Was ist Fear of Missing Out? Schlechte Besprechungen sind der Fluch in vielen Unternehmen. Obwohl es einen überwältigenden Konsens darüber gibt, dass viele Meetings oft unnötig und unproduktiv sind, kämpfen viele Unternehmen weiterhin damit, diese zu vermeiden.
Doch welche psychologischen Fallstricke führen dazu, dass wir an zu vielen Besprechungen teilnehmen? Und welche Strategien helfen Mitarbeitern, Managern und Unternehmen, diese Fallen zu umgehen?
# Was ist Fear of Missing Out?
Die Teilnahme an zu vielen Meetings kann anstrengend und ermüdend sein. Darunter leidet die Produktivität und auch die Qualität. Die Folge ist, daß Mitarbeiter abschalten, demotiviert werden und wertvolle Zeit für ihre eigentliche Arbeit verlieren.
Daher ist es kaum verwunderlich, dass Manager Besprechungen als den Produktivitätskiller Nummer eins im Office bezeichnen. Endlose Check-Ins, Nachbesprechungen, Besprechungen mit allen Mitarbeitern und Zoom-Anrufe werden als Plage angesehen.
Was müssen wir tun, um uns von der Sucht nach Meetings zu befreien? Die folgenden 3 Productivity Hacks helfen dir beim Aufbau einer neuen Meeting-Kultur.
#1 Vermeide den Meeting-FOMO
Einer der häufigsten Gründe, warum wir an zu vielen Meetings teilnehmen, ist Meeting-Fomo.
Meeting-FOMO steht für Fear of Missing Out. Als Meeting-Teilnehmer machen wir uns Sorgen, dass unsere Kollegen uns verurteilen, wenn wir nicht jede Einladung annehmen.
Der ideale Arbeitnehmer nimmt an allen Meetings teil und folglich auch an zu vielen Meetings.
Vorgesetzte sehen oftmals Facetime als Ersatz für Engagement verwenden oder wenn sie es versäumen, die Meinung abwesender Mitarbeiter in Meetings zu vertreten.
Mitarbeiter können die FOMO-Angst überwinden, indem sie ihren Wert und ihr Engagement außerhalb von Besprechungen demonstrieren. Sie leisten dann ihren Beitrag vor der Besprechung und müssen nicht zwingend am Meeting teilnehmen.
Vorgesetzte sollten ihr Führungsverhalten diesbezüglich anpassen. Facetime ist nicht der Ersatz für Engagement. Der Fokus sollte verstärkt auf den Arbeitsergebnissen liegen.
Die FOMO-Angst kann auch die Organisatoren betreffen. Dies führt dann zu übermäßig aufgeblähten Einladungslisten.
Organisatoren können die FOMO-Angst leicht überwinden. Frage die Teilnehmer vor der Besprechung um Rat hinsichtlich des Teilnehmerkreises und melde dich nach der Besprechung bei den wichtigsten Interessengruppen. Damit stellt du sicher, dass diese die benötigten Informationen erhalten, ohne am gesamten Meeting teilnehmen zu müssen.
Als Moderator des Meetings kannst du ebenfalls einen wichtigen Beitrag leisten, die FOMO-Bedenken der Teilnehmer zu zerstreuen:
Kommuniziere klar, wenn einige Mitarbeiter nicht dabei sind.
Mache deutlich, dass du ihren Rat zu schätzen weißt und du sie nur deshalb nicht auf die Liste gesetzt hast, weil ihre Zeit für andere Prioritäten genutzt werden muss.
Vor allem aber solltest du darauf achten, dass du die Teilnahme an Besprechungen nicht bewusst oder unbewusst als Maßstab für deren Engagement nimmst.
#2 Schaffe eine neue Meeting-Kultur für dein KPI-Controlling
Manchmal werden Besprechungen als Hilfsmittel zur Einhaltung von KPIs eingesetzt. Mit diesem KPI-Controlling soll sichergestellt werden, dass die Teilnehmer ihre Zusagen einhalten.
Ein solcher Termin kann ein wirksamer Motivator sein. Derartige Besprechungen sind im Kern oft unnötig. Die Mitarbeiter berichten lediglich darüber, wie sie das vereinbarte Ziel erreicht oder nicht erreicht haben.
Ein besserer Weg für das laufende Controlling vos KPIs sind regelmäßige Scrum-Meetings. Hier berichtet das Team in einer transparenten und effizienten Struktur. Das Scrum-Board zeigt dem verantwortlichen Manager die KPIs gegliedert nach To Do`s, Doing und Done.
Als Führungskraft solltest du daran denken, welche Opportunitätskosten mit Meetings verbunden sind. Wie viel kostet ein wöchentliches Meeting? Und wie hoch sind die persönlichen Kosten?
#3 Neue Meeting-Kultur: Lasse den Mere Urgency Effect hinter dir
Wenn wir die wichtigen Themen nicht anpacken können oder wollen, dann kann die Erledigung scheinbar dringender -aber eigentlich unwichtiger- Aufgaben eine gewisse Erleichterung bringen.
Man spricht hier auch vom Mere Urgency Effect. Wenn wir an Besprechungen teilnehmen, haben wir das Gefühl, etwas erreicht zu haben. Folglich sagen wir diese Meetings nur ungern ab, selbst wenn diese objektiv gesehen nicht so wichtig sind wie unsere anderen Aufgaben.
Die Lösung, um den Mere Urgency Effect zu vermeiden:
Mache die Absage oder die vorzeitige Beendigung von Besprechungen zum Standard. Das gilt insbesondere bei wiederkehrenden Terminen.
Anstatt zu fragen: „Gibt es etwas Neues?“, sage einfach: „Wenn es nichts Neues gibt, sagen wir ab. Dann sparen wir alle eine Stunde.“
Mache es zur Gewohnheit, bei wiederkehrenden Besprechungen zu fragen, ob du das nächste Meeting brauchst.
Dieses Seminar könnte dich zum Thema Neue Meeting-Kultur und agile Führung auch interessieren
Was bedeutet agile Führung? Agilität als Führungskraft ist im Zeitalter der Digitalisierung nicht mehr wegzudenken. Mit dem Seminar New Work: Agilität sicher umsetzen oder der Online Schulung New Work erlernst du innovative Techniken für ein agiles Mindset. Du trainierst die notwendigen Fähigkeiten und Kenntnisse, um Agilität im Team erfolgreich zu etablieren. Diese Skills erwirbst du mit dem Seminar New Work: Agilität sicher umsetzen:
# Remote und agil im Team: Mehr Fokus mit OKRs
# Agilität: Was bedeutet das für Teams und Mitarbeiter?
# Vermeide den Meeting-FOMO
# Golden Circle: Why + How + What
Seminar New Work: Agilität sicher umsetzen oder Online Schulung New Work mit der Produkt-Nr. E18 online buchen: bequem und einfach mit dem Seminarformular online.
Zielgruppe zum Seminar New Work: Agilität sicher umsetzen oder Online Schulung New Work
Team-, Gruppen- und Projektleiter, stellvertretende Führungskräfte, Leiter von Stabstellen.
Key Account Manager, Produktmanager und Assistenten von Vorstand und Geschäftsführung.
Verantwortliche, die Teams, Kollegen und Mitarbeiter führen.
Jeder Teilnehmer erhält mit dem Seminar
S+P Führungs-Cockpit: Aufbau eines agilen Teams
S+P Check: Agile Teams richtig führen
S+P Test „Passt Dein Delegationsverhalten zur agilen Führung?“
S+P-Test „Prüfe Deine Feedback- Fähigkeit auf Agilität“
S+P Leitfaden Company OKRs + Team OKRs + Persönliche OKRs
Transfer Regulation for crypto assets is in force: Due to the increased risk of money laundering and terrorist financing in transactions with crypto assets, the corresponding application of the Money Transfer Regulation (GTVO) is ordered with effect from 01.10.2021. This will lead to new record-keeping requirements for crypto obligors as of 01.10.2021.
Crypto service providers who transfer crypto assets on behalf of an order taker, to the crypto service provider acting on the recipient’s side, must transmit the following details simultaneously and securely:
Name details,
address and
the account number (e.g. the public key) of the ordering party and
the name and
the account number (e.g. public key) of the beneficiary.
The crypto service provider acting on behalf of the beneficiary must ensure that it also receives and stores the information on the principal and beneficiary.
The complete traceability of the parties involved in a transfer of crypto assets serves to prevent, detect and investigate money laundering and terrorist financing as well as to monitor the evasion of sanctions.
The Regulation also requires an obligor to ensure that information on the beneficiary or originator of a transfer is collected when the transfer is made from or to an electronic purse that is not managed by a crypto value service provider, even if a transfer of data is not an option in this case.
Transfer regulation for crypto values is in force: The new transfer regulation for crypto values is available for download on the homepage of the BMF.
https://www.bundesfinanzministerium.de/Content/DE/Gesetzestexte/Gesetze_Gesetzesvorhaben/Abteilungen/Abteilung_VII/19_Legislaturperiode/2021-09-29-KryptoWTransferV/0-Verordnung.html
Transfer regulation for crypto assets is in force: Waiver regulation § 5 KryptoWTransferVO
Obligated persons who, at the time this Ordinance enters into force, conduct banking transactions within the meaning of section 1(1) sentence 2 of the German Banking Act, provide financial services within the meaning of section 1(1a) sentence 2 of the German Banking Act or securities services within the meaning of section 2(2) to (4) of the German Securities Institutions Act in relation to crypto assets, and who are unable to fulfil the obligations under sections 3 and 4 in whole or in part for reasons for which they are not responsible, shall notify the competent supervisory authority under section 50(1) of the German Money Laundering Act thereof by 30 November 2021. November 2021 and give reasons by 31 December 2021.
The justification shall include information on the reason for the impediment and on the measures taken to remove the impediment. In addition, the period of time in which the impediment is expected to be removed shall be indicated and any other risk-appropriate measures taken in the meantime in the implementation of transfers shall be specified.
The period specified shall not exceed twelve months. A single extension of this period by a further twelve months shall be permissible if a notice of extension accompanied by a statement of reasons is submitted before the expiry of the first twelve-month period and if the reason for the impediment continues to exist.
The competent supervisory authority pursuant to section 50 number 1 of the Money Laundering Act shall confirm receipt of an initial notification pursuant to subsection (1) and a notification of extension pursuant to subsection (2) sentence 4 and shall examine whether the formal requirements have been met and whether the reasons for obstruction presented are sufficiently plausible.
If this is not the case, it shall notify the obligated party within two months of receipt of the justification or the extension notification.
Important regulations of the KryptoWTransferV + Transfer Ordinance for Crypto Securities is in force
§ 3 Obligation to collect, store and transmit data for transfers between crypto value service providers
(1) For obligated parties making a transfer for the payer, the provisions for obligations of the payer’s payment service provider under Articles 4 and 6 of the Money Transfer Regulation shall apply mutatis mutandis if only crypto value service providers are involved in the transfer for the payer and the payee.
(2) For obligors receiving a transfer on behalf of the beneficiary, the provisions for obligations of the payment service provider of the beneficiary pursuant to Articles 7, 8 and 9 of the Money Transfer Regulation shall apply mutatis mutandis if only crypto value service providers are involved in the transfer on behalf of the payer and the beneficiary.
§ 4 Obligation to collect and store data for transfers not exclusively involving crypto value service providers
(1) Obligated persons who carry out a transfer on behalf of the payer without a crypto value service provider acting on behalf of the beneficiary of that transfer shall identify and assess the risk of abuse for the purposes of money laundering and terrorist financing associated with the transfer and take risk-appropriate measures to manage and mitigate the risks of money laundering and terrorist financing.
(2) Obligated persons who receive a transfer on behalf of the beneficiary without a crypto value service provider acting on behalf of the originator of that transfer shall identify and assess the risk of money laundering and terrorist financing abuse associated with the transfer and take risk-appropriate measures to manage and mitigate the risks of money laundering and terrorist financing.
(3. For the purposes of paragraphs 1 and 2, risk-appropriate measures shall be those which are commensurate with the identified money laundering and terrorist financing risk of the transfer and which ensure the traceability of the transfer.
In particular, the measure of collecting, storing and verifying the name and address of the beneficiary or the principal for whom no crypto value service provider is acting in the transfer and who is not a contractual partner of the obliged party shall be risk-appropriate.
(4) Paragraphs 1 to 3 shall apply mutatis mutandis with regard to the beneficial owner, provided that the beneficial owner is not identical with the principal or beneficiary.
Application of the provisions of the Money Transfer Ordinance + Transfer Ordinance for crypto assets is in force
Transfer Regulation for Crypto Assets is in force: The new Transfer Regulation for Crypto Assets also requires compliance with Articles 4 + 6 of the Money Transfer Regulation.
Article 4
Information to be provided for transfers of funds
(1. The payment service provider of the payer shall ensure that, in the case of transfers of funds, the following information on the
information on the payer for transfers of funds:
(a) the name of the payer
(b) the payment account number of the payer; and
(c) the payer’s address, the number of an official personal document of the payer, the customer number or the date and place of birth of the payer.
(2. The payment service provider of the payer shall ensure that the following information on the payee is transmitted in the case of transfers of funds:
(a) the name of the payee; and
(b) the number of the payee’s payment account.
By way of derogation from paragraph 1(b) and paragraph 2(b), where a transfer of funds is not made from or to a payment account, the payment service provider of the payer shall ensure that an individual transaction identification number is provided instead of the payment account number(s).
(4. Before carrying out transfers of funds, the payment service provider of the payer shall verify the accuracy of the information referred to in paragraph 1 by using documents, data or information from a reliable and independent source.
(5. The verification referred to in paragraph 4 shall be deemed to have been carried out if:
(a) the identity of the principal has been verified in accordance with Article 13 of Directive (EU) 2015/849 and the data obtained from that verification has been stored in accordance with Article 40 of that Directive; or
(b) Article 14(5) of Directive (EU) 2015/849 applies to the contracting authority.
(Without prejudice to the exceptions provided for in Articles 5 and 6, the payment service provider of the payer shall not carry out transfers of funds until full compliance with this Article has been ensured.
Article 6
Transfers of funds outside the Union
1. In the case of a batch file transfer from a single payer to payees whose payment service providers are located outside the Union, Article 4(1) shall not apply to the individual orders bundled in that batch file transfer, provided that the batch file transfer contains the information set out in Article 4(1), (2) and (3), that that information has been verified in accordance with Article 4(4) and (5) and that the individual orders are marked with the number of the payer’s payment account or, where Article 4(3) applies, the individual transaction identification number.
By way of derogation from Article 4(1) and, where applicable, without prejudice to the information required under Regulation (EU) No 260/2012, where the payment service provider of the payee is located outside the Union, for transfers of funds of up to EUR 1 000 where there is no indication that there is a link with other transfers of funds which together with the transfer of funds in question exceed EUR 1 000, at least the following information shall be provided:
(a) the names of the payer and the payee; and
(b) the payment account numbers of the payer and the payee or, where Article 4(3) applies, the individual transaction identification number.
