Zum Hauptinhalt springen

Auslagerungsmanagement nach AT 9 MaRisk und § 25b KWG

Outsourcing Zentrales Auslagerungsmanagement

S+P Compliance übernimmt Ihr zentrales Auslagerungsmanagement – mit vollständigem Auslagerungsregister, DORA-Informationsregister und optional einem eigenen Auslagerungsbeauftragten.

Institute müssen abhängig von Art, Umfang, Komplexität und Risikogehalt einer Auslagerung angemessene Vorkehrungen treffen, um übermäßige zusätzliche Risiken zu vermeiden, und im Rahmen ihres Risikomanagements ein Auslagerungsregister führen, das sämtliche wesentlichen und nicht wesentlichen Auslagerungen erfasst. Grundlage sind § 25b KWG und AT 9 MaRisk. Seit 2025 kommt mit Art. 28 Abs. 3 DORA ein zusätzliches Informationsregister für IKT-Drittdienstleister hinzu.

Diese Steuerung lässt sich auslagern, die Verantwortung nicht: Die Auslagerung darf nicht zu einer Übertragung der Verantwortung der Geschäftsleiter an das Auslagerungsunternehmen führen. Das Institut bleibt für die Einhaltung der gesetzlichen Bestimmungen verantwortlich. Wir richten Register, Risikoanalysen und Berichtswesen so ein, dass diese Verantwortung jederzeit belegbar bleibt.

  • Vollständiges Auslagerungsregister nach § 25b Abs. 1 Satz 4 KWG mit allen wesentlichen und nicht wesentlichen Auslagerungen.
  • Konsistente Führung von MaRisk-Auslagerungsregister und DORA-Informationsregister aus einer Hand.
  • Optional ein eigener Auslagerungsbeauftragter für Steuerung, Überwachung und Berichterstattung.
  • Vorbereitung compliance-relevanter Entscheidungen, ohne dass die Verantwortung der Geschäftsleitung verlagert wird.

Auslagerung anfragenLeistungsumfang ansehen

Rechtsgrundlagen und Prüfungsnachweise

  • AT 9 MaRisk
  • § 25b KWG
  • § 24 Abs. 1 Nr. 19 KWG
  • Art. 28 Abs. 3 DORA
  • AT 9 Tz. 7 MaRisk

Prüfungshinweis: Alle Arbeitsergebnisse werden versioniert, mit Zeitstempel und Entscheidungsvermerk abgelegt. Prüfer erhalten auf Anforderung einen strukturierten Nachweis darüber, wer wann welche Auslagerung wie eingestuft und dokumentiert hat.

Wer die Steuerung seiner Auslagerungen auslagert, muss auch diesen Dienstleister überwachen und die Überwachung belegen können. S+P Compliance stellt dafür geprüfte Nachweise bereit, die Ihr Abschlussprüfer, Ihre Interne Revision und Ihre Aufsicht unmittelbar verwerten können. Sie verkürzen Ihre eigene Prüfungshandlung, ersetzen sie aber nicht: Auch das zentrale Auslagerungsmanagement selbst verlagert die Steuerung, nicht die Verantwortung.

IDW PS 951

Das interne Kontrollsystem von S+P Compliance ist nach dem Prüfungsstandard des IDW für Dienstleistungsunternehmen geprüft. Der Bericht beschreibt Kontrollziele, Kontrollen und deren Wirksamkeit und kann in Ihre Beurteilung der Auslagerung nach AT 9 MaRisk einbezogen werden.

Auslagerungsprüfung

ISAE 3402

Für Häuser mit ausländischer Muttergesellschaft oder international tätigem Gruppenprüfer liegt der Nachweis nach dem internationalen Pendant vor. Damit entfällt die Diskussion darüber, ob ein rein nationaler Standard für die Gruppenprüfung ausreicht.

International

ISO 9001

Das Qualitätsmanagementsystem ist zertifiziert. Prozesse, Zuständigkeiten, Dokumentenlenkung und Korrekturmaßnahmen sind festgeschrieben und werden regelmäßig auditiert – die Grundlage dafür, dass vereinbarte Reaktionszeiten und Berichtsrhythmen eingehalten werden.

Qualitätsmanagement

ISO 27001

Das Informationssicherheits-Managementsystem ist zertifiziert. Für Sie relevant, weil bei der Auslagerung des Auslagerungsmanagements Vertragsdaten, Risikoanalysen und Register außerhalb Ihres Hauses verarbeitet werden und dieser Punkt regelmäßig geprüft wird.

Informationssicherheit

ESG-Rating

S+P Compliance verfügt über ein bestätigtes ESG-Rating. Das erleichtert Ihnen die Bewertung im Rahmen der Lieferantenprüfung und die Aufnahme des Dienstleisters in Ihre eigene Nachhaltigkeitsberichterstattung.

Nachhaltigkeit

Bereitstellung der Unterlagen

Prüfungsberichte und Zertifikate stellen wir auf Anforderung bereit – auch direkt gegenüber Ihrem Abschlussprüfer oder Ihrer Aufsicht. Die Bereitstellung wird im Auslagerungsvertrag als Informations- und Prüfungsrecht verankert.

Auf Anforderung

Was ausgelagert wird – und was im Institut bleibt

Eine Auslagerung ist nur dann tragfähig, wenn die Entscheidungsrechte vorher schriftlich geklärt sind. Wir arbeiten nach einem festen Grundsatz: S+P Compliance steuert und dokumentiert, das Institut entscheidet.

S+P Compliance steuert und dokumentiert

  • Führung des Auslagerungsregisters nach § 25b Abs. 1 Satz 4 KWG
  • Durchführung der Risikoanalyse und Wesentlichkeitsbewertung je Auslagerung
  • Laufende Überwachung der Dienstleister und Vertragsinhalte
  • Führung des DORA-Informationsregisters nach Art. 28 Abs. 3 DORA
  • Vorbereitung der Anzeige wesentlicher Auslagerungen an die BaFin

Das Institut entscheidet und verantwortet

  • Freigabe der Wesentlichkeitseinstufung je Auslagerung
  • Entscheidung über Abschluss, Änderung oder Beendigung von Auslagerungsverträgen
  • Benennung eines Auslagerungsbeauftragten bei wesentlichen Auslagerungen
  • Formale Anzeige wesentlicher Auslagerungen gegenüber der BaFin
  • Letztverantwortung für die Einhaltung der gesetzlichen Bestimmungen

Die Auslagerung darf nicht zu einer Übertragung der Verantwortung der Geschäftsleiter an das Auslagerungsunternehmen führen; das Institut bleibt für die Einhaltung der gesetzlichen Bestimmungen verantwortlich (§ 25b Abs. 2 KWG). Auch das zentrale Auslagerungsmanagement selbst verlagert die Steuerung, nicht die Verantwortung.

Warum Institute die Funktion auslagern

Drei Entwicklungen treffen das Auslagerungsmanagement gleichzeitig – jede für sich ließe sich intern abfangen, in der Summe wird es eng.

  1. Ein Register, das jede Auslagerung erfassen muss

    Ein Institut hat im Rahmen seines Risikomanagements ein Auslagerungsregister zu führen, in dem sämtliche wesentlichen und nicht wesentlichen Auslagerungen zu erfassen sind. In der Praxis wächst diese Liste mit jedem neuen Software-, Cloud- oder Dienstleistungsvertrag – und ohne eine zentrale, konsequent gepflegte Stelle verliert das Register schnell den Anschluss an die tatsächliche Vertragslandschaft.

    § 25b Abs. 1 Satz 4 KWG – vollständiges Auslagerungsregister

  2. DORA hat ein zweites Register hinzugefügt

    Seit 2025 verpflichtet Art. 28 Abs. 3 DORA Finanzunternehmen zusätzlich zum MaRisk-Auslagerungsregister zu einem vollständigen Informationsregister über alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern, das jährlich an die Aufsicht zu übermitteln ist. Ohne konsistente Datenhaltung zwischen beiden Registern entsteht doppelte Pflege mit wachsendem Risiko für Abweichungen.

    Art. 28 Abs. 3 DORA – IKT-Informationsregister

  3. Ein Rahmen, der sich weiter bewegt

    Mit der 9. MaRisk-Novelle vom 30. Juni 2026 hat die BaFin den Rahmen für Auslagerungen vorsichtig geöffnet, ohne die Verantwortung der Institute zu relativieren. Institute, die ihr Auslagerungsmanagement jetzt sauber dokumentieren, können diesen Spielraum nutzen, statt ihn erst nachträglich nachzuvollziehen.

