Source: https://www.fc-heidelberg.de/category/itorga/it-regulatorik/
Timestamp: 2019-08-20 12:26:59+00:00

Document:
IT – Regulatorik Archive - Finanz Colloquium Heidelberg
28. August 2018 /0 Kommentare/in BestOf, Controlling, IT – Regulatorik, IT/Orga, Risikomanagement /von Claudia Merklinger
9. August 2018 /0 Kommentare/in IT – Regulatorik, IT – Revision / Datenqualität, IT/Orga, Revision /von ramona.steinmann
https://www.fc-heidelberg.de/wp-content/uploads/2018/02/Logo-FCH.png 0 0 ramona.steinmann https://www.fc-heidelberg.de/wp-content/uploads/2018/02/Logo-FCH.png ramona.steinmann2018-08-09 13:57:432019-04-23 15:24:08Datenqualität: Herausforderungen für die Interne Revision
10. Juli 2018 /0 Kommentare/in IT – Regulatorik, IT/Orga /von Claudia Merklinger
https://www.fc-heidelberg.de/wp-content/uploads/2018/02/Logo-FCH.png 0 0 Claudia Merklinger https://www.fc-heidelberg.de/wp-content/uploads/2018/02/Logo-FCH.png Claudia Merklinger2018-07-10 10:23:162019-04-23 15:24:21Die „Regulatory Sandbox“ – Ein Modell auch für das deutsche Bankaufsichtsrecht?
Die nachfolgend beschriebenen Aspekte werden im Service Level Management (SLM) gesteuert. Das SLM beschreibt den Prozess von der Erstellung und Verhandlung der Service Levels, über das Monitoring der Leistungserfüllung, das Reporting an zuständige Personen, bis hin zum kontinuierlichen Verbessern der Vertragsbestandteile und der Leistungsbeziehung. Oftmals kommuniziert ein Dienstleistungsgeber mit dem Auftraggeber nur über zwei Wege: die SLA-Reports und die Rechnungsstellung. Die Service Level sind vertraglich vereinbart. Der Dienstleistungsgeber kann in der Regelkommunikation, wie sie heute mehrheitlich praktiziert wird, überdurchschnittliche Leistungen nicht darstellen. Damit gerät er schnell in einen Jo-Jo-Effekt: Das Topmanagement des Kunden wird immer nur im Eskalationsfall – bei größerer SLA-Verletzung – einbezogen. Der Name des Dienstleisters fällt auf dieser Ebene stets zusammen mit “Negativschlagzeilen”. Dabei gründen auf den Reports wichtige Entscheidungen zum Controlling, zur Anpassung der Qualitätsanforderungen (etwa an neue Geschäftsprozesse und
-modelle) sowie im schlimmsten Fall über die Nutzung von Exit-Klauseln bei Schlechtleistung. Was sollte ein Reporting leisten, das einerseits den Kunden zufrieden stimmt, andererseits dem Dienstleister die Chance eröffnet, seinen Beitrag in der Outsourcing-Beziehung angemessen darzustellen? Zunächst muss es eine grundlegende Anforderung erfüllen: Die Berichte müssen alle Governance-Ebenen des Kunden – operativ, taktisch und strategisch – mit den für sie jeweils relevanten Informationen versorgen, und zwar durchgängig. Das heißt: Die Daten, die diese verschiedenen Sichten unterstützen, müssen von unten nach oben generiert werden. Die operative Ebene erhält technische Informationen. Erfüllt das Reporting die Governance-Anforderungen, sollte es außerdem drei Inhalte abdecken. Erstens: Die Leistung transparent machen. Zum “Pflichtteil” des Reportings gehört es, den Zusammenhang zwischen den Servicebeschreibungen und Qualitätsvereinbarungen, den erbrachten Leistungen sowie der Rechnung herzustellen. Dazu ist es sinnvoll, nochmals die verschiedenen Etappen einer Beziehung beim Outsourcing anzuschauen. Ausgangspunkt ist die Sourcing-Strategie. Aus ihr werden die Serviceschritte abgeleitet, und auf dieser Grundlage wird die Qualität der einzelnen Services festgelegt. Beides hat Einfluss auf das Preismodell, das zusammen mit dem Verbrauch des Kunden im betrachteten Zeitraum die Rechnungsstellung bestimmt. Das Reporting muss diesen Prozess spiegeln. Zweitens muss man dem Kunden weitere Perspektiven aufzeigen. Neben dem “Pflichtteil” sollte ein Report darüber informieren, inwieweit die Ziele, die ursprünglich die Outsourcing-Entscheidung bestimmt haben, erreicht wurden. Für eine Auslagerung kann es viele Gründe geben. Neben Kostensenkung und Qualitätssteigerung sind dies oft strategische Ziele: beispielsweise zufriedenere Anwender, technische Weiterentwicklung oder ein höherer Wertbeitrag der IT, indem diese Business-Prozesse optimiert oder die Voraussetzungen für neue Geschäftsmodelle schafft. Sie sind meist in der Präambel der