Verzekeraars zijn eindverantwoordelijk voor uitbestede bedrijfsprocessen en moeten meer aandacht hebben voor de beheersing van de (onder)uitbestedingsrisico’s.In 2017 heeft DNB op basis van een self-assessment een inventariserend onderzoek gedaan naar uitbesteding en de beheersing van het uitbestedingsrisico. Aanleiding voor dit onderzoek was de verwachte toename van de uitbesteding van bedrijfsactiviteiten, waaronder cloud-uitbestedingen en de toename van de inherente risico’s op dit vlak.

De resultaten van dit onderzoek laten zien dat er ruimte voor verbetering is voor wat betreft de beheersing van de (onder)uitbestedingsrisico’s. De belangrijkste bevindingen zijn:

• Uitbestedingen worden niet structureel centraal geregistreerd.
• Het interne beleid voldoet niet bij alle verzekeraars aan de wettelijke vereisten.
• Directies ontvangen niet op reguliere basis managementinformatie over uitbestedingen inclusief onderaannemers.
• Evaluatie van serviceproviders schiet tekort in zowel frequentie als kwaliteit.
• Activiteiten uitgevoerd door serviceproviders worden niet structureel meegenomen in Business Continuity Management.
• Er zijn niet altijd voldoende beheersmaatregelen om de toegang van serviceproviders tot gevoelige data te bewaken.
• Er is onvoldoende zekerheid beschikbaar over de kwaliteit van geleverde diensten door serviceproviders.
• Er is onvoldoende inzicht in de eigen concentratierisico’s van (onder)uitbesteding.

In een sectorbrede terugkoppeling zijn de verzekeraars geïnformeerd over de uitkomsten van het onderzoek en wat DNB verwacht.

Verwachtingen DNB en Good practice

DNB verwacht dat verzekeraars zich bewust zijn dat zij bij uitbesteding eindverantwoordelijk zijn en blijven voor de beheersing van de onderhavige risico’s. Alhoewel DNB constateert dat naar aanleiding van dit onderzoek instellingen reeds verbeteringen doorvoeren, zal zij de komende periode hieraan meer aandacht besteden. DNB gaat ervan uit dat alle verzekeraars hun eigen uitbestedingsprocessen kritisch tegen het licht houden. Hulpmiddel daarbij zijn de onderzoeksbevindingen en de later dit jaar te verschijnen Good Practice die verzekeraars kunnen gebruiken om de uitkomsten van het onderzoek op te pakken. Een concept hiervan is eerder open gesteld ter consultatie

Foto DNB: