DORA-audit

Belang van DORA voor financiële organisaties

De Digital Operational Resilience Act (DORA) is in 2023 in werking getreden en geldt vanaf januari 2025 voor een breed scala aan financiële entiteiten binnen de
Europese Unie. Denk hierbij aan banken, verzekeraars, vermogensbeheerders, betaalinstellingen, cryptoaanbieders en hun toeleveranciers van ICT-diensten.

DORA verplicht deze organisaties om:
• ICT-risico’s structureel te identificeren, monitoren en beheersen;
• Zwaarwegende ICT-incidenten tijdig te melden bij toezichthouders;
• Testen uit te voeren op digitale weerbaarheid (waaronder penetratietesten);
• Zorgvuldig toezicht te houden op ICT-uitbestedingen.

Het doel: voorkomen dat verstoringen in digitale systemen leiden tot systeemrisico’s of schade voor klanten en markten. Voor veel organisaties betekent dit een herijking van beleid, processen en beheersmaatregelen. Een ISAE 3000A-audit biedt hierbij niet alleen inzicht, maar ook externe assurance over de doeltreffendheid van uw aanpak.

Onze aanpak: DORA-audit conform ISAE 3000A

AudITvision biedt een gestructureerde auditaanpak op basis van de internationale assurance-standaard ISAE 3000A. Onze methodiek bestaat uit vijf heldere fasen:

1 Intake en scopedefinitie

In een gezamenlijke intake bepalen we de reikwijdte van de audit. Welke onderdelen van uw organisatie, IT-processen en externe dienstverleners vallen
onder de DORA-audit? We bespreken met u welke interne verantwoording het uitgangspunt vormt voor de assurance-opdracht en stemmen af hoe deze verantwoording onderbouwd zal worden. Daarbij houden we rekening met sectorafhankelijke aandachtspunten, zoals de rol van cloudleveranciers of specifieke EBA/ESMA-richtlijnen.

2 Nulmeting en toetsingskader

We voeren een nulmeting uit op basis van de relevante DORA-onderdelen. Deze meting geeft inzicht in uw huidige volwassenheidsniveau. Samen met u formuleren we het toetsingskader dat als basis dient voor de audit. Dit kan opgebouwd worden uit beleidsdocumenten, normen, interne beleidsregels
of internationale best practices (zoals NIST of ISO). De nulmeting resulteert in concrete aanbevelingen waarmee u zich gericht kunt voorbereiden op de auditfase.

3 Auditontwerp en dataverzameling

Op basis van het toetsingskader ontwerpen we de auditwerkzaamheden. We beschrijven de processen en controleactiviteiten waarop assurance wordt gevraagd. We verzamelen bewijsstukken via documentanalyse, interviews, observaties en steekproeven. Indien gewenst stellen we in deze fase een type I-rapportage op die een momentopname geeft van het bestaan en de opzet van beheersmaatregelen.

4 Type II-audit en beoordeling werking

Gedurende een vooraf bepaalde periode (minimaal zes maanden) toetsen we de werking van de beheersmaatregelen. Dit gebeurt aan de hand van control testing en aanvullende interviews. De bevindingen worden vastgelegd in werkdossiers en waar nodig gedeeld in voortgangsgesprekken. De focus ligt hierbij op het betrouwbaar functioneren van maatregelen in de praktijk, inclusief monitoring, bijstelling en evaluatie. Waar nodig geven we aanbevelingen voor verbetering die niet afdoen aan de onafhankelijkheid van onze oordeelvorming.

5 Rapportage conform ISAE 3000A

Op basis van de uitgevoerde werkzaamheden stellen we een assurancerapport op. Dit bevat onder meer de verantwoording van de organisatie, het toetsingskader, een beschrijving van het controlesysteem, onze uitgevoerde werkzaamheden en onze assuranceconclusie. Het rapport is geschikt voor toezichthouders (zoals DNB/AFM), interne governance en ketenpartners. Indien gewenst stellen we ook een publieksvriendelijke samenvatting op die gebruikt kan worden in jaarverslagen of richting klanten.

Voorbeeldcase: DORA-audit bij middelgrote betaalinstelling

Klantprofiel

Een Nederlandse betaalinstelling met een Europese vergunning (PSD2) wilde aantoonbaar voldoen aan de eisen van DORA. De organisatie had al een ISAE 3402-verklaring voor uitbestedingsbeheer, maar had nog geen formeel ICT-riskmanagementsysteem of incidentresponsproces ingericht volgens de eisen van DORA.

Uitdaging

De organisatie kende veel impliciete beheersmaatregelen, maar documentatie ontbrak. Incidentmeldingen werden ad-hoc geregistreerd en een overzicht van derde partijen ontbrak. Ook was onduidelijk hoe digitale weerbaarheid getest kon worden zonder de operatie te verstoren.

Aanpak AudITvision

We startten met een grondige nulmeting en bespraken de scope van de audit met directie en compliance. Op basis van de uitkomsten stelden we samen met de klant het toetsingskader op. In de maanden daarna ondersteunden we de inrichting van formele processen voor incidentrespons, testen en third party management. Daarna volgde een type II-audit met toetsing van de werking van maatregelen over de voorgaande zeven maanden. Daarbij hielden we rekening met de bestaande assurance-rapportage en zochten we waar mogelijk aansluiting op bestaande governance-processen.

Resultaat

De betaalinstelling kreeg een positief assurance-oordeel in het ISAE 3000A-rapport. Dit rapport werd gedeeld met de raad van commissarissen en diende als verantwoording richting toezichthouders. Het audittraject gaf niet alleen inzicht in compliance, maar leidde ook tot structurele verbeteringen in de inrichting van risicomanagement en IT-governance. Bovendien ontstond er meer bewustwording bij medewerkers over de rol van IT-beveiliging binnen de organisatie. Inmiddels maakt het rapport structureel onderdeel uit van de interne auditcyclus.