MaRisk: BaFin nimmt regulatorische Anforderungen bei Outsourcing unter die Lupe

Zwei Jahre ist es schon her, da veröffentlichte die BaFin in einem Rundschreiben an alle Kreditinstitute und Finanzdienst­leistungs­institute die überarbeitete Fassung der MaRisk. Doch auch heute erfüllen nicht alle Institute die regulatorischen Anforderungen an die Auslagerung wesentlicher Aktivitäten und Prozesse – sagt das TME Institut im Whitepaper “Vendormanagement – Das Auslagerungsmanagement im Fokus der regulatorischen Anforderungen”(PDF).

Stephan Paxmann, erster Vorsitzender des TME Instituts, die aktuelle Situation zusammen und prognostiziert: „Bereits im August 2013 hat die Bundesanstalt in ihrem ‚BaFin Journal‘ angekündigt, das Thema Outsourcing künftig verstärkt anzugehen. Viele Institute haben jedoch bislang kein ganzheitliches Vendormanagement implementiert. Dies wird vermehrt zu Beanstandungen im Rahmen einer Prüfung gemäß § 44 KWG führen.“ Die BaFin nehme insbesondere die Prüfungsberichte zum Jahresabschluss unter die Lupe und untersuche dabei die Qualität und Vollständigkeit der Angaben zu wesentlichen Auslagerungen.

MaRisk verlangt bei Outsourcing wirksames Risikomanagement durch das Institut

Welche Auslagerungen von Aktivitäten und Prozessen unter Risikogesichtspunkten wesentlich sind, müssen die Institute auf der Grundlage einer Risikoanalyse eigenverantwortlich festlegen. Die betreffenden Auslagerungsunternehmen (Vendoren) fallen damit gemäß § 44 Abs. 1 KWG automatisch unter das Prüfrecht der BaFin bzw. der Deutschen Bundesbank. Doch auch bei einem Outsourcing „muss ein angemessenes und wirksames Risikomanagement durch das Institut gewährleistet bleiben, das die ausgelagerten Aktivitäten und Prozesse einbezieht“, fordert § 25b Abs. 1 KWG. „Sowohl der § 25b KWG als auch der AT 9 der MaRisk besagen eindeutig, dass die Verantwortung der Geschäftsleitung nicht an die Vendoren delegiert werden kann“, präzisiert Paxmann die rechtliche Haftungsfrage.

Risiko-, Qualitäts-, Vertrags- und Strategisches Vendormanagement

Damit die Institute die mit dem Outsourcing verbundenen Risiken angemessen steuern und die Ausführung ordnungsgemäß überwachen können, reichen der vorgeschriebene Auslagerungsvertrag und klare Verantwortlichkeiten allein nicht aus. „Ein ganzheitliches Vendormanagement umfasst vier Kernbereiche: Risikomanagement, Qualitätsmanagement, Vertragsmanagement und Strategisches Vendormanagement“, erklärt Ulrich Schultheis, Consulting Manager bei der TME AG. „Eine verbindende Strategie definiert dabei die Mindeststandards, die für alle Auslagerungen und eventuelle Subauslagerungen zwingend gelten.“ Passgenau auf die Prozesse und Systeme des jeweiligen Instituts zugeschnitten, könne mit der Einführung eines ganzheitlichen Vendormanagements jedoch nicht nur den regulatorischen Anforderungen entsprochen, sondern Optimierungspotenziale erschlossen werden. „Hierfür sollte die Unterstützung eines erfahrenen Beraters gesucht werden, der den Umstellungsprozess in allen Kernbereichen begleitet“, empfiehlt Schultheis. Weitere nützliche Informationen enthält das Whitepaper „Vendormanagement – Das Auslagerungsmanagement im Fokus der regulatorischen Anforderungen“, das auf der Website der TME AG im Bereich „Publikationen – Financial Services“ kostenlos als PDF heruntergeladen werden kann.