekomst en het eigenaarschap en opdrachtgevers- schap van de applicatie. De kernkaart is conform afspraak functioneel en technisch beheerd, Daarnaast zijn de noodzakelijke stappen ondernomen om op verzoek van SZW het beheer van Kernkaart.nl te beëindigen. Geen. Geen. 2.4 Opdrachtlijn 3: Opdrachten van een of meer Suwi-partijen Doel Resultaat Voortgang Benodigde actie? Structurele Nieuw: afspraken tussen In het opdrachtgeversberaad van 24 juni (Her)nieuw(d)e bekostiging Suwi-partijen over hebben partijen dit besproken en is afspraken maken leverplicht nietstructurele financiering. afgesproken dat BKWI op basis van met afnemers over Suwi-partijen. Dit nacalculatie en met behulp van het de levering van voorkomt tariefmodel, afzonderlijk kosten claimt bij gegevens in financieringsde drie Suwi-partijen. Het aantal berichten problemen bij heeft de oorspronkelijke raming BKWI overtroffen. Proof of Concept gegevensuitwisseling (PoC) met Belastingdienst Antwoord op de vraag of deze PoC een vervolg krijgt (UWV en SZW) De benodigde beheer- en ondersteuningsactiviteiten zijn verricht. Aan deze PoC wordt geen structureel vervolg gegeven. De onderliggende overeenkomst kent een looptijd tot 31 maart Opdrachtlijn 4: Opdrachten van derden Doel Resultaat Voortgang Benodigde actie? Beheer Basiskoppelnetwerk Beheer en gebruikersondersteuning Er worden geen nieuwe opdrachten voorzien binnen dit beheer. De bestaande beheerwerkzaamheden worden voortgezet. Geen 11

12 3 Bedrijfsvoering 3.1 Mededeling Bedrijfsvoering Privacy & Beveiliging (P&B): Naast deelname aan het Programma Borging Veilige Gegevensuitwisseling Suwinet, waar UWV Gegevensdiensten ook aan deelneemt, heeft BKWI in 2015 separaat en specifiek aandacht gegeven aan Privacy & Beveiliging. De Baseline Informatiebeveiliging Rijksdienst UWV (hierna te noemen BIR) vormt samen met art Regeling Suwi en art. 6.4 Regeling Suwi het normenkader waarmee BKWI invulling geeft aan Privacy & Beveiliging. De BIR is in 2014 door UWV vastgesteld en in gebruik genomen. In 2015 is besloten de BIR normen ook binnen BKWI te implementeren. Voor 2016 bestaat de ambitie BIR compliant te zijn. In 2015 is bepaald welke beveiligingsactiviteiten nodig zijn om te komen tot een voldoende niveau van implementatie van de BIR normen in Dit heeft geresulteerd in een overall Beveiligingsplan. Tevens zijn in 2015 diverse P&B activiteiten opgepakt, zoals: Actualisatie van het Beveiligingsbeleid; Het actualiseren van het continuïteitsplan; Actualisatie van interne procesbeschrijvingen (zoals het security incident proces); Het creëren van bewustwording middels beveiligingsworkshops met BKWI medewerkers. Diverse P&B activiteiten zullen een vervolg krijgen door de verdere implementatie van de BIR. De BIR implementatie richt zich vooral op de interne bedrijfsvoering van BKWI. P&B activiteiten, die samenhang hebben met alle betrokken Suwipartijen én het ministerie van SZW, worden ook uitgevoerd maar hiervoor gelden ook andere normen zoals de Suwi regelingen. Daarnaast neemt BKWI deel aan een aantal werkgroepen binnen het programma Borging Veilige Gegevensuitwisseling Suwinet, waarin maatregelen worden getroffen op de door de Inspectie SZW geconstateerde tekortkomingen op het terrein van de privacy en beveiliging van (het gebruik van) Suwinet. De maatregelen richten zich onder andere op het preventief limiteren van de toegang van medewerkers tot gegevens, het verbeteren van het loggen en rapporteren van het gebruik van gegevens ten behoeve van een snellere en meer gerichte controle achteraf en het bevorderen van het privacy-bewustzijn van gebruikers. Hiervoor zijn in 2015 al de nodige activiteiten ondernomen middels werkgroepen en deze krijgen in 2016 een verder vervolg. EDP-audit Conform art. 6.4 Regeling Suwi en Beveiliging van de