IT-Steuerung in Versicherungen

Mit professioneller IT-Steuerung regulatorische Anforderungen dauerhaft als Wettbewerbsvorteil nutzen – kein Stress, wenn die BaFin klingelt!

IT im Visier der Aufsichtsbehörden – während sich in der Vergangenheit die Anforderungen der Aufsichtsbehörden überwiegend auf Aktuare und Produktentwickler konzentrierten, zielen die seit Oktober 2018 gültigen VAIT der BaFin vor allem auf das IT-Management, insbesondere die durchgängige und ganzheitliche Steuerung und Überwachung des IT-Betriebs, der IT-Ressourcen und das IT-Risikomanagement ab. Wesentliche Herausforderung für die Versicherungs­unternehmen ist hierbei die Umsetzung der Anforderungen an die Geschäftsorganisation und die Ausgestaltung der Strukturen, Prozesse und IT-Systeme. Die Aufsichtsbehörden prüfen diese neuerdings schwerpunktmäßig auf die tatsächliche Umsetzung im operativen Tagesbetrieb. Es gibt keine Übergangsfrist mehr – das, was gefordert wird, muss bereits etabliert sein, da die BaFin jederzeit und kurzfristig eine Prüfung anmelden kann.

Finden Sie auch, dass die regulatorischen Anforderungen nur mit immensem Aufwand zu erfüllen sind – ungerecht, oder?

Die klassische IT-Organisation der Versicherungen dokumentiert sich zu Tode – die Umsetzung der Anforderungen und Konzepte, die dabei entstehen, wird aber meistens nicht professionell betrieben. Trotz Tonnen an Dokumenten und Prozessmanagementtools, die von einer Heerschar von Mitarbeitern betrieben werden, bleibt die Etablierung im tatsächlichen Tagesbetrieb aus. Die herkömmliche Prozessmanagementorganisation ist jedoch inhaltlich weit von den fachlichen Erfordernissen weg.

Es ist an der Tagesordnung, dass die Rolle Prozess Owner mit Fachexperten ohne Prozess Knowhow oder mit Prozessmanagern ohne Fachexpertise besetzt wird. In der gesamten Organisation gibt es kein Verständnis dafür, dass die regulatorischen Anforderungen heutzutage fester Bestandteil der Wertschöpfungskette sein müssen – damit geht die VAIT Prüfung mit Anlauf in die Hose!

Können Sie sich vorstellen, dass es Firmen gibt, bei denen es im Prüfungsfall noch so aussieht?

• Hilfloses Management durch fehlende Beschäftigung mit regulatorischen Themen und damit fehlende Erfahrung im Umgang mit der Erfüllung regulatorischer Anforderungen
• Lösungen mit der heißen Nadel gestrickt – erkannte Probleme werden nicht vollständig analysiert und gelöst, sondern nur soweit, dass die Prüfung gerade so bestanden wird. Damit ist dann auch die Doppelarbeit in der Zukunft für die Vorbereitung der nächsten Prüfung gesichert
• Aktionismus statt fokussiertem, planvollem Vorgehen – in Folge dessen steht ein großer Teil der IT-Mannschaft nicht mehr für das Tagesgeschäft zur Verfügung
• Prüfungsvorbereitung hat Projektcharakter – Ressourcen werden temporär auf akute Brandherde (z.B. Erstellung von Prozessbeschreibungen, Strategie, Richtlinien etc.) angesetzt – die Etablierung der Ergebnisse und deren Verstetigung entfällt
• Durchgefallen – Prüfung fällt trotz hohem Vorbereitungsaufwand als Konsequenz der oben genannten Punkte schlecht aus
• Zusätzlich kommt das operatives Tagesgeschäft in der Vorbereitungsphase zu kurz und führt zu erhöhtem Druck auf die Mitarbeiter in meist ohnehin schon schlank besetzten Teams
• Zusätzlich hohe Kosten – eigene Mitarbeiter sind nicht in der Lage die Prüfungsvorbereitung konzeptionell und kapazitiv zu bewältigen. Das wird dann häufig durch externe Unterstützung erledigt
• Geringer Knowhow-Transfer – damit keine Weiterentwicklung der IT-Organisation und das gleiche Drama bei der nächsten Prüfung.

Einmal richtig aufgesetzt – fit für die Zukunft:

Kontinuität in der Steuerung und professionelles Management von regulatorischen Anforderungen und Risiken sind Erfolgsfaktoren für den Wertschöpfungsprozess der modernen IT – gut umgesetzt stellen sie einen echten Wettbewerbsvorteil dar.

Die schiere Masse der Themen kann beim ersten Mal nur sukzessive abgearbeitet werden – in Ruhe, priorisiert und ein Thema nach dem anderen. Damit sinkt auch der Druck auf die Mannschaft. Projektcharakter ist nicht schlimm – wenn man saubere Lösungen implementiert. Dazu bedarf es eines vernünftigen (Multi-) Projekt-Managements. Diese Lösungen müssen gründlich im Tagesgeschäft etabliert werden, um dauerhaft zu vermeiden, dass jede Prüfung in Panik und Stress ausartet.

Dezentrale Verantwortung stößt hier an ihre Grenzen. Bündeln Sie die Kompetenz im Umgang mit regulatorischen Anforderungen und Risiken für die IT und lassen Sie nicht jeden alle Fehler selbst erleben. Dazu gehört eine gute Ausbildung und motivierte Mitarbeiter, die das als Chance sehen. Dies kann zum Beispiel durch die Etablierung eines Competence Centers erreicht werden, das jeden Fachbereich coacht und auch die Möglichkeit bietet, externe Unterstützung sinnvoll einzubinden. Und die Kür ist, diese Kompetenz in die Ausbildung zu integrieren. Diese Kompetenz ist erlernbar! Dann wird aus der Eintagsfliege der Prüfungsvorbereitung die Chance für eine zukunftsfähige, risikoorientierte IT-Steuerung.

Finden Sie nicht auch, dass Ihre Organisation es verdient, dass Sie fit gemacht wird für die Zukunft?

Dann lassen Sie uns gerne darüber sprechen! Wir freuen uns auf Ihre Kontaktaufnahme.

Ihr Focke Meyer