Wie Banken ihre Abhängigkeiten von technischen Dienstleistern im Griff behalten können

Viele Banken sind heute auf externe IT- und Technologiedienstleister angewiesen. Mit den verschärften regulatorischen Anforderungen durch DORA rückt das Drittparteienrisikomanagement stärker in den Fokus. Im Interview erklären Daniel Lehmkuhl, Director Kompetenzteam Risikomanagement bei der AWADO GmbH Wirtschaftsprüfungsgesellschaft und Timm Borgmann, Vorstand bei der Volksbank Baumberge, warum ein wirksames Management von Auslagerungen und Drittparteien längst ein strategischer Erfolgsfaktor ist und wie Banken die neuen Anforderungen pragmatisch, effizient und prüfungssicher umsetzen können.

Herr Lehmkuhl, das Thema Auslagerungen hat bei vielen Volksbanken und Raiffeisenbanken zuletzt deutlich an Bedeutung gewonnen. Warum?

Daniel Lehmkuhl: Das liegt an zwei Entwicklungen, die eng miteinander verknüpft sind. Zum einen erbringen Banken heute längst nicht mehr alle Leistungen selbst. Beispielsweise nutzen sie Cloud-Dienste, beziehen spezialisierte Softwarelösungen oder arbeiten mit externen IT-Partnern zusammen. Als Teil der Genossenschaftlichen FinanzGruppe haben Volksbanken und Raiffeisenbanken traditionell zahlreiche Leistungen über den Verbund bezogen. Doch die Zahl der externen Dienstleister und insbesondere auch der Subdienstleister ist auch dort in den vergangenen Jahren spürbar gestiegen. Zum anderen haben die Aufsichtsbehörden auf diese Entwicklung reagiert. Sowohl die Bundesanstalt für Finanzdienstleistungsaufsicht (Bafin) als auch die Europäische Bankenaufsicht (EBA) haben die Anforderungen an das Auslagerungsmanagement kontinuierlich erweitert. Sie erwarten ein deutlich umfassenderes und transparenteres Management von Auslagerungen und Drittparteien als zuvor.

Der Digital Operational Resilience Act (DORA), der Anfang 2025 in Kraft getreten ist, hat diese Entwicklung noch einmal verschärft, oder?

Lehmkuhl: Mit DORA hat das Thema tatsächlich eine neue Dimension erreicht. Während die Mindestanforderungen an das Risikomanagement (MaRisk) vor allem auf Auslagerungen fokussiert waren, hat DORA erstmals einen europaweit einheitlichen Rahmen für den Umgang mit IKT-Drittparteien geschaffen (IKT steht für Informations- und Kommunikationstechnologie, Anm. d. Red.). Damit verschiebt sich der Blickwinkel: Im Fokus stehen nicht mehr nur klassische Auslagerungen, sondern sämtliche kritischen IT- und Technologiedienstleister sowie die daraus resultierenden Abhängigkeiten. Gefordert wird eine durchgängige Steuerung und Überwachung relevanter IKT-Drittparteien über die gesamte Lieferkette hinweg. Für Volksbanken und Raiffeisenbanken bedeutet das, Transparenz, Governance und operative Resilienz stärker miteinander zu verzahnen und ein Drittparteienrisikomanagement als festen Bestandteil des institutsweiten Risikomanagements zu verankern.

Herr Borgmann, was bedeuten die gestiegenen Anforderungen ganz konkret für die Praxis der Volksbank Baumberge?

Timm Borgmann: Die Komplexität hat spürbar zugenommen. Während wir früher vor allem wesentliche Auslagerungen im Fokus hatten, müssen wir nun die risikoorientierte Steuerung sämtlicher relevanter IKT-Dienstleister über den gesamten Lebenszyklus hinweg betrachten. Dazu gehören umfassende Vertragsbewertungen, Risikoanalysen, die laufende Bewertung der Dienstleister und die Pflege des Informationsregisters, um nur einige Punkte zu nennen. Gleichzeitig sind die Anforderungen an Dokumentation und Nachweisführung gegenüber der Prüfung gestiegen.

