IT-Sonderprüfungen – Professionelle Vor- und Nachbereitung

Alexander Beck, Abteilungsleiter Spezialistenteam IT und Stefan Kwoczek, IT-Auditor, beide AWADO GmbH Wirtschaftsprüfungsgesellschaft Steuerberatungsgesellschaft

I. Einführung

Sonderprüfungen mit expliziter Schwerpunktsetzung auf die Anforderungen an die IT sind (bisher) eher die Ausnahme. Dass diese Vorgaben jedoch weiter in den Fokus der Aufsicht rücken könnten, ist im Kontext der stetig voranschreitenden Digitalisierung der Banken und derer Prozesse insbesondere im Kontext neuer Entwicklungen wie KI allerdings wahrscheinlich. Um Risiken aus der IT Rechnung zu tragen, wurde die grundlegende IT-Regulatorik in Form der „Bankaufsichtlichen Anforderungen an die IT“ (BAIT) im August 2021 novelliert, die in gemeinsamer Betrachtung mit den „Mindestanforderungen an das Risikomanagement“ (MaRisk) die Leitplanken für die Institute bilden.

Die BaFin sieht Cyberrisiken mittlerweile als eines der sechs Hauptrisiken für den nationalen Finanzmarkt und prognostiziert für diese ein starkes Wachstum.[1] Um den wachsenden Cyberrisiken angemessen zu begegnen, soll eine verstärkte Durchführung von „dezidierten IT-Prüfungen bei den Instituten und Unternehmen“[2] wahrgenommen werden. Doch selbst wenn eine Sonderprüfung nicht mit dem expliziten Schwerpunkt im Bereich der IT angekündigt wird, so lassen sich Verknüpfungen zur IT aus nahezu jedem anderen bankfachlichen Themengebiet ableiten. Deshalb wird künftig wohl keine Sonderprüfung mehr gänzlich ohne IT-Bezug durchgeführt werden. Aufbauend auf dem grundsätzlichen Verlauf von Sonderprüfungen sollen im weiteren Verlauf des Beitrags Besonderheiten der IT-Sonderprüfungen aufgezeigt werden. Dazu werden konkrete Beispiele genannt, um die Bedeutung für die Institute zu unterstreichen sowie wichtige Maßnahmen zur professionellen Vor- und Nachbereitung von Sonderprüfungen vorgestellt. Der Beitrag beruht auf den Erfahrungen der Autoren, aber bezieht insbesondere zu strukturellen Aspekten Fachliteratur mit ein.

II. Aktivität der Aufsicht im Rahmen von Sonderprüfungen[3]  [...]
Beitragsnummer: 22168