Veränderungen nach MaRisk AT 8.2 sicher bewerten
Veränderungen in IT, Prozessen und Organisation können die Risikolage eines Instituts beeinflussen. Eine strukturierte Risikoanalyse nach MaRisk AT 8.2 schafft Transparenz und Prüfungssicherheit.
Das Szenario
Veränderungen strukturiert
auf Risiken prüfen
Veränderungen in der Aufbau- und Ablauforganisation sowie in IT-Systemen können bestehende Kontrollmechanismen und die Risikolage eines Instituts beeinflussen. Bei wesentlichen Veränderungen verlangt MaRisk AT 8.2 daher eine frühzeitige Analyse der Auswirkungen auf Kontrollverfahren und Kontrollintensität. In der Praxis braucht es dafür ein einheitliches Vorgehen, das Veränderungen nachvollziehbar einordnet und die erforderliche Analysetiefe bestimmt.
Die Herausforderung
Anforderungen an eine prüfungssichere Risikoanalyse
Für die Bank besteht die zentrale Herausforderung darin, die Auswirkungen einer Veränderung strukturiert zu erfassen und eine belastbare Risikoeinschätzung abzuleiten. Die Projektleitung muss zunächst herausarbeiten, welche Abteilungen von der Veränderung betroffen sind. Gleichzeitig ist sicherzustellen, dass die getroffenen Risikoeinschätzungen transparent, nachvollziehbar und prüfungskonform dokumentiert werden. Auf dieser Grundlage sind geeignete Maßnahmen zur Risikoreduzierung abzuleiten.
,allowExpansion)
,allowExpansion)
Die Lösung
Standardisierte Bewertung wesentlicher Veränderungen
Der bewährte Lösungsweg verbindet eine standardisierte Vorprüfung mit einem institutsweit einheitlichen Schema zur Bewertung der Wesentlichkeit. Bei wesentlichen Veränderungen folgt eine vertiefte Analyse der Auswirkungen auf Kontrollverfahren und -intensität unter Einbindung der betroffenen Organisationseinheiten sowie der relevanten Kontrollfunktionen.
Ergänzend werden weitere Risikoaspekte betrachtet und geeignete Maßnahmen abgeleitet, sodass regulatorische Anforderungen und bestehende Change-, Governance- und IT-Prozesse ineinandergreifen.
Die Durchführung
Veränderungen systematisch analysieren und klassifizieren
Die Durchführung folgt einem einheitlichen Prozess von der ersten Einschätzung bis zur dokumentierten Maßnahmenentscheidung. Kriterien, Bewertungen und Begründungen werden mit konkreten Fakten aus der jeweiligen Veränderung belegt und dadurch nachvollziehbar dokumentiert.
#1 Standardisierte Vorprüfung
Zunächst wird geprüft, welche Prozesse, Organisationseinheiten, kritischen IT-Systeme, Kontrollen und Datenhaushalte betroffen sind. Besondere Trigger sind unter anderem Migrationen, Releases und Cut-over-Szenarien, Änderungen an Risikosteuerung, Zahlungsverkehr oder Meldewesen sowie Auswirkungen auf IKS, Informationssicherheit, Compliance und weitere regulatorische Funktionen.
#2 Klassifizierung der Veränderung
Die Einordnung als wesentlich oder unwesentlich erfolgt anhand definierter Kriterien. Maßgeblich sind insbesondere die Relevanz für den Geschäftsbetrieb, Veränderungen des Risikoprofils, Eingriffe in kritische Systeme oder Kontrollen, Komplexität und Abhängigkeiten sowie das potenzielle finanzielle, regulatorische oder reputative Schadensausmaß.
#3 Vertiefte Risikoanalyse
Bei wesentlichen Veränderungen werden Eintrittswahrscheinlichkeit und mögliche Schadenshöhe bewertet. Betrachtet werden insbesondere operationelle und IT-Risiken, Informationssicherheit und Datenschutz, Compliance und IKS sowie – sofern relevant – Drittparteien-, Notfall-, Datenqualitäts-, Reporting- und Meldewesenrisiken unter Einbindung der zuständigen Funktionen.
#4 Maßnahmenableitung
Aus den identifizierten Risiken werden konkrete Maßnahmen abgeleitet. Dazu zählen zusätzliche Kontrollen, erweiterte Tests und technische Absicherungen, Schulungen, angepasste Notfall- und Rückfallkonzepte sowie Aktualisierungen von Arbeitsanweisungen und Prozessdokumentationen.
Das Ergebnis
Prüfungssicherheit durch konsistente Bewertungskriterien
Eine klare Methodik schafft eine belastbare Grundlage, um wesentliche Veränderungen konsistent zu bewerten und Entscheidungen transparent zu dokumentieren. Institute erkennen Auswirkungen auf Kontrollmechanismen frühzeitig, binden relevante Verantwortliche gezielt ein und leiten erforderliche Maßnahmen nachvollziehbar ab. Fincon Reply unterstützt dabei, diese Vorgehensweise in bestehende Change-, Governance- und IT-Prozesse zu integrieren und regulatorische Konformität mit effizienten Abläufen zu verbinden.
Fincon Reply ist ein Business- und IT-Beratungsunternehmen mit Fokus auf die Finanzdienstleistungsindustrie. Wir beraten Banken, die Sparkassen-Finanzgruppe, die Genossenschaftliche FinanzGruppe und Versicherungen sowie deren Zulieferer bei ihrer digitalen Transformation. In Kernbanksystemen, Versicherungssystemen und deren Systemlandschaften sind wir zu Hause. Von der Einzelbeauftragung von Experten, über individuelle Projektteams bis hin zu schlüsselfertigen Lösungen - bei uns erhalten Sie alles aus einer Hand.