Zum Inhalt springen
Dr. Marlen Hofmann
Menü

Die DORA-Verordnung formuliert eine Vielzahl von Anforderungen an die Ausgestaltung von Strategien, Richtlinien, Prozessen und Rollen in Finanzunternehmen

Die DORA-Verordnung formuliert eine Vielzahl von Anforderungen an die Ausgestaltung von Strategien, Richtlinien, Prozessen und Rollen in Finanzunternehmen. In diesem Beitrag nehme ich ganz konkret die Anforderungen an die Rolle des Leitungsorgans unter die Lupe.

Die DORA-Verordnung formuliert eine Vielzahl von Anforderungen an die Ausgestaltung von Strategien, Richtlinien, Prozessen und Rollen in Finanzunternehmen
Die DORA-Verordnung formuliert eine Vielzahl von Anforderungen an die Ausgestaltung von Strategien, Richtlinien, Prozessen und Rollen in Finanzunternehmen
Die DORA-Verordnung formuliert eine Vielzahl von Anforderungen an die Ausgestaltung von Strategien, Richtlinien, Prozessen und Rollen in Finanzunternehmen
Die DORA-Verordnung formuliert eine Vielzahl von Anforderungen an die Ausgestaltung von Strategien, Richtlinien, Prozessen und Rollen in Finanzunternehmen
Die DORA-Verordnung formuliert eine Vielzahl von Anforderungen an die Ausgestaltung von Strategien, Richtlinien, Prozessen und Rollen in Finanzunternehmen
Die DORA-Verordnung formuliert eine Vielzahl von Anforderungen an die Ausgestaltung von Strategien, Richtlinien, Prozessen und Rollen in Finanzunternehmen

Die DORA-Verordnung formuliert eine Vielzahl von Anforderungen an die Ausgestaltung von Strategien, Richtlinien, Prozessen und Rollen in Finanzunternehmen. In diesem Beitrag nehme ich ganz konkret die Anforderungen an die Rolle des Leitungsorgans unter die Lupe.

Einige dieser Anforderungen wurden bereits in diversen Fachbeiträgen diskutiert, doch mein innerer Monk will sich mit der Kurzfassung „die Verantwortung für das IKT-Risikomanagement liegt beim Leitungsorgan“ irgendwie nicht zufrieden geben.

Doch wie kommt man strukturiert an die konkreten DORA-Anforderungen an diese Rolle? Zu meinem Glück verzichten die Autoren des Regelwerkes auf begriffliche Stilblüten wie „Top-Management“ oder „Board of Directors“. Stattdessen verwenden sie immer den definierten Begriff „Leitungsorgan“ (engl. „management body“) gemäß Richtlinie 2013/36/EU. Damit ist das Verfahren zur Extraktion der Anforderungen recht simpel:

Schritt 1: Suche nach dem Begriff „management body“ in der DORA-VO und den zugehörigen Begleitdokumenten (RTS, ITS + GLs)

Schritt 2: Sammle alle zugehörigen Artikel und Quelltexte in einer Übersicht

Schritt 3: Interpretiere die Quelltexte nach bestem Wissen und Gewissen und formuliere (allgemeinverständliche) Anforderungen

Schritt 4: Sortiere die Anforderungen nach Aufgaben, Kompetenzen und Verantwortungen (AKV-Prinzip)

Das AKV-Prinzip erscheint mir als ein geeignetes Format, um die wesentlichen DORA-Anforderungen zu systematisieren:

  • Das Leitungsorgan wird angehalten, konkrete Aufgaben im Kontext des IKT-Risikomanagements wahrzunehmen oder zu initiieren.
  • Das Leitungsorgan muss über konkrete Kompetenzen im Sinne von Befugnissen, Fähigkeiten und verfügbaren Informationen besitzen, um seine Aufgaben sachgerecht umsetzen zu können.
  • Das Leitungsorgan trägt Verantwortung für konkrete, von der Aufsicht erwartete Ergebnisse und ist darüber rechenschaftspflichtig.

Das Ergebnis der Übung präsentiere ich euch im beigefügten OnePager, ergänzt um die kleine Randnotiz, dass bislang noch nicht alle DORA-Begleitdokumente final veröffentlicht wurden und sich die Übersicht ggf. nochmal verändern wird. Dennoch bin ich mir sicher, dass die ersten Erkenntnisse eine gute Grundlage bilden, um weitere Handlungsbedarfe in unseren Häusern zu identifizieren.

Ich freue mich auf zahlreiche Meinungen und Diskussionen, insbesondere auch zu meiner Interpretation der referenzierten Artikel und Quelltexte 😉

Aufgaben, Kompetenzen & Anford