Auslagerungsmanagement / TPRM
Grundlagen
Ausgangssituation:
Auslagerungen sowie der Bezug von IKT-Dienstleistungen gehören zu den am strengsten regulierten Themen im Finanzsektor: MaRisk verlangt seit Langem ein strukturiertes Auslagerungsmanagement, DORA hat die Anforderungen an das Management von IKT-Drittparteirisiken zusätzlich verschärft und erweitert. Werden Auslagerungsentscheidung, Risikobewertung und laufende Überwachung nicht durchgängig auf derselben Datenbasis geführt, entstehen schnell Lücken zwischen dem, was formal genehmigt wurde, und dem, was tatsächlich im Betrieb überwacht wird. Die ACONO TopEase Auslagerungsmanagement Konfiguration bildet den gesamten Prozess – von der ersten Kategorisierung bis zur laufenden Überwachung – auf einer gemeinsamen Datenbasis ab.
Für wen ist dieser Use Case relevant?
Dieser Use Case ist insbesondere relevant für:
- Sämtliche Unternehmen unter DORA, für die ein Auslagerungsmanagement Teil des regulatorisch geforderten IKT-Drittparteienmanagement ist, z.B:
- Banken, u.a. Privatbanken, Förderbanken, Kreditinstitute, …
- Wertpapierfirmen
- Betreiber von Handelsplätzen / Börsenbetreiber
- Anbieter von Krypto-Dienstleistungen
- Asset Manager
- Versicherungsunternehmen und Rückversicherer
- sowie weitere…
- Organisationen, die neben der eigentlichen Auslagerung auch Sub-Dienstleister und deren Risiken nachvollziehbar erfassen und überwachen möchten
Konsequenzen bei Nichthandeln unter DORA
Eine unzureichende oder inkonsistente Kategorisierung und Risikobewertung von Auslagerungen kann dazu führen, dass wesentliche Auslagerungen nicht als solche erkannt und dementsprechend nicht mit den erforderlichen Kontroll- und Überwachungsmaßnahmen versehen werden. Dies kann möglicherweise zu aufsichtsrechtlichen Findings führen.
Wir sind keine Rechtsanwaltskanzlei und können und wollen an dieser Stelle keine rechtsverbindliche Einschätzung Ihrer individuellen Situation abgeben; für eine belastbare rechtliche Bewertung empfehlen wir die Hinzuziehung einer entsprechenden Rechtsberatung. Unabhängig von der rechtlichen Einordnung bedeutet eine nachträgliche, unstrukturierte Aufarbeitung des Auslagerungsbestands vor einer Prüfung regelmäßig erheblichen Aufwand.
Regulatorische Grundlagen
Die Anforderungen an das Auslagerungsmanagement ergeben sich im deutschen Finanzsektor primär aus MaRisk AT 9, ergänzt um die Anforderungen von DORA an das Management von IKT-Drittparteirisiken.
Disclaimer: Regulatorische Vorgaben und deren Versionsstände entwickeln sich regelmäßig weiter, analog der TopEase Solution Landscape. Daher sollte dieser Überblick nicht als abschließende oder rechtsverbindliche Auslegung verstanden werden, sondern einen ersten rechtlich unverbindlichen Orientierungsrahmen für interessierte GRC End-Nutzer und Entscheider bieten – siehe hierzu auch unseren allgemeinen Hinweis zu Wiki-Inhalten.
Aufbau der ACONO TopEase Auslagerungsmanagement Konfiguration
Kern der Lösung sind zwei zentrale Objekte: das Sachverhaltsobjekt (auch als Service bezeichnet), an dem sämtliche für eine Auslagerung relevanten Informationen erfasst werden, und das Dienstleisterobjekt, an dem die Basisdaten zum jeweiligen Dienstleister unabhängig von der konkreten Auslagerung geführt werden. Weitere Verbindungen welche u.a. im Kontext des Informationsregisters oder des Vertragsmanagements notwendig sind, können in der Auslagerungs-Solution durchgeführt werden.
Der fachliche Ablauf gliedert sich in mehrere aufeinander aufbauende Schritte:
a) Kategorisierung
b) Durchführung der Risikoabschätzungen
c) Regelmäßige und anlassbezogene Prüfung
Für detaillierte Informationen zur Durchführung und Konfigurationsoptionen sowie zum Erhalt einer ausführlichen Unterlage zur Solution kontaktieren Sie uns bitte via Email oder vereinbaren einen Termin.
