In 2021 heeft DNB haar jaarlijkse sectorbrede analyse uitgevoerd bij pensioenfondsen naar onder meer de identificatie en beheersing van operationele en IT-risico’s. Hiertoe hebben de pensioenfondsen vragenlijsten ingevuld voor operationele risico’s (SBA-ORM) en voor informatiebeveiligingsrisico’s (SBA IB). Ook zijn pensioenuitvoeringsorganisaties (PUO’s) in deze uitvraag betrokken, wanneer pensioenfondsen hun rechtenbeheer aan een PUO hebben uitbesteed. Zie hiervoor ook de brochure ‘PUO-gericht toezicht’. Hierbij is uitsluitend het rechtenbeheer bij de PUO onderzocht.
Uit de ingevulde vragenlijsten bleek dat de basiselementen van een risicomanagementraamwerk, en als onderdeel daarvan een interne controle raamwerk, bij de meeste pensioenfondsen aanwezig zijn. Daarbij valt wel op dat er verbetering mogelijk is in de snelheid van afhandeling van door de Sleutelfunctiehouder Risicobeheer en/of Interne Audit geconstateerde ‘hoog risico bevindingen’, en door handmatige controles te vervangen door geautomatiseerde (systeem)controles. Verder valt op dat pensioenfondsen en PUO’s hun beheersmaatregelen ten aanzien van informatiebeveiliging, uitbesteding en datakwaliteit in veel gevallen niet op orde hebben.
Naar aanleiding van bovenstaande constatering m.b.t. datakwaliteit vraagt DNB expliciet aandacht voor adequate regievoering en beheersing van datakwaliteit door pensioenfondsbestuurders. In praktijk zien we nog onvoldoende ‘awareness’ op dit onderwerp. Vooral het belang van goede datakwaliteit van pensioendeelnemers op moment van invaren in het nieuwe pensioenstelsel (het zogenaamde ‘waarheidsmoment’) is essentieel waarbij pensioenaanspraken van deelnemers juist, volledig en reproduceerbaar moeten zijn.
In de bijlage die u hieronder kunt downloaden, leest u meer over de uitkomsten. De uitkomsten ten aanzien van informatiebeveiliging hebben we in dit artikel beperkt gehouden, omdat deze in de IB-monitor uitgebreid aan de orde komen. In de IB-Monitor kunt u daarnaast ook nadere details over de uitkomsten van door DNB uitgevoerd onderzoek naar informatiebeveiliging en cyberrisico’s terugvinden.
PUO-gericht toezicht
Vragenlijst: Onderdelen uitvraag operationele en IT risico’s
DORA is een Europese verordening die tot doel heeft de digitale weerbaarheid van de financiële sector te vergroten en is van toepassing per 17 januari 2025.
Lees meer DORA: uitnodiging voor ‘dry run’ ter voorbereiding op rapportering informatieregister
Op 10 april lanceert DNB het nieuwe Advanced Red Teaming (ART) framework. Dit framework is ontwikkeld voor het uitvoeren van ethische hacktesten en volgt op het eerdere succes van de striktere TIBER testen.
Lees meer DNB lanceert ART: een breed inzetbaar ethisch hack framework ter verhoging van de cyberweerbaarheid van de financiële sector
De snelle ontwikkeling van artificiële intelligentie (AI) stelt AFM en DNB voor uitdagingen in het toezicht. De toezichthouders publiceren nu een rapport met uitgangs- en aandachtspunten voor het vormgeven van het toezicht op AI. AFM en DNB gaan hierover graag de dialoog aan met de sector.
Lees meer AFM en DNB publiceren rapport over de impact van AI in de financiële sector en het toezicht daarop
Afgelopen maanden zijn de eerste invaarmeldingen en aanvragen voor partiële beoordelingen binnengekomen bij DNB. Dat is goed nieuws, want dat betekent dat we gezamenlijk ervaring op kunnen doen met het beoordelingsproces van invaarmeldingen.
Lees meer TRANSITIENIEUWS - Eerste lessen uit invaarmeldingen voor DNB en de sector (UPDATE)
