Klare Grundsätze. Systematische Steuerung. Regulatorische Compliance.

Auslagerungspolitik: MaRisk-konforme Outsourcing Policy

Eine fundierte Auslagerungspolitik bildet das Fundament für ein strukturiertes und regulatorisch konformes Auslagerungsmanagement.

  • 01Klare Grundsätze und Entscheidungskriterien für Auslagerungen
  • 02Einhaltung regulatorischer Anforderungen und Best Practices
  • 03Transparente Governance- und Kontrollstrukturen
  • 04Systematische Risikominimierung bei Auslagerungen
Leistungen ansehen
11+Jahre Erfahrung
120+Mitarbeitende
540+Projekte
ISO 27001zertifiziert

Auslagerungspolitik: Regulatorische Anforderungen und Umsetzung

Die Auslagerungspolitik ist das zentrale Regelwerk fuer alle Auslagerungsaktivitaeten eines Finanzinstituts. Sie definiert Grundsaetze, Entscheidungskriterien und Governance-Strukturen gemaess MaRisk AT 9 und KWG 25b. Seit der 6. MaRisk-Novelle 2021 und mit DORA ab 2025 steigen die BaFin-Anforderungen an ein systematisches Auslagerungsmanagement erheblich. ADVISORI unterstuetzt Sie bei der Erstellung einer praxistauglichen Policy, die sowohl regulatorische Compliance als auch betriebliche Effizienz sicherstellt.

Unsere Unterstützung bei der Entwicklung einer Auslagerungspolitik umfasst die Analyse bestehender Strukturen und Richtlinien, die Identifikation relevanter regulatorischer Anforderungen, die Erarbeitung maßgeschneiderter Grundsätze und Leitlinien sowie die Unterstützung bei der Implementierung und Kommunikation der Policy im Unternehmen.

3 Leistungsbausteine

Was wir für Sie übernehmen

Einzeln buchbar oder als durchgängiges Programm.

01

Entwicklung einer maßgeschneiderten Auslagerungspolitik

Wir entwickeln eine auf Ihre spezifischen Anforderungen zugeschnittene Auslagerungspolitik, die sowohl regulatorische Vorgaben erfüllt als auch praktikabel in der Umsetzung ist.

  • Analyse Ihrer aktuellen Auslagerungslandschaft und -prozesse
  • Identifikation relevanter regulatorischer Anforderungen und Best Practices
  • Entwicklung maßgeschneiderter Grundsätze und Leitlinien
  • Ausarbeitung einer umfassenden Auslagerungspolitik
02

Überarbeitung bestehender Auslagerungspolitiken

Wir unterstützen Sie bei der Überarbeitung und Aktualisierung Ihrer bestehenden Auslagerungspolitik, um neue regulatorische Anforderungen zu integrieren und die Effektivität zu verbessern.

  • Gap-Analyse der bestehenden Auslagerungspolitik
  • Identifikation von Verbesserungspotentialen und regulatorischen Lücken
  • Integration neuer regulatorischer Anforderungen und Marktentwicklungen
  • Optimierung der Struktur und Anwendbarkeit der Auslagerungspolitik
03

Implementierungsunterstützung und Change Management

Wir begleiten Sie bei der erfolgreichen Einführung und Umsetzung Ihrer Auslagerungspolitik im Unternehmensalltag.

  • Entwicklung einer effektiven Change-Management-Strategie
  • Erstellung von Kommunikationsmaterialien und Schulungsunterlagen
  • Durchführung von Awareness-Workshops für relevante Stakeholder
  • Begleitung bei der Integration in bestehende Prozesse und Systeme

5 Phasen

Unser Vorgehen

Bei der Entwicklung einer Auslagerungspolitik gehen wir systematisch und kollaborativ vor, um ein Ergebnis zu erzielen, das sowohl regulatorisch robust als auch praxistauglich ist.

  1. Analyse des Status quo und regulatorischer Anforderungen

  2. Stakeholder-Interviews und Anforderungserhebung

  3. Entwicklung der Kernelemente der Auslagerungspolitik

  4. Review und Abstimmung mit relevanten Fachbereichen

  5. Finalisierung und Unterstützung bei der Implementierung

Sarah Richter

Ansprechpartner

Sarah Richter

Head of Informationssicherheit, Cyber Security

10+ Jahre Erfahrung, CISA, CISM, Lead Auditor, DORA, NIS2, BCM, Cyber- und Informationssicherheit

+49 69 913 113-01 info@advisori.de LinkedIn
Eine gut durchdachte Auslagerungspolitik ist mehr als ein regulatorisches Erfordernis, sie ist ein wertvolles Steuerungsinstrument für das Management. Sie schafft Klarheit über Ziele, Grundsätze und Verantwortlichkeiten und ermöglicht fundierte Entscheidungen, die im Einklang mit der Unternehmensstrategie stehen.

Unsere Stärken

  • 01Umfassende Erfahrung mit regulatorischen Anforderungen in verschiedenen Branchen
  • 02Kombination aus Best Practices und individueller Anpassung an Ihre Unternehmensstruktur
  • 03Praxisnahe Umsetzung mit Fokus auf Anwendbarkeit im Unternehmensalltag
  • 04Integration aktueller Trends und regulatorischer Entwicklungen

Expertentipp

Eine effektive Auslagerungspolitik sollte nicht nur regulatorische Anforderungen erfüllen, sondern auch praktikabel und in den betrieblichen Alltag integrierbar sein. Achten Sie auf eine klare, verständliche Sprache und stellen Sie sicher, dass die Policy von allen relevanten Stakeholdern verstanden und akzeptiert wird. Eine zu komplexe oder praxisferne Policy bleibt oft wirkungslos.

7 FRAGEN, KURZ BEANTWORTET

Häufig gestellte Fragen zu Auslagerungspolitik

Was muss eine Auslagerungspolitik nach MaRisk AT 9 enthalten?

Eine Auslagerungspolitik nach MaRisk AT 9 muss folgende Kernelemente enthalten: Strategische Grundsaetze fuer Auslagerungsentscheidungen, Kriterien zur Unterscheidung wesentlicher und nicht-wesentlicher Auslagerungen (Wesentlichkeitskriterien), Anforderungen an die Risikoanalyse vor jeder Auslagerung, Governance-Struktur mit klaren Rollen und Verantwortlichkeiten einschliesslich eines Auslagerungsbeauftragten, Mindestanforderungen an Auslagerungsvertraege gemaess KWG 25b, Vorgaben fuer das Auslagerungsregister sowie Prozesse fuer die laufende Ueberwachung und das jaehrliche Berichtswesen an die Geschaeftsleitung.

Was ist der Unterschied zwischen wesentlicher und nicht-wesentlicher Auslagerung?

Nach MaRisk AT 9 ist eine Auslagerung wesentlich, wenn die ausgelagerte Aktivitaet bei Ausfall oder mangelhafter Durchfuehrung die Finanzlage, die Geschaeftsstrategie oder die Einhaltung regulatorischer Anforderungen des Instituts erheblich beeintraechtigen wuerde. Wesentliche Auslagerungen unterliegen strengeren Anforderungen: umfassende Risikoanalyse, detaillierte Vertragsgestaltung mit Audit- und Zugangsrechten, Meldepflicht an die BaFin ueber das MVP-Portal seit 2023 und laufende Ueberwachung. Nicht-wesentliche Auslagerungen erfordern eine vereinfachte Risikoanalyse und Dokumentation, muessen aber ebenfalls im Auslagerungsregister erfasst werden.

Welche Rolle spielt die BaFin bei der Auslagerungspolitik?

