Regeling periodieke audit GBA

• 1 In deze regeling wordt verstaan onder:

  de wet:

  de Wet gemeentelijke basisadministratie persoonsgegevens;

  het besluit:

  het Besluit gemeentelijke basisadministratie persoonsgegevens;

  de Regeling GBA:

  de Regeling gemeentelijke basisadministratie persoonsgegevens;

  auditee:

  de gemeente die onderwerp is van de audit;

  auditor:

  de medewerker van de auditinstelling die het inhoudelijke deel van de audit namens de auditinstelling uitvoert of de medewerker van de auditinstelling onder wiens verantwoordelijkheid het procesmatige en privacydeel van de audit namens de auditinstelling wordt uitgevoerd;

  auditinstelling:

  het bedrijf dat door de minister is aangewezen om de audit als bedoeld in artikel 120a van de wet uit te voeren;

  kwaliteitsbrochure:

  een vanwege de minister uitgegeven brochure, bedoeld in artikel 8;

  de minister:

  de Minister van Binnenlandse Zaken en Koninkrijksrelaties;

  het agentschap BPR:

  het agentschap Basisadministratie Persoonsgegevens en Reisdocumenten van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties;

  de persoonslijst:

  de in het GBA-systeem van de auditee opgeslagen persoonslijst als bedoeld in artikel 1 van de Wet GBA.

• 2 Brondocumenten als bedoeld in deze regeling zijn de kopie van de persoonskaart van het Vestigingsregister en Nederlandse brondocumenten die door instanties in Nederland zijn opgemaakt, niet zijnde de persoonskaart. Indien het college van burgemeester en wethouders het brondocument niet heeft bewaard, dient het college van burgemeester en wethouders bij de desbetreffende instantie een nieuw exemplaar op te vragen. Het betreffen derhalve: de kopie van de persoonskaart, (kennisgevingen van) akten van de burgerlijke stand, besluiten, (afschriften van) rechterlijke uitspraken, kennisgevingen van het gezagsregister (voorheen het voogdijregister en kennisgevingen van het curateleregister, tenzij deze de vorm hebben van een Og01-, Og11-, Tb01- dan wel een TB02-bericht.

• 1 Voor de uitvoering van deze regeling wordt verstaan onder het aantal inwoners van een gemeente: het aantal inwoners volgens de door het Centraal Bureau voor de Statistiek openbaar gemaakte bevolkingscijfers per 1 januari van het jaar waarin een audit wordt uitgevoerd.

• 2 Bij de uitvoering van de heraudit wordt uitgegaan van hetzelfde aantal inwoners dat ingevolge het eerste lid voor de audit is vastgesteld.

De auditrapportage bevat minimaal de volgende elementen:

• a. de bevindingen van het inhoudelijke deel van de audit;

• b. de bevindingen van het procesmatige deel van de audit;

• c. de bevindingen van het privacydeel van de audit;

• d. de managementsamenvatting, bevattende de in artikel 53c, tweede lid, van het besluit bedoelde onderdelen van de auditrapportage.

• 1 Omtrent het inhoudelijke deel van de audit wordt minimaal opgenomen:

  • a. de zichtbare onvolkomenheden in de gecontroleerde persoonslijsten;

  • b. de wijze van uitvoering van de niet-selecte steekproef;

  • c. welke select verzamelde persoonslijsten zijn gecontroleerd;

  • d. de bevindingen.

• 2 Ten aanzien van de niet-selecte steekproef worden de feitelijke bevindingen en geconstateerde afwijkingen onderverdeeld in foutklassen.

• 1 Omtrent het procesmatige deel van de audit wordt minimaal opgenomen:

  • a. de zichtbare onvolkomenheden in de documentatie;

  • b. hoe dit deel van de audit is uitgevoerd, welke aanvullende documenten zijn geraadpleegd, welke controles en interviews zijn uitgevoerd;

  • c. welke bevindingen zijn geconstateerd.

• 2 De bevindingen voor de aspecten back-up, herstel, uitwijk en beveiliging worden onderverdeeld naar:

  • a. de verplichte maatregelen en voorzieningen die niet zijn getroffen;

  • b. de verplichte maatregelen en voorzieningen die niet zijn nageleefd;

  • c. de risico's die zijn onderkend ten aanzien van de onderdelen back-up, herstel, uitwijk en beveiliging, ongeacht of van de voorschriften is afgeweken.

