Autoren: Dr. Martin Bernhardt und Torsten Heimsoth (Berg Lund & Company)
Nur eine durchsetzungsfähige Organisation sorgt dafür, dass die Vereinbarungen des Auslagerungsvertrags auch eingehalten werden.
thingamajiggs | Fotolia
Mehr Zuverlässigkeit und Rechtsverbindlichkeit für die betroffenen Institute – das sind die Folgen der neuen Regelungen für Auslagerung und Fremdbezug durch die MaRisk-Novelle vom 27. Oktober 2017 sowie die Bankaufsichtliche Anforderungen an die IT (BAIT) vom 3. November 2017. Doch die weitgehend präzise formulierten Definitionen und Anforderungen bergen die Gefahr, dass sich die Institute zu eng am geschriebenen Wort orientieren und dabei die Intentionen der Regelungen aus den Augen verlieren. Ziel der aufsichtsrechtlichen Vorschriften ist es, eine sorgfältige Bewertung und Steuerung der mit der Einbindung von externen Dienstleistern entstehenden Risiken sicherzustellen. Diese sollte grundsätzlich auch im Eigeninteresse der Institute stehen. Schließlich ist eine effektive Dienstleistersteuerung essentiell für einen ordnungsgemäßen Geschäftsbetrieb.
MaRisk definiert die Rahmenbedingungen
Das betrifft auch das Thema Auslagerungsorganisation: Während die Rahmenbedingungen der Leistungserbringung in einem Auslagerungsvertrag geregelt sind, bedarf es zur Durchsetzung der vertraglichen Ansprüche insbesondere einer schlagkräftigen Organisation. Hierfür müssen die Institute eindeutige Verantwortlichkeiten benennen. Wie diese aussehen sollten, gibt die MaRisk mehr oder weniger klar vor. An erster Stelle steht hier der AT 9 Tz. 10, in dem für alle Institute die Festlegung klarer Zuständigkeiten für die Steuerung und Überwachung wesentlicher Auslagerungen gefordert wird.
Je nach Art, Umfang und Komplexität der Auslagerungsaktivitäten sieht der AT 9 Tz. 12 zudem die Einrichtung eines Zentralen Auslagerungsmanagements (ZAM) vor. Dabei ist es nicht Ziel der Aufsicht, neue Rollen zu etablieren und den Personalkörper der Institute unnötig zu vergrößern. Vielmehr sollen die mit einer Auslagerung verbundenen Risiken effektiv gesteuert werden. Die Grafik erklärt die Aufgaben der Rollenträger sowie deren Zusammenspiel:
Die Rollen des zentralen und des fachlichen Auslagerungsbeauftragten werden typischerweise sehr prominent besetzt – damit wird der Relevanz der Rollen Rechnung getragen.
Berg Lund & Company
Der ZAB koordiniert nach innen und außen
Dem Zentralen Auslagerungsbeauftragten (ZAB) kommt eine koordinierende Rolle zu. Nach innen steuert er die Fachlichen Auslagerungsbeauftragten (FABs), empfängt Berichte, wertet diese aus und leitet konsolidierte Informationen an die Unternehmensleitung weiter. Zudem prüft er, dass alle regulatorischen Vorgaben bei den FABs ankommen und umgesetzt werden. Nach außen ist er die zentrale Schnittstelle zur Aufsicht. Als deren Ansprechpartner bündelt er das auslagerungsspezifische aufsichtsrechtliche Know-how im Unternehmen. Aufgrund der komplexen Anforderungen an die Tätigkeit und des internen Weisungsbedarfs entspricht seine Rolle in der Bank häufig derjenigen eines Bereichsleiters – also der zweiten Führungsebene. Jedoch bedarf es meist eines ganzen Teams an Mitarbeitern, um die Fülle an Aufgaben zu bewältigen.
In Summe es sorgt das ZAM dafür, eine einheitliche Auslagerungs- und damit Risikosteuerung zu etablieren. Das sollte auch zu einer gesteigerten Effizienz im Auslagerungsmanagement führen – vor allem im Hinblick auf den ökonomischen Druck, unter dem alle Institute in der aktuellen Marktsituation stehen.
Der FAB steuert die Dienstleister
Als Schnittstelle zum externen Dienstleister verantwortet der FAB den geschlossenen Auslagerungsvertrag. Auf Basis der internen Vorgaben des ZAB stellt er sicher, dass dieser MaRisk-konform ist und sorgt dafür, dass der Dienstleister seine Aufgaben vereinbarungsgemäß erfüllt. Hierzu nutzt er Kennzahlen wie beispielsweise Verfügbarkeit“ (IT-Hosting) oder "Antwortzeit im First-Level-Support" (Call-Center) zum Monitoring der Dienstleistungsqualität sowie finanzielle Vereinbarungen, zum Beispiel Bonus- und Malus-Regelungen im Auslagerungsvertrag. Weitere Kennzahlen wie etwa "Anzahl kritischer Fehler" (IT-Hosting) oder "Kundenzufriedenheit First Level Support" (Call-Center) helfen dem FAB, identifizierte Risiken zu steuern und zu überwachen. Werden diese Schlüsselindikatoren nachhaltig gebrochen, muss er geeignete Gegenmaßnahmen entwickeln und gegenüber dem Dienstleister durchsetzen.
Die Kernaufgaben des FAB zeigen, dass dessen Rolle nicht an einen beliebigen Mitarbeiter abgegeben werden kann. Der Mitarbeiter hat häufig die Position eines Abteilungsleiters oder darüber. Neben der Fähigkeit, Ansprüche gegenüber einem Dienstleister durchzusetzen, muss der FAB vor allem fachlich hinreichend qualifiziert sein. Kommt es zu einem Ausfall des Dienstleisters, muss der FAB einen anderen Dienstleister auswählen oder dafür sorgen, dass die Kompetenzen intern schnellstmöglich wieder aufgebaut werden. Das erfordert zwar keine Detailkenntnisse, jedoch grundlegende Kompetenzen und Wissen über den ausgelagerten (Teil-)Prozess im Institut.
Besetzung muss den Aufgaben Rechnung tragen
Es reicht also nicht aus, den Gesetzeswortlaut umzusetzen und die Rollen auf Mitarbeiter zu verteilen. Vielmehr ist es erforderlich, die Auslagerungsrisiken sowie das übergeordnete Risikomanagementsystem zu verstehen und bei der Besetzung der Rollen ihrer Relevanz Rechnung zu tragen. Die Aufgabenbeschreibungen der Auslagerungsbeauftragten zeigen, dass es sich dabei um verantwortungsvolle Positionen handelt, die mit kompetenten und durchsetzungsstarken Mitarbeitern besetzt werden sollten. Nur so kann sichergestellt werden, dass der Kern der aufsichtsrechtlichen Regelungen Anwendung findet und die institutsspezifischen Interessen auch gegenüber Dienstleistern durchgesetzt werden.