Dienstleistersteuerung durch zentrales und fachliches Auslagerungsmanagement
Neben einem präzise geregelten Auslagerungsvertrag ermöglicht insbesondere eine schlagkräftige Auslagerungsorganisation eine effektive Dienstleistersteuerung. Dabei ist eine Trennung in ein zentrales und ein fachliches Auslagerungsmanagement empfehlenswert.
Mit der MaRisk Novelle vom 27. Oktober 2017 sowie der Veröffentlichung der BAIT am 3. November 2017 sehen sich Finanzinstitute mit konkretisierten und mitunter verschärften Regelungen bei Auslagerungen konfrontiert. Ziel der aufsichtsrechtlichen Vorschriften ist es, eine sorgfältige Bewertung und Steuerung der mit der Einbindung von externen Dienstleistern entstehenden Risiken sicherzustellen. Hierfür ist es wichtig, die jeweiligen Auslagerungssachverhalte je nach Risikoausprägung einzuordnen und Rahmenbedingungen (z. B. KPIs) im Auslagerungsvertrag zu fixieren. Um die mit dem Dienstleister getroffenen Regelungen dann auch tatsächlich durchzusetzen, bedarf es darüber hinaus einer schlagkräftigen Auslagerungsorganisation.
MaRisk definiert die Verantwortlichkeiten in der Auslagerungsorganisation … teilweise
Welche grundlegenden Anforderungen beim Aufbau einer Auslagerungsorganisation zu berücksichtigen sind, beantwortet die MaRisk in zwei Abschnitten. An erster Stelle ist hier der AT 9 Tz. 10 zu nennen, in dem für alle Institute die Festlegung klarer Verantwortlichkeiten für die Steuerung und Überwachung wesentlicher Auslagerungen gefordert wird. Weiterhin wird im AT 9 Tz. 12 ausgeführt, dass unter Berücksichtigung der konkreten Risikoausprägung der Auslagerungsaktivitäten geprüft werden muss, ob die Einrichtung eines zentralen Auslagerungsmanagements erforderlich ist (AT 9 Tz. 12). Doch was bedeuten diese Regelungen ganz konkret für die Institute? Wie kann eine effektive und regelungskonforme Auslagerungsorganisation aussehen? Typischerweise erfolgt die Umsetzung der Regelungen in einem Zweiklang aus einem zentralen und einem fachlichen Auslagerungsmanagement.
Der ZAB koordiniert nach innen und außen
Dem zentralen Auslagerungsbeauftragten (ZAB) kommt eine koordinierende Rolle zu. Nach innen gerichtet ist er für die Steuerung der fachlichen Auslagerungsbeauftragten (FABs) zuständig. In dieser Aufgabe empfängt er Berichte, wertet diese aus und leitet konsolidierte Informationen an die Unternehmensleitung weiter. Zudem stellt er sicher, dass alle regulatorischen Vorgaben bei den FABs ankommen und von diesen umgesetzt werden.
Diese Aufgabe kann er wahrnehmen, da er nach außen gerichtet die zentrale Schnittstelle zur Aufsicht darstellt. Der ZAB ist Ansprechpartner für die Aufsicht und bündelt das auslagerungsspezifische aufsichtsrechtliche Know-how im Unternehmen. Aufgrund der komplexen Schnittstellentätigkeit und des internen Weisungsbedarfs entspricht die Rolle des ZAB im Institut häufig mindestens derjenigen eines Bereichsleiters (zweite Führungsebene). Neben dieser aufsichtsrechtlichen Rolle bedarf es allerdings meist eines ganzen Teams an Mitarbeitern, um die Fülle an Aufgaben zu bewältigen.
In Summe es ist es die Aufgabe des zentralen Auslagerungsmanagements, eine einheitliche Auslagerungs- und damit Risikosteuerung zu etablieren. Dies ist nicht nur mit Blick auf die zu steuernden Risiken von zentraler Bedeutung, sondern sollte auch zu einer gesteigerten Effizienz im Auslagerungsmanagement führen, was vor dem Hintergrund des ökonomischen Drucks, unter dem alle Institute in der aktuellen Marktsituation stehen, von wesentlicher Bedeutung ist.
Der FAB steuert die Dienstleister
Als Schnittstelle des Auslagerungsinstituts mit dem externen Dienstleister verantwortet der fachliche Auslagerungsbeauftragte (FAB) den geschlossenen Auslagerungsvertrag. Auf Basis der internen Vorgaben des ZAB stellt er sicher, dass dieser MaRisk-konform ist. Im weiteren Verlauf der Dienstleistungsbeziehung hat der FAB dafür Sorge zu tragen, dass der Dienstleister seine Aufgaben gemäß den getroffenen Vereinbarungen erfüllt. Hierzu bedient er sich aussagekräftiger KPIs (z. B. „Verfügbarkeit“ (IT-Hosting) oder „Antwortzeit im First-Level-Support“ (Call-Center)) zum Monitoring der Dienstleistungsqualität sowie entsprechender finanzieller Vereinbarungen (z. B. Bonus- und Malus-Regelungen im Auslagerungsvertrag). Ebenfalls mithilfe von definierten KPIs (z. B. „Anzahl kritischer Fehler“ (IT-Hosting) oder „Kundenzufriedenheit First Level Support“ (Call-Center)) ist es dem FAB möglich, identifizierte Risiken zu steuern und zu überwachen. Sobald die entsprechenden KPIs nachhaltig gebrochen werden, ist der FAB dafür verantwortlich, geeignete Gegenmaßnahmen zu entwickeln und gegenüber dem Dienstleister durchzusetzen.
Die üblicherweise prominente Besetzung unterstreicht die Relevanz der Auslagerungsbeauftragten.
Aus der Auflistung der Kernaufgaben des FAB wird bereits deutlich, dass dessen Rolle nicht an einen beliebigen Mitarbeiter abgegeben werden kann - vielmehr bekleidet ein FAB häufig den Rang eines Abteilungsleiters oder höher. Neben der Fähigkeit, Ansprüche gegenüber einem Dienstleister durchzusetzen, benötigt der FAB dabei insbesondere eine hinreichende fachliche Qualifikation im Hinblick auf die ausgelagerten Leistungen. Nur so kann sichergestellt werden, dass diese sachgerecht bewertet und gesteuert werden.
Sollte es gar zu einem Ausfall des Dienstleisters kommen, ist es an dem FAB, einen anderen Dienstleister auszuwählen oder dafür zu sorgen, dass die Kompetenzen der Eigenerstellung schnellstmöglich wiederaufgebaut werden, sodass das Institut die Leistung wieder eigenständig erbringen kann. Natürlich ist es nicht erforderlich, jede einzelne Tätigkeit im Detail zu kennen und selbst zu beherrschen – in diesem Fall würde die Auslagerung keinen Sinn ergeben. Sehr wohl ist es bei einer Auslagerung allerdings notwendig, grundlegende Kompetenzen und Wissen über den ausgelagerten (Teil-)Prozess im Institut vorzuhalten.
Bei der Besetzung der Rollen ihrer Relevanz Rechnung tragen
Abschließend ist festzuhalten, dass bei der Besetzung der Rollen ihrer Relevanz Rechnung getragen werden sollte. Aus den Aufgabenbeschreibungen der Auslagerungsbeauftragten geht hervor, dass es sich hierbei um verantwortungsvolle Rollen handelt, die mit kompetenten und durchsetzungsstarken Mitarbeitern besetzt werden sollten. Nur so kann sichergestellt werden, dass der Kern der aufsichtsrechtlichen Regelungen Anwendung findet und die institutsspezifischen Interessen auch gegenüber Dienstleistern durchgesetzt werden.