Compliance Management - Eine Standortbestimmung

Pragmatisch betrachtet sollten umgesetzte Compliance Management Systembestandteile in ihren Ausführungen sowie ihrer Umsetzung in regelmäßigen Zeitabständen, schlechtesten Falls mindestens einmal im Geschäftsjahr, hinterfragt werden.

Compliance Starthilfe für die Umsetzung der EBA Leitlinie 2019/02 zu Auslagerungen

Scrreenshot und Link zum downloadDie neue Leitlinie „EBA/GL/2019/02 zu Auslagerungen“ ist im Februar 2019 erschienen. Sie löst die bestehenden Richtlinien Committee of European Banking Supervisors (CEBS) zum Outsourcing vom 14. Dezember 2006 und die Empfehlungen der EBA zum Outsourcing an Cloud-Dienstleister ab. Die Leitlinie trat zum 30.09.2019 in Kraft und umfasst alle zu diesem Datum und danach geschlossenen, zur Prüfung und zur Änderung finalisierten externen Dienstleistungen. Darüber hinaus müssen bereits bestehende Auslagerungsvereinbarungen neu verifiziert und an die neuen Anforderungen angepasst werden. Je nach Einzelfall kann auf Basis der angegebenen Übergangsregelung eine Umsetzung mit der Deadline zum 31.12.2021 erfolgen.

Cookies, Datenschutz & Co.

cookiesBis zum EuGH sind sie gekommen: Cookies und deren datenschutzrechtlichen Implikationen wurden hier behandelt. In kurzen Worten: Der Nutzer muss über die Nutzung von Cookies informiert werden und soweit diese nicht technisch notwendig sind, zu deren Nutzung auf einer Webseite auch aktiv einwilligen.

Dazu wird viel geschrieben, aber die technischen Grundlagen kommen oft zu kurz. Was das heißt, und wie das alles funktioniert, wird daher nachfolgend einmal dargestellt.

"Harter" Brexit: Die möglichen Folgen für Finanzinstitute und andere Finanzdienstleister

Am 29. März 2019 sollte Großbritannien im Zuge der Brexit-Abstimmung die Europäische Union verlassen. Zwei Jahre zuvor leitete Theresa May, britische Premierministerin, das Austrittsersuchen Großbritanniens an die EU weiter. Geplant war in dem zweijährigen Übergangszeitraum, die Modalitäten zwischen Großbritannien und der EU zum Austritt zu klären und Abkommen und Vorkehrungen für einen geordneten Brexit zu treffen. In den letzten Tagen und Wochen wurde um Verlängerung des Austrittszeitraums bis Ende Juni 2019 gebeten, was die schwierigen Verhandlungen zum Austritt widerspiegelt. Seitens der anderen europäischen Mitgliedsstaaten stehen die Anzeichen zu einer Fristverlängerung gut, sofern sich das britische Parlament dazu bereit erklärt, die Austrittsforderungen der EU zu akzeptieren. Ob es sich jedoch dazu durchringen kann, bleibt auf Grund der heftigen Gegenwehr zu Eingeständnissen an die EU – wie die letzten Tage und Wochen gezeigt haben – abzuwarten.Brexit: UK und EU entzwei

Sollte es zu keiner Einigung kommen, steht ein „harter“ Brexit bevor, also ein Austritt Großbritanniens ohne weitere Abkommen oder sonstige Austrittsmodalitäten – das bisher denkbarste „Worst-Case“-Szenario, wie es treffend umschrieben wird. Zwar betonen die anderen Mitgliedsstaaten und Deutschland, auf einen „harten“ Brexit vorbereitet zu sein und Vorkehrungen zu treffen; wie die Folgen genau aussehen, bleibt bisher jedoch offen.

EBA-Leitlinien “ICT and security risk management” vs. EBA GL 2017/17

Die EBA-Leitlinien zu den „Sicherheitsmaßnahmen bezüglich der operationellen und sicherheitsrelevanten Risiken von Zahlungsdiensten gemäß der Richtlinie (EU) 2015/2366 (PSD2)“ werden in die „Guidelines on ICT and security risk management“ integriert (ICT = information and communication technology; zu deutsch: IKT).

Ziel der Leitlinien ist es, dass Finanzinstitute sich mit den immer relevanter werdenden IKT-Risiken inklusive der Sicherheitsrisiken auseinandersetzen und diese ordnungsgemäß managen. Darüber hinaus dienen sie einem Verständnis darüber, welche Erwartung an die Überwachung dieser Risiken gestellt wird.

