Tijdelijke opdracht: inhuur Senior Expert Auditing en Compliance

Transcriptie

1 Tijdelijke opdracht: inhuur Senior Expert Auditing en Compliance (opdrachtnummer:19.137) Een onderdeel van de procedure is een formele inschrijving op het Dynamisch Aankoop Systeem (DAS) van VNG Realisatie door middel van het platform Deze inschrijving is noodzakelijk in verband met Europese wet & regelgeving waar VNG Realisatie aan moet voldoen. Deze inschrijving is eenmalig. De gepubliceerde offerteaanvraag op CTM Solution met aanbestedingsnummer is leidend boven elders gepubliceerde documenten. De eisen en wensen zijn bij eventuele discrepanties leidend boven het gestelde in de profieltekst. De offerteaanvraag staat in het vakgebied Beleidsontwikkeling en advies Het betreft een tijdelijke opdracht op basis van inhuur (ZZP-er, via bureau of detachering vanuit een andere organisatie). De maximale duur van dit contract op grond van deze aanbesteding is 36 maanden. De omvang is 20 tot maximaal 32 uren per week. uur per week, de beoogde startdatum is 1 oktober 2019 of eerder indien mogelijk. Specificatie Over VNG Realisatie VNG Realisatie ondersteunt gemeenten bij het bundelen van kennis en expertise, zodat zij gezamenlijk hun gemeentelijke uitvoering kunnen verbeteren. De ontwikkelingen in de informatiesamenleving vragen in toenemende mate om kennis en flexibiliteit van de gemeentelijke organisatie. Ook is in de gemeentelijke dienstverlening een groot deel van de uitvoering in potentie gelijk voor alle gemeenten. Daarom willen gemeenten meer als collectief optrekken. Het gezamenlijk organiseren en invullen van gemeentelijke uitvoering leidt tot betere dienstverlening voor inwoners en bedrijven en tot een efficiëntere inzet van middelen. Over Gemeentelijke Gemeenschappelijke Infrastructuur (GGI) Een van de grotere projecten die in opdracht van gemeenten binnen VNG wordt uitgevoerd is de realisatie van de cloud gebaseerde Gemeentelijke Gemeenschappelijke Infrastructuur (GGI). GGI is een veilige, samenhangende en landelijke digitale infrastructuur die bestaat uit verschillende ICT-producten en diensten voor connectiviteit, informatiebeveiliging en het ontsluiten van gemeentelijke SaaS (Software as a Service)- diensten. Door gebruik te maken van GGI werken gemeenten, gemeentelijke samenwerkingsverbanden en andere overheden beter, veiliger en makkelijker samen. Diverse bouwstenen van GGI zijn of komen binnenkort beschikbaar voor gebruik door gemeenten en voor gebruik door externe voorzieningen, databronnen, systemen, ICTleveranciers of ketenpartijen die voor gemeenten van belang zijn. De ontsluiting van die voorzieningen, databronnen, systemen, ICT-leveranciers en ketenpartijen via GGI biedt

2 gemeenten aanzienlijke meerwaarde. Mede daardoor worden de investeringen en mogelijkheden van GGI optimaal benut. ICT-leveranciers die hun software als SaaS over GGI-Netwerk aan gemeenten ontsluiten dienen te voldoen aan GGI-Afspraken. Binnen GGI-Afspraken gelden een aantal voorwaarden en normen bijvoorbeeld een actuele geaccrediteerde ISO of vergelijkbare certificering, afgegeven door een erkende onafhankelijke auditor. Aanvullend kan door de gemeente worden geëist, dat voor specifieke producten en diensten een apart Third Party Memorandum (TPM) moet worden overlegd. Dit betreft producten en diensten waarvoor de beheerder van de betreffende dienst bepaalt dat een TPM (bijvoorbeeld DigiD) vereist is of die een zodanig specifiek karakter hebben, dat de reguliere ISO certificering ontoereikend of minder passend is. Omschrijving van de opdracht Als senior expert auditing en compliance realiseer je in nauwe samenwerking met het projectmanagement van GGI de operationele uitwerking van de noodzakelijke maatregelen m.b.t. auditing en compliance die deel uitmaken van GGI-Afspraken. Dat betreft meer specifiek: het ontwikkelen van aanvullend beleid dat er op gericht is om gemeenten die deelnemen aan GGI in staat te stellen te voldoen aan de regels en voorwaarden van de BIO en aansluiten op de zgn. ENSIA systematiek. Tegelijkertijd is het doel een voor ICT-leveranciers voor de relevante normen binnen GGI- Afspraken een zo efficiënt en effectief mogelijke auditing/controlesystematiek te realiseren. Daarbij dienen dubbele en overbodige controles/audits te worden beperkt. Binnen de projectorganisatie van GGI ben je de specialist, die verantwoordelijk is voor het analyseren, ontwerpen en realiseren van een samenhangende aanpak en voorwaarden m.b.t. kwaliteitsborging, informatiebeveiliging en auditing op basis van algemeen geaccepteerde en gehanteerde normen zoals ISO 27001, ISAEH 3402 en meer specifiek BIG en BIO. Je vertaalt deze in een voor ICT-leveranciers en gemeenten in werkbare en toegankelijke vorm en operationaliseert deze in praktische handreikingen. Tevens stel je, zoveel mogelijk met gebruikmaking van bestaand materiaal, een uitvoeringskader op aan de hand waarvan periodiek kan worden getoetst of de deelnemende partijen zich houden aan de vooraf gestelde voorwaarden en eisen. Werkzaamheden en verantwoordelijkheden Je voert deze functie deels in teamverband uit maar met een hoge mate van zelfstandigheid. Je onderhoudt nauwe contacten met o.a. de Informatie Beveiligings Dienst (IBD), onderdeel van de VNG, de leden van de GGI-Projectgroep en met de specialisten binnen de VNG op het gebied van kwaliteitsmanagement, -borging en auditing. Daarnaast onderhoudt je warme contacten met gemeentelijke ICT-managers, kwaliteits- en compliance specialisten van IT-leveranciers, project/programmaorganisaties en overige relevante specialisten.

