Angesichts der in den letzten Jahren für Finanzinstitute und Finanzdienstleistungsinstitute national und international weiter gestiegenen Regulierung, der stetig wachsenden und coronabedingt stark zunehmenden (IT-)Auslagerungsbeziehungsweise Leistungsbezugsvolumina, der erforderlichen Digitalisierungsoffensive im Finanzsektor und nicht zuletzt auch im Hinblick auf die Neuerungen im Kreditwesengesetz (KWG) durch das Finanzmarktintegritätsstärkungsgesetz, ist davon auszugehen, dass die in den Aufsichtstexten konkretisierten Anforderungen in Bezug auf Auslagerungen auch 2022 im Fokus gesetzlicher (Jahresabschlussprüfung) und aufsichtsrechtlicher Prüfungen (Sonderprüfungen gemäß § 44 KWG) stehen werden. Die aktuellen europäischen Überlegungen im Kontext von DORA ("Digital Operational Resilience Act") für den Finanzsektor, IT-Dienstleister unter bestimmten Voraussetzungen unmittelbar der Aufsicht zu unterstellen, sollten für Finanzinstitute und Finanzdienstleistungsinstitute ebenfalls Anlass sein, sich verstärkt mit dem Thema (IT-)Auslagerungsmanagement auseinanderzusetzen.
Vor diesem Hintergrund wird in diesem ersten Teil zunächst die Frage nach der künftigen Relevanz von Auslagerungen beantwortet. Anschließend werden Alternativen zur Umsetzung der regulatorischen Anforderungen an Auslagerungen im Kontext von begrenzten Ressourcen dargestellt. In einem folgenden zweiten Teil wird dann der Auslagerungsprozess im Mittelpunkt stehen.
Relevanz und Bedeutung von Auslagerungen
Die Auslagerung von (IT-)Leistungen ist in der deutschen Finanzbranche allgegenwärtig und bleibt in den nächsten Jahren ein zentrales Dauerthema.1) Wesentlicher Treiber für Auslagerungen ist die digitale Transformation. Im Rahmen des Transformationsprozesses sind Entscheidungen über die zukünftige interne oder externe Erbringung der einzelnen Aktivitäten/Prozesse aus der Wertschöpfungskette und damit über die Fertigungstiefe zu treffen. Getreu dem Motto: "Do what you can best and outsource the rest" werden einzelne, nicht die Kernkompetenz des Finanzinstituts betreffende Bestandteile der Wertschöpfungskette an externe Dritte ausgelagert. Das Aufbrechen der sequenziellen Wertschöpfungsketten und der Aufbau neuer Wertschöpfungsarchitekturen ermöglichen unter anderem innovative Formen der Zusammenarbeit, wie flexible Wertschöpfungsnetzwerke mit Fintechs. Im Zuge der digitalen Transformation der Finanzinstitute erfahren Bank- beziehungsweise Fintech-Kooperationen eine immer größere Zustimmung als Strategieoption.
Das konsequente Analysieren von Wertschöpfungsketten und das damit verbundene Aufbrechen in einzelne Wertschöpfungsstufen macht zum einen Kostenreduktions- und Qualitätsverbesserungspotenziale sichtbar und verbessert die Flexibilität in Bezug auf Markt- beziehungsweise Kundenanforderungen. Zum anderen bietet die Digitalisierung dem Finanzinstitut auch die Möglichkeit neuer Produkt- und Dienstleistungen (etwa digitale Ökosysteme). Begünstigt wird diese Möglichkeit durch datengetriebene Business-Intelligence-Ansätze wie Plattformökonomie und den Trend zu unternehmensübergreifender Zusammenarbeit im Open Banking. Auslagerungen sind damit Katalysator für die digitale Transformation durch Zugang zu Innovationen und neuesten Technologien.
Einen Schub erfahren Auslagerungen des Weiteren durch die starke Zunahme von "As-a-Service"-Modellen im Kontext von Cloud Computing. Dieses ist eine spezielle Ausprägung von IT-Auslagerungen, wesentlicher Baustein der Digitalisierung und unabdingbare Voraussetzung, um den digitalen Wandel voranzutreiben und erfolgreich zu gestalten. Die größten Vorteile in der Nutzung von Cloud-Diensten liegen neben deutlichen Kostenvorteilen in einer höheren Flexibilität sowie in der verstärkten Sicherheit, der Verfügbarkeit und im Support. Andererseits existieren im Cloud Computing neben den klassischen Auslagerungsrisiken, cloud-inhärente Risiken, die im Cloud-Auslagerungsmanagement/ im Cloud-Auslagerungsprozess entsprechend zu würdigen sind. Wird das aktuell und flächendeckend getan? In Finanzinstituten wird das Thema Cloud noch sehr unterschiedlich gehandhabt. Von der Einrichtung spezieller Cloud-Auslagerungsprozesse mit eigenständigen Cloud-Kompetenzteams zur dezidierten Erfassung und Bewertung der Cloud-Risiken bis hin zur Nichtbeachtung der speziellen Risiken aus Cloud Computing ist (noch) alles in der Praxis anzutreffen.
