Mindestanforderungen an das Risikomanagement - MaRisk

AT 6 Dokumentation1 Geschäfts-, Kontroll- und Überwachungsunterlagen sind systematisch und fürsachkundige Dritte nachvollziehbar abzufassen und, vorbehaltlich gesetzlicherRegelungen, grundsätzlich zwei Jahre aufzubewahren. Die Aktualität undVollständigkeit der Aktenführung ist sicherzustellen.2 Die für die Einhaltung dieses Rundschreibens wesentlichen Handlungen undFestlegungen sind nachvollziehbar zu dokumentieren. Dies beinhaltet auchFestlegungen hinsichtlich der Inanspruchnahme wesentlicher Öffnungsklauseln, diegegebenenfalls zu begründen ist.AT 7 RessourcenAT 7.1 Personal1 Die quantitative und qualitative Personalausstattung des Instituts hat sichinsbesondere an betriebsinternen Erfordernissen, den Geschäftsaktivitäten sowie derRisikosituation zu orientieren. Dies gilt auch beim Rückgriff auf Leiharbeitnehmer.2 Die Mitarbeiter sowie deren Vertreter müssen abhängig von ihren Aufgaben,Kompetenzen und Verantwortlichkeiten über die erforderlichen Kenntnisse undErfahrungen verfügen. Durch geeignete Maßnahmen ist zu gewährleisten, dass dasQualifikationsniveau der Mitarbeiter angemessen ist.3 Die Abwesenheit oder das Ausscheiden von Mitarbeitern sollte nicht zu nachhaltigenStörungen der Betriebsabläufe führen.AT 7.2 Technisch-organisatorische Ausstattung1 Umfang und Qualität der technisch-organisatorischen Ausstattung haben sichinsbesondere an betriebsinternen Erfordernissen, den Geschäftsaktivitäten sowie derRisikosituation zu orientieren.2 Die IT-Systeme (Hardware- und Software-Komponenten) und die zugehörigen IT-Prozesse müssen die Integrität, die Verfügbarkeit, die Authentizität sowie dieVertraulichkeit der Daten sicherstellen. Für diese Zwecke ist bei der Ausgestaltung derIT-Systeme und der zugehörigen IT-Prozesse grundsätzlich auf gängige Standardsabzustellen, insbesondere sind Prozesse für eine angemessene IT-Berechtigungsvergabe einzurichten, die sicherstellen, dass jeder Mitarbeiter nur überdie Rechte verfügt, die er für seine Tätigkeit benötigt; die Zusammenfassung vonBerechtigungen in einem Rollenmodell ist möglich. Die Eignung der IT-Systeme undder zugehörigen Prozesse ist regelmäßig von den fachlich und technisch zuständigenMitarbeitern zu überprüfen.3 Die IT-Systeme sind vor ihrem erstmaligen Einsatz und nach wesentlichenVeränderungen zu testen und von den fachlich sowie auch von den technischzuständigen Mitarbeitern abzunehmen. Hierfür ist ein Regelprozess der Entwicklung,des Testens, der Freigabe und der Implementierung in die Produktionsprozesse zuetablieren. Produktions- und Testumgebung sind dabei grundsätzlich voneinander zutrennen.Rundschreiben 11/2010 (BA) vom 15.12.2010 - Seite 13 von 35