De rapportage bevat de bevindingen in het kader van het privacydeel van de audit. Artikel 18, eerste lid, is van overeenkomstige toepassing.

In verband met de bescherming van de persoonlijke levenssfeer van de burger zijn de feitelijke bevindingen bij het inhoudelijke deel van de audit op een zodanige wijze beschreven dat de gegevens niet zijn te herleiden tot een individuele persoon.

• 1 De managementsamenvatting bestaat uit de volgende elementen:

  • a. een passage waaruit blijkt welke auditoren het inhoudelijke deel van de audit hebben uitgevoerd, onder wiens verantwoordelijkheid het procesmatige deel van de audit is uitgevoerd en wanneer welke onderdelen van de audit zijn uitgevoerd, en, indien sprake is geweest van uitbesteding door de auditinstelling, welk deel aan welke instantie is uitbesteed;

  • b. een verklaring dat het inhoudelijke deel van de audit onderscheidenlijk het procesmatige deel dan wel het privacydeel van de audit niet, dan wel geheel of gedeeltelijk is uitgevoerd met behulp van computers en geautomatiseerde uitrusting;

  • c. de conclusies, onderverdeeld naar:

    • 1º de niet-selecte persoonslijsten, waarbij per foutklasse wordt aangegeven welke afwijkingen zijn aangetroffen en of de geldende norm is overschreden;

    • 2º de select getrokken persoonslijsten, waarbij wordt aangegeven welke afwijkingen zijn aangetroffen;

    • 3º de verplichte maatregelen en voorzieningen met betrekking tot back-up, herstel en uitwijk die niet zijn getroffen;

    • 4º de in het procesmatige deel van de audit onderkende risico's op het terrein van back-up, herstel, uitwijk en beveiliging;

    • 5º de uitkomsten van het privacydeel van de audit, onder vermelding van de geconstateerde tekortkomingen;

    • 6º de onderdelen waarvoor een heraudit verplicht is dan wel de mededeling dat geen heraudit verplicht is;

    • 7º de afspraken die de auditee met de auditor heeft gemaakt naar aanleiding van de bespreking van het concept van de auditrapportage.

  • d. een passage met aanbevelingen en voorgestelde maatregelen ter verbetering van bij de auditee in het kader van een audit of een heraudit geconstateerde afwijkingen en tekortkomingen.

• 2 Een afschrift van de managementsamenvatting wordt op het in artikel 21a, derde lid, bedoelde tijdstip gezonden naar het agentschap BPR.

• 3 De managementsamenvatting wordt gedurende zeven jaren door de auditee bewaard.

• 1 Uiterlijk twee maanden nadat met de uitvoering van de audit is begonnen, wordt een concept van de auditrapportage voorgelegd aan de auditee.

• 2 Het concept van de auditrapportage wordt vervolgens met een vertegenwoordiger van de auditee besproken.

• 3 De uiteindelijke auditrapportage wordt uiterlijk twee maanden nadat deze aan de auditee is voorgelegd, vastgesteld en door de auditor of een door de auditinstelling gemachtigd personeelslid ondertekend.

• 4 De termijn van een jaar, bedoeld in artikel 120a, vijfde lid, van de wet vangt aan op het moment dat de auditrapportage is vastgesteld, dan wel op het tijdstip dat deze ingevolge het derde lid uiterlijk had moeten zijn vastgesteld.

• 1 De vergoeding, bedoeld in artikel 120a, vierde lid, van de wet bedraagt voor in 2002 gehouden audits:

  • a. voor gemeenten met minder dan 20.000 inwoners: € 3641,-;

  • b. voor gemeenten met 20.000 tot 100.000 inwoners: € 4911,-;

  • c. voor gemeenten met 100.000 of meer inwoners: € 6181,-.

