Branche Banken und Finanzwesen
Begleitung von Banken, Genossenschaftsbanken, Finanzintermediären nach Art. 106 TUB, SGR, Zahlungs- und E-Geld-Instituten: internes Kontrollsystem, Geldwäschebekämpfung, Transparenz, digitale operationale Resilienz und Steuerung der Pflichten gegenüber Banca d’Italia, Consob und UIF.
Die Herausforderungen der Branche
Risikocontrolling, Compliance, interne Revision und die Funktion Geldwäschebekämpfung benötigen Mandat, Ressourcen und Unabhängigkeit in angemessenem Umfang, müssen für die Organe verwertbare Berichte erstellen und dürfen sich nicht überschneiden: In Instituten geringerer Größe ist das die stärkste organisatorische Einschränkung.
Risikoeinstufung der Kunden, risikoangemessene Kundensorgfaltspflichten, Verdachtsmeldungen an die UIF und Kontrollen der zweiten und dritten Ebene müssen wirksam bleiben, während das europäische Geldwäschepaket 2024, mit dem eine eigene Aufsichtsbehörde geschaffen wurde, einen Teil der Regelung in eine unmittelbar geltende Verordnung verlagern wird.
Kernbankensysteme, Cloud-Dienste, Zahlungsdienstleister und IT-Outsourcer bündeln das operationelle Risiko außerhalb der Unternehmensgrenzen: DORA verlangt ein Informationsregister der Vertragsvereinbarungen, bestimmte Vertragsklauseln, Ausstiegsstrategien und die Meldung schwerwiegender Vorfälle.
Vorvertragliche Informationen, Vertragsübersichten, einseitige Vertragsänderungen, Antwortfristen bei Beschwerden, Verfahren vor dem Arbitro Bancario Finanziario und, für die Wertpapierdienstleistungen, Geeignetheitsprüfung und Product Governance nach MiFID II: Pflichten, die auf Verträge, Systeme und Vertriebsnetze durchschlagen.
Prüfung der Kreditwürdigkeit, Scoring-Modelle, private Kreditinformationssysteme, das Kreditregister Centrale dei rischi und Betrugsprävention: Verarbeitungen mit hoher Eingriffsintensität, die zutreffende Rechtsgrundlagen, verständliche Datenschutzhinweise und Vorkehrungen bei ausschließlich automatisierten Entscheidungen verlangen.
Die aufsichtlichen Erwartungen zu Klima- und Umweltrisiken verlangen deren Einbindung in Governance, Kreditprozesse und Berichterstattung, während die ESG-Offenlegung der Säule 3 und die Nachhaltigkeitsberichterstattung Daten und Kontrollen der Informationsqualität erfordern.
Handlungsfelder
Wir prüfen Mandate, Verfahren und Informationsflüsse der unternehmensinternen Kontrollfunktionen im Hinblick auf die jeweils anwendbaren Aufsichtsbestimmungen (Circolare 285/2013 für die Banken, Circolare 288/2015 für die Finanzintermediäre nach Art. 106 TUB, eigene Bestimmungen für Zahlungs- und E-Geld-Institute) und schlagen einen der Struktur angemessenen Aufbau vor, einschließlich der Verortung der Funktion Geldwäschebekämpfung.
Wir übernehmen die interne Revision vollständig oder unterstützen die bestehende Funktion: Prüfungsuniversum, risikoorientierter und von den Organen genehmigter Plan, Arbeitsprogramme, Kontrolltests, klassifizierte Feststellungen und Follow-up mit Berichterstattung an Verwaltungsrat und Collegio Sindacale.
Wir arbeiten an Risikobewertung, Verfahren der Kundensorgfalt, Kriterien der Risikoeinstufung, Bearbeitung von Auffälligkeiten und Prüfung der Verdachtsmeldungen, mit Schulungsplänen und Stichprobenprüfungen der Kundenakten, damit die Vorkehrungen nachprüfbar und nicht nur formal dokumentiert sind.
Wir bauen den IKT-Risikomanagementrahmen auf oder überarbeiten ihn, ebenso das Informationsregister der Vereinbarungen mit IKT-Drittdienstleistern, die Vertragsklauseln und die Ausstiegsstrategien, das Verfahren zur Klassifizierung und Meldung schwerwiegender Vorfälle und das Programm für die Resilienztests.
