Die BaFin hat am 19. Februar 2016 ihren Entwurf einer Neufassung der MaRisk vorgestellt. Die darin enthaltenen erweiterten Anforderungen an Auslagerungen werden eine Anpassung von Auslagerungsverträgen erforderlich machen.
Die von der BaFin vorgeschlagenen Änderungen und Ergänzungen der MaRisk befassen sich mit den Themen der Risikodatenaggregation und Risikoberichterstattung, der Schaffung einer Risikokultur sowie der Auslagerung von Prozessen und Aktivitäten.
Soweit es Auslagerungen betrifft, sind einige Änderungen in AT 9 vorgesehen, die erheblichen Anpassungsbedarf bei Auslagerungsverträgen mit sich bringen werden:
Für Auslagerungen in Kernbankbereichen und in zentralen Kontrollbereichen sieht die Neufassung vor, dass diese nur dann zulässig sein sollen, wenn das Institut in diesen Bereichen weiterhin vertiefte Kenntnisse und Erfahrungen vorhält. Dabei muss es dem Institut möglich sein, diese Prozesse bei Bedarf in das Institut zurück zu verlagern, ohne dass dies zu Störungen im Betriebsablauf führen darf.
Die BaFin hat dabei insbesondere die Bereiche Risikocontrolling, Compliance und Interne Revision im Blick. Vollauslagerungen der Risikocontrolling-Funktion sollen gar nicht mehr möglich sein. Vollauslagerungen der Compliance-Funktion und der Internen Revision sollen nur noch bei kleinen Instituten erlaubt sein, für die es aufgrund der Größe des Instituts und der betriebenen Geschäfte unverhältnismäßig wäre, solche Funktionen institutsintern zu implementieren. Teilauslagerungen bleiben hiervon unberührt, wobei es auch hier auf die Gesamtumstände ankommen wird.
Als Reaktion auf den zunehmenden Einsatz von Softwarelösungen und IT-Prozessen im Bereich der Finanzdienstleistungen sowie zunehmender Risiken stellt die Neufassung von AT 9 der MaRisk klar, dass auch der Bezug von bestimmten Softwarelösungen zum Risikocontrolling und von diesbezüglichen fachlichen Unterstützungsleistungen als Auslagerung angesehen werden kann. Die Grenzziehung, wann dies tatsächlich der Fall ist, wird hier im Einzelfall sicherlich praktische Probleme aufwerfen.
Institute müssen zudem künftig für die Beendigung von wesentlichen Auslagerungen Ausstiegsstrategien vorhalten, die eine gleichbleibende Kontinuität und Qualität der ausgelagerten Prozesse und Aktivitäten gewährleisten sollen.
Die Anforderungen an den Inhalt von Auslagerungsverträgen werden durch die Neufassung der MaRisk weiter konkretisiert. Das betrifft insbesondere die Modalitäten von Weiterverlagerungen, die Kündigungsrechte und sonstige Sicherheitsanforderungen. Außerdem sind beim Einsatz von Software im Bereich des Risikocontrollings gesonderte Regelungen im Auslagerungsvertrag aufzunehmen, mit denen die Herausgabe von Informationen zu wesentlichen Annahmen und Parametern und zu deren Änderungen vereinbart werden.
Für Fälle, in denen sich Institute in größerem Umfang einer Auslagerung von Funktionen bedienen, sieht die Neufassung der MaRisk – neben der ohnehin geforderten klaren Verteilung von Verantwortlichkeiten – zudem ein zentrales Auslagerungsmanagement vor.
Zu dem Entwurf der Neufassung führt die BaFin ein Konsultationsverfahren durch, das im April 2016 abgeschlossen werden soll. Die danach zu erwartende Neufassung der MaRisk wird wohl nicht lange auf sich warten lassen. Institute, die bereits Auslagerungen vorgenommen haben oder dies beabsichtigen, sollten daher die strengeren Anforderungen der BaFin an solche Auslagerungen berücksichtigen.
Sie haben Fragen oder Anmerkungen? Bitte kontaktieren Sie uns. Ansprechpartner sind alle Anwälte der Kanzlei; Verfasser dieses Beitrags ist RA Urs Böckelmann.
