Björn Dommel, Senior Consultant, FCH Consult
Nicht erst mit Veröffentlichung der EBA Guidelines on Outsourcing (EBA/GL/2019/02) zur Harmonisierung des Regelungsrahmens sowie den daraus resultierenden Anpassungen der MaRisk hat die Aufsicht ein Augenmerk auf das Auslagerungsmanagement der Banken gelegt. Dadurch soll eine angemessene Bewertung und Steuerung der sich aus den Auslagerungen ergebenen Risiken sichergestellt werden.
Dies wird ergänzt durch das Drei-Linien-Modell des IIA (Aktualisierung der Three Lines of Defense), das im Grundsatz 3 das Management und die Rollen der ersten und zweiten Linie herausstellt.
Das Auslagerungsmanagement liefert mit seiner Expertise Unterstützung beim Management der Risiken, dem Erreichen der Risikomanagement-Ziele (z. B. die Einhaltung der aufsichtsrechtlichen Anforderungen) sowie bei der Zurverfügungstellung von Auswertungen, die eine Aussage über die Angemessenheit und Wirksamkeit des Risikomanagements treffen. Die allgemeine Verantwortung für das Management der Risiken verbleibt allerdings weiter in der ersten Linie.
Die MaRisk AT 9 Tz. 12 erwarten neben der Implementierung und Weiterentwicklung eines angemessenen Auslagerungsmanagements auch entsprechende Kontroll- und Überwachungsprozesse. Diese Formulierung findet sich in ähnlicher Weise in der Rollenfunktion der zweiten Linie des Drei-Linien-Modells wieder.
In der Vergangenheit haben interne Qualitätsmängel, die sich aus Schwächen des Auslagerungsmanagements ergeben haben, zu erhöhten Kosten sowie internen und externen Prüfungsfeststellungen geführt. Um diese Risiken zu reduzieren, sollte neben aufsichtsrechtlich konform gestalteten Auslagerungsverträgen ein effizientes und aktives Auslagerungsmanagement zur optimalen Dienstleistungssteuerung vorhanden sein.
Dieses beinhaltet einen stringenten End-to-End-Prozess, in dem das zentrale und das fachliche Auslagerungsmanagement gemeinsam die Dienstleister steuern.
Im Wesentlichen sollten hier die folgenden Aspekte geregelt sein:
- Klassifikation (Einstufung, Zulässigkeit, Nachvollziehbarkeit) der Verträge
- Revisionssichere Risikoanalyse
- Aufsichtskonformes Auslagerungsregister
- Regelmäßige und anlassbezogene Steuerung (SLA-bezogen, KPIs) der Dienstleister.
Neben der Implementierung der Regelprozesse sowie einer angemessenen Berichterstattung sollte das Auslagerungsmanagement (oder der Auslagerungsbeauftrage) aktiv die Weiterentwicklung von Kontrollhandlungen sowie die Kommunikation und Unterstützung der fachlichen Dienstleistungssteuerung forcieren.
Insbesondere durch die Kommunikation wird der Mehrwert für die fachliche Dienstleistersteuerung erhöht. Ein für alle gleiches Verständnis von Begrifflichkeiten sowie der Austausch zu Hindernissen in den Prozessen stellen einen funktionierenden Informationsfluss zwischen den Beteiligten sicher, schaffen Vertrauen und geben die Möglichkeit, aktiv die Prozesse zu gestalten.
Durch die regelmäßigen Überprüfungen der vorhandenen Kontrollen (und daraus resultierend deren Anpassungen) agiert das Auslagerungsmanagement agil und flexibel und kann so schnell das IKS auf sich verändernde Risikosituationen anpassen. Dabei ergeben sich diese nicht nur aus aufsichtsrechtlichen oder gesetzlichen Änderungen, sondern auch aus der zuvor beschriebenen Kommunikation mit der fachlichen Dienstleistersteuerung.
Diese Vorgehensweise stellt sicher, dass das IKS im Auslagerungsmanagement ein wirksames Instrument zur Risikominimierung bleibt.
PRAXISTIPPS
- Überprüfen Sie regelmäßig (auch in Abstimmung mit der fachlichen Dienstleistersteuerung) die bestehenden Kontrollhandlungen.
- Schaffen Sie ein einheitliches Grundverständnis mit der fachlichen Dienstleistersteuerung, um so aktiv die Weiterentwicklung der Auslagerungsprozesse voranzutreiben.
- Kommunizieren Sie regelmäßig mit der fachlichen Dienstleistersteuerung.
Beitragsnummer: 21734