Begrifflichkeiten in den Anwendungen

Die BaFin gibt die MaRisk-Compliance-relevanten Rechtsgebiete vor, die seitens der BVR zweimal jährlich veröffentlicht werden. Die Liste ist nicht fix, sondern verändert sich in unregelmäßigen Abständen. Auch kann es vorkommen, dass die BaFin die Risikoeinstufung oder die MaRisk-Compliance-relevanz zu einzelnen Rechtsgebieten anpasst.

Was kann passieren, wenn man die regulatorischen und aufsichtsrechtlichen Vorgaben nicht erfüllt.

Jede Bank ist dazu angehalten, ein rechtliches Monitoring zu führen, in dem alle relevanten rechtlichen und aufsichtsrechtlichen Anforderungen aufgeführt sind. Bankintern ist die Umsetzung seitens des Beauftragten MaRisk-Compliance zu überwachen. Bestandteile des Monitorings sind relevante höchstrichterliche Urteile oder Rundschreiben aus den jeweiligen Verbänden.

Sicherungsmaßnahmen dienen dazu, ein Risiko einer Typologie zu reduzieren. Hierbei ist es wichtig, dass nicht nur beurteilt wird, ob es eine Sicherungsmaßnahme gibt, sondern auch ob Sie auch angemessen und wirksam sind. Desto wirksamer die  Sicherungsmaßnahmen, desto geringer das Risiko.

Der Jahresüberwachungsplan stellt die Planung der Kontrollhandlungen durch den Compliance-Beauftragten dar. Im Gegensatz zu der Internen Revision ist der Jahresüberwachungsplan des Beauftragten MaRisk-Compliance dynamisch; d.h. er verändert sich im Laufe eines Jahres immer wieder. Der Beauftragte kann zu Jahresbeginn nicht wissen, welche Gesetze in diesem Jahr verabschiedet werden, welche internen wesentlichen Änderungen und Projekte angestoßen werden -und wie diese auf die Risikosituation der Bank auswirken, genauso wenig weiß er, welche compliance-relevanten Ereignisse stattfinden oder welche relevanten Rundschreiben wer veröffentlicht

Unter Betroffenenrechten, oder den „Rechten der betroffenen Person“ im Terminus der EU-DSGVO, versteht das Datenschutzrecht die Rechte jedes Einzelnen gegenüber dem für die Verarbeitung Verantwortlichen.

In der neuen Fassung des BDSG beschäftigt sich das Kapitel 2 in den §§ 32 bis 37 mit diesen Rechten.

In der EU-DSGVO finden sich diese im Kapitel III, Artikel 12 bis 23.

Stärker als bisher tritt mit der EU-DSGVO eine Beweislastumkehr für die Verarbeitung von Daten in Kraft.

Während der § 7 Satz 2 BDSG eine Schadenersatzpflicht gegenüber Betroffenen verneint, wenn "die verantwortliche Stelle die nach den Umständen des Falles gebotene Sorgfalt beachtet hat", geht die EU-DSGVO noch deutlich weiter.

Hier wird im Art. 5 Abs. 2 der Nachweis der Einhaltung der Grundsätze der Verarbeitung personenbezogener Daten und damit eine ausführliche Dokumentation aller Verarbeitungsvorgänge gefordert.

Die Datenschutz-Folgenabschätzung (DSFA) ähnelt der bisher im deutschen Datenschutzrecht schon bekannten Vorabkontrolle (§ 4d Abs. 5 BDSG).

Diese ist immer dann durchzuführen, wenn besonders sensible Daten nach § 3 Abs. 9 BDSG verarbeitet werden oder die Datenverarbeitung dazu bestimmt ist, die Persönlichkeit des Betroffenen, einschließlich seiner Fähigkeiten, Leistungen oder seines Verhaltens zu bewerten.

In diesen Fällen wird es notwendig, unter Zuhilfenahme des Datenschutzbeauftragten die dem Verfahren innewohnenden besonderen Risiken für die Rechte und Freiheiten des Betroffenen zu prüfen und eine Stellungnahme zur Rechtmäßigkeit der Datenverarbeitung abzugeben.

Wie die Vorabkontrolle dient die Datenschutz-Folgenabschätzung nach Art. 35 EU-DSGVO der Bewertung von Risiken und deren möglichen Folgen für die persönlichen Rechte und Freiheiten der Betroffenen.

EUropäische Datenschutzgrundverordnung.

Datenschutzfreundliche Voreinstellungen/Standardeinstellungen.

Per Voreinstellung: Verarbeitung nur von Daten, deren Verarbeitung für den bestimmten Verarbeitungszweck erforderlich sind.

Privacy by Design.

Ziel ist ein "eingebauter" Datenschutz bereits in den Anwendungen, Systemen und Prozessen.

Die sechs Handlungsfelder mit ihren jeweiligen Unterkategorien beziehen sich auf die sechs Themenbereiche, welche vom BVR vorgegeben sind. 

Durch regelmäßige Rundschreiben werden gesetzliche Anforderungen definiert, welche von den Häusern zu berücksichtigen sind.

Zu den Handlungsfeldern können zielführende Maßnahmen erstellt werden, anhand derer der Umsetzungsstatus überprüft werden kann.

Der Zielerreichungsgrad wird aus dem Umsetzungsstatus der zu den einzelnen Handlungsfeldern definierten Maßnahmen abgeleitet. 

Der Jahresüberwachungsplan stellt die Planung der Kontrollhandlungen durch den Nachhaltigkeits-Beauftragten dar. 

Standards

Gemäß den Mindestanforderungen an das Risikomanagement (MaRisk) sowie den bankaufsichtlichen Anforderungen an die IT (BAIT) ist die Umsetzung des in der IT-Strategie gewählten Standards nachvollziehbar zu dokumentieren.

Folgende Standards stehen für die Modellierung zur Verfügung:

• BSI-Grundschutzkompendium.
• ISO 27001 / 27002 (zusätzliche Lizenzierung beim Beuth-Verlag GmbH erforderlich).
  
• Standard für die Ordnungsmäßigkeit der IT-Verfahren (SOIT).
• Sicherheitsmaßnahmenkatalog der Fiducia & GAD IT AG (SiMaKat).
• BSI-Checklisten für ehemalige GAD-Banken.
• Versicherungstechnische Anforderungen an die IT (VAIT).
• Kapitalverwaltungsaufsichtliche Anforderungen an die IT (KAIT).

Unter Reifegrad versteht man im Kontext des IT-Servicemanagments den Grad der Prozessbeherrschung bzw. Verbesserung.

• teilweise: Die Soll-Anforderungen aus dem gewählten Standard sind im Unternehmen teilweise umgesetzt und entsprechen nicht vollständig den Anforderungen.
• vollständig: Die Soll-Anforderungen aus dem gewählten Standard sind im Unternehmen vollständig umgesetzt bzw. erfüllen die Anforderungen. 
• nicht umgesetzt : Die Soll-Anforderungen des gewählten Standards sind im Unternehmen nicht umgesetzt und entsprechen nicht den Anforderungen.

Abweichungen

SLA = Service Level Agreement (deutsch: Dienstgütevereinbarung).

Im SLA-Monitoring können Sie Ihre mit den Dienstleistern geschlossenen Service-Level-Agreements prüfen und überwachen.

Die Steuergebiete sind steuerrelevante Bereiche, die bankindividuell identifiziert werden und für die eine Risikoeinstufung vorgenommen werden soll.

Durch regelmäßige Rundschreiben werden gesetzliche Anforderungen definiert, welche von den Häusern zu berücksichtigen sind.

Hausinterne Aktivitäten, z. Bsp. Projekte, Besprechungen u.a., welche steuerrelevante Themen betreffen, können als Aktivitäten definiert und dokumentiert werden.

Kontrollen helfen dabei, systemseitig die einzelnen Steuergebiete zu auditieren und dies auch durch entsprechende Kontrollen zu dokumentieren.

An Risiken können zielführende Maßnahmen erstellt werden, an denen der Umsetzungsstatus überprüft werden kann.

Die Themengebiete sind WpHG-relevante Bereiche, die bankindividuell identifiziert werden, für die eine Risikoeinstufung vorgenommen werden soll.

Das Scoring ergibt sich aus neun Standard-Kriterien, deren Ergebnis jeweils mit einem Scorewert verbunden sind. Der Gesamtscore soll als quantitatives Hilfsmittel zur Risikoeinstufung dienen. Sowohl die Fragen, als auch der vorgegebenen Punkte sind unveränderbar. Der maximal zu erreichende Gesamtscore entspricht 49,5.

Themengebietsspezifische Fragen

Die Themengebietsspezifischen Fragen dienen als qualitative Unterstützung der Risikoeinstufung. Die Fragen können bankindividuell ergänzt, geändert oder gelöscht werden.

Die Übergreifende Überwachungsaktivität bildet den Rahmen einer bestimmten Überwachung. Sie ist einem Themengebiet und einer bestimmten Risikoanalyse zugeordnet. Einer Übergreifenden Überwachungsaktivität können mehrere Detaillierte Überwachungshandlungen und Erforderliche Maßnahmen zugeordnet werden.

Die Aspekte sind Fragestellungen, die zur vollumfänglichen Überwachung eines Themengebiets herangezogen werden können. Die Fragen können bankindividuell ergänzt, geändert oder gelöscht werden.

Die Detaillierten Überwachungshandlungen dienen zur Dokumentation der Durchführung einzelner Überwachungshandlungen. Die Überwachungshandlungen können einer oder mehreren Übergreifenden Überwachungsaktivitäten zugeordnet werden.