    30.06.2026 – 9. MaRisk-Novelle: geöffneter Auslagerungsrahmen

Sechs Punkte, an denen es in der Praxis klemmt

Die folgenden Befunde tauchen in Prüfungsberichten regelmäßig auf. Sie beschreiben typische Muster, keine konkreten Häuser.

Register unvollständig oder veraltet

Neue Verträge werden im Fachbereich abgeschlossen, ohne dass sie ins zentrale Auslagerungsregister gelangen. Bei der nächsten Prüfung fehlen dann genau die Auslagerungen, die zuletzt hinzugekommen sind.

Risikoanalyse nicht vor Vertragsbeginn

Die Risikoanalyse nach AT 9 Tz. 2 MaRisk muss im Vorfeld der Auslagerung erfolgen. In der Praxis wird sie oft erst nachträglich erstellt, wenn der Vertrag bereits unterzeichnet ist.

Kein Auslagerungsbeauftragter benannt

Bei wesentlichen Auslagerungen erwartet die Aufsicht eine zentrale Ansprechperson für Steuerung und Berichterstattung. Diese Benennung fehlt in vielen Häusern trotz mehrerer wesentlicher Auslagerungen.

MaRisk- und DORA-Register getrennt geführt

Zwei Register für denselben Dienstleister, gepflegt von zwei verschiedenen Stellen mit unterschiedlichem Stand. Bei Abweichungen ist unklar, welche Angabe die aktuelle ist.

Exit-Strategien fehlen oder sind ungeprüft

Für wesentliche Auslagerungen muss die Durchführbarkeit von Ausstiegsszenarien regelmäßig geprüft werden. In der Praxis existiert oft nur eine Vertragsklausel, aber kein geprüfter Handlungsplan.

Anzeige an die BaFin verspätet

Absicht und Vollzug wesentlicher Auslagerungen sind der Aufsicht anzuzeigen. Ohne feste Zuständigkeit verzögert sich diese Anzeige oder unterbleibt bei kleineren Häusern ganz.

Leistungsumfang der Auslagerung

Der Umfang wird im Auslagerungsvertrag festgelegt. Sie können das zentrale Auslagerungsmanagement als Option 1 buchen oder um einen Auslagerungsbeauftragten als Option 2 erweitern.

Mandat als zentrales Auslagerungsmanagement

Option 1: die zentrale Steuerungsstelle für alle Auslagerungen.

  • Aufbau und Führung eines zentralen Auslagerungsregisters nach § 25b Abs. 1 Satz 4 KWG
  • Zentrale Anlaufstelle für alle Fachbereiche bei neuen Auslagerungsvorhaben
  • Koordination der Risikoanalyse vor Beginn jeder Auslagerung
  • Abstimmung mit Compliance-Funktion, Geldwäschebeauftragtem und Interner Revision
  • Pflege der Dokumentation zu bestehenden Auslagerungsverträgen
  • Vorbereitung der Anzeige wesentlicher Auslagerungen an die BaFin
  • Laufende Aktualisierung bei Vertragsänderungen oder neuen Unterauslagerungen
  • Übergabedokumentation bei Beginn und Beendigung des Mandats

Auslagerungsbeauftragter

Option 2: zusätzliche operative Steuerung durch eine benannte Person.

  • Benennung einer qualifizierten Person als operativer Ansprechpartner für Auslagerungsfragen
  • Überwachung und Steuerung sämtlicher Auslagerungsaktivitäten im Tagesgeschäft
  • Direkte Berichtslinie an die Geschäftsleitung
  • Koordination zwischen Fachbereichen, Dienstleistern und Aufsicht
  • Eskalation bei festgestellten Risiken oder Vertragsverstößen
  • Feste Vertretungsregelung für Kontinuität bei Abwesenheit
  • Abstimmung mit dem zentralen Auslagerungsregister aus Option 1
  • Unterstützung bei Sonderthemen wie Exit-Planung oder Dienstleisterwechsel

Abgrenzung: Der Auslagerungsbeauftragte steuert und berichtet. Die Entscheidung über seine Benennung sowie über die Freigabe wesentlicher Auslagerungsverträge trifft die Geschäftsleitung.

Risikoanalyse und Wesentlichkeitsbewertung

Eine Bewertung, die vor Vertragsbeginn steht, nicht danach.

