Hannemann/Biewer/Kocatepe/Zaruk/Weigl, MaRisk AT 8.2 Änd ... / 1.4 Zusammenhang zum Management operationeller Risiken

Rz. 17

Die EBA fordert von den Instituten, ihre Kapazitäten zum Änderungsmanagement im Rahmen des allgemeinen Managements operationeller Risiken zu nutzen, um potenzielle Auswirkungen auf die Durchführung kritischer Operationen und auf deren Verbindungen und Abhängigkeiten untereinander zu bewerten.^[1] Konkret erwartet die EBA von der Geschäftsleitung die Sicherstellung, dass der Änderungsprozess des Institutes umfassend und mit angemessenen Ressourcen ausgestattet wird. Die mit dem Änderungsmanagement im Allgemeinen verbundenen operationellen Risiken sollten im Zeitverlauf, wie z. B. während des gesamten Lebenszyklus eines Produktes, bewertet werden. Ein Institut sollte über Richtlinien und Verfahren verfügen, die den Prozess zur Identifizierung, Steuerung, Infragestellung, Genehmigung und Überwachung von Veränderungen auf der Grundlage vereinbarter objektiver Kriterien definieren. Die Umsetzung von Änderungen sollte durch spezifische Kontrollen überwacht werden. Die Richtlinien und Verfahren für das Änderungsmanagement sollten einer unabhängigen und regelmäßigen Überprüfung und Aktualisierung unterliegen und insbesondere die Rollen und Verantwortlichkeiten gemäß dem Modell der drei Verteidigungslinien klar zuweisen. Demnach sollte die erste Verteidigungslinie die Bewertungen des operationellen Risikos und der Kontrollen von neuen Produkten, Aktivitäten, Prozessen und Systemen durchführen, einschließlich der Identifizierung und Bewertung der erforderlichen Änderung über die Entscheidungs- und Planungsphase bis hin zur Implementierung und Überprüfung nach der Implementierung. Die zweite Verteidigungslinie in Gestalt der "Corporate Operational Risk Management Function" (CORF) und der Compliance-Funktion sollte die Bewertungen des operationellen Risikos und der Kontrollen...