IT-BEHEERSING VOOR BESTUURDERS EN BELEIDSBEPALERS IN DE PENSIOENSECTOR

Transcriptie

1 IT-BEHEERSING VOOR BESTUURDERS EN BELEIDSBEPALERS IN DE PENSIOENSECTOR LEADERSHIP, ENTREPRENEURSHIP, STEWARDSHIP NYENRODE. A REWARD FOR LIFE

2 INHOUDSOPGAVE IT-beheersing voor bestuurders en beleidsbepalers in de pensioensector 3 Programma 6 Toelichting modules 7 Inlichtingen 11 2

3 IT-BEHEERSING VOOR BESTUURDERS EN BELEIDSBEPALERS IN DE PENSIOENSECTOR Waarom aandacht voor IT-beheersing? De snelheid van de digitale transformatie is enorm en we spreken daarom wel van een digitale revolutie. Binnen bepaalde sectoren zijn organisaties al volledig afhankelijk van IT. Ook de pensioenwereld digitaliseert in versneld tempo. Het belang en de complexiteit van IT nemen alsmaar toe. DNB heeft recent onderzoek gedaan naar de beheersing van IT-risico s bij een aantal grote pensioenfondsen. Kort samengevat concludeert DNB dat IT-risicobeheersing binnen pensioenfondsen meer aandacht behoeft van pensioenfondsbestuurders. IT speelt een cruciale rol in de administratie van pensioenrechten van de deelnemers en in de gegevensuitwisseling binnen het vermogensbeheer. Specifieke risico s, zoals cybercrime of beperkte aanpasbaarheid van (oudere) IT-systemen nemen toe. Het bestuur moet bewaken dat de informatie juist, tijdig en volledig is om schade en ongelukken te voorkomen. En dat is nog niet zo eenvoudig, omdat er een veelheid van soms complexe pensioenregelingen bestaat, die ook nog wel eens op verouderde systemen geadministreerd worden. De verwevenheid tussen de IT-systemen en de hoeveelheid en frequentie van de gegevensuitwisseling maakt dat beheersing van IT-risico s prioriteit zou moeten hebben, aldus DNB. Wat wordt van het bestuur verwacht? Uit het onderzoek van DNB blijkt dat IT-risicoanalyses ontbreken of dat het IT-beleid onvolledig is. Ook de kritische blik op uitbestedingsrelaties kan scherper, aldus DNB. Arnoud Vossen merkt daarover op: Bij slechts een enkel fonds staat informatiebeveiliging daadwerkelijk op de bestuursagenda. De bewustwording voor de IT-beheersing bij het bestuur dient in veel gevallen verbeterd te worden. In de risicoanalyses wordt bij een deel van de fondsen geen aandacht gegeven aan IT-risico s terwijl deze risico s er wel degelijk zijn. Daarnaast kan een bestuur zonder vooraf opgesteld beleid de IT-risico s in de uitbestedingsrelatie moeilijk monitoren. Ook draaien er bij veel uitvoerders complexe verandertrajecten en de impact hiervan op de pensioenfondsen komt niet altijd naar voren uit deze rapportages. De hoeveelheid en snelheid aan veranderingen en bedreigingen vraagt een balans tussen de complexiteit in regelingen en de aanpasbaarheid en de verwerkingscapaciteit van de IT-systemen. Terwijl in het self-assessment het overgrote deel van de besturen aangeeft dat de ervaring met IT-projecten is dat deze uitlopen, doelen niet worden behaald en niet aangelijnd zijn met de business. 3

4 Waarom deze masterclass? Wat in de voorgaande punten terugkeert, is dat de beschikbaarheid van IT-kennis binnen het bestuur in veel gevallen maar beperkt aanwezig is. Fondsbesturen moeten zowel de IT-risico s van de eigen bestuursomgeving als van de uitbestedingsrelatie betreffende bijvoorbeeld de rechtenadministratie en het vermogensbeheer beoordelen. Basiskennis van IT is voor bestuurders cruciaal, alleen al om de rapportages van uitbestedingsrelaties te kunnen doorgronden, grip te houden op de digitalisering en daarmee de wendbaarheid van het pensioenfonds. Daarom heeft Nyenrode Business Universiteit, op verzoek en in samenwerking met enkele pensioenfondsen, een masterclass ontwikkeld gericht op het verkrijgen en borgen van IT-kennis en -kunde binnen het bestuur en bestuursbureau s. Basiskennis De door DNB gesignaleerde verbeterpunten zien toe op de beheersing van: 1. Bestuurlijke beheersing van IT 2. IT-beleid 3. IT-uitbesteding 4. Cloud computing IT-beheersing dient een vast punt op de agenda van het bestuur te zijn. Kennis en de verantwoordelijkheid voor IT-risicobeheersing dient binnen het bestuur geborgd te zijn. In de beleidsstukken dient expliciet aandacht te zijn voor de inrichting en beheersing van IT en IT-risico s moeten integraal deel uitmaken van de risicoanalyse. Veel besturen steunen voor de beheersing van IT-risico s op een ISA3402 rapport van een uitbestedingsrelatie. Het bestuur dient zelfstandig vast te stellen in welke mate dit rapport specifiek toeziet op de processen van het fonds en of business continuity management is opgenomen. Daarnaast dient er bijzondere aandacht te zijn voor de beheersing van IT-veranderprojecten. Cloud computing is een specifieke vorm van uitbesteding. Besturen zijn zich niet altijd bewust van het gebruik van cloud computing. Het bestuur dient zicht te hebben op de aard, opslag, verwerking, integriteit en bescherming van data, oftewel data governance, data management en data driven risico s. Doelstellingen Na afloop hebben de bestuurders in relatie tot hun fonds kennis van IT-beleid, IT-strategie, IT-risico s, IT-governance, IT-uitbesteding en IT-beheersing. Ze zijn in staat de juiste vragen te stellen en kunnen de IT-risico s van de eigen bestuursomgeving en die van hun uitbestedingsrelaties beoordelen. Ze zijn tevens in staat digitale en data driven innovaties naar het eigen pensioenfonds te vertalen en dat te relateren aan specifieke risico s zoals: Cloud computing; Cyber security & business alignment; Aanpasbaarheid van (oudere) IT-systemen; IT-control en business continuity management; Privacy & IT-compliance; Applicaties en infrastructuur van de IT-omgeving. modules 1. Digitale transformatie en digital human 2. Toezicht DNB, deskundigheid en IT-beheersing 3. Applicaties, infrastructuur, uitbesteding en IT-verandervermogen 4. Scenario denken, IT-beheersing en toekomstbestendigheid IT 5. Big data game en business cintinuity management 6. Cloud computing, cyber security en data governance 7. IT-beleid, IT-governance en IT-agility 8. Privacy, compliance, legal en (big) data 9. IT-risico assessment, IT-control en beheermodel (Cobit) 10. IT-Self assessment Basiskader IT & infrastructuur (verdiepingsdag) 4

5 Workshops De masterclass staat in het teken van ervaringsgericht leren. We beperken ons daarom tot groepen van maximaal 22 deelnemers. Veel interactie, persoonlijke coaching, casestudies, groepsdiscussies, assessment van het eigen IT-beleid en zelfdiagnose. Doen en ervaren staat centraal. Praktisch en concreet, diepgaand met een academische fundering. Alle docenten staan met twee benen in de praktijk en de academische wereld. De praktijk centraal Elk programmaonderdeel wordt gerelateerd aan het IT-beleid van een fictief pensioenfonds, dat we in overleg met enkele pensioenfondsen hebben opgesteld. Gedurende elke module krijgen de deelnemers de gelegenheid de aangereikte kennis te toetsen aan dit beleid. Samen met de docenten challengen ze daarmee ook indirect hun eigen IT-beleid. Op die manier ontstaat focus en worden alle modules mede in het kader van de eigen ambities en het eigen pensioenfonds geplaatst. Uiteraard staat daarbij de vertrouwelijkheid van ons naar de deelnemer toe centraal. In de periode tussen de eerste twee dagen en de verdiepingsdag wordt aan opdrachten gewerkt om de aangereikte workshops, concepten, voorbeelden en theorie te kunnen toetsen aan het eigen IT-beleid. Tijdens de verdiepingsdag stellen we de eigen situatie, kennis, kunde en het fonds van deelnemers centraal door elke deelnemer voorafgaand aan het programma te vragen het self assessment Basiskader IT & infrastructuur in te vullen, zoals DNB dat heeft gebruikt bij het recente onderzoek. Dit geeft direct richting en focus voor de deelnemers en bespreken we aan het begin en het einde van de verdiepingsdag. Deelnemers van één fonds kunnen het assessment ook samen invullen. 5

6 PROGRAMMA dag uur uur Digitale transformatie en digital human uur uur Toezicht DNB, deskundigheid en IT-beheersing uur uur Applicaties, infrastructuur, uitbesteding en IT-verandervermogen uur uur Scenario denken, IT-beheersing en toekomstbestendigheid IT dag uur uur Big data game en business continuity management uur uur Cloud computing, cyber security en data governance uur uur IT-beleid, IT-governance en IT-agility uur uur Privacy, compliance, legal en (big) data uur uur Wrap up en vooruitblik opdracht en assessment verdiepingsdag dag uur uur IT-risico assessment, IT-control en beheersmodel (Cobit) uur uur IT-Self Assessment Basiskader IT & infrastructuur uur uur Assessment IT-beheersing deelnemende fondsen en implementatie data programma Masterclass 1: Dag 1 & 2: 28 en 29 april 2016 Dag 3: 23 mei 2016 Masterclass 2: Dag 1 & 2: 04 en 05 oktober 2016 Dag 3: 19 december

7 TOELICHTING MODULES 1. digitale transformatie en digital human prof. Steven van Belleghem, Vlerick Business School Prof. Steven van Belleghem is één van Europa s gedachteleiders op het gebied van social media, digitale trends en digitale marketing. Gedurende zijn carrière heeft Steven de impact van digitale en sociale media op consumenten en organisaties bestudeerd. Voor de eerste keer in onze historie vinden er meerdere grote golven van innovatie tegelijkertijd plaats. Steven gaat in op deze (technologische) golven die bepalend zullen zijn voor de klant en klantrelatie van de toekomst. Het gaat niet alleen om mobiele evolutie, de cloud, robotica, 3d-printing, internet voor iedereen, maar bijvoorbeeld ook om kunstmatige intelligentie. Er is een noodzaak tot een extreme transformatie in klantrelaties. Klanten leven in een wereld van selfservice, big data, customer automation en de integratie van de online & offline world. Een succesvolle digitale transformatie is cruciaal maar niet genoeg. Door de digitalisering moet de klantrelatie bijvoorbeeld ook op intermenselijk niveau wijzigen. Steven gebruikt zijn kennis om bedrijven te inspireren en te faciliteren hun bestaande strategie aan te passen. Hij vertaalt voorgaande en andere (digitale) trends naar concrete strategieën en inzichten voor bedrijven. Zijn manier van spreken wordt vaak omschreven als motiverend, pragmatisch en zeer enthousiast. Hij gaat in op de brede context van de financiële sector en gebruikt vele voorbeelden. 2. toezicht dnb, deskundigheid en it-beheersing dr. Arnoud Vossen, DNB Arnoud heeft het onderzoek geleid naar de beheersing van IT-risico s in de pensioensector. Hij deelt bevindingen, kaders en aanbevelingen en gaat in op de aandacht die pensioenfondsbestuurders voor IT-risicobeheersing moeten hebben. IT-risicoanalyses ontbreken en de kritische blik op uitbestedingsrelaties kan scherper. De vraag is wat bestuurders kunnen en moeten doen om hun IT-beheersing te verbeteren? Daar komt bij dat de hoeveelheid en snelheid aan veranderingen vraagt om een balans tussen de complexiteit in regelingen, de aanpasbaarheid en de verwerkingscapaciteit van IT-systemen. 3. applicaties, infrastructuur, uitbesteding en it-verandervermogen Theo van Kessel, directeur Director Business Improvement & Change APG Vanuit zijn ruime praktijkervaring bij een uitvoeringsorganisatie gaat Theo in op de strategische implementatie van IT en de samenhang tussen de strategie, technologie, architectuur, de keuzes, de deelnemers, de pensioenfondsen en inrichtingsprincipes. Welke visie en doelstellingen heb je als bestuur wanneer het gaat om IT (beheersing)? Hoe sluit IT aan bij de ontwikkelingen binnen het fonds en in de sector (individualisering)? Hoe wendbaar is de IT-omgeving, kan die ontkoppeld worden en hoe krijgt het bestuur grip op IT-veranderprocessen? 7