Outsourcing-Verträge beschrieben. Dort ruhen sie, geraten oft in Vergessenheit und fehlen in den Berichten der Dienstleister. Ein nachhaltiges Reporting sollte die Entwicklung dieser Größen dokumentieren. Dazu müssen geeignete KPI (Key Performance Indicators / Leistungskennzahlen) entwickelt werden. Als Drittes sollte die Zielerreichung dokumentiert werden. Diese Messgröße ist für den Kunden vor allem in der Anfangszeit der Vertragsbeziehung sehr wichtig. Das Reporting sollte dokumentieren, ob der vertragliche Übergang wie geplant voranschreitet, ob die Kosten den Erwartungen entsprechen und die Qualität beim Wechsel vom alten auf den neuen Provider (oder aus der unternehmensintern in die externe Verantwortung) gehalten wird. Ein nachhaltiges Reporting hängt nicht nur vom Dienstleister ab, sondern auch von der Vorgehensweise des Kunden. Der Auftraggeber sollte zunächst seine Anforderungen klar und verbindlich definieren und sie dem Dienstleister mitteilen. Gemeinsam sollten beide Parteien dann festlegen, wie diese Ziele gemessen werden. Auf dieser Grundlage können sie das Reporting aufbauen und in der Governance verankern. In den SLA wird die Leistung definiert. Beispielsweise wird Verfügbarkeit in einem SLA definiert (Messung, Ausfallzeiten, Bezugsgrößen z.B. übliche Geschäftszeiten, Toleranzgrenzen usw.). Die Messung selbst ist ein Report. Dazu werden die Serviceleistungen des Outsourcingnehmers in Bezug gesetzt zu den Anforderungen des Auftraggebers. Zielsetzung bei der Beschreibung von SLAs ist es, eine Kosten-, Leistungs- und Qualitätstransparenz zu schaffen. Im Allgemeinen wird zwischen Rahmen-SLAs und Leistungsscheinen unterschieden. Dies wird in der Praxis sehr unterschiedlich gehandhabt. SLA sind nicht normiert, können auch Teile von Leistungsscheinen sein oder in Verträge eingearbeitet sein. Rahmen-SLAs treffen dabei Aussagen zu den qualitativen und quantitativen Aspekten der ausgelagerten Leistungen, Leistungsscheine bestimmen detailliert die bereits oben dargestellten Merkmale der Leistungen. Bei Rahmen-SLAs, die durch eine Mehrzahl an Leistungsscheinen spezifiziert werden, vereinbaren die Parteien üblicherweise einheitliche Bewertungsmaßstäbe für alle Leistungen, anhand derer die Qualität der Dienstleistung gemessen werden kann. Leistungsstörungen können einerseits vom Dienstleistungsnehmer gemeldet werden, wenn sich Ungereimtheiten im Abgleich der erbrachten Leistungen gegen die entsprechenden Soll-Werte zeigen, andererseits durch den Dienstleister, indem er nach MaRisk AT 9 auf Verfehlungen hinweist, die in seinem Verschulden oder in mangelhafter Qualität der Vorleistung des Dienstleistungsnehmers liegen.
Neben dem Management der Überwachungsgrößen ist deren Kommunikation und Reporting Bestandteil dieser Aktivität. Die Reportinginformationen sollten sich an den Anforderungen orientieren und unterschiedliche Hierarchiestufen integrieren. Zur Verbesserung der Qualität der erbrachten Leistungen und der Zusammenarbeit wird ein periodischer oder dynamischer Optimierungsvorgang durchlaufen. Die Funktion „Dienstleistersteuerung” ist für die grundsätzliche Regelung der Leistungsbeziehung zwischen Institut als Abnehmer und einem dritten Dienstleister als Ersteller der Leistung verantwortlich. Im Fokus steht dabei zunächst – sofern relevant – die Erfüllung sämtlicher aufsichtsrechtlicher Anforderungen gemäß § 25a Abs. 2 KWG in Bezug auf die Auslagerung von Bank- und Finanzdienstleistungen. Eine sinnvolle Methode für eine solche Prüfung ist die regelmäßige Durchführung einer Zertifizierung nach IDW PS 951 Typ 2 durch einen Wirtschaftsprüfer. Die Berichterstattung nach IDW PS 951 ist explizit auf die Erfüllung der Anforderungen aus IDW PS 331 abgestellt. Insbesondere bei Mehrmandantendienstleistern bietet die Berichterstattung nach IDW PS 951 eine effiziente Prüfungsdurchführung, da die Abschlussprüfer der auslagernden Unternehmen i.d.R. keine eigenen Prüfungshandlungen beim Dienstleistungsunternehmen mehr durchführen müssen. Darüber hinaus kümmert sich die Dienstleistersteuerung im Sinne einer ganzheitlichen Steuerung der Leistungsbeziehung auch um die Wahrung der wirtschaftlichen Interessen bzgl. der Leistungsbeziehung.
