Auslagerungsbeauftragte

Die Auslagerungsbeauftragte sorgt für die zentrale Steuerung der Auslagerungen eines Finanzinstituts. Die Rolle besteht, weil beaufsichtigte Institute für ausgelagerte Funktionen voll verantwortlich bleiben und daher einen gesteuerten Überblick über jede wesentliche Auslagerung, ihre Risiken, ihre Überwachung und ihren Ausstiegspfad brauchen.

Rechtlicher Anker ist § 25b des Kreditwesengesetzes (KWG), der von Instituten verlangt, sicherzustellen, dass Auslagerungen die ordnungsgemäße Geschäftsführung, die internen Kontrollen oder die Prüfbarkeit durch die Aufsicht nicht beeinträchtigen. § 25b Abs. 1 Satz 4 KWG verpflichtet jedes Institut zudem, ein Auslagerungsregister zu führen, das wesentliche wie nicht wesentliche Auslagerungen erfasst. Die aufsichtliche Konkretisierung liefern die Mindestanforderungen an das Risikomanagement (MaRisk), insbesondere Modul AT 9 zur Auslagerung. AT 9 Tz. 12 verlangt ausdrücklich, dass jedes Institut, das auslagert, einen zentralen Auslagerungsbeauftragten im Institut selbst einrichtet; ein zentrales Auslagerungsmanagement kommt je nach Art, Umfang und Komplexität der Auslagerungen zu seiner Unterstützung hinzu. In einer Prüfung wird selten die bloße Existenz dieser Bausteine abgefragt, sondern ihr Zusammenhang: ob die Risikoanalyse zu der Einstufung passt, die im Register steht, ob der Vertrag die Rechte enthält, die die Analyse voraussetzt, und ob die Überwachung seit Vertragsbeginn ohne Lücke dokumentiert ist.

Für Informations- und Kommunikationstechnik ergänzt der EU-Digital-Operational-Resilience-Act (Verordnung (EU) 2022/2554, DORA) ein unmittelbar geltendes Regime für IKT-Drittparteienrisiken: ein Informationsregister über alle IKT-Dienstleistungen, verpflichtende Vertragsinhalte, die Bewertung von Konzentration und Substituierbarkeit sowie strengere Regeln für Dienste, die kritische oder wichtige Funktionen stützen. DORA und MaRisk AT 9 überschneiden sich, sodass die Beauftragte ein kohärentes Auslagerungs- und IKT-Drittparteienrahmenwerk führt statt zweier paralleler Systeme.

In der Praxis pflegt die Beauftragte das Register, koordiniert die Risikoanalysen vor und während der Auslagerung, überwacht Dienstleisterleistung und Weiterverlagerung, hält die Ausstiegsprozesse tragfähig und berichtet nach AT 9 Tz. 13 mindestens jährlich über die wesentlichen Auslagerungen an die Geschäftsleitung. Wiederkehrende Schwachstellen sind bekannt: ein Register, das den Vertragsbestand nicht vollständig abbildet, eine Risikoanalyse, die nur zum Vertragsschluss erstellt und danach nicht fortgeschrieben wurde, eine Exit-Strategie ohne benannte Rückholoption, und Weiterverlagerungen, von denen das Institut erst durch den Dienstleister erfährt. Von Innenrevision, Compliance-Funktion und Informationssicherheit grenzt sich die Rolle darin ab, dass sie die Auslagerungsbeziehung steuert und nicht unabhängig prüft. Bei Versicherungsunternehmen liegt die vergleichbare Funktion in einem eigenen aufsichtlichen Rahmen und heißt dort Ausgliederung.