Auditdienst Rijk Ministerie van Financiën. de zoeks 0 iat richt~ K 2 16 Mi

Transcriptie

1 Auditdienst Rijk Ministerie van Financiën de zoeks 0 iat richt~ K 2 16 Mi

2 Colofon Titel Uitgebracht aan Onderzoek organisatie en inrichting MKM 2016 DM0 D-DMO Datum 21 november 2016 Kenmerk Inlichtingen Auditdienst Rijk

3 Inhoud Aanleiding opdracht Samenvatting en managementreachtie 1. Checklists DM0 geven nog geen volledig en juist beeld va organisatie 1.1 Relatie tussen uitgegeven checklists en geregistreerd materieel in ERP M&F onduidelijk 1.2 Benaming checklist komt niet geheel overeen met die in Peoplesoft 1.3 Organisatiestructuur in BizzScore wijkt af van die in Peoplesoft Benaming en/of codering in CCIRS komen niet geheel overeen met PeopleSoft DM0 gebruikt in CCIRS verouderde en inactieve elconummers Eenheid in legacy systeem niet verantwoord onder DM0 structuur Aanbevelingen en/of vervolgstappen Verantwoording onderzoek 4.1 Werkzaamheden en afbakening Gehanteerde Standaard Verspreiding rapport 10 Ondertekening Bijlage 1. Lijst met bevindingen

4 Aanleiding opdracht De Auditdienst Rijk (ADR) voert op grond van haar taak onder meer audits uit naar het materieelbeheer bij Defensie. In het Jaarplan ADR 2016 zijn onderzoeken gepland met betrekking tot de wettelijke taak en vraaggestuurde onderzoeken. Op basis van de bevindingen in 2015 is in dit kader in de planning opgenomen het project Advies en ondersteuning van de Monitor Kwaliteit Materieelbeheer (MKM) bij Defensie. De MKM is een self assessment instrument ten behoeve van de lijn om de kwaliteit van het materieelbeheer te sturen en beheersen alsmede om verantwoording af te leggen over dat beheer. De MKM is opgebouwd uit een stelsel van indicatoren (meetpunten) in de vorm van vragen voor het feitelijk beheer (F6) en (afzonderlijk) voor de inrichting en werking van de sturing en beheersing. De vragen zijn ondergebracht in checklists die ingevoerd worden in het ondersteunende monitor systeem Bizzscore. Lijnfunctionarissen op het uitvoerende niveau vullen checklists F6 in. Aanvullend moeten commandanten appreciaties geven waarin de te treffen verbetermaatregelen zijn opgenomen. De informatie uit deze checklists met betrekking tot verbetermaatregelen zijn input voor de checklists Sturing en Beheersing (S63). De checklists S63 bevatten tevens de uitkomsten van de vragen over de regelgeving, de organisatorische condities, de kwaliteit en de beheersing van het materieelbeheer. Over het geheel van checklists SB3 beantwoorden de defensieonderdelen op niveau 2 de vragen van de checklists SB2 op basis van de werking van Plan Do Check Act (PDCA). Het ondersteunende systeem BizzScore genereert op basis van de uitkomsten van de vragen checklists EB scores. Het feitelijk materieelbeheer bij defensie moet in 2016 minimaal voldoen aan een score van 80% (voldoende) bij 80% van de eenheden op niveau 3. Deze totaalscore is mede bepalend voor de oordeelsvorming van het materieelbeheer door Defensie. Om een uitspraak te kunnen doen over het materieel is het randvoorwaardelijk dat over al de materieelsoorten en opslagvormen checklists worden gepland en ingevuld. Door HDBV is als onderdeel van het onderzoek Advies en ondersteuning MKM 2016 aan de ADR gevraagd te onderzoeken of voor alle materieelsoorten en opslagvormen een checklist F6 is gepland. Dit rapport bevat de uitkomsten van het deelonderzoek naar de juistheid en volledigheid van de planning (organisatie en inrichting) checklists MKM bij de Defensie Materieelorganisatie (DM0) in 2016.

