Frank van Rossum

"De lijsttrekkersverkiezing bij het CDA zat zo vol tekortkomingen dat het partijbestuur 'allesbehalve een winnaar' aan had kunnen wijzen. Dat concluderen twee registeraccountants in een brief aan het bestuur van het CDA." Zo opent een artikel van 24 oktober 2020 van RTL Nieuws. Eén van die twee accountants ben ik. Op 28 augustus jl. heb ik genoemde brief naar alle twaalf leden van het CDA-bestuur gestuurd, nadat ik de details van het externe verslag van onderzoek ("flitsonderzoek", aldus RTL) over de lijsttrekkersverkiezing had doorgenomen. Die brief is overigens buiten mijn medeweten bij RTL terecht gekomen.

Log omgeving verwijderd

Het RTL-artikel stelt het juist: of Hugo de Jonge de medio juli dit jaar gehouden CDA-lijsttrekkersverkiezing heeft gewonnen, is achteraf niet meer vast te stellen. Die conclusie hebben meer kritische lezers van het door IT-dienstverlener CGI op 26 augustus jl. uitgebrachte verslag van bevindingen getrokken. Ik heb namelijk het CDA-bestuur pas aangeschreven nadat ik een aantal collega's en een automatiseerder daarover had gesproken. Dat is echter niet de conclusie die CGI in het rapport heeft opgenomen. CGI stelt namelijk dat het onderzoek geen aanleiding geeft te veronderstellen dat er sprake was van grove onregelmatigheden, onregelmatigheden die van invloed zouden zijn geweest op de uitslag. Hoe zij tot die conclusie komt is een goede vraag, maar één die in het niet valt bij de twee meest prangende vragen die bestudering van het verslag oproept: waarom is de log omgeving direct na de laatste stemronde verwijderd? En wie heeft daartoe besloten?

Twijfel aan verkiezingsuitslag versterkt

Hoe zat het ook alweer? Op 14 juli jl. was de tweede en finale stemronde voor de CDA-lijsttrekkersverkiezing, die nog ging tussen Hugo de Jonge en Pieter Omtzigt. In die ronde zouden zo'n 18.500 CDA leden hebben gestemd en zou Hugo de Jonge nipt hebben gewonnen. Kort na deze verkiezing ontstond echter de eerste twijfel over de uitslag. Zes CDA-leden, waaronder de echtgenote van Omtzigt, lieten namelijk weten een beeldschermbevestiging te hebben gekregen "Dank voor uw stem op Hugo de Jonge", terwijl ze in de overtuiging waren op Omtzigt te hebben gestemd.

Die twijfel leidde er toe dat een aantal CDA-prominenten op nader extern onderzoek aandrong. Dat onderzoek werd door IT-dienstverlener CGI op 24 en 25 augustus jl. uitgevoerd, een dag later gevolgd door een verslag van bevindingen (vandaar "flitsonderzoek"). Dat stuk werd diezelfde dag nog door het CDA gepubliceerd, als bijlage van een nieuwsbericht op haar website.

'De twijfel wordt door (de details van) het verslag niet weggenomen, integendeel zelfs.'

Openbaarmaking is waarschijnlijk een spijkerharde toezegging geweest aan degenen die op het onderzoek hebben aangedrongen, want de twijfel wordt door (de details van) het verslag niet weggenomen, integendeel zelfs. CGI lijkt vooraf overigens niet van openbaarmaking op de hoogte te zijn geweest, getuige de voettekst op elke pagina 'Landelijk Bestuur CDA - Proprietary and Confidential'.

Vergaande functievermenging

Het verslag maakt al vrij snel duidelijk dat één persoon, de systeembeheerder, verantwoordelijk was voor vrijwel alles wat met de verkiezing samenhing. Hij/zij was verantwoordelijk voor ontwerp, bouw, test en operationele ondersteuning van de stemapplicatie en had vergaande autorisaties tot de broncode, die stemapplicatie en de onderliggende database. Daarnaast was hij/zij ook verantwoordelijk voor het genereren van de stemcodes (ieder stemgerechtigd lid ontving een unieke stemcode). Er hoeft niet omheen gedraaid te worden: deze persoon had in potentie ruime gelegenheid om stemgegevens aan te passen, te verwijderen of toe te voegen.

