Hannemann/Biewer/Kocatepe/Zaruk/Weigl, MaRisk AT 7.2 Tec ... / 5.2 Konkrete Anforderungen an IDV

Rz. 208

Vor diesem Hintergrund wurden die Anforderungen an IDV-Anwendungen konkretisiert. So sind laut Tz. 1.2 lit. f BAIT bereits in der IT-Strategie Aussagen zu IDV-Anwendungen zu treffen. Als Teil der Anwendungsentwicklung sind gemäß Tz. 7.6 BAIT auch für IDV-Anwendungen angemessene und risikoorientiert ausgestaltete Prozesse festzulegen, die Vorgaben zur Anforderungsermittlung, zum Entwicklungsziel, zur (technischen) Umsetzung inklusive Programmierrichtlinien, zur Qualitätssicherung, sowie zu Test, Abnahme und Freigabe enthalten. Darüber hinaus müssen die IDV-Anwendungen nach Tz. 7.13 BAIT einer Risikoklasse (Schutzbedarfsklasse) zugeordnet werden. Für die "Klassifizierung" bzw. "Kategorisierung" (Zuordnung zu einer Schutzbedarfsklasse) und den Umgang mit diesen Anwendungen ist ein angemessenes Verfahren festzulegen. Auf diese Weise sollen die Risiken institutsintern transparent werden, die aus dem Umgang mit diesen Anwendungen resultieren.^[1] Übersteigt der ermittelte Schutzbedarf die technische Schutzmöglichkeit einer Anwendung, müssen in Abhängigkeit von den Ergebnissen der Schutzbedarfsklassifizierung Schutzmaßnahmen ergriffen werden. Die Einhaltung von Programmierrichtlinien muss auch für IDV-Anwendungen sichergestellt werden.

Rz. 209

Ferner sind gemäß Tz. 7.14 BAIT z. B. in einer "IDV-Richtlinie" Vorgaben zur Identifizierung aller IDV-Anwendungen, zur Dokumentation, zu den Programmierrichtlinien und zur Methodik des Testens, zur Schutzbedarfsfeststellung und zum Rezertifizierungsprozess der Berechtigungen zu regeln. Die deutsche Aufsicht erwartet, dass ein Institut alle IDV-Anwendungen, die insbesondere für bankgeschäftliche Prozesse, für die Risikosteuerung und -überwachung oder für Zwecke der Rechnungslegung Bedeutung haben, in einem zentralen Register führt.^...