Prüfungsbereitschaft für die IT-Aufsicht
Ein Spezialinstitut einer Bankengruppe hat sich in 13 Projekten auf eine IT-Prüfung nach § 44 KWG vorbereitet.
Nachdem die Aufsicht die IT mehrerer Institute der Gruppe geprüft hatte, rechnete das Institut mit einer eigenen Prüfung. Im Haus lief zu dieser Zeit noch die Integration nach einer Fusion. Ein Programm sollte die bekannten Lücken nach Risiko geordnet schließen. Das Programmmanagement (PMO) übernahm Blue Mountain mit zwei Beratern.
Kunde
Spezialinstitut einer Bankengruppe
Branche
Banken
Leistung
Regulatorik & Resilienz
Laufzeit
Rund zweieinhalb Jahre
Rolle von Blue Mountain
Programmmanagement (PMO) mit zwei Beratern, zuständig für die Anforderungsliste, für Planung, Controlling und Statusberichte, für Methodik und Standards der Projekte und für die Lenkungskreis- und Vorstandsvorlagen
Ansprechpartner
Benedikt Meyer
650
Anforderungen mit Handlungsbedarf (gerundet), jede mit einer verantwortlichen Person in der Linie
13
Projekte, zum Programmende abgeschlossen oder in Folgeprojekte der Linie überführt
35
neue Stellen in der Linie, vom Vorstand bewilligt
24
Stunden Antwortfrist für Dokumentenanforderungen der Prüfer, im Ablauf für den Prüfungsfall festgelegt
Ausgangslage
Die Integration nach der Fusion band Fachbereiche und IT bis ins zweite Programmjahr. Wer sich auskannte, war mehrfach verplant. Die größten Lücken lagen bei Informationssicherheit und der Steuerung von Auslagerungen. Der Vorstand begrenzte das Ziel darauf, dass keine gewichtigen oder schwerwiegenden Feststellungen (F3 oder F4) mehr zu erwarten sein sollten, und verzichtete auf Maximallösungen.
Vorgehen
Zu Beginn trug das Programm rund 1.000 Anforderungen aus neun Quellen zusammen, darunter Prüfberichte der Gruppe, Feststellungen der Internen Revision und der Abgleich mit MaRisk und BAIT. Nach dem Vergleich mit dem Ist-Stand blieben rund 650 mit Handlungsbedarf. Jede bekam ein Projekt, eine Welle, eine Kritikalitätsstufe und eine verantwortliche Person in der Linie, die entschied, wie weit die Lücke zu schließen war und ob das Ergebnis reichte. Eine Wirtschaftsprüfungsgesellschaft prüfte die Einstufung in zwei Workshopreihen mit den Projektleitern. Daraus entstand je Projekt ein Quartalsplan, der festhielt, ab wann keine F4- und später keine F3-Feststellungen mehr zu erwarten waren. Blue Mountain führte die Anforderungsliste. Jedes Projekt plante in Ergebnissen mit eigener Kennung, die mit den Anforderungen verknüpft waren, sodass sich der Monatsbericht direkt aus der Planung ziehen ließ. Ein Ergebnis galt erst als erledigt, wenn die zugehörige Anforderung abgenommen war. Was auf eine ausstehende Entscheidung warten musste, stellte der Vorstand per Beschluss zurück und übernahm das Restrisiko ausdrücklich.
Ergebnis
Die Linie übernahm die abgeschlossenen Projekte, offene Themen führten die zuständigen Bereiche in eigenen Folgeprojekten weiter.
Die Aufsicht hat während der Laufzeit nicht geprüft. Zum Programmende unterstützte eine neue zentrale Einheit die Fachbereiche bei Auslagerungen, BCM, Datenschutz und Informationssicherheit. Für diese Einheit und für zusätzliche Aufgaben in IT und Compliance hatte der Vorstand neue Stellen bewilligt. Auslagerungsregister, Business-Impact-Analyse und Informationsrisiken lagen auf einer gemeinsamen Plattform. Eine zweite Wirtschaftsprüfungsgesellschaft hatte die Prüfungsunterlagen durchgesehen, und für den Prüfungsfall stand ein Kernteam von rund zehn Personen bereit, über das alle Anfragen laufen sollten. Weil einige Lücken erst in den Folgeprojekten geschlossen werden sollten, hing es vom Zeitpunkt einer Prüfung ab, wie viel sie noch finden würde.
Die vollständige Case Study als PDF
Die vollständige Fassung enthält zusätzlich die Programmgovernance, den Zuschnitt der 13 Projekte, die Wellenplanung, die Steuerungsinstrumente des Programmmanagements, den Ablauf im Prüfungsfall, die Punkte, die nicht glattliefen, und eine Einschätzung, was sich auf DORA übertragen lässt. Nach dem Absenden schicken wir Ihnen den Link zum PDF per E-Mail.
PDF, 4 Seiten, 0,8 MB, Stand Oktober 2026
Wenn Sie lieber direkt mit Benedikt Meyer über das Projekt sprechen möchten, rufen Sie uns an oder vereinbaren Sie einen Termin.
