Keyfacts:

• Aktuelle geopolitische Entwicklungen stellen das IKT-Risikomanagement von Finanzunternehmen auf die Probe.
• Im Zuge von DORA gehört gerade mit Blick auf Konzentrationsrisiken das Steuern von Drittparteienrisiken auf die Agenda.
• Zu den zentralen Handlungsfeldern gehören neben der Datenanalyse die richtigen Exit-Strategien, eine stimmige Governance und passende Tool-Lösungen.

Wer in den vergangenen Wochen die Nachrichten verfolgt hat, wurde Zeuge von zahlreichen Entwicklungen politischer und wirtschaftlicher Spannungen: Mit Handelszöllen und Sanktionen gegen verschiedene Länder hat die Trump-Regierung in den Vereinigten Staaten Verantwortliche in Regierungen und Unternehmen herausgefordert und die Aktienmärkte verunsichert.

Die Kriege in der Ukraine und im Nahen Osten und der neu entflammte Konflikt zwischen Indien und Pakistan stellen die weltweiten Handels- und Finanzverflechtungen ebenfalls auf eine Bewährungsprobe. Das hat auch Folgen für Finanzunternehmen.

Denn geopolitische Umbrüche sind zentrale Risikotreiber für das Kredit- und Liquiditätsrisiko von Finanzinstituten. Auch mit Blick auf das nicht finanzielle Risikomanagement (Non-financial Risk) müssen Finanzinstitute geopolitische Risiken und ihre Auswirkungen frühzeitig identifizieren, bewerten und steuern. Vor allem im Zuge des Drittparteienrisikomanagements (Third Party Risk Management, TPRM) ist das, verstärkt durch den Digital Operational Resilience Act (DORA), von Belang.

Das Management von Drittparteienrisiken: Große Abhängigkeiten von IKT-Providern

Drittparteienrisikomanagement oder auch TPRM: Damit ist gemeint, dass Banken und andere Finanzunternehmen durch DORA verpflichtet sind, Risiken zu steuern, die sich daraus ergeben, dass sie ihre Leistungen häufig in großem Maße mit Unterstützung von externen und internen Dienstleistern erbringen. Viele Dienstleister sind technologische Service-Provider, was Risiken aus Informations- und Kommunikationstechnologien (IKT) mit sich bringt.

Dass diese IKT-Risiken nicht zu unterschätzen sind, verdeutlicht auch die Auswertung der Auslagerungsdatenbank der BaFin. Denn mehr als die Hälfte der anzeigepflichtigen Unternehmen, die von der BaFin beaufsichtigt werden, können oder könnten ihre ausgelagerten IT-Dienstleistungen nicht (wieder) selbst erbringen. Ein Großteil diese Auslagerungen kann außerdem entweder gar nicht oder nur schwer auf einen anderen IT-Dienstleister übertragen werden.

Banken & Co. sind in der heutigen digitalen Welt also durchaus abhängig von den Leistungen und vom verlässlichen Funktionieren einzelner Technologieanbieter. Ergänzend kommt hinzu, dass der Markt für IT-Auslagerungen hauptsächlich von wenigen Anbietern dominiert wird, deren Sitz oder der ihrer Muttergesellschaft in einem Nicht-EU-Land liegt: Stichwort Hyperscaler aus den USA, was immer wieder Herausforderungen für einen sicheren Datenaustausch mit sich bringt.

Compliance und Reputation: Risikobewertungen und Exit-Strategien aktualisieren

Die aktuellen geopolitischen Entwicklungen bedeuten somit, dass die Institute prüfen sollten, ob anlassbezogene Aktualisierungen der Risikobewertung notwendig werden – auch bei den Dienstleistern, die Neuerungen von gesetzlichen oder aufsichtsrechtlichen Vorgaben fristgerecht umsetzen sollten.

