Schlagwort: BAIT

AI Act und ChatGPT – Regulierung der Nutzung von KI in Finanzinstituten

Veröffentlicht am 20. Juni 202320. Juni 2023 von Wolfgang Weber

Die Diskussion um den Nutzen und die Risiken Künstlicher Intelligenz sowie deren Nutzung im privaten oder beruflichen Umfeld hat sich in den letzten Monaten deutlich verstärkt. Insbesondere durch den einfachen und aktuell noch kostenfreien Zugang zu ChatGPT als mächtigen Textgenerator wurden etliche Beispiele einer Nutzung veröffentlicht und überaus intensiv in Tageszeitungen oder im Frühstücksfernsehen populär ausgebreitet. Insbesondere negativ bewertete ChatGPT-Beispiele wie etwa Chatverläufe mit Aufforderungen zu kriminellen Handlungen oder auch Ergebnistexte mit offensichtlich nicht aktuellen Fakten haben die möglichen Risiken in der Diskussion an Wichtigkeit gewinnen lassen. Allgemein war aber viel Verwirrung und Unwissen erkennbar.

Parallel dazu beschäftigt sich das Europäische Parlament schon seit längerem mit der Entwicklung Künstlicher Intelligenz unter dem Primat einer menschzentrierten und Ethik-basierten Sichtweise. Ein erster Entwurf für den Artificial Intelligence Act (kurz AI Act) als Ergänzung der bestehenden Regelungen zur Datenschutzgrundverordnung wurde vorgelegt und am 14.06.2023 verabschiedet; nun beginnen die weiteren Abstimmungen u. a. mit der EU-Kommission. Ziel ist es, branchenübergreifend Regularien zu schaffen, um die Nutzung dieser Technologien transparent und rechtssicher zu gestalten und die Risiken adäquat zu managen.

Somit ist das Thema endgültig auch in der Finanzwirtschaft angekommen. Wurden bisher schon erste Anwendungen mit eher regelbasierten AI-Technologien wie z. B. Kreditscoring oder Geldwäscheüberwachung eingesetzt, so werden durch die anstehenden EU-Regularien neue Rahmenbedingungen entstehen. Parallel dazu werden Mitarbeitende selbstständig Nutzungsmöglichkeiten eines ChatGPT erproben und dann auch ggf. unabgestimmt in Geschäftsprozessen einsetzen. Sowohl auf den bald geltenden Rahmen „von oben“ als auch die schon heute laufenden Initiativen „von unten“ müssen die Finanzinstitute – wie andere Branchen auch – schnell Antworten finden.

Wesentliche Inhalte des Artificial Intelligence Act

Die übergeordnete Zielsetzung des EU-Parlaments berücksichtigt die Perspektiven von Nutzern und Anbietern gleichermaßen. AI-Systeme sollen von Menschen überwachbar sein und überwacht werden, sollen sicher und transparent gestaltet sein, mit erklärbaren und nachvollziehbaren Ergebnissen ohne diskriminierende Inhalte, und dazu noch umweltfreundlich.

Weiterhin wird eine allgemeingültige Definition von AI angestrebt, die technologieneutral und damit zukunftsfähig ist.

Zu beachten ist zunächst die risikobasierte Klassifizierung von AI-Nutzungen, die gleichermaßen für Nutzer und Anbieter Geltung hat (Beispiele nach jetzigem Stand der Diskussion im Parlament). Je nach Klassifizierung sind entsprechende Auflagen zum Einsatz zu befolgen:

Verbotene AI-Nutzung/inakzeptables Risiko:
- Einsatz manipulativer Techniken
- Biometrische Fernidentifizierungssysteme in „Echtzeit“ in öffentlich zugänglichen Räumen
- Willkürliches Auslesen biometrischer Daten aus sozialen Medien oder CCTV-Aufnahmen zur Erstellung von Gesichtserkennungsdatenbanken

Regulierte AI-Nutzung/hohes Risiko:
- Systeme mit Möglichkeit der Beeinträchtigung von Gesundheit, persönlicher Sicherheit, fundamentalen Bürgerrechten oder der Umwelt
- Beeinflussung von Wahlen in politischen Kampagnen
- Empfehlungssysteme sozialer Netzwerke

Transparente AI-Nutzung/niedriges Risiko:
Systeme mit dieser Klassifizierung sind unter Beachtung von Vorgaben einsetzbar; dies umfasst im Wesentlichen Systeme (wie etwa auch ChatGPT) mit einem zugrunde liegenden „Foundation Model“. So müssen die Ergebnisse mindestens in der direkten Interaktion mit Nutzern als von AI erzeugt kenntlich gemacht sein und gesetzkonforme Ergebnisse erzeugen, also z. B. keine illegalen Inhalte als Verletzung von Rechtsnormen oder Copyrights. Die zum Trainieren der benutzen Modell verwendeten Daten sind ebenfalls transparent zu machen, wobei hierbei die Umsetzbarkeit Fragen aufwirft. Ergänzend hierzu wären solche Systeme vor Nutzungsfreigabe durch staatliche Stellen zu testen.

Insgesamt wird die Technologie der Künstlichen Intelligenz und deren Anwendung in absehbarer Zeit deutlich reglementierter werden; die Zeit des freien und in Teilen auch unausgegorenen „Werfens auf den Markt“ dürfte dann zumindest in der EU vorbei sein. Verstöße gegen die Verordnung können mit hohen Strafzahlungen sanktioniert werden.

Auswirkungen des AI Act auf Finanzinstitute

Zunächst ist der Einsatz von AI der höchsten Risikoklassifizierung nicht erlaubt. Dies ist streng zu kontrollieren. Allerdings erscheinen die Beispiele mit inakzeptablem Risiko von vorneherein keine wesentliche Relevanz für Finanzinstitute zu haben.

Fokus sollte auf den Regelungen zu den AI-Systemen mit hohem Risiko liegen, denn hier können aktuelle oder auch absehbar künftige Anwendungsgebiete in Finanzinstituten liegen. Beispiele hierfür können das schon erwähnte Kreditscoring mit einer noch stärkeren Beachtung nichtdiskriminierender transparenter Entscheidungen sein, aber auch die Bewertung der Leistungen von Mitarbeitenden anhand von Kennzahlen oder die Analyse von Bewerbungen potenzieller Mitarbeitender.

Die absehbaren Auswirkungen bestehen (neben möglichen Strafen bei Verstößen) insbesondere in den notwendigen technischen und organisatorischen Vorkehrungen, die in Gänze noch nicht vollständig erkennbar sind. Es dürfte aber zu erwarten sein, dass die EU-Regularien in branchenspezifischen Vorgaben wie etwa der BAIT oder in allgemeiner Form in die DSGVO einfließen werden, und dies eher früher als später. Wir werden dies zu einem späteren Zeitpunkt vertiefen.

Bei Systemen, die auf einem Foundation Model basieren, dürfte die wesentliche Herausforderung daran liegen, die Transparenz zum Pretrainingsinhalt zu erlangen, diese zu bewerten und auch dem Nutzer in verständlicher Form bereitzustellen. Beispielhaft hierfür ist die Datenlage des Pretrainings für ChatGPT, das dem Vernehmen nach aktuell in Teilen zwischen 5 und 18 Monaten Verzögerung aufweist und entsprechend alte Fakten verwendet.

Einsatzmöglichkeiten der transparenten AI-Nutzung am Beispiel ChatGPT

Dem schon angesprochenen „Druck von unten“ durch die Mitarbeitenden der Finanzinstitute an ihre Arbeitgebenden ist konstruktiv zu begegnen. Aus unserer Sicht könnten sich für das prominente Beispiel ChatGPT Einsatzmöglichkeiten als simple Arbeitserleichterung anbieten. Beispiele:

Input zur Strukturierung von Fragestellungen, z. B. Gliederungen für Konzepte oder als Mindmaps
Allgemeine Textblöcke zu einem Stichwort erzeugen
Einfache Programmierung in der IT, d. h. kleinere Programmteile oder Makros/Skripte in der entsprechenden „Sprache“
Erzeugung von strukturierten Testdaten (z. B. Kunden mit Vertragsdaten und Adressen) für den Aufbau von Testdatenbanken oder Schnittstellentests
Vorhandene Texte analysieren und zusammenfassen lassen
Qualität von Anforderungen prüfen lassen

Die folgenden Beispiele wurden von ChatGPT selbst vorgeschlagen auf die Frage hin, welche Einsatzmöglichkeiten des Tools bei Banken bestehen:

Analyse von Kundenfeedback und ‑bewertungen, um Trends und Muster zu erkennen und Verbesserungsvorschläge abzuleiten.
Automatisierte Erstellung von Berichten und Analysen, um Finanzdaten zu interpretieren und Managemententscheidungen zu erleichtern.
Übersetzung von Finanzdokumenten und ‑berichten in verschiedene Sprachen, um die Kommunikation mit internationalen Kunden zu erleichtern.
Automatisierte Erstellung von Finanzprognosen und Risikobewertungen zur Unterstützung des Risikomanagements und der finanziellen Planung.

Wesentliches Problem der syntaktisch-semantisch hergeleiteten Ergebnisse mit ChatGPT ist und bleibt aber, dass keine Verbindung mit Fakten stattfindet. Nur wenn das Trainingsmaterial stets aktuell und permanent als sachlich korrekt geprüft wäre, dann wären die erzeugten Ergebnisse auch inhaltlich verlässlich.

Folglich wären aktuell keine guten Einsatzgebiete z. B. die Erzeugung batchgetriebener Massentexte oder fallabschließende Callcenter-Robots.

Fokus bleibt mit ChatGPT die Erleichterung in der Outputerzeugung. Es findet kein Ersatz von Kompetenz, Erfahrung und Sorgfalt statt. Jedes Ergebnis einer Abfrage muss mit Sinn und Verstand geprüft, ggf. iterativ verbessert und ggf. durch den Nutzer mit weiteren aktuellen Fakten angereichert werden.

Hinweise in der Verwendung zu ChatGPT

Wenn nun die Nutzung eines ChatGPT auch im dienstlichen Umfeld eines Finanzinstituts ermöglicht werden soll, dann wären den Nutzern – auch zur Vermeidung von Arbeitszeitverschwendung – am besten geeignete Hinweise oder sogar Schulungen anzubieten. Da die Hantierung ein interaktives Nachhaken ermöglicht und somit die Nutzung von ChatGPT den Charakter einer Unterhaltung hat, ist ein gutes Verständnis sowohl über die Limitierungen als auch über eine effiziente Unterhaltungsführung erforderlich.

