1. Einleitung

Der Finanzdienstleistungssektor hat in den letzten zwei Jahrzehnten einen tiefgreifenden strukturellen Wandel vollzogen. Institute, die einst einen Großteil ihrer operativen Fähigkeiten intern entwickelten und pflegten, verlassen sich heute routinemäßig auf Drittanbieter für Cloud-Computing, Zahlungsabwicklung, Know-Your-Customer (KYC)-Verifizierung, Cybersicherheit, Kernbankensysteme und eine breite Palette an ergänzenden Dienstleistungen. Die COVID-19-Pandemie hat diesen Verlauf beschleunigt und die schnelle Einführung digitaler Kanäle sowie Infrastrukturen für Remote-Arbeit erzwungen, oft durch Drittanbieter [1].

 

Diese Abhängigkeit schafft strategische Vorteile: Zugang zu spezialisiertem Fachwissen, Skalierbarkeit und Kosteneffizienz. Dennoch führt sie auch zu Schichten von operativen, rechtlichen, reputationsbezogenen und systemischen Risiken, über die sich Aufsichtsbehörden über Jurisdiktionen hinweg zunehmend besorgt zeigen. Hochkarätige Vorfälle — vom Technologieversagen bei Knight Capital 2012 bis zum MOVEit-Lieferkettenangriff 2023, der Dutzende Finanzinstitute betraf — haben das Potenzial verdeutlicht, dass Ereignisse bei Drittanbietern zu systemischen Störungen eskalieren können [2].

 

Vor diesem Hintergrund wurde die Beschaffung im Bank- und Finanzwesen neu konzipiert. Die traditionelle Einkaufsfunktion — beauftragt mit der Beschaffung von Waren und Dienstleistungen zu den niedrigsten Kosten — wird durch ein breiteres Mandat zur Lieferantensteuerung ersetzt, das regulatorische Compliance, Risikobewertung, Aufsicht über Informationssicherheit und Planung der operativen Resilienz umfasst. Dieser Artikel untersucht die Schlüsselaspekte dieser Entwicklung und beleuchtet die regulatorische Architektur, die die Third-Party Governance formt, sowie die operativen Rahmenwerke, die Institute zur Compliance implementieren müssen.

 

2. Die regulatorische Landschaft

2.1 Digital Operational Resilience Act (DORA)

Der DORA (Verordnung (EU) 2022/2554) wurde von der Europäischen Union im Januar 2023 verabschiedet und ist ab Januar 2025 anwendbar. Er stellt den bislang umfassendsten regulatorischen Eingriff in das IKT-Risikomanagement von Finanzdienstleistungen dar. Sein Ziel ist die Harmonisierung der Regeln in den EU-Mitgliedstaaten bezüglich der Steuerung der digitalen operativen Resilienz ihrer IKT-Systeme durch Finanzunternehmen — einschließlich Banken, Versicherern, Wertpapierfirmen und Anbietern von Krypto-Dienstleistungen — mit besonderem Fokus auf IKT-Drittanbieterrisiken [3].

 

Unter DORA müssen Finanzinstitute ein Register aller IKT-Drittanbieter führen und diese nach Kritikalität kategorisieren. Kritische Drittanbieter (CTPPs) unterliegen einem neuartigen Aufsichtsrahmen, der von den Europäischen Aufsichtsbehörden (ESAs), einschließlich der Europäischen Bankenaufsichtsbehörde (EBA), verwaltet wird, welche direkte Inspektionen und Audits bei diesen Anbietern durchführen können. Dies stellt einen fundamentalen Wandel dar: Regulatoren begnügen sich nicht mehr damit, nur das Finanzinstitut verantwortlich zu machen; sie üben nun direkte Aufsichtsbefugnisse über die Anbieter selbst aus [4].

 

Für Beschaffungsfunktionen schreibt DORA zwingende vertragliche Anforderungen vor. Schriftliche Verträge mit IKT-Drittanbietern müssen Bestimmungen zu Service Levels, Auditrechten, Datenspeicherort und Portabilität, Meldepflichten bei Vorfällen, Kündigungsrechten und Ausstiegsstrategien enthalten. Entscheidend ist, dass DORA von Finanzinstituten verlangt, Konzentrationsrisiken aus ihren IKT-Lieferantenportfolios zu identifizieren und zu verwalten sowie ihre Fähigkeit zu testen, kritische Vereinbarungen ohne Betriebsunterbrechungen zu beenden [5].

2.2 OCC-Leitlinien für Drittanbieterbeziehungen

In den Vereinigten Staaten hat das Office of the Comptroller of the Currency lange Erwartungen an das Management von Drittanbieterbeziehungen durch Banken etabliert. Die 2023 gemeinsam vom OCC, der Federal Reserve und der FDIC herausgegebenen behördenübergreifenden Leitlinien fassen frühere Anleitungen zu einem einheitlichen Rahmen zusammen, der auf alle Drittanbieterbeziehungen anwendbar ist, nicht nur auf „kritische“ [6]. Die Leitlinien identifizieren drei Phasen des Beziehungslebenszyklus — Planung, laufende Überwachung und Beendigung — und legen fest, dass Institute eine risikobasierte Due-Diligence-Prüfung durchführen müssen, die proportional zum Risiko der jeweiligen Beziehung ist.

 

Der OCC-Rahmen weist Vorständen und dem Senior Management ausdrückliche Verantwortung zu. Beschaffungsaktivitäten werden von einer operativen Funktion zu einer Governance-Angelegenheit erhoben: Von Vorständen wird erwartet, Richtlinien für das Management von Drittanbieterbeziehungen zu genehmigen, regelmäßige Berichte über bedeutende Vereinbarungen zu prüfen und sicherzustellen, dass angemessene Ressourcen für die Aufsicht bereitgestellt werden. Diese Governance-Rahmung richtet Beschaffungsentscheidungen an der Risikobereitschaft und den strategischen Zielen des Instituts aus, anstatt die Lieferantenauswahl als rein kommerzielle Übung zu behandeln [7].

2.3 FCA SYSC 8 und das britische Auslagerungsregime

Im Vereinigten Königreich regelt das Handbuch für Senior Management Arrangements, Systems and Controls der Financial Conduct Authority — speziell Kapitel 8 (SYSC 8) — die Auslagerung durch autorisierte Firmen. SYSC 8 verlangt, dass Firmen keine Aktivitäten so auslagern, dass die Qualität interner Kontrollen oder die Fähigkeit der FCA oder PRA zur Überwachung der Firma wesentlich beeinträchtigt wird. Die Regeln legen Pflichten fest, die Aufsicht über ausgelagerte Funktionen beizubehalten, sicherzustellen, dass der Anbieter gleichwertige Standards erfüllt, und die Kontinuität der Dienstleistung zu wahren [8].

 

Nach der Veröffentlichung der EBA-Leitlinien für Auslagerungsvereinbarungen (EBA/GL/2019/02) und deren Übernahme in die britische Regulierungspraxis nach dem Brexit müssen britische Finanzinstitute nun umfassende Assessments vor der Auslagerung durchführen, ein Auslagerungsregister führen, spezifische vertragliche Bestimmungen aufnehmen und Regulatoren über wesentliche Auslagerungsvereinbarungen informieren. Die Supervisory Statement SS2/21 der Prudential Regulation Authority (PRA) zu Auslagerungs- und Drittanbieterrisikomanagement erläutert die Erwartungen an PRA-regulierte Firmen weiter, einschließlich Anforderungen an Kontrollen bei Unterauslagerungen und Geschäftskontinuitätsvereinbarungen [9].

 

3. Rahmenwerke für das Third-Party Risk Management (TPRM)

3.1 Der Vendor-Risiko-Lebenszyklus

Effektives TPRM im Finanzdienstleistungssektor ist um ein Lieferantenlebenszyklusmodell mit fünf Stufen strukturiert: (i) Lieferantenidentifikation und -kategorisierung; (ii) Due Diligence und Assessment vor Vertragsabschluss; (iii) Vertragsverhandlung und -abschluss; (iv) laufende Überwachung und Leistungsmanagement; und (v) Offboarding und Ausstiegsmanagement. Jede Stufe birgt spezifische Risiken, die Beschaffungsteams in Zusammenarbeit mit Rechts-, Compliance-, Informationssicherheits- und Geschäftsbereichen verwalten müssen [10].

 

In der Phase der Identifikation und Kategorisierung segmentieren Institute Lieferanten nach dem inhärenten Risiko, das sie darstellen, typischerweise über Dimensionen wie Datensensibilität, Kritikalität für den Betrieb, regulatorische Exposition, finanzielle Gesundheit und Jurisdiktionsrisiko. Gestufte Risikomodelle — wie sie vom Shared Assessments Program oder dem Financial Services Information Sharing and Analysis Center (FS-ISAC) empfohlen werden — ermöglichen eine proportionale Zuweisung von Due-Diligence-Ressourcen, wobei die intensivste Prüfung bei kritischen Tier-One-Anbietern angewendet wird [11].

