Warum sehen wir gerade im Bankenmarkt einen solchen Trend hin zur Auslagerung ganzer Funktionen?
Uwe Stegemann: Die Finanzinstitute stehen unter gewaltigem und zunehmendem Druck. Ein schwieriges Marktumfeld, steigende Spezialisierungs- und Investitionsanforderungen bei hohem Kostendruck, die zunehmende Marktpräsenz von FinTechs sowie neue Möglichkeiten der Digitalisierung und Nutzung von Cloud-Lösungen - all dies kommt zusammen.
In dieser Situation ist es oft sinnvoll, mit hohen Investitions- und Fixkosten verbundene oder außerhalb der eigenen Kernkompetenzen liegende Aktivitäten auf spezialisierte Dienstleister zu übertragen. Beispiele dafür sind "Business Process Outsourcing" wie die Wertpapierabwicklung, Zahlungsverkehr, Callcenter oder Kreditadministration oder IT- beziehunsgweise ITK-Dienstleistungen. Wenn die Auslagerung gut klappt, winken erhebliche Effektivitäts-, Effizienz- und auch Qualitätsvorteile durch die Skaleneffekte sowie die Erfahrung der jeweiligen Auslagerungspartner. Es gibt tolle Erfolgsbeispiele, aber leider auch derbe Misserfolge.
Werden damit auch die Risiken ausgelagert?
Uwe Stegemann: Eins ist wichtig zu wissen: Zwar übernehmen die Partner viel Verantwortung und auch operative und wirtschaftliche Risiken. Beim auslagernden Institut verbleiben aber faktisch die Geschäfts- und Reputations- sowie die Rechts- und Compliance-Risiken - es ist dafür verantwortlich, dass die versprochenen Leistungen gegenüber dem Kunden erbracht und alle Bestimmungen eingehalten werden. Diese Risiken gilt es, mit einer geeigneten Strategie zu definieren und diesen Auslagerungsmanagement-Prozess zu steuern.
Worauf kommt es dabei an?
Uwe Stegemann: Mindestens fünf Aspekte sind zu beachten. Erstens: Die auszulagernde Leistung muss konkret definiert und die Nutzenerwartung an die Auslagerung, zum Beispiel in Form von Effektivität, Effizienz und Qualität, muss klar quantifiziert werden. Nicht immer wird die Leistung, die man am liebsten loswerden und auslagern möchte, am besten durch Dritte erbracht. Zweitens: Der Auslagerungsmanagement-Prozess ist komplex. Er umfasst alle Ziele, Inhalte, Aktivitäten, Strukturen und Systeme zur Realisierung einer angemessenen, wirksamen Steuerung und Überwachung der Auslagerungen. Drittens sind die regulatorischen Ansprüche und operativen Herausforderungen hoch. Die Finanzinstitute müssen detaillierte und aussagekräftige Risiko-Identifikations- und -Bewertungsprozesse durchführen - unter Berücksichtigung der Leitlinie der European Banking Authority (EBA/GL/2019/02) beziehungsweise der Mindestanforderungen an das Risikomanagement der Bundesanstalt für Finanzdienstleistungsaufsicht (MaRisk AT 9).
Versäumnisse bei der Umsetzung dieser gesetzlichen und aufsichtlichen Anforderungen können schwere Konsequenzen haben: von höheren Prüf- und Dokumentationsanforderungen bis hin zu empfindlichen Strafen - für das Institut und für die Verantwortlichen persönlich. Viertens: Regtech - also der Einsatz von Technologie zur Erfüllung regulatorischer Vorgaben - kann helfen. Vereinfacht lässt sich sagen: Ein Auslagerungsmanagement-Prozess gelingt dann am besten, wenn er komplett digitalisiert wird. Denn das verbessert Effektivität, Effizienz, Transparenz, Prüfungsfestigkeit und Prozessintegration. Und fünftens: Die tatsächlich erzielten Nutzen, zum Beispiel eine Kostenentlastung oder die Reduktion der Fehlerhäufigkeiten, muss messbar sein. Beobachtungen aus entsprechenden Projekten zeigen: Wer einen konsequenten Auslagerungsmanagement-Prozess etabliert und dabei Regtech einsetzt, verringert den Ressourcenbedarf für administrative Tätigkeiten oft um mehr als die Hälfte.
