Suchergebnisse

• eBook-Kapitel aus dem Buch Prüfungsleitfaden BAIT

  Informationssicherheitsmanagement

  Axel Becker

  …Institut definiert ist und durch welche Ereignisse eine Ad-hoc-Überprüfung notwendig wird. 4.2 Die Geschäftsleitung hat eine… …Regelungen sowie die Kontrolle ihrer Einhaltung, den Informa- tionssicherheitsprozess im Institut zu steuern und zu koordinieren sowie diesen gegenüber… …Informationssicherheitsbeauftragten, • ein der Funktion zugewiesenes Budget für Informationssicherheitsschu- lungen im Institut und die persönliche Weiterbildung des Informations-… …informationssicherheits- relevante Sachverhalte, die das Institut betreffen. • Die Funktion des Informationssicherheitsbeauftragten wird von den Be- reichen getrennt, die… …jederzeit gewährleisten kann. In diesem Fall ist jedoch in jedem Institut eine zuständige Ansprechperson für den Informationssicherheitsbeauftrag- ten zu… …benennen. Institute können die Funktion des Informationssicherheits- beauftragten grundsätzlich mit anderen Funktionen im Institut kombinieren. Die… …Möglichkeit, sich externer Unterstützung per Servicevertrag zu bedienen, bleibt für die Institute unberührt.48) 4.6 Jedes Institut hat die Funktion des… …bei Informationssicherheitsvorfällen im Institut ge- regelt? • Welche Rollen und Verantwortlichkeiten gibt es im Zusammenhang mit… …Informationssicherheitsvorfälle gab es in der Vergangenheit und wie zeitnah wurden diese behoben? 49) Vgl. Erläuterungen zu 4.7 BAIT. 4.8 Das Institut hat eine Richtlinie über… …Instituts, • Kategorien von Test- und Überprüfungsobjekten (z.B. das Institut, IT-Sys- teme, Komponenten), • Art, Umfang und Frequenz von Tests und…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch Handbuch MaRisk

  Outsourcing

  …tigen institutstypischen Dienstleistungen beauftragt wird, die ansonsten vom Institut selbst erbracht würden. Zivilrechtliche Gestaltungen und Vereinba-… …institutstypisch zu definieren sind. Die Bankenaufsicht überlässt es den einzelnen Banken selbst zu entscheiden, wann es sich für das Institut um eine wesentliche… …Möglicher Imageschaden/finanzieller Schaden • Qualitäts- oder Know-How Verlust (mit entscheidender Auswirkung auf das Institut) • Abhängigkeit vom… …tatsächlicher Gegebenheiten oder rechtlicher Vorgaben regelmäßig weder zum Zeitpunkt des Fremdbezugs noch in der Zukunft vom Institut selbst erbracht werden… …. Dessen ungeachtet hat das Institut auch beim sons- tigen Fremdbezug von Leistungen die allgemeinen Anforderungen an die Ord- nungsmäßigkeit der… …Risikoanalyse Das Institut muss auf der Grundlage einer Risikoanalyse ermitteln, welche Risiken mit einer Auslagerung verbunden sind. Auf Basis der… …Interne Revision zu beteiligen.19 Inhalte der Risikoanalyse Bei der Risikoanalyse sind alle für das Institut relevanten Aspekte im Zusam- menhang mit der… …beachten.21 Die Bestimmung der Wesentlichkeit ist immer von dem Institut im Rahmen einer individuellen Risikoanalyse festzulegen. Die Aufsicht hat auf die… …hinsichtlich der Deckungsregisterführung und der Deckungsbe- rechnung. Auslagerungen dürfen nicht dazu führen, dass das Institut nur noch als leere Hülle… …durch Auslagerung nach außen delegiert werden.25 2.12 Befugnis der Leistungserbringung des Auslagerungs- unternehmens Durch das auslagernde Institut…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch Interne Revision für Aufsichtsräte

