Foto: Tashatuvango - shutterstock.com
Die 5. Novelle der MaRisk hat die Vertragsgestaltung für die Institute nicht erleichtert, obwohl der Wortlaut vermeintlich zunächst Klarheit schafft. Das Entscheidungskriterium für die Einhaltung der Anforderungen nach § 25b KWG sowie nach AT 9 MaRisk ist das Vorliegen einer wesentlichen Auslagerung. Maßgeblich die Einstufung als (IT-)Auslagerung sind folgende Kriterien:
Notwendig ist der funktionaler Zusammenhang der auszulagernden Leistung mit einem Bankgeschäft, einer Finanzdienstleistung oder einer sonstigen institutstypischen Dienstleistung.
Gegenstand darf nicht der nur einmalige, gelegentliche Fremdbezug einer Leistung sein (Nachhaltigkeit);
Die auszulagernde Leistung muss ansonsten vom Institut selbst erbracht werden.
Ob eine Auslagerung wesentlich ist, hat nach AT 9 TZ. 2 MaRisk das Institut auf der Grundlage einer Risikoanalyse unter Risikogesichtspunkten eigenverantwortlich festzulegen. Diese Risikoanalyse muss im Vorfeld der Auslagerung durchgeführt und während der Laufzeit der Auslagerung kontinuierlich wiederholt werden.
Wurden bisher IT-Leistungen "fremdbezogen", kam es darauf an, ob und wenn ja, in welchem Maße sie in einem funktionalen Bezug zu den institutsspezifischen Leistungen standen. Wesentlich für die Einordnung als Auslagerung im Sinne der MaRisk war der funktionale Zusammenhang mit einem Bankgeschäft, einer Finanzdienstleistung oder einer sonstigen institutstypischen Dienstleistung.
Wurden beispielsweise Teile der IT fremdbezogen, die in einem direkten Zusammenhang mit den institutsspezifischen Leistungen standen, wie beispielsweise der Rechenzentrumsbetrieb eines Kernbankensystems oder die Verlagerung von für die institutsspezifischen Leistungen wesentlicher IT-Infrastruktur oder Applikationen in die Cloud, lag in der Regel eine (wesentliche) Auslagerung vor. Der Fremdbezug von Software und die für den operativen Einsatz typischerweise erforderlichen Projektleistungen (Anpassung und Implementierung) sollen nicht unter den Begriff der Auslagerung fallen.
Die Ausnahme von der Ausnahme
Von dieser Ausnahme, die auf den ersten Blick Projektverträge und Softwarepflegeverträge den Anforderungen der MaRisk entzieht, macht die MaRisk aber eine entscheidende Ausnahme: Bei Software, die zur Identifizierung, Beurteilung, Steuerung, Überwachung und Kommunikation der Risiken eingesetzt wird oder die für die Durchführung von bankgeschäftlichen Aufgaben von wesentlicher Bedeutung ist, sind Unterstützungsleistungen als Auslagerung einzustufen.
Anbieter von
Gesamtbankenlösungen,
Applikationen für das Kreditriskomanagement,
Handels- und Wertpapiersysteme,
Anwendungen für Risikomanagement und Controlling
bieten Produkte, die im Regelfall unter diese Ausnahme der Ausnahme fallen. Die wesentliche Bedeutung für die bankgeschäftlichen Aufgaben kann zum Beispiel am Risiko eines etwaigen Ausfalls der entsprechenden Leistungen festgemacht werden. Hinweise liefern kann ebenfalls die Schutzbedarfseinstufung der Software.
- Zeitfresser
Mehr als sechs Stunden pro Arbeitswoche verliert jeder Mitarbeiter in kleinen mittelständischen Unternehmen aufgrund mangelhafter oder fehlender Technik. So lautet eines der Ergebnisse einer repräsentativen Umfrage durch OnePoll unter 1.000 Angestellten in Unternehmen mit einer Größe von bis zu hundert Mitarbeitern. Teamleader hat zudem untersucht, bei welchen tagtäglichen Aufgaben Mitarbeiter besonders viel Zeit verlieren.