gegevensverwerking (art. 5.22), interne bedrijfsvoering en overige externe diensten heeft BKWI een onderzoek (hierna: EDP-audit) laten verrichten op de beveiliging van de gegevensuitwisseling via Suwinet, welke ook het Basis Koppelnet (BKN) omvat. Voor art. 6.4 is het Suwinet-Normenkader toegepast, voor de overige onderwerpen de Baseline Informatiebeveiliging Rijksdienst (BIR). Deze twee EDP-audits geven een totaal beeld van de informatiehuishouding van BKWI, in opzet, bestaan en werking voor art. 6.4 en Basiskoppelnet (BKN) voor art. 5.22, de interne bedrijfsvoering en de overige externe diensten. In relatie tot art. 6.4 betreffen de afwijkingen normen voor de volgende aandachtgebieden: verdere implementatie van risicobeheersing in het beveiligingsbeleid, continuïteitsbeheer, wijzigingsbeheer en beheer van en controle op de logische toegangsbeveiliging, organisatorische aspecten en architectuur/standaarden. Daarnaast de aandachtgebieden van de verdere versterking van firewalls en toegangsbeveiligingssoftware en beheersingsaspecten op Suwinet-componenten. BKWI heeft in 2015 het beveiligingsbeleid en beveiligingsplan opnieuw vastgesteld. BKWI heeft zich geconformeerd aan de Baseline Informatiebeveiliging Rijksdienst (BIR). Om BIR compliance te bereiken heeft BKWI in 2015 een gap-analyse uitgevoerd en een beveiligingsplan opgesteld met daarin de nodige activiteiten. Dit beveiligingsplan is door het management van BKWI goedgekeurd en wordt in 2016 ten uitvoer gebracht. De EDP-audit heeft geconcludeerd dat als het beveiligingsplan geïmplementeerd is binnen BKWI, BKWI een goede invulling geeft aan de BIR normen. Wet Meldplicht Datalekken Daarnaast is per 1 januari 2016 de nieuwe Wet Meldplicht Datalekken van kracht. In 2015 is bepaald wat de consequenties zijn van de nieuwe wet en regelgeving en hierop is geacteerd door BKWI. In 2016 krijgt dit verdere opvolging. Beheer Basiskoppelnetwerk (BKN) In de EDP-audit is het Basiskoppelnet als zelfstandig herkenbaar object van onderzoek benoemd. Hierbij zijn geen afwijkingen geconstateerd. 6 6 Meer informatie is te vinden in het document Assurance rapport EDP-audit informatiehuishouding Bureau Keteninformatie Werk & Inkomen 2015, uitgebracht door: Duijnborgh Audit B.V. 12

13 3.2 Financiële verantwoording Regulier Het budget voor 2015 is gesteld op ,- (incl ,- loon- en prijscompensatie) en is beschikbaar voor de uitvoering van wettelijke (reguliere) taken. Voor het uitvoeren van de wettelijke taken en het adequaat op peil houden van het functioneel beheer zijn personeels-, huisvestings-, beheer- en automatiseringskosten opgevoerd. Ten behoeve van vervangingsinvesteringen op het gebied van software en hardware is op basis van benodigde activiteiten een initiële inschatting gemaakt, waarvoor de RvB UWV voor ,- beschikbaar heeft gesteld. Daarnaast heeft SZW toestemming gegeven om uit het resultaat van 2014 in ,- te gebruiken voor de vervangingsinvesteringen. De gerealiseerde kosten in 2015 zijn ,-. Van de geplande vervangingsinvesteringen zijn een drietal vervangingen, te weten website BKWI.nl, CRM en Mantis doorgeschoven naar 2016 in verband met werkzaamheden uit het project Toekomstvast BKWI. De werkzaamheden uit Toekomstvast BKWI moeten eerst hun beslag krijgen, zodat een nieuw fundament is neergezet, waarop verder gebouwd kan worden. Van het initieel onttrokken bedrag uit het bestemmingsfonds vervangingen ter grootte van ,- is ,- aangewend t.b.v. afronding, incl. migratie, Europese Aanbesteding Centrale Omgeving Suwinet. Het restant vloeit terug in het bestemmingsfonds vervangingen In overleg met UWV zijn in de initiële begroting van 2015 geen reserveringen opgenomen voor het bestemmingsfonds en de egalisatiereserve, vanwege voorziene kosten van de reorganisatie Toekomstvast BKWI, die in 2015 inderdaad autonoom zijn opgevangen en uit reguliere financiering zijn bekostigd Opdrachtlijn 2 In 2015 zijn additionele opdrachten ontvangen van het ministerie van SZW. Zo is aan BKWI gevraagd de Kernkaartactiviteiten in 2015 doorgang te laten vinden en deel te nemen als opdrachtnemer aan het programma Borging Veilige Gegevensuitwisseling. Voor de Interventieteamapplicatie is ,- ontvangen. Voor de uitvoering van het project Borging Veilige Gegevensuitwisseling is ,- ontvangen. Hiervan is ,- op BVGS en ,- voor interventieteams (IVT) gerealiseerd. Derhalve is een resultaat van ,- gerealiseerd op het programma Borging Veilige Gegevensuitwisseling en is bestemd voor Borging Veilige Gegevensuitwisseling 2016, waar een separaat plan aan ten grondslag ligt en wordt aangeboden aan het Opdrachtgevers Beraad (Odgb) en Programmamanager BVGS Opdrachtlijn 3 In 2013 is afgesproken dat deze additionele activiteiten buiten Suwi-partijen bekostigd worden door de Suwi-partijen zelf, middels een tariefmodel. In 2015 hebben de Suwi-partijen de financiering van deze activiteiten verzorgd (in totaal ,-), derhalve is het resultaat kostenneutraal Opdrachtlijn 4 In 2015 is een BKWI-medewerker gedeeltelijk gedetacheerd bij het ministerie van VWS. Onder opdrachtlijn 4 vallen ook de doorbelaste kosten Quanza/KPN aan Logius ten behoeve van het Basiskoppelnetwerk. De kosten voor het Netwerk, inclusief Koppelpunt, zijn kosten die kostenneutraal zijn doorbelast aan Logius ten behoeve van het Basis Koppelnetwerk Programmaraad In 2015 is het programmabureau van de Programmaraad overgedragen aan de VNG, waarmee ook de financiële overdracht heeft plaatsgevonden Overige aspecten bedrijfsvoering Financieel beheer In 2015 heeft BKWI het financieel beheer uitgevoerd met behulp van de financiële rapportages, die door UWV worden geleverd. Daarnaast is vanuit het project Toekomstvast BKWI de P&C cyclus verbeterd en is Cost Accounting ingevoerd. Het UWV wordt middels maandelijkse Management Informatierapportages door BKWI geïnformeerd over de stand van zaken. Externe inhuur Bij de inhuur van externen wordt de meervoudig onderhandse aanbestedingsprocedure gevolgd. De kosten voor externe inhuur bedragen in 2015 voor BKWI in totaal ,-. De totale personeelskosten bedragen ,-. De kosten externe inhuur BKWI maken 26,2% (2014: 4,4%) uit van het totale personeelsbudget. Sociaal beleid en HRM De medewerkers van BKWI zijn in dienst van UWV. Met als gevolg dat het sociaal beleid en alle personeelsvoorzieningen van UWV eveneens van toepassing zijn op de medewerkers van BKWI. Aan het eind van 2015 bestond de vaste bezetting BKWI uit 47,7 fte s (2014:52,9 fte s). Als gevolg van de reorganisatie zijn bepaalde functies vacant. Ziekteverzuim Het ziekteverzuim 2015 bedraagt gemiddeld 3,88% (2014: 2,83%). Eind 2015 is het ziekteverzuim hoger door werkdruk en persoonlijke arbeidsonzekerheden met betrekking tot de toekomst in relatie tot de adviesaanvraag reorganisatie BKWI. Gebruikmaking van voorzieningen UWV Met UWV zijn afspraken gemaakt over de uitbesteding van HRM, kantoorautomatisering, kantoorartikelen, de financiële administratie en de accountantsdienst. Gemaakte kosten zijn onderling verrekend. 3.3 Kwaliteit niet-financiële informatievoorziening In 2015 zijn op verschillende gebieden stappen gezet om te komen tot een betere totstandkoming van niet-financiële informatie. Onder andere door verdere ingebruikname van de nieuwe rapportagetool en van de nieuwe broker. 13