Wir unterziehen Online-Banking, Apps, Portale und Zahlungsschnittstellen Penetrationstests und Schwachstellenanalysen und nehmen deren Ergebnisse in das Programm zur Prüfung der digitalen operationalen Resilienz auf. Für Institute, die bedrohungsgeleitete Penetrationstests (TLPT) durchzuführen haben, bereiten wir Umfang, Dokumentation und die Prüfung der Anforderungen an den beauftragten Tester vor und begleiten die Abstimmung mit der Behörde. Sicherheit und Betriebskontinuität bleiben an ISO 27001 und ISO 22301 ausgerichtet.
Wir überarbeiten vorvertragliche Informationen, Vertragsübersichten und Kundenmitteilungen im Hinblick auf Titel VI des TUB und die Transparenzbestimmungen der Banca d’Italia, zeichnen den Beschwerdeprozess bis zum Arbitro Bancario Finanziario nach und prüfen für die Wertpapierdienstleistungen die Geeignetheitsbeurteilung, die Product Governance und die Kostentransparenz.
Wir analysieren die Anlassdelikte, die bei einem Institut ins Gewicht fallen: Steuerdelikte, Marktmissbrauch, Hehlerei, Geldwäsche und Selbstgeldwäsche, Korruption, Bilanzfälschung, Behinderung der Aufsichtstätigkeit, Computerdelikte. Die Protokolle setzen auf den bestehenden aufsichtsrechtlichen Verfahren auf.
Wir betreuen Datenschutzhinweise, Rechtsgrundlagen, Folgenabschätzungen zu Scoring und Betrugsprävention, Speicherfristen, die Beziehungen zu den Kreditinformationssystemen und die Rechte der Betroffenen bei automatisierten Entscheidungen, mit dem externen DPO, wenn die Aufgabe intern nicht besetzt ist.
Das Bank- und Finanzgeschäft ist ein vorbehaltener und beaufsichtigter Tätigkeitsbereich: Der Zugang führt über eine Zulassung, der Verbleib hängt davon ab, dass die organisatorischen und die Eigenmittelanforderungen dauerhaft erfüllt bleiben. Banca d’Italia übt die prudenzielle Aufsicht im Einheitlichen Aufsichtsmechanismus aus, der die direkte Aufsicht über bedeutende Banken der EZB zuweist; die Consob beaufsichtigt die Wertpapierdienstleistungen; die UIF, die italienische Financial Intelligence Unit, erhält die Verdachtsmeldungen. Der Kreis der betroffenen Unternehmen ist heterogen und reicht von den Banken bis zu den beaufsichtigten Kreditgarantiegemeinschaften (confidi).
Der Grundaufbau ist jedoch derselbe. Jedes Institut muss über voneinander getrennte Kontrollfunktionen – Risikocontrolling, Compliance und interne Revision – sowie über Geschäftsleiter und Organmitglieder verfügen, die die Eignungsanforderungen erfüllen. Die geldwäscherechtlichen Bestimmungen der Banca d’Italia fügen die Funktion Geldwäschebekämpfung hinzu: eine eigenständige Kontrollfunktion der zweiten Ebene mit einer eigenen verantwortlichen Person und der davon getrennten Rolle des Verantwortlichen für die Verdachtsmeldungen; in weniger komplexen Instituten kann sie unter den vorgesehenen Voraussetzungen dem Compliance-Verantwortlichen übertragen werden.
Unterschiedlich sind dagegen die prudenziellen Anforderungen: ICAAP, ILAAP und die mit dem europäischen Bankenpaket 2024 (CRR3 und CRD6) überarbeiteten Regeln zu Eigenmitteln und Liquidität gelten für die Banken, während die übrigen Institute den jeweils für sie geltenden Bestimmungen folgen, mit der Sicherung der Kundengelder für Zahlungs- und E-Geld-Institute.
Neben der prudenziellen Aufsicht stehen der Kundenschutz und die Geldwäschebekämpfung: Titel VI des TUB (D.Lgs. 385/1993, das italienische Bankengesetz) und die Transparenzbestimmungen der Banca d’Italia regeln die Kundenbeziehung bis hin zu den Verfahren vor dem Arbitro Bancario Finanziario, der italienischen Schlichtungsstelle für Bank- und Finanzgeschäfte, während für die Wertpapierdienstleistungen das TUF und MiFID II gelten. Das D.Lgs. 231/2007 und die Durchführungsbestimmungen der Banca d’Italia regeln die Kundensorgfaltspflichten und die Verdachtsmeldungen; das europäische Geldwäschepaket 2024 wird einen großen Teil der Regelung in eine unmittelbar geltende Verordnung verlagern, allerdings mit aufgeschobener Anwendung: Heute gelten operativ weiterhin die Pflichten des Dekrets.
Auf technologischer Seite ist die Verordnung (EU) 2022/2554 (DORA) maßgeblich: Sie bezieht die Abhängigkeit von IKT-Dienstleistern in den Aufsichtsbereich ein, bis hin zum Informationsregister der Vertragsvereinbarungen, das der Behörde übermittelt wird. Das Bild vervollständigen die DSGVO zu Profiling und Credit Scoring, das D.Lgs. 231/2001 und die aufsichtlichen Erwartungen zu Klima- und Umweltrisiken.
Ein einziger Ansprechpartner, der Aufsichtsrecht, Geldwäschebekämpfung und Informationssysteme kennt, arbeitet mit den Kontrollfunktionen, der IT, dem Kreditbereich und den Organen der Gesellschaft zusammen, anstelle getrennter Berater für jede einzelne Vorschrift. Ausgangspunkt sind die Unterlagen, die das Institut ohnehin erstellt: Berichte der Kontrollfunktionen, geldwäscherechtliche Risiko-Selbstbewertung, Beschwerdeverzeichnis, Ergebnisse von Prüfungen vor Ort.
Auf der dritten Linie bieten wir die interne Revision im Outsourcing oder Co-Sourcing an, mit Berichterstattung an die Organe und Abstimmung zwischen Collegio Sindacale, Abschlussprüfer und Überwachungsgremium.
Das IKT-Risiko wird beherrscht, indem der DORA-Rahmen aufgebaut und anschließend auf die Probe gestellt wird: Penetrationstests und Schwachstellenanalysen der digitalen Kanäle prüfen, was die Verfahren behaupten.
Die Transparenz misst sich an den Unterlagen, die beim Kunden ankommen, und am Verlauf der Beschwerden bis zu den Verfahren vor dem Arbitro Bancario Finanziario: die unmittelbarste Quelle für Hinweise auf Prozesse, die nicht tragen. In denselben Bereich fallen die geldwäscherechtlichen Verfahren, die datenschutzrechtlichen Pflichten bei Scoring und Marketing sowie das 231-Modell, das auf die bestehenden Vorkehrungen aufgesetzt wird.
Für die Nachhaltigkeitsdaten gilt derselbe Grundsatz: eine einzige Datenkette mit Kontrollen der Schätzwerte und Nachvollziehbarkeit, sowohl für die ESG-Offenlegung der Säule 3 als auch für die Berichterstattung.
Der Umfang wird gemeinsam festgelegt, und die Entscheidungen bleiben bei den Organen des Instituts: Wir bringen regulatorische Einordnung, Prüfmethode und Nachweise ein, mit von Anfang an festgelegten Verantwortlichkeiten und Fristen.
Häufige Fragen
Der Bank- und Finanzsektor gehört zu den von NIS2 erfassten Sektoren, doch die Verordnung (EU) 2022/2554 wirkt als sektorspezifische Regelung mit gleichwertigen Anforderungen: Für das IKT-Risikomanagement und für die Meldung von Vorfällen gelten DORA und die Meldewege an die Finanzaufsichtsbehörden, nicht die entsprechenden Pflichten des italienischen Gesetzesdekrets 138/2024. Zu prüfen bleiben die Sonderfälle, etwa Gesellschaften der Gruppe, die Tätigkeiten außerhalb der Finanzdienstleistungen ausüben und eigenständig in den Anwendungsbereich von NIS2 fallen können. Erster Schritt ist daher eine begründete und dokumentierte Einordnung des Unternehmens, um doppelte Vorkehrungen und Meldungen an die falsche Behörde zu vermeiden.
Die Aufsichtsbestimmungen lassen die Auslagerung der unternehmensinternen Kontrollfunktionen unter bestimmten Voraussetzungen zu, die von Art, Größe und Komplexität des Instituts abhängen und in der Regel die Benennung einer internen Ansprechperson, einen Vertrag über Servicelevel und Informationszugang sowie den Verbleib der Verantwortung bei den Organen der Gesellschaft verlangen. Die Prüfung der Zulässigkeit ist der erste Schritt des Mandats: Sind die Voraussetzungen nicht erfüllt, bleibt als praktikable Form das Co-Sourcing zur Unterstützung einer internen Funktion.
