Question 1

Wie gelingt ein Beziehungsmodell für Dienstleisterdaten, in dem jede Rechtseinheit einzeln erkennbar bleibt?

Accepted Answer

Ein Beziehungsmodell hält jede Rechtseinheit einzeln erkennbar, sobald jede Beziehung ihren verpflichteten Träger nennt. Wir führen deshalb jede Rechtseinheit als eigenen Verpflichteten mit eigener Verantwortung, Einstufung, Freigabe und Berichtssicht. Anbieter- und Vertragsstammdaten teilen wir nur dort, wo die Beziehung ausdrücklich modelliert ist.

So gehen wir vor: Wir legen fest, welche Datenfelder gemeinsam und welche getrennt geführt werden und wir testen konzerninterne Dreiecksbeziehungen, gemeinsame Anbieter, unterschiedliche Risikomatrizen und Berechtigungen anhand konkreter Testfälle. Die Gruppenübersicht bleibt eine Sicht auf die Einzelnachweise. Sie setzt auf dem Nachweis je Rechtseinheit auf.

Question 2

Was macht eine Leistung innerhalb der Gruppe tragfähig: Vertrag und Risikobeurteilung je empfangender Rechtseinheit?

Accepted Answer

Eine Leistung innerhalb der Gruppe wird tragfähig, wenn Vertrag und Risikobeurteilung bei jeder empfangenden Rechtseinheit liegen. Der Konzernbezug schließt die Auslagerung nicht aus. Nach dem Rundschreiben der Aufsicht zum Risikomanagement der Banken können zivilrechtliche Gestaltungen und Vereinbarungen das Vorliegen einer Auslagerung nicht von vornherein ausschließen. Die Risikoanalyse folgt gruppenweit einheitlichen Rahmenvorgaben und die Bank legt eigenverantwortlich fest, welche Auslagerungen wesentlich sind.

Auch bei einem zentralen Auslagerungsunternehmen in der Gruppe sind die Bedingungen einschließlich der finanziellen Bedingungen festzulegen. Für Versicherer gilt: Gruppeninterne Ausgliederungen dürfen nicht generell mit weniger Sorgfalt und einer weniger intensiven Überwachung einhergehen. Bei IKT-Leistungen kommt hinzu, dass die Regeln zum IKT-Drittparteienrisikomanagement grundsätzlich auch für gruppeninterne IKT-Drittdienstleister gelten. Eine Konzernrichtlinie liefert den Rahmen. Die einzelne Leistung braucht ihre eigene Beziehung mit Vertragsanlage.

Question 3

Wie bildet Ihr Haus einen Konzernvertrag ab, wenn eine Rechtseinheit unterschreibt und eine andere die Leistung erbringt?

Accepted Answer

Ein Register, das zur Steuerung passt, zeigt drei Rollen getrennt: die empfangende Rechtseinheit, den vertraglichen Leistungsschuldner und den tatsächlich leistenden Erbringer. Bei gruppeninternen IKT-Drittdienstleistern ist der erste externe IKT-Drittdienstleister aufzuführen. Bei Leistungen für kritische oder wichtige Funktionen soll das Register Informationen zu sämtlichen Unterauftragnehmern enthalten, die die Erbringung der Leistung wirksam unterstützen. Ein konsolidiertes Register einer Gruppe weist jedes erfasste Unternehmen einzeln aus, denn alle Unternehmen des Finanzsektors, die das Register umfasst, sind per LEI zu identifizieren.

Für Versicherer verlangt die Aufsicht bei gruppeninternen Ausgliederungen die genaue Dokumentation, welche rechtliche Einheit auf welchen Dienstleister welche Funktion ausgegliedert hat. Für Banken verlangt sie bei Weiterverlagerungen, dass die Vereinbarungen des Auslagerungsunternehmens mit Subunternehmen im Einklang mit dem originären Auslagerungsvertrag stehen. Tragfähig wird die Kette, wenn die vertraglichen Rechte vom Vertragspartner bis zum operativen Erbringer der Leistung nachvollziehbar durchreichen.

Question 4

Woran erkennt Ihr Haus, ob ein System für Governance, Risiko und Compliance mehrere Konzerneinheiten wirklich trennt?

Accepted Answer

Ein System ist mandantenfähig, wenn zwei Konzerneinheiten mit demselben Dienstleister und abweichender Risikoeinstufung voneinander getrennt bleiben. Wir definieren zuerst, welche Trennung gebraucht wird: Datensicht, Bearbeitungsrechte, Bewertungslogik, Freigabeworkflow, Berichte, Export und Administration. Beleg für die Trennung sind getrennte Datensätze und Rechte; ein getrenntes Dashboard zeigt zunächst die Berichtssicht.

