Crisisoefeningen voor pensioenfondsen: voorbereiding op het onvoorziene

"De crisisoefening was confronterend, maar precies wat we nodig hadden. Het bracht blinde vlekken aan het licht die we nog niet eerder hadden opgemerkt."

— Pensioenfonds Slagers

Tijdens oefeningen wordt zichtbaar waar verantwoordelijkheden onduidelijk zijn, waar communicatie stokt of waar besluitvorming vertraagt. Dit inzicht is essentieel om tijdig verbetermaatregelen te treffen.

De complexiteit van uitbesteding

Pensioenfondsen opereren binnen een sterk uitbestede structuur. Hoewel het bestuur eindverantwoordelijk is, liggen operationele processen bij externe partijen. Bij incidenten blijkt de keten kwetsbaar. Zonder duidelijke afspraken en geoefende samenwerking ontstaat vertraging, juist wanneer snelheid en helderheid vereist zijn.

De Nederlandsche Bank (DNB) benadrukt in de Good Practice Informatiebeveiliging (2023) dat digitale weerbaarheid niet alleen een IT-aangelegenheid is, maar ook een bestuurlijke verantwoordelijkheid. Oefenen met realistische scenario’s wordt niet langer als aanbeveling gezien, maar als vereiste. De Europese DORA-verordening bevestigt deze lijn.

Wat crisisoefeningen zichtbaar maken

Uitgevoerde oefeningen met besturen, verantwoordingsorganen en raden van toezicht tonen een consistent patroon. Teams met duidelijke doelstellingen – zoals het waarborgen van continuïteit, reputatie en communicatie – handelen effectiever. Teams zonder deze kaders vervallen sneller in ad-hoc besluitvorming.

Een crisisplan op papier blijkt onvoldoende. Alleen door te oefenen ontstaat vertrouwen in procedures en rollen. Teams die vertrouwd zijn met het plan, handelen met meer rust en daadkracht. Heldere communicatie, zowel intern als extern, blijkt cruciaal. Waar communicatie uitblijft of te vaag is, ontstaat onrust. Tijdige, concrete en eenduidige communicatie draagt bij aan regie en vertrouwen.

“Tijdens de oefening werd nog meer duidelijk hoe belangrijk het is om niet alleen te weten wat er moet gebeuren, maar ook wie het doet – en wanneer.”

— Bestuurslid Mars Pensioenfonds

Effectieve crisisoefeningen voor pensioenfondsen

Effectieve oefeningen zijn herkenbaar en realistisch. Voorbeelden van scenario’s zijn:

• Een ransomware-aanval vlak voor de betaaldatum van pensioenuitkeringen; 
• Een datalek via een externe leverancier;
• Een ICT-storing bij de vermogensbeheerder of custodian. 

“We beseften pas hoe complex samenwerking in de keten is toen we het moesten coördineren tijdens de crisisoefening. Door deze oefening hebben we ervaren wat er allemaal tegelijk op je afkomt en hoe je hier mee om kunt gaan.”

— Pensioenfonds Kappers

De context van het fonds wordt meegenomen: aanwezige expertise, uitbestedingsstructuur en relevante stakeholders. De nadruk ligt op gezamenlijke leerpunten, niet op schuld. Evaluatie en opvolging van verbeterpunten zorgen voor structurele versterking van het handelingsvermogen. 

Voorbereiding maakt het verschil

Een crisis kan niet worden voorkomen. De impact ervan wordt echter grotendeels bepaald door de mate van voorbereiding. Regelmatige oefening versterkt het vermogen om snel, zorgvuldig en gecoördineerd te handelen – samen met alle ketenpartners. 

Crisisoefeningen vormen daarmee een essentieel onderdeel van goed pensioenfondsbestuur.