Wenn ein Unternehmen verschiedene Dienstleister beauftragt, bedeutet das nicht automatisch, dass diese komplett unabhängig voneinander agieren können. Nutzen beispielsweise mehrere Anbieter das gleiche Rechenzentrum, können sie gleichzeitig von einer Störung betroffen sein. Solche Abhängigkeiten müssen insbesondere in Branchen mit strengen aufsichtsrechtlichen Vorgaben bekannt sein und laufend überwacht werden. Zu den Aufgaben von Auslagerungsbeauftragten zählt daher, Informationen aus den Fachabteilungen zusammenzutragen und zu prüfen, welche Folgen ein Ausfall hätte. Verträge und Leistungsnachweise bilden die Grundlage, um die Arbeit externer Dienstleister zu überprüfen.
Die Aufgaben im Unternehmen müssen klar zugeordnet sein
Die Mindestanforderungen an das Risikomanagement (MaRisk) richten sich vor allem an Banken und bestimmte Finanzdienstleistungsinstitute. Die Finanzaufsicht BaFin verlangt darin ein zentrales Auslagerungsmanagement, das an den Umfang und die Komplexität der Auslagerungen angepasst ist.
Die Vorbereitung auf eine Zertifizierung zum Auslagerungsbeauftragten sollte zu den Aufgaben passen, die das Unternehmen der betreffenden Person tatsächlich überträgt. Dazu können vor allem die Abstimmung von Risikoanalysen mit den Fachabteilungen, die Pflege der Unterlagen und Berichte an die Geschäftsleitung gehören. Der Verantwortliche muss etwa Prüfberichte anfordern und verfolgen können, ob Mängel behoben werden. Die Verantwortung für ordnungsgemäße Abläufe trägt weiterhin die Geschäftsleitung, die daher ebenfalls beurteilen können muss, ob die durchgeführten Kontrollen ihren Zweck erfüllen.
MaRisk und DORA richtig voneinander abgrenzen
Für Unternehmen unterschiedlicher Art und verschiedene beauftragte Leistungen gelten unterschiedliche Vorgaben. Die EU-Verordnung DORA (Digital Operational Resilience Act) regelt die digitale Sicherheit im Finanzsektor. Sie enthält unter anderem Anforderungen an die Auswahl und Kontrolle externer IT-Anbieter. Die MaRisk-Fassung vom Juni 2026 nimmt IT-Leistungen, die unter diese DORA-Regeln fallen, von ihren Auslagerungsregeln aus. Für andere Auslagerungen gelten diese weiterhin.
Das Unternehmen muss daher festhalten, welche Leistung nach welchem Regelwerk kontrolliert wird. Einkauf, IT und Auslagerungsmanagement brauchen dazu einen gemeinsamen Überblick über die Verträge und die tatsächlich erbrachten Leistungen.
Unterauftragnehmer und gemeinsame Abhängigkeiten erkennen
Ein IT-Anbieter kann seinerseits andere Unternehmen beauftragen. Die EU-Verordnung 2025/532 regelt solche Unteraufträge für IT-Leistungen, die kritische oder wichtige Funktionen wie die Zahlungsabwicklung unterstützen. Das Finanzunternehmen muss beurteilen können, welche Risiken daraus entstehen. Eine Weiterbildung im Auslagerungs-Controlling sollte daher auch vermitteln, wie sich solche Dienstleisterketten untersuchen lassen.
Wenn ein Anbieter einen externen Cloud-Dienst zur Datenspeicherung nutzt, muss geklärt werden, welche weiteren Geschäftsabläufe davon abhängen. Wesentliche Änderungen muss der IT-Anbieter rechtzeitig mitteilen, damit das Finanzunternehmen die Risiken erneut prüfen und gegebenenfalls Maßnahmen zur Risikobegrenzung ergreifen kann.
Die Überwachung nach dem möglichen Schaden ausrichten
Auslagerungs-Controlling bedeutet, die vereinbarte Leistung und die Risiken fortlaufend zu überprüfen. Je größer der potenzielle Schaden, desto enger muss die Kontrolle sein. Bei der laufenden Kontrolle sollte auf die folgenden Warnsignale geachtet werden:
- Ein Dienstleister überschreitet wiederholt Fristen und verzögert dadurch weitere Arbeitsschritte.
- Sicherheitsmängel bestehen weiter, obwohl ihre Behebung zugesagt war.
- Bei einem Notfalltest gelingt es nicht, Systeme rechtzeitig wieder in Betrieb zu nehmen.
- Ein neuer Unterauftragnehmer verändert die zuvor bewerteten Risiken.
Für jeden Mangel muss feststehen, wer ihn bis wann behebt. Das Auslagerungsmanagement kontrolliert die Umsetzung und informiert bei erheblichen Problemen rechtzeitig die Geschäftsleitung.
Änderungen während der Vertragslaufzeit neu bewerten
Ein bei Vertragsbeginn vertretbares Risiko kann später wachsen. Werden weitere Aufgaben auf denselben Anbieter übertragen, hängt ein größerer Teil des Betriebs von ihm ab. Fällt ein Ersatzdienstleister weg, kann dadurch auch der bisherige Notfallplan unbrauchbar werden.
Kontrollen und Vorsorgemaßnahmen müssen daher regelmäßig neu bewertet und bei Bedarf angepasst werden. Sind die Aufsichtsvorgaben nicht erfüllt, kann die BaFin Nachbesserungen verlangen. Je nach Gesetzesverstoß kommen Geldbußen infrage. Diese können gegen das beaufsichtigte Unternehmen, etwa eine Bank, oder gegen persönlich verantwortliche Personen, beispielsweise den Geschäftsführer, verhängt werden. Längere Ausfälle oder verlorene Kundendaten können außerdem das Vertrauen der Kunden beschädigen.
STARTSEITE