Sie lassen sich beim Drittparteienrisikomanagement unterstützen. Was waren die entscheidenden Gründe?

Borgmann: Erstens hat das Auslagerungsmanagement in der Vergangenheit erhebliche personelle Ressourcen gebunden. Aufgaben wie die Erstellung und Aktualisierung von Risikoanalysen, Due-Diligence-Prüfungen, Vertragsbewertungen oder die regelmäßige Überwachung von Dienstleistern sind zeit- und arbeitsintensiv. Zweitens entwickeln sich die regulatorischen Vorgaben kontinuierlich weiter und analog dazu werden Prozesse und Tools wie ZAM AR regelmäßig weiterentwickelt. Die dafür erforderliche Spezialisierung sowie die kontinuierliche Qualifizierung der Mitarbeiterinnen und Mitarbeiter hätten intern einen erheblichen Aufwand verursacht.

Warum setzen Sie dabei auf AWADO?

Borgmann: Ausschlaggebend waren für uns vor allem die fachliche Expertise im Auslagerungs- und Drittparteienrisikomanagement, ein tiefes Verständnis der regulatorischen Anforderungen im genossenschaftlichen Finanzverbund sowie praxisnahe und pragmatische Lösungsansätze. Außerdem spielten eine hohe Verlässlichkeit, kurze Reaktionszeiten und ein ausgewogenes Verhältnis von Qualität, Nutzen und Kosten eine wichtige Rolle. AWADO hat uns in all diesen Punkten überzeugt. Wir haben uns bewusst für einen Partner entschieden, der sich täglich und mit hoher Intensität mit diesen Themen beschäftigt. Das ist für eine Bank in unserer Größe nur mit hohem Aufwand möglich. Alles in allem profitieren wir von aktuellem Fachwissen und erprobten Prozessen, gleichzeitig stellen wir sicher, dass die Prozesse fachlich aktuell, regulatorisch belastbar und zugleich effizient umgesetzt werden.

Timm Borgmann ist Vorstand bei der Volksbank Baumberge.

Daniel Lehmkuhl ist Director Kompetenzteam Risikomanagement bei der AWADO WPG.

Wie läuft die Zusammenarbeit in der Praxis ab?

Borgmann: Wir werden insbesondere bei der operativen Arbeit entlastet. Die erforderlichen Unterlagen werden vorbereitet, Fristen werden überwacht und notwendige Bewertungen angestoßen. Für uns bedeutet das, dass wir jederzeit einen guten Überblick über den Bearbeitungsstand haben und uns auf die fachliche Entscheidung konzentrieren können. Wichtig ist, dass Verantwortung und Steuerung bei uns verbleiben. Diese Kombination passt ideal. Besonders schätzen wir zudem die Erreichbarkeit und Reaktionsgeschwindigkeit. Bei Rückfragen erhalten wir sehr zeitnah Unterstützung.

Herr Lehmkuhl, wie gehen Sie bei der Betreuung von Banken konkret vor?

Lehmkuhl: Unser Ziel ist es, Banken über den gesamten Lebenszyklus ihres Drittparteien- und Auslagerungsmanagements zu begleiten. Am Anfang steht dabei immer die Frage, wo das Institut heute steht und welches Zielbild es erreichen möchte. Darauf aufbauend entwickeln wir gemeinsam die organisatorischen und prozessualen Voraussetzungen. So erarbeiten wir eine Strategie, definieren Rollen sowie Verantwortlichkeiten und schaffen Transparenz über Handlungsfelder. Ein wesentlicher Schwerpunkt liegt zudem auf der praktischen Umsetzbarkeit. Die regulatorischen Anforderungen sind in den vergangenen Jahren deutlich komplexer geworden. Deshalb unterstützen wir Banken dabei, ihre Prozesse so aufzustellen, dass sie effizient, nachvollziehbar und automatisiert gesteuert werden können. Gleichzeitig begleiten wir die Institute bei der praktischen Ausgestaltung der Dienstleistersteuerung. Dabei geht es etwa um geeignete Kennzahlen oder Kontrollmechanismen. Gerade DORA hat in diesem Bereich zusätzliche Anforderungen geschaffen, beispielsweise bei Auditrechten oder dem Umgang mit Subdienstleistern. Entscheidend ist für uns, dass regulatorische Vorgaben nicht nur erfüllt, sondern dauerhaft in die operative Praxis integriert werden. Deshalb begleiten wir auch mit Schulungen und Trainings.