Zu vermittelnde Inhalte hierzu könnten sein:

Je spezifischer die Angaben im Prompt (also der Eingabe des Nutzers) zum Kontext, zur Art des Zielresultats und zu Länge, Format oder Stil sind, desto besser sind die Ergebnisse.
Es können verschiedene Ergebnisformate angegeben werden, so dass das Ergebnis direkt in andere Tools (z. B. per Copy/Paste) übernommen werden kann.
Die einzelnen Teile einer Unterhaltung bestehen aus sogenannten Tokens. Ein Token kann beispielsweise ein Wort, ein Satzzeichen oder eine Sequenz von Buchstaben der vorhergesagten Antwort sein. Je nach Ausbaustufe besteht eine Längenbegrenzung zwischen 4.000 und 8.000 Token, was den Umfang der Unterhaltungsinhalte limitiert.
Es ist eine Übersetzungsfunktion integriert. Je nach fachlichem Inhalt kann es zielführend sein, die Anfrage auf Englisch (als Hauptsprache des erfolgten Pretrainings von ChatGPT) zu stellen und erst nachträglich die Übersetzung in Deutsch zu verlangen.
Die Herleitung von Texten kann Top-Down erfolgen, also von der thematischen Gliederung hin zu einer immer weiter ausgefeilteren Detailbearbeitung eines Unterthemas, ggf. in einem separaten Chatverlauf.

Was bei allen Informationen gilt, die im Internet eingegeben werden, gilt natürlich auch für ChatGPT. Die Daten der Eingabe in den Prompts werden gespeichert und ggf. auch genutzt, um die Wissensbasis zu erweitern. Es ist also nicht erlaubt, vertrauliche Informationen des Finanzinstituts in den Prompts zu verwenden. Da dies technisch nicht überwacht werden kann, ist hierfür eine organisatorische Lösung erforderlich.

Das System bietet auch ein „Opt-Out“ der Speicherung an, das aber durch den Nutzer in seinem Account unter Settings/Data Controls/Chat history & training auszuwählen ist.

Expertise bankon Management Consulting

Die Expertise der bankon-Berater aus mehr als fünfzehn Jahren Erfahrung mit Projekten im Kontext IT-Management (ITIL), Providermanagement, IT-Services sichert praxiserprobtes Wissen. Umfangreiche Kenntnis von Organisations- und Providerstrukturen, Prozessen und IT-Systemen deutscher Banken und Sparkassen sowie der aktuellen technologischen Entwicklungen gewährleisten den erforderlichen fachlichen und technischen Hintergrund.

Erfahrungen aus der Vorbereitung, Begleitung und Nachbereitung von Prüfungen der Bankenaufsicht ergänzen diese Praxiserfahrung um regulatorische Kompetenz.

Nutzen Sie unsere umfangreichen Erfahrungen und sprechen Sie mit uns:

bankon Management Consulting GmbH & Co. KG
Max-Planck-Str. 8
85609 Aschheim/München
Tel.: (089) 99 90 97 90
Fax: (089) 99 90 97 99
Web: https://www.bankon.de
E‑Mail: research@bankon.de

Die Bilder in diesem Artikel wurden mit der AI-Software Picsart erstellt.

ITIL – Zaubermittel eines regulatorikkonformen Multiprovidermanagements?

Veröffentlicht am 9. März 2023 von Ralf-Michael Jendro

Aus der Sicht des IT-Managements bringt ITIL eine notwendige Zutat mit, die für ein „Zaubermittel“ unerlässlich ist – das notwendige Alter mit einem entsprechenden Reifegrad. Hierbei darf jedoch nicht verkannt werden, dass ITIL von seinem Ursprung Ende der 80er Jahre bis heute eine erhebliche Weiterentwicklung durchlaufen hat.

Ursprünglich bestand die Neuartigkeit von ITIL in der IT darin, auf die Erfordernisse der Kunden ausgerichtet zu sein. Effektive Prozesse und klar zugeordnete Verantwortlichkeiten standen im Fokus. Erste Weiterentwicklungen ergänzten weitere Prozesse, bis in einer grundlegenden Überarbeitung der Service LifeCycle in den Mittelpunkt rückte. Hierbei wurden weitere Prozesse ergänzt und die Zielsetzung von ITIL dergestalt geschärft, dass eine messbare, positive Wertschöpfung für den Kunden im Fokus steht und diese einen relevanten Mehrwert für das Unternehmen schafft. Schwerpunkte der weiteren Entwicklungsschritte zur aktuellen Version ITIL 4 waren neue Technologien und das Service-Management, die eingebunden wurden in das ITIL Service Value System (SVS).

Neben dem SVS erfolgte im Kontext des Service-Managements die Überführung der bestehenden 4 Ps von ITIL (Personen, Produkte, Partner und Prozesse) in ein Modell mit vier Dimensionen, die über die ursprünglichen 4 Ps hinausgehen:

Organisationen und Menschen
Informationen und Technologie
Partner und Lieferanten
Wertströme und Prozesse

Auf diese Weise hat ITIL in den vergangenen 35 Jahren seinen Best-Practice-Charakter stets an den aktuellen Veränderungen und Gegebenheiten des IT-Managements ausgerichtet.

Die Veränderung der IT in Banken und die Weiterentwicklung der Best Practices von ITIL verliefen zeitlich und inhaltlich vielfach im Gleichklang. Für die Banken-IT war diese gemeinsame Entwicklung essenziell. Verantwortlich dafür sind vor Allem vier Trends:

Ohne IT sind Bankdienstleistungen kaum noch zu erbringen
Die technische Komplexität und Heterogenität sind erheblich angewachsen
IT-Prozesse sind durch ein unternehmensübergreifendes Wertschöpfungsnetzwerk gekennzeichnet
Der Bedeutung entsprechend sind die regulatorischen Anforderungen an die Bank-IT erheblich gestiegen

Der erste Punkt ist einfach nachzuvollziehen. Die weiteren drei Punkte sind stark miteinander verzahnt. So führte die wachsende Komplexität und Heterogenität der Bank-IT vielfach dazu, dass wesentliche Teile an spezialisierte Dienstleistungspartner ausgegliedert wurden. Beispielhaft seien hier der Desktop Service, der Betrieb von Kernbanksystemen, die Bereitstellung von Cloud-Services sowie spezifische IT-Security-Leistungen genannt.

Die Steuerung des sich daraus ergebenden Wertschöpfungsnetzwerkes aus internen und extern erbrachten Leistungen und Prozessanteilen ist aktuell dominierende Kernaufgabe der IT Deutscher Banken. Auch den für Regulatorik von Banken zuständigen Instanzen in Europa und Deutschland (z. B. EBA, EZB, Bundesbank) ist dieses bewusst. In der Konsequenz werden die regulatorischen Anforderungen an die IT in Banken in immer kürzeren Abständen in Breite und Tiefe ausgebaut. Für die Auslagerung von IT-Leistungen der Banken an Dienstleistungspartner gelten gleich eine Vielzahl, sich in Teilen überschneidende, regulatorische Anforderungen. Nachstehende Darstellung verdeutlicht dieses:

Die Herausforderung für die Bank-IT ist damit definiert. Das Wertschöpfungsnetzwerk der IT-Prozesse ist effizient und konform zu regulatorischen Anforderungen zu gestalten und zu steuern. Eine ausschließlich providerorientierte Strukturierung ist hierfür nicht zielführend. Zum einen entspricht diese mehrheitlich nicht der aktuellen Situation des Auslagerungsportfolios der Banken, zum anderen gestattet sie nur wenig Flexibilität für eine providerunabhängige Erweiterung des Serviceportfolios.

Es wird deutlich, dass hier nur ein ganzheitlicher Ansatz mittels mit End-to-End-Ausrichtung zur Lösung beitragen kann. Welche Rolle kann ITIL hierbei spielen, und welche Lösungen kann ITIL anbieten?

Durch die systematische Weiterentwicklung unterstützt ITIL spezifische IT-Management-Prozesse, bietet aber auch prozess- und serviceübergreifende Steuerungsansätze über das gesamte IT-Universum der Bank. Dieses schließt auch Leistungen ein, die durch Dritte erbracht werden.

Mittels ITIL kann die erforderliche Transparenz geschaffen werden, die der Bank eine regulatorikkonforme und effiziente Steuerung der Gesamt-IT ermöglicht. Unterstützung bietet hierbei die Management-Methodik des Service Integration and Management, kurz SIAM.

SIAM ist nicht Inhalt von ITIL, sondern ist ausgelegt auf die Steuerung multipler Providerstrukturen, nutzt hierzu aber die Konzepte zum IT Service Management aus ITIL. Die Strukturen eines SIAM führen in einem Multiprovidermanagement die Geschäftsprozesse und die für ihre Leistungserbringung erforderlichen IT-Services zusammen. Seitens der IT bereitgestellte Services umfassen hierbei providerübergreifend sowohl Infrastrukturkomponenten, Netzwerkkommunikation, Datenhaltung, IT-Anwendungen/Applikationen als auch deren Bereitstellung am Arbeitsplatz. Entstanden ist SIAM im Jahr 2012 mit Erscheinen des XGOV Strategic SIAM reference set der britischen Regierung und basiert auf einem Best Practice-orientierten Vorgehen.

Welche Gestaltungsfelder für eine Serviceintegration und ein Servicemanagement ergeben sich daraus für die Bank, die im Rahmen der Einführung zu berücksichtigen sind? Die folgende Abbildung skizziert die aus unserer Sicht relevanten Felder:

I. Strategie

Das providerübergreifende, integrative Management der IT-Services ist notwendigerweise Bestandteil der IT Strategie sowie der darunterliegenden Ausprägungen z. B. einer Sourcing- oder Cloud Strategie. Dieses ist aufgrund der Ausrichtung der IT-Services auf die Geschäftsprozesse erforderlich, da die IT-Strategie die Verknüpfung zur Geschäftsstrategie bildet.

II. Organisation

Wesentlicher Fokus ist hier das Scoping und damit die Identifikation der relevanten IT-Services. Hierbei sind Business- und Infrastrukturperspektive miteinander zu verbinden. Die organisatorische Verankerung des integrierten Multiprovidermanagements geschieht über spezifische Rollen, die mit dem bestehenden Rollenmodell zu verknüpfen sind. Mit diesen Rollen einhergehende Aufgaben werden verantwortlichen Personen zugeordnet. Dieses Vorgehen verbindet Rollen, Verantwortlichkeiten und Aufgaben in einer Matrix, welche wesentliche Grundlage für die quantitative Personalplanung ist.

III. Prozesse

Wesentliches Element ist die providerübergreifende Orchestrierung der IT-Serviceprozesse im Sinne eines End-to-End-Gedankens. Sie ist Voraussetzung einer Unterstützung dieser Prozesse mittels etablierter IT-Managementprozesse wie Incident‑, Problem- oder Change-Management. Entsprechend der Kritikalität der Prozesse sind Reporting- und Kontrollverfahren zu etablieren, die durch geeignete KPIs unterlegt werden müssen.

IV. Tools

Erfolgskritisch ist in erster Linie die Verfügbarkeit der für die IT-Serviceprozesse End-to-End erforderlichen Informationen. Diese müssen an einer zentralen Stelle gebündelt sein, an die jeder Provider seine Daten zuliefert und aktuell hält. Dieser Datenpool wird im Rahmen der IT-Managementprozesse genutzt und ist Basis für eine workfloworientierte Prozessbearbeitung unter Einbindung der Provider. Hierfür bietet es sich an, eine marktgängige Plattform zu verwenden, die sowohl die Datenhaltung als auch die prozessualen Workflows unterstützt. Offene Standardschnittstellen ermöglichen die flexible Einbindung weiterer Provider und Assets.

V. Verträge

Idealerweise sind die Vertragsinformationen in der obigen Plattform hinterlegt und stehen als Information zur Verfügung. Neben dem Informationscharakter ist jedoch vor allem sicherzustellen, dass die für ein Multiprovidermanagement erforderlichen technischen, prozessualen und regulatorischen Sachverhalte Inhalt der Vertragswerke von Bank und Provider sind. Besonders sei an dieser Stelle darauf hingewiesen, dass ein flexibles Multiprovidermanagement nicht nur ein Onboarding von Leistungen des Providers erfordert, sondern auch die Häufigkeit eines Offboarding erhöht ist. Dafür erforderliche Exit-Vereinbarungen sind aus diesem Grund eine Komponente, die vertraglich geregelt sein muss.

Bietet ITIL nun das Wundermittel für ein regulatorikkonformes Providermanagement, gegebenenfalls unter Hinzufügen einer „Prise“ SIAM?

Obige Ausführungen machen deutlich: Der Zaubertrank für ein regulatorikkonformes Multiprovidermanagement ist ITIL nicht. Aber ITIL enthält die dafür erforderlichen Zutaten. Diese sind in der IT der Bank unter Zusammenwirken mit weiteren relevanten Stakeholdern wie z. B. Einkauf oder Compliance zusammenzustellen und mit erforderlichen Tools zu etablieren. ITIL bildet eine Art Rezeptbuch und wird damit seinem Best-Practice-Ansatz gerecht. Die Bank hat aber entsprechend der individuellen Ausgangssituation aus IT-Komplexität, End-to-End-Reifegrad der IT-Prozesse, Ausgestaltung des IT-Auslagerungsportfolios sowie regulatorischem Status quo das Multiprovidermanagement auszugestalten. Hier unterstützt der Managementansatz SIAM und bietet Hilfestellung in der bedarfsgerechten Konzeption und Etablierung.

Expertise bankon Management Consulting

Die Expertise der bankon-Berater aus mehr als fünfzehn Jahren Erfahrung mit Projekten im Kontext IT-Management (ITIL), Providermanagement, IT-Services sichert praxiserprobtes Wissen. Umfangreiche Kenntnis von Organisations- und Providerstrukturen, Prozessen und IT-Systemen deutscher Banken und Sparkassen gewährleisten den erforderlichen fachlichen und technischen Hintergrund.

Erfahrungen aus der Vorbereitung, Begleitung und Nachbereitung von Prüfungen der Bankenaufsicht ergänzen diese Praxiserfahrung um regulatorische Kompetenz.

Nutzen Sie unsere umfangreichen Erfahrungen und sprechen Sie mit uns:

bankon Management Consulting GmbH & Co. KG
Max-Planck-Str. 8
85609 Aschheim/München
Tel.: (089) 99 90 97 90
Fax: (089) 99 90 97 99
Web: https://www.bankon.de
E‑Mail: research@bankon.de

DORA – Neue regulatorische Anforderungen für europäische Banken

Veröffentlicht am 27. September 202227. September 2022 von Ralf-Michael Jendro

Zielsetzung und Inhalt von DORA:

DORA (Digital Operational Resilience Act) ist der europäische Verordnungsentwurf zur digitalen operationalen Resilienz im Finanzsektor. Es ist einer von vier regulatorischen Bausteinen zu dessen Digitalisierung. 2020 wurde DORA von der Europäischen Kommission vorgelegt. Das Inkrafttreten der Verordnung ist um den Jahreswechsel 2022/2023 zu erwarten.

Im Fokus von DORA steht die digitale Betriebsstabilität als Fähigkeit von Finanzunternehmen, IT-Systeme aufzubauen, deren Betrieb sicherzustellen und zu überprüfen. Eingesetzte Informations- und Kommunikationstechnologien dürfen nicht durch betriebliche Störungen, wie z. B. technische Ausfälle oder Cyberangriffe, die Erbringung von Finanzdienstleistungen gefährden. Diese Anforderung schließt auch die direkt oder indirekt von Drittanbietern genutzten Dienste ein. Finanzunternehmen haben, insbesondere auch im Zusammenwirken mit ihren Dienstgebern, die erforderlichen Vorkehrungen zu treffen, um auf alle denkbaren Beeinträchtigungen und Bedrohungen in der IT vorbereitet zu sein und Zwischenfälle zu überstehen.

Mit DORA verfolgt die europäische Union drei Kernziele:

Vereinheitlichung bestehender nationaler und europäischer Standards und Vorgaben
Gewährleistung, dass alle erforderlichen Maßnahmen zur Absicherung gegen Cyberrisiken und ‑angriffe getroffen werden
Schaffung eines Rechtsrahmens zur direkten Überwachung von IT-Drittanbietern durch die Aufsichtsbehörden, sobald diese für Finanzunternehmen tätig sind

Inhaltlich umfasst DORA sechs Schwerpunkte

IKT-Risikomanagement – Finanzunternehmen sollen über einen „geeigneten Rahmen“ an Risikomanagementwerkzeugen für ihre Informations- und Kommunikationstechnik (IKT), ausreichend Kapazitäten und Ressourcen verfügen. Diese sind zu dokumentieren sowie deren Aktivitäten zu protokollieren, um den Aufsichtsbehörden darüber zu berichten. Dafür muss im Unternehmen eine eigene verantwortliche Stelle eingerichtet sein.
Berichterstattung – Die durchgeführten Tests sind zu protokollieren. Die Berichterstattung hat bereits vorzusehen, dass mögliche Vorfälle bzw. Störungen zu klassifizieren und zu clustern sind (wie viele Betroffene, in welchem Gebiet, welche Daten betroffen, etc.). Für die Durchführung der Dokumentation und Berichterstattung sollen Standards vorgegeben werden.
Regelungen für Tests – In regelmäßigen Abständen – mindestens einmal pro Jahr – müssen die Systeme einem Test unterzogen werden. Grundlage sind die Regelwerke der Bank. Im Rahmen der Tests sind unterschiedliche Bedrohungsszenarien zu berücksichtigen und anhand von Testfällen zu simulieren. Auf Grundlage der Erkenntnisse aus der Testdurchführung sind institutsindividuelle Präventionsmaßnahmen zu spezifizieren. Diese setzen bereits im Erkennen von Bedrohungen an und reichen bis zu Regelungen von Backupmaßnahmen.
IKT-Drittanbieter – Das Risikomanagement von Dienstleistungspartnern in der IT steht hier im Mittelpunkt. Der Scope geht aber über die vertraglichen Regelungen zur Auslagerung hinaus. Eine besondere Regelung erfahren sogenannte kritische Dienstleister, die ausgelagerte digitale Leistungen für Institute erbringen. Abgezielt wird hier z. B. auf die Angebote von „Big Techs“ im Kontext Cloud-Computing-Leistungen. Hier ist für die europäischen Aufsichtsorgane die Berechtigung vorgesehen, auf Dokumente zuzugreifen, Vor-Ort-Prüfungen durchzuführen, Empfehlungen oder Anweisungen auszusprechen sowie Maßnahmen zur Abhilfe zu fordern. Hierfür ist die Breitstellung eines Mechanismus vorgesehen, der die Kritikalität von Dienstleistungsanbietern bestimmt.
Informationsaustausch – Regelungen zum Informationsaustausch über Cyberbedrohungen inklusive der Regelung, wie Vereinbarungen dazu gestaltet sein müssen.
Governance - Für die Durchsetzung des geplanten Regelwerks sind die Aufsichtsbehörden vorgesehen, die bereits jetzt für die Aufsicht der im Anwendungsbereich befindlichen Unternehmen zuständig sind.

Zur Erreichung dieser sechs Zielvorgaben der Aufsicht stehen für die Finanzinstitute folgende Themen im Fokus der Umsetzung, da sie in Teilen über die bestehenden regulatorischen Anforderungen herausgehen:

Stärkung der operationellen digitalen Resilienz der Banken mittels Vorgaben zum Digital Operational Resilience Testing (inklusive Penetrationstests)
Sicherstellung einer stringenten und konsequenten Überwachung ausgelagerter Dienstleistungserbringung in der Informations- und Kommunikationstechnik
Ausweitung von Meldepflichten zu schwerwiegenden IKT-Incidents auf den gesamten Finanzsektor
Erweiterung der Anforderungen an das Management von Informationsrisiken und Informationssicherheit

DORA für Banken in Deutschland:

Diese auf die IT-Sicherheit einzahlenden Schwerpunkte werden mit DORA detaillierter beschrieben als in bestehenden regulatorischen Regelungen wie BAIT oder ISO 27xxx und darüber hinaus auf eine europäische Ebene gehoben, um einen einheitlichen Standard zu forcieren.

Besonders die geforderten Maßnahmen zur Steuerung des mit der Auslagerung von ITK-Leistungen an Dritte verbundenen Risikos sind deutlich spezifischer. Dazu wird die Fokussierung auf eine geringe Anzahl von Schlüssel-Dienstleistern als kritisch betrachtet. Dieses gilt sowohl für das einzelne Institut als auch für die Branche insgesamt.

Im Hinblick auf eine Umsetzung der Vorgaben von DORA ist jedoch zu berücksichtigen, dass in Deutschland bereits in jüngster Vergangenheit wesentliche Verschärfungen der Anforderungen mittels aufsichtsrechtlicher Vorgaben umgesetzt wurden.

Beispielhaft genannt sei das Handlungsfeld der Auslagerungen von Dienstleistungen der Banken an Dritte. Im Mittelpunkt stehen hier die aus der Erweiterung der BAIT sowie dem Finanzmarktintegritätsstärkungsgesetz (FISG) resultierenden Vorgaben.

Banken sind auf dieser Basis nicht mehr nur verpflichtet, inhaltliche, vertragliche oder steuernde Prozesse zu ihren Dienstleistungspartnern zu etablieren, sondern ebenso dazu, wesentliche Auslagerungen bei der Aufsicht anzuzeigen (Auslagerungsregister). So führt die BaFin an, dass die Konzentration auf sogenannte Mehrmandantendienstleister (MMDLs), die für mehrere Banken tätig sind, Risiken für den Gesamtmarkt implizieren. Über das Auslagerungsregister hinaus besteht auch eine Verpflichtung zur Meldung schwerwiegender Vorfälle in der Auslagerungsbeziehung zwischen Bank und Dienstleistungspartner.

Der durch die Meldungen der Institute geschaffene Überblick über die Auslagerungsbeziehungen deutscher Banken ermöglicht der Bankenaufsicht, diese MMDLs zu identifizieren, hinsichtlich des Risikos zu bewerten und zu überwachen.

Darüber hinaus gibt der gesetzliche Rahmen der Aufsicht die Möglichkeit, direkt auf den Auslagerungspartner der Bank zuzugehen, um einen Missstand zu vermeiden oder zu beheben.

Diese Anforderung trägt der zunehmenden, branchenweiten Bedeutung einzelner Dienstleistungsanbieter und dem damit verbundenen Risiko Rechnung.

Spezifische Aspekte für Verbundstrukturen:

Die in DORA formulierten Regelungen für IT-Dienstleister von Banken basieren wahrscheinlich auf Überlegungen, die z. B. Anbieter von Cloudlösungen wie Amazon, Google oder Microsoft im Fokus hatten. Im Hinblick auf Cybersicherheit und die Kritikalität einzelner Anbieter für den gesamten Bankensektor ist dieses sicherlich ein sachgerechtes Vorgehen.

Das Universum der Banken in Deutschland ist jedoch in starkem Maße von Sparkassen und Genossenschaftsbanken geprägt. Hier bestehen Verbundstrukturen.

Diese Strukturen sind durch zwei Komponenten gekennzeichnet:

Eine inhaltliche Komponente, in der tendenziell eher kleineren Instituten zentrale Dienstleistungen und digitale Angebote ebenso zur Verfügung gestellt werden wie stabile Governance-Prozesse
Eine rechtliche Komponente, in der sich die zentralen Anbieter dieser Institutsgruppen in deren Besitz befinden und durch diese kontrolliert werden. Die einzelnen Institute, welche die Leistungen nutzen, sind gleichzeitig Eigentümer des Leistungserbringers

Durch diese Strukturen ist die Gefahr konkurrierender Interessen zwischen Bank und Dienstleister nahezu ausgeschlossen.

Das bedeutet auch, dass regulatorische Anforderungen aus DORA an die Institute (Darlegung, wie sie mit den Gefahren von Abhängigkeiten umgehen, die bei der Auslagerung von Dienstleistungen entstehen) im Falle von Verbundstrukturen auf vollständig andere Voraussetzungen treffen als bei Instituten außerhalb der Verbünde.

Im Handlungsfeld der Auslagerungen haben bestehende regulatorische Vorgaben wie die MaRisk auf Basis der EBA-Leitlinien für Sourcing Erleichterungen für die IT-Auslagerung auf Verbundebene vorgesehen, die in DORA so nicht enthalten sind.

In diesem Kontext besteht noch abschließender Klärungsbedarf durch die Verbände mit der Aufsicht, um für die Verbundinstitute Handlungssicherheit sicherzustellen.

Unabhängig von diesem verbundspezifischen Aspekt, besteht für die Banken in Deutschland die Erfordernis, sich der Umsetzung von DORA zu widmen.

Aber was heißt das im „Dschungel“ der regulatorischen Vorgaben denn genau?

Umsetzungsempfehlungen

Für Banken, die regulatorische Anforderungen in der Vergangenheit bereits kontinuierlich umgesetzt haben, heißt es auch bei DORA – kein Grund zur Panik.

Für Institute, die eine Umsetzung der Anforderungen der BAIT 2017 und 2021 nur homöopathisch begonnen haben und wesentliche Dienstleistungen an Dritte ausgelagert haben, steigt durch DORA der Handlungsdruck noch einmal.

Gerade in Bezug auf das Management von Auslagerungen kann sich eine „Bugwelle“ erforderlicher Umsetzungsaktivitäten aufbauen, die sich finanziell und kapazitativ zu einer kritischen Herausforderung entwickelt und unmittelbaren Handlungsbedarf erfordert.

In diesem Kontext gilt es, die bereits bestehenden Anforderungen Dokumentations- und Meldepflichten sowie das Risikomanagement in den besonderen Fokus zu rücken.

Bestehende Verträge mit Dienstleistungspartnern, an die speziell IT-Leistungen ausgelagert wurden, gilt es zu prüfen, ob diese den bestehenden und zukünftigen Anforderungen genügen. So sind beispielsweise Prüfungen durch die Bank erforderlich, ob die Dienstleister im Bereich Business Continuity oder Notfallmanagement die relevanten Vorgaben eingehalten haben. In vielen Fällen sind diese Prüfungen in den bestehenden Verträgen nicht vorgesehen. Da Anpassungen in der Regel zeitaufwändig sind, ist hier ein relevanter Ansatzpunkt, der nicht aufgeschoben werden sollte.

Generell gilt bei DORA, wie auch bei den vorangegangenen regulatorischen Veränderungen und Verschärfungen, eine GAP-Analyse des Status quo gegen die Vorgaben als probates Mittel. Praxisbewährte und risikoorientierte Checklisten, die auch die Prüfungsschwerpunkte der Bankenaufsicht in ihrer Priorisierung berücksichtigen, sind hier ein empfohlenes Hilfsmittel zur Ermittlung des Handlungsbedarfs und der Ableitung einer Umsetzungsroadmap.

Expertise bankon Management Consulting

Die Expertise der bankon-Berater aus mehr als fünfzehn Jahren Erfahrung mit Projekten im Kontext IT-Regulatorik sichert praxiserprobtes Wissen. Umfangreiche Kenntnis von Organisationsstrukturen, Prozessen und IT-Systemen deutscher Banken und Sparkassen gewährleisten den erforderlichen fachlichen und technischen Hintergrund.

Aus der Vorbereitung, Begleitung und Nachbereitung von Prüfungen der Bankenaufsicht verfügt bankon über eine umfangreiche Praxiserfahrung, die in Best Practices und Checklisten eingeflossen sind und den Kunden von bankon in der effizienten Umsetzung einer regulatorikkonformen IT helfen.

Nutzen Sie unsere umfangreichen Erfahrungen und sprechen Sie mit uns:

bankon Management Consulting GmbH & Co. KG
Max-Planck-Str. 8
85609 Aschheim/München
Tel.: (089) 99 90 97 90
Fax: (089) 99 90 97 99
Web: https://www.bankon.de
E‑Mail: research@bankon.de

Simplyfying IT-Compliance

Veröffentlicht am 13. Dezember 202115. Dezember 2021 von Carsten Wendt

Digitalisierung Risikomanagement/-systeme Banken – Antwort auf zunehmende Bedrohungen durch Cyber-Risiken und steigende Kosten durch IT-Compliance

Modernes Banking ist digital. Eine leistungsstarke IT-Plattform und effiziente IT-Prozesse sind der Erfolgstreiber für die Geschäftsmodelle der Zukunft. Die Anforderungen an das IT-Management der Banken sind immens. Neben strikter Kostenkontrolle rücken angesichts der Bedrohung durch Cyber-Angriffe Informationssicherheit und IT-Risikomanagement in den Fokus. Die Institute sehen sich mit immer strengeren, zunehmend technischen regulatorischen Vorgaben (BAIT, EBA, MaRisk, ISO 27000) und strikterer Auslegung sowie effektiven Umsetzungskontrollen im Rahmen von Sonderprüfungen konfrontiert. Entscheider im IT-Management benötigen daher zukünftig „auf Knopfdruck“ vollständige Transparenz über das aktuelle IT-Risiko bzw. die Gefährdungssituation ihrer Organisationen als Gesamtüberblick mit Wechselwirkungen, Abhängigkeiten, Redundanzen, gemappt auf die aktuell gültigen Vorgaben, um effektiv steuern zu können. Der Impact von Veränderungen regulatorischer Rahmenbedingungen sollte sofort sichtbar und effektive Maßnahmen zur Umsetzung der neuen Vorgaben und Mitigation der institutsspezifischen Risikoposition ableitbar sein. Aufgrund der herrschenden Komplexität der IT-Strukturen der Häuser und der anwendbaren Regulierung bietet ein digitales Framework „Digital Regulatory Compliance“, DIRC, mit leistungsstarker Softwareunterstützung (Plattformtechnologie) hierbei erhebliche Effizienzvorteile.

Ein aktueller Fachbeitrag von bankon Management Consulting GmbH & Co. KG zusammen mit finleap connect GmbH und der finleap Tochter 42Stages GmbH als RegTech-Spezialist in der Fachzeitschrift „die bank“ beschreibt die zunehmenden Herausforderungen für Banken durch Cyber-Risiken sowie steigende regulatorische Anforderungen und zeigt praxiserprobte digitale Lösungsansätze (Link):

https://www.die-bank.de/home/banken-sind-auf-digitale-risikomanagementsysteme-angewiesen-20037/

Fazit und Ausblick
Die Digitalisierung der IT-Compliance ist für Banken unverzichtbar. Nur durch intelligenten Einsatz von Plattformtechnologie können die Kostensynergien geschaffen werden, die langfristig die Rentabilität und Wettbewerbsfähigkeit der Institute sichern. Der Erfolg liegt in der Kombination von Bankfachlichkeit und Technologie. Ein Framework wie DIRC kann die effiziente Umsetzung unterstützten.

Die Digitalisierung steht auch im Bereich IT-Compliance erst am Anfang ihrer Möglichkeiten. Mittelfristig ist davon auszugehen, dass das DIRC-Framework um eine weitere Ebene „Profiling“ erweitert wird. Durch Einsatz von Mustererkennung und künstlicher Intelligenz (KI) sollen organisatorische Schwachstellen frühzeitig identifiziert und vorausschauend Risiken z. B. aus veränderten regulatorischen Rahmenbedingungen eingeschätzt werden können.

Nutzen Sie unsere umfangreichen Erfahrungen und sprechen Sie mit uns:

bankon Management Consulting GmbH & Co. KG
Max-Planck-Str. 8
85609 Aschheim/München
Tel.: (089) 99 90 97 90
Fax: (089) 99 90 97 99
Web: https://www.bankon.de
E‑Mail: research@bankon.de

Weitere Autoren:

Patrick Giesen

Managing Director | 42Stages GmbH

Patrick Giesen begleitete als Prüfer und Berater viele Banken im Kontext von Aufsichtsprüfungen, war CISO und GW-Beauftragter und entwickelt das hier vorgestellte Framework.

Andreas Reuß

CCO | finleap connect GmbH

Andreas Reuß verfügt als ehemaliger Partner einer WP-Gesellschaft und Betreiber einer Open Banking Plattform über umfangreiche Erfahrung mit der Umsetzung regulatorischer Anforderungen.

IAM – Fluch oder Segen

Veröffentlicht am 13. Oktober 2021 von Michael Jesch

Umsetzung regulatorisch erweiterter Anforderungen im Eigeninteresse der Banken

Verschärfung der BAIT bei IAM zwingt zum Handeln

Am 16. August 2021 hat die BaFin die neue Fassung ihrer Bankaufsichtlichen Anforderungen an die IT (BAIT) veröffentlicht, welche noch am selben Tag in Kraft getreten sind.

Der Schwerpunkt der Neuheiten liegt hierbei nunmehr weniger auf grundlegenden Änderungen als vielmehr auf der Erweiterung und Anpassung diverser Anforderungen. Dieses gilt auch für das zentrale Themenfeld des Identity & Access Managements (IAM).

Die BAIT beschreibt detaillierte Anforderungen an IT-Berechtigungskonzepte, Genehmigungs- und Kontrollprozesse, Rezertifizierung der Berechtigungen sowie Nachvollziehbarkeit und Dokumentation sämtlicher Einrichtungs‑, Änderungs- und Deaktivierungsprozesse. Unter IAM fallen damit alle Funktionen und Arbeitsschritte im Zusammenhang mit der Administration von Identitäten und der Verwaltung von Zugriffsrechten sowie die damit verbundene Nachweisführung.

Von besonderer Bedeutung ist die vorgenommene Ergänzung des Abschnitts 6.1. Mit ihm wurde zusätzlich in die BAIT aufgenommen, dass jegliche Zugriffs‑, Zugangs- und Zutrittsrechte auf Bestandteile bzw. zu Bestandteilen des Informationsverbundes standardisierten Prozessen und Kontrollen unterliegen sollen, was konkret alle Berechtigungen von Betriebssystem- über Datenbank- bis Anwendungsebene betrifft, und zwar auch für technische Zugänge bzw. Nutzer.

Akuter Handlungsbedarf in der deutschen Finanzszene

Für Deutschlands Banken gilt mit Inkraftsetzung der neuen BAIT der Vorsatz „zeitnah agieren und nicht erst, wenn die Aufsicht an die Tür klopft“. Dies sollte nicht im Lichte eines Zugzwangs gesehen werden, sondern im ureigenen Interesse der Institute. Der Stand der technischen Entwicklung sowie der Digitalisierung erhöht das Risiko betrügerischer Systemzugriffe in erheblichem Maße. In der Vorbeugung und Bekämpfung betrügerischer Möglichkeiten sind koordinierende Maßnahmen erforderlich, die man mit Bordmitteln und einer „dezentralen teilmanuellen Lösung“ von Zugriffs- und Berechtigungskontrollen nicht mehr beherrschen kann.

Der aus diesen regulatorischen Anforderungen resultierende Investitionsbedarf sowie die Beanspruchung unternehmensinterner Ressourcen gehen in vielen Fällen über „das Machbare“ weit hinaus. Auch vor dem Hintergrund bereits erfolgter oder anstehender Verlagerungen von Anwendungen in eine Cloud-Lösung gilt es, effizient vorzugehen und effektive Ergebnisse zu erzeugen.

Im Kontext der weltweit zu begrüßenden positiven, aber auch bedrohlich negativen Effekte der fortschreitenden Digitalisierung, handelt es sich hier um eine notwendige, gerade aber auch für die mit hochsensiblen Daten operierende Finanzdienstleistungsbranche maximal sinnhafte Investition in die Zukunft.

Die sich in Summe ergebenden Vorteile überwiegen den vermeintlichen Aufwand und bringen sogar insgesamt mittelfristig Kostenvorteile, da wesentliche Prozesse automatisiert wiederverwendbar sind und die manuelle Administration in den Hintergrund rückt.

Was ist zu tun

Gemäß öffentlich zugänglichem Zahlenmaterial waren bis Ende 2020 etwa 60 % der Finanzinstitute intensiver mit dem Thema befasst, davon verfügte die Hälfte der Institute bereits über eingeführte IAM-Systeme. Hier ist, bezogen auf die gesamte Community, also noch ein deutlicher Weg zu beschreiten.

Wieder einmal handelt es sich um ein Thema an der Schnittstelle zwischen Fachlichkeit und IT, wobei IAM-Projekte keine primären IT-Vorhaben sind, sondern die Fachlichkeit mit klaren Vorgaben für User-Profile und Rollenbeschreibungen vorlegt.

Parallel dazu erfolgt der Abschluss der Systemauswahl. Eine Vielzahl der Anbieter von IAM-Systemen waren in der Vergangenheit US-amerikanisch geprägt. Inzwischen haben sich aber in den letzten fünf bis zehn Jahren im deutschsprachigen Raum eine Reihe von Lösungsanbietern etabliert.

Insgesamt bietet sich die Chance zum „Aufräumen“ durch Löschung von überholten Zugängen (Mitarbeiter sind gar nicht mehr im Haus oder haben die Positionen und damit Aufgabenzuständigkeiten gewechselt) und Schaffung einer klaren und sicheren Struktur mit sich selbst steuernden Mechanismen.

Vorgehensmodell

Von Vorteil ist die Einschaltung einer erfahrenen und unabhängigen Instanz in die Auswahlprozesse und vorbereitenden Aktivitäten, um die Umsetzungsphase eines IAM-Projekts möglichst kompakt zu gestalten. Immer wieder hat sich gezeigt, dass die Komplexität eines solchen Vorhabens deutlich unterschätzt wird. Sowohl den gesetzlichen als auch den eigenen Anforderungen des Hauses ist in ausreichendem Maße Rechnung zu tragen. Insgesamt geht es darum, innovativ in die Zukunft zu investieren (State of the Art), aber gleichzeitig den Bogen nicht zu überspannen und mit Blick auf Cost-Value-Faktoren eine angemessene Lösung mit verträglicher Projektlaufzeit zu implementieren, welche auch für kleinere und mittelgroße Häuser geeignet ist (maximale Nutzung vorhandener, aber vor allem erforderlicher Funktionalitäten).

Das folgende Schaubild illustriert die wesentlichen Eckpfeiler eines voll integrierten IAM-Lösungsansatzes:

Im Projektablauf geht es u. a. um das Aufsetzen einer IAM-Strategie, die Durchführung von Vorarbeiten wie Bestandsanalyse, Bestandsbereinigung sowie die Konzeption und Überarbeitung des Rollenmodells (IT vs. Business) unter Beachtung geforderter Funktionstrennungen. Weitere Handlungsfelder betreffen die technische Anforderungsaufnahme (z. B. Integrität in die Umsysteme, User Experience, Workflows), die Prozessgestaltung, die Erstellung und Auswertung von RFI/RFP, die Systementscheidung sowie die Konzeption der Systemanbindungen (z. B. HR). Nach Installation und Umsetzung der technischen Konzepte in der Entwicklungsumgebung, einer ausreichenden technisch/fachlichen Test- und Abnahmephase (Nutzung agiler Projektmethodik) sowie der zeitgerechten Durchführung von Anwenderschulungen kann „die neue IAM-Welt“ in Produktion an den Start gehen.

Je nach geleisteter Vorarbeit und Komplexität der Unternehmens- und Anwendungsstruktur kann das Projektvorhaben einen Zeitraum von sechs bis 18 Monaten in Anspruch nehmen. bankon begleitet Sie als neutraler Partner bei der Systemauswahl, Vorbereitung und Umsetzung Ihres IAM-Projekts.

Nutzen Sie unsere umfangreichen Erfahrungen und sprechen Sie mit uns:

bankon Management Consulting GmbH & Co. KG
Max-Planck-Str. 8
85609 Aschheim/München
Tel.: (089) 99 90 97 90
Fax: (089) 99 90 97 99
Web: https://www.bankon.de
E‑Mail: research@bankon.de

ZAIT – Regulatorik für Zahlungsinstitute und E‑Geld-Institute

Veröffentlicht am 15. Juni 202116. Juni 2021 von Ralf-Michael Jendro

„Früher oder später kriegen wir Euch alle“ mag die Finanzaufsicht (flapsig formuliert) gedacht haben, als sie mit den Zahlungsdienstaufsichtlichen Anforderungen an die IT (ZAIT) ihre aufsichtsrechtlichen Vorgaben auch auf Zahlungsinstitute und E‑Geld-Institute ausgedehnt hat.

Derzeit befinden sich die ZAIT in der Konsultation – jedoch ist nach Abschluss dieser unmittelbar mit einer Gültigkeit der ZAIT zu rechnen.

Unterstützt wird diese Annahme durch die Tatsache, dass die ZAIT das Kapitel „Kundenbeziehungen mit Zahlungsdienstnutzern“ formuliert, das nach der Konsultation auch Bestandteil der Bankenaufsichtlichen Anforderungen an die IT (BAIT) wird.

Die Begründung für die plakative Einleitung dieses Artikels gibt die Übersicht der aufsichtsrechtlichen Anforderungen, die seitens der Finanzaufsicht bisher vorgegeben wurden.

Wurden zu Beginn Banken und Versicherungen in den Mittelpunkt gerückt und entsprechende aufsichtsrechtliche Anforderungen für die sichere Ausgestaltung der IT-Systeme sowie der zugehörigen Prozesse und die Umsetzung der IT-Governance eingeführt, folgten bereits 2019 spezifische Anforderungen für Kapitalverwaltungsgesellschaften. Dazwischen wurde für besonders kritische IT-Systeme das KRITIS-Modul eingeführt. Im Jahr 2020 erfuhren die BAIT eine deutliche Erweiterung, die vor allem den Informationsverbund in den Mittelpunkt rückte und seine Definition gegenüber den bisher gültigen BAIT deutlich ausbaute.

Im Jahr 2021 befinden sich nun die ZAIT in der Konsultationsphase. Zunächst behandeln wir in diesem Artikel zwei Fragen:

Wen betreffen die ZAIT?
Wie unterscheiden sich die ZAIT von den anderen aufsichtsrechtlichen Anforderungen an die IT?

Wen betreffen die ZAIT?

Betroffen von den ZAIT sind Zahlungsinstitute und E‑Geld-Institute:

Zahlungsinstitute:
- Derzeit sind etwa 70 Zahlungsinstitute bei der Finanzaufsicht registriert
- Zahlungsinstitute betreiben gewerbsmäßig Zahlungsdienste wie z. B. Einzahlungs- oder Auszahlungsgeschäft, Lastschrift‑, Überweisungs- oder Zahlungskartengeschäft ohne Kreditgewährung oder Zahlungsgeschäft mit Kreditgewährung
- Auch Anbieter von Zahlungsauslösediensten oder Kontoinformationsdiensten zählen zu den Zahlungsinstituten
E‑Geld-Institute:
- Derzeit sind neun E‑Geld-Institute bei der Finanzaufsicht registriert
- E‑Geld-Institute begeben E‑Geld
- E‑Geld ist der elektronisch, darunter auch magnetisch, gespeicherte monetäre Wert in Form einer Forderung an den Emittenten, der gegen Zahlung eines Geldbetrags ausgestellt wird, um damit Zahlungsvorgänge im Sinne des BGB durchzuführen

Somit handelt es sich quantitativ um eine eher kleine Zahl betroffener Institute, für diese erfahren die vorgegebenen Anforderungen aber eine deutliche Anspruchssteigerung.

Was sind die Gemeinsamkeiten und Unterschiede der ZAIT zu anderen aufsichtsrechtlichen Anforderungen?

Auch der grundsätzliche Aufbau beider Dokumente ist in seiner Struktur nahezu identisch. Ebenso steht der Informationsverbund bei den ZAIT im Mittelpunkt der Betrachtungen. Aus beiden Anforderungsdokumenten heraus gilt für die Institute das Proportionalitätsprinzip in der Umsetzung der geforderten Maßnahmen.

Was unterscheidet die ZAIT von anderen regulatorischen Vorgaben wie z. B. den BAIT? Fünf Punkte fallen hier auf und sollen kurz betrachtet werden. Sie betreffen folgende Kapitel:

IT-Governance
Informationssicherheitsmanagement
IT-Projekte und Anwendungsentwicklung
Auslagerung und sonstiger Fremdbezug
Notfallmanagement

Im Zusammenhang mit der IT-Governance liegt die wesentliche Unterscheidung darin, dass eine Ausrichtung der IT an etablierten Standards zu erfolgen hat. Hier werden drei Standards explizit genannt (IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI), die internationalen Sicherheitsstandards ISO/IEC 270XX der International Organization for Standardization und der Payment Card Industry Data Security Standard (PCIDSS)).

Im Informationssicherheitsmanagement besteht die Möglichkeit, die Funktion des Informationssicherheitsbeauftragten mit anderen Funktionen im Unternehmen zu kombinieren oder, in besonderen Fällen, auch außerhalb des Unternehmens anzusiedeln.

Für IT-Projekte und Anwendungsentwicklung gibt es explizite Anforderungen an die durchzuführende Auswirkungsanalyse und die Nutzung des Begriffs „wesentliche Veränderung“ im Zusammenhang mit Vorgaben für die Testdurchführung.

Das Kapitel Auslagerung und sonstiger Fremdbezug enthält deutlich umfangreichere Anforderungen in den ZAIT als in den BAIT, die es zu berücksichtigen gilt.

Im Notfallmanagement wird die Notwendigkeit zur Durchführung von Auswirkungsanalysen und Risikoanalysen gefordert.

Erste Schritte für Zahlungsinstitute mit den ZAIT:

In einem ersten Schritt gilt es für die Zahlungsinstitute und die E‑Geld-Institute, ihre individuelle Ausgangssituation vor dem Hintergrund der ZAIT zu kennen. Nur dann lässt sich der erforderliche Handlungsbedarf identifizieren.

Vorrangig gilt es, einen Überblick über das eigene Institut, die genutzten Auslagerungen sowie die Zahlungsdienstnutzer zu erhalten. Dieses schließt auch den Informationsverbund ein, der ein Nukleus der ZAIT ist.

Inhaltlich stehen fünf Handlungsfelder im Mittelpunkt der Erhebung.

In welchem Umfang sind bereits Vorbefassungen zu Regulatorikanforderungen im Institut erfolgt, z. B. durch eine interne Erstanalyse oder die Jahresabschlussprüfung des Wirtschaftsprüfers?
Wie steht es um die Governance des Instituts, z. B. in Bezug auf eine durchgängige und dokumentierte strategische Ausrichtung oder ein etabliertes internes Kontroll- und Prüfungswesen?
Wird heute bereits auf etablierte Standards zurückgegriffen, auch über die in der ZAIT genannten hinaus, z. B. ITIL oder Cobit?
Wie transparent sind die bestehenden Auslagerungen technisch und organisatorisch und in welcher Form sind diese in Kontrollprozesse eingebunden?
Welchen Stand hat die personelle und technische Ausstattung des Instituts quantitativ und qualitativ?

Die Ermittlung der Ausgangssituation kann mittels eines Quick-Checks erfolgen, um auf Grundlage dieser Informationen einen Überblick über den erforderlichen Handlungsbedarf zu erhalten und eine Indikation für die Ausgestaltung des Proportionalitätsprinzips zu gewinnen.

In einer Ausbaustufe kann sich eine Reifegradanalyse anschließen, für die es sich empfiehlt, diese bereits an einen etablierten Standard auszurichten, z. B. der ISO 27000-Reihe.

Neben der inhaltlichen Analyse zu den Kriterien des Standards ermöglicht ein solches Vorgehen auch eine Visualisierung für das Management.

Expertise bankon Management Consulting

Die Expertise der bankon-Berater aus mehr als fünfzehn Jahren Erfahrung aus Projekten im Kontext der Banken-IT sichert praxiserprobtes Wissen. Erfahrungen aus einer Vielzahl von Regulatorikprojekten bei Finanzdienstleistern gewährleisten die Sicherstellung von Governance- und Regulatorik-Anforderungen. Langjährige Praxisexpertise aus Projekt- und Linientätigkeit bei Zahlungsinstituten schaffen den erforderlichen fachlichen, prozessualen und technischen Hintergrund.

Nutzen Sie unsere umfangreichen Erfahrungen und sprechen Sie mit uns:

bankon Management Consulting GmbH & Co. KG
Max-Planck-Str. 8
85609 Aschheim/München
Tel.: (089) 99 90 97 90
Fax: (089) 99 90 97 99
Web: https://www.bankon.de
E‑Mail: research@bankon.de

„Handlungsdruck für Banken – BAIT-Neuerungen 2021“

Veröffentlicht am 11. Januar 202118. Februar 2021 von Ralf-Michael Jendro

Als 2017 die Bankaufsichtlichen Anforderungen an die IT, kurz BAIT, als Konkretisierung der in den MaRisk geregelten regulatorischen Anforderungen an die Informationstechnik von Banken eingeführt wurden, ging ein Raunen durch die Community. In der BAIT wurde erstmals konkret vorgegeben, wie die Aufsicht sich die regulatorikkonforme Ausgestaltung der Banken IT vorstellt. Zwar galt für die BAIT das Proportionalitätsprinzip, das eine Ausgestaltung anhand der konkreten Situation des jeweiligen Instituts zuließ. Prüfungserfahrungen von EZB, Bundesbank, BaFin, aber auch der hauseigenen Revisionsabteilungen haben jedoch gezeigt, dass die BAIT nicht als gestaltungsfreier „Papiertiger“ verstanden, sondern als „umzusetzen“ vorgegeben werden. Die spezifischen Anforderungen für kritische IT-Strukturen in dem im Jahr 2018 ergänzten KRITS-Modul machten deutlich, dass der mit der BAIT eingeschlagene Weg seitens der BaFin konsequent fortgeführt wird.

Zwei Jahre sind seitdem vergangen. Viele Institute sind auch heute noch damit beschäftigt, die auf Grundlage der BAIT erfolgten Feststellungen aus internen und externen Prüfungen zu bearbeiten und ihre IT compliant zu gestalten. Da steht auch bereits eine signifikante Erweiterung der Anforderungen aus der BAIT in den Startblöcken. 2020 erfolgte die Konsultationsphase mit den Instituten. Für das kommende Jahr 2021 ist vom Go-live der neuen Ansprüche auszugehen.

Drei neue Kapitel ergänzen die bestehenden Anforderungen, von denen die operative IT-Sicherheit und das IT-Notfallmanagement die beiden bedeutsameren sind im Vergleich zum Kapitel Kundenbeziehungen zu Zahlungsdienstleistern.

Mit dem neuen Kapitel „operative IT-Sicherheit“ werden die bisherigen Anforderungen an Netzwerksicherheit, Systemhärtung, Penetrations- und Schwachstellentest geschärft und in einem eigenen Kapitel gebündelt.

Das neue Kapitel IT-Notfallmanagement trägt der Tatsache Rechnung, dass sich die EBA-Guidelines explizit mit diesem Handlungsfeld befassen und ergänzt die BAIT um Inhalte des IT-Notfallmanagements sowie des Business-Continuity-Managements. Neben der Identifikation der für Notfälle relevanten Ressourcen und Prozesse stehen Maßnahmen zur Gewährleistung der Fortführung des Geschäftsbetriebs im Falle von Notfällen im Fokus dieses Kapitels. Hinzu kommen Anforderungen an die Durchfügung von Tests und Übungen zur Sicherstellung der Wirksamkeit der definierten Vorkehrungen.

Über die neuen Kapitel hinaus wurden auch bestehende Stellen konkretisiert oder erweitert. Eine wesentliche Veränderung im Vergleich zu der bestehenden BAIT liegt im prozessualen Betrachtungsgegenstand.

Standen bisher die IT-Prozesse sowie die IT-Systeme als Informationsverbund im Mittelpunkt der Betrachtung, sind jetzt sämtliche Geschäftsprozesse im Fokus, und zwar hinsichtlich ihrer Unterstützung mittels IT-Anwendungen, Infrastrukturen und Daten. Dieses ist neu und erweitert den Scope nachhaltig. Vor allem auch deshalb, weil die Einbindung von externen Dienstleistungspartnern nicht mehr primär auf das Handlungsfeld Sourcing/Dienstleistersteuerung beschränkt ist. Vielmehr sind die IT-relevanten Elemente ihrer Leistungsunterstützung im Prozess relevante Scopes. Der Informationsverbund als Betrachtungsgegenstand erhält so eine andere Komplexität, die es in der Bank regulatorisch zu managen gilt.

Ebenso eine Ausweitung erfahren die Anforderungen an IT-Serviceprozesse. So sind mit der Erweiterung der BAIT die beiden ITIL-Prozesse Capacity-Management und Availability-Management in den Instituten zu etablieren.

Das Capacity-Management sichert die Kapazität der IT-Services sowie der IT-Infrastruktur. Ziel ist, dass alle Komponenten der IT-Services die vereinbarten Kapazitäts- und Performanceziele erreichen, auch unter Berücksichtigung zukünftiger Anforderungen.

Das Availability-Management stellt die Verfügbarkeit der IT-Services sicher, in dem alle Komponenten der IT-Services die vereinbarten Verfügbarkeitsziele erreichen.

Wichtig ist hierbei der Bezug zu den oben beschriebenen Ausweitungen in der Definition des Informationsverbundes. Dadurch wird deutlich, dass eine bankinterne Betrachtung der beiden neuen Prozesse zu kurz greift und die beteiligten Dienstleistungspartner einzubinden sind.

Nachstehende Abbildung fasst diese neuen, respektive verschärften Ansprüche der BAIT-Anforderung zusammen und zeigt, welche Effekte diese auf die Institute erwarten lassen.

Schon auf den ersten Blick wird deutlich, dass die neuen ebenso wie die erweiterten Anforderungen der BAIT nicht mittels eines „Quick Hit“ zu bewältigen sind. Zu umfangreich waren und sind die Herausforderungen aus den 2017 und 2018 formulierten Anforderungen der BAIT für die Banken.

Entsprechend der individuellen Ausgangssituation des Instituts und dem Grad der für die eigene IT gewählten Standardisierung gibt es hinsichtlich des Umsetzungshorizonts kurzfristige Aspekte, grundsätzlich aber eher eine langfristige Perspektive. Durch die Ausweitung des Informationsverbundes sind die BAIT kein ausschließliches IT-Thema mehr, sondern ein Prozessthema, das die IT-Unterstützung des jeweiligen Prozesses im Fokus hat. Damit sind neben den Spezialisten des eigenen IT-Bereichs zunehmend solche der relevanten Dienstleistungspartner einzubinden. Darüber hinaus sind auch Experten aus den Fachbereichen der Bank zu involvieren.

Damit wird deutlich, dass insgesamt ein hoher Aufwand für die Institute mit der Umsetzung der Neuerungen in der BAIT verbunden ist.

Vor diesem Hintergrund sind zwei Tätigkeiten von herausgehobener Bedeutung. Erstens die Identifikation des Informationsverbunds für die betroffenen Geschäftsprozesse, um den Handlungsrahmen und die einzubindenden Parteien transparent und vollständig zu identifizieren. Zweitens die darauf aufbauende Ableitung einer Umsetzungsroadmap, die auch den aktuellen Status quo des Instituts berücksichtigt.

Um dieses so zielgerichtet wie möglich zu tun, ist nicht nur die Kenntnis der regulatorischen Anforderungen entscheidend. Wesentlich bedeutsamer ist die umfangreiche Praxisexpertise zu Bankprozessen sowie der in den Prozessen eingesetzten IT-Systeme und ihrer Schnittstellen untereinander. In Kombination mit Erfahrungen aus Audit- und Umsetzungsprojekten im Kontext Bankenregulatorik stellen sie die kritischen Erfolgsfaktoren dar, eine effiziente Umsetzung der BAIT-Neuerungen zu planen und durchzuführen.

Expertise bankon Management Consulting

Auf dieser Grundlage unterstützt bankon effizient und zielgerichtet in der Identifikation aller beteiligten Assets am Informationsverbund, der effizienten Erstellung einer Umsetzungsroadmap für die BAIT-Neuerungen sowie der Umsetzung selbst.

Nutzen Sie unsere umfangreichen Erfahrungen und sprechen Sie mit uns:

bankon Management Consulting GmbH & Co. KG
Max-Planck-Str. 8
85609 Aschheim/München
Tel.: (089) 99 90 97 90
Fax: (089) 99 90 97 99
Web: https://www.bankon.de
E‑Mail: research@bankon.de

„IT-Regulatorik 2021“ – Wieviel Regulatorik vertragen die deutschen Banken?

Veröffentlicht am 26. November 202012. Februar 2021 von Ralf-Michael Jendro

EBA-ICT, MaRisk 6. Novelle, BAIT – von allen Seiten werden die IT- und Governance-Spezialisten der Banken im Moment mit neuen oder teilweise verschärften regulatorischen Anforderungen konfrontiert. In keiner Weise soll die positive Absicht hinter diesen Maßnahmen in Abrede gestellt werden. Aber es stellt sich dennoch die Frage, wieviel dieser regulatorischen Vorgaben durch die deutschen Banken bewältigt werden können und wie. Verschärft wird diese Frage durch die Tatsache, dass viele Institute aktuell Projekte und Vorhaben durchführen, die noch vorangegangene Anforderungen umsetzen oder die Etablierung im Linienbetrieb sicherstellen.

Regulatorik - Neue Anforderungen RJO — Regulatorik – Neue Anforderungen

Erschwerend kommt ebenfalls noch hinzu, dass die Umsetzung durch die Aufsichtsgremien in zunehmend engerer Taktung kontrolliert wird. EZB, Bundesbank und BaFin sind umfangreich in den Instituten vor Ort, um die erfolgreiche Umsetzung zu verproben. Erfolgreich heißt hierbei jedoch nicht nur die Dokumentation eines abgeschlossenen Projektes, sondern die operative Nachweisführung, dass die eingeführten oder veränderten Prozesse in der Linie etabliert sind und konsequent durchlaufen werden. Darauf aufbauende KVP- oder Lessons-Learned-Prozesse werden dabei als obligatorisch implementiert vorausgesetzt.

Die Prüfungen manifestieren damit eine deutlich gestiegene Anforderungsqualität an den in den Instituten verankerten regulatorischen Reifegrad.

Nun lässt sich zwar feststellen, dass viele der regulatorischen Vorgaben aufeinander aufbauen. Anforderungen aus der europäischen Perspektive (EBA-ICT) werden im Rahmen der 6. MaRisk-Novelle in nationale Vorgaben überführt und in den BAIT konkretisiert. Diese potenzielle Synergie gilt aber nicht in aller Vollständigkeit für Institute jeder Größenklasse. Darüber hinaus bleiben auch unter Berücksichtigung dieser Faktoren erhebliche Umsetzungsanforderungen für die Banken. Die Herausforderungen, die sich für die Institute daraus ergeben, sind unterschiedlich:

Größere Institute, vor allem mit internationaler Ausrichtung, erreicht die „volle Wucht“ der regulatorischen Anforderungen. Diese treffen aber auch auf Zentralbereiche der IT, Governance oder Compliance, die grundsätzlich über die zur Bewältigung dieser Anforderungen erforderliche Qualifikation und quantitative Ausprägung verfügen.

Kleinere Institute mit eher regionaler Ausrichtung sind von regulatorischen Anforderungen unterschiedlich betroffen. Eine wesentliche Unterscheidungskomponente ist hier der Umfang ausgelagerter Tätigkeiten. Je höher und je individueller der Auslagerungsgrad, umso stärker die regulatorischen Berührungspunkte. Verstärkend kommt hier jedoch hinzu, dass gerade bei einer weitgehenden Auslagerung das Expertenwissen dadurch abgebaut wurde. Vielfach ist das zur Bewältigung der regulatorischen Anforderungen erforderliche Know-how nicht mehr in ausreichender Quantität in den Instituten vorhanden.

Die Schlussfolgerung, dass in diesen Fällen die erforderliche Expertise durch Einstellung neuer Mitarbeiterinnen und Mitarbeiter zugeführt werden muss, vernachlässigt eine wesentliche Komponente – den Fachkräftemangel.

Experten in IT-Regulatorik, Governance oder Compliance sind am Markt stark gesucht und nicht in ausreichender Quantität vorhanden. Die Weiterbildung eigener Mitarbeiterinnen und Mitarbeiter in diesen Themen ist eine eher langfristig ausgerichtete Lösung. Das Wissen extern einzukaufen ist aus Kostengründen auch nicht ohne Weiteres möglich.

Welche Möglichkeiten gibt es aber, aus diesem Dilemma zu entkommen und den steigenden regulatorischen Anforderungen als Institut gerecht zu werden?

Aus Sicht von bankon hat sich die Einrichtung eines zentralen Regulatorik-Office bewährt. Dieses koordiniert institutsweit die Aktivitäten zu regulatorischen Veränderungen sowie der Vorbereitung und Begleitung regulatorischer Prüfungen. In seiner Ausgestaltung ermöglicht es institutsindividuelle Anpassungen vor dem Hintergrund der Größe sowie der Geschäfts- und Risikostruktur der Bank. Es ist damit der Single-Point-of-Truth für regulatorische Themen in der Bank.

Die Abbildung der aktuellen regulatorischen Situation der Bank erfolgt über ein zentrales Regulatorik-Backlog. Dessen Inhalt sind die institutsindividuell bewerteten regulatorischen Themen sowie die im regulatorischen Kontext identifizierten bankspezifischen Defizite.

Owner dieses Backlogs ist das Regulatorik-Office, das auch für die inhaltliche Befüllung verantwortlich ist. Im Rahmen von internen und externen Prüfungshandlungen identifizierte Defizite werden hier zentral abgelegt. Sie sind die relevante Informationsquelle für das Aufsetzen regulatorischer Vorhaben oder Projekte im Rahmen des Projektplanungsprozesses.

Die Vorteile dieser organisatorischen und informatorischen Bündelung liegen auf der Hand:

Förderung der bankinternen Verzahnung von Bereichen, die mit regulatorischen Themen befasst sind, z. B. Unternehmenssteuerung, IT, Informationssicherheit, Organisation, Projektportfoliosteuerung, Notfallmanagement oder Dienstleistersteuerung
Mitwirkung bei übergreifenden Initiativen, z. B. zum institutsgruppenspezifischen Umgang mit regulatorischen Anforderungen im Kontext Sourcing
Effiziente Unterstützung interner und vor allem externer Prüfungen durch die Wahrnehmung der Funktion eines zentralen Prüfungs-Offices
Voraussetzung einer systematischen, priorisierten Bearbeitung regulatorischer Defizite mittels Vorhaben und Projekten
Sicherstellung bankinterner Vertretungsmöglichkeiten im Kontext Regulatorik
Unterstützung der Ausbildung bankinternen Wissens zu regulatorischen Themen

Die Synergien und Vorteile sichern den Instituten die Fähigkeit, regulatorische Anforderungen bewältigen zu können. Die Bündelung der Kräfte ermöglicht den Banken, und hier besonders mittelgroßen und kleineren Instituten, die Sicherstellung der erforderlichen regulatorischen Governance.

Denn unabhängig von der Frage, wieviel Regulatorik deutsche Banken vertragen, lässt sich die Tendenz zur Ausweitung regulatorischer Anforderungen zumindest auf Ebene von Einzelinstituten nicht aufhalten. Es können aber sehr wohl die Voraussetzungen geschaffen und optimiert werden, mit diesen Anforderungen umzugehen.

Expertise bankon Management Consulting

Auf dieser Grundlage unterstützt bankon effizient und zielgerichtet im Setup zentraler Regulatorik-Offices und der erforderlichen Überführung in einen Regelbetrieb. Bei Bedarf unterstützt bankon auch operativ im Betrieb des Regulatorik-Office z. B. in der Vorbereitung und Begleitung regulatorischer Prüfungen.

Nutzen Sie unsere umfangreichen Erfahrungen und sprechen Sie mit uns:

bankon Management Consulting GmbH & Co. KG
Max-Planck-Str. 8
85609 Aschheim/München
Tel.: (089) 99 90 97 90
Fax: (089) 99 90 97 99
Web: https://www.bankon.de
E‑Mail: research@bankon.de

Deutscher Bankensektor: Quo vadis? – Gewinner oder Verlierer

Veröffentlicht am 27. Oktober 202012. Februar 2021 von Steffen Rummel

Veränderungen im Bankenmarkt – Status quo

Immer mehr regulatorische Vorschriften (BAIT, EBA, ISO, MaRisk, BSI, Basel usw.), technologische Trends (FinTechs, Digitalisierung …) und der Wandel in ein branchenübergreifendes Ökosystem sind wesentliche Treiber aktueller Veränderungen im Bankenmarkt. Die Grundsatzfrage nach der zukünftigen Rolle von Banken in einer digitalen Welt beeinflusst die Ausrichtung des Geschäftsmodells gleichermaßen wie Investitionen in die Bankenarchitektur. Dabei wird darauf zu achten sein, dass der Fokus nicht nur im „RUN the bank“ liegt, sondern vor allem im „CHANGE the bank“. Das zukünftige Angebot orientiert sich hierbei sehr stark an den Bedürfnissen von Kunden, Mitarbeitern/Mitarbeiterinnen, Partnern und Wettbewerbern. Die Erfüllung der Erwartungen unterschiedlicher Zielgruppen (v. a. Firmenkunden und Privatkunden) stehen hierbei im Mittelpunkt.

Was sind nun wichtige Erfolgsfaktoren?

Die zukünftigen Geschäftsmodelle der Banken sollten auf folgende Themen entsprechende Antworten haben:

Bedürfnisse der Kunden kennen, verstehen und die passenden Produkte und Services anbieten. Ein sensibler Umgang mit Daten, der Mut zur Nutzung von Innovationen und die Zusammenarbeit mit FinTechs sind dabei wichtige Erfolgsfaktoren. Das Angebot in der Filiale wird dabei immer mehr durch Funktionen in der Smartphone App abgelöst.
Neben der Umsetzung von regulatorischen Vorgaben geht es immer mehr um die Öffnung der Banken nach außen. Die Nutzung der Innovationskraft neuer Anbieter im Markt durch FinTechs oder GAFAs kann sich durchaus positiv auswirken. Neue Anbieter stellen die Interessen und Gewohnheiten der Kunden häufig anders in den Mittelpunkt.
Die Transformation der Banken-IT in eine modulare Innovations-IT mit immer kürzeren Updatezyklen muss mit der wachsenden Regulatorik und den zunehmenden Kundenerwartungen Schritt halten. Dies eröffnet zudem Möglichkeiten, neue Ertragsquellen zu erschließen.
Betrachtet man die operative Kostensituation der Banken, sind die Belastungen trotz unvermeidbarer regulatorischer Investitionen in den letzten Jahren nur leicht gestiegen. Die Eigenkapitalrendite deutscher Banken liegt im internationalen Vergleich dagegen auf einem sehr niedrigen Niveau. Der aktuelle Konsolidierungskurs im Bankensektor wird sich weiter verstärken. Dabei werden sich zentrale Produkt- und Plattformanbieter für spezifische kunden- und marktrelevante Themen herauskristallisieren. Zusätzlich wird es eine weitere Verschmelzung von IT-Dienstleistern sowie eine Konsolidierung von Marktfolgetätigkeiten geben. Zudem lässt sich auch die Bildung von sog. Kompetenzzentren in Verbünden beobachten.
Ein weiterer wichtiger Faktor ist die Veränderungsbereitschaft. Der Kulturwandel bzw. die Veränderungen und deren Akzeptanz sollte von gestalterischem Handeln vonseiten des Bankmanagements geprägt sein.

Sicherlich gibt es noch weitere Faktoren, die hier genannt werden können. Der eingesetzte Trend lässt sich jedoch eindeutig erkennen. Dieser wird auch noch deutlich an Fahrt zunehmen.

Wer sind nun die Gewinner bzw. Verlierer?

Betrachtet man die Möglichkeiten der Marktpositionierung, bilden sich unterschiedliche Entwicklungsszenarien heraus. Ein Schwerpunkt liegt hier bei der Fokussierung auf eine bestimmte Region oder in der Konzentration auf ein spezielles Produkt. Bei diesem Szenario werden die Geschäftsmodelle adaptiert. Lokalen Banken steht hier die Möglichkeit offen, die geographische Nähe zum Kunden auszuspielen. Durch die regionale Verankerung bieten Sie ein umfassendes Produktangebot an. Die Bank besetzt hier die wichtige Kundenschnittstelle und bindet andere Dienstleister und Anbieter an. Daneben bleibt die Möglichkeit, sich über ein spezifisches Produkt oder Dienstleistungsangebot am Markt zu positionieren. Lokale und überregionale Banken haben hier vergleichbare Ansätze und treten in eine Konkurrenzsituation. Banken ohne regionale Verankerung oder eine entsprechende Positionierung als Anbieter werden im Wettbewerb früher oder später der fortschreitenden Konsolidierung zum Opfer fallen.

Betrachten wir nun die Beziehung zwischen der traditionellen Bank und den Kunden. Hier kommt es zu einem schnellen und nachhaltigen Durchbruch neuer Technologien, die von Kundenseite genutzt werden. Ein nachhaltiger Nutzen wird erreicht, wenn ein Anbieter einem Kunden ein optimales Angebot erstellt, erklärt und liefert. Je besser die technologischen Möglichkeiten genutzt werden, umso einfacher kann es für den Kunden sein. So ist bei vielen Dienstleistungen, z. B. im Zahlungsverkehr, kein Kundenkontakt notwendig. Alternativ kann sich die Bank als Anbieter für Produkte positionieren, die aus Risikosicht nicht über Plattformen angeboten werden (z. B. Finanzierungen). Die Rolle der Bank als Risikopartner ist vor allem für überregionale Banken aufgrund der Diversifizierung interessant. Wenn es dann noch gelingt, Skalenvorteile nutzen zu können, sind die Voraussetzungen schon vielversprechend. Wichtig hierbei wird jedoch sein, das Produktangebot weiter zu erneuern und den Kundennutzen weiterhin im Blick zu haben. Die Kundennähe, die nach traditioneller Art immer durch eine vor Ort-Präsenz definiert wurde, wird immer mehr durch die Digitalisierung zurückgedrängt.

Durch eine Vielzahl erfolgreicher Projekte kennen wir die kritischen Erfolgsfaktoren auf der strategischen und der operativen Ebene und verfügen über umfangreiche Erfahrungen bei der Ausrichtung des Geschäftsmodells bzw. der Erreichung der gewünschten Positionierung.

Gerne sichern wir Ihren Projekterfolg mit unserer Methoden- und Umsetzungskompetenz in diesem komplexen Themenumfeld, damit die Bewertung der Zukunftstrends wieder ausgeglichen ist.

Nutzen Sie unsere umfangreichen Erfahrungen und sprechen Sie mit uns:

bankon Management Consulting GmbH & Co. KG
Max-Planck-Str. 8
85609 Aschheim/München
Tel.: (089) 99 90 97 90
Fax: (089) 99 90 97 99
Web: https://www.bankon.de
E‑Mail: research@bankon.de

Schlagwort: BAIT

AI Act und ChatGPT – Regulierung der Nutzung von KI in Finanzinstituten

Simplyfying IT-Compliance

ZAIT – Regulatorik für Zahlungsinstitute und E‑Geld-Institute

„Handlungsdruck für Banken – BAIT-Neuerungen 2021“

„IT-Regulatorik 2021“ – Wieviel Regulatorik vertragen die deutschen Banken?

Deutscher Bankensektor: Quo vadis? – Gewinner oder Verlierer

Neueste News und Artikel

Archiv

Sie finden uns auch hier:

I. Strategie

II. Organisation

III. Prozesse

IV. Tools

V. Verträge

Neueste News und Artikel

Archiv

Schlagwörter

Sie finden uns auch hier: