Tabelle 1: Zeitliche Einordnung regulatorischer Anforderungen

Im Rahmen des Single Rulebook erfolgt eine Harmonisierung der aufsichtsrechtlichen Standards für alle Kreditinstitute der Europäischen Union durch die EBA. In Deutschland werden derzeit 21 Institute direkt von der von der EZB überwacht. Die BaFin folgt dem Grundgedanken der europäischen Bankenunion und übernimmt auch Leitlinien in Ihre Verwaltungspraxis. Somit sind auch alle deutschen Less Significant Institutions (LSI) angehalten die europäischen Standards, die tendenziell für systemrelevante Institute entworfen wurden, umzusetzen.

Die EBA Leitlinien müssen grundsätzlich nur durch die von der EZB direkt überwachten und systemrelevanten Institute zum 30.09.2020 umgesetzt werden. Eine Konkretisierung auf nationaler Ebene für LSIs muss durch die BaFin erfolgen und wird voraussichtlich mit der Erweiterung der MaRisk AT 9 im vierten Quartal 2020 veröffentlicht. Dadurch haben LSIs, die nicht unter die direkte Beaufsichtigung der Europäischen Zentralbank fallen, die Möglichkeit sich rechtzeitig mit den Anforderungen der EBA Guidelines zu beschäftigen und den Handlungsbedarf im Rahmen einer Gap-Analyse zu identifizieren sowie Maßnahmen zu ergreifen.

Die kurze Umsetzungsfrist, die gestiegene Komplexität im Umgang mit Dienstleistern in Verbindung mit den zu ergreifenden Maßnahmen sowie die komplexe Rechtsgrundlage in Bezug auf die Gültigkeit von europäischen Leitlinien stellen speziell kleinere und mittlere Institute in Deutschland vor große Herausforderungen.

Es wird untersucht, welche zentralen Neuerungen die EBA Guidelines on Outsourcing aufweisen und welche Auswirkungen sie auf die künftige MaRisk Novelle haben. Hieraus werden Handlungsempfehlungen für LSIs ersichtlich, wie Abb. 1 verdeutlicht.

Abbildung 1: Herangehensweise der Untersuchung

II. MaRisk zur Umsetzung nationaler Anforderungen an Auslagerungen 

Die zentrale gesetzliche Grundlage der MaRisk ist § 25a Abs. 1 KWG. Diese fordert von in Deutschland tätigen Kredit- und Finanzdienstleistungsinstituten eine ordnungsgemäße Geschäftsorganisation, die sich an den entsprechenden Strategien, wie Geschäftsstrategie und Risikostrategie, ausrichtet. Zudem regelt § 25b KWG als Teil der ordnungsgemäßen Geschäftsorganisation die spezifischen Anforderungen, die ein Institut im Falle der Auslagerung von wesentlichen Aktivitäten und Prozessen erfüllen muss. 

Nicht darunter subsumierbare Auslagerungen können dennoch den allgemeinen Vorgaben des § 25a KWG unterfallen. Die MaRisk stellen insofern eine Normeninterpretation mit konkretisierendem Charakter dar, die zudem für die Institute bindend sind. Die Regelungen der MaRisk entfalteten mit ihrer Veröffentlichung am 27.10.2017 teilweise Neuregelungscharakter, im Besonderen für das Management von Auslagerungen[2]. 

Die EBA Leitlinien zum Auslagerungsmanagement sind für direkt überwachte Institute bereits zum 30.09.2019 umzusetzen. LSIs dürfen sich hingegen auf die Umsetzung in den MaRisk berufen. Umfangreiche Unterschiede zwischen den EBA Leitlinien zum Auslagerungs-management und den bestehenden nationalen Regelungen der MaRisk zeigen, dass ein entsprechender Umsetzungsaufwand mit der von der BaFin avisierten Einführung in 2020 einhergehen wird. Zusätzliche Mindestanforderungen sind nach der Gegenüberstellung für folgende Punkte zu erwarten:

• Aufbau und Umfang der Risikoanalyse
• Mindestvereinbarungen in Auslagerungsverträgen
• Umfang des Informationsregisters (Dokumentation)
• Rahmen der Governance
• Aufsichtsdialog

Eine Risikoanalyse ist die Grundlage für eine Auslagerungsentscheidung, für die laufende Steuerung und Überwachung. Zudem ist diese regelmäßig und anlassbezogen zu wiederholen. In der Struktur sollte die Risikoanalyse immer einem gleichbleibenden Ansatz folgen, um Ergebnisverzerrungen für wiederholte Risikoanalysen bei einzelnen Auslagerungen oder auch übergreifend für das gesamte Auslagerungsportfolio zu vermeiden. Nachfolgend wird der Gang der Risikoanalyse nach den MaRisk in Abb. 2 skizziert. Auf dieser Basis werden im Folgenden die Bedingungen der EBA Guidelines on Outsourcing den MaRisk-Anforderungen zur Auslagerung gegenübergestellt, wie Tabelle 2 zeigt.

Abbildung 2: Ablauf einer Risikoanalyse bei Auslagerungen nach MaRisk

III. Wesentliche Erweiterungen der EBA Guidelines zu den MaRisk

Tabelle 2: Darstellung der Erweiterungen der EBA Guidelines zu den MaRisk

IV. Untersuchung der Auswirkung durch die EBA Guidelines

Die neuen Anforderungen der EBA Guidelines on Outsourcing waren die Grundlage einer Expertenbefragung in LSI-Banken, um den Handlungsbedarf, der sich aus der Umsetzung dieses Regulierungsvorhabens ergibt, zu ermitteln. Befragt wurden Spezialisten aus internen Revisionsabteilungen der Banken. Wesentliches Ziel der Untersuchung war die Entwicklung einer Checkliste, die eine für 2020 erwartete aufsichtliche Umsetzung der EBA-Richtlinien für Auslagerungen auf nationaler Ebene berücksichtigt.

V. Erkenntnisse der empirischen Untersuchung zu Auslagerungen

Die befragten Kreditinstitute wurden nach dem Konzentrationsprinzip anhand von Bilanz­summe und Mitarbeiterkapazität ausgewählt. Die acht befragten Kreditinstitute weisen eine durchschnittliche Bilanzsumme von rund 4.156 Mio. € auf und beschäftigen durchschnittlich 656 Mitarbeiter. Es wurden jeweils die Outsourcing-Experten zu Auslagerungen in den einzelnen Banken befragt.

Alle befragten Institute gaben an, Aktivitäten und Prozesse bundesweit auszuschreiben und gegebenenfalls auszulagern. Durchschnittlich sind bei den befragten Kreditinstituten 9 wesentliche und 21 nicht wesentliche Aktivitäten und Prozesse ausgelagert. Anhand dieser Daten konnte ein Zusammenhang zwischen Bilanzsumme und denen als wesentlich eingestuften und ausgelagerten Aktivitäten und Prozessen hergestellt werden. Es ist hierbei deutlich geworden, dass die Anzahl der als wesentlich eingestuften und ausgelagerten Aktivitäten und Prozesse mit einer steigenden Größe des Instituts abnimmt, wie die folgende Abb. 3 zeigt.

Abbildung 3: Zusammenhang Bilanzsumme und Anzahl ausgelagerter Prozesse

Die befragten Kreditinstitute gaben zudem anhand einer Rangordnung, welche Herausforderungen am stärksten im Unternehmen gewichtet werden. Die Institute gaben an, dass der Bereich der Risikoanalyse die mit Abstand größte Herausforderung darstellt. Umfassenden Handlungsbedarf stellen für die Kreditinstitute die Dokumentationsanforderungen dar, wie Abbildung 4 verdeutlicht.

Abbildung 4: Umsetzungsaufwand der Anpassung an die EBA Guidelines on Outsourcing

Durch die direkte Ansprache der Experten der jeweiligen internen Revisionsabteilungen der Institute konnte eine sehr hohe Qualität der Antworten gewährleistet werden. Somit wurde das Ziel der Untersuchung umgesetzt und es konnte eine Checkliste zur Identifizierung des Handlungsbedarfs zur Umsetzung der EBA Guidelines on Outsourcing erstellt werden.

VI. Checkliste zur Identifizierung des Handlungsbedarfs

Aufgrund der EBA Guidelines on Outsourcing Arrangements und den bekannten Informationen von Seiten der nationalen Aufsicht werden Annahmen getroffen, welche Bestandteile die avisierte 6. MaRisk Novelle für das Auslagerungsmanagement in LSI umsetzen wird. Im Vorfeld der Corona Pandemie wurde noch eine MaRisk Novelle bis Ende 2020 in Aussicht gestellt[3]. Klarstellungen, die keine neuen Regelungsinhalte haben, werden vermutlich unmittelbar gelten. Neben anderen neuen Regelungsinhalten wird es wahrscheinlich auch eine verlängerte Umsetzungsfrist für die Themenfelder

• Anforderungen an das zentrale Auslagerungsregister und
• die Überprüfung bestehender wesentlicher Auslagerungsverträge

bis zum 31.12.2021 geben[4].

Die folgende Tabelle 3 stellt für LSI seine abgeleitete Checkliste dar, aus der potenzielle Aufgaben im Rahmen einer bevorstehenden MaRisk-Umsetzung im Bereich des Auslagerungsmanagements abgeleitet werden können. Des Weiteren fließen Erkenntnisse der Expertenbefragung in diese Checkliste mit ein. Für die Planung und abschließende Umsetzung der angenommenen neuen Anforderungen werden durch die befragten Kreditinstitute durchschnittlich 274 Tage veranschlagt.

Tabelle 3: Checkliste zur Identifizierung des Handlungsbedarfs

VII. Zusammenfassung und Handlungsempfehlung

Nach Betrachtung der bestehenden Auslagerungen und Ableitung der notwendigen Handlungsempfehlungen auf Basis der Checkliste für die Auslagerungsbestände der Kreditinstitute wird klar, dass die Umsetzung der EBA Guidelines on Outsourcing vermutlich mit erheblichem Aufwand verbunden sein wird. 

In diesem Kontext sollte die Wirtschaftlichkeit von Auslagerungen neu bewertet werden. Der Trend der vergangenen Jahre mit Auslagerungen Synergieeffekte und Kostenvorteile durch Spezialisierung und Zentralisierung zu schaffen, kann sich aufgrund der weiterreichenden neuen Anforderungen ändern und dem damit verbundenen Regulierungsaufwand. Unklar wird sein, inwieweit besonders kleine Kreditinstitute in der Lage sein werden, die Anforderungen an Auslagerungen einzuhalten und zu überwachen. Erschwerend kommt der nötige Wissensaufbau zur Überwachung der ausgelagerten Tätigkeiten hinzu.

PRAXISTIPPS

• LSIs sollten sich zwingend zeitnah mit den sehr wahrscheinlich eintretenden Änderungen durch eine MaRisk-Novelle beschäftigen (Gap-Analyse).
• Auslagerungen sollten mit Blick auf die neuen Anforderungen und den damit verbundenen betriebswirtschaftlichen Auswirkungen strategisch neu beurteilt werden.
• Die Institute sollten spätestens jetzt einen vollständigen Überblick über alle bestehenden Dienstleistungsverträge schaffen.
• Die Qualität der Dienstleistersteuerung nicht wesentlicher Auslagerungen sollte anhand bestehender und abzusehender Neuerungen kritisch hinterfragt und optimiert werden.
• Dienstleister, die nicht dem KWG unterliegen (z. B. Geld- und Werttransportunternehmen), sollten dahingehend untersucht werden, ob diese die für LSI geltenden Mindeststandards (z. B. BAIT) tendenziell erfüllen können.