Externer IKT-Risikomanager (IKT-RM) oder IKT-Risikocontroller (IKT-RC)

Ein wirksames IKT-Risikomanagement ist eine wesentliche Voraussetzung für die digitale operationale Resilienz eines Finanzunternehmens. DORA verlangt einen soliden, umfassenden und dokumentierten IKT-Risikomanagementrahmen mit klaren Rollen, Verantwortlichkeiten und Kontrollstrukturen. Das Leitungsorgan muss diesen Rahmen festlegen, genehmigen und überwachen und trägt weiterhin die Gesamtverantwortung.

Wir unterstützen Sie abhängig von Ihrer Organisationsstruktur entweder als externer IKT-Risikomanager oder bei der Wahrnehmung der IKT-Risikokontrollfunktion durch einen externen IKT-Risikocontroller.

DORA schreibt keine Funktion mit der Bezeichnung „IKT-Risikomanager“ vor. Für den regulären IKT-Risikomanagementrahmen fordert DORA jedoch eine angemessen unabhängige IKT-Risikokontrollfunktion. Eine detaillierte Rollenbeschreibung gibt die Verordnung nicht vor. Die konkrete Ausgestaltung muss deshalb an das jeweilige Geschäfts- und Governance-Modell angepasst werden.

Der IKT-Risikomanager übernimmt insbesondere operative und koordinierende Aufgaben. Er identifiziert und bewertet IKT-Risiken, entwickelt Maßnahmen, koordiniert deren Umsetzung und führt die Ergebnisse aus IT, Informationssicherheit, Business Continuity und IKT-Drittparteienmanagement zusammen.

Der IKT-Risikocontroller übernimmt eine stärker unabhängige Kontroll- und Überwachungsfunktion. Er prüft und hinterfragt Risikobewertungen, überwacht die Einhaltung festgelegter Vorgaben, bewertet die Wirksamkeit der Maßnahmen und berichtet unabhängig an das Leitungsorgan.

Die interne Revision bleibt von beiden Funktionen getrennt und bildet eine zusätzliche unabhängige Prüfungsinstanz. DORA verlangt eine angemessene Trennung zwischen operativem IKT-Risikomanagement, Kontrollfunktion und interner Revision.