DORA voor pensioenfondsen

Pensioenfondsen vallen onder DORA, met een uitzondering voor fondsen onder een bepaalde omvang. Het bijzondere aan deze sector is dat vrijwel alle uitvoering is uitbesteed, waardoor DORA in de praktijk vooral over ketenbeheersing gaat.

Alles uitbesteed, verantwoordelijkheid niet

Een typisch fonds heeft een pensioenuitvoerder voor de administratie, een vermogensbeheerder voor de beleggingen, een custodian voor de bewaring en daarnaast partijen voor communicatie en deelnemersportalen. De ICT zit dus bijna volledig buiten de deur, en het bestuur bestaat vaak uit mensen die het fonds niet als dagelijks werk hebben.

DORA laat daar geen misverstand over bestaan: u blijft verantwoordelijk voor de risico’s die u uitbesteedt. Het bestuur moet kunnen uitleggen welke functies kritiek zijn, bij wie ze draaien en wat er gebeurt als een van die partijen uitvalt. Zie derdepartijrisico.

Het register is hier het halve werk

Omdat de keten lang is, is het informatieregister voor pensioenfondsen het zwaarste onderdeel. Niet alleen uw directe uitvoerder hoort erin, maar ook de partijen die zij inschakelt voor kritieke functies, met de locaties waar gegevens worden verwerkt.

In de praktijk betekent dat: informatie opvragen bij uw uitvoerders en die afspraken contractueel vastleggen, zodat u het volgend jaar opnieuw kunt opvragen zonder onderhandeling. Een uitvoerder die deze gegevens niet levert, is op zichzelf een bevinding die u vastlegt.

Waar het bestuur tegenaan loopt

Het bestuur keurt het ICT-risicobeheerraamwerk goed en moet voldoende kennis hebben om erover te kunnen beslissen. Bij fondsen met onafhankelijke of paritaire bestuursmodellen ligt hier een praktisch punt: wie in het bestuur heeft die kennis, en hoe houdt die het bij.

Een werkbare aanpak is een vaste set vragen aan de uitvoerder, elk kwartaal dezelfde. Welke incidenten waren er, wat is ermee gebeurd, welke wijzigingen in onderaannemers, wat kwam er uit de laatste test. Dan hoeft u niet technisch te worden om toch te sturen. Zie wat DORA van het bestuur vraagt.

De overgang naar het nieuwe stelsel

Veel fondsen zitten midden in een grote administratieve transitie. Dat is precies het soort wijziging waarbij ICT-risico toeneemt: nieuwe systemen, gegevensmigraties, tijdelijke koppelingen en een hoge werkdruk bij de uitvoerder.

DORA vraagt dat u zulke wijzigingen meeneemt in uw risicobeheer en dat u het raamwerk erop bijstelt. Praktisch: leg vast wat er tijdens de transitie anders is in uw risicobeeld, en wat de terugvaloptie is als een migratiestap misgaat.

Veelgestelde vragen

Geldt DORA ook voor kleine pensioenfondsen?

Er is een uitzondering voor fondsen onder een bepaalde omvang. Valt u eronder, dan gelden de eisen proportioneel en mogelijk via het vereenvoudigde raamwerk.

Moet mijn pensioenuitvoerder dit niet gewoon regelen?

Uw uitvoerder regelt de uitvoering, maar de verantwoordelijkheid voor het risico blijft bij het fonds. U moet kunnen laten zien dat u weet wat daar gebeurt en dat u erop stuurt, niet dat u erop vertrouwt.

Wat als onze uitvoerder zelf al aan DORA voldoet?

Dat helpt, maar het ontslaat u niet van uw eigen verplichtingen. U heeft een eigen register, een eigen raamwerk en een eigen meldplicht. Wel kunt u zijn documentatie gebruiken als onderbouwing.

Hoe krijgen we zicht op de onderaannemers van onze uitvoerder?

Door het te vragen en het contractueel vast te leggen. Krijgt u het niet, leg dan vast dat u het heeft gevraagd, beoordeel het risico en breng het bij het bestuur.