Was bedeuten Third-Party Risk Management und KI für das Banking?

Warum ist Risikomanagement im Sourcing wichtig?

Banken müssen Sourcing-Risiken aktiv überwachen und regulatorische Anforderungen erfüllen.

Das Rundschreiben der Eidgenössischen Finanzmarktaufsicht (FINMA) zu operationellen Risiken und zur Resilienz von Banken unterstreicht die zunehmende Bedeutung des Risikomanagements für Retailbanken. Dies umfasst die Identifikation, Bewertung und Steuerung ausgelagerter Dienstleistungen.

Dabei ist es wichtig, geeignete Kontrollmechanismen zu etablieren, um die Sicherheit und Integrität der Prozesse zu gewährleisten. Das Risikomanagement im Outsourcing wird oftmals auch als Third-Party Risk Management bezeichnet.

FINMA Rundschreiben 2023/1 als größte regulatorische Herausforderung für Banken

Im Rahmen der IFZ-Studie zu Bank-IT und Sourcing wurden die Banken auch nach den größten regulatorischen Herausforderungen im Outsourcing befragt. Hier zeigt sich, dass vor allem das FINMA-Rundschreiben 2023/1 die Schweizer Banken beschäftigt. 94 Prozent der Banken sehen dieses Rundschreiben als große oder sehr große Herausforderung.

Andere regulatorische Vorgaben, wie das FINMA-Rundschreiben 2018/3 oder die Datenschutz-Grundverordnung (DSGVO) bzw. das Datenschutzgesetz (DSG), bringen auch große bis sehr große Herausforderungen mit sich, wie 55 Prozent bzw. 56 Prozent der Banken attestieren.

Interessant ist, dass die EU-Regularien, wie bspw. der Digital Operational Resilience Act (DORA), nur für zwei der Banken (4%) eine große Herausforderung darstellen – für die anderen hingegen lediglich eine geringe oder gar keine. Dies ist darauf zurückzuführen, dass gerade kleine und mittelgroße Banken von EU-Regularien aufgrund ihrer Fokussierung der Geschäftstätigkeit auf den Schweizer Markt nicht betroffen sind.

Die IFZ-Studie „Bank-IT und Sourcing“ zeigt auch auf, dass sich derzeit noch keine einheitliche Organisationsform herauskristallisiert hat, wie das Third-Party (Risk) Management in Banken organisiert wird. Von manchen Banken wird ein zentraler Ansatz verfolgt, während andere eher dezentral organisiert sind.

Zunehmende Bedeutung des Third-Party Risk Managements

Zusammenfassend lässt sich für das Risikomanagement im Outsourcing, das Third-Party Risk Management (TPRM), festhalten, dass das Thema zunehmend an Bedeutung für die Banken gewinnt.

Zu den maßgeblichen Treibern zählen:

• Technologische Entwicklungen: Neue Technologien wie Cloudcomputing, Blockchain, KI und Quantencomputing beeinflussen einander, was deren Potenziale erhöht – aber auch deren Risiken gegenseitig verstärkt.
• Fortschreitende Digitalisierung: Die zunehmende Automatisierung und Digitalisierung von Prozessen resultiert in immer höheren Erwartungen der Kund:innen. Dies führt wiederum zu weiterer Digitalisierung und dem Einsatz zusätzlicher digitaler Lösungen, was letztlich erneut die Risiken erhöht.
• Stärkere Abhängigkeiten: Es zeigt sich, dass bei vielen Banken bzw. deren Lieferanten Lösungen im Einsatz sind, die von wenigen großen Anbietern stammen. Dies erhöht die Abhängigkeit – und damit auch die Risiken.
• Steigende Cyberrisiken: Der Wettlauf zwischen neuen Sicherheitslösungen und neuen Möglichkeiten, diese zu umgehen, gewinnt – auch durch KI – an Intensität.

Die steigende Bedeutung des TPRM spiegelt sich auch im zunehmenden Interesse von Prüfungsgesellschaften und Regulatoren an diesem Thema wider.

Welche Chancen bietet KI im Sourcing?

