Mindestanforderungen an das Risikomanagement 2021 / AT 9 Auslagerung

1

Eine Auslagerung liegt vor, wenn ein anderes Unternehmen mit der Wahrnehmung solcher Aktivitäten und Prozesse im Zusammenhang mit der Durchführung von Bankgeschäften, Finanzdienstleistungen oder sonstigen institutstypischen Dienstleistungen beauftragt wird, die ansonsten vom Institut selbst erbracht würden. Zivilrechtliche Gestaltungen und Vereinbarungen können dabei das Vorliegen einer Auslagerung nicht von vornherein ausschließen. Erläuterung: Sonstiger Fremdbezug von Leistungen Nicht als Auslagerung im Sinne dieses Rundschreibens zu qualifizieren ist der sonstige Fremdbezug von Leistungen. Hierzu zählt zunächst der einmalige oder gelegentliche Fremdbezug von Gütern und Dienstleistungen. Ebenso erfasst werden Leistungen, die typischerweise von einem beaufsichtigten Unternehmen bezogen und aufgrund tatsächlicher Gegebenheiten oder rechtlicher Vorgaben regelmäßig weder zum Zeitpunkt des Fremdbezugs noch in der Zukunft vom Institut selbst erbracht werden können. Dazu zählen z. B. die Nutzung von Zentralbankfunktionen (innerhalb von Finanzverbünden) bzw. Clearingstellen im Rahmen des Zahlungsverkehrs und der Wertpapierabwicklung, die Inanspruchnahme von Liquiditätslinien, die Einschaltung von Korrespondenzbanken, die Nutzung der Verwahrung von Vermögensgegenständen nach dem Depotgesetz, die Nutzung öffentlich zugänglicher (auch kostenpflichtiger) Daten von Marktinformationsdienstleistern (z. B. öffentliche Daten von Ratingfirmen, die nicht zielgerichtet für das Institut generiert / bearbeitet worden sind), die Verwendung von globalen Zahlungsverkehrsinfrastrukturen (z. B. Kartenzahlverfahren), die Nutzung von globalen Nachrichteninfrastrukturen zur Übermittlung von Zahlungsverkehrsdaten, die der Aufsicht durch zuständige Behörden unterliegen, sowie der Erwerb von Dienstleistungen wie die Bereitstellung eines Rechtsgutachtens, die Vertretung vor Gericht und Verwaltungsbehörden als auch Versorgungsleistungen. Die Anwendung der einschlägigen Regelungen zu § 25b KWG ist angesichts der besonderen, mit solchen Konstellationen einhergehenden Risiken regelmäßig nicht angemessen. Dessen ungeachtet hat das Institut auch beim sonstigen Fremdbezug von Leistungen die allgemeinen Anforderungen an die Ordnungsmäßigkeit der Geschäftsorganisation gemäß § 25a Abs. 1 KWG zu beachten. Der isolierte Bezug von Software ist in der Regel als sonstiger Fremdbezug einzustufen. Hierzu gehören u. a. auch die folgenden Unterstützungsleistungen: die Anpassung der Software an die Erfordernisse des Kreditinstituts, die entwicklungstechnische Umsetzung von Änderungswünschen (Programmierung), das Testen, die Freigabe und die Implementierung der Software in die Produktionsprozesse beim erstmaligen Einsatz und bei wesentlichen Veränderungen insbesondere von programmtechnischen Vorgaben, Fehlerbehebungen (Wartung) gemäß der Anforderungs-/Fehlerbeschreibung des Auftraggebers oder Herstellers, sonstige Unterstützungsleistungen, die über die reine Beratung hinausgehen. Dies gilt nicht für Software, die zur Identifizierung, Beurteilung, Steuerung, Überwachung und Kommunikation der Risiken eingesetzt wird oder die für die Durchführung von bankgeschäftlichen Aufgaben von wesentlicher Bedeutung ist; bei dieser Software sind Unterstützungsleistungen als Auslagerung einzustufen. Die gleichen Maßstäbe gelten für den Betrieb der Software durch einen externen Dritten. Erläuterung: Sonstige institutstypische Dienstleistungen Durch die Bezugnahme auf sonstige institutstypische Dienstleistungen wird Art. 13 Abs. 5 Satz 1 der Finanzmarktrichtlinie insoweit Rechnung getragen, als dieser sich auf die Auslagerung betrieblicher Aufgaben bezieht, die für die kontinuierliche und ordnungsgemäße Erbringung und Ausübung von Dienstleistungen für Kunden und Anlagetätigkeiten wichtig sind. Zu den sonstigen institutstypischen Dienstleistungen zählen z. B. auch die in Anhang I Abschnitt B der Finanzmarktrichtlinie genannten Nebendienstleistungen.

2

Das Institut muss anhand einer Risikoanalyse bewerten, welche Risiken mit einer Auslagerung verbunden sind. Ausgehend von dieser Risikoanalyse ist eigenverantwortlich festzulegen, welche Auslagerungen von Aktivitäten und Prozessen unter Risikogesichtspunkten wesentlich sind (wesentliche Auslagerungen). Diese ist auf der Grundlage von institutsweit bzw. gruppenweit einheitlichen Rahmenvorgaben sowohl regelmäßig als auch anlassbezogen durchzuführen. Die Ergebnisse der Risikoanalyse sind in der Auslagerungs- und Risikosteuerung zu beachten. Die maßgeblichen Organisationseinheiten sind bei der Erstellung der Risikoanalyse einzubeziehen. Im Rahmen ihrer Aufgaben ist auch die Interne Revision zu beteiligen. Erläuterung: Risikoanalyse Bei der Risikoanalyse sind alle für das Institut relevanten Aspekte im Zusammenhang mit der Auslagerung zu berücksichtigen (z. B. die wesentlichen Risiken der Auslagerung einschließlich möglicher Risikokonzentrationen (u. a. mehrere Auslagerungsvereinbarungen bzw. Auslagerungsverträge mit demselben Auslagerungsu...