CSSF und Unternehmensarchitektur: IT, Auslagerung und Resilienz dokumentieren

Dokumentationserwartungen an ein beaufsichtigtes Unternehmen

Eine Bank, ein PSF, eine Wertpapierfirma oder ein Fondsakteur mit Sitz in Luxemburg unter Aufsicht der CSSF muss zeigen können, wie seine Informationssysteme funktionieren. Die Erwartungen betreffen das IT-Risikomanagement, Auslagerungs- und IKT-Dienstleistungsvereinbarungen und die operationale Resilienz.

Dieser Text hilft bei der Vorbereitung der Dokumentation; eine Rechtsberatung ist er nicht. Er nennt keine Rundschreibennummern: Der anwendbare Text und seine Tragweite für Ihren Unternehmenstyp sind Sache Ihrer Compliance-Funktion und qualifizierter Rechtsberatung.

Eine gemeinsame Grundlage: Fähigkeiten, Anwendungen, Datenflüsse und Dritte

IT-Risiko, Auslagerung und Resilienz wirken wie getrennte Unterlagen, gepflegt von getrennten Teams. Sie setzen dasselbe Wissen voraus. Wer eine Vereinbarung überwacht, muss wissen, welche Funktion sie unterstützt. Die Resilienz einer kritischen Funktion lässt sich belegen, sobald ihre Abhängigkeiten bekannt sind.

Dieses Wissen liegt oft an mehreren Stellen: in einer CMDB, in Plänen in einem Wiki, in einem Auslagerungsregister bei Compliance, in Verträgen bei der Rechtsabteilung, in Kritikalitätsstufen in einer Präsentation. Das Architektur-Repository verbindet sie in einem Modell, Objekt für Objekt, mit einer verantwortlichen Person für jedes.

Fähigkeiten, Anwendungen und Datenflüsse

Das Modell verbindet das Geschäft mit dem, was es betreibt. Fähigkeiten wie Zahlungen, Kundeneröffnung, Fondsverwaltung oder aufsichtliches Meldewesen werden von Anwendungen getragen. Jede Anwendung beruht auf Technologien und tauscht über ihre Schnittstellen Daten aus.

In ArchiLU nennt jede eingehende oder ausgehende Schnittstelle ihr Protokoll und die übertragenen Daten. Der Steckbrief einer Anwendung zeigt sie Schicht für Schicht, vom Geschäft bis zur Technologie, mit ihrer Historie. Diese Verbindungen beantworten die Fragen einer Prüfung: welche Anwendungen eine kritische Funktion unterstützen, wohin ihre Daten fließen und was betroffen wäre, wenn ein Glied ausfiele.

• Die Fähigkeitenkarte mit den Anwendungen, die jede Fähigkeit tragen.
• Die Anwendungsliste mit Verantwortlichen, Kritikalität, Lebenszyklus und Anbieter.
• Die Schnittstellen, ihr Protokoll und die übertragenen Daten.
• Die Technologien jeder Anwendung und ihre Supportfristen.

Auslagerung und IKT-Dienstleister

Ein Unternehmen muss wissen, wem es Dienste anvertraut hat, welche Vereinbarungen kritische oder wichtige Funktionen unterstützen und welche Unterauftragnehmer hinter einem Dienstleister tätig sind. Diese Angaben veralten schnell, wenn sie in einem von der Architektur getrennten Register stehen.

In ArchiLU beginnt die Kette bei der kritischen oder wichtigen Funktion und folgt Prozessen, Anwendungen und IKT-Diensten bis zum Unterauftragnehmer und zum Vertrag. Eine eigene Ansicht unterscheidet den Anbieter einer Anwendung vom Dienstleister eines IKT-Dienstes. Eine fehlende Verbindung bleibt sichtbar, und die Expositionsanalyse weist auf Konzentration bei einem Dienstleister hin.

Die Beurteilung einer Vereinbarung, etwaige Anzeigen und die Vertragsposition bleiben Sache des Unternehmens und seiner Berater.

Operationale Resilienz: bei der kritischen Funktion beginnen

Operationale Resilienz bedeutet, kritische oder wichtige Funktionen auch während einer Störung weiter zu erbringen und zu zeigen, dass diese Kontinuität vorbereitet wurde. Die erste Arbeit besteht darin, diese Funktionen und das, was sie unterstützt, zu bestimmen.

In ArchiLU trägt jede Funktion ihre Kritikalität im Sinne von DORA, ihre verantwortliche Person und die Anwendungen, die ihr dienen. Der Steckbrief einer Funktion zeigt ihre Prozesse, ihre Anwendungen, die bereitgestellte Instanz mit Wiederherstellungszeit und tolerierbarem Verlust sowie den Ausstiegsplan der Anwendung. Kontinuitätspläne, Tests und Reaktion auf Vorfälle bleiben in den Prozessen des Unternehmens; das Repository liefert ihnen die Abhängigkeiten.

• Die Liste der Funktionen mit ihrer Kritikalität und ihrer verantwortlichen Person.
• Die Abhängigkeiten jeder kritischen Funktion bis zu den Dienstleistern.
• Die regulatorischen Berichte, festgeschrieben mit ihrem Fingerabdruck.
• Ein Prüfungsauftrag nur mit Leserecht, begrenzt auf seinen Umfang und seinen Zeitraum.

Ein luxemburgisches Unternehmen und seine Teams

ArchiLU wird in Heinerscheid, Luxemburg, von der MIP-IT SARL herausgegeben. Jede Organisation hat ihre eigene Instanz, gehostet in der Europäischen Union; eine Bereitstellung bei Ihnen ist optional nach Angebot möglich. Bildschirme, Aufgaben und Hilfe gibt es auf Deutsch, Französisch und Englisch.

In einem kleinen Unternehmen kann eine Person mehrere Profile vereinen. Im freien Modus kann ein Architekt das Fundament allein anlegen, und eine Entscheidungsinstanz kann ein einziges Mitglied haben. Die Angebote umfassen eine unbegrenzte Nutzerzahl, Lesende eingeschlossen: Risiko, Compliance, IT und Geschäftsleitung lesen dieselbe Karte.