Sie sind hier: Home » Fachartikel » Hintergrund

Stauatlas: IT in der Bankenregulierung


IT-Abteilungen haben keine Übersicht bei Kosten der Bankenregularien
Compliance-Beauftragte haben es daher schwer, intern genug Verständnis für die Dringlichkeit ihrer Anforderungen herzustellen

Autor Thomas Reher
Autor Thomas Reher Es wird höchste Zeit für Compliance-Beauftragte, beispielsweise bei Mitarbeitern und vor allem der Führungsebene für mehr Verständnis zu sorgen und den Nutzen bei der Umsetzung von regulatorischen Anforderungen herauszustellen Bild: PPI

Von Thomas Reher, Finanzexperte und Vorstand bei dem auf Finanzunternehmen spezialisierten Software- und Beratungshaus PPI AG

(05.03.15) - Eine Vielzahl von Regularien von BCBS 239 bis MiFID II stellt die Compliance- und IT-Abteilungen der Kreditinstitute vor große Herausforderungen. Vor allem in Kombination mit ambitionierten Zeitplänen und einer großen Verunsicherung über die konkrete Ausgestaltung und potenzielle neue Gesetze. Dabei kämpfen die Compliance-Beauftragten oft mit reiner Pflichterfüllung statt Kür in den Abteilungen, drei Viertel der Bankmanager mangelt es an Akzeptanz für die Bedeutung der Regularien. In der Studie "Stauatlas: IT in der Bankenregulierung" hat das Software- und Beratungshaus PPI AG den Status Quo bei der Umsetzung in IT-Abteilungen untersucht.

Bei den Banken in Deutschland herrscht große Unsicherheit. Zahlreiche Regularien von Eigenkapitalausstattung bis IT-Sicherheit müssen bereits umgesetzt werden, obwohl die Regelwerke noch nicht finalisiert werden. Eine Reihe von Anpassungen steht beispielsweise bei der Eigenkapitalreform Basel III und der Finanzmarktrichtlinie MiFID II an. Wieviel Zeit und Geld in die Umsetzung fließen, können viele Institute zu diesem Zeitpunkt noch nicht genau abschätzen. Gerade auf die IT-Abteilungen kommt viel zu. Das Verständnis für die neuen und novellierten Gesetze wird trotzdem immer geringer in den Geldhäusern. 77 Prozent der deutschen Kreditinstitute meinen, dass die IT-Anpassungen aufgrund regulatorischer Vorgaben kaum etwas zum Unternehmenserfolg beitragen können.

Compliance-Beauftragte haben es daher schwer, intern genug Verständnis für die Dringlichkeit ihrer Anforderungen herzustellen. Die Führungskräfte in den Fachabteilungen werden an ihrem Beitrag zum Geschäftserfolg gemessen und stellen alles hinten an, das ihrer Meinung nach nicht dazu beiträgt. Die Compliance-Verantwortlichen wissen jedoch, dass eine über die reine Pflichterfüllung hinausgehende Beschäftigung mit den Regularien durchaus zum Geschäftserfolg beitragen und strategische Vorteile bringen kann.

Doch diejenigen Institute, die Regularien als Chance für neue Geschäftsmodelle oder einen Wettbewerbsvorteil sehen, sind deutlich in der Minderheit. Nur 16 Prozent glauben, dass die Geldhäuser in größerem Maße von den Neuerungen profitieren werden.

Weil die Banken selbst nicht vom Nutzen der Regularien überzeugt sind, fällt es ihnen auch schwer, diese den Kunden positiv darzustellen. Darum wehren sich Kunden auch oft gegen Neuerungen durch Regularien. 57 Prozent der Entscheider betrachten die fehlende Akzeptanz der Kunden für Beratungsprotokolle und geänderte Überweisungspraktiken als eines der Hauptprobleme bei den aktuell zu bewältigenden Umstellungen.

Einziger positiver Aspekt der regulierungsbedingten IT-Anpassungen ist aus Sicht der befragten Banken eine Verbesserung der Datensicherheit. Insgesamt wird die Umsetzung der Regularien jedoch als notwendiges Übel und nicht als Chance gesehen. Das setzt diese Projekte oftmals ganz hinten auf die Agenda.

Regulierungen haben in der IT geringe Priorität
Am Schluss der Prioritätenliste verschwinden einige Regularien aus dem Blickfeld der Entscheider. Bei der Frage, wie hoch insgesamt die Kosten im Jahr 2013 für die IT-Umsetzung der Regularien waren, konnten 33 Prozent der befragten Banken keine Angaben machen. Weitere 30 Prozent gehen von Kosten in Höhe von mindestens einer Million Euro aus. Jede zehnte Bank kommt nach eigenen Angaben sogar auf eine Summe von fünf Millionen Euro und mehr allein für das Jahr 2013. Die abschließenden Gesamtkosten sind für viele nicht absehbar.

Ein großer Teil der Kosten wird der IT zugeschrieben: Bei sechs von zehn Kreditinstituten entfällt mehr als ein Drittel der gesamten Umsetzungskosten auf die IT. 20 Prozent gehen sogar davon aus, dass mehr als die Hälfte aller Kosten in dieser Abteilung anfällt.

MaRisk besonders aufwändig – BCBS 239 dauert am längsten
Bei einigen Regularien sehen die Geldhäuser Licht am Ende des Tunnels. Bei der Umsetzung von MiFID II haben sie bereits drei Viertel des Gesamtaufwandes hinter sich gebracht. Auch bei Basel III und der Finanzderivateregel EMIR sind immerhin mehr als 50 Prozent geschafft. Ganz anders sieht es bei der Zahlungsdiensterichtlinie PSD II und der Risikodatenaggregation BCBS 239 aus. Bei beiden Regularien ist erst ein Viertel geschafft. Bei MaRisk ist ein Drittel des Aufwands geleistet worden.

Dabei können sich die Geldhäuser noch lange nicht ausruhen. Es kommt in Zukunft noch viel auf sie zu. 83 Prozent beklagen die Planungsunsicherheit für die Zukunft. Sie können zum Beispiel noch nicht absehen, ob weitere Gesetzesnovellen folgen werden. Kritisch könnte sich die Einführung von SecuRe Pay entwickeln. Hier wurde der bisher größte Aufwand investiert, um die erforderlichen IT-Umstellungen bis Anfang 2015 abzuschließen. 315 Personentage hat die Vorschrift zur Sicherheit im Zahlungsverkehr bisher auf sich vereint, weitere 383 Personentage sollen noch hinzukommen.

MaRisk ist für die IT-Verantwortlichen das mit Abstand aufwändigste Regulierungsprojekt, gefolgt von SecuRe Pay und PSD II. Etwa 815 Personentage veranschlagen die befragten Banken für die Umsetzung von MaRisk, bei PSD II sind es 663 Personentage. Das langfristigste Projekt sehen die Institute in der Umsetzung der BCBS 239-Anforderungen, die durchschnittlich noch etwa 17 Monate in Anspruch nehmen wird.

Es wird höchste Zeit für Compliance-Beauftragte, beispielsweise bei Mitarbeitern und vor allem der Führungsebene für mehr Verständnis zu sorgen und den Nutzen bei der Umsetzung von regulatorischen Anforderungen herauszustellen. Der hohe regulatorische Druck kann für neue Geschäftsmodelle genutzt werden. In vielen Banken ist die Modernisierung der IT sowie die Verbesserung der IT-Sicherheit ohnehin längst überfällig, um sich auf veränderte Kundenbedürfnisse einzustellen. Vorreiter erfüllen nicht nur die Compliance-Vorgaben, sondern sorgen auch für mehr Kundenzufriedenheit und sichern sich damit einen Wettbewerbsvorteil.

Zur Studie
Für die Marktstudie "Stauatlas: IT in der Bankenregulierung" wurden 30 IT-Verantwortliche aus 30 deutschen Banken im Auftrag der PPI AG zur Umsetzung regulatorischer Vorgaben befragt. Die Befragung wurde vom Marktforschungsinstitut Forsa nach der CATI-Methode (Computer Assisted Telephone Interview) durchgeführt und fand von Juni bis Juli 2014 statt. Übergangsfristen gelten bis 2019.
(PPI: ra)

PPI Aktiengesellschaft: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Hintergrund

  • Datennutzung und ethische Verantwortung

    Große Datenmengen und die Erkenntnisse, die darin verborgen liegen, sind aus der deutschen Wirtschaft nicht mehr wegzudenken. Wie eine Bitkom-Umfrage ergab, sammelt die überwiegende Mehrheit der Unternehmen bereits Informationen, um sie zu analysieren und die Ergebnisse zur Optimierung interner Prozesse und zur Steigerung des Geschäftswerts zu nutzen. Gleichzeitig übersehen jedoch die meisten, dass mit diesem Erfolg eine neue Verantwortung einhergeht.

