Schlagwort: IT-Strategie

BaFin veröffentlicht endgültige Fassung der KAIT

Veröffentlicht am von Dr. Verena Ritter-Döring and Charlotte Dreisigacker-Sartor

Nachdem die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) am 02. April 2019 die Konsultation ihres Rundschreibens Kapitalverwaltungsaufsichtliche Anforderungen an die IT (KAIT) durchführte, wurde am 01. Oktober 2019 die endgültige Fassung des Rundschreibens veröffentlicht.

Das Rundschreiben enthält Hinweise zur Auslegung der nationalen und europarechtlichen Vorschriften über die Geschäftsorganisation von Kapitalverwaltungsgesellschaften (KVG), soweit sie sich auf die technisch-organisatorische Ausstattung, und damit auch auf die IT-Systeme, der KVGen beziehen. Mit den KAIT verfolgt die BaFin das Ziel, die IT-Sicherheit im Markt zu erhöhen und das IT-Risikobewusstsein in den KVGen zu schärfen. Denn die IT ist die Basisinfrastruktur für sämtliche Prozesse in den KVGen, hat damit eine zentrale Bedeutung für deren Geschäftsbetrieb und stellt ein relevantes operationelles Risiko dar. Ausführliche Erläuterungen zu dem Inhalt des Rundschreibens finden Sie in unserem früheren Blogbeitrag.

Endgültige Fassung der KAIT: Was besonders wichtig ist

Was ist nun also aus der endgültigen Fassung der KAIT als besonders wichtig hervorzuheben?

  1. Die in den Mindestanforderungen an das Risikomanagement von KVGen (KAMaRisk) enthaltenen Anforderungen an die IT bleiben von den KAIT unberührt und werden durch sie konkretisiert. Daher bleiben die KVGen jenseits der Konkretisierungen der KAIT nach den Regelungen der KAMaRisk verpflichtet, bei der Ausgestaltung der IT-Prozesse (Hardware- und Software Komponenten) und der dazugehörigen IT-Prozesse grundsätzlich auf gängige Standards abzustellen. Zu diesen zählen bspw. die IT-Grundschutzkataloge des Bundesamtes für Sicherheit in der Informationstechnik und der internationalen Sicherheitsstandard ISO/IEC 270XX der International Organization for Standardization.
  2. Die Vorgaben der KAIT sind prinzipienorientiert und lassen damit Raum für eine Aufsichtspraxis, die die Größe und die individuellen Geschäftsmodelle der KVGen berücksichtigt (Proportionalitätsgrundsatz). Das heißt aber nicht nur, dass den KVGen Erleichterungen hinsichtlich der Anforderungen der KAIT zukommen können. Vielmehr bedeutet ein sachgerechter Umgang mit prinzipienorientierten Anforderungen und dem Proportionalitätsgrundsatz auch, dass die KVGen im Einzelfall über die in der KAIT formulierten Anforderungen hinaus weitergehende Vorkehrungen treffen müssen, soweit dies zur Sicherstellung der Angemessenheit und Wirksamkeit der technisch-organisatorischen Ausstattung und  des Risikomanagements der KVG erforderlich sein sollte.
  3. Die Geschäftsleitung der KVG hat eine mit der Geschäftsstrategie konsistente IT-Strategie festzulegen, zu überprüfen und regelmäßig anzupassen. Aufzunehmen ist z.B. die strategische Entwicklung der IT-Aufbau- und IT-Ablauforganisation, die Entwicklung der Auslagerungen von IT-Dienstleistungen, die Einbindung der Informationssicherheit in die Organisation sowie Aussagen zum Notfallmanagement und zu den in den Fachbereichen selbst entwickelten IT-Systemen.
  4. Da keine neuen Anforderungen kodifiziert werden, sondern lediglich vorhandene Anforderungen verschriftlicht wurden, gilt die KAIT unmittelbar, also ohne Übergangsvorschriften. Die BaFin wird im Hinblick auf die Umsetzung der KAIT ihre Aufsicht jedoch, wie bei neuen regulatorischen Implementierungsanforderungen gewohnt, ihre Aufsicht mit Augenmaß führen. KVGen sollten aber dennoch zeitnah mit der Umsetzung der Anforderungen der KAIT beginnen.
  5. Im Rahmen der Jahresabschlussprüfungen 2020 werden die Vorgaben der Verordnung über den Gegenstand der Prüfung und die Inhalte der Prüfungsberichte für externe Kapitalverwaltungsgesellschaften, Investmentaktiengesellschaften, Investmentkommanditgesellschaften und Sondervermögen (KAPrüfBV) unter Einbeziehung der KAIT Berücksichtigung finden; die besonderen Anforderungen der KAIT also einer Prüfung durch den Abschlussprüfer unterliegen.

Konkreter Handlungsbedarf für KVGen

Welcher Handlungsbedarf ergibt sich nun aus der endgültigen Fassung der KAIT für KVGen? Da das Rundschreiben unmittelbar gilt, sollten KVGen zügig mit der Erstellung einer Gap-Analyse und der Errichtung eines angemessenen Projektzeitplans, der ausgehend von Umfang und Komplexität der anstehenden Arbeiten eine zügige Implementierung der KAIT sicherstellt, beginnen. Dies wird der erste aufsichtliche Fokus der BaFin im Rahmen ihrer Überwachung der Implementierung der KAIT sein. In einem zweiten Schritt wird dann die inhaltlich korrekte Umsetzung der KAIT im Fokus der Aufsicht stehen.

Diese Handlungsschritte werden bei den KVGen zwar Ressourcen binden; dies wird aber dadurch gerechtfertigt, dass die Anforderungen der KAIT einer kontinuierlichen und störungsfreien Erbringung der Dienstleistungen der KVG und damit letztlich dem Anlegerschutz dienen.

KAIT: Anforderungen an die IT von Kapitalverwaltungsgesellschaften

Veröffentlicht am von Dr. Verena Ritter-Döring and Charlotte Dreisigacker-Sartor

Einer der Aufsichtsschwerpunkte der BaFin für 2019 ist die IT-Infrastruktur der regulierten Unternehmen. Denn aufgrund der zunehmenden Digitalisierung der Finanzindustrie werden IT-Systeme und IT-Infrastruktur für Finanzinstitute immer wichtiger. Daher ist es für Institute von entscheidender Bedeutung, dass ihre IT-Systeme eine robuste Struktur aufweisen und sie sich der Risiken bewusst sind, die sich aus der Nutzung der IT ergeben können sowie dass sie für eventuelle Störfälle entsprechend vorbereitet sind. Denn nur so kann sichergestellt werden, dass das Unternehmen die Finanzdienstleistung dauerhaft und zuverlässig erbringen kann.

Zu diesem Zweck hat die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) am 08. April 2019 eine Konsultation zum Entwurf des Rundschreibens Kapitalverwaltungsaufsichtliche Anforderungen an die IT (KAIT) veröffentlicht. Das Rundschreiben enthält Hinweise zur Auslegung der nationalen und europarechtlichen Vorschriften über die Geschäftsorganisation, soweit sie sich auf die technisch-organisatorische Ausstattung (und damit auch auf die IT-Systeme) der Kapitalverwaltungsgesellschaften (KVGen) beziehen. Die BaFin verfolgt das Ziel, die IT-Sicherheit im Markt zu erhöhen und das IT-Risikobewusstsein in den KVGen zu schärfen und gibt dem Management mit dem Rundschreiben einen Rahmen für die technisch-organisatorische Ausstattung der IT, insbesondere auch für das Management der IT-Ressourcen und für das IT-Risikomanagement. Da immer mehr Unternehmen IT-Dienstleistungen von Dritten in Anspruch nehmen, regelt das Rundschreiben auch den Umgang mit Auslagerungen von IT-Aktivitäten und IT-Prozessen und holt so auch nicht-regulierte IT-Anbieter in ihr Aufsichtsspektrum. Der Entwurf steht bis zum 15. Mai 2019 zur Konsultation.

Im Einzelnen regelt das Rundschreiben:

  1. Die Verpflichtung der KVG, eine IT-Strategie vorzuhalten sowie u.a. Mindestinhalte dieser Strategie. Aufzunehmen ist z.B. die strategische Entwicklung der IT-Aufbau- und IT-Ablauforganisation der KVG, die Auslagerung von IT-Dienstleistungen, Aussagen zum Notfallmanagement und Aussagen zu in den Fachbereichen selbst betriebenen oder entwickelten IT-Systemen.
  2. Die Implementierung einer IT-Governance, also einer Struktur zur Steuerung sowie Überwachung des Betriebs und der Weiterentwicklung der IT-Systeme einschließlich der dazugehörigen IT-Prozesse auf Basis der IT-Strategie. Die KVG muss insbesondere Bereiche wie das Informationsrisikomanagement, den IT-Betrieb und die Anwendungsentwicklung mit quantitativ und qualitativ angemessenem Personal ausstatten, für IT-Risiken angemessene Überwachungs- und Steuerungsprozesse einrichten, sicherstellen, dass IT-bezogenen Geschäftsaktivitäten auf der Grundlage von Organisationsrichtlinien betrieben werden und im Störungsfall geeignete Notfallmaßnahmen ergriffen werden.
  3. Die internen Prozesse zum Informationsrisikomanagement. Die KVG hat die mit dem Management verbundenen Aufgaben, Kompetenzen, Verantwortlichkeiten, Kontrollen und Kommunikationswege klar zu definieren und aufeinander abzustimmen. Sie hat angemessene Überwachungs- und Steuerungsprozesse einzurichten. Dabei ist besonders auf IT-Risikokriterien, die Identifikation von IT-Risiken und die Festlegung des Schutzbedarfs für den IT-Betrieb einzugehen.
  4. Vorgaben zum Informationssicherheitsmanagement. Dies macht Vorgaben zur Informationssicherheit, definiert Prozesse, steuert deren Umsetzung und folgt einem fortlaufenden Prozess, der die Phasen Planung, Umsetzung, Erfolgskontrolle sowie Optimierung und Verbesserung umfasst. Die KVG muss zudem z.B. eine Informationssicherheitsleitlinie beschließen und die Funktion eines Informationssicherheitsbeauftragten einrichten.
  5. Die Implementierung eines Benutzerberechtigungsmanagement, das sicherstellt, dass den Benutzern eingeräumte Berechtigungen so ausgestaltet sind und genutzt werden, wie es den organisatorischen und fachlichen Vorgaben der KVG entspricht. Das Rundschreiben enthält detaillierte Vorgaben, z.B. dass die Vergabe von Berechtigungen an Benutzer nach dem Sparsamkeitsgrundsatz (Need-to-know-Prinzip) zu erfolgen hat.
  6. Die Regelungen für IT-Projekte und die Anwendungsentwicklung. So sind IT-Projekte und Veränderungen der IT-Systeme vor ihrer Übernahme in den produktiven Betrieb zu testen und von den fachlich sowie auch von den technisch zuständigen Mitarbeitern abzunehmen. Produktions-und Testumgebung sind dabei grundsätzlich von einander zu trennen. Für die Entwicklung neuer IT-Funktionen sind angemessene Prozesse festzulegen, die Vorgaben zur Anforderungsentwicklung, zum Entwicklungsziel, zur technischen Umsetzung, zur Qualitätssicherung, sowie zu Test, Abnahme und Freigabe enthalten.
  7. Vorgaben zum konkreten IT-Betrieb. So sind beim Betrieb der IT-Systeme etwa Risiken aus veralteten Systemen zu berücksichtigen. Zudem sind alle Komponenten der IT-Systeme sowie deren Beziehung zueinander in geeigneter Weise zu verwalten und die hierzu erfassten Bestandsangaben regelmäßig sowie anlassbezogen zu aktualisieren.
  8. Konkretisierungen der Anforderungen an die Auslagerung und den sonstigen Fremdbezug von IT-Dienstleistungen. So werden z.B. Sachverhalte aufgezählt, die die BaFin als Auslagerung von IT-Dienstleistungen ansieht, wie z.B. die Anpassung von Software an die Erfordernisse der KVG (Customising).

Fazit

Der Entwurf des Rundschreibens KAIT konkretisiert die Regelungen der Mindestanforderungen an das Risikomanagement von Kapitalverwaltungsgesellschaften (KAMaRisk), die Vorgaben des KAGB und der Delegierten Verordnung zu der Geschäftsorganisation einer KVG. Die BaFin legt damit ihre Verwaltungspraxis offen. KVGen bekommen dadurch detailliertere Vorgaben zu den aufsichtsrechtlichen Anforderungen, die ihre IT-Systeme und ihre IT-Infrastruktur erfüllen muss, was wiederum zu mehr Rechtssicherheit führt. Die Vorgaben sind prinzipienorientiert und lassen damit Raum für eine Aufsichtspraxis, die die Größe und die individuellen Geschäftsmodelle der KVGen berücksichtigt. Dem Investor kommen die aufsichtsrechtlichen Anforderungen an die IT wiederum deshalb zugute, da diese letztendlich eine kontinuierliche und störungsfreie Erbringung der Dienstleistung sicherstellen sollen.