BaFin - Navigation & Service

Das Bild zeigt Frau Dr. Sibel Kocaatepe (BaFin)  bei der Veranstaltung "IT-Aufsicht für Versicherungen und Pensionsfonds" © Armin Höhner

Erscheinung:19.08.2022 | Thema Risikomanagement Auslagerungen: Landkarten bieten Orientierung

(BaFinJournal) Seit Beginn 2022 gilt die neue Anzeigepflicht für Auslagerungen für alle Finanzunternehmen. BaFin-Expertin Dr. Sibel Kocatepe informierte bei der Veranstaltung „IT-Aufsicht für Versicherungen und Pensionsfonds“ über den Zweck dieser neuen Regelung – und über die Melde- und Veröffentlichungsplattform der BaFin.

Für Versicherer und Einrichtungen der betrieblichen Altersversorgung (EbAV) ist sie gewissermaßen ein alter Hut: die Pflicht, der Aufsicht Ausgliederungen wichtiger Funktionen oder Versicherungstätigkeiten zu melden. Für Banken oder Wertpapierinstitute hingegen ist diese Plicht neu. Seit Anfang Januar gibt es eine sektorübergreifende und weitgehend einheitliche Pflicht für alle von der BaFin beaufsichtigten Unternehmen, der BaFin ihre wesentlichen Auslagerungen zu melden. Der Gesetzgeber hatte dies insbesondere im Gesetz zur Stärkung der Finanzmarktintegrität (FISG) so festgelegt. Der Blick auf die Details der Regelung zeigt aber: Auch Versicherer und EbAVs müssen einige neue Regeln beachten.

Der Hintergrund: Branchenübergreifend beobachtet die BaFin, dass Unternehmen immer mehr Aktivitäten und Prozesse auf Dienstleister auslagern. Diese Entwicklung führt zu speziellen Risiken bei den auslagernden Unternehmen. So besteht die Gefahr, von den Dienstleistern abhängig zu werden, wenn diese bei einem Ausfall weder durch einen zweiten Dienstleister noch durch das auslagernde Unternehmen selbst ersetzt werden können (Lock-in-Effekt). Außerdem bieten zahlreiche Dienstleister ihre Services vielen Unternehmen auf dem gesamten Finanzmarkt gleichzeitig an. Durch solche Mehrmandantendienstleister können Konzentrationsrisiken entstehen, die die Stabilität des gesamten Finanzmarktes gefährden können.

Mit der neuen Anzeigenpflicht erhält die BaFin einen Gesamtüberblick über die Auslagerungen und auch die Weiterverlagerungen. So kann sie auch Mehrmandantendienstleister identifizieren, eine Risikoeinschätzung vornehmen und auf dieser Grundlage Mehrmandantendienstleister überwachen. Ein Fokus liegt dabei auf den IT-Mehrmandantendienstleistern, wozu zum Beispiel die Cloud Service Provider gehören. Die Überwachung solcher Unternehmen ist eine der Aufgaben des Referats GIT 2 aus der IT-Aufsicht der BaFin, das im vergangenen Jahr gegründet wurde. Das Referat GIT 2 beschäftigt sich mit Incident Reporting, Überwachung IT-Mehrmandantendienstleister und Krisenprävention. Dr. Sibel Kocatepe war von Anfang an dabei.

„Damals haben wir schnell festgestellt, dass wir eine noch solidere Datengrundlage brauchen, um Konzentrationsrisiken zu erkennen, die schließlich nicht an Branchengrenzen Halt machen“, sagte sie bei der Veranstaltung. Das Problem war, dass es nicht in allen Branchen eine Pflicht zur Meldung wesentlicher Auslagerungen an die Aufsicht gab. Während das Versicherungsaufsichtsgesetz (VAG), das Zahlungsdiensteaufsichtsgesetz (ZAG) und das Kapitalanlagegesetzbuch (KAG) eine solche Meldung vorsahen, gab es zuletzt im Kreditwesengesetz (KWG) und im Wertpapierinstitutsgesetz (WpIG) keine Pflicht zur Anzeige wesentlicher Auslagerungen.

Mittlerweile ist für alle Unternehmen unter BaFin-Aufsicht eine Anzeigepflicht vorgesehen. Die Anforderungen an diese Anzeigepflicht sind inhaltlich weitestgehend einheitlich gestaltet. Sie werden künftig in den einzelnen Anzeigenverordnungen verankert und konkretisiert – für Versicherungsunternehmen und Pensionsfonds in der Versicherungs-Ausgliederungsanzeigenverordnung (VersAusgl-AnzV).

Alte Bekannte für Versicherer und Pensionsfonds?

„Diese Einheitlichkeit erklärt vielleicht auch, warum wir neue Vorgaben veröffentlichen für etwas, was Sie als Versicherer und Pensionsfonds eigentlich schon kennen“, erläuterte Kocatepe zu Beginn ihres Vortrags. Schließlich gebe es für Versicherungsunternehmen und Pensionsfonds bereits seit Jahren eine Anzeigepflicht für Auslagerungen – und viele der Informationen, welche die BaFin mit der neuen Anzeigepflicht von den beaufsichtigten Finanzunternehmen einfordere, würden schon heute an die Aufsicht übermittelt.

„Für Sie ist das ein Vorteil“, wandte Kocatepe sich an das Fachpublikum: „Sie haben in Ihren Unternehmen mit Ihrem Auslagerungsmanagement bereits Prozesse etabliert, um diese Daten zu generieren. Diese können Sie zum großen Teil weiter nutzen.“ Zwei wesentliche regulatorische Neuerungen gebe es aber auch für die Versicherungsbranche. Erstens: Der Kommunikationsweg zwischen den beaufsichtigten Unternehmen und der BaFin wird sich ändern. Künftig nimmt die Aufsicht Daten zu Ausgliederungen – von wenigen Ausnahmen abgesehen – ausschließlich über ihre elektronische Melde- und Veröffentlichungsplattform (MVP) entgegen. Und zweitens: Die Anzeigepflicht spielt künftig nicht nur für die Versicherungsaufsicht eine Rolle, sondern ist Teil eines umfassenden, geschäftsbereichsübergreifenden Überwachungskonzepts über Auslagerungsunternehmen.

Neu für Versicherer und EbAVs: Alle Ausgliederungsebenen relevant

„Über die elektronische Meldeplattform erhalten wir von allen Unternehmen der Finanzbranche strukturierte Anzeigen über ihre wichtigen Ausgliederungen“, schilderte BaFin-Expertin Kocatepe das neue Verfahren. Viele Felder der elektronischen Meldeplattform orientieren sich – wie die Arbeit der BaFin an der Anzeigenverordnung insgesamt – an den Leitlinien der Europäischen Bankenaufsichtsbehörde (EBA) zu Auslagerungen: Sie sehen unter anderem vor, dass Kredit- und Zahlungsinstitute eine Vielzahl von Informationen über ihre Auslagerungsbeziehungen in einem Auslagerungsregister vorhalten.

Neu für Versicherer und EbAVs: Sie müssen künftig nicht nur über Ausgliederungsunternehmen auf erster Ebene, sondern über die gesamte Ausgliederungskette informieren, sofern ihnen diese Informationen bei Vertragsabschluss mit ihrem Auslagerungsdienstleister bekannt sind oder später bekannt werden. Auf diese Weise können Vernetzungen von Auslagerungsbeziehungen in einzelnen Branchen und auch darüber hinaus im gesamten Finanzmarkt erkannt sowie dessen Resilienz insgesamt gestärkt werden.

Die BaFin empfiehlt den beaufsichtigten Unternehmen, über die Meldeplattform auch die Informationen zu Auslagerungen einzureichen, die sie in der Vergangenheit bereits an die BaFin gemeldet haben und die noch bestehen. Der Grund hierfür: Früher gingen diese Daten an den Objektaufseher und wurden nicht systematisiert elektronisch erfasst. Sibel Kocatepe: „Bei einer solchen Vielzahl an Unternehmen brauchen wir alle Informationen standardisiert, also im gleichen Format und gleicher Detailtiefe. Denn nur so können wir die Ausgliederungsbeziehungen branchenübergreifend mit dem Blick von oben analysieren.“

„Unternehmen sollten auch im eigenen Interesse alle bestehenden Auslagerungen über die MVP melden“, fuhr Kocatepe fort. Die BaFin setze dabei auf die gute Zusammenarbeit mit der Branche, die letztlich auch von den Auswertungen profitieren wird. Denn mit den Erkenntnissen, welche die BaFin durch die MVP gewinnt, kann sie proaktiv Finanzunternehmen warnen. Dies ist insbesondere dann von Bedeutung, wenn Finanzunternehmen ein Auslagerungsunternehmen nutzen, über das andere Finanzunternehmen bereits vermehrt Vorfälle angezeigt haben. Aber auch Finanzunternehmen profitieren, die gerade eine Auslagerung planen: „Sollten sie hierfür einen Dienstleister in Erwägung ziehen, über den bei der BaFin bereits mehrfach Vorfälle angezeigt wurden, können wir die Unternehmen dahingehend sensibilisieren“, hob BaFin-Expertin Kocatepe hervor.

Erstmals Meldung über MVP

Für die Datenübermittlung bietet die BaFin drei Möglichkeiten: ein elektronisches Formular, den Dateiupload oder eine technische Schnittstelle. Alle Finanzunternehmen müssen sich einmalig auf der Plattform registrieren und freischalten lassen, um künftig ihre Auslagerungsanzeigen elektronisch einreichen zu können. Letzteres wird rechtswirksam möglich sein, sobald die Anzeigenverordnungen in Kraft getreten sind und das neue Verfahren über die MVP live geschaltet ist. Um den Unternehmen die Anzeige von Auslagerungen über die MVP zu erleichtern, wird die BaFin eine Ausfüllhilfe veröffentlichen.

Seit Dezember 2021 haben sich etwa 200 Unternehmen für die Testversion freischalten lassen. Sie konnten sich bereits mit dem neuen Fachverfahren und dem dazugehörigen Meldeformular auseinandersetzen. Am Tag nach der Veranstaltung „IT-Aufsicht für Versicherungsunternehmen und Pensionsfonds“ fand außerdem ein Workshop mit 300 Teilnehmerinnen und Teilnehmern aus der Branche statt. Die BaFin erläuterte den Unternehmen dabei, wie die MVP technisch umgesetzt wird. Die VersAusgl-AnzV hatte die BaFin – ebenso wie die vier Verordnungen für die anderen Branchen – Ende 2021 auf ihrer Website zur Konsultation gestellt.

Gesetzliche Grundlage VersAusgl-AnzV: Aktueller Stand und konkrete Neuerungen

Nachdem die Versicherungs-Ausgliederungsanzeigenverordnung ebenso wie die anderen vier Verordnungen vom Bundesjustiz- und Bundesfinanzministerium geprüft wurde, muss die Deutsche Bundesbank die Verordnungen zum KWG und ZAG freigeben. Verordnungen für die Versicherungsbranche sind zwar nicht vom Einvernehmen mit der Bundesbank abhängig. „In diesem Fall warten wir diesen Schritt jedoch ab“, erklärte Kocatepe. „Der Grund hierfür: Die elektronische Meldeplattform wird erst live geschaltet, wenn alle Verordnungen für alle Sektoren in Kraft treten. Die Bundesbank muss den Regelungen für den Bankensektor zustimmen und ist deshalb auch in den Gesamtprozess involviert.“ Zum Schluss wird die Verordnung dem Normenkontrollrat vorgelegt.

Kocatepe und ihr Team erwarten, dass die VersAusgl-AnzV im Herbst 2022 in Kraft tritt. Bis dahin besteht in der Versicherungsaufsicht die Verwaltungspraxis zur Anzeigepflicht nach § 47 Nr. 8 und 9 VAG unverändert fort. Das bedeutet, dass die Unternehmen der BaFin weiterhin die wichtigen Ausgliederungen nach dem bekannten Verfahren anzeigen müssen.

Ausgliederungen melden: Neuerungen für Versicherer und EbAVs

Die Anzeigepflicht im VAG hat sich als solche nicht geändert. Geändert hat sich lediglich der Inhalt der Anzeigepflicht, der künftig in den einzelnen Normen der VersAusgl-AnzV zu finden ist, wie die folgende Tabelle zeigt:

ThemaRechtsgrundlage VAGKonkretisierung in der VersAusgl-AnzV
Anzeige der Absicht§ 47 Nr. 8 VAG.
Katalog mit Angaben zur Ausgliederung, z.B. zur ausgegliederten Tätigkeit, zum Dienstleister, zum Vertrag etc.
§ 2 Abs. 1 VersAusgl-AnzV
Anzeige des NichtvollzugsWenn das Unternehmen eine nach § 2 Abs. 1 VersAusgl-AnzV angezeigte Ausgliederung nicht durchführt, soll es diesen Umstand anzeigen.§ 2 Abs. 2 VersAusgl-AnzV
Anzeige wesentlicher Änderungen§ 47 Nr. 9 VAG.
Nicht abschließender Katalog von Regelbeispielen für anzuzeigende wesentliche nach Vertragsschluss eingetretene Umstände.
§ 3 Abs. 1 VersAusgl-AnzV
Anzeige schwerwiegender Vorfälle§ 47 Nr. 9 VAG.
Nicht abschließender Katalog von Regelbeispielen für anzuzeigende, nach Vertragsschluss eingetretene wesentliche Umstände, die die Fortführung der Geschäftstätigkeit des Unternehmens beeinträchtigen können.
§ 3 Abs. 2 VersAusgl-AnzV

„Etwa 80 Prozent der Daten, die wir erheben, stimmen zwischen den verschiedenen Branchen überein“, erläuterte BaFin-Expertin Kocatepe bei der Veranstaltung. „Die restlichen 20 Prozent sind sektorspezifisch – schließlich wollen wir den besonderen Strukturen der einzelnen Branchen gerecht werden.“ So müssen Versicherer und Pensionsfonds im Gegensatz zu anderen Sektoren eine Nichtvollzugsanzeige vornehmen, wenn sie eine Auslagerung, die sie bereits gemeldet hatten, doch nicht umsetzen. Dagegen müssen Banken, Wertpapier- und Zahlungsdienstleister der BaFin den Vollzug einer wesentlichen Ausgliederung melden – diese Pflicht entfällt für Versicherer und EbAVs.

Anders als Absicht, Nichtvollzug und wesentliche Änderungen müssen schwerwiegende Vorfälle zunächst nicht über die elektronische Meldeplattform angezeigt werden. Der Hintergrund: Die BaFin entwickelt derzeit ein einheitliches digitales Meldeformular für Vorfälle. Dabei wird sie auch erste Erfahrungen mit den künftig eingehenden und voraussichtlich sehr heterogenen Vorfallsmeldungen berücksichtigen.

Wenn die Anzeigenverordnungen in Kraft getreten sind, wird die BaFin auf ihrer Website darüber informieren, an welche Adresse und mit welchen Detailinformationen schwerwiegende Vorfälle angezeigt werden müssen. Langfristig ist vorgesehen, dass die Unternehmen auch für solche Vorfälle die MVP nutzen.

Landkarte bietet Überblick

Was geschieht mit den Daten, welche die BaFin über die MVP erreichen? Zum einen bewertet die BaFin in der laufenden Aufsicht die Anzeigen unmittelbar nach deren Eingang und ordnet – wenn erforderlich – Maßnahmen auch unmittelbar gegenüber Auslagerungsunternehmen an. Zum anderen werden die Informationen in einer geschäftsbereichsübergreifenden Datenbank gespeichert. Sibel Kocatepe und ihre Kolleginnen und Kollegen greifen turnusmäßig auf diesen Datenbestand zu und ziehen daraus auch geschäftsübergreifende Erkenntnisse.

Landkarte

grafische Darstellung von Konzentrationsrisiken @BaFin Landkarte

Und wie funktioniert das genau? Zunächst bereiten die BaFin-Experten die Informationen in Ausgliederungslandkarten grafisch auf. Die Grafiken zeigen rote und graue Punkte, Linien unterschiedlicher Größe und viele Zahlen. Was Uneingeweihte an die Illustrationen eines Sternbildes denken lässt, erschließt sich Spezialisten auf den ersten Blick: Sie erkennen Konzentrationsrisiken, auch wenn diese erst auf der vierten oder fünften Weiterverlagerungsebene entstehen. Denn manchmal wird erst hier sichtbar, wenn immer wieder der gleiche Dienstleister eingebunden ist und eine Vielzahl beaufsichtigter Unternehmen bedient. Dieses Wissen ist Voraussetzung für eine adäquate Überwachung der Auslagerungsunternehmen und zeigt, wen die Aufsicht als Mehrmandantendienstleister künftig in den Fokus nehmen sollte.

Das könnte Sie auch interessieren

Auch bei Versicherern und Einrichtungen der betrieblichen Altersversorgung (EbAVs) ist die Digitalisierung ein zentrales Zukunftsthema. Was bedeutet das für das Handeln der Aufsicht – und für die Unternehmen? Antworten darauf erhielten die Teilnehmerinnen und Teilnehmer bei der Veranstaltung „IT-Aufsicht bei Versicherungen und Pensionsfonds“ der BaFin am 21. Juni 2022.

Das BaFinJournal begleitete die Veranstaltung mit verschiedenen Fachbeiträgen:

Die Präsentationen zur Veranstaltung finden Sie auf der Website der BaFin unter „Veranstaltungen“. Lesen Sie auch die Rede, die der Exekutivdirektor bei der Veranstaltung gehalten hat.

Verfasst von

Julia Droege-Knaup
Referat K 3 - Reden und Publikationen

Hinweis

Der Beitrag gibt den Sachstand zum Zeitpunkt der Veröffentlichung im BaFinJournal wieder und wird nicht nachträglich aktualisiert. Bitte beachten Sie die Allgemeinen Nutzungsbedingungen.

Fanden Sie den Beitrag hilfreich?

Wir freuen uns über Ihr Feedback

Es hilft uns, die Webseite kontinuierlich zu verbessern und aktuell zu halten. Bei Fragen, für deren Beantwortung wir Sie kontaktieren sollen, nutzen Sie bitte unser Kontaktformular. Hinweise auf tatsächliche oder mögliche Verstöße gegen aufsichtsrechtliche Vorschriften richten Sie bitte an unsere Hinweisgeberstelle.

Wir freuen uns über Ihr Feedback