Circulaire wijzigingen in de Regeling periodieke audit GBA

Op 1 juli 2007 start de derde GBA audit cyclus. De vernieuwing komt voort uit de evaluatie die na de tweede audit cyclus is uitgevoerd. De resultaten van die evaluatie zijn aanleiding geweest de Regeling periodieke audit GBA te wijzigen. De evaluatie wees uit dat de bestaande audit op onderdelen niet effectief genoeg is binnen de huidige GBA. Bovendien zou de audit in zijn huidige vorm minder toegesneden zijn op de ontwikkelingen in de gemoderniseerde GBA.

Een algehele aanpassing van de audit is op dit moment echter nog niet mogelijk omdat de modernisering nog in gang is. Daarom is ervoor gekozen dat de aanpassingen in de derde cyclus een opmaat dienen te zijn voor de toekomstige audit die past binnen de gemoderniseerde GBA. De belangrijkste wijziging die nu heeft plaatsgevonden betreft het procesmatige deel van de audit. Deze houdt in dat de vragenlijst is gewijzigd en dit onderdeel van de audit is omgevormd tot een zelfevaluatieinstrument. Ook het inhoudelijke deel en het privacydeel van de audit zijn gewijzigd, zij het minder vergaand dan het procesmatige deel.

De wijziging van de Regeling periodieke audit GBA is gepubliceerd in Staatscourant 2007, nr. 43 en als bijlage 1 bij deze circulaire gevoegd.

Hier zal kort worden ingegaan op de belangrijkste wijzigingen in het inhoudelijke deel van de audit (waaronder de zogenaamde onherstelbare fouten), het procesmatige deel en het privacydeel.

Deze circulaire besteedt tevens aandacht aan het belang van een goede naleving van de auditverplichtingen.

De nieuwe verdelingslijst waarin wordt aangegeven in welke periode uw gemeente de audit moet (laten) uitvoeren, is als bijlage 2 opgenomen..

• – De bescheiden die ten behoeve van de audit als brondocument worden aangemerkt, zijn uitgebreid. Toegevoegd zijn nagenoeg alle documenten die worden genoemd in de Regeling bewaring GBA-bescheiden (Stcrt. 2005, 175). Deze Regeling bepaalt hoe lang documenten die zijn gebruikt voor de verwerking van GBA-gegevens dienen te worden bewaard. Deze documenten zijn van belang om te controleren of de gegevens op de persoonlijst correct zijn opgenomen.

• – Verduidelijkt is dat aan de auditor slechts die brondocumenten hoeven te worden overgelegd die bij de gemeente aanwezig dienen te zijn of waarvan alsnog een exemplaar kan worden verkregen. Dat brondocumenten aanwezig dienen te zijn volgt reeds uit de Archiefwet 1995. Sedert 11 september 2005 zijn de bewaartermijnen van deze documenten in het kader van de Wet GBA nader geëxpliciteerd in de Regeling bewaring GBA-bescheiden.

• – In de foutklassen is een aantal wijzigingen aangebracht. Een aantal afwijkingen wordt niet langer als fout beoordeeld dan wel aangemerkt als een minder zware fout.

• – De vragenlijst is gewijzigd. Vragen met betrekking tot onderwerpen die niet wezenlijk bijdragen aan de continuïteit, integriteit en exclusiviteit van de GBA zijn niet langer daarin opgenomen.

• – U vult zelf de vragenlijst met betrekking tot het procesdeel in. Vervolgens wordt de ingevulde vragenlijst, samen met recente afschriften van bepaalde documenten, aan de auditor aangeboden. Tot zover is dit gelijk aan de twee voorgaande audit cycli. De verdere uitvoering is wel gewijzigd.

• – De auditor beperkt zich in deze derde cyclus in eerste instantie tot het controleren van de door u zelfgegeven antwoorden op een aantal (hoofd)vragen en eventuele vervolgvragen. Voorbeelden van (hoofd)vragen zijn de vragen 1.1.1, 2.1.1.1 en 2.1.5.1. Voorbeelden van vervolgvragen zijn de vragen 1.2.1.1, 2.1.5.1.1 en 2.1.5.1.1.1. Een dag voordat de auditor de controle gaat uitvoeren informeert hij bij het Agentschap BPR welke vragen hij moet controleren (de door de minister aangewezen vragen). In ieder geval worden 6 willekeurig geselecteerde (hoofd)vragen gecontroleerd. Indien daar aanleiding toe is, kunnen extra, bewust gekozen, vragen ter nadere controle worden aangewezen.

• – De controle bestaat er uit dat, indien bij een (aangewezen) vraag bijvoorbeeld ‘ja’ is geantwoord, de auditor nagaat of het antwoord inderdaad ‘ja’ is. De auditor bepaalt naar eigen inzicht wat het antwoord op de vraag moet zijn.

• – Om te bereiken dat de vragenlijst correct wordt ingevuld, is een uitgebreide handreiking opgesteld.

• – De beantwoording van de aangewezen vragen kan onjuist blijken te zijn. In dat geval wordt aangenomen dat de beantwoording van de niet gecontroleerde vragen (mogelijk) ook fouten bevat. Indien uit de controle blijkt dat één of meer (hoofd)vragen dan wel twee of meer vervolgvragen onjuist zijn beantwoord, moet de beantwoording van alle vragen worden gecontroleerd. Deze controle wordt ook door de auditinstelling uitgevoerd.

• – U dient zelf vast te stellen of voor onderdelen van het procesmatige deel een heraudit nodig is. Dit doet u nadat de aangewezen vragen of, indien van toepassing, de gehele vragenlijst is gecontroleerd. U houdt bij het vaststellen van de noodzaak tot een heraudit rekening met de uitkomsten van de controle.

• – De vragenlijst kan digitaal worden ingevuld via de website van het Agentschap BPR (www.bprbzk.nl). In de digitale vragenlijst is ook de handreiking verwerkt. Daarnaast is er een functie waarmee direct inzichtelijk wordt voor welke onderdelen een heraudit noodzakelijk is. Ook is er de mogelijkheid om de behaalde resultaten te vergelijken met die van andere gemeenten (benchmarking).

• – De auditinstelling maakt een afzonderlijk verslag van de controle van het procesmatige deel. Bij brief van burgemeester en wethouders dient dit verslag naar het agentschap BPR te worden gestuurd, met daarbij gevoegd een afschrift van de vragenlijst die ter controle aan de auditor is overgelegd. Indien naar aanleiding van de controle de beantwoording is aangepast, dient tevens een juist ingevulde vragenlijst te worden meegestuurd.

• – Burgemeester en wethouders delen in hun brief tevens aan het Agentschap BPR mee voor welke onderdelen van het procesdeel een heraudit moet worden uitgevoerd.

– Een aantal vragen uit de vragenlijst van het privacydeel is overgeheveld naar de vragenlijst bij het procesdeel van de audit, omdat ze daar meer op hun plaats zijn. Voor de rest is de vragenlijst voor het privacydeel van de audit nagenoeg niet gewijzigd.

• – De auditrapportage heeft in het vervolg alleen betrekking op het inhoudelijke deel en het privacydeel van de audit. Van de controle van het procesmatige deel van de audit maakt de auditinstelling, zoals aangeven, een afzonderlijk verslag.

• – De verplichting om de managementsamenvatting van de auditrapportage naar het Agentschap BPR te sturen, blijft ongewijzigd.

• – De vergoeding voor de audit blijft ongewijzigd.

De gewijzigde Regeling periodieke audit GBA kunt u raadplegen via www.overheid.nl. De bij de regeling horende bijlagen zijn ter inzage gelegd bij het Agentschap BPR. De bijlagen zijn ook te raadplegen op de website van het Agentschap (www.bprbzk.nl).

Het College bescherming persoonsgegevens (Cbp) heeft ondermeer als taak toe te zien of de gemeenten hun auditverplichtingen op een juiste wijze uitvoeren. Het Cbp heeft onlangs de gemeenten die hun (her)auditverplichtingen uit de eerste en tweede cyclus niet zijn nagekomen uitgenodigd voor een hoorzitting.

Ook gedurende de derde cyclus zal het Cbp er nauw op toezien dat de auditverplichtingen door de gemeenten worden nagekomen. Tussen het Cbp en het Agentschap BPR zijn hieromtrent afspraken gemaakt. BPR zal gemeenten rappelleren indien (her)audit termijnen dreigen te worden overschreden. Zodra een termijn is overschreden wordt het Cbp geïnformeerd. Het Cbp kan aan een gemeente die deze verplichtingen niet nakomt een dwangsom opleggen.

De concept verdelingslijst is op 16 februari 2007 aan de gemeenten toegestuurd (artikel 53a, derde lid, Besluit GBA). Naar aanleiding van de reacties is de verdeling op een aantal punten aangepast. De definitieve verdelingslijst is als bijlage 2 opgenomen bij deze circulaire.