Vertrags-Governance ist kein neues Konzept, und die meisten Branchen sind damit vertraut. In bestimmten Branchen geht dieser Teil der juristischen Arbeit über die reine Compliance hinaus: Er kann sich zu einem echten Vorteil entwickeln, wenn er durchdacht umgesetzt wird, anstatt nur als Punkt auf einer To-do-Liste abgehakt zu werden.
Die größte Herausforderung für viele Rechtsabteilungen im Banksektor besteht nicht darin, dass ihnen die Vertragsverwaltung gleichgültig wäre. Oftmals fehlen ihnen einfach die richtigen Tools, um dies umzusetzen.
Wenn man auf die Erfahrungen der Finanzvorstände vor 20 Jahren zurückblickt – bevor ERP-Systeme Einzug hielten und die manuelle Datenerfassung ablösten –, vollzieht sich derzeit derselbe Wandel auch im Rechtsbereich. Die Finanzvorstände haben den Übergang von der Arbeit mit Tabellenkalkulationen, Telefonaten, E-Mails und institutionellem Wissen hin zur Zentralisierung aller Prozesse an einem Ort vollzogen.
Dieser Wandel beginnt bei der Vertragssteuerung. Für die meisten Rechtsabteilungen im Bankwesen ist dieser Prozess noch im Gange.
Was versteht man unter Vertrags-Governance?
Unter Vertrags-Governance versteht man die Gesamtheit der Richtlinien, Prozesse und Tools, die festlegen, wie eine Organisation ihre Verträge verwaltet: Wer ist dafür verantwortlich, wie werden Verpflichtungen nachverfolgt, wann werden Risiken gemeldet und welche Informationen können auf Anfrage dokumentiert werden.
In den meisten Branchen führt eine unzureichende Vertragssteuerung zu versäumten Vertragsverlängerungen und Wertverlusten. Für Banken und Finanzinstitute bedeutet dies zudem ein regulatorisches Risiko. So müssen beispielsweise gemäß der DORA in der EU Lieferantenverträge innerhalb weniger Stunden nach einem IT-Vorfall überprüfbar sein. Benachrichtigungsklauseln, Prüfungsrechte für Unterauftragsverarbeiter, Eskalationsauslöser: All dies muss sofort verfügbar sein und darf nicht erst im Nachhinein aus E-Mail-Verläufen rekonstruiert werden.
Die Vertragssteuerung ist die Infrastruktur, die eine solche Reaktion ermöglicht; sie ist nicht mit dem Contract Lifecycle Management zu verwechseln.
Vertragssteuerung vs. Contract Lifecycle Management (CLM)
Die beiden Begriffe werden oft synonym verwendet, bezeichnen jedoch unterschiedliche Dinge.
| Vertragsmanagement | CLM | |
|---|---|---|
| Schwerpunkt | Rahmenbedingungen: Richtlinien, Zuständigkeiten, Risikokontrollen | Geschäftsabläufe: Entwürfe, Genehmigungen, Verlängerungen |
| Zweck | Einheitlichkeit und Einhaltung der Vorgaben in allen Verträgen | Effizienz in den einzelnen Vertragsphasen |
| Rolle | Legt die Regeln fest | Verantwortet den laufenden Betrieb |
Ein CLM ist das Mittel; Governance ist das Ziel. Selbst die stabilsten Organisationen können ohne ein Governance-Rahmenwerk mit ihrer Vertragsstrategie scheitern. Ein CLM ohne ein solches Rahmenwerk sorgt lediglich für eine schnellere Umsetzung eines fehlerhaften Prozesses. Wer zuerst Governance aufbaut, erhält eine Lösung, die skalierbar ist.
Der neue Compliance-Standard: Auf Verlangen nachweisen
Während des größten Teils des vergangenen Jahrzehnts lautete die Frage zur Compliance ganz einfach: „Halten wir die Vorschriften ein?“ Ein Ankreuzfeld, ein Rechtsgutachten, ein Ja oder Nein.
Die Frage lautet nun anders: „Können wir das sofort, auf Anfrage und mit vollständiger Dokumentation nachweisen?“
Dieser Wandel zeigt sich am deutlichsten bei zeitkritischen regulatorischen Anforderungen. DORA, das im Januar 2025 in der Europäischen Union in Kraft getreten ist, verdeutlicht dies.
Der Anwendungsfall „DORA-4-Stunden-Uhr“
Gemäß DORA löst ein schwerwiegender IKT-Vorfall eine erste Meldefrist von vier Stunden aus. Innerhalb dieser vier Stunden muss Ihre Rechtsabteilung wissen, welcher Vertrag für diesen Anbieter gilt, wie die Meldeklausel lautet und ob Sie Prüfungsrechte gegenüber dessen Unterauftragsverarbeitern haben. Vergleichbare Anforderungen gelten auch im deutschen Regulierungsrahmen: Die BAIT der BaFin sowie die EBA-Leitlinien zur IKT- und Sicherheitsrisikenverwaltung setzen eigene Fristen und Dokumentationspflichten. Über alle Rechtsordnungen hinweg gilt derselbe Grundsatz: Die Schnelligkeit der Nachweisführung ist nun Teil der Compliance-Verpflichtung.
In der Praxis:
- Wenn diese Informationen über E-Mail-Verläufe, gemeinsame Laufwerke und die Köpfe der Mitarbeiter verstreut sind, werden Sie die Frist nicht einhalten können.
- Die Zentralisierung von Verträgen ist mittlerweile eine Anforderung an die operative Widerstandsfähigkeit.
- Das Argument der Effizienz ist zweitrangig.
Der Unterschied zwischen Banken, die diese Fragen auch unter Druck beantworten können, und solchen, die dazu nicht in der Lage sind, ist ein Problem der Vertragsgestaltung. Und das hat seinen Preis.
Die Kosten einer mangelhaften Vertragssteuerung im Bankwesen
Eine mangelhafte Vertragssteuerung birgt finanzielle, rufbezogene und regulatorische Risiken.
Drei Stellen, an denen es sich ansammelt
- Vertragswertverluste: Im Finanzdienstleistungssektor ist dieses Problem ausgeprägter als im branchenübergreifenden Durchschnitt. Institute verlieren nach der Unterzeichnung schätzungsweise 8–9 % des Vertragswerts, doch die größten Verluste entstehen bei den Verträgen, bei denen sich Banken eine Fehlverwaltung am wenigsten leisten können: Lieferanten- und Drittanbieter-Verträge, bei denen Branchen-Benchmarks einen durchschnittlichen Verlust von 12–15 % ausweisen – der höchste Wert aller Vertragskategorien.
- Namentlich benannte aufsichtsrechtliche Risiken: Gemäß Artikel 50 des DORA gelten Sanktionen nicht nur für das Institut, sondern auch für einzelne Mitglieder des Leitungsorgans. Auch im deutschen Aufsichtsrecht zeigt sich dieselbe Tendenz: BaFin und EZB-Bankenaufsicht richten Sanktionen zunehmend auf die persönliche Verantwortlichkeit von Führungspersonen aus. Rechtsabteilungsleiter, die ihre Prozesse zur Vertragsüberwachung dokumentieren können, befinden sich in einer wesentlich anderen Lage als diejenigen, die dazu nicht in der Lage sind.
- Kosten für die manuelle Rekonstruktion: Die Rekonstruktion der Vertragsgeschichte für eine behördliche Prüfung dauert Tage, wenn die Daten nicht strukturiert sind. Ein einziger Beanstandungspunkt eines Prüfers führt in der Regel zu monatelangen Nachbesserungsarbeiten. Beides lässt sich vermeiden.
Diese drei Faktoren wirken zusammen. Eine versäumte Vertragsverlängerung führt zu einem nicht ausgeübten Prüfungsrecht, was wiederum zu einer nicht dokumentierten regulatorischen Verpflichtung wird, die schließlich eine Woche manueller Nacharbeit zur Folge hat, wenn der Prüfer vor Ort erscheint. Die Ursache ist immer dieselbe: Es fehlt eine strukturierte Steuerung der Vertragsdaten.
Wie gute Governance aussieht
Eine italienische Bankengruppe mit über 100.000 Kunden stand früher genau vor diesen Herausforderungen. Bevor die Vertragsdaten zentralisiert wurden, bedeutete jede behördliche Prüfung tagelange manuelle Arbeit: E-Mails nachverfolgen, Unterschriften zusammentragen, unter Termindruck den Verlauf rekonstruieren. Die Prozesse waren einfach nicht zweckmäßig.
Nach der Zentralisierung auf DiliTrust änderte sich das. Bei einem anschließenden Audit bewältigte dasselbe Team die gleichen Anforderungen in einem Bruchteil der Zeit.
Die Zahlen:
- Verkürzung der Vertragsabwicklungszeiten um 25–40 %
- 6 Prozentpunkte an entgangenen Vertragswerten wieder eingezogen
- Compliance-Berichte – von Wochen bis zu Minuten
- DORA-Konformitätsstatus für über 2.000 Verträge in weniger als 5 Minuten
Auch die Einstellung hat sich gewandelt. Inspektionen wurden nicht mehr als Bedrohung für das Management angesehen, sondern als Momentaufnahme der tatsächlichen Situation. CLM-Tools sind heute leistungsfähiger als noch vor fünf Jahren. Noch wichtiger ist jedoch, dass sich KI von einem Marketingversprechen zu einer betrieblichen Realität entwickelt.
KI für Vertragsmanagement – vorausgesetzt, die Grundlagen sind vorhanden
Für Banken, die Verträge in großem Umfang gemäß den Anforderungen von DORA, CRD6 und OCC abwickeln, kann der Einsatz von KI im Rechtsbereich im Rahmen einer strukturierten Vertragssteuerung folgende Vorteile bieten:
- Extrahieren und überprüfen Sie die gemäß Artikel 30 des DORA vorgeschriebenen Pflichtklauseln in allen Verträgen mit IKT-Anbietern und kennzeichnen Sie diese als eigenständige Vertragskategorie: Verträge mit IKT-Anbietern beinhalten zusätzliche Verpflichtungen hinsichtlich Unterauftragsvergabe, Prüfungsrechten und der Überwachung von Eskalationsverfahren, die gemäß DORA einer kontinuierlichen Nachverfolgung bedürfen.
- Markieren Sie Unterprozessorketten und Eskalationsauslöser, die eine kontinuierliche Überwachung erfordern
- Das Register gemäß Artikel 28 mit Informationen füllen, ohne diese manuell erneut eingeben zu müssen
- Beurteilen Sie neue Lieferantenverträge vor der Unterzeichnung hinsichtlich regulatorischer Risiken
- Warnungen zu Verlängerungsfristen und Verstößen gegen Verpflichtungen, bevor diese zu Compliance-Lücken führen
- Ermitteln Sie den DORA-Konformitätsstatus für das gesamte Vertragsportfolio in wenigen Minuten statt in Tagen
Das ist der Rahmen dessen, was operativ möglich wird. Der Vorbehalt ist jedoch von Bedeutung.
Allgemeine Sprachmodelle werden anhand öffentlich zugänglicher Internetdaten trainiert. Sie haben Ihre Verträge noch nie gesehen. Wenn Sie fragen, ob eine bestimmte Lieferantenvereinbarung DORA-konform ist, generieren sie eine plausible Antwort – keine aus einer Datenbank abgerufene. Im Bank- und Finanzwesen ist eine plausible, aber falsche Antwort schlimmer als gar keine Antwort.
KI im Rechtsbereich liefert zuverlässige Ergebnisse, wenn sie auf ein strukturiertes, indexiertes Vertragsarchiv zurückgreift und ihre Antwort mit einer entsprechenden Vertragsklausel verknüpft. Ohne diese Grundlage arbeitet sie mit ungeordneten Daten und verstärkt diese Unordnung noch. Bauen Sie zunächst die Datenebene für die Vertragsverwaltung auf und setzen Sie dann die KI-gestützte Vertragsprüfung darauf ein. Wenn Sie diese Reihenfolge verwechseln, zahlen Sie für Funktionen, die Ihre Daten nicht unterstützen können.
Zeit, den richtigen Weg einzuschlagen
Die Abteilungen, die im Bankensektor eine Infrastruktur für die Vertragssteuerung aufbauen, können nun mithilfe von Daten, Kennzahlen und einer Stimme auf Vorstandsebene innerhalb der Organisation agieren. Es handelt sich um denselben Wandel, den die Finanzabteilung vor zwei Jahrzehnten vollzogen hat – jener Wandel, durch den der CFO vom Berichterstatter zum Entscheidungsträger wurde.
Auch die Rechtsabteilung steht vor einem solchen Wendepunkt. Der General Counsel, der die entsprechende Infrastruktur aufbaut, wird über einen umfassenden Überblick verfügen, um künftigen behördlichen Prüfungen stets einen Schritt voraus zu sein.
Häufig gestellte Fragen zur Vertragssteuerung im Bankwesen
DORA schreibt kein zentrales Archiv namentlich vor, macht es aber zur praktischen Pflicht. Artikel 28 verlangt ein vollständiges Register aller IKT-Drittanbieterverträge. Artikel 30 legt die Pflichtklauseln fest. Und die vierstündige Erstmeldepflicht bei IKT-Vorfällen bedeutet: Relevante Vertragsklauseln müssen innerhalb von Stunden abrufbar sein. Wer auf verteilte Laufwerke und E-Mail-Verläufe setzt, wird diesen Anforderungen unter Druck nicht gerecht.
Artikel 50 richtet Sanktionen direkt an Mitglieder des Leitungsorgans, nicht nur an das Institut. Boardmitglieder, Geschäftsführer und General Counsel können persönlich mit Bußgeldern belegt werden. Fehlende Dokumentation, Lücken bei Prüfungsrechten und nicht nachverfolgte Unterauftragnehmer sind genau die Befunde, die bei einer BaFin-Prüfung zählen. Wer einen strukturierten Governance-Prozess mit Audit Trail nachweisen kann, steht rechtlich erheblich besser da.
Vertrags-Governance ist der Rahmen: Richtlinien, Zuständigkeiten, Risikokontrollen. Das CLM ist das System, das diesen Rahmen umsetzt: Entwurf, Genehmigung, Verlängerungen, Warnmeldungen. Ein CLM ohne Governance beschleunigt nur einen ungesteuerten Prozess. Governance ohne CLM hat die richtigen Regeln, kann sie aber nicht skalierbar durchsetzen. Beides zusammen ist das, was BaFin, EBA und EZB zunehmend erwarten.
