Markus Wietzke, Teamkoordinator Zentrales Auslagerungsmanagement, IT- & Dienstleistersteuerung, Sparkasse Hannover

Da stehen wir nun, wir Verantwortlichen für die Bewertung von Auslagerungen in einem Kreditinstitut, und sehen uns neuen Herausforderungen aufgrund der EBA-Guidelines gegenüber. Eben noch haben wir uns mühevoll mit der 5. MaRisk-Novelle auseinandergesetzt, Prozesse geändert und zum Teil neue Vorgehensweisen im Gesamthaus etablieren müssen, schon kommen wieder Neuerungen in Form einer 6. Novelle, in die die EBA-Guidelines überführt werden, daher und die Arbeit geht scheinbar von vorne los. 

BUCHTIPP

Ritz/Schmitz/Walla (Hrsg.): Risikoanalyse für Auslagerungen in der Kreditwirtschaft, 2018.

Was gilt es jetzt zu tun?

Neue Gesetzgebung ist immer auch ein guter Zeitpunkt, innezuhalten und einmal zu betrachten, ob die Prozesse seit der Einführung der 5. MaRisk-Novelle wirklich so funktionieren wie geplant. Haben alle betroffenen Abteilungen die gleiche Vorstellung von einem Risiko? Sind die identifizierten Risiken durch Auslagerungen auch wirklich wirkungsvoll im Risikomanagement erkannt? Sind wir sicher, dass auch jedes mögliche Outsourcing auf das Vorliegen einer Auslagerung hin geprüft wird, d. h. denken die Prozessverantwortlichen auch immer an uns Dienstleistersteuerer? Diese und noch weitere Fragen sind nicht neu und können bereits jetzt, im Vorfeld zur neuen Novelle beleuchtet werden, dann ist der Boden für die kommenden Änderungen vorbereitet. Eine frühzeitige Einbindung aller Beteiligten ist dabei sehr wichtig. Zeit dafür haben wir bis voraussichtlich im ersten Quartal 2021, denn dann wird die 6. MaRisk-Novelle gültig und muss umgesetzt werden mit Wirkung ab 31.12.2021.

SEMINARTIPPS

Risikoanalysen bei Auslagerungen, 02.11.2020, Hamburg.

Umgang mit (un)wesentlichen IT-Risiken im OpRisk, 09.11.2020, Würzburg.

Prüfung (NEUE) BAIT im Fokus der Bankenaufsicht, 25.–26.11.2020, Düsseldorf.

OpRisk: Neue MaRisk-Vorgaben & Neuer Standardansatz, 30.11.2020, Frankfurt/M.

Auf welche Neuerungen müssen wir uns einstellen?

Anhand der EBA-Guidelines kann man erkennen, was im Rahmen der Risikoanalyse bleibt und was kommt. Neben der Betrachtung z. B. möglicher operationeller Risiken, der intensiveren Beurteilung des Dienstleisters (Due Diligence-Prüfung) oder der Betrachtung von Risiken bei der Auslagerung von BCM-relevanten Prozessen, um nur einige Fragestellungen zu nennen, wird nun z. B. ein größerer Fokus auf die Sensitivität der weitergegebenen Daten sowie deren Verwendung und Schutz gelegt. Auch im Rahmen des erweiterten Auslagerungsregisters wird dieser Punkt deutlich mehr in den Vordergrund gerückt. Es gibt aber auch eine gute Nachricht: es ist nicht alles neu und unbekannt, z. T. gibt es auch Erleichterungen, z. B. beim Bezug von zentral erstellten Auswertungen bei Mehrmandantendienstleistern. Die Grundlagen, die mit der 5. MaRisk-Novelle geschaffen wurden, haben grundsätzlich Bestand, insofern sollten wir uns eher auf Konkretisierungen bzw. Verschärfungen einstellen anstatt auf völlig neue Herausforderungen. 

PRAXISTIPPS

• Überprüfen Sie bestehende Prozesse und Übersichten auf Wirksamkeit und Aktualität.
• Planung Sie in diesem Jahr eine Projektstruktur für 2021, informieren und binden Sie die Prozessverantwortlichen frühzeitig mit ein, damit gleich ein einheitliches Verständnis herrscht.
• Sichten Sie bereits jetzt die EBA-Guidelines (https://eba.europa.eu/regulation-and-policy/internal-governance/guidelines-on-outsourcing-arrangements)