Inleiding

De bedrijfsvoeringsparagraaf gaat in op de bedrijfsvoering van het ministerie van Justitie en Veiligheid (JenV) in het jaar 2023. Deze geeft inzicht in hoeverre er sprake is geweest van beheerste bedrijfsvoeringsprocessen en welke bijzonderheden, onvolkomenheden, bevindingen, onrechtmatigheden, tekortkomingen en risico’s zich hebben voorgedaan in de bedrijfsvoering in 2023.

Naast alle ontwikkelingen zoals beschreven in het beleidsverslag heeft JenV zich in 2023 ook ingezet om maatregelen te treffen voor de onvolkomenheden en bevindingen over het jaar 2022 die de Algemene Rekenkamer (AR) en Auditdienst Rijk (ADR) hebben geconstateerd. Op basis van de verbeterplannen van de probleemeigenaren is de voortgang in het verbetertraject bewaakt en tussentijds gerapporteerd aan zowel de Brede Bestuursraad (BBR) als het Audit Committee (AC).

In de volgende paragraaf wordt op de onvolkomenheden van de AR en de bevindingen van de ADR over 2022 verder ingegaan. Deze worden hieronder schematisch weergegeven:

Paragraaf 1 - Uitzonderingsrapportage voor de volgende vier verplichte onderwerpen

De tekortkomingen en risico’s in de bedrijfsvoering in 2023 inclusief de genomen (verbeter)maatregelen om deze risico's te beheersen zijn hierna beschreven. De elementen van de bedrijfsvoering die op orde zijn, zijn niet opgenomen.

1a. Rechtmatigheid

Voor de bepaling van fouten en onzekerheden is de rijksbrede normering toegepast.

Toelichting

Overschrijding tolerantie op artikelniveau

De overschrijding van de tolerantiegrens bij agentschappen wordt in belangrijke mate veroorzaakt door Dienst Justitiële Inrichtingen (DJI), Immigratie- en Naturalisatiedienst (IND), Nederlands Forensisch Instituut (NFI) en Justitiële ICT Organisatie (JIO). Alleen de belangrijkste fouten en onzekerheden van deze agentschappen worden onderstaand toegelicht.

DJI

IND

NFI

De fouten en onzekerheden bij het agentschap NFI voor een bedrag van €14,7 mln. worden voor een belangrijk deel veroorzaakt door het niet kunnen aantonen van de deugdelijkheid van de prestatieverklaringen en onvoldoende factuurcontrole (€ 9,5 mln.) en inkooponrechtmatigheden (€ 5,2 mln.).

JIO

1b. Totstandkoming niet-financiële verantwoordingsinformatie

Er zijn geen bijzonderheden te melden.

1c. Begrotingsbeheer, financieel beheer en de materiële bedrijfsvoering

Afpakketen van het Openbaar Ministerie (en ketenpartners)

De AR heeft het beheer van de afpakketen over 2022 aangemerkt als een onvolkomenheid. Deze bevinding is door de ADR geclassificeerd als een gemiddelde bevinding in 2022. In 2023 is de bevinding afgeschaald naar licht voor het Openbaar Ministerie (OM).

Openstaand Recht; Volledigheid Executeerbare ontnemingsmaatregel

In 2023 heeft het OM belangrijke stappen gezet in de verdere verbetering van de interne beheersing van enkele primaire processen. Op het vlak van ontnemingsmaatregelen is een digitaal dashboard geïmplementeerd waarmee de volledigheid en juistheid van het openstaand recht ontnemingsmaatregelen beter gemonitord kan worden. De kans dat niet alles geïncasseerd kan worden, wordt steeds beperkter. Het aantal oude zaken neemt inmiddels af. Daarnaast is er een procesbeschrijving openstaand recht ontnemingen opgesteld met daarin de relevante risico’s, functiescheiding en ingerichte beheersmaatregelen. Hierin is beschreven wat de afbakening van het proces van het OM betreft en waar het OM ook daadwerkelijk verantwoordelijk voor is. Ook vindt er op operationeel niveau periodiek overleg plaats met het Centraal Justitieel Incassobureau (CJIB) om zo meer regie te krijgen op de informatiestromen tussen het OM en het CJIB.

Beheer waardebeslag/geldbeslag

Het nieuwe beslaginformatiesysteem (BIS) voor de ketenpartners is voorzien in 2024. Het huidige beslagportaal is aangepast waardoor het risico t.a.v. de stabiliteit en de continuïteit verholpen is. Ook is de betrouwbaarheid van de door Domeinen Roerende Zaken (DRZ) afgestorte gelden uit de verkopen van strafrechtelijk beslag en de uitbetaalde schadevergoedingen vastgesteld voor 2023. Aangezien de interne beheersing in 2023 voldoet aan de daaraan te stellen eisen, beschouwt de ADR dit onderdeel van de bevinding als opgelost.

Financiële administratie en verantwoording

Verplichtingenbeheer

JenV investeert continu in een ordentelijk financieel beheer. Terugkijkend op 2023 zien we dat het financieel beheer van JenV zodanig is ingericht dat de sectoren/diensten zelfstandig in staat zijn om materiële afwijkingen te identificeren en tijdig te verwerken in de financiële administratie. Daarnaast wordt geanticipeerd op eventuele risico’s en worden maatregelen getroffen om deze risico’s te mitigeren. De Directie Financieel-Economische Zaken (DFEZ) heeft in 2023 verschillende informatiebijeenkomsten georganiseerd met betrekking tot het verplichtingenbeheer, verplichtingen-budgetuitputting, de Tertaal-afsluitingen (kick-off), het gebruik van Leonardo et cetera. De directoraten-generaal (DG’s) hebben de informatiesessies positief ervaren. Ook bij de DG’s en het Subsidieportaal zijn er initiatieven geweest om het financieel beheer onder de aandacht te brengen bij de beleidsmedewerkers en andere collega’s.

