Mandanten-Informationen
Mandanten-Informationen

Neue Leitlinien für Auslagerungen an Dienstleister der Finanzbranche

Um ihre Effektivität zu steigern und die Kosten zu senken, lagern Unternehmen der Finanzbranche Funktionen und Aktivitäten aus. Die neuen Leitlinien der EBA stellen teilweise neue Regeln sowohl für externe als auch interne Auslagerungen auf. Für die Institute bedeutet das einen deutlich erhöhten Aufwand insbesondere für Analyse, Kontrolle und Dokumentation.

Die European Banking Authority (EBA) veröffentlichte am 25. Februar 2019 die neuen Leitlinien für Auslagerungen, kurz EBA-Leitlinien. Die aufsichtsrechtliche Behandlung von Auslagerungen umfasst insbesondere Vorgaben für den Governance-Rahmen, die Voranalyse und den Auslagerungsvertrag, Unterauslagerungen sowie Informationspflichten gegenüber der Bankenaufsicht.

Bisher gab es  europaweit nur weit weniger detaillierte aufsichtsrechtliche Vorgaben für Auslagerungen institutstypischer Leistungen: Die Vorgängerleitlinien aus dem Jahr 2006 enthielten nur einige Grundprinzipien, die für die deutsche Kreditwirtschaft vor allem im Allgemeinen Teil 9 (AT 9) der Mindestanforderungen an das Risikomanagement (MaRisk) angewendet werden.

Die neuen EBA-Leitlinien nutzen die bestehenden Regeln als Grundlage, die jedoch deutlich erweitert und durch sehr detaillierte, teils neue oder verschärfte Anforderungen an Auslagerungen ergänzt wurden. Außerdem enthalten sie nun auch Vorgaben der EBA für den Bezug von Cloud-Dienstleistungen, die bereits seit dem vergangenen Jahr gelten. So viel mehr Regulierung schlägt sich auch im Umfang nieder: Die künftigen EBA-Leitlinien umfassen mehr als 30 Seiten, während  AT 9 der MaRisk noch auf rund drei Seiten Platz fand.

 

Die zentralen Neuregelungen

  1. Anwendungsbereich erweitert

Die neuen EBA-Leitlinien gelten nicht nur für Kredit- und Finanzdienstleistungsinstitute, sondern auch für Zahlungs- und E-Geld-Institute. Damit wurde auf europäischer Ebene die regulatorische Aufsicht über Auslagerungsaktivitäten erstmals auch auf Unternehmen ausgeweitet, die in Deutschland nicht dem Kreditwesengesetz sondern dem Zahlungsdiensteaufsichtsgesetz (ZAG) unterliegen.

 

  1. Einführung neuer Begriffe

Die MaRisk unterscheiden bislang die Kategorien wesentliche und nicht-wesentliche Auslagerungen; die EBA-Leitlinien führen nun den Begriff der Auslagerung einer „kritischen oder wichtigen Funktion“ ein. Für die Frage, welche Aktivitäten als kritisch oder wichtig anzusehen sind, gibt es klare Kriterien. In Zukunft gelten viele Vorgaben nur für die Auslagerung kritischer oder wichtiger Funktionen; ein Teil der Regeln findet auch auf sonstige Auslagerungen Anwendung.

 

  1. Keine grundsätzliche Privilegierung von konzerninternen Auslagerungen; Geltungsbereich für Auslagerungen weltweit

Die Leitlinien machen deutlich, dass die aufsichtsrechtlichen Vorgaben im Grundsatz auch bei konzerninternen Auslagerungen und bei Auslagerungen innerhalb desselben Institutssicherungssystems erfüllt werden müssen. Insoweit wird sogar teilweise ein strengerer Maßstab angelegt, als dabei insbesondere mögliche Interessenkonflikte geprüft und vermieden werden müssen.

Eine Art Äquivalenzprinzip greift in Zukunft bei Auslagerungen von europäischen Unternehmen der Finanzindustrie in Drittstaaten. Insbesondere muss die Kooperation zwischen den Aufsichtsbehörden in Form eines „Memorandum of Understanding“ sichergestellt werden. Damit wird im Ergebnis bewirkt, dass europäische aufsichtsrechtliche Regeln von in Drittstaaten ansässigen Auslagerungsunternehmen zu beachten sind.