Mit einem professionellen Projekt- und Rechnungsmanagement samt einer vernünftigen Kommunikationsplattform würden Mittelständler die meiste Zeit einsparen: Vor allem die Abstimmung von Angeboten, Konzepten, oder Verträgen mit Kunden frisst unnötig Zeit. Mehr als ein Viertel der Befragten (26%) sieht ein bis zwei Stunden Einsparpotenzial pro Woche, fast ein Fünftel (19,5%) sogar drei bis fünf Stunden.
Wer über ein professionelles Customer Relationship Management-Tool verfügt kann in der Woche im Schnitt eine Stunde und 20 Minuten einsparen – in 15 Prozent der Unternehmen gar drei bis fünf Stunden.
Weiteres Optimierungspotenzial sehen die Befragten beim Terminmanagement, bei der Zeiterfassung und beim Dateimanagement (jeweils mehr als eine Stunde pro Woche).
Viel Zeit könnten Mittelständler auch einsparen, wenn sie mehr Aufgaben automatisieren würden. Genau ein Drittel der Belegschaft verbringt ein bis zwei Stunden pro Woche damit, Aufgaben manuell zu erledigen, für die es technische Lösungen gäbe.
Fehlende Schnittstellen zwischen Anwendungen kosten fast eben so viel Zeit: 31 Prozent verbringen ein bis zwei Stunden mit dem Übertragen von Daten.
Weil Software nicht nutzerfreundlich genug ist, geht im Schnitt mehr als eine Stunde pro Woche pro Mitarbeiter verloren.
Ebenfalls mehr als eine Stunde könnten Mittelständler einsparen, wenn sie Anwendungen auch mobil bereitstellen würden. „Chefs müssen ja nicht alles auf einmal angehen“, so Jeroen De Wit, CEO von Teamleader. „Wer aber seine Software nach und nach optimiert, kann mehr als einen halben Tag pro Woche herausholen.“
Wann liegt eine Auslagerung vor?
Das bislang einschlägige Kriterium des funktionalen Zusammenhangs schlägt sich auch in der nunmehr von der BaFin für die Beschaffung von IT vorgenommenen Abgrenzung nieder. Diese ist gegeben, soweit es um die
Identifizierung,
Beurteilung,
Steuerung,
Überwachung und
Kommunikation
von Risiken des Instituts oder um Tätigkeiten geht, die für die Durchführung von bankgeschäftlichen Aufgaben von wesentlicher Bedeutung sind.
Problematisch dürfte allerdings die Feststellung werden, unter welchen Voraussetzungen diese Kriterien denn tatsächlich nicht mehr erfüllt wären. Es dürfte bei den beaufsichtigten Instituten nur relativ wenige IT-Beschaffungen geben, die nicht zumindest mittelbar zu den oben aufgeführten Punkten beitragen oder für die Durchführung von bankgeschäftlichen Aufgaben von wesentlicher Bedeutung sind.
Solange hier in der Prüfungspraxis keine (restriktive) Konkretisierung erfolgt, ist davon auszugehen, dass bei IT-Beschaffungen zukünftig relativ schnell das Vorliegen einer Auslagerung seitens der Institute angenommen werden wird und die Verträge entsprechend gestaltet werden müssen.
Die Bedeutung der MaRisk endet allerdings nicht bei der Ergänzung der Vertragstexte, sondern auch beim Aufbau der entsprechenden Prozesse auf Seiten des Softwareanbieters.
Unabhängig von der Einstufung als Auslagerung hat das Finanzinstitut beim Bezug von Software folgende aufsichtsrechtliche Anforderungen zu erfüllen:
Gemäß AT 7.2 TZ 4 sind für jeden Softwarebezug die damit verbundenen Risiken zu bewerten.
Die Verpflichtung zur Risikobewertung ergibt sich auch aus Modul 8 der BAIT.