VVP 1-22 ONLINE NIEUW

VOLMACHT VOORUIT!
HET BEHEERSEN VAN DE RISICO’S VAN UITBESTEDING DOOR
FINANCIËLE ONDERNEMINGEN, DE TOEZICHTHOUDERS
ZITTEN ER STEEDS MEER BOVENOP. EEN AANTAL
PRAKTIJKTIPS, OOK VOOR HET PROVINCIALE KANTOOR.
Adviesalerts
uitbesteding
TEKST TOON BERENDSEN
Eén van de ultieme vormen van uitbesteding
is het uitlenen door de verzekeraar van zijn
pen aan een Gevolmachtigd Agent. Geen
wonder – kijkend naar het enorme premievolume
bij met name schadeverzekeringen
dat via volmachten loopt – dat DNB van
verzekeraars inmiddels nadrukkelijk eist dat zij de risico’s
van deze uitbesteding beheersen. Maar GA’s en financieel
adviseurs besteden zelf ook tal van zaken uit,
ook van hen wordt steeds meer verwacht dat zij grip
houden op de risico’s hiervan.
De AFM vroeg medio vorig jaar nog eens nadrukkelijk
aandacht voor de beheersing van belangrijke en
kritieke uitbestedingsrisico’s. Uit een verkenning onder
246 financieel dienstverleners met samen in totaal
1.081 uitbestedingen, was onder meer gebleken dat “bij
70 procent van de uitbestedingen geen risicoanalyse
is uitgevoerd. Hierbij is er weinig verschil tussen intragroep
en externe uitbesteding. Ook is er geen verband
tussen de grootte van het risico van de uitbesteding
‘Ook zonder
verplichting, is een
risicoanalyse gewenst’
en de mate waarin risicoanalyses worden uitgevoerd.
Bij uitbestedingen met een hoog risico waren ook vaak
geen risicoanalyses aanwezig”.
Het maken van een risicoanalyse is wettelijk niet
vereist, leert navraag bij de AFM. De toezichthouder:
“Op basis van bestaande wet- en regelgeving (dat wil
zeggen artikel 4:15 Wft) is er geen sprake van verplichting
voor een risicoanalyse. De AFM Principes voor Informatiebeveiliging
bieden een handreiking op het
gebied van informatiebeveiliging voor onder AFM-toezicht
staande instellingen, hierin is (onder meer) bedoelde
risicoanalyse opgenomen.” Maar ook zonder verplichting,
lijkt ons een risicoanalyse een goed idee. Immers,
beheersen van risico’s begint met inzicht.
De AFM geeft als handvatten mee: “Bij een risicoanalyse
moet worden gekeken naar zowel het risicoprofiel
van de serviceprovider als de aard van de dienstverlening
die de serviceprovider levert (ondernemingen
waar activiteiten naartoe zijn uitbesteed, duidt de AFM
aan als serviceprovider, red.). Bij de risicoanalyse moeten
in ieder geval de volgende risico’s meegenomen
worden: het risico dat er een te grote afhankelijkheid
ontstaat van de serviceprovider, waardoor het moeilijk
wordt om over te stappen naar een ander serviceprovider;
het risico dat er onvoldoende kennis en personeel
aanwezig is bij de financieel dienstverlener om leveranciersselectie,
implementatie van de uitbesteding en
monitoring van de uitbesteding adequaat uit te voeren;
het risico dat de onderneming niet compliant is
40 | VVP NR 1 FEBRUARI 2022