14 BKWI is van mening dat de niet-financiële informatievoorziening op een ordelijke, controleerbare en deugdelijke wijze tot stand is gekomen. In het project Toekomstvast BKWI heeft kwaliteit veel aandacht gekregen. Zo is er een kwaliteitsmanager aangesteld en deze heeft een kwaliteitssysteem geïntroduceerd. Hierin zijn alle processen benoemd en worden in 2016 nader uitgewerkt en waar nodig aangepast. 3.4 Doelmatigheid Als uitgangspunt voor de doelmatigheid hanteert BKWI een afzetting van de productiegegevens van Suwinet-Inkijk tegen de gerealiseerde kosten, waarbij het streven is de kosten per gebruiker en per opvraging zo laag mogelijk te houden. Doelmatigheid Productie Aantal aangesloten organisaties Aantal gebruikers Suwinet-Inkijk (gemiddeld per maand) Aantal raadplegingen binnen Suwinet-Inkijk Aantal via Suwinet- Mail verzonden berichten Kwaliteit Uptime BKWI infrastructuur 99,8% 99,9% 99,9% Gemiddelde responsetijd BKWI 0,63 sec 0,92 sec 1,36 sec Aantal gegevensbronnen Aantal rollen (soorten) eindgebruikers Aantal overzichtspagina s Kosten Kosten infrastructuur hosting Kosten infrastructuur verbindingen Kosten personeel Suwidesk Licentiekosten Overige kosten 5% Kosten per gebruiker inkijk per jaar Kosten per opvraging/mail/melding ,07 0,08 0,09 De toename van het aantal rollen wordt veroorzaakt door het splitsen van een aantal rollen in 2014, dat zich heeft doorgezet in 2015, vanwege het specifiek toekennen van rollen behorende bij specifieke functionarissen. De daling van het aantal raadplegingen heeft twee oorzaken, te weten de verschuiving van het kanaal (Suwinet inlezen neemt toe) en door directe clustering van pagina s binnen Suwinet-Inkijk naar de specifieke informatievraag is het aantal raadplegingen gedaald, maar niet het aantal bezochte pagina s. De gemiddelde response tijd is verbeterd doordat de infra door een nieuwe leverancier wordt geserviced (Schuberg Philis) en een nauwkeurigere bepaling van de responsetijd is ingevoerd De kosten per gebruiker inkijk per jaar en kosten opvraging/ /melding dalen, door lagere kosten automatisering. 7 berekend middels totaal kosten/ totaal aantal gebruikers. 14

15 De cijfers inzake productie en kwaliteit hebben als bron de logfiles van Suwinet. De cijfers inzake de kosten per gebruiker bestaan uit een berekening op basis van cijfers uit de jaarrekening. De infrastructuur is ondergebracht bij een ander datacenter, waardoor beheer van de Centrale Omgeving Suwinet van APG naar Schuberg Philis is overgegaan. Het contract met de voormalige beheerder (APG) is per 1 juli 2015 opgezegd, na een zorgvuldige migratie. Daarnaast zijn zoveel als mogelijk bestaande contracten na einde looptijd ondergebracht onder de mantelovereenkomsten van UWV, waardoor de kosten naar beneden zijn bijgesteld. 3.5 Rechtmatigheid BKWI hanteert de regels van de aanbestedingswet Het niet volledig voldoen aan de aanbestedingsregels heeft er toe geleid dat over 2015 een onrechtmatigheid aan inkopen is onderkend van ,-, hetgeen 4,26% (2014: 7,63%) is van de totale lasten van ,-. De onrechtmatigheid is ten opzichte van 2014 duidelijk verbeterd, maar voldoet nog niet aan de norm van 1%. Om onrechtmatigheid tot een minimum te beperken en rekening houdend met de huidige aanbestedingswet, heeft BKWI in overleg met afdeling Inkoop van UWV waar mogelijk getracht aan te sluiten bij Europese aanbestedingen UWV. Hierbij is veel aandacht gegaan naar het onderbrengen van contracten onder bestaande mantelcontracten van UWV. Dit heeft geresulteerd in een verbeterde rechtmatigheid in In 2016 wordt opnieuw gestreefd twee contracten (Equinix en Refactory) open te breken en hernieuwd (elders) af te sluiten, wat een positief effect zal hebben op de mate van rechtmatigheid Bevindingen Inspectie SZW De Inspectie heeft in haar reactie op het halfjaarverslag 2015 gewezen op het belang van de materiële afwijkingen zoals deze zijn opgenomen in de bijlage bij het jaarverslag Derhalve wordt in onderstaande tabel specifiek aandacht gegeven aan de materiële afwijkingen, met een toelichting. Over het algemeen kan worden gesteld dat een behoorlijk aantal afwijkingen die betrekking hebben op het Suwinet normenkader zijn opgelost. Daarbij is met name de implementatie van de BIR relevant. In dat kader heeft o.a. een risicoanalyse plaatsgevonden met als uitkomst dat een specifiek aandachtspunt te weten de risicobereidheid wordt meegenomen in een volgende risicoanalyse in Een ander belangrijk aandachtspunt, testen, is eveneens opgelost. Het aantal accounts van medewerkers met toegang tot de productieomgeving is tot een minimum beperkt. Als het gaat om bevindingen die betrekking hebben op de interne bedrijfsvoering kan worden gemeld dat een aantal lopende projecten (BIR-implementatie, Toekomstvast BKWI en KA-implementatie) deze bevindingen hebben opgelost of op korte termijn oplossen. Het beveiligingsbeleid is vastgesteld en er ligt vastgestelde documentatie rondom classificatie en configuratiebeheer. In onderstaande tabel is de status van de bevindingen van de Inspectie SZW weergegeven. Nr. Actiepunten Stand van zaken 1. KIA 2013/ 2014 Relevante aspecten van Operational auditing (IIA) in een kwaliteitsonderzoek gericht op het interne stelsel van kwaliteitsbeheersing en bewaking betrekken. In het vierde kwartaal van 2015 is door een externe partij een integrale kwaliteitstoets uitgevoerd bij de Accountantsdienst. Hierbij zijn de relevante aspecten van IT-auditing (vanuit Norea) en Operational auditing (vanuit IIA) meegenomen. De definitieve rapportage, die eind januari 2016 is ontvangen, geeft een positief oordeel. 2. DM 2014 In het jaarverslag 2015 rapporteren over de herstructurering en vereenvoudiging van de processen in het kader van haar programma Basis op orde. 3. NFI 2014 Operationalisering definities PI-en tijdigheid afhandeling wijzigingsverzoeken en uren innovatief karakter. 4. NAW 2011/ 2014 Verbetering contractenregister BKWI en vaststelling (on)rechtmatigheid inkoop. Zie toelichting onder deze tabel. De definitie voor deze twee PI-en is erg lastig vast te stellen wegens de afhankelijkheid van derden. In Q wordt een voorstel voor nieuwe KPI-en met SZW besproken, zodat deze in het Jaarplan 2017 kunnen worden opgenomen. Er is veel aandacht om bestaande contracten onder te brengen onder bestaande mantelcontracten UWV. Eind 2014 zijn concrete afspraken gemaakt, om samen met afdeling Inkoop van UWV, zowel bestaande als nieuwe contracten in goed overleg langs de richtlijnen van afdeling Inkoop van UWV te leggen. In twee specifieke gevallen (Refactory en Equinix) kunnen contracten niet ondergebracht worden, maar zal in goed overleg en afstemming met afdeling Inkoop van UWV gehandeld worden. In 2016 moeten ook deze contracten rechtmatig zijn. 15

16 Nr. Actiepunten Stand van zaken 5. NAW 2013 Onrechtmatigheid tot een minimum beperken door in samenwerking met de afdeling Inkoop van UWV stappen te zetten, door aansluiting bij bestaande inkoopcontracten en nieuwe aanbestedingen van UWV, verbetering contractbeheer, e.d. Zie punt ICT 2010 Verbetermaatregelen ICT vragen aandacht, zoals: - het vastleggen van risico s, concrete beheersmaatregelen en afspraken over organisatorische uitwijk. 7. ICT 2012 Het samen met de ketenpartijen actualiseren van de Verantwoordingsrichtlijn EDP-audit beveiliging Suwinet v ICT 2013 Het uitvoeren van een risicoanalyse (BKWI) om te bezien of huidige maatregelen zoals die zijn gedefinieerd in de Verantwoordingsrichtlijn nog voldoende zijn om de gegevensuitwisseling en beveiliging te waarborgen. Daarna eventuele maatregelen implementeren. 9. ICT 2013 Gezien het belang van het Suwinet is het gewenst om een keteneigenaar met doorzettingsmacht te benoemen. De Inspectie verwacht dat BKWI het initiatief hiervoor neemt in de richting van het ministerie van SZW. 10. NAW 2014 Verantwoording over en controle van de uitvoering aanbestedingsregels inzake externe inhuur (m.n. van de 2B-diensten) en kwantificering van de eventuele tekortkomingen in het financieel beheer voor BKWI, maar ook voor de Programmaraad. 