Der Einsatz von KI im Sourcing bietet Banken die Chance, ihre Ressourcen gezielter einzusetzen und langfristig durch Effizienzsteigerungen Kosten zu senken. KI-Technologien bieten einen entscheidenden Vorteil, indem sie große Datenmengen schnell und präzise analysieren. Dies erfordert strategische Entscheidungen zur optimalen Nutzung dieser technologischen Innovationen.

Die IFZ-Studie zeigt, welche KI-Anwendungen bei Banken getestet werden bzw. bereits im Einsatz sind und welche Rolle dabei dem Sourcing zukommt. Dabei spielen Faktoren wie Kosten, Effizienzsteigerung und regulatorische Vorgaben eine zentrale Rolle. Insbesondere im Hinblick auf die Anforderungen der Schweizer Finanzmarktaufsicht FINMA im Bereich Governance und Risikomanagement sind klare Richtlinien erforderlich, um operationelle Risiken wie Modellfehler, IT- und Cyberrisiken oder Abhängigkeiten von Drittanbietern zu minimieren.

Zudem wird in der Studie aufgezeigt, welche konkreten Aufgaben durch KI übernommen werden können, etwa im Kontakt mit den Kundinnen und Kunden, in der Prozessautomatisierung oder der Risikoanalyse. Die FINMA hebt hierbei die Bedeutung von Erklärbarkeit, unabhängiger Überprüfung und laufender Überwachung von KI-Modellen hervor, um Transparenz und Kontrolle sicherzustellen.

Wo setzen Banken KI aktuell ein?

Banken setzen heute KI vor allem bei internen Prozessen ein.

Aus der vom IFZ durchgeführten Umfrage geht hervor, dass knapp 70 Prozent der befragten Banken Künstliche Intelligenz (KI) bereits aktiv einsetzen. Der Einsatz konzentriert sich derzeit vor allem auf interne Prozesse in Bereichen wie dem Zahlungsverkehr, der Dokumentenverarbeitung oder der Datenanalyse (Abbildung 1). Es zeichnet sich jedoch ein breiterer Einsatz in allen Bereichen der Bank ab, namentlich auch in der Kundeninteraktion.

Abbildung 1: Bereiche, in denen Schweizer Banken aktuell KI einsetzen

I) Unterstützung der Mitarbeitenden durch KI

Die IFZ-Studie zeigt, dass Banken KI häufig für interne Anwendungen wie E-Mail-Antwortvorschläge, Datenaufbereitung oder Dokumentenverarbeitung nutzen, um Mitarbeitende zu entlasten. Besonders bei der Generierung von E-Mail-Antworten, Textzusammenfassungen und Übersetzungen kommt KI vermehrt zum Einsatz. Solche Anwendungen ermöglichen es, repetitive Aufgaben effizienter zu bewältigen und schaffen so Freiräume für anspruchsvollere Tätigkeiten.

II) KI-Chatbots mit Grenzen

Aus der Studie geht auch hervor, dass einige Banken bereits heute kundenseitige KI-Anwendungen einsetzen – wenngleich zurückhaltend, aus Respekt vor möglichen Reputationsrisiken.

Zwei zentrale Vorteile ergeben sich durch den Einsatz von KI-Chatbots:

• Erstens kann KI einfache Anfragen automatisiert beantworten und so Mitarbeitende entlasten.
• Zweitens lässt sich KI nahtlos in bestehende Kanäle wie E-Banking oder Mobile Banking integrieren. Besonders verbreitet sind Chatbots, die auf aktuelle Wissensdatenbanken der Banken zugreifen. Gerade bei heiklen Themen bleibt der Mensch derzeit aber noch unersetzlich („Human in the Loop“).

III) KI in der Betrugserkennung

Viele Banken im deutschsprachigen Raum haben Lösungen im Einsatz, die Zahlungstransaktionen auf Verstöße gegen Sanktionslisten oder das Geldwäschereigesetz überprüfen. Bei diesen Prüfungen kommen schnell mehrere zehntausend Fälle pro Tag zusammen, die manuell abgearbeitet werden müssten.

KI-basierte Tools helfen dabei, diese Fälle automatisiert zu überprüfen, zu entscheiden und eine nachvollziehbare Dokumentation sicherstellen, die auch von Regulierungsbehörden akzeptiert wird.

Eine besondere Herausforderung sind die neuen Echtzeitüberweisungen (Instant Payments), bei denen das Zeitfenster für eine Überprüfung enorm klein ist. Auch hier gibt es neue, KI-basierte Anwendungen, die Prüfungen im Millisekundenbereich ermöglichen.

IV) KI in den Kernprozessen der Bank

Die IFZ-Studie stellt auch fest, dass gerade in den Kernprozessen der Banken (Zahlen, Sparen, Finanzieren, Anlegen und Vorsorgen) der Einsatz von KI oft noch in den Anfängen steckt. Einige Banken sind gerade dabei, sich diesbezüglich Gedanken zu machen, bzw. die Planung eines KI-Einsatzes voranzutreiben. Andere haben bereits in gewissen Teilbereichen einen Proof of Concept durchgeführt oder vereinzelt schon eine Lösung in Betrieb genommen.

Wie verändert KI das Bankgeschäft zukünftig?

Effizienzsteigerung, Personalisierung und Sicherheitsrisiken

KI wird das Bankgeschäft tiefgreifend verändern. Einerseits ermöglicht KI effizientere und qualitativ hochwertigere Prozesse, etwa bei der Kreditanalyse oder im Kundenservice. Andererseits eröffnet sie neue Möglichkeiten zur Personalisierung von Dienstleistungen durch die gezielte Auswertung von Kundendaten. Das kann die Kundenbindung deutlich stärken. Die damit einhergehenden wachsenden Sicherheitsrisiken erfordern von den Banken jedoch eine erhöhte Aufmerksamkeit und geeignete Maßnahmen.

Wie hängen KI, Sourcing und Risikomanagement zusammen?

Der Überschneidungsbereich von KI, Sourcing und Risikomanagement manifestiert sich vor allem im Risikomanagement bezüglich des Sourcings von KI.

Dieses Themenfeld hat in den letzten Monaten stark an Bedeutung gewonnen. Einerseits sehen sich die Institute selbst mit den zunehmenden Herausforderungen und Risiken aus dem Sourcing von KI konfrontiert. Andererseits steigen die regulatorischen Anforderungen in diesem Bereich.

Die Schweizer Finanzmarktaufsicht FINMA fasst in ihrer Aufsichtsmitteilung vom 18. Dezember 2024 die Risiken beim Einsatz von KI zusammen. Bezogen auf das zugehörige Risikomanagement im Sourcing von KI fällt hierunter z. B. die steigende Abhängigkeit von Dritten (Cloud-Anbieter, KI-Modelle und zugehörige Infrastruktur). Es bleibt festzuhalten, dass Banken das Risikomanagement in diesem Bereich intensivieren müssen. Dazu gehören der Aufbau einer geeigneten Governance, inklusive Etablierung einer regelmäßigen Überwachung der Lieferanten, sowie Transparenz durch Inventare zu Lieferanten, Verträgen, Cloud- und KI-Lösungen und deren Risikoklassifizierung.

Was sind die wichtigsten Erkenntnisse der Studie?

Zusammenfassend sind die Autoren der IFZ-Studie der Meinung, dass Sourcing für Retailbanken ein wichtiges strategisches Instrument bleibt, wenn es darum geht, die Wertschöpfungskette der Bank sicher und effizient zu organisieren und den Kund:innen einen breiten, qualitativ hochwertigen Service zu bieten.

Der KI-Trend lässt die Relevanz des Sourcings weiter steigen, da Banken für den Einsatz von KI in der Regel externe Anbieter (z.  B. Cloud-, Beratungs- oder Prüfungsfirmen) einbinden. Mit der Relevanz des Sourcing nimmt auch die Professionalisierung in diesem Bereich zu. Dies zeigt sich im Aufbau spezialisierter Organisationseinheiten, wie eines zentralen Third-Party (Risk) Managements. Auch von regulatorischer Seite steigt der Druck zu mehr Transparenz und einem professionelleren Risikomanagement im Outsourcing.

Insgesamt steht mit dem zunehmenden Einsatz von KI nicht nur die einzelne Bank, sondern das gesamte Finanzsystem vor einem tiefgreifenden Wandel, bei dem Vertrauen, Transparenz und Resilienz zu Schlüsselwerten werden.