De wereld van uitvaartverzekeringen verandert sneller dan veel organisaties kunnen bijbenen en precies in die dynamiek bevindt een internationale verzekeraar zich.Voor deze klant werken we aan de implementatie van DORA, terwijl de organisatie actief is in meerdere Europese markten met Nederland als thuisbasis en Duitsland als belangrijke groeimarkt. Juist daar verschuift de verantwoordelijkheid voor kosten rondom overlijden steeds vaker van collectieve voorzieningen naar het individu, waardoor de vraag naar uitvaartverzekeringen zichtbaar toeneemt.
Tegelijkertijd groeit de druk vanuit regelgeving. Met DORA verlangt Europa dat financiële instellingen niet alleen inzicht hebben in hun digitale risico’s, maar ook aantoonbaar in control zijn wanneer systemen onder druk komen te staan.Voor deze organisatie betekende dat dat bestaande processen rondom IT-risico’s, governance en digitale weerbaarheid niet langer voldeden en structureel versterkt moesten worden.
De uitdaging
De echte uitdaging zat niet in de regelgeving zelf, maar in de vertaling ervan naar een organisatie die dagelijks moet blijven draaien en tegelijkertijd moet veranderen. DORA raakt namelijk meerdere lagen tegelijk: van IT-processen tot governance en van risicomanagement tot externe afhankelijkheden. Daardoor ontstaat er geen afgebakend project, maar een verandering die door de hele organisatie heen loopt. Daar kwam bij dat de tijdslijnen scherp waren, terwijl niet alle processen al volledig waren ingericht. De organisatie moest dus vooruit, zonder dat de fundering overal al af was.
Wat het traject extra complex maakte, was dat implementatie en aantoonbaarheid gelijktijdig moesten plaatsvinden. In de praktijk betekent dat dat je controles inricht en beoordeelt, terwijl de processen waarop ze rusten nog in ontwikkeling zijn. Dat spanningsveld vraagt om scherpe keuzes, duidelijke prioriteiten en intensieve samenwerking tussen teams die normaal gesproken niet altijd zo nauw met elkaar optrekken.
De aanpak
Om grip te krijgen op die complexiteit, zijn we begonnen met het creëren van overzicht en structuur zonder het groter te maken dan nodig. Samen met interne teams en externe specialisten hebben we eerst scherp gekregen hoe de bestaande processen rondom IT-risicomanagement en governance eruitzagen. Vanuit daar hebben we bepaald welke stappen nodig zijn om te voldoen aan de DORA-vereisten.
De focus lag vervolgens niet op het schrijven van beleid, maar op het daadwerkelijk laten werken van processen in de praktijk. We hebben structuren ingericht, controles opgezet en inzichtelijk gemaakt hoe de organisatie kan aantonen dat zij in control is richting toezichthouders.
Omdat implementatie en toetsing door elkaar heen liepen, kozen we bewust voor een pragmatische volgorde: eerst zorgen dat processen werken, daarna pas formaliseren en toetsen. Die aanpak vraagt om flexibiliteit en continu schakelen, maar zorgt er wel voor dat oplossingen aansluiten op de realiteit van de organisatie en niet alleen op papier kloppen.
Het resultaat
Hoewel het traject nog in volle gang is, wordt steeds duidelijker wat het oplevert wanneer structuur, samenwerking en pragmatiek samenkomen. De organisatie heeft inmiddels beter inzicht in welke maatregelen nodig zijn, hoe deze aantoonbaar gemaakt kunnen worden en waar de belangrijkste digitale risico’s zich bevinden. Processen rondom IT-risicomanagement en governance zijn concreter ingericht, waardoor er meer grip ontstaat op monitoring en bijsturing.
Tegelijkertijd zien we dat digitale weerbaarheid geen los thema meer is, maar iets waar verschillende teams gezamenlijk verantwoordelijkheid voor nemen. De basis die nu staat, zorgt er niet alleen voor dat de organisatie richting compliance beweegt, maar ook dat zij sterker en veerkrachtiger wordt in het omgaan met digitale verstoringen.
Sta jij voor een vergelijkbare uitdaging rondom DORA of digitale weerbaarheid? We denken graag met je mee over een aanpak die niet alleen voldoet aan de regels, maar ook werkt in de praktijk.