11. ICT 2014 Naast de formele normen de verantwoording ook toetsen aan de wensen van de minister zoals verwoord in meibrieven, antwoorden bij rapportages, etc. Dit meenemen in scope onderzoek. 12. ICT 2014 De opdracht aan de externe EDP auditor behelst voor zowel 5.22 als 6.4 opzet, bestaan en werking. 13. ICT 2014 Opstellen integrale risicoanalyse over uitvoering overige taken van BKWI niet zijnde primaire/ wettelijke taken. De risico analyse heeft plaatsgevonden. De implementatie van de beheersmaatregelen worden gerelateerd aan BIR implementatie in 2016 ingeregeld. Is nu genoemd als maatregel binnen het programmaplan van het Opdrachtgeversberaad. Zie ook actiepunt 9 en de toelichting onder deze tabel BKWI zal in 2016 een risicoanalyse uitvoeren ten behoeve van de informatiebeveiliging. Zie punt 6. Dit punt betreft de signaleringsfunctie van BKWI. Indien een onderwerp niet tot een besluit leidt van het Opdrachtgeversberaad, dient BKWI dit te melden aan de Minister. Deze situatie heeft zich nog niet voorgedaan. Zie ook de toelichting onder deze tabel Opgenomen in de hernieuwde P&C cyclus vanuit de reorganisatie Toekomstvast BKWI. Wij merken verder op dat per 18 april 2016 het onderscheid 2A en 2B diensten komt te vervallen. Alle externe inhuur komt hiermee onder de rechtmatigheid te vallen. Opgenomen in de hernieuwde stuur- en verantwoordingsprocedure vanuit de reorganisatie Toekomstvast BKWI. Zie ook de toelichting onder deze tabel Uitgevoerd met als rapportage datum Zie punt 6. In Toekomstvast BKWI is portfoliomanagement opgenomen en dit wordt in februari 2016 ingevoerd. Op een aantal bevindingen uit de tabel is een nadere toelichting gegeven: 16

17 (2. DM2014) Herstructurering en vereenvoudiging van de processen (specifiek toekomstvast) Het programma Basis op orde is opgenomen in Toekomstvast BKWI. De aanleiding voor Toekomstvast BKWI is de constatering dat BKWI zich moet focussen op haar kerntaken, de keten veranderd is en er onvolkomenheden zijn geconstateerd door toezichthouders. Uitgangspunt van Toekomstvast is het inrichten van een organisatie die robuust, flexibel, rolvast en voorspelbaar is. In 2015 is het businessmodel geanalyseerd en is geïnvesteerd in het herontwerpen van de organisatie. Na een inventarisatie van de functies zijn functieprofielen opgesteld en medewerkers in de gelegenheid gesteld hierop te reageren. In 2015 is ook gestart met het inrichten van kwaliteitsmanagement, capaciteitsmanagement en portfoliomanagement. Met behulp van kwaliteitsmanagement worden de bedrijfsprocessen geoptimaliseerd. Portfoliomanagement en capaciteitsmanagement dragen o.a. bij aan het voorspelbaar maken van de organisatie, ook waar het gaat om de verhouding van werkzaamheden die behoren tot de kerntaak en overige verantwoordelijkheden. (7. ICT2012) Actualiseren van de verantwoordingsrichtlijn EDP-audit beveiliging Suwinet 2.0 In het programmaplan Borging Veilige Gegevensuitwisseling Suwinet is een maatregel opgenomen die erin voorziet dat het normenkader en de verantwoordingsrichtlijn worden herijkt. Het streven is beide in het opdrachtgeversberaad van maart 2016 vast te stellen. (9. ICT 2013) Suwinet en doorzettingsmacht Na overleg met ISZW is vastgesteld dat van BKWI verwacht wordt een signaal aan SZW te geven indien de opdrachtgevende partijen niet tot een gezamenlijk besluit komen. In 2015 is er geen aanleiding geweest om dergelijke signalen neer te leggen bij het ministerie. (11. ICT2014) Verantwoording toetsen aan de meibrief en wensen van minister In de meibrief van 2014 verzocht SZW om het jaarplan 2015 in te delen volgens opdrachtlijnen. Deze indeling is gevolgd. Wat betreft de genoemde