Brief regering : Beleidsreactie onderzoeken IV-governance Rijk en besluit toekomst BIT

Nr. 656 BRIEF VAN DE MINISTER VAN BINNENLANDSE ZAKEN EN KONINKRIJKSRELATIES

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 20 december 2019

Aanleiding

Sinds de aanbevelingen van de Commissie Elias in 2014 (Kamerstuk 33 326, nr. 5) is veel werk verzet om de sturing op de informatievoorziening (IV) binnen de Rijksdienst
te verbeteren. Zo is het CIO-stelsel versterkt, is de positie van de CIO geborgd en
is het tijdelijke Bureau ICT-toetsing (BIT) opgericht. Hiermee is de afgelopen jaren
een grote bijdrage geleverd aan de beheersbaarheid van grote ICT-projecten. In diezelfde
periode zijn het tempo en de complexiteit van digitale ontwikkelingen binnen de samenleving
en de overheid echter ook alleen maar verder toegenomen, wat ons dwingt om scherp
te blijven kijken naar de effectiviteit en toekomstbestendigheid van de huidige governancestructuur.

De Minister van BZK heeft in oktober vorig jaar aangekondigd dat het kabinet, in het
licht van de digitale ontwikkelingen, de sturing op alle aspecten van IV (waaronder
informatiebeveiliging, ICT-beheersing en IT-beheer) binnen de Rijksdienst verder wil
versterken.1 Ten behoeve hiervan zijn de coördinerende bevoegdheden voor de Minister van BZK vergroot
en is een nieuw pakket aan maatregelen aangekondigd, waar nu binnen de Strategische
I-agenda 2019–2021 door CIO Rijk en het CIO-beraad uitvoering aan wordt gegeven.

Uw Kamer heeft met de motie Middendorp2 de Minister van BZK destijds, in reactie op deze sturingsmaatregelen, verzocht om
ook de meerwaarde van een eventuele Rijksinspectie Digitalisering te verkennen.3 Deze verkenning is recent door ABDTOPConsult opgeleverd, waarbij in de volle breedte
is onderzocht hoe de IV-governance binnen het Rijk verder versterkt kan worden. Dit
heeft geresulteerd in het bijgesloten rapport «IV en overheid: de pubertijd voorbij?».

Het functioneren van het BIT, als onderdeel van de bestaande governance-structuur,
is sinds november 2018 eveneens met een tweetal onafhankelijke onderzoeken geëvalueerd.
De uitkomsten van het eerste onderzoek, de in opdracht van de Toezichtsraad BIT uitgevoerde
periodieke evaluatie, heb ik reeds op 29 maart jl. aan uw Kamer aangeboden maar is
hier voor de volledigheid nogmaals bijgesloten.4

De recent afgeronde beleidsdoorlichting BIT, die door onderzoeksbureau TwynstraGudde
is uitgevoerd, is eveneens bijgesloten. In deze brief reageer ik op aanbevelingen
van deze drie samenhangende onderzoeken. Mijn voorgenomen besluit over de toekomst
van het BIT maakt onderdeel uit van deze reactie.

Opvolging aanbevelingen IV-governance

ABDTOPConsult heeft met inachtneming van de uitgangspunten van de motie Middendorp5 onderzocht hoe de besluitvorming over sturing op en beheersing van ICT en digitalisering
kan worden verbeterd en hoe een cultuur van kennisdeling en lerend vermogen kan worden
gestimuleerd.

Er is in dit verband de afgelopen jaren al het nodige bereikt. De positieve effecten
van eerdere maatregelen, zoals de introductie en inrichting van het CIO-stelsel, zijn
goed zichtbaar in de kwaliteit van de digitale publieke dienstverlening. ABDTOPConsult
merkt in dit verband op dat we op dit terrein internationaal zelfs tot de koplopers
behoren.6

Tegelijkertijd is diezelfde digitalisering inmiddels van cruciaal belang voor alle
overheidstaken, zijn berichten over te dure of mislukte ICT-projecten nog te frequent
en plaatst de toenemende complexiteit van het ICT-landschap ons voor nieuwe uitdagingen.
Een volgende stap op het groeipad naar volwassenheid is dus nodig. ABDTOPConsult concludeert
dat een versterking van de IV-governance langs drie lijnen hier een wezenlijke bijdrage
aan kan leveren. Ondanks dat er al veel is bereikt met de CIO-functie in beleid en
uitvoering is het nodig om die functie op departementaal niveau te versterken. Ook
is hiervoor nodig dat het takenpakket en de positionering van de CIO-Rijk worden versterkt
en de positie van het BIT sterker wordt verankerd, met een verbreding van het takenpakket
en een permanente status.

Daarbij geldt dat departementen verantwoordelijk zijn voor hun eigen IV, net zoals
departementen verantwoordelijk zijn voor hun eigen begroting. Materieel ontstaat hiermee
een governancestructuur die vergelijkbaar is, maar nadrukkelijk niet een-op-een te
spiegelen is, met de governance binnen het financiële domein. Oprichting van een aparte
Rijksinspectie Digitalisering, zoals beoogd met de motie Middendorp die aan de basis
lag van dit onderzoek, wordt op basis van deze analyse door ABDTOPConsult ontraden.

Ik beschouw de conclusies van dit onderzoek in de eerste plaats als een ondersteuning
van de koers die de Minister van BZK vorig jaar heeft ingezet. Uitgangspunt daarbij
is dat de primaire verantwoordelijkheid voor de digitaliseringsopgave binnen de verschillende
beleidsterreinen van de rijksoverheid belegd moet zijn bij de individuele vakministers.
De verwevenheid van IV in vrijwel alle departementale processen maakt dat een vereiste
voor effectieve sturing en beheersing.

Diverse aanbevelingen, zoals de voorgestelde sturing langs de lijn van departementale
IV-plannen, de versterking van de positie van departementale CIO’s en verzwaring en
herpositionering van CIO-Rijk binnen het CIO-stelsel, zijn ook al voornemens in de
Strategische I-agenda 2019–2021 die op basis van deze aanbevelingen verder kunnen
worden geconcretiseerd.

In bijlage 1 ga ik puntsgewijs in op de voorziene opvolging van de aanbevelingen uit
het rapport7. Bij een aantal aanbevelingen acht ik het van belang om de voorziene opvolging ook
hier nader toe te lichten.

IV-cyclus

ABDTOPConsult adviseert om een proces in te richten waarbij departementen jaarlijks
op Prinsjesdag een meerjarig IV-plan naar de Tweede Kamer sturen, als bijlage van
hun begroting. Daarbij zou, naar analogie van de Miljoenennota, door de Minister van
BZK ook een Rijksbrede IV-nota moeten worden aangeboden. Deze IV-nota beschrijft de
belangrijkste ontwikkelingen, prioriteiten en plannen op het gebied van digitalisering
en ICT, zowel departementaal (op basis van de departementale IV-plannen), als Rijksbreed.
Aanbevolen wordt tevens dat de Minister van BZK op Verantwoordingsdag aan de hand
van een Rijksbreed IV-jaarverslag verantwoording aflegt aan de Tweede Kamer. Hiermee
ontstaat een IV-cyclus die parallel loopt aan de begrotingscyclus, met vergelijkbare
producten maar specifiek gericht op IV.

Deze aanbevelingen passen bij het streven van het kabinet om de IV-cyclus nauwer te
verbinden met de F-cyclus. Echter, ook hierbij merk ik op dat deze cycli niet één
op één aan elkaar te spiegelen zijn. Een betere verbinding vergt daarom tijd, maar
kan beide domeinen wel versterken. In dit verband wordt ook reeds gewerkt aan een
kwaliteitskader voor departementale IV-plannen.8 Dit kwaliteitskader zal in 2020 worden vastgesteld ten behoeve van Rijksbrede implementatie.
Over de verdere opvolging van de aanbevelingen met betrekking tot de IV-cyclus wil
ik in kabinetsverband de komende periode nadere afspraken maken. Ik kom voor de zomer
met een brief waarin ik u over die verdere opvolging informeer.

