Schlagwort: Anforderungen

Cloudfeld

Cloudcomputing für Banken – Eine gute Vorbereitung ist entscheidend

Die rich­ti­ge Cloud Stra­te­gie als Erfolgsbasis

Die hohe Geschwin­dig­keit des Wan­dels setzt Ban­ken aller Grö­ßen­ord­nun­gen unter Druck, die Agi­li­tät zu erhö­hen, die Digi­ta­li­sie­rung vor­an­zu­trei­ben und Inno­va­tio­nen zu beschleu­ni­gen. Auf­grund die­ser Ent­wick­lun­gen stellt sich nicht mehr die Fra­ge, “ob“, son­dern „wann“ und in wel­chem Umfang die Cloud­nut­zung für ein Finanz­in­sti­tut ein ech­tes The­ma sein wird.

Ein­her­ge­hend mit der Cloud­nut­zung wird u. a. eine Ver­rin­ge­rung von Kos­ten, eine stets moder­ne Infra­struk­tur und die Ein­hal­tung von stren­gen Sicherheits‑, Com­pli­an­ce– sowie regu­la­to­ri­schen Anfor­de­run­gen in Aus­sicht gestellt. Selbst den Zweif­lern ist nun klar, dass eine „digi­ta­li­sier­te Bank“ eine Men­ge zu bie­ten hat. Inno­va­tio­nen ermög­li­chen immer mehr neue Pro­duk­te, Pro­zes­se oder neue bzw. erwei­ter­te Geschäfts­mo­del­le. Inno­va­ti­ons­zy­klen wer­den kür­zer und offe­ner. Zudem wer­den die Daten zusam­men mit der IT-Infra­struk­tur immer mehr zu einem Innovationstreiber.

Wie geht man ein der­ar­ti­ges Vor­ha­ben rich­tig an, wel­che Ent­schei­dun­gen und Vor­be­rei­tun­gen sind not­wen­dig und was sind die kri­ti­schen Erfolgsfaktoren?

Grund­sätz­lich braucht ein der­ar­ti­ges Vor­ha­ben zu Beginn die Bereit­schaft, sich auf Ver­än­de­run­gen ein­zu­las­sen. Es han­delt sich dabei erst­mal um ein Vor­ha­ben, das mit kon­kre­ten fach­lich-funk­tio­na­len und pro­zes­sua­len Anfor­de­run­gen unter­legt wer­den soll­te. Im Grun­de geht es um die Defi­ni­ti­on einer indi­vi­du­ell aus­zu­ar­bei­ten­den Cloud Stra­te­gie. Ein Me-too-Ansatz, d. h. die Imi­ta­ti­on bereits defi­nier­ter Stra­te­gien ist nicht zwangs­läu­fig erfolgreich.

Die fol­gen­de Abbil­dung gibt einen ers­ten Über­blick, wel­che Sta­ke­hol­der Anfor­de­run­gen an die Cloud­nut­zung defi­nie­ren, wel­cher Nut­zen ermög­licht wer­den kann und wel­che Ange­bo­te grund­sätz­lich in Fra­ge kommen:

Abbil­dung 1: Bei der Cloud Stra­te­gie sind unter­schied­li­che „Anfor­de­rer“ mit einzubeziehen

Ins­ge­samt han­delt es im Rah­men der Cloud Stra­te­gie um eine kon­struk­ti­ve Kon­ver­sa­ti­on, in der es um pro­zes­sua­le, funk­tio­na­le und archi­tek­to­ni­sche Ent­schei­dun­gen geht. Die Basis des geschäft­li­chen Erfolgs bil­den mit hoher Wahr­schein­lich­keit archi­tek­to­nisch gute Sys­te­me mit dem rich­tig defi­nier­ten Ser­vice­an­ge­bot. Die Clou­dan­bie­ter bie­ten ent­spre­chen­de Frame­works an, um sich mit den rele­van­ten grund­le­gen­den Fra­gen aus­ein­an­der­zu­set­zen. Ein gutes Ver­ständ­nis der nutz­ba­ren IT-Ser­vices eines Clou­dan­bie­ters sind für eine Erst­ein­schät­zung und deren Rea­li­sier­bar­keit hilfreich.

Die The­men einer Cloud Stra­te­gie bekom­men je Insti­tut sicher­lich eine unter­schied­li­che Gewich­tung. Die fol­gen­de Auf­stel­lung kann jedoch für eine ers­te Ein­ord­nung dienen.