aspecten privacy en beveiliging is het van belang te vermelden dat de genoemde aspecten zijn opgenomen in het programma Betere beveiliging Gebruik Suwinet. In 2015 is het escalatieprotocol van kracht geworden. BKWI zal, op aanwijzing van het ministerie, overgaan tot afsluiting van gemeenten. Wat betreft de uitkomsten van het CBP-onderzoek kan worden opgemerkt dat de bevindingen met betrekking tot Inkijk zijn opgelost. Met betrekking tot Suwinet-Inlezen zijn bevindingen gedaan die nu onderwerp van gesprek zijn. Wat betreft aanpassing van de prestatie-indicatoren; hierover vindt op dit moment overleg plaats. Het ministerie heeft in zijn reactie op het halfjaarverslag 2015 gewezen op het belang van het oplossen van de materiële afwijkingen zoals deze zijn opgenomen in de bijlage bij het jaarverslag Een behoorlijk aantal afwijkingen die betrekking hebben op het Suwinet normenkader is opgelost. De implementatie van de BIR is hierbij relevant. In dat kader heeft o.a. een risicoanalyse plaatsgevonden. Een specifiek onderdeel als risicobereidheid wordt meegenomen in een volgende risicoanalyse in Een ander belangrijk aandachtspunt, testen, is ook opgelost. Het aantal accounts van medewerkers met toegang tot de productieomgeving is tot een minimum beperkt. Als het gaat om bevindingen die betrekking hebben op de interne bedrijfsvoering kan worden gemeld dat een aantal lopende projecten (BIR-implementatie, Toekomstvast BKWI en KA-implementatie) deze bevindingen hebben opgelost of op korte termijn oplossen. Het beveiligingsbeleid is vastgesteld en er ligt vastgestelde documentatie rondom classificatie en configuratiebeheer. Een onderwerp als verantwoordelijkheden heeft de aandacht en zal dat ook blijven hebben in het kader van de BIR. 17

18 4 Jaarrekening Inhoudsopgave Balans per 31 december Staat van baten en lasten over Kasstroomoverzicht Toelichting op de jaarrekening 20 Algemeen 20 Financiering van de activiteiten 20 Algemene grondslagen voor de opstelling van de jaarrekening 21 Grondslagen voor de waardering van Activa en Passiva 21 Grondslagen voor de bepaling van het resultaat 21 Toelichting op de balans 22 Materiële vaste activa 22 Overige vlottende activa 22 Liquide middelen 22 Voorziening gratificatie/jubilea 22 Belastingen en premies sociale verzekeringen 23 Overige kortlopende schulden 23 Niet in de balans opgenomen verplichtingen 23 Niet in de balans opgenomen rechten inzake onderverhuur 24 Toelichting op de staat van baten en lasten 24 Baten 24 Lasten 25 Overige bedrijfskosten 26 Beheerskosten 26 Bestuurskosten 26 WNT 26 Overige financiële baten 26 Projecten 27 Projectoverzicht 27 Ondertekening 27 Overige gegevens 28 Controleverklaring 28 Resultaatbestemming 30 Gebeurtenis na balansdatum 31 18

19 BALANS PER 31 DECEMBER 2015 bedragen in euro s (na bestemming resultaat) ACTIVA 31 december december 2014 MATERIELE VASTE ACTIVA Computers & Software Overige bedrijfsmiddelen Totaal Vaste Activa VLOTTENDE ACTIVA Overige vlottende activa Liquide middelen Totaal Vlottende Activa TOTAAL ACTIVA PASSIVA 31 december december 2014 EIGEN VERMOGEN Bestemmingsfonds vervangingsinvesteringen Egalisatie reserve Totaal Eigen Vermogen VOORZIENINGEN Voorziening gratificaties/jubilea Totaal Voorzieningen KORTLOPENDE SCHULDEN Crediteuren Belastingen en premies sociale verzekeringen Overige kortlopende schulden Totaal Kortlopende Schulden TOTAAL PASSIVA STAAT VAN BATEN EN LASTEN OVER 2015 Realisatie 2015 Begroting 2015 Realisatie 2014 Baten Rijksbijdrage regulier Vervangingsinvestering UWV Additionele projecten Bestemmingsfonds Overige baten Totaal baten Lasten Loonkosten eigen personeel Kosten extern personeel lijn Kosten extern personeel projecten Overige personeelskosten Totaal personeelskosten Afschrijvingskosten Huisvestingskosten Automatiseringskosten Kantoorkosten Vervoerskosten Overige beheerskosten Totaal overig beheer Totaal lasten Saldo van baten en lasten Financiële baten en lasten Saldo van baten en lasten Baten: Het oorspronkelijk begrotingsbedrag Vervangingsinvesteringen 2015 was ,-. Middels MT besluit hebben 3 vervangingsinvesteringen in 2015 geen doorgang gevonden en is een bedrag van ,- in 2015 teruggestort in het bestemmingsfonds UWV. Derhalve is de begroting Vervangingsinvesteringen verlaagd naar ,-. 