  Die Interne Revision im Rahmen der Corporate Governance

  Mathias Wendt, Hubertus Eichler

  …Documents/PP%20The%20Three%20Lines%20of%20Defense%20in%20Effec tive %20Risk%20Management%20and%20Control.pdf (Stand: 24.06.2016). 39 Vgl. Institut der Wirtschaftsprüfer: Prüfungsstandard 983. Grundsätze… …ordnungs- mäßiger Prüfung von Internen Revisionssystemen, Düsseldorf 2017, Tz. 10. 40 Vgl. Institut der Wirtschaftsprüfer: Prüfungsstandard 983. Grundsätze… …von § 107 Abs. 3 S. 2 AktG hat das Institut der Wirtschaftsprüfer den IDW Prüfungsstandard 982 veröffentlicht.41 Es bietet sich für jede In- terne… …Interne Revision hin- 41 Vgl. Institut der Wirtschaftsprüfer: Prüfungsstandard 982. Grundsätze ordnungs- mäßiger Prüfung des internen Kontrollsystems des… …internen und externen Berichts- wesens, Düsseldorf 2017. 42 Vgl. Deutsches Institut für Interne Revision: DIIR Revisionsstandard Nr. 2. Prü- fung des… …Risikomanagementsystems durch die Interne Revision (Stand: September 2015). 43 Vgl. Institut der Wirtschaftsprüfer: Prüfungsstandard 981. Grundsätze ordnungs- mäßiger… …Compliance-Managements durch eine unabhängige dritte Instanz (z. B. durch den Jahresabschlussprüfer oder einen Wirtschaftsprüfer) erfolgen. 44 Vgl. Institut der…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch Prüfungsleitfaden BAIT

  IT-Governance

  Axel Becker

  …Prozesse zeitnah angepasst werden. Es ist sicherzustellen, dass diese Regelungen wirksam umgesetzt werden. 2.3 Das Institut hat insbesondere das… …zur Qualität der technisch-organisatorischen Ausstattung. Bei der Um- setzung des Grundsatzes der IT-Governance orientiert sich das Institut an den… …. IT-Governance 31 Angemessene quantitative und qualitative Personalausstattung Weiterhin sorgt das Institut dafür, dass das Informationsrisikomanagement, das… …qualifiziertes Personal am Markt akquiriert. Weiterhin bildet das Institut Nachwuchskräfte aus. • Das Institut hat im Rahmen der Aus- und Weiterbildung die… …IT-Sicherheit durchgeführt. Hierfür hat das Institut ausreichend Budgets sowie Schulungs- und Fortbildungszeiten zur Verfügung (vgl. Ausführungen in der… …Einsatz der im Institut freigegebenen IT-Systeme (IT-Infra- strukturen, Anwendungen etc.) besteht eine Definition der bankweiten Standards für Hard- und… …. Das Institut nutzt vorwiegend folgende Systeme (insti- tutsspezifische Aufzählung). Die Hardware und Software werden zentral von dem Bereich der IT… …Institut bestehenden und zentralen Bereiche der IT aufbauorganisatorisch getrennt. Im Einzelnen ergibt sich im Sinne der Three(Four)-Lines-of-Defense… …IT-Governance sieht vor, dass in dem Institut folgende wesentliche Be- richterstattungen vorgenommen werden: Bericht Zuständige Abteilung Empfänger… …Quantitative und qualitative Kriterien Das Institut hat zur Steuerung der für den Betrieb und die Weiterentwick- lung der IT-Systeme zuständigen Bereiche…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch Handbuch MaRisk

  Ressourcen

  Axel Becker

  …Herausgeber von Standardwerken zum The- ma „Bankenaufsicht und Revision“ und Mitglied des Verwaltungsrates des DIIR (Deutschen Institut für Interne Revision e… …das Per- sonal? • Hat das Institut auch die Fähigkeit, eigenes Personal qualitativ auszubilden (Traineeprogramme, berufsbeglei- tendes Studium… …etc.)? • Verfügt das Institut über eine funktionsfähige Aus- und Weiterbildung? • Unterhält das Institut Programme zur langfristigen Mit-… …führen.5 Das Ausscheiden von Schlüs- selpersonen kann auch im Institut zu operationellen Risiken führen. Daher sind diese Stellen unverzüglich mit… …Gebäudeinfrastrukturen.12 Das Institut hat über einen aktuellen Überblick über die Bestandteile des fest- gelegten Informationsverbunds sowie deren Abhängigkeiten und… …Schnittstel- len zu verfügen. Das Institut sollte sich hierbei insbesondere an den betriebsin- ternen Erfordernissen, den Geschäftsaktivitäten sowie an der… …. Eigenentwicklungen sind grundsätz- lich ebenso möglich.15 Die Aufzählung aller von Institut genutzten Standards sind auch in der IT- Strategie gem. BAIT – Kapitel… …hinsichtlich des Risikoge- halts (OpRisk) und der Bedeutung für das Institut (BCM). 3.6 Abnahme durch die technisch und fachlich zuständigen Mitarbeiter Bei… …Feststel- lungen getroffen:28 ■ Für die im Rahmen des Anwendungsentwicklungsprozesses zu erstellenden Fach- und DV-Konzepte hat das Institut keinerlei… …. 229 Becker: Ressourcen 4. Notfallmanagement Das Institut hat Ziele zum Notfallmanagement zu definieren und hieraus ab- geleitet einen…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch Wertpapier-Compliance in der Praxis

