Aufgaben eines zentralen Auslagerungsmanagements

Andreas Richter, Bereichsleiter Innenrevision, VR Bank Enz plus

Anhand der Neufassung der MaRisk AT 9 Tz. 12 hat das Institut abhängig von Art, Umfang und Komplexität der Auslagerungsaktivitäten (ggf. haben kleinere Institute komplexere Auslagerungen als größere (!)) ein zentrales Auslagerungsmanagement einzurichten. In der aktuellen Phase stellt sich vor allem für kleine Banken die Frage, was ein Auslagerungsmanagement auf jeden Fall machen muss, um die wesentlichsten Neuerungen nach dem Eisenhower-Prinzip zu priorisieren, bis Verbundinterpretationen o. ä. vorliegen. Der Beitrag beschäftigt sich lediglich mit dieser Frage der neuen Aufgaben. Daneben sind weiterhin viele bestehende Anforderungen aus Auslagerungen, z. B. AT 4.2 Einbeziehung in die Risikostrategie, und die neue Anforderung eines Berichtswesens zum Auslagerungsmanagement (AT 9 Tz 13) zu beachten.

In AT 9 Tz 12 a) ist die grundsätzliche Aufgabe des Auslagerungsmanagements klar formuliert:

Implementierung und Weiterentwicklung eines angemessenen Auslagerungsmanagements und entsprechender Kontroll- und Überwachungsprozesse: Der Begriff Weiterentwicklung verdeutlicht die Erwartungshaltung der BaFin. Sie sieht das bisherige Auslagerungsmanagement der Banken offensichtlich als verbesserungswürdig und -fähig an.

„Kontroll- und Überwachungsprozesse“ stellt klar, dass das Management nicht selbst Aufgaben wie z. B. die Korrespondenz mit den Dienstleistern, das Aufbereiten von Beschlüssen o.ä. vornehmen soll.

SEMINARTIPPS

Prüfung Risikoberichtswesen, 14.05.2018, Frankfurt/M.

Mathe Spezial für Risikomanagement & Prüfung, 16.05.2018, Frankfurt/M.

MaRisk-Sonderprüfungen Gesamtbanksteuerung, 06.06.2018, Köln.

IKS – im verschärften (!) Fokus der Bankenaufsicht, 20.–21.06.2018, Frankfurt/M.

Wie kann relativ schnell der wesentliche Teil dieser Kontrolle und Überwachung erfüllt werden?

Es erscheint nicht notwendig, das Auslagerungsmanagement für alle Anforderungen der Tz. 1 bis 11 zu binden. Aus Tz. 12 ergibt sich nämlich die Öffnungsklausel „Zu dessen Aufgaben zählen insbesondere ...“: In den Ziffern b)–d) werden dann aufgezählt:

1. AT 9 Tz. 12 Abschnitt b): Erstellung und Pflege einer vollständigen Dokumentation der Auslagerungen (einschließlich Weiterverlagerungen).
2. AT 9 Tz. 12 Abschnitt c): Unterstützung der Fachbereiche bezüglich der institutsinternen (!) und gesetzlichen Anforderungen bei Auslagerungen,
3. AT 9 Tz. 12 Abschnitt d): Koordination und Überprüfung der durch die zuständigen Bereiche durchgeführten Risikoanalyse gemäß Tz. 2.

Folgende Auflistung kommt daher gleichermaßen einer Schlüsselkontroll-Übersicht gleich:

I) AT 9 Tz. 12 Abschnitt b) in Verbindung mit AT 9 Tz. 1: Sicherstellung der Vollständigkeit der relevanten Auslagerungen. Methodisch dürfte eine entsprechende Gesamtübersicht aller Auslagerungstatbestände einschließlich Weiterverlagerungen (!) sowohl unerlässlich als auch äußerst effizient sein. Denn damit kann der Erst-Abgleich mit allen vorhandenen Dienstleistungs-Verträgen und der fortlaufende Prozess des Abgleichs mit neuen Verträgen erfolgen. Viele Banken haben mutmaßlich bereits solche Übersichten.

