Vanessa Schwerbrock, Risk-/Business-Management | Abteilungsleitung/Vorstandsreferent, ZAM eG
Florian Winterer, Wirtschaftsprüfer/IT-Spezialist, Genossenschaftsverband Bayern e.V.
I. Überblick und Zielsetzung
Der Finanzsektor befindet sich im Wandel. Die aufsichtliche Regulatorik, betriebswirtschaftliche Notwendigkeiten sowie der technische Fortschritt führen zu einer Aufteilung der Wertschöpfungskette und ermöglichen Dienstleistern neue Geschäftsmodelle. Dieser Trend beschäftigt auch die Aufsicht. Insbesondere da in einigen Bereichen des Finanzsektors ein Großteil der beaufsichtigten Unternehmen von wenigen spezialisierten IT-Dienstleistern abhängig ist.
Spätestens seit Inkrafttreten des Finanzmarktintegritätsstärkungsgesetzes (FISG) sind die Unternehmen des Finanzsektors verpflichtet, (wesentliche) Auslagerungen der BaFin anzuzeigen. Seit 29. November 2022 können sie hierfür das MVP-Portal, die Melde- und Veröffentlichungsplattform der BaFin, nutzen. Bis Anfang des Jahres haben ca. 1.900 beaufsichtigte Unternehmen etwa 20.800 (wesentliche) Auslagerungen der Aufsicht angezeigt. Hiervon entfielen rund 54 % auf Kreditinstitute.[1]
Diese Zahlen zeigen, welche Bedeutung das Thema Auslagerungen für Institute hat. Verstärkt wird dieser Umstand dadurch, dass bei rund der Hälfte der Auslagerungen davon ausgegangen wird, dass diese nicht wieder integrierbar sind. Aus diesem Grund ist es von immenser Bedeutung Auslagerungen richtig zu steuern.
Dieser Beitrag soll die Steuerung von Auslagerungen aus praktischer Sicht beleuchten. Hierzu werden zuerst die aufsichtlichen Anforderungen vorgestellt. Anschließend wird darauf eingegangen, wie sich Auslagerungen auf das IKS von Instituten auswirken und welche Anforderungen sich hieraus bezüglich des IKS des Dienstleisters ergeben. Weiter soll ein Verständnis für die Inhalte von Auslagerungsberichten geschaffen werden. Schlussendlich werden praktische Tipps zur Steuerung von Auslagerungen gegeben.
II. Aufsichtliche Anforderungen
Aufsichtliche Anforderungen zum Umgang mit Auslagerungen finden sich an verschiedenen Stellen. Zu nennen sind hier insbesondere die Vorgaben des § 25b KWG, die Vorgaben in AT 9 des Rundschreibens „05/2023 (BA) – Mindestanforderungen an das Risikomanagement – MaRisk“[2] der BaFin sowie die Vorgaben der EBA-Guidelines on outsourcing arrangements (EBA/GL/2019/02)[3].
Im Hinblick auf die Steuerung von Auslagerungen lassen sich die verschiedenen Vorgaben wie folgt zusammenfassen: [...]
Beitragsnummer: 22650