viele von uns warten seit Langem auf klare und konsistente Regeln für das Management von IKT- und Non-IKT-Verträgen, denn die aktuelle Situation ist eher unbefriedigend

Liebe DORA-Community, viele von uns warten seit Langem auf klare und konsistente Regeln für das Management von IKT- und Non-IKT-Verträgen, denn die aktuelle Situation ist eher unbefriedigend. Wir haben die EBA-Guidelines zum Outsourcing, die europaweit einheitliche Anforderungen an das Drittparteienrisikomanagement von Finanzunternehmen stellen.

Liebe DORA-Community,

viele von uns warten seit Langem auf klare und konsistente Regeln für das Management von IKT- und Non-IKT-Verträgen, denn die aktuelle Situation ist eher unbefriedigend.

1. Wir haben die EBA-Guidelines zum Outsourcing, die europaweit einheitliche Anforderungen an das Drittparteienrisikomanagement von Finanzunternehmen stellen. Diese finden sowohl für (auslagerungsrelevante) IKT-Verträge als auch Non-IKT-Verträge Anwendung.
2. Auf nationaler Ebene gelten die Anforderungen aus MaRisk AT 9 Auslagerung. Auch sie beziehen sich auf alle Auslagerungsverträge – einschließlich solcher mit IKT-Bezug.
3. Mit dem Inkrafttreten von DORA gelten außerdem spezifische Anforderungen, die sich ausschließlich auf IKT-Verträge beziehen und zwar unabhängig davon, ob es sich um Auslagerungen handelt oder nicht.

Da viele IKT-Verträge zugleich unter die Kategorie der Auslagerungsverträge fallen, führt dies zu einer Mehrfachanwendbarkeit von Regularien. Konkret bedeutet das beispielsweise:

• Ein und derselbe Vertrag muss sowohl im Auslagerungsregister nach MaRisk als auch im Informationsregister nach DORA erfasst werden, oder
• Vertragsinhalte müssen gleichzeitig die Anforderungen an wesentliche Auslagerungen und die spezifischen Mindestinhalte für IKT-Verträge erfüllen.

Für alle Beteiligten ist das eine organisatorisch und rechtlich anspruchsvolle Situation. Doch nun zeichnet sich Licht am Ende des Tunnes ab:

Die Europäische Bankenaufsichtsbehörde (EBA) hat vor wenigen Tagen einen Konsultationsentwurf der neuen „Guidelines on the sound management of third-party risk“ veröffentlicht. Diese sollen die bisherigen Outsourcing Guidelines ablösen – und einheitliche Vorgaben für das Drittparteienrisikomanagement schaffen.

Das Ergebnis:

• ✅ Klare Vorgaben für Non-IKT-Verträge gemäß der neuen EBA-Guidelines
• ✅ Klare Vorgaben für IKT-Verträge gemäß DORA
• ✅ Bessere Abgrenzung und weniger Doppelregulierung

Wenn dieser Meilenstein auf europäischer Ebene gelingt, können wir vermutlich auch auf eine entsprechend angepasste MaRisk hoffen 😀

• 📖 Lesetipp: Eine spannende erste Auswirkungsanalyse der neuen EBA-Guidelines auf das Auslagerungsmanagement deutscher Kreditinstitute findet sich im Beitrag von Prof. Dr. Andreas Igl.

Habt einen guten Start in die neue Woche und bis bald!

Prof. Dr. Andreas Igl