Governance Framework: Effektive Steuerungsstrukturen für Auslagerungen

Ein Governance-Framework fuer Auslagerungen ist die uebergreifende Steuerungsstruktur, die Verantwortlichkeiten, Entscheidungswege, Kontrollmechanismen und Berichtslinien fuer alle ausgelagerten Aktivitaeten eines Unternehmens definiert. Es stellt sicher, dass Auslagerungen ueber ihren gesamten Lebenszyklus risikobasiert gesteuert werden — von der strategischen Planung und Risikoanalyse ueber die Dienstleisterauswahl bis zur laufenden Ueberwachung und zum Exit-Management.

MaRisk AT

9 verlangt von Banken eine klare Governance-Struktur fuer Auslagerungen mit definierten Rollen und Verantwortlichkeiten, einer dokumentierten Auslagerungsstrategie, Risikoanalysen vor Vertragsabschluss sowie einer laufenden Ueberwachung der Dienstleistungsqualitaet. Seit der 9. MaRisk-Novelle

2026 gelten uebergreifende Governance- und Proportionalitaetsprinzipien, waehrend DORA die spezifischen Anforderungen fuer ICT-Auslagerungen regelt.

Im Three-Lines-of-Defense-Modell uebernehmen die operativen Fachbereiche (1. Linie) die taegliche Steuerung und Ueberwachung ihrer Auslagerungen. Risikomanagement und Compliance (2. Linie) definieren Richtlinien, fuehren unabhaengige Risikobewertungen durch und ueberwachen die Einhaltung regulatorischer Vorgaben. Die interne Revision (3. Linie) prueft die Wirksamkeit des gesamten Governance-Frameworks in regelmaessigen Abstaenden und berichtet direkt an die Geschaeftsleitung.

Ein wirksames Governance-Framework umfasst typischerweise ein strategisches Auslagerungskomitee auf Vorstandsebene, ein operatives Steuerungskomitee fuer die laufende Dienstleistersteuerung, ein Risikokomitee fuer die Bewertung von Auslagerungsrisiken sowie bereichsspezifische Arbeitsgruppen. Die Gremienstruktur sollte klare Eskalationspfade, Entscheidungsbefugnisse und Berichtspflichten definieren und an die Unternehmensgroesse angepasst sein.

DORA (Digital Operational Resilience Act) regelt seit Januar

2025 spezifisch die Governance von ICT-Drittparteien und fordert ein Informationsregister, Threat-Led Penetration Testing sowie EU-weite Aufsicht ueber kritische ICT-Dienstleister. MaRisk AT

9 bleibt fuer Non-ICT-Auslagerungen das primaere Regelwerk. Banken muessen beide Frameworks in einem integrierten Governance-Modell zusammenfuehren und Doppelregulierung vermeiden.

Zentrale KPIs umfassen Verfuegbarkeits- und Performance-Metriken (SLA-Einhaltung), Risikoindikatoren (KRIs fuer Ausfall, Compliance-Verstoesse), finanzielle Kennzahlen (Kosten vs. Budget) und Qualitaetsindikatoren (Fehlerquoten, Reaktionszeiten). Das Reporting sollte ein gestuftes Dashboard-System mit operativen Tagesberichten, monatlichen Management-Reports und quartalsweisen Vorstandsberichten umfassen. Exception-Reporting bei Schwellenwert-Ueberschreitungen ermoeglicht fruehzeitige Eskalation.

ADVISORI unterstuetzt Banken und Finanzdienstleister beim Design und der Implementierung von Governance-Frameworks, die MaRisk AT 9, EBA-Leitlinien und DORA-Anforderungen integrieren. Unsere Leistungen umfassen die Entwicklung der Gremien- und Komiteestruktur, die Definition von RACI-Modellen und Eskalationspfaden, den Aufbau von KPI- und Reporting-Frameworks sowie die Unterstuetzung bei internen Kontrollsystemen und Reifegradmodellen fuer die Auslagerungsgovernance.