Das klingt schön - aber funktioniert das in der betrieblichen Realität wirklich?
Ulrich Bongartz: Die Komplexität dieses Auslagerungsmanagement-Prozesses zeigt sich in den vielen, oft nicht standardisierten Prozessvarianten, der Beteiligung zahlreicher Verantwortungsbereiche und der oft unzureichenden technologischen Unterstützung, zum Beispiel für die initiale Einwertung von Sachverhalten, die erstmaligen und turnusmäßigen Risikoanalysen, die fortlaufende Kontrolle und KPI-Überwachung oder die Dokumentation und Verprobung der Handlungsoptionen und Exit-Szenarien bei der Beendigung von Auslagerungen. In der betrieblichen Praxis sind viele Funktionen am Auslagerungsmanagement-Prozess beteiligt. Neben Verantwortlichen der auslagernden Fachbereiche (erste Verteidigungslinie) sind dies in der Regel Mitarbeitende aus den Bereichen zentrales Auslagerungsmanagement, Business Continuity Management, Informationssicherheit, Datenschutz, Compliance, NFR-Risikocontrolling und IT-Governance (zweite Verteidigungslinie) sowie in kenntnisnehmender Rolle Mitarbeitende der Revision (dritte Verteidigungslinie).
Wo entstehen die meisten Schwierigkeiten im Auslagerungsmanage ment-Prozess?
Fünf operative Herausforderungen sehen wir besonders häufig: Erstens sind zunächst einmal in vielen Fällen offene Themen im Vertragsbestand zu beheben. Hierbei handelt es sich beispielsweise um die Ergänzung oder Aktualisierung von Altverträgen und deren Anlagen aufgrund neuerer regulatorischer Anforderungen. Weitere Beispiele für Erblasten sind fehlende, unvollständige oder nicht systematische Kontrollen im Rahmen der Auslagerungsüberwachung sowie nicht aktuelle beispielsweise inkonsistente Dokumentationen (zum Beispiel fehlende Aktualisierung von Risikoanalysen oder Versionskonflikte aufgrund von Änderungen in Formularen).
Zweitens wird ein effektives und effizientes Auslagerungsmanagement durch unvollständige oder nicht systematische Regelungen zu Berichtspflichten und Überwachungsmechanismen mit den unterschiedlichen Dienstleistern gehemmt. In anderen Fällen sind die Standards der Auslagerungsüberwachung noch nicht gruppenweit vereinheitlicht. Hieraus resultiert oft eine unvollständige oder inkonsistente Dokumentation.
Drittens ist der Auslagerungsmanagement-Prozess oftmals technisch noch nicht so gut ausgestaltet wie andere Geschäftsprozesse: Manuelle Datenerfassung, Medienbrüche, Fehler in Lösungen bei der individuellen Datenverarbeitung (IDV) oder bei der Konsolidierung zugelieferter Excel-Dateien komplizieren die Arbeitsabläufe, verursachen Inkonsistenzen und erschweren die Darstellung einer transparenten und aktuellen Übersicht über das Auslagerungsuniversum.
Viertens ist es wegen unvollständiger oder nicht aktueller Datenlage nur bedingt möglich, alle relevanten Informationen zu Auslagerungen und sonstigen IT-Fremdbezügen zeitnah auszuwerten. Selbst auf vorhandene Informationen haben die Prozessbeteiligten oft nur eingeschränkt Zugriff. Ein unvollständiger Datenbestand erschwert jedoch die Bewertung von Risiken, die Auslagerungsüberwachung und die Dienstleistersteuerung sowie die Erstellung und Auswertung eines aktuellen und vollständigen Auslagerungsregisters auf Instituts- und Gruppenebene.
Nicht zuletzt leidet das Auslagerungsmanagement oft auch unter begrenzten Management- und Personalressourcen. Der wichtigste Erfolgsfaktor für einen funktionierenden Auslagerungsmanagement-Prozess ist das zielorientierte Zusammenspiel von Mitarbeitenden aus den verschiedensten Funktionen und Aufgabengebieten eines Instituts.
Eine Umfrage unter 14 Teams, die bei verschiedenen Finanzinstituten an der Optimierung des Auslagerungsmanagement-Prozesses arbeiten, bestätigt ein deutliches Verbesserungspotenzial über alle fünf Kategorien. Das höchste Potenzial liegt in den Kategorien "technische Unterstützung" und "tagesaktueller Datenhaushalt."
Überrascht Sie dieses insgesamt doch sehr negative Bild?
Ulrich Bongartz: Nicht wirklich. Seit dem ersten Lockdown in der Corona-Pandemie hat sich die Situation vielerorts verschärft: Die meisten für die Auslagerung Verantwortlichen arbeiten aus dem Homeoffice und aufgrund der beschriebenen Schwachstellen im Auslagerungsmanagement-Prozess haben sich die Durchlaufzeiten für die Anlage von Sachverhalten, Abstimmungen und Freigaben noch einmal verlängert. Ein gut funktionierender Prozess ist deshalb zu einem echten Wettbewerbsfaktor geworden. Besonders wichtig sind unter anderem eine funktionierende und (tages-)aktuelle Auslagerungsüberwachung. Der Einsatz von Regtech-Lösungen zur Digitalisierung des Auslagerungsmanagement-Prozesses kann dabei eine entscheidende Rolle spielen. Wesentliche Informationen zu Auslagerungen und sonstigen Fremdbezügen von IT-Dienstleistungen müssen bald auf Knopfdruck verfügbar sein, um auch die neuen gesetzlichen oder aufsichtsrechtlichen Anforderungen zu erfüllen - seien es die Anzeigepflichten bei wesentlichen Auslagerungen gemäß Referentenentwurf zur Änderung der Anzeigenverordnung, das Konsultationspapier der Europäischen Zentralbank zur Outsourcing-Registervorlage oder das Informationsregister gemäß DORA, also dem Digital Operational Resilience Act.
Herr Bongartz hat den Einsatz von Regtech-Lösungen angesprochen: Wie kann "Regtech" tatsächlich helfen?
Uwe Stegemann: Für den Einsatz von Regtech im Auslagerungsmanagement-Prozess sprechen einige Argumente. Kreditinstitute können effektiver und effizienter werden und dabei gleichzeitig die Transparenz über mögliche Risiken und die Qualität der Leistungserstellung verbessen. Außerdem werden Inhalte und Workflows prüfungsfest gemacht. Und Regtech hilft, das Auslagerungsmanagment besser in andere Prozesse zu integrieren.
Wie groß die Vorteile eines digitalisierten Auslagerungsmanagement-Prozesses sind, zeigen Beobachtungen bei 20 Banken aus Deutschland und anderen europäischen Ländern. Besonders große Entlastungseffekte zeigen sich in Berichtswesen und Dokumentation sowie in Formularverwaltung und Strukturierung, zum Beispiel bei der Erstellung und Verwaltung von Checklisten, Fragebögen, Vorlagen sowie der Abbildung von Kontrollen, Service Level Agreements und KPIs. Die so frei werdenden Arbeitszeiten und Kapazitäten lassen sich unmittelbar reinvestieren, beispielsweise um die qualitative Wertung und Steuerung von ausgelagerten Aktivitäten zu vertiefen und zu optimieren.
Zugleich führt die Digitalisierung zu kürzeren Durchlaufzeiten. Dies zeigt sich besonders eindrucksvoll bei der Erstellung und Freigabe von Risikoanalysen. Bei eiligen Fällen oder Standardsachverhalten beispielsweise reduziert sich die Durchlaufzeit für die Erstellung und Freigabe einer Risikoanalyse von mehreren Wochen auf ein bis zwei Arbeitstage. Dies sind nur einige Beispiele, wie Regtech zur Verbesserung der gesamten regulatorischen Governance beiträgt.
