Auslagerungsmanagement und Governance
Rechtsstand: 10. September 2026 | Lesezeit: rund 12 Minuten | Erstveröffentlichung: 16. Juni 2021, vollständig überarbeitet
Welche Pflichten hat ein Auslagerungsbeauftragter, wenn die MaRisk die Bestellung dieser Person gar nicht mehr verlangen? Die Antwort ist kürzer als erwartet: dieselben wie zuvor. Nur hängen sie seit dem 30. Juni 2026 nicht mehr an einem Titel, sondern an einer Funktion – und an der Zuordnungsentscheidung der Geschäftsleitung.
AT 9 Tz. 12 der MaRisk verlangt, abhängig von Art, Umfang und Komplexität der Auslagerungsaktivitäten ein zentrales Auslagerungsmanagement einzurichten, und benennt vier Aufgaben. Eine Person, die dafür zu bestellen wäre, nennt der Text an dieser Stelle nicht mehr.
Der Aufgabenkatalog selbst ist unverändert geblieben. Verändert hat sich die Berichtsfrequenz: AT 9 Tz. 13 spricht von regelmäßigen Abständen und anlassbezogener Berichterstattung. Ein fester Jahresturnus steht dort nicht. Das ist Spielraum – und zugleich eine Begründungspflicht.
Inhaltlich hat sich das Profil dagegen deutlich verschoben. Seit der Erläuterung zu AT 9 Tz. 1 fallen IKT-Dienstleistungen nach Art. 3 Nr. 21 DORA aus dem Anwendungsbereich des AT 9 heraus. Wer die Steuerung von Drittparteien verantwortet, muss beide Regime kennen und je Dienstleistungsverhältnis zuordnen.
Für die Geschäftsleitung bleibt die Verantwortung, wo sie war. AT 9 Tz. 4 stellt klar, dass eine Auslagerung nicht zu einer Delegation ihrer Verantwortung führt und dass Leitungsaufgaben nicht auslagerbar sind.
Die MaRisk wurden am 30. Juni 2026 als Rundschreiben 06/2026 (BA) veröffentlicht. AT 9 ist deutlich prinzipienorientierter gefasst als zuvor. Für die hier behandelte Funktion sind drei Textstellen maßgeblich.
Tz. 12 verlangt vom Institut, abhängig von Art, Umfang und Komplexität der Auslagerungsaktivitäten ein zentrales Auslagerungsmanagement einzurichten. Das ist eine Proportionalitätsentscheidung: Sie ist zu treffen und zu begründen, nicht automatisch mit Ja zu beantworten.
Was der Text nicht mehr enthält, ist die ausdrückliche Anforderung, eine Person als Auslagerungsbeauftragten zu bestellen. Das entlastet nicht: Die vier Aufgaben aus Tz. 12 und die Berichtspflicht aus Tz. 13 bestehen unverändert und brauchen eine benannte Verantwortung. Der Begriff Auslagerungsbeauftragter bleibt in der Praxis üblich; er ist seit dem 30. Juni 2026 aber keine Vorgabe des Rundschreibens mehr.
Tz. 4 zieht die Linie: Die Auslagerung führt nicht zu einer Delegation der Verantwortung der Geschäftsleitung an das Auslagerungsunternehmen, und die Leitungsaufgaben der Geschäftsleitung dürfen nicht ausgelagert werden. Der Text nennt ausdrücklich die Grenze der Empty Shell. Wer die Funktion ausfüllt, handelt also im Auftrag – nicht anstelle – der Geschäftsleitung.
Nicht zu verwechseln ist die Funktion mit dem Beauftragten nach AT 9 Tz. 10. Werden besondere Funktionen nach Maßgabe von Tz. 5 vollständig ausgelagert, muss die Geschäftsleitung jeweils einen unabhängigen und sachkundigen Beauftragten benennen. Für den Revisionsbeauftragten gelten zusätzliche Aufgaben und die unmittelbare Unterstellung unter die Geschäftsleitung. Das ist eine andere Konstellation mit eigenen Anforderungen.