 

  1. Dokumentationspflichten erweitert

Zukünftig müssen Institute ein zentrales Auslagerungsregister führen. Die EBA-Leitlinien enthalten detaillierte Vorgaben zu den Informationen und Unterlagen, die hier aufzunehmen sind.

Neu ist auch die Verpflichtung zu einer umfänglichen Risikoanalyse und -bewertung, inklusive einer Überprüfung („Due Diligence“) des Auslagerungsunternehmens im Vorfeld einer Auslagerung. Die Due Diligence bezieht sich dabei auf die Reputation, die fachliche Qualifikation und die Wirtschafskraft des Dienstleisters sowie auf sein ethisches und soziales Verhalten.

 

  1. Unterauslagerungen strenger geregelt

Stärker als bisher werden die Institute verpflichtet, Unterauslagerungsunternehmen zu überwachen. So müssen Subunternehmer bereits im Rahmen der oben genannten Due Diligence von dem Auslagerungsunternehmen mit überprüft werden. Ferner muss der ursprünglich beauftrage Dienstleister das auslagernde Unternehmen vorab über geplante Unterauslagerungen informieren. In bestimmten Fällen muss ein Widerspruchs- oder Zustimmungsrecht in dem Auslagerungsvertrag festgeschrieben werden.

 

Wenig Zeit für aufwendige Implementierung

 Am 30. September 2019 treten die neuen Leitlinien in Kraft. Verträge, die ab diesem Tag geschlossen, geändert oder überprüft werden, unterliegen von Anfang an der neuen Regelung. Institute, die ihre Auslagerungen bis zum 31. Dezember 2021 nicht entsprechend überprüft haben, müssen die zuständige Aufsichtsbehörde informieren und erklären, welche Maßnahmen sie zur weiteren Anpassung ergreifen werden. Diese Übergangsregelung wirft einige Fragen für bestehende Auslagerungsverträge auf: So stellt sich etwa die Frage, ob jede Änderung eines Auslagerungsvertrags bereits die neuen EBA-Leitlinien zur Anwendung bringen. In der Praxis werden etwa Leistungsscheine/Service Level Agreements von Auslagerungsverträgen ständig angepasst. Würde dies dazu führen, dass die neuen Regeln zur Anwendung kommen, dann müssten wohl sehr viele bestehende Auslagerungsverträge auf ihre Übereinstimmung mit den neuen EBA-Leitlinien hin überprüft werden.

Die Umsetzung der EBA-Leitlinien bedeutet einen erheblichen Aufwand, den die Unternehmen der Finanzindustrie nicht unterschätzen sollten, denn sie müssen ihre Auslagerungsprozesse, interne Richtlinien und Vertragsdokumente analysieren und dem neuen Regelwerk entsprechend abändern. In der Folge wird der Aufwand für Analyse, Kontrolle und Dokumentation bei Auslagerungen deutlich steigen.

Ansprechpartner:

KPMG Law

Das könnte Sie auch interessieren

Bußgeld gegen Den Haager Krankenhaus in Höhe von bis zu 760.000 Euro

Die Niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens) hat ein Bußgeld in Höhe von 460.000 Euro gegen ein Krankenhaus wegen fehlenden Schutzes der Patientenakte vor unnötigen Zugriffen im...
mehr

Bußgeld wegen gravierender Datenschutzverstösse

„Die britische Datenschutzbehörde ICO (Information Commissioner’s Office) beabsichtigt, gegen die U.S. amerikanische Hotelkette Marriott International, Inc. ein empfindliches Bußgeld von mehr als 99 Mio. GBP...
mehr

Sieben KPMG-Law-Anwälte von Best Lawyers ausgezeichnet

Das in Kooperation mit dem Handelsblatt erstellte Best-Lawyers-Ranking zählt in diesem Jahr gleich sieben Anwälte von KPMG Law unter die besten Anwälte Deutschlands. Drei von...
mehr
KPMG Law Rechtsanwaltsgesellschaft mbH verwendet Cookies, die für die Funktionalität und das Nutzerverhalten auf der Website notwendig sind. Durch die Nutzung der Website stimmen Sie dem Einsatz von Cookies zu, wie sie in der Datenschutzerklärung von KPMG im Detail ausgeführt ist. Schließen