Eine Überprüfung kann insbesondere dann notwendig sein, wenn der Dienstleister anderen rechtlichen Rahmenbedingungen unterliegt als das Finanzinstitut selbst. Ergänzend dazu kann es aufgrund der geänderten geopolitischen Lage der Fall sein, dass die Einwertung des Konzentrations-, Rechts-, Länder-, IKT-, Weiterverlagerungs- und Ausfallrisikos (zum Beispiel durch Sanktionen) für einzelne Dienstleistungsbezüge neu zu bewerten ist und neue Mitigationsmaßnahmen erforderlich werden.

Das kann dazu führen, die eigenen Exit-Strategien neu zu fassen – sich also zu fragen, welche alternativen Dienstleister, die beispielsweise ihren Sitz in unterschiedlichen Ländern haben, notwendig werden.

Es kann auch sein, dass die Einwertung des Reputationsrisikos für die Zusammenarbeit mit bestimmten Dienstleistern neu gefasst werden muss, zum Beispiel aufgrund geänderter Vorgaben zum Umweltschutz oder durch die Neubewertung von Diversifikationsprogrammen. Nur ein genauer Blick auf solche Punkte stellt sicher, dass eine Zusammenarbeit mit Drittparteien weiter konform mit den Strategien und Werten des Finanzinstituts ist.

Es zeigt sich also, dass das aktuelle Umfeld die fortlaufende Bewertung der geopolitischen Lage erfordert und auch den Aufwand, Dienstleister und die mit ihnen einhergehenden Risiken zu steuern. Wie lassen sich solche IKT-Risiken mindern?

Bausteine für das Mindern von Risiken durch IKT-Dienstleister

Die DORA-Umsetzung liefert einen geeigneten Ansatzpunkt für das Management von geopolitischen Risiken im Kontext des Drittparteienrisikomanagements. Vor allem drei Punkte sind aus unserer Sicht hier wesentlich:

 1. Ermitteln von Konzentrationsrisiken: DORA fordert von Finanzunternehmen, mögliche Konzentrationsrisiken zu ermitteln – sie sollten auch unter geopolitischen Gesichtspunkten bewertet werden. Das Informationsregister kann dabei als zentrale Datenbank herangezogen werden.

DORA kann als Grundlage für eine effiziente Bewertung von Abhängigkeiten in Bezug auf IKT-Dienstleistungsarten dienen und transparent machen, wie stark kritische Funktionen von gewissen IKT-Dienstleistungen abhängen sowie Konzentrationsrisiken unter dem Aspekt von geopolitischen Risiken beleuchten.

 2. Nachschärfen von Exit-Konzepten: Die gestiegenen geopolitischen Risiken können dazu führen, dass Finanzunternehmen ihre Leistungen zum Beispiel gegenüber Kunden nicht mehr durchgängig erbringen könnten. Deshalb sollten Exit-Konzepte überprüft und nachgeschärft werden.

Im Zuge dessen sollten Verantwortliche die Definition von möglichen Exit-Triggern nachjustieren oder erweitern, aber auch mögliche Strategien zur Diversifizierung der Leistungsbezüge in Betracht ziehen. Es ist außerdem sinnvoll, nicht nur Alternativdienstleister aus einem Herkunftsland zu betrachten, sondern solche aus unterschiedlichen Ländern.

 3. Dienstleisterwahl aktiv steuern: Insbesondere für IKT-Dienstleister, die Teil von kritischen Funktionen im Unternehmen sind, gilt: Sie sollten fortlaufend überwacht werden. Das erfolgt insbesondere durch regelmäßige Berichte über die vereinbarten Leistungen. Auch weitere dafür relevante Informationen des Unternehmens sind auszuwerten.

Mit Blick auf geopolitische Risiken sollten Finanzunternehmen einschätzen und bewerten können, ob sich in naher Zukunft Änderungen in der Geschäftspolitik des IKT-Dienstleisters (der Drittpartei) ergeben könnten und ob es zu Anpassungen bei den bereitgestellten Dienstleistungen und Services kommen wird.