Het programma Directoraat-Generaal Oekraïense Ontheemden (PDOEK) heeft het maandelijks overleg met het Koninklijke Nederlandse Beroepsorganisatie van Accountants (NBA), de gemeenten, gemeentelijke accountants, ADR, ministerie van Binnenlandse Zaken en Koninkrijkrelaties (BZK) en DFEZ voortgezet om de uitvoering en verantwoording (SiSa; Single information, Single audit) van de bekostigingsregeling te optimaliseren.

Afrekeningen 2022 Bekostigingsregeling Opvang Oekraïense Ontheemden beheerst verlopen

De Nationale Opvangorganisatie (NOO) en PDOEK hebben het beheer rond de toekenningen van de bekostigingsregeling in 2023 verder bestendigd. In 2023 zijn voor de eerste keer de afrekeningen van de SPUK A16 2022 (Specifieke Uitkering) verwerkt (Bekostigingsregeling Opvang Ontheemden Oekraïne). Om de SISA A16 2022 te monitoren is door de NOO /PDOEK een dashboard opgesteld. Daarnaast is aan de voorkant nagedacht over beleid voor de vaststelling, procesbeschrijvingen, werkinstructies en zijn er informatiebijeenkomsten georganiseerd. Eventuele issues zijn gemonitord in het tweewekelijk overleg tussen PDOEK, NOO en DFEZ (POab).

Deze specifieke aanpak is succesvol gebleken, maar in sommige gevallen bleek interventie van DFEZ noodzakelijk. Gedurende het jaar is bijvoorbeeld gebleken dat bepaalde documenten (o.a. termijnensheet) onvoldoende informatie bevatten om de voorschotten en verplichtingen-administratie in Leonardo te controleren. Na tussenkomst van DFEZ en inzet van de Planning & Control (P&C)-afdeling van de NOO is de benodigde informatie opgenomen in de termijnen- en afrekensheets van het Subsidieportaal. De P&C-afdeling van de NOO heeft vervolgens met de informatie een rapportage kunnen ontwikkelen waarmee de openstaande voorschotten aangesloten kunnen worden met de kasuitgaven en de (aangegane) verplichtingen. Dit heeft geleid tot het verder verscherpen van de AO/IB (Administratieve Organisatie/Interne Beheersing), het toekennen– en afrekenproces, aanvullende beheersmaatregelen om betrouwbaarheid van bronbestanden te borgen, verscherping van de 1^e - en 2^e lijn controle bij de NOO. De NOO stelt vast wat in 2024 in het Planning & Begrotingscyclus (P&B-cyclus) gemonitord zal worden.

Voorschotten

Per 31 december 2023 staan er nog voor een bedrag van € 776,3 mln. aan voorschotten open met een ontstaansjaar van ≤ 2022 (totaal openstaande voorschotten € 8.194.790.000). Hiervan is de afrekendatum veelal verlopen. Het ministerie van JenV zal blijvend aandacht geven aan het tijdig afrekenen van alle openstaande voorschotten om de gerealiseerde verbeteringen goed te borgen.

Gebruik derdenrekeningen

De financiële risico’s op de derdenrekeningen zijn nagenoeg nihil. Het beheer op de derdenrekening van de Dienst Terugkeer & Vertrek (DTV) is sterk verbeterd. Alle rekeningen hebben een zichtbare analyse in Digijust met aansluiting tussen de projectkosten en het saldo op de derdenrekening in de financiële administratie.

Prestatieverklaringen

In 2023 zijn alle prestatieverklaarders aangeschreven om kennis te nemen van de huidige voorschriften prestatieverklaringen (PV) alsook de werkinstructie voor het vastleggen van een kwalitatieve PV (kennisdeling).

De data-analyse van prestatie verklaren op kwaliteit (deel 2) is afgerond medio 2023. In de periode juli 2023 t/m december 2023 heeft de pilot in 3 etappes gedraaid, dit op vrijwillige basis. Niet elke sector heeft deze kans (volledig) benut. Op dit moment wordt gewerkt aan de presentatie van de resultaten in een dashboard. Het dashboard is nog onderhanden omdat een aantal technische functionaliteiten naar verwachtingen in maart 2024 beschikbaar komen vanuit SSC-ICT. Daarnaast worden sectorspecifieke criteria voor de beoordeling van posten opgehaald en afgestemd met sectoren om een uniforme definitiestelling en weergave in het dashboard te hebben. Dit gebeurt in het 1e kwartaal van 2024.

Prestatieverklaringen DJI (factuurverwerking)

Er zijn forse stappen gezet om het prestatieverklaren binnen DJI ten opzichte van vorig jaar te verbeteren. Hiermee is het prestatieverklaren binnen DJI verbeterd ten opzichte van vorig jaar, maar we zijn er nog niet. In opzet is alles middels kaderstelling, handleiding, monitoringsrapportages, dashboard en managementgesprekken geborgd. Echter de werking is nog niet voldoende en zal blijvende aandacht vragen van de organisatie.

Prestatieverklaringen IND

Om prestatieverklaren te verbeteren is binnen de IND eind april een werkgroep opgestart. Initiatieven van de werkgroep hebben inmiddels geleid tot nieuwe kaders en richtlijnen voor het prestatieverklaren, diverse (risicogerichte) verbeteracties op (financieel) omvangrijke posten, voorlichting, begeleiding en training en een monitoringstraject met maandelijkse voortgangsrapportages richting specifiek verantwoordelijk gemaakte managers binnen de afzonderlijke directies.