Das KWG verlangt von der Bank eine ordnungsgemäße Geschäftsorganisation. Die ordnungsgemäße Geschäftsorganisation einer Bank muss insbesondere ein angemessenes und wirksames Risikomanagement umfassen, auf dessen Basis die Bank die Risikotragfähigkeit laufend sicherzustellen hat. Eine Auslagerung darf weder die Ordnungsmäßigkeit dieser Geschäfte und Dienstleistungen noch die Geschäftsorganisation im Sinne des § 25a Abs. 1 KWG beeinträchtigen. Insbesondere muss ein angemessenes und wirksames Risikomanagement durch das Institut gewährleistet bleiben, welches die ausgelagerten Aktivitäten und Prozesse einbezieht. Zuerst stellt sich die Frage, was eigentlich unter dem Begriff Risiko zu verstehen ist. An dieser Stelle soll deshalb der Risikobegriff erläutert werden und ein Überblick über die Risiken des IT-Outsourcings gegeben werden. Das Wort Risiko hat seinen Ursprung im frühitalienischen Wort „risicare“, das übersetzt „etwas wagen“ bedeutet. Obwohl sich zahlreiche Veröffentlichungen mit der Risikoproblematik wirtschaftlichen Handelns beschäftigen, gibt es trotz der Fülle keine einheitlich allgemeingültige Definition des Risikobegriffs. Bevor nun auf die Methoden des Risikomanagements eingegangen wird, soll zunächst geklärt werden, was unter dem Begriff des „Risikomanagements“ zu verstehen ist. Ähnlich wie beim Risikobegriff, gibt es in der Literatur auch zum Begriff des “Risikomanagements” eine Vielzahl an Definitionen. Prinzipiell ist Risikomanagement eine systematische Vorgehensweise im Umgang mit Risiken. Für ein besseres Verständnis helfen allgemeine Definitionen. In einer allgemeineren Definition werden unter Risiko- Management “alle erforderlichen Aufgaben und Maßnahmen zur Risikobekämpfung“ verstanden. Aufgabe des Risikomanagements ist es also, die wesentlichen Risiken, die den Unternehmenserfolg oder -bestand gefährden, frühzeitig zu erkennen und Gegenmaßnahmen zu treffen. Risiken können dabei in sehr zahlreichen Erscheinungsformen auftreten. Das IT-Risikomanagement ist ein Teil des Information Security Management Systems (ISMS) und befasst sich mit der Analyse und Bewertung von Risiken. Dieses Vorgehen generiert einen Mehrwert für das Unternehmen und seine Kunden, indem es die Umsetzung von Schutzmaßnahmen abhängig von der Höhe des Risikos macht. Dadurch wird es leichter, ein angemessenes Sicherheitsniveau zu finden, zu erreichen und zu halten. Dieses Vorgehen ist wirtschaftlich sinnvoller als starre Vorgaben in Form von komplett umzusetzenden Maßnahmenkatalogen. Im Rahmen des IT-Risikomanagements werden nur Risiken betrachtet, die die vier Schutzziele der IT (Verfügbarkeit, Integrität, Vertraulichkeit und Authentizität) bedrohen. Risikomanagement hat zum Ziel, fatale, sprich existenzgefährdende, Schäden für das Unternehmen möglichst zu verhindern. Die Steuerung von IT-Risiken muss in Übereinstimmung mit der Unternehmensstrategie erfolgen. Dazu müssen bestehende Risiken für die Unternehmensführung transparent sein. Mit den MaRisk werden die Anforderungen aus § 25a KWG weiter konkretisiert. Ziele der MaRisk (AT 2) sind u.a. der Schutz der anvertrauten Vermögenswerte, die häufig als Daten in IT-Systemen technisch repräsentiert werden, und die ordnungsgemäße Durchführung der Bankgeschäfte oder Finanzdienstleistungen. Die Risikoidentifikation als Teil des Gesamtrisikoprofils der Bank auf der einen und die Festlegung des bestehenden Risikodeckungspotenzials (AT 4.1) der Bank auf der anderen Seite ist der erste wesentliche Schritt bei allen Risikomanagement-Prozessen der IT-Risiken. Sie ist dabei einer der schwierigsten Teile des Risikomanagement-Prozesses, da alle weiteren Maßnahmen auf ihr beruhen. Schließlich können nur die Risiken bewertet und gesteuert werden, die im Vorfeld erkannt wurden. Es gilt die Regel, dass ein Risiko, das nicht im Vorfeld erkannt werden konnte, beim Eintreten auch nicht mit entsprechenden Maßnahmen in den Griff bekommen werden kann. Als Mindestanforderungskriterien an die Phase der Risikoidentifikation können dementsprechend Vollständigkeit, Aktualität und regelmäßige Überprüfungen genannt werden. Vollständigkeit bedeutet dabei eine vollständige Erfassung von Risiken eines Projekts. Unter Aktualität wird eine zeitnahe Erfassung von Risiken verstanden. Da sich Risiken durch z.B. veränderte Rahmenbedingungen auch ändern können, muss, um die Kriterien der Vollständigkeit und Aktualität erfüllen zu können, das Kriterium der regelmäßigen Überprüfung herangezogen werden. Auf dieser Grundlage wird die Geschäftsstrategie definieret und daraus ableitbare Teilstrategien (AT 4.2), zu denen auch die IT-Strategie gemäß IDW RS FAIT 1 als Funktionalstrategie gehört. Die Auswirkungen der Risiken lassen sich mindern, jedoch nie gänzlich ausschließen. Aus meiner Sicht gibt es konkret folgende wesentliche Risiken:
Der Service für die Mitarbeiter wird von ‘Externen’ erbracht.
Beitragsnummer: 39063
https://www.fc-heidelberg.de/wp-content/uploads/2018/02/Logo-FCH.png 0 0 Claudia Merklinger https://www.fc-heidelberg.de/wp-content/uploads/2018/02/Logo-FCH.png Claudia Merklinger2018-05-08 17:38:362019-04-23 15:24:42Outsourcing im Zuge der neuen Regulierung
Beitragsnummer: 39037
https://www.fc-heidelberg.de/wp-content/uploads/2018/02/Logo-FCH.png 0 0 Claudia Merklinger https://www.fc-heidelberg.de/wp-content/uploads/2018/02/Logo-FCH.png Claudia Merklinger2018-05-08 17:16:092019-04-23 15:24:44„BaFin … wir haben immer noch (k)ein Problem!“
20. April 2018 /0 Kommentare/in IT – Regulatorik, IT/Orga, Personal, Personalführung/Mitarbeiterqualifikation /von ramona.steinmann
Beitragsnummer: 38232
https://www.fc-heidelberg.de/wp-content/uploads/2018/02/Logo-FCH.png 0 0 ramona.steinmann https://www.fc-heidelberg.de/wp-content/uploads/2018/02/Logo-FCH.png ramona.steinmann2018-04-20 09:04:332019-04-23 15:24:53Anforderungen an die Kompetenz von IT-Revisoren
9. April 2018 /0 Kommentare/in IT – Regulatorik, IT – Revision / Datenqualität, IT/Orga, Revision /von ramona.steinmann
Im Fall wesentlicher Auslagerungen oder bei Mehrmandantendienstleistern erfolgen häufig die Revisionsprüfungen durch die Interne Revision des jeweiligen Auslagerungsunternehmens, welche dem auslagernden Institut die Prüfungsergebnisse zur Verfügung stellt.
Unabhängig von der notwendigen regelmäßigen Beurteilung, ob diese anderweitig durchgeführte Interne Revisionstätigkeit den Anforderungen der MaRisk genügt und einer sich daraus ggf. ergebenden Notwendigkeit, Ergänzungsprüfungen durchzuführen, stellen sich weiterhin viele Revisionsleiterinnen und -leiter der auslagernden Institute die Frage, wie genau mit den vorliegenden Prüfungsergebnissen, z. B. in Form von Prüfungsberichten oder speziell auf die Auslagerung zugeschnittenen Mandantenberichten, sachgerecht verfahren werden muss. In der Praxis der Internen Revision haben sich daher verschiedene Vorgehensweisen etabliert, die teilweise, ohne dass dies erforderlich wäre, deutlich über die Mindestanforderungen hinausgehen.
Dabei ist festzustellen, dass ein vollständiger Nachvollzug der Prüfungsergebnisse, einschließlich einer Überführung in die Mängelklassifizierungssystematik und eine Berichterstattung nach eigenem Berichtsmuster, ausdrücklich nicht gefordert wird. Gemäß MaRisk BT 2.1 kann die Interne Revision des Instituts im Fall wesentlicher Auslagerungen auf ein anderes Unternehmen vielmehr auf eigene Prüfungshandlungen verzichten, sofern die anderweitig durchgeführte Revisionstätigkeit den Anforderungen in den MaRisk AT 4.4 und BT 2 genügt. Insbesondere müssen die Prüfungsplanung und -durchführung sowie das Follow-up in diesem Fall nicht nachvollzogen werden.
Gleichwohl muss die Interne Revision des auslagernden Instituts die Prüfungsergebnisse im Rahmen ihres revisionsinternen Verfahrens zur Verarbeitung und Bewertung prüfungsrelevanter Informationen würdigen und daraus die richtigen Schlüsse für Fortentwicklung der risikoorientierten Prüfungsplanung bezüglich der relevanten eigengeprüften internen Prozesse des Instituts ziehen (vgl. Abb.).
Ein institutsinterner Prozess, auf den sich wesentliche Feststellungen der Internen Revision des Dienstleisters stets auswirken, ist die Dienstleistersteuerung bzw. das Auslagerungsmanagement. Nach der MaRisk-Novelle 2017 (MaRisk AT 9 Tz 12) hat jedes Institut abhängig von der Art, dem Umfang und der Komplexität der Auslagerungsaktivitäten künftig ein solches zentrales Auslagerungsmanagement einzurichten. Aufgrund einer Zunahme von Häufigkeit und Komplexität der Auslagerungsbeziehungen werden daher auch mittelgroße, nicht systemrelevante Institute mit mehreren wesentlichen Auslagerungen künftig ein derartiges Auslagerungsmanagement einzurichten haben. Unabhängig von der veränderten Anforderung der BaFin, war eine derartige Organisationsform bei mittelgroßen und größeren Instituten bereits häufig anzutreffen.
Das zentrale Dienstleistermanagement fungiert dabei als zweite Verteidigungslinie nach einem dezentralen Dienstleistermanagement, das regelmäßig auf Ebene der operativen Fachbereiche bzw. der Prozessverantwortlichen angesiedelt ist. Nur auf Ebene des Dienstleistermanagements können sachgerechte Maßnahmen als Reaktion auf die Prüfungsergebnisse und -feststellungen abgeleitet werden. Diese können z. B. in der Einforderung der vereinbarten Leistung bzw. – wenn dies nicht möglich ist – in der Forderung von Vertragsstrafen bzw. der Initiierung der Beendigung des Auslagerungsverhältnisses bestehen.
Regelmäßig werden die Prüfungsergebnisse der anderweitig durchgeführten Revisionstätigkeit vom Dienstleister der Internen Revision des auslagernden Instituts zur Verfügung gestellt. An dieser Stelle ist revisionsseitig eine zeitnahe Weiterleitung an das Auslagerungsmanagement sicherzustellen. In der Praxis hat sich hier die Einrichtung von Informations- und Workflowsystemen, auf die alle Verantwortlichen (Prozessverantwortliche, Auslagerungsmanagement und Interne Revision) Zugriff haben, bewährt.
