AT 9 Auslagerung

Eine Auslagerung liegt vor, wenn ein anderes Unternehmen mit der Wahrnehmung von Aktivitäten und Prozessen im Zusammenhang mit der Durchführung von Bankgeschäften, Finanzdienstleistungen oder sonstigen institutstypischen Dienstleistungen beauftragt wird, die ansonsten vom Institut selbst erbracht würden. Zivilrechtliche Gestaltungen und Vereinbarungen können dabei das Vorliegen einer Auslagerung nicht von vornherein ausschließen.

Erläuterung

Sonstiger Fremdbezug von Leistungen
Nicht als Auslagerung zu qualifizieren ist der sonstige Fremdbezug von Leistungen. Hierzu zählt zunächst der einmalige oder gelegentliche Fremdbezug von Gütern und Dienstleistungen. Ebenso erfasst werden Leistungen, die typischerweise von einem beaufsichtigten Unternehmen bezogen werden und aufgrund tatsächlicher Gegebenheiten oder rechtlicher Vorgaben regelmäßig weder zum Zeitpunkt des Fremdbezugs noch in der Zukunft vom Institut selbst erbracht werden können. Dessen ungeachtet muss das Institut auch beim sonstigen Fremdbezug von Leistungen darauf achten, dass die Ordnungsmäßigkeit der Geschäftsorganisation gemäß § 25a Abs. 1 KWG nicht beeinträchtigt wird.

DORA (Verordnung (EU) 2022/2554)
Ausgelagerte oder fremdbezogene IKT-Dienstleistungen gemäß Art. 3 Nr. 21 DORA, die dem IKT-Drittparteienrisikomanagement gemäß Art. 28-30 DORA unterliegen, fallen nicht in den Anwendungsbereich des AT 9.

Pflichten im Hinblick auf Geldwäscheprävention
Das Geldwäschegesetz (GwG) und die Verordnung (EU) 2024/1624 vom 31. Mai 2024 (AMLR) sind anzuwenden.

Das Institut muss anhand einer Risikoanalyse bewerten, welche Risiken mit einer Auslagerung verbunden sind. Ausgehend davon ist festzulegen, welche Auslagerungen von Aktivitäten und Prozessen unter Risikogesichtspunkten wesentlich sind (wesentliche Auslagerungen). Diese Risikoanalyse ist regelmäßig, bei kleinen Instituten alle drei Jahre, zu überprüfen und bei wesentlichen Änderungen der Risikosituation anzupassen. Die maßgeblichen Organisationseinheiten sind bei der Erstellung der Risikoanalyse einzubeziehen.

Die Ergebnisse der Risikoanalyse sind bei der Auslagerungs- und Risikosteuerung zu beachten

Erläuterung

Risikoanalyse
Bei der Risikoanalyse sind alle im Zusammenhang mit der Auslagerung für das Institut relevanten Aspekte zu berücksichtigen. Die Intensität der Analyse hängt hierbei von Art, Umfang, Komplexität und Risikogehalt der ausgelagerten Aktivitäten und Prozesse ab. Bei Auslagerungen von erheblicher Tragweite, wie z. B. der vollständigen oder teilweisen Auslagerung der besonderen Funktionen Risikocontrolling-Funktion, Compliance-Funktion und Interne Revision oder von Kernbankbereichen, ist entsprechend intensiv zu prüfen, ob und wie eine Einbeziehung der ausgelagerten Aktivitäten und Prozesse in das Risikomanagement sichergestellt werden kann.
Die Risikoanalyse ist durch eine Szenarioanalyse zu ergänzen, soweit dies sinnvoll und verhältnismäßig ist.
Für die Szenarioanalyse sind – sofern verfügbar – interne und externe Verlustdaten zu verwenden. Kleine Institute können qualitative Ansätze für die Risikoanalyse heranziehen.

Grundsätzlich dürfen Aktivitäten und Prozesse ausgelagert werden, solange dadurch die Ordnungsmäßigkeit der Geschäftsorganisation gemäß § 25a Abs. 1 KWG nicht beeinträchtigt wird (z.B. keine Empty Shell). Die Auslagerung führt nicht zu einer Delegation der Verantwortung der Geschäftsleitung an das Auslagerungsunternehmen. Die Leitungsaufgaben der Geschäftsleitung dürfen nicht ausgelagert werden. Die Interne Revision des Instituts kann im Fall von Auslagerungen auf eigene Prüfungshandlungen verzichten, sofern anderweitig eine Revisionstätigkeit durchgeführt wird, die den aufsichtlichen Anforderungen genügt, und die relevanten Prüfungsergebnisse weitergegeben werden. Die Interne Revision des auslagernden Instituts muss sich regelmäßig von der Einhaltung dieser Voraussetzungen überzeugen. Besondere Maßstäbe für Auslagerungsmaßnahmen ergeben sich bei der vollständigen oder teilweisen Auslagerung der besonderen Funktionen Risikocontrolling-Funktion, Compliance-Funktion und Interne Revision. Spezialgesetzliche Regelungen sind zu beachten.

Erläuterung

Befugnis der Leistungserbringung des Auslagerungsunternehmens
Das Institut darf Aktivitäten und Prozesse nur an ein Auslagerungsunternehmen auslagern, das nach dem Recht seines Sitzlandes zur Ausübung der ausgelagerten Aktivitäten und Prozesse befugt ist.

Anderweitige Durchführung der Revisionstätigkeit
Die Revisionstätigkeit kann übernommen werden durch:

• die Interne Revision des Auslagerungsunternehmens,
• die Interne Revision eines oder mehrerer der auslagernden Institute im Auftrag der auslagernden Institute,
• einen vom Auslagerungsunternehmen beauftragten Dritten oder
• einen von den auslagernden Instituten beauftragten Dritten.

Im Rahmen ihrer Revisionshandlungen kann die Interne Revision auch auf Nachweise/Zertifikate auf Basis gängiger Standards zurückgreifen. Hierbei sind sowohl die Detailtiefe, Aktualität und Eignung der Nachweise/Zertifikate und der zugehörigen Prüfberichte als auch die Eignung des Zertifizierers oder Prüfers zu berücksichtigen. Allerdings darf sich ein beaufsichtigtes Unternehmen bei wesentlichen Auslagerungen bei der Ausübung seiner Revisionstätigkeit nicht allein hierauf stützen.

Das Institut muss bei wesentlichen Auslagerungen Vorkehrungen treffen, um die Kontinuität und Qualität der ausgelagerten Aktivitäten und Prozesse auch nach Beendigung der Auslagerungsvereinbarung zu gewährleisten. Für Fälle unbeabsichtigter oder unerwarteter Beendigung dieser Auslagerungen, die mit einer erheblichen Beeinträchtigung der Geschäftstätigkeit verbunden sein können, muss das Institut etwaige Handlungsoptionen auf ihre Durchführbarkeit prüfen und verabschieden. Dies beinhaltet auch, soweit sinnvoll und möglich, die Festlegung entsprechender Ausstiegsstrategien. Die Handlungsoptionen sind regelmäßig und anlassbezogen zu überprüfen.

Erläuterung

Handlungsoptionen
Existieren keine Handlungsoptionen, ist zumindest eine angemessene Berücksichtigung in der Notfallplanung erforderlich.

Bei wesentlichen Auslagerungen ist im in Textform dokumentierten Auslagerungsvertrag insbesondere Folgendes gemäß § 25b Abs. 3 S. 3 KWG zu vereinbaren:

• a) Spezifizierung und ggf. Abgrenzung der vom Auslagerungsunternehmen zu erbringenden Leistung,
• b) Datum des Beginns und ggf. des Endes der Auslagerungsvereinbarung,
• c) sofern von deutschem Recht abweichend, das geltende Recht für die Auslagerungsvereinbarung,
• d) Standorte (d.h. Regionen oder Länder), in denen die Durchführung der Dienstleistung erfolgt und / oder maßgebliche Daten gespeichert und verarbeitet werden, sowie die Regelung, dass das Institut benachrichtigt wird, wenn das Auslagerungsunternehmen den Standort wechselt,
• e) vereinbarte Dienstleistungsgüte mit eindeutig festgelegten Leistungszielen,
• f) soweit zutreffend, dass das Auslagerungsunternehmen für bestimmte Risiken einen Versicherungsnachweis vorlegen muss,
• g) Anforderungen für die Umsetzung und Überprüfung von Notfallkonzepten,
• h) Festlegung angemessener Informations- und Prüfungsrechte der Internen Revision sowie externer Prüfer,
• i) Sicherstellung der uneingeschränkten Informations- und Prüfungsrechte sowie der Kontrollmöglichkeiten der gemäß § 25b Abs. 3 KWG zuständigen Behörden bezüglich der ausgelagerten Aktivitäten und Prozesse,
• j) soweit erforderlich Weisungsrechte,
• k) Regelungen, die sicherstellen, dass datenschutzrechtliche Bestimmungen und sonstige Sicherheitsanforderungen beachtet werden,
• l) Kündigungsrechte und angemessene Kündigungsfristen,
• m) Regelungen über die Möglichkeit und über die Modalitäten einer Weiterverlagerung, die sicherstellen, dass das Institut die bankaufsichtsrechtlichen Anforderungen weiterhin einhält,
• n) Verpflichtung des Auslagerungsunternehmens, das Institut über Entwicklungen zu informieren, die die ordnungsgemäße Erledigung der ausgelagerten Aktivitäten und Prozesse beeinträchtigen können.

Erläuterung

Weisungsrechte des Instituts/Prüfungen der Internen Revision
Weisungsrechte zugunsten des Instituts müssen nicht explizit vereinbart werden, wenn die vom Auslagerungsunternehmen zu erbringende Leistung hinreichend klar im Auslagerungsvertrag spezifiziert ist. Ferner kann die Interne Revision des auslagernden Instituts unter den Voraussetzungen von Tz. 4 auf eigene Prüfungshandlungen verzichten. Diese Erleichterungen können auch bei Auslagerungen auf so genannte Mehrmandantendienstleister in Anspruch genommen werden.

Informations- und Prüfungsrechte
Informations- und Prüfungsrechte gemäß Tz. 7 g) und h) umfassen auch die für den Zutritt, Zugang oder Zugriff erforderlichen Rechte.

Eskalation bei Schlechtleistung
Bereits bei der Vertragsanbahnung muss das Institut intern festlegen, welchen Grad einer Schlechtleistung es akzeptieren möchte.

Kündigungsrechte
Die Auslagerungsvereinbarung sollte Regelungen enthalten, die das Auslagerungsunternehmen verpflichten, das Institut nach Kündigung bei der Übertragung der ausgelagerten Aktivität bzw. des ausgelagerten Prozesses an ein anderes Auslagerungsunternehmen oder bei der Reintegration in das Institut zu unterstützen.

Sonstige Sicherheitsanforderungen
Regelungen zu sonstigen Sicherheitsanforderungen sollten für alle, also auch nicht wesentliche Auslagerungen, vertraglich vereinbart werden.

Zu den sonstigen Sicherheitsanforderungen zählen vor allem Zugangsbestimmungen zu Räumen und Gebäuden (z. B. bei Rechenzentren) sowie Zugriffsberechtigungen auf Softwarelösungen zum Schutz wesentlicher Daten und Informationen. Die Einhaltung dieser Anforderungen ist fortlaufend zu überwachen.

Institute sollten einen risikobasierten Ansatz betreffend den Standort der Datenspeicherung und Datenverarbeitung sowie hinsichtlich der Informationssicherheit wählen. Es ist sicherzustellen, dass auf die sich im Eigentum des Instituts befindlichen Daten im Fall einer Insolvenz, Abwicklung oder der Einstellung der Geschäftstätigkeit des Auslagerungsunternehmens zugegriffen werden kann.

Soweit besondere Funktionen nach Maßgabe von Tz. 5 vollständig ausgelagert werden, muss die Geschäftsleitung jeweils einen unabhängigen und sachkundigen Beauftragten benennen, der eine ordnungsgemäße Durchführung der jeweiligen Aufgaben gewährleisten muss. Die Anforderungen des AT 4.4.3 (Interne Revision) sind entsprechend zu beachten.

Die Aufgaben des Revisionsbeauftragten eines sehr kleinen Instituts können von einem Geschäftsleiter wahrgenommen werden, wenn die Benennung eines Revisionsbeauftragten unterhalb der Geschäftsleitung unverhältnismäßig ist.

Erläuterung

Besondere Aufgaben des Revisionsbeauftragten
Der Revisionsbeauftragte muss den Prüfungsplan gemeinsam mit dem beauftragten Dritten erstellen. Er muss, gegebenenfalls gemeinsam mit dem beauftragten Dritten, zudem den Gesamtbericht nach AT 4.4.3 Tz. 11 verfassen und nach Maßgabe von AT 4.4.3 Tz. 13 prüfen, ob die festgestellten Mängel beseitigt wurden. Der Revisionsbeauftragte ist der Geschäftsleitung unmittelbar zu unterstellen.

Die Anforderungen an die Auslagerung von Aktivitäten und Prozessen sind auch bei der Weiterverlagerung ausgelagerter Aktivitäten und Prozesse zu beachten.

Erläuterung

Risikoanalyse gemäß Tz. 2
Die erweiterten Anforderungen für wesentliche Auslagerungen finden nur für Weiterverlagerungen Anwendung, die unter Risikogesichtspunkten wesentlich sind.

Zudem muss das Risiko berücksichtigt werden, dass die Fähigkeit der Institute zur Überwachung der ausgelagerten Aktivitäten und Prozesse durch lange und komplexe Auslagerungsketten eingeschränkt sein kann.

Das Institut muss abhängig von der Art, dem Umfang und der Komplexität der Auslagerungsaktivitäten ein zentrales Auslagerungsmanagement einrichten. Zu den Aufgaben zählen insbesondere:

• a) Implementierung und Weiterentwicklung eines angemessenen Auslagerungsmanagements und entsprechender Kontroll- und Überwachungsprozesse,
• b) Erstellung und Pflege einer vollständigen Dokumentation der Auslagerungen (einschließlich Weiterverlagerungen) gemäß § 25b Abs. 1 Satz 4 KWG (Auslagerungsregister),
• c) Unterstützung der Fachbereiche bezüglich der institutsinternen und gesetzlichen Anforderungen bei Auslagerungen,
• d) Koordination und Überprüfung der durch die zuständigen Bereiche durchgeführten Risikoanalyse gemäß Tz. 2.

Für Gruppen im Sinne von AT 2.1 Tz. 3 oder Finanzverbünde ergeben sich die folgenden Erleichterungen:

• a) Bei gruppen- und verbundinternen Auslagerungen können im Rahmen der Risikoanalyse gemäß Tz. 2 wirksame Vorkehrungen auf Gruppen- bzw. Verbundebene, insbesondere ein einheitliches und umfassendes Risikomanagement sowie Durchgriffsrechte, bei der Erstellung und Anpassung der Risikoanalyse risikomindernd berücksichtigt werden.
• b) Für Auslagerungen mehrerer Institute einer Gruppe bzw. eines Verbundes an ein bzw. mehrere gemeinsame Auslagerungsunternehmen, besteht die Möglichkeit, ein zentrales Auslagerungsmanagement auf Gruppen- bzw. Verbundebene einzurichten, sofern das zentrale Auslagerungsmanagement den Anforderungen des Moduls AT 9 genügt.
• c) Bei der Risikoberichterstattung von Auslagerungsunternehmen, die innerhalb einer Gruppe / eines Verbundes genutzt werden, besteht die Möglichkeit einer zentralen Vorauswertung, welche den auslagernden Instituten die weitere Verwendung erleichtert.
• d) Bei gruppen- und verbundinternen Auslagerungen kann auf die Erstellung von Ausstiegsstrategien und Handlungsoptionen verzichtet werden.
• e) Wird gruppen- oder verbundintern ein zentrales Auslagerungsregister eingerichtet und geführt, so muss sichergestellt sein, dass das einzelne Institut und die zuständige Behörde das individuelle Auslagerungsregister bei Bedarf ohne größere Verzögerung erhalten.

Erläuterung

Gemeinsame Notfallkonzepte (gemäß AT 7.3)
Wenn sich die Institute innerhalb einer Institutsgruppe oder eines Finanzverbundes auf ein gemeinsames Notfallkonzept für eine wesentliche Auslagerung geeinigt haben, müssen die Institute den für sie relevanten Teil des Notfallkonzeptes erhalten.