TPRM in der Finanzindustrie: Steuerung von Drittparteirisiken als Teil der Non-Financial Risk Governance

Third Party Risk Management (TPRM) ist heute kein klassisches Outsourcing-Thema mehr, sondern entwickelt sich zunehmend zu einem zentralen Steuerungsinstrument für operationelle Risiken in Banken und regulierten Finanzdienstleistern. Mit dem Digital Operational Resilience Act (DORA) und den final veröffentlichten EBA-Leitlinien zum Management von Drittparteirisiken bei Non-ICT-Dienstleistungen liegt ein integrierter regulatorischer Rahmen vor,der Institute dazu verpflichtet, Risiken aus Drittparteien systematisch zu identifizieren, zu bewerten und aktiv zu steuern. Banken und Finanzdienstleister stehen damit vor einer grundlegenden Herausforderung: Die zunehmende Abhängigkeit von Drittparteien ist nicht mehr nur zu überwachen, sondern aktiv und integriert im Rahmen der OpRisk- und Non-Financial-Risk-Steuerung zu managen. Vor diesem Hintergrund verstehen wir TPRM nicht als Compliance-Funktion, sondern als integrales Management- und Steuerungsthema.

Paradigmenwechsel im Umgang mit Drittparteirisiken

Ausgangspunkt dieser Entwicklung ist eine Verschiebung im regulatorischen Ansatz. Während bislang insbesondere der Auslagerungsbegriff im Fokus stand, erweitern DORA und die finalen EBA-Leitlinien den Blick auf sämtliche Drittparteibeziehungen. Zugleich nimmt die Komplexität der Risikolandschaft signifikant zu. Die zunehmende Konzentration auf wenige, marktbeherrschende Cloud-Anbieter erhöht die Abhängigkeiten im Bankensektor erheblich. Gleichzeitig rücken operative Risiken entlang kritischer Geschäftsprozesse stärker in den Fokus und erfordern eine ganzheitliche Steuerung. Hinzu treten komplexe Anforderungen an Governance, Datenhaltung und Reporting sowie eine häufig fragmentierte Steuerung über verschiedene Organisationseinheiten hinweg. Ohne eine integrierte Risikosicht besteht die Gefahr, dass wesentliche Risiken nicht adressiert oder falsch priorisiert werden. Drittparteien entwickeln sich damit zu einem zentralen Treiber operationeller Risiken.

Vor diesem Hintergrund lässt sich ein klarer Paradigmenwechsel erkennen. Der Markt bewegt sich von einem regelgetriebenen Outsourcing-Management hin zu einem ganzheitlichen Third Party Risk Management. Kern dieser Entwicklung ist der Übergang von der isolierten Betrachtung einzelner Vertragsverhältnisse zur umfassenden Steuerung aller Third Party Arrangements. Gleichzeitig werden ICT-Risiken, wie sie durch DORA adressiert werden, und Non-ICT-Risiken aus den finalen EBA-Leitlinien in einer konsistenten Steuerungslogik zusammengeführt. Der Fokus verschiebt sich von einer formalen Klassifikation hin zur umfassenden Sicht auf die Kritikalität von Funktionen und Prozessen. Deutlich entscheidender  ist jedoch die Integration von Drittparteirisiken in die OpRisk-Steuerung sowie deren Verknüpfung mit der Gesamtbanksteuerung und der übergeordneten Risikostrategie. Der eigentliche Wandel liegt somit nicht im Begriff TPRM selbst, sondern in der konsequenten Integration externer Risiken in die Steuerungslogik der Bank. 

Vier Bausteine für ein zukunftsfähiges TPRM

Wir verstehen TPRM nicht als isoliertes Framework, sondern als integriertes Steuerungsmodell für operationelle Risiken aus Drittparteien. TPRM ist damit die operative Umsetzung der OpRisk-Steuerung entlang externer Abhängigkeiten. Unser Ansatz basiert auf vier zentralen Bausteinen.

1. Governance-Struktur und Target Operating Model

Eine klare Governance und ein definiertes Target Operating Model müssen die Verantwortlichkeiten eindeutig regeln und TPRM fest im Non-Financial Risk Framework verankern. 

2. Zentrales Third-Party-Inventar (Single Source of Truth)

Ein zentrales Third-Party-Inventar als Single Source of Truth ist die Grundlage für vollständige Transparenz über sämtliche Drittparteibeziehungen und ermöglicht konsistente Steuerungsentscheidungen. 

3. Risikomodell und Risk Appetite Integration

Die Integration von Drittparteirisiken erfolgt in ein übergreifendes Risikomodell sowie in den Risk Appetite, wodurch eine direkte Verknüpfung zur Risikostrategie hergestellt und steuerungsrelevante Kennzahlen abgeleitet werden können. 

4. End-to-End Lifecycle Management

Ein End-to-End Lifecycle Management stellt sicher, dass Drittparteien von der Auswahl über das laufende Monitoring bis hin zum Exit einheitlich und risikoorientiert gesteuert werden. Ziel dieses Ansatzes ist nicht allein die Erfüllung regulatorischer Anforderungen, sondern insbesondere die Herstellung einer aktiven Steuerungsfähigkeit von Drittparteirisiken auf Vorstandsebene.

Ein konsequent aufgebautes TPRM liefert dabei einen klar messbaren Mehrwert für Banken. Es schafft Transparenz über alle Drittparteibeziehungen und insbesondere über externe OpRisk-Treiber, ermöglicht eine gezielte Steuerung von Konzentrations- und Abhängigkeitsrisiken und führt zu Effizienzgewinnen durch Standardisierung und Automatisierung. Darüber hinaus verbessert es die Entscheidungsfähigkeit im Top-Management und trägt wesentlich zur nachhaltigen Sicherung der operativen Resilienz bei. TPRM wird damit nicht länger als reine regulatorische Anforderung verstanden, sondern als integraler Bestandteil der Risikoarchitektur.

TPRM in der Praxis: Von der Konzeption zur wirksamen Steuerung

Die praktische Umsetzung von TPRM umfasst eine Vielzahl strategischer und operativer Handlungsfelder. Dazu gehören die Entwicklung eines integrierten DORA/EBA Target Operating Models, die Verankerung von TPRM im OpRisk- und Non-Financial-Risk-Framework, der Aufbau eines zentralen Third-Party-Inventars sowie die Überprüfung und Weiterentwicklung bestehender TPRM-Ansätze. Ergänzend spielen die Definition von Risk Appetite sowie die Begleitung regulatorischer Prüfungen eine wesentliche Rolle. Unsere Herangehensweise unterscheidet sich bewusst von klassischen Umsetzungsansätzen. Für uns ist TPRM ein Bestandteil der OpRisk-Steuerung und nicht als isoliertes Compliance-Thema zu betrachten. Im Mittelpunkt steht eine aktive Managementsteuerung, die TPRM nicht isoliert betrachtet, sondern als integrierten Bestandteil der Gesamtbanksteuerung verankert. Regulatorische Anforderungen verstehen wir dabei nicht als Einschränkung, sondern als strategischen Hebel. Entscheidend ist die konsequente Operationalisierung – weg von abstrakten Zielbildern hin zu einer wirksamen Steuerungslogik.