3 Eisen De inschrijving moet volledig voldoen aan de eisen die vermeld zijn in deze paragraaf. Kennis en expertise Uit het cv en/of de aangeleverde motivatiebrief blijkt minimaal dat de aangeboden kandidaat aantoonbaar (door opleidingen, cursussen, werkervaring, voorbeeldprojecten et cetera.) beschikt over: Je bent onafhankelijk van ICT-leveranciers die hun applicaties als SaaS aan gemeenten aanbieden. Minimaal afgeronde HBO opleiding met het bijbehorende werk- en denkniveau Aantoonbare ervaring als expert / EDP-auditor, blijkend uit 3 afgeronde opdrachten in de afgelopen 10 jaar m.b.t. het verhogen van de digitale weerbaarheid, operationele informatiebeveiliging of ICT-security Ervaring in de implementatie en het in de praktijk toepassen van BIG, BIR, BIO, ISO27001/27002, ISAEH 3204, ENSIA Wensen Nadat de inschrijvingen zijn gecontroleerd op de eisen, worden de wensen beoordeeld. 1. Ervaring met het ontwikkelen van operationeel EDP-auditing beleid voor één of meer overheidsorganisaties 2. Ervaring in praktische toepassing van EDP-auditing 3. Kennis van ENSIA systematiek, BIO/BIG/BIR en de vertaling daarvan in beleid voor overheidsorganisaties 4. Ruime ervaring met lokale gemeentelijke ICT-infrastructuren en daarbinnen de inzet van technische beveiligingsmaatregelen in het ICT-landschap en in operationele ICT-management processen. 5. Ervaring met de ontwikkeling en uitvoering van digitalisering bij meerdere overheidsorganisaties, (waaronder minimaal 1 gemeente) 6. Afgeronde opleiding op het gebied van EDP auditing, Risk Management, IT- (Service)management, op minimaal HBO niveau. Informatie Het betreft een tijdelijke opdracht met een initiële periode met een omgang van maximaal 20 tot maximaal 32 uren per week. De maximale vergoeding is 110 euro, exclusief BTW,

4 inclusief reis- en verblijfkosten en dienstreizen. De standplaats voor deze opdracht is Den Haag. We gaan uit van gebruik van eigen telefoon en laptop. Voorgenomen planning Verzending offerteaanvraag 22 augustus 2019 Uiterste datum stellen vragen Uiterste datum indienen offertes Geplande datum eerste gesprek Eventueel tweede gesprek 29 augustus 2019, 12:00 uur 5 september 2019, 12:00 uur 11 september 2019, van tot uur. ntb Gesprek Na evaluatie (eisen/wensen/prijs) worden aan de hand van de ranking in CTM één of meerdere (in de regel drie) kandidaten uitgenodigd voor het gesprek. Deze ranking wordt niet meegenomen in de beoordeling van het gesprek: het gesprek is uiteindelijk doorslaggevend. In dit gesprek wordt de kandidaat beoordeeld op werk- en opdrachtinhoudelijke aspecten, de match met de organisatie en de benodigde competenties. Op basis van de uitkomst van deze gesprekken vindt gunning van de opdracht plaats en/of wordt een kandidaat geselecteerd voor een eventueel tweede gesprek. Het is de verantwoordelijkheid van de inschrijver dat de kandidaat op het afgesproken tijdstip aanwezig is. Als de kandidaat, zonder voorafgaande afmelding, op de door ons gecommuniceerde datum en tijdstip afwezig is, kan dit leiden tot uitsluiting van de procedure. Als u binnen zeven werkdagen na de sluitingstermijn geen uitnodiging heeft ontvangen voor een gesprek (via CTM Solution), kunt u ervan uitgaan dat u niet geselecteerd bent voor een eerste gesprek en niet voor gunning in aanmerking komt. Reageren? U kunt uw belangstelling uitsluitend kenbaar maken via het DAS (Dynamisch Aankoop Systeem) waarvan VNG Realisatie gebruik maakt: De stappen om te kunnen reageren op uitvragen zijn in grote lijnen als volgt: 1) Registreer op CTMsolution.nl 2) Selecteer een kwalificatie/vakgebied en klik op accepteer om toegang te krijgen tot de aanvraag 3) Rond de inschrijving af door de vragen te beantwoorden, het invullen van het verplichte Uniform Europees Aanbestedingsdocument (UEA). Daarna kunt u uw aanmelding in sturen door op verzenden te klikken.

5 4) Na beoordeling van uw verzoek tot kwalificatie (enkele dagen), wordt deze opdracht (en eventuele andere openstaande uitvragen) aan u toegezonden. U kunt hierop reageren en uw aanbieding, CV en motivatie insturen. Mocht u vragen hebben omtrent het inschrijven in CTM, kunt u mailen naar das@vng.nl. Indien u binnen 7 werkdagen na sluitingstermijn geen uitnodiging ontvangen heeft voor een selectiegesprek, kunt u ervan uitgaan dat u niet geselecteerd bent voor een eerste gesprek en niet voor gunning in aanmerking komt. De uitnodiging voor de selectiegesprekken wordt via CTM verstuurd en het is de verantwoordelijkheid van de inschrijver dat de kandidaat ook op het genoemde tijdstip aanwezig is.