Uitkomsten IT risk self-assessment

De deelnemende instellingen hebben een individuele terugkoppeling ontvangen. Op basis van de resultaten brengt DNB graag de volgende generieke punten onder de aandacht.

Audits

De audit planning moet alle relevante aspecten van de IT-organisatie bevatten. De EBA Richtsnoeren inzake ICT en risicobeheer op het gebied van veiligheid (EBA/GL/2019/04) en de EBA Richtsnoeren inzake uitbesteding (EBA/GL/2019/02) bevatten maatregelen die instellingen, met inachtneming van proportionaliteit, moeten nemen. Daarbij is expliciet omschreven dat periodiek een audit uitgevoerd dient te worden. Deze audit dient voldoende onafhankelijk te zijn.

De variatie in scope en diepgang van auditstandaarden dient in overweging genomen te worden bij de beoordeling van de effectiviteit van controlemaatregelen. Hoewel alle audits bijdragen aan meer inzicht in de effectiviteit van controlemaatregelen, heeft iedere auditstandaard een eigen scope en diepgang.

Uitbesteding en controle

Instellingen moeten adequate processen en procedures hebben om voldoende controle te houden over diensten die zijn uitbesteed. Dezelfde wettelijke eisen zijn van toepassing op uitbesteding binnen de groep als bij uitbesteding buiten de groep. Daarnaast dienen instellingen voor het einde van 2021 alle bestaande uitbestedingsovereenkomsten in lijn te hebben gebracht met de EBA Richtsnoeren inzake uitbesteding (EBA/GL/2019/02), aangezien de transitieperiode dan eindigt.

ICT and security risk management framework

Het bestuur dient tenminste jaarlijks het ICT and security risk management framework te herzien en goed te keuren. Instellingen moeten zorgen voor adequate processen en controlemaatregelen in lijn met de verplichtingen zoals uiteengezet in hoofdstuk 3.3. van de EBA Richtsnoeren inzake ICT en risicobeheer op het gebied van veiligheid (EBA/GL/2019/04).

Business continuity management

Instellingen moeten Business Continuity Plannen gerelateerd aan kritieke functies tenminste jaarlijks testen. Met inachtneming van proportionaliteit wordt van instellingen verwacht dat zij voldoen aan de vereisten zoals uiteengezet in hoofdstuk 3.7 van de EBA Richtsnoeren inzake ICT en risicobeheer op het gebied van veiligheid (EBA/GL/2019/04).