Banken-IT: Dienstleister sind gefordert

Bank-IT-Outsourcer müssen die Grundsätze der Bankenkommission erfüllen. Zudem verlangt das Obligationenrecht neu interne Kontrollsysteme.

Hans Nagel ist General Manager Systems Integration und Mitglied der Geschäftsleitung bei T-Systems Schweiz.

Outsourcing-Dienstleister, welche die IT von Banken ganz oder teilweise betreiben, müssen hohe Anforderungen er-füllen. Sie unterliegen indirekt den im «Rundschreiben 99/2» festgehaltenen Grund-sätzen der eidgenössischen Bankenkommission (EBK). Obwohl diese relativ allgemein formuliert sind und gewisse Freiheiten einräumen, erlauben sie doch keine Beliebigkeiten.

So sieht das Rahmenwerk etwa vor, dass der auszulagernde Geschäftsbereich definiert und die Leistung des Dienstleisters mess- und beurteilbar sein muss. Zudem verpflichtet die EBK die Bank, den Dienstleister sorgfältig auszuwählen, zu instruieren und zu kontrollieren. Die Bank muss den ausgelagerten Geschäftsbereich zudem ins interne Kontrollsystem einbringen und eine für die Überwachung und Kontrolle des Dienstleisters zuständige, interne Stelle definieren. Das macht Sinn: Schliesslich trägt die Bank jederzeit selbst die volle Verantwortung für den ausgelagerten Bereich.

Sicherheit ist zentral

Zwischen Dienstleister und Bank muss es klare Vereinbarungen geben, was im Fall einer Störung zu tun ist, um den Geschäftsbetrieb aufrecht zu erhalten. Dazu verlangt die EBK die Ausarbeitung eines Sicherheitsdispositivs, das alle voraussehbaren Notfälle abdeckt.

Grosse Bedeutung kommt in den Outsourcing-Grundsätzen dem Schutz der Kundendaten zu. Gefordert wird ein konkreter Schutz «gegen unbefugte oder zufällige Vernichtung, zufälligen Verlust, technische Fehler, Fälschung, Diebstahl oder widerrechtliche Verwendung, unbefugtes Ändern, Kopieren, Zugreifen oder andere unbefugte Bearbeitungen». Zudem werden beide Vertragsparteien verpflichtet, das Bundesgesetz über den Datenschutz einzuhalten und das Geschäfts- und Bankgeheimnis zu wahren.