1. Prüfung bzgl. nutzbarer Cloud-Modelle

  • Im ers­ten Schritt soll­te es dar­um gehen, die in Fra­ge kom­men­den Cloud­mo­del­le zu ver­ste­hen und sei­ne Anwen­dungs­land­schaft ent­spre­chend zu clus­tern, wel­che Tei­le der IT in die Cloud ver­la­gert wer­den kön­nen und wel­ches Modell in Fra­ge kommt.
  • Die Unter­schei­dung nach Pri­vat Cloud, Public Cloud, Hybrid Cloud usw. ist hier­bei zu bewer­ten. Dabei soll­ten die unter­schied­li­chen Vor­tei­le der Model­le abge­wo­gen werden.
  • Grund­le­gen­de und wesent­li­che Cha­rak­te­ris­ti­ka der Bereit­stel­lung und der Bedie­nung sind näher zu betrachten.
  • Defi­ni­ti­on der Cloud­bau­stei­ne sowie der grund­le­gen­den glo­ba­len Infrastruktur
  • Iden­ti­fi­zie­ren von Quel­len für Doku­men­ta­ti­on oder tech­ni­sche Unter­stüt­zung (zum Bei­spiel White­pa­per oder Sup­port-Tickets des Cloudanbieters)

2. Festlegung von Infrastruktur Prinzipien für einen effizienten Betrieb

  • Im zwei­ten Schritt wer­den Anfor­de­run­gen defi­niert, die sich an die Bereit­stel­lung und den Betrieb der Infra­struk­tur in der Cloud ergeben.
  • Es sind Mög­lich­kei­ten zu prü­fen, wel­che Preis­mo­del­le und Moni­to­ring-Ser­vices ange­bo­ten wer­den. Es sind Ser­vices zu wäh­len, die:
  • die Ent­wick­lung unter­stüt­zen und Workloads effek­tiv ausführen
  • Ein­bli­cke in die Betriebs­ab­läu­fe gewäh­ren und
  • den geschäft­li­chen Mehr­wert unter­stüt­zen­de Pro­zes­se und Ver­fah­ren fort­lau­fend verbessern.
  • Zu betrach­ten sind eben­falls Ser­vices für die Nut­zung tech­ni­scher Kom­po­nen­ten der Infra­struk­tur (Ser­ver, Daten­ban­ken, Spei­cher, Netz­werk usw.). Hier­bei geht um die Iden­ti­fi­ka­ti­on von Ser­vices, die den tech­ni­schen Betrieb, die Last­ver­tei­lung, Ska­lie­rung usw. betreffen.

3. Festlegung von Anforderungen an die Sicherheit, Definition von Schutzmaßnahmen

  • Bei den Prin­zi­pi­en zur Sicher­heit wird beschrie­ben, wie Daten, Sys­te­me und Kom­po­nen­ten geschützt wer­den können.
  • Es geht hier dar­um, wie Cloud-Tech­no­lo­gien genutzt wer­den kön­nen, um die Sicher­heits­la­ge zu ver­bes­sern, bzw. um regu­la­to­ri­sche Anfor­de­run­gen mit Ser­vices in der Cloud abzu­de­cken. Die klas­si­schen The­men sind das Benutzer­ma­nage­ment für die Orga­ni­sa­ti­on, Authen­ti­fi­zie­rungs­ver­fah­ren, Iden­ti­fi­zie­rungs- und Zugriffs­ver­fah­ren, Ein­satz auto­ma­ti­sier­ter Sicher­heits­ver­fah­ren, Schutz der Daten sowie die Tren­nung von Daten und Nutzern.
  • Zu defi­nie­ren sind Haupt­aspek­te für Sicher­heit und Com­pli­an­ce der Cloud-Platt­form und des Sicherheitsmodells.

4. Festlegung von Prinzipien zur Erreichung einer zuverlässigen und effizienten Infrastruktur

  • Durch die Vor­ga­be von KPIs oder beim Über­schrei­ten von Schwell­wer­ten kön­nen auto­ma­ti­sier­te Reak­tio­nen aus­ge­löst wer­den. Hier­bei geht es nicht nur um tech­ni­sche KPIs, son­dern auch um Kenn­zah­len von Geschäftsabläufen.
  • Eine „tem­po­rä­re“ Test­um­ge­bung kann effi­zi­ent und fle­xi­bel kon­fi­gu­riert wer­den, um fest­zu­stel­len, wel­che Ereig­nis­se zu Feh­lern füh­ren. Kos­ten fal­len dann ledig­lich für die Nut­zung der Test­um­ge­bung an.
  • Die Mes­sung von Kapa­zi­täts­aus­las­tun­gen, Ska­lie­run­gen, Elas­ti­zi­tä­ten sowie die Nut­zung steu­ern­der Ser­vices ver­ein­facht das tech­ni­sche Design erheblich. 
  • Zusätz­li­che Ser­vices, wie auto­ma­ti­sier­te Benach­rich­ti­gun­gen, ergän­zen das Ser­vice­an­ge­bot. Ser­vice­kon­tin­gen­te und die Netz­werk­to­po­lo­gie müs­sen für die zu erbrin­gen­den Geschäfts­ab­läu­fe ange­mes­sen defi­niert sein. Je nach Preis­mo­dell kön­nen durch geziel­te Buchung von Kapa­zi­tä­ten oder Volu­mi­na Kos­ten deut­lich redu­ziert werden.