Inmiddels ziet de IND een duidelijke toename in de op voorhand bij de prestatieverklaring opgeleverde controle informatie. In het verleden bleek de onderbouwende documentatie in het financiële systeem doorgaans te ontbreken, waardoor controle informatie alsnog achteraf diende te worden verzameld. Het aantal toegevoegde bijlagen is gegroeid van 15% (inclusief bijlage) over januari tot 46% in december 2023. In 2023 gold voor 15% van de facturen een uitzondering waarbij de betreffende documentatie buiten het systeem bewaard mag worden. De positieve trend is nog niet in gelijke mate terug te zien in de kwaliteit van de prestatieverklaringen. De verbeteractiviteiten worden in 2024 gecontinueerd en uitgebreid.

Beheer financieel systeem Leonardo

De ADR heeft in een onderzoek naar het beheer van Leonardo in 2023 een tweetal bevindingen vastgesteld, te weten het technisch beheer ofwel de beveiliging van componenten en het functioneel beheer ofwel het decentraal autorisatiebeheer bij het Financieel Diensten Centrum (FDC).

Technisch beheer Leonardo

De systeemeigenaar van het financieel- en inkoopsysteem van JenV heeft de ADR ook in 2023 verzocht om onderzoek te doen naar het technisch beheer Leonardo, dat wordt uitgevoerd door SSC-ICT van het ministerie van BZK. Dit onderzoek vindt plaats in aanvulling op de monitoring door DFEZ op basis van de reguliere ISAE-verantwoordingsrapportage en de omvangrijke interne kwaliteitsborging die periodiek binnen SSC-ICT wordt uitgevoerd. Het technisch beheer Leonardo is in 2023 verder versterkt en door de ADR van een goedkeurende assurance verklaring voorzien. DFEZ heeft SSC-ICT reeds verzocht om een verbeterplan op te stellen voor het laatste beheerpunt dat de ADR heeft benoemd met betrekking tot de beveiliging van componenten, inclusief de planning (met doelstelling afronding in het eerste tertaal 2024) en zal de voortgang monitoren.

Functioneel beheer Leonardo

Het centraal functioneel beheer Leonardo dat binnen DFEZ wordt uitgevoerd is in 2023 door de ADR in orde bevonden evenals het concern toezicht op de toegang tot Leonardo. De tekortkomingen van het decentraal functioneel beheer binnen SSC-BLS uit 2022 zijn zo goed als opgelost. SSC-BLS heeft zich in staat getoond om inhoudelijk en oplossingsgericht af te stemmen met DFEZ en de beheersing van de eigen werkprocessen naar aanleiding van de uitkomst van het concern toezicht te verbeteren. In 2024 blijft dit een thema ten aanzien van het afronden van de verbeteracties van 2023 en in de context van het samengaan van het SSC-BLS en SSC-GVKA. DFEZ voorziet op deze punten een voortzetting van de constructieve afstemming met de nieuwe financieel-administratieve Dienstverleningsorganisatie. Verder zal DFEZ de implementatie monitoren van een periodieke 2e lijn controle van het gebruikersbeheer Leonardo dat als onderdeel van de kwaliteitsborging bij de SSC’s is belegd, aan te vangen in het eerste kwartaal 2024.

Forensische Zorg

Bij titels die zonder einddatum worden geregistreerd in IFZO (informatiesysteem forensische zorg) is het risico dat achteraf blijkt dat er onrechtmatig zorg is gedeclareerd. Dat risico wordt inmiddels gemitigeerd door in IFZO een voorlopige einddatum te registreren, gecombineerd met een rappel om de definitieve datum in te vullen. Doordat de voorlopige datum conservatief is gekozen (1 jaar, terwijl de termijn meestal 2 jaar is), is het risico op onrechtmatige declaratie sterk gereduceerd. Dat wordt versterkt doordat de communicatie over start en einde van de zorgverlening begin 2024 wordt gedigitaliseerd. De effecten van deze maatregelen zijn vanaf medio 2023 zichtbaar.

Data fixes CJIB

Bij het CJIB bestaat met enige regelmaat noodzaak tot het uitvoeren van datafixes; het direct ingrijpen in de databases van de gebruikte IT-systemen. Het is belangrijk dat dergelijke datafixes alleen worden uitgevoerd via het daarvoor ingerichte proces. Eerder heeft de ADR niet kunnen vaststellen of alle processtappen correct doorlopen werden. De door het CJIB reeds getroffen maatregelen dienden zich nog te bewijzen, waardoor de ADR ten aanzien van 2022 niet kon vaststellen dat het proces rondom datafixes duurzaam was geborgd. In dat kader heeft de ADR ultimo 2022 datafixes aangemerkt als een lichte bevinding met het advies om voldoende frequent en op het juiste niveau binnen de organisatie de uitkomsten van de recent ingerichte procesbewaking te bespreken, zodat indien nodig tijdig bijgestuurd kan worden.

Over 2023 is door de ADR vastgesteld dat verbeteringen zijn doorgevoerd, waardoor data-integriteit en stabiliteit van de databases toereikend geborgd zijn. De lichte bevinding inzake datafixes is hiermee afgerond. Het CJIB zal blijvend aandacht houden voor het borgen van de huidige procesbeheersing en het verder reduceren van het aantal datafixes via reguliere functionaliteit.

Inkoopbeheer

Inhuur d.m.v. Rijkscontract

IMOA

Het Ministerie van Infrastructuur en Waterstaat (IenW) is verantwoordelijk voor een aantal (Rijks)aanbestedingen waarvoor begin 2020 overbruggingsovereenkomsten zijn afgesloten. Als JenV zijn wij afnemer van deze dienst. Doordat een overbruggingsovereenkomst een onrechtmatig inkoop is, heeft in 2023 onrechtmatige inkoop plaatsgevonden doordat deze contracten niet tijdig zijn vernieuwd. Tevens is hierdoor het Dynamische Aankoop Systeem (DAS) nog niet volledig afgesloten. In afwachting van definitieve gunning verantwoordt JenV deze inkopen als (geïmporteerde) onrechtmatigheid (€ 26 mln. IMOA en € 23 mln. DAS voorlopig).

