Vorig jaar behaalde certe de ISO 27001-certificering, de internationale norm voor informatiebeveiliging. Daarmee laat de organisatie zien dat de ICT-omgeving en processen rondom digitale veiligheid goed op orde zijn.  

Om aan de eisen te voldoen, moet je flink aan de bak, maar dat was de moeite zeker waard, zegt Remco Croon, CFO van certe groep. "Veel kantoren plakken AI bovenop bestaande processen. Dan verdubbelt de complexiteit: je houdt het oude systeem én voegt nieuwe technologie toe. AI wordt dan geen besparing, maar een extra kostenpost. Wij hebben juist eerst de keten en datastructuur ingericht."  

Meer tijd over voor de klant

Met de ISO-certificering is het makkelijker om de ICT op orde te houden, geeft Croon aan. "En dan blijft er meer tijd over voor de klant." Anderzijds is er nu meer aandacht voor het evalueren en voorkomen van cyberincidenten.  

Certe heeft op meer fronten de processen gewaarborgd, zegt Croon. "We voldoen ook aan de Europese DORA-vereisten voor digitale weerbaarheid, die onder meer melding van incidenten verplicht stellen. Dat doen we vooral omdat we zo altijd alles wat in onze systemen staat, kunnen verantwoorden. Het biedt overzicht én veiligheid."

Datastructuur fundament voor implementatie AI 

De focus ligt bij certe vanaf het begin op de verzekeringsketen met het eigen intermediair als praktijkomgeving, zegt Croon. "Systematisch ketengewijs redeneren en met data omgaan, is ons niet onbekend. Die werkwijze vormt een sterke basis voor de implementatie van AI." 

Volgens Croon zit daar precies het probleem bij veel intermediairs. "Veel organisaties automatiseren losse onderdelen: een AI-tool voor klantcontact, een scanner voor dossiers, een oplossing voor acceptatie. Maar als de onderliggende processen niet integraal zijn ingericht, wordt het geheel niet efficiënter maar juist complexer en duurder. AI rendeert pas als data correct en consistent wordt vastgelegd en de volledige keten logisch is ingericht."

Als de processen in de organisatie goed zijn ingericht, is altijd inzichtelijk hoe data en resultaten tot stand komen. Volgens Croon is ‘control op AI’ bij veel organisaties nog vooral theoretisch. "Men wil grip op algoritmes, maar de basis ontbreekt vaak: eenduidige data, vaste workflows en duidelijke autorisaties. Als je processen niet transparant zijn, kun je AI-uitkomsten ook niet echt controleren." Bij certe is compliance by design ingericht. Daardoor blijven uitkomsten herleidbaar en controleerbaar. 

"Op een conferentie in Londen, waar certe in april aan deelnam, werd dat opnieuw benadrukt: het fundament voor een efficiënte en veilige toepassing van AI is een goede datastructuur. Daar zetten wij op in en daar zijn wij met ons adviesplatform AAP al heel ver in."

Minder fouten, lagere kosten 

AI rendeert dus pas goed als de structuur goed zit. "En die hebben wij al in onze vezels zitten", zegt Croon. "Daardoor zijn de ontwikkelkosten bovendien minder groot." Hij geeft een voorbeeld van wat dat in de praktijk voor voordelen biedt: "Als een adviseur met een klant aan tafel zit, biedt ons platform AAP binnenkort de mogelijkheid om een offerte automatisch op te bouwen."

"Dat is alleen mogelijk als je gestructureerde data hebt, waarbij je zeker weet dat de gegevens kloppen en de beveiliging op orde is. Het adviesproces gaat daardoor sneller en alles wat wij doen in het AAP-systeem wordt gestructureerd vastgelegd, dus alle handelingen zijn herleidbaar. Je weet altijd dat de data klopt. Dat zorgt voor minder fouten, lagere kosten én goede compliance."

Als je software ontwikkelt, moet je altijd rekening houden met compliance. Maar het kost meer tijd om dat achteraf nog te doen. "Bij ons is compliance ingebakken in het systeem. Daardoor hoeven achteraf geen aanvullende controles of herstelacties plaats te vinden. Volgens Croon wordt compliance daarmee geen rem op innovatie, maar juist een concurrentievoordeel."

DORA en ISAE 

De ICT-organisatie van certe is ingericht op het hoge niveau dat DORA van verzekeraars vraagt, voegt Croon toe. "Verder voeren we regelmatig een zogeheten pentest uit. Daarmee test je via een gesimuleerde cyberaanval of er kwetsbaarheden in je systeem zitten."

En de compliance houdt daarmee niet op: na ISO 27001 zet certe de volgende stap met ISAE 3402 Type II. "Daarmee laten we onafhankelijk toetsen dat onze processen, controles en beheersmaatregelen structureel én aantoonbaar goed functioneren. Daar werken we nu aan, zodat we nog sterker kunnen steunen op geautomatiseerde controles van onze boeken."

Aan de hoogste normen voldoen 

Waterdichte systemen zijn noodzakelijk als je technologisch wilt doorgroeien, benadrukt Croon nog eens. "Onze AI-modellen draaien binnen onze eigen beveiligde infrastructuur. Klantdata verlaten onze omgeving niet. Daardoor houden we controle over vertrouwelijke informatie én kunnen we voldoen aan de eisen die toezichthouders en ketenpartners stellen."

Een fundament voor verdere groei 

AI biedt dus veel kansen, maar alleen als de basis klopt. Volgens Croon verschuift de markt snel. "De komende jaren gaan niet de partijen winnen die de meeste AI-tools kopen, maar de partijen die hun processen het beste beheersen. AI zonder structuur creëert vooral extra kosten. AI op een goed ingericht fundament vertaalt zich wél naar schaalbaarheid, snelheid en marge."

Dit artikel is gesponsord door certe groep.