Audit FEC Belastingdienst- Bevindingen. Auditdienst Rijk Ministerie van Financiën

Transcriptie

1 Audit FEC Belastingdienst- Bevindingen Auditdienst Rijk Ministerie van Financiën

2 Colofon Titel Uitgebracht aan Audit FEC Belastingdienst - bevindingen Belastingdienst Datum 17 november 2015 Kenmerk ADR/2015/1535 M Inlichtingen Auditdienst Rijk

3 Inhoud Proceskader is duidelijk uitgewerkt, uitvoering puntjes op de i 1.1 Uitwerking werkprocessen biedt duidelijk handelingskader 1.2 Duidelijke bewaking en toets, overwegingen meer vastleggen Geheimhouding op diverse wetsbases 6 2 GAZO beschreven 'en gecommuniceerd buiten FEC-team 2.1 GAZO principe beschreven en gedeeld 2.2 F,EC-informatie niet direct herkenbaar in organisatie 2.3 Aanvullende handelwijzen helpen naleving GAZO 3 Informatie wordt langer bewaard dan noodzakelijk Bewaartermijnen volgens eigen regime Geen bewaartermijnen aangegeven bij uitwisseling signalen en reacties Vernietigen niet uitgevoerd conform eigen procesbeschrijving 10

4 Inleiding De Belastingdienst is één van de partners in het samenwerkingsverband FEC (Financieel Expertise Centrum). Het FEC heeft in het jaarplan 2015 als te behalen doel/resultaat geformuleerd dat 'de wijze waarop de procedures en werkwijzen van de FEC-partners zijn ingericht, zoals die volgen uit het FEC- Informatieprotocol 2014, zijn getoetst'l. Daarbij is aangegeven dat 'de implementatie bij de FEC-partners van de uitgangspunten zoals geformuleerd in onder andere het Convenant FEC 2014, de procesomschrijving van het FECinformatieplatform en het Informatieprotocol FEC 2014 wordt onderzocht.' In navolging hiervan heeft dhr. mr. 3. de Blieck, lid Raad van Bestuur (i.o.) Belastingdienst in zijn hoedanigheid als vertegenwoordiger van de Belastingdienst in de FEC-raad, de ADR (Auditdienst Rijk) de opdracht verstrekt te onderzoeken welke maatregelen door de Belastingdienst getroffen zijn om onderstaande risico's rondom de informatie-uitwisseling in FEC-verband te beheersen en welke restrisico's daarin nog te onderkennen zijn. Het betreft de volgende risico's. 1. Wettelijk kader: er wordt informatie verschaft buiten het wettelijk kader; 2. GAZO: er wordt actie ondernomen op de verstrekte informatie zonder toestemming; 3. Doelbinding: uitgewisselde informatie wordt gebruikt voor een ander doel; 4. Ongeautoriseerde toegang en/of foute routing: ongeautoriseerde inzage/gebruik van de informatie en/of informatie wordt door anderen gebruikt dan bedoeld; 5. Bewaartermijnen: de informatie wordt langer bewaard dan noodzakelijk. Het Informatieprotocol FEC is mede bedoeld om deze risico's te beheersen. Uit dit onderzoek bij de Belastingdienst komen ten aanzien van deze vijf risico's geen bevindingen naar voren waarvoor een acute bijsturing nodig is. Wel is er een aantal restrisico's waarvoor aanvullende maatregelen aanbevolen worden. Deze worden bezien vanuit de context dat de Belastingdienst met grote regelmaat verzoeken om informatie krijgt en zelf verzoeken om informatie doet. Op basis van deze restrisico's adviseren wij het volgende. Wij adviseren de Belastingdienst de overwegingen om een signaal/informatie al dan niet in te dienen, vast te leggen, zeker als de gevraagde informatie niet verstrekt gaat worden. Zo kan voorkomen worden dat informatie alsnog verstrekt wordt. Ook kan de vastlegging ter referentie gebruikt worden voor vergelijkbare gevallen. Wij adviseren de aanvullende handelwijzen bij GAZO te beschrijven in de huidige procesbeschrijving. Het betreft handelwijzen die moeten voorkomen dat medewerkers geen GAZO hanteren en het vermelden van GAZO bij het aanmaken van een behandelvoornemen in IKB. Wij adviseren de Belastingdienst om zelf actief en concreet richting ontvangers aan te geven hoelang een partner de betreffende informatie mag bewaren. 1 FEC jaarplan 2015 paragraaf 'Vervolg op evaluatie FEC-informatieprotocol' 4 t ADR/2015/#### t Audit FEC Belastingdienst - bevindingen

5 5 1 ADR/2015/#### t Audit FEC Belastingdienst - bevindingen De onderliggende bevindingen voor deze adviezen vindt u in de navolgende hoofdstukken.