Eine weitere, Auslagerungen forcierende Innovation im Kontext der digitalen Transformation sind digitale Marktplätze auf denen Finanzinstitute zukünftig verstärkt ihre Leistungen mit anderen Dienstleistern anbieten. Speziell digi tale Ökosysteme als Plattformen, auf denen das Zusammenspiel mehrerer Anbieter Wertschöpfungen mit neuen Dienstleistungen und Produkten ermöglicht, sind hier zu nennen. Solche Angebote erweitern das Produkt- und Dienstleistungsportfolio des Plattformbetreibers über dessen Kerngeschäft und -prozesse hinaus. Das Angebot der Finanzin stitute, gemeinsam mit Ökosystempartnern beziehungsweise Dienstleistern den Kunden bedarfsgerechte individuelle Lösungen entlang der gesamten Wertschöpfungskette anzubieten, bedingt einen Fokus auf den Bezug von externen Lösungen und Produkten und impliziert eine verstärkte Zusammenarbeit mit Dritten - beides bedeutet Auslagerung.2)
Zusammenfassend lässt sich festhalten, dass Finanzinstitute im Rahmen ihrer notwendigen Geschäftsmodelltransformation auch Auslagerungen nutzen (werden). Damit trägt Outsourcing wesentlich zur Erreichung der langfristigen strategischen Ziele des Finanzinstituts bei.
Positives Stimmungsbild
Die Auslagerungsreife bei standardisierten hoch skalierbaren Backoffice-Funktionen ist heute schon hoch.3) Auslagerungspotenzial liegt bei komplexen und wissensintensiven Aktivitäten und Prozessen. Ein gewisses Momentum ist aktuell auch bei der Auslagerung von Compliance-Dienstleistungen zu beobachten. Der Point-of-Sale ist im Gegensatz dazu für Auslagerungen meistens tabu.
Aktuelle empirische Studien zeigen, dass das Stimmungsbild der Finanzinstitute gegenüber Auslagerungen positiv ist. So planen in den nächsten ein bis zwei Jahren knapp zwei Drittel der Finanzinstitute, weitere Prozesse und/ oder Aktivitäten an externe oder interne Dienstleister auszulagern. Vor diesem Hintergrund wundert es nicht, dass viele von einem weiterwachsenden Auslagerungsmarkt ausgehen. Im Durchschnitt wird für die nächsten Jahre pro Jahr ein Wachstum von drei bis vier Prozent für klassische IT-Auslagerungen und circa 20 Prozent für Auslagerungen in die Cloud prognostiziert.4)
Inhaltlich zeichnen sich für die kommenden ein bis zwei Jahre fünf zentrale Auslagerungstrends bei Finanzinstituten ab:5)
- Digitalisierung: Cloud-Services werden verstärkt eingeführt, sie dienen als Basis für die Nutzung neuer Technologien.
- Strategic Sourcing: Auslagerungen unterstützen dabei, die strategischen Ziele des Instituts zu erreichen.
- Sustainable Sourcing: Die Nachhaltigkeit von Dienstleistern gewinnt zunehmend an Bedeutung.
- Integrated Sourcing: Die Integrierbarkeit der Dienstleister wird wichtiger, weil immer mehr Institute interaktive Kundenportale aufbauen.
- Cross-Industry-Sourcing: Der Trend zu Open-Banking-Produkten führt zu einer zunehmenden Kooperation mit branchenfremden Dienstleistern.
Begrenzte Ressourcen
Die Bankenaufsicht für Finanzdienstleistungen (BaFin) hat am 16. August 2021 die neue Novelle der Mindestanforderungen an das Risikomanagement (MaRisk) veröffentlicht. Von den Themen, die in den MaRisk eine Klarstellung erfahren haben oder eine Neuerung darstellen, ist auch das Auslagerungsmanagement betroffen. Dieses muss sich weiteren Herausforderungen stellen.
