die bank 03 // 2021

MANAGEMENT 1 |

MANAGEMENT 1 | Grundsätze operativer Resilienz 1 Governance Governance-Strukturen zur Reaktionssicherung auf disruptive Ereignisse, um Auswirkungen von Störungen auf kritische Geschäftsabläufe minimieren zu können. 5 Outsourcing Management und Steuerung von Drittbezügen, insbesondere für die Erbringung in kritischen Geschäftsabläufen. 2 3 OpRisk BCM 1 Bedrohungen identifizieren, bewerten sowie daraus resultierende Risiken im Hinblick auf die operative Widerstandsfähigkeit steuern. BCM-Pläne etablieren und BCM-Übungen durchführen unter Berücksichtigung von schwerwiegenden und plausiblen Szenarien. Grundsätze operativer Widerstandsfähigkeit 6 Störungsmanagement Entwicklung und kontinuierliche Verbesserung von Reaktions- und Wiederherstellungsplänen zur Bewältigung von Vorfällen, die zu einer Störung kritischer Geschäftsabläufe führen könnten. 4 Schnittstellen und Abhängigkeiten Identifizierung und Abbildung der relevanten internen und externen Schnittstellen und Abhängigkeiten, die für die Erbringung der kritischen Geschäftsabläufe erforderlich sind. 7 IKT 2 inkl. Cybersicherheit Sicherstellen einer belastbaren IKT inkl. wirksamer Maßnahmen zur Cybersicherheit inkl. Tests. Zeitnahe Übermittlung notwendiger Informationen an Anwender. 1) Business Continuity Management 2) Informations- und Kommunikationstechnologie Quelle: Basel Committee „Principles for operational resilience“ 08/2020. der BIA über automatisierte Prozesse in die Risikobewertung von Dienstleistungen übernommen werden. Um eine Risikobewertung des Dienstleisters abschließen zu können, werden neben Informationen wie der BIA aus dem Unternehmen auch Nachweise des Dienstleisters zur Erfüllung der aufsichtsrechtlichen Anforderungen notwendig. Um die Lieferung der erforderlichen Nachweise für den Dienstleister zu erleichtern, helfen u. a. standardisierte Fragebögen. Mangels vorhandener Standards zur Abfrage der Anforderungen zum BCM beim Dienstleister hat die DZ Bank einen Fragekatalog als Konzernstandard entwickelt. Ziel des Standards ist es zum einen, die Rückmeldungen des Dienstleisters zu beschleunigen, aber auch zu offenen Punkten gemeinsam mit dem Dienstleister Maßnahmen zur Verbesserung zu definieren – was wiederum dazu führt, dass die Steigerung der Widerstandsfähigkeit in der Lieferkette erleichtert wird. Verpflichtende Maßnahmen der Aufsicht zur Sicherstellung der Resilienz? Das Ziel, Disziplinen zu verzahnen und damit widerstandsfähiger zu werden, mag bisher ein optionales Vorhaben sein. Das kann sich in Zukunft aber ändern. In der koordinierten Stellungnahme zur operativen Widerstandsfähigkeit der EZB vom Dezember 2020 formuliert die Aufsicht klar ihre Erwartung, dass „Unternehmen ihre Widerstandsfähigkeit ganzheitlich sehen sollten“. Sie verweist in diesem Zuge auch auf die definierten Grundsätze des Basel Committees zur operativen Resilienz. ÿ 1 Als ersten Schritt wird die EU-Verordnung zur Betriebsstabilität digitaler Systeme des Finanzsenktors (DORA) voraussichtlich noch im Jahr 2021 verabschiedet werden. Die EU-Verordnung scheint sich zwar weitgehend auf die Betriebsstabilität digitaler Systeme zu fokussieren, allerdings wirken sich ihre Vorgaben direkt auf das BCM, die Informationssicherheit wie auch auf das Auslagerungsmanagement aus – mit dem Ziel, auch die Digitalisierung des Finanzsektors resilient zu gestalten. So fordern z. B. Vorgaben zum IKT-Risikomanagement aus der DORA Strategien für die Fortführung des Geschäftsbetriebs sowie Notfall- und Wiederherstellungspläne. Dabei werden explizit auch Cyberangriffe benannt und somit ein direkter Zusammenhang zur Informationssicherheit hergestellt. Für das BCM wird die Beaufsichtigung von IKT-Drittanbietern direkt durch die Aufsicht eine Erleichterung darstellen. Denn auf diese Weise kann das Institut davon ausgehen, dass die Anforderungen zur Wiederherstellung von kritischen Diensten auch der IKT-Drittanbieter erfüllen muss. Operative Resilienz in einer Konzernstruktur Anforderungen an das BCM sowie an die operative Resilienz stellen nicht nur kleine bis mittlere Institute vor neue Herausforderungen. Für einen Finanzkonzern steigt die Herausforderung entsprechend der zunehmenden Komplexität. Diese Herausforderung hat die DZ BANK durch einen klaren Konzernprozess gelöst – unter anderem durch einheitliche Vorgaben für BCM, Informationssicherheit und Auslagerungsmanagement inkl. einem 26 03 // 2021