• 2 De in het eerste lid bedoelde bedragen worden jaarlijks, voor het lopende kalenderjaar, geïndexeerd conform het eerste in dat jaar door het Centraal Bureau voor de Statistiek bekend gemaakte voorlopige indexcijfer voor ‘CAO-lonen van alle werknemers, bruto uurloon, inclusief bijzondere beloningen voor de commerciële dienstverlening’ voor het voorafgaande jaar.

• 1 Bij de niet-selecte steekproef is een heraudit verplicht als er

  meer fouten zijn geconstateerd dan de desbetreffende norm toestaat.

• 2 Een heraudit is verplicht bij een negatief antwoord op één van de onderdelen 1.1 tot en met 1.4, 2, 3.1 tot en met 3.4, 4, 5.1 tot en met 5.3, 6.1.1, 6.1.2, 6.2, 6.3, 7.1, 7.7, 7.9 tot en met 7.12, 8.1, 9 en 10 uit bijlage 2, dan wel het ontbreken van één van de in die onderdelen gevraagde afschriften.

• 3 De in het tweede lid genoemde onderdelen 1.1 tot en met 1.4, 2, 3.1, 3.3, 3.4, 5.2, 5.3, 7.1 en 7.7 uit bijlage 2 wordt ook getoetst of de voorgeschreven maatregelen zijn getroffen en in de praktijk worden nageleefd.

• 4 Een heraudit is verplicht bij een negatief antwoord op één van de onderdelen 1.1 tot en met 1.3, 2, 3.2, 3.3, 4.1 en 6 tot en met 9 uit bijlage 3, dan wel het ontbreken van één van de in die onderdelen gevraagde afschriften.

De heraudit wordt overeenkomstig de volgende eisen uitgevoerd:

• 1 De heraudit betreft alleen het onderdeel of de onderdelen waarvoor een heraudit verplicht is. In dit kader bestaan er zes onderdelen, te weten de drie soorten gegevens onderverdeeld in foutklassen A, B en C van het inhoudelijke deel van de audit, de twee aspecten back-up en herstel en uitwijk van het procesmatige deel van de audit en het privacydeel van de audit.

• 2 Er wordt bij de heraudit gecontroleerd of de auditee zodanige maatregelen heeft getroffen dat de kwaliteit van de desbetreffende onderdelen nu wel voldoende is.

• 3 Voor een heraudit met betrekking tot de gegevens in foutklassen A, B of C is het gestelde in paragraaf 1 van hoofdstuk 2 van overeenkomstige toepassing.

• 4 Voor een heraudit met betrekking tot de aspecten back-up, herstel of uitwijk is het gestelde in paragraaf 2 van hoofdstuk 2 van overeenkomstige toepassing.

• 5 Voor een heraudit met betrekking tot het privacydeel is het gestelde in paragraaf 3 van hoofdstuk 2 van overeenkomstige toepassing.

• 6 Artikel 21 en 21a zijn van overeenkomstige toepassing.

• 1 De auditinstelling of de organisatie waarvan ze deel uitmaakt is juridisch identificeerbaar.

• 2 De auditinstelling beschikt over documentatie die globaal het gehele werkgebied beschrijft waarin ze bekwaamheid bezit en gedetailleerd het werkgebied dat onderwerp is van de audit.

• 3 De auditinstelling heeft een gepaste aansprakelijkheidsverzekering, tenzij haar aansprakelijkheid is overgenomen door de Staat, volgens nationale wetten, of door de organisatie waarvan ze deel uitmaakt. In het laatste geval heeft de desbetreffende organisatie een gepaste aansprakelijkheidsverzekering. In het geval dat er sprake is van een aansprakelijkheidsverzekering, is het eventuele eigen risico in overeenstemming met de financiële situatie van de organisatie.

• 4 De auditinstelling beschikt over documentatie waarin haar zakelijke voorwaarden beschreven staan.

• 1 De auditor is volledig vrij van commerciële, financiële en andere druk die zijn oordeel zou kunnen beïnvloeden.

• 2 De auditor is onafhankelijk ten opzichte van de auditee. De auditor heeft geen andere zakelijke relaties met de auditee.

• 3 De auditor laat zich niet in met activiteiten die strijdig kunnen zijn met de onafhankelijkheid van zijn oordeel en zijn integriteit met betrekking tot de audit.