Und wie profitieren Banken davon konkret?

Lehmkuhl: Ein großer Vorteil ist sicherlich, dass Institute auf erprobte Methoden, Prozesse und Bewertungssystematiken zurückgreifen können, die sich in zahlreichen Projekten bewährt haben und ihren tatsächlichen Abläufen gerecht werden. Das schafft Effizienz und reduziert den Implementierungsaufwand. Gleichzeitig entlasten wir die internen Ressourcen. Das Drittparteienrisikomanagement ist keine einmalige Aufgabe, sondern erfordert kontinuierliche Bewertungen, Überwachungen und Dokumentationen. Indem wir bei einem Teil dieser Tätigkeiten unterstützen, gewinnen die Mitarbeiterinnen und Mitarbeiter in den Banken Freiraum für ihre Kernaufgaben. Ein weiterer wichtiger Aspekt ist die regulatorische Sicherheit. Durch unsere langjährige Erfahrung kennen wir die Erwartungen von Aufsicht und Prüfung sehr genau. Dadurch können wir Institute dabei unterstützen, Anforderungen sowohl formal korrekt als auch praxisgerecht umzusetzen. Nicht zuletzt ist zu betonen, dass der Aufbau eigener Fachteams in diesem Bereich erhebliche Investitionen in Schulung und Qualifizierung erfordert. Unsere erfahrenen Spezialistinnen und Spezialisten kennen sowohl die regulatorischen Anforderungen als auch die praktischen Herausforderungen im Bankalltag.

Herr Borgmann, wie bewerten Sie die Zusammenarbeit?

Borgmann: Durchweg positiv. Neben der Entlastung auf personeller Seite profitieren wir von einer hohen fachlichen Expertise, standardisierten Prozessen und einer zuverlässigen Bearbeitung der anfallenden Aufgaben. Besonders hervorzuheben ist die schnelle und lösungsorientierte Unterstützung bei Rückfragen. Insgesamt fühlen wir uns mit dieser Konstellation sehr gut aufgestellt. Die Zusammenarbeit gibt uns die Sicherheit, dass unser Drittparteienrisikomanagement fachlich fundiert, regulatorisch aktuell und zugleich wirtschaftlich effizient organisiert ist.

Herr Lehmkuhl, wie wird sich das Drittparteienrisikomanagement künftig weiterentwickeln?

Lehmkuhl: Das Drittparteienrisikomanagement steht aus meiner Sicht erst am Anfang seiner Entwicklung. Was lange Zeit vor allem als regulatorisches Pflichtfeld verstanden wurde, entwickelt sich zunehmend zu einer zentralen Steuerungsfunktion für die operative Resilienz von Banken. DORA hat diesen Wandel beschleunigt. Künftig wird die Aufsicht nicht mehr allein darauf schauen, ob Anforderungen formal erfüllt und dokumentiert sind. Entscheidend wird vielmehr sein, wie wirksam ein Institut seine kritischen Drittparteien steuert, Risiken überwacht und auf Ausfälle reagieren kann. Hinzu kommt, dass die Abhängigkeit von externen Technologieanbietern weiter steigen wird. Themen wie digitale Plattformen und Künstliche Intelligenz werden an Bedeutung gewinnen und Einfluss auf die Abhängigkeits- und Wertschöpfungskette haben. Für Volksbanken und Raiffeisenbanken besteht die Herausforderung darin, diese Entwicklung mit vertretbarem Einsatz von Ressourcen effizient zu gestalten. Erfolgreich werden aus meiner Sicht diejenigen Institute sein, denen es gelingt, regulatorische Sicherheit, operative Effizienz und organisatorische Resilienz miteinander zu verbinden.

Herr Lehmkuhl, Herr Borgmann, vielen Dank für das Gespräch!