Een goede TPRM-specialist onder DORA herken je aan concrete antwoorden over het informatieregister, ICT-contracten en exitplannen. Met de interviewvragen hieronder toets je dat in één gesprek.
Bij banken, verzekeraars en pensioenfondsen is third party risk management een vak apart geworden. DORA is sinds 17 januari 2025 van toepassing, en het werk komt terecht bij een kleine groep mensen die zowel contracten als ICT-risico begrijpen. Die mensen zijn schaars. Dan moet je in het gesprek snel zien wie het echt gedaan heeft.
Waar een TPRM-specialist onder DORA mee bezig is
Financiële instellingen houden een informatieregister bij van alle contractuele afspraken over ICT-diensten van derden. DNB vroeg dat register dit jaar op met peildatum 31 december 2025 en een deadline van 20 maart 2026, aan te leveren als xBRL-CSV of via het Excel-template van DNB. Banken onder direct ECB-toezicht rapporteren bij de ECB. Met die aanlevering start ook het jaarlijkse Europese proces om kritieke ICT-dienstverleners aan te wijzen.
Die aanwijzing is al een keer gedaan. De Europese toezichthouders publiceerden op 18 november 2025 de eerste lijst van kritieke ICT-dienstverleners die zij zelf gaan beoordelen. DNB spreekt van 19 partijen. Mijn lezing: je blijft zelf verantwoordelijk voor je leveranciersbeheer, en een kloppend register wordt alleen maar belangrijker, want op basis van die registers wordt aangewezen.
Het taaiste deel zit in de contracten. Uit een sectorbrede uitvraag van DNB begin 2025 bleek dat bijna 95% van de instellingen het uitbestedingsbeleid had bijgewerkt. Maar slechts 34% had alle ICT-contracten die een kritieke of belangrijke functie ondersteunen in lijn gebracht met DORA. DNB noemde het aanpassen van die contracten een belangrijk aandachtsgebied.
Zeven interviewvragen voor een TPRM-specialist
Je hebt geen twintig vragen nodig. Deze zeven geven je genoeg beeld, en bij elke vraag staat waar je op let.
1. "Hoe heb je het informatieregister opgebouwd, en waar haalde je de data vandaan?"
Een sterke kandidaat praat over bronnen: het contractmanagementsysteem, de CMDB, inkoop, de business owners. Hij weet dat de data verspreid zit en dat de eerste versie altijd gaten heeft. Vraag door op onderaannemers in de keten. Wie het register alleen als Excel-oefening beschrijft, heeft het waarschijnlijk niet zelf gebouwd.
2. "Hoe bepaal je of een ICT-dienst een kritieke of belangrijke functie ondersteunt?"
Aan die classificatie hangen de zwaarste verplichtingen, dus hier wil je scherpte. Een goed antwoord begint bij de bedrijfsfuncties en de impactanalyse, niet bij de leverancierslijst. Let ook op of de kandidaat zegt wie uiteindelijk beslist. Dat is niet de TPRM-specialist zelf.
3. "Welk contract heb je het laatst DORA-proof gemaakt, en waar liep je vast?"
Hier zie je het verschil tussen iemand die een checklist kent en iemand die met een leverancier aan tafel heeft gezeten. Vraag naar de lastige leveranciers, de partijen die niet graag van hun standaardvoorwaarden afwijken. Werd het een addendum, een escalatie via inkoop of een geaccepteerd restrisico? DNB zag dat veel instellingen de contractaddenda van het Verbond van Verzekeraars en de Pensioenfederatie gebruikten. Een kandidaat uit die hoek kent ze.
4. "Wat staat er in een exitplan dat je zelf hebt geschreven?"
Een exitplan op papier is snel gemaakt. Vraag of het ooit getest is. Wie het plan echt schreef, weet ook hoe lang de overstap volgens het plan duurt. Zegt de kandidaat alleen "we hebben een exitclausule", dan heeft hij het plan niet gemaakt.
5. "Hoe leg je leveranciersrisico voor aan het bestuur?"
Onder DORA ligt de verantwoordelijkheid bij het leidinggevend orgaan. In dezelfde uitvraag wees DNB erop dat bij 20% van de instellingen die nog niet klaar waren de restrisico's niet formeel door het bestuur waren geaccepteerd, met een verwijzing naar artikel 5, lid 2 van DORA. Een goede TPRM-specialist schrijft een restrisico zo op dat een bestuurder er ja of nee tegen kan zeggen. Vraag om een geanonimiseerd voorbeeld.
6. "Waar ligt voor jou de grens tussen TPRM en inkoop?"
Er is geen fout antwoord, wel een zwak antwoord: "dat maakt niet uit". De specialist zit tussen inkoop, legal, de CISO-organisatie en de business. Je zoekt iemand die weet welke beslissing bij wie ligt en daar niet omheen werkt.
7. "Wat heb je nodig om in de eerste maand iets op te leveren?"
Een interim-specialist moet snel iets laten zien. Een goed antwoord is concreet, bijvoorbeeld toegang tot het contractsysteem en een besluit over de scope. Krijg je een vaag verhaal, dan gaat de eerste maand op aan zoeken.
Let ook op wat de kandidaat jou vraagt
Een interview werkt twee kanten op. Een goede freelancer vraagt meteen wat de deadline is en hoeveel dagen per week hij op kantoor moet zijn. Ik zag dat bij een netbeheerder waarvoor ik zocht. Het team zat daar twee à drie vaste dagen op kantoor, en voor iemand aan de andere kant van het land besliste dat of hij reageerde.
Mijn advies: heb die twee antwoorden klaar voordat je het eerste gesprek plant. En stelt een kandidaat geen enkele vraag over de opdracht, dan zegt dat ook iets.
Interim voor de inhaalslag, intern voor daarna
Ik vind dat je de inhaalslag op contracten en het register niet bij iemand moet beleggen die het voor het eerst doet. Huur daarvoor een ervaren interim-specialist in en laat tegelijk iemand van je eigen team meelopen. Het register gaat elk jaar opnieuw naar de toezichthouder, dus iemand moet het daarna bijhouden.
Twijfel je tussen inhuurmodellen, lees dan dit overzicht van zes modellen. Interim-specialisten zoeken we via MVPeople, en wil je iemand voor langere tijd in je team, dan kan dat via detachering met MVProfessionals. De profielen staan op onze pagina over TPRM-specialisten, en wat er in de financiële sector speelt lees je bij bankwezen en financiën.
Wil je deze vragen naast een concreet profiel leggen? Bel of mail me, dan kijken we samen wat je nodig hebt.