  • Durchführung der Risikoanalyse vor Beginn jeder neuen Auslagerung nach AT 9 Tz. 2 MaRisk
  • Vorschlag zur Einstufung als wesentliche oder nicht wesentliche Auslagerung
  • Turnusmäßige Wiederholung, jährlich bei wesentlichen und alle drei Jahre bei nicht wesentlichen Auslagerungen
  • Bewertung von Konzentrationsrisiken über mehrere Dienstleister hinweg
  • Einbindung IKT-spezifischer Risiken nach DORA
  • Dokumentation der Bewertungsmethodik für die Prüfungsfestigkeit
  • Vorbereitung der Genehmigung durch die Geschäftsleitung
  • Abstimmung mit Fachbereich und Einkauf vor Vertragsabschluss

Auslagerungsregister und DORA-Informationsregister

Zwei Register, eine konsistente Datenbasis.

  • Führung des Auslagerungsregisters mit allen wesentlichen und nicht wesentlichen Auslagerungen
  • Parallele Führung des DORA-Informationsregisters nach Art. 28 Abs. 3 DORA
  • Konsistente Datenhaltung zwischen beiden Registern zur Vermeidung von Doppelarbeit
  • Erfassung von Unterauslagerungen und Subdienstleistern in der Lieferkette
  • Vorbereitung der jährlichen Meldung des Informationsregisters an die Aufsicht
  • Nutzung standardisierter Meldevorlagen nach den technischen Durchführungsstandards
  • Regelmäßige Vollständigkeits- und Aktualitätsprüfung beider Register
  • Bereitstellung von Auszügen für Revision und externe Prüfung

Dienstleister-Überwachung und Vertragsmanagement

Kontrolle, die über den Vertragsschluss hinaus fortgesetzt wird.

  • Laufende Überwachung der Leistungserbringung und vertraglich vereinbarten Standards
  • Prüfung der Vertragsinhalte wesentlicher Auslagerungen nach AT 9 Tz. 7 MaRisk
  • Bewertung von Exit-Strategien und deren Umsetzbarkeit
  • Beobachtung von Konzentrationsrisiken im Dienstleisterportfolio
  • Kontrolle vertraglich vereinbarter Prüfungs- und Zugangsrechte
  • Abstimmung bei Weiterverlagerungen an Subunternehmen
  • Dokumentation von Feststellungen und Verbesserungsvorschlägen
  • Regelmäßige Neubewertung bestehender Auslagerungen

Berichtswesen und Kommunikation mit Aufsicht

Berichte, die Auslagerungslandschaft und Risiken auf einen Blick zeigen.

  • Regelmäßige, strukturierte Berichte zu Auslagerungen, Risiken und Maßnahmen
  • Jahresbericht zum Stand des Auslagerungsmanagements an die Geschäftsleitung
  • Vorbereitung der Anzeige wesentlicher Auslagerungen nach § 24 Abs. 1 Nr. 19 KWG
  • Vorbereitung der Kommunikation mit BaFin und weiteren Aufsichtsstellen
  • Begleitung von Prüfungen und Aufbereitung von Rückfragen
  • Abstimmung des Berichts mit dem Aufsichtsorgan, soweit vorgesehen
  • Aufbereitung von Unterlagen für Jahresabschluss- und Sonderprüfungen
  • Nachverfolgung von Prüfungsfeststellungen bis zur dokumentierten Erledigung

Abgrenzung: S+P Compliance bereitet die Anzeige und die Kommunikation mit der Aufsicht vor. Die formale Anzeige gegenüber der BaFin gibt das Institut ab.

Auslagerungsvertrag und laufende Steuerung

Eine Auslagerung wird nicht durch die Leistung tragfähig, sondern durch ihre Steuerung. Die folgenden vier Elemente regeln wir vor dem Start.

Vertrag und Zuständigkeiten

Leistungsumfang, Berichtslinie und Entscheidungswege werden schriftlich fixiert, damit die Steuerungsverantwortung des Instituts belegbar bleibt.

Weisungs- und Informationsrechte

Die Geschäftsleitung behält die Steuerungsmöglichkeit. Vereinbart werden Zugriffs-, Auskunfts- und Prüfungsrechte für Institut, Interne Revision, Abschlussprüfer und Aufsicht.

Vertretung und Erreichbarkeit

Neben dem benannten Team ist eine eingearbeitete Vertretung vertraglich hinterlegt. Reaktionszeiten für neue Auslagerungsvorhaben sind Bestandteil der Vereinbarung, nicht der Absprache.

Exit und Rückverlagerung

Für Kündigung, Wechsel oder Rückverlagerung liegt ein Verfahren vor: Datenherausgabe, Übergabedokumentation und Einarbeitung der Nachfolge sind vorab beschrieben.

