Reduzieren Sie Risiken, erhöhen Sie Compliance und optimieren Sie Ihre Vendor-Beziehungen mit unseren praxiserprobten Strategien und Tools
Outsourcing boomt – und mit ihm die Risiken. Ob IT-Systeme, Cloud-Lösungen oder ganze Geschäftsprozesse: Finanzinstitute lagern heute mehr denn je aus. Doch während externe Dienstleister Leistungen übernehmen, bleibt die Verantwortung uneingeschränkt im Institut. Die Aufsicht schaut genau hin – und die Anforderungen steigen. Mit MaRisk, BAIT und den EBA-Guidelines wurden die Leitplanken gesetzt, ab 2025 verschärft die europäische DORA-Verordnung das Spielfeld erheblich: Jedes Institut muss seine Drittparteien systematisch steuern, Risiken umfassend dokumentieren und seine digitale Resilienz nachweisen.Wer hier nicht rechtzeitig handelt, riskiert nicht nur aufsichtsrechtliche Sanktionen, sondern auch operative Ausfälle und Reputationsschäden. Genau deshalb ist ein robustes Auslagerungs- und Drittparteienmanagement heute Pflicht – und ein entscheidender Wettbewerbsvorteil.
Ab Januar 2025 muss die europäische DORA-Verordnung verpflichtend angewendet umgesetzt werden.
Sie verpflichtet alle Finanzinstitute, IKT-Risiken systematisch zu steuern – auch bei Drittparteien gelten.
Die EBA-Leitlinie zum Drittparteienmanagement (aktuell im Entwurf) wird das bestehende Regelwerk verschärfen.
Ab 2026 wird sie europaweit einen einheitlichen Rahmen setzen – um die Anforderungen mit der DORA-Verordnung zu harmonisieren und Doppelregulierung zu vermeiden.
Die Mindestanforderungen an das Risikomanagement (MaRisk) bilden seit Jahren den verbindlichen Rahmen für das Auslagerungsmanagement und setzen die EBA-Leitlinien um.
Kein Institut kommt an MaRisk vorbei – sie sind das Fundament, auf dem alle weiteren nationalen und europäischen Anforderungen aufbauen.
Von der strategischen Entscheidung über Risikoanalysen und Vertragsgestaltung bis hin zu Monitoring und Exit-Strategien: Jede Phase bringt eigene regulatorische Anforderungen und praktische Herausforderungen mit sich. Wer den Prozess strukturiert aufsetzt, kann Auslagerungen und das Drittparteienmanagement nicht nur regulatorisch sicher, sondern auch effizient und wertschaffend gestalten.
In der Anbahnungsphase wählen Einkauf und Fachbereich den passenden Dienstleister mit seiner angebotenen Dienstleistung aus. Nach der Vorauswahl muss der Dienstleister einen Due-Diligence-Fragebogen beantworten. Der Umfang des Fragebogens hängt von der Einstufung der Dienstleistung ab: Unterstützt sie eine kritische/wichtige Funktion oder handelt es sich um eine Auslagerung, sind die Anforderungen deutlich strenger. Die Ergebnisse dieser Erhebung bilden die Grundlage für die weitere Risikoanalyse.
Kern der Risikoanalyse ist die Auswertung der Due-Diligence-Ergebnisse: Welche Risiken ergeben sich konkret aus der Nutzung des Dienstleisters? Entscheidend ist dabei die Klassifizierung – handelt es sich um eine Dienstleistung, die kritische oder wichtige Funktionen unterstützt, oder liegt eine Auslagerung vor? Davon hängt ab, wie tiefgehend die Steuerungs- und Überwachungsmaßnahmen ausfallen müssen.
Die vertragliche Ausgestaltung bildet die Grundlage für ein wirksames Auslagerungs-/Drittparteienmanagement. Abhängig davon, ob die Dienstleistung eine kritische/wichtige Funktion unterstützt oder als Auslagerung klassifiziert wurde, variieren die Anforderungen erheblich. In jedem Fall ist ein schriftlicher Vertrag erforderlich. Bei kritisch/wichtigen Dienstleistungen und Auslagerungen sind deutlich umfangreichere Anforderungen zu berücksichtigen.
In der Onboarding-Phase wird die Dienstleistung zur Nutzung vorbereitet. Dazu gehören die Meldung an die BaFin (bei kritischen/wichtigen Funktionen oder Auslagerungen), die Aufnahme in das Auslagerungs- und Informationsregister sowie die Konzeption des Notfallplans. Parallel erfolgt die Einbindung in interne Prozesse und Systeme.
Nach dem onboarding des Dienstleisters beginnt die Phase der laufenden Steuerung & Überwachung. Institute müssen ein Auslagerungs- oder Informationsregister führen, KPIs überwachen, Incidents managen und regelmäßig an die Geschäftsleitung berichten. Der Umfang dieser Pflichten richtet sich danach, ob die Dienstleistung kritische/wichtige Funktionen unterstützt oder als Auslagerung einzustufen ist.
Jede kritisch/wichtige Dienstleistung und Auslagerung muss einen Plan B haben. Exit-Strategien und Business Continuity Pläne sichern die Fortführung des Geschäftsbetriebs, falls ein Dienstleister ausfällt. Auch hier verlangt die Aufsicht eine differenzierte Ausgestaltung: Für Auslagerungen oder kritische/wichtige Dienstleistungen sind detaillierte Notfallszenarien, Substituierbarkeitsanalysen und Resilienztests zwingend vorgeschrieben, während für andere Dienstleistungen keine Notfallpläne notwendig sind.
Neben dem operativen Lebenszyklus braucht ein Auslagerungs- und Drittparteienmanagement auch ein klar strukturiertes Rahmenwerk, das aufsichtsrechtlich gefordert ist (u. a. MaRisk AT 9, EBA-Guidelines, DORA). Dieses reicht von der strategischen Ausrichtung über Richtlinien bis hin zu Arbeitsanweisungen und unterstützenden Dokumenten. Es stellt sicher, dass Governance, Verantwortlichkeiten und Prozesse im Institut verbindlich verankert, nachvollziehbar dokumentiert und jederzeit gegenüber der Aufsicht nachweisbar sind. Damit bildet es die Grundlage für ein wirksames Management über alle Phasen des Lebenszyklus hinweg.
Konsequente Umsetzung im Alltag– von Auswahl & Bewertung über Verträge und Meldungen bis zur laufenden Steuerung und Notfallvorsorge. Unsere Praxisbeiträge, Case Studies und Whitepaper zeigen, wie Institute Vorgaben effizient erfüllen und Mehrwert schaffen.
Whitepaper
Die EBA erweitert ihre Outsourcing-Regeln bis 2028 auf alle Drittparteibeziehungen – Institute müssen jetzt ihre komplette Drittanbieter-Strategie neu aufstellen. Unser Whitepaper zeigt Ihnen die konkreten Handlungsschritte und wie Sie die Transformation strategisch für sich nutzen.
Lassen Sie uns gemeinsam prüfen, wie Sie regulatorische Anforderungen praxisnah und effizient umsetzen können
30 Minuten für mehr Klarheit – Termin vereinbarenKostenlos & unverbindlich · 30 Minuten · Remote