  Erbringung von Bankgeschäften und Finanzdienstleistungen durch ausländische Institute in Deutschland

  Jochen Kindermann

  …das Institut bereits zugelas- sen ist. Das folgende Schema gibt einen Überblick3 über die Systematik der Marktzugangsformen und den korrelierenden… …Unter- nehmen/Personen, die ihren Sitz oder gewöhnlichen Aufenthalt in Deutschland haben, hat das ausländische Institut zunächst zu prüfen, ob die… …. 2015, zuletzt ergänzt am 24. 01. 2018. 8 ständigen Niederlassung in Deutschland erfolgt und sich das ausländische Institut von dort werbend an den… …Vermittlung durch inländische Institute oder (freie) Mitarbeiter Gewinnt ein ausländisches Institut Kunden in Deutschland durch Aufbau und Nutzung einer… …ist, dass dies selbst dann gilt, wenn das im Inland tätige Institut oder der im Inland tätige (freie) Mitarbeiter selbst über eine Erlaubnis für die… …grundsätzlich eine entsprechende Erlaubnispflicht für das ausländische Institut, sofern die vertraglichen Bindungen oder die tatsächliche Ausgestaltung des Ge-… …schäftsverhältnisses darauf schließen lassen, dass das inländische Institut oder der (freie) Mitarbeiter als Vertriebsnetz genutzt werden. Post/Telefax/E-Mail Werden… …potenzielle in Deutschland ansässige (Neu-)Kunden direkt über den Postweg oder mittels Telefax/E-Mail durch ein ausländisches Institut angesprochen, ist… …ebenfalls von einer Erlaubnispflicht auszugehen. Anders ist dies wiederum, wenn sich der Kunde eigen- initiativ an das ausländische Institut wendet und bspw… …Gesamtbetrachtung und orientiert sich daran, ob noch davon ausgegangen werden kann, dass der Kunde aus eigener Initiative an das ausländische Institut herangetreten…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch Prüfungsleitfaden BAIT

  IT-Betrieb

  Axel Becker

  …auch die Angemessenheit der Bewertung und Priorisierung, ist zu überwachen und zu steuern. Das Institut hat geeignete Kriterien für die Information der… …die hierzu erfassten Bestandsangaben re- gelmäßig sowie anlassbezogen aktualisiert werden? 3 Führt das Institut folgende Bestandsangaben: • Bestand und… …. nicht mehr vom Hersteller unterstützten IT-Systemen berücksich- tigt (Lebenszyklus-Management)? 7 Hat das Institut die Prozesse zur Änderung von IT-Sys-… …, unter Be- rücksichtigung möglicher Umsetzungsrisiken bewertet, priorisiert, genehmigt sowie koordiniert und sicher um- gesetzt? 11 Hat das Institut auch… …das Institut Meldungen über ungeplante Abwei- chungen vom Regelbetrieb (Störungen) sowie deren Ur- sachen? 15 Werden die Störungen in geeigneter Weise… …Meldungen über Störungen, wie auch die Angemessen- heit der Bewertung und Priorisierung, überwacht und gesteuert wird? 19 Hat das Institut geeignete… …IT-Systeme zur Störungs- und Ur- sachenerfassung sowie -bearbeitung eingesetzt werden? 22 Setzt das Institut hierbei standardisierte Incident- und… …Verfahren zur Datensiche- rung (ohne Datenarchivierung) schriftlich in einem Da- tensicherungskonzept geregelt? 24 Hat das Institut die im… …29 Hat das Institut die Leistungserbringung geplant und überwacht, um insbesondere Engpässe zeitnah zu erken- nen und angemessen zu reagieren? 30…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch Systemprüfungen in Kreditinstituten

  Prüfung der neuen MaRisk-Anforderungen an Datenmanagement, Datenqualität, Risikodatenaggregation und Risikoberichterstattung

