'Kwetsbaarheid ict Amsterdam is nog niet opgelost'

De Amsterdamse CIO Marc Crooijmans herkent het beeld dat diensten liever investeren in nieuwe functionaliteit dan onderhoud of het wegwerken van achterstanden. Dat zorgt voor oude systemen, de 'legacy', die minder mogelijkheden hebben en het creëert kwetsbaarheden. Hij vertelt iBestuur dat hij meer regie van buitenaf verwacht.

Kannibalen
In defensiekringen bestaat het begrip ‘kannibalen’ – onderhoud en reparaties aan materieel uitvoeren, met behulp van onderdelen die van ander materieel worden afgehaald. Officieel bestaat dat concept natuurlijk niet, maar het bestaan van de aanpak is in ieder geval één keer erkend bij het lesvliegtuig PC-7, waarmee de luchtmacht vliegers opleidt. Van de op papier inzetbare middelen blijft in de praktijk dan weinig over. Dit mechanisme treedt niet alleen op bij ministeries, maar ook bij bestuursorganen, provincies en gemeentebesturen. Het gaat dan niet om tanks en vliegtuigen, maar ook om bruggen, kademuren en – niet onbelangrijk – ict.

Snellere besluitvorming
Om maatschappelijke vraagstukken goed aan te kunnen pakken, moet de gemeente meer met beschikbare data kunnen doen. Daarvoor is modernisering van de ict nodig, want data zijn nu nog versnipperd over, en opgesloten in, honderden afzonderlijke systemen. Burgers verwachten steeds snellere besluitvorming en betere dienstverlening van de gemeente; ook bestuurders en politici hebben zo hun verlanglijstjes. Ondertussen neemt het belang van informatiebeveiliging toe en pleit de Vereniging van Nederlandse Gemeenten (VNG) voor nieuwe ontwerpprincipes, waaronder meer standaardisatie. Op de gemeentelijke ict werken dus meerdere krachten in. Het ict-landschap van de gemeente Amsterdam laat zien hoe dat werkt. Marc Crooijmans, CIO van de gemeente Amsterdam, verwacht meer regie van buitenaf, maar dan wel volgens het principe van ‘freedom within a framework’.

Onder curatele
Lange tijd heeft de ict van de stad op omvallen gestaan en lag het accent op continuïteit en beheersing: zorgen dat het blijft werken. In 2008 constateerde McKinsey dat tientallen datacenters van de gemeente niet beschikten over de juiste beveiligingsvoorzieningen en dat het ontbrak aan een standaardinfrastructuur. Slechts driehonderd van de vijftienduizend werkplekken waren gestandaardiseerd, er waren 52 datacenters in gebruik en een groot aantal systemen voor kantoorautomatisering. In totaal draaiden er 5931 verschillende applicaties. In veel gevallen was er te weinig geregeld voor het maken van back-ups en bleken uitwijksystemen beperkt beschikbaar. Tot overmaat van ramp bleken de uitgevoerde zelfevaluaties inzake informatiebeveiliging, te rooskleurig.

Missiekritisch
In 2011 stelde toenmalig wethouder Eric Wiebes de ict-organisatie onder curatele, maar in 2014 constateerde de Amsterdamse rekenkamer dat de kosten nog steeds niet inzichtelijk waren. Pas in 2015 werd een start gemaakt met een grootschalig applicatie-rationalisatieprogramma. Dat ging niet zonder horten of stoten; zo meldde het Parool een ‘stijgend aantal datalekken in 2018’ en werd de stad in 2019 geteisterd door grote ict-storingen. Inmiddels zijn er nu nog circa 1100 applicaties over, waarvan er nog ruwweg 300 in het oude datacenter van de Stopera staan. De rest van de applicaties is al gemigreerd naar een extern datacenter. Van die 300 applicaties verwacht ict-directeur Maarten Bruinsma dat een groot deel kan worden uitgefaseerd; ongeveer 80 applicaties moeten echt vervangen worden en ongeveer een kwart daarvan bestaat uit kernapplicaties die missiekritisch zijn voor gemeentelijke diensten.

Doorschuiven
CIO Crooijmans gebruikt de oude applicaties uit het interne datacenter in de Stopera als voorbeeld om bij het bestuur te onderbouwen hoe belangrijk onderhoud, beheer en vernieuwing zijn. 'Elk domein heeft daar processen staan draaien. Als de Amstel overstroomt, weten we niet zeker of we de boel daar nog weer aan de praat krijgen. Het beeld dat diensten liever investeren in nieuwe functionaliteit dan achterstanden wegwerken of aan onderhoud doen, is zeker herkenbaar. Dat probleem speelt over de volle breedte: directeuren, politici, bestuurders. Ik vergelijk het vaak met de bruggen en de kades in de stad. Ergens keert de wal het schip. Het is erg lastig om hard te maken dat als je nu niet investeert in onderhoud, dat je volgende jaar een probleem hebt. Er wordt dus relatief gemakkelijk geschoven in de tijd.'

Kwetsbaarheid
De consequenties van dat ‘doorschuiven’ zijn legio. Crooijmans geeft twee voorbeelden. 'De legacy beperkt natuurlijk de mogelijkheden. Analyses nodig voor het aanpakken van maatschappelijke vraagstukken kosten veel tijd omdat er nog steeds geput moet worden uit veel verschillende systemen.' En als tweede voorbeeld verwijst hij naar de coronacrisis. 'De infrastructuur van de digitale werkplek maakt het op dit moment onmogelijk om een oplossing als Teams op grote schaal te gebruiken. De kwetsbaarheid van de infrastructuur is in Amsterdam nog niet opgelost. Voor 8000 thuiswerkende ambtenaren draait Teams dus náást de digitale werkplek. Daar krijgen we het wel benauwd van.'

Tussenoplossingen
Ict-directeur Bruinsma vult aan: 'Legacy-applicaties zijn meestal niet of niet gemakkelijk met een API te ontsluiten of te koppelen aan andere systemen. Wanneer je met verschillende datasets aan de slag wil, zou je kunnen gaan voor tussenoplossingen zoals data-lakes, maar dat is een relatief bewerkelijke en daardoor kostbare oplossing. Innovatie wordt hierbij eerder belemmerd door tijd en geld dan door technische onmogelijkheden. Ook het doorvoeren van aanpassingen in dit soort oude applicaties kost trouwens relatief veel tijd en geld, wat je wendbaarheid beperkt.'

Erfpachtsysteem
De consequenties hiervan blijven niet beperkt tot het datacenter van Amstel. Een goed voorbeeld is het erfpachtsysteem, dat meer dan twintig jaar oud is. In combinatie met de door gemeente Amsterdam gekozen aanpak levert de herziening van het erfpachtstelsel doorlooptijden op voor de burger die letterlijk tot meerdere jaren kunnen duren. Die lange doorlooptijd is goed voor de werkgelegenheid binnen de gemeente, maar kan individuele burgers vele duizenden euro’s kosten.

Eén nieuw plan
De CIO van Amsterdam (lid van het managementteam van de gemeente Amsterdam en verantwoordelijk voor het cluster dienstverlening en informatie) heeft nu alles – beheer, onderhoud en vernieuwing – in één nieuw plan staan. 'Beheer en onderhoud enerzijds en innovatie anderzijds werden vroeger inderdaad gezien als tegenstelling, maar daar geloof ik niet meer in. Als je beheer en innovatie loskoppelt, gaat iedereen op zijn eigen manier innoveren. Het is dus en opruimen van oude systemen en investeren in cloud en security. En mogelijk maken dat medewerkers op een veilige manier dataprojecten kunnen uitvoeren.' 'Abstracte verhalen over onderhoud zijn gemakkelijker uit te leggen met voorbeelden als het Citrix-lek en problemen met thuiswerken in coronatijd. En het behoort tot de competentie om eerlijk te zijn en het goed en duidelijk uit te leggen, daar is IT de afgelopen jaren niet toe in staat geweest.'

Standaarden
De interne worsteling met ‘wel graag innovatie, maar liever niet te veel geld naar onderhoud’ is niet de enige kracht die op de gemeentelijke ict inwerkt. Crooijmans: 'Veel vraagstukken zijn overheidbreed. Ondermijning kan je alleen goed aanpakken als je een goed inzicht hebt. Het opvangen van de meest kwetsbaren lukt beter als verschillende overheidsonderdelen goed samenwerken. Ik zou willen dat we veel meer van doen hebben met de Rijksoverheid. Ik merk niet zo heel veel van wat er bij het Rijk of bij uitvoeringsorganisaties gebeurt. Bij het project Basisregistratie Personen (een mislukte poging om het bevolkingsregister te moderniseren, EB) miste ik juist de regierol vanuit Binnenlandse Zaken. De ideeën over architectuur achter Common Ground – zoals scheiden van functionaliteit en data en het samenwerken tussen 355 gemeenten – zijn vooral heel logisch. De operationalisatie daarvan is echter nog niet goed gelukt: waar ga je wel en niet samenwerken?'

Generieke oplossingen
Die vraag verraadt dat er naast regie ook vrijheid wordt verwacht. Crooijmans geloof niet in ‘one size fits all’, maar ook niet in 355 varianten. De beste tussenoplossing is wat hem betreft een gestandaardiseerd, beperkt aanbod van applicaties. 'Een grote roadmap voor alle gemeenten is kansloos, maar gemeenten moeten wel meer laten zien wat ze willen oppakken met anderen. Denk aan het proces ‘meldingen openbare ruimte’: het kan niet anders dan dat dit aan de voorkant overal grotendeels hetzelfde is. Maak nou een keuze en kom tot een beperkt aantal generieke oplossingen die je definieert als standaarden.'

Allemaal hetzelfde
Opmerkelijk genoeg zijn bij VNG Realisatie vergelijkbare geluiden te horen. Daar wordt onder meer (vanuit de Common Ground-visie) gewerkt aan een rijksbrede chatbot (‘Gem’), die burgers over gemeenten heen ondersteunt – ongeacht de gemeentelijke website waar je je bevindt. Volgens het team dat de overheidsbrede chatbot ontwikkelt (onder meer medewerkers van de gemeenten Tilburg en Utrecht) biedt chatbottechnologie een kans om tot harmonisatie van de diensten en producten te komen. 'We zijn als gemeenten immers voor een groot deel allemaal hetzelfde, laten we ons dan ook op dezelfde manier gedragen. Wij zijn er voor de inwoners en niet voor onszelf.' Maar de leden van het projectteam van Gem stellen ook dat ze geen harmonisatie van generieke processen, zoals een verhuizing, kunnen afdwingen.

Alignment
Ondertussen moet er in Amsterdam eerst een heel andere discussie beslecht worden. Het opschonen van het ict-landschap dient een langetermijndoel – een duurzaam ict-landschap – maar dat ligt niet altijd in lijn met de belangen van de politiek – die op zijn zachtst uitgedrukt niet altijd gericht zijn op de lange termijn. 'Dat is wat je noemt business-IT-alignment en dat ging de afgelopen jaren niet goed in Amsterdam. Er was een focus op innoveren en er was te weinig aandacht voor onderhoud. Dat vraagt om een dominantere rol van de ict-functie richting de lijnorganisatie. Van de lijn zal verwacht worden dat ze ook middelen reserveren voor lifecycle management en het onderhoud van hun applicaties – waarbij dat laatste bij SaaS-applicaties vaak bij de prijs per gebruiker inbegrepen is.'

Pijnlijker
Wat niet helpt is dat de gemeente nu honderden miljoenen aan de coronacrisis moet besteden. Maakt CIO Crooijmans zich geen zorgen over het ict-budget? 'Je weet zeker dat als je nu niks doet, het later alleen maar meer kost en nog pijnlijker wordt. We kijken nu eerst naar wat we nodig hebben voor het komende jaar. Ook dit bestuur kijkt verder dan de dag van vandaag, maar het behandelen van de begroting dit najaar wordt natuurlijk wel spannend.'

Dit verhaal verscheen oorspronkelijk op iBestuur.