Interview met Pieter Overbeeke, Manager Compliance, Audit & Security bij Centric
Interview met Pieter Overbeeke, Manager Compliance, Audit & Security bij Centric, over de uitdagingen van banken op het gebied van compliance.
Kun je iets vertellen over jouw rol als Manager Compliance, Audit en Security bij Centric?
Binnen het onderdeel van waaruit de BPO en IT dienstverlening aan banken plaatsvindt, is sinds 2004 ervaring met het geven van assurance over deze dienstverlening. In 2010 ben ik gestart met de migratie van de oude assurance standaard SAS 70 naar de huidige assurance standaard ISAE 3402. Sindsdien is het onderliggende Risk & Control Framework continu verbeterd. In dit Risk & Control Framework zijn de belangrijkste BPO en IT processen en beheersmaatregelen voor onze dienstverlening opgenomen. Vanuit onze interne audit functie voeren we audits uit op de opzet, het bestaan en de werking van deze beheersmaatregelen.
Binnen de IT processen worden security bedreigingen steeds belangrijker. Om deze risico’s te mitigeren zijn een groot aantal procedurele en technische maatregelen getroffen op het gebied van informatiebeveiliging die vanuit de afdeling Compliance, Audit en Security worden geïnitieerd.
Wat zijn de uitdagingen waar banken op het gebied van Compliance mee te maken hebben?
De regulering van de betaaldiensten van banken door de Europese Unie stellen banken voor nieuwe uitdagingen. Na de invoering van SEPA in 2014 staan banken aan de vooravond van het wegnemen van belangrijke drempels als gevolg van PSD2, waarmee nieuwe toetreders toegang krijgen tot betaaldiensten. De processen en systemen voor betaaldiensten bij banken zullen ingrijpende wijzigingen moeten ondergaan om concurrerend te blijven.
De effecten van de kredietcrisis uit 2008 dreunen nog steeds na. Toezichthouders als De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM) stellen meer eisen en hebben vergaande bevoegdheden. Ze oordelen over bedrijfsvoering en verlangen steeds vaker dat banken aantonen ‘in-control’ te zijn. Zo is de afgelopen jaren de DNB Self Assessement geïntroduceerd, waarin financiële instelling moeten beoordelen wat de kwaliteit van de IT processen is met betrekking tot informatiebeveiliging.
In hoeverre zijn banken goed voorbereid op de consequenties van wet- en regelgeving als Basel III, PSD2, EU GDPR (General Data Protection Regulation)?
Over het algemeen zijn banken goed voorbereid op de consequenties van wet- en regelgeving. Veel projecten zijn geïnitieerd voor de implementatie van de wijzigingen in processen en systemen. Voor grotere banken is het relatief eenvoudiger de wijzigingen door te voeren dan voor de kleinere, die moeite hebben om het tempo van de wijzigingen bij te houden.
Risicomanagement en naleving van wet- en regelgeving is niet alleen een technische kwestie, maar zeker ook een zaak van cultuur en gedrag. Hoe kunnen banken daar het beste mee omgaan?
Banken zijn van oudsher gewend om risico’s te beoordelen in het primaire proces, zoals bij het verstrekken van kredieten. Maar bij het beheersen van risico’s in de eigen bedrijfsvoering wordt een beroep gedaan op het gedrag van alle medewerkers. Daarnaast zal de competitie de banken nopen om efficiënter te werken. Dit op zich stelt de banken voor de nodige uitdagingen.
Wat zijn de uitdagingen op het gebied van Compliance & Assurance indien banken besluiten om één of meerdere van hun bedrijfsprocessen te outsourcen?
De komende jaren is het voor Centric belangrijk om de ontwikkelingen rondom Compliance en Assurance en het toepassen van standaarden vanuit wet- en regelgeving op de voet te blijven volgen. We hebben de afgelopen jaren gebouwd aan een robuust Risk & Control Framework, waarin de belangrijkste processen en beheersmaatregelen voor onze dienstverlening zijn opgenomen. De uitdaging is ons Risk & Control Framework continu aan te passen en te optimaliseren, zodat het optimaal invulling geeft aan de wensen en eisen van stakeholders en in het bijzonder van onze klanten.
Hoe geven jullie hier als Centric invulling aan?
Door het positioneren van Assurance, het geven van zekerheid, bij onze dienstverlening te positioneren als een unique selling point, zodat Assurance vanuit de strategie van de organisatie voldoende aandacht en richting krijgt. Wij geven onze klanten de zekerheid dat onze processen betrouwbaar worden uitgevoerd en voldoen aan de eisen die gesteld worden aan informatiebeveiliging. Met het Centric Risk & Control Framework zijn wij in staat om de vereisten vanuit wet- en regelgeving duurzaam te verankeren in al onze bedrijfsprocessen.
