IT-Prüfungen durch Bankenaufsicht & Revision

Häufig identifizierte Schwachstellen bei IT-Prüfungen in Banken und Sparkassen

• IT-Prüfungen in der Aufsichts-Praxis: Prüfungsschwerpunkte Informations-Sicherheits-Management, Informations- Risikomanagement und IT-Organisation
• Aktuelle aufsichtliche Anforderungen an die Benutzerberechtigungen und das IAM
• Prüfungsschwerpunkte und häufig identifizierte Schwachstellen/ Sicherheitslücken
• Im Fokus: Prüffelder Change-Management und Releasewechsel
• Prüfungen mit IT-Bezug durch die (IT-)Revision und den ISB – neue Prüffelder und neue Prüfungsansätze aufgrund konkretisierter BAIT-Anforderungen und Aufsichts-Erwartungen

Zunehmend wesentliche Feststellungen im Bereich der IT zwingen die Banken und Finanzdienstleister, sich mehr mit den bestehenden Schwachstellen und Mängeln ihrer IT-Systeme, IT-Prozessen, IT-Infrastruktur und IT-Organisation zu beschäftigen. Hierfür ist ein IT-IKS aufzusetzen und laufend zu überwachen.

Die MaRisk/BAIT sowie die EBA-Leitlinien zum ICT-/IKT-Risiko stellen zudem klar, dass das Informations-Sicherheits- Management weit über die reine IT hinausgeht und daher ein entsprechendes Risikomanagement breiter und tiefer verankert werden muss. Die Themen Informationssicherheit und Informations- Risikomanagement sind in vielen Instituten und Unternehmen lange oft nur stiefmütterlich behandelt worden. Das Bewusstsein der Mitarbeiter für diese Risiken ist teilweise nicht ausreichend vorhanden, was aktuell dazu führt, dass die Risiken in diesen Bereichen stark zugenommen haben.

Änderungen von IT-Systemen sind in geordneter Art und Weise aufzunehmen, zu dokumentieren, unter Berücksichtigung möglicher Umsetzungsrisiken zu bewerten, zu priorisieren, zu genehmigen sowie koordiniert und sicher umzusetzen. Hierfür benötigen die Institute ein passendes Changeund Releasemanagement. Auch für zeitkritische Änderungen von IT-Systemen sind geeignete Prozesse einzurichten.

Die Interne Revision/ IT-Revision hat die IT und die IT-Organisation sowie die damit zusammenhängenden Prozesse zu prüfen und darüber zu berichten.