9.4 Interner Kontrollrahmen

Die zuständigen Behörden sollten beurteilen, ob das antragstellende Kreditinstitut über einen angemessenen internen Kontrollrahmen verfügt, der für die geplanten Tätigkeiten, das Geschäftsmodell, die Komplexität und den damit verbundenen Risiken des Kreditinstituts (z. B. Online-Onboarding von Kunden, Cybersicherheitsschutz und -vorkehrungen) angemessen ist. Die zuständigen Behörden sollten sich von der Angemessenheit der zugewiesenen Personalressourcen hinsichtlich der Anzahl der Vollzeitäquivalente und der Qualifikationen sowie der Angemessenheit der Systeme und des Budgets zur Unterstützung der Aufgabenerfüllung überzeugen.

Die zuständigen Behörden sollten die Antragsunterlagen überprüfen und sich vergewissern, dass die Zuweisung der Aufgaben und Verantwortlichkeiten es dem Leitungsorgan ermöglicht, die Struktur ihres Kreditinstituts⁴⁹ vollständig zu kennen und „sicherstellen, dass die internen Kontrollfunktionen unabhängig von den Geschäftsbereichen sind, die sie kontrollieren, einschließlich einer geeigneten Aufgabentrennung, und über angemessene finanzielle und personelle Mittel sowie Befugnisse zur wirksamen Wahrnehmung ihrer Aufgabe verfügen. Die Berichtswege sowie die Zuordnung von Verantwortlichkeiten, insbesondere unter Inhabern von Schlüsselfunktionen, innerhalb des Kreditinstituts sollten klar, genau abgegrenzt, stimmig, durchsetzbar und ordnungsgemäß dokumentiert sein.“⁵⁰

⁴⁹ Absatz 71 der EBA-Leitlinien zur internen Governance.

⁵⁰ Absatz 68 der EBA-Leitlinien zur internen Governance.

Die zuständigen Behörden sollten sich ein klares Bild davon machen, dass der interne Kontrollrahmen alle Bereiche des Instituts abdeckt und das Modell der drei Verteidigungslinien zur Identifizierung der Funktionen für den Umgang mit und das Management von Risiken widerspiegelt.

Zu diesem Zweck sollten die zuständigen Behörden überprüfen, ob Vorkehrungen getroffen wurden, um sicherzustellen, dass die Geschäfts- und Unterstützungseinheiten, die erste Verteidigungslinie, in erster Linie dafür verantwortlich sein werden, um die Risiken, die sie bei der Ausübung ihrer Tätigkeiten eingehen, zu erkennen und zu bewältigen und um angemessene Prozesse und Kontrollen einzurichten und aufrechtzuerhalten, um sicherzustellen, dass diese Risiken analysiert, gemessen, überwacht, ordnungsgemäß gemeldet und innerhalb der Grenzen der Risikobereitschaft des Kreditinstituts gehalten werden und dass sie den internen und externen Aufsichtsanforderungen entsprechen.

Die Risikomanagementfunktion und die Compliance-Funktion, die zweite Verteidigungslinie, bilden zusammen mit der Internen Revision, die die dritte Verteidigungslinie darstellt, die internen Kontrollfunktionen innerhalb des internen Kontrollrahmens. Die zuständigen Behörden sollten überprüfen, ob sie unter Berücksichtigung der in den Absätzen 17 – 21 Leitlinien für die Erteilung der Zulassung von Kreditinstituten

dargelegten Kriterien der Verhältnismäßigkeit eingerichtet werden und dass sie mit angemessenen und ausreichenden Befugnissen, Gestalt und direktem Zugang zum Leitungsorgan ausgestattet sind, um ihren Auftrag zu erfüllen.

Um sicherzustellen, dass die internen Kontrollfunktionen die Unabhängigkeitsanforderungen⁵¹ erfüllen, sollten die zuständigen Behörden anhand der Antragsunterlagen überprüfen, ob Folgendes vorgesehen ist:

• (a) die Mitarbeiter in Kontrollfunktionen nehmen keine operativen Aufgaben wahr, die in einen Tätigkeitsbereich fallen, der von den internen Kontrollfunktionen überwacht und kontrolliert werden soll;
• (b) sie sind in organisatorischer Hinsicht von den Geschäftstätigkeiten, die sie überwachen und kontrollieren sollen, getrennt;
• (c) unbeschadet der Gesamtverantwortung der Mitglieder des Leitungsorgans für das Institut sollte der Leiter einer internen Kontrollfunktion nicht einer Person unterstellt sein, die die Verantwortung für die Durchführung der Tätigkeiten trägt, die die interne Kontrollfunktion überwacht und kontrolliert;
• (d) die Vergütung der Mitarbeiter der internen Kontrollfunktionen sollte nicht an den Erfolg der Tätigkeiten gekoppelt sein, die von der internen Kontrollfunktion überwacht und kontrolliert werden, und sie sollte deren Objektivität auch nicht anderweitig beeinträchtigen können.

⁵¹ Siehe Absatz 175 der EBA-Leitlinien zur internen Governance.

Die zuständigen Behörden sollten überprüfen, ob die Leiter der internen Kontrollfunktionen die folgenden Anforderungen erfüllen:

• a) sie werden auf einer angemessenen Hierarchiestufe angesiedelt sein, die dem Leiter der Kontrollfunktion angemessene Befugnisse und ausreichendes Gewicht verleiht, die für die Erfüllung seiner Zuständigkeiten notwendig sind.
• b) sie werden unabhängig von den Geschäftsbereichen oder Einheiten sein, die sie kontrollieren;
• c) sie werden dem Leitungsorgan Bericht erstatten und diesem gegenüber direkt rechenschaftspflichtig sein, und ihre Leistung sollte vom Leitungsorgan überprüft werden;
• d) falls notwendig, werden sie sich direkt an das Leitungsorgan in seiner Aufsichtsfunktion wenden und diesem Bericht erstatten, um Bedenken zu äußern und die Aufsichtsfunktion gegebenenfalls zu warnen, wenn bestimmte Entwicklungen das Kreditinstitut beeinträchtigen oder beeinträchtigen können. Leitlinien für die Erteilung der Zulassung von Kreditinstituten

Um sicherzustellen, dass die internen Kontrollfunktionen wirksam ausgeübt werden können, sollten die zuständigen Behörden davon überzeugt sein, dass ihnen im Hinblick auf die Art der angestrebten Tätigkeiten ausreichende Budget- und Personalressourcen mit angemessener Qualifikation zugewiesen werden sowie ein geeignetes IKT-System und entsprechende Unterstützung zur Verfügung stehen.

9.4.2 Risikomanagementfunktion

Die zuständigen Behörden sollten davon überzeugt sein, dass das Kreditinstitut als Teil des internen Kontrollrahmens über einen ganzheitlichen institutsweiten Risikomanagementrahmen verfügt, der die wirtschaftliche Substanz aller Risikopositionen des Kreditinstituts vollständig erkennt.

Die zuständigen Behörden sollten davon überzeugt sein, dass die Risikomanagementfunktion die Umsetzung eines soliden Risikomanagementrahmens im gesamten Institut erleichtert und dass ihre Rolle innerhalb des Kreditinstituts ihre Beteiligung an folgenden Aspekten umfasst:

• a) Risikostrategie und -entscheidung; b) Bewertung wesentlicher Veränderungen;
• c) Identifizierung, Messung, Bewertung, Verwaltung, Minderung, Überwachung und Berichterstattung über Risiken; d) Bewertung von Verletzungen der Risikobereitschaft oder - limits und Empfehlung von Abhilfemaßnahmen. Zu diesem Zweck sollten die zuständigen Behörden auch den Entwurf der Strategie für das Management solcher Risiken überprüfen und bewerten, einschließlich einer Erklärung zur Risikotoleranz und -bereitschaft sowie Maßnahmen zur Anpassung des bewerteten Risikos an die Risikobereitschaft.

Hinsichtlich der Rolle der Risikomanagementfunktion in der Risikostrategie und Entscheidungsfindung sollte die Überprüfung durch die zuständigen Behörden darauf abzielen, dass der Antrag eine aktive Beteiligung der Risikomanagementfunktion in einem frühen Stadium nach dem Grundsatz der Unternehmensfortführung bei der Ausarbeitung der Risikostrategie des Kreditinstituts vorsieht, um sicherzustellen, dass das Kreditinstitut über wirksame Risikomanagementprozesse verfügt, und um alle maßgeblichen risikobezogenen Informationen an das Leitungsorgan bereitzustellen, damit das Niveau der Risikobereitschaft des Kreditinstituts festgelegt werden kann. Die zuständigen Behörden sollten sicherstellen, dass die Risikomanagementfunktion vorgesehen ist, um die Robustheit und Tragfähigkeit der Risikostrategie und der Risikobereitschaft zu bewerten, und dass letztere angemessen in spezifische Risikolimits, auch auf Ebene der Geschäftsbereiche, umgesetzt werden, und dass sie einbezogen wird, bevor eine Entscheidung vom Leitungsorgan bezüglich der Risikostrategien getroffen wird.

