Neben den Versorgungsunternehmen sind vor allem Banken und Versicherungen immer häufiger und heftiger von regulatorischen Bestimmungen betroffen. "Standen in der Vergangenheit meist Kredit- und Marktrisiken im Vordergrund aufsichtsrechtlicher Betrachtungen, so sind es seit Inkrafttreten von Basel II eher die operationellen Risiken", hat Commerzbank-CIO Stephan Müller erkannt. Die Bankenkrise habe den Ruf nach mehr Transparenz immer lauter werden lassen. Die Folge sei ein schwer durchschau- und erfüllbares Konglomerat von Regularien, die Unternehmens-Governance betreffend.

Der IT kommt dabei ein wachsender Stellenwert zu. So enthalten die "Mindestanforderungen an das Risiko-Management" (MaRisk), die das Bundesamt für Finanzdienstleistungsaufsicht (BaFin) seit 2012 stellt, explizite Forderungen an den IT-Betrieb. Und das leuchtet ein, wenn man bedenkt, dass das Geschäft der BankenBanken zu einem immer größeren Teil reine IT ist. Defizite in der IT sind demnach quasi gleichbedeutend mit geschäftlichen Sicherheitsrisiken, was zugleich immer mehr Augenmerk auf eine funktionierende IT-Governance lenkt. Top-Firmen der Branche Banken

Auf der anderen Seite ist die IT aber auch ein Mittel zum Zweck der Risikoverringerung, indem sie es ermöglicht, Anforderungen an die Fachprozesse und -funktionen zu erfüllen. Müller spricht in diesem Zusammenhang von "Regulatorik mit Außenwirkung" und erinnert daran, dass beispielsweise der Börsengang des sozialen Netzwerks Facebook beinahe an technischen Problemen gescheitert wäre.

Darüber hinaus haben Themen wie der einheitliche europäische Zahlungsverkehr (SEPA) sowie hoheitliche Aufgaben wie das Abführen von Zinssteuern die Banken-IT um eine politische Dimension erweitert. Schon aus dieser Perspektive erscheint es dringend erforderlich, den Finanzinstituten auf die Finger zu sehen. Und last, but not least rücken die Verflechtungen zwischen unterschiedlichen Banken, wie sie beispielsweise im Derivatehandel wirksam werden, zunehmend ins Blickfeld der Aufsichtsorgane.

Jenseits jeder Priorisierung

Für die Banken-CIOs ist die steigende Regulationsflut ein Albtraum - oder zumindest "eine echte Herausforderung", wie es Müller vorsichtig formuliert. Zum einen entzögen sich ProjekteProjekte zur Umsetzung von Regularien aufgrund ihres Muss-Charakters jeder Priorisierung, weshalb sie im Zweifelsfall jede IT-Planung sprengen können. Zum anderen seien diese Vorhaben hochkomplex."Das Problem sind nicht die einzelnen Bestimmungen, sondern deren Kumulierung", führt Müller aus: "Und um den Bestimmungen Genüge zu tun, müssen wir immer an die Kerndaten heran." Angesichts der schieren Masse der betroffenen Daten bekomme der Begriff "Big DataBig Data" eine ganz neue Bedeutung: Analyse- und Reporting-Tools sowie In-Memory-Technik erführen im Bankenumfeld derzeit "einen Härtetest". Alles zu Big Data auf CIO.de Alles zu Projekte auf CIO.de

Wohl dem Unternehmen, das seine IT- und Datenarchitektur bereits einigermaßen im Griff hat. Das ist allerdings umso schwieriger, je weiter die IT-Unterstützung des Business zurückreicht. Gerade bei alteingesessenen Banken steht hier beinahe ein halbes Jahrhundert zu Buche. "Auch bei uns ist vieles historisch gewachsen", räumt Müller ein.

Immerhin hat die Commerzbank - mehr oder weniger gezwungenermaßen - bereits gewaltig aufgeräumt: Nach der Fusion mit der Dresdner Bank im Jahr 2009 musste sie damals noch unter Müllers Vorgänger Peter Leukert mehr als zwei Jahre lang ihre IT konsolidieren und standardisieren. So braucht sie sich zumindest nicht mehr mit zwei unterschiedlichen IT-Welten herumzuschlagen. Außerdem wurde im Rahmen der Vereinheitlichung auch "verschüttetes Wissen" über die IT-Struktur wieder aufgedeckt, sagt Müller. Und die Notwendigkeit, eine große Menge neuer Kunden in die vorhandenen Datenbanksysteme aufzunehmen, habe dazu geführt, dass die Commerzbank-IT erfolgreich über Skalierungsmöglichkeiten und Zugriffsoptimierung nachgedacht habe.

Trotzdem ist der Anteil der regulatorischen Themen am Gesamtportfolio der IT-Aufgaben "kontinuierlich gestiegen", wie Müller bestätigt. Mittlerweile mache er etwa ein Drittel des Projektbudgets aus, also knapp 15 Prozent der jährlichen IT-Aufwände. Die damit verbundene Komplexität erforderte zudem weitere strukturelle Eingriffe in die IT-Architektur.