Abgrenzung und parallele Steuerung von Auslagerungen (MaRisk) & IKT-Dienstl. (DORA)

• Paralleler Geltungsbereich von AT 9 MaRisk (Auslagerungen) und DORA (IKT-Dienstleistungen) – Abgrenzung und Prüfung in der Aufsichtspraxis
• Effektive Abgrenzung und Steuerung von Auslagerungen, sonstigen Fremdbezügen und IKT-Drittdienstleistungen
• Erweiterte Pflichten und Prüfungserfordernisse bei IKT-Drittdienstleistungen – Besonderheiten bei der Prüfung von Software- und Cloud-Dienstleistungen
• Erkenntnisse aus einer BaFin-Prüfung

Die Abgrenzung »Auslagerung oder sonstiger Fremdbezug« bei Dienstleistungen gem. MaRisk ist schwierig und stellte die betroffenen Bereiche bisher schon vor besondere Herausforderungen. Durch DORA wird nun zusätzlich die Kategorie »IKT-Drittdienstleistung« eingeführt, sodass die parallel geltenden, aber nicht deckungsgleichen Anforderungen von MaRisk und DORA nun mit einem noch höheren Steuerungsaufwand und höheren Auslagerungsrisiken einhergehen.

Nach den MaRisk stellt der »sonstige Fremdbezug« keine Auslagerung dar. Aber auch der sonstige Fremdbezug muss nachvollziehbar identifiziert und einer Risikoanalyse unterzogen werden, da aus dem sonstigen Fremdbezug auch eine Auslagerung oder eine IKT-Drittdienstleistung werden kann im Verlauf der Geschäftsbeziehung.

In jedem Fall ist eine umfassende Risikoanalyse bzw. -bewertung durchzuführen. Doch wie genau lassen sich Auslagerungen, sonstige Fremdbezüge und IKT-Drittdienstleistungen abgrenzen, unterscheiden und steuern? Die Prüfungserfahrung zeigt hier oft deutliche Unterschiede in der Vorgehensweise. Zunehmend ergeben sich wesentliche Feststellungen bei Aufsichtsprüfungen in diesem Themengebiet.

Die Referenten berichten aus der Prüfungs- und Auslagerungspraxis und geben wertvolle Prüfungsansätze, Praxistipps und Abgrenzungshinweise.