• 4 Alle colleges van burgemeester en wethouders kunnen, met inachtneming van het gestelde in de voorgaande leden, de audit door de auditinstelling laten uitvoeren.

• 1 De auditinstelling verzekert de volledige geheimhouding van informatie die zij in de loop van haar auditactiviteiten verkrijgt.

• 2 De auditinstelling garandeert de privacybescherming van de burger en de bescherming van eigendomsrechten.

• 1 De auditinstelling is zodanig georganiseerd dat ze blijvend in staat is om haar auditfuncties naar behoren te vervullen. De audits die met auditees zijn afgesproken, worden in het betreffende tijdvak van een half jaar uitgevoerd zonder dat dat tot kwaliteitsverlies leidt. De auditinstelling beschikt om die reden over voldoende personeel of heeft met één of meerdere auditinstellingen een overeenkomst gesloten zodat voldoende vervanging is gegarandeerd.

• 2 Alle soorten functies die van invloed zijn op de kwaliteit van de auditdiensten of betrokken zijn bij het verlenen van de auditdiensten zijn beschreven. Deze functiebeschrijvingen omvatten de eisen op het gebied van opleiding, training, technische kennis, inhoudelijke kennis van de gemeentelijke basisadministraties en ervaring.

• 1 De leiding van de auditinstelling bepaalt haar beleid, doelstelling en betrokkenheid met betrekking tot de kwaliteit van de audit, legt dat schriftelijk vast en bewerkstelligt dat dit beleid op alle niveaus in de organisatie wordt begrepen, toegepast en gehandhaafd.

• 2 De auditinstelling beheert een effectief kwaliteitssysteem dat past bij de omvang van de organisatie.

• 3 Het kwaliteitssysteem is volledig schriftelijk vastgelegd. Er is een kwaliteitshandboek aanwezig, dat de door deze norm vereiste informatie bevat die is opgesomd in artikel 38.

• 4 De auditinstelling wijst een functionaris aan die, ongeacht andere taken, een duidelijk bepaalde bevoegdheid en verantwoordelijkheid heeft voor de kwaliteitsborging aangaande de audit. Deze functionaris heeft directe toegang tot de directie van de auditinstelling.

• 5 Het kwaliteitssysteem wordt passend en actueel gehouden onder verantwoordelijkheid van deze functionaris.

• 6 De auditinstelling houdt een systeem in stand voor de beheersing van alle voor de audit relevante documenten en bewerkstelligt dat:

  • a. de documenten beschikbaar zijn voor al het betrokken personeel;

  • b. al het betrokken personeel tijdig van wijzigingen of aanvullingen op de hoogte wordt gebracht;

  • c. vervallen (onderdelen van) documenten binnen de organisatie uit gebruik worden genomen behoudens één exemplaar dat wordt bewaard.

• 1 De auditinstelling beschikt over voldoende personeel, met voldoende deskundigheid voor het uitvoeren van hun taken. Indien gebruik wordt gemaakt van op afroep beschikbare personen, voeren deze hun werk uit als was het personeel van de auditinstelling. Werkzaamheden in het kader van een audit worden, behoudens het gestelde in artikel 36, niet uitbesteed.

• 2 Een auditor voldoet ten behoeve van het inhoudelijke deel van de audit aan de eisen, genoemd in artikel 40.

• 3 Een auditor voldoet ten behoeve van het procesmatige deel van de audit aan de eisen, bedoeld in artikel 41.

• 4 De beloning van de auditoren is niet rechtstreeks afhankelijk van het aantal uitgevoerde audits en is niet afhankelijk van de resultaten van de audits.

• 1 Indien de auditinstelling voor de vastlegging van de bevindingen van de audit gebruikmaakt van computers en geautomatiseerde uitrusting, dan bewerkstelligt ze dat:

  • a. de programmatuur en software is beproefd op haar geschiktheid voor het bedoelde gebruik;

  • b. de procedures zijn vastgesteld en worden toegepast voor het beschermen van de integriteit van de gegevens;

  • c. de computer en geautomatiseerde uitrusting zodanig worden onderhouden dat de goede werking ervan verzekerd is;

  • d. procedures zijn vastgesteld en worden toegepast voor een voortdurende beveiliging van de gegevens.

