Finanzunternehmen sind zunehmend von externen Dienstleistern abhängig. IKT-Provider, Cloud-Anbieter, Softwareunternehmen, Berater, Datenlieferanten, Zahlungsdienstleister, Marktinfrastrukturen, Vertriebs- und Backoffice-Partner sowie konzerninterne Servicegesellschaften unterstützen heute wesentliche Geschäfts- und Kontrollprozesse.
Mit S+P Third-Party Operations schaffen Sie eine operative Grundlage für ein integriertes Drittparteienmanagement. S+P unterstützt bei der Erfassung und Pflege von Dienstleisterbeziehungen, Verträgen, Leistungen, Risiken, Kontrollen, Subunternehmern, Fristen, Nachweisen und Maßnahmen. Das Angebot verbindet klassische Auslagerungssteuerung mit DORA-IKT-Drittparteienmanagement und bereitet Ihre Organisation auf einen ganzheitlichen Third-Party-Risk-Management-Ansatz vor.
Klare Verantwortungsabgrenzung: S+P übernimmt die operative Pflege, Nachhaltung und Dokumentation von Third-Party-Informationen. Risikoanalyse, Wesentlichkeits- und Kritikalitätsbewertung, Vertragsfreigabe, strategische Dienstleisterentscheidungen und unabhängige Überwachung verbleiben bei den zuständigen Fach- und Kontrollfunktionen des Kunden.
Klassische Auslagerungsregister erfassen häufig nur solche Dienstleisterbeziehungen, die ausdrücklich als Auslagerung eingestuft wurden. In der Praxis entstehen Risiken jedoch auch aus weiteren externen Abhängigkeiten: Cloud-Services, Software-as-a-Service, Datenanbieter, Payment-Provider, Vertriebsplattformen, Beratungsleistungen, Marktinfrastrukturen, operative Dienstleister und konzerninterne Servicegesellschaften.
Die EBA hat am 8. Juli 2025 ein Konsultationspapier zu Leitlinien für das solide Management von Drittparteienrisiken veröffentlicht (EBA/CP/2025/12); die Konsultation endete am 8. Oktober 2025. Die Leitlinien sollen die EBA-Outsourcing-Leitlinien von 2019 ablösen und gehen über klassische Auslagerungen hinaus: Erfasst werden Vereinbarungen, bei denen Dienstleister Funktionen wiederkehrend erbringen oder unterstützen. Der Fokus liegt dabei auf Nicht-IKT-Dienstleistungen — IKT-Drittparteien bleiben im Anwendungsbereich von DORA. Vorgesehen ist eine Umsetzung nach dem Grundsatz „comply or explain“ mit einem Übergangszeitraum von zwei Jahren.
Stand dieser Seite: Die Leitlinien liegen weiterhin im Entwurf vor. Die endgültige Fassung und der Anwendungszeitpunkt sind maßgeblich.
DORA bildet bereits einen umfassenden Rahmen für IKT-Drittparteien. Für Nicht-IKT-Dienstleister zielt der EBA-Ansatz auf vergleichbare Transparenz, Governance, Vertragsqualität, Risikobewertung, Überwachung und Exit-Fähigkeit ab. S+P unterstützt Sie dabei, diese Informationen nicht nur konzeptionell zu erfassen, sondern im laufenden Betrieb vollständig, aktuell und prüfungsfähig zu steuern.
IKT-Drittanbieter, Auslagerungen, sonstige Dienstleister, Lieferanten, Berater und konzerninterne Leistungen werden häufig in getrennten Registern oder Listen geführt. Dadurch entstehen Lücken und Mehrfachpflege.
Oft ist nicht vollständig sichtbar, welche Prozesse, Produkte, Kundenservices oder kritischen Funktionen von welchem Dienstleister abhängen. Besonders bei komplexen Serviceketten und Subunternehmern entstehen Risiken.