  • Entzug der Rechtsgrundlage

    Das vom Europäischen Gerichtshof (EuGH) gefällte Urteil "Schrems II" vom 16. Juli 2020 ist in aller Munde, da es nicht unerhebliche Auswirkungen auf denUmgang und den Schutz von Personendaten in international tätigen Unternehmen hat. Welche praktischen Folgen hat die Rechtsprechung des EuGH auf den internationalen Datentransferaber im Detail? Mit dem Urteil des Europäischen Gerichtshofes Mitte letzten Jahres wurde die als Privacy Shield bekannte Rahmenvereinbarung zwischen den USA und der EU für ungültig erklärt. Demnach dürfen personenbezogene Daten von EU-Bürgern nur an Drittländer außerhalb des Europäischen Wirtschaftsraums übermittelt werden, wenn sie in diesem Drittland einen im Wesentlichen gleichwertigen Schutz genießen wie in der EU. Für die USA hat der EuGH ein solches Schutzniveau verneint.

  • Aufsichtsbehörden machen Ernst

    Der Datenschutz wurde durch die im Mai 2018 in Kraft getretene EU-Datenschutz-Grundverordnung (DSGVO) europaweit geschärft und die Rechte der Betroffenen gestärkt. Die Aufsichtsbehörden sind mittlerweile aktiv geworden und verhängen teils empfindliche Strafen, wenn Unternehmen und Konzerne mit dem Schutz der User- und Kundendaten zu lax umgehen. Unternehmen, die online Leads und Kunden generieren, sollten deswegen ein Auge auf die Details haben und nur mit seriösen Partnern zusammenarbeiten, die eine DSGVO-konforme Verarbeitung von Daten nachweisen können. Das Inkrafttreten der DSGVO im Mai 2018 rollte wie eine Schockwelle durch die Welt des Online-Business und der Leadgenerierung. Denn die europäische Datenschutzgrundverordnung hat den Schutz personenbezogener Daten ausgeweitet und verschärft. Ziel war es, ein europaweit gleich hohes Schutzniveau zu erreichen, die Verfahren gegen Verstöße zu vereinfachen und den Datenschutz dem technischen Fortschritt der Digitalisierung anzupassen.

  • Was ist ein Selbst-Audit & warum ist es notwendig?

    Eine der üblichen Fallen, in die Unternehmen tappen, ist die Annahme, dass Cybersicherheitslösungen über Standard-Risikobewertungen gepflegt und gemanagt werden. Eine gefährliche Annahme, denn die rasche technologische Entwicklung und der Einsatz dieser Technologien in der Wirtschaft hat den Bereich einer allgemeinen Risikobewertung längst überschritten. Hier beschäftigen wir uns mit einigen Schritten, die nötig sind, um eine eingehende, weitreichende Sicherheitsrisikobewertung zu erstellen, die für genau Ihr Unternehmen gilt. Eine Cybersicherheitsbewertung spielt eine entscheidende Rolle, beim Wie und Warum man bestimmte Technologien in einem Unternehmen einsetzt. Anhand eines Assessments lassen sich Ziele und Parameter festlegen, die Ihnen die Möglichkeit geben.

  • Mit Analytik Betrug erkennen

    Zahlungsanweisungen über SWIFT gelten im Allgemeinen als sicher. Doch es gibt Schlupflöcher im System, durch die es Kriminelle regelmäßig schaffen, Betrug zu begehen. Banken nutzen vermehrt KI-Tools wie User Entity Behaviour Analytics (UEBA) um sich und ihre Kunden zu schützen. SWIFT ist eine Plattform, die selbst keine Konten oder Guthaben verwaltet und über die Finanzinstitute aus aller Welt Finanztransaktionen unter einander ausführen. Ursprünglich wurde die Plattform lediglich gegründet, um Treasury- und Korrespondenzgeschäfte zu erleichtern. Das Format entpuppte sich in den Folgejahren jedoch als sehr sicher und praktisch, sodass immer mehr Teilnehmer die Plattform nutzten. Neben Notenbanken und normalen Banken wird Swiftnet heute auch von Großunternehmen, Wertpapierhändlern, Clearingstellen, Devisen- und Geldmaklern und zahlreichen weiteren Marktteilnehmern genutzt.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen