Art. 9 – Risikomanagement als Prozess
- 15. Juni
- 1 Min. Lesezeit
Art. 9 – Risikomanagement als Prozess
Die Frage ist nicht: "Haben wir das Risiko bewertet?"
Die Frage ist: "Wann haben wir es zuletzt überprüft - und was hat sich seitdem verändert?"
Art. 9 verlangt ein kontinuierliches Risikomanagementsystem.
Kein Projektmeilenstein. Kein Abhacken von Punkten. Ein dauerhafter Prozess.
Vier Fragen, die sich Banken regelmäßig stellen müssen:
❓ Identifiziert: Welche neuen Risiken hat das System in den letzten 90 Tagen erzeugt - durch neue Nutzungsweisen, neue Nutzergruppen, neue Daten?
❓ Bewertet: Sind noch dieselben Personengruppen betroffen wie bei der ersten Bewertung - oder haben sich Kundensegmente verschoben?
❓ Gemindert: Greifen unsere Maßnahmen noch - oder haben sie sich durch Prozessänderungen stillschweigend erledigt?
❓ Dokumentiert: Können wir der RTR oder FMA auf Anfrage zeigen, wann wir zuletzt überprüft haben und warum wir keine Änderung vorgenommen haben?
Ein Risikomanagement-Log mit sechs Feldern reicht für den Anfang.
Was nicht reicht: ein Assessment aus 2024, das seitdem niemand angefasst hat.
👉 AUKOS macht sie bereit für den AI-Act!
