BANK- UND FINANZWESEN / von Miguel Gallardo Guerra
Die digitale Transformation des Finanzsektors hat zu erheblichen Effizienzsteigerungen, neuen Geschäftsmodellen und einer besseren Interaktion zwischen regulierten Instituten, Technologieanbietern und spezialisierten Plattformen geführt. Diese Entwicklung hat jedoch auch die operative Abhängigkeit von Dritten verstärkt. Vor diesem Hintergrund ist die Debatte über operative Resilienz und Third-Party-Risiken zu einem der weltweit wichtigsten Themen geworden, und ihre Auswirkungen sind für den mexikanischen Markt von besonderem Interesse.
Viele Jahre lang wurde das Lieferantenmanagement in erster Linie als vertragliche, technologische oder administrative Aufgabe betrachtet. Heute reicht dieser Ansatz nicht mehr aus. Im Finanzsektor können die Beziehungen zu Dritten direkten Einfluss auf die Betriebskontinuität, die Informationssicherheit, die Rückverfolgbarkeit, die Einhaltung gesetzlicher Vorschriften, das Vorfallmanagement und die Fähigkeit des Unternehmens haben, den Betrieb kritischer Prozesse aufrechtzuerhalten. Daher darf sich die Bewertung von Dritten nicht mehr auf die Überprüfung von Geschäftsbedingungen oder allgemeinen technischen Fähigkeiten beschränken. Sie muss in einen umfassenderen Rahmen der institutionellen Kontrolle eingebettet werden.
Die zunehmende internationale Aufmerksamkeit für dieses Thema ist auf eine offensichtliche Tatsache zurückzuführen: Viele wesentliche Funktionen des Finanzgeschäfts hängen von Infrastrukturen, Dienstleistungen oder Lösungen ab, die von Dritten betrieben werden. Cloud-Dienste, Zahlungsabwicklung, Überwachungstools, digitales Onboarding, Authentifizierung, Datenanalyse, Datenspeicherung und operativer Support sind nur einige Beispiele dafür. Wenn diese Beziehungen nicht angemessen geregelt werden, kann ein externer Ausfall schnell zu einem regulatorischen, rufschädigenden und operativen Problem für das darauf angewiesene Unternehmen werden.
Aus dieser Perspektive besteht operative Resilienz nicht nur darin, widrigen Ereignissen standzuhalten. Sie besteht auch darin, Klarheit darüber zu haben, welche Funktionen kritisch sind, welche Abhängigkeiten bestehen, welche Kontrollen von Dritten verlangt werden müssen, welche Nachweise aufbewahrt werden müssen und wie man bei Unterbrechungen, Sicherheitsvorfällen oder Dienstausfällen geordnet reagieren kann. Mit anderen Worten: Resilienz erfordert ein fundiertes Verständnis des gesamten operativen Ökosystems einer Institution, einschließlich jener Komponenten, die nicht direkt von ihr betrieben werden.
Die internationale Debatte hat eine grundlegende Erkenntnis bekräftigt: Die Auslagerung einer Funktion bedeutet nicht gleichzeitig die Auslagerung der Verantwortung. Selbst wenn ein Unternehmen hochspezialisierte Dienstleister einsetzt, entbindet dies es nicht von seiner Pflicht, zu überwachen, zu dokumentieren, Risiken zu bewerten und sicherzustellen, dass das vertragliche und operative Verhältnis eine ausreichende Kontrolle über relevante Prozesse gewährleistet. Diese Logik ist besonders wichtig bei regulierten Tätigkeiten, bei denen sowohl die Aufsichtsbehörde als auch der Markt von dem Institut erwarten, dass es eine wirksame Kontrolle über wesentliche Funktionen behält, selbst wenn diese von Dritten unterstützt werden.
Für Mexiko hat diese Diskussion mehrere wichtige Auswirkungen. Das lokale Finanzökosystem ist hinsichtlich des Einsatzes von Technologie, operativer Integrationen und hybrider Modelle zwischen regulierten Instituten und externen Anbietern zunehmend komplexer geworden. Vor diesem Hintergrund kann es hilfreich sein, die internationalen Entwicklungen im Bereich des Third-Party-Risikos zu beobachten, um lokale Kriterien in Bezug auf Sorgfaltspflichten, Vertragsdokumentation, Leistungsüberwachung, Notfallpläne, Prüfungsrechte, Informationssicherheit und Betriebskontinuität zu stärken.
Eine der wichtigsten allgemeinen Erkenntnisse ist, dass nicht alle Dritten gleich gründlich geprüft werden müssen. Ein effizientes Risikomanagement erfordert eine Unterscheidung zwischen gewöhnlichen Lieferanten und solchen, deren Beteiligung wesentliche Auswirkungen auf kritische Funktionen hat. Diese Einstufung ermöglicht eine rationellere Zuweisung von Kontrollressourcen und die Entwicklung von Überwachungskonzepten, die dem Grad der Abhängigkeit, der Kritikalität und des Risikos angemessen sind. Nach dieser Logik ist die Bewertung von Dritten nicht mehr nur eine einheitliche Überprüfung, sondern wird zu einem strategischen Instrument zur Priorisierung von Risiken.
Eine weitere wichtige Erkenntnis ist, dass die Rechtswirksamkeit des Vertrags zwar unerlässlich ist, allein jedoch nicht ausreicht. Die besten Rahmenbedingungen für das Management von Drittanbietern verbinden klare vertragliche Verpflichtungen mit internen Überwachungsprozessen, regelmäßigen Überprüfungen, dokumentarischen Nachweisen, Eskalationsprotokollen und der Koordination zwischen den Bereichen Recht, Compliance, Risiko, Technologie und Betrieb. Wenn diese Elemente nicht aufeinander abgestimmt sind, verfügt das Unternehmen zwar auf dem Papier über angemessene Klauseln, hat in der Praxis jedoch keine echte Kontrollmöglichkeit.
Die Diskussion über operative Resilienz steht auch im Zusammenhang mit einem Thema, das zunehmend an Bedeutung gewinnt: der Wiederherstellungsfähigkeit. Es reicht nicht aus, Vorfälle zu verhindern; es ist auch unerlässlich, festzulegen, wie relevante Funktionen fortgeführt, wiederhergestellt oder ersetzt werden können, wenn ein Dritter ausfällt. Dies erfordert Abhängigkeitsübersichten, Ausweichrouten, Ersatzkriterien, Klarheit über den Zugriff auf Informationen, Mechanismen für einen geordneten Ausstieg und vorab erprobte Protokolle. In hochgradig digitalisierten Umgebungen kann die Reaktionsgeschwindigkeit bei einer Unterbrechung genauso wichtig sein wie die Prävention selbst.
Aus institutioneller Sicht legen diese Trends nahe, dass Unternehmen in Mexiko nicht nur ihre Vergabeverfahren, sondern auch die Architektur der Überwachung von Drittanbietern über den gesamten Lebenszyklus der Geschäftsbeziehung hinweg weiter stärken müssen. Dazu gehören die Auswahl, die Einarbeitung, die kontinuierliche Überwachung, die Neubewertung, die Dokumentation von Vorfällen sowie gegebenenfalls die Beendigung oder der Übergang von Dienstleistungen. Die Beziehung zu Dritten darf nicht länger als nebensächliches Thema behandelt werden. In vielen Organisationen ist sie ein zentraler Bestandteil ihrer operativen Leistungsfähigkeit.
Letztendlich spiegelt die Diskussion über operative Resilienz und Risiken durch Dritte einen umfassenderen Wandel im Finanzsektor wider. Da Finanzinstitute zunehmend auf komplexe Technologie-Ökosysteme angewiesen sind, lässt sich die institutionelle Solidität nicht mehr allein daran messen, was innerhalb der eigenen vier Wände geschieht. Sie wird auch daran gemessen, wie sie ihre externen Abhängigkeiten steuern, überwachen und kontrollieren. Für Mexiko bietet die Betrachtung der globalen Erkenntnisse in diesem Bereich eine Chance, einen wesentlichen Bestandteil der Compliance und der heutigen operativen Stabilität präventiv zu stärken.
Für weitere Informationen schreib uns bitte an:
mgallardo@bgbg.mx
Besuchen Sie den Bereich