Assuranceopdracht DUO-UWV Gegevensdiensten 2020 (kalenderjaar 2019)
Inzake Batchuitwisselingen DUO/OVG Versie 2020-0000239254
Datum 2 december 2020 Status Definitief
Pagina 1 van 14
N
my-
r
474 4I1
a.
`r
11 }q hid
2
44*
71,
Co I ofo n
Titel Assuranceopdracht DUO-UWV Gegevensdiensten 2020 Inzake batchuitwisselingen DUO/OVG
Auteur(s) dhr.
Bijlagen 1
Inlichtingen Auditdienst Rijk dhr.
06 070
@minfin.n1
Pagina 3 van 14
Inhoud
1
Aanleiding opdracht-7
2
Goedkeurend oordeel-8 3 Verantwoording onderzoek-9 3.1 Werkzaamheden en afbakening-9 3.2 Verantwoordelijkheden-9
3.3 Criteria-10
3.4 Gehanteerde standaard-10 3.5 Verspreiding rapport-10 4 Ondertekening-11 Bijlage 1 Normenkader-12
Pagina 5 van 14
1 Aanleiding opdracht
Dienst Uitvoering Onderwijs (DUO) maakt voor het uitvoeren van enkele specifieke taken gebruik van inkomens- en arbeidsmarktgegevens, die door het
Uitvoeringsinstituut Werknemersverzekeringen (UWV) worden verstrekt via de applicatie 'Suwinet-inkijk en via batchuitwisselingen. DUO heeft hiervoor als afnemer overeenkomsten gesloten met het UWV. Onderdeel van die overeenkomsten is een jaarlijkse auditverplichting. Auditdienst Rijk (ADR) voert in opdracht van DUO deze Assurance onderzoek uit.
Met betrekking tot deze auditverplichting heeft de Auditdienst Rijk (ADR) in opdracht van de hoofdirecteur DUO, de heer W.G.J. Snijders, een assurance-opdracht
uitgevoerd.
De doelstelling van de assurance-opdracht is het, met redelijke mate van zekerheid, geven van een oordeel over de opzet en werking van de interne beheersmaatregelen over de periode 1 januari 2019 tot en met 31 december 2019 die verband houden met de voorwaarden inzake levering van gegevens via batchuitwisseling aan DUO/OVG.
Pagina 7 van 14
Assuranceopdracht DUO-UWV Gegevensdiensten 2020 (kalenderjaar 2019) Inzake Batchu twisselingen DUO-OVG
2 Goedkeurend oordeel
Ons oordeel is gevormd op basis van de aangelegenheden die in deze rapportage zijn uiteengezet. Naar ons oordeel, in alle van materieel belang zijnde aspecten:
a. zijn de interne beheersingsmaatregelen die verband houden met de voorwaarden waaronder de afnemer (DUO) de gegevens van UWV mag ontvangen en gebruiken gedurende de verslagperiode van 1 januari 2019 tot en met 31 december 2019 op afdoende wijze opgezet;
b. werkten de getoetste interne beheersmaatregelen, die noodzakelijk waren om een redelijke mate van zekerheid to verschaffen dat de in de
beschrijving vermelde interne beheersdoelstellingen waren bereikt gedurende de verslagperiode van 1 januari 2019 tot en met 31 december 2019 voldoende.
De bevindingen zijn op 1 december 2020 middels hoor en wederhoor afgestemd met de relatiemanager Gegevensleveringen van DUO.
Pagina 8 van 14
3 Verantwoording onderzoek
3.1 Werkzaamheden en afbakening
Het object van onderzoek betreft de levering van gegevens via batchuitwisselingen van UWV aan DUO op basis van contract inzake de levering van gegevens via batchuitwisselingen aan DUO/OVG. Het onderzoek richtte zich op de wijze waarop DUO voor de gegevensdienst op basis van genoemde contracten uitvoering heeft gegeven aan artikel 4 van de overeenkomst en artikel 16 van de algemene voorwaarden UWV-gegevensdiensten. Beoordeeld zijn de opzet en werking van de maatregelen, over de periode 1 januari 2019 tot en met 31 december 2019, die DUO heeft getroffen om to voldoen aan de voorwaarden van deze artikelen.
Tijdens het onderzoek hebben wij vastgesteld welke maatregelen en procedures zijn getroffen met betrekking tot de in de bijlage 1 vermelde normen. Hiertoe hebben wij documentatie, zoals autorisatierapportages en loggingrapportages van de
gegevensverwerking opgevraagd. Tevens zijn interviews afgenomen met bij UWV- gegevens betrokken functionarissen van de afdelingen DUO/OVG.
We hebben het onderzoek uitgevoerd op basis van een risicogerichte aanpak. Hierbij hebben wij per onderdeel/criterium gekeken naar het materiele belang dat
betrekking heeft op eventuele schade voor UWV en/of betrokkenen.
3.2 Verantwoordelijkheden
De verantwoordelijkheid van de auditor is, op basis van de in paragraaf 3.1 beschreven werkzaamheden, het geven van een oordeel over de opzet en werking van de getroffen interne beheersmaatregelen, die verband houden met de
voorwaarden waaronder de afnemer (DUO) de gegevens van UWV mag ontvangen, gebruiken en bewaren.
De verantwoordelijkheden van de opdrachtgever zijn:
• De benodigde contactgegevens en documentatie zijn tijdig beschikbaar;
• De noodzakelijk geachte medewerkers zijn gedurende de
onderzoekperiode beschikbaar voor het stellen van nadere vragen en toelichtingen;
• Alle gegevens naar het oordeel van de auditor, voor-en tijdens de uitvoering van het onderzoek beschikbaar stellen.
Pagina 9 van 14
Assuranceopdracht DUO-UWV Gegevensdiensten 2020 (kalenderjaar 2019) Inzake Batchu twisselingen DUO-OVG
3.3 Criteria
Voor het toetsen van opzet en werking van de maatregelen en procedures rondom de overeengekomen dienstverlening, hebben we de normen gehanteerd die
voorkomen uit het referentiekader van het Auditreglement UWV-gegevensdiensten, versie 2.2 van juni 2016. De normen zijn in bijlage 1 opgenomen. Daar is tevens vermeld welke normen tijdens het onderzoek buiten beschouwing blijven, met de motivering hiervan.
3.4 Gehanteerde standaard
Deze opdracht is uitgevoerd volgens de Richtlijn voor assurance-opdrachten door IT- auditors (NOREA Richtlijn 3000D).
3.5 Verspreiding rapport
De opdrachtgever, hoofddirecteur DUO, de heer W.G.J. Snijders, is eigenaar van dit rapport. De eigenaar verstrekt het rapport aan de UWV-divisie gegevensdiensten.
De ADR is de interne auditdienst van het Rijk. Dit rapport is primair bestemd voor de opdrachtgever met wie wij deze opdracht zijn overeengekomen.
In de ministerraad is besloten dat het opdrachtgevende ministerie waarvoor de ADR een rapport heeft geschreven, het rapport binnen zes weken op de website van de rijksoverheid plaatst, tenzij daarvoor een uitzondering geldt. De minister van Financien stuurt elk halfjaar een overzicht naar de Tweede Kamer met de titels van door de ADR uitgebrachte rapporten en plaatst dit overzicht op de website.
Pagina 10 van 14
4 Ondertekening
Groningen, 2 december 2020
Projectleider Auditdienst Rijk
Pagina 11 van 14