• 2 Indien de auditinstelling voor de vastlegging van de interviewverslagen in het kader van de audit gebruik maakt van computers en geautomatiseerde uitrusting, dan bewerkstelligt ze, onverminderd het gestelde in het eerste lid, dat procedures zijn vastgesteld en worden toegepast voor het verwijderen van die gegevens na afloop van de audit.

• 3 Indien de auditinstelling voor de uitvoering van de audit gebruik maakt van computers en geautomatiseerde uitrusting, dan bewerkstelligt ze dat:

  • a. de programmatuur en software is beproefd op haar geschiktheid voor het bedoelde gebruik;

  • b. de procedures zijn vastgesteld en worden toegepast voor het beschermen van de integriteit van de gegevens;

  • c. de computer en geautomatiseerde uitrusting zodanig worden onderhouden dat de goede werking ervan verzekerd is;

  • d. procedures zijn vastgesteld en worden toegepast voor een voortdurende beveiliging van de gegevens;

  • e. procedures zijn vastgesteld en worden toegepast voor het verwijderen van de gegevens na afloop van de audit.

• 1 De auditinstelling voert het inhoudelijke deel van de audit uit overeenkomstig de eisen genoemd in paragraaf 1 van hoofdstuk 2.

• 2 De auditinstelling voert het procesmatige deel van de audit uit overeenkomstig het gestelde in paragraaf 2 van hoofdstuk 2.

• 3 De auditinstelling voert het privacydeel van de audit uit overeenkomstig het gestelde in paragraaf 3 van hoofdstuk 2.

• 4 De auditinstelling heeft een systeem voor het beheersen van de contracten of werkopdrachten om er zeker van te zijn dat:

  • a. het uit te voeren werk binnen haar bekwaamheid ligt en dat de organisatie over toereikende middelen beschikt om aan de eisen te voldoen;

  • b. de eisen van al wie een beroep wenst te doen op de diensten van de auditinstelling, naar behoren worden bepaald en dat de specifieke voorwaarden goed worden begrepen, zodat ondubbelzinnige instructies kunnen worden gegeven aan de auditoren;

  • c. toezicht wordt uitgeoefend op het werk in uitvoering, door middel van regelmatige beoordelingen en corrigerende maatregelen;

  • d. het werk na voltooiing wordt beoordeeld ter bevestiging dat aan de eisen is voldaan.

• 5 De waarnemingen en gegevens die gedurende de audit worden verkregen, worden tijdig vastgelegd om verlies van ter zake doende informatie te voorkomen.

• 1 De auditinstelling bewerkstelligt dat de te controleren persoonslijsten op ondubbelzinnige wijze zijn gekenmerkt, om te voorkomen dat op enig ogenblik verwarring ontstaat met betrekking tot de identiteit van de persoonslijsten.

• 2 Zichtbare onvolkomenheden in de te controleren persoonslijsten en te bestuderen documentatie die aan de auditor worden gemeld of die door hem worden opgemerkt, voordat met de audit is gestart, worden in de auditrapportage vastgelegd. Indien er enige twijfel bestaat over de geschiktheid van de persoonslijsten of de documentatie voor de uit te voeren controle, raadpleegt de auditor de auditee alvorens verder te gaan met de audit.

• 3 De auditinstelling bewerkstelligt dat na afloop van de audit alle gecontroleerde persoonslijsten en andere door de auditee verstrekte documentatie weer ter beschikking wordt gesteld aan de auditee.

• 1 De door de auditinstelling uitgevoerde audit of heraudit wordt afgesloten met een auditrapportage.

• 2 De auditrapportage voldoet aan de eisen genoemd in hoofdstuk 3.

• 1 Alle registraties worden gedurende de audit veilig opgeslagen, zorgvuldig en vertrouwelijk bewaard, met inachtneming van de wettelijke verplichtingen.

• 2 De auditinstelling bewerkstelligt dat na afloop van de audit het door het college van burgemeester en wethouders ingevulde protocol voor het procesmatige deel van de audit en de eventuele interviewverslagen ter beschikking worden gesteld aan de auditee.

