IT-Risikomanagement nach neuen MaRisk & BAIT sicher umsetzen

Praktikable Umsetzung Vorgaben für Überwachungs-, Steuerungsprozesse & Berichtswesen

Zum Thema

Die neuen MaRisk/BAIT verlangen eine grundlegende Verbesserung der IT Risikomanagement-Prozesse. Häufige Kritikpunkte aus vergangenen Aufsichtsprüfungen waren unzureichende Kontrollen bzw. ein eingeschränkt wirksames IKS, unvollständige IT-Struktur-/IT-Risikoanalysen und nicht nachvollzierbare bzw. nicht dokumentierte Schutzbedarfseinstufungen, die zu Verschärfungen in den aufsichtlichen Anforderungen geführt haben. Die MaRisk fordern sachgerechte Überwachungs- und Steuerungsprozesse für IT-Risiken. Die Identifizierung/Bewertung von IT-Risiken wird zur schwierigen Aufgabe für die Institute. Mit unserer Unterstützung erhalten Sie wertvolle Hinweise zu Praxisproblemen und Prüfungserkenntnissen sowie Praxistipps zur Umsetzung eines aufsichtskonformen IT-Risikomanagements.

Vorgehen

Im Rahmen unserer Beratung erhalten Sie folgende Ergebnisse:

• Konkretisierung der aufsichtlichen Anforderungen an den Umgang mit IT-Risiken durch neue MaRisk & neue BAIT
• Ableitung von Konsequenzen für das IT-Risikomanagement – Ableitung von Schutzzielen, Identifikation betroffener Anwendungen/Prozesse, Definition von Sicherheitskonzepten und regelmäßiger Risikoüberwachung
• Hinweise auf häufige Schwachstellen – falsch identifizierte oder unzureichend bewertete IT-Risiken
• Vorschlag von Kriterien zur Auswahl institutsspezifischer quantitativer Instrumente/Methoden und Berücksichtigung im (IT-)Risikomanagementprozess
• Hinweise zu den Erwartungen der Aufsicht an die Dokumentationen
• Reifegrad der Sicherstellung der Integrität, der Verfügbarkeit, der Authentizität und der Vertraulichkeit der Daten bei IT-Systemen und den zugehörigen Prozessen
• Analyse des IT-Risikomanagement-Prozesses mit Berücksichtigung des Risikoappetits und der Anforderungen bei der Risikoinventur hinsichtlich der Identifizierung und Bewertung der IT-Risiken

Ergebnisse

Wir verschaffen Ihnen in kurzer Zeit einen Überblick über die Funktionsfähigkeit und Wirksamkeit Ihres IT-Risikomanagements. Wir besprechen mit Ihnen die Ergebnisse und geben Ihnen konkrete Handlungsempfehlungen, die Sie zusammengefasst in einem Abschlussbericht erhalten.