In de afgelopen maanden heeft voor de tweede maal het IT risk self-assessment bij betaal- en elektronischgeldinstellingen plaatsgevonden. Het doel van dit onderzoek is om een actueel beeld te krijgen van de beheersing van IT-risico’s van onder toezicht staande betaal- en elektronischgeldinstellingen.
De deelnemende instellingen hebben een individuele terugkoppeling ontvangen. Op basis van de resultaten brengt DNB graag de volgende generieke punten onder de aandacht.
De audit planning moet alle relevante aspecten van de IT-organisatie bevatten. De EBA Richtsnoeren inzake ICT en risicobeheer op het gebied van veiligheid (EBA/GL/2019/04) en de EBA Richtsnoeren inzake uitbesteding (EBA/GL/2019/02) bevatten maatregelen die instellingen, met inachtneming van proportionaliteit, moeten nemen. Daarbij is expliciet omschreven dat periodiek een audit uitgevoerd dient te worden. Deze audit dient voldoende onafhankelijk te zijn.
De variatie in scope en diepgang van auditstandaarden dient in overweging genomen te worden bij de beoordeling van de effectiviteit van controlemaatregelen. Hoewel alle audits bijdragen aan meer inzicht in de effectiviteit van controlemaatregelen, heeft iedere auditstandaard een eigen scope en diepgang.
Instellingen moeten adequate processen en procedures hebben om voldoende controle te houden over diensten die zijn uitbesteed. Dezelfde wettelijke eisen zijn van toepassing op uitbesteding binnen de groep als bij uitbesteding buiten de groep. Daarnaast dienen instellingen voor het einde van 2021 alle bestaande uitbestedingsovereenkomsten in lijn te hebben gebracht met de EBA Richtsnoeren inzake uitbesteding (EBA/GL/2019/02), aangezien de transitieperiode dan eindigt.
Het bestuur dient tenminste jaarlijks het ICT and security risk management framework te herzien en goed te keuren. Instellingen moeten zorgen voor adequate processen en controlemaatregelen in lijn met de verplichtingen zoals uiteengezet in hoofdstuk 3.3. van de EBA Richtsnoeren inzake ICT en risicobeheer op het gebied van veiligheid (EBA/GL/2019/04).
Instellingen moeten Business Continuity Plannen gerelateerd aan kritieke functies tenminste jaarlijks testen. Met inachtneming van proportionaliteit wordt van instellingen verwacht dat zij voldoen aan de vereisten zoals uiteengezet in hoofdstuk 3.7 van de EBA Richtsnoeren inzake ICT en risicobeheer op het gebied van veiligheid (EBA/GL/2019/04).
Met de Digital Operational Resilience Act (DORA) wordt van instellingen in de financiële sector verwacht dat ze digitaal weerbaar zijn en hun ICT-risicomanagement op orde hebben. Dit stelt specifieke eisen aan de kennis en ervaring van de personen die het beleid van deze instellingen bepalen.
Lees meer ICT-risicomanagement onder DORA onderdeel van personentoetsingen
In 2025 stelt DNB twee jaarlijkse rapportages al beschikbaar per februari.
Lees meer Vragenlijsten SBA-NFR én IRAP 2025 eerder beschikbaar
FATF heeft een update van haar ‘grijze’ en ‘zwarte’ lijsten gepubliceerd.
Lees meer Update FATF-waarschuwingslijsten oktober 2024
Op dinsdag 5 november a.s. organiseert DNB van 15.00 tot 16.45 uur een fysieke informatiebijeenkomst over personentoetsingen.
Lees meer Informatiebijeenkomst over personentoetsingen DNB