Es ist darüber hinaus möglich, eigene kundendindividuellen Schritte und Workflows in der Auslagerungsmanagement-Solution darzustellen. Die Solution ist grundsätzlich auf Multi-Compliance ausgelegt, u.a. auf MaRisk sowie DORA.
Integrierbarkeit und Erweiterbarkeit
Das Auslagerungsmanagement lässt sich sowohl eigenständig (Stand-alone) betreiben als auch vollständig in eine bestehende TopEase-Plattform integrieren – etwa unter Nutzung von BCM- und ISM-Modulen zur Bewertung der Schutzbedarfe von Auslagerungsgegenständen oder des Vertragsmanagements als zentraler Vertragsverwaltung.
Auslagerungsregister, Register of Information
Für das nach DORA erforderliche Informationsregister (Register of Information) liefert die Lösung die fachlichen Grundlagen; die eigentliche Erstellung des Informationsregisters erfolgt in einer separaten Register-of-Information-Solution auf derselben Plattform (optionale Lizenz, kontaktieren Sie uns für ein Angebot). Sofern bereits ein separates Dienstleister- oder Lieferantenmanagementsystem im Einsatz ist, lässt sich auch dieses an TopEase anbinden.
Vernetzung mit zentralen Risikomanagement / OpRisk / NFR
Die aus den Assessments ermittelten Risiken lassen sich an eine auslagerungsspezifische Risk-Solution oder an ein zentrales, unternehmensweites Risikomanagement (zentrales OpRisk / NFR) übergeben. So werden Auslagerungsrisiken Teil desselben konsolidierten Risikobilds wie andere operationelle Risiken, statt in einer isolierten Auslagerungsakte zu verbleiben. Bei Fragen zur Risikokonsolidierung kontaktieren Sie uns bitte.
Sie starten nicht bei null
Die Musterkonfiguration von ACONO basiert nicht nur auf den regulatorischen Vorgaben, sondern auch auf good practices sowie auf Erfahrungswerten aus Prüfungsfindings zu prozessualen, nicht softwarespezifischen Verfahren im Auslagerungsmanagement. Die Konfiguration lässt sich institutsspezifisch anpassen: weitere Assessments lassen sich ergänzen, Workflows (etwa um zusätzliche Genehmigungsstufen) durch ACONO erweitern, und Fragen sowie die dahinter stehende Fragenlogik individuell definieren.
Abgrenzung zu Alternativen
Ein Auslagerungsregister auf Basis von Excel-Listen stößt spätestens dann an seine Grenzen, wenn Subdienstleister, wiederkehrende Reviews und die Verknüpfung zu Verträgen und Schutzbedarfen konsistent nachgehalten werden müssen. Eine in Excel oftmals übliche Ja/Nein-Bewertung bildet zudem regulatorisch geforderte, granulare Wesentlichkeitseinstufungen nur unzureichend ab – ein Vorteil, den die abgefasste Bewertung mittels Punktelogiken in TopEase von Beginn an mitbringt. ACONO unterstützt Sie hierbei im Aufbau der Logiken mittels Templates.
Nutzen für Ihr Unternehmen
Ein durchgängig in TopEase abgebildetes Auslagerungsmanagement schafft eine konsistente, jederzeit aktuelle Sicht auf Auslagerungen, Dienstleister und Subdienstleister, macht wesentliche Auslagerungens sowie deren Wesentlichkeitseinstufung nachvollziehbar statt pauschal und stellt sicher, dass Kategorisierung, Risikobewertung und laufende Überwachung auf derselben Datenbasis erfolgen – statt in getrennten Werkzeugen auseinanderzudriften.
Der besondere Mehrwert von ACONO liegt dabei in der durchgängigen Betreuung aus einer Hand: Als Management- und Technologieberatungsunternehmen begleitet ACONO Sie nicht nur bei der fachlichen Konzeption und technischen Umsetzung Ihres Auslagerungsmanagements in TopEase, sondern auch bei dessen Verzahnung mit Vertragsmanagement, Schutzbedarfsanalyse und dem Register of Information.
Gerne teilen wir auf Anfrage weitere Erfahrungswerte und Referenzen aus vergleichbaren TopEase-Projekten mit Ihnen.
Weiterführend / Integration des Auslagerungsmanagements in Ihr Unternehmen
Mehr zu den angrenzenden Themen finden Sie auf den jeweiligen Lösungsseiten zu Vertragsmanagement, Register of Information sowie ISMS und BCMS.
Wie sich Ihr bestehendes Auslagerungsmanagement mit den Anforderungen von MaRisk und DORA durchgängig abbilden lässt, besprechen wir gerne in einem unverbindlichen Gespräch mit Ihnen.