Een goede bedrijfsvoering is een randvoorwaarde voor het realiseren van beleidsdoelstellingen. Wij zijn transparant over de vraag of er sprake is geweest van ordelijke en beheerste processen. Daarom rapporteren wij over belangrijke bijzonderheden, risico’s, tekortkomingen en onrechtmatigheden in de bedrijfsvoering.

Wij hebben de laatste jaren onze bedrijfsvoering fors verbeterd. In paragraaf c.1 rapporteren we over de onvolkomenheden van de Algemene Rekenkamer (AR). Over 2021 waren er acht onvolkomenheden (AR) en negen bevindingen van de Auditdienst Rijk (ADR). Over 2022 constateerde de AR zes onvolkomenheden en de ADR vijf bevindingen. Deze betroffen met name inkoopbeheer en ICT-beheer, en overlappen deels. De AR rapporteert op verantwoordingsdag over de voortgang op de onvolkomenheden. Van de vijf bevindingen van de ADR hebben we er in 2023 twee, op het gebied van ICT, opgelost. Het portfoliomanagement en het wijzigingsbeheer zijn adequaat ingericht. We werken nog aan het oplossen van de bevindingen op scriptbeheer, beheersing van de grote geldstromen van de Douane en het inkoopbeheer bij de Dienst Toeslagen en de Douane. Het inkoopbeheer is voor de Belastingdienst opgelost; inkoopbeheer binnen het beleidsdepartement wordt aan de inkoopbevinding toegevoegd.

Verbeteringen in het financieel beheer

De directie FEZ heeft het programma Toezicht en Advies Financieel Beheer Financiën in 2023 afgerond. De resultaten van dit programma stellen FEZ in staat haar wettelijke taak om toezicht te houden op en te adviseren over het financieel beheer beter uit te voeren. In samenwerking met de controllers van de verschillende organisatieonderdelen werkt een nieuw team aan structurele kwaliteitsverbetering van het financieel beheer.

Belastingdienst

In 2023 heeft de Belastingdienst voortgang geboekt op de drie prioriteiten: openstaan voor signalen van burgers en bedrijven, herstellen wat fout is gegaan en ten slotte de basis op orde brengen voor een wendbare en toekomstbestendige organisatie. De uitdagingen zijn naast personeel en informatievoorziening ook de privacywetgeving. Binnen de bedrijfsvoering vragen het invorderen en de afwikkeling van de coronasteunmaatregelen bijzondere aandacht.

Dienst Toeslagen

Het herstel van gedupeerde ouders is in 2023 voortgezet met meerdere herstelregelingen. Ook in 2023, het laatste jaar dat potentiële gedupeerden zich konden melden, hebben zich meer ouders gemeld dan geraamd. Ondanks verdere opschaling van de capaciteit is Dienst Toeslagen nog niet in staat om alle ouders binnen de gewenste wettelijke termijnen integraal te beoordelen. Dienst Toeslagen werkt doorlopend aan het herstel van vertrouwen door gedupeerden zo goed en zo snel mogelijk te helpen.

Douane

De Douane heeft in 2023 gewerkt aan de opzet en implementatie van verbeteringen van het inkoopbeheer en de inrichting en uitvoering van een meerjarig verbeterprogramma grote geldstromen.

6.1 Rapportage bedrijfsvoering - Uitzonderingsrapportage

a. Rechtmatigheid

Op basis van de beschikbare informatie bevatten de departementale verantwoordingsstaten over 2023, de departementale saldibalansen per 31 december 2023 en de toelichtingen daarbij geen zodanige onrechtmatigheden en/of onzekerheden, dat deze op grond van de rapporteringstoleranties of vanwege in het bijzonder te signaleren risico’s vermeld dienen te worden, met uitzondering van het onderstaande.

Toelichting op de tabel

Voor de artikelen 9 en 13 overschrijden wij de tolerantiegrenzen voor aangegane verplichtingen door het niet naleven van de (Europese) aanbestedingsregels. Dit komt mede door het niet juist uitvoeren van selectieprocedures voor eigen contracten. Ook zijn sommige inhuurovereenkomsten onrechtmatig omdat verlengingsopties daarin onvoldoende gespecificeerd zijn. Ook kopen wij (verplicht) in via rijksbrede overeenkomsten in beheer bij het Ministerie van Infrastructuur en Waterstaat (IenW) die sinds 2020 onrechtmatig zijn. IenW licht in haar Bedrijfsvoeringsparagraaf toe welke maatregelen de onrechtmatigheden oplossen.

Artikel 9 Douane: verplichtingen

De tolerantiegrens voor de aangegane verplichtingen is overschreden, met name door eerdergenoemde onrechtmatigheden bij inkoop en inhuur.

Artikel 13 Toeslagen: verplichtingen

De tolerantiegrens voor de aangegane verplichtingen is overschreden, met name door eerdergenoemde onrechtmatigheden bij inkoop en inhuur voor een bedrag van € 316 mln. Daarnaast zijn er voor € 27 mln. aan fouten bij de uitbesteding van de uitvoering van de financiële compensatieregelingen.

Artikel 8 Apparaat beleidsdepartement: uitgaven en ontvangsten

De tolerantiegrens voor de uitgaven en ontvangsten is overschreden door een bedrag van € 3 mln. aan fouten en € 9 mln aan onzekerheden bij het afhandelen van facturen en het afwijken van contractvoorwaarden.