II) AT 9 Tz. 12 Abschnitt d) in Verbindung mit AT 9 Tz. 2: Kontrolle, ob für Auslagerungen eine Risikoanalyse zur Feststellung der Wesentlichkeit vorliegt (auch [oder gerade] für unwesentliche Auslagerungen). Methodisch sollte die für I) erforderliche Übersicht dazu dienen, die Vollständigkeit auch der Risikoanalysen zu kennzeichnen.

III) AT 9 Tz. 12 Abschnitt c), hierzu inhaltlich Ansätze aus AT 9 Tz. 3–11: Beratung der Fachbereiche zu Anforderungen aus Auslagerungen und Fremdbezügen. Wie weist nun aber ein Auslagerungsmanagement seine Unterstützung nach? Bei Verknüpfung von Anforderungen und betrieblichen Interessen empfiehlt es sich, dass die für die Überwachung erforderlichen Übersichten so gestaltet werden, dass hieraus die Überwachung für die Fachbereiche automatisiert mitgesteuert wird. In den Formulierungen zum Auslagerungsmanagement kommt keine Anforderung der Unabhängigkeit wie z. B. bei der Innenrevision zum Ausdruck. Insofern ist es zulässig oder offensichtlich sogar so gewollt, dass das Auslagerungsmanagement aktiv dazu beiträgt, dass z. B. die Vollständigkeit der Erfassung der Auslagerungstatbestände sichergestellt wird. Bei einer solch aktiven Mitwirkung dürfte gewährleistet sein, dass die Bank nachweisen kann, dass das Auslagerungsmanagement seiner Aufgabe aus Abschnitt c) der Tz. 12 nachkommt.

Zur Beratung/Unterstützung aus Tz. 3–11 lassen sich hervorheben:

• Beachtung der Ordnungsmäßigkeit auch bei nicht wesentlichen Auslagerungen, z. B. Notfallkonzepte (Tz. 3).
• Vorkehrungen treffen, um im Fall der Beendigung der Auslagerung die Kontinuität und Qualität der ausgelagerten Aktivitäten zu gewährleisten (Tz. 6).
• Sicherstellung der in Tz. 7 und Tz. 8 näher bezeichneten erforderlichen Bestandteile eines Auslagerungsvertrags.
• Überwachung der regelmäßigen Beurteilung der Leistung des jeweiligen Dienstleisters (Tz. 9). Aus der Beschreibung der Tz. 13 (mindestens jährliche Berichtspflicht) lassen sich dazu herleiten: Aussagen, 1. ob die erbrachten Dienstleistungen den vertraglichen Vereinbarungen entsprechen, 2. ob die ausgelagerten Aktivitäten und Prozesse angemessen gesteuert und überwacht werden können und 3. ob risikomindernde Maßnahmen ergriffen werden sollen.
• Prüfung, ob im Fall von Auslagerungen besonderer Funktionen ein Beauftragter benannt ist, der entsprechende Tätigkeiten nachweisen kann (Tz. 10).

PRAXISTIPPS

• Das Auslagerungsmanagement sollte im ersten Schritt eine Gesamtübersicht aller Auslagerungen erstellen, in dem jeweils gekennzeichnet wird, ob eine wesentliche oder unwesentliche Auslagerung vorliegt, inkl. Datum der letzten Einstufung. Falls diese noch nicht vorhanden ist, können evtl. Dokumentationen der Innenrevision als Basis herangezogen und weiterentwickelt werden.
• Bestenfalls erfolgt dies z. B. in einer Lotus-Notes-Anwendung, um technische Wiedervorlagen-Funktionen u. ä. nutzen zu können.
• Die Übersicht kann nach und nach um Spalten ergänzt werden, in denen die Erfüllung der obigen Schlüsselkontrollen je Auslagerung mit Datum dokumentiert wird.
• Das Auslagerungsmanagement kann aufgrund der zu schaffenden Überwachungsinstrumente effizient das fortlaufende Berichtswesen der Fachbereiche an die Geschäftsleitung koordinieren.
• Sofern nicht bereits vorhanden, sollen für die Risikoanalyse bei Erst-Beschluss einer Auslagerung und für die jährliche Überprüfung der Risikoanalyse Muster-Dokumente und Regelungen bereitgestellt werden.
• Die Revision sollte zeitnah eine Bestandsaufnahme der prozessualen Erfüllung der nunmehr verbindlichen MaRisk-Anforderungen vornehmen.