  Jörg Linda

  …. 1 die Erstellung von Leit- linien bindend vor: „Das Institut hat institutsweit und gruppenweit geltende Grundsätze für das Datenmanagement, die… …. Mappingtabellen für eine Überleitung sollten vermieden wer- den. Es ist in der Praxis für ein global operierendes Institut nicht selbstverständ- lich, dass der… …Namenskonventionen und Kennzeichnungen hat das Institut sicherzustellen, dass Daten automatisiert ineinander überleitbar sind.“ Die Erfüllung dieser Vorschrift ist… …vorgehalten? – Wie ist die IT-Strategie bezüglich eines einheitlichen Datenhaushaltes? Mit wie vielen Teil- systemen plant das Institut? – Welche Teilsysteme… …überführt? – Ist eine eindeutige Exposurezusammenführung sichergestellt? – Wann beabsichtigt das Institut, eine einheitliche Namenskonvention einzuführen?… …. Datenqualität 4.1 Vollständigkeit, Genauigkeit und Kontrolle Tz. 3 fordert: „Das Institut hat zu gewährleisten, dass Risikodaten genau und voll- ständig sind.“… …Weiter heißt es: „Die Datenqualität und die Datenvollständigkeit sind anhand geeigneter Kriterien zu überwachen. Hierfür hat das Institut interne… …. Der erste Schritt ist die Überprüfung der Fehlerfreiheit und Vollständigkeit der Daten. Das Institut legt hierzu bestimmte Qualitätssicherungsmaßnahmen… …. 4: „Die Risikodaten sind mit anderen im Institut vorhande- nen Informationen abzugleichen und zu plausibilisieren. Es sind Verfahren und Prozesse zum… …tifiziert werden können “. Abgleich ist hier im Sinne von vollautomatisierten Kontrollprozessen zu inter- pretieren, über die ein systemrelevantes Institut…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch Prüfungsleitfaden BAIT

  IT-Projekte, Anwendungsentwicklung

  Axel Becker

  …wesentlichen Veränderungen in der Aufbau- und Ablauforganisation so- wie in den IT-Systemen hat das Institut die Auswirkungen der geplanten Ver- änderungen auf… …werden IT-Projekte im Institut gesteuert? • Wie werden Abhängigkeiten zwischen verschiedenen IT-Projekten be- rücksichtigt und daraus resultierende… …Abnahmetests sind die zuständigen Fachberei- che. Hierbei ist es wichtig, dass es einheitliche Testmethoden und Qualitäts- anforderungen im Institut gibt. Bei… …Anwendungsentwicklungsprozesses zu erstellen- den Fach- und DV-Konzepte hat das Institut keinerlei Mindeststandards definiert. • Das Kontrollsystem war unvollständig; es wurden… …Veränderungen von IT-Systemen die Anfor- derungen des AT 7.2 erfüllt? 3 Hat das Institut die organisatorischen Grundlagen für IT-Projekte und die Kriterien für… …, Verfügbarkeit und Authentizität der zu verarbeitenden Daten nachvoll- ziehbar sichergestellt werden? 21 Hat das Institut hierfür geeignete Vorkehrungen getrof-… …Institut zudem Vorkehrungen getroffen, die er- kennen lassen, ob eine Anwendung versehentlich geän- dert oder absichtlich manipuliert wurde? 24 Wurde mit… …der Überprüfung des Quellcodes eine geeigne- te Vorkehrung unter Berücksichtigung des Schutzbe- darfs eingerichtet? 25 Hat das Institut mit der… …Anwenderhandbuch, • Technische Systemdokumentation, • Betriebsdokumentation? 28 Verfügt das Institut zur Nachvollziehbarkeit der Anwen- dungsentwicklung… …ihrem erstmaligen Einsatz und nach wesentlichen Änderungen definiert und eingeführt? 30 Hat das Institut die Tests in ihrem Umfang und entspre- chend der…

  Alle Treffer im Inhalt anzeigen
• eBook-Kapitel aus dem Buch Prüfungsleitfaden BAIT

  Identitäts- und Rechtemanagement

  Axel Becker

  …das Identitäts- und Berechtigungsmanagement im Institut zu- ständig? • Wie ist sichergestellt, dass das Identitäts- und Berechtigungsmanagement an… …Aufgabentrennungen (eine Person darf niemals alle Rechte im Institut vergeben)? • Werden alle Aktivitäten der Administratoren lückenlos erfasst und doku- mentiert? •… …, Deaktivierung sowie Löschung von Berechti- gungen und die Rezertifizierung sind nachvollziehbar und auswertbar zu dokumentieren. 6.7 Das Institut hat nach… …Berechtigungen nur wie vorgesehen ein- gesetzt werden. Aufgrund der damit verbundenen weitreichenden Ein- griffsmöglichkeiten hat das Institut insbesondere für die… …resultierenden Risiken bewertet, dokumentiert und anschließend von der fach- lich verantwortlichen Stelle genehmigt werden? 10 Hat das Institut sichergestellt… …z.B. das Ausscheiden eines Mitarbeiters aus dem Institut oder die Änderung von Zuständigkeiten? 14 Wird bei der Überprüfung der eingeräumten Berechti-… …Rechtemanagement 83 Tabelle 14: Checkliste Benutzerberechtigungsmanagement 18 Hat das Institut nach Maßgabe des Schutzbedarfs und der Soll-Anforderungen Prozesse… …angemessene Prozesse zur Protokollierung und Überwa- chung eingerichtet? 20 Hat das Institut die übergeordnete Verantwortung für die Prozesse zur…

  Alle Treffer im Inhalt anzeigen