Während die ursprüngliche Version EBA GL 2017/17 den Fokus auf Zahlungsdienste gelegt hatte, adressieren die neuen Leitlinien weitere Aktivitäten von Instituten. Auch wenn sich derzeit die neuen Leitlinien noch in der Konsultationsphase befinden, so zeichnet sich im Vergleich folgendes Bild ab:

Die „Datenpanne“ und was ist zu tun…?

Nach Informationen der Landesdatenschutzbehörden nahm die Zahl der gemeldeten Datenschutzverstöße in der Zeit ab 25.05.2018 enorm zu – aber nur ein Teil dieser gemeldeten Verstöße sind auch tatsächlich Datenschutzverstöße im Sinne der DSGVO.
Nach Auskunft der Landesbeauftragten für den Datenschutz Niedersachsen wurden 2017 insgesamt 20 Datenschutzverstöße gemeldet. In der Zeit vom 25.05.2018 bis 07.08.2018 stieg diese Zahl gewaltig an. Es gingen in diesem kurzen Zeitraum bereits 126 Meldungen bei der Datenschutzbehörde ein.
Dieser Artikel beschäftigt sich vor diesem Hintergrund mit der Frage, was eigentlich Datenpannen sind und wie ein Unternehmen darauf reagieren sollte.

SSAE 18 ersetzt SSAE 16

Die Prüfung des internen Kontrollsystems bei Dienstleistern nach dem Standard SSAE 18

Hintergrund

Das Outsourcing von Geschäftsprozessen oder Teilen davon ist seit vielen Jahren ein normaler Vorgang und ermöglicht Unternehmen, sich auf Kernaufgaben und -kompetenzen zu konzentrieren.

Unabhängig davon, welche konkrete Leistung in einer Outsourcing-Lösung realisiert wird, ist meistens ein mittelbarer oder unmittelbarer Einfluss auf das Rechnungswesen und den Jahresabschluss des Auftraggebers vorhanden. Grundsätzlich gilt, dass die Ordnungsmäßigkeit des Rechnungswesens nicht ausschließlich anhand von Verarbeitungsergebnissen zu beurteilen ist, sondern in hohem Maß an die Funktionsfähigkeit des internen Kontrollsystems geknüpft wird. Eine grobe Abhandlung findet sich auch hier.

Website-Compliance

Die DSGVO ist in Kraft. Auch wenn sie nach zwei Jahren Übergangszeit immer noch für viele Unternehmen überraschend kam, haben die meisten in einer Nacht- und Nebelaktion schnell ihre Webseite an DSGVO angepasst. Schließlich ist die Webseite ja nach außen sichtbar und da will niemand schlecht aussehen.

Also: Schnell eine Datenschutzerklärung erstellt (oder auch zusammenkopiert….) und live gestellt, Cookie-Banner dazu und bei Google Analytics die Anonymisierung eingeschaltet. Und dann?

War es das?

Kann sein. Kommt aber drauf an!

PSD2 Smart Services – Dienstleistungen zur Umsetzung der Anforderungen für Startups, Kontoinformationsdienstleister, Zahlungsauslösedienstleister und weitere Finanzdienstleistungsinstitute

Sie möchten sich auf Ihr Kerngeschäft konzentrieren und verfügen nicht über entsprechendes PSD2-Wissen und Ressourcen zur Umsetzung der Anforderungen?

Sie würden gerne Themen wie Governance, Risikomanagement, Outsourcing/Dienstleistersteuerung und -überwachung oder Interne Revision mit Hilfe von Dienstleistern abdecken?

Sie suchen Antworten zu Fragen rund um das Thema PSD2, möchten aber nicht direkt große Beratungsprojekte einkaufen?

PSD2_SmartS_B1

Die PSD2 (Payment Services Directive, EU 2015/2366) hat ohne Zweifel die Welt der Zahlungsdienste revolutioniert. Immer mehr Startups und weitere Finanzdienstleistungsinstitute wollen sich z.B. als Kontoinformationsdienstleister oder Zahlungsauslösedienstleister registrieren lassen. Konzentriert auf das Kerngeschäft unterschätzt man die Herausforderung bezüglich der hohen Anforderungen an Governance, Sicherheit, Überwachung, Reports usw., die damit einhergehen. Dabei steht die Frage im Raum, wie eine Umsetzung aus eigener Kraft (i.d.R. ohne entsprechende Ressourcen) bzw. im laufenden Betrieb erfolgen soll. In der jungen Unternehmensphase auf kostenintensive Projekte durch Beratungshäuser zu setzen, ist oftmals nicht die bevorzugte Lösung.

Seiten