Op de site van de DNB treft men een handige samenvatting aan van de uitbestedingsregels voor financiële instellingen (banken, verzekeraars, pensioenfondsen e.a.) . Deze regels zijn verankerd in de Wet financieel toezicht (Wft). De artikelen 3:17 en 3:18 van de wet zien er op toe dat de opzet, bestaan en werking van een gecontroleerd uitbestedingsbeleid is geïmplementeerd.
De good practices zijn m.i. ook een praktisch hulpmiddel voor contractmanagers bij niet-financiële instellingen. Door de regels toe te passen beschikt u over een goed toetsingskader voor professioneel contract- en leveranciersmanagement. Ook draagt het opvolgen de regels bij aan het verbeteren van de positie en het imago van het vakgebied.
Onderstaand treft u een overzicht aan van de good practices, met daarbij een korte toelichting per onderdeel. Wil u meer weten over de vereisten van goed opdrachtgeverschap, kijk dan op: https://bit.ly/3wQwOz0
1. Beoordeel risico’s bij uitbesteding
- De uitbestedende organisatie beschikt over een strategie rond uitbesteding en voordat tot uitbesteding wordt overgegaan wordt er een risico-analyse uitgevoerd en worden passende maatregelen genomen voor risicobeheersing bij uitbesteding.
2. Beleid
- De organisatie beschikt over een beleid dat alle aspecten van uitbesteding omvat. Dit beleid wordt door de directie vastgesteld en regelmatig geactualiseerd.
3. Regelgeving
Uitbesteding mag geen belemmering vormen voor toezicht. In de overeenkomsten is geregeld dat toezichthouders van de organisatie (bijv. audit, legal) rechtstreeks toegang krijgen tot relevante gegevens en de locaties van de opdrachtnemers.
4. Selectie van opdrachtnemers
Voordat tot selectie van een aanbieder wordt overgegaan, vindt er een risicobeoordeling plaats. Deze risicobeoordeling bevat meerdere aspecten zoals bijvoorbeeld, financiële risico’s, concentratierisico’s, due dilligence beoordeling en continuïteitsrisico’s.
5. Evaluatie van opdrachtnemers
Gedurende de looptijd van de overeenkomst wordt de opdrachtnemer regelmatig geëvalueerd. Van belang is dat de organisatie hiervoor de benodigde kerncompetenties in stand houdt, zodat de opdrachtnemer adequaat kan worden aangestuurd en gecontroleerd.
6. Managementinformatie
Uitbesteding mag de organisatie niet belemmeren bij de aansturing en bewaking van de activiteiten van de organisatie. Aan de hand van de managementinformatie is de directie in staat om de operationele risico’s die zijn verbonden aan de uitbestede diensten op effectieve wijze te beheersen.
7. Kwaliteit van de overeenkomst
Iedere uitbesteding wordt vastgelegd in een schriftelijk overeenkomst. Hierin worden ook de rapportageverplichtingen van een opdrachtnemer vastgelegd. De overeenkomst bevat ook een exit-clausule ter voorbereiding op een eventuele transitie.
8. Business Continuity Management (BCM)
De uitbestede activiteiten maken onderdeel uit van de continuïteitsmaatregelen (BCM) van de organisatie. De genomen maatregelen worden regelmatig getoetst.
9. Kritische data
Wanneer voor bepaalde gegevens regels van toepassing zijn, dan worden deze regels op minimaal hetzelfde niveau opgelegd aan de opdrachtnemer. Ook worden de eisen met betrekking tot gegevensbescherming opgenomen. De organisatie bewaakt deze regels.
10. Service Level Rapportages
De organisatie bewaakt of de opdrachtnemer blijft voldoen aan de prestatie- en risiconormen door een combinatie van kwantitatieve en kwalitatieve ‘key performance indicators’.
Assurance reporten
De overeenkomst bevat de verplichting voor de opdrachtnemer om regelmatig inzage te verstrekken over het stelsel van interne beheersing. De uitbestede activiteiten dienen binnen de reikwijdte te vallen van de interne auditor.