By way of derogation from Article 4(4), the payment service provider of the payer shall not be required to verify the accuracy of the information on the payer referred to in this paragraph, unless the payment service provider of the payer has
(a) received the funds to be transferred in the form of cash or anonymous electronic money; or
(b) reasonable grounds to suspect money laundering or terrorist financing.
Transfer Regulation for crypto assets is in force: The new Transfer Regulation for crypto assets also requires compliance with Articles 7 + 8 + 9 Money Transfer Regulation.
Article 7 Detection of missing information on the payer or the payee.
(1. The payment service provider of the payee shall establish effective procedures to determine whether the payer and payee information fields in the messaging or payment and settlement system used to execute the transfer of funds have been completed using the characters or entries permitted in accordance with the agreements governing that system.
(2. The payment service provider of the payee shall establish effective procedures, including, where appropriate, ex post or real-time monitoring, to determine whether the following information on the payer or the payee is missing:
(a) in the case of transfers of funds where the payment service provider of the payer is located in the Union, the information referred to in Article 5;
(b) in the case of transfers of funds where the payment service provider of the payer is situated outside the Union, the information referred to in Article 4(1) and (2);
(c) in the case of batch file transfers where the payment service provider of the payer is situated outside the Union, the information referred to in Article 4(1) and (2) in relation to the batch file transfer.
(3. In the case of transfers of funds exceeding EUR 1 000, whether such transfers are made in a single transfer or in several transfers that appear to be linked, the payment service provider of the payee shall, before crediting the payee’s payment account or making the funds available to the payee, verify the accuracy of the information on the payee referred to in paragraph 2 of this Article on the basis of documents, data or information from a reliable and independent source, without prejudice to the requirements laid down in Articles 69 and 70 of Directive 2007/64/EC.
(4 ) In the case of transfers of funds of up to EUR 1 000 where there is no evidence of a link with other transfers of funds which together with the transfer of funds in question exceed EUR 1 000, the payment service provider of the payee shall not be required to verify the accuracy of the information on the payee unless the payment service provider of the payee
(a) pays out the funds in the form of cash or anonymous electronic money; or
(b) has reasonable grounds to suspect money laundering or terrorist financing.
(5) The verification referred to in subsections (3) and (4) shall be deemed to have been carried out if:
(a) the identity of the beneficiary has been verified in accordance with Article 13 of Directive (EU) 2015/849 and the data obtained from that verification has been stored in accordance with Article 40 of that Directive; or
(b) Article 14(5) of Directive (EU) 2015/849 applies to the beneficiary.
Article 8 Transfers of funds with missing or incomplete information on the payer or the payee
(1. The payment service provider of the payee shall establish effective risk-based procedures, including procedures based on the risk-based framework referred to in Article 13 of Directive (EU) 2015/849, to determine whether a transfer of funds lacking the required complete information on the payer and on the payee should be executed, rejected or suspended and the appropriate follow-up action to be taken.
Where, on receipt of transfers of funds, the payment service provider of the payee establishes that the information referred to in Article 4(1) or (2), Article 5(1) or Article 6 is missing or incomplete or has not been completed, as required by Article 7(1), using the letters or entries permitted in accordance with the messaging or payment and settlement system conventions, the payment service provider of the payee shall, on a risk-based basis, reject the transfer order or request the prescribed information on the payer and the payee before or after crediting the payee’s payment account or making the funds available to the payee.
(2. Where a payment service provider repeatedly fails to provide the required information on the payer or the payee, the payment service provider of the payee shall take action, which may initially include warnings and setting of deadlines, before either rejecting all future transfer orders from that payment service provider or restricting or terminating its business relationship with that payment service provider.
The payment service provider of the payee shall report that failure and the action taken to the authority responsible for monitoring compliance with anti-money laundering and counter-terrorist financing rules.
Article 9 Assessment and suspicious activity reporting
When assessing whether a transfer of funds or a related transaction is suspicious and whether it should be reported to the FIU in accordance with Directive (EU) 2015/849, the payment service provider of the beneficiary shall take into account as a factor whether information on the payer or the beneficiary is missing or incomplete.
Transfer Regulation for crypto assets is in force: seminars for crypto obligated parties
Fit & Proper as a business leader in a financial company: These are the skills you need. BaFin sets high standards of expertise for managing directors working in a financial company regulated by the KWG, ZAG or KAGB. BaFin’s assessment covers the professional suitability, reliability and time availability of a managing director. Professional suitability to manage an institution within the meaning of the Banking Act and the ZAG means that a business manager has sufficient theoretical and practical knowledge of the relevant business as well as management experience.
The requirements for the professional suitability of a manager are measured by the size and structure of the institution as well as the type and variety of business conducted by the institution and are assessed on a case-by-case basis.
§ Section 25c (4) KWG requires regular attendance of training courses. The KWG obliges institutions to provide human and financial resources to facilitate the introduction of members of the management to their office and to provide the
and to provide the training necessary to maintain their professional competence.
Induction into office should be timely and support an understanding of the institution’s structure, business model, risk profile and governance arrangements, and the role of individual directors therein, and promote awareness of the benefits of diversity.
BaFin assumes that the institution identifies the need for further training, which can be met through training of the entire body as well as for individual members.
Book the seminar Managing Director in the Financial Enterprise with product no. B 19 directly online; conveniently and easily with the seminar form online.
Proof of expertise with the course: Managing Director in Financial Enterprises:
# Newly appointed managing directors and board members of financial companies and crypto companies
# Update for managing directors and board members of finance companies and crypto companies
Day 1:
# Rights and duties of the managing director at financial companies
# Audit-proof organisation of the management board
Day 2:
# Balance sheet knowledge for managing directors in financial companies
# Risk Management in Finance Companies
Programme 1st day of the course: Managing Director in a Finance Company
Rights and duties of the managing director in a financial company
> Knowing the most important tasks from the KWG
Discussion of the business and risk strategy
The most important regulatory key figures
> Transfer regulation for crypto assets leads to new duties
> Liability trap: material risks and risk decisions that deviate from them
> Designing remuneration systems for managing directors and employees in an audit-proof manner
> Self-Assessment Supervisory Board and Executive Board
Liability of the Managing Director – Overview of Duties and Risks
The managing director’s contract: Which regulations should be made mandatory
Participants receive the S+P Tool Box:
> S+P Check: Propriety of the management board
> S+P Dashboard: Reporting obligations for managing directors and the supervisory board
Programme 2nd day of the course: Managing Director in a Financial Company
Balance sheet knowledge + risk management for the managing director in financial companies
> The annual financial statement as an information tool
The most important regulations of the RechKredV and the HGB for financial companies
Overview of balance sheet items
Valuation regulations for fixed and current assets
Scrutinising sources of income and their changes
> Compliance with banking supervisory regulations
> Wirecard & Co.: New compliance obligations for managing directors
> Minimum requirements for risk management:
Which due diligence obligations are mandatory for managing directors and supervisory boards?
Major innovations in MaRisk and the EBA guidelines
New tasks for MaRisk functions
In addition to the Managing Director course, participants were also interested in the following courses:
Obligation to notify outsourcing at securities institutions: What is to be observed? The auditor must report separately on outsourcing of material activities and processes, taking into account the requirements set out in section 40 of the Securities Institutions Act. In doing so, a statement must be made as to whether the classification of outsourcing as material or immaterial is comprehensible from the point of view of risk, type, scope and complexity.
# Obligation to notify outsourcing: BaFin requirements for securities institutions (WpIG)
Section 64 regulates the notification requirements for all securities institutions.
(1) A securities institution shall notify the Bundesanstalt and the Deutsche Bundesbank without delay:
13.
The intention of a material outsourcing, the execution of the outsourcing as well as material changes and serious incidents in the context of existing material outsourcing.
Obligation to notify outsourcing at securities institutions + The following regulations apply to the outsourcing notification pursuant to § 64 paragraph 1 number 13 of the Securities Institutions Act:
Notifications of outsourcing pursuant to section 64(1) number 13 of the Securities Institutions Act shall be submitted for the first time as of the date on which the Bundesanstalt makes available the electronic submission procedure provided for such submission.
The list of outsourcing matters specified by the Federal Financial Supervisory Authority in the electronic submission procedure shall be deemed to be a material outsourcing for which the intention, execution, material changes and the occurrence of serious incidents must be reported.
Provisions of § 40 WpIG on outsourcing at securities institutions
Section 40 WpIG regulates the outsourcing of activities and processes.
Depending on the type, scope, complexity and risk level of an outsourcing of critical and important operational tasks within the meaning of Article 30(1) of Delegated Regulation (EU) 2017/565 (material outsourcing), a securities institution must take adequate precautions to avoid excessive additional risks.
Outsourcing shall not impair the regularity of those transactions and services or the business organisation. In particular, the investment institution shall maintain adequate and effective risk management.
An investment institution shall keep an outsourcing register as part of its risk management. All material and non-material outsourcing must be recorded in this register.
The Ordinance on the Audit of the Annual Financial Statements of Securities Institutions and on the Reports to be Prepared (Wertpapierinstituts-Prüfungsberichtsverordnung – WpI-PrüfbV) regulates the following in this regard:
Outsourced material activities and processes shall be specified and delimited in a comprehensible manner, also in connection with the designations made in Annex 2. The data overview for small and medium-sized securities institutions that have outsourced areas to another company must include the following information:
# Outsourcing company including address
# CN ident number
# Outsourced activities and processes
# Status (planned on/ carried out on/ completed on)
# date of outsourcing
# Remarks in particular on further outsourcing
Articles 30 to 32 of Delegated Regulation (EU) 2017/565 contain more detailed provisions on material outsourcing. If, in the case of material outsourcing, an outsourcing company has its registered office in a third country, it must be contractually ensured that the outsourcing company designates a domestic authorised representative to whom notifications and notifications can be effected by the Bundesanstalt.
The Federal Financial Supervisory Authority may, in individual cases, issue orders to a securities institution and also directly to an outsourcing company to which material outsourcing has taken place, which are appropriate and necessary,
to prevent or stop breaches of supervisory regulations,
to eliminate any impairment of the Federal Financial Supervisory Authority’s auditing rights or control possibilities, or
to prevent or remedy malpractices at the securities institution or outsourcing company which may jeopardise the security of the assets entrusted to the securities institution or impair the orderly performance of the securities services, ancillary securities services or ancillary transactions.
Further regulations of the IFD to be observed pursuant to Section 40 WpIG + Obligation to notify outsourcing at securities institutions
The IFD regulate in Section 2 decisive and important operational tasks in Article 30 as follows:
For the purposes of the first subparagraph of Article 16(5) of Directive 2014/65/EU, an operational task shall be considered crucial or important if its insufficient performance or non-performance would materially affect the investment firm’s continuous compliance with the conditions and obligations of authorisation or other obligations under Directive 2014/65/EU, its financial performance or the soundness or continuity of its investment services and activities.
Without affecting the status of other duties, the following duties shall not be considered crucial or important for the purposes of paragraph 1:
(a) advisory and other services provided to the investment firm which are not part of its investment business, including legal advice, staff training, billing and security of premises and staff;
(b) the purchase of standardised services, including market information services and price data.
Further provisions are made in Articles 31 and 32.
Article 31 provides for the outsourcing of critical or important operational functions.
Investment firms that outsource key or important operational functions shall remain fully responsible for the performance of all their obligations under Directive 2014/64/EU and shall comply with the following conditions:
(a) the outsourcing does not involve a delegation of senior management tasks;
(b) the relationship and obligations of the investment firm towards its clients under Directive 2014/65/EU remain unchanged;
(c) the conditions with which an investment firm must comply in order to be authorised in accordance with Article 5 of Directive 2014/65/EU and to maintain that authorisation remain fulfilled; and
(d) the other conditions under which the investment firm was granted authorisation have not lapsed and have not changed.
Professional onboarding and offboarding upon conclusion, execution or termination of the outsourcing agreement
Investment firms shall exercise due professionalism and care when entering into, executing or terminating an agreement to outsource critical or important operational functions to a service provider and shall take all necessary measures to ensure that:
(a) the service provider has the suitability, capacity, sufficient resources and appropriate organisational structures to perform the outsourced functions, as well as all licences required by law, to perform the outsourced functions in a reliable and professional manner;
(b) the service provider performs the outsourced services effectively and in accordance with applicable laws, regulations and administrative provisions and, to that end, the investment firm has established methods and procedures for evaluating the performance of the service provider and for the ongoing review of the services provided by the service provider;
(c) the service provider shall properly monitor the performance of the outsourced functions and adequately manage the risks associated with the outsourcing; and
(d) appropriate measures are taken where there is doubt that the service provider may not be performing its functions effectively and in compliance with applicable laws, regulations and administrative provisions;
(e) the investment firm shall effectively monitor the outsourced functions or services and manage the risks associated with the outsourcing and, to that end, it shall continue to have the necessary expertise and resources to effectively monitor the outsourced functions and manage those risks;
(f) the service provider has brought to the attention of the investment firm any development that could materially affect its ability to perform the outsourced functions effectively and in compliance with applicable laws, regulations and administrative provisions;
(g) the investment firm is able to terminate the outsourcing arrangement with immediate effect, if necessary, when this is in the interest of its clients, without affecting the continuity and quality of the services provided to its clients;
(h) the service provider cooperates with the competent authorities of the investment firm in relation to the outsourced functions;
(i) the investment firm, its auditors and the relevant competent authorities have effective access to data related to the outsourced functions and to the premises of the service provider where necessary for the purposes of effective supervision in accordance with this Article, and the competent authorities may make use of those access rights;
(j) the service provider shall protect all confidential information concerning the investment firm and its clients
(k) the investment firm and the service provider have established and implemented on a permanent basis a contingency plan that ensures the retention of data in the event of a system failure and provides for regular testing of backup systems, should this be necessary in view of the outsourced function, service or activity
(l) the investment firm has ensured that the continuity and quality of the outsourced functions or services are maintained in the event of termination of the outsourcing by transferring the performance of the outsourced functions or services to another third party or by the investment firm itself performing those outsourced functions or services.
Minimum requirements for the written outsourcing agreement + Obligation to notify outsourcing in the case of investment institutions
The relevant rights and obligations of the investment firm and the service provider shall be clearly allocated in a written agreement. In particular, the investment firm shall retain its rights of instruction and termination, its rights to information and its rights of inspection and access to books and business premises. The agreement shall ensure that any outsourcing by the service provider may only take place with the written consent of the investment firm.
Where the investment firm and the service provider belong to the same group, the investment firm may take into account the extent to which it controls or can influence the actions of the service provider for the purposes of complying with this Article and Article 32.
The investment firm shall provide the competent authorities, at their request, with all the information necessary to monitor compliance of the performance of the delegated functions with the requirements of Directive 2014/65/EU and its implementing measures.
Article 32 sets out requirements when using service providers established in a third country
#1 Investment firms that outsource functions related to the management of client portfolios to a third country service provider shall, in addition to the requirements of Article 31, ensure that the following conditions are met:
(a) the service provider is authorised or registered to provide that service in its home country and is effectively supervised by a competent authority in that third country;
(b) there is an appropriate cooperation agreement between the competent authority of the investment firm and the supervisory authority of the service provider.
#2 The cooperation arrangement referred to in point (b) of paragraph 1 shall ensure that the competent authorities responsible for the investment firm are at least able to:
(a) obtain, on request, the information necessary for the performance of their supervisory duties under Directive 2014/65/EU and Regulation (EU) No 600/2014;
(b) have access to documents held in the third country which are relevant for the exercise of their supervisory duties;
(c) obtain information from the supervisory authority in the third country as soon as possible in order to investigate apparent breaches of the requirements of Directive 2014/65/EU and its implementing measures and Regulation (EU) No 600/2014;
(d) in the event of a breach of the requirements of Directive 2014/65/EU and its implementing measures and relevant national law, to address enforcement in cooperation in accordance with national and international laws applicable to the third country supervisory authority and the competent authorities in the EU.
#3 Competent authorities shall publish on their website a list of supervisory authorities in third countries with which they have concluded a cooperation arrangement referred to in point (b) of paragraph 1.
Competent authorities shall update cooperation agreements concluded before the date of entry into force of this Regulation within six months of the date of entry into force of this Regulation.
This seminar might also interest you as an update seminar for securities institutions
You have been newly appointed as an outsourcing controller? With the seminar Outsourcing Controlling according to AT 9 MaRisk you will learn the following skills for this new task:
# Requirements of the new EBA guidelines, MaRisk, KAGB and the AIFM Directive for the outsourcing officer
# New requirements for the outsourcing of important control areas
# Obligation to notify outsourcing according to FISG and WpIG
# Risk Assessment Performing Outsourcing Management in an Audit-Proof Manner
# Limiting Liability Risks – New Reporting Duties of the Outsourcing Agent
# Knowing monitoring and control obligations as an outsourcing officer
# Implementation of the EBA guidelines on outsourcing and ITC
Book the course New as Outsourcing Officer directly online; convenient and easy with the seminar form online and product no. A 12.
Target Group – Seminar Outsourcing Controlling
# Board members and managing directors at banks, financial service providers, investment and fund companies, leasing and factoring companies
# Managers and specialists from the areas of outsourcing management, risk controlling, IT compliance, compliance officers and internal auditors
Your benefits – course on outsourcing controlling
# Tasks and duties of the outsourcing officer
# Risk analysis for outsourcing: Knowing the „red lines
# Ongoing monitoring duties of the outsourcing manager
# Obligation to notify outsourcing according to FISG and WpIG
Your advantage:
Each participant receives the following S+P products with the seminar:
# S+P Checklist „Implementation of MaRisk + EBA Directive + FISG „.
# Guidelines for central outsourcing management (approx. 30 pages)
# Sample reporting for outsourcing officers
# S+P tool risk assessment outsourcing management for more audit security
Your programme:
Tasks and duties of the outsourcing representative
The range of tasks of the outsourcing representative
Efficient communication between outsourcer and insourcer:
Wozu benötige ich einen Geschäftsfortführungsplan (BCP)? Der EBA Leitfaden EBA/GL/2019/04 gibt Leitlinien für das Management von IKT- und Sicherheitsrisiken. Durch die BCPs wird sichergestellt, dass Sie auf potenzielle Ausfallszenarien angemessen reagieren können und in der Lage sind, die Geschäftstätigkeit nach Störungen wiederherzutellen.
Der BCP hat folgendes festzulegen:
# recovery time objective (RTO): vorgegebene Wiederherstellungszeit und die maximale Zeitspanne, in der ein System oder Prozess nach einem Vorfall hergestellt werden muss;
# recovery point objective (RPO): vorgegebener Wiederherstellungspunkt bzw. maximale Zeitspanne, in der ein Datenverlust bei einem Vorfall wiederhergestellt werden muss.
Unternehmen sollen bei schwerwiegenden Betriebsunterbrechungen, die spezielle Geschäftsfortführungspläne auslösen, Prioritäten bei den Geschäftsfortführungsmaßnahmen festlegen. Dabei sollen sie einen risikobasierten Ansatz verfolgen, der sich auf die durchgeführten Risikobewertungen stützen kann.
Beispielsweise kann dies für Zahlungsdienstleiter die Ermöglichung der weiteren Verarbeitung kritischer Transaktionen bei gleichzeitiger Fortsetzung der Wiederherstellungsbemühungen beinhalten.
Das Seminar Wozu benötige ich einen Geschäftsfortführungsplan (BCP)? online buchen; bequem und einfach mit dem Seminarformular online und der Produkt Nr. A04.
Zielgruppe zum Seminar: Wozu benötige ich einen Geschäftsfortführungsplan (BCP)?
Vorstände und Geschäftsführer bei Banken, Finanzdienstleistern, Kapitalanlage- und Fondsgesellschaften, Leasing- und Factoring-Gesellschaften
Führungskräfte und Spezialisten aus den Bereichen Notfallmanagement, Auslagerungsmanagement, IT-Compliance, Compliance Beauftragte und Interne Revision.
Dein Nutzen mit dem Seminar: Wozu benötige ich einen Geschäftsfortführungsplan (BCP)?
#1 Aufgaben und Pflichten des Business Continuity Managers
#2 Business Impact Analysen und Risk Impact Analysen
#3 Laufende Überwachungspflichten des Business Continuity Managers
Dein Vorsprung mit dem Seminar: Wozu benötige ich einen Geschäftsfortführungsplan (BCP)?
Jeder Teilnehmer erhält mit dem Seminar die S+P Tool Box:
+ Leitfaden für BCM (ca. 30 Seiten)
+ Muster-Reporting für Business Continuity Manager
+ S+P Tool Risk Impact Analyse für mehr Prüfungssicherheit
#1 Aufgaben und Pflichten des Business Continuity Managers
MaRisk AT 7.3: Das deutlich erweiterte Aufgabenspektrum des BCM:
o Ziele zum Notfallmanagement und Ableitung eines Notfallmanagementprozess
o Notfallkonzept für zeitkritische Aktivitäten und Prozesse
o Festlegen von geeigneten Maßnahmen zur Schadensreduzierung
Neue Reporting-Pflichten: mindestens quartalsweise Berichterstattung über den Zustand des Notfallmanagements
Notfallkonzept mit Geschäftsfortführungs- sowie Wiederherstellungsplänen
Schnittstelle Auslagerung: Outsourcer und Insourcer müssen über aufeinander abgestimmte Notfallkonzepte verfügen.
Verschärfte Anforderungen an Business Impact Analysen:
o Beeinträchtigung von Aktivitäten und Prozessen
o Art und Umfang des (im-)materiellen Schadens
o Zeitpunkt des Ausfalls.
Risk Impact Analysen für die identifizierten zeitkritischen Aktivitäten und Prozesse:
o Identifizieren und Bewerten von potentiellen Gefährdungen
o Durchführung der qualitativ verschärften Risikoanalyse auf Basis einheitlicher Scoring-Kriterien
Berücksichtigung von Notfallszenarien
o (Teil-)Ausfall eines Standortes (z. B. durch Hochwasser, Großbrand, Gebietssperrung, Ausfall der Zutrittskontrolle)
o Erheblicher Ausfall von IT-Systemen oder Kommunikationsinfrastruktur
o Ausfall einer kritischen Anzahl von Mitarbeitern
o Ausfall von Dienstleistern (z. B. Zulieferer, Stromversorger)
#3 Laufende Überwachungspflichten des Business Continuity Managers
MaRisk + BAIT: Anforderungen an Monitoring- und Kontrollhandlungen
Maßstäbe für Steuerungs- und Kontrolltätigkeiten und deren Durchführung
Prüfungssichere Bewertung der Auswirkungs- und Risikoanalysen
o Wirksamkeit und Angemessenheit des Notfallkonzeptes ist regelmäßig zu überprüfen.
o Für zeitkritische Aktivitäten und Prozesse sind die relevanten Szenarien mindestens jährlich und anlassbezogen nachzuweisen.
Überprüfungen des Notfallkonzeptes sind zu protokollieren.
o Ergebnisse sind hinsichtlich notwendiger Verbesserungen zu analysieren.
o Die Ergebnisse sind den jeweiligen Verantwortlichen schriftlich mitzuteilen.
Das Seminar Wozu benötige ich einen Geschäftsfortführungsplan (BCP)? online buchen; bequem und einfach mit dem Seminarformular online und der Produkt Nr. A04.
Das könnte dich als Business Continuity Manager auch interessieren
MaRisk 6.0: Verschärfte Anforderungen an das Notfallmanagement. Aus den ICT Guidelines werden Anforderungen zum Notfallmanagement im neu gefassten Abschnitt AT 7.3 umgesetzt.
Für alle im Rahmen einer durchzuführenden Auswirkungsanalyse identifizierten zeitkritischen Aktivitäten und Prozesse sind zunächst Risikoanalysen durchzuführen. Im Notfallkonzept muss dargestellt sein, welche Ersatzlösungen im Notfall zeitnah zur Verfügung stehen und wie eine Rückkehr zum Normalbetrieb verlaufen soll.
Als Basis hierfür dient eine Übersicht über alle Aktivitäten und Prozesse (z. B. in Form einer Prozesslandkarte). Die Wirksamkeit und Angemessenheit des Notfallkonzeptes ist regelmäßig zu überprüfen.
#1 MaRisk 6.0: Verschärfte Anforderungen an das Notfallmanagement
Das Kapitel AT 7.3 Notfallmanagement wurde nun wie folgt gefasst:
Das Institut hat Ziele zum Notfallmanagement zu definieren und hieraus abgeleitet einen Notfallmanagementprozess festzulegen. Für Notfälle in zeitkritischen Aktivitäten und Prozessen ist Vorsorge zu treffen (Notfallkonzept). Die im Notfallkonzept festgelegten Maßnahmen müssen dazu geeignet sein, das Ausmaß möglicher Schäden zu reduzieren. Das Notfallkonzept ist anlassbezogen zu aktualisieren, jährlich auf Aktualität zu überprüfen und angemessen zu kommunizieren. Die Geschäftsleitung hat sich mindestens quartalsweise und anlassbezogen über den Zustand des Notfallmanagements schriftlich berichten zu lassen.
Das Notfallkonzept muss Geschäftsfortführungs- sowie Wiederherstellungspläne umfassen. Geschäftsfortführungspläne müssen gewährleisten, dass im Notfall zeitnah Ersatzlösungen zur Verfügung stehen. Wiederherstellungspläne müssen innerhalb eines angemessenen Zeitraums die Rückkehr zum Normalbetrieb ermöglichen. Bei Notfällen ist eine angemessene interne und externe Kommunikation sicherzustellen. Im Fall der Auslagerung von zeitkritischen Aktivitäten und Prozessen haben das auslagernde Institut und das Auslagerungsunternehmen über aufeinander abgestimmte Notfallkonzepte zu verfügen.
Die Wirksamkeit und Angemessenheit des Notfallkonzeptes ist regelmäßig zu überprüfen. Für zeitkritische Aktivitäten und Prozesse ist sie für alle relevanten Szenarien mindestens jährlich und anlassbezogen nachzuweisen. Überprüfungen des Notfallkonzeptes sind zu protokollieren. Ergebnisse sind hinsichtlich notwendiger Verbesserungen zu analysieren. Risiken sind angemessen zu steuern. Die Ergebnisse sind den jeweiligen Verantwortlichen schriftlich mitzuteilen.
Die MaRisk geben zu den verschärften Anforderungen an das Notfallmanagement folgende Erläuterungen.
#2 Zeitkritische Aktivitäten und Prozesse
Zeitkritisch sind grundsätzlich jene Aktivitäten und Prozesse, bei deren Beeinträchtigung für definierte Zeiträume ein nicht mehr akzeptabler Schaden für das Institut zu erwarten ist.
Zur Identifikation von zeitkritischen Aktivitäten und Prozessen sowie von unterstützenden Aktivitäten und Prozessen, hierfür notwendigen IT-Systemen und sonstigen notwendigen Ressourcen sowie den potentiellen Gefährdungen führt das Institut Auswirkungsanalysen und Risikoanalysen durch. Als Basis hierfür dient eine Übersicht über alle Aktivitäten und Prozesse (z. B. in Form einer Prozesslandkarte).
#3 Auswirkungsanalysen – MaRisk 6.0: Verschärfte Anforderungen an das Notfallmanagement
In Auswirkungsanalysen (Business Impact Analysen) wird über abgestufte Zeiträume betrachtet, welche Folgen eine Beeinträchtigung von Aktivitäten und Prozessen für den Geschäftsbetrieb haben kann. Die Auswirkungsanalysen sollten u. a. folgende Aspekte berücksichtigen:
– Art und Umfang des (im-)materiellen Schadens
– Auswirkung des Zeitpunkts des Ausfalls auf den Schaden (z. B. Ausfall des Zahlungsverkehrs zu Hauptgeschäftszeiten)
#4 Risikoanalysen – Business Continuity Manager: Aufgaben und Pflichten
In Risikoanalysen (Risk Impact Analysen) für die identifizierten zeitkritischen Aktivitäten und Prozesse werden potentielle Gefährdungen identifiziert und bewertet, welche eine Beeinträchtigung der zeitkritischen Geschäftsprozesse verursachen können.
#5 Notfallkonzept – Aufgaben und Pflichten des Business Continuity Managers
Im Notfallkonzept werden Verantwortlichkeiten, Ziele und Maßnahmen zur Fortführung bzw. Wiederherstellung von zeitkritischen Aktivitäten und Prozessen bestimmt und Kriterien für die Einstufung sowie für das Auslösen der Pläne definiert.
#6 Notfallszenarien – MaRisk 6.0: Verschärfte Anforderungen an das Notfallmanagement
Hierbei werden mindestens folgende Szenarien berücksichtigt:
– (Teil-)Ausfall eines Standortes (z. B. durch Hochwasser, Großbrand, Gebietssperrung,Ausfall der Zutrittskontrolle)
– Erheblicher Ausfall von IT-Systemen oder Kommunikationsinfrastruktur (z. B. aufgrund von Fehlern oder Angriffen)
– Ausfall einer kritischen Anzahl von Mitarbeitern (z. B. bei Pandemie, Lebensmittelvergiftung, Streik)
– Ausfall von Dienstleistern (z. B. Zulieferer, Stromversorger)
Die Häufigkeit und der Umfang der Überprüfungen soll sich grundsätzlich an der Gefährdungslage orientieren. Dienstleister sind angemessen einzubinden. Überprüfungen beinhalten u. a.:
– Test der technischen Vorsorgemaßnahmen
– Kommunikations-, Krisenstabs- und Alarmierungsübungen
– Ernstfall- oder Vollübungen.
Die neue Fassung der MaRisk tritt mit Veröffentlichung in Kraft. Es gilt eine Übergangsfrist bis zum 31.12.2021.
Dies gilt für die auf das Auslagerungsregister bezogene Dokumentationsanforderung in AT 9 Tz. 14 MaRisk nur insoweit, als auch die Pflicht zum Vorhalten eines Auslagerungsregisters mit dem Inkrafttreten des FISG bereits zum 01.01.2022 gilt.
Andernfalls richtet sich der erstmalige Geltungstag auch für die Konkretisierung dieser Anforderung in den MaRisk nach dem Gesetz.
Davon abweichende Umsetzungsfristen ergeben sich für die Anpassung von bereits bestehenden oder in Verhandlung befindlichen Auslagerungsverträgen.
Hierfür wird eine gesonderte Umsetzungsfrist bis zum 31.12.2022 eingeräumt.
Eine Anpassung von Vertragsverhältnissen, die auf der Grundlage eines öffentlichen Vergabeverfahrens abgeschlossen wurden, kann wegen der besonderen rechtlichen Probleme unterbleiben, soweit diese Verträge befristet sind und innerhalb der nächsten fünf Jahre neu vergeben werden müssen. Die BaFin geht davon aus, dass bei Vergabeverfahren, die ab dem 01.01.2022 initiiert werden, bereits die neuen Anforderungen ausreichend berücksichtigt werden.
Institute mit hohem NPL-Bestand haben die Anforderungen aus den NPE Guidelines bereits unmittelbar nach Ablauf der Übergangsfrist am 31.12.2021 einzuhalten, sofern diese Institute an den zwei vorhergehenden Quartalsstichtagen (30.09.2021 und 31.12.2021) eine NPL-Quote größer 5 % aufweisen.
Der erste, für die Einstufung als Institut mit hohem NPL-Bestand relevante Quartalsstichtag ist daher der 30.09.2021.
Teilnehmer haben auch folgende Compliance Seminare gebucht:
Was ist ein Geschäftsfortführungsplan (BCP)? Der Geschäftsfortführungsplan (BCP) dient zur Gewährleistung der Kontinuität des Geschäftsbetriebes. Der BCP sollte von den Leitungsorganen genehmigt und dokumentiert werden.
Hierbei sollten insbesondere Risiken berücksichtigt werden, die sich dysfunktional auf IKT-Systeme und IKT-Dienste auswirken können.
Der BCP sollte den Schutz und gegebenfalls die Wiederherstellung des Vertrauens, der Integrität und der Verfügbarkeit der Unternehmensfunktion, Unterstützungsprozesse und IT-Assets fördern.
Grundsätzlich sollten Unternehmen sich bei der Erstellung dieser Pläne mit den relevanten internen und externen Akteuren abstimmen.
Das Seminar Was ist ein Geschäftsfortführungsplan (BCP)? online buchen; bequem und einfach mit dem Seminarformular online und der Produkt Nr. A04.
Zielgruppe zum Seminar: Was ist ein Geschäftsfortführungsplan (BCP)?
Vorstände und Geschäftsführer bei Banken, Finanzdienstleistern, Kapitalanlage- und Fondsgesellschaften, Leasing- und Factoring-Gesellschaften
Führungskräfte und Spezialisten aus den Bereichen Notfallmanagement, Auslagerungsmanagement, IT-Compliance, Compliance Beauftragte und Interne Revision.
Dein Nutzen mit dem Seminar: Was ist ein Geschäftsfortführungsplan (BCP)?
#1 Aufgaben und Pflichten des Business Continuity Managers
#2 Business Impact Analysen und Risk Impact Analysen
#3 Laufende Überwachungspflichten des Business Continuity Managers
Dein Vorsprung mit dem Seminar: Was ist ein Geschäftsfortführungsplan (BCP)?
Jeder Teilnehmer erhält mit dem Seminar die S+P Tool Box:
+ Leitfaden für BCM (ca. 30 Seiten)
+ Muster-Reporting für Business Continuity Manager
+ S+P Tool Risk Impact Analyse für mehr Prüfungssicherheit
#1 Aufgaben und Pflichten des Business Continuity Managers
MaRisk AT 7.3: Das deutlich erweiterte Aufgabenspektrum des BCM:
o Ziele zum Notfallmanagement und Ableitung eines Notfallmanagementprozess
o Notfallkonzept für zeitkritische Aktivitäten und Prozesse
o Festlegen von geeigneten Maßnahmen zur Schadensreduzierung
Neue Reporting-Pflichten: mindestens quartalsweise Berichterstattung über den Zustand des Notfallmanagements
Notfallkonzept mit Geschäftsfortführungs- sowie Wiederherstellungsplänen
Schnittstelle Auslagerung: Outsourcer und Insourcer müssen über aufeinander abgestimmte Notfallkonzepte verfügen.
Verschärfte Anforderungen an Business Impact Analysen:
o Beeinträchtigung von Aktivitäten und Prozessen
o Art und Umfang des (im-)materiellen Schadens
o Zeitpunkt des Ausfalls.
Risk Impact Analysen für die identifizierten zeitkritischen Aktivitäten und Prozesse:
o Identifizieren und Bewerten von potentiellen Gefährdungen
o Durchführung der qualitativ verschärften Risikoanalyse auf Basis einheitlicher Scoring-Kriterien
Berücksichtigung von Notfallszenarien
o (Teil-)Ausfall eines Standortes (z. B. durch Hochwasser, Großbrand, Gebietssperrung, Ausfall der Zutrittskontrolle)
o Erheblicher Ausfall von IT-Systemen oder Kommunikationsinfrastruktur
o Ausfall einer kritischen Anzahl von Mitarbeitern
o Ausfall von Dienstleistern (z. B. Zulieferer, Stromversorger)
#3 Laufende Überwachungspflichten des Business Continuity Managers
MaRisk + BAIT: Anforderungen an Monitoring- und Kontrollhandlungen
Maßstäbe für Steuerungs- und Kontrolltätigkeiten und deren Durchführung
Prüfungssichere Bewertung der Auswirkungs- und Risikoanalysen
o Wirksamkeit und Angemessenheit des Notfallkonzeptes ist regelmäßig zu überprüfen.
o Für zeitkritische Aktivitäten und Prozesse sind die relevanten Szenarien mindestens jährlich und anlassbezogen nachzuweisen.
Überprüfungen des Notfallkonzeptes sind zu protokollieren.
o Ergebnisse sind hinsichtlich notwendiger Verbesserungen zu analysieren.
o Die Ergebnisse sind den jeweiligen Verantwortlichen schriftlich mitzuteilen.
Das Seminar Was ein Geschäftsfortführungsplan (BCP)? online buchen; bequem und einfach mit dem Seminarformular online und der Produkt Nr. A04.
Das könnte dich als Business Continuity Manager auch interessieren
MaRisk 6.0: Verschärfte Anforderungen an das Notfallmanagement. Aus den ICT Guidelines werden Anforderungen zum Notfallmanagement im neu gefassten Abschnitt AT 7.3 umgesetzt.
Für alle im Rahmen einer durchzuführenden Auswirkungsanalyse identifizierten zeitkritischen Aktivitäten und Prozesse sind zunächst Risikoanalysen durchzuführen. Im Notfallkonzept muss dargestellt sein, welche Ersatzlösungen im Notfall zeitnah zur Verfügung stehen und wie eine Rückkehr zum Normalbetrieb verlaufen soll.
Als Basis hierfür dient eine Übersicht über alle Aktivitäten und Prozesse (z. B. in Form einer Prozesslandkarte). Die Wirksamkeit und Angemessenheit des Notfallkonzeptes ist regelmäßig zu überprüfen.