8 De visie van Theo op het digitale (agile) pensioenbedrijf en de gevolgen daarvan voor de architectuur onder invloed van de eerder genoemde strategische ontwikkelingen komen uitgebreid aan de orde. Een nieuwe strategie achter digitale innovatie staat niet los van de fonds-eigen context. Wie en wat wil je zijn als fonds en van waaruit vertrek je als het gaat om digitale innovatie en transformatie? Welke trends en scenario s komen er op ons af en hoe blijven we als pensioenfonds wendbaar? Welke uitgangspunten hanteert een uitbestedingsrelatie en wat zijn de strategische ontwikkelingen in de markt, technologie en de sector? Theo schetst de gevolgen voor de bestuurlijke beheersing van IT, het IT-beleid en de (beheersing van) IT-uitbesteding. 4. scenario denken, it-beheersing en toekomstbestendigheid it ir. Paul de Ruijter, Nyenrode Business Universiteit Voor de eerste keer in onze historie vinden er meerdere grote golven van innovatie tegelijkertijd plaats. Het gaat niet alleen om mobiele evolutie, de cloud, robotica, 3d-printing, internet voor iedereen, maar bijvoorbeeld ook om kunstmatige intelligentie. Het bestuur is er voor verantwoordelijk dat toekomstige IT-kansen en IT-bedreigingen tijdig worden gezien en worden gemanaged. Hoe zorgen we ervoor dat deze IT-onzekerheden vroegtijdig op de agenda komen? Hoe zorgen we ervoor dat deze onzeker heden worden vertaald in risico s die kunnen worden gemanaged, zonder ook de kansen die deze onzekerheden bieden te negeren? Door het gebruik van verouderde instrumenten als Net Present Value en de DCF-methode wordt de waarde van IT-projecten niet goed ingeschat. We gaan daarom ook aan de hand van bestaande trends en scenario s in op de vraag hoe het bestuur opties kan identificeren en waarderen. Dat laatste vereist het kunnen zien van de trends en scenario s, het kunnen inventariseren van de opties, het kunnen plaatsen van deze opties in een roadmap en het kunnen maken van de juiste IT-business case om de innovatie paradox te kunnen overbruggen. Heel praktisch en concreet sluiten we af met handvatten hoe we dit binnen de bestuursagenda kunnen inbedden en welke acties morgen zouden kunnen worden ondernomen. 5. big data game en business continuity management ing. Michiel Krol MBA, PA Group en Nyenrode Business Universiteit De snelheid van de digitale transformatie is enorm. De komende tijd zal de aandacht verschuiven van systemen naar de inhoud van systemen. Big data is een hype, maar ook als het niet big is, wordt datakwaliteit een cruciaal aandachtsgebied. We doen meer en meer met data. Kwalitatief goede data worden een cruciaal asset. Data is één van de kernthema s van de komende jaren. In de big data game gaan we in op al deze ontwikkelingen en de noodzaak tot innovatie. De hoeveelheid data productie en opslag groeit exponentieel. De digitalisering van het dagelijkse leven zorgt voor structurele veranderingen in de markt. Daarbij komen de klassieke business modellen meer en meer onder druk. Daarnaast worden kansen en risico s rondom datavraagstukken momenteel fragmentarisch en suboptimaal gemanaged. De big data game helpt bestuurders om deze balans tussen kansen en risico s te ervaren. Daarbij speelt naast competitie de discussie over de deelnemer een centrale rol. We ervaren heel praktisch en concreet de ontwikkelingen die op ons af komen, de noodzaak tot beheersing, de IT-risico s, het belang van data governance, de eisen die dat aan de uitbestedingsrelatie stelt en de gevolgen voor het IT-beleid. We sluiten af met een concrete vertaling van de gevolgen en kansen voor de sector, de noodzaak tot (snelle) innovatie, de manieren waarop dat kan en de keuzes die gemaakt moeten worden als het gaat 8

9 om IT-beleid, IT-agility, IT-governance, IT-beheersing, digitale transformatie en data driven risks. 6. cloud computing, cyber security en data governance drs. Mark Griep MMC en ir. Natasja Stet, PA Group en Nyenrode Business Universiteit Dit helpt bestuurders te beoordelen waar risico s kunnen optreden en met welke mogelijke impact. Ten slotte besteden we aandacht aan praktische maatregelen in relatie tot de praktijk van de deelnemers en bespreken we in een interactieve discussie welke vragen bestuurders hun uitbestedingsrelaties moeten stellen over dit onderwerp. Cybercrime is een van de snelst groeiende vormen van criminaliteit en staat steeds prominenter op de agenda van bestuurders. Aanwezigheid in de digitale wereld is voor een pensioenfonds een gegeven. Niet alleen voor communicatie en transacties met deelnemers, maar ook bij de ontwikkeling van merkwaarde en marktonderzoek. Cyber- en informatiebeveiligingsrisico s genieten veel aandacht van de pers die incidenten en gevolgen groot uitmeet. De complexe IT-omgeving maakt het echter vrijwel onmogelijk om alle incidenten volledig uit te bannen. Op nationaal en internationaal niveau is wet- en regelgeving in beweging, zoals het model DNB-toetsingskader security management voor financiële instellingen en de EU Cybersecurity Strategy. 7. it-beleid, it-governance en it-agility prof. dr. Lineke Sneller RC, Nyenrode Business Universiteit Lineke zal in detail stilstaan bij de digitale transformatie en de impact die dat zal hebben op bedrijven, bedrijfsmodellen en de financiële sector. De digitale transformatie van bedrijfsmodellen bij uitbestedingsrelaties zal centraal staan. De snelheid van de digitale transformatie is enorm, evenals het feit dat alleen een holistische (strategische) aanpak zal werken (waar nu veelal nog in silo s binnen organisaties wordt gewerkt). Lineke zal diverse casus gebruiken, specifiek ingaan op de rol van bestuurders (ook gezien haar eigen ervaring als lid van de RvC van Achmea) en de strategische uitdagingen. Tijdens de workshop gaan we in op de vraag welke elementen van een pensioenfonds van waarde zijn (de kritieke assets ) en voor wie? Vervolgens gaan we aan de hand van sprekende en praktische voorbeelden in op de (nieuwe) vormen van cybercrime en het belang voor de sector. De risico s in de digitale wereld zijn niet wezenlijk anders dan die in de analoge wereld: diefstal, onbeschikbare dienstverlening en reputatieschade. We zullen ook op interactieve wijze verkennen wat de mogelijke gevolgen van cybercrime of cyberterrorisme voor een pensioenfonds(bestuur) kunnen zijn. Een pensioenfonds is volledig afhankelijk van IT. Dat levert zowel risico s als kansen op. Voor de risico s is wel aandacht, hoewel die incident gedreven zijn. Maar de kansen die IT oplevert blijven generiek gezien buiten beeld. Businessmodellen veranderen snel. De strategie van uitbestedingsrelaties, technologie, de keuzes en inrichtingsprincipes zullen tegen deze achtergrond worden gechallenged door Lineke. Tevens geeft ze een reflectie op de wijze waarop uitbestedings relaties met ICT omgaan, hoe andere marktpartijen dit doen en hoe bestuurders vorm kunnen geven aan IT-governance. 9

