it-risico scan voor pensioenfondsen

IT-RISICO SCAN VOOR PENSIOENFONDSEN
Voor Bestuurders, Directie en Leden Raad van Toezicht van
pensioenfondsen
Onlangs concludeerde DNB dat veel Nederlandse pensioenfondsen hun IT-risico’s onvoldoende
beheersen. Dit leidt tot grote risico’s. DNB noemde deze situatie zelfs “zorgelijk”.
Wat is er aan de hand? Uit het onderzoek van DNB blijkt dat de benodigde IT-kennis lang niet altijd
aanwezig is. Zulke kennis is cruciaal gezien de groeiende afhankelijkheid van IT en de toenemende
complexiteit. Veel pensioenfondsen laten hun processen (deels) door derde partijen uitvoeren, die hiervoor
vaak ook weer met subcontractors werken. Hierdoor is het steeds moeilijker om goed zicht te houden op de
ingezette IT-middelen en bijbehorende risico’s: “Wie beheert eigenlijk onze informatie? Waar wordt deze
fysiek opgeslagen? Wat zijn de risico’s hiervan?”. Deze vragen zijn vaak lastig te beantwoorden.
Duidelijk is dat de bestuurders van pensioenfondsen ten alle tijde zelf eindverantwoordelijk blijven voor de
beheersing van IT-gerelateerde risico’s. Dus óók als zij hun processen deels hebben uitbesteed aan derde
partijen. DNB verwacht van ieder fonds dat het de verantwoordelijkheid voor IT-beheersing expliciet toewijst
aan een bestuurder of commissie. Het moet altijd duidelijk zijn wie binnen het bestuur aanspreekbaar is op
de IT-gerelateerde onderwerpen. Met name de risico’s van cloud computing hebben de aandacht van DNB
getrokken.
Het lijkt erop dat de boodschap door de sector serieus wordt genomen. Zo constateren wij dat veel fondsen
hun plannen van aanpak op dit gebied hebben opgesteld en dat het IT-beleid wordt aangescherpt. Maar
we zien óók dat de doorvertaling naar de praktijk een struikelblok blijft. En dát is nu juist die laatste
belangrijke stap die gezet moet worden.
Sectorspecifieke aanpak door specialisten van Tacstone
Tacstone Consulting is al een aantal jaren specialist op het gebied van risicomanagement, met een focus
op de pensioensector. Inmiddels kunnen wij stellen dat wij beschikken over een unieke en diepgaande
kennis van de pensioenfondsprocessen en bijbehorende (IT-)risico’s.
Voor de beheersing van IT-risico’s heeft Tacstone een gerichte aanpak ontwikkeld om snel inzicht te krijgen
in IT-risico’s en adequate maatregelen voor beheersing te formuleren. Deze aanpak is gebaseerd op
“CobiT” (Control Objectives for Information and related Technology). CobiT is een wereldwijd erkende
standaard voor het gestructureerd inrichten en beoordelen van IT-beheeromgevingen. Deze standaard is
door ons verder op maat gesneden voor de specifieke situatie bij pensioenfondsen.
Tacstone brengt risico’s binnen 2 weken in kaart
Het beoordelen van IT-risico’s aan de hand van een erkende standaard is specialistisch werk. Indien u
beschikt over de noodzakelijke kennis kan uw organisatie dit wellicht zelf uitvoeren, maar in de praktijk zien
we dat dergelijke kennisintensieve trajecten vaak beter en efficiënter (en dus goedkoper) door een externe
specialist kan worden uitgevoerd.
Tacstone is in de regel in staat om binnen 2 weken de belangrijkste IT-risico’s helder in beeld te brengen.
Hierbij is slechts een beperkte inzet vanuit uw eigen organisatie benodigd. Op basis van deze analyse
kunnen wij daarna, indien gewenst, een IT-Control framework op maat uitwerken en implementeren.
Meer informatie?
Wilt u meer weten over onze aanpak? Wij maken graag nader kennis! Neem contact op met Rob
Uiterlinden RC (06-40939031) of stuur een e-mail naar [email protected].