Seminar DORA Drittparteienrisiken und Vertragsmanagement

Beschreibung

Die Nutzung externer IKT-Leistungen verbindet betriebliche Vorteile mit technischen, organisatorischen und vertraglichen Abhängigkeiten. Das Seminar führt von einer klaren Leistungsbeschreibung über die Risikoentscheidung bis zur laufenden Steuerung. Die Verantwortung des Finanzunternehmens und die Mitwirkung der Dienstleister werden für jede Phase konkret zugeordnet.

An einer mehrstufigen Dienstleistungskette werden Konzentrationsrisiken, Nachweisqualität und Änderungen bei Unterauftragnehmern untersucht. Vertragsanforderungen werden nach Art der unterstützten Funktion differenziert. Die Schulung endet inhaltlich mit der Bearbeitung eines Exit-Szenarios und einer überarbeiteten Vertrags- und Kontrollmatrix. Die rechtliche Bewertung einzelner Klauseln bleibt an den konkreten Vertragsgegenstand und die zuständige Fachfunktion gebunden.

Lernziele

• IKT-Dienstleistungen und ihre Bedeutung für Geschäftsleistungen systematisch bewerten.
• Erforderliche Vertragsbestandteile und zusätzliche Anforderungen für kritische oder wichtige Funktionen zuordnen.
• Unterbeauftragung, Konzentration und laufende Leistungsänderungen in die Kontrolle einbeziehen.
• Eine praktikable Exit-Planung mit Auslösern, Verantwortlichen und Testbedarf entwickeln.

Seminarinhalte

Inhaltsübersicht: Dienstleistungsportfolio und Richtlinie; Auswahl und Vorprüfung; Vertragsgestaltung und Nachweise; Unterauftragnehmer und Änderungen; Laufende Überwachung; Exit und Übergang.

Dienstleistungsportfolio und Richtlinie

• IKT-Dienstleistungsbeziehungen und klassische Auslagerung fallbezogen abgrenzen.
• Verantwortung, Freigabeschwellen und angemessene Kontrolltiefe festlegen.
• Verknüpfung mit Funktionsinventar, Risikoregister und Informationsregister herstellen.

Auswahl und Vorprüfung

• Fachliche Eignung, Informationssicherheit, Kontinuität und finanzielle Tragfähigkeit prüfen.
• Standorte, Datenverarbeitung und rechtliche Durchsetzbarkeit der Vereinbarung berücksichtigen.
• Substituierbarkeit und Abhängigkeiten von einzelnen Anbietern oder Technologien bewerten.

Vertragsgestaltung und Nachweise

• Leistungsumfang, Servicequalität, Sicherheitsanforderungen und Informationspflichten präzisieren.
• Unterstützung bei Vorfällen sowie Zugangs-, Prüfungs- und Mitwirkungsrechte zuordnen.
• Zusätzliche Vertragsanforderungen bei Unterstützung kritischer oder wichtiger Funktionen erfassen.

Unterauftragnehmer und Änderungen

• Relevante Unterbeauftragungen und die dienstleistungsbezogene Lieferkette abbilden.
• Wesentliche Änderungen mit Vorankündigung, Risikobewertung und Widerspruchsmöglichkeiten behandeln.
• Informationslücken, nicht zugelassene Unterbeauftragung und Vertragsfolgen bearbeiten.

Laufende Überwachung

• Berichte, Leistungskennzahlen, Kontrollnachweise und Auffälligkeiten zusammenführen.
• Vertragsverlängerungen, neue Risiken und Veränderungen der Kritikalität überwachen.
• Eskalationen und geplante Vereinbarungen in die zuständigen Anzeigeprozesse einordnen.

Exit und Übergang

• Auslöser, Alternative, Übergangszeit und Migrationsabhängigkeiten festlegen.
• Datenrückgabe, Löschung, Weiterbetrieb und Unterstützung beim Wechsel berücksichtigen.
• Exit-Szenarien auf Durchführbarkeit prüfen und festgestellte Lücken nachverfolgen.

Praxisworkshop

1. Die Dienstleistungsbeschreibung analysieren und kritische Abhängigkeiten markieren.
2. Eine risikoorientierte Vorprüfung anhand bereitgestellter Anbieterunterlagen durchführen.
3. Eine Klauselmatrix für Basisanforderungen und zusätzliche Funktionsanforderungen erstellen.
4. Eine angekündigte Änderung der Unterauftragnehmerkette bewerten und eine Entscheidung dokumentieren.
5. Für einen Ausfall beziehungsweise Anbieterwechsel einen Exit-Plan mit Prüfaufgaben ausarbeiten.
6. Vertragslücken und Kontrollmaßnahmen im fachübergreifenden Review priorisieren.