Brief regering : Adviescollege ICT-toetsing UWV programma WORKit

26 448 Structuur van de uitvoering werk en inkomen (SUWI)

Nr. 969 BRIEF VAN DE MINISTER VAN SOCIALE ZAKEN EN WERKGELEGENHEID

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 2 februari 2023

Het Adviescollege ICT-toetsing (AcICT) heeft onderzoek verricht naar het UWV-programma
WORKit en heeft op 22 december jl. het definitieve advies opgeleverd. Het AcICT concludeert
dat het onzeker is of de doelen van WORKit worden bereikt, en doet een aantal aanbevelingen
om de haalbaarheid te vergroten. Met deze brief bied ik u het advies aan vergezeld
van mijn reactie hierop.

Ik beschouw het advies als waardevol en dank het AcICT voor het uitbrengen hiervan.

Het WERKbedrijf van UWV fungeert als trefpunt voor werkzoekenden en werkgevers. Het
WERKbedrijf biedt diensten aan vanuit de domeinen Arbeidsbemiddeling en re-integratie
(AB&R), Voorzieningen en re-integratiemiddelen, en de Arbeidsjuridische Dienst (AJD).
De primaire processen van deze domeinen worden ondersteund door de applicaties SONAR,
VERA en WBS. In 2020 is na onderzoek geconstateerd dat SONAR tekortkomingen kent op
het gebied van informatiebeveiliging en privacy (IB&P). In de Kamerbrief1 van 5 oktober 2020 is uiteengezet wat de tekortkomingen zijn, en welke maatregelen
UWV neemt om deze tekortkomingen op te lossen. Sindsdien is uw Kamer in opvolgende
brieven Stand van de uitvoering telkens geïnformeerd over de voortgang hiervan. Inmiddels
is een groot aantal issues opgelost, maar niet alle IB&P kwetsbaarheden en tekortkomingen
kunnen worden verholpen in het huidige systeem (SONAR). Ook ervaart UWV dat de applicaties
SONAR en VERA moeilijk zijn aan te passen vanwege het maatwerk en de beperkte beschikbaarheid
van benodigde expertise.

Het programma WORKit heeft daarom als doel om genoemde applicaties voor 2026 stapsgewijs
te vervangen om zo te komen tot een wendbaar, veilig en stabiel ICT-landschap. Met
deze vervanging wil het WERKbedrijf de dienstverlening aan werkzoekenden en werkgevers,
evenals de ondersteuning van medewerkers en samenwerkingspartners, verbeteren.

Hieronder sta ik stil bij de conclusies en aanbevelingen van het AcICT, en licht ik
kort toe hoe UWV opvolging geeft aan het advies.

Conclusies AcICT

De belangrijkste conclusie van het AcICT is dat het onzeker is of de doelen van WORKit
worden bereikt. Hiervoor geeft het adviescollege twee redenen.

Als eerste reden benoemt AcICT dat het programma WORKit niet gereed is op 1 januari
2026. Het adviescollege stelt hierbij dat onvoldoende inzicht is in de voortgang van
het programma door het ontbreken van een onderbouwde planning. Het risico is met name
dat te optimistisch is gepland, waardoor de kans op vertraging groot is. Zo is de
impact van niet-beproefde onderdelen («componenten») op de planning onderschat. UWV
bevestigt deze conclusie van het AcICT dat, hoewel er intussen aanzienlijke voortgang
wordt geboekt, de uitfasering van de betreffende verouderde systemen inderdaad niet
voor 2026 geheel zal zijn afgerond. De vervanging is met verschillende onzekerheden
omkleed en de planningen hieromtrent worden periodiek herijkt, waarbij het voor UWV
van doorslaggevend belang is dat de dienstverlening doorgang kan blijven vinden. Verder
stelt het adviescollege dat het onzeker is of het budget voor WORKit de komende jaren
wel beschikbaar wordt gesteld. UWV heeft zich gecommitteerd aan het programma WORKit
en de meerjarige financiering hiervan. Het fasegewijs verstrekken van het daadwerkelijk
benodigde budget aan het programma is een gebruikelijke werkwijze binnen UWV.

De tweede reden die het AcICT aanvoert voor de conclusie dat het onzeker is of de
doelen van WORKit worden bereikt, is dat de huidige aanpak niet per se leidt tot een
wendbaar en veilig ICT-landschap. Het adviescollege stelt hierbij dat de beweging
van grotere applicaties naar kleinere componenten ook nieuwe complexiteit introduceert
bij het doorvoeren van wijzigingen. Dit betreft specifiek de afhankelijkheid tussen
divisies en programma’s bij het doorvoeren van wijzigingen, maar ook het risico dat
de juiste resources (inclusief kennis en de juiste mensen) voor de verschillende nieuwe
systemen en technologieën niet voorhanden is. UWV erkent dat de beweging die is ingezet
van grotere applicaties naar kleinere componenten niet op voorhand leidt tot minder
complexiteit, en neemt de adviezen van het AcICT om de complexiteit van het ICT landschap
te beperken over. UWV beweegt doelbewust naar een ICT-landschap met generieke componenten
en gemeenschappelijke voorzieningen in de overtuiging dat het huidige ICT-landschap
met grotere applicaties die alle ondersteunende processen verzorgen, zoals bijvoorbeeld
de communicatie met klanten, niet meer past bij de moderne manier van ontwikkelen.
De applicaties worden daardoor groot en complex en voor de ondersteunende functies
moet identieke functionaliteit in veel verschillende systemen worden onderhouden.
De nieuwe wijze van werken draagt bij aan consistente en wendbare dienstverlening.
Dit wordt al zichtbaar doordat de tijd die nodig is voor het doorvoeren van wijzigingen
in nieuwe applicaties korter is dan de huidige doorlooptijden. De zorg die het adviescollege
terecht aankaart over de beperkte beschikbaarheid van resources blijft, ongeacht de
gekozen technologie, een uitdaging. Door het intern opleiden en trainen van medewerkers
tracht UWV dit risico zo goed mogelijk te mitigeren.

Opvolging adviezen AcICT

Hieronder ga ik in op de wijze waarop UWV opvolging geeft aan de adviezen van het
AcICT.

Zorg voor meer grip op de voortgang van de vervanging

Het AcICT adviseert om meer grip te krijgen op de voortgang van de vervanging. Het
adviescollege stelt hierbij dat de roadmap onderbouwd moet worden met een planning
en begrotingen en hierbij rekening gehouden moet worden met de omvang van de te vervangen
onderdelen. UWV neemt dit advies over. De roadmap zal beter worden onderbouwd, conform
het advies van het adviescollege. Om tempo te maken adviseert het AcICT daarnaast
om meer zeggenschap bij de programmamanager te beleggen. UWV neemt dit advies met
betrekking tot de rol van de programmamanager mee in een evaluatie die eind 2023 wordt
uitgevoerd. UWV heeft namelijk recent wijzigingen doorgevoerd in de governance van
het programma en is van mening dat het de stabiliteit en continuïteit van het programma
niet ten goede komt om hier op zo’n korte termijn weer wijzigingen in aan te brengen.

Realiseer de voorwaarden voor een veilig ICT-landschap

AcICT adviseert dat UWV de voorwaarden schept om de projecten binnen Werkbedrijf aan
IB&P-eisen te laten voldoen. Hiertoe adviseert het adviescollege twee maatregelen:
1) formaliseer de verantwoordelijkheid voor informatiebeveiligingsbeleid en pas het
vervolgens aan, en 2) creëer op korte termijn duidelijkheid over de wijze waarop IB&P-eisen
moeten worden verwerkt in het programma van eisen bij de aanbesteding en realisatie
van nieuwe applicaties. De formalisering van de verantwoordelijkheid voor informatiebeveiligingsbeleid
heeft UWV in gang gezet. Ook is UWV bezig met het aanpassen van het informatiebeveiligingsbeleid.
Omdat dit een omvangrijke operatie is, mede gezien de grootte van de organisatie,
zorgt UWV er tegelijkertijd voor dat bij nieuwe aanbestedingen wordt gewerkt met actuele
kaders. Het advies met betrekking tot het opnemen en verwerken van de IB&P-eisen in
het programma van eisen neemt UWV over. Met de leverancier worden afspraken over structurele
borging van IB&P en ontbindende voorwaarden op dit onderwerp contractueel vastgelegd.
Tevens wordt vastgesteld of de IB&P issues zijn opgelost door dit voorafgaand aan
contractering en gedurende het project te testen.

Reduceer complexiteit waar mogelijk

AcICT adviseert om de complexiteit van zowel de oplossingsrichting als de sturing
hierop te reduceren. Het advies is hierbij om WORKit minder afhankelijk te maken van
andere divisies en programma’s. Verder geeft AcICT aan om als divisie kritisch te
blijven op de oplossingsrichting en bij de implementatie van generieke componenten
en gemeenschappelijke voorzieningen de integratie in de «eigen» (divisie-specifieke)
context voorop te stellen. UWV neemt dit advies over en zal kritisch blijven in de
afwegingen en keuzes om voor de vervanging gebruik te maken van gemeenschappelijke
voorzieningen en generieke componenten. De afhankelijkheid tussen divisies en programma’s
blijft bestaan. De divisie Werkbedrijf heeft wel de ruimte om zelfstandig keuzes te
maken voor de aankoop of ontwikkeling van applicaties en voorzieningen die zijn gericht
op specifieke ondersteuning van haar werkprocessen en elders bij UWV niet nodig zijn.
Op basis van goede onderbouwing is afwijken van bijvoorbeeld de inzet van generieke
en gemeenschappelijke voorzieningen altijd mogelijk als dat de dienstverlening in
de breedste zin ten goede komt.

Tot slot adviseert het AcICT om de verantwoordelijkheden ten aanzien van de beheersituatie
snel helder te maken. UWV is zich bewust van de noodzaak hiervan, en gaat de consequenties
met betrekking tot bijvoorbeeld wijzigende verantwoordelijkheden snel inzichtelijk
maken in duidelijke processen en procedures.

Rest mij het AcICT nogmaals te bedanken voor het advies en de aanbevelingen. Ik vertrouw
erop dat UWV met het programma WORKit de dienstverlening aan burgers en samenwerking
met partners kan voortzetten en verbeteren.

De Minister van Sociale Zaken en Werkgelegenheid, C.E.G. van Gennip