Audit Readiness im Auslagerungsmanagement: BaFin-Findings strukturiert schließen
Feststellungen der Aufsicht oder der internen Revision im Auslagerungsmanagement klingen im Einzelnen sehr unterschiedlich: fehlende Risikoanalysen, veraltete Bewertungen, unvollständiges Register, keine wirksame Überwachung. In mehreren Projekten bei Fintechs hatten sie dennoch fast immer dieselbe Ursache – es fehlte die vollständige Übersicht über die Leistungsbezüge.
Schritt 1: Den Backlog sichtbar machen
Am Anfang steht die Frage, welche Leistungen das Haus überhaupt von Dritten bezieht. Kreditorenlisten, Verträge, IT-Systemlandschaft und Gespräche mit den Fachbereichen ergeben zusammen ein realistisches Bild. Erst dann lässt sich sagen, wie viele Risikoanalysen tatsächlich offen sind.
Schritt 2: Priorisieren statt alles gleichzeitig
Nicht jeder Leistungsbezug ist gleich dringlich. Zuerst kommen die Bezüge, die voraussichtlich wesentlich sind oder kritische Funktionen unterstützen, und die, auf die sich Feststellungen direkt beziehen. Die Abarbeitung gelingt nur gemeinsam mit den Business Ownern: Sie kennen die Leistung, das Auslagerungsmanagement kennt die Anforderungen.
Schritt 3: Prozesse dokumentieren, wie sie gelebt werden
Viele Feststellungen entstehen, weil die schriftlich fixierte Ordnung einen Prozess beschreibt, den niemand so lebt. Workshops mit den Beteiligten zeigen, wie Onboarding, Überwachung und Beendigung von Dienstleistern tatsächlich ablaufen. Danach wird entweder der Prozess angepasst oder die Dokumentation – nie nur das Papier.
Schritt 4: Überwachung messbar machen
Eine wirksame Dienstleistersteuerung braucht Kennzahlen:
- KPI für die Leistung des Dienstleisters, etwa Einhaltung von Service Levels
- KRI für das Risiko, etwa überfällige Reassessments, offene Maßnahmen oder Häufung von Störungen
- Kontrollen im internen Kontrollsystem, die regelmäßig prüfen, ob Analysen, Register und Verträge aktuell sind
Wichtig ist das fortlaufende Tracking. Ein Control-Framework, das nur zur Prüfung aktualisiert wird, fällt bei der nächsten Prüfung erneut auf.
Woran man erkennt, dass ein Finding wirklich geschlossen ist
Ein Finding ist geschlossen, wenn der Nachweis ohne Erklärung verständlich ist: Die Maßnahme ist umgesetzt, dokumentiert und in den Regelbetrieb überführt. Ein nachvollziehbarer Prüfpfad – von der Feststellung über die Maßnahme bis zum Nachweis – erspart in der Nachschau viele Diskussionen.
Audit Readiness ist damit kein Projektziel, sondern ein Zustand, den das Auslagerungsmanagement im Alltag halten muss. Der Aufwand dafür sinkt deutlich, sobald Übersicht, Priorisierung und Kennzahlen einmal sauber stehen.