Regulatorikkonform in die Cloud

Unser Kunde ist eine der größten Banken in Deutschland. Betreut werden Kunden aus dem Privatkunden-Segment sowie kleine, mittlere und große, internationale Unternehmen. Die Bank war ein früher Anwender von Cloud-Lösungen und sieht die Cloud-Technologie insgesamt als einen wichtigen Baustein ihrer digitalen Transformation. Neben dem Datenschutz (GDPR) sind die EU-Richtlinien von Regulierungsbehörden wie der Europäischen Bankenaufsichtsbehörde (EBA) und der Europäischen Bankenvereinigung (EBV) ein wichtiger Bestandteil für den Einsatz dieser Technologie. Ein beträchtlicher Teil der globalen IT-Infrastruktur der Bank fällt auf eine digitale Plattform, die als private Cloud konzipiert ist und zur Speicherung und Verarbeitung von Daten und IT-Diensten wie mobilen Apps genutzt wird. Die Plattform vereinfacht und strafft bestehende Prozesse und bietet den Entwicklungs- und Betriebsteams eine automatisierte und selbst- bedienbare Infrastruktur. Auch die Betriebsprozesse der deutschen Tochter der Bank sollen nun in dieser Private Cloud integriert werden.

Das Projekt auf einen Blick

IT-Experten

Zwei erfahrene Experten in der
Businessanalyse und Prozessoptimierung

Vermittlungsart

Vermittlung von Beratern und
IT-Experten

Projektlaufzeit

18 Monate

Die Ausgangslage

Nach der Veröffentlichung der „EBA Guidelines for ICT and Security Risk Management“ (EBA ICT Guidelines) durch die EBA im November 2019 zur Schaffung einheitlicher Anforderungen an das Management von Informationstechnik und Informationssicherheit für Kreditinstitute, Wertpapierfirmen und Zahlungsdienstleister im europäischen Binnenmarkt wurden aufgrund der erforderlichen Umsetzung in nationales Recht die Bankaufsichtliche Anforderungen an die IT (BAIT) seitens der BaFin durch das Rundschreiben 10/2017 (BA) in der Fassung vom 16.08.2021 angepasst. Wie bei der Veröffentlichung der BAIT 10/2017 wurden auch hier sehr kurze Umsetzungszeiträume verlangt, da die Anforderungen aus den EBA ICT Guidelines seitens der Aufsicht als „grundsätzlich bekannt“ vorausgesetzt werden. Die deutschen Betriebsprozesse gemäß diesen Anforderungen in die europäische Private Cloud der Bank zu migrieren war deshalb für 2021 geplant und sollte zeitnah begonnen werden, um Feststellungen durch IT-Revision und Jahresabschlussprüfer sowie gegebenenfalls der Aufsichtsbehörde möglichst zu vermeiden.

Die Lösung

Die Umsetzung der Anforderung in die Praxis stellte sich jedoch als zeit- und kostenintensiv heraus, sodass das Projekt aus Sicht des Kunden vor dem Hintergrund der gebotenen schnellen Umsetzung ohne externes Knowhow nicht zu stemmen war. Darum war eine schnelle und zuverlässige Suche nach Best-Match-Experten exklusiv durch die top itservices AG geboten. Diese schlug dem Kunden gleich zwei geeignete Experten mit langjähriger Erfahrung in der Businessanalyse und Prozessoptimierung vor, deren Projekte sich intensiv im Banken- und Finance-Bereich bewegen. Zudem kennen Sie sich bestens mit den Anforderungen aus, die Regulatorik-Standards wie BAIT und EBA ICT and die IT stellen. Erfahrungen im agilen Projektmanagement und noch dazu im Cloud Computing prädestinierten sie endgültig für den Kunden. Und so hatte die Bank plötzlich die Qual der Wahl bei einem zeitkritischen Projekt, welches kurze Zeit zuvor noch gestrichen zu werden drohte.

Die Projektdurchführung

Insgesamt wird in der BAIT-Novelle die Verantwortung der Geschäftsleitung für die Informationstechnik und die Informationssicherheit betont. Und so erfolgte auch in diesem Projekt keine fokussierte IT-Sicht, sondern eine gesamtbankweite Betrachtung der Themen durch den Vorstand, der letztendlich auch das notwendige Sonderbudget freigab. Nach Projektbeginn war es, aufgrund der kurzen Umsetzungsfrist, zunächst sinnvoll eine Gap-Analyse durchzuführen, um die institutsspezifischen Handlungsbedarfe frühzeitig zu erkennen, bevor die Geschäftsprozesse in die Cloud-Lösung migriert werden. Begleitend zum Projekt erhält der Kunde eine kontinuierliche Beratung hinsichtlich der Bankenregulatoriken BAIT und EBA ICT und Berichte auf der Grundlage von Anforderungen der Geschäftsbereiche, Abteilungen und des Managements.