Trotz überwiegend gleicher regulatorischer Anforderungen zeigt die Praxis, dass das Auslagerungsmanagement (first und second Line) in Finanzinstituten unterschiedlich aufgebaut ist, differenzierte Schwerpunkte beinhaltet und häufig mit nicht aus reichenden Ressourcen ausgestattet ist. Damit werden Ressourcen zu einem limitierenden Faktor bei der Umsetzung der ständig steigenden Anforderungen an Auslagerungen, Auflagerungsprozesse und an das Auslagerungsmanagement.
Gerade die (Sonder-)Prüfungen in der jüngeren Vergangenheit zum Auslagerungsmanagement zeigen, dass verstärkt auch die qualitative und quantitative Ausstattung im Auslagerungsmanagement von den Prüfern bemängelt und mit Feststellungen versehen wird. Die zunehmende Anzahl, der wachsende Umfang und die steigende Komplexität der Auslagerungen in vielen Instituten wird das Ressourcenproblem im zentralen (second Line) und dezentralen (first Line) Auslagerungsmanagement weiter verschärfen. Zur Verschärfung tragen zudem das starke Wachstum von Cloud Computing und der zunehmende Aufwand für ein aufsichtskonformes Auslagerungsmanagement der aktiven Auslagerungen bei.
Dem qualitativen und quantitativen Personalengpass in der first wie auch in der second Line kann über unterschiedliche Ansätze entgegengewirkt werden:
- Einstellung von Spezialisten / Interne Ausschreibung: Neueinstellungen sind der einfachste Ansatz zur Behebung von personellen Engpässen, sofern das Budget dies zulässt. Allerdings sind aktuell gut ausgebildete Auslagerungsspezialisten nur schwer zu finden. Vor dem Hintergrund der stetig steigenden regulatorischen Anforderungen und im Kontext unbesetzter Stellen im Auslagerungsmanagement, ist ein Run auf passende Kandidaten entfacht. Dieser hat nicht nur zu einem intensiven Wettbewerb unter Finanzinstituten, sondern auch zu erhöhten Gehaltsforderungen der potenziell Wechselwilligen geführt.
Naheliegend ist deshalb, auch auf interne Ressourcen zurückzugreifen und Mitarbeiter aus outsourcing-affinen Bereichen für einen Wechsel ins Auslagerungsmanagement zu gewinnen. Zu nennen sind hier beispielhaft der Einkauf, das Risikomanagement oder die auslagernden Fachbereiche. Nach einer Einarbeitungszeit dieser Mitarbeiter und flankiert durch ein zielführendes Ausbildungsprogramm6) kann das Ressourcenproblem mindestens entschärft, unter Umständen sogar gelöst werden.
- Managed Services: Vor dem Hintergrund eines anhaltenden Mangels an qualifizierten Auslagerungsspezialisten ist zur Behebung des Personalengpasses eine Alternative wünschenswert, bei der keine eigenen Mitarbeiter eingestellt oder intern verlagert werden müssen, sondern auf externe Dritte zurückgegriffen werden kann. Hier bietet sich das Modell des "Managed Services" an.
Managed Services beziehen sich nicht auf eine bestimmte Art von Services, sondern beschreiben übergreifend eine Form der Zusammenarbeit, bei der ein Managed-Service-Provider (MSP) für den Kunden die regelmäßige Durchführung abgestimmter Services (Arbeitspakete) übernimmt und damit die vorhandenen Mitarbeiter des Kunden entlastet und unterstützt, ohne dass der Kunde neue Mitarbeiter aufbauen muss. Mit Managed Services greift der Kunde auf den Ressourcenpool des MSP zurück. Der MSP stellt für den Kunden einzelne Mitarbeiter oder sogar ein ganzes Team zur Erledigung der Services ab. Die finale Entscheidungskompetenz verbleibt beim Kunden.
Die Managed Services sind im Vorfeld hinsichtlich Art, Umfang und Qualität genau definiert. Häufig handelt es sich dabei um wiederkehrende Services, die auf Basis von Service-Level-Agreements über einen gewissen, vorher klar definierten Zeitraum kontinuierlich erbracht werden (müssen). Neben der Unterstützung und Arbeitsentlastung der eigenen Mitarbeiter gibt es einige weitere Vorteile von Managed Services: (a) von Best-Practices des MSP profitieren und damit höhere Qualitätsstandards für den Kunden erreichen; (b) Personalausfall und Krankheit durch Stellvertreterregelung innerhalb des MSP vermeiden; (c) Flexibilität und Skalierbarkeit bei Lastspitzen einzelner Services; (d) dynamisches Hinzubuchen weiterer Services ohne eigene (Personal-)Investitionen sowie das Kündigen nicht mehr benötigter Services; (e) Kostentransparenz durch in der Regel monatliche Abrechnung; (f) keine permanenten Investitionen in Personal, Know-how und IT.
Für einen nachhaltigen Mehrwert durch Managed Services ist die Wahl des MSP entscheidend. Nur erfahrene und kompetente MSP mit umfangreicher Expertise und Referenzwerten sind in Betracht zu ziehen. Bei der Auswahl stellen sich unter anderem folgende Fragen: Verfügt der MSP über das erforderliche Know-how? Hat er ein ausreichend großes Team an Experten? Kann er alle zu erbringenden Services abdecken? Verfügt er über zertifizierte Qualitäts- und Sicherheitsstandards? Bietet er individuell angepasste Service-Level-Agreements an?
Um eine unterbesetzte first und second Line zu entlasten und einen geregelten und aufsichtskonformen Ablauf beziehungsweise Aufbau des Auslagerungsprozesses beziehungsweise Auslagerungsmanagements sicherzustellen, ist ein umfangreiches Portfolio an Service Modulen für Managed Services denkbar.7) Die Bandbreite der individuell zusammenstellbaren Module reicht von der Übernahme des gesamten Auslagerungsprozesses und des kompletten Auslagerungsmanagements über die vollständige Übernahme aller Services einer Line-of-Defense bis zu ausgewählten Services innerhalb einzelner Lines-of-Defense. In der Praxis finden sich aktuell unter anderem folgende von Finanzinstituten abgerufene Managed Services: (a) Vorqualifizierung des Leistungsbezugs; (b) Durchführung von Konformitätsprüfungen; (c) Durchführung und Überprüfung der Risikoanalyse; (d) Dienstleistervorauswahl; (e) Steuerung und Überwachung des Dienstleistungsbezugs; (f) Erstellung des Auslagerungsreportings; (g) Vorbereitung des Exits; (h) Pflege des Auslagerungsregisters; (i) Durchführung von institutsinternen Schulungsmaßnahmen im Auslagerungsmanagement.
Die Gesamtverantwortung für Auslagerungen und wesentliche Entscheidungen im Rahmen von Managed Services verbleibt im Institut - zum Beispiel die finale Dienstleisterauswahl, die Beendigung einer Auslagerung sowie die Entscheidung über die Durchführung einer Auslagerung. Der Mangel an Auslagerungsspezialisten begünstigt die zunehmende Akzeptanz von Managed Services und führt dazu, dass immer mehr Finanzinstitute überlegen und/oder dazu tendieren, einzelne Services einem Managed-Service-Provider zu übertragen, um darüber die Effizienz des Auslagerungsprozesses zu steigern und die Effektivität des Auslagerungsmanagements zu verbessern. Vakanzen im Auslagerungsmanagement können auch durch einen Interimsmanager geschlossen werden. Dieser übernimmt befristet Auslagerungsaktivitäten und nimmt gegebenenfalls auch Managementtätigkeiten wahr.
- Digitalisierung: Parallel zu den steigenden regulatorischen Anforderungen wächst der Aufwand, der für die Einhaltung und den Nachweis der Erfüllung der Anforderungen anfällt. Neben der regelmäßig anzupassenden schriftlich fixierten Ordnung durch die second Line, sind diverse Templates (beispielsweise für die Überprüfung der Zulässigkeit oder die Risikoanalyse und Risikobewertung) zu befüllen. Häufig geschieht dies über Excel- oder Word-Dateien. Diese wechseln oftmals per E-Mail den Nutzer und werden bestenfalls an einer zentralen Stelle zusammen mit weiteren, den speziellen Sachverhalt betreffenden Unterlagen konsolidiert und dokumentiert.
Neben den regelmäßig zu aktualisierenden institutsinternen Dokumenten (zum Beispiel die Risikoanalyse) werden dem Finanzinstitut vom Dienstleister des Öfteren Unterlagen zur Verfügung gestellt. Mit dem Eingang und der Ablage der Dokumente ist es jedoch nicht getan. Die Inhalte sind zu würdigen und bei Bedarf sind Maßnahmen einzuleiten. Die Würdigung ist zu dokumentieren und die Maßnahmen sind nachzuhalten.
Alle diese Aufgaben werden häufig manuell unter Zuhilfenahme entsprechender Office-Programme durchgeführt. Dies kostet Zeit und ist fehleranfällig. Die Mitarbeiter des Auslagerungsmanagements haben daher weniger Zeit, sich auf ihre eigentlichen Aufgaben zu konzentrieren. Zu diesen gehören unter anderem: (a) Weiterentwicklung eines angemessenen Auslagerungsmanagements und entsprechender Kontroll- und Überwachungsprozesse; (b) Überprüfung des Auslagerungsprozesses auf Effizienz und Praktikabilität im Finanzinstitut; (c) Unterstützung der Fachbereiche bezüglich der institutsinternen und gesetzlichen Anforderungen bei Auslagerungen; (d) Begleitung des Auslagerungsprozesses sowie die Betrachtung, Bewertung und Mitigation der Risiken; (e) Darstellung, Bewertung und Steuerung des Gesamtauslagerungsportfolios; (f) risikoadäquate Dienstleisterüberwachung und -steuerung.
Um das Auslagerungsmanagement bei der Erfüllung dieser Aufgaben von unnötigen und zeitintensiven Tätigkeiten zu entlasten, sollte ein Outsourcing-Management-System8) eingeführt werden. Dieses unterstützt das Auslagerungsmanagement unter anderem durch (a) automatisierte Workflows für Auslagerungen, sonstigen IT-Fremdbezug und sonstigen Fremdbezug; (b) automatische Erstellung von Audit Trails im Rahmen der Workflows sowie im Kontext weiterer Tätigkeiten; (c) automatisierte Status-quo-Übersichten zum Bearbeitungsstatus aktueller Risikoanalysen und Risikobewertungen; (d) automatische Erstellung von To-do-Listen für jedes Auslagerungsvorhaben; (e) jederzeit aktuelle Übersicht über alle Dokumente und Kommentare zu einem Auslagerungssachverhalt; (f) zeitnahe Erstellung eines aktuellen Auslagerungsregisters.
Zwar lässt sich durch ein Outsourcing-Management-System nicht das Auslagerungsmanagement ersetzen. Es schafft jedoch Freiräume, damit sich die first und die second Line auf die Themen konzentrieren können, die von zentraler Bedeutung für ihr Aufgabenportfolio im Zusammenhang mit Auslagerungen sind. Damit hilft ein Outsourcing-Management-System, das Ressourcenproblem im Auslagerungsmanagement zu entschärfen.
Diverse Optionen
Es gibt verschiedene Ansätze, dem Ressourcenproblem im Kontext von Auslagerungen in der Praxis zu begegnen. Die dargestellten Ansätze sind dabei weniger im Sinne von "entweder-oder" zu verstehen, sondern sollten eher aus dem Blickwinkel von "sowohl-als-auch" von Finanzinstituten in Bezug auf eine praktische Umsetzung bewertet werden.
Da der Fachkräftemangel im Auslagerungsmanagement voraussichtlich im Jahr 2022 weiter bestehen wird, sollte die Bewertung der aufgezeigten Ansätze proaktiv angegangen werden. Die anhaltend starke Nachfrage resultiert aus der weiteren Zunahme der regulatorischen Anforderungen sowie der stetig steigenden Anzahl und wachsenden Komplexität von Auslagerungen (auch) in der Finanzbranche.
Ein folgender zweiter Teil dieses Beitrags wird sich der praktischen Umsetzung konkreter regulatorischer Anforderungen anhand von Best Practices widmen. Ausgehend von den regulatorischen Anforderungen der MaRisk sowie der BAIT wird ein idealtypischer Auslagerungsprozess vorgestellt. Daneben wird sich der Beitrag ausgewählten Themen des sonstigem IT-Fremdbezugs sowie den Anforderungen an das Cloud Computing widmen.
Fußnoten
1) Chrubasik, Relevanz und Marktbedeutung von Auslagerungen, Vortragsunterlagen Outsourcing Management Professional - Practitioner, 2021.
2) Chrubasik, 2021.
3) Chrubasik, 2021.
4) Ebd.
5) PWC, Outsourcing in der Finanzindustrie, 2021.
6) Z. B. über die Outsourcing Zertifizierungsprogramme der Bank Management Consult GmbH oder speziell für Leasing-Gesellschaften das Seminar des Bundesverbands Deutscher Leasing-Unternehmen e. V.
7) Hierzu ist beispielhaft das Produkt Alpaca der Bank Management Consult GmbH zu erwähnen.
8) Beispielhaft sei hier das bmcOMS der Bank Management Consult GmbH erwähnt.
