Die Digital Operational Resilience Act (DORA) beinhaltet konkrete und umfangreiche Anforderungen an die Vertragsgestaltung mit Dienstleistern, die für ein Finanzinstitut IKT-Dienstleistungen erbringen. IKT-Dienstleistungen sind sämtliche Dienstleistungen im Zusammenhang mit Informations- und Telekommunikationstechnologien. In vielen Finanzinstituten stellen IKT-Dienstleistungen  einen Großteil des Auslagerungsportfolios dar, da das Geschäftsmodell von Finanzunternehmen datenbasiert und auf IKT-Systeme angewiesen ist - vor allem auf solche, die von externen Dienstleistern zur Verfügung gestellt werden.

Herausforderung: enormer Aufwand für jede einzelne IKT-Dienstleistung

DORA unterscheidet zwischen IKT-Dienstleistungen, die eine kritische oder unkritische interne Funktion unterstützen. Für beide Arten von IKT-Dienstleistungen (kritisch und unkritisch) gelten weitreichende Anforderungen, u. a. an die Vertragsgestaltung mit dem jeweiligen Dienstleister. Für kritische IKT-Dienstleistungen sind gemäß Umsetzungshinweisen der BaFin knapp 70 Mindestinhalte vertraglich mit den IKT-Dienstleistern zu vereinbaren, für unkritische IKT-Dienstleistungen knapp 20.

In der Praxis muss also jede IKT-Dienstleistung als kritisch oder unkritisch klassifiziert werden und die relevanten Mindestinhalte sind entsprechend im Vertrag zu vereinbaren. Es muss vor allem dokumentiert werden, wo genau im Vertrag die Mindestinhalte jeweils vereinbart sind, um eine Nachvollziehbarkeit und Revisionssicherheit sicherzustellen. Da Vereinbarungen mit externen Dienstleistern oft mehrere Vertragsdokumente zugrunde liegen (Rahmenvertrag, Leistungsschein, Anlagen, Anhänge etc.), ist diese Aufgabe zeitintensiv und bindet Ressourcen.

Diese Anforderungen gelten sowohl für Bestandsverträge als auch für zukünftige Verträge. Geht man von ca. 200 IKT-Dienstleistungen im Bestand aus, von denen lediglich 10% kritisch sind, sind über 4.000 Mindestinhalte in ca. 1.000 Vertragsdokumente (da oft Verträge mehrere Dokumente umfassen) zu suchen und zu dokumentieren. Eine optimistische Annahme von 10 Minuten pro Mindestinhalt bedeutet, dass die Prüfung der Verträge für die 200 IKT-Dienstleistungen in unserem Beispiel ca. 100 Personentage in Anspruch nimmt. Mit der Anwendung LENO lässt sich hier der Aufwand der Vertragsprüfung gemäß DORA auf ein Minimum reduzieren.

Als Teil von LENO, einer Software-Suite für Sourcing, Third-Party-Risk-Management (TPRM), Contract Lifecycle Management (CLM) und AI/IT Security & Compliance, unterstützt LENO AI Contract Check bei der Beschleunigung des Abschlusses zukünftiger Verträge, indem diese schneller abgelegt, geprüft und freigegeben werden.

Lösung mit LENO - AI Contract Check

Nachdem die IKT-Dienstleistung in "LENO - Auslagerungsmanagement" (bzw. Third Party Risk Management) automatisiert als kritisch oder unkritisch klassifiziert wurde, die Verträge hochgeladen wurden (Felder wie Kündigungsfristen, Kosten oder Vertragsbeginn werden übrigens auch mit KI automatisch ausgefüllt) und automatisch dieser IKT-Dienstleistung zugeordnet wurden, werden die relevanten Mindestinhalte für diese IKT-Dienstleistung im Reiter Vertragsprüfung angezeigt. Die Felder können entweder manuell oder mithilfe von AI Contract Check ausgefüllt werden.

Um die Verträge für die 200 IKT-Dienstleistungen zu prüfen, reicht in LENO jeweils ein einziger Klick. Auch wenn der Algorithmus sehr zuverlässig ist, empfehlen wir eine - zumindest stichprobenartige - Validierung der Ergebnisse. Wir gehen jedoch davon aus, dass für den gesamten Vertrag eine manuelle Prüfung von 10 bis 30 Minuten ausreicht. Somit fallen mit LENO lediglich ca. 10 Tage für die Vertragsprüfung der 200 IKT-Dienstleistungen an.

Es werden alle Vertragsdokumente in der relevanten Vertragshierarchie zur Prüfung herangezogen. Nach wenigen Sekunden (Dauer hängt von vielen Faktoren ab, wie Anzahl der Wörter in den Verträgen und ob es sich um eine kritische oder unkritische IKT-Dienstleistung handelt) werden die Prüfergebnisse in die entsprechenden Felder eingetragen. Vor allem wird automatisch dokumentiert, welche Mindestinhalte in welchem Vertragsdokument auf welcher Seite gefunden wurde. Sämtliche Felder können selbstverständlich vom Nutzer nochmals editiert werden.

Es werden alle Vertragsdokumente in der relevanten Vertragshierarchie zur Prüfung herangezogen. Nach wenigen Sekunden (Dauer hängt von vielen Faktoren ab, wie Anzahl der Wörter in den Verträgen und ob es sich um eine kritische und unkritische IKT-Dienstleistung handelt) werden die Prüfergebnisse in die entsprechenden Felder eingetragen. Vor allem wird automatisch dokumentiert, welche Mindestinhalte in welchem Vertragsdokument auf welcher Seite gefunden wurden. Sämtliche Felder können selbstverständlich vom Nutzer nochmals editiert werden.

‍

Ausblick: mehr KI in LENO

Mit LENO lassen sich in naher Zukunft Verträge gegen interne oder andere gesetzliche und regulatorische Pflichten prüfen. Die Mindestinhalte je Vertragskategorie (z. B. Mietverträge) können individuell und selbst definiert werden. Beim Anlegen eines Vertragsdokuments und der Definition der Vertragskategorie, reicht ein Mausklick, um dieses Vertragsdokument auf interne Vorgaben zu prüfen.

Weitere sinnvolle KI-Funktionalitäten folgen in Kürze – bleiben Sie informiert!