Die BaFin ueberwacht die Einhaltung der Auslagerungsanforderungen durch Kreditinstitute und Finanzdienstleister. Konkret verlangt die BaFin: Eine dokumentierte Auslagerungspolitik als Teil des Risikomanagements, die Meldung wesentlicher Auslagerungen ueber das MVP-Portal (Pflicht seit 01.01.2023 nach FISG), ein aktuelles Auslagerungsregister mit allen wesentlichen und nicht-wesentlichen Auslagerungen, jaehrliche Berichte an die Geschaeftsleitung ueber den Status aller wesentlichen Auslagerungen. Die BaFin prueft im Rahmen von Sonderuntersuchungen und Jahresabschlusspruefungen (Paragraph 44 KWG) die Angemessenheit des Auslagerungsmanagements.

Wie unterscheidet sich Auslagerung von Fremdbezug nach MaRisk?

Nach MaRisk liegt eine Auslagerung vor, wenn ein anderes Unternehmen mit der Durchfuehrung von Aktivitaeten und Prozessen beauftragt wird, die im Zusammenhang mit Bankgeschaeften, Finanzdienstleistungen oder sonstigen institutstypischen Dienstleistungen stehen und die das Institut ansonsten selbst erbringen wuerde. Fremdbezug (sonstiger Bezug) hingegen betrifft Dienstleistungen, die kein Bankgeschaeft darstellen und keine institutstypischen Taetigkeiten ersetzen, etwa Gebaeudereinigung oder Kantinenbetrieb. Die Abgrenzung ist entscheidend, da nur Auslagerungen den strengen MaRisk-AT-9-Anforderungen unterliegen.

Welche Anforderungen stellt DORA zusaetzlich an die Auslagerungspolitik?

Seit Januar 2025 ergaenzt der Digital Operational Resilience Act (DORA) die MaRisk-Anforderungen bei IKT-Dienstleistungen. DORA verlangt zusaetzlich: Ein IKT-Drittparteiregister (Register of Information), strengere Anforderungen an IKT-Dienstleister mit kritischen Funktionen, Meldepflichten fuer schwerwiegende IKT-Vorfaelle innerhalb von 4 Stunden, regelmaessige Threat-Led Penetration Tests (TLPT) und Exit-Strategien fuer kritische IKT-Auslagerungen. Institute muessen ihre Auslagerungspolitik um DORA-spezifische Regelungen erweitern und die parallele Steuerung von MaRisk-Auslagerungen und DORA-IKT-Drittparteien sicherstellen.

Was muss im Auslagerungsregister dokumentiert werden?

Das Auslagerungsregister ist ein zentrales Pflichtdokument nach MaRisk AT 9. Es muss enthalten: Beschreibung der ausgelagerten Aktivitaet und deren Kritikalitaetseinstufung, Name und Sitz des Auslagerungsunternehmens, Vertragslaufzeit und Kuendigungsfristen, Ergebnisse der Risikoanalyse, Angaben zu Weiterverlagerungen (Sub-Outsourcing), Zuordnung zum verantwortlichen Auslagerungsbeauftragten. Seit der 6. MaRisk-Novelle muss das Register sowohl wesentliche als auch nicht-wesentliche Auslagerungen umfassen und aktuell gehalten werden. Bei IKT-Auslagerungen fordert DORA zusaetzlich ein separates Register of Information.

Wie unterstuetzt ADVISORI bei der Erstellung einer Auslagerungspolitik?

ADVISORI unterstuetzt Banken und Finanzinstitute bei der Entwicklung und Implementierung einer MaRisk-konformen Auslagerungspolitik: Gap-Analyse der bestehenden Policy gegen MaRisk AT 9, KWG 25b, EBA-Guidelines und DORA-Anforderungen, Erstellung oder Ueberarbeitung der Auslagerungspolitik mit praxistauglichen Wesentlichkeitskriterien, Aufbau des Auslagerungsregisters und der Meldeprozesse an die BaFin, Implementierung von Governance-Strukturen und Ueberwachungsprozessen, Schulung der relevanten Fachbereiche und Abstimmung mit der internen Revision. Unser Ansatz verbindet regulatorische Compliance mit betrieblicher Effizienz.