Hannemann/Biewer/Kocatepe/Zaruk/Weigl, MaRisk AT 4.3.4 D ... / 2.8 Anforderungen an die Dokumentation

Rz. 85

Der Baseler Ausschuss für Bankenaufsicht erwartet, dass die Risikodatenaggregationskapazitäten und die Verfahren zur Risikoberichterstattung vollumfänglich schriftlich niedergelegt werden.^[1] Gefordert werden sogar eine Dokumentation und Erläuterung sämtlicher Prozesse der Risikodatenaggregation.^[2] Das Institut muss einen Überblick über die Systemlandschaft und die Datenflüsse haben. Um die Integrität der Daten sicherzustellen, werden vollständige Informationen zur Rückverfolgbarkeit der Daten vom Risikobericht bis zum Ursprung der Daten über den gesamten Aggregationsprozess hinweg benötigt. Daraus folgt, dass die Institute über die sogenannte fachliche und technische "Data Lineage" verfügen müssen. Alle Verarbeitungs- und Transformationsschritte von den Quelldaten bis zum betrachteten Datenobjekt müssen dokumentiert und nachvollziehbar sein (→ AT 4.3.4 Tz. 2). Der Aggregationsprozess, bei dem Daten aus unterschiedlich strukturierten oder unstrukturierten Datenquellen extrahiert, transformiert und in eine Zieldatenbank geladen werden, ist quasi rückwärts zu beschreiben. Die Verantwortlichkeiten bei den Schnittstellenübergängen sind zu definieren und nachvollziehbar zu dokumentieren. Die Institute müssen darüber hinaus einen Überblick über die existierenden Risikoberichte sowie die Berichtswege haben. Alle relevanten Prozesse sind zu erheben und zu dokumentieren ("Prozessinventar"). Die instituts- und gruppenweit geltenden Grundsätze sind schriftlich zu fixieren und den Mitarbeitern entsprechend bekannt zu geben. Dies ergibt sich aus den im Rahmen der fünften und sechsten MaRisk-Novelle erweiterten Vorgaben an die Organisationsrichtlinien der bedeutenden Institute, die Regelungen zu den Verfahren, Methoden und Prozessen der Aggregation von Risikodaten enthalten müs...