9 Lasten: Door het verlagen van de baten met ,- t.b.v. vervangingsinvesteringen wordt ook de begroting aan de lasten kant verlaagd. De begroting kosten extern personeel projecten, oorspronkelijk ,- wordt verlaagd met hetzelfde bedrag als de baten, zijnde ,-. 19

20 KASSTROOMOVERZICHT Saldo baten en lasten Afschrijvingen Mutatie kortlopende vorderingen Mutatie bestemmingsfondsen Mutatie voorzieningen Mutatie kortlopende schulden (exclusief te verrekenen Rijksbijdrage) Totaal kasstroom operationele activiteiten Investeringen vaste activa Desinvesteringen vaste activa 610 Totaal kasstroom uit investeringsactiviteiten Netto kasstroom Mutatie kassen Mutatie rekeningen courant bij ministerie van Financiën Rekeningen courant bij ministerie van Financiën per 1 januari Rekeningen courant bij ministerie van Financiën per 31 december Mutatie rekeningen courant bij ministerie van Financiën TOELICHTING OP DE JAARREKENING ALGEMEEN Het Bureau Keteninformatisering Werk en Inkomen (BKWI) is een organisatieonderdeel van UWV dat zich uit hoofde van artikel 5.21 van het Besluit SUWI bezighoudt met de beheertaken op het gebied van de elektronische gegevensuitwisseling binnen de keten. Het bureau is sinds 1 januari 2002 operationeel en werkt in opdracht van het ministerie van SZW. Het bureau verleent diensten aan de SUWI-organisaties, die verenigd zijn in het Odgb. Het bureau heeft haar kantoor te Utrecht. De financiële verantwoording van BKWI is nader geregeld in de Wet Structuur Uitvoeringsorganisatie Werk en Inkomen d.d. 29 november 2001 (Wet SUWI). Op grond hiervan legt BKWI zelfstandig verantwoording af over haar activiteiten. BKWI is organisatorisch geplaatst binnen UWV. Dit betekent niet dat BKWI onder de aansturing van de Raad van Bestuur van UWV valt. De Raad van Bestuur van UWV is formeel verantwoordelijk, maar voert niet de dagelijkse leiding. FINANCIERING VAN DE ACTIVITEITEN De activiteiten van BKWI worden gefinancierd uit de volgende bronnen: Rijksbijdrage regulier van het ministerie van SZW; Vervangingsinvesteringen UWV; Additionele projecten; Bestemmingsfonds; Overige baten. Ad 1 Rijksbijdrage regulier van het ministerie van SZW: ,- Op basis van artikel 45 lid 1 van de Wet SUWI komen de uitvoeringskosten van BKWI ten laste van de door het ministerie van SZW toegekende rijksbijdrage welke is gebaseerd op de door BKWI ingediende begroting. De bijdrage wordt ontvangen voor het uitvoeren van de wettelijke taken. De rijksbijdrage wordt geheel als bate verantwoord in het boekjaar waarop deze betrekking heeft. Ad 2 Vervangingsinvesteringen UWV ,- Op basis van een overzicht m.b.t. de meerjaren investeringsplanning zijn specifieke afspraken gemaakt met UWV, waarmee BKWI in de gelegenheid is gesteld zelfstandig het Bestemmingsfonds Vervangingen op gewenst investeringsniveau te brengen, zodat continuïteit geborgd is. Ad 3 Aanvullende financiering van het ministerie van SZW: ,- IVT en ,- BVGS Voor het beheer en onderhoud van de interventieteamapplicatie ontvangt BKWI aanvullende financiering van het ministerie van SZW. Dit geldt tevens voor de uitvoering van het programmaplan Borging Veilige Gegevensuitwisseling. Ad 4 Bestemmingsfonds Vervangingsinvesteringen ,- Het ministerie van SZW heeft een bestemmingsfonds toegekend voor het uitvoeren van vervangingsinvesteringsprojecten. 20