• 1 De auditinstelling voert zelf de audits uit die ze op grond van een overeenkomst op zich heeft genomen.

• 2 Uitbesteding van een gedeelte van de audit is slechts toegestaan aan een andere auditinstelling die door de minister is aangewezen om de audit uit te voeren. De auditinstelling stelt de auditee op de hoogte van haar voornemen om een gedeelte van de audit uit te besteden. De andere auditinstelling moet voor de auditee aanvaardbaar zijn.

• 3 De auditinstelling houdt een register bij van al haar uitbestede werk.

• 1 De auditinstelling beschikt over schriftelijk vastgelegde procedures voor het behandelen van klachten van auditees.

• 2 Er wordt een overzicht bijgehouden van alle klachten en van de acties die daarop door de auditinstelling zijn genomen.

De auditinstelling neemt op passende wijze deel aan de uitwisseling van ervaringen met andere auditinstellingen, het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties en de Raad voor Accreditatie.

In het kwaliteitshandboek van de auditinstelling dient de volgende informatie te zijn opgenomen:

• a. algemene informatie (naam, adressen, telefoonnummer enz. en wettelijke status);

• b. verklaring van de leiding over haar beleid, doelstelling en betrokkenheid op het gebied van kwaliteit;

• c. verklaring van de leiding die de in artikel 28, vierde lid, vermelde functionaris aanstelt;

• d. beschrijving van de werkgebieden en bekwaamheden van de auditinstelling;

• e. informatie over de verhoudingen tussen de auditinstelling en het moederbedrijf of verbonden organisaties, indien van toepassing;

• f. organisatieschema('s);

• g. beschrijving van de in artikel 27, tweede lid, bedoelde functies;

• h. beleidsverklaring over de kwalificatie en opleiding van de in artikel 27, tweede lid, bedoelde functies;

• i. procedures voor documentenbeheer;

• j. procedures voor interne audits;

• k. procedures voor terugkoppeling en corrigerende maatregelen;

• l. procedures voor beoordelingen van het kwaliteitssysteem door de leiding;

• m. procedures voor het actueel houden van kwalificaties, opleiding, ervaring en kennis van de auditor;

• n. andere procedures en voorschriften of verwijzingen naar andere procedures of voorschriften die in deze norm worden vereist;

• o. verspreidingslijst van het kwaliteitshandboek.

De auditor die het inhoudelijke deel van de audit uitvoert, voldoet aan de volgende criteria:

• a. de auditor beschikt over gedegen en aantoonbare kennis van de voor de audit relevante onderdelen uit de voorschriften zoals deze zijn beschreven in: de wet, het besluit, de regeling GBA, deze regeling, de systeembeschrijving, de Landelijke Tabellen, overige voor de verwerking van persoonsgegevens in de basisadministraties relevante regelgeving, het Handboek Uitvoeringsprocedures, het Handboek Operationele Procedures, de Kwaliteitsbrochures en de rubriek ‘Vragen en antwoorden aan de GBA Helpdesk’ in Burgerzaken en Recht;

• b. de auditor beschikt over voldoende inzicht in de werking van geautomatiseerde systemen in het algemeen en van de verschillende GBA-applicaties in het bijzonder om vast te kunnen stellen of een steekproef uit de basisadministratie op de voorgeschreven wijze is getrokken, of het select verzamelen van persoonslijsten op de juiste wijze is geschied, om de persoonslijst op de juiste wijze te kunnen interpreteren en om vast te kunnen stellen dat een opgemerkte afwijking mogelijk niet als een fout moet worden geteld.

• c. de auditor werkt zeer nauwgezet en snel en bezit de aantoonbare capaciteiten om afwijkingen in persoonslijsten te vinden.

De auditor die het procesmatige en privacydeel van de audit uitvoert, of onder wiens verantwoordelijkheid die delen worden uitgevoerd, voldoet aan het volgende criterium: de auditor is Register EDP-auditor (RE), een Europees equivalent daarvan of Certified Information Systems Auditor (CISA).

Deze regeling treedt in werking met ingang van 1 oktober 2000. Artikel 22 van deze regeling werkt terug tot en met 1 juli 1999.

Deze regeling wordt aangehaald als: Regeling periodieke audit GBA.