5 Samenvatting De uitgegeven checklists Feitelijk Beheer bij de DM0 komen niet geheel overeen met de organisatiestructuur zoals deze in Peoplesoft is weer gegeven. Bij )IVC en OPS is niet altijd de relatie te leggen tussen de uitgegeven checklists en de organisatiestructuur in naar ERP M&F. Bij de afdeling Haagse Afdelingen is de organisatiestructuur in BizzScore anders dan in ERP M&F. De DEFDA is in het legacysysteem CCIRS niet bij de DM0 ondergebracht, maar staat als een zelfstandig entiteit vermeld. De uitgegeven checklists geven hierdoor nog geen juist en volledig beeld van de organisatie. Met betrekking tot de 1V-systemen hebben wij geconstateerd dat benamingen en coderingen niet overal consistent zijn met PeopleSoft. Daarnaast maakt de )IVC organisatie in het legacysysteem CCIRS nog gebruik van elconummers welke in peoplesoft gekoppeld zijn aan inactive FE-nummers. Opgemerkt dient te worden dat wij bovenstaande bemerkingen ook in 2015 op detailniveau hebben gerapporteerd. Managementreactie De DM0 onderkent in het belang van het materieelbeheer dat de checklists een juist en volledig beeld dienen te geven van de organisatie en het materieel in beheer bij DM0. De bevindingen die in het rapport naar voren worden gebracht zijn inmiddels binnen de organisatie belegd om opgelost te worden. De bevindingen zullen uiterlijk in het eerste kwartaal van 2017 nader zijn uitgewerkt om vervolgens in het tweede kwartaal 2017 stapsgewijs opgelost en/of beheersbaar gemaakt te worden. Een activiteit die daartoe loopt is thans in bewerking bij het Kenniscentrum Materieelbeheer (KC MB). Het KC MB zal voor het eind van 2016 een advies uitbrengen om de toebedeling van checklists meer in lijn te laten zijn met de taakstelling van de eenheid (JIVC en OPS). Daar waar omissies in de ondersteunende 1V-systemen zijn geconstateerd zullen deze onder de aandacht gebracht worden van de betreffende beheerorganisatie van het 1V-systeem. Tot slot zullen in 2017 stappen worden ondernomen om bij de opmaak van de jaarlijkse planning een vergelijking uit te voeren met het aanwezige materieel in de ondersteunende 1V-systemen. Dit zal uiteindelijk nader worden vastgelegd in interne bedrijfsprocedures.

6 Checklists DM0 geven nog geen volledig en juist beeld van de organisatie De checklists opgenomen in de planning MKM 2016 bij de DM0 geven nog geen juist en volledig beeld van de organisatie. Binnen de DM0 is de relatie tussen de uitgegeven checklists en de registratie in het administratieve systeem ERP M&F niet geheel duidelijk. Tevens komen de benamingen van de checklists niet geheel overeen met de benaming in ERP M&F. Hierdoor kan de onderzoeksvraag Geven de checklists opgenomen in de planning checklists MKM een volledig en juist beeld van de organisatie nog niet positief beantwoord worden. Relatie tussen uitgegeven checklists en geregistreerd materieel in ERP M&F onduidelijk Bij twee afdelingen binnen de DM0, JIVC en OPS, is geen duidelijke relatie te leggen tussen de checklists en het materieel in het administratiesysteem ERP M&F. Bij )IVC betreft het twee checklists Niet Gevoelig Inventarisbeheer. Bij de afdeling OPS betreft het een checklist centrale voorraad en een checklist Niet gevoelig inventarisbeheer. Benaming checklist komt niet geheel overeen met die in Peoplesoft Bij vijf checklists is vastgesteld dat de benaming checklist, legacy en ERP M&F niet geheel in overeenstemming zijn met elkaar (zie bijlage 1). Het betreft hier een checklist cryptoapparatuur inventaris waarbij de benaming is Cli sectie dienstverlening en de benaming is in CCIRS BDB Den Haag. De overige vier afwijkingen behoren bij de afdeling JIVC. Bij drie hiervan is de link naar CCJRS eenvoudig te leggen maar niet naar ERP M&F. Bij één wijkt de benaming zowel in CCIRS als in ERP M&F af. Het betreft hier de checklist C09 waarvan de benaming van de checklist C09 C41&I Huis ter Heide is en de peoplesoftnaam C4 I&I. Organisatiestructuur in BizzScore wijkt af van die in Peoplesoft Drie checklists (lx wapenbeheer, lx crypto-apparatuur en lx niet gevoelig inventaris) in BizzScore ondergebracht onder Dir Haagse Afdelingen terwijl deze in de Peoplesoft structuur staan onder de Dir Matlog. De checklist COS Sectie dienstverlening is in de organisatiestructuur in Peoplesoft ondergebracht bij Dir Matlog/Dir matlog wpsn/afd grondgebonden wpsn/sie Ost matafd proj KKW. In het legacy systeem SARS zijn geen wapens ondergebracht bij de sie Dienstverlening. De wapens staan in SARS verantwoord bi] Dir wpsn afd wpsn&mun. De checklists C03 en Cli C2Coe vallen in BizzScore onder Haagse Afdelingen, terwijl C2Coe in de Peopfesoftstructuur zijn ondergebracht bij Dir Matlog. Details van alle bevindingen zijn weergegeven in bijlage 1.

7 Benaming en/of codering in CCIRS komen niet geheel overeen met PeopleSoft Door gebruik te maken in ons onderzoek naar de juistheid en volledigheid van de planning MKM van vergelijkingen met ondersteunende 1V-systemen hebben wij een aantal omissies vastgesteld die geen direct onderdeel zijn van de onderzoeksvraag. Maar deze bevindingen zijn indirect onmisbaar om een juist beeld uit de MKM te kunnen halen. Daarom zijn alle verbeteringen hiervan mede in het kader van een goed materieelbeheer van belang. Om die redenen rapporteren wij deze bevindingen in een separaat hoofdstuk. De belangrijkste bevindingen zijn: De organisatie-eenheden worden niet herkend i.v.m. andere namen en/of coderingen. De status van organisatie-eenheden zijn niet up-to-date. DM0 gebruikt in CCIRS verouderde en inactieve elconummers Vijf checklists (crypto-apparatuur) bij de afdeling JIVC staan in het legacy systeem CCIRS vermeld onder de oude elconummers welke gekoppeld zijn aan inactieve Peoplesoft codes (EE-nummers). Eenheid in legacy systeem niet verantwoord onder DM0 structuur De DEEDA organisatie is in CCJRS niet onder de boomstructuur van de DM0 gehangen, maar staat vermeld als een zelfstandige entiteit. Details van alle bevindingen zijn weergegeven in bijlage 1.

8 Aanbevelingen en/of vervoigstappen Wij adviseren voor de omissies weergeven in hoofdstuk 1 de benodigde acties op te starten zodat de checklists een juist en volledig beeld geven van de organisatie en het materieel bij DM0. Indien uitgevoerd adviseren wij HDBV op de hoogte te brengen. De omissies in de ondersteunende IV systemen zoals genoemd in hoofdstuk 2 zijn veelal niet direct te wijzigen door de defensieonderdelen zelf. Hiervoor adviseren wij om de wijzigingen te laten uitvoeren door de functioneel beheerorganisatie van het 1V-systeem. Tevens adviseren wij om bij de opmaak van de jaarlijkse planning een vergelijking uit te voeren met het aanwezige materieel in de ondersteunende IV systemen. Hiermee is zelf vast te stellen of, conform de criteria in de aanwijzing HDBV 004, de checklists al het beheer van de verschillende materieelsoorten en opslagvormen bij het defensieonderdeel afdekt. Uit oogpunt van de borging van een goed materieelbeheer adviseren wij om dit vast te leggen in interne bedrijfsprocedures.

9 Verantwoording onderzoek Werkzaamheden en afbakening Het doel van het onderzoek is antwoord te geven op de onderzoeksvraag voor de audit Review 2016: Geven de checklists opgenomen in de planning checklists MKM een volledig en juist beeld van de organisatie? Bovenstaande onderzoeksvraag is gebaseerd op de volgende uitgangspunten uit de notitie van HDBV: Aanwijzing Materieel Beheer 004 en Nota Beheer in oktober 2016 (BS/ ): De MKM moet worden toegepast op alle: opslagvormen binnen een defensieonderdeel: centrale en decentrale voorraad, en inventaris. materieelsoorten binnen een defensieonderdeel: gevoelig (KKW, CCI, OWA en munitie) en niet-gevoelig materieel. eenheden waar feitelijk materieelbeheer wordt uitgevoerd. onderkende besturingsniveaus twee en drie voor Sturing en Beheersing. Een juist en volledig beeld van de organisatie met de geplande checklists MKM is vastgesteld met een vergelijking tussen de organisatieonderdelen in PeopleSoft, de checklists in de opgegeven jaarplanning, de aanwezigheid van het materieel in IV systemen en de bevindingen welke geconstateerd waren bij het onderzoek in PeopleSoft is volgens de SG Aanwijzing 902 het systeem voor het vastleggen van formatiewijzigingen binnen de defensieorganisatie, daarom hebben wij PeopleSoft als leidend gebruikt. Bij afwijkingen op basis van deze vergelijking hebben wij de uitkomsten ingedeeld in risicoprofielen: Geen bij geen of geringe afwijkingen en hoog, middel en laag bij definieerbare verschillen. De meest voorkomende afwijkingen en betekenis van de risicoprofielen hebben wij in onderstaande tabel toegekend op basis van de kans dat gevoelig materieel niet meer in beeld is en/of de kans dat geen beeld wordt gegeven bij eventuele omissies en/of afwijkingen in het beheer. Indien afwijkingen al eerder zijn gerapporteerd (rapport 2015) en de kans door tijdsduur groter is hebben wij het risico opgeschaald naar het naast hogere risico. Risicoprofiel Bevindingen/gevolg Geen Benaming organisatie, checklist en SAP/legacy komen nagenoeg overeen en materieel is aanwezig. Hoog Materieel is bij de eenheid volgens IV aanwezig maar een checklist is niet gepland. Materieel is geregistreerd bij een ander defensieonderdeel. Middel Materieel staat in het 1V-systeem onder een ander defensieonderdeel, maar is bij de eenheid bekend. De eenheid wordt aan de hand van de organisatienaam niet (eenvoudig meer) herkend. Laag Een checklist is gepland, maar volgens IV geen materieel aanwezig. De benamingen van eenheden worden niet eenduidig gebruikt, maar zijn wel herkenbaar. Tabel 1 Risicoprofielen

10 Gehanteerde Standaar Deze opdracht is uitgevoerd in overeenstemming met de Internationale Standaarden voor de Beroepsuitoefening van Internal Auditing. In dit rapport wordt geen zekerheid verschaft, omdat er geen assurance-opdracht is uitgevoerd. Verspreiding rapport De opdrachtgever, HDBV, is eigenaar van dit rapport. Het rapport is voor hoor en wederhoor afgestemd met de Coördinator Materieelbeheer niveau 2 DM0. De definitieve versie wordt met aanbiedingsnota aangeboden aan Dir-DMO. Zoals aangegeven in onze nota Review MKM 2016 sturen wij een rapport met bevindingen en reacties van alle defensieonderdelen naar HDBV. De ADR is de interne auditdienst van het Rijk. Dit rapport is primair bestemd voor de opdrachtgever met wie wij deze opdracht zijn overeengekomen. In de ministerraad is besloten dat het opdrachtgevende ministerie waarvoor de ADR een rapport heeft geschreven, het rapport binnen zes weken op de website van de rijksoverheid plaatst, tenzij daarvoor een uitzondering geldt. De minister van Financiën stuurt elk halfjaar een overzicht naar de Tweede Kamer met de titels van door de ADR uitgebrachte rapporten en plaatst dit overzicht op de website. De opdrachtgever geeft de ADR toestemming om de uitkomsten, die voortkomen uit dit vraaggestuurd onderzoek te gebruiken bij de rapportage onderzoeken wettelijke taak. In deze rapportage zal zowel de voortgang als de afdoening van deze bevindingen zijn opgenomen. Volgens afspraak Nota HDBV 8S d.d. 22 april 2016 zijn alle rapporten uitgegeven aan het ministerie van Defensie door de ontvanger voorzien van een managementreactie. Deze reactie is onder de samenvatting op blz 5 opgenomen.

