KAIT: Anforderungen an die IT von Kapitalverwaltungsgesellschaften

Einer der Aufsichtsschwerpunkte der BaFin für 2019 ist die IT-Infrastruktur der regulierten Unternehmen. Denn aufgrund der zunehmenden Digitalisierung der Finanzindustrie werden IT-Systeme und IT-Infrastruktur für Finanzinstitute immer wichtiger. Daher ist es für Institute von entscheidender Bedeutung, dass ihre IT-Systeme eine robuste Struktur aufweisen und sie sich der Risiken bewusst sind, die sich aus der Nutzung der IT ergeben können sowie dass sie für eventuelle Störfälle entsprechend vorbereitet sind. Denn nur so kann sichergestellt werden, dass das Unternehmen die Finanzdienstleistung dauerhaft und zuverlässig erbringen kann.

Zu diesem Zweck hat die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) am 08. April 2019 eine Konsultation zum Entwurf des Rundschreibens Kapitalverwaltungsaufsichtliche Anforderungen an die IT (KAIT) veröffentlicht. Das Rundschreiben enthält Hinweise zur Auslegung der nationalen und europarechtlichen Vorschriften über die Geschäftsorganisation, soweit sie sich auf die technisch-organisatorische Ausstattung (und damit auch auf die IT-Systeme) der Kapitalverwaltungsgesellschaften (KVGen) beziehen. Die BaFin verfolgt das Ziel, die IT-Sicherheit im Markt zu erhöhen und das IT-Risikobewusstsein in den KVGen zu schärfen und gibt dem Management mit dem Rundschreiben einen Rahmen für die technisch-organisatorische Ausstattung der IT, insbesondere auch für das Management der IT-Ressourcen und für das IT-Risikomanagement. Da immer mehr Unternehmen IT-Dienstleistungen von Dritten in Anspruch nehmen, regelt das Rundschreiben auch den Umgang mit Auslagerungen von IT-Aktivitäten und IT-Prozessen und holt so auch nicht-regulierte IT-Anbieter in ihr Aufsichtsspektrum. Der Entwurf steht bis zum 15. Mai 2019 zur Konsultation.

Im Einzelnen regelt das Rundschreiben:

  1. Die Verpflichtung der KVG, eine IT-Strategie vorzuhalten sowie u.a. Mindestinhalte dieser Strategie. Aufzunehmen ist z.B. die strategische Entwicklung der IT-Aufbau- und IT-Ablauforganisation der KVG, die Auslagerung von IT-Dienstleistungen, Aussagen zum Notfallmanagement und Aussagen zu in den Fachbereichen selbst betriebenen oder entwickelten IT-Systemen.
  2. Die Implementierung einer IT-Governance, also einer Struktur zur Steuerung sowie Überwachung des Betriebs und der Weiterentwicklung der IT-Systeme einschließlich der dazugehörigen IT-Prozesse auf Basis der IT-Strategie. Die KVG muss insbesondere Bereiche wie das Informationsrisikomanagement, den IT-Betrieb und die Anwendungsentwicklung mit quantitativ und qualitativ angemessenem Personal ausstatten, für IT-Risiken angemessene Überwachungs- und Steuerungsprozesse einrichten, sicherstellen, dass IT-bezogenen Geschäftsaktivitäten auf der Grundlage von Organisationsrichtlinien betrieben werden und im Störungsfall geeignete Notfallmaßnahmen ergriffen werden.
  3. Die internen Prozesse zum Informationsrisikomanagement. Die KVG hat die mit dem Management verbundenen Aufgaben, Kompetenzen, Verantwortlichkeiten, Kontrollen und Kommunikationswege klar zu definieren und aufeinander abzustimmen. Sie hat angemessene Überwachungs- und Steuerungsprozesse einzurichten. Dabei ist besonders auf IT-Risikokriterien, die Identifikation von IT-Risiken und die Festlegung des Schutzbedarfs für den IT-Betrieb einzugehen.
  4. Vorgaben zum Informationssicherheitsmanagement. Dies macht Vorgaben zur Informationssicherheit, definiert Prozesse, steuert deren Umsetzung und folgt einem fortlaufenden Prozess, der die Phasen Planung, Umsetzung, Erfolgskontrolle sowie Optimierung und Verbesserung umfasst. Die KVG muss zudem z.B. eine Informationssicherheitsleitlinie beschließen und die Funktion eines Informationssicherheitsbeauftragten einrichten.
  5. Die Implementierung eines Benutzerberechtigungsmanagement, das sicherstellt, dass den Benutzern eingeräumte Berechtigungen so ausgestaltet sind und genutzt werden, wie es den organisatorischen und fachlichen Vorgaben der KVG entspricht. Das Rundschreiben enthält detaillierte Vorgaben, z.B. dass die Vergabe von Berechtigungen an Benutzer nach dem Sparsamkeitsgrundsatz (Need-to-know-Prinzip) zu erfolgen hat.
  6. Die Regelungen für IT-Projekte und die Anwendungsentwicklung. So sind IT-Projekte und Veränderungen der IT-Systeme vor ihrer Übernahme in den produktiven Betrieb zu testen und von den fachlich sowie auch von den technisch zuständigen Mitarbeitern abzunehmen. Produktions-und Testumgebung sind dabei grundsätzlich von einander zu trennen. Für die Entwicklung neuer IT-Funktionen sind angemessene Prozesse festzulegen, die Vorgaben zur Anforderungsentwicklung, zum Entwicklungsziel, zur technischen Umsetzung, zur Qualitätssicherung, sowie zu Test, Abnahme und Freigabe enthalten.
  7. Vorgaben zum konkreten IT-Betrieb. So sind beim Betrieb der IT-Systeme etwa Risiken aus veralteten Systemen zu berücksichtigen. Zudem sind alle Komponenten der IT-Systeme sowie deren Beziehung zueinander in geeigneter Weise zu verwalten und die hierzu erfassten Bestandsangaben regelmäßig sowie anlassbezogen zu aktualisieren.
  8. Konkretisierungen der Anforderungen an die Auslagerung und den sonstigen Fremdbezug von IT-Dienstleistungen. So werden z.B. Sachverhalte aufgezählt, die die BaFin als Auslagerung von IT-Dienstleistungen ansieht, wie z.B. die Anpassung von Software an die Erfordernisse der KVG (Customising).

Fazit

Der Entwurf des Rundschreibens KAIT konkretisiert die Regelungen der Mindestanforderungen an das Risikomanagement von Kapitalverwaltungsgesellschaften (KAMaRisk), die Vorgaben des KAGB und der Delegierten Verordnung zu der Geschäftsorganisation einer KVG. Die BaFin legt damit ihre Verwaltungspraxis offen. KVGen bekommen dadurch detailliertere Vorgaben zu den aufsichtsrechtlichen Anforderungen, die ihre IT-Systeme und ihre IT-Infrastruktur erfüllen muss, was wiederum zu mehr Rechtssicherheit führt. Die Vorgaben sind prinzipienorientiert und lassen damit Raum für eine Aufsichtspraxis, die die Größe und die individuellen Geschäftsmodelle der KVGen berücksichtigt. Dem Investor kommen die aufsichtsrechtlichen Anforderungen an die IT wiederum deshalb zugute, da diese letztendlich eine kontinuierliche und störungsfreie Erbringung der Dienstleistung sicherstellen sollen.

EBA veröffentlicht neue Leitlinien zur Auslagerung

Auslagerungen werden gerade in Zeiten von innovativen, digitalen Finanztechnologien (FinTech) immer wichtiger. Denn durch die Auslagerung, also die Übertragung von bestimmten Aufgaben auf externe Dienstleister, haben etablierte Bank- und Zahlungsdienstleistungsinstitute die Möglichkeit, sich Zugang zu den neuesten technischen Entwicklungen zu verschaffen, wenn sie diese nicht selbst entwickeln.

Am 25. Februar 2019 hat die Europäische Bankenaufsichtsbehörde (European Banking AuthorityEBA) ihren finalen Bericht über neue Leitlinien zur Auslagerung veröffentlicht, die am 30. September 2019 in Kraft treten werden. Damit werden die CEBS-Leitlinien (Committee of European Banking Supervisors, Vorgängerbehörde der EBA) von 2006 abgelöst, die nur für Kreditinstitute gelten. Die neuen Leitlinien sollen nicht nur für Kreditinstitute, sondern auch für Zahlungsdienstleister (nachfolgend zusammen Institute) gelten und somit die bestehenden Auslagerungsregelungen für die Marktteilnehmer vereinheitlichen (sog. level playing field). Auch die Empfehlungen der EBA zur Auslagerungen an Cloud-Dienstleister aus dem Jahr 2017 wurden in die neuen Leitlinien aufgenommen und somit ein vollumfängliches Regelwerk zur Auslagerung geschaffen.

Inhalt der neuen Leitlinien

Im Einzelnen sehen die neuen Auslagerungs-Leitlinien insbesondere folgende Regelungen vor:

  1. Die EBA empfiehlt, dass Institute vor geplanten Auslagerungsvereinbarungen die zuständige Behörde informieren bzw. mit ihr in einen Dialog über die geplante Auslagerung treten, insbesondere, wenn kritische Funktionen ausgelagert werden sollen.
  2. Die EBA-Leitlinien stellen zudem Regelungen für Auslagerungen innerhalb einer Gruppe auf. Bei gruppeninternen Auslagerungen müssen die EU-Mutterunternehmen z.B. sicherstellen, dass interne Prozesse und Mechanismen so strukturiert sind, dass die Vorgaben der Leitlinien umgesetzt werden können.
  3. Die neuen Leitlinien enthalten zudem eine Negativliste über Sachverhalte, die nicht als Auslagerung zu qualifizieren sind. So wird zum Beispiel klargestellt, dass weder die Unterhaltung von Räumlichkeiten eines Instituts, noch der Bezug von Gütern und Versorgungsdienstleistungen (wie Strom, Telefon etc.) eine Auslagerung darstellt.  
  4. Die Geschäftsführung eines Instituts muss eine schriftliche Auslagerungs-Policy beschließen, diese regelmäßig überprüfen und ihre Umsetzung sicherstellen. Die Regelungen, die die EBA in den Leitlinien vorgibt, sind wesentlich detaillierter als die Vorgaben des BaFin Rundschreibens 09/2017 (BA) – Mindestanforderungen an das Risikomanagement (MaRisk).
  5. Gleiches gilt für die Vorgaben zu möglichen Interessenskonflikten, die aufgrund von Auslagerungen entstehen können. Diese sind zu identifizieren, zu bewerten und zu managen. Zudem sehen die Leitlinien Regelungen für Interessenskonflikte vor, die bei gruppeninternen Auslagerungen entstehen.
  6. Geregelt ist zudem die Führung eines detaillierten Registers über alle Auslagerungsvereinbarungen. Das Register soll z.B. zwischen der Auslagerung von kritischen bzw. wichtigen Funktionen und anderen Auslagerungen unterscheiden. Die Leitlinien sehen Regelungen zu den Informationen vor, die in dem Register für alle Auslagerungen vorzuhalten sind, sowie Regelungen zu zusätzlichen Informationen, die im Falle der Auslagerung kritischer Funktionen vorzuhalten sind.
  7. Bevor Auslagerungsvereinbarungen geschlossen werden, sollen die Institute eine fundierte Analyse durchführen (pre-outsourcing analysis). Dabei soll z.B. bewertet werden, ob es sich um die Auslagerung von kritischen Funktionen handeln wird, ob die aufsichtsrechtlichen Anforderungen an Auslagerungen erfüllt werden und ob eine angemessenen due diligence Prüfung des Auslagerungsunternehmens durchgeführt wurde.
  8. Auch bzgl. des Inhalts von Auslagerungsverträgen sehen die Leitlinien detaillierte Regelungen vor, die über die Vorgaben der MaRisk deutlich hinausgehen und konkreter die Anforderungen an aufsichtsrechtlich zulässige Auslagerungsverträge beschreiben.
  9. Zudem sehen die Leitlinien vor, dass die Institute Exit-Strategien für den Fall der Beendigung einer Auslagerungsvereinbarung über kritische Funktionen vorsehen. Die EBA gibt in den Leitlinien detailliert vor, welche Anforderungen die Institute dabei zu beachten haben.

Ab wann sind die neuen Leitlinien anzuwenden?

Die neuen Leitlinien gelten ab dem 30. September 2019 für alle Auslagerungsverträge, die ab diesem Zeitpunkt abgeschlossen, überprüft oder geändert werden, spätestens jedoch ab dem 31. Dezember 2021. Neuverträge, die ab dem 30. September abgeschlossen werden, sind also von Beginn an an die Regelungen in den EBA Leitlinien auszurichten. Altverträge, die vor dem 30. September 2019 bestanden, müssen auf die Regelungen der neuen Leitlinien angepasst werden, wenn sie nach dem 30. September überprüft oder geändert werden, spätestens jedoch bis zum 31. Dezember 2021.

Fazit

Die Leitlinien werden einen einheitlichen Regelungsrahmen bezüglich aufsichtsrechtlicher Anforderungen an Auslagerungen sowohl für Kreditinstitute als auch für Zahlungsdienstleister schaffen. Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) setzt die Leitlinien in der Regel in deutsches Recht um, sodass davon auszugehen ist, dass z.B. die Vorgaben der MaRisk entsprechend angepasst werden. Darauf sollten sich die Institute einstellen und sowohl bestehende Verträge als auch interne Prozesse entsprechend anpassen.

EBA konsultiert ein harmonisiertes Auslagerungsregime – Was erwartet den deutschen Markt?

Seit 22. Juni und noch bis 24. September 2018 konsultiert die EBA Richtlinien für ein harmonisiertes Auslagerungsregime. Anknüpfend an die Leitlinien zum Outsourcing des Commitee of European Banking Supervisors (CEBS) aus dem Jahr 2006, die nur für Kreditinstitute Anwendung finden, möchte die EBA nun einen gemeinsamen europäischen Rahmen für Kreditinstitute und Finanzdienstleistungsunternehmen, Zahlungs- und E-Geld-Institute schaffen. Erfasst sind von dem neuen Vorstoß damit Institute, die der CRR und der PSD2 unterliegen. Nach wie vor nicht erfasst sind Fondsmanager. Grund dafür ist einfach, dass die EBA für diesen Bereich nicht zuständig ist. Hier wäre eine Zusammenarbeit mit der ESMA, die für den Fondsbereich Leitlinien erlassen kann, wünschenswert gewesen.

Zu begrüßen ist der Vorstoß der EBA dennoch vor dem Hintergrund, dass gerade für die FinTech-Szene Auslagerungen ein wichtiges Thema sind. Etablierte Institute, die intern keine eigenen Innovationen entwickeln, suchen häufig Kooperationspartner aus der FinTech-Szene. Im Rahmen solcher Kooperationen werden innovative Ideen von den etablierten Instituten angeboten, aber die (IT-)Leistungen erbringen oft die FinTechs im Rahmen einer Auslagerung. Es ist sicher sinnvoll, auf europäischer Ebene einen gemeinsamen Rahmen für Auslagerungen zu schaffen, damit auch FinTech-Unternehmen, die grenzüberschreitend tätig sein wollen, nicht mehrere nationale Standards einhalten müssen, was wiederum Kosten verursacht. Die Empfehlungen der EBA zur Auslagerung an Cloud-Anbieter,die bereits im März 2018 veröffentlicht wurden, sind in die Konsultation integriert worden.

Nach dem Vorschlag der EBA werden die Anforderungen an das Auslagerungsmanagement und an Auslagerungsverträge für CRR-Institute und Zahlungsinstitute angeglichen. Die Vorgaben des Zahlungsdiensteaufsichtsgesetzes (ZAG), das für Zahlungs- und E-Geld-Institute gilt, waren bislang weniger streng als die des Kreditwesengesetzes (KWG), das für Kreditinstitute und Finanzdienstleistungsunternehmen Anwendung findet. In der Praxis orientierten sich aber auch Zahlungsdienstleister bereits an der Verwaltungspraxis der BaFin zum Outsourcing für Kreditinstitute. Ein neuer einheitlicher Rahmen verschafft hier Klarheit. Da der Proportionalitätsgrundsatz auch nach den konsultierten Auslagerungsleitlinien erhalten bleiben soll, können Institute und Zahlungsinstitute künftig weiterhin abhängig von ihrem Geschäftsmodell ihr Auslagerungsmanagement in angemessener Weise gestalten.

Zentrale Punkte bleiben weiterhin, dass Auslagerungen im Risikomanagement abgebildet werden müssen, dass interne Kontrollmechanismen etabliert werden, dass die Datensicherheit in jedem Fall gewährleistet bleibt und dass das Institutsmanagement die letzte Verantwortung für ausgelagerte Prozesse behält. Die Vorgaben an Auslagerungsverträge bringen ebenfalls keine Neuerungen. Festgeschrieben ist nun, dass Serviceleistungen, die eine Erlaubnis einer Aufsichtsbehörde erfordern, nur von lizensierten Dienstleistern erbracht werden dürfen. Jedes Institut soll künftig eine schriftlich festgehaltene Auslagerungs-Policy vorhalten, deren Vorgaben etwas ausführlicher sind, als das bisher der Fall ist. Eine recht aufwändige Neuerung ist, dass geplante Auslagerungen von kritischen oder wichtigen Funktionen, inklusive wesentlicher Auslagerungen an Cloud-Servicedienstleister, nach dem Entwurf der EBA künftig vorher der zuständigen Behörde angezeigt werden sollen. Auch wesentliche Änderungen in einem solchen Auslagerungsverhältnis sollen der Behörde zeitnah mitgeteilt werden. Hier wird abzuwarten sein, wie sich die Verwaltungspraxis entwickelt.

Der Vorschlag der EBA enthält auch Vorgaben zu Auslagerungen an Drittstaaten-Servicedienstleister. Ein Anwendungsfall für solche Drittstaaten-Auslagerungen kann laut EBA etwa sein, dass ein Drittstaateninstitut, das Zugang zum europäischen Markt hat oder sucht, nicht seine gesamte Infrastruktur neu aufbauen muss, sondern bestehende, im Drittstaat bereits vorhandene Infrastruktur (etwa in der eigenen Gruppe) im Rahmen einer Auslagerung auch für die innereuropäische Einheit nutzen kann. Damit ist die Konsultation der EBA auch für den bevorstehenden Brexit relevant. Sofern UK im Fall eines harten Brexits zum Drittstaat würde und UK-Institute Geschäftsbereich in die EU verlagern, kann so in einem gewissen Rahmen auch vorhandene Infrastruktur grenzüberschreitend genutzt werden. Es ist nun ausdrücklich geregelt, was bislang bereits galt, nämlich dass Bankgeschäfte und Zahlungsdienste nur an Dienstleister in Drittstaaten ausgelagert werden dürfen, wenn diese in dem Drittstatt beaufsichtigt sind und es eine geregelte Zusammenarbeit zwischen der Drittstaatenaufsicht und der zuständigen Aufsichtsbehörde in dem jeweiligen EU-Staat gibt.

Insgesamt handelt es sich bei der Konsultation um einen weitgesteckten Rahmen, der die derzeitige deutsche Auslagerungspraxis nicht wesentlich verändern wird.