3.2 Due Diligence und Informationssicherheits-Assessment

Die Due-Diligence-Prüfung vor Vertragsabschluss im Finanzdienstleistungssektor geht weit über Finanzanalysen und Referenzprüfungen hinaus. Informationssicherheits-Assessments sind zu einem zentralen Bestandteil geworden, getrieben von der Erkenntnis, dass Datenlecks aus Systemen Dritter einen der bedeutendsten Bedrohungsvektoren für die Branche darstellen. Institute fordern routinemäßig, dass Lieferanten standardisierte Fragebögen ausfüllen — wie die der Standardised Information Gathering (SIG)-Initiative —, die Kontrollen in Bereichen wie Zugriffsmanagement, Verschlüsselung, Incident Response und Geschäftskontinuität abdecken [12].

 

Audits und Zertifizierungen Dritter, einschließlich SOC 2 Type II-Berichten, ISO/IEC 27001-Zertifizierung und Cloud-spezifischen Attestierungen (wie CSA STAR), bieten strukturierte Sicherheit, dass Lieferantenkontrollen definierte Standards erfüllen. Regulatoren und Praktiker erkennen jedoch zunehmend, dass punktuelle Assessments unzureichend sind: Tools zur kontinuierlichen Überwachung — die die Sicherheitslage des Lieferanten, Nachrichtenereignisse und die finanzielle Gesundheit in Echtzeit verfolgen — werden zum Industriestandard und sind unter Rahmenwerken wie DORA entweder vorgeschrieben oder werden dringend empfohlen [13].

3.3 Vertragliche Schutzmaßnahmen und SLAs

Der Vertrag selbst dient als primäres Instrument der Lieferantenrisiko-Governance. Verträge in der Beschaffung von Finanzdienstleistungen haben sich als Reaktion auf regulatorische Anforderungen substanziell weiterentwickelt und beinhalten Bestimmungen zu: Datenverarbeitung und Unterauftragsverarbeitung (im Einklang mit DSGVO und gleichwertigen Regimen); Audit- und Inspektionsrechten; Fristen für die Benachrichtigung bei Vorfällen (typischerweise 24-72 Stunden bei wesentlichen Vorfällen); Standards für Geschäftskontinuität und Disaster Recovery; Kündigungsrechten bei Insolvenz, Kontrollwechsel oder regulatorischem Einwand; sowie Verpflichtungen zur Rückgabe und Löschung von Daten bei Vertragsende [14].

 

Service Level Agreements (SLAs) in regulierten Sektoren müssen kommerzielle Praktikabilität mit regulatorischer Verteidigungsfähigkeit in Einklang bringen. Regulatoren erwarten, dass SLAs tatsächlich wesentliche Leistungsschwellen widerspiegeln — keine Wunschziele — und dass Abhilfemaßnahmen bei Vertragsverletzungen proportional zum Einfluss der Minderleistung auf das Institut und seine Kunden sind. Die britische FCA hat die Praxis kritisiert, SLAs einzubetten, die so vage sind, dass sie keinen sinnvollen Schutz bieten [15].

 

4. Lieferantenkonzentrationsrisiko

Eines der strukturell bedeutendsten Risiken bei der Beschaffung von Finanzdienstleistungen ist die Lieferantenkonzentration: das Ausmaß, in dem Institute — individuell und kollektiv — von einer kleinen Anzahl an Anbietern für kritische Funktionen abhängig sind. Cloud-Infrastruktur bietet das deutlichste Beispiel. Eine Analyse der Bank of England aus dem Jahr 2023 ergab, dass die Mehrheit der im Vereinigten Königreich regulierten Institute sich für wesentliche Elemente ihres Betriebs auf einen von drei Hyperscale-Cloud-Anbietern verließ — Amazon Web Services, Microsoft Azure oder Google Cloud Platform [16].

 

Diese Konzentration ist nicht nur ein Problem einzelner Firmen; sie ist systemisch. Ein Ausfall oder Sicherheitsvorfall bei einem dominanten Anbieter könnte gleichzeitig den Betrieb mehrerer systemrelevanter Institute beeinträchtigen und Ansteckungseffekte über Zahlungssysteme, Kapitalmärkte und Einlagengeschäfte auslösen. Regulatoren haben mit erhöhter Aufmerksamkeit reagiert: DORA verlangt explizit von Finanzunternehmen, IKT-Konzentrationsrisiken abzubilden und zu bewerten, sowohl auf Unternehmensebene als auch, durch ESA-Koordination, auf sektoraler Ebene. Die EBA veröffentlicht regelmäßig Berichte zur Cloud-Konzentration im EU-Bankensektor und stuft das Risiko als Priorität für die Aufsicht ein [17].