11 Jabu~w~!pflV 9io~ ~aqw~~ou I~ 6~H U~G 6u!Uaja~JapUQ S

12 Bijlage 1 Overzicht vergelijking Organisatie PeopleSoft / MKM / 1V-ondersteuning (volgorde: bevindingen Hoofdstuk 1. en 2) Mv 3 Niv 4 NIv 5 DashboardNaam Benaming legacy chlc Naam in SAP Bevindingen Beviriding Risico: Verwijzing systemen type H/M/IJG rapport (CCIRS, SARS, WMS) JIVC C4l&l C4l&I Amersfoort C03 C41&I C03 JIVC C41&I jivc/c41&l/bdfv (niv 6) omvat materieel dat is 2015 H 1.1 Amersfoort ondergebracht in de checklists C03: C41&l Amersfoort en of C41&l Den Helder Specificatie DM0 geeft hierin geen onderscheid. Onduidelijk wat waar bij hoort. JIVC C4l&l C4l&l Den Helder C03 C4l&l Den Helder C03 JIVC C4l&l JIVC/C4l&l/BDFV (niv 6) omvat materieel dat is 2015 H 1.1 ondergebracht in de checklists C03: C4l&l Amersfoort en of C4l&l Den Helder Specificatie DM0 geeft hierin geen onderscheid. Onduidelijk wat waar bij hoort. OPS NULL NIJLL CCI OPS Staf Operations Ccl Niet in SAP. Stond in 2015 in Legacy. Geen 2015 M 1 1 duidelijkheid verkregen wat voor materieel het betreft en waar dit verantwoord staat. OPS NUI.L NULL C03 OPS Staf Operations C03 Niet in SAP. Stond in 2015 in Legacy. Geen 2015 M 1.1 duidelijkheid verkregen wat voor materieel het betreft en waar dit verantwoord staat. Haagse Sectie NIJLL Cli Sectie BDB Den haag Cli MATAFD DISTR BUR Benaming checklist komt niet overeen met benaminj 2015 H 1.2 Afdelingen Dienstverlening Dienstverlening peoplesoft en CCIRS. JIVC C41&l C4l&l Huis ter Cog C41&l Huis ter Defda C09 JIVC C41&l Binnen CCIRS is DEFDA 7146 niet onder de 2015 H 1.2 Heide (CNA) Heide (CNA) boomstructuur van DM0 opgenomen. 2.1 Elconr 7146 In CCIRS gekoppeld aan inactief en 2.2 afwijkend FEnr in peoplsoft (7140) JIVC C4l&l CRYPTO (niveau?) Benaming dashbord wijkt af van benaming peoplesoft (niv 5) JIVC C41&l C4l&l Amersfoort Cli C41&l C41&l locatie Amersfoort Cli JIVC C4l&l Benaming in ERP M&F komt niet geheel overeen H 1.2 Amersfoort Elconnr 2275 in CCIRS is gekoppeld aan inactief FEnr 2 1 in peoplesoft JIVC C41&l C41&l Den Helder Cli C41&l Den Helder C41&l locatie Den Helder Cii JIVC C41&l Benaming in ERP M&F komt niet geheel overeen H 1.2 Elconr in CCIRS is gekoppeld aan inactief PEn 2.1 in peoplesoft JIVC C41&l C41&t Huis ter Cii C4l&l Huis ter C41&l locatie Soesterberg Cli?? Benaming in ERP M&F komt niet geheel overeen H 1.2 Heide (CNA) Heide (CNA) Elco 7146/A in CCIRS is gekoppeld aan inactief FEnr 2.1 in peolplesoft

13 Haagse C2CQE NIJLL C03 C2COE C03 C2COE STGP C2Coe valt in SAP onder structuurboom Dir Matlog / 2015 M 1.3 Afdelingen Dir Matlog Wspn en NIET onder Bestuur&BDFV/afd Pl&Dienstverlening/sie Dienstverlening Haagse C2COE NULL Cli C2COE C2COE Cli C2COE STCP C2Coe valt in SAP onder structuurboom Dir 2015 M 1.3 Afdelingen Matlog/Dir Matlog Wspn en NIET onder Bestuur&BDFV/afd Pl&Dienstverlening/sie Dienstverlening Haagse Sectie NULL C05 Sectie 7? COS 7? Wapens in ERP M&F onder structuurboom Dir H 1.3 Afdelingen Dienstverlening Dienstverlening Matlog/Dir Matlog Wpsn. In SARS geen wapens onder sectie dienstverlening. JIVC C41&l C41&l Stroe Cli C4l&l Stroe C41&l locatie Stroe Cli JIVC C41&l Elco 5139 in CCIRS is gekoppeld aan inactief FEnr in 2015 H 2.1 OPSROOM STROE peoplesoft

14 Auditdienst Rijk Postbus EE Den Haag (070)