Procurement als Schlüssel für Compliance und Nachhaltigkeit

Compliance einhalten, Nachhaltigkeit etablieren, Risiken minimieren

In den letzten zehn Jahren ist die Finanzregulierung mit restriktiven Kapitalanforderungen, strengeren Risikomanagement-Verpflichtungen und neuen Datenschutzgesetzen enorm gewachsen. Die Einhaltung dieses breiten Regelwerks ist keine Option mehr, sondern längst ein Muss, da sonst das Kerngeschäft gefährdet wird.

Die Beschaffung als wichtige Schnittstelle zu Dritten ist ein wichtiger Faktor beim Schutz des Unternehmens vor dem Haftpflichtrisiko. Mündige Procurement-Teams sehen in den Lieferanten jedoch nicht nur eine Quelle für Kosteneinsparungen und Risikominderung. Sondern sie betrachten sie auch als eine Schlüsselkomponente zur Verbesserung der Unternehmensleistung, Innovation, Nachhaltigkeit und Vielfalt. Zukunftsorientierte Unternehmen nutzen die Beschaffung, um ihr Geschäftsmodell zu optimieren, die steigenden Kundenerwartungen zu erfüllen und im sich verschärfenden globalen Wettbewerb dauerhaft zu bestehen.

Erfahren Sie hier, welche Kriterien dabei besonders wichtig sind und wie sich Finanzunternehmen auf neue Outsourcing-Maßregeln im „Fahrwasser“ von geschärften Compliance-Vorgaben gezielt vorbereiten können!

Themen im Überblick:

Wie die Beschaffung zur Compliance & Risikominimierung beiträgt

Digitale Procure- & Source-to-Pay-Lösungen: Anforderungen und Vorteile

Insbesondere Finanzunternehmen benötigen eine dynamische Lösung, welche die Beschaffung nutzen kann, um sowohl die Einhaltung der Vorschriften zu gewährleisten als auch dem Unternehmen einen Mehrwert zu bieten – sie brauchen eine Software Suite, die folgende Ansprüche einlösen beziehungsweise diese Vorteile bieten muss:

Minimierung des Lieferantenrisikos und Gewährleistung der Compliance

Aufbau einer konformen Source-to-Pay-Prozessbuchhaltung für FRB- und EBA-Leitlinien in Bezug auf das Outsourcing (FRB: Federal Reserve Banks, EBA: Europäische Bankaufsichtsbehörde)
Vollständiges Kennenlernen der Lieferanten mittels 360-Grad-Informationen
Proaktives Verwalten des Risikos und der Leistung von Lieferanten und Subunternehmern
Erfüllung der Audit- und Berichterstattungsanforderungen von Aufsichtsorganen

Nachhaltige Wertschöpfung mit Lieferanten- und Kategorienmanagement

Strategische Verwaltung von Kategorien, um über die Einsparungen hinaus Wert zu schaffen
Enge Zusammenarbeit mit Lieferanten in puncto Innovationen und bei Fragen zu behördlichen Vorgaben
Integration der Nachhaltigkeitsziele des Unternehmens in das Lieferanten- und Kategorienmanagement
Nachverfolgung von geplanten und tatsächlichen Leistungen, damit einhergehende Berichterstellung

Effektive Wertschöpfung mit durchgehend digitalem Procure-to-Pay

Die Mitarbeiter mit einem modernen Einkaufserlebnis begeistern
Die Compliance bei Ausgaben verbessern
Alle Lieferanten onboarden, um digitale Transaktionen zu ermöglichen
Global standardisierte Abläufe bei gleichzeitiger Erfüllung lokaler Anforderungen gewährleisten

Die Kosten für Dienstleistungen verwalten, sich die besten Talente sichern

Die Talentlücke durch ausreichendes Angebot überbrücken
Die Einhaltung von Einkaufsrichtlinien maximieren
Absolut sicherer Vertragsprozess zur Minimierung von Fehlklassifizierungen
Sicherstellen, dass Qualitätsstandards eingehalten werden
Verlängerungen antizipieren

Der Wert einer kompletten, einheitlichen Source-to-Pay-Lösung

Was die neuen Outsourcing-Richtlinien der EBA bringen & bedeuten

Die neuen Outsourcing-Richtlinien der Europäischen Bankaufsichtsbehörde

Die Finanzkrise von 2008/2009 und eine ganze Reihe von Skandalen haben das Vertrauen in Finanzinstitutionen stark erschüttert. Die Antwort war eine strengere Regulierung, die mit den aktuellen Outsourcing-Richtlinien der Europäischen Bankaufsichtsbehörde (EBA) nun weiter verschärft wird. Die Richtlinien sind bereits seit 30. September 2019 in Kraft und müssen somit durch die EU-Mitgliedsstaaten zur Wirkung gebracht werden. In Deutschland obliegt diese Aufgabe der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin).

Da bei Nichteinhaltung im Extremfall sogar der Entzug der Banklizenz droht, besteht Handlungsbedarf: Finanzorganisationen müssen ihr Outsourcing transparenter gestalten, das hausinterne Risiko- und Compliance-Management verbessern – und Ordnung in ihre Beschaffungsprozesse und IT-Landschaften bringen.

Im Gegensatz zu früheren Regelungen gelten die neuen Vorgaben nicht nur für Banken, sondern auch für FinTechs, Investmentfirmen, Kreditinstitute und E-Payment-Anbieter. Die EBA legt den Schwerpunkt auf „kritische Aktivitäten“ und verbreitert zugleich die Definition von Outsourcing – sie gilt zwar nicht für Leistungen wie Reinigungs- oder Verpflegungsdienste oder Rechtsanwälte. Aber sie umfasst aber einen erheblichen Anteil der IT-Dienstleistungsverträge sowie ausgelagerte Back-Office-, Bearbeitungs- und ähnliche Dienstleistungen, die für jede Institution spezifisch sind. Entsprechend hoch sind auch die Aufwände zur Umsetzung.

Hintergrund, Ziel und Erwartungshaltung der neuen Richtlinien

Die EBA ist unter anderem besorgt, dass Finanzorganisationen einen so großen Teil ihrer Arbeit auslagern, dass das Wesen oder der Kern der eigentlichen Institution verloren geht. In den Richtlinien heißt es: „Outsourcing darf nicht dazu führen, dass eine Institution zu einer ‚leeren Hülle‘ wird, der es an Substanz fehlt, um zugelassen zu bleiben“.

Die Richtlinien erklären das Prinzip der Verhältnismäßigkeit: Die Institute müssen das Risiko und die Komplexität ihrer Aktivitäten berücksichtigen, wenn sie über die Höhe der Ressourcen entscheiden, die für ihre Verwaltung eingesetzt werden sollen. Somit machen die Maßregeln deutlich, dass die Regulierungsbehörden Transparenz und ein hohes Maß an Professionalität im Bereich Beschaffungs-, Vertrags- und Lieferantenmanagement erwarten.

Geltungsbereiche, Einschränkungen und Voraussetzungen

Nach den neuen EBA-Richtlinien gelten Aktivitäten und Prozesse als ausgelagert, sobald Dritte mit deren Abwicklung beauftragt werden. Kann durch Ausfälle oder Probleme der Geschäftsbetrieb beeinträchtigt werden, gelten die entsprechenden Aktivitäten als kritisch. Gleiches gilt für die Erfüllung behördlicher Verpflichtungen, wie beispielsweise Meldepflichten.

Dies bedeutet: In der Praxis unterliegt nahezu jede Dienstleistung, die von Dritten erbracht wird und das Kerngeschäft unterstützt, den neuen EBA-Richtlinien. Dazu gehören nahezu alle in Finanzunternehmen eingesetzten IT- und Cloud-Dienste – angefangen von der banktypischen Kernanwendung bis hin zum strategischen Einkauf.

Nach den EBA-Richtlinien dürfen nicht alle Tätigkeiten und Prozesse ausgelagert werden. Führungskräfte können demnach ihre Managementaufgaben nicht delegieren, sondern müssen selbst die volle Verantwortung übernehmen. Dazu gehören beispielsweise die Aufsicht über die Geschäftstätigkeit ihres Unternehmens und die Überwachung der Risikostrategie. Auch Aufgaben und Prozesse, die die Kontrolle von Aufsichtsorganen beeinträchtigen können, Entscheidungen über hauseigene Einlagen- und Kreditaktivitäten sowie die Verminderung von Risiken dürfen nach den neuen EBA-Richtlinien nicht ausgelagert werden.

Die neuen Maßregeln bestehen darauf, dass Aufmerksamkeit und Fokussierung „von oben“ – also in den Führungsetagen beginnen müssen. So heißt es: „Das Leitungsorgan sollte sicherstellen, dass genügend Ressourcen zur Verfügung stehen, um die Erfüllung dieser Aufgaben angemessen zu unterstützen und sicherzustellen, einschließlich der Überwachung aller Risiken und der Verwaltung der Outsourcing-Vereinbarungen …“

Die EBA-Richtlinien sehen vor, dass Finanzunternehmen eine detaillierte Outsourcing-Policy erstellen, genehmigen und regelmäßig aktualisieren müssen. Außerdem sind sie für deren konsequente Durchsetzung verantwortlich. Dies gilt sowohl, wenn sie eine entsprechende Software-Lösung intern betreiben oder auch, wenn sie diese Aufgabe einem Dienstleister übertragen haben.

Auf den Einkauf bezogen müssen Finanzunternehmen beispielsweise sicherstellen, dass alle geschäftsrelevanten Dokumente Compliance-konform gespeichert werden und jederzeit abrufbar sind. Enthalten sie ein Ablaufdatum, sollten Benachrichtigungen an alle Verantwortlichen verschickt und Updates von verbundenen Dokumenten angefordert werden. Moderne Source-to-Pay-Lösungen können die Durchsetzung von Richtlinien über den gesamten Beschaffungsprozess hinweg unterstützen. Kritische Aktivitäten sollten spezifische Genehmigungs-Workflows durchlaufen und in die Compliance-Teams des jeweiligen Finanzhauses eingebunden werden. Zudem müssen die Prozesse so gestaltet werden, dass bestimmte Vertragsklauseln von den Lieferanten abgezeichnet und autorisiert werden können.