Departementale CIO’s

Geadviseerd wordt om de rol van departementale CIO’s in een taakbesluit, naar analogie
van het Besluit FEZ van het Rijk, te versterken en te verhelderen. Ik hecht eraan
dat de ICT-expertise van de CIO’s en hun offices vroegtijdig in het beleidsproces
betrokken wordt om de ICT-consequenties van beleidsvoornemens al vanaf het begin van
de planvorming mee te nemen. Daaruit volgt dat het zwaartepunt van hun taak moet liggen
op advisering aan de voorkant in plaats van controle aan de achterkant. Ook is noodzakelijk
dat de verschillende rollen, taken, verantwoordelijkheden en bevoegdheden binnen het
CIO-stelsel in goede samenhang worden gepresenteerd en verankerd. In de Strategische
I-agenda heb ik in dit verband reeds de voornemens gedeeld om het huidige functieprofiel
van departementale CIO’s te actualiseren, om een functieprofiel voor departementale
CISO’s vast te stellen en beide rollen te formaliseren.

Ik verbreed de opvolging van de aanbeveling tot ontwikkeling van een CIO-taakbesluit
om die reden naar een Besluit CIO-stelsel Rijksdienst. De reikwijdte van dit besluit
beperkt zich niet enkel tot de kerndepartementen maar zal gelden voor alle onderdelen
van de Rijksdienst, inclusief agentschappen. Ten behoeve van de samenhang worden naast
de CIO-functie en de departementale CISO’s ook de functies van de CIO Rijk, de in
juli jl. aangekondigde CISO Rijk i.o.9 en de positie van het CIO-beraad in het besluit vastgelegd. Ik betrek de meer specifieke
aanbevelingen van ABDTOPConsult over taken en bevoegdheden binnen het CIO-stelsel
in de verdere uitwerking van dit besluit.

De CIO-advisering ontleent ook nu al een gezag aan het uitgangspunt dat grote ICT-ontwikkelprojecten
en onderhoudsactiviteiten10 enkel kunnen starten of voortgezet worden met een positief CIO-oordeel. Dit uitgangspunt
zal ook in het aangekondigde Besluit CIO-stelsel Rijksdienst als zodanig worden vastgelegd.

De departementale IV-plannen moeten in dit verband gedragen en in de bestuursraad
vastgestelde uitgangspunten bieden voor het departementale IV-beleid, die een CIO
(en in het verlengde hiervan het BIT) in adviezen en oordelen kan betrekken.

Geadviseerd wordt om CIO-oordelen uit te voeren in de fase van planvorming, voorafgaande
aan een eventuele BIT-toets. Ik acht dit wenselijk, met dien verstande dat het geven
van een CIO-oordeel mijns inziens niet beperkt kan zijn tot het stadium van planvorming
maar gedurende de hele levenscyclus van ICT-(door)ontwikkeling, vernieuwing en onderhoud
mogelijk moet zijn. Ook dit uitgangspunt zal worden vastgelegd in het Besluit CIO-stelsel
Rijksdienst. Het besluit zal de komende maanden in het CIO-beraad gezamenlijk worden
voorbereid. Ik streef ernaar om dit besluit voor de zomer vast te stellen en met uw
Kamer te delen.

Coördinatie CIO-stelsel

Zoals ABDTOPConsult in haar toelichting op de bestaande governancestructuur aangeeft,
kan de CIO Rijk zich reeds beroepen op de versterkte bevoegdheden van de Minister
van BZK in het in 2018 gewijzigde Coördinatiebesluit.11

Daarmee is onder andere geregeld dat de Minister van BZK, na overleg met de andere
ministers, Rijksbreed geldende IV-kaders en gemeenschappelijke voorzieningen kan vaststellen.

Ik ben het met de onderzoekers eens dat het wenselijk is om de functie-specifieke
taken en bevoegdheden van de CIO Rijk, voortvloeiend uit het Coördinatiebesluit en
de stelselverantwoordelijkheid van de Minister van BZK, nader te concretiseren en
te verankeren. Dit zal worden meegenomen in het Besluit CIO-stelsel Rijksdienst en
door aanpassing van het Mandaatbesluit BZK.12

Bevorderen lerend vermogen

De aanbeveling om te investeren in een cultuur van kennisdeling en lerend vermogen
zie ik als een steun van onze huidige inspanningen. Het bevorderen van het lerend
vermogen op het terrein van ICT-beheersing en digitalisering binnen het Rijk wordt
in het Besluit CIO-stelsel Rijksdienst een expliciete taak van CIO Rijk en de CIO’s.

De kennis- en adviesfunctie bij Directie CIO Rijk zal in dit verband de komende jaren
structureel versterkt worden om permanent in deze behoefte te kunnen voorzien. Ook
bij departementale CIO-offices zal rekening moeten worden gehouden met deze taakverzwaring.
In nauwe samenwerking met I-interim Rijk zal BZK bovenop de staande flex-capaciteit
een flexibele schil (onder de werktitel CIO Flex) met hooggekwalificeerde ICT-specialisten
realiseren, die vanuit Directie CIO Rijk op aanvraag volledig ten dienste staan van
het CIO-stelsel.

Zowel de CIO-offices als het BIT kunnen gebruikmaken van deze extra capaciteit, waardoor
het lerend vermogen binnen het stelsel structureel bevorderd kan worden. De oprichting
van CIO Flex kan ook een volgende stap en professionele uitdaging bieden voor excellerende
Rijks I-trainees, na afronding van het traineeship.

Opvolging aanbevelingen Bureau ICT-toetsing

In het onderzoek van ABDTOPConsult, de externe evaluatie van het BIT en in de beleidsdoorlichting
BIT worden gelijksoortige conclusies getrokken over het functioneren van het BIT.
Ook de aanbevelingen over de toekomst van het BIT zijn vrij eenduidig. In bijlage
2 en 3 van deze brief licht ik de opvolging van respectievelijk het AEF-rapport (evaluatie
BIT) en het TwynstraGudde-rapport (beleidsdoorlichting BIT) puntsgewijs toe13. Mijn reactie op hoofdlijnen en mijn hierop gebaseerde besluit over de toekomst van
het BIT deel ik hier met u.

Voortzetting BIT

Alle voorgenoemde onderzoeken wijzen uit dat het BIT, als functie binnen het bredere
stelsel, een positief effect heeft op de ICT-beheersing binnen de overheid. TwynstraGudde
benoemt in dit verband de wenselijkheid van een structurele rol, een vast taakbudget
en vast taakvolume.

AEF wijst op het belang om de continuïteit van het bureau te garanderen en te voorkomen
dat de hooggekwalificeerde medewerkers door onzekerheid over de toekomst voortijdig
vertrekken. ABDTOPConsult ziet een deskundige, onafhankelijke en transparante beoordeling
en toetsing van ICT-projecten en ICT-portfolio’s als «sluitstuk» van een professioneel
CIO-stelsel.

Zij stelt dat het in de rede ligt om het BIT een permanente status te geven. Ik heb
eerder al in de richting van uw Kamer uitgesproken dat de functie van het BIT mijns
inziens ook in de toekomst noodzakelijk zal blijven en neem dit advies dan ook over.

Positionering BIT

De vraag waar het BIT na afloop van het huidige instellingsbesluit eind 2020 gepositioneerd
zal moeten worden, is de afgelopen maanden een aantal keer gekoppeld aan de perceptie
dat de onafhankelijkheid van het BIT in zijn huidige positie onvoldoende gewaarborgd
zou zijn.

Ik benadruk in dit verband nogmaals dat de onafhankelijke taakuitvoering van het BIT
nooit in het geding is geweest. BIT-adviezen worden in alle gevallen onafhankelijk
vastgesteld en ongewijzigd door mij aangeboden aan de verantwoordelijk bewindspersonen.

De Toezichtsraad BIT heeft dit, ook in correspondentie met BZK, herhaaldelijk bevestigd.
De rapporten van AEF, TwynstraGudde en ABDTOPConsult bevestigen deze conclusie.14

Dat gezegd hebbende wijzen de onderzoeksconclusies wel op het feit dat de huidige
positionering van het BIT als dienstonderdeel van het Ministerie van BZK, ondanks
de aanwezige waarborgen, in theorie een risico op belangenconflicten in zich meedraagt15 en dat deze positionering vragen kan blijven oproepen over de onafhankelijkheid.
Dat maakt de rol en positie van het BIT kwetsbaar.16

Ten aanzien van alternatieve scenario’s voor positionering zijn de adviezen als volgt;
Uitgaande van de bestaande positionering binnen BZK, buiten de Directie CIO Rijk,
ziet AEF geen alternatief dat evident beter is. Wel adviseert AEF om nader te onderzoeken
of positionering rechtstreeks onder de secretaris-generaal van het Ministerie van
BZK voordelen heeft ten opzichte van de huidige positionering onder de DG Overheidsorganisatie.17

TwynstraGudde stelt dat positionering hoog in de ambtelijke BZK-organisatie voor de
hand liggend is, naar analogie met de positionering van de Inspectie der Rijksfinanciën
(IRF) of als aparte autoriteit met eigen structuur zoals bijvoorbeeld de Autoriteit
Financiële Markten.18

ABDTOPConsult concludeert dat zowel positionering binnen BZK (onder de secretaris-generaal
of, met de nodige voorwaarden, onder CIO Rijk), alsook positionering onder het Ministerie
van Financiën als separate kamer van de Auditdienst Rijk (ADR) begaanbare opties zijn.19

BIT als onafhankelijk adviescollege

Zoals aangegeven in mijn brief van 20 september jl.20 vloeit mijn besluit over de toekomstige positionering van het BIT voort uit de gecombineerde
aanbevelingen van de drie onderzoeken en een zorgvuldige weging van mogelijke scenario’s
op basis van onderscheidende criteria.

Het criterium van onafhankelijkheid, in wezen én in schijn, weegt hierbij zwaar. Ik
vind het onwenselijk voor de werking van het BIT én het vertrouwen in de overheid,
als het onafhankelijk functioneren van het BIT een punt van discussie zou blijven.
Het BIT moet ook in de toekomst kwalitatief hoogwaardige, en daarmee ook kritische,
openbare oordelen kunnen vellen over ICT-beheersing binnen de overheid.

Ik kies, alles overwegende, voor een positionering van het BIT als op afstand geplaatste
toetsingsautoriteit. Het BIT gaat daarmee na 2020 verder als onafhankelijk adviescollege,
met een wettelijke grondslag.

De positie die het BIT hiermee krijgt is vergelijkbaar met die van het Adviescollege
Toetsing Regeldruk (ATR), dat eveneens gevraagd en ongevraagd externe en onafhankelijke
toetsen uitvoert binnen zijn taakgebied.21

Het BIT komt in zijn nieuwe positionering verder op afstand te staan, maar blijft
wel onder de (beperkte) ministeriële verantwoordelijkheid van de Minister van BZK.
Ik deel de rode draad uit de verschillende onderzoeken dat die positionering passend
is bij de integrale stelselverantwoordelijkheid van BZK voor ICT en digitalisering
binnen de rijksoverheid.

Als denkkader voor de positionering van het BIT is het binnen de rijksoverheid toegepaste
model voor risicobeheersing en verantwoording gehanteerd:

De opdrachtgever is eigenaar van de projectrisico’s en verantwoordelijk voor de beheersing.
Dit wordt aangeduid als de «eerste lijn van beheersing».

De CIO’s vervullen de tweedelijns advies- en controlfunctie ten aanzien van risico’s,
kansen en samenhang van het totale ICT-portfolio binnen organisaties.

De werkzaamheden van de ADR als interne auditor behoren tot de derde lijn. In opdracht
van o.a. CIO Rijk (die qua verantwoordelijkheid ook in deze lijn opereert) controleert
de ADR onder meer de naleving van Rijksbrede uitgangspunten en kaders voor informatievoorziening.

De vierde lijn refereert aan het BIT dat als externe onafhankelijke organisatie projecten
met een meerjarig ICT-component van € 5 miljoen toetst en hierover rapporteert aan
zowel de Tweede Kamer als bewindspersonen. De werkzaamheden van de Algemene Rekenkamer
behoren eveneens tot de vierde lijn.

Ook ten behoeve van de rechtstreekse toegang van uw Kamer tot het BIT verdient een
positie als adviescollege de voorkeur boven een voortzetting als dienstonderdeel binnen
de rijksoverheid. In artikel 17 van de Kaderwet Adviescolleges is reeds voorzien in
de mogelijkheid voor beide Kamers van de Staten-Generaal om een adviescollege rechtstreeks
te verzoeken om toetsing of advies.22

In de instellingswet van het adviescollege zal worden opgenomen dat het functioneren
van het BIT periodiek onafhankelijk zal worden geëvalueerd, zoals nu ook reeds in
het instellingsbesluit BIT is vastgelegd.

Bevorderen lerend vermogen

Het BIT heeft de afgelopen jaren met zijn toetsing gewerkt aan een betere beheersing
van grote ICT-projecten binnen de overheid. Bij de oprichting van het BIT in 2015
is in dit verband ook het bevorderen van de taakvolwassenheid en het lerend vermogen
rond ICT-beheersing binnen de overheid als taak meegegeven. Die taak blijft relevant.
Hoewel BIT-toetsen de afgelopen jaren een duidelijk leereffect hebben gehad op alle
onderdelen van het CIO-stelsel, kan naar mijn mening de rol van het BIT ten bate van
het lerend vermogen in goede samenhang met de kennis- en adviestaken van CIO Rijk
en de CIO’s verder worden versterkt. TwynstraGudde adviseert in dit verband om te
investeren in structurele kennisoverdracht van BIT-kennis naar opdrachtgevers en het
CIO-stelsel.23 AEF merkt hierbij op dat de kosten en baten van een mogelijk grotere rol van het
BIT in het uitdragen van de geleerde lessen goed gewogen moeten worden in relatie
tot de beschikbare toetscapaciteit.24

De taak om het lerend vermogen te bevorderen zal worden vastgelegd in de instellingswet
van het adviescollege en van de benodigde extra capaciteit worden voorzien. In dit
verband zal ook geïnvesteerd worden in het versterken van de kennisfunctie van CIO
Rijk. Hiervoor zal vanaf 2020 binnen de Directie CIO Rijk ook meer capaciteit beschikbaar
worden gesteld. Het BIT zal als kennispartner binnen het stelsel tevens samen met
CIO Rijk de geleerde lessen uit toetsen omzetten in toepasbare handreikingen.

Concretisering toetskader

In de onderzoeken van TwynstraGudde en ABDTOPConsult wordt aanbevolen dat het toetskader
van het BIT nader wordt geconcretiseerd, om de objectiveer-baarheid en voorspelbaarheid
van de uitkomsten van BIT-toetsen te vergroten.25 In 2015 is door de Minister voor Wonen & Rijksdienst gekozen voor een toetskader
op basis van «richtinggevende principes».26 Daarmee wordt de benodigde ruimte geboden voor expert-toetsing. Dit is een werkwijze
die ik ten behoeve van de kwaliteit van de BIT-toetsen ook naar de toekomst toe wil
behouden.

Echter, zoals in de brief van de Minister voor W&R in 2015 reeds is aangegeven, kan
dit kader worden bijgesteld wanneer de toetspraktijk daartoe aanleiding geeft.27 Die aanleiding blijkt uit deze onderzoekaanbevelingen.

Het BIT zal daarom in aanloop naar de omvorming tot adviescollege het toetskader doorontwikkelen
zodat binnen de benodigde ruimte voor experttoetsing een betere objectiveerbaarheid
en navolgbaarheid ontstaat, zonder te vervallen in een afvinklijst. De relevante door
CIO Rijk opgestelde Rijksbrede beleid- en kwaliteitskaders en vastgestelde (internationale)
normen zijn hier integraal op van toepassing. Het proces voor toekomstige herzieningen
van het toetskader zal in de instellingswet van het adviescollege worden vastgelegd.

Takenpakket BIT

Vanuit de onderzoeken wordt een aantal aanbevelingen gedaan over de wenselijkheid
van taakuitbreiding van het BIT. ABDTOPConsult adviseert in dit verband om het BIT
naast de bestaande toetsing en beoordeling van individuele ICT-projecten, ook gevraagd
en ongevraagd ICT-portfolio’s over de volle breedte te laten toetsen en beoordelen.

In de brief van de Minister van BZK van 2 juli 2019 is reeds het voornemen gedeeld
om de taken, bevoegdheden, verantwoordelijkheden van departementale CIO’s te verbreden
naar de hele levenscyclus van het ICT-portfolio; inclusief ICT-beheeraspecten.

De aanbeveling om die reikwijdte ook te hanteren voor de toetsing door het BIT is
in lijn met deze verschuiving en kan bijdragen aan het lerend vermogen op dit terrein.
Het BIT zal zich daarom gaan richten op zowel ontwikkelprojecten als onderhoudsactiviteiten
met een grote ICT-component binnen het ICT-portfolio. Deze taakuitbreiding zal bij
de omvorming tot adviescollege worden meegenomen en van de benodigde capaciteit worden
voorzien. In 2020 zal het BIT alvast twee pilots uitvoeren om de hiervoor te ontwikkelen
expertise gefaseerd op te bouwen.

Op dit punt kom ik tegemoet aan de motie Bruins c.s.28, waarin mij werd gevraagd om de mogelijkheid te onderzoeken tot uitbreiding van de
taakopvatting van het BIT met onder andere onderhoudsvraagstukken. Uitbreiding van
de BIT-taken met advisering en toetsing op informatiebeveiligingsvraagstukken wordt
in geen van de onderzoeken aanbevolen. Deze suggestie uit de motie Bruins c.s. neem
ik daarom niet over.

ABDTOPConsult adviseert om bij BIT-toetsing ook de vraag te stellen of een project
of onderhoudsactiviteit passend is tegen de achtergrond van het bredere ICT-landschap
van een organisatie en in lijn is met het departementale IV-plan. Ik verwacht dat
toetsing met meer oog voor deze samenhang ook het handelingsperspectief voor projecten
ten goede komt. De aanbeveling neem ik daarom over, in samenhang met de aanbeveling
van TwynstraGudde die hierbij adviseert om de rol van het BIT ten aanzien van het
beoordelen van de legitimiteit (de beleidskeuze) van opdrachten voor ICT-projecten
te nuanceren.

In dit verband zal helder worden afgebakend dat een BIT-toets rechtstreeks verband
moet houden met de voorziene implicaties voor ICT-beheersing en IV-uitgangspunten,
maar geen mandaat geeft voor oordeelsvorming over de met een project of onderhoudsactiviteit
beoogde beleidsdoelstelling(en).

Ten slotte

De periode sinds de wijziging van het Coördinatiebesluit in oktober 2018 heeft een
enorme sprong in het versterken van de IV-sturing gekend. Die sprong is nodig gezien
de uitdagingen en technologische ontwikkelingen binnen maatschappij en overheid. Zoals
echter ook opgemerkt door ABDTOPConsult kost het in een groeimodel tijd voordat de
benodigde maatregelen zijn ingevoerd en de werking ervan is geborgd. Ik wijs er ook
op dat de organisatorische impact van deze ambitie op het CIO-stelsel in het geheel
erg groot is. Komend jaar zal intensief en in nauwe samenwerking tussen alle departementen
worden gewerkt aan deze transitie. Het allerbelangrijkste is naar mijn oordeel nu
dat alle betrokkenen in deze nieuwe structuur samen kunnen werken aan het bereiken
van inhoudelijke resultaten. In het kader van mijn stelselverantwoordelijkheid spreek
ik daar graag met u over verder.

De Minister van Binnenlandse Zaken en Koninkrijksrelaties,
R.W. Knops