5. Prüfung Kostenmanagement und Preismodelle

  • Im Rah­men der ange­bo­te­nen Preis­mo­del­le geht es um den kos­ten­op­ti­mier­ten Betrieb der defi­nier­ten Infra­struk­tur. Für die Opti­mie­rung der Kos­ten wer­den im Rah­men der Kon­to­ver­wal­tung und im Preis­ma­nage­ment von den Clou­dan­bie­tern Ser­vices zur Redu­zie­rung der Kos­ten angeboten.

6. Einleitung des Transformationsprozesses

  • Durch den Umzug in die Cloud erge­ben sich struk­tu­rel­le, pro­zes­sua­le, orga­ni­sa­to­ri­sche sowie wirt­schaft­li­che Veränderungen.
  • Ver­ant­wor­tun­gen und Zustän­dig­kei­ten ver­la­gern sich, Anfor­de­rungs­pro­fi­le ändern sich. So könn­te bei­spiel­wei­se ein IT-Mit­ar­bei­ter statt einer ope­ra­ti­ven Ver­ant­wor­tung für den Betrieb einer Platt­form in die Rol­le eines Dienst­leis­ter­steue­rers für Platt­for­men wechseln.
  • Ver­än­de­run­gen sind bereits im Rah­men der Cloud Stra­te­gie auf Pro­zess­ebe­ne zu iden­ti­fi­zie­ren und deren Umsetz­bar­keit in der Cloud zu verifizieren.
  • Da sich durch die Cloud­nut­zung v. a. auch das Risi­ko­pro­fil des Insti­tuts ver­än­dert, sind in der fol­gen­den Abbil­dung Aus­zü­ge wesent­li­cher Risi­ken auf­ge­führt, die von Ände­run­gen betrof­fen sind.
Abbil­dung 2: Ver­än­der­tes Risi­ko­pro­fil durch Cloudnutzung

Was sind nun die Gewinner bzw. Verlierer?

Durch eine Viel­zahl erfolg­rei­cher Pro­jek­te ken­nen wir die kri­ti­schen Erfolgs­fak­to­ren auf der stra­te­gi­schen und der ope­ra­ti­ven Ebe­ne und ver­fü­gen über umfang­rei­che Erfah­run­gen bei der Aus­rich­tung des Geschäfts­mo­dells bzw. der Errei­chung der gewünsch­ten Posi­tio­nie­rung durch eine indi­vi­du­ell defi­nier­te Cloud Strategie.

Ger­ne sichern wir Ihren Pro­jekt­er­folg mit unse­rer Metho­den- und Umset­zungs­kom­pe­tenz in die­sem kom­ple­xen Themenumfeld.

Nut­zen Sie unse­re umfang­rei­chen Erfah­run­gen und spre­chen Sie mit uns:

ban­kon Manage­ment Con­sul­ting GmbH & Co. KG
Max-Planck-Str. 8
85609 Aschheim/München
Tel.: (089) 99 90 97 90
Fax: (089) 99 90 97 99
Web: https://​www​.ban​kon​.de
E‑Mail: research@bankon.de


Horizont

„Handlungsdruck für Banken – BAIT-Neuerungen 2021“

Als 2017 die Bank­auf­sicht­li­chen Anfor­de­run­gen an die IT, kurz BAIT, als Kon­kre­ti­sie­rung der in den MaRisk gere­gel­ten regu­la­to­ri­schen Anfor­de­run­gen an die Infor­ma­ti­ons­tech­nik von Ban­ken ein­ge­führt wur­den, ging ein Rau­nen durch die Com­mu­ni­ty. In der BAIT wur­de erst­mals kon­kret vor­ge­ge­ben, wie die Auf­sicht sich die regu­la­to­rik­kon­for­me Aus­ge­stal­tung der Ban­ken IT vor­stellt. Zwar galt für die BAIT das Pro­por­tio­na­li­täts­prin­zip, das eine Aus­ge­stal­tung anhand der kon­kre­ten Situa­ti­on des jewei­li­gen Insti­tuts zuließ. Prü­fungs­er­fah­run­gen von EZB, Bun­des­bank, BaFin, aber auch der haus­ei­ge­nen Revi­si­ons­ab­tei­lun­gen haben jedoch gezeigt, dass die BAIT nicht als gestal­tungs­frei­er „Papier­ti­ger“ ver­stan­den, son­dern als „umzu­set­zen“ vor­ge­ge­ben wer­den. Die spe­zi­fi­schen Anfor­de­run­gen für kri­ti­sche IT-Struk­tu­ren in dem im Jahr 2018 ergänz­ten KRITS-Modul mach­ten deut­lich, dass der mit der BAIT ein­ge­schla­ge­ne Weg sei­tens der BaFin kon­se­quent fort­ge­führt wird.

Zwei Jah­re sind seit­dem ver­gan­gen. Vie­le Insti­tu­te sind auch heu­te noch damit beschäf­tigt, die auf Grund­la­ge der BAIT erfolg­ten Fest­stel­lun­gen aus inter­nen und exter­nen Prü­fun­gen zu bear­bei­ten und ihre IT com­pli­ant zu gestal­ten. Da steht auch bereits eine signi­fi­kan­te Erwei­te­rung der Anfor­de­run­gen aus der BAIT in den Start­blö­cken. 2020 erfolg­te die Kon­sul­ta­ti­ons­pha­se mit den Insti­tu­ten. Für das kom­men­de Jahr 2021 ist vom Go-live der neu­en Ansprü­che auszugehen.

Drei neue Kapi­tel ergän­zen die bestehen­den Anfor­de­run­gen, von denen die ope­ra­ti­ve IT-Sicher­heit und das IT-Not­fall­ma­nage­ment die bei­den bedeut­sa­me­ren sind im Ver­gleich zum Kapi­tel Kun­den­be­zie­hun­gen zu Zahlungsdienstleistern.

Mit dem neu­en Kapi­tel „ope­ra­ti­ve IT-Sicher­heit“ wer­den die bis­he­ri­gen Anfor­de­run­gen an Netz­werk­si­cher­heit, Sys­tem­här­tung, Pene­tra­ti­ons- und Schwach­stel­len­test geschärft und in einem eige­nen Kapi­tel gebündelt.

Das neue Kapi­tel IT-Not­fall­ma­nage­ment trägt der Tat­sa­che Rech­nung, dass sich die EBA-Gui­de­li­nes expli­zit mit die­sem Hand­lungs­feld befas­sen und ergänzt die BAIT um Inhal­te des IT-Not­fall­ma­nage­ments sowie des Busi­ness-Con­ti­nui­ty-Manage­ments. Neben der Identifi­kation der für Not­fäl­le rele­van­ten Res­sour­cen und Pro­zes­se ste­hen Maß­nah­men zur Gewähr­leis­tung der Fort­füh­rung des Geschäfts­be­triebs im Fal­le von Not­fäl­len im Fokus die­ses Kapi­tels. Hin­zu kom­men Anfor­de­run­gen an die Durch­fü­gung von Tests und Übun­gen zur Sicher­stel­lung der Wirk­sam­keit der defi­nier­ten Vorkehrungen.

Über die neu­en Kapi­tel hin­aus wur­den auch bestehen­de Stel­len kon­kre­ti­siert oder erwei­tert. Eine wesent­li­che Ver­än­de­rung im Ver­gleich zu der bestehen­den BAIT liegt im pro­zes­sua­len Betrachtungsgegenstand.

Stan­den bis­her die IT-Pro­zes­se sowie die IT-Sys­te­me als Infor­ma­ti­ons­ver­bund im Mit­tel­punkt der Betrach­tung, sind jetzt sämt­li­che Geschäfts­pro­zes­se im Fokus, und zwar hin­sicht­lich ihrer Unter­stüt­zung mit­tels IT-Anwen­dun­gen, Infra­struk­tu­ren und Daten. Die­ses ist neu und erwei­tert den Scope nach­hal­tig. Vor allem auch des­halb, weil die Ein­bin­dung von exter­nen Dienst­leis­tungs­part­nern nicht mehr pri­mär auf das Hand­lungs­feld Sourcing/Dienstleister­steuerung beschränkt ist. Viel­mehr sind die IT-rele­van­ten Ele­men­te ihrer Leistungsunter­stützung im Pro­zess rele­van­te Scopes. Der Infor­ma­ti­ons­ver­bund als Betrach­tungs­ge­gen­stand erhält so eine ande­re Kom­ple­xi­tät, die es in der Bank regu­la­to­risch zu mana­gen gilt.

Eben­so eine Aus­wei­tung erfah­ren die Anfor­de­run­gen an IT-Ser­vice­pro­zes­se. So sind mit der Erwei­te­rung der BAIT die bei­den ITIL-Pro­zes­se Capa­ci­ty-Manage­ment und Avai­la­bi­li­ty-Manage­ment in den Insti­tu­ten zu etablieren.

Das Capa­ci­ty-Manage­ment sichert die Kapa­zi­tät der IT-Ser­vices sowie der IT-Infra­struk­tur. Ziel ist, dass alle Kom­po­nen­ten der IT-Ser­vices die ver­ein­bar­ten Kapa­zi­täts- und Per­for­mance­zie­le errei­chen, auch unter Berück­sich­ti­gung zukünf­ti­ger Anforderungen.

Das Avai­la­bi­li­ty-Manage­ment stellt die Ver­füg­bar­keit der IT-Ser­vices sicher, in dem alle Kom­po­nen­ten der IT-Ser­vices die ver­ein­bar­ten Ver­füg­bar­keits­zie­le erreichen.

Wich­tig ist hier­bei der Bezug zu den oben beschrie­be­nen Aus­wei­tun­gen in der Defi­ni­ti­on des Infor­ma­ti­ons­ver­bun­des. Dadurch wird deut­lich, dass eine bank­in­ter­ne Betrach­tung der bei­den neu­en Pro­zes­se zu kurz greift und die betei­lig­ten Dienst­leis­tungs­part­ner ein­zu­bin­den sind.

Nach­ste­hen­de Abbil­dung fasst die­se neu­en, respek­ti­ve ver­schärf­ten Ansprü­che der BAIT-Anfor­de­rung zusam­men und zeigt, wel­che Effek­te die­se auf die Insti­tu­te erwar­ten lassen.

Schon auf den ers­ten Blick wird deut­lich, dass die neu­en eben­so wie die erwei­ter­ten Anfor­de­run­gen der BAIT nicht mit­tels eines „Quick Hit“ zu bewäl­ti­gen sind. Zu umfang­reich waren und sind die Her­aus­for­de­run­gen aus den 2017 und 2018 for­mu­lier­ten Anfor­de­run­gen der BAIT für die Banken.

Ent­spre­chend der indi­vi­du­el­len Aus­gangs­si­tua­ti­on des Insti­tuts und dem Grad der für die eige­ne IT gewähl­ten Stan­dar­di­sie­rung gibt es hin­sicht­lich des Umset­zungs­ho­ri­zonts kurz­fris­ti­ge Aspek­te, grund­sätz­lich aber eher eine lang­fris­ti­ge Per­spek­ti­ve. Durch die Aus­wei­tung des Infor­ma­ti­ons­ver­bun­des sind die BAIT kein aus­schließ­li­ches IT-The­ma mehr, son­dern ein Pro­zess­the­ma, das die IT-Unter­stüt­zung des jewei­li­gen Pro­zes­ses im Fokus hat. Damit sind neben den Spe­zia­lis­ten des eige­nen IT-Bereichs zuneh­mend sol­che der rele­van­ten Dienst­leis­tungs­part­ner ein­zu­bin­den. Dar­über hin­aus sind auch Exper­ten aus den Fach­be­rei­chen der Bank zu involvieren.

Damit wird deut­lich, dass ins­ge­samt ein hoher Auf­wand für die Insti­tu­te mit der Umset­zung der Neue­run­gen in der BAIT ver­bun­den ist.

Vor die­sem Hin­ter­grund sind zwei Tätig­kei­ten von her­aus­ge­ho­be­ner Bedeu­tung. Ers­tens die Iden­ti­fi­ka­ti­on des Infor­ma­ti­ons­ver­bunds für die betrof­fe­nen Geschäfts­pro­zes­se, um den Hand­lungs­rah­men und die ein­zu­bin­den­den Par­tei­en trans­pa­rent und voll­stän­dig zu iden­ti­fi­zie­ren. Zwei­tens die dar­auf auf­bau­en­de Ablei­tung einer Umset­zungs­road­map, die auch den aktu­el­len Sta­tus quo des Insti­tuts berücksichtigt.

Um die­ses so ziel­ge­rich­tet wie mög­lich zu tun, ist nicht nur die Kennt­nis der regu­la­to­ri­schen Anfor­de­run­gen ent­schei­dend. Wesent­lich bedeut­sa­mer ist die umfang­rei­che Pra­xis­ex­per­ti­se zu Bank­pro­zes­sen sowie der in den Pro­zes­sen ein­ge­setz­ten IT-Sys­te­me und ihrer Schnitt­stel­len unter­ein­an­der. In Kom­bi­na­ti­on mit Erfah­run­gen aus Audit- und Umset­zungs­pro­jek­ten im Kon­text Ban­ken­re­gu­la­to­rik stel­len sie die kri­ti­schen Erfolgs­fak­to­ren dar, eine effi­zi­en­te Umset­zung der BAIT-Neue­run­gen zu pla­nen und durchzuführen.

Exper­ti­se ban­kon Manage­ment Consulting

Die Exper­ti­se der ban­kon-Bera­ter aus mehr als fünf­zehn Jah­ren Erfah­rung mit Pro­jek­ten im Kon­text IT-Regu­la­to­rik sichert pra­xis­er­prob­tes Wis­sen. Umfang­rei­che Kennt­nis von Orga­ni­sa­ti­ons­struk­tu­ren, Pro­zes­sen und IT-Sys­te­men deut­scher Ban­ken und Spar­kas­sen gewähr­leis­ten den erfor­der­li­chen fach­li­chen und tech­ni­schen Hintergrund.

Auf die­ser Grund­la­ge unter­stützt ban­kon effi­zi­ent und ziel­ge­rich­tet in der Iden­ti­fi­ka­ti­on aller betei­lig­ten Assets am Infor­ma­ti­ons­ver­bund, der effi­zi­en­ten Erstel­lung einer Umsetzungs­roadmap für die BAIT-Neue­run­gen sowie der Umset­zung selbst.

Nut­zen Sie unse­re umfang­rei­chen Erfah­run­gen und spre­chen Sie mit uns:

ban­kon Manage­ment Con­sul­ting GmbH & Co. KG
Max-Planck-Str. 8
85609 Aschheim/München
Tel.: (089) 99 90 97 90
Fax: (089) 99 90 97 99
Web: https://​www​.ban​kon​.de
E‑Mail: research@bankon.de


Heizung

„IT-Regulatorik 2021“ – Wieviel Regulatorik vertragen die deutschen Banken?

EBA-ICT, MaRisk 6. Novel­le, BAIT – von allen Sei­ten wer­den die IT- und Gover­nan­ce-Spe­zia­lis­ten der Ban­ken im Moment mit neu­en oder teil­wei­se ver­schärf­ten regu­la­to­ri­schen Anfor­de­run­gen kon­fron­tiert. In kei­ner Wei­se soll die posi­ti­ve Absicht hin­ter die­sen Maß­nah­men in Abre­de gestellt wer­den. Aber es stellt sich den­noch die Fra­ge, wie­viel die­ser regu­la­to­ri­schen Vor­ga­ben durch die deut­schen Ban­ken bewäl­tigt wer­den kön­nen und wie. Ver­schärft wird die­se Fra­ge durch die Tat­sa­che, dass vie­le Insti­tu­te aktu­ell Pro­jek­te und Vor­ha­ben durch­füh­ren, die noch vor­an­ge­gan­ge­ne Anfor­de­run­gen umset­zen oder die Eta­blie­rung im Lini­en­be­trieb sicherstellen.

Regulatorik - Neue Anforderungen RJO
Regu­la­to­rik – Neue Anforderungen

Erschwe­rend kommt eben­falls noch hin­zu, dass die Umset­zung durch die Auf­sichts­gre­mi­en in zuneh­mend enge­rer Tak­tung kon­trol­liert wird. EZB, Bun­des­bank und BaFin sind umfang­reich in den Insti­tu­ten vor Ort, um die erfolg­rei­che Umset­zung zu ver­pro­ben. Erfolg­reich heißt hier­bei jedoch nicht nur die Doku­men­ta­ti­on eines abge­schlos­se­nen Pro­jek­tes, son­dern die ope­ra­ti­ve Nach­weis­füh­rung, dass die ein­ge­führ­ten oder ver­än­der­ten Pro­zes­se in der Linie eta­bliert sind und kon­se­quent durch­lau­fen wer­den. Dar­auf auf­bau­en­de KVP- oder Les­sons-Lear­ned-Pro­zes­se wer­den dabei als obli­ga­to­risch imple­men­tiert vorausgesetzt.

Die Prü­fun­gen mani­fes­tie­ren damit eine deut­lich gestie­ge­ne Anfor­de­rungs­qua­li­tät an den in den Insti­tu­ten ver­an­ker­ten regu­la­to­ri­schen Reifegrad.

Nun lässt sich zwar fest­stel­len, dass vie­le der regu­la­to­ri­schen Vor­ga­ben auf­ein­an­der auf­bau­en. Anfor­de­run­gen aus der euro­päi­schen Per­spek­ti­ve (EBA-ICT) wer­den im Rah­men der 6. MaRisk-Novel­le in natio­na­le Vor­ga­ben über­führt und in den BAIT kon­kre­ti­siert. Die­se poten­zi­el­le Syn­er­gie gilt aber nicht in aller Voll­stän­dig­keit für Insti­tu­te jeder Grö­ßen­klas­se. Dar­über hin­aus blei­ben auch unter Berück­sich­ti­gung die­ser Fak­to­ren erheb­li­che Umset­zungs­an­for­de­run­gen für die Ban­ken. Die Her­aus­for­de­run­gen, die sich für die Insti­tu­te dar­aus erge­ben, sind unterschiedlich:

Grö­ße­re Insti­tu­te, vor allem mit inter­na­tio­na­ler Aus­rich­tung, erreicht die „vol­le Wucht“ der regu­la­to­ri­schen Anfor­de­run­gen. Die­se tref­fen aber auch auf Zen­tral­be­rei­che der IT, Gover­nan­ce oder Com­pli­an­ce, die grund­sätz­lich über die zur Bewäl­ti­gung die­ser Anfor­de­run­gen erfor­der­li­che Qua­li­fi­ka­ti­on und quan­ti­ta­ti­ve Aus­prä­gung verfügen.

Klei­ne­re Insti­tu­te mit eher regio­na­ler Aus­rich­tung sind von regu­la­to­ri­schen Anfor­de­run­gen unter­schied­lich betrof­fen. Eine wesent­li­che Unter­schei­dungs­kom­po­nen­te ist hier der Umfang aus­ge­la­ger­ter Tätig­kei­ten. Je höher und je indi­vi­du­el­ler der Aus­la­ge­rungs­grad, umso stär­ker die regu­la­to­ri­schen Berüh­rungs­punk­te. Ver­stär­kend kommt hier jedoch hin­zu, dass gera­de bei einer weit­ge­hen­den Aus­la­ge­rung das Exper­ten­wis­sen dadurch abge­baut wur­de. Viel­fach ist das zur Bewäl­ti­gung der regu­la­to­ri­schen Anfor­de­run­gen erfor­der­li­che Know-how nicht mehr in aus­rei­chen­der Quan­ti­tät in den Insti­tu­ten vorhanden.

Die Schluss­fol­ge­rung, dass in die­sen Fäl­len die erfor­der­li­che Exper­ti­se durch Ein­stel­lung neu­er Mit­ar­bei­te­rin­nen und Mit­ar­bei­ter zuge­führt wer­den muss, ver­nach­läs­sigt eine wesent­li­che Kom­po­nen­te – den Fachkräftemangel.

Exper­ten in IT-Regu­la­to­rik, Gover­nan­ce oder Com­pli­an­ce sind am Markt stark gesucht und nicht in aus­rei­chen­der Quan­ti­tät vor­han­den. Die Wei­ter­bil­dung eige­ner Mit­ar­bei­te­rin­nen und Mit­ar­bei­ter in die­sen The­men ist eine eher lang­fris­tig aus­ge­rich­te­te Lösung. Das Wis­sen extern ein­zu­kau­fen ist aus Kos­ten­grün­den auch nicht ohne Wei­te­res möglich.

Wel­che Mög­lich­kei­ten gibt es aber, aus die­sem Dilem­ma zu ent­kom­men und den stei­gen­den regu­la­to­ri­schen Anfor­de­run­gen als Insti­tut gerecht zu werden?

Aus Sicht von ban­kon hat sich die Ein­rich­tung eines zen­tra­len Regu­la­to­rik-Office bewährt. Die­ses koor­di­niert insti­tuts­weit die Akti­vi­tä­ten zu regu­la­to­ri­schen Ver­än­de­run­gen sowie der Vor­be­rei­tung und Beglei­tung regu­la­to­ri­scher Prü­fun­gen. In sei­ner Aus­ge­stal­tung ermög­licht es insti­tuts­in­di­vi­du­el­le Anpas­sun­gen vor dem Hin­ter­grund der Grö­ße sowie der Geschäfts- und Risi­ko­struk­tur der Bank. Es ist damit der Sin­gle-Point-of-Truth für regu­la­to­ri­sche The­men in der Bank.

Regulatorik-Office RJO

Die Abbil­dung der aktu­el­len regu­la­to­ri­schen Situa­ti­on der Bank erfolgt über ein zen­tra­les Regu­la­to­rik-Back­log. Des­sen Inhalt sind die insti­tuts­in­di­vi­du­ell bewer­te­ten regu­la­to­ri­schen The­men sowie die im regu­la­to­ri­schen Kon­text iden­ti­fi­zier­ten bank­spe­zi­fi­schen Defizite.

