ITDS ondersteunt internationale verzekeraar bij implementatie DORA
ITDS ondersteunt al enige tijd een internationale verzekeraar bij de implementatie van DORA. De organisatie beschikt nu over een concreter ingericht fundament voor IT-risicobeheersing en governance binnen een sterk gereguleerde Europese context. Sam Zerbib, consultant bij ITDS, vertelt ons meer over de lopende opdracht en belangrijkste resultaten.
DORA (Digital Operational Resilience Act) is een Europese verordening die financiële organisaties verplicht om hun digitale weerbaarheid tegen ICT-risico’s, zoals cyberaanvallen en storingen, te versterken. De wet zorgt ervoor dat banken, verzekeraars en andere financiële instellingen beter voorbereid zijn op digitale incidenten en dat hun systemen stabiel en veilig blijven functioneren.
Veranderend speelveld
“De wereld van uitvaartverzekeringen verandert sneller dan veel organisaties kunnen bijbenen en precies in die dynamiek bevindt onze opdrachtgever, een internationale verzekeraar, zich”, vertelt Sam.
Voor deze verzekeraar werkt ITDS, een vooraanstaand adviesbureau voor financiële dienstverleners, aan de implementatie van DORA, waarbij de organisatie actief is in meerdere Europese markten met Nederland als thuisbasis en Duitsland als belangrijke groeimarkt. Sam: “Juist daar verschuift de verantwoordelijkheid voor kosten rondom overlijden steeds vaker van collectieve voorzieningen naar het individu, waardoor de vraag naar uitvaartverzekeringen zichtbaar toeneemt.”
“DORA raakt meerdere lagen tegelijk: van IT-processen tot governance en van risicomanagement tot externe afhankelijkheden.”
Tegelijkertijd groeit de druk vanuit regelgeving. “Met DORA verlangt Europa dat financiële instellingen niet alleen inzicht hebben in hun digitale risico’s, maar ook aantoonbaar in control zijn wanneer systemen onder druk komen te staan”, zegt Sam. “Voor deze organisatie betekende dat, dat bestaande processen rondom IT-risico’s, governance en digitale weerbaarheid niet langer voldeden en structureel versterkt moesten worden.”
Complexe transformatie door de hele organisatie
De echte uitdaging zat niet in de regelgeving zelf, maar in de vertaling ervan naar een organisatie die dagelijks moet blijven draaien en tegelijkertijd staat voor een veranderopgave. “DORA raakt meerdere lagen tegelijk: van IT-processen tot governance en van risicomanagement tot externe afhankelijkheden. Daardoor ontstaat er geen afgebakend project, maar een verandering die door de hele organisatie heen loopt”, licht Sam toe.
Daar kwam bij dat de tijdslijnen scherp waren, terwijl niet alle processen al volledig waren ingericht. “De organisatie moest dus vooruit, zonder dat de fundering overal al af was.”
Wat het traject volgens Sam extra complex maakte, was dat implementatie en aantoonbaarheid gelijktijdig moesten plaatsvinden. “In de praktijk betekent dat dat je controles inricht en beoordeelt, terwijl de processen waarop ze rusten nog in ontwikkeling zijn. Dat spanningsveld vraagt om scherpe keuzes, duidelijke prioriteiten en intensieve samenwerking tussen teams die normaal gesproken niet altijd zo nauw met elkaar optrekken.”
Van inzicht naar werkende processen
Om grip te krijgen op die complexiteit werd begonnen met het creëren van overzicht en structuur, “zonder het groter te maken dan nodig”, geeft Sam een inkijkje. “Samen met interne teams en externe specialisten is eerst scherp gekregen hoe de bestaande processen rondom IT-risicomanagement en governance eruitzagen. Vanuit daar hebben we bepaald welke stappen nodig zijn om te voldoen aan de DORA-vereisten.”
De focus lag vervolgens niet op het schrijven van beleid, maar op het daadwerkelijk laten werken van processen in de praktijk. “We hebben structuren ingericht, controles opgezet en inzichtelijk gemaakt hoe de organisatie kan aantonen dat zij in control is richting toezichthouders.”
“De basis die nu staat, zorgt er niet alleen voor dat de organisatie richting compliance beweegt, maar ook dat zij sterker en veerkrachtiger wordt in het omgaan met digitale verstoringen.”
Omdat implementatie en toetsing door elkaar heen liepen, werd bewust gekozen voor een pragmatische volgorde: eerst zorgen dat processen werken, daarna pas formaliseren en toetsen. “Die aanpak vraagt om flexibiliteit en continu schakelen, maar zorgt er wel voor dat oplossingen aansluiten op de realiteit van de organisatie en niet alleen op papier kloppen”, benadrukt Sam.
Meer grip en gezamenlijke verantwoordelijkheid
Hoewel het traject nog in volle gang is, wordt steeds duidelijker wat het oplevert wanneer structuur, samenwerking en pragmatiek samenkomen. Gevraagd naar de belangrijkste resultaten, geeft Sam aan: “De organisatie heeft beter inzicht in welke maatregelen nodig zijn, hoe deze aantoonbaar gemaakt kunnen worden en waar de belangrijkste digitale risico’s zich bevinden. Verder zijn processen rondom IT-risicomanagement en governance concreter ingericht, waardoor er meer grip ontstaat op monitoring en bijsturing.”
“Tegelijkertijd zien we dat digitale weerbaarheid geen los thema meer is, maar iets waar verschillende teams gezamenlijk verantwoordelijkheid voor nemen”, rondt de ITDS-consultant af. “De basis die nu staat, zorgt er niet alleen voor dat de organisatie richting compliance beweegt, maar ook dat zij sterker en veerkrachtiger wordt in het omgaan met digitale verstoringen.”