Nicht jede externe Leistungsbeziehung ist eine regulatorische Auslagerung. Sie kann dennoch wesentliche operationelle, rechtliche, finanzielle, Datenschutz-, Informationssicherheits- oder Reputationsrisiken erzeugen.
Verträge, Leistungsbeschreibungen, SLA, Prüfungsrechte, Kontrollnachweise, Zertifikate, Datenschutzunterlagen, Informationssicherheitsnachweise und Exit-Informationen liegen häufig nicht vollständig oder nicht zentral vor.
Drittanbieter nutzen häufig weitere Dienstleister. Ohne Transparenz über Subunternehmer, Datenverarbeitung, Standorte und Kontrollketten bleiben Lieferkettenrisiken unvollständig bewertet.
Vertragsverlängerungen, Risikoanalysen, Dienstleisterreviews, Zertifikate, Audits, Kontrollnachweise, Notfalltests und Exit-Plan-Reviews müssen fortlaufend nachgehalten werden.
Acht Bausteine — vom integrierten Register bis zu Exit- und Resilienz-Evidenzen.
Aufbau, Pflege und Konsolidierung eines zentralen Third-Party-Registers.
Operative Pflege von Vertrags- und Leistungsinformationen.
Operative Dokumentation von Abhängigkeiten zwischen Drittparteien, Services und Funktionen.
Wichtiger Hinweis: Die fachliche Bewertung von Kritikalität, Wesentlichkeit und Drittparteienrisiken sowie die Entscheidung über Risikoakzeptanz verbleiben bei den zuständigen Stellen des Kunden.
Operative Transparenz über Subunternehmer und weitere Dienstleisterketten.
Operative Vorbereitung und Dokumentation von Third-Party-Onboarding-Prozessen.
Laufende operative Nachhaltung von Dienstleisterkontrollen und Reviews.
Operative Steuerung von Maßnahmen aus Reviews, Audits, Risikoanalysen und Dienstleisterkontrollen.
Operative Pflege von Informationen für Exit-Planung, Notfallsteuerung und Resilienz.
S+P führt IKT- und Nicht-IKT-Drittparteien, Auslagerungen, konzerninterne Services und weitere relevante Dienstleisterbeziehungen in einer abgestimmten Datenstruktur zusammen.
Leistungen werden mit Prozessen, Funktionen, Produkten, Daten, Standorten, Subunternehmern und Verantwortlichkeiten verknüpft. Dadurch werden Konzentrationen und kritische Abhängigkeiten sichtbar.
Dienstleisterreviews, Zertifikate, Audits, SLA-Reports, Sicherheitsnachweise, Vertragsfristen und Maßnahmen werden mit klaren Wiedervorlagen und Eskalationsregeln nachgehalten.
Sie erhalten aktuelle Informationen zu Drittparteienbestand, kritischen Dienstleistungen, offenen Risikoanalysen, Datenlücken, Fristen, Maßnahmen und Eskalationen.
Fünf Zuschnitte — von der Registerkonsolidierung bis zur Transformation.
Geeignet für Unternehmen, die DORA-Informationsregister, Auslagerungsregister, Lieferantenlisten und weitere Dienstleisterdaten in eine einheitliche Struktur überführen möchten.
Geeignet bei unvollständigen Dienstleisterakten, fehlenden Verträgen, Datenlücken, unklaren Subunternehmern, überfälligen Reviews oder Prüfungsfeststellungen.
Geeignet bei hoher Beschaffungsaktivität, Cloud-Transformationen, neuen Produkten, neuen Dienstleisterbeziehungen oder Reorganisationen.
Geeignet für Unternehmen, die Registerpflege, Vertragsnachhaltung, Evidenzsteuerung, Reviews, Fristen und Maßnahmen dauerhaft auslagern möchten.
Geeignet zur Vorbereitung auf einen erweiterten Third-Party-Risk-Management-Ansatz, zur Harmonisierung von IKT- und Nicht-IKT-Drittparteienmanagement oder zur Umstellung auf neue Registermodelle.
Wir sichten Register, Verträge und Datenquellen und schlagen ein passendes Zielmodell vor.
Vier Schritte vom Landscape Assessment bis zum laufenden Betrieb.
Wir analysieren Ihre bestehenden Dienstleisterregister, Auslagerungen, IKT-Provider, Verträge, Datenquellen, Systeme, Rollen, Fristen, Kontrollprozesse und offenen Punkte.
Gemeinsam definieren wir Datenmodell, Dienstleisterkategorien, Leistungsarten, Datenfelder, Rollen, Qualitätskriterien, Review-Prozesse, Eskalationen, Reporting und Service Levels.
S+P konsolidiert die vereinbarten Datenquellen, strukturiert Dienstleisterakten, ergänzt fehlende Informationen und überführt Register- sowie Evidenzdaten in den abgestimmten Zielprozess.
S+P pflegt die vereinbarten Registerdaten, verfolgt Fristen, Nachweise, Reviews und Maßnahmen nach und liefert regelmäßige Informationen zu Bestand, Risiken, Datenqualität und Eskalationen.
S+P Third-Party Operations ist als operative Leistung der ersten Verteidigungslinie ausgestaltet: definierte Register-, Dokumentations-, Nachforderungs-, Review- und Fristenaufgaben nach Ihren Vorgaben.
Die zuständigen Fachbereiche, Beschaffung, Auslagerungsmanagement, Informationssicherheit, Datenschutz, Risiko- und Compliance-Funktionen definieren Anforderungen, bewerten Risiken, genehmigen Verträge und steuern wesentliche Drittparteienrisiken.
Die Interne Revision prüft unabhängig, ob Third-Party Governance, Prozesse, Register, Kontrollen und Nachweise angemessen ausgestaltet und wirksam umgesetzt sind.
| 1st Line: S+P Third-Party Operations | Fach- und Kontrollfunktionen | 3rd Line: Interne Revision |
|---|---|---|
| Pflegt Third-Party Register, Vertrags- und Leistungsdaten | Definieren Standards, Datenmodell und Kontrollanforderungen | Prüft Governance, Register und Kontrollwirksamkeit |
| Steuert Fristen, Reviews, Nachforderungen und Evidenzen | Bewerten Risiken, Kritikalität und Wesentlichkeit | Prüft Dokumentation, Prozesse und Maßnahmen |
| Dokumentiert Abhängigkeiten, Subunternehmer und offene Punkte | Genehmigen Verträge, Ausnahmen und Risikoakzeptanzen | Bewertet nachhaltige Fehlerbehebung |
| Bereitet Statusreports und Managementinformationen vor | Überwachen Drittparteienrisiken und Eskalationen | Berichtet unabhängig über Feststellungen |
Transparenz über IKT- und Nicht-IKT-Drittparteien, Auslagerungen, Verträge, Leistungen, Abhängigkeiten, Subunternehmer und Kontrollnachweise.
Ein RegisterStatt getrennter Listen für Einkauf, IT, Auslagerungen, Datenschutz und Risikomanagement entsteht eine abgestimmte Datenbasis.
Keine DoppelpflegeVerträge, Zertifikate, Audits, Reviews, Sicherheitsnachweise und Maßnahmen werden konsequent nachgehalten.
Nichts läuft ausDrittparteieninformationen, Verträge, Risikoanalysen, Kontrollen, Nachweise und Maßnahmen sind strukturiert dokumentiert.
Weniger FindingsDie EBA-Entwürfe erweitern den Blick auf wiederkehrende Drittparteienvereinbarungen und zielen auf stärkere Harmonisierung mit DORA.
ZukunftsfestBei Registerkonsolidierung, Datenbereinigung, Onboarding, Prüfungsnachbereitung oder als laufender Managed Service.
BedarfsgerechtDer Service eignet sich insbesondere für:
IKT-Drittdienstleister, Verträge, Services, Funktionen, Datenstandorte, Subunternehmer und Evidenzen im DORA-Informationsregister steuern.
DORA Register Operations ansehenAuslagerungsregister, Dienstleisterinformationen, Verträge, Reviews, Kontrollnachweise und Maßnahmen im klassischen Auslagerungsmanagement pflegen.
Outsourcing Operations ansehenIKT-Risiko-Evidenzen, Incidents, Tests, Maßnahmen und Resilienzunterlagen strukturiert dokumentieren und nachhalten.
DORA Operations ansehenFehlerlisten, Datenlücken, Pflichtfelder und Datenqualität für Dienstleister-, Vertrags-, DORA- und Governance-Prozesse operativ bearbeiten.
Datenkontrolle ansehenRisiko-, Kontroll-, Maßnahmen-, Richtlinien- und Evidenzregister aktuell, fristgerecht und prüfungsfähig führen.
Governance & Register Operations ansehenDrittparteienakten, Verträge, Reviews, Risikoanalysen, Kontrollnachweise und Maßnahmen für Prüfungen strukturiert aufbereiten.
Audit Readiness ansehenOutsourcing Operations konzentriert sich auf klassische Auslagerungen und deren Register, Verträge, Risikoanalysen, Reviews und Kontrollen. Third-Party Operations erfasst zusätzlich weitere wiederkehrende externe Leistungsbeziehungen, etwa IKT-Dienstleister, Datenanbieter, SaaS-Lösungen, Berater, konzerninterne Services und sonstige Drittanbieter.
Nein. Nicht jede externe Dienstleistung ist eine regulatorische Auslagerung. Sie kann aber dennoch operationelle, rechtliche, Datenschutz-, Informationssicherheits-, Konzentrations- oder Reputationsrisiken auslösen. Third-Party Operations schafft Transparenz über diese Beziehungen.
Ja. S+P kann bei einem abgestimmten, integrierten Registermodell unterstützen. DORA-spezifische Datenfelder, IKT-Drittparteien, klassische Auslagerungen und weitere Third-Party-Informationen können logisch miteinander verbunden werden.
S+P kann Daten, Nachweise und Informationen für Risikoanalysen strukturiert vorbereiten. Die fachliche Bewertung, Kritikalitätseinstufung, Risikoakzeptanz und Vertragsfreigabe erfolgen durch die zuständigen Stellen des Kunden.
Ja. Third-Party Management ist ein laufender Prozess. Neue Dienstleister, Vertragsänderungen, Subunternehmer, Reviews, Zertifikate, Kontrollen und Maßnahmen müssen kontinuierlich gepflegt und nachgehalten werden.
Die Bearbeitung erfolgt nach abgestimmten Datenfeldern, Arbeitsanweisungen, Checklisten, Qualitätskriterien und Eskalationswegen. Je nach Serviceumfang können Vollständigkeitskontrollen, Vier-Augen-Prinzipien, Stichproben, Datenqualitätskennzahlen und regelmäßige Service-Reviews vereinbart werden.
Drittparteiensteuerung endet nicht bei der Frage, ob eine Leistung formell als Auslagerung eingestuft wird. Entscheidend ist ein vollständiger Überblick über externe Abhängigkeiten, Verträge, Services, Risiken, Nachweise und Maßnahmen. S+P unterstützt Sie dabei, Third-Party Management operativ zu strukturieren, Datenlücken zu schließen und eine belastbare Grundlage für Governance, Risiko, DORA, Auslagerungen und Prüfungen zu schaffen. Im Erstgespräch analysieren wir Dienstleisterlandschaft, Register, Verträge, Datenquellen, Fristen, Reviews und offene Punkte.
Wir verwenden Cookies und ähnliche Technologien, um Ihre Erfahrung auf unserer Website zu verbessern. Weitere Informationen in unserer Datenschutzerklärung.