In Bezug auf die Rolle der Risikomanagementfunktion bei der Bewertung wesentlicher Änderungen sollten die zuständigen Behörden überprüfen, ob die Beteiligung der Risikomanagementfunktion vorgesehen ist, bevor Entscheidungen über außergewöhnliche Transaktionen getroffen werden, um die Auswirkungen solcher Änderungen und außergewöhnlicher Transaktionen auf das Gesamtrisiko des Kreditinstituts zu bewerten, und Leitlinien für die Erteilung der Zulassung von Kreditinstituten

um ihre Feststellungen direkt dem Leitungsorgan zu melden, bevor eine Entscheidung getroffen wird.

In Bezug auf die Rolle der Risikomanagementfunktion bei der Identifizierung, Messung, Überwachung, Minderung und Meldung von Risiken und damit verbundenen Risikokonzentrationen, die vom Leitungsorgan zu genehmigen sind, sollten die zuständigen Behörden sicherstellen, dass Richtlinien und Verfahren vorhanden sind und dass die Risikomanagementfunktion Zugang zu allen Geschäftsfeldern und anderen Bereichen hat, die potenziell Risiken erzeugen können.

Die Rolle der Risikomanagementfunktion sollte auch die unabhängige Bewertung von Verstößen gegen den Risikoappetit bzw. die Risikolimite umfassen (einschließlich einer Ermittlung der Ursache sowie Durchführung einer rechtlichen und wirtschaftlichen Analyse der tatsächlichen Kosten der Schließung, Verringerung oder Absicherung von Risikopositionen im Vergleich zu den potenziellen Kosten einer Fortführung). Es sollte vorgesehen werden, dass die Risikomanagementfunktion die betroffenen Geschäftsbereiche und das Leitungsorgan informiert und mögliche Maßnahmen empfiehlt. Zu diesem Zweck sollte sie direkt an das Leitungsorgan in seiner Aufsichtsfunktion Bericht erstatten, unbeschadet der Tatsache, dass die Risikomanagementfunktion anderen internen Funktionen und Ausschüssen Bericht erstatten kann.

9.4.3 Vergütungspolitik

In Bezug auf den Entwurf der Vergütungsrichtlinien sollten die zuständigen Behörden zusätzlich zur Bewertung der Einhaltung der Anforderungen an die Geschlechtsneutralität gemäß Artikel 92 Absatz 2 Buchstabe aa der Richtlinie 2013/36/EU insbesondere darauf achten, dass der Entwurf der Richtlinien in Bezug auf Mitarbeiter, deren berufliche Tätigkeiten einen wesentlichen Einfluss auf das Risikoprofil⁵² des Kreditinstituts haben, im Einklang mit Artikel 94 der Richtlinie 2013/36/EU und den EBA- Leitlinien für Vergütungspolitik steht.

⁵² Eingereicht gemäß den RTS in Bezug auf Informationen für die Zulassung.

Sie sollten insbesondere prüfen, ob: a) der Entwurf der Vergütungspolitik der angestrebten Risikobereitschaft des Instituts, seiner Geschäftsstrategie und seinen langfristigen Interessen entspricht und von der Geschäftsführung aufrechterhalten, genehmigt und überwacht werden soll; b) er vorsieht, dass Mitarbeiter, die einen wesentlichen Einfluss auf das Risikoprofil des Instituts haben, gemäß Artikel 92 Absatz 3 und Artikel 94 Absatz 3 der Richtlinie 2013/36/EU entsprechend identifiziert werden; c) er spezifische Vergütungsanforderungen für diese speziellen Mitarbeiter vorsieht, unter anderem (i) ein Verhältnis zwischen variabler und fester Vergütung gemäß Artikel 94 Absatz 1 Buchstabe g der Richtlinie 2013/36/EU und (ii) die Auszahlung in Instrumenten, die Stundungsvereinbarungen einschließlich Malus und Rückforderung gemäß Artikel 94 Absatz 1 Buchstaben l, m und n der Richtlinie 2013/36/EU⁵³ . Leitlinien für die Erteilung der Zulassung von Kreditinstituten

9.4.4 Compliance-Funktion

⁵³ Unter besonderer Berücksichtigung der in Artikel 94 Absatz 3 und Absatz 4 der Richtlinie 2013/36/EU vorgesehenen Ausnahmen.

Die zuständigen Behörden sollten überprüfen, ob vorgesehen ist, dass die Compliance-Funktion das Compliance-Risiko verwaltet, das Leitungsorgan zu Maßnahmen berät, die zur Sicherstellung der Einhaltung geltender Gesetze, Regeln, Vorschriften und Standards zu ergreifen sind, und unter Aufsicht des Leitungsorgans Richtlinien und Prozesse zum Management von Compliance-Risiken und zur Gewährleistung der Compliance umsetzt. Die zuständigen Behörden sollten überprüfen, ob die Compliance-Funktion für die Art und die geografischen Verteilung der Tätigkeiten (z. B. Einhaltung der geltenden nationalen Gesetze verschiedener Rechtsordnungen bei grenzüberschreitenden Tätigkeiten), Risiken und Komplexität im Einklang mit dem Geschäftsmodell und die gemäß Abschnitt 7 dieser Leitlinien durchgeführte Bewertung des Geschäftsplans angemessen ist.

Die Compliance-Funktion sollte sicherstellen, dass die Überwachung der Compliance im Rahmen eines strukturierten und genau definierten Compliance-Überwachungsprogramms erfolgt und die Compliance-Richtlinien eingehalten werden. Es sollte auch vorgesehen sein, dass die Compliance-Funktion und die Risikomanagementfunktion zusammenarbeiten und, sofern angemessen, Informationen austauschen, um ihre jeweiligen Aufgaben wahrzunehmen.

Die zuständigen Behörden sollten auch prüfen, ob die Compliance-Funktion in enger Zusammenarbeit mit der Risikomanagementfunktion und der für Rechtsfragen zuständigen Einheit mit der Prüfung betraut wird, ob neue Produkte und neue Verfahren mit dem aktuellen Rechtsrahmen und gegebenenfalls mit bekannten bevorstehenden Änderungen von Gesetzen, Rechtsvorschriften und aufsichtlichen Anforderungen in Einklang stehen.

Die zuständigen Behörden sollten überprüfen, dass die Einrichtung einer AML/CTF-Compliance-Funktion zur Einhaltung der Regelwerke bezüglich Geldwäsche und Terrorismusfinanzierung und der internen Richtlinien entweder innerhalb oder getrennt von der Compliance-Funktion vorgesehen ist.

9.4.5 Richtlinien in Bezug auf Geldwäsche und Terrorismusfinanzierung

Die zuständigen Behörden sollten überprüfen, ob die vom antragstellenden Kreditinstitut gemäß Artikel 5 Absatz 1 Buchstabe c) Ziffer iii der RTS in Bezug auf Informationen für die Zulassung vorgelegten Richtlinien in Bezug auf Geldwäsche und Terrorismusfinanzierung (AML/CTF- Richtlinien) einen Überblick über die wichtigsten Grundsätze und Verfahren gemäß Artikel 8 Absatz 3 der Richtlinie 2015/849 (AMLD) geben, die eingeführt werden, um dem Risiko der Geldwäsche/Terrorismusfinanzierung zu begegnen. Zu diesem Zweck berücksichtigen die zuständigen Behörden die in den Absätzen 17 bis 21 festgelegten Kriterien der Verhältnismäßigkeit. Leitlinien für die Erteilung der Zulassung von Kreditinstituten

Die zuständigen Behörden sollten überprüfen, ob der Entwurf alle in Artikel 8 Absatz 4⁵⁴ der Richtlinie 2015/849 (AMLD) genannten Elemente umfasst, und darlegen, wie das antragstellende Kreditinstitut sicherstellen wird, dass es die Risiken in Bezug auf Geldwäsche/Terrorismusfinanzierung, denen es ab dem Tag des Marktzugangs ausgesetzt ist, wirksam mindern und managen kann.

9.4.6 Funktion der Internen Revision

⁵⁴ Er lautet: „Die in Absatz 3 genannten Strategien, Kontrollen und Verfahren umfassen (a) die Ausarbeitung interner Grundsätze, Kontrollen und Verfahren, unter anderem in Bezug auf eine vorbildliche Risikomanagementpraxis, Sorgfaltspflichten gegenüber Kunden, Verdachtsmeldungen, Aufbewahrung von Unterlagen, interne Kontrolle, Einhaltung der einschlägigen Vorschriften einschließlich der Benennung eines für die Einhaltung der einschlägigen Vorschriften zuständigen Beauftragten auf Leitungsebene, wenn dies angesichts des Umfangs und der Art der Geschäftstätigkeit angemessen ist und Mitarbeiterüberprüfung; (b) eine unabhängige Prüfung, die die unter Buchstabe a genannten internen Strategien, Kontrollen und Verfahren testet, sollte dies mit Blick auf Art und Umfang der Geschäftstätigkeit angemessen sein.“

Die zuständigen Behörden sollten unter Berücksichtigung der in den Absätzen 17 bis 21 dargelegten Kriterien der Verhältnismäßigkeit die vom antragstellenden Kreditinstitut eingerichtete unabhängige und wirksame interne Revision bewerten. Die zuständigen Behörden sollten einen klaren Überblick gewinnen, ob die Funktion der Internen Revision nach einem risikobasierten Ansatz unabhängige Prüfungen vornehmen und eine objektive Gewähr für die Einhaltung aller Tätigkeiten und Einheiten des Kreditinstituts, einschließlich der ausgelagerten Tätigkeiten, mit den Richtlinien und Verfahren des Instituts und mit anderen externen (nicht aufsichtlichen) Anforderungen bieten kann.

Zu diesem Zweck sollten die zuständigen Behörden bewerten, ob die organisatorische Unabhängigkeit der Funktion der Internen Revision und die Objektivität der internen Revisoren durch eine direkte Berichterstattung an das Leitungsorgan und angemessene Ressourcen zur Erfüllung seiner Aufgaben geschützt sind. Zu diesem Zweck sollte auch sichergestellt werden, dass die Funktion der Internen Revision zur Erfüllung ihrer Aufgaben institutsweit uneingeschränkten Zugang zu allen Aufzeichnungen, Dokumenten, Informationen und Gebäuden des Instituts hat.

Die zuständigen Behörden sollten auch bewerten, ob die Funktion der Internen Revision mindestens mit Folgendem betraut ist:

• (a) die Angemessenheit des internen Kontrollrahmens, einschließlich der Angemessenheit der Richtlinien und Verfahren und der Einhaltung gesetzlicher und behördlicher Anforderungen;
• (b) die Entwicklung eines Prüfungsplans mindestens einmal jährlich auf der Grundlage der jährlichen Kontrollziele der Internen Revision, der vom Leitungsorgan zu genehmigen ist;
• (c) Vorlage von Empfehlungen gestützt auf die Ergebnisse ihrer Tätigkeit. Leitlinien für die Erteilung der Zulassung von Kreditinstituten

Sie sollten auch überprüfen, ob die Gliederung der Methodik und des internen Revisionsplans für die ersten drei Tätigkeitsjahre, einschließlich der Prüfung externer Dienstleistungen, mit der Organisationsstruktur, den Tätigkeitsarten und dem Risikoprofil übereinstimmen, die sich aus dem gemäß Abschnitt 7 bewerteten Geschäftsplan ergeben.

9.4.7 Richtlinie und Plan für operative Belastbarkeit und Aufrechterhaltung des Geschäftsbetriebs

Der Entwurf der Richtlinie und des Plans für die Aufrechterhaltung des Geschäftsbetriebs sollte sicherstellen, dass der Antragsteller über einen soliden Managementplan für die Aufrechterhaltung des Geschäftsbetriebs verfügt, um seine Fähigkeit zu gewährleisten, fortlaufend zu arbeiten und Verluste im Falle einer schwerwiegenden Betriebsunterbrechung zu begrenzen. Sie sollte sicherstellen, dass die Richtlinie und der Plan für die Aufrechterhaltung des Geschäftsbetriebs eine Analyse der wichtigsten Risiken für eine Betriebsunterbrechung und einen Überblick über die Minderungsmaßnahmen enthalten und regelmäßige Tests des Betriebskontinuitätsplans sicherstellen.

9.4.8 IKT-Richtlinie und -Systeme

Die zuständigen Behörden sollten beurteilen, ob die IKT-Richtlinie dem Kreditinstitut zuverlässige Informations- und Kommunikationssysteme bereitstellt und ob die IKT-Systeme in der Lage sein werden, die Fähigkeiten zur Aggregation von Risikodaten sowohl in normalen als auch in Stresszeiten vollständig zu unterstützen. Insbesondere sollten die zuständigen Behörden beurteilen, ob das Kreditinstitut mindestens in der Lage sein wird:

• (a) genaue und zuverlässige Risikodaten zu erstellen;
• (b) alle wesentlichen Risikodaten im gesamten Institut zu erfassen und zu sammeln;
• (c) zusammengefasste und aktuelle Risikodaten zeitnah zu erstellen;
• (d) zusammengefasste Risikodaten zur Erfüllung einer Vielzahl von Anfragen vom Leitungsorgan oder den zuständigen Behörden zu erstellen;
• (e) eine solide, zuverlässige und sichere Arbeitsweise von Informations- und Kommunikationssystemen sicherzustellen, die die gezielten Tätigkeiten der Institute unterstützen. Leitlinien für die Erteilung der Zulassung von Kreditinstituten

In Bezug auf IKT- und Sicherheitsrisiken⁵⁵ sollten die zuständigen Behörden davon überzeugt sein, dass der Verwaltungsrahmen eine solide, zuverlässige und sichere Arbeitsweise von Informations- und Kommunikationssystemen, die die Tätigkeiten der Kreditinstitute unterstützen, sowie eine angemessene Vorbeugung, Überwachung und Eindämmung von IKT-Risiken zu normalen Zeiten und in stressigen Zeiten, gewährleistet. Die zuständigen Behörden sollten insbesondere das Folgende bewerten:

• (a) ob das Leitungsorgan die Gesamtverantwortung für die Festlegung, Genehmigung und Überwachung der Umsetzung der IKT-Strategie der Finanzinstitute trägt, die auf die Gesamtgeschäftsstrategie der Finanzinstitute abgestimmt sein sollte;
• (b) die klare Definition und Zuweisung von Schlüsselrollen und -zuständigkeiten sowie maßgeblicher Berichtswege für die Wirksamkeit des IKT- und Sicherheitsrisikomanagementsystems, einschließlich der Zuweisung eines angemessenen Budgets zur entsprechenden Unterstützung des IKT-Betriebsbedarfs und des IKT- und Sicherheitsrisikomanagements;
• (c) ob das Management und die Überwachung von IKT- und Sicherheitsrisiken einer unabhängigen und objektiven Kontrollfunktion anvertraut werden, die angemessen von den IKT-Betriebsprozessen getrennt und nicht für eine interne Prüfung verantwortlich ist, und einer unabhängigen internen Revisionsfunktion;
• (d) die Vorkehrungen, um die Ermittlung, Einrichtung und Pflege einer aktualisierten Zuordnung von geschäftlichen Funktionen, Aufgaben, Geschäfts- und Unterstützungsprozesse sicherzustellen, um die Bedeutung ihrer gegenseitigen Abhängigkeiten im Zusammenhang mit IKT- und Sicherheitsrisiken zu ermitteln;
• (e) sofern die Informationen in IKT-Systemen gespeichert sind, ob die Anforderungen an die Informationssicherheit vorhanden sein werden;
• (f) Umfang, Komplexität und Bedeutung von IKT-bezogenen Abhängigkeiten, wenn die Auslagerung operativer Funktionen von IKT-Diensten und jeglicher Tätigkeit von IKT-Systemen – auch an Konzernunternehmen – oder der Einsatz Dritter in Bezug auf diese Funktionen und Tätigkeiten vorgesehen ist. Leitlinien für die Erteilung der Zulassung von Kreditinstituten

⁵⁵ Wie in den EBA- Leitlinien für das Management von IKT- und Sicherheitsrisiken definiert, bedeutet „IKT und Sicherheitsrisiko“: „Verlustrisiko aufgrund einer Verletzung der Vertraulichkeit, Verlust der Integrität von Systemen und Daten, einer unzureichenden oder fehlenden Verfügbarkeit von Systemen und Daten, einer mangelnden Fähigkeit, die Informationstechnologie (IT) in einem angemessenen Zeit- und Kostenrahmen zu ändern, wenn sich die Umgebungs- oder Geschäftsanforderungen ändern (d. h. Agilität). Dies umfasst Sicherheitsrisiken, die aus unzulänglichen oder fehlgeschlagenen internen Prozessen oder externen Ereignissen resultieren, einschließlich Cyber-Attacken oder unzureichender physischer Sicherheit.“