Nr. 2 RAPPORT BIJ HET JAARVERSLAG 2011 VAN HET MINISTERIE VAN FINANCIËN (IXB)

Wij zouden, kijkend naar de doelstellingen van het beleid, informatie verwachten over:

• • welke inzet (al dan niet ad hoc) de minister namens Nederland heeft ingebracht in het Europese beleidsproces en in de internationale financiële instellingen;

• • de monetaire en budgettaire ontwikkeling van de Europese Unie en haar lidstaten, of een verwijzing daarnaar;

• • de effectiviteit en efficiency van de internationale financiële instellingen, of een verwijzing daarnaar;

• • het inhoudelijke debat over de wereldeconomie in internationale fora, of een verwijzing daarnaar.

De belangrijkste activiteit van de minister van Financiën is het deelnemen aan Europese en internationale onderhandelingen. De uitkomsten daarvan zijn mede afhankelijk van de standpunten van de overige deelnemers aan die onderhandelingen. Het is daardoor lastig om het effect van het beleid van de minister vast te stellen. Het mogelijke financiële belang dat met dit begrotingsartikel is gemoeid, is echter groot. De garantieverplichtingen lopen in de tientallen miljarden. Het is daarom belangrijk dat de Tweede Kamer nauw betrokken is bij het formuleren van de inzet van de minister in de Europese en internationale overleggen en de uitkomsten daarvan.

Dit gebeurt door middel van geannoteerde agenda’s voor en verslagen van de Europese en internationale overleggen, die voorafgaand aan desbetreffende overleggen in de Tweede Kamer besproken worden. Het zou goed zijn als de minister naar deze documenten zou verwijzen in het jaarverslag. De minister geeft wel op hoofdlijnen weer welke inzet hij had en welke ontwikkelingen zich in de overleggen hebben voorgedaan. Uit het jaarverslag blijkt tevens wat het beleid heeft gekost en of dat volgens verwachting was.

Wij zouden, kijkend naar de doelstellingen van het beleid, informatie verwachten over:

• • het totale risicobedrag;

• • het «netto»-resultaat op langere termijn;

• • het aantal afgegeven en afgewezen garanties/aanvragers;

• • de doorlooptijd/behandelduur van verzekeringsaanvragen;

• • de internationale concurrentiepositie van het Nederlandse bedrijfsleven en/of over de gelijkheid van het speelveld tussen bedrijven uit diverse landen.

De minister schrijft in zijn reactie dat hij vanaf de Begroting 2012 de beleidsdoelstellingen over internationale financiële betrekkingen heeft geherformuleerd in het kader van Verantwoord Begroten. De beleidsdoelstelling richt zich nu op de inzet van de minister en niet op de uitkomst van het beleid.

De minister schrijft daarnaast dat de exportkredietverzekering niet tot doel heeft de gehele export te stimuleren of op alle terreinen van de export een gelijk speelveld te creëren. De minister geeft aan dat hij om die reden andere informatie over effecten van het beleid heeft opgenomen dan wij in het jaarverslag zouden verwachten. De minister zegt toe dat hij voor de Begroting 2013 de omschrijving van de beleidsdoelstelling opnieuw zal beoordelen en eventueel zal aanscherpen.

De minister zegt toe dat hij maatregelen zal nemen om ervoor te zorgen dat de twee prestatie-indicatoren die kunnen worden verbeterd, voor de verantwoording over 2012 op orde zijn.

De Belastingdienst heeft veel verbeterd in de bedrijfsvoering. Er waren veel problemen, mede doordat het takenpakket in 2006 was uitgebreid met het uitkeren van toeslagen. De ICT-ondersteuning voor de nieuwe taak was gebrekkig: het ontwerp van deze ICT-systemen was gebaseerd op de ervaring die de Belastingdienst had met innen. Uitkeren van toeslagen is echter een heel ander proces dan het innen van belastingen.

De Belastingdienst heeft de problemen aangepakt door de aansturing en de informatievoorziening te verbeteren.

• • Aansturing: de Belastingdienst heeft de verantwoordelijkheidsstructuur aangepast: lijnverantwoordelijkheid is in de plaats gekomen van collegiaal management en de gezamenlijke verantwoordelijkheid. Het is nu duidelijker wie waarop kan worden aangesproken. Daarnaast heeft de Belastingdienst het management van de informatievoorzieningsketen geprofessionaliseerd: managers dienen kennis en ervaring te hebben op het gebied van ICT. Waar deze expertise ontbrak, zijn mensen bijgeschoold of zijn nieuwe managers aangenomen.

• • Informatievoorziening: de Belastingdienst heeft de informatie verbeterd die nodig is om de processen aan en bij te sturen. Het management draagt het nut en de noodzaak van deze informatie actief uit. Hierdoor is de aansturing ook zakelijker geworden.

Met deze ontwikkelingen heeft de Belastingdienst zes onvolkomenheden in de bedrijfsvoering opgelost: vijf in de beheersing van ICT-uitgaven en een op het gebied van dossiervorming bij de belastingregio’s.

