Hannemann/Biewer/Kocatepe/Zaruk/Weigl, MaRisk AT 4.2 Str ... / 6.1.6 Beispiel IKT-Strategie

Rz. 289

Auch die EBA betont im Zusammenhang mit der Umsetzung der Strategie am Beispiel der Strategie für Informations- und Kommunikationstechnologie (IKT-Strategie) besonders den Prozesscharakter. Insbesondere in jenen Fällen, in denen die IKT-Strategie des Institutes die Umsetzung wichtiger und komplexer IKT-Anpassungen oder Änderungen mit erheblichen Auswirkungen auf das Geschäftsmodell des Institutes erfordert, sollten die zuständigen Behörden bewerten, ob das Institut über einen Kontrollrahmen verfügt, der seiner Größe, seinen IKT-Aktivitäten und dem Grad der Änderungsaktivitäten angemessen ist, um die wirksame Umsetzung der IKT-Strategie zu unterstützen. Bei der Bewertung im Rahmen des SREP sollten die zuständigen Behörden berücksichtigen, ob dieser Kontrollrahmen Governance-Prozesse (z. B. Fortschritts- und Budgetüberwachung sowie eine zugehörige Berichterstattung) und relevante Stellen (z. B. ein Projektmanage­mentbüro oder eine IKT-Lenkungsgruppe) umfasst, um die Umsetzung der IKT-Strategieprogramme wirksam zu unterstützen. Überprüft werden sollte zudem, ob die Rollen und Verantwortlichkeiten für die Umsetzung von IKT-Strategieprogrammen festgelegt und zugewiesen sind, wobei den Erfahrungen der wichtigsten Akteure bei der Organisation, Steuerung und Überwachung wichtiger und komplexer IKT-Anpassungen und der Bewältigung der organisatorischen und persönlichen Auswirkungen (z. B. Umgang mit Widerstand gegen Änderungen, Schulung, Kommunikation) besondere Aufmerksamkeit geschenkt wird. Daneben sollten sich die zuständigen Behörden davon überzeugen, ob die unabhängige Risikocontrolling-Funktion und die Interne Revision einbezogen sind, um sicherzustellen, dass die mit der Umsetzung der IKT-Strategie verbundenen Risiken ermittelt, bewertet und wirksam gemindert wurde...