6 Proceskader is duidelijk uitgewerkt, uitvoering puntjes op de i Mede doordat het informatieuitwisselingssysteem Cocoto geen workflow management in zich heeft, en het aangeven van beperkingen niet afdwingt, moeten de FEC-partners/Belastingdienst zelf een aantal beheersmaatregelen nemen. Hierover is in de oplegnotitie aan de FEC raad2 een onderdeel opgenomen. De Belastingdienst kent al de nodige beheersmaatregelen. Een aantal aanvullende maatregelen zorgen voor de puntjes op de i. Voor uitgaande informatie naar aanleiding van een signaal zou hij explicieter kunnen aangeven aan wie hij de informatie niet mag verstrekken. Het vastleggen van de overwegingen die zij maakt bij het wel of juist niet verstrekken van informatie zouden voor de toekomst van belang kunnen zijn. Artikel 43c, lid 1, letter u van de uitvoeringsregeling Awr regelt dat de Belastingdienst in het kader van het FEC aan alle FEC-partners informatie mag verstrekken. Echter vanuit oogpunt van proportionaliteit maken de behandelaars van de FEC-signalen telkens tevens de afweging voor welke FEC-partners het van belang kan zijn om de betreffende informatie te ontvangen. In dit kader wordt verwezen naar de discussie met wetgeving naar aanleiding van de wetswijziging 43c letter s UR Awr. Uit het overkoepelend overleg van auditors is naar voren gekomen dat verschillende partners verschillende nuances van het woord 'Actie' kunnen hanteren. Hierover is in de oplegnotitie aan de FEC-raad een onderdeel opgenomen. Informatie die na uitzetten van een signaal de organisatie inkomt is na verloop van het proces steeds minder herkenbaar als FEC-informatie. 1.1 Uitwerking werkprocessen biedt duidelijk handelingskader Het FEC team Belastingdienst heeft de werkprocessen in het kader van de FEC beschreven in het document 'Interne werkprocessen FEC-team'. Naast wat algemenere informatie worden daarin 2 werkprocessen onderscheiden en beschreven: FEC-signaal van FEC-partner aan BD; FEC-signaal van BD aan FEC-partner. Dit document is nog onderhanden en in concept. Daarbij wordt gebruik gemaakt van FEC-sjablonen. In de procesbeschrijving is de juridische basis opgenomen waarop informatie in het kader van de FEC mag worden uitgewisseld. In de procesbeschrijving betreffende het inbrengen van een Belastingdienst signaal is aangegeven dat in de toelichting in Cocoto wordt aangegeven welke partners het signaal niet krijgen. 2 Op basis van dit onderzoek en de onderzoeken als deze bij de FEC partners, hebben de onderzoekers van alle partners samen, een oplegnotitie opgesteld waarin rode draden en gezamenlijk te regelen zaken zijn opgenomen. Die notitie is aangeboden aan de FEC-raad vergadering van 26 november ADR/2015/#### 1 Audit FEC Belastingdienst - bevindingen