Der künftig nach MaRisk AT 9 Tz 13 mindestens jährlich zu erstattende Bericht des Auslagerungsmanagements konkretisiert sich im Fall einer wesentlichen oder schwerwiegenden Feststellung seitens der anderweitig durchgeführten Revisionstätigkeit zu einer Ad-hoc-Berichtspflicht des Auslagerungsmanagements gegenüber der Geschäftsleitung. Diese Aufgabe obliegt damit ausdrücklich der zweiten Verteidigungslinie, dem Auslagerungsmanagement, und nicht der dritten Verteidigungslinie, der Internen Revision des auslagernden Instituts.
Nur an einer Stelle muss die Interne Revision die wesentlichen Feststellungen bei wesentlichen Auslagerungen in die eigene Berichterstattung übernehmen: Da bezüglich der Auslagerungen ausschließlich die Interne Revision des Instituts über eine direkte Berichtslinie an das Aufsichtsorgan verfügt, sollte diese die Information über die wesentlichen Feststellungen bei den wesentlichen Auslagerungsunternehmen in ihre Quartals- bzw. Jahresberichte der Internen Revision aufnehmen. Diese Information kann optional auch um eine eigene Einschätzung der tatsächlichen Auswirkung auf das Institut bzw. den Bericht über die ergriffenen Maßnahmen und deren Status ergänzt werden. Ausschlaggebend für das Follow-up bleibt aber das Follow-up-System der anderweitig durchgeführten Revisionstätigkeit.
Abb.: Umgang mit den Prüfungsergebnissen des Dienstleisters
Die Bewertung der Prüfungsergebnisse der anderweitig durchgeführten Revisionstätigkeit bei Dienstleistern obliegt vorrangig dem Auslagerungsmanagement. Der sachgerechte Umgang mit diesen Informationen, z. B. durch die Ableitung von Maßnahmen und die Ad-hoc-Information der Geschäftsleitung, ist wiederum Prüfungsgegenstand der Internen Revision im Prüffeld „Auslagerungsmanagement/Dienstleistersteuerung“.
Prüfungsergebnisse, die der Internen Revision vorgelegt werden, müssen zeitnah an das Auslagerungsmanagement weitergeleitet werden. Hierzu sollten geeignete Prozesse und Informationssysteme etabliert werden.
Die Interne Revision des auslagernden Instituts ist in der Verpflichtung, die Prüfungsergebnisse revisionsintern zu bewerten und daraus resultierende Auswirkungen auf die risikoorientierte Prüfungsplanung aller relevanten Prüffelder zu berücksichtigen.
Die Berichterstattung des Aufsichtsorgans über wesentliche oder schwerwiegende Feststellungen bei den wesentlichen Auslagerungen obliegt der Internen Revision des auslagernden Instituts aufgrund des direkten Berichtswegs lt. MaRisk.
Beitragsnummer: 37816
https://www.fc-heidelberg.de/wp-content/uploads/2018/02/Logo-FCH.png 0 0 ramona.steinmann https://www.fc-heidelberg.de/wp-content/uploads/2018/02/Logo-FCH.png ramona.steinmann2018-04-09 10:43:222019-04-23 15:25:00Prüfungsergebnisse des Dienstleisters – Aufgaben der Internen Revision
7. Februar 2018 /0 Kommentare/in Compliance, Datenschutz/IT-Sicherheit, IT – Regulatorik, IT/Orga /von Claudia Merklinger
Beim nachfolgenden Beitrag handelt es sich um einen Auszug des Rechts- und Regulatorikmonitorings der FCH Compliance GmbH
Rechtliche Neuerung Ampel
Rundschreiben Rot
Dr. Jaime Uribe, Bereichsleiter Personal, Geschäftsführer FCH Personal GmbH
Titel: BAIT kompakt
BaFin veröffentlicht Anforderungen an die IT von Banken
Rundschreiben 10/2017 (BA)
Wie die Mindestanforderungen an das Risikomanagement der Banken (MaRisk), deren neueste Fassung die BaFin Ende Oktober veröffentlicht hat, interpretieren auch die BAIT die gesetzlichen Anforderungen des § 25a Absatz 1 Satz 3 Nr. 4 und 5 Kreditwesengesetz (KWG). Da die BAIT lediglich Klarstellungen schon vorhandener Anforderungen darstellen, ist keine Umsetzungsfrist vorgesehen. Sie treten ab sofort in Kraft und sind nunmehr zentraler Baustein für die IT-Aufsicht über den Bankensektor in Deutschland.
Die Aufsicht erläutert darin, was sie unter einer angemessenen technisch-organisatorischen Ausstattung der IT-Systeme, unter besonderer Berücksichtigung der Anforderungen an die Informationssicherheit sowie eines angemessenen Notfallkonzepts versteht. Da die Institute zunehmend IT-Dienstleistungen von Dritten beziehen, auch im Rahmen von Auslagerungen, wird auch der § 25b KWG in diese Interpretation einbezogen.
Somit wird nunmehr explizit klargestellt, dass IT-Governance und Informationssicherheit für die Aufsicht keine Randthemen mehr sind, sondern inzwischen auch den gleichen Stellenwert wie die Ausstattung der Institute mit Kapital und Liquidität haben. Für die Geschäftsleitungen der Institute sollten die Erwartungshaltung der Bankenaufsicht hinsichtlich der sicheren Ausgestaltung der IT-Systeme, zugehörigen IT-Prozesse (Integrität, Verfügbarkeit, Authentizität sowie Vertraulichkeit der Daten) sowie die diesbezüglichen Anforderungen an die IT-Governance transparenter werden.
