Volgens de AFM is een stevige en toekomstbestendige beheersomgeving noodzakelijk, juist omdat accountantskantoren werken met gevoelige cliënt- en transactiedata en sterk afhankelijk zijn van digitale systemen.
Aanleiding vormen onder meer recente digitale incidenten bij grote organisaties, zoals onlangs nog bij het ministerie van Financiën. Zulke incidenten raken volgens de AFM vaak niet alleen de organisatie zelf, maar ook klanten, leveranciers en soms zelfs financiële markten.
Meer dan alleen technische maatregelen
De toezichthouder benadrukt dat goede informatiebeveiliging meer vraagt dan alleen technische maatregelen. Veel incidenten ontstaan volgens de AFM door menselijke fouten, onvoldoende monitoring of onduidelijkheid over verantwoordelijkheden. Een robuust raamwerk voor risicomanagement moet organisaties helpen om informatiebeveiliging structureel en samenhangend in te richten.
Als voorbeeld wijst de AFM op de Good Practice Informatiebeveiliging van De Nederlandsche Bank. Dat document biedt volgens de toezichthouder ook voor accountantsorganisaties bruikbare handvatten voor de aanpak van informatiebeveiligingsrisico’s. Daarbij noemt de AFM ook het self-assessment uit die good practice als nuttig instrument om de volwassenheid van de beveiliging in kaart te brengen.
Aandachtspunten
Op basis van de bevindingen bij oob-accountantsorganisaties benoemt de AFM meerdere aandachtspunten. Zo moeten kantoren hun ICT-risicomanagement actueel en cyclisch organiseren, continuïteitsplannen regelmatig toetsen, afhankelijkheden in systemen en koppelingen beter in beeld brengen en leveranciers structureler monitoren. Ook incidentmanagement vraagt volgens de toezichthouder om meer discipline, onder meer door incidenten eenduidig te definiëren, analyses standaard uit te voeren en verbetermaatregelen aantoonbaar op te volgen.
Volgens de AFM is informatiebeveiliging pas waardevol als het in de praktijk ook aantoonbaar werkt. Daarom vraagt de toezichthouder alle accountantsorganisaties om extra aandacht voor een veilige en toekomstbestendige beheersomgeving. IT-risicobeheersing blijft ook de komende jaren een prioriteit in het toezicht.
Geef een reactie