Samenvattend auditrapport 2014 Ministerie van Infrastructuur en Milieu (xii)

Transcriptie

1 Samenvattend auditrapport 2014 Ministerie van Infrastructuur en Milieu (xii)

2

3 Samenvattend auditrapport 2014 Ministerie van Infrastructuur en Milieu (xii) 13 maart 2015 Kenmerk ADR/2015/327 Inlichtingen Auditdienst Rijk Postbus EE Den Haag

4 Inhoud 1 Samenvatting Controle financiële overzichten Onderzoek financieel en materieelbeheer Onderzoek totstandkoming informatie over beleid en bedrijfsvoering Overige onderwerpen 6 2 Inleiding Doel en doelgroepen Wettelijke taak Object van controle 8 3 Controle financiële overzichten Inleiding Goedkeurende controleverklaring voor het ministerie 10 4 Onderzoek financieel en materieelbeheer Inleiding Aantal nieuwe bevindingen doen effect opgeloste bevindingen te niet Aantal hardnekkiger problemen opgelost, ook p-beheer weer op orde Beheersing EU-aanbestedingen toereikend Beheersing light-inkopen nu toereikend Proces EBF voldoende op orde Voortvarende actie op juiste basis voor beloningsbeslissingen heeft effect Impact organisatieverandering en taakstellingen op financieel beheer neemt toe Naleving nationale aanbestedingswet IenM breed nog niet toereikend Informatiebeveiliging / WBP verbeterd, aandacht nodig voor implementatie IenM heeft geen zicht op betrouwbare werking SAP door onvoldoende regie op externe beheerder De nieuwe procedures financieel beheer binnen de ILT werpen zijn vruchten af Financieel beheer KNMI in zwaar weer Risicomanagement en beheer van voorschotten bij subsidies vraagt meer aandacht Specifieke activiteiten spoorprojecten: meer duidelijkheid over de financiële instrumenten en de interne beheersing daarvan nodig Beheerssystematiek rond DBFM contracten is verder gestandaardiseerd Aandacht voor systeemgerichte contractbeheersing (SCB) voor GWW contracten blijft nodig Bronsysteem Inkoopdossier nog niet op orde Managementaandacht materieel beheer CIV vasthouden In control -verklaring Baseline Informatiebeveiliging Rijksdienst Grote projecten worden separaat aan de Tweede Kamer gerapporteerd 25

5 5 Onderzoek totstandkoming informatie over beleid en bedrijfsvoering Inleiding Beheersing proces totstandkoming beleidsinformatie in opzet geborgd Proces totstandkoming bedrijfsvoeringinformatie voldoende gestructureerd 28 6 Overige onderwerpen Uitgangspunten SGO5 vergen vertaling in de praktijk 30 Bijlage Controleverklaring van de onafhankelijke accountant 32

6 1

7 1 Samenvatting 1.1 Controle financiële overzichten Goedkeurende controleverklaring voor het ministerie Wij hebben een goedkeurende controleverklaring afgegeven bij het jaarverslag 2014 van het ministerie van Infrastructuur en Milieu (XII). Dat houdt in dat de in dit jaarverslag opgenomen financiële overzichten een getrouw beeld geven van de uitkomsten van de begrotingsuitvoering en zijn opgesteld conform de wet- en regelgeving. Dit betekent ook dat de verantwoording over de rechtmatigheid in de bedrijfsvoeringsparagraaf een juist en volledig beeld geeft van de rechtmatigheid van de begrotingsuitvoering in overeenstemming met de van toepassing zijnde weten regelgeving. Verder hebben wij vastgesteld dat de in het jaarverslag opgenomen informatie over het beleid en de bedrijfsvoering (de zogenoemde niet-financiële informatie) niet strijdig is met de in dit jaarverslag opgenomen financiële overzichten. 1.2 Onderzoek financieel en materieelbeheer Organisatieverandering en de effecten van taakstellingen hebben een toenemende impact op het financieel beheer. Dit is over de gehele linie niet verder verbeterd bij het ministerie. Alhoewel er veel energie is gestoken in het oplossen van een aantal bevindingen is op andere vlakken de aandacht voor het financieel beheer verzwakt. Wij vragen om blijvende sturing om het financieel en materieel beheer weer op het goede niveau van een paar jaar terug te krijgen. Zo levert ministeriebreed de naleving van de Nationale aanbestedingswet 2012 de nodige problemen op. Om de wet goed te kunnen interpreteren en toepassen is specifieke juridische kennis noodzakelijk. De toegang tot deze kennis is niet altijd aanwezig. Dit heeft geleidt tot een toename van afwijkingen van de aanbestedingswet. Bij de agentschappen Inspectie Transport en Leefomgeving (ILT) en Koninklijk Nederlands Meteorologisch Instituut (KNMI) leiden de afwijkingen tot overschrijding van controle - toleranties, waardoor wij bij de interne jaarrekeningen van deze agentschappen een verklaring met beperking moeten afgegeven. Ook bij Rijkswaterstaat (RWS) zijn meer afwijkingen, maar is geen sprake van overschrijding van de controletoleranties. Bij de afdeling Financien & Inkoop van de directie Integrale Bedrijfsvoering IenM (IBI-F&I) 1 heeft de professionalisering van het inkoopproces zich doorgezet. Hierdoor is er goed zicht op de aanbestedingen die niet voldoen aan de regels. De belangrijkste problemen hebben te maken met beleidsmedewerkers die zich nog niet houden aan de aanbestedingsregels en de afspraken over het inschakelen van IBI-Control en Inkoop voordat een contract wordt gesloten. In 2014 is het KNMI in zwaar weer gekomen. De aandacht voor het veranderproces, de organisatieveranderingen en de daaruit voortvloeiende wijziging van processen en personen zijn ten koste gegaan van het financieel beheer. Naast de genoemde problemen met het inkoopproces is ook de financiële funcie (te) kwetsbaar en is het activabeheer nauwelijks verbeterd. Deze bevindingen samen hebben er toe geleid dat wij de kwaliteit van het financieel beheer van het KNMI als een ernstige bevindingen hebben aangemerkt. Een andere ernstige bevinding betreft het toezicht van het ministerie op het beheer van het financiële systeem SAP, dat ministeriebreed wordt gebruikt. De regie op het beheer door een externe beheerder van SAP, is onvoldoende geweest. Hierdoor is weinig toezicht geweest op de in het systeem doorgevoerd wijzigingen (change management), wat heeft geleid tot wijzigingen die in eerste instantie door niemand konden worden verklaard. Tevens is het 1 De voormalige Shared Services Organisatie (SSO) Samenvattend auditrapport 2014 Ministerie van Infrastructuur en Milieu (xii) 5