IT-Compliance, 26.04.2018, Frankfurt/M.
Prüfung (BA)IT im Fokus der Bankenaufsicht, 26.–27.09.2018, Frankfurt/M.
Soweit auf dezidierte Textziffern der MaRisk referenziert wird, sind diese in einer Gesamtschau mit den einschlägigen Textziffern in den BAIT anzuwenden. Die übrigen Textziffern der MaRisk bleiben unberührt. Dies gilt insbesondere für die Anwendung von AT 7.3 MaRisk (Notfallkonzept).
In den BAIT werden Konkretisierungen in 8 spezifischen Bereichen dargestellt: IT-Strategie, IT-Governance, Informationsrisikomanagement, Informationssicherheitsmanagement, Benutzerberechtigungsmanagement, IT-Projekte sowie Anwendungsentwicklung (inkl. durch Endbenutzer in den Fachbereichen), IT-Betrieb (inkl. Datensicherung) und Auslagerungen und sonstiger Fremdbezug von IT-Dienstleistungen.
Achten Sie in den einzelnen Themenbereichen auf:
IT-Strategie: Konsistenz zwischen Geschäfts- und IT-Strategie muss weiterhin erkennbar sein und die Ziele formuliert und quantifiziert werden, sodass Transparenz und Steuerung kontinuierlich gewährleistet werden. Die Verantwortung trägt ausdrücklich die Geschäftsführung.
IT-Governance: Ziel bleibt die konsistente und funktionsfähige Aufbau- und Ablauforganisation im IT-Bereich. Kernelemente dabei: Trennung von Funktionen (Tz. 6), um Interessenskonflikte und -identitäten zu vermeiden und die Implementierung eines angemessenen Internen Kontrollsystems (IKS) im IT-Bereich. Zur Steuerung der für den Betrieb und die Weiterentwicklung der IT-Systeme zuständigen Bereiche durch die Geschäftsleitung sind angemessene quantitative oder qualitative Kriterien festzulegen, und deren Einhaltung ist zu überwachen (Tz. 7).
Informationsrisikomanagement: Das Institut hat die mit dem Management der Informationsrisiken verbundenen Aufgaben, Kompetenzen, Verantwortlichkeiten, Kontrollen und Kommunikationswege zu definieren und aufeinander abzustimmen (vgl. AT 4.3.1 Tz 2 MaRisk). Hierfür hat das Institut angemessene Überwachungs- und Steuerungsprozesse einzurichten (vgl. AT 7.2 Tz. 4 MaRisk) und diesbezügliche Berichtspflichten zu definieren (vgl. BT 3.2. Tz. 1 MaRisk). Ergebnis: Die Fachabteilungen sollen ausdrücklich in das Informationsrisikomanagement eingebunden werden. Informationsverbund und Sollmaßnahmenkatalog als neue Begriffe wurden eingeführt und bilden die Basis für die Aktivitäten der Schutzbedarfsfeststellung und die Ableitung der Sollmaßnahmen in den Schutzbedarfskategorien. Sollmaßnahmen sind wirksam zu koordinieren, zu dokumentieren, zu überwachen und zu steuern. Die Ergebnisse der Risikoanalyse sind zu genehmigen und in den Prozess des Managements der operationellen Risiken zu überführen.
Informationssicherheitsmanagement: Informationssicherheit wird explizit in Bezug auf die IT-Strategie sowie Fachbereiche und Zusammenarbeit mit den IT-Diensteistern thematisiert. Die Rolle des Informationssicherheitsbeauftragten (ISB) als Bestandteil der 2nd. LOD und seine Aufgaben sind gemäß Tz. 18-19 deutlich dargestellt, dennoch muss die Funktion unter bestimmten Voraussetzungen nicht zwingend im eigenen Haus vorgehalten werden. Gemäß den Erläuterungen zu Tz. 20 ist in bestimmten Fällen möglich, einem Mitarbeiter mehrere Beauftragtenfunktionen zu übertragen bzw. einen ISB für einen Verbund von Banken zu definieren. Die Anforderungen hierfür sind aber präzis dargestellt. Eine mindestens vierteljährliche Berichtspflicht des ISB (Tz. 22) ist erforderlich. Die Begriffe „Informationssicherheitsleitlinie“ und „Informationssicherheitsrichtlinie“ sind verdeutlicht worden, wobei die Erstellung der Informationssicherheitsrichtlinie nun explizit in der Verantwortung des ISB liegt.
Benutzerberechtigungsmanagement: Minimale Rechtevergabe und Funktionstrennung müssen weiterhin gewährleistet werden. Übergeordnete Verantwortung für Prozesse zur Protokollierung von Berechtigungen muss erkennbar vorhanden sein. Unvereinbare Tätigkeiten und Interessenkonflikte des Personals sind zu vermeiden und zu dokumentieren. Der ursprüngliche Begriff „IT-Berechtigung“ wurde nun auf „Berechtigung“ generalisiert und somit breiter gefasst. Für die Einrichtung, Änderung, Deaktivierung oder Löschung von Berechtigungen sind zuständigen Kontrollinstanzen mit einzubeziehen (Tz. 27).
