Individuelle Datenverarbeitung in Zeiten von Banking 4.0

Die Aufsicht verwendet den Begriff der IDV als „von den Fachbereichen selbst entwickelte Anwendungen“. Diese muss, um eindeutig identifiziert zu werden gegen andere Formen der Datenverarbeitung wie die Schatten-IT oder die Nutzung von Standard-Software abgegrenzt werden. Selbst Standard-Software kann zu einer IDV werden, wenn für eine Nutzung Anpassungen durch Dritte für das Institut vorgenommen werden. Eine weitere Abgrenzung muss gegen das Personal Computing vorgenommen werden, bei dem es sich nicht um eine Anwendung im engeren Sinne handelt, sondern um eine Automatisierung von Vorgängen und weniger um eine Datenverarbeitung.

Die Institute sehen sich bei IDV verschiedenen regulatorischen Anforderungen der Aufsichten gegenüber. In Deutschland sind das in erster Linie Bundesbank und BaFin. Erstere haben bereits 2013 ihre Anforderungen konkretisiert, die BaFin hat ihre Anforderungen in zwei Rundschreiben, den MaRisk und den BAIT vorgestellt. Es gibt aber weitere Vorgaben, z. B. über den Datenschutz und Anforderungen aus dem Mitbestimmungsrecht. Zusätzlich hat die EZB für die von ihr direkt überwachten Institute zusätzliche Vorgaben gemacht, z. B. für den Umgang mit Cyberrisiken.

Banken sind Teil der überwachten Institute im Finanzsektor. Für sie gelten wie für alle Finanzinstitute die BAIT und MaRisk. IDV ist bei Banken aus unterschiedlichen Gründen entstanden und sie tritt in verschiedenen Arbeits- und Aufgabenbereichen auf. Ihre Erstellung und Nutzung kann für eine Bank aus verschiedenen problematisch sein. So können sich negative Folgen bei Störungen ergeben. Banken sehen sich aber auch neuen Herausforderungen insbesondere technischer Art gegenüber. Wollen sie hier mit der Entwicklung mithalten, können sie oft eine Standardsoftware oder die Anpassung an vorhandener Software nicht abwarten. Der Innovationsdruck wird also kurz- und mittelfristig den Anteil der verwendeten IDV eher erhöhen als vermindern.

Die Aufsicht fordert eine Strategie auch für den Umgang mit IDV. So muss das Institut für sich Entscheidungen treffen, welche allgemeinen Ziele es hat, aber auch inwieweit es IDV oder Standardsoftware verwenden will. Die Entscheidung Software selbst zu programmieren oder die Programmiertätigkeit auszulagern bedeutet unterschiedliche Strategien anzuwenden, aber auch unterschiedliche regulatorische Vorgaben.

Die regulatorischen Vorgaben müssen eingehalten werden, aber auch die eigene Strategie soll umgesetzt werden. Dazu muss die IDV im Institut gefunden und analysiert werden, um den Ist-Zustand gegen den Soll- und den Muss-Zustand abgleichen zu können. Diese theoretische Herangehensweise hat in der Praxis verschiedene Probleme und Mängel. Möchte das Institut sich von IDV lösen, gibt es einige grundlegende Dinge, die getan werden müssen.

Die Regulatoren möchten die Finanzbranche sicherer machen. Zu den dafür relevanten Faktoren gehören die operationellen Risiken. Die technische Ausstattung der Banken ist die Basis für deren Geschäftsabwicklung.