Voor deze overschrijding geldt dat de geconstateerde fouten en onzekerheden de tolerantiegrens niet overschrijden, maar dat de zogenaamde maximale fout als het gevolg van het gebruik van steekproeven in de controle de tolerantiegrens wel overschrijdt.

Artikel 13 Toeslagen: uitgaven en ontvangsten

De tolerantiegrens voor de uitgaven en ontvangsten is overschreden door een bedrag van € 52 mln. aan fouten en € 67 mln aan onzekerheden bij de uitvoering van de financiële compensatieregelingen. Dit betreft met name de kindregeling en de integrale beoordeling. Dit komt mede door het, conform de afgestemde beleidskaders, ruimhartig uitvoeren van de compensatieregelingen.

Overige onrechtmatigheden bij de Tijdelijke subsidieregeling tegemoetkoming blokaansluitingen

De Tijdelijke subsidieregeling tegemoetkoming blokaansluitingen (TTB) is door het ministerie van Economische Zaken en Klimaat (EZK) ingesteld omdat het prijsplafond voor de hoge energieprijzen niet goed aansloot bij huishoudens met een blokaansluiting. EZK heeft de Belastingdienst belast met de uitvoering van de regeling en deze heeft hiervoor een tijdelijke organisatie neergezet. De tolerantiegrens voor hoofdstuk XIII EZK is over 2023 overschreden. Omdat de regeling TTB niet voldoet aan het Uniform Subsidiekader worden alle uitgaven ad € 497 mln volledig aangemerkt als onzeker voor de rechtmatigheid. Daarnaast zijn bij de beoordeling van de aanvragen op basis van de regeling, het daarbinnen gehanteerde principe «vertrouwen tenzij» en de snelheid waarmee de regeling moest worden ingericht en uitgevoerd, hoge afwijkingen voor de rechtmatigheid geaccepteerd.70 Dit heeft vanuit een steekproefcontrole door de ADR op de uitvoering van de regeling geleid tot € 29 miljoen aan fouten en € 242 miljoen aan onzekerheden voor de rechtmatigheid. Laatstgenoemd bedrag is onderdeel van de eerdergenoemde onzekerheden, die naast de fouten € 468 mln bedragen.

Overige onrechtmatigheden bij de zorgtoeslag

De tolerantiegrens voor de afgerekende voorschotten van het ministerie van Volksgezondheid, Welzijn en Sport (VWS) is over 2023 overschreden. Onderdeel van de onrechtmatigheden is een bedrag van circa € 128 mln. op de zorgtoeslag, die door VWS wordt verantwoord. Dit wordt vooral veroorzaakt door onzekerheid rond het juist vaststellen van het Awir-partnerschap. Het ministerie van Financiën is de uitvoerder van de zorgtoeslag en dient deze overschrijding daarom ook te vermelden in dit jaarverslag.

b. Totstandkoming niet-financiële verantwoordingsinformatie

Er zijn geen bijzonderheden te melden.

c. Begrotingsbeheer, financieel beheer en de materiële bedrijfsvoering

c.1 Onvolkomenheden Algemene Rekenkamer

In 2023 hebben wij gewerkt aan het oplossen van de onvolkomenheden in de bedrijfsvoering die door de Algemene Rekenkamer (AR) bij de verantwoording over 2022 zijn geconstateerd.

Wijzigingsbeheer IT-systemen (testprocedures) Belastingdienst

Bij wijzigingen in IT-systemen bleek dat testprocedures niet altijd juist werden gevolgd. In 2023 hebben we de discipline op het testproces en het vastleggen daarvan versterkt.

Inkoopbeheer Belastingdienst, Dienst Toeslagen en Douane

In het inkoopproces zijn in 2022 tekortkomingen opgetreden zoals het afwijken van de aanbestedingswet- en regelgeving en het niet naleven van selectieprocedures bij bestellingen op raamovereenkomsten, de zogenaamde mini-competities.

De Belastingdienst, Dienst Toeslagen en de Douane hebben in 2023 op het inkoopbeheer de nodige verbetermaatregelen getroffen. Wij hebben gestuurd op het minder gebruikmaken van zogenoemde waivers voor het bewust afwijken van inkoopregels. Dit is soms toch nodig om de continuïteit van onze bedrijfsvoering en tijdige uitvoering te borgen, zoals voor de hersteloperatie Toeslagen.

In 2023 heeft de Belastingdienst een generiek inhuurproces geïmplementeerd waarbij onder andere risico’s in lopende contracten en eerder onrechtmatig aanbestede contracten worden gemonitord. Hierdoor is het aantal waivers afgenomen en wordt voldaan aan de aanbestedingsregels. Dienst Toeslagen heeft mede op basis van ADR-onderzoek in 2023 het inkoopproces verbeterd. Desondanks zijn de nodige onrechtmatigheden geconstateerd in het inkoopproces, naast de rijksbrede overbruggingsovereenkomsten. De Douane heeft onder andere een centrale inhuurdesk ingericht. Ook is de Douane gestart met de implementatie van een verbeterplan voor de inkoopfunctie.

M&O-beleid Belastingdienst (onderbouwing keuze inzet handhavingsmix)

In 2023 is gestart met de ontwikkeling van een nieuw kader om het keuzeproces binnen de handhaving verder te versterken. Dit zullen wij in 2024 afronden, mede gezien de ambitie om in 2024 de goede werking van het M&O-beleid aan te tonen.

Beheer grote geldstromen Douane

De onzekerheden worden gestaag weggewerkt. De Douane heeft in 2023 voor verschillende procesketens procesbeschrijvingen opgesteld waaraan risicoregisters zijn gekoppeld, inclusief de weging van risico's. Uit de procesbeschrijvingen en opgestelde risico’s heeft de Douane concrete verbetermaatregelen afgeleid, die in 2024 worden geïmplementeerd. Hiermee wordt de interne beheersing verbeterd.

c.2 Overige punten van financieel beheer en materiële bedrijfsvoering

c.2.1 Belastingdienst

Fraude Signalering Voorziening

De Belastingdienst moet nog een tweetal activiteiten uitvoeren om de naleving van (privacy-)wetgeving in de Fraude Signalering Voorziening (FSV) en andere risicomodellen te waarborgen. Het informeren van personen over hun registratie in FSV,71 de reden72 en het effect73 daarvan is nagenoeg afgerond. Sinds 1 juni 2023 is het meldpunt gegevensverstrekking FSV actief. Daar kunnen burgers een melding doen als zij vermoeden nadelige gevolgen te ondervinden van het delen van hun FSV-registratie met een externe partij. Wij zijn gestart met het uitbetalen van personen die recht hebben op een immateriële schadevergoeding vanwege schending van de privacy. De afhandeling van schadeverzoeken van personen die menen ook andere schade te hebben wegens hun registratie in FSV is in 2023 gestart. Wij voorzien afronding van beide activiteiten in het eerste kwartaal van 2024. In 2023 is daarnaast wetgeving van kracht geworden om vanaf 2024 bepaalde burgers te compenseren vanwege 'Detectie en selectie aan de Poort'. Van deze burgers is de aangifte geselecteerd voor handmatige beoordeling, zonder dat voor deze selectie een aannemelijke fiscale reden was.

Minnelijke schuldsanering

Een groep burgers is ten onrechte niet toegelaten tot de Minnelijke Schuldsanering Natuurlijke Personen (MSNP). De Belastingdienst heeft op dit proces verbetermaatregelen genomen, zoals de invoering van het vier-ogenprincipe. Daarnaast is een hersteltraject gestart voor personen die wij in de periode 1 januari 2012 tot 1 juni 2021 onterecht niet of te laat hebben toegelaten tot een traject voor een buitengerechtelijke MNSP of een wettelijke schuldsanering (WSNP). Hiervoor is wetgeving nodig die wij in 2024 aan de Tweede Kamer aanbieden.

Betalingsregelingen

In 2023 heeft de AR onderzoek uitgevoerd naar betalingsregelingen bij uitvoeringsorganisaties van het Rijk, waaronder de Belastingdienst. De AR concludeerde dat de Belastingdienst het innen van schulden nog niet altijd op een maatschappelijk verantwoorde wijze uitvoert door (het informeren over) maatwerk bij betalingsregelingen. Zij constateert onder andere dat het bestaansminimum onvoldoende is beschermd. Wij werken aan verschillende maatregelen om het bestaansminimum beter te beschermen. Bijvoorbeeld het begrijpelijker maken van brieven en de verruiming van het uitstel- en kwijtscheldingsbeleid. Ook heeft de Belastingdienst op de website het criterium «bijzondere omstandigheden» met scenario’s beschreven. Verder voeren wij samen met andere ministeries verbeteringen door, zoals het ook voor belasting- en toeslagenschulden mogelijk maken van de Betalingsregeling Rijk.

Belastingrente

De Hoge Raad heeft op 18 augustus 202374 geoordeeld dat voor vergoeding van wettelijke rente over terug te geven vervolgingskosten en de periode waarover deze wordt berekend het Burgerlijk Wetboek geldt, en niet de Algemene wet bestuursrecht. Onderzoek van de Belastingdienst wijst uit dat zij de wettelijke rente in de herstelactie vervolgingskosten juist heeft berekend. Deze methodiek wordt ook gebruikt voor de herstelactie invorderingsrente die wij in 2024 starten.

Vernietigingsstop archief

In 2020 is geconstateerd dat dossiers ten onrechte zijn vernietigd en hebben wij een vernietigingsstop van het fysieke archief ingesteld. De ADR heeft in 2023 onderzocht in hoeverre de aanbevelingen uit het onderzoek Archiefbeheer Belastingdienst uit 2021 en uit het onderzoek van de Inspectie Overheidsinformatie & Erfgoed naar de informatiehuishouding van Toeslagen zijn opgevolgd. Op basis van de bevindingen zijn wij van plan de vernietigingsstop bij de Belastingdienst op te heffen. De archieven van de Dienst Toeslagen zijn geen onderdeel van dit plan.