IT-Projekte, Anwendungsentwicklung (inkl. durch Endbenutzer in den Fachbereichen): Auswirkungsanalyse von IT-Projekten rückt in den Vordergrund, im Hinblick auf Abhängigkeit, Dauer, Ressourcenverbrauch und Qualität. Erkannte Risiken sollten überwacht, gesteuert und in regelmäßigen bzw. anlassbezogenen Berichten berücksichtigt werden, ebenso wie die Risiken aus sich gegenseitig beeinflussenden IT-Projekten. Es wird eine IDV-Richtlinie verlangt, die den gesamten Entwicklungsprozess regelt. Die Ausgestaltung der Prozesse erfolgt risikoorientiert. Inventarisierung (zentraler Register) von Anwendungen ist aktuell und umfassend zu halten mit dem Ziel, das Portfolio anhand der Risiken und Abhängigkeiten zueinander zu steuern (Tz. 44).
IT-Betrieb (inkl. Datensicherung): Der IT-Betrieb hat die Erfüllung der Anforderungen, die sich aus der Umsetzung der Geschäftsstrategie sowie aus den IT-unterstützten Geschäftsprozessen ergeben, umzusetzen (vgl. AT 7.2 Tz. 1 und Tz. 2 MaRisk) (Tz. 45). Änderung von IT-Systemen sind abhängig von Art, Umfang, Komplexität und Risikogehalt auszugestalten und umzusetzen (Tz. 48). Ein Datensicherungskonzept ist schriftlich zu erfassen und seine Effektivität regelmäßig zu prüfen und ggf. anzupassen, wobei dies im Rahmen einer Stichprobe geschehen darf.
Auslagerungen und sonstiger Fremdbezug von IT-Dienstleistungen: AT 9 der MaRisk bildet die Basis und die Konkretisierungen durch die BAIT haben an der Stelle eine sehr hohe Relevanz. Vertragliche Regelungen sollen zentralisiert behandelt und konzipiert werden, sodass die Prozesstransparenz als auch -Steuerung jederzeit gewährleistet werden können. Risikobewertungen müssen in die vertragliche Gestaltung und in das Management der operationellen Risiken überführt werden. Eine Risikobetrachtung, auch im Rahmen vom Fremdbezug von IT-Dienstleistungen, muss bereits vor einer Entscheidung geschehen.
Beitragsnummer: 35765
https://www.fc-heidelberg.de/wp-content/uploads/2018/02/Logo-FCH.png 0 0 Claudia Merklinger https://www.fc-heidelberg.de/wp-content/uploads/2018/02/Logo-FCH.png Claudia Merklinger2018-02-07 09:55:422019-04-23 15:25:25Rechts- und Regulatorikmonitoring Kategorie: Datenschutzcompliance
2. Februar 2018 /0 Kommentare/in BestOf, Compliance, Datenschutz/IT-Sicherheit, IT – Regulatorik, IT/Orga /von Claudia Merklinger
Dr. Ulrich Hallermann, Rechtsanwalt, Investitions- und Strukturbank Rheinland Pfalz (ISB)[1]
Durch die Datenschutzgrundverordnung (DSGVO) wird der Datenschutz in Zukunft primär auf europäischer Ebene geregelt. Die Grundstrukturen im Datenschutz bleiben erhalten. Insbesondere wird es weiterhin die Möglichkeit zur Einwilligung in die Datenverarbeitung und zur Vereinbarung einer Auftragsdatenverarbeitung geben. Allerdings ergeben sich durch die DSGVO verschiedene Detailänderungen, welche langsam durch die Aufsicht konkretisiert werden. Die hausinternen Prozesse müssen vor diesem Hintergrund überprüft und ggf. angepasst werden. Der Bußgeldrahmen wurde durch die DSGVO beträchtlich erweitert (vgl. Art. 83 DSGVO). In der Praxis muss daher alles zur Vermeidung eines Bußgelds unternommen werden.
Das BDSG bleibt auch in Zukunft erhalten. Jedoch kann der nationale Gesetzgeber zukünftig nur noch eine Regelung treffen, soweit die Datenschutzgrundverordnung eine Öffnungsklausel bereithält. Eine solche Öffnungsklausel ist z. B. für den Beschäftigtendatenschutz in Art. 88 DSGVO vorhanden. Zwischenzeitlich wurde basierend auf der DSGVO ein neues BDSG verkündet[2].
Die Aufsicht hat bereits zu verschiedenen Themen Auslegungsgrundsätze veröffentlicht. Diese sind zwar rechtlich nicht verbindlich, geben jedoch wichtige Impulse für die Umsetzung der neuen rechtlichen Vorgaben. Vorreiter ist insoweit das Bayerische Landesamt für die Datenschutzaufsicht[3].
II. Empfehlungen für die hausinterne Umsetzung durch den Fachbereich
Die Anforderungen der DSGVO kann nicht ein einzelner Mitarbeiter hausintern umsetzen. Daher ist eine Projektgruppe mit allen Beteiligten zu bilden. Die Leitung der Projektgruppe kann der Datenschutzbeauftragte übernehmen. Die IT muss ebenfalls beteiligt werden, da verschiedene Änderungen bei der EDV erforderlich sind. Auch die operativen Fachbereiche und der Personalbereich sind einzubeziehen, da in ihren Einheiten die personenbezogenen Daten ver-arbeitet werden. Auch die Einbeziehung von Revision und Marketing dürfte zweckdienlich sein.
