Risiken beim Outsourcing sind vielschichtig und k\u00f6nnen verschiedene Auspr\u00e4gungen haben. So entstehen Risiken beispielsweise durch Systemausf\u00e4lle bei Providern, durch erschwerte Kontrollen und Informationsasymmetrien, durch Abh\u00e4ngigkeiten zum Sourcing-Partner, durch Qualit\u00e4ts- und Knowhow-Verlust, durch interne oder externe betr\u00fcgerische Aktivit\u00e4ten oder andere Sachverhalte. Hinzu kommen Reputationsrisiken, die in der Regel als Folge eines vorgelagerten Risikos zus\u00e4tzlich auftreten. So ist es beispielsweise denkbar, dass ein medienwirksamer Betrugsfall bei einem Sourcing-Anbieter auch bei der auslagernden Bank zu einem Image-Schaden f\u00fchrt.
Die Verschiedenartigkeit der Risiken, aber auch die unterschiedliche Art der Zusammenarbeit mit den Sourcing-Partnern, stellen das Risiko-Management vor grosse Herausforderungen. Denn die Risiken lassen sich nicht pauschal beurteilen; vielmehr muss jedes Outsourcing-Verh\u00e4ltnis einzeln auf seine Risiken \u00fcberpr\u00fcft werden, bevor eine Aggregation vorgenommen und eine \u00fcbersichtliche Zusammenstellung der Risiken erarbeitet werden kann. Hinzu kommt, dass Sourcing-Risiken zu einem grossen Teil durch Tail-Risks, d.h. selten auftretende F\u00e4lle mit hohem Schadenausmass, gepr\u00e4gt sind. Da f\u00fcr solche Risiken per Definition kaum Erfahrungswerte vorhanden sind, sind sowohl die Risikoidentifikation als auch die Quantifizierung des Risikos oft schwierig.<\/p>\n\n\n\n
Sourcing-Risikomanagement bei Schweizer Banken<\/strong><\/p>\n\n\n\n Aufgrund der hohen Bedeutung der Risiken beim Auslagern von Dienstleistungen schenken die Schweizer Banken sowohl einem permanenten Risikomanagement als auch einer laufenden Leistungsbeurteilung im Sourcing eine hohe Beachtung. Die Interviews haben gezeigt, dass sich die Banken intensiv Gedanken dar\u00fcber machen, wie das Risikomanagement und die Leistungsbeurteilungen im Sourcing sowohl effektiv wie auch effizient durchgef\u00fchrt werden k\u00f6nnen. Eine Bank hat beispielsweise angek\u00fcndigt, dass sie in Zukunft ihre Sourcing-Anbieter st\u00e4rker in den Risikomanagement-Prozess einbinden m\u00f6chte \u2013 so sollen die Risikomanagement-Aktivit\u00e4ten der Sourcing-Anbieter st\u00e4rker mit den eigenen Aktivit\u00e4ten abgestimmt werden k\u00f6nnen. Quantifizierung der Risiken<\/strong><\/p>\n\n\n\n Eine Quantifizierung der Risiken im Sourcing im Sinne einer Schadensumme \u2013 zum Beispiel in Form eines Value at Risk \u2013 ist aufgrund der erw\u00e4hnten Tail-Risk-Problematik alles andere als einfach. Interviewpartner haben auch auf die zus\u00e4tzliche Problematik von nachgelagerten potenziellen Reputationssch\u00e4den hingewiesen, die selbst bei einem tats\u00e4chlich eingetretenen Schadenfall kaum korrekt quantifiziert werden k\u00f6nnen. Fazit<\/strong><\/p>\n\n\n\n Aus unserer Sicht ist es wichtig, dass die beiden Aufgaben des Risikomanagements und der Leistungsbeurteilung nicht vollst\u00e4ndig getrennt werden. Da die Erkenntnisse aus der Leistungsbeurteilung Indikationen m\u00f6glicher Risiken enthalten k\u00f6nnen, sollten diese auch in den Risikomanagement-Prozess einfliessen. Zudem scheint es zielf\u00fchrend, beiden Aufgaben eine Prozesssicht zu Grunde zu legen. Nur so werden Anforderungen und Auswirkungen auf T\u00e4tigkeiten, die der reinen Sourcing-Aktivit\u00e4t vor- oder nachgelagert sind, in die Betrachtung einfliessen und ein stimmiges Bild der gesamten Abl\u00e4ufe wiedergeben. Hinweis: Im Rahmen der IFZ Sourcing Konferenz vom 27. August 2020<\/a> werden die Ergebnisse der aktuellen IFZ Sourcing Studie vorgestellt. Zudem beleuchten externe Referenten verschiedene Aspekte des Sourcings wie internationale Erfahrungen, Chancen im IT-Sourcing oder Ans\u00e4tze im Management von Sourcing-Partnern. Zum detaillierten Programm und zur Anmeldung geht\u2019s hier<\/a>.