Op de site van de DNB treft men een handige samenvatting aan van de uitbestedingsregels voor financiële instellingen (banken, verzekeraars, pensioenfondsen e.a.) . Deze good practices zijn een aanbeveling hoe financiële ondernemingen invulling kunnen geven aan de verplichting om de risico’s bij uitbesteding te beheersen. De regels zijn verankerd in de Wet financieel toezicht (Wft). De wet ziet er o.a. op toe dat de opzet, bestaan en werking van een gecontroleerd uitbestedingsbeleid is geïmplementeerd.

De good practices van de DNB zijn zijn niet alleen een goed hulpmiddel voor financiële instellingen. Ook voor niet financiële instellingen dragen de good practices van de DNB bij aan een gecontroleerd contractmanagement proces en aan het verbeteren van de positie en het imago van het vakgebied.

Onderstaand treft u een overzicht aan van de good practices, met daarbij een korte toelichting per onderdeel. Wil u meer weten over de vereisten van goed opdrachtgeverschap, kijk dan op: https://bit.ly/3wQwOz0

1. Beoordeel risico’s bij uitbesteding
De uitbestedende organisatie beschikt over een strategie rond uitbesteding en voordat tot uitbesteding wordt overgegaan wordt er een risico-analyse uitgevoerd en worden passende maatregelen genomen voor risicobeheersing bij uitbesteding.

 2. Beleid
De organisatie beschikt over een beleid dat alle aspecten van uitbesteding omvat. Dit beleid wordt door de directie vastgesteld en regelmatig geactualiseerd.

3. Regelgeving
Uitbesteding mag geen belemmering vormen voor toezicht. In de overeenkomsten is geregeld dat toezichthouders van de organisatie (bijv. audit, legal) rechtstreeks toegang krijgen tot relevante gegevens en de locaties van de opdrachtnemers.

4. Selectie van opdrachtnemers
Voordat tot selectie van een aanbieder wordt overgegaan, vindt er een risicobeoordeling plaats. Deze risicobeoordeling bevat meerdere aspecten zoals bijvoorbeeld, financiële risico’s, concentratierisico’s, due dilligence beoordeling en continuïteitsrisico’s.

5. Evaluatie van opdrachtnemers
Gedurende de looptijd van de overeenkomst wordt de opdrachtnemer regelmatig geëvalueerd. Van belang is dat de organisatie hiervoor de benodigde kerncompetenties in stand houdt, zodat de opdrachtnemer adequaat kan worden aangestuurd en gecontroleerd.

6. Managementinformatie
Uitbesteding mag de organisatie niet belemmeren bij de aansturing en bewaking van de activiteiten van de organisatie. Aan de hand van de managementinformatie is de directie in staat om de operationele risico’s die zijn verbonden aan de uitbestede diensten op effectieve wijze te beheersen.

7. Kwaliteit van de overeenkomst
Iedere uitbesteding wordt vastgelegd in een schriftelijk overeenkomst. Hierin worden ook de rapportageverplichtingen van een opdrachtnemer vastgelegd. De overeenkomst bevat ook een exit-clausule ter voorbereiding op een eventuele transitie.

 8. Business Continuity Management (BCM)
De uitbestede activiteiten maken onderdeel uit van de continuïteitsmaatregelen (BCM) van de organisatie. De genomen maatregelen worden regelmatig getoetst.

 9. Kritische data
Wanneer voor bepaalde gegevens regels van toepassing zijn, dan worden deze regels op minimaal hetzelfde niveau opgelegd aan de opdrachtnemer. Ook worden de eisen met betrekking tot gegevensbescherming opgenomen. De organisatie bewaakt deze regels.

10. Service Level Rapportages
De organisatie bewaakt of de opdrachtnemer blijft voldoen aan de prestatie- en risiconormen door een combinatie van kwantitatieve en kwalitatieve ‘key performance indicators’.

Assurance reporten
De overeenkomst bevat de verplichting voor de opdrachtnemer om regelmatig inzage te verstrekken over het stelsel van interne beheersing. De uitbestede activiteiten dienen binnen de reikwijdte te vallen van de interne auditor.

Tot slot

Wilt u meer weten over de wijze waarop AddVue invulling geeft aan het inrichten en werkend maken van professioneel opdrachtgeverschap, neem dan gerust contact met ons op voor een vrijblijvend gesprek.

Vincent Brouwer
Managing partner AddVue