Vier Aufgaben plus Berichtspflicht. Die dritte Spalte nennt die Fundstelle, die vierte den Punkt, der in Prüfungen am häufigsten diskutiert wird.
| Aufgabe | Was sie umfasst | Fundstelle | Anmerkung |
|---|---|---|---|
| a) Implementierung und Weiterentwicklung | Angemessenes Auslagerungsmanagement und entsprechende Kontroll- und Überwachungsprozesse aufbauen und fortentwickeln | AT 9 Tz. 12 lit. a | Prozessverantwortung, nicht nur Verwaltung |
| b) Dokumentation und Register | Vollständige Dokumentation der Auslagerungen einschließlich Weiterverlagerungen erstellen und pflegen | AT 9 Tz. 12 lit. b, § 25b Abs. 1 Satz 4 KWG | Weiterverlagerungen sind ausdrücklich eingeschlossen |
| c) Unterstützung der Fachbereiche | Fachbereiche zu institutsinternen und gesetzlichen Anforderungen bei Auslagerungen unterstützen | AT 9 Tz. 12 lit. c | Beratungsrolle gegenüber der ersten Verteidigungslinie |
| d) Koordination der Risikoanalyse | Die durch die zuständigen Bereiche durchgeführte Risikoanalyse koordinieren und überprüfen | AT 9 Tz. 12 lit. d, AT 9 Tz. 2 | Die Analyse selbst bleibt bei den Fachbereichen |
| Berichterstattung | Bericht über die wesentlichen Auslagerungen an die Geschäftsleitung | AT 9 Tz. 13 | In regelmäßigen Abständen sowie anlassbezogen |
AT 9 nennt weitere Anforderungen, die zwar nicht in Tz. 12 stehen, aber regelmäßig bei dieser Funktion zusammenlaufen: die laufende Überwachung der Leistung anhand vorzuhaltender Kriterien wie Key Performance Indicators und Key Risk Indicators (Tz. 9), die Vertragsinhalte für wesentliche Auslagerungen nach § 25b Abs. 3 Satz 3 KWG (Tz. 7), die Vorkehrungen zur Kontinuität nach Beendigung samt Ausstiegsstrategien (Tz. 6) sowie die Behandlung von Weiterverlagerungen (Tz. 8 und Tz. 11).
Für Gruppen und Finanzverbünde lässt Tz. 14 ein zentrales Auslagerungsmanagement auf Gruppen- oder Verbundebene zu, sofern es den Anforderungen des Moduls AT 9 genügt. Wird dort ein zentrales Auslagerungsregister geführt, muss sichergestellt sein, dass das einzelne Institut und die zuständige Behörde das individuelle Register bei Bedarf ohne größere Verzögerung erhalten.
Der Bericht nach AT 9 Tz. 13 ist der sichtbarste Teil der Funktion – und der am häufigsten beanstandete. Die Norm verlangt drei Aussagen, keine Auflistung.
Entsprechen die erbrachten Dienstleistungen der Auslagerungsunternehmen den vertraglichen Vereinbarungen? Grundlage sind die dem Institut vorliegenden Informationen und die institutsinterne Bewertung der Dienstleistungsqualität.
Können die ausgelagerten Aktivitäten und Prozesse angemessen gesteuert und überwacht werden? Ohne belastbare Kennzahlen lässt sich diese Aussage nicht begründen.
KPI und KRI im VergleichSollen weitere risikomindernde Maßnahmen ergriffen werden? Das ist die Schlussfolgerung, die den Bericht von einem Reporting unterscheidet.
Zur Frequenz: Bis zur Fassung vom 30. Juni 2026 war ein jährlicher Turnus in der Praxis der Maßstab. Der aktuelle Text spricht von regelmäßigen Abständen sowie anlassbezogener Berichterstattung. Wer weiterhin jährlich berichtet, liegt damit nicht falsch – sollte die Frequenz aber als bewusste, risikoorientierte Festlegung dokumentieren statt als Normvorgabe zu behandeln.
Für sehr kleine Institute genügt nach Tz. 13 eine Berichterstattung im Rahmen einer Vorstandssitzung.