8 autorisatiebeheer verslechterd, wat blijkt uit een toename van het aantal super-users die onbeperkte rechten in het systeem hebben. Het toezicht op het gebruik van deze rechten was ontoereikend. Gezien de ernst van de bevindingen hebben wij aangedrongen op een snelle en adequate regievoering vanuit het ministerie. Er zijn ook verbeteringen geconstateerd. Zo is het belang van informatiebeveiliging in alle organisatieonderdelen bekend. Dit leidt tot een lichte verbetering van informatiebeveiliging. De implementatie van deze in gang gezette verbeteringen zal in 2015 zijn vruchten moeten afwerpen. Ook de naleving van de wet bescherming persoonsgegevens (Wbp) is verbeterd. Dit jaar moest er voor het eerste een In control verklaring in het kader van de Baseline Informatievoorziening Rijk (BIR) worden afgegeven door het Ministerie. Het proces van totstandkoming, de vorm en de reikwijdte en de onderbouwing zijn door ons beoordeeld. ILT heeft na een aantal moeilijke jaren de verbeterpunten weten op te pakken, dit heeft er toe geleid dat de nieuwe procedures vruchten beginnen af te werpen voor het financieel beheer. Aangezien hierbij veel externe medewerkers zijn betrokken is het zaak om deze verbetering ook voor 2015 vast te houden. Blijvende aandacht van het management is nodig voor de borging van de in gang gezette verbeteringen. Bij de beleidskern vragen risicomanagement en het beheer van voorschotten bij subsidies meer aandacht. Ook bij de directie Openbaar Vervoer en Spoor (OVS) vraagt de interne beheersing meer duidelijkheid over de in te zetten financiële instrumenten. Tot slot kennen we bij RWS ook de problematiek rond de naleving van de aanbestedingswet, alhoewel in aard afwijkend van de onderdelen van het ministerie. Het bronsysteem Inkoop - dossier is nog niet op orde, ondanks de nodige energie die RWS hierin heeft gestoken. Het contractbeheer van de GWW-onderhoudscontracten is achteruit gegaan. Er is er de nodige aandacht voor de vereenvoudiging van de DBFM contracten, maar de beheersing in de onderhoudsfase van deze contracten is nog wel een punt van zorg. Dit geldt ook voor het gebrek aan regulatie van het toekennen boetepunten bij DBFM contracten. Ook de beheersing van de overige contracten (niet GWW-contracten) is verslechterd. Het materieelbeheer bij de Centrale Informatievoorziening (CIV) is verbeterd; verantwoordelijkheden zijn belegd en de implementatie van het plan van aanpak ter verbetering van het configuratiebeheer is eind 2014 gestart. 1.3 Onderzoek totstandkoming informatie over beleid en bedrijfsvoering Het proces totstandkoming beleidsinformatie is in opzet geborgd. Aandachtspunten zijn het expliciet vaststellen op welke wijze de betrouwbaarheid van de informatie is gewaarborgd en de dossiervorming. Het proces totstandkoming bedrijfsvoeringinformatie is voldoende gestructureerd. 1.4 Overige onderwerpen In het kader van de Herinrichting Governance Bedrijfsvoering Rijk wordt door het programma SGO-5 gewerkt aan een vereenvoudiging van de generieke bedrijfsvoeringsprocessen. Gezien de ervaringen met regie op uitbestedingen is het van belang dat de uitgangspunten van SGO-5 per partij vertaald worden in specifieke beheersplannen met heldere rol- en taakverdeling. 6 Samenvattend auditrapport 2014 Ministerie van Infrastructuur en Milieu (xii)

9 2

10 2 Inleiding 2.1 Doel en doelgroepen Voor u ligt het samenvattende auditrapport 2014 over de uitkomsten van de wettelijke taak ten aanzien van het ministerie van Infrastructuur en Milieu. Het rapport bevat de belangrijkste uitkomsten van ons onderzoek, alsmede de controleverklaring omtrent de in het departementale jaarverslag 2014 van het ministerie van Infrastructuur en Milieu opgenomen financiële overzichten. Het rapport is opgesteld voor de minister, de staatssecretaris en de secretaris-generaal van Ministerie van Infrastructuur en Milieu en wordt tevens verstrekt aan de leden van het audit committee, de hoofddirecteur Financiën, Management en Controle (FMC), de president van de Algemene Rekenkamer en de minister van Financiën. Met dit rapport ondersteunt de Auditdienst Rijk de minister van Infrastructuur en Milieu in de verantwoordelijkheid voor het opmaken van het departementale jaarverslag en voor de bedrijfsvoering van het ministerie. 2.2 Wettelijke taak Dit rapport bevat de uitkomsten van de uitvoering van de wettelijke taak, zoals bedoeld in artikel 66 van de Comptabiliteitswet Het rapport is als volgt ingedeeld: de controle van de financiële overzichten (hoofdstuk 3); het onderzoek naar het financieel en materieelbeheer (hoofdstuk 4); het onderzoek naar de totstandkoming van de informatie over het beleid en de bedrijfs - voering (hoofdstuk 5); overige onderwerpen (hoofdstuk 6); de controleverklaring (bijlage). Op grond van artikel 60, eerste lid, van de Comptabiliteitswet 2001 zendt de minister van Infrastructuur en Milieu het jaarverslag tezamen met dit samenvattende auditrapport aan de minister van Financiën. Het ministerie van Infrastructuur en Milieu (IenM) kent drie begrotingen: Hoofdstuk XII van de Rijksbegroting (XII), het Infrastructuurfonds (A) en het Deltafonds (J). In de begroting Infrastructuur en Milieu (XII) zijn de beleidsprioriteiten geformuleerd. Deze begroting biedt inzicht in de doelstellingen en in de producten waarmee die zijn gerealiseerd. Het gedeelte van de uitvoering dat betrekking heeft op infrastructuur wordt gerealiseerd binnen het Infrastructuurfonds. Van het Infrastructuurfonds wordt een afzonderlijk jaarverslag opgesteld. Over de controle daarvan rapporteren wij separaat. Het gedeelte van de uitvoering dat betrekking heeft op projecten die bijdragen aan waterveiligheid en zoetwatervoorziening wordt gerealiseerd binnen het Deltafonds. Van het Deltafonds wordt een afzonderlijk jaarverslag opgesteld. Over de controle daarvan rapporteren wij separaat. In dit rapport wordt niet inhoudelijk ingegaan op opmerkingen met betrekking tot de projecten die door de Tweede Kamer in het kader van de Regeling grote projecten zijn aangewezen. Over deze projecten wordt periodiek separaat aan de Tweede Kamer gerapporteerd. 2.3 Object van controle De in 2014 gerealiseerde uitgaven bedroegen mln. (2013: mln.), aangegane verplichtingen mln. (2013: mln.) en ontvangsten 215 mln. ( mln.). Dit geeft een indruk van de financiële omvang van het object van onze controle. 8 Samenvattend auditrapport 2014 Ministerie van Infrastructuur en Milieu (xii)