Mit der Risiko-Selbstbewertung und einer Stichprobenprüfung der Akten zur Kundensorgfalt: Zusammen zeigen sie, ob die Kriterien der Risikoeinstufung zur tatsächlichen Geschäftstätigkeit passen und ob die erhobenen Informationen vollständig und aktuell sind. Anschließend folgt der Weg der Auffälligkeiten, von der Entstehung des Alerts bis zur begründeten Einstellung oder zur Meldung an die UIF, gemessen an Bearbeitungszeiten und Qualität der Prüfung. Es sind dieselben Nachweise, die bei einer Prüfung vor Ort verlangt werden: Deshalb lohnt es sich, sie vorher aufzubauen.
Indem die gesamte Kette nachgezeichnet wird: Datenquellen, Rechtsgrundlage jeder Verarbeitung, die dem Kunden erteilten Datenschutzhinweise, verständlich beschriebene Logik des Modells, Speicherfristen, Verträge mit den Datenlieferanten und mit den Kreditinformationssystemen. Wo die Bewertung ausschließlich automatisiert erhebliche Wirkungen entfaltet, sind das Eingreifen einer Person, die Anfechtung der Entscheidung und die Nachvollziehbarkeit der Anfragen der Betroffenen vorzusehen. Eine aktuelle Datenschutz-Folgenabschätzung hält diese Elemente zusammen und verringert das Risiko von Beanstandungen.
Vor allem jene, die aus der typischen Tätigkeit eines Instituts entstehen: Marktmissbrauch, Hehlerei, Geldwäsche und Selbstgeldwäsche, Steuerdelikte, Korruption, Bilanzfälschung und Behinderung der Tätigkeit der öffentlichen Aufsichtsbehörden, dazu die Computerdelikte. Die Risikoerhebung ist an der tatsächlichen Geschäftstätigkeit auszurichten: Einlagengeschäft, Kreditgeschäft, Wertpapierdienstleistungen, Zahlungsverkehr, Bearbeitung notleidender Kredite. Die Protokolle stützen sich auf die von den Aufsichtsbestimmungen bereits vorgesehenen Vorkehrungen, damit kein zweites, parallel laufendes Regelwerk entsteht.
Ausgangspunkt sind die Stellen, an denen Klima- und Umweltrisiken die Prozesse bereits berühren: Kreditpolitik und Kreditprüfung, Bewertung der Sicherheiten, Berichterstattung an die Organe, ESG-Offenlegung der Säule 3, soweit sie verlangt wird. Der aufwendigste Teil betrifft die Daten: Herkunft der bei der Kundschaft erhobenen Informationen, Kriterien der Schätzungen, wenn ein Wert fehlt, Qualitätskontrollen, Nachvollziehbarkeit, wer die Zahl erstellt hat. Dieselben Informationen speisen die Nachhaltigkeitsberichterstattung der Institute, die ihr unterliegen: Deshalb lohnt es sich, eine einzige Datenkette aufzubauen und nicht zwei getrennte Berichtswege.
Passende Leistungen
Interne Revision im Outsourcing oder Co-Sourcing: risikoorientierte Prüfungsplanung, Kontrollprüfungen und Berichterstattung an die Unternehmensleitung.
Mehr erfahrenTechnische Sicherheitsprüfungen von Netzwerken, Anwendungen und Infrastrukturen: Wir finden die Schwachstellen, bevor ein Angreifer es tut.
Mehr erfahrenOrganisations-, Management- und Kontrollmodelle nach dem italienischen Gesetzesdekret 231/2001, Risikobewertung der Anlassdelikte und Unterstützung des Überwachungsgremiums (OdV).
Mehr erfahrenUmsetzung der Verordnung (EU) 2016/679 und des italienischen Datenschutzkodex: Assessment, Verarbeitungsverzeichnis, DSFA, Richtlinien und Schulungen.
Mehr erfahrenESG-Berichterstattung nach CSRD, ESRS, GRI und dem Standard VSME: Wesentlichkeitsanalyse, Datenerhebung, Erstellung und Vorbereitung auf die Prüfung.
Mehr erfahrenKonzeption, Einführung und Pflege zertifizierbarer Managementsysteme: ISO 9001, 14001, 45001, 27001, 37001, 50001 sowie die wichtigsten Branchen- und Lieferkettenstandards.
Mehr erfahrenSprechen wir darüber
Erzählen Sie uns von den Prioritäten Ihres Unternehmens: In einem ersten, unverbindlichen Gespräch analysieren wir die Ausgangslage und schlagen Ihnen einen konkreten Weg mit Zeitplan und messbaren Ergebnissen vor.