Die Übersicht trennt datierte Ereignisse von den wiederkehrenden Pflichten, die an dieser Funktion hängen.
| Zeitpunkt | Was zu tun ist | Norm |
|---|---|---|
| 30. Juni 2026 | Veröffentlichung der MaRisk mit neu gefasstem AT 9 | Rundschreiben 06/2026 (BA) |
| 1. April 2026 | Eignungsanforderungen für Inhaber von Schlüsselfunktionen gelten | § 25e KWG |
| regelmäßig und anlassbezogen | Bericht über die wesentlichen Auslagerungen an die Geschäftsleitung | AT 9 Tz. 13 |
| regelmäßig, kleine Institute alle drei Jahre | Überprüfung der Risikoanalyse; Anpassung bei wesentlichen Änderungen der Risikosituation | AT 9 Tz. 2 |
| innerhalb von drei Jahren | Prüfung sämtlicher Aktivitäten einschließlich der ausgelagerten durch die Interne Revision; bei besonderen Risiken kürzerer Turnus | AT 4.4.3 Tz. 6 |
| laufend | Überwachung der Leistung des Auslagerungsunternehmens bei wesentlichen Auslagerungen | AT 9 Tz. 9 |
Die Funktion arbeitet nie allein. Diese sechs Schnittstellen entscheiden darüber, ob sie wirksam wird.
Trägt die Gesamtverantwortung nach AT 3.1 Tz. 1 und entscheidet über Einrichtung und Zuschnitt der Funktion. Empfänger des Berichts nach Tz. 13.
Führen die Risikoanalyse durch; das zentrale Auslagerungsmanagement koordiniert und überprüft sie. Die maßgeblichen Organisationseinheiten sind nach Tz. 2 einzubeziehen.
Kritische oder wesentliche FunktionenIKT-Dienstleistungen nach Art. 3 Nr. 21 DORA fallen nicht unter AT 9. Die Zuordnung je Dienstleistungsverhältnis ist die erste Frage, nicht die letzte.
DORA und IKT-DrittanbieterPrüft ausgelagerte Tätigkeiten mit (AT 4.4.3 Tz. 5) und kann nach AT 9 Tz. 4 unter Voraussetzungen auf eigene Prüfungshandlungen verzichten, muss sich davon aber regelmäßig überzeugen.
Aufgaben der Internen RevisionAT 7.1 Tz. 2 verlangt Kenntnisse und Erfahrungen passend zu Aufgaben und Verantwortlichkeiten. Bei Einordnung als Schlüsselfunktion kommt § 25e Abs. 1 KWG hinzu.
Fit & Proper als AuslagerungsbeauftragterFür Wertpapierinstitute gelten eigene Regeln: § 40 WpIG, die Anzeigepflicht nach § 64 Abs. 1 Nr. 13 WpIG und ab 2027 die WpI MaRisk.
Anzeigepflicht bei WertpapierinstitutenDie ersten beiden betreffen jedes Haus, dessen Unterlagen älter sind als der 30. Juni 2026.
Interne Regelungen verweisen weiter darauf, AT 9 Tz. 12 verlange die Bestellung eines Auslagerungsbeauftragten. Das gibt der Text seit dem 30. Juni 2026 nicht mehr her.
Die 9. MaRisk-Novelle im ÜberblickDer Bericht wird jährlich erstellt mit Verweis auf eine Mindestfrequenz, die AT 9 Tz. 13 nicht mehr enthält. Die Frequenz ist eine eigene Festlegung und als solche zu begründen.
Tz. 13 verlangt drei Aussagen. Ein Bericht, der Verträge und Kennzahlen auflistet, aber keine Bewertung enthält, erfüllt die Norm nicht.
Tz. 12 lit. d spricht von Koordination und Überprüfung. Führt das Auslagerungsmanagement die Analyse selbst durch, fehlt die fachliche Einschätzung der zuständigen Bereiche.
Abgrenzung Auslagerung und FremdbezugDie Dokumentationspflicht aus Tz. 12 lit. b schließt Weiterverlagerungen ausdrücklich ein. Lange Ketten schränken die Überwachungsfähigkeit ein, wie die Erläuterung zu Tz. 11 betont.
Anforderungen an das RegisterOhne Entscheidung, ob AT 9 oder das IKT-Drittparteienregime gilt, wird entweder doppelt oder gar nicht gesteuert. Das ist der häufigste Befund seit der Neufassung.
Europäischer RahmenSechs Fragen entlang des Pflichtenkatalogs. Wähle je Zeile den zutreffenden Zustand; die Empfehlung erscheint darunter. Die Auswahl wird nicht gespeichert und nicht übertragen.
Ist die Entscheidung über die Einrichtung eines zentralen Auslagerungsmanagements dokumentiert und begründet?
AT 9 Tz. 12 MaRisk
ErfülltDie Entscheidung liegt mit Begründung vor. Prüfe sie bei wesentlichen Änderungen des Auslagerungsprofils erneut.
TeilweiseDie Funktion existiert, die Entscheidung dazu ist nicht dokumentiert. Hole die Begründung nach, sie ist die Grundlage der Proportionalität.
OffenOhne dokumentierte Entscheidung fehlt der Anknüpfungspunkt für alles Weitere. Setze sie auf die nächste Sitzung.
Sind alle vier Aufgaben aus Tz. 12 einer Verantwortung zugeordnet?
AT 9 Tz. 12 lit. a bis d
ErfülltAlle vier Aufgaben sind zugeordnet und in der Stellenbeschreibung abgebildet.
TeilweiseDrei von vier Aufgaben sind zugeordnet, meist fehlt die Koordination der Risikoanalyse. Ergänze sie ausdrücklich.
OffenOhne Zuordnung bleibt offen, wer die Aufgaben wahrnimmt. Das trifft im Prüfungsfall zuerst.
Enthält der Bericht die drei geforderten Aussagen?
AT 9 Tz. 13 MaRisk
ErfülltVertragskonformität, Steuerbarkeit und weitere Maßnahmen sind jeweils bewertet. Prüfe die Datenbasis je Aussage.
TeilweiseKennzahlen sind vorhanden, die Bewertung fehlt. Ergänze die Schlussfolgerung – genau sie verlangt die Norm.
OffenEin reiner Vertragsüberblick genügt nicht. Baue den Bericht entlang der drei Aussagen neu auf.
Ist die Berichtsfrequenz festgelegt und begründet?
AT 9 Tz. 13 MaRisk
ErfülltFrequenz und Anlassfälle sind definiert und risikoorientiert begründet.
TeilweiseIhr berichtet jährlich, weil es immer so war. Dokumentiere die Frequenz als bewusste Festlegung.
OffenOhne festgelegte Frequenz bleibt die Berichterstattung anlasslos. Lege sie fest und definiere die auslösenden Ereignisse.
Sind Weiterverlagerungen im Register erfasst?
AT 9 Tz. 12 lit. b, § 25b Abs. 1 Satz 4 KWG
ErfülltWeiterverlagerungen sind erfasst. Prüfe die Kettenlänge auf Überwachbarkeit.
TeilweiseWeiterverlagerungen sind bekannt, aber nicht systematisch erfasst. Beginne bei den wesentlichen Auslagerungen.
OffenOhne Erfassung ist das Register unvollständig – und damit die Grundlage des Berichts.
Ist geklärt, ob AT 9 oder das IKT-Regime nach DORA gilt?
Erläuterung zu AT 9 Tz. 1, Art. 3 Nr. 21 DORA
ErfülltDie Zuordnung liegt je Dienstleistungsverhältnis vor und wird bei Vertragsänderungen geprüft.
TeilweiseNeuverträge sind zugeordnet, der Bestand nicht. Plane einen Bestandsdurchlauf nach Wesentlichkeit.
OffenOhne Zuordnung wird am falschen Maßstab gesteuert. Das ist der erste Schritt, nicht ein Detail.
Sechs Schritte, die unabhängig von Größe und Auslagerungsprofil tragen.
Welche Berichtsfrequenz die Aufsicht bei welchem Auslagerungsprofil erwartet, lässt sich aus dem Rundschreibentext nicht ableiten und aus den hier ausgewerteten Quellen nicht belegen. Der Wegfall der Mindestfrequenz ist ein Spielraum, kein Freibrief: Wer ihn nutzt, sollte die Festlegung revisionsfähig begründen und bei neuer Verwaltungspraxis nachziehen.
Welche Pflichten hat ein Auslagerungsbeauftragter im Jahr 2026? Inhaltlich dieselben wie zuvor – nur ist die Zuordnung dieser Pflichten jetzt eine eigene Entscheidung der Geschäftsleitung.
Wer diese fünf Punkte dokumentiert hat, kann die Funktion in jeder Prüfung erklären – unabhängig davon, wie sie im Haus heißt.
In AT 9 Tz. 12 der MaRisk in der Fassung vom 30. Juni 2026 steht die Pflicht, abhängig von Art, Umfang und Komplexität der Auslagerungsaktivitäten ein zentrales Auslagerungsmanagement einzurichten. Eine namentlich zu bestellende Person nennt der Text an dieser Stelle nicht. Die vier Aufgaben aus Tz. 12 müssen aber jemandem zugeordnet sein.
Implementierung und Weiterentwicklung eines angemessenen Auslagerungsmanagements samt Kontroll- und Überwachungsprozessen, Erstellung und Pflege einer vollständigen Dokumentation der Auslagerungen einschließlich Weiterverlagerungen nach § 25b Abs. 1 Satz 4 KWG, Unterstützung der Fachbereiche sowie Koordination und Überprüfung der Risikoanalyse nach Tz. 2.
AT 9 Tz. 13 verlangt einen Bericht über die wesentlichen Auslagerungen in regelmäßigen Abständen sowie anlassbezogen. Ein fester Jahresturnus steht dort nicht mehr. Das Institut legt die Frequenz risikoorientiert fest. Bei sehr kleinen Instituten genügt eine Berichterstattung im Rahmen einer Vorstandssitzung.
Drei. Ob die erbrachten Dienstleistungen den vertraglichen Vereinbarungen entsprechen, ob die ausgelagerten Aktivitäten und Prozesse angemessen gesteuert und überwacht werden können und ob weitere risikomindernde Maßnahmen ergriffen werden sollen. Grundlage sind die dem Institut vorliegenden Informationen und die interne Bewertung der Dienstleistungsqualität.
Nein. Nach der Erläuterung zu AT 9 Tz. 1 fallen ausgelagerte oder fremdbezogene IKT-Dienstleistungen im Sinne von Art. 3 Nr. 21 DORA, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, nicht in den Anwendungsbereich des AT 9. Wer die Funktion ausfüllt, arbeitet damit in zwei getrennten Regelwerken.
AT 7.1 Tz. 2 MaRisk verlangt, dass Mitarbeiter und deren Vertreter abhängig von Aufgaben, Kompetenzen und Verantwortlichkeiten über die erforderlichen Kenntnisse und Erfahrungen verfügen. Ordnet das Institut die Leitung des zentralen Auslagerungsmanagements als Schlüsselfunktion ein, kommen die Eignungsanforderungen des § 25e Abs. 1 KWG hinzu.
Primärquellen zuerst. Je Eintrag ist angegeben, wofür die Quelle in diesem Beitrag einsteht.
Welche Pflichten hat ein Auslagerungsbeauftragter im jeweiligen Teilbereich? Die folgenden Beiträge vertiefen die Einzelthemen.
Hinweis zur Unabhängigkeit: Dieser Beitrag beschreibt Anforderungen und Systemlandschaften neutral. Aussagen zu Produkten einzelner Anbieter werden bewusst nicht getroffen.
Du füllst die Funktion selbst aus? Erst den Quick-Check, dann die Lücken schließen.
Achim Schulz kennt die Führungsebene aus eigener Verantwortung – langjährig als Vorstand bei Banken und Geschäftsführer sowie als Interim-Manager in Industrieunternehmen. Diese Doppelperspektive aus Finanzsektor und Realwirtschaft prägt seine Beiträge für CEO, COO und CFO. Er kennt das Zusammenspiel von Geschäftsleitung, Aufsichtsrat und Gesellschaftern aus der Praxis und übersetzt strategische wie aufsichtsrechtliche Anforderungen in umsetzbare, haftungssichere Führungsentscheidungen – praxisnah und auf Augenhöhe mit dem Management.
LinkedIn-Profil → · Redaktion & Experten →Wir verwenden Cookies und ähnliche Technologien, um Ihre Erfahrung auf unserer Website zu verbessern. Weitere Informationen in unserer Datenschutzerklärung.