Auslagerung von Geschäftsprozessen in Finanzinstituten – lohnt sich das noch?

Für Finanzinstitute sind Auslagerungen (Outsourcing) ein Thema, das immer stärker im Fokus der Bankenaufsicht steht. Für Finanzdienstleistungsinstitute bestehen seit jeher aufgrund des Kreditwesengesetzes §25b KWG besondere Anforderungen, welche bei der Auslagerung von Prozessen und Aktivitäten zu beachten sind. Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hat in den Mindestanforderungen an das Risikomanagement (MaRisk) konkretisiert, was Finanzinstitute beachten müssen, wenn sie andere Unternehmen mit der Ausführung von Bank-Prozessen oder -Aktivitäten beauftragen.

Allerdings ist das Thema Auslagerung in den letzten rund 5 Jahren immer stärker in den Fokus der Aufsicht gerückt und die Anforderungen an die Steuerung und Überwachung von Dienstleistern durch die Finanzinstitute sind stetig gewachsen. Diplom-Ingenieur Manfred Stäbler nimmt für Sie in diesem Beitrag die genauen Vorgaben zu Auslagerungen unter die Lupe und erklärt, welche Gründe durchaus für Auslagerungen sprechen und welche vorbereitenden Gedanken sich Finanzinstitute stellen sollten.

Insbesondere die stark wachsende Nutzung der Cloud-Technologie durch Finanzinstitute sieht die Aufsicht anscheinend nicht so gern, weshalb der Blick auf die Cloud-Auslagerungen geschärft wurde und die Entwicklung hier offensichtlich kritisch beobachtet wird. Schließlich bergen sich auch zusätzliche Risiken bei Cloud-Technologien bzw. Cloud-Dienstleistern, da sich die Datenspeicherung in der Regel redundant über verschiedene Standorte des Dienstleisters und dabei auch über verschiedene Länder erstrecken kann. Hier ist genau darauf zu achten, in welchen Ländern Daten gespeichert werden und welches Datenschutzniveau gegeben ist.

Vorgaben zu Auslagerungen im Finanzdienstleistungsumfeld finden sich gleich in mehreren Gesetzen und Richtlinien:

1. MaRisk

Die MaRisk (Mindestanforderungen an das Risikomanagement) konkretisieren in AT9 die grundsätzlichen Vorgaben für Auslagerungen aus dem KWG, welches für die Kreditinstitute die wesentliche Grundlage ist.

2. BAIT

Die BAIT (Bankaufsichtliche Anforderungen an die IT), welche 2016 erstmals veröffentlicht wurden, enthalten ebenfalls Aussagen dazu, was die Aufsicht bei IT-Auslagerungen und dem Bezug von IT-Dienstleistungen von den Instituten erwartet.

3. EBA

2019 kamen mit der Veröffentlichung der EBA-Leitlinie zu Auslagerungen, EBA/2/2019, weitere Anforderungen hinzu, die über die der MaRisk hinaus gingen.

Mit der letzten Novellierung der MaRisk 2021 wurden im AT9 die Anforderungen erweitert, so dass sich diese nahezu zu 100 % mit denen der EBA-Leitlinie decken. Dies ist grundsätzlich zu begrüßen. Jedoch müssen nun auch kleine, nicht EZB-beaufsichtigte Institute, einen größeren Verwaltungsaufwand bei Auslagerungen in Kauf nehmen, was das Ganze nicht günstiger macht.

4. FISG

Noch eine Schippe drauf setzte dann das FISG Finanzmarktintegritätsstärkungsgesetz (auch Wirecard Gesetz genannt). Auch dieses enthält Anforderungen an Auslagerungen, welche die umfassenden Vorgaben der EBA-Leitlinie noch ein klein wenig erweitern – zum Beispiel die Benennung eines inländischen Zustellungsbevollmächtigten bei Dienstleistern mit Sitz im Ausland und die Befugnisse der BaFin gegenüber den Auslagerungsunternehmen, im Einzelfall Anordnungen zu treffen.

Dies alles macht es für Finanzinstitute immer aufwändiger, Dienstleister in deren Wertschöpfungskette effizient einzubinden.

Aufgrund dieser umfassenden Regulierungen und Vorgaben stieg der Planungs-, Umsetzungs- und laufende Steuerungsaufwand für Finanzinstitute stetig. Ein umfassendes und regelmäßiges Berichtswesen wird sowieso erwartet.

Zwischenzeitlich dürfte ein Punkt erreicht sein, bei dem sich die Finanzinstitute überlegen müssen, ob es sich unter der Zielsetzung der Kosteneinsparung überhaupt noch lohnt, Prozesse und Aktivitäten auszulagern. Schließlich muss das Institut eine Auslagerungsmanagement-Organisation etablieren und die Dienstleister laufend überwachen und steuern, Risiken im Blick halten und geeignete Maßnahmen zur Risikominimierung aufsetzen.

Zwangsläufig müssen sich die Institute im Rahmen einer geplanten Auslagerung die Frage stellen, welcher Verwaltungsaufwand noch vertretbar ist, so dass sich eine Auslagerung noch wirtschaftlich darstellen lässt. Schließlich ist auf die Kosten, die ein Dienstleister für eine Leistung verrechnet, noch die Mehrwertsteuer hinzu zu rechnen und on top der interne Steuerungsaufwand einzukalkulieren. Dabei kann ein Business Case schnell ins Minus rutschen.

Fragen, die sich mir dabei stellen sind beispielsweise:

Wer also nur aus Kostengründen auslagern möchte ist meines Erachtens gut beraten, zuerst die eigene Organisationsstruktur und die Prozesse zu überprüfen und Ineffizienzen zu beseitigen. Oft lassen sich dadurch bereits die erwünschten Kosteneinspareffekte erzielen.

Außer der reinen Kosteneinsparung muss es also noch andere Beweggründe geben, wenn unter Berücksichtigung der Steuernachteile und internen Aufwände, Leistungen an Dritte vergeben werden. Dies kann zum Beispiel der Aufbau neuer Geschäftszweige sein, für den keine eigene Expertise vorhanden ist und deren Aufbau mit hohen initialen Kosten verbunden ist. Oder um einen „Time to Market“-Vorteil auszunutzen, in dem man einen Dienstleister einbezieht, der aufgrund seiner Spezialisierung kurzfristig in der Lage ist, hohe Stückzahlen zu bewältigen, um zu einer breiteren Marktpräsenz zu gelangen. Auch beim Einsatz neuer Technologien sind die Institute meist gut beraten, Kernkompetenzen bei spezialisierten Dienstleistern einzukaufen.

Zur Reduzierung und Bündelung des Verwaltungs- und Steuerungsaufwandes können auch ganz neue Konzepte dienen, wie es zum Beispiel die Genossenschaften mit der Gründung der ZAM eG gemacht haben. Sie bündeln diese Aufgaben und führen sie zentral für die Genossenschaftsbanken aus. Dies ist sicherlich ein guter Ansatz, wenn viele Finanzinstitute dieselben Dienstleister nutzen. Dann wird der Dienstleister im Rahmen der Auslagerungssteuerung nur einmal geprüft und alle Auftraggeber können auf die Reports und KPIs zurückgreifen und müssen nicht selbst jeweils den Prüf- und Steuerungsaufwand leisten. Auch für die Mehrmandantendienstleister ist dies ein großer Vorteil.

Als Fazit kann festgehalten werden: Prüfen Sie genau, bevor Sie auslagern, welchen Nutzen Sie damit erzielen möchten. Wollen Sie neue Techniken nutzen, deren Aufbau zeit- und kostenintensiv sind? Geht es um die Erschließung eines weiteren Marktsegmentes unter Nutzung eines hierbei erfahrenen Dienstleisters oder nur darum, Kosten einzusparen? Prüfen Sie dann zuerst mal die eigenen Strukturen und Prozesse, optimieren Sie diese und rechnen Sie einen Business Case. Idealerweise reduzieren Sie Ihren Steuerungsaufwand durch Bündelung des Auslagerungsmanagements im Konzern oder in Verbänden.