Gepostet am 20. Januar 2017 von in
Aufsichtliche Anforderungen an die IT – Neue Herausforderungen für Banken
Bereits heute müssen Finanzdienstleistungsinstitute, unabhängig von Größe und Geschäftsmodell, umfangreiche aufsichtliche Anforderungen erfüllen. Mit den sog. Bankaufsichtlichen Anforderungen an die IT (BAIT) wird die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) ihren Fokus auf die Informationstechnologie (IT) - in Anlehnung an die Anforderungen aus der für Anfang dieses Jahres angekündigten 5. MaRisk-Novelle - weiter verschärfen.
Das bedeutet, dass die Aufsicht die Mindestanforderungen an das Risikomanagement um spezifischere Anforderungen an die IT ergänzen wird. Konkret betrifft das vor allem die im MaRisk-Modul AT 7.2, "Technisch-organisatorische Ausstattung", noch nicht oder noch nicht abschließend geregelten Sachverhalte. Diese sollen detaillierter aufbereitet werden, um Banken ihren Handlungsspielraum aufzuzeigen und die Erwartungshaltung der Aufsicht transparenter darzustellen.
Risikobewusstsein soll steigen
Bereits jetzt ist erkennbar, dass mit den Anforderungen das unternehmensweite IT-Risikobewusstsein im Institut und gegenüber seinen Auslagerungsunternehmen, also den externen Dienstleistern, erhöht werden soll. Die BAIT definieren Anforderungen u.a. zu folgenden Themen:
- IT-Strategie,
- Informationssicherheitsmanagement,
- Informationsrisikomanagement und
- Berechtigungsmanagement.
Laut BaFin geht es dabei insbesondere darum, Anforderungen zu formulieren, welche an das Management der Banken, insbesondere die Geschäftsleitung, gerichtet und für dieses verständlich sind - und zwar unabhängig davon, ob das Management über IT-Fachkenntnisse verfügt oder nicht. Um auch die Bedürfnisse kleinerer Kreditinstitute zu berücksichtigen, soll bei der Konkretisierung der Anforderungen zudem das Proportionalitätsprinzip analog der MaRisk Anwendung finden.
Die BaFin selbst veranstaltet übrigens am 16. März 2017 in Bonn die 4. Informationsveranstaltung zur IT-Aufsicht bei Banken, in deren Fokus unter anderem die BAIT stehen. Vertreter der BaFin werden die wesentlichen Inhalte des Entwurfs vorstellen, der laut Informationen der Aufsicht noch im ersten Quartal 2017 zur Konsultation gestellt werden soll.
Regulierungsdruck nimmt zu
Der aufsichtliche Regulierungsdruck für Banken, Versicherungen und Börsen im Bereich IT wird sich neben der 5. MaRisk-Novelle auch durch die Regelungen der BAIT kurzfristig weiter erhöhen. Laut BaFin werden die darin enthaltenen Anforderungen auf der gleichen Stufe angesiedelt sein wie die MaRisk. Betroffene Institute sollten sich daher frühzeitig mit den neuen Anforderungen vertraut machen und noch bestehende Schwachstellen identifizieren.
Sobald die BAIT als Konsultation veröffentlicht sind, werden wir Sie auf www.reguepdia.de ausführlich über Inhalte und Auswirkungen informieren. Weitere Informationen vorab erhalten Sie bei achim.stein(at)severn(dot)de.