Ende Oktober 2017 wurde die 5. Novelle der MaRisk (Mindestanforderungen an das Risikomanagement der Banken) veröffentlicht, aus der sich eine Reihe (vermeintlicher) Klarstellungen, aber auch Neuerungen für Auslagerungen ergeben. Im November wurden ergänzend die Bankaufsichtlichen Anforderungen an die IT (BAIT) veröffentlicht. Die BAIT sind nunmehr zentraler Baustein für die IT-Aufsicht über den Bankensektor in Deutschland.
Foto: Anton Violin - shutterstock.com
Wie die MaRisk erläutern auch die BAIT die gesetzlichen Anforderungen des Paragraf 25 Abs. 1 Satz 3 Nr. 4 und 5 KWG (Kreditwesengesetz). Aus Paragraf 25 a KWG ergibt sich die Verpflichtung für Kreditinstitute zur Durchführung eines angemessenen und wirksamen Risikomanagements. Paragraf 25 b KWG enthält Anforderungen, die im Falle einer Auslagerung zu erfüllen sind. Die MaRisk haben Leitliniencharakter. Sie geben einen Handlungsrahmen vor, die Institute haben allerdings weitgehende Freiheiten bei der praktischen Umsetzung.
Vorgaben der 5. Novelle an Auslagerungen
Beim klassischen Outsourcing, zum Beispiel für den Betrieb der IT-Infrastruktur oder einer Kernbanklösung durch einen IT-Dienstleister, bestand schon vor der 5. Novelle der MaRisk Einigkeit, dass ein Auslagerungsvertrag den besonderen Anforderungen des Risikomanagements Rechnung tragen muss. Der reine Erwerb einer Software, deren Implementierung und Pflege galt jedoch nach überwiegender Auffassung nicht als Auslagerung. Die besonderen Kontroll-, Informations- und Prüfungspflichten mussten also nicht Vertragsbestandteil werden.
Die Anforderungen an die Auslagerung in AT 9 der MaRisk wurde nun in Teilen erneuert, konkretisiert und klargestellt. Der Begriff der Auslagerung wurde stärker gegenüber dem „sonstigen Fremdbezug von Leistungen“ abgegrenzt. Darüber hinaus wurden verschiedene neue Anforderungen an das Auslagerungsmanagement, Exit-Prozesse und die Weiterverlagerungen aufgenommen.
Vorgesehen ist die Einrichtung eines zentralen Auslagerungsmanagements mit Dokumentations-, Unterstützungs- und Koordinationspflichten bei größeren Instituten und Instituten mit umfangreichen Auslagerungslösungen.
Lesetipp: FinTech in Deutschland: Was andere Länder besser machen
Die Anforderungen an unbeabsichtigte und unerwartete Beendigungen von Auslagerungen wurden dahingehend ergänzt, dass Ausstiegsprozesse festzulegen sind. Ziel des Beendigungsmanagements ist es, die ausgelagerten Prozesse und Aktivitäten aufrechtzuerhalten oder in angemessener Zeit wiederherzustellen. Die Notfallplanung ist dann zu berücksichtigen, wenn keine Handlungsoptionen mehr existieren.
Handlungsfelder auf Basis der Neufassung des AT 9 der MaRisk
• Die vollständige Erfassung von Auslagerungstatbeständen muss sichergestellt werden, insbesondere auch hinsichtlich des Fremdbezugs von Software und dazugehörenden Unterstützungsleistungen;
• Risikoanalysen sind zu überprüfen, vor allem im Hinblick auf die Risikokonzentration sowie etwaige Weiterverlagerungen;
• Die Zulässigkeit von Auslagerungen ist zu überprüfen;
• Exit Strategien und Beendigungsszenarien sind zu schärfen und
• bestehende Auslagerungsverträge sind in Bezug auf die neuen Regelungen zur Weiterverlagerung, den sonstigen Sicherheitsanforderungen und den „Grad der akzeptablen Schlechtleistung“ anzupassen;
• Ein zentrales Auslagerungsmanagement ist zu schaffen.
Softwareimplementierung und -pflege als Auslagerungssachverhalt
Der Kreis der Auslagerungstatbestände wurde erweitert. Unterstützungsleistungen, die von einem Kreditinstitut in Anspruch genommen werden, sind nicht mehr als sonstiger Fremdbezug, sondern als Auslagerung zu qualifizieren, wenn die Software
zur Identifizierung, Beurteilung, Steuerung, Überwachung und Kommunikation der Risiken eingesetzt wird oder
für die Durchführung von bankgeschäftlichen Aufgaben von wesentlicher Bedeutung ist. Davon betroffen sind auch Kernbankensysteme, das heißt alle Systeme, mit deren Hilfe die Kernprozesse einer Bank abgebildet werden.
Dazu gehören
Kontoführung,
Umsatzbearbeitung,
Bearbeitung von Krediten, Verwaltung von Kundendaten,
Wertpapierhandel sowie
Geld- und Devisenhandel.
Der reine Erwerb eines Kernbankensystems dürfte auch weiterhin nicht als Auslagerung gelten. Die Bewertung ändert sich aber unmittelbar, wenn der Erwerb mit Unterstützungs- und Implementierungsleistungen erfolgt, was die Regel und nicht die Ausnahme sein dürfte.
- Branimir Brodnik, Geschäftsführender Gesellschafter bei der microfin Unternehmensberatung GmbH
Künftig werden Regularien, Datenschutz- und Compliance-Anforderungen die Auswahl von Cloud-Services und des damit einhergehenden Shoring-Modells viel stärker beeinflussen als technische und kommerzielle Aspekte. Nicht alles, was technisch geht, ist auch zulässig. - Khaled Chaar, Managing Director Business Strategy bei Pironet
Beim Outsourcing steigt die Nachfrage nach Multi-Cloud-Strukturen, die das Beste aus Private und Public Cloud miteinander verbinden. - Michael Eberhardt, Vice President and General Manager North and Central Europe bei DXC Technology
Branchen-Know-how reicht heute als Differenzierungsmerkmal nicht mehr aus. Die neuen Kernkompetenzen sind Methoden und Prozesse für Innovation, Inkubation, Restrukturierung und Change Management. - Christian Gfüllner, Director Partner Team Unit Enterprise and Partner Group (EPG) Microsoft Deutschland GmbH
Immer mehr Unternehmen wollen große Teile ihrer Datacenter-Infrastrukturen in die Cloud migrieren, um damit auf der einen Seite eine höhere Flexibilisierung zu erreichen und auf der anderen signifikante Kosteneinsparungspotentiale zu heben. - Thomas Karg, Geschäftsführer des Münchener Benchmarking- und Beratungsunternehmens Maturity
Gerade das komplexe Zusammenspiel mit mehreren Best-of-Breed-Lieferanten macht es erforderlich, dass Unternehmen ihr Sourcing professionalisieren, um alle vertraglichen Leistungen abstimmen, beauftragen und kontrollieren zu können. - Patrick Potters, CEO bei Capgemini Cloud Infrastructure Services Central Europe
Unternehmen sind heute in der Lage, mehrere Sourcing-Partner zu koordinieren und damit ihre individuellen Bedürfnisse optimal abzudecken. Für die Anbieter bedeutet dies unter anderem kürzere Vertragslaufzeiten, geringere Auftragsvolumina und einen erhöhten Preis- und Wettbewerbsdruck. - Jakob Rehäuser von der Ardour Consulting Group
Mittelständische Unternehmen fremdeln noch beim Thema Public Cloud Services. Doch mit der zunehmenden Verbreitung von Cloud-Service-Angeboten, die in Deutschland gehostet und/oder von deutschen Unternehmen betrieben werden, legen die Unternehmen ihre Zurückhaltung ab und bringen immer mehr Anwendungen in die Cloud. - Ulfert Rotermund, Geschäftsführer Allgeier Experts Services
Die Vielfalt der Projekte erhöht die Anforderungen an externe Dienstleister zur Deckung der unterschiedlichen Bedarfe und stellt gerade IT- und Personaldienstleister vor immer größere Herausforderungen. - Jörg Thamm, Head of IT-Strategy and Target Operating Model bei der Managementberatung Horváth & Partners
Der Sourcing-Markt ist erwachsen geworden. Dies bedeutet, dass die Sourcing-Möglichkeiten heute deutlich differenzierter, kleinteiliger und einfacher zu integrieren sind.
Für Projekte zur Implementierung eines Kernbankensystems und auch für deren spätere Pflege sind nunmehr bei der Vertragsgestaltung die besonderen Anforderungen an Auslagerungsverträge zu beachten. Nur bei Erwerb „sonstiger Software“, deren Implementierung und Betrieb dürfte keine Auslagerung im Sinne der MaRisk vorliegen.