Die European Banking Authority (EBA) veröffentlichte am 25. Februar 2019 die neuen Leitlinien für Auslagerungen, kurz EBA-Leitlinien. Die aufsichtsrechtliche Behandlung von Auslagerungen umfasst insbesondere Vorgaben für den Governance-Rahmen, die Voranalyse und den Auslagerungsvertrag, Unterauslagerungen sowie Informationspflichten gegenüber der Bankenaufsicht.
Bisher gab es europaweit nur weit weniger detaillierte aufsichtsrechtliche Vorgaben für Auslagerungen institutstypischer Leistungen: Die Vorgängerleitlinien aus dem Jahr 2006 enthielten nur einige Grundprinzipien, die für die deutsche Kreditwirtschaft vor allem im Allgemeinen Teil 9 (AT 9) der Mindestanforderungen an das Risikomanagement (MaRisk) angewendet werden.
Die neuen EBA-Leitlinien nutzen die bestehenden Regeln als Grundlage, die jedoch deutlich erweitert und durch sehr detaillierte, teils neue oder verschärfte Anforderungen an Auslagerungen ergänzt wurden. Außerdem enthalten sie nun auch Vorgaben der EBA für den Bezug von Cloud-Dienstleistungen, die bereits seit dem vergangenen Jahr gelten. So viel mehr Regulierung schlägt sich auch im Umfang nieder: Die künftigen EBA-Leitlinien umfassen mehr als 30 Seiten, während AT 9 der MaRisk noch auf rund drei Seiten Platz fand.
Die zentralen Neuregelungen
Die neuen EBA-Leitlinien gelten nicht nur für Kredit- und Finanzdienstleistungsinstitute, sondern auch für Zahlungs- und E-Geld-Institute. Damit wurde auf europäischer Ebene die regulatorische Aufsicht über Auslagerungsaktivitäten erstmals auch auf Unternehmen ausgeweitet, die in Deutschland nicht dem Kreditwesengesetz sondern dem Zahlungsdiensteaufsichtsgesetz (ZAG) unterliegen.
Die MaRisk unterscheiden bislang die Kategorien wesentliche und nicht-wesentliche Auslagerungen; die EBA-Leitlinien führen nun den Begriff der Auslagerung einer „kritischen oder wichtigen Funktion“ ein. Für die Frage, welche Aktivitäten als kritisch oder wichtig anzusehen sind, gibt es klare Kriterien. In Zukunft gelten viele Vorgaben nur für die Auslagerung kritischer oder wichtiger Funktionen; ein Teil der Regeln findet auch auf sonstige Auslagerungen Anwendung.
Die Leitlinien machen deutlich, dass die aufsichtsrechtlichen Vorgaben im Grundsatz auch bei konzerninternen Auslagerungen und bei Auslagerungen innerhalb desselben Institutssicherungssystems erfüllt werden müssen. Insoweit wird sogar teilweise ein strengerer Maßstab angelegt, als dabei insbesondere mögliche Interessenkonflikte geprüft und vermieden werden müssen.
Eine Art Äquivalenzprinzip greift in Zukunft bei Auslagerungen von europäischen Unternehmen der Finanzindustrie in Drittstaaten. Insbesondere muss die Kooperation zwischen den Aufsichtsbehörden in Form eines „Memorandum of Understanding“ sichergestellt werden. Damit wird im Ergebnis bewirkt, dass europäische aufsichtsrechtliche Regeln von in Drittstaaten ansässigen Auslagerungsunternehmen zu beachten sind.
Zukünftig müssen Institute ein zentrales Auslagerungsregister führen. Die EBA-Leitlinien enthalten detaillierte Vorgaben zu den Informationen und Unterlagen, die hier aufzunehmen sind.
Neu ist auch die Verpflichtung zu einer umfänglichen Risikoanalyse und -bewertung, inklusive einer Überprüfung („Due Diligence“) des Auslagerungsunternehmens im Vorfeld einer Auslagerung. Die Due Diligence bezieht sich dabei auf die Reputation, die fachliche Qualifikation und die Wirtschafskraft des Dienstleisters sowie auf sein ethisches und soziales Verhalten.
Stärker als bisher werden die Institute verpflichtet, Unterauslagerungsunternehmen zu überwachen. So müssen Subunternehmer bereits im Rahmen der oben genannten Due Diligence von dem Auslagerungsunternehmen mit überprüft werden. Ferner muss der ursprünglich beauftrage Dienstleister das auslagernde Unternehmen vorab über geplante Unterauslagerungen informieren. In bestimmten Fällen muss ein Widerspruchs- oder Zustimmungsrecht in dem Auslagerungsvertrag festgeschrieben werden.
Wenig Zeit für aufwendige Implementierung
Am 30. September 2019 treten die neuen Leitlinien in Kraft. Verträge, die ab diesem Tag geschlossen, geändert oder überprüft werden, unterliegen von Anfang an der neuen Regelung. Institute, die ihre Auslagerungen bis zum 31. Dezember 2021 nicht entsprechend überprüft haben, müssen die zuständige Aufsichtsbehörde informieren und erklären, welche Maßnahmen sie zur weiteren Anpassung ergreifen werden. Diese Übergangsregelung wirft einige Fragen für bestehende Auslagerungsverträge auf: So stellt sich etwa die Frage, ob jede Änderung eines Auslagerungsvertrags bereits die neuen EBA-Leitlinien zur Anwendung bringen. In der Praxis werden etwa Leistungsscheine/Service Level Agreements von Auslagerungsverträgen ständig angepasst. Würde dies dazu führen, dass die neuen Regeln zur Anwendung kommen, dann müssten wohl sehr viele bestehende Auslagerungsverträge auf ihre Übereinstimmung mit den neuen EBA-Leitlinien hin überprüft werden.
Die Umsetzung der EBA-Leitlinien bedeutet einen erheblichen Aufwand, den die Unternehmen der Finanzindustrie nicht unterschätzen sollten, denn sie müssen ihre Auslagerungsprozesse, interne Richtlinien und Vertragsdokumente analysieren und dem neuen Regelwerk entsprechend abändern. In der Folge wird der Aufwand für Analyse, Kontrolle und Dokumentation bei Auslagerungen deutlich steigen.
KPMG Law
© 2022 KPMG Law Rechtsanwaltsgesellschaft mbH, assoziiert mit der KPMG AG Wirtschaftsprüfungsgesellschaft, einer Aktiengesellschaft nach deutschem Recht und ein Mitglied der globalen KPMG-Organisation unabhängiger Mitgliedsfirmen, die KPMG International Limited, einer Private English Company Limited by Guarantee, angeschlossen sind. Alle Rechte vorbehalten. Für weitere Einzelheiten über die Struktur der globalen Organisation von KPMG besuchen Sie bitte https://home.kpmg/governance.
KPMG International erbringt keine Dienstleistungen für Kunden. Keine Mitgliedsfirma ist befugt, KPMG International oder eine andere Mitgliedsfirma gegenüber Dritten zu verpflichten oder vertraglich zu binden, ebenso wie KPMG International nicht autorisiert ist, andere Mitgliedsfirmen zu verpflichten oder vertraglich zu binden.