Vier Einsatzmodelle

Welches Modell passt, hängt von der Zahl und Kritikalität Ihrer Auslagerungen sowie der vorhandenen internen Besetzung ab. Die Modelle lassen sich im Zeitverlauf wechseln.

Option 1: Zentrales Auslagerungsmanagement

S+P Compliance führt Register, Risikoanalysen und Berichtswesen. Die Geschäftsleitung behält Freigabe- und Anzeigepflichten, die sie nicht abgeben kann.

Register & Steuerung

Option 2: ZAM mit Auslagerungsbeauftragtem

Zusätzlich zu Option 1 übernimmt ein benannter Auslagerungsbeauftragter die operative Steuerung und Berichterstattung im Tagesgeschäft.

Inklusive Auslagerungsbeauftragter

Interim

Befristete Besetzung bei Vakanz oder Aufbau eines neuen Auslagerungsmanagements, verbunden mit strukturierter Übergabe an die interne Nachfolge.

Übergangszeitraum

Fachliche Zuarbeit

Unterstützung einzelner Bausteine – etwa nur das DORA-Informationsregister oder einzelne Risikoanalysen – ohne Gesamtmandat, ergänzend zu einer bestehenden internen Funktion.

Ohne Mandat

In vier Schritten zum ausgelagerten Auslagerungsmanagement

Der Zeitbedarf hängt davon ab, wie vollständig Ihr bestehendes Auslagerungsregister und Ihre Vertragsdokumentation vorliegen.

1

Anforderungen klären

Institutsgröße, Zahl und Kritikalität bestehender Auslagerungen sowie offene Feststellungen werden aufgenommen. Ergebnis ist eine Bestandsaufnahme mit Prioritäten.

2

Bestandsanalyse und Angebot

Wir bewerten den Reifegrad von Register, Risikoanalysen und Verträgen und legen ein Angebot mit definiertem Leistungsumfang und Berichtsrhythmus vor.

3

Vertrag, Register-Übernahme, erste Risikoanalysen

Auslagerungsvertrag wird abgeschlossen, das bestehende Register wird übernommen oder neu aufgebaut, offene Risikoanalysen werden nachgeholt.

4

Betrieb, Überwachung, Bericht

Laufender Betrieb mit gepflegten Registern, dokumentierter Dienstleisterüberwachung, unterjährigem Reporting und Jahresbericht an die Geschäftsleitung.

Rollenverteilung bei haftungsrelevanten Entscheidungen

Vier Vorgänge entscheiden im Prüfungsfall darüber, ob eine Auslagerung sauber aufgesetzt war. Für jeden dieser Vorgänge halten wir schriftlich fest, wer steuert und dokumentiert und wer entscheidet. Diese Zuordnung ist Bestandteil des Auslagerungsvertrags und wird nicht im Tagesgeschäft ausgehandelt.

Der Grundsatz gilt durchgängig: S+P Compliance steuert und dokumentiert, das Institut entscheidet. Die Auslagerung darf nicht zu einer Übertragung der Verantwortung der Geschäftsleiter führen – auch das zentrale Auslagerungsmanagement selbst verlagert die Steuerung, nicht die Verantwortung.

Vorgang S+P Compliance steuert und dokumentiert Entscheidung und Verantwortung im Institut Anknüpfungspunkt
Wesentlichkeitseinstufung Risikoanalyse, Bewertungsvorschlag mit Begründung Freigabe der Einstufung als wesentliche oder nicht wesentliche Auslagerung AT 9 Tz. 2 MaRisk
Auslagerungsvertrag Prüfung der Vertragsinhalte, Vorschlag zur Ausgestaltung Entscheidung über Abschluss, Änderung und Beendigung AT 9 Tz. 7 MaRisk
Anzeige an die BaFin Vorbereitung der Anzeige mit allen erforderlichen Angaben Formale Anzeige gegenüber der BaFin § 24 Abs. 1 Nr. 19 KWG
Benennung des Auslagerungsbeauftragten Vorschlag geeigneter Kandidaten, Nachweis der Qualifikation Benennung und Ausstattung mit Ressourcen AT 9 MaRisk

Passt eine Auslagerung zu Ihrer Konstellation?