11 3

12 3 Controle financiële overzichten Wij hebben een goedkeurende verklaring afgegeven bij het departementaal jaarverslag 2014 van het ministerie van Infrastructuur en Milieu (XII). 3.1 Inleiding Als onderdeel van onze wettelijke taak controleren wij of de in het jaarverslag opgenomen financiële overzichten een getrouw beeld geven van de uitkomsten van de begrotingsuitvoering en zijn opgesteld in overeenstemming met de verslaggevingsvoorschriften zoals die zijn vast - gelegd in de Comptabiliteitswet 2001 en de Regeling rijksbegrotingsvoorschriften In onze controleverklaring, die is opgenomen in de bijlage van dit rapport, worden de door ons gecontroleerde financiële overzichten nader gespecificeerd. Wij dienen te voldoen aan de voor ons geldende beroepsvoorschriften en onze controle zodanig te plannen en uit te voeren dat een redelijke mate van zekerheid wordt verkregen dat de financiële overzichten geen afwijkingen van materieel belang bevatten. Het materieel belang is bepalend voor de strekking van het oordeel in de controleverklaring. De materialiteit voor de verantwoordingsstaten en de saldibalans als geheel bedraagt 1% voor fouten en 3% voor onzekerheden. Wij zijn er bij de controle van de financiële overzichten van uitgegaan dat de voorgestelde wijzigingen in de slotwet de goedkeuring van de wetgever zullen krijgen. Voorts hebben wij onderzocht of de in het jaarverslag opgenomen informatie over het gevoerde beleid en de bedrijfsvoering (de niet-financiële informatie), voor zover wij dat kunnen beoordelen, niet strijdig is met de in dit jaarverslag opgenomen financiële overzichten. Hieronder gaan wij in op de belangrijkste bevindingen van de controle. 3.2 Goedkeurende controleverklaring voor het ministerie Wij hebben een goedkeurende controleverklaring afgegeven bij het jaarverslag 2014 van het ministerie van Infrastructuur en Milieu (XII). Deze verklaring is opgenomen als bijlage in dit rapport. Op grond van artikel 60, eerste lid, van de Comptabiliteitswet 2001 zendt de minister van Infrastructuur en Milieu het jaarverslag tezamen met dit samenvattende auditrapport aan de minister van Financiën. 10 Samenvattend auditrapport 2014 Ministerie van Infrastructuur en Milieu (xii)

13 4

14 4 Onderzoek financieel en materieelbeheer Organisatieverandering en de effecten van taakstellingen hebben een toenemende impact op het financieel beheer. Dit is over de gehele linie niet verder verbeterd bij het ministerie. Alhoewel er veel energie is gestoken in het oplossen van een aantal bevindingen is op andere vlakken de aandacht voor het financieel beheer verzwakt. Wij vragen om blijvende sturing om het financieel en materieel beheer weer op het goede niveau van een paar jaar terug te krijgen. 4.1 Inleiding Als onderdeel van onze wettelijke taak onderzoeken wij of de geselecteerde processen van financieel en materieelbeheer voldoen aan de normen uit de comptabele wet- en regelgeving. Op het hoogste niveau geldt dat het financieel en materieelbeheer voldoet aan de eisen van rechtmatigheid, ordelijkheid, controleerbaarheid en dat het beheer overigens zo doelmatig mogelijk wordt ingericht. Deze eisen zijn verder uitgewerkt en samengevat in de Baseline financieel en materieelbeheer van het ministerie van Financiën. Bij evaluatie van onze bevindingen hanteren wij drie categorieën: licht, gemiddeld en ernstig. Dit onderscheid geeft de impact van de bevinding weer op basis van gewicht en frequentie. Ten behoeve van het selecteren van de te onderzoeken processen van financieel en materieelbeheer hebben wij allereerst de bedrijfsrisico s en alle daaraan gekoppelde processen in kaart gebracht. Op basis van het belang van de processen en de in die processen onderkende risico s hebben wij de volgende processen voor een nader onderzoek in 2014 bij de organisatieonder - delen van IenM (inclusief de baten-lastenagentschappen RWS, ILT, KNMI en NEa) geselecteerd: Inkoopbeheer Contractbeheer Subsidiebeheer Verplichtingenbeheer Opbrengstbeheer Personeelsbeheer Betaalproces Grootboekbeheer Materieelbeheer Naar aanleiding van de berichtgeving in het tv-programma Zembla over mogelijke onrecht - matigheden bij ICT-aanbestedingen heeft de minister voor Wonen en Rijksdienst in zijn brieven aan de Tweede Kamer van 6 oktober 2014 (Kamerstukken II 2014/15, , nr. 327) en 31 oktober 2014 (Kamerstukken II 2014/15, , nr. 330) aangegeven dat de ADR over 2014 extra aandacht besteedt aan inkoopprocedures en rechtmatigheid. De verdieping heeft vooral betrekking op de vraag in hoeverre er procedures bestaan en werken waardoor zichtbaar is dat de inkoper op beslissende momenten in het inkoopproces onafhankelijk heeft gehandeld. Voor bevindingen met betrekking tot het inkoopproces wordt verwezen naar paragraaf In dit hoofdstuk behandelen wij de belangrijkste uitkomsten van ons onderzoek naar het gevoerde financieel en materieelbeheer. 12 Samenvattend auditrapport 2014 Ministerie van Infrastructuur en Milieu (xii)

15 4.2 Aantal nieuwe bevindingen doen effect opgeloste bevindingen te niet Figuur 1: Bevindingen naar ontstaansjaar (in aantallen) Figuur 2: Bevindingen naar impact (in aantallen) licht gemiddeld ernstig Ten opzichte van voorgaand jaar zijn een aantal bevindingen samengevoegd. Dit heeft geleid tot een afname van het aantal bevindingen. De reden waarom deze samenvoeging heeft plaatsgevonden is dat dit een meer samenhangend beeld geeft. Overigens is de samenvoeging in alle jaren doorgevoerd. 4.3 Aantal hardnekkiger problemen opgelost, ook p-beheer weer op orde Figuur 3: Opgeloste bevindingen in 2014 Bevinding Verantwoordelijk organisatieonderdeel Naleving EU-aanbestedingsregels Beleidskern Light inkopen RWS, KNMI, BLK Beheersing EBF niet op orde IenM Beloningsbeslissingen obv onjuiste artikelen IenM licht gemiddeld ernstig opgelost Samenvattend auditrapport 2014 Ministerie van Infrastructuur en Milieu (xii) 13