#1 MaRisk 6.0: Verschärfte Anforderungen an das Notfallmanagement
Das Kapitel AT 7.3 Notfallmanagement wurde nun wie folgt gefasst:
Das Institut hat Ziele zum Notfallmanagement zu definieren und hieraus abgeleitet einen Notfallmanagementprozess festzulegen. Für Notfälle in zeitkritischen Aktivitäten und Prozessen ist Vorsorge zu treffen (Notfallkonzept). Die im Notfallkonzept festgelegten Maßnahmen müssen dazu geeignet sein, das Ausmaß möglicher Schäden zu reduzieren. Das Notfallkonzept ist anlassbezogen zu aktualisieren, jährlich auf Aktualität zu überprüfen und angemessen zu kommunizieren. Die Geschäftsleitung hat sich mindestens quartalsweise und anlassbezogen über den Zustand des Notfallmanagements schriftlich berichten zu lassen.
Das Notfallkonzept muss Geschäftsfortführungs- sowie Wiederherstellungspläne umfassen. Geschäftsfortführungspläne müssen gewährleisten, dass im Notfall zeitnah Ersatzlösungen zur Verfügung stehen. Wiederherstellungspläne müssen innerhalb eines angemessenen Zeitraums die Rückkehr zum Normalbetrieb ermöglichen. Bei Notfällen ist eine angemessene interne und externe Kommunikation sicherzustellen. Im Fall der Auslagerung von zeitkritischen Aktivitäten und Prozessen haben das auslagernde Institut und das Auslagerungsunternehmen über aufeinander abgestimmte Notfallkonzepte zu verfügen.
Die Wirksamkeit und Angemessenheit des Notfallkonzeptes ist regelmäßig zu überprüfen. Für zeitkritische Aktivitäten und Prozesse ist sie für alle relevanten Szenarien mindestens jährlich und anlassbezogen nachzuweisen. Überprüfungen des Notfallkonzeptes sind zu protokollieren. Ergebnisse sind hinsichtlich notwendiger Verbesserungen zu analysieren. Risiken sind angemessen zu steuern. Die Ergebnisse sind den jeweiligen Verantwortlichen schriftlich mitzuteilen.
Die MaRisk geben zu den verschärften Anforderungen an das Notfallmanagement folgende Erläuterungen.
#2 Zeitkritische Aktivitäten und Prozesse
Zeitkritisch sind grundsätzlich jene Aktivitäten und Prozesse, bei deren Beeinträchtigung für definierte Zeiträume ein nicht mehr akzeptabler Schaden für das Institut zu erwarten ist.
Zur Identifikation von zeitkritischen Aktivitäten und Prozessen sowie von unterstützenden Aktivitäten und Prozessen, hierfür notwendigen IT-Systemen und sonstigen notwendigen Ressourcen sowie den potentiellen Gefährdungen führt das Institut Auswirkungsanalysen und Risikoanalysen durch. Als Basis hierfür dient eine Übersicht über alle Aktivitäten und Prozesse (z. B. in Form einer Prozesslandkarte).
#3 Auswirkungsanalysen – MaRisk 6.0: Verschärfte Anforderungen an das Notfallmanagement
In Auswirkungsanalysen (Business Impact Analysen) wird über abgestufte Zeiträume betrachtet, welche Folgen eine Beeinträchtigung von Aktivitäten und Prozessen für den Geschäftsbetrieb haben kann. Die Auswirkungsanalysen sollten u. a. folgende Aspekte berücksichtigen:
– Art und Umfang des (im-)materiellen Schadens
– Auswirkung des Zeitpunkts des Ausfalls auf den Schaden (z. B. Ausfall des Zahlungsverkehrs zu Hauptgeschäftszeiten)
#4 Risikoanalysen – Business Continuity Manager: Aufgaben und Pflichten
In Risikoanalysen (Risk Impact Analysen) für die identifizierten zeitkritischen Aktivitäten und Prozesse werden potentielle Gefährdungen identifiziert und bewertet, welche eine Beeinträchtigung der zeitkritischen Geschäftsprozesse verursachen können.
#5 Notfallkonzept – Aufgaben und Pflichten des Business Continuity Managers
Im Notfallkonzept werden Verantwortlichkeiten, Ziele und Maßnahmen zur Fortführung bzw. Wiederherstellung von zeitkritischen Aktivitäten und Prozessen bestimmt und Kriterien für die Einstufung sowie für das Auslösen der Pläne definiert.
#6 Notfallszenarien – MaRisk 6.0: Verschärfte Anforderungen an das Notfallmanagement
Hierbei werden mindestens folgende Szenarien berücksichtigt:
– (Teil-)Ausfall eines Standortes (z. B. durch Hochwasser, Großbrand, Gebietssperrung,Ausfall der Zutrittskontrolle)
– Erheblicher Ausfall von IT-Systemen oder Kommunikationsinfrastruktur (z. B. aufgrund von Fehlern oder Angriffen)
– Ausfall einer kritischen Anzahl von Mitarbeitern (z. B. bei Pandemie, Lebensmittelvergiftung, Streik)
– Ausfall von Dienstleistern (z. B. Zulieferer, Stromversorger)
Die Häufigkeit und der Umfang der Überprüfungen soll sich grundsätzlich an der Gefährdungslage orientieren. Dienstleister sind angemessen einzubinden. Überprüfungen beinhalten u. a.:
– Test der technischen Vorsorgemaßnahmen
– Kommunikations-, Krisenstabs- und Alarmierungsübungen
– Ernstfall- oder Vollübungen.
Die neue Fassung der MaRisk tritt mit Veröffentlichung in Kraft. Es gilt eine Übergangsfrist bis zum 31.12.2021.
Dies gilt für die auf das Auslagerungsregister bezogene Dokumentationsanforderung in AT 9 Tz. 14 MaRisk nur insoweit, als auch die Pflicht zum Vorhalten eines Auslagerungsregisters mit dem Inkrafttreten des FISG bereits zum 01.01.2022 gilt.
Andernfalls richtet sich der erstmalige Geltungstag auch für die Konkretisierung dieser Anforderung in den MaRisk nach dem Gesetz.
Davon abweichende Umsetzungsfristen ergeben sich für die Anpassung von bereits bestehenden oder in Verhandlung befindlichen Auslagerungsverträgen.
Hierfür wird eine gesonderte Umsetzungsfrist bis zum 31.12.2022 eingeräumt.
Eine Anpassung von Vertragsverhältnissen, die auf der Grundlage eines öffentlichen Vergabeverfahrens abgeschlossen wurden, kann wegen der besonderen rechtlichen Probleme unterbleiben, soweit diese Verträge befristet sind und innerhalb der nächsten fünf Jahre neu vergeben werden müssen. Die BaFin geht davon aus, dass bei Vergabeverfahren, die ab dem 01.01.2022 initiiert werden, bereits die neuen Anforderungen ausreichend berücksichtigt werden.
Institute mit hohem NPL-Bestand haben die Anforderungen aus den NPE Guidelines bereits unmittelbar nach Ablauf der Übergangsfrist am 31.12.2021 einzuhalten, sofern diese Institute an den zwei vorhergehenden Quartalsstichtagen (30.09.2021 und 31.12.2021) eine NPL-Quote größer 5 % aufweisen.
Der erste, für die Einstufung als Institut mit hohem NPL-Bestand relevante Quartalsstichtag ist daher der 30.09.2021.
Teilnehmer haben auch folgende Seminare MaRisk + SREP + Depot A gebucht:
Sie sehen gerade einen Platzhalterinhalt von Turnstile. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Sie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Sie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Sie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