Im ersten Gespräch klären wir Zahl und Kritikalität Ihrer Auslagerungen, den Reifegrad Ihres bestehenden Registers und offene Feststellungen aus der letzten Prüfung. Ergebnis ist eine Einschätzung, ob Option 1 oder Option 2 zu Ihnen passt.

Erstgespräch anfragenEinsatzmodelle vergleichen

Was sich damit im Haus verändert

Vollständiges Register

Jede Auslagerung ist erfasst, bewertet und dokumentiert – statt nur die, an die sich gerade jemand erinnert.

Vollständigkeit

Konsistente DORA-Anbindung

MaRisk-Auslagerungsregister und DORA-Informationsregister laufen auf derselben Datenbasis, statt in zwei getrennten Systemen.

Konsistenz

Prüfungsfeste Berichte

Risikoanalysen, Vertragsprüfungen und Anzeigen sind nachvollziehbar dokumentiert, statt erst bei der nächsten Prüfung rekonstruiert zu werden.

Dokumentation

Planbarer Aufwand

Leistungsumfang und Vergütung sind vertraglich definiert. Rekrutierung, Einarbeitung und Tool-Aufbau entfallen als Einzelposten.

Kalkulierbar

Aktuelle Risikoanalysen

Wesentliche Auslagerungen werden jährlich, nicht wesentliche alle drei Jahre neu bewertet – turnusmäßig, nicht erst bei Beanstandung.

Aktualität

Klare Rollen

Wer steuert, wer dokumentiert und wer entscheidet, ist schriftlich geregelt. Das reduziert Rückfragen in Revision und Prüfung.

Governance

Für wen die Auslagerung in Frage kommt

Adressiert sind Institute nach § 25b KWG, die ein zentrales Auslagerungsmanagement nach AT 9 MaRisk einrichten müssen.

  • Kreditinstitute
  • Wertpapierinstitute
  • Zahlungsinstitute
  • E-Geld-Institute
  • Kapitalverwaltungsgesellschaften
  • Kryptoverwahrer und Kryptodienstleister
  • FinTechs mit KWG- oder ZAG-Erlaubnis
  • Zweigniederlassungen ausländischer Institute
  • Finanzunternehmen mit KWG-Lizenz

Weitere Auslagerungsleistungen von S+P Compliance

Das zentrale Auslagerungsmanagement bildet den Rahmen für alle weiteren Auslagerungen. Kombinieren Sie es mit den Kontrollfunktionen, die Sie ebenfalls auslagern möchten.

Kontrollfunktion

Auslagerung Geldwäsche Officer

Geldwäscheprävention nach § 6 und § 7 GwG, mit Verdachtsmeldewesen und Transaktionsmonitoring.

Zur Leistung
Kontrollfunktion

Auslagerung Compliance Officer

Allgemeine Compliance-Funktion nach AT 4.4.2 MaRisk mit Überwachung, Beratung und Berichtswesen.

Zur Leistung
Dritte Verteidigungslinie

Auslagerung Interne Revision

Unabhängige Prüfungen nach risikoorientiertem Prüfungsplan, mit Feststellungen und umsetzbaren Empfehlungen.

Zur Leistung
Meldewesen

Auslagerung XBRL-Meldewesen

Fristgerechte und formal geprüfte XBRL-Meldungen, ohne dass Sie eigene Meldesoftware betreiben müssen.

Zur Leistung
Operativer Betrieb

AML Operations

Operative Unterstützung bei Alert-Bearbeitung, Fallabschluss und Rückstandsabbau – auch kurzfristig und skalierbar.

Zur Leistung
Operativer Betrieb

KYC Operations

Kundensorgfaltspflichten im laufenden Betrieb: Onboarding, periodische Aktualisierung und Nachbearbeitung offener Fälle.

Zur Leistung
English

Outsourcing Internal Audit

Independent audits nach risikoorientiertem Prüfungsplan mit englischsprachiger Berichterstattung für internationale Häuser.

Zur Leistung

Häufige Fragen zum Outsourcing des Auslagerungsmanagements

Was ist das Zentrale Auslagerungsmanagement (ZAM) nach MaRisk AT 9?

Das Zentrale Auslagerungsmanagement bündelt die Steuerung aller Auslagerungen eines Instituts: die Risikoanalyse vor Beginn jeder Auslagerung, die Führung des Auslagerungsregisters mit allen wesentlichen und nicht wesentlichen Auslagerungen nach § 25b Abs. 1 Satz 4 KWG, die laufende Überwachung der Dienstleister sowie die Vorbereitung von Anzeigen an die BaFin. Grundlage sind § 25b KWG und AT 9 MaRisk.

