Auslagerungen und IKT-Dienstleistungen im Fokus von Aufsicht, neuen MaRisk & DORA

• Verschärfte Regularien aufgrund zunehmend wesentlicher Feststellungen bei Auslagerungsprüfungen!
• Erweiterte DORA-Anforderungen an ZAM und ZAB
• Anforderungen an die RA und Wesentlichkeitsbeurteilung
• Abgrenzung von Auslagerungen und sonstigem (IT-)Fremdbezug
• Umsetzung der zusätzlichen Herausforderungen aus neuen MaRisk / EBA-GL im zentralen Auslagerungsmanagement (ZAM)
• Neues Meldeverfahren für wesentliche Auslagerungen (MVP)

Die Aufgaben des Zentralen Auslagerungsmanagements (ZAM) sowie der Zentralen Auslagerungs- Beauftragten (ZAB) zur risikoorientierten Steuerung von Auslagerungen, Fremdbezügen und IKT-Dienstleistungen stehen durch MaRisk, DORA und EBA-GLs verstärkt im Fokus von Aufsicht, Revision und Compliance.

Die DORA-Anforderungen sind nicht deckungsgleich mit den MaRisk- Vorgaben und gehen in Umfang und Detailtiefe teilweise deutlich darüber hinaus. Dadurch steigen die aufsichtsrechtlichen Anforderungen an die Steuerung der mit Auslagerungen verbundenen Risiken.

Gerade bei IKT-DL sowie Software- und Cloud-Nutzung entstehen Auslegungsund Abgrenzungsfragen, die die Umsetzung erschweren. In Prüfungen werden vermehrt Schwächen in Risikoanalyse und Wesentlichkeitsbeurteilung festgestellt.

Institute müssen ein Auslagerungsregister (MaRisk) und ein Informationsregister (DORA) führen sowie wesentliche bestehende und geplante Auslagerungen regelmäßig melden. Teilweise ist hierfür eine Neustrukturierung des Auslagerungsmanagements und der Prozesse – auch an Schnittstellen zu Dienstleistern – erforderlich.

Die Referenten berichten zur ihren Erfahrungen aus der Praxis und geben Praxistipps und Abgrenzungshinweise.