Eigenanwendungen & IDV im Fokus der Aufsicht

Erweiterte Anforderungen aus neuer MaRisk & neuer BAIT – Verankerung der IDV-Richtlinie in den Arbeitsanweisungen – Testen und Genehmigung neu entwickelter/ veränderter Anwendungen

• Konkrete Erwartungen der Aufsicht an die Nutzung von Eigenanwendungen und IDV aus neuer MaRisk und neuer BAIT
• Häufige Feststellungen und identifizierte Schwachstellen in der Praxis
• Anforderungen an das IDV- und Anwendungsregister und Umsetzung von IDV-Richtlinien in Arbeitsanweisungen, Risikoanalysen und Schutzbedarfseinstufungen
• Rolle der (IT)-Revision im Umgang mit eigener Software, Excel und IDV
• Prüfung von Excel-Tools, IDV-Eigenanwendungen und Software- Auslagerungen
• Abnahmetest für neuentwickelte/veränderte Anwendungen

Zunehmend wesentliche Feststellungen im Bereich der Informationssicherheit und des Datenmanagements zwingt die Banken, sich mehr mit den Themen Individuelle Datenverarbeitung (IDV) und Eigenanwendungen bzw. selbst erstellter Software zu beschäftigen. Schlechte Ergebnisse der Aufsichts-Prüfungen bei Instituten und Rechenzentren haben dazu geführt, dass verschärfte Anforderungen an Eigenanwendungen und IDV in den neuen MaRisk und neuen BAIT im Rahmen der Umsetzung der EBA-Leitlinien zum ICT-/ IKT-Risiko Einzug erhalten haben.

Excel, IDV und "Schatten-IT" sind aber ein fester Bestandteil in nahezu allen Bank-Prozessen geworden. Ob selbst programmiert oder extern eingekauft, zunehmend werden IDV-Anwendungen in den Fachabteilungen implementiert und teilweise selbst administriert, deren Nutzung im Laufe der Zeit selbstverständlich und komplexer wird. Dies führt oft zu (operationellen) Risiken, die aber mangels Erfassung nicht im Risikomanagement abgebildet und gesteuert werden können!

Hier gilt es, aufsichtskonforme IDV-Richtlinien zu erstellen und prüfungssicher in den Arbeitsanweisungen zu implementieren. Alle bestehenden und genutzten IDV- und Eigenanwendungen im Institut müssen identifiziert, getestet und genehmigt werden vor der weiteren Verwendung. Die Risikoanalyse und Schutzbedarfsklassifizierung ist sauber aufzusetzen und zu dokumentieren.