Outsourcing & Third-Party-Risk
Ob Aufbau, Neuausrichtung oder kurzfristige Besetzung der Funktion: Ziel ist ein Outsourcing-Management, das regulatorisch sicher ist und im Alltag effizient läuft.
Leistungen
Wenn kurzfristig Fach- oder Führungskompetenz im Outsourcing und Vendor Management fehlt.
Einführung, Anpassung und Optimierung des Outsourcing-Frameworks.
Die regulatorischen Anforderungen an Auslagerungen vollständig erfüllen.
Schwerpunkte
Saubere Abgrenzung von Auslagerung und sonstigem Fremdbezug, Einstufung wesentlicher Auslagerungen und kritischer oder wichtiger Funktionen.
Inhärentes und residuales Risiko nachvollziehbar bewerten, Reassessments laufender Auslagerungen fristgerecht durchführen.
KPI und KRI mit Aussagekraft, Kontrollen im internen Kontrollsystem und ein SLA-Reporting, das Abweichungen früh zeigt.
Besonderheiten von Anbietern wie AWS oder Microsoft Azure: Standardverträge, Prüfungsrechte, Datenstandorte und Exit-Fähigkeit.
Warum Goldbek Consulting
Beratung und operative Verantwortung als Outsourcing Manager bei Fintechs und IKT-Dienstleistern.
Vendor Management, Third-Party-Risk und Aufsichtsanforderungen aus der Projektpraxis.
Register, Prozesse und Reportings, die im Tagesgeschäft genutzt werden – nicht nur Konzeptpapiere.
Bedarfsgerecht, mit klarer Übergabe an das eigene Team.
FAQ
Eine Auslagerung liegt vor, wenn ein anderes Unternehmen mit Aktivitäten und Prozessen im Zusammenhang mit Bankgeschäften, Finanzdienstleistungen oder sonstigen institutstypischen Dienstleistungen beauftragt wird, die sonst vom Institut selbst erbracht würden. Davon abzugrenzen ist der sonstige Fremdbezug. Die Einordnung entscheidet über Risikoanalyse, Vertragsinhalte und Überwachungsintensität.
Nach den EBA-Leitlinien zu Auslagerungen unter anderem alle Auslagerungsvereinbarungen mit Dienstleister, Leistungsbeschreibung, Laufzeiten, Einstufung als kritisch oder wichtig, Datenstandorte, Subauslagerungen und das Datum der letzten Risikobewertung. Für IKT-Dienstleistungen kommt das DORA-Informationsregister hinzu – beide Register sollten auf derselben Datenbasis aufsetzen.
Interim-Management eignet sich, wenn eine Funktion kurzfristig besetzt werden muss, etwa bei Vakanz oder nach Feststellungen der Aufsicht. Ein Projekt passt, wenn ein klar umrissenes Ergebnis entstehen soll, zum Beispiel ein neuer Auslagerungsprozess oder ein SLA- und KRI-Reporting. Beides lässt sich kombinieren.
Für IKT-Dienstleistungen gelten zusätzliche Anforderungen an Risikobewertung, Vertragsinhalte, Überwachung, Exit-Strategien und das Informationsregister. Details dazu auf der Seite zur DORA-Umsetzung.
Ob operative Unterstützung oder projektbezogene Beratung – ein unverbindliches Erstgespräch klärt Umfang und Vorgehen.