Auslagerungen im Fokus von Aufsicht, MaRisk & BAIT

Erwartungen der Aufsicht – Umsetzung in der Auslagerungspraxis – Neue Anforderungen an ZAM und ZAB – Schwachstellen Risikoanalyse & Weiterverlagerungen – "DORA"-Auswirkungen

• Verschärfte Aufsichts-Vorgaben aufgrund zunehmend wesentlicher Feststellungen bei Auslagerungsprüfungen!
• Aufgaben und Verantwortungsbereiche des neuen Zentralen Auslagerungsbeauftragten (ZAB)
• Anforderungen an Risikoanalyse und Wesentlichkeitsbeurteilung
• Abgrenzung von Auslagerungen und sonstigem Fremdbezug
• Umsetzung der zusätzlichen Herausforderungen aus neuen MaRisk/ BAIT/EBA-Guidelines im zentralen Auslagerungsmanagement
• Aktuelle Anforderungen an den Aufbau, die Ausgestaltung und die Pflege eines Auslagerungsregisters & Cloud-Registers
• Neues Meldeverfahren für wesentliche Auslagerungen (MVP)

Die Aufgabenbereiche des Zentralen Auslagerungsmanagements (ZAM) sowie des neuen Zentralen Auslagerungs-Beauftragten (ZAB) bzgl. der risikoorientierten Steuerung der Auslagerungen und Fremdbezüge sind durch die neuen MaRisk & neuen BAIT stärker in den Fokus von Aufsicht, Revision und Compliance gerückt. Die neuen Rundschreiben setzen die weitreichenden Anforderungen aus der EBA-Guideline on Outsourcing um, die vom Umfang und den Detailgrad teilweise weit über die in den MaRisk bisher genannten Anforderungen hinausgehen.

Die neuen MaRisk und neuen BAIT stellen somit erhöhte Anforderungen an die Steuerung der mit den Auslagerungssachverhalten einhergehenden Risiken. Aber Insbesondere bei IT-Dienstleistungen, Softwareund Cloud-Nutzung ergeben sich Auslegungsfragen und Abgrenzungsschwierigkeiten in der Umsetzungspraxis und stellen dadurch die betroffenen Bereiche vor besondere Herausforderungen. In den Aufsichtsprüfungen werden vermehrt Schwachstellen und Mängel bei der Risikoanalyse und der Wesentlichkeitsbeurteilung identifiziert. Die Institute sind nun verpflichtet, ein Auslagerungsregister und Cloud- Register zu führen sowie bestehende und sich anbahnende wesentliche Auslagerungen regelmäßig an die Aufsicht zu melden. Teilweise müssen die Institute das Auslagerungsmanagement und ihre Auslagerungsprozesse – auch an den Schnittstellen zu den Dienstleistern – neu strukturieren, um die neuen Anforderungen zu erfüllen. Mit der Digital Operational Resilience Act (DORA) strebt die Aufsicht auch einen (direkten) Prüfungszugriff auf die Dienstleister an.

Die Referenten berichten aus der Prüfungsund Auslagerungspraxis und geben wertvolle Prüfungsansätze, Praxistipps und Abgrenzungshinweise.