EU btw e-Commerce

De vrijwillige regeling EU btw e-Commerce is ontworpen om internationale verkopen op afstand binnen de EU te vergemakkelijken, maar de dienstverlening binnen de verschillende Europese lidstaten zorgt ervoor dat ondernemers het risico lopen op een onterechte boete voor betaalverzuim. Daarnaast levert het opleggen van boetes en het behandelen van bezwaren hiertegen ons een grote werklast op. Daarom is in 2023 besloten om over de periode 1 juli 2021 tot 1 juni 2024 geen betaalverzuimboetes op te leggen aan ondernemers die deelnemen aan de vrijwillige regeling EU btw e-Commerce. De al opgelegde boetes worden teruggedraaid.75

Gedeformaliseerd werken

De Belastingdienst behandelt verzoeken van een belastingplichtige, veelal aanvullingen van een belastingplichtige op de aangifte, in afwijking van de wet niet als een formeel bezwaarschrift. Deze werkwijze is een praktische en eenvoudige manier van werken en beperkt de rechtsbescherming van burgers en bedrijven niet. Wel neemt deze werkwijze een verhoogd risico op ingebrekestellingen en dwangsommen met zich mee. Voor de inkomensheffing is in 2023 een wetswijziging doorgevoerd waardoor deze werkwijze voor de inkomensheffing met ingang van 1 januari 2024 een wettelijke basis krijgt. Hiermee wordt het risico op ingebrekestellingen en dwangsommen beperkt. De komende jaren zal ook voor andere belastingmiddelen de wetgeving worden aangepast.

Vermogensrendementsheffing box 3

De forfaitaire wijze waarop het belastbaar inkomen uit box 3 is bepaald in 2017 tot en met 2020 is strijdig met het recht op eigendom en het verbod op discriminatie, waar het forfaitair berekende rendement hoger is dan het werkelijk bepaalde rendement.76 De Belastingdienst heeft in 2022 de eerste fase van het rechtsherstel afgerond, maar er lopen momenteel juridische procedures over de toereikendheid van dit herstel. De Hoge Raad moet nog een uitspraak doen over de herstelwetgeving. In afwachting van deze uitspraak houden wij bezwaarschiften tegen het geboden rechtsherstel en nog op te leggen definitieve aanslagen over 2021, 2022 en 2023 aan. Hiernaast loopt de massaal bezwaar plus-procedure77 waarvoor veel verzoeken en bezwaren zijn ingediend. Het project Herstel Box 3 bereidt zich voor op de uitspraak van de Hoge Raad die we in september 2024 verwachten.

c.2.2 Toeslagen

Stapeling regelingen hersteloperatie

Na vaststelling van gedupeerdheid op grond van de eerste toets (Catshuisregeling) toetsen wij ook op aanvullende regelingen, zoals het kwijtschelden van schulden. Door deze in de Wet hersteloperatie toeslagen gemaakte koppeling kan onterechte vaststelling van gedupeerdheid leiden tot onterechte vergoedingen in de vervolgregelingen. Dit zogeheten stapelingsrisico leidt tot mogelijke onrechtmatigheden in de regelingen die volgen op de Catshuisregeling. Hierdoor leidt een mogelijke onrechtmatigheid vanuit de Catshuisregeling ook tot een mogelijke onrechtmatigheid van de betreffende vervolgregelingen.

Uitvoering binnen wettelijke behandeltermijnen

Het financieel herstel loopt ondanks verdere opschaling van de capaciteit vertraging op. Dit wordt veroorzaakt door toename van het aantal ouders dat zich heeft gemeld, het toevoegen van nieuwe categorieën gedupeerden en de complexiteit van de individuele beoordeling. Hierdoor zijn wij nog niet in staat om alle ouders binnen de gewenste wettelijke termijnen integraal te beoordelen. Dit leidt tot aanzienlijke dwangsommen als gevolg van ingebrekestellingen en beroepen tegen het niet tijdig beslissen. In 2023 werkten wij verder aan onderzoek en het treffen van maatregelen om de doorlooptijden te verminderen en de uitvoering van de hersteloperatie te versnellen.

c.2.3 Wet DBA en schijnzelfstandigheid

Als opdrachtgever schakelen wij via tussenpersonen regelmatig zzp’ers in, waarbij in een aantal gevallen wordt vermoed dat sprake is van een dienstbetrekking, wat in strijd is met de wet Deregulering Beoordeling Arbeidsrelaties (DBA). Wij zijn in 2023 begonnen met de afbouw van deze schijnzelfstandigen, voor zover dat mogelijk is binnen de randvoorwaarde van de opgaven van de organisatieonderdelen. Zij krijgen vanaf 2023 het aanbod om in dienst te treden. Vanaf 2024 huren we in beginsel geen nieuwe schijnzelfstandigen meer in. Inzet van externen wordt vanaf 2024 getoetst aan een afwegingskader en als er een vermoeden is van schijnzelfstandigheid kan er alleen via een zwaar besluitvormingstraject worden ingehuurd. Dit doen we vooral om te voorkomen dat de continuïteit van de IV-organisatie van de Belastingdienst, de herstelorganisatie van Toeslagen en de ADR in het geding komt.

d. Misbruik en oneigenlijk gebruik

Belastingheffing en toeslagen zijn gevoelig voor misbruik en oneigenlijk gebruik (M&O), omdat de hoogte van heffingen en toeslagen afhankelijk zijn van gegevens die belastingplichtigen en toeslaggerechtigden zelf verstrekken. Dit kan van invloed zijn op de volledigheid van de belastingontvangsten en de juiste (voorlopige) toekenning van toeslagen. Het tegengaan van M&O is daarom een geïntegreerd onderdeel van het handhavingsbeleid, een breed palet aan interventies en activiteiten. Dit omvat het voorkomen van bewuste en onbewuste fouten, dienstverlening, de correcte en tijdige uitvoering van processen, toezicht en opsporing. Wij voeren handhaving uit met de beschikbare personele en financiële middelen. Er zijn ook maatschappelijke begrenzingen aan onze controlemogelijkheden zoals privacy. Dit betekent dat er ook bij een toereikend M&O-beleid sprake blijft van een inherente onzekerheid over de volledigheid van de ontvangsten en de juistheid van de uitgaven. Deze onzekerheid is niet nader kwantificeerbaar.

d.1 M&O-beleid Belastingdienst

De Uitvoerings- en Handhavingsstrategie (UHS) van de Belastingdienst is erop gericht dat de mate van naleving (compliance) zo hoog mogelijk is en het bedrag aan verschuldigde belasting dat niet binnenkomt (het nalevingstekort) zo klein mogelijk. In de Kamerbrief van 20 oktober 202378 gaan wij nader in op de toepassing van de strategie en de resultaten van de mix van uitvoerings- en handhavingsinstrumenten. In lijn met de UHS hebben wij meer ingezet op het voorkomen van fouten om efficiënter de tijdigheid, juistheid en volledigheid van aangiften te borgen in plaats van het achteraf herstellen van fouten in aangiften. Deze activiteiten uit het Jaarplan 2023 zijn grotendeels volgens planning verlopen. Ook de activiteiten rond het toezicht achteraf zijn volgens planning gerealiseerd. De Belastingdienst voert het actieplan Toezicht uit. Daarmee bieden wij meer inzicht in de in te zetten capaciteit voor toezicht, het op peil houden van de bezetting voor toezicht (kwantitatief en kwalitatief) en het ondersteunen van het vakmanschap voor de toezichtsmedewerker. Daarnaast beoogt het meer inzicht te bieden in het effect van toezicht en tenslotte om betrokken te zijn bij de vereenvoudiging van wet- en regelgeving. De uitvoering van het actieplan is begin 2023 begonnen en loopt door tot eind 2024.

De aanpak van misbruik- en oneigenlijk gebruik (externe fraude) maakt onderdeel uit van de UHS en is belangrijk om aantasting van het maatschappelijk draagvlak voor het betalen van belasting te voorkomen. In nauwe samenwerking met het toezicht en de fraudeaanpak door de andere onderdelen van de Belastingdienst was de opsporing door de FIOD in 2023 gericht op onder meer btw-fraude en 'Verhuld Vermogen'.

De Belastingdienst ontvangt signalen over burgers en bedrijven die de fiscale verplichtingen mogelijk niet naleven. Na het uitzetten van de FSV is de behandeling van een deel van deze signalen in 2020 opgeschort. Het Programma Fiscale Meldingen en Informatiestromen (PFMI) beoogt de stilgelegde informatiestromen op een gefaseerde wijze te herstarten. Het doel is om een juiste balans te vinden tussen het spoedig herstarten van de behandeling van deze meldingen en het waarborgen van de privacy van burgers en bedrijven. In dit kader zijn wij in november 2023 gestart met twee meldingenstromen die waren stilgelegd. Deze gebruiken wij om het nieuwe proces te beproeven en te toetsen aan onder meer het voldoen aan de AVG.

d.2 M&O-beleid Dienst Toeslagen

Dienst Toeslagen heeft samen met de toeslagdepartementen gewerkt aan de ontwikkeling van de handhavingsstrategie voor de reguliere toeslagverstrekking.79 Die biedt kaderstelling voor alle handhavingsactiviteiten en implementeren wij in fases vanaf 2023. De handhavingsstrategie beoogt het gedrag van burgers zodanig te beïnvloeden dat zij - zoveel mogelijk uit zichzelf - structureel de regels naleven. Dienst Toeslagen gaat uit van vertrouwen in de burger én treedt adequaat op in situaties die daarom vragen. Afhankelijk van de situatie zetten wij (een mix van) handhavingsinstrumenten in om de toekenningszekerheid te maximaliseren zonder onevenredig zware (bewijs)lasten neer te leggen bij toeslaggerechtigden. We passen daarbij geldende wet- en regelgeving en de beginselen van behoorlijk bestuur toe. Binnen de ruimte die de wet biedt houden wij rekening met feiten en omstandigheden in individuele situaties.

Wij controleerden in 2023 geautomatiseerd op de toeslagregelingen in verschillende fases van het proces. Daarbij gebruiken wij (contra) informatie van derden. Bij onduidelijkheden toetsen wij het dossier handmatig, veelal in afstemming met de burger. Voordat we definitief toekennen doen we aanvullende controles, zoals de toets op het vastgestelde verzamelinkomen. Daarnaast vinden er diverse handhavingsactiviteiten plaats. In 2023 heeft Toeslagen geen boetes opgelegd. Wel is opsporing en vervolging door FIOD en OM geïnitieerd bij één evident signaal van misbruik dat een groter aantal betrokken personen betrof. Hierbij volgden wij de richtlijnen voor aanmelding en afhandeling van fiscale delicten, douane- en toeslagendelicten

Voor de huurtoeslag is het M&O-beleid, voorzover gericht op aanvragers die aangeven particulier te huren, volgens de ADR niet toereikend omdat onvoldoende contra informatie wordt gebruikt om de juiste vaststelling te borgen. Bij een aanvullende steekproef op deze aanvragen waarvoor geen contra informatie van verhuurders beschikbaar was zijn in een vijfde deel van de onderzochte aanvragen geen stukken van de aanvrager ontvangen en is de huurtoeslag stopgezet.

Wij hebben het proces intensief toezicht (ITO) in 2020 tijdelijk stopgezet naar aanleiding van de Toeslagaffaire en de gerelateerde privacy-issues. In 2023 werkten wij aan het weer starten van dit proces, gefaseerd en voorzien van de juiste waarborgen. In december 2023 hebben wij de eerste twee deelprocessen opgestart, het registreren van signalen en het rechtmatigheidsonderzoek bij deze signalen. De implementatie van de andere twee deelprocessen, het verwijtbaarheidsonderzoek en het sanctieproces, volgt in 2024.

In 2023 werkten wij ook aan een Impact Assessment Mensenrechten en Algoritmes (IAMA) en een Data Protection Impact Assessment (DPIA) op het Behandel Keuze Model Indicatie Gericht Behandelen voor de Huurtoeslag (‘IGB Huur’).

In de hersteloperatie wordt M&O ook zoveel mogelijk voorkomen door goede wet- en regelgeving, waarborgen in de processen en door gedupeerden zorgvuldig te beoordelen. Wij informeren de Kamer hierover in voortgangsrapportages. Voor de hersteloperatie zetten wij ook uitvoeringsorganisaties buiten de rijksoverheid in. Voor deze organisaties worden in het kader van het M&O-beleid in controleprotocollen aanvullende maatregelen vastgelegd, zoals afspraken over het vier-ogenprincipe en uniformiteit in de beoordeling.

De kindregeling bevat een inherent risico op M&O zoals beschreven in de memorie van toelichting van de Wet hersteloperatie toeslagen. Doordat wettelijke vertegenwoordigers het geld ontvangen of zeggenschap hebben over de rekening van het minderjarige kind, zouden zij dit kunnen gebruiken voor doeleinden die niet in lijn zijn met de wens of de behoeften van het kind. We proberen dit risico zoveel mogelijk te beperken door gedegen communicatie over het doel van de regeling. Het blijft altijd mogelijk, met name in het geval van minderjarige kinderen, dat wettelijk vertegenwoordigers het geld naar eigen inzicht gebruiken.

Dienst Toeslagen ontvangt signalen en zorgen over M&O van medewerkers van de Belastingdienst, Dienst Toeslagen, gemeenten en vanuit de media. Een groot deel van de signalen betreft niet fraude maar zorgen over overcompensatie bij de hersteloperatie, wat inherent is aan de ruimhartigheid van de compensatieregeling. Als iemand onterecht als gedupeerde is aangemerkt, wordt waar mogelijk toegang tot vervolgregelingen voorkomen. Het proces waarbinnen signalen worden verwerkt kent waarborgen om vooringenomen handelen te voorkomen.

d.3 M&O-beleid Douane

Omdat de Douane een handhavingsdienst is die toeziet dat wetgeving juist wordt toegepast en dat accijnzen en invoerrechten volledig worden aangegeven en geïnd, is het M&O-beleid sterk verbonden met het primaire proces. Het handhavingsniveau wordt verwoord in het Handhavingsplan Douane. Dit is richtinggevend en kaderstellend voor de uitvoering van gerichte controles bij het afdekken van handhavingsrisico’s. Wij kunnen niet aan alle wensen van de opdrachtgevende departementen voldoen, als gevolg van de toegenomen werklast en personele onderbezetting. De Douane maakt daarom, in overleg met de opdrachtgevers, op strategisch, tactisch en operationeel niveau keuzes in de handhaving om de risico’s zoveel mogelijk te beperken. Belangrijk element hierin is het prioriteren van de grootste risico’s. Deze mitigeren wij met gerichte controles. Met de aangepaste werkwijze en prioritering acht de Douane, ondanks dat er minder controles zijn uitgevoerd in 2023, het fiscale risico aanvaardbaar en daarmee het M&O-beleid toereikend.

De juistheid van de invoeraangifte is een prestatie-indicator voor de naleving van een groot deel van de belastingafdracht en laat over voorgaande jaren een stabiel beeld zien. Over 2023 is geen informatie beschikbaar.80

e. Overige aspecten van de bedrijfsvoering

e.1 Algemene verordening gegevensbescherming (AVG)

De privacy-governance hebben wij versterkt met hulp van het actieplan «Privacy op orde» met als doel het beter gaan voldoen aan de AVG en de Wet politiegegevens.  De organisatie is versterkt met onder andere Chief Privacy Officers, Chief Data Officers en datacoördinatoren. Wij werken aan het vullen van de verwerkingsregisters, het uitvoeren van Data Protection Impact Assessments, pilots, trainingen, bewustwordingssessies en beleidsstukken over gegevensbescherming. Wij werken in een meerjarig traject aan het naleven van de privacyregels.

De Belastingdienst toetst circa 800 bedrijfsprocessen op het voldoen aan de AVG, de Baseline Informatiebeveiliging Overheid (BIO) en de Archiefwet en streeft ernaar dit eind 2024 af te ronden en daarbij de afwijkingen met een hoog risicoprofiel van passende maatregelen te voorzien.

Onze uitvoeringsdiensten maken in massale processen gebruik van geautomatiseerde selectietechnieken om ten behoeve van dienstverlening of toezicht risicogericht de aangiften en aanvragen te onderscheiden die extra aandacht nodig hebben. Daarbij verwerken zij persoonsgegevens. We hebben over de vraag of hierbij profilerende selectieregels voor geautomatiseerde besluitvorming worden gebruikt advies gevraagd aan de landsadvocaat. Dit advies is op 13 maart 2024 met de Kamer gedeeld.81 Hierbij is ook aangegeven dat gegeven de complexiteit nader juridisch advies wordt gevraagd aan twee wetenschappers en aan de Autoriteit Persoonsgegevens.

De Belastingdienst haalt de wettelijke termijnen voor behandeling van inzageverzoeken naar de verwerking van persoonsgegevens niet. Wij streven in 2024 naar afhandeling binnen de wettelijke termijnen.82 Voor Dienst Toeslagen en Douane is deze informatie over 2023 nog niet beschikbaar.

Algoritmes

Voor het verwerken van gegevens maken wij gebruik van computerprogramma’s en algoritmes. In 2023 is een start gemaakt met de implementatie van de normen van het Impact Assessment Mensenrechten en Algoritmes (IAMA). Deze normen bieden houvast bij het controleren of de algoritmes niet (onbewust) discrimineren. Wij zijn in 2023 gestart met het vullen van het algoritmeregister en er zijn inmiddels zeven algoritmes gepubliceerd. De inventarisatie van gebruikte algoritmes hebben wij nagenoeg afgerond en de komende jaren beschrijven en publiceren wij de overige algoritmes die hiervoor in aanmerking komen.

e.2 Wet politiegegevens (Wpg)

De ADR heeft op grond van de Wpg de verplichte externe privacy audits uitgevoerd voor de Douane en de onderdelen Grote Ondernemingen (GO), Midden- en Kleinbedrijf (MKB) en Particulieren (P) van de Belastingdienst die politiegegevens gebruiken. In vervolg op de bevindingen zijn verbeterplannen opgesteld en uitgevoerd en zijn hercontroles gedaan. De Douane heeft in 2023 voor een deel van de tekortkomingen acties in gang gezet en in opzet verbeteringen gerealiseerd, die deels nog in werking moeten treden. De directies MKB, P en het Bureau Economische Handhaving (BEH) van GO hebben op een aantal onderwerpen verbeteringen gerealiseerd. Nog niet op alle onderwerpen hebben wij verbeteringen in gang gezet. In 2024 werken wij hieraan, en aan de resterende verbeterpunten die geen onderdeel uitmaakten van de hercontroles, verder. Bij GO zijn, met uitzondering van BEH, geen buitengewone opsporingsambtenaren werkzaam die onder de Wpg vallen.

e.3 Informatiebeveiliging (IB)

Ieder jaar stellen wij conform rijksbrede afspraken een informatiebeveiligingsbeeld (IB-beeld) op, waarmee wij aantonen de IB op orde te hebben of te krijgen. De IB-organisatie(s) zijn versterkt, met Red Teaming testen wij de beveiliging en risico’s en compliance worden vastgelegd en gemonitord. Wij hebben een Information Security Management System ingevoerd dat in 2024 verder wordt ontwikkeld en waarmee de aantoonbaarheid van maatregelen wordt vergroot. In lijn met het IB-beeld werken wij aan het verkrijgen van de benodigde data om de aantoonbaarheid van de controls verder te verbeteren. Wij organiseren bewustwordingsacties zoals de verplichte online security awareness game en phishing-oefeningen. Informatiebeveiliging borgen wij in het voortbrengingsproces, het inkoopproces en autorisatieprocessen en wij rapporteren daar periodiek over. De onderdelen van het departement werken samen aan een integrale aanpak en versterking van het voldoen aan de BIO. Ook bereiden wij de implementatie voor van de NIS-2 (de Europese Network and Information Security richtlijn) in 2024.

De ADR heeft over 2023 de informatiebeveiliging van de Belastingdienst onderzocht en daarbij enkele kwetsbaarheden in het technisch beheer in de IT-infrastructuur vastgesteld. Deze onderzoeken wij nader in 2024 om na te gaan of deze voldoende worden beheerst tegen aanvallen van buitenaf of binnenuit en van passende maatregelen worden voorzien.

Gebruik van Cloud-toepassingen

Sinds 2022 geldt er rijksbreed cloudbeleid. Begin 2023 hebben wij een implementatiekader risicoafweging ingevoerd. Begin 2024 hebben wij een departementaal cloudbeleid vastgesteld. Ook zijn alle cloudcontracten in beeld gebracht. Dat overzicht blijven we controleren en aanvullen. In 2024 voeren wij een expliciete risicoafweging op cloudcontracten in.

e.4 IT-beheer

Modernisering ICT-systemen

De Belastingdienst, Dienst Toeslagen en de Douane hebben het IV-portfoliomanagementproces verbeterd door het Meerjarenportfolio waarin alle ICT-projecten worden opgenomen en op basis van prioriteiten gepland worden in de tijd. Dit actualiseren wij drie keer per jaar. De ICT-capaciteit is de komende jaren volledig ingepland. Dit betekent dat eventuele grote beleidswijzigingen invloed hebben op de planning. Wij werken aan het wegwerken van achterstallig onderhoud van verouderde ICT-systemen. Inmiddels hebben wij bij de Belastingdienst meer dan de helft van die achterstand weggewerkt. Een aantal grote systemen moet nog worden gemoderniseerd, met name voor de inkomensheffing, loonheffing en omzetbelasting. In het Meerjarenportfolio krijgen deze moderniseringstrajecten een hoge prioriteit. De Douane zet de komende jaren ook in op modernisering om de gebruikerservaring te verbeteren, procesoptimalisaties door te voeren en de voortdurende (Europese) ontwikkelingen te verwerken. De Douane moet prioriteren en keuzes maken door de beperkte ontwikkelcapaciteit. Ook Dienst Toeslagen moet soms lastige keuzes maken, omdat zij niet alle gewenste aanpassingen kan uitvoeren.

Scriptbeheer Belastingdienst en Douane

Computerscripts die rechtstreeks ingrijpen op de geautomatiseerde processen moeten worden beheerst. Voor de controle op het maken en in productie nemen van deze scripts hebben wij procedures opgesteld. Deze procedures worden nog niet altijd goed nageleefd. Wij werken aan verbetering van de naleving.

f. Beheersing interne fraude- en corruptierisico’s

De organisatie en de medewerkers kunnen vatbaar zijn voor fraude en corruptie. Risicovolle processen zijn uitgaande en inkomende geldstromen, goederentransacties, verslaggeving en integriteitsbeleid. Ongewenste omgangsvormen, datalekken, schending van het ambtsgeheim, witwassen, drugshandel en ondermijning vallen niet onder deze paragraaf. Dit zijn wel integriteitsrisico’s, waarover apart wordt gerapporteerd in het jaarverslag Integriteit. Fraude door burgers en bedrijven in de primaire processen valt ook niet onder deze paragraaf, zie daarvoor M&O onder d. 

Risicoanalyse en risicobeheersing van mogelijke interne fraude en corruptie is een verplicht onderdeel van de planning- en controlcyclus. Wij ondersteunen dat door een voorgeschreven format en een handreiking om frauderisicobeheersing te faciliteren. Toepassing van dit format door de organisatieonderdelen moet ertoe leiden dat wij een beter concernbreed overzicht van fraude- en corruptierisico’s, de beheersingsstrategie en de getroffen beheersingsmaatregelen krijgen.

Over 2023 hebben wij geen (vermoedens van) financiële fraudes van materieel belang met significante gevolgen voor de rijkskas geconstateerd. Wel is een fraudegeval van beperkte omvang geconstateerd bij de uitvoering van de Tijdelijke subsidieregeling tegemoetkoming blokaansluitingen. In dit verband houden wij de richtlijnen voor het melden van interne fraude zowel intern als aan de externe toezichthouders tegen het licht.

6.2 Rijksbrede bedrijfsvoeringsonderwerpen

6.2.1 Grote lopende ICT-projecten

In 2023 werkten wij aan 18 projecten met een ICT-component van meer dan € 5 mln. Al deze projecten zijn voor een toets aangemeld bij het Adviescollege ICT-toetsing en over de status van deze projecten rapporteren wij in het openbare Rijks ICT-dashboard (RID). Deze informatie nemen wij tevens op in de Jaarrapportage Bedrijfsvoering Rijk die de Tweede Kamer elk jaar op 1 mei ontvangt. Over grote risico’s, bijvoorbeeld op het gebied van uitvoerbaarheid en privacy- en informatiebeveiligings-voorwaarden, rapporteren wij in afzonderlijke rapportages aan de Tweede Kamer. Deze risico’s worden in het IV-voortbrengingsproces in kaart gebracht door bijvoorbeeld een uitvoeringstoets, het uitvoeren van een DPIA (privacy), een IB-scan (informatiebeveiliging) en een cloud-toets. In 2023 kwam uit de toetsing en monitoring geen groot (rest)risico bij deze projecten naar voren, behoudens het in heroriëntatie genomen project Generiek platform voor Document- en Archiefbeheer. Wij hebben de Kamer op 11 maart 2024 geïnformeerd over de getroffen maatregelen om het restrisico bij het heropstarten van dit project te beheersen.84

6.2.2 Audit Committee evaluatie 

Het Audit Committee (AC) heeft in 2023 een zelfevaluatie uitgevoerd, gericht op de positieve punten waar het AC aan vasthoudt en elementen waar de leden verbetermogelijkheden zien. De opzet, zoals de onderwerpen en discussies, en de werking, zoals de ondersteuning door de secretaris en het voorzitterschap, heeft zij als positief ervaren. De externe leden worden gewaardeerd voor hun inzet en expertise in de plenaire en deepdive sessies. De interne leden worden gewaardeerd om hun motivatie om zaken te (willen) verbeteren. Verbetergebieden zijn onder andere het verder samenbrengen van het externe (corporate) en het departementale perspectief en meer differentiatie in onderwerpen en invalshoeken om aan te sluiten op de verschillende behoeften. Hierop definiëren en implementeren wij acties.

6.3 Belangrijke ontwikkelingen en verbeteringen in de bedrijfsvoering

Er zijn geen bijzonderheden te melden.