Die Europäische Bankenaufsichtsbehörde (EBA) hat 2019 Leitlinien zu Auslagerungssachverhalten veröffentlicht - die "EBA Guidelines on outsourcing arrangements" (EBA/GL/2019/02).

Die von der europäischen Bankenaufsichtsbehörde (EBA) erstellten Leitlinien zum Umgang mit Outsourcing und den entsprechenden vertraglichen Vereinbarungen („Leitlinien zu Auslagerungen“ (EBA/GL/2019/02)) sind 2019 in Kraft getreten.

Diese sind nun wesentlich umfassender als die vorhergehenden Leitlinien und beziehen nun auch Zahlungs- und E-Geld Institutionen ein. Betroffene Finanzinstitutionen sind dazu angehalten, die Vorschriften bis Ende 2021 umzusetzen.

Die Leitlinien beinhalten u.a. detaillierte Anforderungen, die sicherstellen sollen, dass Institutionen welche bestimmte Tätigkeiten auslagern, über eine angemessene Steuerung und Kontrolle dieser Aktivitäten verfügen.

Wesentlicher Teil dieses Risikomanagement Prozesses ist ein umfangreiches Register, das Informationen zu allen unternehmerischen Auslagerungen enthält. Die entsprechende Dokumentation muss zwischen unternehmenskritischen bzw. wichtigen Auslagerungsfunktionen und anderen Outsourcingsschemata unterscheiden.

Die Vertragsdatenbank ENFORMITY im Detail:

ENFORMITY ermöglicht die zentrale Abbildung aller bestehenden Intra-/Intercompanyverträge, Service Level Agreements sowie Auslagerungsvereinbarungen, ggf. innerhalb einer Gruppe oder eines institutsbezogenen Sicherungssystems:

• Abbildung und laufende Pflege von Vertragswerken über deren Gesamtlaufzeit, und bei Bedarf über das Ende der Vertragslaufzeit hinaus.
• Einsehbarkeit von Änderungen (Amendments, Replacements) sowie Darstellung von Vertragshierarchien.
• Verspeicherung der historischen Einträge gem. der regulatorischen Dokumentationsanforderungen
• Anlage der Vertragsparteien mit allen erforderlichen Merkmalen (sowie bei Bedarf und im Rahmen der DSGVO auch die Ansprechpersonen)
• Automatische Aktualisierung der Stammdaten der Vertragsparteien
• Mandantenfähigkeit, dh, zentrale Führung des Registers für mehrere Institute innerhalb einer Gruppe
• Konfigurierbarkeit aller erforderlichen Datenfelder und Zuweisung zu nicht-kritischen und kritischen Bankprozessen gem. EBA/FMA Guidelines
• Filterbarkeit und Exportierbarkeit der Daten auf Aufforderung der zuständigen Behörde
• Unterstützung bei der Auslagerungsanalyse, Hinterlegung der Due Diligence Prüfung

Für das Outsourcing Register wurden darüberhinaus 30 spezifische Informationspunkte definiert, darunter:

• Anfangsdatum, nächstes Datum zur Vertragsverlängerung, Ablaufdatum und/oder Kündigungsfristen
• Eine Beschreibung der ausgelagerten Leistung mit Kategoriezuweisung
• Eine Beschreibung dazu, welche Daten ausgelagert werden, ob personenbezogene Daten übertragen wurden oder nicht und ob diese an einen Dienstleister ausgelagert werden (DSGVO)
• Land oder Länder, in dem/denen die Leistung erbracht wird, mit Angabe der geltenden Gesetze
• Angabe, ob die ausgelagerte Funktion als unternehmenskritisch oder wichtig betrachtet wird
• Das Datum der letzten Bewertung der Kritikalität oder Wichtigkeit der ausgelagerten Funktion
• Bei einer Auslagerung an einen Cloud-Dienstleister: Angabe des Clouddienstes und der Implementierungsmodelle sowie der Orte, an denen die Daten gespeichert werden
• Ein Ergebnis der Bewertung der Ersetzbarkeit des Dienstleisters sowie ob die betreffende Finanzinstitution die Aufgaben selbst ausüben kann oder nicht