Zunächst ist zu ermitteln, wo im Hause personenbezogene Daten verarbeitet werden. Hierfür kann das Verfahrensverzeichnis als Ausgangsgrundlage dienen. Sodann ist zu ermitteln, in-wieweit die Datenverarbeitungen bereits mit der DSGVO im Einklang stehen. Soweit ein Einklang besteht, sind weitere Schritte entbehrlich.
3. Festlegung des Sollzustandes
Soweit festgestellt wird, dass die Vorgaben der DSGVO noch nicht eingehalten werden, müssen Anpassungen festgenommen werden. Zunächst sollte eine Exceltabelle erstellt werden, in die alle kritischen Maßnahmen aufgenommen werden. Sodann sind die Maßnahmen nach Notwendigkeit zu sortieren.
Umsetzungstipps EU-DSGVO und BDSG (neu), 01.03.2018, Frankfurt/Offenbach.
Umsetzungschecklisten DSGVO – neues BDSG für Praxis & Prüfung, 14.05.2018, Frankfurt/Offenbach.
4. Umsetzung in mehreren Schritten (Stufenmodell)
Wie bereits ausgeführt ist es zielführend, die Umsetzung in mehreren Schritten zu vollziehen. Zwar ist die DSGVO selbst final verabschiedet, so dass insoweit die Vorgaben feststehen und mit einer Umsetzung begonnen werden kann. Es fehlen jedoch noch Umsetzungsakte wie die Vorgaben der Aufsicht im Detail, so dass insoweit noch Unsicherheiten verbleiben. Daher sollten zunächst diejenigen Maßnahmen umgesetzt werden, welche keinen Bezug zu nationalem Recht haben. In einem zweiten Schritt können dann nach Verabschiedung des nationalen ABDSG die weiteren Maßnahmen ergriffen werden.
Für das Personal gilt: Art. 88 Abs. 1 DSGVO enthält eine Öffnungsklausel für den nationalen Gesetzgeber, durch Rechtsvorschriften oder Kollektivvereinbarungen spezifischere Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung von Beschäftigtendaten im Beschäftigtenkontext vorzusehen. Hiervon hat der nationale Gesetzgeber in § 26 BDSG Gebrauch gemacht. § 26 Abs. 2 BDSG legt einen Schwerpunkt auf die Einwilligungen. Banken müssen daher kurzfristig überprüfen, ob die bereits erteilten Einwilligungen diesen Anforderungen noch genügen oder ob neue Einwilligungen einzuholen sind (Stichwort: GAP-Analyse).
Für das Marketing gilt: Mit der DSGVO fallen die Detailregelungen des Bundesdatenschutzgesetzes (BDSG) zur Verarbeitung personenbezogener Daten für werbliche Zwecke weg. Grundlage für die Rechtmäßigkeitsbeurteilung ist nach Auffassung der Aufsicht in Zukunft grundsätzlich nur noch eine Interessenabwägung nach Art. 6 Abs. 1 lit. f DS-GVO. Wie diese in der Praxis aussehen wird, kann gegenwärtig noch nicht prognostiziert werden. Die Homepages der Aufsichten sollten im Auge behalten werden, um entsprechende Auslegungshinweise zu erhalten.
Für die IT gilt: Die wohl umfangreichsten Änderungen durch die DSGVO ergeben sich für die IT. Themenschwerpunkte werden hierbei das Datenschutzmanagement (Art. 24 DSGVO), die technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) sowie die Auftragsdatenverarbeitungen (28 ff. DSGVO) sein. Banken müssen zukünftig auch ein Datenschutzmanagement etablieren. Im Rahmen einer Gefährdungsanalyse sind hierbei die Datenschutzrisiken fortlaufend zu überprüfen. Bei der Beurteilung des angemessenen Schutzniveaus sind gem. Art. 32 Abs. 2 DSGVO zukünftig insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung – insbesondere durch Verlust oder unbefugte Offenlegung im Hinblick auf personenbezogene Daten, die verarbeitet werden – verbunden sind. Da gerade die IT von der DSGVO betroffen ist, sollte diese gesonderte Ressourcen (z. B. durch einen externen Berater) erhalten.
Der Autor ist Of Counsel der Sozietät Castle Law in Frankfurt/M. Der Beitrag gibt die persönliche Sichtweise des Autors wieder. Dieser Beitrag kann nur einen allgemeinen Überblick geben und ersetzt keine individuelle, auf den jeweiligen Mandanten zugeschnittene Beratung. ↑
Das BDSG ist Teil des Gesetzes zur Anpassung des Datenschutzes und findet sich im Internet an folgender Stelle: http://www.bmi.bund.de/SharedDocs/Downloads/DE/Nachrichten/Pressemitteilungen/2017/07/datenschutzrecht.html?nn=3314802 (zuletzt abgerufen am 28.07.17). ↑
Die Auslegungsgrundsätze sind hier zu finden: https://www.lda.bayern.de/de/datenschutz_eu.html (zuletzt abgerufen am 28.07.17) ↑
Beitragsnummer: 35680
https://www.fc-heidelberg.de/wp-content/uploads/2018/02/Logo-FCH.png 0 0 Claudia Merklinger https://www.fc-heidelberg.de/wp-content/uploads/2018/02/Logo-FCH.png Claudia Merklinger2018-02-02 14:55:592019-04-23 15:25:25Hausinterne Umsetzung der Datenschutzgrundverordnung

References: § 25
 § 25
 § 25
 § 25
 § 25
 Art. 83
 Art. 88
 Art. 88
 § 26
 § 26
 Art. 6
 Art. 32