DORA-konforme Dienstleister-Steuerung bei DL-Konzentrationen & Weiterverlagerungen

• Aufsichtskonformer und risikoadäquater Umgang mit Weiterverlagerungen und Outsourcing-Konzentrationsrisiken
• Geeignetheitsprüfung des Sub-Dienstleisters gemäß DORA
• Wesentlichkeitsbeurteilung und Risikoanalyse von Sub-DL
• Herausforderungen bei (wesentlichen) Weiterverlagerungen an IKT-Dienstleister und Cloud-Service-Provider
• Identifizierung, Steuerung und Überwachung von (Konzentrations-)Risiken bei Auslagerungen im ZAM

An die Steuerung von Weiterverlagerungen, Unterauftragsvergaben und Outsourcing-Konzentrationsrisiken werden mit MaRisk und DORA weitreichende Anforderungen formuliert, da Aufsichts-Prüfungen in diesem Bereich teilweise zu schwerwiegenden Feststellungen geführt hatten – insbesondere bei Weiterverlagerungen von IKT-Dienstleistungen, die oft in Drittstaaten erfolgen.

Weiterverlagerungen entbinden das ursprüngliche Auslagerungsunternehmen nicht von seinen Berichtspflichten. Dabei sind auch alle sonstigen eingegangenen Verpflichtungen auf den Subunternehmer zu übertragen, damit keine Verwässerung der Risiken erfolgt.

Das ursprünglich auslagernde Institut muss anhand einer Risikoanalyse bewerten, welche (wesentlichen) Risiken mit einer Weiterverlagerung verbunden sind und ob alle Rechte und Pflichten erhalten bleiben. Die Ergebnisse der Risikoanalyse sind in der Auslagerungs- und Risikosteuerung zu beachten.

Dabei sind alle für das Institut relevanten Aspekte im Zusammenhang mit der Weiterverlagerung zu berücksichtigen einschließlich möglicher Risikokonzentrationen aufgrund mehrerer Auslagerungsvereinbarungen mit demselben Dienstleister.

Die Referent*innen geben ausschließlich ihre persönliche Auffassung und nicht die eines bestimmten Instituts, der Bundesbank, der BaFin oder einer anderen Aufsichtsbehörde wieder. Die Referent*innen nehmen auch keine offizielle aufsichtliche Auslegung regulatorischer Sachverhalte vor.