De toezichthouder heeft de beknopte resultaten gepubliceerd van de 'uitvraag niet-financiële risico's' die vorig jaar is gedaan. De grip op data bleek vorig jaar, net als in 2019, een van de minder sterke punten. "De beheersing van datakwaliteit is ook in 2020 een blijvend aandachtspunt: bij ruim één derde van de verzekeraars is het gebruik van beheersinstrumenten en het uitvoeren van een management- en rapporteringscyclus niet op orde.' Onder beheersinstrumenten verstaat DNB onder meer het uitvoeren van een risico-analyse, het vaststellen van een 'risk appetite' en het monitoren van adequate KPI’s.

De afdelingen risk management en internal audit zouden zich bij veel verzekeraars meer met datarisico's en uitbesteding moeten bezighouden, vindt de toezichthouder: "Bij ongeveer de helft van de verzekeraars blijkt dat Risk Management de risico’s met betrekking tot datakwaliteit en uitbesteding niet monitort. Bij minder dan de helft van de verzekeraars onderzoekt Internal Audit de kritieke uitbestedingen en datakwaliteit." Beide bedrijfsonderdelen zouden datakwaliteit en uitbestedingen tot hun werkterrein moeten rekenen "aangezien dit belangrijke onderdelen zijn van de beheerste en integere bedrijfsvoering".

Ruimte voor verbetering

Over het algemeen geeft 80% van de verzekeraars aan de beheersing van operationele risico’s op orde te hebben; 60% beweert dat over de beheersing van IT-risico’s. "In vergelijking met de resultaten van 2019 (beheersing operationele risico’s 65% en beheersing IT-risico 50%) zien we dat beheersing op beide gebieden naar opgave van de verzekeraars is verbeterd." Maar het kan beter: "We zien op een aantal onderdelen ruimte voor verdere verbetering."

Vier op de vijf verzekeraars beschikken over een adequate niet-financiële-risico’s-rapportage. Wel blijkt dat de helft van de verzekeraars geen jaarlijkse beoordeling uitvoert van de uitbestede diensten zoals het beoordelen van SLA’s, assurancerapportages en de evaluatie van de dienstverlening. "Aangezien verzekeraars in toenemende mate kritieke diensten uitbesteden, is het van belang dat de beheersing hiervan op orde is."

Cyberrisico's

Op het gebied van 'end-user computing', oftewel het werken aan programma's door niet-ICT'ers, mogen verzekeraars ook wat meer beleid maken: ruim tweederde van de verzekeraars heeft het niet, terwijl er wel gebruik van wordt gemaakt. Een op de vier verzekeraars heeft nog nooit of in elk geval niet recentelijk een test uitgevoerd in hoeverre de systemen kwetsbaar zijn voor cyberaanvallen via een zogeheten penetration test. "Gezien de toegenomen dreiging op het gebied van cyberrisico’s, onder meer door de huidige coronacrisis, is DNB van mening dat een penetration test en het adequaat en snel oplossen van de met de test gevonden hoogrisicokwetsbaarheden een belangrijke beheersmaatregel is."