In de afgelopen maanden heeft voor de tweede maal het IT risk self-assessment bij betaal- en elektronischgeldinstellingen plaatsgevonden. Het doel van dit onderzoek is om een actueel beeld te krijgen van de beheersing van IT-risico’s van onder toezicht staande betaal- en elektronischgeldinstellingen.
De deelnemende instellingen hebben een individuele terugkoppeling ontvangen. Op basis van de resultaten brengt DNB graag de volgende generieke punten onder de aandacht.
De audit planning moet alle relevante aspecten van de IT-organisatie bevatten. De EBA Richtsnoeren inzake ICT en risicobeheer op het gebied van veiligheid (EBA/GL/2019/04) en de EBA Richtsnoeren inzake uitbesteding (EBA/GL/2019/02) bevatten maatregelen die instellingen, met inachtneming van proportionaliteit, moeten nemen. Daarbij is expliciet omschreven dat periodiek een audit uitgevoerd dient te worden. Deze audit dient voldoende onafhankelijk te zijn.
De variatie in scope en diepgang van auditstandaarden dient in overweging genomen te worden bij de beoordeling van de effectiviteit van controlemaatregelen. Hoewel alle audits bijdragen aan meer inzicht in de effectiviteit van controlemaatregelen, heeft iedere auditstandaard een eigen scope en diepgang.
Instellingen moeten adequate processen en procedures hebben om voldoende controle te houden over diensten die zijn uitbesteed. Dezelfde wettelijke eisen zijn van toepassing op uitbesteding binnen de groep als bij uitbesteding buiten de groep. Daarnaast dienen instellingen voor het einde van 2021 alle bestaande uitbestedingsovereenkomsten in lijn te hebben gebracht met de EBA Richtsnoeren inzake uitbesteding (EBA/GL/2019/02), aangezien de transitieperiode dan eindigt.
Het bestuur dient tenminste jaarlijks het ICT and security risk management framework te herzien en goed te keuren. Instellingen moeten zorgen voor adequate processen en controlemaatregelen in lijn met de verplichtingen zoals uiteengezet in hoofdstuk 3.3. van de EBA Richtsnoeren inzake ICT en risicobeheer op het gebied van veiligheid (EBA/GL/2019/04).
Instellingen moeten Business Continuity Plannen gerelateerd aan kritieke functies tenminste jaarlijks testen. Met inachtneming van proportionaliteit wordt van instellingen verwacht dat zij voldoen aan de vereisten zoals uiteengezet in hoofdstuk 3.7 van de EBA Richtsnoeren inzake ICT en risicobeheer op het gebied van veiligheid (EBA/GL/2019/04).
10 juli 2025
Nieuwsbericht toezicht
De Europese Bankenautoriteit (EBA), heeft op 8 juli 2025 een consultatiedocument gepubliceerd over de beheersing van derdepartijrisico’s. Geïnteresseerden kunnen tot 8 oktober 2025 op deze consultatie reageren.
Lees meer De EBA consulteert de richtsnoeren over de beheersing van derdepartijrisico’s
02 juli 2025
Nieuwsbericht toezicht
DNB heeft de toelichting bij de prudentiële rapportage voor elektronischgeld- en betaalinstellingen aangepast. In de handleiding is verduidelijkt dat inkomsten uit het aanhouden van derdengelden dienen te worden meegenomen onder de post bruto provisie-inkomsten.
Lees meer Prudentiële rapportage elektronischgeld- en betaalinstellingen – bruto provisie-inkomsten en consolidatie derdengelden
17 juni 2025
Nieuwsbericht toezicht
FATF heeft een update van haar ‘grijze’ en ‘zwarte’ lijsten gepubliceerd.
Lees meer Update FATF-waarschuwingslijsten juni 2025
23 mei 2025
Nieuwsbericht toezicht
Het ministerie van Financiën heeft een wijziging van de Regeling bekostiging financieel toezicht eenmalige handelingen ter consultatie voorgelegd.
Lees meer Consultatie ministerie van Financiën over bekostiging financieel toezicht