Prüfung (IT-)Auslagerungen (MaRisk) & (IKT-)Drittdienstleistungen (DORA)

• Einbeziehung neuer DORA-Anforderungen in die Prüfungsplanung für die Prüfung von IKT-Drittdienstleistungen 
• Abgrenzung Auslagerungen zu IKT-Dienstleistungen: Häufige Mängel, vermeidbare Feststellungen und neue IKT-Prüffelder 
• Beurteilung der Ordnungsmäßigkeit der organisatorischen Ausgestaltung des Auslagerungsmanagements und der (IT-)Dienstleister-Steuerung 
• Prüfung der Funktionsfähigkeit /Ordnungsmäßigkeit der Prozesse des Dienstleisters sowie der Wirksamkeit der Dienstleister-Revision

Aufgrund gestiegener Auslagerungsrisiken – insbesondere im Bereich der IKT-Dienstleistungen – hat die Aufsicht die regulatorischen Anforderungen durch DORA deutlich verschärft und das Thema (IT-)Auslagerungen bzw. IKT-Dienstleistungen zu einem Prüfungsschwerpunkt erklärt. 

Aktuelle Prüfungen haben häufig zu wesentlichen Feststellungen geführt und große Schwachstellen identifiziert. Die Prüfung und Beurteilung der Auslagerungsrisiken durch das Auslagerungsmanagement und die Dienstleistersteuerung muss daher verbessert und nach Wesentlichkeitsgesichtspunkten ausgerichtet werden 

Insbesondere die neuen DORAAnforderungen sind in den Steuerungsprozessen abzubilden. Interne Revision und externe Prüfer*innen haben ihrerseits eine Beurteilung der Ordnungsmäßigkeit der organisatorischen Ausgestaltung des Auslagerungsmanagements und der (IKT-)Dienstleister-Steuerung vorzunehmen. 

Die zusätzlichen Anforderungen durch die neuen DORA-Vorgaben und Lieferkettenrisiken bei Auslagerungen und Fremdbezügen sind ebenfalls zu berücksichtigen und in die Prüfungsplanung einzubeziehen. 

Die Referenten berichten aus der Aufsichts- und Prüfungspraxis zu konkreten Prüfungsansätzen für ausgewählte Prüffelder im Bereich (IT-)Auslagerungen und (IKT-)Drittdienstleistermanagement.