IKT-Drittparteienrisiko · Reifegrad
Reifegrad der IKT-Drittparteiensteuerung
Ein spezifisches Reifegradmodell für das IKT-Drittparteienrisikomanagement – von fragmentierten Einzelinformationen bis zur optimierten, datengetriebenen Steuerung.
Management-Zusammenfassung
- Fünf Reifegradstufen ermöglichen eine präzise Standortbestimmung des IKT-Drittparteienrisikomanagements.
- Jede Stufe definiert klare Kriterien für Prozesse, Datenqualität, Überwachung und Steuerungsfähigkeit.
- Das Modell dient der Selbstbewertung, Zieldefinition und Fortschrittsmessung im Zeitverlauf.
- Die Ergebnisse fliessen in das Management-Reporting und die Prüfungsvorbereitung ein.
Stufe 1 Initial ▼
- Dienstleisterinformationen sind fragmentiert, uneinheitlich und personenabhängig.
- Kein zentrales Inventar und keine standardisierte Risikobewertung.
- Verträge liegen dezentral ohne DORA-Prüfung.
- Keine Transparenz über Unterauftragnehmer oder Leistungsketten.
- Informationsregister nicht existent oder unvollständig.
Stufe 2 Defined ▼
- Inventar, Kriterien und Verantwortlichkeiten sind dokumentiert.
- Erste Vertragsprüfungen auf DORA-Konformität finden statt.
- Abgrenzung von IKT-Dienstleistungen ist definiert.
- Prozesse sind dokumentiert, aber noch nicht vollständig wirksam.
- Informationsregister ist angelegt, aber nicht vollständig befüllt.
Stufe 3 Implemented ▼
- Klassifikation, Vertragsprüfung und Registerdatenpflege sind operativ umgesetzt.
- Unterauftragnehmer und Leistungsketten sind erfasst.
- Exit-Strategien für kritische Dienstleistungen existieren.
- Nachweise werden systematisch geführt.
- Monitoring-Prozess ist etabliert.
Stufe 4 Monitored ▼
- Risiken, Leistungen und Datenqualität werden regelmäßig überwacht.
- Exit-Fähigkeit wird getestet und dokumentiert.
- Kennzahlen steuern die Maßnahmenpriorisierung.
- Konzentrationsrisikoanalyse erfolgt jährlich.
- Management-Reporting ist institutionalisiert.
Stufe 5 Optimized ▼
- Drittparteienrisiko wird risikoorientiert und datenqualitätsgestützt gesteuert.
- Automatisierte Überwachung und Kennzahlen-Steuerung.
- Kontinuierliche Verbesserung auf Basis von Audits und Tests.
- Benchmarking und externe Vergleiche werden genutzt.
- Integration in gesamtinstitutische Risikosteuerung ist erreicht.
Hinweis: Diese Inhalte sind Umsetzungshilfen und kuratierte Hinweise. Sie ersetzen keine Rechtsberatung oder verbindliche aufsichtsrechtliche Auslegung.