SubsidieVolg: wetgeving, release en een spreadsheet als noodoplossing
Bij een gemeente verwerkt de applicatie SubsidieVolg jaarlijks ongeveer 2.400 subsidieaanvragen. Per 1 juli treedt een gewijzigde regeling in werking: vanaf die datum moet bij elke aanvraag een extra inkomensverklaring worden vastgelegd en zeven jaar worden bewaard. De leverancier levert de benodigde release pas in de nacht van 12 op 13 juli; een eerdere versie is contractueel niet beschikbaar. De afdeling Vergunningen meldt dat de doorlooptijd nu al 38 dagen is, terwijl de wettelijke termijn acht weken bedraagt. Er zijn drie key-users; één is met zwangerschapsverlof. Een auditor heeft vorige maand vastgesteld dat wijzigingen in SubsidieVolg niet aantoonbaar worden gelogd. Het team functioneel beheer bestaat uit twee personen, van wie één twee dagen per week bij een ander project is ingezet. De teamleider vraagt je vandaag een voorstel: wachten op de release, of nu een noodoplossing bouwen in een spreadsheet op de afdeling.
1. Bepaal of dit vraagstuk als incident, als wijziging of als probleem moet worden opgepakt, en welke volgorde je aanbrengt. Onderbouw je keuze met impact, urgentie en de wettelijke deadline.
Read the worked answer
Classificatie. Dit is in feite drie vraagstukken tegelijk, en dat is precies de valkuil.
- Incident: vanaf 1 juli wordt de wettelijke termijn van acht weken niet meer gehaald, want de huidige doorlooptijd is 38 dagen en de extra verklaring kost naar schatting één tot twee dagen per dossier. Er is nog geen technische storing, maar wel een waarneembare verstoring van de dienstverlening met een harde datum. Behandel dit als incident met hoge urgentie en één eigenaar.
- Wijziging: het vastleggen en bewaren van de inkomensverklaring is een geautoriseerde wijziging met een externe deadline. Zet deze als spoedwijziging op de agenda van het change-overleg, met de release van 12/13 juli als uiterste acceptatiemoment en een fallback als die release niet op tijd is.
- Probleem: dat wijzigingen niet aantoonbaar gelogd worden is geen incident maar een structurele tekortkoming. Onderbreng dit in probleemmanagement met een eigenaar en een termijn; het mag niet stilzwijgend verdwijnen achter de deadline.
Volgorde. Eerst het incident: de deadline veiligstellen en de key-user vervangen. Parallel de wijziging voorbereiden en de logging als apart probleem plannen. Motiveer de volgorde met wettelijke urgentie en met de auditbevinding, niet met wat technisch het makkelijkst is. Leg de afweging schriftelijk vast, zodat je later kunt uitleggen waarom iets is uitgesteld en wie dat besluit nam.
2. De teamleider wil de spreadsheet-noodoplossing toestaan. Geef een onderbouwd advies met randvoorwaarden en benoem welk risico je afweegt tegen welke baten.
Read the worked answer
Advies: conditioneel toestaan als tijdelijke maatregel met einddatum, niet als oplossing.
Baten. De wettelijke termijn blijft gehaald, de afdeling kan doorwerken, en er komt tijd om de release van 12/13 juli zorgvuldig te testen in plaats van gehaast.
Risico's. Er ontstaat een tweede gegevensbron naast SubsidieVolg, met kans op dubbele of ontbrekende dossiers. De auditor vindt nu ook de spreadsheet buiten de logging om, waarmee de bevinding zwaarder wordt. Persoonsgegevens over inkomen komen in een bestand buiten het beveiligde applicatielandschap, wat op gespannen voet staat met de bewaar- en toegangseisen. En de key-user die het meest weet, is met verlof.
Randvoorwaarden.
- Eén vast invoerpunt en één eigenaar (een aangewezen key-user), met vier-ogencontrole op invoer.
- Opslag in de beveiligde gemeentelijke omgeving, geen privémap, geen e-mailrondzending; toegang tot een expliciet benoemde groep.
- Elke regel voorzien van een dossierkenmerk dat later eenduidig naar SubsidieVolg migreert, plus een reconciliatie na de release: aantal dossiers voor en na moet aansluiten.
- Einddatum en stopcriterium: de spreadsheet vervalt bij acceptatie van de release, en de auditor wordt hierover geïnformeerd.
- Capaciteit: de tweede functioneel beheerder wordt vrijgemaakt voor test en reconciliatie.
Leg dit als besluit vast met eigenaar, datum en evaluatiemoment. Zonder einddatum en zonder reconciliatie is toestaan geen beheersmaatregel maar een tweede probleem.