Die neuen Leitlinien der EBA gehen über die bisherigen Auslagerungs-Leitlinien aus dem Jahr 2019 hinaus: Sie verfolgen einen ganzheitlichen Ansatz für das Risikomanagement bei Dritten sowohl im Bereich der IKT- als auch der Nicht-IKT-Dienstleistungen. Dabei decken sie den gesamten Lebenszyklus der entsprechenden Vereinbarungen ab, einschließlich Risikobewertung und Sorgfaltsprüfung, Vertragsabschluss, Untervergabe, Überwachung, Dokumentation und Ausstiegsstrategien.

Gegenüber der Konsultationsfassung hat die EBA zahlreiche Praxis- und Proportionalitätsbedenken aufgegriffen, die wir in unserer Stellungnahme und in Gesprächen mit der EBA adressiert hatten. Das entnehmen Sie der Änderungsfassung.

Für unseren Mitgliederkreis gelten die EBA-Leitlinien unmittelbar für mittlere Wertpapierinstitute. Kapitalverwaltungsgesellschaften (KVGs) sind dagegen grundsätzlich nicht direkt erfasst. Für KVGs innerhalb einer Banken- oder Wertpapierfirmengruppe können sich jedoch mittelbare Auswirkungen aus der Anwendung der Leitlinien auf konsolidierter Ebene ergeben. Die EBA hebt jedoch hervor, dass dabei auch die sektorspezifischen Anforderungen für OGAW- und AIFM-Unternehmen zu berücksichtigen sind. Nach Aussage der EBA sollen mit ihren Leitlinien keine neuen Dokumentationspflichten für den Fondsbereich entstehen.

Die EBA hat im Vergleich zum Entwurf auch die einzubeziehenden Dienstleistungen reduziert. So sind unter anderem regulierte Finanzdienstleistungen und Finanztransaktionen zwischen beaufsichtigten Unternehmen ausgenommen. IKT-Drittdienstleistungen, die DORA unterliegen, werden ebenfalls nicht von den Leitlinien erfasst. Das Drittparteien-Risikomanagement soll allerdings möglichst integriert ausgestaltet werden, etwa bei Governance, Registern, der Klassifizierung kritischer und wichtiger Funktionen sowie der Risikosteuerung. 

Für die betroffenen Unternehmen bringen die Leitlinien spürbare Erleichterungen. Die EBA konzentriert die Anforderungen stärker auf kritische und wichtige Funktionen und reduziert die Pflichten bei Unterbeauftragungen und Dokumentation. Auch das weiterhin vorgesehene Register für Nicht-IKT-Dienstleistungen wurde deutlich vereinfacht und stärker an DORA angeglichen. Dadurch kann es mit dem DORA-Register zusammengeführt werden.

Handlungsbedarf dürfte für betroffene Unternehmen vor allem bei der Identifikation kritischer Funktionen bei Nicht-IKT-Dienstleistungen, der Integration der Register, der Dokumentation von Drittparteirisiken sowie der Überprüfung von Konzentrations- und „Empty-Shell“-Risiken bestehen. 

Die Leitlinien werden nun noch in die EU-Amtssprachen übersetzt. Die bisherigen EBA-Auslagerungs-Leitlinien werden dann aufgehoben. Für bestehende Verträge besteht grundsätzlich eine Übergangsfrist von zwei Jahren. Für Verträge, die kritische oder wichtige Funktionen unterstützen und nach zwei Jahren noch nicht vollständig angepasst sind, muss ein Dialog mit der zuständigen Aufsicht geführt werden. Für nicht-kritische Dienstleistungen ist eine flexiblere Anpassung insbesondere im Zuge von Vertragsverlängerungen vorgesehen.