Warum das Outsourcing Lifecycle Management jetzt so wichtig ist

Outsourcing Lifecycle Management aufsetzen und pflegen

Finanzunternehmen müssen gegenüber Aufsichtsbehörden nachweisen, dass sie über einen effizienten Prozess zum Outsourcing Lifecycle Management verfügen und jeden einzelnen Schritt von Anfang bis Ende unter Kontrolle haben. Um diesen Anforderungen gerecht zu werden, sind vor Abschluss oder Verlängerung einer Outsourcing-Vereinbarung umfangreiche Prüfungen durchzuführen. Dazu zählen beispielsweise:

Ermitteln der Kritikalität der auszulagernden Aktivität
Durchführung einer Due-Diligence-Prüfung des Anbieters
Abschätzung potenzieller Risiken einschließlich potenzieller Interessenkonflikte
Sicherstellen, dass alle Aufsichtsbedingungen erfüllt werden (können)

Dieser Lebenszyklus endet jedoch keinesfalls mit der Auswahl eines Outsourcing-Partners. Finanzunternehmen müssen zusätzlich sicherstellen, dass sie die nachfolgenden Bedingungen erfüllen:

Risikomanagement für Dritte organisieren

Finanzunternehmen müssen ihre Drittpartei-Risiken einschließlich der von Subunternehmern – also sogar einer vierten Partei – streng handhaben und regelmäßig neu bewerten, verwalten und mindern. Besonderes Augenmerk muss auf kritische ausgelagerte Tätigkeiten gelegt werden. Die damit verbundenen Risiken müssen bereits vor dem Vertragsabschluss einer Due-Diligence-Prüfung unterzogen werden. Zudem müssen die Finanzunternehmen über geeignete Pläne verfügen, um sicherzustellen, dass die ausgelagerten Aktivitäten in Problemsituationen auf einen anderen Anbieter verlagert oder wieder in das eigene Unternehmen zurückgeführt werden können.

Um bei Audits oder Aufsichtsanfragen auskunftsfähig zu sein, müssen Finanzunternehmen klar identifizieren können, welche Geschäftstätigkeiten an Dritte ausgelagert wurden und ob diese Vorgänge geschäftskritisch sind. Darüber hinaus ist zu ermitteln, ob bestimmte Aktivitäten in einem Drittland ausgeführt werden. Wird beispielsweise eine kritische Aktivität ausgelagert, können im Bereich Einkauf folgende Nachweise erforderlich sein: Datum des letzten und nächsten Vertragsaudits, identifizierte Alternativ-Anbieter, Substitutionsfähigkeits- und Reintegrationsbewertungsplan. In jedem Fall müssen sie in der Lage sein, Aufsichtsbehörden umfassende Informationen zu allen kritischen Outsourcing-Verträgen bereitzustellen.

Warum die neuen Outsoucing-Regelungen überfällig sind

Die Sorge der EBA kommt nicht von ungefähr, denn Datenskandale der Vergangenheit haben gezeigt, dass Finanzunternehmen deutlich mehr für Sicherheit und Datenschutz tun müssen. Die Ausweitung der Regulierung auf Finanzunternehmen ist als grundsätzlich positives Signal zu werten. Denn auch abseits regulatorischer Zwänge sind die enthaltenen Forderungen im Grunde längst überfällig, weil sie den Finanzunternehmen eine bessere Risikoposition und damit einen Wettbewerbsvorteil gegenüber Mitbewerbern verschaffen. Dieser Vorteil nützt Kunden und Unternehmen gleichermaßen und reicht weit über den europäische Bankenmarkt hinaus.

Abhängig von Art und Größe des betreffenden Finanzunternehmens ist die Einhaltung der neuen EBA-Richtlinien eine hochkomplexe Aufgabe, die eine vollständige Digitalisierung und den Einsatz spezialisierter Anwendungen erfordert. Vielen Banken haben mit hoher Wahrscheinlichkeit bereits entsprechende Vorkehrungen für ihre Kernprozesse getroffen. Dennoch können auch Procurement-Verantwortliche die EBA-Richtlinien als Handlungsaufforderung verstehen und ihre Outsourcing-Aktivitäten auf den Prüfstand stellen – angefangen von der Sourcing-Strategie über das Leistungsmanagement bis hin zu Vertragsende und Ausstiegsstrategie.

Für Organisationen, deren Beschaffungswesen weniger ausgereift ist, ist die naherückende Umsetzungspflicht eher eine Alarmsirene: Leiter des Beschaffungswesens sollten ihre Vorgesetzen und Vorstände dringend daran erinnern, die notwendigen Ressourcen bereitstellen, um zumindest die wichtigsten Anforderungen zu erfüllen.

(Quelle: Arnaud Malardé, Experte für Procurement bei Ivalua)