Subdienstleister, IKT & DORA: Risiken erkennen, bewerten & überwachen

DORA verschärft die Anforderungen – höhere Dokumentationspflichten, strengere Meldeanforderungen und eine lückenlose Überwachung der gesamten Dienstleisterkette sind notwendig! Setzen Sie die Vorgaben praxisnah und revisionssicher um!

Überblick über die Anforderungen an das Risikomanagement der Subdienstleister

• Strengere Vorgaben durch DORA. Die Mindestanforderungen aus dem RTS zur Unterauftragsvergabe sind erheblich gestiegen – eine Anpassung der Risikomanagementprozesse ist daher dringend notwendig geworden
• Häufige Mängel bei der Risikoanalyse. Unterschätzte Risiken bei der Risikoanalyse von Subdienstleistern und fehlende Steuerungsmechanismen führen regelmäßig zu Prüfungsfeststellungen
• Vertragliche Kontrollrechte allein reichen nicht aus. Ohne ein belastbares Überwachungskonzept bleiben zentrale Risiken unerkannt und regulatorische Anforderungen unerfüllt
• Steigende Sanktionen bei Nichteinhaltung. Finanzinstitute müssen nachweisen, dass ihre Prozesse den aufsichtsrechtlichen Anforderungen entsprechen – doch wie gelingt eine revisionssichere Umsetzung?

Materialitätsbewertung von IKT-Dienstleistungen – DORA fordert eine höhere Granularität

• Ableitung der Kritikalität der IKT-Dienstleistungen. Die Materialität der IKT-Dienstleistungen muss präzise für kritische bzw. wichtige Funktionen ermittelt werden.
• Konsistente Bewertung erforderlich. Kritische Dienstleistungen müssen im gesamten Drittparteienrisikomanagement, der Informationssicherheit und dem Business Continuity Management durchgängig erfasst werden
• Fehleinschätzungen mit gravierenden Folgen. Eine falsche Einstufung einzelner IT-Dienstleistungen kann zentrale Geschäftsprozesse gefährden – eine Überbewertung hingegen unnötige Ressourcen binden
• Vertragsgestaltung mit IKT-Drittdienstleister. IKT-Prüffeldstrategie muss in die IT-Prüfungsstrategie integriert werden und es MUSS eine eigene Risikogewichtung der DORA Themen erfolgen 
  

Identifikation kritischer Subdienstleister

• Fehlende Transparenz in der Dienstleisterkette. Ohne eine vollständige Erfassung aller Beteiligten bleibt die Compliance mit DORA lückenhaft
• Fehlende Vererbung der Kritikalität auf Subdienstleister. Die Bewertung der Materialität der IKT-Dienstleistungen muss auch auf Ebene der Subdienstleister klar dokumentiert und für Dritte nachvollziehbar sein
• Wachsende Anforderungen an die Dokumentation. Eine unzureichende Analyse oder fehlerhafte Nachweise können die Gesamtbewertung des IKT-Risikos erheblich beeinträchtigen

Überwachung der Dienstleisterkette

• Vertragliche Mindestanforderungen sind zu beachten. Der aktuelle Entwurf des RTS zur Unterauftragsvergabe definiert verbindliche vertragliche Mindestanforderungen – eine Nichtbeachtung führt zu Feststellungen
• Materielle Änderungen müssen analysiert werden. Informationspflichten sind sicherzustellen und jede Veränderung muss auf ihre Auswirkungen und Risiken hin geprüft werden
• Gesamthaftung für Mängel in der Kette. Banken tragen die Verantwortung über mehrere Stufen hinweg – eine unzureichende Kontrolle kann weitreichende Haftungsrisiken mit sich bringen
• Vertragliche Kontrollrechte sind nicht genug. Ohne ein strukturiertes und kontinuierliches Überwachungsmodell bleiben kritische Risiken unerkannt
• Strengere Meldepflichten bei IKT-Vorfällen. Wer muss wann welche Vorfälle melden – und welche Konsequenzen drohen bei Versäumnissen? Ein funktionierendes Meldekonzept muss implementiert werden

09:30 - 16:30 Uhr