7 In de procesbeschrijving is opgenomen, ten aanzien van het door Belastingdienst in te brengen signaal, dat bij betrokkenheid van een Belastingdienst medewerker deze op de hoogte gesteld wordt van de spelregels die in het Informatieprotocol FEC zijn opgenomen. Dit gebeurt via een samenvatting daarvan die per naar de betreffende medewerker wordt verzonden. Daarbij wordt aangegeven: doel van FEC, geheimhoudingsplicht, GAZO en dat alle informatie-uitwisseling via het FEC team moet verlopen. Ook de Instructiefolder Informatieprotocol FEC 2014 wordt bij de mail gevoegd. 'Rechten betrokkene' volgt, blijkens een intern memo van het FEC privacyplatform, de algemene lijn van de Belastingdienst. Dit onderwerp is niet beschreven in de procesbeschrijving. In de procesbeschrijving is geen specifieke aandacht besteed aan het vermelden van het doel van de verstrekking. Het doel verschilt per casus die de Belastingdienst in het FEC inbrengt. Om die reden hanteert men een strikte doelbinding. En is in de procesbeschrijving vermeld dat verstrekking moet passen binnen de doelbinding van het FEC. In de Belastingdienst procesbeschrijving is geen beschrijving aangetroffen hoe om te gaan met verstreken handhavingstermijnen en parallel onderzoeken. Bij de handhavingstermijnen heeft de Belastingdienst ook geen daadwerkelijke taak of rol, dit heeft betrekking op het strafrecht. Duidelijke bewaking en toets, overwegingen meer vastleggen n de procesbeschrijving is onder andere ook de termijn van 4 weken reactietijd beschreven. Er is bewaking op de voortgang via het registreren van signalen in een aparte applicatie. Geïnterviewden geven aan dat er wel eens vertraging is ussen het aanleveren van een signaal aan de FEC eenheid en het doorzetten door de FEC eenheid naar de partners. Als start van de 4 weken termijn houdt het FEC team de datum aan waarop het signaal aan hen is doorgezet. Ter bewaking van de voortgang worden ontvangen signalen in een aparte FECdirectory geregistreerd en toegewezen aan één van de FEC-team medewerkers. In de FEC-directory (dossier) wordt een screenshot van Cocoto opgenomen waarmee zichtbaar is op welk moment en welke informatie via de FEC-eenheid aan een FEC-partner is verstrekt. De Belastingdienst attendeert op het instemmingvereiste bij verstrekken aan derden. Bij informatie-uitwisseling wordt vermeld dat zonder voorafgaande toestemming het niet is toegestaan de informatie aan derden te verstrekken. Bij het uitwisselen (opstellen informatie om aan FEC-partners aan te leveren) vindt, na het opstellen, review door een behandelaar van het FEC-team plaats. Review vindt plaats op juistheid, volledigheid en doelbinding. De review wordt gezien als invulling van de juridische toets. De uitvoering van de review wordt ofwel aangetekend op een checklist of aangetekend in het electronisch dossier. Niet aangegeven is of daarbij de overwegingen worden vastgelegd. Op het formulier 'concept intern beoordelingsformulier informatieverzoeken FEC_vs2.docx is daartoe geen rubriek aangetroffen, alleen de aftekening van de reviewer (naam datum, paraaf). Termen als toereikend, ter zake dienend en bovenmatig komen in de procesbeschrijving niet voor. In interview wordt gemeld dat bij review de vraag "is deze info relevant voor dit signaal" wordt gehanteerd. 7 1 ADR/2015/#### 1 Audit FEC Belastingdienst - bevindingen

8 ADR: Ons inziens dekt een dergelijke vraag de aspecten 'ter zake dienend' en 'niet-bovenmatig'. Geïnterviewden geven aan dat zij scherp zijn op de doelbinding bij verzoeken om informatie in FEC-verband. Indien het doel onduidelijk is worden nadere vragen gesteld. Indien de Belastingdienst de doelbinding niet onderschrijft wordt er geen informatie gedeeld. Dit wordt bevestigd in gesprekken die collega-auditors bij andere FEC-partners hebben gehad. Bij vragen of onduidelijkheden betreffende de reikwijdte van de informatieverstrekking in FEC-verband wordt een standpunt gevraagd aan het Directoraatgeneraal Belastingdienst Cluster Fiscaliteit afdeling Formeel recht. Bij mogelijke juridische procedures die betrekking hebben op de informatieverstrekking door de Belastingdienst in het kader van het FEC, moet direct contact worden gelegd met het Ministerie van Financiën. Geïnterviewden geven aan dat zij bij het inbrengen in Cocoto vermelden aan wie de gegevens uitsluitend mogen worden verstrekt, niet expliciet aan wie ze niet mogen worden verstrekt (zoals in de bijlage van het informatieprotocol is aangegeven). Ook wordt in signalen en reacties vermeld dat het niet is toegestaan zonder voorafgaande toestemming de informatie aan derden te verstrekken. In het gebruikte sjabloon voor het inbrengen van een signaal ('Formulier voor opstellen van een FEC signaal') is een rubriek 'Doel van de inbreng in het informatieplatform:' opgenomen. Deze sjablonen bevatten geen rubriek om aan te geven aan welke FEC partners de persoonsgegevens (wel of niet) kunnen worden verstrekt. Bij het verzenden van een FEC-signaal via Cocoto wordt wel aangegeven voor welke FEC-partner het signaal is bedoeld. Een printscreen daarvan wordt in het electronisch dossier opgeslagen. Bij het inbrengen van een Belastingdienst signaal wordt er aangegeven of er al een onderzoek loopt. 1.3 Geheimhouding op diverse wetsbases In diverse wetten is geheimhouding geregeld die van toepassing is op (werkgebieden van) Belastingdienst medewerkers: De algemene geheimhoudingsplicht voor ambtenaren: Ambtenarenwet artikel 125 a lid 3: 'De ambtenaar is verplicht tot geheimhouding van hetgeen hem in verband met zijn functie ter kennis is gekomen, voor zover die verplichting uit de aard der zaak volgt Voor de Belastingdienst(medewerkers) bestaat een algemene geheimhoudingsplicht op grond van artikel 67 lid 1 van de Algemene wet inzake de Rijksbelastingen (i.k.v. Belastingwet). Geïnterviewden geven aan dat i.k.v. het FEC de reguliere geheimhouding geldt; er is geen aanvullende vastgelegd. In artikel 67 lid 2 en daaraan verbonden uitvoeringsregelingen is de geheimhouding van de Belastingdienst geregeld en zijn de uitzonderingen daarop voor de FEC-samenwerking omschreven. 8 1 ADR/2015/#### Audit FEC Belastingdienst - bevindingen

