Logo

Sicherheit durch
MaRisk AT8.2

Wir prüfen, wie sich wesentliche Veränderungen in der Aufbau- und Ablauforganisation sowie in IT-Systemen auf die Kontrollverfahren der Bank auswirken – bevor sie umgesetzt werden. Dabei haben wir vor allem eines im Blick: das bisherige Sicherheitsniveau zu halten oder sogar zu verbessern.

Was sich hinter dem Begriff „AT8.2“ verbirgt, steht im allgemeinen Teil der MaRisk: Wir müssen prüfen, wie sich wesentliche Veränderungen in der Aufbau- und Ablauforganisation sowie in IT-Systemen auf die Kontrollverfahren der Bank auswirken – und zwar bevor sie umgesetzt werden. Im Fokus stehen folgende Fragen:

  • Wer muss den AT8.2-Prozess wann bearbeiten?
  • Welche Änderung ist wesentlich?
  • Halten wir trotz der Änderung das bisherige Sicherheitsniveau oder verbessern wir es sogar?

Den AT8.2-Fall bearbeiten vor allem die fachlichen Projektleiter, aber auch Leiter von Reorganisationen oder Task Forces. Kommentierende Einheiten können zudem Auflagen erteilen. Der zuständige Bereichsleiter bestätigt jeden Vorgang mit seiner digitalen Unterschrift. Um allen Beteiligten (Revision, Compliance, Risikocontrolling, Fachbereiche) die Arbeit so einfach wie möglich zu machen, werden sie von unserem Tool durch den gesamten Prozess geführt.

Im Falle eines Projekts läuft der AT8.2-Prozess wie folgt ab: Bei Projektgenehmigung erhalten die Projektleiter automatisiert eine Aufforderung, einen AT8.2-Fall im Tool anzulegen – für jede Konzeptstudie und jeden GoLive einen eigenen Fall. Nach vier Wochen sollten die Stammdaten vollständig erfasst sein. Die Wesentlichkeitsbestimmung und alle folgenden Prozessschritte beginnen erst 6-8 Wochen vor der Konzeptstudien-Abgabe bzw. dem GoLive. Damit die Projektleiter alle zeitlichen Vorgaben leichter einhalten können, erinnert sie das Tool regelmäßig.

Wenn der Fall wesentlich ist, erstellen die Projektleiter eine Auswirkungsanalyse und informieren toolgestützt die Bereiche Revision, Compliance und Risikocontrolling sowie die von der Änderung betroffenen Bereiche. Diese bewerten innerhalb von 4 Wochen die Analyse und sorgen dafür, dass die Änderung aus allen Blickwinkeln geprüft wird und sicher ist. Jeder Fall wird abschließend vom Bereichsleiter elektronisch unterschrieben. Damit sind die Auflagen der MaRisk erfüllt und die Änderungen dürfen umgesetzt werden.