ICT-professionals

Bij inhuur ICT-professionals DJI en JIO is geconstateerd dat de maximale waarde van het Rijkscontract is overschreden. Ter overbrugging naar het nieuwe contract is in 2023 € 69 mln. onrechtmatig ingehuurd.

Openbaar Ministerie (OM)

In het kader van het borgen van het primaire proces heeft het OM twee reeds geëxpireerde IT-contracten onrechtmatig verlengd en verantwoord in 2021 (t/m 2024). Net als in 2022 zijn in 2023 additionele opdrachten verstrekt in aanvulling van de reeds geëxpireerde IT-contracten van 2021. De onrechtmatigheid van deze additionele IT-contracten bedraagt voor 2023 € 29 mln. 

Inhuur zorgpersoneel Dienst Justitiële Inrichting (DJI)

De Inhuur zorgpersoneel is in 2018 aanbesteed rekening houdend met de Wet DBA waardoor ZZP’ers contractueel zijn uitgesloten. Vanwege de zorgplicht van DJI voor gedetineerden is de noodzaak gebleken extra in te huren buiten het contract om en dit overschrijdt de geldende aanbestedingsnormen (€ 12 mln). In 2023 heeft een nieuwe aanbesteding plaatsgevonden.

Directoraat-Generaal Migratie (DGM)

In 2023 heeft DGM enkele onrechtmatigheden begaan bij het inhuren van externen en bij inkopen. Zo heeft de aanhoudende overlast in Ter Apel gezorgd voor een onhoudbare situatie waarbij is besloten om een opdracht te verstrekken zodat de overlast direct aangepakt kon worden. Hiervoor was specifieke ervaring en deskundigheid benodigd, waarbij ook ervaring met resultaatgericht werken binnen een complexe keten essentieel was.

Op advies van de Nationaal Coördinator Aanpak Overlast is ervoor gekozen om in Ter Apel in pilotvorm een mobiel toezichtsteam in te zetten. Wegens de dwingende spoed is op advies van de Nationaal Coördinator de opdracht rechtstreeks verleend aan één partij. De eerste positieve resultaten waren vrij snel zichtbaar, waardoor in 2023 is besloten bij uitzonderlijke situaties – waarbij lokale maatregelen onvoldoende soelaas boden om de overlast aan te pakken – in een aantal andere gemeenten ook een toezichtsteam in te zetten. Door de ontstane dwingende spoed is nagelaten de opdrachten Europees aan te besteden. Inmiddels is deze aanbesteding wel in gang gezet.

Inkoopbeheer DJI

De ADR heeft over de periode 2021 en 2022 problemen geconstateerd in de naleving van de inkoop wet- en regelgeving en een toename van het aantal onrechtmatigheden als gevolg van niet adequaat werkende beheersmaatregelen bij het IUC. Naar aanleiding van de bevindingen die de ADR constateerde over 2021 is door het IUC een verbeterproject gestart. Daarnaast heeft de ADR in 2022 op andere gebieden bevindingen geconstateerd. Het bestaande plan van aanpak is daarom in 2023 uitgebreid met additionele maatregelen waarmee het toezicht en de bewaking van de ingezette verbeteracties worden geïntensiveerd. Dit plan van aanpak is onderdeel van het Financieel Verbeterplan DJI-versie 2.0. Alle verbetermaatregelen voor het inkoopbeheer zijn doorgevoerd en in werking. Per kwartaal wordt getoetst/ gemonitord of de verbetermaatregelen daadwerkelijk werken. Waar nodig kan dan nog worden bijgesteld of bijgestuurd. En er is sinds kort een maandelijks dashboard beschikbaar. Gedurende de uitvoering van het plan wordt tussentijds geëvalueerd met het ADR-controleteam van DJI, met de sectoren en met het departement (DFEZ, DI&I). Afstemming met A&C, FHI en andere betrokken vindt geregeld plaats.

Beschikbaarheid en kwaliteit brondocumentatie

De ADR heeft in 2022 de DG’s geadviseerd om erop toe te zien dat op directieniveau de benodigde maatregelen worden genomen om te zorgen dat tussentijds en per jaareinde de door DFEZ gestelde deadlines en werkinstructies inzake balansoplevering gerespecteerd worden. Dit advies is in 2023 door de DG’s opgevolgd. Om het vaststellingsproces, de taken en verantwoordelijkheden te borgen in de 1e lijn is in het verbeterplan van JenV opgenomen dat elke DG de AO/IB en interne controles in de 1e lijn beschrijft. Dit is nog onderhanden bij enkele DG’s.

1d. Overige aspecten van de bedrijfsvoering

Informatievoorziening

De AR en de ADR hebben in 2022 geen JenV-brede bevindingen opgenomen over het onderwerp informatievoorziening.

Onderstaand wordt inzicht gegeven in relevante onderwerpen met betrekking tot informatievoorziening. Hierbij spelen vier overkoepelende risico’s en randvoorwaarden een rol: de uitvoerbaarheid van de beleidsprioriteiten, het absorptievermogen, de beperkte beschikbaarheid van capaciteit als gevolg van de overspannen arbeidsmarkt en stabiele financiering.

Meerjaren IV plannen van de JenV organisatieonderdelen

Naast het (meerjarig) departementaal informatieplan32zijn ook de JenV-organisaties gevraagd een meerjaren IV-plan op te stellen. Uit deze meerjarenplannen blijkt dat de meeste organisaties goed inspelen op de ontwikkelingen die ook in de i-Strategie JenV benoemd worden. Verder valt op dat de ambities vaak hoger zijn dan het praktisch haalbare. Oorzaken hiervoor zijn onder andere de al eerder genoemde vier risico’s.

Prioritering digitalisering

De beperkingen op de haalbaarheid dwingen tot het stellen van prioriteiten. Naast de opgaven vanuit de eigen i-Strategie JenV heeft JenV te maken met veel aanstaande nationale en Europese wetgeving met een digitaliseringscomponent, aangevuld met opgaven vanuit de Werkagenda Waardegedreven Digitaliseren en de diverse beleidsagenda’s op het veiligheidsdomein. De werkdruk op alle JenV-organisaties neemt daardoor steeds verder toe. Met de Implementatie Kalender Digitalisering (IKD) worden de externe digitaliseringsvraagstukken inzichtelijk gemaakt en kunnen de keuzes beter worden gemaakt.

In het laatste kwartaal van 2023 is een eerste overzicht gemaakt van de verschillende digitaliserings-beleidsinitiatieven als input voor de beleidsprioritering van 2024. Via de beleids- en begrotingscyclus wordt gekeken of de prioriteiten nog steeds voldoende passen in de portfolio’s, absorptievermogen en financiële kaders van de JenV-organisaties

Volwassenheid IV-landschap

Jaarlijks wordt geïnventariseerd hoe de kritieke systemen in het kader van applicatie lifecyclemanagement (ALCM) ervoor staan. In 2023 is een nulmeting uitgevoerd op basis van het Rijksbrede LCM-convenant. Deze meting geeft inzicht in het volwassenheidsniveau van het JenV IV-landschap op een schaal van 1 (Initieel) tot 5 (Optimaal). Bij deze meting scoorde JenV gemiddeld een 2,7. Daarbij hoort een volwassenheidsniveau tussen ‘herhaalbaar’ en ‘gedefinieerd’.

Informatiehuishouding

In 2023 zijn de schouwwerkzaamheden afgerond en de bewerkingsplannen voor papieren archieven afgerond. Grote delen van de papieren archiefachterstanden zijn ook fysiek weggewerkt door vernietiging, overdracht naar het Nationaal Archief of door digitalisering. Deze werkzaamheden worden de komende jaren voortgezet. Onderzoek toonde in 2023 aan dat JenV veel digitale informatie heeft staan op netwerkschijven, samenwerkruimtes en dergelijke omgevingen. Een deel van deze informatie hoort eigenlijk in de formele digitale archieven van JenV te staan, zoals DigiJust. JenV-organisaties vragen steeds meer hulp bij het wegwerken van deze digitale achterstanden. Er is gestart met een onderzoek hoe de achterstanden aangepakt kunnen worden en hoe kan worden voorkomen dat er nieuwe ontstaan. Met het oog op het digitaliseren van werkprocessen is gewerkt aan procesoptimalisatie en informatiemodellen. Hiermee is de basis gelegd voor het beter kunnen aansluiten op GDD’s en het kunnen toepassen van het selectiebeleid.

In 2023 werden wederom metingen (in de vorm van zelfevaluaties) gedaan naar de volwassenheid op informatiehuishouding. De volwassenheid wordt via 31 vragen gemeten en vastgesteld op een niveau van 1 (ad hoc) tot 4 (gemanaged). Binnen JenV voeren gemiddeld per jaar 24 organisatie(onderdelen) de volwassenheidsmeting IHH uit. Daarbij is JenV van 1,82 gemiddeld in 2021 gegroeid naar 2,28 gemiddeld in 2023.

In 2023 is tot slot de beleidsvisie informatiehuishouding vastgesteld, net als de eerste versie van het Justitieel Archivistisch Metadataschema. De visie en het metadataschema zorgen ervoor dat het voor JenV-organisaties makkelijker wordt om processen in te richten voor het aanmaken, opnemen en beheren van informatie.

Digitale weerbaarheid

De kansen, dreigingen, sterkten en zwakten van de digitale weerbaarheid van JenV zijn voor de eerste keer geanalyseerd en voor 2024 en de jaren erna geprioriteerd.

Ook werd in 2023 nieuw aanvullend beleid opgesteld en is de voorbereiding voor de implementatie van de nationale wetgeving van de Europese NIS2-richtlijn en de BIO2.0 gestart.

Met het meerjarige programma Informatiebeveiliging 2.0 (IB2.0) wordt beoogd om de digitale weerbaarheid te vergroten. Het programma wordt momenteel verder geoptimaliseerd. De huidige prioriteiten zijn het verbeteren van het bewustzijn van personeel, het beheer van hoge toegangsrechten, het beheer van IT-assets, het beheer van kwetsbaarheden, de beoordeling van governance, risk en compliance en het onderzoek naar informatiebeveiliging. De implementatie van deze prioriteiten bij de (taak)organisaties van het ministerie vordert gestaag.

De verdere implementatie van de aanbevelingen van de Auditdienst Rijk voor risicomanagement is opgenomen in het project Governance, Risk en Compliance van het programma IB 2.0.

Gegevens en Algoritmes

In 2023 heeft de JenV Chief Data Officer (CDO), samen met de interdepartementale CDO-raad, een CDO-nota geschreven en vastgesteld voor de functie, verantwoordelijkheden en positionering van de CDO binnen de departementen en de uitvoering. Deze nota ligt aan de basis van een update op het Besluit CIO-stelsel Rijksdienst 2021, die in 2024 zijn beslag zal krijgen. Dit is een belangrijke randvoorwaarde voor verdere professionalisering op het gegevensdomein.

Verder is de samenwerking met de Directie Artificiële Intelligentie (AI) versterkt en werden JenV-organisaties ondersteund in het publiceren van hun eerste algoritmes in het nationale algoritmeregister. In 2023 startte ook de ontwikkeling van het JenV Afsprakenstelsel Gegevens & Algoritmes (JAGA). Het doel van JAGA is om binnen heel JenV overeenstemming in beleid en standaardisatie te bereiken bij het verwerken van gegevens. De eerste onderdelen van het JAGA werden opgeleverd aan de hand van concrete voorbeelden. Ook zijn er verschillende trainingen rondom gegevensmanagement ontwikkeld en georganiseerd.

Ook is medio 2023 de ‘Taskforce versnellingsaanpak gegevensdeling’ gestart naar aanleiding van geconstateerde knelpunten in gegevensdeling binnen het JenV domein. Een eerste inventarisatie naar de knelpunten laat zien dat gegevensuitwisselingsproblemen binnen JenV diverse oorzaken hebben en een grondige analyse en gecoördineerde interventies vereisen. Doel van de taskforce is het uitvoeren van diagnoses en ontwikkelen van een aanpak om specifieke gevallen en thema’s 33aan te pakken en het lerend vermogen van het Ministerie op het gebied van gegevensdeling structureel te verbeteren.

Bureau Beveiligingsautoriteit (BVA), Departementaal Coördinatiecentrum (DCC) en Functionarissen gegevensbescherming (FG-en)

De werkzaamheden van het Bureau BVA, die beheersmatig zijn ondergebracht in de bedrijfsvoeringskolom, hebben in 2023 in het teken gestaan van de professionalisering van de BVA functie, de verdere inrichting van het DCC en nieuwe invulling van de functie van FG voor zowel JenV als de Passagiersinformatie Nederland (Pi-NL). Daarbij is gewerkt aan het versterken van de kaderstellende en toezichthoudende rol op het gebied van de integrale beveiliging (toezichtkader en accreditatiebeleid) als ook aan de accreditatie van gerubriceerde netwerken. Daarnaast lag de focus op de versterking van de kennis- en informatiepositie en het netwerk, de beveiliging van bewindspersonen en de voortgang van de implementatie van de maatregelen volgend uit de Security Risk Assessments. In 2023 zijn de BVA werkzaamheden voor BZK afgebouwd.

De belangrijkste speerpunten voor het DCC waren het versterken van de positie binnen het departement en het versterken van de operationele gereedstelling d.m.v. het vaststellen van het Handboek, het inrichten en opleiden van een flexibele schil van crisisfunctionarissen en het versterken van de informatie- en coördinatiepositie tijdens een crisis.

De functie van FG JenV is na het vertrek van de vorige FG in 2023 interim ingevuld geweest en wordt vanaf 2024 weer structureel ingevuld. De FG-en verrichten taken vanuit de Algemene Verordening Gegevensbescherming (AVG), de Wet justitiële en strafvorderlijke gegevens (Wjsg), de Wet Politiegegevens (Wpg) en de Wet gebruik van passagiersgegevens voor de bestrijding van terroristische en ernstige misdrijven.

Personeelsbeheer

In 2023 zijn de laatste Covid adviezen als zelftest- en isolatieadvies komen te vervallen. Echter geadviseerd is thuis te blijven bij ziekte en bij lichte klachten, indien mogelijk, vanuit huis te werken. Afgelopen jaren heeft Covid veel impact gehad op de medewerkers. Ook de ontwikkelingen en mogelijkheden van het hybride werken zijn sterk toegenomen. Hybride werken is in 2023 niet meer weg te denken. Met alle mogelijkheden van hybride werken wordt aandacht gevraagd naar de balans tussen wat is goed voor de medewerker in zijn/haar persoonlijke situatie, het team en de organisatie.

Het verzuim is zowel landelijk als ook binnen JenV toegenomen. Terugdringen van verzuim is een nadrukkelijk aandachtspunt binnen het ministerie, waarin de aandacht verschuift van de ‘wat’ vraag naar de ‘hoe’ vraag. Welke handelingen kunnen eraan bijdragen dat het verzuim daalt. Wat zijn hierbij de verantwoordelijkheden van de werkgever, maar ook van de werknemer.

De krapte op de arbeidsmarkt continueert en zal mogelijk nog verder toenemen. De urgentie van arbeidsmarktkrapte wordt dagelijks geconstateerd en ook JenV wordt geconfronteerd met de gevolgen van deze krapte. Dit vraagt benadering vanuit de HR kant op werving en binden & boeien. Eveneens vraagt dit doorlopende aandacht voor de ontwikkeling en het vakmanschap van medewerkers via onder andere de JenV academie. Naast benadering vanuit de HR kant kan innovatie en technologie bijdragen aan slimmer en efficiënter werken. Ook kunnen (beleids)keuzes mogelijk bijdragen aan verlichting op personeelsinzet JenV wil een evenwichtige en inclusieve werkgever zijn. Daaraan dragen onder meer bij, de organisatie van thema- en dialoogbijeenkomsten, maand van de Diversiteit, diversiteitstrainingen en inclusief werven en selecteren. 

Stand van zaken personeelsbeheer

In 2022 is de bevinding van de ADR op het personeelsbeheer vervallen. Tot 2023 was inzet voornamelijk gericht op controles. Het vervallen van de bevinding maakte dat vanaf 2023 (nog) meer focus kon komen te liggen op voorkomen van onjuistheden. Dat doen we onder andere door het ontwikkelen en (laten) geven van trainingen. Naast de bestaande trainingen wordt gewerkt aan een online variant voor trainingen aan managers op personeelsbeheer. De onlinetrainingen worden ontwikkeld vanuit het uitgangspunt dat deze bijdragen aan het voorkomen van onjuistheden. Tevens wordt ingezet op het nemen en aanpassen van acties, eveneens gericht op voorkomen van onjuistheden.

1e. Fraude en corruptierisico’s

Materiële risico’s op fraude en corruptie

De ADR rapporteert sinds 2021 in haar controleverklaring over de uitgevoerde werkzaamheden op het gebied van fraude- en corruptierisico’s. Het voorkomen, mitigeren en detecteren van fraude en corruptie is de primaire verantwoordelijkheid van het ministerie. Om hieraan een goede invulling te geven heeft de ADR aan de directie FEZ geadviseerd om een departementsbrede fraude- en corruptierisicoanalyse op te stellen.

Bij de uitvoering van de fraude- en corruptie risicoanalyse is het accent in het jaar 2023 gelegd op het inventariseren van de frauderisico’s en risico’s vanuit de fraude driehoek.34

Alle financiële en niet financiële processen zijn op fraude en corruptie getoetst en de geïdentificeerde risico’s zijn benoemd. De uitkomsten zijn getoetst aan de interne beheersmaatregelen. Dit heeft bij enkele organisaties geleid tot een aanscherping van de interne beheersmaatregelen. Ook is gesproken met tal van betrokkenen, waaronder de Chief Information Security Officer (CISO) en de Coördinator Integriteit. Binnen JenV ligt de verantwoordelijkheid bij het management en de Secretaris-generaal (SG) om fraude te voorkomen. De primaire verantwoordelijkheid voor het voorkomen, detecteren en reageren op fraude is decentraal belegd bij de beleidsdirecties, diensten en agentschappen.

In het kader van preventie van fraude is begin oktober 2023 een drietal workshops georganiseerd met diverse medewerkers die betrokken zijn bij o.a. het betalingsverkeer en de financiële administratie van het ministerie van JenV. De workshop werd begeleid door de ADR, de ING en de integriteitsmedewerker. Onderwerpen waren onder andere: herkenning van fraudesignalen, wat te doen bij fraude, op welke wijze kan fraude plaatsvinden, de toenemende professionaliteit van fraudeurs en op welke wijze fraude kan worden voorkomen. Hierin werd onder meer nogmaals aandacht besteed aan een goede AO/IB, de fraude driehoek, voorbeeldgedrag en gedragsregels, controle en handhaving en op welke wijze fraude en corruptie kunnen worden herkend.  Vervolgens hoe fraude kan worden gedetecteerd. Binnen JenV maakt de frauderisicoanalyse structureel onderdeel uit van de planning- en control cyclus. De sessies zijn ook bezocht door medewerkers van andere departementen. In 2024 zal JenV het KCD (Key Control Dashboard) door ontwikkelen. Dit dashboard kan een efficiënte tool zijn om de frauderisico analyse goed te ondersteunen en de opzet en werking van het fraude- en corruptie risicoframework in de organisatie te borgen.

Incidenten

Over 2023 heeft een tweetal incidenten plaatsgevonden bij NCTV (Nationaal Coördinator Terrorismebestrijding en Veiligheid) en Justis (Justitiële uitvoeringsdienst, toetsing, integriteit en screening).

NCTV

Het OM meldde op 1 november middels een persbericht dat een medewerker van de NCTV en een medewerker van de politie zijn aangehouden op verdenking van het bezitten en naar buiten brengen van staatsgeheime informatie.  De NCTV en de politie hebben naar aanleiding van de kwestie daar waar nodig aanvullende veiligheidsmaatregelen getroffen. Het strafrechtelijke onderzoek vindt plaats. Daarnaast heeft de Minister van Justitie en Veiligheid de ADR gevraagd om een onafhankelijk onderzoek te doen naar de beveiliging van bijzondere informatie binnen de NCTV en de politie. Op 8 december 2023 heeft de Minister de Tweede Kamer geïnformeerd dat dit onderzoek is gestart.

Justis

In 2023 is een incident naar voren gekomen waarbij een medewerker van Justis een valse voorstelling had gegeven over de mate van informatiebeveiliging bij de aansluiting op DigiD. De medewerker in kwestie heeft rapporten vervalst, deze vervalsingen zijn uiteindelijk door de ADR ontdekt. Hierop is onafhankelijk integriteitsonderzoek ingesteld en daarnaast heeft Fox-IT onderzoek gedaan naar of systemen vanwege de valse voorstelling van zaken gevaar hebben gelopen. Onderzoek wijst uit dat dit niet het geval is. De impact van het incident is daardoor beheersbaar. De medewerker in kwestie is op basis van de melding van het incident op non-actief gesteld en is na afronding van de onderzoeken op staande voet ontslagen. Het incident beschouwen we daarmee als afgedaan.

Paragraaf 2 - Rijksbrede bedrijfsvoeringsonderwerpen

2a. Grote ICT-projecten

Voor de monitoring op de grote ICT-projecten (totaal ICT-kosten > € 5 mln.) zijn naast Rijksbrede ook interne JenV afspraken gemaakt, zoals het registreren en tijdig actualiseren van de projecten op het Rijks ICT Dashboard en de verplichte aanvraag van BIT-adviezen.

In 2023 zijn voor Justitie en Veiligheid 5 CIO-oordelen afgerond en zijn 3 BIT-adviezen uitgebracht. Twee BIT-adviestrajecten lopen nog en één aanvraag voor een BIT-advies is nog onderhanden. Dit betreft projecten van JenV, exclusief rechtspraak en politie, zij rapporteren zelfstandig over hun grote ICT-projecten.

De verbeterpunten die vanuit de CIO oordelen als ook uit de ontvangen BIT-adviezen naar voren komen hebben vooral betrekking op de legitimatie van de opdrachten - vastgelegd in de businesscase – en de keuzes die worden gemaakt in het vertalen van de functionele behoeften naar de technische maakbaarheid. Daarnaast blijft het van belang, blijkend uit de analyse van de CIO oordelen, dat de continuïteits- en privacyaspecten goed overwogen dienen te worden in de ontwerpfase. Voor de businesscase en technische maakbaarheid is begin 2023 het ‘Verbetertraject effectiviteit CIO oordelen’ gestart. In dit traject, wat is ontstaan uit een onderzoek wat eind 2022 is gestart, worden opleidingen, tooling en procesverbeteringen ontwikkeld die bijdragen aan de verbetering van de beheersing van de grote ICT-projecten bij JenV. Dit verbetertraject zal nog doorlopen in 2024.

De JenV afspraken over de registratie omvatten ook de verplichting om alle ICT-projecten groter dan € 1 miljoen vast te leggen in een portfoliomanagementtool. De stand van zaken van de lopende grote ICT-projecten (totaal ICT-kosten > € 5 mln.) van JenV is opgenomen in het Rijks ICT-dashboard

2b. Gebruik open standaarden en open source software

De overheid hanteert bij ICT-ontwikkeling en -aanbestedingen al enige jaren het principe dat bij gelijke geschiktheid de voorkeur wordt gegeven aan open source boven closed source software en de beleidslijn ‘Open, tenzij’. JenV hanteert dit principe en volgt deze beleidslijn. Vanuit kaders, maar daarmee ook vanuit architectuur-invalshoek worden hiertoe tevens eisen meegegeven in aanbestedingen. Ten aanzien van open standaarden doorgaans met een verwijzing naar de lijst open standaarden (Forum Standaardisatie) en conform het 'Pas toe of leg uit'-beleid.

2c. Evaluatie Audit Committee

Er heeft geen evaluatie van het AC plaatsgevonden. In 2023 is gevolg gegeven aan de besluiten op basis van de resultaten uit het ADR-evaluatieonderzoek 2022 naar het functioneren van AC. Met name het continueren en versterken van de onderlinge verbinding met de overige AC’s van JenV door themasessies en een AC-symposium. Een andere constatering uit het evaluatierapport is de positieve werkwijze met een interne en externe voorzitter. Vanwege de beëindiging van het tweede termijn van de technische, externe voorzitter per 1 juli 2023 is daarom besloten een wervings- en selectietraject te starten. Het AC heeft niet alleen een nieuwe technische, externe voorzitter geworven, maar ook een extra extern lid. Het AC bestaat sinds de tweede helft van 2023 uit vijf externe leden.

Paragraaf 3 - Belangrijke ontwikkelingen en verbeteringen in deBedrijfsvoering

Duurzaamheid

Als Ministerie van JenV werken wij dagelijks aan een veiligere en rechtvaardige samenleving, nu en in toekomst. Er zijn verschillende thema's die impact op de stabiliteit van onze samenleving hebben en ons werk dagelijks beïnvloeden. Een van deze thema's betreft klimaatverandering en de invloed die het heeft op onze samenleving. De opwarming van de aarde behoort inmiddels wereldwijd tot de top 3 van veiligheidsrisico’s. De impact van klimaatverandering op onze samenleving zal de komende decennia nog verder toenemen. Daarom is het van belang dat we als JenV ons werk duurzaam doen. Van het reduceren van onze CO2-uitstoot en het verminderen van grondstoffengebruik tot het beschermen van mensenrechten en het voorkomen van klimaatmigratie.

Om deze doelen te behalen worden een aantal middelen ingezet. Een belangrijk middel is de CO2 prestatieladder. Deze CO2 managementmethodiek helpt bij de implementatie van de CO2 reductiebeleid binnen JenV door in de P&C cyclus te sturen om op doelen en de voortgang te monitoren. JenV is gecertificeerd voor niveau 3.

Een ander belangrijk middel om te sturen van de verduurzaming van JenV is de deelname aan het Manifest Maatschappelijk Verantwoord Opdrachtgeven en Inkopen (MVOI). JenV heeft een actieplan geschreven hoe de inkoopkracht kan worden ingezet om doelen op het gebied Klimaat, Circulariteit, Social Return, Veiligheid en Diversiteit & Inclusie te halen. De komende jaren zal het MVOI-beleid binnen JenV geïmplementeerd worden.

DJI en IND hebben een team Duurzaamheid ingericht. Deze teams brengen, door middel van een inkoopanalyse, in kaart wat de duurzaamheid consequenties zijn voor de uitvoering. Daarnaast wordt met behulp van aanvullende financiële middelen van JenV diverse projecten ondersteund die een bijdrage leveren op de te realiseren doelen. Hieronder vallen gasreductiemaatregelen en projecten op de onderwerpen vervoer, afval, voeding en terreinonderhoud.

Risicomanagement (RM)

In 2023 is gekeken naar de doorontwikkeling van het risicomanagement(beleid) en hebben rijksbrede initiatieven en activiteiten plaatsgevonden die van invloed zijn op JenV. De BR heeft eerder de ‘Krapte op de arbeidsmarkt’ en ‘Cyberweerbaarheid’ aangewezen als de JenV-brede risico’s. De BR en AC hebben in 2023 expliciet aandacht hieraan besteed. De BR heeft ook een strategische risicosessie gehad en hierbij zijn complexiteit en productiviteit naar voren gekomen als belangrijke thema’s.

JenV heeft ook een rode-dradenanalyse op basis van de jaarplannen 2024 uitgevoerd. De analyse laat een overkoepelend vraagstuk zien ten aanzien van de uitvoerbaarheid van de taak. Enerzijds zien we een toename van complexiteit als gevolg van onder andere vraagstukken op het gebied van maatschappelijke opgaven (nabijheid t.o.v. de burger), verduurzaming, ondermijning en een toename in het instrumentarium (meerjarenplannen, standen van de uitvoering, in/uitvoeringstoetsen). Anderzijds zien we uitdagingen ten aanzien van de krapte op de arbeidsmarkt, uitdagingen op het gebied van capaciteit, en stijgende kosten.

De resultaten uit de risicosessie en rode-dradenanalyse zijn bepalend voor de doorontwikkeling van het risicomanagementbeleid en vervolgactiviteiten in 2024.

Leonardo naar de Cloud

Het programma cloud ready is in het najaar van start gegaan. Het is erop gericht om de organisatie voor te bereiden voor een eventuele overgang naar een cloudbased financiële administratie, waarin minder mogelijkheden zijn voor maatwerk. Op het programma is een CIO-advies aangevraagd. Het CIO-advies is begin januari 2024 opgeleverd.