Voor wie is dit relevant?
DORA is sinds 17 januari 2025 van toepassing op financiële entiteiten binnen het bereik van de verordening. DNB licht de start van het toezicht toe. Een leverancier aan een financiële instelling heeft niet automatisch dezelfde verplichtingen als die instelling.
Het informatieregister betreft contractuele regelingen voor ICT-diensten van derde aanbieders. Het is geen lijst van uitsluitend de grootste leveranciers of alleen kritieke contracten. DNB beschrijft bovendien technische en inhoudelijke gegevenscontroles en verwacht herstel van vastgestelde fouten. Bekijk de toelichting op de datakwaliteitscontroles.
Maak een werkproces van iedere contractwijziging
Kies welke administratie voor welk gegeven leidend is. De naam van een leverancier kan uit de leveranciersadministratie komen, terwijl de verantwoordelijke voor een dienst elders wordt beheerd. Maak die keuze per veld expliciet. Voorkom dat ‘de nieuwste spreadsheet’ automatisch de waarheid wordt.
Werk vervolgens met herkenbare verwijzingen naar entiteit, leverancier, contract en dienst. Twee bijna gelijke namen zijn geen voldoende bewijs dat het dezelfde rechtspersoon betreft. Laat een twijfelachtige koppeling beoordelen voordat je gegevens samenvoegt.
- Signaleer een wijziging. Een nieuw contract, verlenging, andere dienst of gemelde onderaannemer krijgt een beoordelingstaak.
- Verzamel onderbouwde gegevens. Bewaar waar een gegeven vandaan komt en welke contractversie is gebruikt.
- Controleer samenhang. Zoek ontbrekende verwijzingen, ongeldige waarden en tegenstrijdige datums.
- Laat de eigenaar beoordelen. Leg een voorstel voor in plaats van het register ongezien te overschrijven.
- Maak een afgesproken momentopname. Bewaar welke gegevens en regels bij de aanlevering zijn gebruikt.
Wat kan software controleren?
Op een smal scherm kun je de tabel zijwaarts verschuiven. Met een toetsenbord: focus de tabel en gebruik de pijltjestoetsen.
| Controle | Voorbeeld | Wat dit niet bewijst |
|---|---|---|
| Volledigheid | Een vereiste verwijzing ontbreekt. | Dat alle relevante contracten zijn gevonden. |
| Samenhang | Een dienst verwijst naar een onbekende leverancier. | Dat de genoemde leverancier juridisch de juiste partij is. |
| Wijzigingen | Een nieuwe overeenkomst verschilt van de vorige versie. | Dat de verandering inhoudelijk aanvaardbaar is. |
| Bestandsformaat | De export voldoet aan ingestelde technische regels. | Dat de toezichthouder de inhoud heeft goedgekeurd. |
Gebruik de actuele specificatie van de relevante toezichthouder. DNB geeft uitleg over onder meer templates en de omzetting naar het rapportageformaat xBRL-CSV. Een aanpassing aan een standaardbestand kan die omzetting breken. Neem daarom niet aan dat een zelfgemaakt Excelbestand zonder meer bruikbaar is. Controleer de DORA-FAQ en rapportage-instructies.
Fictief voorbeeld: een verlenging met een nieuwe dienst
Een fictieve financiële instelling verlengt een overeenkomst. Inkoop registreert de verlenging, maar de leverancier levert voortaan ook een aanvullende dienst. Een koppeling signaleert het gewijzigde document en maakt een taak voor de contracteigenaar. Die bevestigt welke velden veranderen en welke gegevens nog ontbreken.
De vorige momentopname blijft beschikbaar volgens de afgesproken bewaarbehoeften. Het systeem markeert de nieuwe dienst niet als volledig beoordeeld zolang de onderbouwing ontbreekt. Zo ontstaat een zichtbare werkvoorraad in plaats van een stilzwijgend ‘compleet’ register.
Verzenden, valideren en accepteren zijn verschillende stappen
Maak aparte statussen voor voorbereid, inhoudelijk gecontroleerd, ingediend en terugkoppeling ontvangen. Sla de indienreferentie en relevante validatieresultaten bij de juiste momentopname op. Een geslaagde bestandsoverdracht betekent niet dat de inhoud klopt. Bij een onzekere ontvangst onderzoekt de verantwoordelijke eerst de status voordat opnieuw wordt aangeleverd.
Geef medewerkers alleen toegang tot de contractgegevens die zij nodig hebben. AI kan desgewenst velden voorstellen, maar mag ontbrekende contractafspraken niet invullen. Voor een eerste proef kunnen fictieve overeenkomsten en bestaande importmogelijkheden voldoende zijn.
Een register vervangt geen risicobeheersing
Zeliha Keskin van PwC bespreekt waarom leveranciersafhankelijkheden en bestuurlijke keuzes verder gaan dan documentatie. Dat is ook hier de grens: een verzorgd register maakt risico’s zichtbaar, maar onderhandelt geen contracten en test geen herstelmogelijkheid.
Veelgestelde vragen
Moeten we een nieuw platform kopen?
Niet vanzelf. Onderzoek eerst het contractbeheer, de exports en de goedkeuringsmogelijkheden die je al gebruikt. Voeg een koppeling pas toe als herhaald handwerk of fouten dat rechtvaardigen.
Kunnen we automatisch indienen?
Dat is geen uitgangspunt. Controleer eerst of een ondersteunde aanlevermethode, bevoegdheid en eindcontrole beschikbaar zijn. Een voorbereid bestand is nog geen ingediende rapportage.
Hoe beoordelen we het resultaat?
Meet verzamelwerk, onverklaarde verschillen en correctierondes. Vergelijk de totale inspanning inclusief beheer en inhoudelijke beoordeling. Een businesscase helpt capaciteit en vermeden kosten uit elkaar te houden.
Een concreet proces bespreken?
Wil je onderzoeken waar informatie verzamelen, controleren of overdragen eenvoudiger kan? Beschrijf één proces en de systemen die je al gebruikt. Een nieuwe tool is niet altijd nodig. Oriënterende gesprekken zijn kosteloos en vrijblijvend. Aanvullend advies en uitvoering worden via Korper afzonderlijk afgesproken, inclusief aanpak en kosten.