Welche Aufgaben übernimmt S+P beim Outsourcing des ZAM?

S+P Compliance führt Ihr Auslagerungsregister und Ihr DORA-Informationsregister, erstellt Risikoanalysen und Wesentlichkeitsbewertungen vor Beginn neuer Auslagerungen, überwacht bestehende Dienstleister und Verträge und bereitet Berichte sowie Anzeigen an die BaFin vor. Optional stellen wir zusätzlich einen Auslagerungsbeauftragten für die operative Steuerung im Tagesgeschäft.

Was unterscheidet Option 1 (ZAM) von Option 2 (ZAM plus Beauftragter)?

Option 1 umfasst Register, Risikoanalysen, Dienstleisterüberwachung und Berichtswesen als zentrale Dienstleistung. Option 2 ergänzt dies um einen benannten Auslagerungsbeauftragten, der zusätzlich die operative Steuerung, Koordination mit Fachbereichen und Berichterstattung im Tagesgeschäft übernimmt. Welche Option passt, hängt von Zahl und Kritikalität Ihrer Auslagerungen ab.

Bleibt die Verantwortung für die Auslagerungssteuerung beim Institut?

Ja. Die Auslagerung darf nicht zu einer Übertragung der Verantwortung der Geschäftsleiter an das Auslagerungsunternehmen führen; das Institut bleibt für die Einhaltung der gesetzlichen Bestimmungen verantwortlich (§ 25b Abs. 2 KWG). Freigabe der Wesentlichkeitseinstufung, Entscheidung über Auslagerungsverträge und die formale Anzeige gegenüber der BaFin bleiben Aufgaben des Instituts – auch wenn die Steuerung selbst ausgelagert ist.

Wie stellt S+P die Prüfungsfestigkeit sicher?

Jede Risikoanalyse, jede Wesentlichkeitseinstufung und jede Registeränderung wird versioniert und mit Begründung dokumentiert. Unser eigenes Kontrollsystem ist nach IDW PS 951 und ISAE 3402 geprüft, siehe Abschnitt Rechtsgrundlagen und Prüfungsnachweise. Damit können Sie und Ihre Aufsicht jederzeit nachvollziehen, wann welche Auslagerung wie bewertet wurde.

Für welche Unternehmen eignet sich dieser Service?

In Betracht kommen Institute nach § 25b KWG: Kreditinstitute, Wertpapierinstitute, Zahlungs- und E-Geld-Institute, Kapitalverwaltungsgesellschaften, Kryptoverwahrer und FinTechs mit KWG- oder ZAG-Erlaubnis. Sinnvoll ist die Auslagerung vor allem dort, wo mehrere Auslagerungen und IKT-Dienstleister parallel laufen und intern keine feste Stelle für Register und Risikoanalysen vorhanden ist.

Auslagerung mit klarer Rollentrennung

Ein ausgelagertes zentrales Auslagerungsmanagement trägt dann, wenn zwei Dinge zusammenkommen: ein vollständiges, konsistent gepflegtes Register über MaRisk und DORA hinweg, und eine Rollenverteilung, die im Prüfungsfall belegbar ist. S+P Compliance richtet beides gemeinsam mit Ihnen ein – die Steuerung wird verlagert, die Verantwortung bleibt bei Ihrem Institut.

Angebot anfordernRollenverteilung prüfen

Zentrales Auslagerungsmanagement Lösung
Achim Schulz
Ihr Ansprechpartner

Achim Schulz

Geschäftsführer S+P Compliance

Achim Schulz verantwortet die S+P Compliance Services. Da S+P als Dienstleister für regulierte Institute fortlaufend von Wirtschaftsprüfern und Aufsichtsbehörden geprüft wird, ist die Prüfungsexpertise seines Teams immer auf dem neuesten Stand. Ihr Vorteil: Er weiß aus der täglichen Praxis exakt, welche Nachweise und Kontrollen in aktuellen Audits zwingend gefordert werden. Diese tagesaktuelle Expertise fließt direkt in Ihre Auslagerung ein. Sie profitieren von zertifizierten Prozessen (IDW PS 951, ISO), die jedem Audit durch die BaFin oder Ihren Abschlussprüfer absolut sicher standhalten.

LinkedIn-Profil → · Redaktion & Experten → · S+P Compliance Services →