Chris Verhoef vreest ‘BIT zonder bite’

Chris Verhoef, hoogleraar Informatica aan de Vrije Universiteit

Slecht presterende ICT-bedrijven moet de overheid bij een volgende aanbesteding kunnen weren, ook al is hun aanbod financieel aanlokkelijk. Deze aanbeveling van de Commissie-Elias om ‘past performance’ van leveranciers mee te wegen bij de gunning van projecten onderschrijft prof. dr Chris Verhoef, hoogleraar Informatica aan de Vrije Universiteit, volledig. Maar hij vindt aandacht voor het track record van de overheid zelf evenzeer noodzakelijk.

Zíjn aanbeveling baseert Verhoef, in het eindrapport van de Tijdelijke Commissie ICT veelvuldig geciteerd, op het bijna een kwart eeuw oude Besluit Informatievoorziening Rijksdienst (IVR 1990). Dat stelt: “Voordat een geautomatiseerd informatiesysteem wordt ontwikkeld, ingevoerd of gewijzigd, waarbij aanzienlijke risico’s bestaan, laat de minister wie het aangaat een onafhankelijke contra-expertise verrichten.” En: “De minister van Binnenlandse Zaken kan in overeenstemming met het gevoelen van de ministerraad nadere aanbevelingen opstellen omtrent de inhoud en de uitvoering van contra-expertises.”

Verhoef: “Er moeten dus al 24 jaar contra-expertises worden uitgevoerd. Maar ik heb er nog nooit een gezien. De onderzoekscommissie ook niet, want die wijdt er geen woord aan. BZK mag er zelfs eisen aan stellen, bijvoorbeeld dat voor de start van een project een risicoanalyse moet worden uitgevoerd, maar heeft dat blijkbaar nooit gedaan. Men heeft al 24 jaar een handvat in handen dat lijkt op het BIT, dat de commissie nu voorstelt. Blijkens alle faalprojecten heeft dat onvoldoende effect gehad. Nee, ik word niet blij van de performance van BZK op dit vlak.”

Dat BIT, Bureau ICT-toetsing, zou alle ICT-projecten boven vijf miljoen euro vooraf moeten auditen en bij onvoldoende voorbereiding kunnen tegenhouden. Tussen IVR 1990 en BIT zijn er gateway reviews gekomen en ICT-haalbaarheidstoetsen, maar die hebben ICT-drama’s niet kunnen voorkomen, constateert Verhoef. Een BIT kan dat mogelijk wel, als het tenminste goed wordt ingevuld en daadwerkelijk doorzettingsmacht krijgt.

Elias c.s. willen het ophangen bij Algemene Zaken, maar Verhoef vreest dat ministeries, die het aangaat, zo’n machtige instantie direct onder de premier een bedreiging zullen vinden. “Dus een beweging om het Bureau ICT-toetsing bij BZK ondergebracht te krijgen – waar ook de Rijks-CIO, de gateways en het Rijks ICT-dashboard zitten, allemaal niet toereikend gebleken om mislukkingen te vermijden – ligt voor de hand om het te neutraliseren en er een ‘BIT zonder bite’ van te maken.”

Verhoef om commentaar vragen op de tien constateringen, waarmee het eindrapport van de onderzoekscommissie opent, kan bij de vierde stoppen; alles krijgt, vergezeld van een licht vermoeide zucht, de kwalificatie: “Klopt.”



Zijn het allemaal open deuren? “Ja en nee. Ja omdat vaklieden het allang wisten, nee omdat er nog velen zijn die beweren dat het allemaal wel goed gaat. Neem het verhoor van Stef Blok, verantwoordelijk voor de Rijksdienst. Die zei, evenals een aantal ambtenaren: Het valt eigenlijk best mee. En dat even voordat weer een mislukt SVB-project in het nieuws kwam, een tunnel vastliep en Defensie een onderzoek naar ICT-problemen aankondigde. Dan zijn er nog mensen die zeggen: op het ICT-dashboard staat alles op groen.” Veelzeggend vindt Verhoef BZK’s reactie op de kritiek dat dit instrument een misleidend beeld geeft van hoe het met ICT-projecten gaat. “De reflex is dan: we halen de kleuren weg, de metertjes en scores. Het is alsof je met je auto naar de garage gaat met een klacht dat het olielampje brandt, en de reparateur het draadje naar dat lampje doorknipt in plaats van de olie bij te vullen.”

Open deuren, ja en nee, maar wat heeft de Commissie-Elias verder opgeleverd? “Bot gezegd: twintig jaar geleden had je in de VS senator William Cohen, die over een vreselijke ICT-situatie een alarmerend rapport afscheidde (Computer Chaos: Billions Wasted Buying Federal Computer Systems, oktober 1994), en nu hebben wij zo’n zelfde rapport over eenzelfde vreselijke ICT-situatie. Velen wisten het al, maar de Tweede Kamer weet het nu ook. Dat is de meerwaarde.”

Het rapport van Cohen leidde tot de Clinger-Cohen Act , met regels waaraan overheids-ICT-opdrachten moeten voldoen. Daaraan ontleend is een lijstje regels opgesteld door Franklin Raines, destijds directeur van het onder de Amerikaanse president ressorterende Office of Management and Budget, de Raines Rules. De Commissie-Elias voegt aan haar voorstel een toetsingsorgaan op te richten een lijstje ‘BIT-regels’ toe. De parlementair onderzoekers hebben hoge verwachtingen van de aanbeveling, blijkens een citaat uit hun rapport: “Een betere beheersstructuur binnen de rijksoverheid wordt grotendeels bereikt door de oprichting van het BIT.”

Verhoef is behalve voor onderbrenging bij BZK beducht voor een exclusieve focus op die ‘BIT-regels’ en onvoldoende invulling van het bureau zelf. “De Raines Rules zijn een klein extract van de uitgebreide wetgeving in de VS over ICT. Een korte checklist met ingangscriteria om te voorkomen dat naast rijp ook groen moet worden beoordeeld. Het geeft aan waaraan een project minimaal moet voldoen om in behandeling te worden genomen. De effectiviteit van een BIT staat of valt met de invulling. Dat is een vak apart. Laat dat aan professionals over. Niet: we kijken er een middagje naar en als je dit en dat aanpast is het goed. Het is veel complexer. Er moet stevig geaudit worden.”

De informatica-hoogleraar pleit voor een aanpak als bij fysieke bouwprojecten. “Het Bouwbesluit is meer dan een paar regeltjes. Dat gaat ook over het xenongehalte in kruipruimten. En elke gemeente heeft als toetsende instantie een afdeling Bouw- en Woningtoezicht. Maak ook een ICT-bouwbesluit en laat niemand aan de slag gaan zonder ICT-bouwvergunning. Het toezicht kan bij het BIT. Dat bekijkt niet alleen of je de goede dingen doet, maar ook of je de dingen goed doet, wat niet hetzelfde is. Laatst stond er ineens gevoelige politie-informatie op een privé-website. Als dat politie-ICT-gebouw met een ICT-bouwvergunning was neergezet, was er voorgeschreven en gecontroleerd dat geen gegevens onversleuteld op een disk stonden, er geen computers waren met een usb-poort of dvd-station, geen onversleuteld dataverkeer plaatsvond enzovoorts, en was dat nooit gebeurd. Omdat het niet kón.”

Voor zijn vrees voor een tandeloos BIT kan Verhoef verwijzen naar de Nationaal Commissaris Digitale Overheid, die de e-overheid moet redden, bij BZK is ondergebracht en een krachtig stel tanden ontbeert. “Hij heeft geen mandaat, geen verantwoordelijkheid en geen doorzettingsmacht en die zijn alle drie nodig. Je schuift er als minister iemand tussen die je kunt ontslaan als het misloopt. Anders moet de minister zichzelf ontslaan.”

De Tweede Kamer heeft de Tijdelijke Commissie ICT 97 vragen gesteld en zal na beantwoording daarvan in de week van 8 december met de commissie in debat gaan. Ook volgt een debat met de regering, nadat deze een kabinetsreactie op het eindrapport van de commissie naar de Kamer heeft gestuurd. Volgens een BZK-woordvoerder zal dat ‘naar verwachting begin volgend jaar’ zijn.