Owner die­ses Back­logs ist das Regu­la­to­rik-Office, das auch für die inhalt­li­che Befül­lung ver­ant­wort­lich ist. Im Rah­men von inter­nen und exter­nen Prü­fungs­hand­lun­gen iden­ti­fi­zier­te Defi­zi­te wer­den hier zen­tral abge­legt. Sie sind die rele­van­te Infor­ma­ti­ons­quel­le für das Auf­set­zen regu­la­to­ri­scher Vor­ha­ben oder Pro­jek­te im Rah­men des Projektplanungsprozesses.

Die Vor­tei­le die­ser orga­ni­sa­to­ri­schen und infor­ma­to­ri­schen Bün­de­lung lie­gen auf der Hand:

  • För­de­rung der bank­in­ter­nen Ver­zah­nung von Berei­chen, die mit regu­la­to­ri­schen The­men befasst sind, z. B. Unter­neh­mens­steue­rung, IT, Infor­ma­ti­ons­si­cher­heit, Orga­ni­sa­ti­on, Pro­jekt­port­fo­li­o­steue­rung, Not­fall­ma­nage­ment oder Dienstleistersteuerung
  • Mit­wir­kung bei über­grei­fen­den Initia­ti­ven, z. B. zum insti­tuts­grup­pen­spe­zi­fi­schen Umgang mit regu­la­to­ri­schen Anfor­de­run­gen im Kon­text Sourcing
  • Effi­zi­en­te Unter­stüt­zung inter­ner und vor allem exter­ner Prü­fun­gen durch die Wahr­neh­mung der Funk­ti­on eines zen­tra­len Prüfungs-Offices
  • Vor­aus­set­zung einer sys­te­ma­ti­schen, prio­ri­sier­ten Bear­bei­tung regu­la­to­ri­scher Defi­zi­te mit­tels Vor­ha­ben und Projekten
  • Sicher­stel­lung bank­in­ter­ner Ver­tre­tungs­mög­lich­kei­ten im Kon­text Regulatorik
  • Unter­stüt­zung der Aus­bil­dung bank­in­ter­nen Wis­sens zu regu­la­to­ri­schen Themen

Die Syn­er­gien und Vor­tei­le sichern den Insti­tu­ten die Fähig­keit, regu­la­to­ri­sche Anfor­de­run­gen bewäl­ti­gen zu kön­nen. Die Bün­de­lung der Kräf­te ermög­licht den Ban­ken, und hier beson­ders mit­tel­gro­ßen und klei­ne­ren Insti­tu­ten, die Sicher­stel­lung der erfor­der­li­chen regu­la­to­ri­schen Governance.

Denn unab­hän­gig von der Fra­ge, wie­viel Regu­la­to­rik deut­sche Ban­ken ver­tra­gen, lässt sich die Ten­denz zur Aus­wei­tung regu­la­to­ri­scher Anfor­de­run­gen zumin­dest auf Ebe­ne von Ein­zel­in­sti­tu­ten nicht auf­hal­ten. Es kön­nen aber sehr wohl die Vor­aus­set­zun­gen geschaf­fen und opti­miert wer­den, mit die­sen Anfor­de­run­gen umzugehen.

Exper­ti­se ban­kon Manage­ment Consulting

Die Exper­ti­se der ban­kon-Bera­ter aus mehr als fünf­zehn Jah­ren Erfah­rung mit Pro­jek­ten im Kon­text IT-Regu­la­to­rik sichert pra­xis­er­prob­tes Wis­sen. Umfang­rei­che Kennt­nis von Orga­ni­sa­ti­ons­struk­tu­ren, Pro­zes­sen und IT-Sys­te­men deut­scher Ban­ken und Spar­kas­sen gewähr­leis­ten den erfor­der­li­chen fach­li­chen und tech­ni­schen Hintergrund.

Auf die­ser Grund­la­ge unter­stützt ban­kon effi­zi­ent und ziel­ge­rich­tet im Set­up zen­tra­ler Regu­la­to­rik-Offices und der erfor­der­li­chen Über­füh­rung in einen Regel­be­trieb. Bei Bedarf unter­stützt ban­kon auch ope­ra­tiv im Betrieb des Regu­la­to­rik-Office z. B. in der Vor­be­rei­tung und Beglei­tung regu­la­to­ri­scher Prüfungen.

Nut­zen Sie unse­re umfang­rei­chen Erfah­run­gen und spre­chen Sie mit uns:

ban­kon Manage­ment Con­sul­ting GmbH & Co. KG
Max-Planck-Str. 8
85609 Aschheim/München
Tel.: (089) 99 90 97 90
Fax: (089) 99 90 97 99
Web: https://​www​.ban​kon​.de
E‑Mail: research@bankon.de