Wie fähig ist ihre IKT-Risikokontrollfunktion wirklich?

In den meisten Finanzinstituten ist die IKT-Risikokontrollfunktion inzwischen formal eingerichtet. Die Stelle ist besetzt, die Unabhängigkeit ist gewährleistet, die Berichtswege zur Geschäftsleitung sind definiert. Was in der Praxis häufig fehlt, ist die tatsächliche Steuerungsfähigkeit. Die Funktion soll IKT-Risiken überwachen und steuern, verfügt dafür aber weder über eigene Systeme noch über eigene operative Prozesse. Sie ist strukturell darauf angewiesen, dass die erste Verteidigungslinie belastbare Ergebnisse liefert.

Aus dieser Abhängigkeit ziehen einige Institute den falschen Schluss und bauen neben dem bestehenden ein zweites Kontrollsystem auf. Die Folgen sind absehbar: doppelte Dokumentationsanforderungen in den Fachbereichen, widersprüchliche Risikobewertungen, steigender Abstimmungsaufwand und eine zweite Verteidigungslinie, die in der Organisation als Fremdkörper wahrgenommen wird. Aber es geht auch anders. Regulatorische Anforderungen werden in prüfbare Kontrollziele übersetzt und konsequent mit den Kontrollen verknüpft, die in Verfahrensanweisungen, Richtlinien und Arbeitsanweisungen bereits verankert sind. Es werden also keine Kontrollen oder Kontrollhandlungen für die IKT-Risikokontrollfunktion durchgeführt, sondern die Funktion bettet sich in bestehende Strukturen als neue Instanz mit ein.

Der Weg von der Regulierung zur wirksamen Kontrolle verläuft über sechs Stufen, die durchgängig dokumentiert sein müssen. Aus der Rechtsnorm wird ein Kontrollziel abgeleitet. Das Kontrollziel wird durch eine Kontrollhandlung erreicht, die in einer bestehenden internen Regelung verankert ist und von der ersten Verteidigungslinie ausgeführt wird. Die zweite Verteidigungslinie setzt darauf ihre eigene Überwachungshandlung auf. Am Ende der Kette steht der dokumentierte Nachweis, dass die Kontrolle tatsächlich durchgeführt wurde. 

Die erste Verteidigungslinie führt die Kontrollhandlung durch. Die IKT-Risikokontrollfunktion beurteilt, ob diese Kontrollhandlung angemessen ausgestaltet ist und ob sie im laufenden Betrieb wirksam greift. Genau diese Funktionstrennung zwischen IKT-Betrieb, Kontrollfunktion und interner Revision fordert DORA. Sie ist zugleich die Voraussetzung dafür, dass die Berichterstattung an die Geschäftsleitung mehr ist als eine Sammlung von Statusmeldungen aus der Linie. 

ISO/IEC 38500 liefert das Governance-Modell, das DORA implizit voraussetzt. Zur Einordung: Die ISO/IEC 38500 ist der Standard, der beschreibt, wie die Leitung eines Unternehmens die IT bewertet, vorgibt und überwacht (Evaluate, Direct, Monitor), während Planung und betrieb beim Management bleibt. Die Norm unterscheidet zwischen der Governance-Ebene, die bewertet, Vorgaben setzt und überwacht, und der Management-Ebene, die diese Vorgaben umsetzt. 

DORA weist die ultimative Verantwortung für das IKT-Risikomanagement-Rahmenwerk dem Leitungsorgan zu. Die IKT-Risikokontrollfunktion ist der Mechanismus, der die Überwachungsrolle des Leitungsorgans mit belastbaren Informationen unterlegt. Wer die turnusmäßige Berichterstattung als Formalie behandelt, entzieht der Geschäftsleitung die Grundlage, auf der sie ihre Verantwortung überhaupt wahrnehmen kann.

ISO/IEC 27001 liefert den Kontrollkatalog, der in vielen Organisationen seit Langem etabliert ist. Wo ein zertifiziertes Informationssicherheits-Managementsystem betrieben wird, sind die meisten operativen Kontrollen vorhanden und dokumentiert, wenn auch ohne ausdrücklichen Bezug zu DORA. Die Anwendbarkeitserklärung ist dafür das naheliegende Referenzdokument, weil sie bereits ausweist, welche Maßnahmen angewendet werden und in welchen Regelungen sie verankert sind. Managementbewertung und Verbesserungszyklus der Norm entsprechen funktional den Anforderungen an Lernen und kontinuierliche Weiterentwicklung.

Eine Kontrolle ist erst dann belastbar, wenn sie angemessen ausgestaltet und im laufenden Betrieb wirksam ist. Diese Unterscheidung legt jede externe Prüfung an, sei es im Rahmen einer Berichterstattung nach IDW PS 951 oder eines vergleichbaren internationalen Standards. Für die Kontrollfunktion bedeutet das, beide Dimensionen getrennt zu beurteilen und getrennt zu dokumentieren.

Damit das gelingt, benötigt jede Kontrolle ein Mindestmaß an Attributen: eine eindeutige Nummer mit Bezug zur regelnden Unterlage, ein Kontrollziel, eine Beschreibung der Kontrollhandlung einschließlich Nachweis und Ablageort, eine Durchführungsfrequenz, die Angabe, ob sie manuell, automatisiert oder systemgestützt manuell erfolgt, die Wirkrichtung als präventive oder aufdeckende Kontrolle sowie einen benannten Kontrollverantwortlichen. Fehlt die Verknüpfung zur Verfahrensanweisung, ist die Kontrolle nicht im Prozess verankert und im Prüfungsfall ohne Wert.

Handlungsfähig wird die IKT-Risikokontrollfunktion nicht durch Stellenbeschreibungen, sondern durch eine gepflegte Kontrollmatrix, die regulatorische Anforderung, internes Regelwerk und Nachweis in einer Struktur zusammenführt. Dieses Dokument ist für die zweite Linie Arbeitsgrundlage, für die interne Revision Prüfungslandkarte und für die Geschäftsleitung Nachweis der Verantwortung gegenüber der Aufsicht. Wer darüber verfügt, führt Aufsichtsgespräche mit Belegen statt mit Absichtserklärungen und kann Investitionsentscheidungen im IKT-Bereich an nachvollziehbaren Risikoaussagen ausrichten.

Eine Kette, die nur auf dem Papier existiert, schützt Sie im Aufsichtsgespräch nicht. Wir sorgen dafür, dass sie in Ihrem Haus funktioniert: von den abgeleiteten Kontrollzielen über die Anbindung an bestehende Verfahrensanweisungen und ISMS-Kontrollen bis zum belastbaren Nachweis der Wirksamkeit. Sie nutzen, was Sie bereits haben, und gewinnen Klarheit, wo wirklich Handlungsbedarf besteht. Profitieren Sie von unseren praktischen Erfahrungen, in der revisionssicheren Etablierung einer wirksamen IKT-Risikokontrollfunktion. Kontaktieren Sie unsere Experten: daniel.bruns@severn.de und norman.nehls@severn.de.