16 4.3.1 Beheersing EU-aanbestedingen toereikend Met de start van SSO-Inkoop als IUC is de beheersing van aanbesteding van opdrachten met een geraamde waarde boven de EU-A grenzen toereikend. Er komen nog uitzonderingen voor, welke met name worden veroorzaakt doordat het beschikbaar komen van vervangende interdepartementale oplossingen of contracten vertraagd zijn of gebleken is dat deze voor IenM niet passend zijn Beheersing light-inkopen nu toereikend De procedure voor light-inkopen voldoet inmiddels bij de genoemde diensten aan de daaraan te stellen eisen Proces EBF voldoende op orde In 2014 zijn de beheersmaatregelen ten aanzien het proces Elektronisch betalen en factureren (EBF) doorgevoerd conform het door ons eind 2013 als toereikend aangemerkte plan. Daarmee worden de IT risico s in voldoende mate beheerst Voortvarende actie op juiste basis voor beloningsbeslissingen heeft effect Tijdens de controle van de personele kosten over 2013 constateerden wij dat beloningsinstrumenten niet altijd correct worden toegepast. Eind 2013 en begin 2014 heeft het departement adequate maatregelen getroffen. Naar aanleiding van de controle over 2014 hebben wij op dit punt vrijwel geen opmerkingen meer. 4.4 Impact organisatieverandering en taakstellingen op financieel beheer neemt toe Figuur 4: Bevindingen in het beheer 2014 Bevinding Verantwoordelijk organisatieonderdeel IenM breed 1 Naleving nationale aanbestedingswet nog niet IenM toereikend 2 Informatiebeveiliging/WBP verbeterd, aandacht IenM nodig voor implementatie IT beheer 3 Geen zicht op betrouwbare werking SAP door IenM onvoldoende regie op externe beheerder ILT 4 Financieel beheer ILT: Nieuwe procedures werpen ILT zijn vruchten af KNMI 5 Financieel beheer KNMI in zwaar weer KNMI Beleidskern 6 Risicomanagement en beheer van voorschotten Beleidskern bij subsidies vraagt meer aandacht 7 Specifieke activiteiten spoorprojecten: meer Beleidskern duidelijkheid over de financiële instrumenten en de interne beheersing daarvan nodig Rijkswaterstaat 8 DBFM contracten RWS 9 Contractbeheer met SCB RWS 10 Bronsysteem Inkoopdossier nog niet op orde RWS 11 Managementaandacht materieelbeheer CIV RWS vasthouden licht gemiddeld ernstig 14 Samenvattend auditrapport 2014 Ministerie van Infrastructuur en Milieu (xii)

17 Wij hebben er dit jaar voor gekozen om de bevindingen niet te ordenen per proces, maar meer per organisatieonderdeel. Onderwerpen die IenM breed spelen zijn eerst genoemd, vervolgens zijn de bevindingen per organisatieonderdeel benoemd. Bij de volgorde daarvan is de ernst van de bevinding meegewogen. Bevindingen IenM breed Naleving nationale aanbestedingswet IenM breed nog niet toereikend In 2013 hebben wij geconstateerd dat acties nodig waren om de naleving van de Aanbestedingswet 2012 op het gewenste niveau te krijgen. In 2014 blijkt voor de verschillende organisatie - onderdelen in de praktijk nog steeds lastig om de nationale aanbestedingswet goed na te leven. De interpretatie van de wet ten opzichte van de EU aanbestedingswet roept soms vragen op en de opdrachten waarbij meerdere offertes moeten worden aangevraagd zijn vaak opdrachten waarbij een voorkeur uitgaat naar inzet van specifieke personen of leveranciers in verband met kennis van de organisatie. De problemen hebben met name betrekking op het tijdig anticiperen op verwachte contract - verlengingen bij de aanbesteding, het naleven van aanbestedingswetgeving bij contract - verlengingen en het tijdig afsluiten van contracten en/of contractwijzigingen. Aanbestedingsjuristen die de aanbestedingswet en de jurisprudentie daar omheen goed kennen kunnen de inkopers ondersteunen bij het juist toepassen van de aanbestedingswet. Gezien het aantal afwijkingen van de aanbestedingswet dat wij hebben aangetroffen vragen wij ons af of dergelijke kennis in voldoende mate toegankelijk is binnen het ministerie. Wij adviseren om toegang tot deskundig juridisch advies te regelen voor alle bij inkoop betrokken medewerkers van IenM, bij voorkeur in samenwerking met andere departementen. RWS: Aanbestedingswet wordt onvoldoende nageleefd bij aanbestedingen van inhuurcontracten tussen en de EU-aanbestedingsgrens Voor de aanbesteding door RWS van opdrachten met een geraamde waarde tussen de en de EU-aanbestedingsgrens is gebleken dat de wet onvoldoende wordt nageleefd bij inhuuropdrachten die buiten de raamcontracten vallen en enkelvoudig worden aanbesteed, terwijl hiervoor geen wettelijke basis is. Bij inhuur van de zogenoemde 2B diensten veronderstelde RWS dat enkelvoudige markt - benadering valt onder de uitzondering op de aanbestedingsplicht van de 2B diensten en daarmee geen afwijking was op de wetgeving. Wij adviseren om de interne procedures op dit punt aan te passen. We merken voorts op dat er contracten worden verlengd terwijl het oorspronkelijke contract al is verlopen en/of dat het contract hierin niet voorziet zodat er opnieuw had moeten worden aanbesteed. Onvoldoende naleven aanbestedingsregels leidt tot problemen bij ILT en KNMI Zowel bij ILT als KNMI leidt het niet naleven van de aanbestedingsregels tot overschrijding van tolerantiegrenzen waardoor er bij de interne jaarrekening van deze diensten een verklaring met beperking moet worden afgegeven. Bij ILT is dit met name het gevolg van aanbestedingen die door DCI namens ILT zijn uitgevoerd. Wij verwijzen voor een toelichting naar paragraaf Bij KNMI betreft het met name aanbestedingen die enkelvoudig zijn aanbesteed en nadere overeenkomsten binnen raamovereenkomsten waarbij geen minicompetitie is toegepast. Voor een toelichting zie paragraaf Bij SSO-Inkoop uitvoering aanbestedingsregelgeving op niveau, gedragsverbetering lijn volgt (te) langzaam SSO-Inkoop heeft de inrichting en uitvoering van het Inkoopproces binnen de eigen directie op het vereiste niveau gebracht. Dit betreft de optimalisering van de afhandeling van inkoopaanvragen zelf, het structureel inrichten van maatregelen als inkoopplanning en spendanalyse en het optimaliseren van de Inkoopmonitor rapportages. Samenvattend auditrapport 2014 Ministerie van Infrastructuur en Milieu (xii) 15

18 De Bestuursraad heeft medio 2014 besloten om het inschakelen van SSO-Inkoop bij een opdracht met een geraamde waarde groter dan verplicht te stellen. In 70% van de betreffende gevallen is SSO Inkoop nog niet ingeschakeld. Dit heeft in ca. 25% van deze gevallen leidt tot onrechtmatig uit de hand gegunde opdrachten. Hoewel incidenteel, treffen wij nog steeds onderhands gegunde opdrachten aan voor (verlenging van) inhuur of uitbesteding van inzet van specialistische medewerkers in beleids - projecten, die soms al vele jaren achtereen binnen het departement werkzaam zijn. Het proces is in opzet goed ingeregeld, wij dringen er op aan dat de beleidsdirecties zich houden aan dit proces en wij adviseren SSO-Inkoop dit strak te monitoren. Besteed hierbij niet alleen aandacht aan aantallen en financiële waarde, maar ook aan de validiteit en toereikende ondertekening van de argumentatie bij individuele gesignaleerde afwijkingen Informatiebeveiliging / WBP verbeterd, aandacht nodig voor implementatie De positieve trend van 2013 is in 2014 doorgezet op het gebied van de verbetering van de informatiebeveiliging. Met name de diverse implementatietrajecten van de baseline informatiebeveiliging rijksdienst (BIR) hebben ervoor gezorgd, dat de kritieke systemen per onderdeel in kaart zijn gebracht en dat hiervoor risico afwegingen zijn uitgevoerd. Op basis van de realisatie van de PDCA-cyclus op het gebied van informatiebeveiliging heeft elk IenM onderdeel een in control -verklaring kunnen afgegeven (zie hiervoor ook paragraaf 4.5). Vanwege deze ontwikkelingen heeft de ADR aanleiding gezien om de impact van de bevinding te wijzigen naar licht. De totstandkoming van een goed onderbouwde ICV-BIR is arbeidsintensief. Immers voor alle structureel in gebruik zijnde systemen (in 2014 gold dit alleen voor de kritieke systemen) dient gedocumenteerd te worden in hoeverre aan bepaalde BIR-maatregelen wordt voldaan (comply) of in hoeverre hiervan gemotiveerd wordt afgeweken (explain). IenM heeft hiervoor in 2014 de CompLions tool aangeschaft. Wij adviseren FMC om kaders te stellen voor de inrichting van deze tool en de vulling van de tool door de IenM onderdelen te coördineren en faciliteren. De stand van zaken inzake informatiebeveiliging bij de verschillende IenM onderdelen, zoals hieronder weergegeven, betekent wel dat de bevinding nog niet als voldoende opgelost kan worden gezien: Beleidskern: DCI heeft risicoafwegingen uitgevoerd en moet nu implementeren De regievoerder over het beheer van de systemen van de bestuurskern (FMC/DCI) heeft mede vanwege de extra capaciteit, de kritieke systemen in beeld en hiervoor risicoafwegingen uitgevoerd. De implementatie van de BIR voor het pilot project Delphi bleek in 2014 niet haalbaar, mede vanwege een informele informatiebeveiligingsorganisatie, waardoor verantwoordelijkheden gedurende 2014 niet altijd helder bleken. Wij adviseren DCI om de verantwoordelijkheden inzake informatiebeveiliging te formaliseren (rol informatiemanagers, functioneel beheerders en coördinatiepunt informatiebeveiliging) en voldoende capaciteit voor de implementatie van de BIR in te plannen. RWS: voor netwerk hoofdwatersystemen zijn de beveiligingsmaatregelen in 2014 gerealiseerd Voor het hoofdwatersysteem en de hieraan gerelateerde generieke processen, heeft RWS de geïnventariseerde beveiligingsmaatregelen voor de missiekritieke systemen in 2014 grotendeels genomen. Voor het hoofdvaarwegennet en het hoofdwegennet is de implementatie gepland voor 2015 en In 2014 is voor deze twee netwerken een generieke explain 2 opgesteld met aandacht voor de risico s die RWS loopt, doordat de BIR-maatregelen nog niet zijn getroffen. 2 in plaats van een toelichting per individuele maatregel per systeem 16 Samenvattend auditrapport 2014 Ministerie van Infrastructuur en Milieu (xii)

19 KNMI : expliciete risicoafwegingen voor kritieke systemen nog niet gemaakt Het KNMI heeft stappen gezet om de kritieke systemen in beeld te brengen. De diverse productmanagers hebben met deze lijst ingestemd en de lijst is opgenomen in de ICV van het KNMI. Risicoanalyses voor deze kritieke systemen zijn nog niet gemaakt. Beveiligingsmaatregelen zijn getroffen op basis van wet- en regelgeving en contractuele eisen en een eigen stelsel van functionele vereisten. Door het ontbreken van een expliciete risicoafweging zijn de bedreigingen en kwetsbaarheden ten aanzien van deze kritieke systemen niet expliciet gemaakt. Hierdoor loopt het KNMI het risico dat bepaalde beveiligingsrisico s niet adequaat zijn afgedekt. Wij adviseren het KNMI om voor de kritieke systemen de getroffen beveiligingsmaatregelen te toetsen aan een expliciete risicoafweging en de eventueel daaruit gesignaleerde restrisico s te mitigeren. ILT: heeft risicoafwegingen uitgevoerd en moet nu implementeren In 2014 heeft de ILT risico afwegingen uitgevoerd voor alle belangrijke systemen. Dit heeft geleidt tot de inventarisatie van een aantal kritieke systemen. Ter verbetering van onder andere de informatiebeveiliging loopt het project Beheer op orde en voor de diverse domeinen zijn beheerplannen opgesteld, waarin een paragraaf is opgenomen over informatiebeveiliging. Wij adviseren de ILT om voldoende aandacht te hebben voor de implementatie van de beveiligingsmaatregelen. Verbeteracties op het gebied van de WBP in gang gezet Vorig jaar constateerden wij dat het ministerie van IenM werkt aan het doorvoeren van een aantal verbeteringen die er toe moeten leiden dat de naleving van de Wet bescherming persoonsgegevens (Wbp) beter geborgd is. In 2014 heeft IenM de ingezette verbeteracties gecontinueerd en nieuwe verbeteracties opgepakt. Het actualiseren van de meldingen persoonsgegevensverwerkingen is voor de zomer afgerond en er zijn diverse acties ondernomen die bij medewerkers en leidinggevenden bewustwording van het handelen volgens de Wbp moeten vergroten. De nieuwe Regeling bescherming persoonsgegevens IenM (28 maart 2014) en bijbehorende toelichting ondersteunen de uitvoering van de Wbp. Daarnaast zien wij dat het gebruik van het door BZK ontwikkelde toetsmodel Privacy Impact Assessment (PIA) aanzienlijk is toegenomen sinds de invoering ervan (eind 2013). De vragenlijst van PIA fungeert mede als risicoanalyse op de persoonsgegevens. De Wbp is ingebed in het domein Integrale Beveiliging en maakt als zodanig deel uit van de voor dit domein ingestelde PDCA-cyclus, hetgeen in belangrijke mate bijdraagt aan een gestructureerde aandacht voor en aanpak van privacy-aspecten. In 2014 is de aansluiting gezocht met de concernsturingscyclus. De cyclus start met een jaarplan en twee keer per jaar wordt hierover verantwoording afgelegd. Als gevolg van de vernieuwingen in (Europese) wet- en regelgeving, het toenemend aantal PIA s en het verbeterde bewustzijn inzake de omgang met persoonsgegevens, constateren wij een toenemende werkdruk bij de IenM medewerkers die moeten ondersteunen bij de governance en compliance met betrekking tot de Wbp. Wij adviseren FMC om structureel voldoende capaciteit (met de juiste kennis en ervaring) beschikbaar te stellen om aan de toenemende vraag te kunnen blijven voldoen. Bevindingen IT-beheer IenM heeft geen zicht op betrouwbare werking SAP door onvoldoende regie op externe beheerder In februari 2013 is het beheer van IenM SAP overgedragen aan een nieuwe externe beheer partij. De verdeling van taken en verantwoordelijkheden, zoals tussen IenM en de externe beheerder overeengekomen in het contract, moesten zich in de dagelijkse praktijk nog zetten en nog nader worden uitgewerkt in een dossier afspraken en procedures (DAP). In een situatie waarbij de beheertaak is overgedragen aan een derde dient regie te worden gevoerd op de uitvoering. De verantwoordelijkheid daarvoor kan niet worden overgedragen aan de externe beheerder. Samenvattend auditrapport 2014 Ministerie van Infrastructuur en Milieu (xii) 17

20 Uit het door ons uitgevoerde ISAE3000 onderzoek 3 over 2014 blijkt dat de taken en verant - woordelijkheden en wijze van verantwoorden daarover niet altijd eenduidig zijn belegd en beschreven. Ook het toezicht vanuit de Directie Concern Informatievoorziening (DCI) op de uitgevoerde werkzaamheden van de externe beheerder is op cruciale onderwerpen diepgaand ingericht en uitgevoerd. In 2014 heeft DCI onvoldoende zicht gehouden op de kwaliteit van de wijzigingen die in het IenM-SAP-systeem zijn doorgevoerd. Daarnaast had DCI onvoldoende inhoudelijk zicht op de (frequente en omvangrijke) werkzaamheden welke door medewerkers van de externe beheerder met Super-user rechten(orange-users) in de systemen zijn uitgevoerd. Hierdoor bestaat het risico dat het IenM SAP-systeem niet meer betrouwbaar werkt en zelfs dat oneigenlijk waarden zijn onttrokken aan IenM. Wij hebben aanvullende beoordelingen uitgevoerd deels in samenwerking met DCI en de externe beheerspartij om na te gaan of de genoemde risico s zich hebben voor gedaan. Hierbij hebben wij ook een relatie gelegd met de door gebruikers gedurende het jaar uitgevoerde controles op in het SAP systeem opgenomen gegevens. Uit deze beoordelingen zijn uiteindelijk geen signalen gebleken dat de betrouwbare werking van SAP is aangetast of dat er waarden van materiële omvang aan IenM zijn onttrokken. Het contract tussen IenM en de externe beheerpartij is binnen de Rijksoverheid als zeer vooruitstrevend en doelmatig te beschouwen. Desondanks zal vanuit IenM invulling moeten worden blijven gegeven aan een strakke regierol. Wij adviseren om het contract met de externe beheerpartij nogmaals te analyseren, de daaruit voortvloeiende taken en verantwoordelijkheden eenduidig te beleggen en uit te werken in het DAP. Zorg daarbij voor een toereikende verantwoording door de externe beheerpartij en voldoende diepgaand toezicht daar op door DCI. Wij adviseren daarnaast om het registreren en documenteren van wijzigingen volgens uniforme instructies in een beperkt aantal systemen te doen en de rechten voor het daad - werkelijk in het IenM-SAP-productie systeem inlezen van deze wijzigingen (uit hoofde van functiescheiding) aan een beperkt aantal coördinatoren toe te kennen. Wij adviseren verder om de inrichting van beheerrollen te laten herbezien zodat hiermee de meest voorkomende beheerwerkzaamheden kunnen worden uitgevoerd en de noodzaak voor het gebruik van Orange-users tot het minimum beperkt kan blijven. Wij adviseren ten slotte om passende tooling en deskundigheid in te zetten voor het autorisatiebeheer in brede zin en ten behoeve van het monitoren van het juiste gebruik van Orangeusers in het bijzonder. Betaalproces loopt niet vlekkeloos Uit de controle van het betaalproces bij de beleidskern komen wel enkele formele punten naar voren die in het licht van voorgaande opmerkingen aandacht behoeven. Het betreft het tijdig mandateren van kasbeheerders, de discipline van de kasbeheerders ten aanzien van het paraferen van betalingsvoorstellijsten en het beheer van niet meer actieve digipassen. Wij adviseren om dit proces zo spoedig mogelijk op niveau te brengen. Aanpassing SAP voor application control op stamgegevens crediteuren pas in 2015 Een voorbeeld waaruit blijkt dat het toezicht op de werkzaamheden onvoldoende is geweest is de wijze waarop door Atos is omgegaan met de vanuit het beheer van crediteurenstam - gegevens noodzakelijk aanpassing in SAP voor het inregelen van een geautomatiseerde controle op dubbele KVK-nummers. Ter voorkoming van dubbele werkzaamheden heeft Atos deze wijziging op eigen initiatief gebundeld met andere gewenste wijzigingen ten aanzien van SAP-Businesspartners. De geplande in productie name van de application controls (toevoeging vestigingsnummer als uniek kenmerk en koppeling SAP/KVK) is daarmee opgeschoven tot ver in Assurance Rapport van de IT-auditor van de Auditdienst Rijk over de beschrijving van DCI van de beheersmaatregelen, hun opzet, bestaan en werking met betrekking tot de dienstverlening door DCI en ATOS 18 Samenvattend auditrapport 2014 Ministerie van Infrastructuur en Milieu (xii)

21 Bevindingen ILT De nieuwe procedures financieel beheer binnen de ILT werpen zijn vruchten af In 2012 en 2013 vertoonde het financieel beheer van de ILT belangrijke tekortkomingen. In lijn met eerdere jaren heeft de ILT verdere stappen gezet in het verbeteren van het financieel beheer. Hierin is veel energie gestoken. Deze stappen hebben in de loop van 2014 vruchten afgeworpen. Een belangrijk nog resterend probleem is met name het deel van het inkoopproces waarbij zowel ILT als DCI een rol spelen. In 2014 zijn door DCI uit naam van ILT contracten inzake de inhuur van IT specialisten afgesloten waarbij de aanbestedingsregels niet zijn nageleefd. Als gevolg hiervan zijn onrechtmatige aanbestedingen gedaan met een omvang die de controletolerantie van het agentschap overschrijdt. Dit heeft geleid tot een verklaring met beperking bij de interne jaarrekening van ILT. Zie voor de IenM brede aspecten van het inkoopproces ook onze opmerkingen in paragraaf De tijdige autorisatie van de light-overzichten en de aanwezigheid van de onderbouwingen van light inkopen voldoet in veel van de gevallen niet aan de eisen die door ILT aan het proces worden gesteld. Ondanks frequente monitoring en adequate afspraken was de naleving van de richtlijnen niet volledig. Om tot een bestendig goed financieel beheer op de langere termijn te komen adviseren wij het management van de ILT adequaat toezicht te houden op een goede naleving van de in 2014 geïmplementeerde procedures door de medewerkers en waar nodig de procedures verder aan te scherpen. Van groot belang hierbij is naleven van de aanbestedingswetgeving bij verlengingen. Hiervoor verwijzen wij naar het recente advies dat IBI Inkoop terzake aan ILT heeft gegeven. Naast het vorenstaande is het van belang dat vanuit het management actief gestuurd wordt op verder doorvoeren van de overdracht van de I&A activiteiten (inkoop en administratie) naar IBI (de voormalige SSO) omdat dit essentieel is voor de kwaliteit van de administratie en de periode afsluitingen. Per 1 januari 2015 is hier een begin mee gemaakt. Daar de overdracht per 1 januari 2015 niet geheel volgens plan is verlopen adviseren wij het afgesproken implementatietraject goed te bewaken om de overdracht alsnog medio 2015 te kunnen afronden. Veel losstaande activiteiten materieel beheer, samenhang ontbreekt nog Binnen de ILT zijn in 2014 diverse activiteiten uitgevoerd om het materieel beheer verder op orde te brengen. De ILT heeft het risicobeleid met betrekking tot het activabeheer vormgegeven op basis waarvan deze activiteiten zijn en worden uitgevoerd. Een belangrijk voorbeeld hiervan is een actiever beheer van het wagenpark, waarvan het voertuigregister, het toezicht op het gebruik van de auto s en een inventarisatie belangrijke onderdelen zijn. Voor de zogenaamde overige activa zijn soortgelijke activiteiten uitgevoerd. Veel van deze activiteiten zijn gedurende 2014 opgestart en is ervaring mee opgedaan. Op basis van deze ervaringen zijn de activiteiten begin 2015 verder verbeterd. Van belang is dat deze nu nog los staande activiteiten een samenhangend geheel gaan vormen binnen de organisatie zodat de doelstellingen van het materieel beheer daadwerkelijk worden gerealiseerd. Wij adviseren de voortgang van de verbeteringen, de samenhang van de activiteiten en de werking van de geïmplementeerde procedures actief te bewaken vanuit het management. Inzet externe medewerkers met ervaring inzake jaarafsluitingen De jaarafsluiting is vanuit het verleden ook een belangrijk knelpunt. Ook hierin heeft de ILT veel energie gestoken. Ervaren externe medewerkers zijn bij de vormgeving en het verloop van dit proces betrokken. Dit proces is over 2014 goed voorbereid en verloopt ook goed. Wij adviseren het management van de ILT de werkwijze die wordt gehanteerd bij dit proces over te nemen en de komende jaren te hanteren bij de ILT en IBI. Samenvattend auditrapport 2014 Ministerie van Infrastructuur en Milieu (xii) 19

22 Bevindingen KNMI Financieel beheer KNMI in zwaar weer In ons rapport over 2013 hebben wij aangegeven dat het financieel en materieel beheer bij het KNMI onder druk was komen te staan en dat de invoering van de nieuwe organisatie in de transitiefase een extra risico kon zijn voor de kwaliteit van het beheer in Wij hebben geconstateerd dat de kwaliteit van het financieel beheer in 2014 daadwerkelijk verslechterd is. Door het transitie proces en de in 2014 in gang gezette voorbereidingen voor de start van SCC-Campus zijn de geplande en voorgenomen verbeteracties niet of nauwelijks op gang zijn gekomen. Als gevolg hiervan is de kwaliteit van het onderbouwen van prestatieverklaringen niet verbeterd. Dit is in de loop van 2014 ook door het KNMI geconstateerd. Capaciteit financiële functie beperkt Wij hebben verder geconstateerd dat het management sterk afhankelijk is van een zeer beperkt aantal medewerkers voor de juiste werking van een aantal financiële processen, zoals toepassing van het kostprijsmodel, de calculatie van de overhead en de berekening en opbouw van de uurtarieven. Ook vindt er geen (zichtbare) controle plaats op de beheershandelingen van deze medewerkers. Gezien de foutgevoeligheid van de gebruikte (complexe) Excel-modellen is controle noodzakelijk, hetgeen ook is gebleken uit onze werkzaamheden. Wij adviseren het KNMI om de opzet van de betreffende processen te heroverwegen en te zorgen voor toereikende capaciteit voor de uitvoering van en het toezicht op deze processen. Kwaliteit inkoopproces onvoldoende De veranderingen hebben ook impact gehad op de kwaliteit van het inkoopproces. Een combinatie van een aantal factoren heeft geleid tot een toename van onrechtmatigheden als gevolg van afwijkingen van de aanbestedingsregels tot een omvang die de controle - tolerantie voor het agentschap overschrijdt. Dit heeft geleid tot een verklaring met beperking bij de interne jaarrekening van KNMI. De factoren zijn ondermeer afhankelijkheid van een zeer beperkt aantal inkopers gepaard gaande aan een toenemende hoeveelheid inhuur in verband met de voorbereidingen voor SSC-Campus (deels in plaats van inhuur door RIVM en in samenspraak met het RIVM), aan - gevuld met onbekendheid met de nieuwe nationale aanbestedingsregels bij een deel van de managers. Daarnaast is sprake van een slechte kwaliteit van de aanbestedingsdossiers, waarin veelal essentiële stukken ontbreken, zoals ontvangen offertes en geldende raamovereenkomsten. Dit heeft er bijvoorbeeld toe geleid dat in de nadere overeenkomsten met een raamcontractpartner een opslagtarief voor bemiddeling is opgenomen dat excessief hoger is dan het vastgestelde tarief in de raamovereenkomst. Verder hebben wij geconstateerd dat in veel gevallen sprake is van het met terugwerkende kracht ondertekenen van opdrachtbrieven. Wij dringen er op aan dat acties worden genomen om het inkoopproces op orde te krijgen. Hierbij is van belang dat expliciet aandacht wordt besteed aan de omvang van de inkoopfunctie, de kwaliteit van de aanbestedingsdossiers en de daarin op te nemen onderbouwing voor de gehanteerde wijze van inkoop en aan het verkrijgen van juridisch advies voor de gevallen waarin afgeweken wordt van (mini)competitie. Zie voor de IenM brede aspecten van het inkoopproces ook onze opmerkingen bij paragraaf Operationeel activabeheer nog niet op orde Het operationeel activa beheer is nauwelijks verbeterd ten opzichte van voorgaand jaar. In opzet is er voldoende geregeld, maar taken en verantwoordelijkheden zijn nog altijd onduidelijk. Eind 2014 is wel geïnventariseerd, echter gezien het moment waarop de inventarisatie is uitgevoerd, vlak voor een interne verhuizing, en de beperkte kwaliteit van de uitgevoerde verschillenanalyses is nog geen sprake van een beheerst proces. 20 Samenvattend auditrapport 2014 Ministerie van Infrastructuur en Milieu (xii)

23 Wij adviseren de taken en verantwoordelijkheden ten aanzien van het operationeel activa beheer vast te leggen en daarbij expliciet rekening te houden met de gevolgen van de samenwerking met SSC-Campus met ingang van Bevindingen Beleidskern Risicomanagement en beheer van voorschotten bij subsidies vraagt meer aandacht Ten behoeve van het vormgeven van de interne beheersing van subsidies en het betalen van voorschotten dienen op basis van de relevante regelgeving risicoanalyses uitgevoerd te worden. De basis hiervoor vormen het Uniform Uitvoeringskader Subsidies (USK) en het beleid ter voorkoming van misbruik en oneigenlijk gebruik van subsidies (M&O beleid). Risicomanagement wordt echter nog niet op een gestructureerde wijze toegepast bij subsidies bij de Beleidskern. Veelal ontbreken risicoanalyses bij subsidieregelingen en beschikkingen en wordt zonder meer gekozen voor het meest uitgebreide arrangement in het USK. Dit kan tot een te zware beheersing leiden. Daarnaast valt op dat in veel gevallen geen actief beheer plaatsvindt van te betalen voorschotten. Hoewel in veel regelingen en beschikkingen via kan bepalingen en af en toe ook dwingende bepalingen is voorzien in toetsingen van aangevraagde voorschotten aan de voortgangsrapportages en kasprognoses die door de subsidie ontvangers worden ingediend, worden deze bepalingen niet gebruikt. Wanneer het beheer van voorschotten in onvoldoende mate plaatsvindt brengt dit het risico met zich mee dat te hoge voorschotten worden betaald Oorzaken van het niet uitvoeren van risicomanagement en het in onvoldoende mate beheersen van de te betalen voorschotten kunnen zijn het ontbreken van een specifiek uitgewerkt M&O beleid, een tekort aan deskundigheid van de medewerkers, een tekort aan personele capaciteit of toekennen van een te lage prioriteit aan de vorengenoemde punten Wij adviseren na te gaan wat de feitelijke oorzaken zijn van het niet uitvoeren van risicomanagement en het in onvoldoende mate beheersen van de te betalen voorschotten en hiervoor treffende maatregelen nemen. Subsidiering via RVO.nl vraagt om gerichte maatregelen Een specifiek proces is de uitbesteding aan RVO.nl voor de uitvoering van meerdere subsidieregelingen van verschillende beleidsdirecties. Hierbij is het met name Team Subsidies van SSO dat de directe contacten met de financiële functies van RVO.nl onderhoudt. Deze afdeling verzorgt, op basis van declaratiefacturen en jaarlijkse rapportages met controleverklaringen van RVO.nl, zelfstandig de periodieke betalingen en jaarlijkse vaststellingen. De projectleiders van de beleidsdirecties geven niet periodiek een akkoord op de door SSO gehanteerde informatie. Hierdoor is er geen relatie tussen de voortgang en kwaliteit van de uitvoering van de regelingen door RVO.nl en de doelmatige besteding van projectmiddelen. Het risico is dat de beoogde beleidsdoelstellingen in relatie tot de bestede programmamiddelen in onvoldoende mate worden behaald. Wij adviseren om een goede risicoanalyse uit te voeren op het proces dat via RVO.nl loopt, waarin ook aandacht wordt besteed aan de informatie die door RVO.nl moet worden opgeleverd over de wijze waarop zij haar processen heeft opgezet en uitgevoerd, en daarbij passende maatregelen uit te werken Specifieke activiteiten spoorprojecten: meer duidelijkheid over de financiële instrumenten en de interne beheersing daarvan nodig Bij de medewerkers van de directie Openbaar Vervoer en Spoor (OVS) heerst onduidelijkheid omtrent de interne beheersingsmaatregelen en de financiële instrumenten die moeten worden uitgevoerd resp. ingezet om de financiële doelstellingen van de directie te realiseren voor zover het niet om de reguliere subsidies gaat inzake aanleg en beheer en onderhoud van het spoor. Een specifiek element hierin is de keuze tussen subsidies en opdrachten en of er sprake is van alleenrecht van bepaalde externe partijen of dat opdrachten moeten worden aanbesteed. Samenvattend auditrapport 2014 Ministerie van Infrastructuur en Milieu (xii) 21

24 Deze onduidelijkheid brengt risico s met zich mee voor de rechtmatigheid en het financieel beheer van deze specifieke financiële stromen die via de directie OVS lopen. De onduidelijkheid wordt met name veroorzaakt door reorganisaties, mobiliteit van personeel bij de directie en de lage frequentie waarmee medewerkers bepaalde werkzaamheden uitvoeren. Wij adviseren samen met een jurist nader te onderzoeken welke van deze specifieke activiteiten via subsidies moeten worden gefinancierd en welke door middel van opdrachten. In het geval van opdrachten adviseren wij te onderzoeken of het is toegestaan opdrachten zonder concurrentiestelling aan ProRail op te dragen. Hiervoor kan dan een heldere werkwijze worden geformuleerd voor de toekomst. Tevens adviseren wij na te gaan of de interne werkwijzer voor het uitvoeren van de activiteiten bij OVS voldoende duidelijk is voor deze specifieke activiteiten en toezicht te houden op de toepassing van deze interne werkwijzer. Wij constateren in voorkomende gevallen namelijk frequent dat opdrachten, waarbij concrete prestaties worden overeengekomen, intern worden beheerst als ware het subsidies. In deze gevallen wordt de daadwerkelijke levering van de prestaties dan in onvoldoende mate gecontroleerd. Voor de bevindingen met betrekking tot het inkoopproces bij de Beleidskern wordt verwezen naar paragraaf Bevindingen Rijkswaterstaat Beheerssystematiek rond DBFM contracten is verder gestandaardiseerd Wij hebben geadviseerd om de beheersing van de DBFM te vereenvoudigen door de contractvorm sterk te vereenvoudigen door het doorvoeren van meer functionele specificaties, beperking van de gedetailleerde technische eisen en uniformering van de beheersing - systematiek. RWS heeft twee zogenoemde ontwikkelopdrachten uitgezet om de beheersing van DBFMcontracten te vereenvoudigen; te weten: 1 Standaardisering beheersing. Bij een DBFM project is een voorstel ontwikkeld om de systeemgerichte contractbeheersing (SCB) te vereenvoudigen waarbij meer wordt aangesloten op de binnen DBFM contracten te leveren resultaten. Hiermee wordt in een vroegtijdig stadium in de beheersing geanticipeerd op in de toekomst af te geven (beschikbaarheid- c.q. voltooiing-) certificaten en de daarbij behorende (omvangrijke) betalingen, bij het gereedkomen van nieuwe infrastructuur. Het vereenvoudigde contract beheersingsmodel zal na vaststelling worden geïmplementeerd binnen RWS. Wij merken op dat een model beheersplan voor de onderhoudsfase van een DBFM contract nog niet ontwikkeld is, terwijl in toenemende mate DBFM contracten in deze fase komen. Bij deze projecten worden thans projectspecifieke beheersing gehanteerd. RWS heeft in 2015 daarvoor een ontwikkelopdracht gegeven. 2 Vereenvoudiging contracten Het onderdeel van de contractvorm (betalingsmechanisme) met betrekking tot het in stand houden van de bestaande infrastructuur wordt op diverse vlakken vereenvoudigd en gestandaardiseerd. RWS heeft een best practice ontwikkeld waarbij het aantal eisen gekoppeld aan de beschikbaarheidvergoeding (dat is het gedeelte van de vergoeding voor het in staat houden van de bestaande infrastructuur) en aan het beschikbaarheidcertificaat, verminderd kan worden. Daarnaast wordt het betalingsmechanisme ook op andere vlakken vereenvoudigd. Wij vinden dit een goede ontwikkeling. 22 Samenvattend auditrapport 2014 Ministerie van Infrastructuur en Milieu (xii)