Danach testen wir mit zwei Konzerneinheiten, ob Nutzer nur zulässige Daten sehen und ändern, ob globale Rollen Grenzen überschreiten und ob Exporte die richtige Rechtseinheit ausweisen. Geprüft werden auch Suche, Anhänge, Benachrichtigungen, Schnittstellen und Vertretungen. Bewusst geteilte Stammdaten dokumentieren wir mit der zuständigen Pflegeinstanz. Risiko- und Freigabeentscheidung bleiben je Einheit eigenständig.

Question 5

Wie bildet Ihr Haus Personen mit mehreren Beschäftigungs- oder Organverhältnissen im Konzern ab?

Accepted Answer

Eine Person mit mehreren Rollen bleibt nachvollziehbar, wenn jede Beziehung für sich geführt wird. Wir führen die natürliche Person nur einmal als Identität und jede Beschäftigung, Organstellung oder Beauftragung als eigene, datierte Beziehung zu einer Rechtseinheit. Berechtigungen entstehen aus dieser Beziehung und aus der konkreten fachlichen Rolle, nicht allein aus E-Mail-Adresse oder Konzernzugehörigkeit.

Endet ein Verhältnis, entfallen nur die zugehörigen Rechte und andere legitime Aufgaben bleiben bestehen. Für Freigaben prüfen wir, in welcher Rechtsrolle die Person handelt und ob Vertretungs- oder Zeichnungsbefugnis vorliegt. Historische Entscheidungen zeigen die damals gültige Zuordnung und Autorität.

Question 6

Wie verhindert Ihr Haus eine ungeprüfte Selbstfreigabe, wenn dieselbe Person mehrere Rollen im Freigabeprozess hat?

Accepted Answer

Eine Freigabe trägt, wenn die Rollen je Vorgang und Rechtseinheit feststehen, bevor der Workflow Aufgaben verteilt. Dieselbe Person kann fachlicher Eigentümer und Vertragsmanager sein; daraus darf keine ungeprüfte Selbstfreigabe entstehen. Für kritische Entscheidungen trennen wir Erstellung, fachliche Bestätigung, unabhängige Prüfung und Risikoakzeptanz.

Ist diese Trennung organisatorisch nicht möglich, setzen wir eine dokumentierte Ersatzkontrolle mit berechtigter zweiter Instanz ein. Die Berechtigungsprüfung erkennt die Person hinter mehreren Konten und Stellvertretungen, denn zwei Benutzerkonten sind noch keine zwei unabhängigen Personen, die sich gegenseitig prüfen. Im Protokoll halten wir fest, in welcher Rolle und für welche Einheit entschieden wurde.

Question 7

Wie bewertet Ihr Haus eine gemeinsame Plattform, die mehrere Rechtseinheiten und Prozesse trägt?

Accepted Answer

Eine gemeinsame Plattform wird zum eigenen Objekt, das jede nutzende Rechtseinheit, jeden Prozess und jede vertragliche Leistung verknüpft. Betriebsdaten wie Standort, Architektur und technische Kontrollen lassen sich zentral pflegen.

Die Bewertung der Funktionen liegt beim Finanzunternehmen: Nach Angabe der Aufsicht nimmt es selbst vor, welche Funktionen kritisch oder wichtig sind. Für den Schutzbedarf der Plattform lässt sich in vielen Fällen der höchste Schutzbedarf aller Anwendungen übernehmen, die sie benötigen. Die Grundschutz-Methodik nennt dies Maximumprinzip. Der Schutzbedarf kann höher liegen, wenn mehrere Anwendungen gleichzeitig ausfallen (Kumulationseffekt). Daraus folgt keine identische Risikoeinstufung für alle Nutzer.

Ausfallkonzentration und Ausstiegsfähigkeit prüft Ihr Haus je Rechtseinheit. Das Informationsregister hilft, Konzentrationen und geografische Abhängigkeiten bei IKT-Dienstleistungen zu erkennen.

Question 8

Wie gelingt die Trennung der Datensphären, wenn Auftraggeber, Auftragnehmer und Erbringer verschiedenen Konzerneinheiten angehören?

Accepted Answer

Datensphären bleiben getrennt, sobald jedes Datenobjekt einer fachlich verpflichteten Rechtseinheit und einem konkreten Zweck zugeordnet ist. Wir trennen die Sphäre des Auftraggebers mit Einstufung, Risikoentscheidung und Freigabe von der Sphäre des Auftragnehmers mit Leistungssteuerung und von der des operativen Erbringers mit Betriebsnachweisen.

Gemeinsame Anbieter- oder Vertragsstammdaten teilen wir kontrolliert. Vertrauliche Bewertungen, Vorfälle, Anhänge und Entscheidungsprotokolle erhalten eine begründete Zugriffsmatrix. Bei Datentransfers zwischen den Sphären klären wir, wer welchen Nachweis liefert, auf welcher Rechts- und Vertragsgrundlage das geschieht und wer ihn weitergeben darf. Listen, Suche, Schnittstelle, Benachrichtigung und Export testen wir mit Nutzern jeder Konzerneinheit.

FAQ: Konzern, Rollen und Mandanten

Konzern, Rollen und Mandanten

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis