Werk je bij een verzekeraar die de polisadministratie heeft uitbesteed, dan is het systeem dat je het minst kunt missen er een dat je nooit hebt gezien. Het draait op het platform van de dienstverlener. Wat jij ervan ziet, is meestal een portaal, een set rapportages en het periodieke serviceoverleg. Moet je een exitplan voor die administratie maken, dan ligt de tegenwerping voor de hand: hoe plan je een vertrek uit iets waar je niet in kunt kijken?
Je kunt de exit in kaart brengen zonder de systemen te zien. Breng de dienst in kaart die je afneemt, en maak van elke exitvraag iets wat de dienstverlener je moet laten zien. Het zijn de vier vragen uit een eerder stuk over exitstrategie: kunnen we weg, hoe lang duurt het, wat kost het en onder welk recht valt het. De kaart is een tabel met één rij per dienst en één kolom per vraag. Bij elk antwoord staat wie het gaf, en een kolom 'onderbouwing' die vastlegt waar het antwoord op rust: een test, het woord van de dienstverlener of een gok. Is het systeem van een ander, dan weegt die kolom 'onderbouwing' even zwaar als het antwoord.
Wat je afneemt, is een inrichting op een gedeeld platform
Een dienstverlener die voor meerdere verzekeraars of portefeuilles werkt, bedient ze vaak vanaf één gedeeld platform. Is dat bij jouw dienstverlener zo, dan is wat jij je administratiesysteem noemt een inrichting en een gegevensverzameling op dat platform. De gegevens zijn je polissen en polishouders met hun volledige historie. De inrichting bestaat uit je productregels en polisvoorwaarden zoals de dienstverlener ze heeft vastgelegd. Daaromheen liggen de koppelingen: premie-incasso, uitkeringen, de koppeling met intermediairs, rapportages aan je financiële en actuariële afdeling. Vertrekken betekent dat je die drie verhuist, plus iets wat snel wordt vergeten: de kennis van de mensen die jouw productregels hebben ingericht.
Achter dit alles heeft de dienstverlener vaak zelf weer leveranciers, voor hosting, software en soms delen van de verwerking.
Omdat je een dienst afneemt, is de rij op je kaart de polisadministratie als dienst. Daaronder komen, voor zover je ze kunt benoemen, de delen die los zouden verhuizen: de gegevens, de inrichting, elke koppeling. Je productregels en polisvoorwaarden zijn je eigen documenten. Hoe de dienstverlener bij het omzetten ervan in platforminstellingen is omgegaan met oude producten, slapende portefeuilles en historische correcties, is een ander verhaal. Dat staat mogelijk alleen in het platform en in de hoofden van een paar mensen.
Vier vragen en het bewijs dat je erbij opvraagt
DORA, de Europese verordening over digitale operationele weerbaarheid in de financiële sector, geldt ook voor verzekeraars. Valt je polisadministratie onder DORA als ICT-dienst die een kritieke of belangrijke functie ondersteunt, dan moet het contract je onbeperkte rechten van toegang, inspectie en audit geven. Ook moet het een exitstrategie bevatten met een passende overgangsperiode. Kijk of jouw contract dat doet; zo niet, dan is dat het eerste punt voor de contractverlenging.
De dienstverlener heeft commercieel weinig reden om vertrekken makkelijk te maken. De DORA-bepalingen veranderen een beleefd verzoek in een verplichting. Weigert de dienstverlener toch te antwoorden, dan is die weigering zelf een open punt, en hoort ze op de lijst voor de contractverlenging.
| Vraag | Vraag de dienstverlener om | Het antwoord is overtuigend als |
|---|---|---|
| Kunnen we weg? | Een volledige export van je gegevens, met historie, in een gedocumenteerd formaat; een schriftelijke beschrijving van je ingerichte productregels; een lijst van alle koppelingen | Er een proefexport ligt die iemand buiten de dienstverlener heeft gelezen |
| Hoe lang duurt het? | Zijn schatting voor het overdragen van je portefeuille, en de overgangsperiode in het contract | De schatting rust op een overdracht die hij echt heeft uitgevoerd, of op een proefconversie naar een ander platform |
| Wat kost het? | Exit- en conversiekosten, de kosten van oude en nieuwe administratie naast elkaar, en wie de conversie van de gegevens betaalt | De bedragen in het contract of in een offerte staan |
| Onder welk recht? | Wie de dienstverlener bezit, waar het platform en de gegevens staan, en de onderaannemers met vestigingsplaats en eigenaar; een buitenlandse eigenaar of een cloud buiten de EU onder het platform kan de autoriteiten van een ander land toegang geven tot je gegevens | De lijst van onderaannemers gedateerd en recent is |
Die eerste rij heeft een wettelijke basis: DORA eist van elk contract over ICT-diensten dat je je gegevens bij beëindiging terugkrijgt in een gemakkelijk toegankelijk formaat. Met 'iemand buiten de dienstverlener' bedoel ik meestal je eigen datamensen, een onafhankelijke partij die je ervoor inhuurt, of een andere dienstverlener in een aanbesteding. Een proefconversie regel je zelf met een van hen, en de kosten ervan horen in de kolom 'wat kost het'.
