Adviescollege ICT Toetsing: stuur bij op CCaaS-aanbesteding Belastingtelefoon

De openbare aanbesteding van de Belastingtelefoon voor vervanging van het CCaaS-platform heeft geleid tot een shortlist van drie Genesys-aanbieders. Het adviescollege ICT Toetsing vindt die uitkomst onverantwoord en dringt aan op aanpassing van de aanbesteding nu het nog kan.

De Belastingtelefoon wikkelt jaarlijks bijna 10 miljoen telefoontjes af. De aanbesteding draait om een contract met een waarde van ruim 21 miljoen euro en een looptijd van zes jaar met twee opties voor verlenging met elk vier jaar. De software wordt straks gebruikt door 3.600 medewerkers. De beoogde leverancier moet de software leveren en implementeren.

Tijdens de selectiefase zijn, zoals Ziptone eerder schreef, drie implementatiepartners geselecteerd die alle drie dezelfde Amerikaanse cloudoplossing aanbieden, namelijk Genesys. In de dialoogfase die nu wordt opgestart, kan de Belastingdienst met de drie partijen in gesprek; daarna mogen de geselecteerde partijen een offerte indienen op basis waarvan beoordeling, gunning en contractering plaatsvindt.

Te weinig aandacht voor soevereine alternatieven

Het Adviescollege ICT Toetsing erkent de noodzaak tot vernieuwing; het huidige Genesys-product is end of support. Maar het Adviescollege vindt ook dat realistische alternatieven mogelijk over het hoofd zijn gezien. “Er zijn slechts aanbieders met een Amerikaanse leverancier overgebleven,” aldus opstellers van het rapport. “Door Amerikaanse wetgeving raakt de Belastingdienst daarmee de controle op data kwijt. Gegeven de huidige geopolitieke situatie en de discussies over digitale autonomie verwachten wij juist een brede afweging van alternatieven, met oog voor de veiligheidsrisico’s.”

Ook vindt het Adviescollege dat er leveranciers zijn die vergelijkbare functionaliteit aanbieden met een installatie in een eigen datacentrum (on-premises), of die een Europese herkomst hebben en daarmee meer autonomie bieden.

Security-beleid onvoldoende uitgewerkt

De Belastingdienst heeft ook nog geen uitgewerkt plan om data terug te krijgen en de dienstverlening te continueren als de Amerikaanse overheid de opdracht zou geven aan de leverancier om de clouddienst per direct uit te zetten. Beveiligingseisen aan leveranciers zijn niet uitgewerkt in de aanbestedingsdocumenten, ondanks de steeds grotere toename van cyberaanvallen. Er zijn géén specifieke eisen gesteld ten aanzien van het waarborgen van de vertrouwelijkheid en beschikbaarheid van de data, en de continuïteit van de dienstverlening, noch ten aanzien van de zorgplicht van de leverancier. Het Adviescollege komt op dit vlak met meerdere concrete adviezen in een uitgebreid rapport dat eind mei is verschenen.

Doelstellingen te weinig onderbouwd

Het College zet ook vraagtekens bij de realisatie van doelstellingen van de Belastingtelefoon rondom dienstverlening. Hoewel de Belastingdienst een transformatieplan heeft opgesteld voor de nieuwe situatie, moeten de processen, rollen en werkwijzen daadwerkelijk worden aangepast. Dat is nog niet in gang gezet, aldus het College. “De impact van CCaaS én AI op de medewerkers is niet alleen nog niet in kaart gebracht , maar ook niet besproken met de ondernemingsraden. De vraag leeft bijvoorbeeld of het klantcontactcenter nog als kweekvijver voor talent bij de Belastingdienst kan dienen op het moment dat het kenniswerk door AI wordt overgenomen. Als de medewerkers de AI-vernieuwingen niet accepteren, worden de verwachte baten mogelijk ook niet gerealiseerd.”

Doelstellingen onvoldoende geborgd

Bovendien is de toekomstige implementatiepartner hiervoor niet verantwoordelijk. Onduidelijk is wie welke baten moet realiseren. Ook zouden de realisatiekosten en de jaarlijkse kosten worden onderschat; ze kosten van het huidige landschap zijn niet volledig in kaart gebracht. Ook zijn de extra kosten die de Belastingdienst moet maken om de beoogde baten te realiseren, zoals transitiekosten en opleidingen van personeel in de nieuwe processen, niet meegenomen in de businesscase.

Het Adviescollege heeft ook kritiek op de ambities zoals die geuit zijn in de Specificatie van de Opdracht. “Een aantal randvoorwaarden is nog niet ingevuld,” aldus de commentaren. Zo zijn volgens het College de voorzieningen die nodig zijn om een CCaaS-oplossing in gebruik te nemen nog niet klaar, waaronder het werken met nieuwe AI-voorzieningen. Ook stelt het college vast dat nieuwe AI-functies die in de huidige aanbesteding worden uitgevraagd, pas gebruikt worden in de doorontwikkelfase, waarvoor een tweede aanbesteding is voorzien. De leverancier die dan gekozen wordt, heeft dus geen vrije keuze voor een AI-oplossing en kan als gevolg hiervan mogelijk niet de optimale toegevoegde waarde leveren voor de Belastingdienst.

Bijsturen voor de gunningsfase: huiswerk overdoen

Het Adviescollege adviseert dan ook om bij te sturen voor de gunningsfase, onder andere door de businesscase te herzien en een transparante vergelijking te maken tussen beschikbare CCaaS- en on-premisesoplossingen. Ook raadt het College aan om een nieuwe risicoanalyse te maken, zodat er kan worden besloten of de aanbesteding in huidige vorm moet doorgaan.

Het Adviescollege wijst met name op de geopolitieke risico’s van een Amerikaans platform. Ook zou de Belastingdienst moeten kijken naar de haalbaarheid van verlenging van de huidige dienstverlening met minimaal zes maanden, waarbij de dienstverlening zonder formele support kan worden voortgezet. Ook moet de Belastingdienst de specificaties rondom AI en security aanscherpen om risico’s verder te concretiseren.

Het Adviescollege wijst op het standpunt van de staatssecretaris van Financiën, die stelt dat de Belastingdienst koploper zou moeten zijn op het gebied van digitale autonomie. “Als de Belastingdienst zou kiezen voor een leverancier die meer controle geeft over de data – bijvoorbeeld met een on-premises of Europese oplossing – sluit dat naadloos aan bij deze ambities. Dit geeft burgers en ondernemers meer vertrouwen dat hun gegevens in goede handen zijn, zoals beoogd in de Nederlandse Digitaliseringsstrategie.”

(Ziptone/redactie)