Je IT is uitbesteed. Maar weet je ook wat er gebeurt, en houd je zelf de controle? Als financiële onderneming blijf je verantwoordelijk voor je ICT, ook als een externe partij die voor je regelt. Missing Piece helpt je om je werkplek veilig in te richten, overzicht te houden en aan te tonen dat je zaken op orde zijn.
Financiële dienstverleners besteden hun IT vaak uit. Denk aan het beheer van hardware en applicaties, een extern datacenter of werken in de cloud. Logisch, want je hoeft niet alles zelf te regelen. Maar uitbesteden betekent niet dat je er geen omkijken meer naar hebt. Als iemand vraagt hoe je toezicht houdt op je IT-partner en hoe je de afspraken bewaakt, moet je dat kunnen laten zien. Alleen een factuur is dan niet genoeg.
Daarvoor heb je een goed ingericht dossier nodig. En juist dat ontbreekt bij veel kantoren.
Bijna elk advieskantoor en volmachtbedrijf werkt met een externe IT-partner. Dat is ook logisch. Je wilt bezig zijn met je klanten, niet met servers, updates en beveiligingsinstellingen. Maar de verantwoordelijkheid blijft bij jou. Ook als je IT-partner een fout maakt of er een storing ontstaat, moet jij kunnen uitleggen hoe je de risico's beheerst.
De AFM verwacht dat je vooraf nadenkt over de risico's van uitbesteden en tijdens de samenwerking blijft controleren of alles goed geregeld is. Ook moet je weten wat je doet als je ooit naar een andere IT-partner overstapt.
In de praktijk is de techniek bij veel kantoren best goed geregeld. Alleen is dat niet altijd ergens vastgelegd. En juist dat bewijs wil je op tafel kunnen leggen als iemand ernaar vraagt. Ook de Wft en AVG spelen een rol. Voor volmachtbedrijven en serviceproviders komen daar steeds vaker DORA-eisen bij, bijvoorbeeld via de contracten met verzekeraars en banken. Welke regels voor jouw kantoor gelden, hangt af van je vergunning en omvang.
In haar verkenning Technologie richting 2035 kijkt de AFM vooruit naar de veranderingen in de financiële sector. Eén ding is duidelijk: digitale veiligheid krijgt een steeds grotere rol.
Dat komt onder andere doordat kantoren steeds afhankelijker worden van hun IT-leveranciers en andere partijen in de keten. Je kunt je eigen beveiliging goed op orde hebben, maar als een leverancier steken laat vallen, kan dat alsnog gevolgen hebben voor jouw kantoor.
Ook wordt het moeilijker om echt van nep te onderscheiden. Met AI maken criminelen steeds overtuigender phishingmails. Soms lijkt het alsof een bericht rechtstreeks van een collega, klant of leverancier komt.
En ondertussen regelen klanten steeds meer digitaal. Toch willen ze kunnen vertrouwen op hun adviseur. Dat vertrouwen begint ook bij de manier waarop je met hun gegevens omgaat.
Je hoeft niet tot 2035 te wachten om daar iets mee te doen. De risico's zijn er nu al. In je mailbox, je Microsoft 365-omgeving en de systemen waarmee je dagelijks werkt.
Je hoeft niet alles in één keer aan te pakken. We beginnen met kijken hoe je er nu voor staat. Daarna werken we stap voor stap aan een veilige werkplek en de documentatie die daarbij hoort.
Scan: eerst weten waar je staat
We bekijken je domein, e-mail en werkplek. Binnen twee weken weet je welke risico's er zijn, wat al goed geregeld is en waar je het beste kunt beginnen.
Fundament: de basis op orde
In de eerste twee maanden pakken we de belangrijkste zaken aan. Denk aan veilige e-mail, goed inloggen, beheerde apparaten en betrouwbare back-ups. Je krijgt ook de eerste versie van je uitbestedingsdossier.
Aantoonbaar: laten zien dat je grip hebt
Daarna zorgen we dat je ook kunt aantonen hoe je je IT beheert. Met monitoring, duidelijke afspraken, een incidentproces en training voor je medewerkers. Zo heb je niet alleen de techniek op orde, maar ook het bewijs.
AI: klaar voor de volgende stap
Is de basis goed geregeld? Dan kijken we samen hoe je Copilot veilig kunt inzetten. Met de juiste toegangsrechten, duidelijke afspraken en medewerkers die weten hoe ze ermee moeten werken.
Doorlopend: blijven controleren en verbeteren
Ook daarna blijven we betrokken. Elk kwartaal ontvang je een rapportage en ieder jaar bekijken we opnieuw de risico's en werken we je dossier bij. Zo blijft je werkplek veilig en je documentatie actueel.
Een veilige werkplek is belangrijk. Maar als de AFM, een verzekeraar of serviceprovider vragen stelt, wil je ook kunnen laten zien hoe je het geregeld hebt.
Daarom kijken we bij Missing Piece verder dan alleen techniek. We maken duidelijke afspraken over wie waarvoor verantwoordelijk is, brengen risico's in kaart en houden je IT-omgeving in de gaten.
Je ontvangt elk kwartaal een rapportage over storingen, incidenten en openstaande punten. Ook leggen we vast wat er gebeurt als er iets misgaat. Denk aan een incidentdraaiboek, geteste back-ups en een plan voor als je ooit van IT-leverancier wisselt.
Alle afspraken en documenten komen samen in één dossier. Van verwerkersovereenkomst tot AI-gebruiksbeleid. We houden het actueel, zodat je niet op het laatste moment op zoek hoeft naar de juiste informatie.
Zo weet je niet alleen dat je IT goed geregeld is, maar kun je dat ook laten zien.
Maakt Missing Piece ons compliant?
Nee. De verantwoordelijkheid voor je bedrijfsvoering blijft bij jou, en dat is precies het uitgangspunt van de AFM. Wij leveren de inrichting en de onderbouwing waarmee je die verantwoordelijkheid kunt dragen en laten zien. Of je voldoet, beoordeel je samen met je compliance-adviseur.
Geldt DORA voor ons kantoor?
Dat hangt af van je vergunning en omvang. Veel kantoren krijgen DORA-eisen vooral doorgecontracteerd via verzekeraars, banken en serviceproviders. Wij richten je omgeving zo in dat je die vragenlijsten kunt beantwoorden. De juridische afbakening laat je over aan je jurist of compliance-functie.
Wat staat er in het risicorapport?
De stand van je domein- en e-mailbeveiliging, wat een buitenstaander met je merk kan doen en welke punten als eerste aandacht vragen. Je ontvangt het binnen vijf werkdagen, en we bespreken het graag met je.
Moeten we alles tegelijk doen?
Nee. We beginnen met de scan en de domeinbeveiliging. Daarna bepaal je zelf het tempo van de volgende fases.
We hebben al een IT-leverancier. Kan dit dan ook?
Ja. Vraag je huidige partij gerust naar je exitplan, je subverwerkersoverzicht en de laatste restore-test. Komt daar geen document uit, dan helpen wij je verder, of in samenwerking met je huidige partij.
Kunnen we Copilot direct aanzetten?
Liever niet. Copilot ziet alles wat een medewerker mag zien. Zijn de rechten te ruim, dan komen klantdossiers bij de verkeerde collega terecht. Daarom ruimen we eerst de rechten op en zetten we daarna Copilot aan, met een gebruiksbeleid en training.
Wat kost het?
Het risicorapport is kosteloos. Voor het vervolg maken we een voorstel op basis van het aantal gebruikers en wat er al staat.