9 GAZO beschreven en gecommuniceerd buiten FEC team 2.1 GAZO principe beschreven en gedeeld In de 2 werkprocessen in de procesbeschrijving is het GAZO principe beschreven. Ook is in die beschrijving aangegeven dat, indien Belastingdienst medewerkers (inspecteurs) betrokken zijn bij FEC signalen, zij op de hoogte gebracht worden van GAZO en de betekenis daarvan voor het gebruiken van informatie. Zij worden geïnformeerd via mail met gebruikmaking van standaard tekst die in de procesbeschrijving is opgenomen. GAZO verzoeken worden door het FEC-team afgehandeld in Cocoto. Dit moet eveneens worden vastgelegd in het signaaldossier van het FEC-team. Voor informatie-uitwisseling en ook GAZO verzoek, wordt gebruik gemaakt van gezamenlijke FEC-sjablonen. FEC-informatie niet direct herkenbaar in organisatie Indien FEC-informatie buiten het FEC-team wordt gebracht worden de ontvangers ingelicht over GAZO. Er is echter geen bewaking op dat die ontvangers zich aan dat principe houden indien zij de informatie daadwerkelijk gaan gebruiken (ook niet in opzet beschreven). De informatie is ook niet gelabeled als afkomstig van het FEC en dus verder in de organisatie niet als zodanig herkenbaar. De ontvanger krijgt de FEC-informatie met toelichting. Aanvullende handelwijzen helpen naleving GAZO Het FEC team geeft aan in voorkomende gevallen wel werkwijzen te hanteren die moeten voorkomen dat medewerkers geen GAZO hanteren. Bijvoorbeeld het alleen aangeven dat er informatie is zonder de informatie daadwerkelijk al te verstrekken. Deze genoemde werkwijzen zijn niet in de procesbeschrijving opgenomen. Het FEC team vermeld GAZO bij het aanmaken van een behandelvoornemen in IKB. Dit is niet in de procesbeschrijving opgenomen. 9 1 ADR/2015/#### 1 Audit FEC Belastingdienst - bevindingen

10 Informatie wordt langer bewaard dan noodzakelijk 3.1 Bewaartermijnen volgens eigen regime Volgens geïnterviewden heeft het FEC privacyplatform bepaald dat het bewaren en vernietigen het regime van de betreffende partner volgt. In de_procesbeschrijving is een paragraaf gewijd aan bewaren en vernietigen. Daarbij wordt onderscheid gemaakt in informatie van de BD zelf en informatie verkregen van de FEC-partners. De BD informatie volgt het regime van de BD, wat ook betekent dat de in de FEC-directory van de Belastingdienst opgeslagen interne stukken, niet vernietigd worden op grond van het Informatieprotocol FEC. 3.2 Geen bewaartermijnen aangegeven bij uitwisseling signalen en reacties In de procesbeschrijving is ten aanzien van het vermelden van bewaartermijnen bij het inbrengen van signalen of reacties niets aangegeven. De bij het inbrengen van signalen of reacties daarop gebruikte FEC-sjablonen hebben geen rubriek voor het aangeven van specifieke bewaartermijnen. Het standaard sjabloon voor een GAZO verzoek heeft dat wel. 3.3 Vernietigen niet uitgevoerd conform eigen procesbeschrijving In de procesbeschrijving van de Belastingdienst is aangegeven dat FECinformatie van partners moet worden vernietigd als ze niet langer noodzakelijk is. Indien geen FEC-actie op signalen nodig is moet deze info (het signaal) volgens de procesbeschrijving na maximaal 2 jaar worden vernietigd. Indien de informatie wel relevant is, wordt een GAZO-verzoek bij de verstrekkende partner ingediend en zal de informatie worden opgenomen in het fiscale dossier en volgt het dan het bewaarregime van de BD. ADR: Niet aangegeven is waarom het dan noodzakelijk is informatie na afhandeling signaal nog tot wellicht 2 jaar te bewaren. Informatie die na GAZO verder in de BD is verspreid kan wellicht uit de FEC-directory worden verwijderd. In de praktijk vernietigt het FEC-team momenteel niets, omdat bij vernietigen dit jaar was gebleken dat men later alsnog vragen kon krijgen over reeds vernietigde dossiers ADR/2015/#### 1 Audit FEC Belastingdienst - bevindingen

11 Auditdienst Rijk Postbus EE Den Haag (070)