MANAGEMENT 2 | Konzernprozess BCM, ISM und Auslagerungsmanagement Konzern Berichterstattung Konzern Regelwerk Bericht Gruppenunternehmen Self Assessment Maßnahmenumsetzung Maßnahmendefinition Konzern Assessment Konzern Risikorahmen Quelle: DZ BANK 2021. definierten Risikoprozess sowie festgelegten Rollen und Aufgaben. ÿ 2 Dabei werden die Konzernvorgaben jährlich entsprechend neuer regulatorischer Anforderungen angepasst und nötige Maßnahmen zur Erfüllung vereinbart. Das Nachhalten der Umsetzung erfolgt im Rahmen eines strukturierten jährlichen Assessments auf Konzernebene aus einer Hand. Enge Verzahnung zur Stärkung der Widerstandsfähigkeit in einer Pandemie Gleiche Standards auf unterschiedlichen Ebenen, eine enge Verknüpfung mit anderen Management-Disziplinen, Dienstleistern und erforderlichen Ressourcen bilden eine operative Resilienz und werten das bisherige Business Continuity Management auf. Dass sich die Mühe lohnt, eine enge Verzahnung einzuführen, hat spätestens die Corona- Pandemie bewiesen. Ein Austausch mit Dienstleistern, aber auch auf Konzernebene mithilfe von einheitlichen Reportings und Austauschrunden haben unserer Bank geholfen, sich untereinander bei schwierigen Fragestellungen direkt zu unterstützen und kritische Themen frühzeitig zu erkennen. Von Beginn an war der gesamte Konzern handlungsfähig und widerstandsfähig gegenüber einem Großereignis wie der aktuellen Pandemie. Autoren Claudia Krüger (Foto links) ist als Konzern Business Continuity and Crisis Managerin tätig, Johannes Haupt (Foto rechts) als Business Continuity Manager. Beide arbeiten für die DZ BANK AG. Claudia Krüger und Johannes Haupt sind zwei der Referenten bei unserem Online-Zertifikatslehrgang am 17. und 18. Mai 2021 FAZIT Basiswissen für Business Continuity Manager (BCM) in Kreditinstituten Weitere Infos und Anmeldung: https://www.bv-events.de/event/basiswissen-fuer-business-continuitymanager-bcm-in-kreditinstituten-1 Großereignisse wie die Covid-19 Pandemie zeigen: Unternehmen, die ein Business- Continuity-Management-System eingeführt und dabei einen hohen Reifegrad entwickelt haben, sind für Notfälle und Krisen besser gewappnet. Auch rückt die Erwartung einer engen Verzahnung unterschiedlicher Management-Disziplinen im Sinne operativer Resilienz durch die Bankenaufsicht immer stärker in den Fokus. Unternehmen, die im Zuge der Verzahnung BCM als Kern oder Ausgangspunkt betrachten und gleichzeitig einheitliche Standards auf Konzern-, Unternehmensund Dienstleisterebene etablieren, können eine starke Widerstandsfähigkeit im Sinne von operativer Resilienz erreichen. 03 // 2021 27