Revisionsprüfung von Geschäftsprozessen im Outsourcing

Textauszug aus dem Buch Revisionsprüfung von Geschäftsprozessen im Outsourcing herausgegeben von Dominik Förschler Autoren: Marc Gittler / Tobias Lindner / Katharina Meritz Kapitel 3.4 Mindestanforderungen an das Risikomanagement 3.4.1 Neue Anforderungen an Auslagerungen 3.4.2 Auslagerung der Internen Revision 3.4.3 Fazit © 1. Auflage 2008, Frankfurt School Verlag GmbH, Sonnemannstraße 3-5, 60314 Frankfrut am Main 28 Internal Audit Strategy 3.4 Mindestanforderungen an das Risikomanagement 3.4.1 Neue Anforderungen an Auslagerungen Die im § 25a Abs. 2 KWG genannten und vorangehend beschriebenen unbe- stimmten Rechtsbegriffe für den Umgang mit Auslagerungen werden durch die norminterpretierende Verwaltungsvorschrift in Form der MaRisk näher spezifiziert und sollen vor diesem Hintergrund im Folgenden näher erläutert werden. Die zunehmende Aktivitäten der Banken im Bereich Outsourcing verbunden mit den damit zusammenhängenden Risiken veranlassten die BaFin bereits vor einigen Jahren, einen ersten regulatorischen Rahmen für Auslagerungen zu schaffen. In diesem Zusammenhang ist insbesondere das Rundschreiben 11/2001 zu nennen. Die Altregelungen zeichneten sich durch einen hohen Detaillierungs- und Komplexitätsgrad aus. Allerdings trugen sie den out- sourcing-spezifischen Risiken in der Praxis nicht immer angemessen Rech- nung, was die BaFin dazu bewog, in die Fassung der neugeschaffenen MaRisk vom Dezember 2005 Sachverhalte zum Thema Outsourcing von (Kredit-) Instituten aufzunehmen. Bei der Aufnahme handelte es sich jedoch zunächst um eine Art „Platzhalter“, der mit der Neufassung vom 30.10.2007 mit „Leben“ gefüllt wurde. Ziel der BaFin war es dabei, die prinzipienorien- tierte Grundausrichtung der MaRisk fortzuführen. Darüber hinaus wurden bei der Neufassung der MaRisk übergelagerten Entwicklungen auf euro- päischer Ebene wie den Guidelines on Outsourcing30 des Committee of European Banking Supervisors (CEBS) oder der Markets in Financial Instruments Directive (MiFID) Rechnung getragen werden. 30 Vgl. Kapitel 3.5.5 Guidelines on Outsourcing. Revisionsprüfung von Geschäftsprozessen im Outsourcing 29 Mindestanforderungen an das Risikomanagement (MaRisk) überarbeitete Module in Bezug auf Outsourcing Modul Überschrift AT 1, Tz. 1 Vorbemerkung AT 3, Tz. 1 Gesamtverantwortung der Geschäftsleitung AT 4.2, Tz. 1 Strategie AT 4.3.1, Tz. 2 Aufbau- und Ablauforganisation AT 4.3.2, Tz. 2 Risikosteuerungs- und -controllingprozesse AT 4.4, Tz. 1, 4 Interne Revision AT 5, Tz. 3 Organisationsrichtlinien AT 7.3, Tz. 1 Notfallkonzept AT 9, Tz. 1-9 Outsourcing BT 2.1, Tz. 1+3 Aufgaben der Internen Revision Abbildung 8: Modularer Aufbau der MaRisk31 Eine zentrale Änderung der Neufassung der MaRisk im Vergleich zum Rundschreiben 11/2001 liegt im Wegfall der Anzeige gegenüber der BaFin hinsichtlich der Absicht und des Vollzugs einer Auslagerung. Ebenso ist das mit der Anzeigepflicht verbundene Vertragsprüfungsverfahren entfallen. Der BaFin stehen im Gegenzug jedoch Auskunftsrechte gegenüber den Instituten zu. Neben einigen punktuellen Ergänzungen wurde das Modul AT 9 der MaRisk deutlich ausgebaut. Grundsätzlich erhalten bleibt der Anknüpfungs- punkt des § 25a Abs. 2 KWG für Auslagerungstatbestände.32 Kernelement ist die Sicherstellung einer ordnungsmäßigen Geschäftsorganisation auch 31 Eigene Darstellung 32 Siehe BaFin (Hrsg.): MaRisk, 2007, AT 1 Vorbemerkung, Tz. 1. 30 Internal Audit Strategy im Falle der Auslagerung sowie eine weiterbestehende Verantwortung der Geschäftsleitung für ausgelagerte Aktivitäten und Prozesse.33 Bei der Anwendung der MaRisk stellt sich zunächst die Frage, in welchen Fällen es sich um eine Auslagerung handelt. Gemäß AT 9, Tz. 1 MaRisk liegt eine Auslagerung vor, „wenn ein anderes Unternehmen mit der Erbrin- gung solcher Aktivitäten und Prozesse im Zusammenhang mit der Durchfüh- rung von Bankgeschäften, Finanzdienstleistungen oder sonstigen institutsty- pischen Dienstleistungen beauftragt wird, die ansonsten vom Institut selbst erbracht würden.“34 Vor dem Hintergrund der Finanzmarktrichtlinie wurde der Anwendungsbereich um die Begrifflichkeit „institutstypische Dienstleis- tung“ erweitert, der sich auf die Auslagerung betrieblicher Aufgaben bezieht, die für die kontinuierliche und ordnungsmäßige Erbringung und Ausübung von Dienstleistungen für Kunden und Anlagetätigkeiten wichtig sind.35 Nicht als Auslagerung ist der „sonstige Fremdbezug von Leistungen“ zu qualifizieren. Hierzu zählen einerseits der einmalige oder gelegentliche Fremdbezug von Gütern oder Dienstleistungen (wie bspw. der Kauf von Beratungsleistungen) und andererseits Leistungen, die typischerweise von einem beaufsichtigten Unternehmen bezogen und aufgrund tatsächlicher Gegebenheiten oder rechtlicher Vorgaben regelmäßig weder zum Zeitpunkt des Fremdbezugs noch zu einem Zeitpunkt in der Zukunft vom Institut selbst erbracht werden können (bspw. die Nutzung von Zentralbankfunktionen innerhalb von Finanzverbünden).36 Dessen ungeachtet sind in diesen Fällen weiterhin die Anforderungen nach § 25a Abs. 1 KWG zu beachten. Gestaltet sich die Frage des Anwendungsbereichs positiv, so ist in einem nächsten Schritt zu klären, ob die Auslagerung unter Risikogesichtspunkten wesentlich ist. Die Entscheidung der Wesentlichkeit überlässt die BaFin gemäß den Prinzipien der neugefassten MaRisk der Eigenverantwortung der Institute. Die Bestimmung der Wesentlichkeit ist durch das Institut auf Basis einer Risikoanalyse durchzuführen. Bei der Ausgestaltung der Risikoanalyse 33 Vgl. Kapitel 3.3 Kreditwesengesetz. 34 Siehe BaFin (Hrsg.): MaRisk, 2007, AT 9 Outsourcing, Tz. 1 sowie vgl. 2.1 Definition. 35 Siehe Richtlinie 2004/39/EG, Art. 13. 36 Vgl. BaFin (Hrsg.): Erläuterungen zu den MaRisk in der Fassung vom 30.10.2007, AT 9 Outsourcing; Tz. 1. Revisionsprüfung von Geschäftsprozessen im Outsourcing 31 haben die Institute grundsätzlich Gestaltungsfreiheit, wobei sich die Intensi- tät nach Art, Umfang, Komplexität und Risikogehalt der ausgelagerten Akti- vitäten zu richten hat und insbesondere die Risiken der Auslagerung sowie die Eignung des Auslagerungsunternehmens Berücksichtigung finden müs- sen.37 Ein mögliches Vorgehen bei der Risikoanalyse könnte bspw. ein zwei- stufiges Verfahren sein. In einem ersten Schritt erfolgt die Wesentlichkeits- beurteilung auf Basis einer groben Risikoanalyse. Ergeben sich Anhalts- punkte für eine wesentliche Auslagerung, so wird in einem zweiten Schritt eine detaillierte Risikoanalyse durchgeführt.38 Bei der Erstellung der Risikoanalyse sind sowohl alle maßgeblichen Organi- sationseinheiten als auch die Interne Revision im Rahmen ihrer Aufgaben einzubeziehen. Durch die vom Regulator vorgesehene explizite Einbindung der Internen Revision in den Erstellungsprozess der Risikoanalyse wird die wichtige Rolle der Internen Revision im Rahmen des Internen Überwa- chungsprozesses innerhalb eines Instituts deutlich. Bei der Einbindung der Internen Revision in den Erstellungsprozess ist jedoch darauf zu achten, dass die geforderte Objektivität der Internen Revision nicht beeinträchtigt wird.39 Vor diesem Hintergrund ist die Einbindung der Internen Revision im Rah- men der Risikoanalyse auf die Beurteilung dieser zu beschränken. Eine Kon- zeption oder sogar Durchführung der Risikoanalyse darf regelmäßig nicht erfolgen. Wird die Auslagerung im Rahmen der Risikoanalyse als wesentlich klassifi- ziert, so sind die Regelungen des § 25 a Abs. 2 KWG i.V.m. den MaRisk anzuwenden. Bei unwesentlichen Auslagerungen sind, analog wie bei Aus- lagerungen, die sich außerhalb des Anwendungsbereichs bewegen, die An- forderungen des § 25a Abs. 1 KWG zu beachten.40 37 Vgl. BaFin (Hrsg.): Erläuterungen zu den MaRisk in der Fassung vom 30.10.2007, AT 9 Outsourcing, Tz. 2. 38 Vgl. Achtelik, Olaf C.: Die neuen Regelungen zum Outsourcing, in: BankPraktiker, 2008, S. 16. 39 Vgl. The Institute of Internal Auditors (IIA) (Hrsg.): Standards fort the Professional Practice of Internal Auditing, Attribute Standards, 2004, 1100 - 1130 i.V.m. IIA (Hrsg.): Practice Advisories, 2004, 1100-1, 1120-1 und 1130-1. 40 Siehe BaFin (Hrsg.): MaRisk, 2007, AT 9 Outsourcing, Tz. 3. 32 Internal Audit Strategy Der vom Regulator geschaffene Rahmen lässt den Banken tendenziell mehr Freiräume für Auslagerungen. Die Neuregelung schafft bspw. die Möglich- keit einer vollständigen Auslagerung der Internen Revision.41 Die Regelun- gen der BaFin setzen aber auch Grenzen: Die Möglichkeit einer Auslagerung endet immer dann, wenn mit ihr eine Delegation der Leitungsaufgabe der Geschäftsleitung einhergeht. Hierunter sind Aufgaben der Unternehmens- planung, -koordination und -kontrolle sowie die Besetzung der Führungs- kräfte zu verstehen.42 Ebenfalls zuzurechnen sind Aufgaben, die der Ge- schäftsleitung durch den Gesetzgeber oder durch sonstige Regelungen expli- zit zugewiesen sind.