AFM: ICT-risico’s en beheer onvoldoende onder controle bij financiële organisaties

Interne controles haperen
Dat is volgens de AFM nog niet het geval. Interne controles worden niet altijd structureel uitgevoerd of goed vastgelegd, en processen worden onvoldoende consequent geëvalueerd. Daardoor ontstaat het risico dat beleid wel op papier klopt, maar in de praktijk niet effectief is.

Zwakke beheersing ICT-risico’s
Ook de beheersing van ICT-risico’s blijft achter. Hoewel de afhankelijkheid van IT in de sector toeneemt, zijn cruciale onderdelen zoals kwetsbaarhedendetectie, back-uptesten en incidentvoorbereiding niet overal goed ingericht. Organisaties blijken vooral gericht op het signaleren van problemen, terwijl preventie minder aandacht krijgt, klaagt de AFM. “Dit maakt hen kwetsbaar in een context van toenemende cyberdreigingen en vraagt om strakkere sturing en duidelijke afspraken met externe IT-partijen.”

Rollen onduidelijk
Daarnaast is er behoefte aan meer helderheid over rollen en verantwoordelijkheden binnen organisaties en samenwerkingen. Op terreinen als best execution, duurzaamheid en uitbesteding is niet altijd duidelijk wie waarvoor verantwoordelijk is en hoe toezicht wordt gehouden.

Die onduidelijkheid kan er volgens de AFM toe leiden dat taken blijven liggen en dat ook richting klanten verwarring ontstaat. Door verantwoordelijkheden beter vast te leggen en processen te versterken, kan risicobeheersing worden verbeterd en het klantbelang beter worden geborgd, zo adviseert de waakhond.