<\/em><\/strong><\/p>\n","protected":false},"excerpt":{"rendered":" Im Rahmen der IFZ Sourcing Studie, welche Ende August 2020 ver\u00f6ffentlichet wird, haben wir anhand von Interviews auch Aspekte des Risikomanagements untersucht. Im heutigen Blog publizieren wir vorab eine Zusammenfassung und zeigen auf, welche Risiken im Sourcing auftreten k\u00f6nnen, wie Schweizer Banken mit Sourcing-Risiken umgehen und welche Aspekte speziell zu beachten sind.<\/p>\n","protected":false},"author":1270,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"inline_featured_image":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","footnotes":"","_links_to":"","_links_to_target":""},"categories":[252,46482,420326,23682,647319,4051],"tags":[],"class_list":["post-12808","post","type-post","status-publish","format-standard","hentry","category-allgemein","category-bank-it","category-cybercrime","category-digitalisierung","category-sourcing","category-studie"],"acf":[],"yoast_head":"\n
Im Rahmen der Interviews hat sich gezeigt, dass die Banken in der Regel bereits vor Beginn einer allf\u00e4lligen Zusammenarbeit mit einem Sourcing-Partner im Rahmen eines Due Diligence-Prozesses eine Risikobeurteilung vornehmen, wobei unter anderem auch die Bonit\u00e4t und die Reputation des potenziellen Sourcing-Partners gepr\u00fcft werden. Verschiedentlich wurde auch darauf hingewiesen, dass in dieser Phase zus\u00e4tzlich das \u2018Matching\u2019 der beiden Unternehmenskulturen \u00fcberpr\u00fcft werden muss, weil sonst im Krisenfall ein gemeinsames Problem-Verst\u00e4ndnis fehlt, welches die Grundlage f\u00fcr ein gutes Krisenmanagement bildet.
Nach der Etablierung einer Sourcing-Partnerschaft werden die identifizierten Risiken laufend \u00fcberwacht. Hierzu haben einige Banken im Rahmen des Risk-Reportings eine eigene Kategorie f\u00fcr die Sourcing-Risiken definiert. Andere Banken verstehen die Sourcing-Risiken als Teil der gesamten Gesch\u00e4ftsprozesse und beurteilen die Risiken aus Prozessoptik. Wichtig scheint bei der laufenden Risikobeurteilung, respektive \u00dcberwachung, eine enge Verbindung zur Leistungsbeurteilung der Sourcing-Partner zu sein. Denn wenn die periodische Leistungsbeurteilung zeigt, dass die Servicequalit\u00e4t des Sourcing-Partners sinkt, kann dies \u2013 im Sinne eines Fr\u00fchwarnsignals \u2013 auch aus Risikooptik relevant sein.
Ein Instrument, das wichtige Anhaltspunkte f\u00fcr das Risikomanagement bietet, bildet das Inventar, in dem alle wesentlichen Auslagerungen einer Bank aufgef\u00fchrt sind. Ein solches Inventar muss gem\u00e4ss FINMA-RS 2018\/3 jede Bank f\u00fchren. Viele Banken gehen inhaltlich jedoch \u00fcber die Vorgaben des Rundschreibens hinaus und tragen zus\u00e4tzlich aus Risikooptik relevante Informationen ein, wie zum Beispiel ob Massenkundenidentifikationsdaten ausgelagert werden. So kann das Inventar dabei helfen, die spezifischen Risiken f\u00fcr jede Auslagerung besser zu identifizieren. Im Rahmen der Interviews f\u00fcr die IFZ Sourcing-Studie wurde uns von einer Bank ein Musterinventar zur Verf\u00fcgung gestellt, welches in Abbildung 1 ersichtlich ist (zur Vereinfachung mit lediglich einem Eintrag).<\/p>\n\n\n![\"\"](\"https:\/\/hub.hslu.ch\/retailbanking\/wp-content\/uploads\/sites\/7\/2020\/06\/Abb-1-Urs-risk-sourcing.png\")
<\/a>
Einige befragte Banken haben aufgrund der erw\u00e4hnten Schwierigkeiten davon abgesehen, die Schadensumme aus Outsourcing-Risiken einzeln zu sch\u00e4tzen. Diese Banken \u00abquantifizieren\u00bb ihre Outsourcing-Risiken stattdessen in Form von Risikoklassifizierungen (z.B. Risikoklassen 1-5). Jeder Risikoklasse werden m\u00f6gliche Auspr\u00e4gungen zugeordnet (z.B. Risikoklasse 1 = keine Incidents mit Sourcing Dienstleister im vergangenen Monat). Zus\u00e4tzlich werden zum Teil Risikolimiten f\u00fcr ausgew\u00e4hlte Key Performance Indikatoren definiert, bei deren Erreichen Steuerungsmassnahmen gepr\u00fcft und\/oder eingeleitet werden.
Andere Banken sch\u00e4tzen die Risiken eines potenziellen Schadenfalls anhand von Eintrittswahrscheinlichkeiten und potenziellem Schadenausmass quantitativ ab, wobei auch hier die Risikosteuerung in der Regel anhand von Risikolimiten vorgenommen wird.
Unabh\u00e4ngig von der Methodik der Quantifizierung scheint es f\u00fcr die Steuerung der Risiken vor allem wichtig, dass die Banken im Rahmen der Quantifizierung erkennen, wo Steuerungsmassnahmen n\u00f6tig sein k\u00f6nnten und wie diese zu gestalten w\u00e4ren. In diesem Sinne wird zum einen eine gewisse Transparenz hinsichtlich der Bedeutung der einzelnen Risiken geschaffen und zum anderen die Grundlage f\u00fcr die Vorbereitung von Massnahmen. Gewisse Banken haben zudem erw\u00e4hnt, dass sie sich auch mit anderen Finanzinstituten austauschen, um die Transparenz von potenziellen Sourcing-Risiken zu verbessern und deren Ausmass besser absch\u00e4tzen zu k\u00f6nnen. Da \u2013 wie bereits erw\u00e4hnt \u2013 im eigenen Institut oft wenig Erfahrungswerte im Zusammenhang mit Sourcing-Risiken vorhanden sind, erscheint ein vertiefter Austausch zwischen Banken im Zusammenhang mit dem Management der Sourcing-Risiken durchaus sinnvoll.
Vor allem ist aber auf die Bedeutung einer regelm\u00e4ssigen Kommunikation zwischen Bank und Sourcing-Anbieter hinzuweisen, um potenzielle Risiken fr\u00fchzeitig zu erkennen und entsprechende Massnahmen vorzubereiten. Ein wichtiges Instrument ist in diesem Zusammenhang die Leistungsbeurteilung und die Diskussion der Ergebnisse zwischen Sourcing-Anbieter und Finanzinstitut. Denn gerade bei der Reaktion auf m\u00f6gliche Schwachstellen und M\u00e4ngel zeigt sich, wo das Risikomanagement besonders aufmerksam zu betreiben ist.<\/p>\n\n\n\n
Eine regelm\u00e4ssige Kommunikation zwischen dem Sourcing-Anbieter und der Bank ist auch im Risikomanagement unerl\u00e4sslich. Denn ein regelm\u00e4ssiger Austausch kann die Transparenz gegenseitig erh\u00f6hen und so dazu f\u00fchren, dass Leistungen optimiert und Risiken fr\u00fchzeitig erkannt und gesteuert werden k\u00f6nnen. Insbesondere die gemeinsame Besprechung von Risiken und Leistungsbeurteilung sowie das gemeinsame Festlegen von Massnahmen und deren Realisierungspl\u00e4nen, k\u00f6nnen substanziell zur Vertrauensbildung beitragen und so zu einer friktionslosen Zusammenarbeit f\u00fchren.
Erg\u00e4nzend scheint auch ein vertiefter Austausch innerhalb der Branche, das heisst zwischen den Finanzdienstleistern, zu helfen, die Qualit\u00e4t des Risikomanagements und der Kontrolle im Sourcing weiter zu verbessern. Gerade bez\u00fcglich der Quantifizierung von Risiken als eine der zentralen Aufgaben des Risikomanagements k\u00f6nnte ein regelm\u00e4ssiger Erfahrungsaustausch zwischen den Banken einen Mehrwert bieten.<\/p>\n\n\n\n