Bovendien heeft de Belastingdienst eind 2011 het Nieuwe Toeslagensysteem ingevoerd. Daarmee heeft het proces Toeslagen een passende ICT-ondersteuning gekregen. De Belastingdienst kan hierdoor de processen beter en efficiënter uitvoeren. Dit vermindert de kans op fouten bij de toekenning van toeslagen aan burgers.

Voor de verbetering van het personeelsbeheer heeft de Belastingdienst in 2011 maatregelen ingevoerd ter verbetering van de dossiervorming. Zowel de dossiervorming als de naleving van regels die gelden voor o.a. de afkoop van verlofuren zijn echter nog niet op het gewenste niveau.

Het testen van ICT-systemen gebeurde bij de Belastingdienst onvoldoende systematisch, waardoor het risico ontstond dat fouten in de systemen niet werden ontdekt voordat het systeem in gebruik werd genomen. De invoering van een betere methode voor het testen van ICT-systemen is een meerjarentraject, dat in 2012 moet worden afgerond.

Mensen die een vertrouwensfunctie bekleden dragen een bijzondere verantwoordelijkheid. Ze hebben toegang tot gevoelige informatie of staatsgeheimen of doen werk dat van vitaal belang is voor de instandhouding van het maatschappelijk leven of werk dat hoge eisen stelt aan hun integriteit. Om er zeker van te zijn dat mensen in vertrouwensfuncties betrouwbaar zijn, moeten ze gescreend worden door de Algemene Inlichtingen- en Veiligheidsdienst (AIVD).

De Belastingdienst dient volgens de Wet veiligheidsonderzoeken een actueel overzicht te hebben van de functies die gelden als vertrouwensfunctie. De Belastingdienst heeft de vertrouwensfuncties echter voor het laatst aangewezen in april 2005. Hierdoor ontbreekt het inzicht voor welke functies een screening moet worden uitgevoerd en is de Belastingdienst mogelijk onvoldoende beschermd tegen integriteitsaantastingen. De Belastingdienst is in ons onderzoek de enige met een dermate verouderd overzicht van vertrouwensfuncties.

Bij de Belastingdienst zijn vele computersystemen in gebruik waardoor het belang van informatiebeveiliging groot is. De Belastingdienst heeft echter te weinig zicht op de bescherming van zijn informatiesystemen tegen inbraak, misbruik en uitval. Dit blijkt uit de volgende constateringen.

Ten eerste heeft de Belastingdienst niet expliciet in beeld voor welke informatiesystemen een hoge betrouwbaarheidseis noodzakelijk is om de risico’s tot een acceptabel niveau af te kunnen dekken. Ook heeft de Belastingdienst niet scherp genoeg in beeld op basis van welke risico’s het lijnmanagement tot de betrouwbaarheidseisen voor de informatiesystemen is gekomen en welke afwegingen hieraan ten grondslag liggen.

Ten tweede biedt de huidige logische toegangsbeveiliging onvoldoende mogelijkheden om de toegangsrechten op efficiënte wijze te beheren. Logische toegangsbeveiliging is de toegangsbeveiliging tot een elektronische (geautomatiseerde) omgeving en dit moet voorkomen dat de computersystemen van de Belastingdienst door onbevoegden worden gelezen of gewijzigd.

De Belastingdienst heeft tools ontwikkeld om het verlenen en het beheer van toegangsrechten te regelen. Ook maakt de Belastingdienst lijsten met ingestelde toegangsrechten om hierop toezicht te houden. De aansluiting tussen bevoegdheden van medewerkers en de toegekende autorisaties in de computersystemen wordt echter niet altijd gecontroleerd zoals beoogd.

Het huidige beheer van autorisaties heeft daarnaast onvoldoende mogelijkheden om toegangsrechten geautomatiseerd in de systemen in te stellen en biedt ook onvoldoende praktisch inzicht en controlemogelijkheden ten aanzien van de toegekende autorisaties. Het huidige systeem van toegangsbeheer is daarom niet meer toereikend. De Belastingdienst is het project Herinrichting Logische Toegangsbeveiliging (HIL) gestart om de logische toegangsbeveiliging structureel te verbeteren. De Belastingdienst verwacht HIL eind 2013 volledig ingevoerd te hebben.

Ten derde merken wij op dat het beleid van de Belastingdienst voor leesrechten in systemen gelegenheid biedt om leesrechten ruim toe te kennen. We bevelen daarom aan om het beleid zodanig aan te passen dat duidelijk is dat medewerkers alleen leesrechten mogen hebben voor gegevens die voor het werk noodzakelijk zijn.

Vanwege het belang van informatiebeveiliging en met name logische toegangsbeveiliging bij de Belastingdienst en onze constateringen op deze aspecten, merken wij de informatiebeveiliging bij de Belastingdienst aan als een onvolkomenheid.

Het betalingsverkeer van het Rijk vereist waarborgen voor, bijvoorbeeld, de bescherming van de privacy. Het Agentschap (onderdeel van het kerndepartement) houdt geen overkoepelend toezicht op hoe andere departementen hun deel van het proces van het betalingsverkeer hebben ingericht en of daarin voldoende waarborgen zijn opgenomen.

Het Agentschap heeft een contract met de Royal Bank of Scotland (RBS), uitvoerder van het grootste deel van het betalingsverkeer van het Rijk. In dat contract heeft het Agentschap geen afspraak opgenomen dat RBS een zekerheidsverklaring moet geven over hoe de beveiliging van en de procedures rond het betalingsverkeer verlopen.

Gezien de grote omvang en het belang van het betalingsverkeer mag de Tweede Kamer van de minister een actiever toezicht op de departementen verwachten. Zo kan de minister met de andere departementen afspraken maken over het uitvoeren van audits op het betalingsverkeer en de uitkomsten hiervan analyseren. Daarnaast mag de Tweede Kamer van de minister verwachten dat hij initiatief neemt om met RBS nadere afspraken te maken over een ruimere zekerheidsverklaring.

De stichting NL Financial Investments (NLFI) beheert voor de Staat sinds september 2011 de aandelen in ABN AMRO Group N.V., ASR Nederland N.V. en twee kleinere vennootschappen (ABN AMRO Preferred Investments B.V. en sinds 1 november 2011 RFS Holdings B.V.). De minister moet in een toezichtsarrangement de afspraken vastleggen over de wijze waarop hij zijn toezicht invult en over de samenwerking met NLFI. Dit arrangement was maart 2012 nog niet definitief, omdat de minister en NLFI hierover nog geen definitieve overeenstemming hebben bereikt. NLFI is opgericht om het beheer van de deelnemingen in financiële instellingen op afstand van de minister te plaatsen. Via NLFI is een extra waarborg gecreëerd tegen mogelijke belangenverstrengelingen van de minister van Financiën in zijn functie als aandeelhouder en beleidsmaker. Er bestaat een spanning tussen het op afstand plaatsen van de deelnemingen en het toezicht dat de minister van Financiën op NLFI dient uit te voeren.

De minister heeft de aandelen van de Staat al bij NLFI in beheer gegeven. Daarom mag de Tweede Kamer van de minister verwachten dat hij zo spoedig mogelijk het toezichtsarrangement vaststelt. Zonder dit arrangement bestaat het risico dat de minister de Tweede Kamer onvoldoende kan informeren over het beheer van de aandelen of zich teveel met het beheer van de deelnemingen bemoeit. Gezien het financieel belang van de aandelen is dat een risico.

Het European Financial Stability Facility (EFSF) voert steunprogramma’s uit om de financiële stabiliteit van de EMU te waarborgen.7 Hiervoor trekt het EFSF leningen aan op de financiële markten. De deelnemers aan het EFSF staan garant voor deze leningen. De hoogte van de garantstelling per land bij elke lening is gebaseerd op afspraken uit het zogenoemde «Framework Agreement». Periodiek ontvangt het Ministerie van Financiën overzichten met aan de geplaatste leningen gerelateerde garanties per land. Volgens het Ministerie van Financiën worden deze overzichten door de interne auditdienst van het EFSF gecontroleerd. Er zijn geen afspraken gemaakt met het EFSF om landspecifieke informatie (bijvoorbeeld garantie-overzichten per land) door de externe accountant van het EFSF te laten controleren.

De minister van Financiën werkt inmiddels aan het inventariseren van de informatiebehoefte van Nederland inzake de van het EFSF te ontvangen informatie en de gewenste betrouwbaarheid van de aangeleverde informatie.

Wij vinden het van belang dat deelnemende landen aan het EFSF zekerheid hebben over de juistheid van het bedrag waarvoor zij individueel garant staan of waarvoor zij eventuele schades dienen uit te keren. Wij bevelen aan om over deze en eventueel aanvullende informatiebehoefte formeel afspraken te maken met het EFSF.

De minister onderkent dat de Belastingdienst niet alle problemen heeft opgelost en dat er twee nieuwe onvolkomenheden zijn. De minister reageert op alle onvolkomenheden en overige aandachtspunten. Hij laat weten dat hij op onderstaande punten onze aanbevelingen overneemt:

• • informatiebeveiliging: in 2012 oplossen van de onvolkomenheid bij de Belastingdienst; in 2013 op orde hebben van logische toegangsbeveiliging; zorgen voor een actueel overzicht van vertrouwensfuncties bij Belastingdienst;

• • toezichtsarrangement NL Financial Investments: op korte termijn vaststellen van een uitgebreid toezichtsarrangement;

• • onduidelijkheid verslaggevingsvoorschriften: in overleg met Algemene Rekenkamer en betrokken ministeries bezien of voorschriften verduidelijkt kunnen worden.