10 8. privacy, compliance, legal en (big) data mr. Hendrik Jan Bolte, ABN AMRO Als het gaat om trends, inzichten en risico s van data, dan kan de bescherming van persoonsgegevens niet onbesproken blijven. Sommigen verwachten dat de toezichthouder (autoriteit persoonsgegevens) wel eens groter kan worden dan de AFM. De consequenties voor de pensioensector laten zich niet moeilijk raden. Hendrik Jan Bolte gaat interactief in op vele facetten rond privacy en data, zoals compliance risico s, wettelijke kaders, (Europese) wetgeving, het beleid van een pensioenfonds, het nieuwe toezicht op privacy en de gevolgen voor het IT-beleid (en de uitbestedingsrelatie). 9. it-risico assessment, it-control en beheersmodellen (cobit) Gastspreker, auditor of adviseur uit de praktijk 10. self assessment basiskader it & infrastructuur Docenten uit eerste 2 dagen en gastspreker, auditor of adviseur uit de praktijk In de periode tussen de eerste twee dagen en de verdiepingsdag wordt aan opdrachten gewerkt om de aangereikte workshops, concepten, voorbeelden en theorie te kunnen toetsen aan het eigen IT-beleid. Tijdens de verdiepingsdag stellen we de eigen situatie, kennis, kunde en het fonds van deelnemers centraal door elke deelnemer voorafgaand aan het programma te vragen het self assessment Basiskader IT & infrastructuur in te vullen, zoals DNB dat heeft gebruikt bij het recente onderzoek. Dit kader wordt binnen de gehele Financiële sector gebruikt en valt uiteen in vragen over de beschikbaarheid, toegang, betrouwbaarheid en aanpasbaarheid van IT. Op basis van de voorgaande modules, waar ook het fictieve IT-beleid van een pensioenfonds telkens wordt getoetst, brengen we in deze slotmodule alle onderwerpen samen. Na een praktische toepasbare toelichting over kaders voor IT-risico assessment, IT-control en IT-beheersmodellen (Cobit), toetsen we deze samenvattende kennis aan het fictieve IT-beleid. Het doel van de workshop is dat de deelnemers in staat zijn de goede vragen te kunnen stellen aan hun uitvoerder en kunnen doorvragen. Dat geldt bijvoorbeeld ook voor het kunnen beoordelen van een ISA3402 rapport van de uitbestedingsrelatie, waarop veel besturen steunen voor de beheersing van IT-risico s. Aan de hand van zo n verklaring staan we stil bij de vraag in welke mate dit rapport specifiek ziet op de processen van het fonds en de beheersing van veranderprojecten. Samen met de docenten challengen we daarmee ook indirect het eigen IT-beleid. Op deze manier worden alle modules mede in het kader van de eigen ambities en het eigen pensioenfonds geplaatst. We gaan dieper op een aantal thema s uit de eerste twee dagen in, waarbij met name (de toepassing van) de module IT-risico assessment, IT-control en beheersmodel (Cobit) centraal staat. We zullen een rapportage van een uitbestedingsrelatie met elkaar doorgronden. We vergelijken en analyseren de uitkomsten van het self assessment en toetsen met elkaar of de deelnemers in staat zijn de ITrisico s van de eigen bestuursomgeving en die van hun uitbestedingsrelatie(s) in kaart te brengen en te beoordelen. Als het om de toekomstbestendigheid van het fonds gaat, dan staan we specifiek stil bij de strategie van het fonds in relatie tot IT-verandertrajecten (bij de uitbestedingsrelatie), veranderingen in regelingen, wetgeving en de aanpasbaarheid en verwerkingscapaciteit van IT-systemen. Ten slotte brengen we in kaart (per deelnemend fonds) op welke wijze IT-kennis en de verantwoordelijkheid voor IT-risicobeheersing binnen het bestuur het beste geborgd en onderhouden kan worden. We sluiten af met een toets van het eigen IT-beleid aan de specifieke risico s zoals in de eerste twee dagen behandeld. 10

11 Doelgroep De masterclass is ontwikkeld voor bestuurders, bestuursbureaus en ondersteunende diensten. Het is zeker mogelijk om collectief als fonds in te schrijven. We kunnen het programma dan nog specifieker toespitsen op de eigen context van het fonds. Locatie en tijd De masterclass wordt verzorgd op Nyenrode Business Universiteit. We starten het programma de eerste dag om uur en eindigen het programma de volgende dag om uur. De deelnemers overnachten op Nyenrode en tussentijds hebben we een werkdiner. Ongeveer een maand later volgt de verdiepingsdag, waar we verder ingaan op het eigen IT-beleid en de IT-risicobeheersing van de deelnemende fondsen. Deze dag start om uur en eindigt om uur. Investering De investering bedraagt voor de masterclass (geen btw). Dit is inclusief alle catering, hotel, assessments en literatuur. PE-uren Voor het bijwonen van dit executive programma ontvangen deelnemers PE-uren. INLICHTINGEN Als uw interesse gewekt is, nodigen wij u van harte uit om u in te schrijven. Wij hopen u binnenkort te mogen uitnodigen voor een verkennend gesprek. mr. Roy Kramer RA (programmadirecteur) Ellen Stevers Straatweg BG Breukelen e.stevers@nyenrode.nl 11

12 Nyenrode Business Universiteit Straatweg 25, 3621 BG Breukelen Postbus 130, 3620 AC Breukelen