Op papier klopt het maar in de praktijk is het beheer niet in orde.

De AFM waarschuwt dat veel financiële ondernemingen hun beleid en basis voor hun financiële gezondheid en risicobeheersing op orde hebben, maar dat de uitvoering daarvan achterblijft. Vooral interne controlemechanismen en het beheer van ICT-risico’s blijken in de praktijk onvoldoende effectief.

De financiële waakhond stelt dat in het SREP-Marktbeeld 2025. Volgens de toezichthouder is het niet genoeg dat financiële bedrijven hun beheer- en veiligheidsbeleid goed op papier zettten. De instellingen moeten ook aantoonbaar maken dat dit beleid daadwerkelijk goed werkt in de praktijk.

Interne controles haperen

Dat is volgens de AFM nog niet het geval. Interne controles worden niet altijd structureel uitgevoerd of goed vastgelegd, en processen worden onvoldoende consequent geëvalueerd. Daardoor ontstaat het risico dat beleid wel op papier klopt, maar in de praktijk niet effectief is.

Zwakke beheersing ICT-risico’s

Ook de beheersing van ICT-risico’s blijft achter. Hoewel de afhankelijkheid van IT in de sector toeneemt, zijn cruciale onderdelen zoals kwetsbaarhedendetectie, back-uptesten en incidentvoorbereiding niet overal goed ingericht. Organisaties blijken vooral gericht op het signaleren van problemen, terwijl preventie minder aandacht krijgt, klaagt de AFM. “Dit maakt hen kwetsbaar in een context van toenemende cyberdreigingen en vraagt om strakkere sturing en duidelijke afspraken met externe IT-partijen.”

Rollen onduidelijk

Daarnaast is er behoefte aan meer helderheid over rollen en verantwoordelijkheden binnen organisaties en samenwerkingen. 

Deze versturen we 3-4x per jaar.