 

Aus Sicht der Beschaffungsstrategie erfordert das Management von Konzentrationsrisiken bewusste Multi-Vendor-Architekturen, Portabilitätsstandards und Interoperabilitätsanforderungen, die von Anfang an in Verträge eingebettet werden. Ausstiegsstrategien — einschließlich der Fähigkeit, Workloads oder Daten innerhalb eines definierten Zeitrahmens auf einen alternativen Anbieter zu migrieren — müssen getestet, nicht nur dokumentiert werden. Beschaffungsteams müssen eng mit den Technologie- und Enterprise-Architecture-Funktionen zusammenarbeiten, um sicherzustellen, dass kommerzielle Entscheidungen nicht versehentlich eine Abhängigkeit (Lock-in) schaffen, die die operative Resilienz untergräbt [18].

 

5. Die wachsende Rolle der Beschaffung

Die Konvergenz von regulatorischen Forderungen, Cyberrisiken und Anforderungen an die operative Resilienz formt die Beschaffungsfunktion im Finanzdienstleistungsbereich grundlegend um. Der CPO und sein Team können nicht länger als transaktionale Intermediäre agieren, die sich primär auf Kosteneinsparungen und Vertragseinhaltung konzentrieren. Sie müssen stattdessen als risikobewusste Orchestratoren dienen, fähig, zwischen Rechts-, Compliance-, Technologie- und Geschäftsinteressen zu koordinieren, um Lieferantenbeziehungen zu liefern, die kommerziell fundiert, operativ resilient und nachweislich konform mit regulatorischen Erwartungen sind [19].

 

Dies erfordert Investitionen in Fähigkeiten, die für die Beschaffung relativ neu sind: TPRM-Technologieplattformen (wie Coupa, Ariba integriert mit Risikomodulen oder spezialisierte Tools wie ProcessUnity und OneTrust), datengesteuertes Risikoscoring und Beschaffungspersonal mit ausreichendem Wissen über Informationssicherheit und regulatorische Rahmenwerke, um sinnvolle Lieferantengespräche zu führen. Das Chartered Institute of Procurement and Supply (CIPS) hat diesen Wandel erkannt und Leitlinien für Lieferkettenrisiken im Finanzdienstleistungsbereich entwickelt, die sowohl kommerzielle als auch regulatorische Dimensionen berücksichtigen [20].

 

Governance-Strukturen müssen sich ebenfalls anpassen. Viele Institute haben dedizierte Drittanbieter-Risikoausschüsse eingerichtet oder TPRM unter dem Modell der drei Verteidigungslinien (Three Lines of Defence) in ihre Enterprise-Risk-Management-Rahmenwerke integriert — wobei die Beschaffung die erste Linie einnimmt, Compliance und Risikomanagement die zweite und die interne Revision die dritte. Regelmäßige Berichterstattung an Vorstände und Senior-Risikoausschüsse über das Drittanbieter-Risikoprofil des Instituts — einschließlich Konzentration, Leistung und neu aufkommender Risiken aus dem Lieferantenökosystem — wird von Regulatoren zunehmend als Governance-Basis erwartet [21].

 

6. Fazit

Die Beschaffung im Bank- und Finanzwesen ist in eine neue Ära eingetreten, die nicht mehr nur durch das Streben nach Kosteneinsparungen definiert ist, sondern durch den Imperativ, Drittanbieterrisiken in einer dichten und sich entwickelnden regulatorischen Landschaft zu steuern. DORA, behördenübergreifende OCC-Leitlinien, FCA SYSC 8 und gleichwertige Rahmenwerke in anderen Jurisdiktionen haben die Drittanbieter-Governance kollektiv von einem Back-Office-Anliegen zu einer Verantwortung auf Vorstandsebene erhoben.

 

Die Herausforderungen sind erheblich. Finanzinstitute müssen gleichzeitig die kommerzielle Leistung hunderter oder tausender Lieferantenbeziehungen verwalten, aktuelle Risikobewertungen in einem sich schnell verändernden Bedrohungsumfeld aufrechterhalten, komplexe regulatorische Anforderungen in Verträge und Due-Diligence-Prozesse einbetten und strukturelle Schwachstellen wie Lieferantenkonzentrationsrisiken angehen. Keine dieser Zielsetzungen kann von Beschaffungsteams erreicht werden, die isoliert arbeiten.

 

Was erforderlich ist, ist ein Modell integrierter Third-Party Governance — eines, in dem Beschaffungs-, Risiko-, Compliance-, Rechts- und Technologiefunktionen als kohärente Einheit agieren, unterstützt durch geeignete Technologie- und Aufsichtsstrukturen. Institute, die in dieses Modell investieren, werden besser positioniert sein, nicht nur regulatorische Erwartungen zu erfüllen, sondern das strategische Potenzial ihrer Lieferantenbeziehungen zu realisieren, wodurch Third-Party Governance zu einer Quelle wettbewerbsfähiger Resilienz statt lediglich zu einer Compliance-Belastung wird.