Het CGI-rapport vergoelijkt dit door te wijzen naar de ‘kleine organisatie’, maar dat snijdt hier toch echt geen hout. Ten aanzien van landelijke verkiezingen is jaren geleden immers al geconcludeerd dat die niet digitaal gehouden kunnen worden vanwege frauderisico’s. Dat kan het CDA-bestuur onmogelijk zijn ontgaan. Opperste zorgvuldigheid had dus het motto moeten zijn; de omvang van de organisatie mag hier niet als excuus worden gebruikt.

'Sporen uitwissen'

Voor een extern controleur is het bij zo'n vergaande functievermenging in zijn algemeenheid nogal een uitdaging om tot het oordeel te komen dat de gecommuniceerde uitslag de wens van de kiezers weergeeft. Maar het gaat hier om een digitaal stemproces en digitale vastleggingen laten altijd 'sporen' (logs) na. Ondanks de veel te vergaande functievermenging was het daardoor dus nog steeds mogelijk om tot zo'n stellig oordeel te komen. De controleur kan immers de details van de verkiezingsuitslag vergelijken met de ‘transacties’ die zijn weggeschreven in de log omgeving (hier LogEntries omgeving). Maar daar zit de levensgrote angel. Dat kan niet meer, omdat die log omgeving dus is verwijderd. De vrij gedetailleerde managementsamenvatting maakt daar helemaal geen melding van. Maar uit de detailbevindingen blijkt het klip en klaar: "… omdat de omgeving waaruit het logbestand is gegenereerd niet meer bestaat. Deze is vanwege de gevoeligheid van informatie na de sluiting van de finale stemronde direct verwijderd". Voor wie dit na wil lezen: paragraaf 2.2.2.1, bevinding nummer 25.

De specialisten van CGI hebben de details van de verkiezingsuitslag overigens wel met log gegevens vergeleken, namelijk met die in het logbestand. Dat is een export ('dump') uit de LogEntries omgeving, die de systeembeheerder had gemaakt voordat die omgeving werd verwijderd. Maar vergelijking met dat logbestand volstaat in deze omstandigheden natuurlijk niet om tot zo'n stellig oordeel te komen. Het verwijderen van de log omgeving vormt immers ̶ juist vanwege de vergaande functievermenging ̶ alle aanleiding om er zeer serieus rekening mee te houden dat dit is gedaan om sporen uit te wissen die richting een andere dan de gecommuniceerde verkiezingsuitslag wijzen. Een controleur moet ook de advocaat van de duivel kunnen spelen.

'Een controleur moet ook de advocaat van de duivel kunnen spelen.'

Verplaatst u zich namelijk even in de positie van de systeembeheerder. U heeft alle rechten en mogelijkheden in een heel belangrijk geautomatiseerd stemproces. De enige manier waarop u dus aan kunt tonen dat u die stemming niet heeft beïnvloed, is een log omgeving die buiten elke twijfel staat. Die omgeving zou u dus zorgvuldig moeten koesteren, nietwaar? De lijsttrekker wordt immers pas op 12 december aanstaande, tijdens het dan te houden CDA-verkiezingscongres, benoemd. Maar het tegenovergestelde van koesteren is gebeurd, de omgeving is vernietigd. Dat vereist een hele sterke verklaring, maar noch het rapport, noch het CDA-bestuur hebben die gegeven.

Het woord is aan het CDA

Van het CDA-bestuur mag daarom verlangd worden dat ze antwoord geeft op de twee eerdergenoemde vragen: waarom is de log omgeving direct na de laatste stemronde verwijderd? En wie heeft daartoe besloten?

'Hopelijk ziet het CDA-bestuur in dat ze hier niet in kan volharden en met geloofwaardige antwoorden moet komen.'

Tot nu toe heeft het CDA-bestuur volstaan met gemeenplaatsen. Zowel op de brief van 28 augustus jl. als een vervolgbrief die ik een week later stuurde, ontving ik een reactie in de trant van "zie ons nieuwsbericht". Dat is ongeveer dezelfde reactie als RTL ontving. Hopelijk ziet het CDA-bestuur naar aanleiding van dit artikel in dat ze hier niet in kan volharden en met geloofwaardige antwoorden moet komen. Ik ben niet de enige die daar met grote belangstelling naar uitkijkt, dat geldt ongetwijfeld ook voor veel CDA-leden.