Reken erop dat het eerste antwoord verwijst naar het ISAE 3402 type II-rapport van de dienstverlener, het assurancerapport waar je accountant waarschijnlijk al op steunt. Dat rapport gaat over hoe de beheersmaatregelen in de afgelopen rapportageperiode werkten, dus over het draaien van de dienst en nauwelijks over vertrekken. Stel de vier vragen daarnaast, los van dat rapport.
Waar de antwoorden op rusten
Bij een uitbestede administratie staat in de kolom 'onderbouwing' eerst vooral 'woord van de dienstverlener'. Dat zegt al iets: het laat zien welke delen van je exit niemand heeft gecontroleerd.
Voor het exitplan zelf telt de onderbouwing ook. DORA eist dat exitplannen voor ICT-diensten die een kritieke of belangrijke functie ondersteunen, alomvattend, gedocumenteerd, voldoende getest en regelmatig geëvalueerd zijn. Een plan dat rust op het woord van de dienstverlener, is niet getest. Of die eis voor het hele contract geldt of alleen voor de platformdelen, beslist je compliance officer; de kaart heb je in beide gevallen nodig.
Twee soorten antwoorden gaan direct als open punt naar het exitplan: vragen zonder antwoord, en antwoorden zonder document erachter ('vertrouw ons maar'). Elk open punt krijgt een eigenaar en een datum. Wat om een andere contractbepaling vraagt, gaat naar de contractverlenging.
Stel bijvoorbeeld dat de dienstverlener een schatting geeft voor de overdracht. Op doorvragen zegt hij dat die rust op algemene migratie-ervaring, en niet op een portefeuille die hij echt heeft overgedragen. In de kolom 'onderbouwing' staat dan 'woord van de dienstverlener'. Het exitplan krijgt een open punt: spreek binnen een jaar een proefexport af en laat die inlezen in een platform dat de dienstverlener niet beheert.
De moeite, en wat open blijft
Deze antwoorden binnenhalen kost iemand in je team een paar rondes mailen en bellen, en het onderwerp moet meer dan eens op de agenda van het serviceoverleg. De antwoorden kunnen traag komen en algemeen blijven. Gaat de dienstverlener failliet of wordt hij verkocht, dan dient dezelfde kaart voor het scenario van een plotselinge onderbreking uit het eerdere stuk. De DORA-eis dat je je gegevens terugkrijgt, geldt ook bij faillissement.
Ik weet nog niet goed hoe je zonder echte overdracht toetst wat de mensen weten die jouw productregels hebben ingericht. Het beste wat ik kan voorstellen: laat de inrichtingskeuzes opschrijven en laat iemand ze lezen die niet voor de dienstverlener werkt. Heb je een betere test gevonden, dan hoor ik dat graag.
Voor het volgende serviceoverleg
Stuur de vier vragen over de polisadministratie vóór het volgende serviceoverleg naar de dienstverlener, en vraag bij elk antwoord waar het op rust. Zet de antwoorden op de kaart, met de naam van wie antwoordde. Elke vraag zonder antwoord en elk antwoord zonder onderbouwing gaat naar de open punten van het exitplan, en die punten zet je op de agenda van het overleg.
Jacques Domenie leidde de IT-functie van een bank onder toezicht van de centrale bank en legde verantwoording af aan bestuur, toezichthouders en accountant. Via Delfen (delfen.com) werkt hij een deel van de week voor organisaties.
Contact: domenie@delfen.com of delfen.com/nl/contact. De dienst Exit map staat beschreven op delfen.com/nl/diensten.
Bronnen
- Verordening (EU) 2022/2554 betreffende digitale operationele weerbaarheid voor de financiële sector (DORA) — artikel 2, lid 1, onder n: verzekerings- en herverzekeringsondernemingen vallen eronder, behalve kleine ondernemingen die op grond van artikel 4 van Solvabiliteit II buiten die richtlijn vallen (artikel 2, lid 3, onder b); artikel 28, lid 8: een exitstrategie voor ICT-diensten die kritieke of belangrijke functies ondersteunen, met alomvattende, gedocumenteerde, voldoende geteste en regelmatig geëvalueerde exitplannen; artikel 30, lid 2, onder d: elk contract over ICT-diensten regelt toegang tot, herstel en teruggave van gegevens in een gemakkelijk toegankelijk formaat bij insolventie, afwikkeling of bedrijfsbeëindiging van de dienstverlener, of bij beëindiging van het contract; artikel 30, lid 3, onder e en f: contracten voor diensten die kritieke of belangrijke functies ondersteunen, bevatten onbeperkte rechten van toegang, inspectie en audit, en exitstrategieën met een verplichte passende overgangsperiode
- Verzekeraars hebben onvoldoende zicht op langer wordende uitbestedingsketens — De Nederlandsche Bank, 6 april 2022
- Staff overview of ISAE 3402, Assurance Reports on Controls at a Service Organization — IAASB, 2009 (Engelstalig)
- Wat een exitstrategie in de praktijk betekent: vier vragen per systeem — Delfen, oktober 2026
- Exit map: welke systemen kunt u werkelijk verlaten? — Delfen