Stadtsparkasse Düsseldorf | Geschäftsbericht 2017

LAGEBERICHT 2017 83
RISIKOSTEUERUNG
Durch Regelung von Prozessen, Kontrollen und
Kompetenzen werden Risiken vermieden bzw.
vermindert. Soweit möglich und unter Kosten-/
Risikobetrachtung werden Risiken versichert
(Gebäude versicherung, Personalgarantieversicherung,
Haftpflicht etc.). Die Übertragung auf
Dritte (z. B. Aufgaben, Prozesse) im Rahmen von
Outsourcing reduziert operationelle Risiken in
der Stadtsparkasse Düsseldorf selbst. Jedoch tritt
an diese Stelle das Risiko, dass der Outsourcing-
Partner seine Leistungen in vereinbarter Form
nicht erbringt. Dieses Risiko wird durch einen
geregelten Outsourcing-Prozess inklusive Risikoanalyse
und Bericht reduziert und überwacht.
Die Leitenden der Bereiche sind für das
Management der operationellen Risiken (insbesondere
operationeller Risiken im Bereich von
Mitarbeitenden und internen Verfahren) ihrer
Organisationseinheit verantwortlich. Das Risikomanagement
berichtet monatlich über eingetretene
Schäden und jährlich über die periodische
Risikoinventur.
In der operativen Umsetzung verantwortet der
Bereich Compliance notwendige Notfallkonzepte,
die den Umgang mit operationellen Risiken
festlegen, die in der internen Infrastruktur
und durch externe Einflüsse entstehen können.
Die Konzepte enthalten organisatorische und
technische Regelungen, durch die eine einheitliche
Vorgehensweise in einem Katastrophenfall
sichergestellt wird. Des Weiteren werden die
Aufgabenfelder Betriebssicherheit, Arbeitsplatzsicherheit
und IT-Sicherheit im Bereich
Compliance umgesetzt.
Der Schutz von betrieblichen Informationen wird
durch Umsetzung der Informationssicherheits-
Leitlinie gewährleistet. Mit Hilfe der Informationssicherheits-Leitlinie
werden die Rahmenbeding
ungen für die Informationssicherheit der
Stadtsparkasse Düsseldorf definiert. Die Leitlinie
unterstützt die Geschäfts- und Risikostrategie
der Stadtsparkasse Düsseldorf.
Sie beinhaltet
• die Grundsätze der Informationssicherheit,
• die Ausgestaltung der Sicherheitsorganisation,
• Vorgaben zur Durchsetzung der
Informationssicherheits-Leitlinie und
• grundsätzliche Vorgaben zur regelmäßigen
Sensibilisierung der Mitarbeitenden.
Die rollenbasierte Einräumung der Berechtigungen
zum Zugriff auf die IT-Systeme erfolgt
auf Grundlage der betrieblichen Anforderungen
und unter Berücksichtigung der rechtlichen und
aufsichtsrechtlichen Rahmenbedingungen.
Die Schutzmechanismen der IT-Infrastruktur
leiten sich aus dem Schutzbedarf der betroffenen
Informationen ab.
Vor ihrem erstmaligen Einsatz und bei wesentlichen
Veränderungen werden IT-Systeme getestet
und von fachlich sowie technisch zuständigen
Mitarbeitenden abgenommen.
Für kritische und essentielle Prozesse wurden
Geschäftsfortführungspläne festgelegt, die den
unterbrechungsfreien Geschäftsbetrieb sicherstellen.
Für jede Outsourcing-Maßnahme ist ein fachlich
Verantwortlicher benannt, der die Überwachung
und Steuerung übernimmt. Auf dieser Basis
erfolgt u. a. jährlich eine Bewertung durch den
zentral verantwortlichen Outsourcing-Beauftragten.
Dieser berichtet an den Vorstand.
Bei den als wesentlich eingestuften Auslagerungen
bestehen Risikokonzentrationen hinsichtlich
des IT-Dienstleisters sowie der Wertpapierabwicklung.
Diese Konzentrationen treffen auf
nahezu alle Sparkassen Deutschlands zu. Zur
Steuerung werden umfassende Informations-,
Eskalations- und Notfallverfahren eingesetzt.
Weitere Risikokonzentrationen sind derzeit nicht
zu erkennen.