Das nächste Audit klopft an die Tür?

DORA (Digital Operational Resilience Act) fordert von Finanzunternehmen einen risikobasierten, dokumentierten und nachvollziehbaren Umgang mit IKT-Risiken – und das schließt Tests explizit ein. Konkret heißt das: Ihre Testprozesse müssen die Kritikalität von Anwendungen und Geschäftsprozessen berücksichtigen, Drittanbieter und Cloud-Services einbeziehen, Resilienz- und Security-Tests abdecken sowie Abnahmen, Defekte und Management-Entscheidungen revisionssicher dokumentieren. Hinzu kommen erweiterte Anforderungen an IKT-Resilienztests, die über klassische funktionale Tests deutlich hinausgehen. Wir gleichen Ihre bestehenden Test- und QS-Strukturen systematisch mit diesen Anforderungen ab und zeigen auf, wo konkret nachgebessert werden muss.

Das hängt stark von Ihrer Ausgangslage ab. Unser Quick Check liefert in zwei Wochen eine belastbare Standortbestimmung mit Gap-Analyse und priorisierter Roadmap – das ist der schnellste Weg zu Klarheit. Die anschließende Optimierungs- und Aufbauphase dauert je nach Umfang typischerweise drei bis neun Monate. Wenn ein Audit kurzfristig ansteht, priorisieren wir die kritischen Lücken und bereiten Sie gezielt auf die Prüfung vor – inklusive Generalprobe und Begleitung am Prüfungstag. Entscheidend ist nicht maximale Perfektion, sondern nachvollziehbare Struktur und belastbare Dokumentation.

Nein. Wir sind Beratungs- und Umsetzungspartner, keine Prüfungs- oder Zertifizierungsstelle. Offizielle BaFin-Prüfungen werden von der Aufsicht selbst oder beauftragten Wirtschaftsprüfern durchgeführt. Genau diese Trennung ist wichtig: Wir können Sie unabhängig und ohne Interessenkonflikt auf eine Prüfung vorbereiten, Ihre Teststrukturen pragmatisch aufbauen und Sie während des Audits begleiten – ohne dass eine Abhängigkeit zur späteren Prüfinstanz entsteht. Rechtsberatung bieten wir ebenfalls nicht an, arbeiten bei Bedarf aber eng mit Ihren Justiziaren oder externen Kanzleien zusammen.

DORA gilt seit Januar 2025 europaweit und setzt den übergeordneten Rahmen für digitale operative Resilienz. MaRisk und BAIT sind nationale Regelwerke der BaFin, die teilweise durch DORA überlagert, teilweise ergänzt werden – insbesondere bei den Anforderungen an IKT-Risikomanagement, Auslagerungen und Testprozesse. In der Praxis heißt das: Ihre Test- und QS-Strukturen müssen heute mehrere Regelwerke gleichzeitig erfüllen, ohne dass daraus parallele Dokumentationen entstehen. Wir setzen auf ein integriertes Vorgehen: eine Struktur, die DORA-konform ist und gleichzeitig MaRisk-/BAIT-Anforderungen erfüllt – damit Ihre Teams nicht dreimal dieselbe Frage beantworten müssen.

Unsere Arbeit ist darauf ausgelegt, interne Revision und IKS zu entlasten, nicht zu ersetzen. Wir bauen Test- und QS-Strukturen so auf, dass sie die Anforderungen von Revision und IKS von Haus aus erfüllen – mit klaren Rollen, Eskalationswegen, Test-KPIs und revisionssicherer Dokumentation. Wo sinnvoll, stimmen wir uns früh mit Ihrer Revision ab, damit Prüfbarkeit und Kontrollumgebung von Anfang an mitgedacht werden. Ziel ist, dass die Ergebnisse unserer Arbeit direkt in Ihr bestehendes Reporting an Vorstand, Aufsichtsrat und BaFin einfließen können – ohne zusätzliche Übersetzungsschicht.