VA IT der BaFin: Bürokratie statt Praxishilfe

Die Informationstechnologie ist zum be­deu­tends­ten Treiber von Innovation geworden: Im Handel, in der Produktion, im Finanzgewerbe, ja fast überall. Mit dem neuen IT-Rundschreiben VA IT reagiert die BaFin auf eine Reihe von Missständen und Pannen in der Versicherungsbranche. Ein pragmatischerer Ansatz wäre wünschenswert gewesen.

von Michał Trochimczuk, Sollers Consulting

Gute Aufsicht sieht sich eher als Begleiter einer Branche denn als Hemmschuh. Sie liefert Rahmen für einen sinnvollen Wettbewerb und setzt Standards für zielführendes Management. Mit den Versicherungsaufsichtlichen Anforderungen an die IT ( VA IT ) betritt die BaFin Neuland.

Die VA IT wurden am 13. März veröffentlicht, das Konsultationsverfahren dauerte bis zum 20. April.

BaFin-Präsident Felix Hufeld hatte im Vorfeld die überalterten IT-Systeme und den zum Teil extremen Wildwuchs dieser Systeme kritisiert. Versicherer benötigen eine Systemlandschaft, die es ihnen erlaubt, flexibel mit anderen Umgebungen zu interagieren, sei es an der Kundenschnittstelle, sei es mit Dienstleistern im Back-End.”

Bei der Überwindung ihres IT-Erbes stehen die Versicherer aber erst am Anfang einer großen Bergtour. Es mag tröstlich für die deutschen Versicherer sein, dass sich die Unternehmen in anderen Ländern mit ähnlichen Problemen plagen, allerdings sind die Ausmaße viel geringer als hierzulande. Aus der Erfahrung krankt die Versicherer-IT in Deutschland an viel zu großer Komplexität in der Anwendungslandschaft und an einer Zurückhaltung gegenüber Standardsoftware. Eine Reihe von Versicherern haben in ihren IT-Projekten geräuschvoll Schiffbruch erlitten und unreife Systeme live geschaltet. Unzufriedene Kunden, empörte Vertriebspartner, wütende Mitarbeiter: Die Folgen sind ein Alptraum für jeden Manager. Die Fehlentwicklungen in IT-Umsetzungen haben folgende Ursachen:

1. Zu geringe Involvierung des Managements
2. Falsche Planung
3. Zu viel Mikromanagement
4. Zu wenig strategisches Management
5. Zu starre Projektumsetzung
6. Keine durchgehende Priorisierung
7. Ungeklärte Interessenkonflikte innerhalb des Unternehmens und in Kooperation mit anderen
8. Mangelhafte Koordination der Dienstleister

Die BaFin fordert in den VA IT von den Versicherern, neue Software vor der Live-Schaltung unabhängig zu testen und verlangt jetzt auch für die IT ein Risikomanagement. Das sind wichtige Schritte in die richtige Richtung.”

Doch im Großen und Ganzen konzentriert sich das Rundschreiben zu sehr auf Bürokratie und Verantwortlichkeiten und zu wenig auf Praxisnähe.

Sollmaßnahmen, Berechtigungen, Anforderungskataloge, Programme, Tests, Änderungen an den IT-Systemen, Störungen, Strategien für den Ausfall eines Dienstleisters, das alles befindet sich jetzt im Katalog der dokumentationspflichtigen Maßnahmen.

Die BaFin definiert Verantwortlichkeiten für die Strategie und Governance und schafft die Funktion des Informationssicherheitsbeauftragten. Dabei wäre weniger Hierarchie und mehr hands-on der wichtigste Schritt zur Fehlerbekämpfung. Weniger der angstvolle Blick auf das Risiko ist gefragt als der mutige Schritt nach vorne.

Polnische Finanzaufsicht KNF macht eine Art VA IT spürbar besser

Mit großer Praxisnähe ist die polnische Finanzaufsicht KNF (Komisja Nadzoru Finansowego) vorgegangen, als sie vor vier Jahren ihre Guidelines für die IT von Versicherungsunternehmen erarbeitet hat (Guidelines on the Management of Information Technology and ICT Environment Security – hier). Sie bieten Versicherern ein sehr detailreiches und praxisnahes Handbuch zum Management ihrer IT. Darin beschränkt sich die KNF nicht auf einen dürren Katalog von Einzelmaßnahmen, sondern gibt dem Management ein 46 Seiten starkes, holistisches Kompendium für das IT Management an die Hand. Es ist in Polen stark beachtet worden. Die KNF beschreibt in einzelnen Kapiteln folgende Dinge:

1. Management von Informationssystemen
2. Zusammenarbeit mit Dienstleistern
3. Personal und Schulungen
4. Datenmanagement
5. Angriffe von außen
6. End-user-Software
7. Ausfall von Schlüsselmitarbeitern
8. Nicht durchdachte Zusammenarbeit mit Dienstleistern
9. Aufbau von genügend eigenem Know-how beim Versicherer
10. Hinzuziehen externer Prüfer

Kunden erwarten von ihrem Versicherer vor allem eines: Stabilität und Zuverlässigkeit

Deshalb ist die Stabilität der IT-Systeme so wichtig für Versicherer. Umgekehrt hinterlassen reibungslose und schnelle Abläufe ein gutes Gefühl und sind nach dem persönlichen Kontakt der wohl wichtigste Faktor für die Steigerung der Empfehlungsbereitschaft.

Die Guidelines der KNF haben dazu beigetragen, die Stabilität der IT-Systeme bei den Versicherern in Polen zu erhöhen und das Vertrauen in die Versicherer zu stärken. Zugleich hat die IT-Modernisierung den Versicherern Polens geholfen, die IT als Innovationstreiber zu begreifen und zu nutzen. Das muss der deutsche Markt noch erreichen.”aj