IT-Risiken lassen sich nicht delegieren

IT-Governance: Warum Verantwortung nicht delegierbar ist

IT-Outsourcing verspricht Kostenvorteile, Zugang zu Fachwissen und schnellere Innovation. Was dabei oft übersehen wird: Gleichzeitig steigt das operationelle Risiko, das sich nicht einfach wegdelegieren lässt. Die FINMA stuft Auslagerungen kritischer Funktionen deshalb explizit als Hauptrisiko für die Stabilität des Finanzplatzes und der Finanzinstitute ein, insbesondere aufgrund der Konzentration auf wenige Cloud- und SaaS-Anbieter.

Entscheidend: Die Verantwortung für die ordnungsgemässe Leistungserbringung bleibt bei der auslagernden Unternehmung; sie lässt sich vertraglich nicht delegieren.

Governance: Verwaltungsrat, Geschäftsleitung, Fachbereiche

Eine gute Outsourcing-Governance ist kein IT-Thema, sondern eine Führungsaufgabe.

• Verwaltungsrat: Trägt die Oberleitung (Art. 716a Abs. 1 Ziff. 1 OR), Organisationsverantwortung und Aufsicht; diese Aufgaben können weder ausgelagert noch an Provider übertragen werden. Er definiert die Risikotoleranz, kritische Funktionen und entscheidet, welche Abhängigkeiten vertretbar sind und welche nicht.
• Geschäftsleitung: Verantwortet die operative Umsetzung, von der Outsourcing-Strategie über die Providerwahl bis zur Integration der ausgelagerten Leistungen ins interne Kontrollsystem.
• Fachbereiche: Bleiben zuständig für die ausgelagerten Prozesse und Daten. Sie müssen Anforderungen, Kontrollen und Notfallprozesse definieren und laufend überprüfen.

Diese Rollenverteilung gilt sowohl für Banken und Versicherungen, als auch für Industrieunternehmen, Spitäler und öffentliche Verwaltung. Die aufsichtsrechtlichen Rahmenbedingungen mögen variieren, die Haftungskette jedoch nicht.

Drittparteienrisiken aus europäischer Sicht

Auch regulatorische wie DORA (EU - Digital Operational Resilience Act) oder die geplanten EBA-Leitlinien (European Banking Authority) zum Drittparteienrisiko gehen weit über klassisches Outsourcing hinaus. Sie erfassen nahezu alle kritischen Drittleistungen. Für nicht regulierte Unternehmen wirken sie in der EU als De-facto-Standard: Auch sie müssen zentrale Abhängigkeiten, Risiken in der Lieferkette sowie die Resilienz von Cloud- und Software-Diensten aktiv steuern.

Vorfälle wie das CrowdStrike-Update oder grössere Cloud-Ausfälle zeigen, dass Fehler bei einem einzelnen Technologieanbieter globale Kettenreaktionen auslösen können. Für die Schweiz sind diese Richtlinien noch nicht verbindlich (oder nur in gewissen Bereichen); die Stossrichtung ist allerdings klar erkennbar, welche beispielsweise auch die FINMA bereits aufgenommen hat (FINMA Rundschreiben 2018/3, Outsourcing).

Fünf Kernprinzipien des IT-Outsourcings

• «Own the risk» statt «Park the risk»: Jede ausgelagerte Funktion bleibt integraler Bestandteil des Geschäftsmodells, inklusive aller rechtlichen, Cyber- und Reputationsrisiken. Risiken müssen identifiziert, bewertet, gesteuert und überwacht werden, als würde die Leistung intern erbracht.
• Ganzheitliche Sicht auf Drittparteien statt Fokus auf einzelne Provider: Nicht nur kritische Auslagerungen sind relevant: Auch kleinere Spezialanbieter oder Subunternehmen können kritische Schwachstellen darstellen (z. B. Unternehmung, Treuhänder, Bankschnittstellen). Lieferkettenrisiken, Sub-Outsourcing und Konzentrationen auf wenige Cloud- oder Zahlungsdienstleister gehören ins Visier von Risikomanagement und Revision (z. B. Vendor-Lock-in).
• Vertragliche Absicherung plus gelebte Governance: Verträge müssen Mindeststandards zu Informationssicherheit, Auditrechten, Exit-Szenarien, Datenlokation und Subdienstleistern enthalten. Aber ohne aktive Steuerung, Kontrolle und Überwachung bleiben diese reine Papier-Compliance. Erforderlich sind klare KPIs, regelmässige Service-Reviews, unabhängige Kontrollen sowie getestete Notfall- und Exitpläne. In der Praxis zeigt sich insbesondere bei kleineren Betrieben, dass Outsourcern oft blind vertraut wird. Überprüfung und Tests erfolgen zu selten. Empfehlung: Bereits im Rahmen des Outsourcing-Projekts festlegen, unter welchen Bedingungen und mit welchem Aufwand ein Providerwechsel oder ein Insourcing möglich ist.
• Business- und IT-Strategie aufeinander abstimmen: IT-Outsourcing darf nicht allein aus Kostengründen erfolgen. Es muss zur Geschäftsstrategie, zum Digitalisierungsgrad und zur Risikotoleranz passen. Wer kritische Kernprozesse nahezu vollständig an einen oder wenige globale Anbieter überträgt, schafft neue strategische Abhängigkeiten und braucht dafür klare Governance-Entscheide auf oberster Ebene.
• Resilienz vor Effizienz: Regulatoren fordern zunehmend operationelle Resilienz, also die Fähigkeit, kritische Funktionen auch bei Störungen durch Dienstleister weiterzuführen. Dies setzt Redundanzen, getestete Fallback-Prozesse, klare Kommunikationswege und eine präzise Erfassung aller kritischen Outsourcing-Beziehungen voraus. Gerade im Cloud- und SaaS-Bereich wird oft nur eine Plattform genutzt; dies führt zu einem ausgeprägten Vendor-Lock-in und einer entsprechenden Abhängigkeit (vgl. jüngste Preiserhöhungen bei Microsoft).

Was Verwaltungsräte und Executives konkret tun sollten

• Ein Inventar aller wesentlichen Outsourcing- und Drittparteienbeziehungen inkl. Sub-Outsourcing und Cloud-Nutzung regelmässig aktualisieren.
• Klare Verantwortlichkeiten definieren: Wer trägt pro Service die Verantwortung für Risikoanalyse, laufende Überwachung, Incident Management und Exit?
• Risiko- und Performance-Reporting so ausgestalten, dass Verwaltungsrat oder Aufsichtsorgan Outsourcing-Risiken ebenso klar erkennen wie Kredit-, Markt- oder Produktionsrisiken.
• Branchenstandards und regulatorische Vorgaben (FINMA, EBA, DORA etc.) als Benchmark nutzen, auch wenn man formell nicht vollumfänglich darunterfällt.
• Kontrolle und Überwachung der Dienstleistungen der Outsourcing-Partner inkl. Testen von Notfällen. Sollten neue Funktionen oder Applikationen hinzukommen, sich der neuen Abhängigkeiten bewusst werden.

Verantwortungsvolles IT-Outsourcing bedeutet, die Vorteile von Spezialisierung und Skalierung zu nutzen, ohne die Steuerung aus der Hand zu geben. Risiken lassen sich nicht delegieren! Dessen müssen sich insbesondere Verwaltungsräte und Führungskräfte bewusst sein. Wer das erkennt und entsprechend handelt, stärkt nicht nur die Compliance, sondern schafft einen echten Wettbewerbsvorteil.