Anlage 2
zum Rahmenvertrag zwischen der Helaba (nachfolgend „Auftraggeber“ genannt) und [Bezeichnung des Auftragnehmers] (nachfolgend „Auftragnehmer“ genannt) vom TT.MM.JJJJ
Berichtswesen
Helaba Landesbank Hessen-Thüringen Girozentrale Neue Mainzer Straße 52-58 60311 Frankfurt/Main
Inhaltsverzeichnis
Gegenstand dieser Anlage
Gegenstand dieser Anlage ist eine Übersicht aller Berichte und Reports, die im Rahmen der laufenden Kontrolle und Steuerung der ausgelagerten Leistungen durch den Auftragnehmer bereitgestellt werden müssen.
Allgemeines
- Die Reportsund Berichtewerden vom Auftragnehmer in elektronischer Form revisionssicher bereitgestellt und zielgruppengerecht abgelegt mit klaren Zugriffsrechten und Archivierungsregeln. Sämtliche Berichte / Reportssind, soweit möglich, auch in einem bearbeitbaren Format zur Verfügung zu stellen.
- Die Lieferung der Berichte / Reportserfolgt vorzugsweise über eine Portallösung bzw. eine zwischen den Parteien noch zu vereinbarende Schnittstelle.
Service Level Reports
- Die Service Level Reports enthalten einen Überblick über die Qualität der Serviceerfüllung.
- Service*-Level-*relevante KPI sind in der Anlage 1 Verzeichnis der Service Level Agreements zum Rahmenvertrag definiert.
- Nicht erfüllte Service Level sind mit erklärenden Kommentaren zu versehen. Darüber hinaus werden detaillierte Aussagen zu geschäftskritischen Ereignissen sowie mitigierende Maßnahmen bei nicht erfüllten Service Leveln im Report dokumentiert.
- Sofern eine weiter gehende Analyse aus Sicht des Auftraggebers notwendig ist, wird der Auftragnehmer die hierzu benötigten Informationen und Analysen auf Basis der beim Auftragnehmer vorhandenen Daten zeitnah, aber spätestens bis zum nächsten Steuerungs-Jour Fixe bereitstellen.
| Berichtsname und Beschreibung | Berichtszeitraum und Bereitstellungstermin | Format |
|---|---|---|
| Service Level Report Berichtet werden * Status und Qualität der Leistungserbringung für folgende Service Level gemäß Anlage 1: * Reaktionszeit * Angebotsfrist * Liefertreue * Umsetzungsqualität. * Aussagen zu geschäftskritischen Ereignissen sowie mitigierende Maßnahmen bei nicht erfüllten Service Leveln. | monatlich, zum 15. Werktag des Folgemonats | PDF und XLS |
Compliance Berichte
- Die im Folgenden aufgeführten Compliance-Berichte sind auf Anforderung des Auftraggebers durch den Auftragnehmer bereitzustellen und als Leistung optional anzubieten.
- Die hierdurch dem Auftragnehmer entstehenden aufwandsbezogenen Kosten werden im Anhang 5.1 Preisblatt gesondert ausgewiesen.
- Der Auftragnehmer stellt dem Auftraggeber als optionale Leistung die folgenden Berichte in den festgelegten Zyklen zur Verfügung.
| Berichtszyklus | |||||||||||||
| Jan | Feb | Mär | Apr | Mai | Jun | Jul | Aug | Sep | Okt | Nov | Dez | ||
| Revisionsbericht / Prüfbericht (ISAE) | X | X | X | X | |||||||||
| Informationssicherheitsbericht | X | ||||||||||||
| Subunternehmerbericht | anlassbezogen | ||||||||||||
| IT-Risikobericht | X | ||||||||||||
| Datenschutzbericht | X |
Revisions- / Prüfbericht
| Berichtsname und Beschreibung | Berichtszeitraum und Bereitstellungstermin | Format |
| Revisionsbericht / Prüfbericht gemäß ISAE oder IDW PS 951 Berichtet werden die bezogen auf den Auslagerungsgegenstand relevanten Prüfungsergebnisse sowie vierteljährliche Informationen zum Erledigungsstand von Feststellungen (follow-up). | Jährlich (spätestens sechs Wochen nach Berichtsstichtag 31.12.) sowie quartalsweise follow-up (zu den Stichtagen 31.03./30.06./30.09./31.12.) | PDF und XLS |
Informationssicherheitsbericht
| Berichtsname und Beschreibung | Berichtszeitraum und Bereitstellungstermin | Format |
|---|---|---|
| Informationssicherheitsbericht Bericht über den Nachweis der wirksamen Umsetzung der vereinbarten Maßnahmen, Vorgaben und Kontrollen für das aktuelle Kalenderjahr, der durchgeführten Maßnahmen und Projekte zur Erhaltung bzw. Verbesserung der Informationssicherheit und der für die nächste Planungsperiode vorgesehenen Maßnahmen zur Verbesserung der Informationssicherheit. | Jährlich (spätestens 12 Wochen nach Berichtsstichtag 31.12.) | PDF und XLS |
Subunternehmerbericht
| Berichtsname und Beschreibung | Berichtszeitraum und Bereitstellungstermin | Format |
| Subunternehmerbericht Für den Bericht ist die „Liste der aktuellen Subunternehmer“ der Anlage 8 „Verzeichnis der Subunternehmer“ zu verwenden. | Jährlich zum 30.06. sowie anlassbezogen | PDF und ggf. XLS |
IT-Risikobericht
| Berichtsname und Beschreibung | Berichtszeitraum und Bereitstellungstermin | Format |
| IT-Risikobericht Der IT-Risikobericht enthält die mit der Auslagerung an den Auftragnehmer verbundenen Risiken, indem mindestens die wesentlichen Risiken mit detaillierter Darstellung sowie die als nicht wesentlich eingestuften Risiken mit Kurzbeschreibung aufgezeigt werden. Die Risikoberichterstattung erfolgt unter Einbezug von Informationen zu Weiterverlagerungen bzw. hieraus resultierenden Risiken. | Jährlich (spätestens 12 Wochen nach Berichtsstichtag 31.12.) | PDF und ggf. XLS |
Datenschutzbericht
| Berichtsname und Beschreibung | Berichtszeitraum und Bereitstellungstermin | Format |
| Datenschutzbericht Der Datenschutzbericht ist der Tätigkeitsbericht des Datenschutzbeauftragten des Auftragnehmers. Er fasst in angemessener Form die wichtigsten datenschutzrechtlichen Ereignisse und Maßnahmen zusammen und dient dem Auftraggeber als Nachweis der Einhaltung der datenschutzrechtlichen Vorgaben. | Jährlich (spätestens 12 Wochen nach Berichtsstichtag 31.12.) |
Ad-hoc Berichterstattung
| Berichtsname und Beschreibung | Berichtszeitraum und Bereitstellungstermin | Format |
|---|---|---|
| Ad-hoc Bericht Berichtet werden insbesondere Entwicklungen, Vorkommnisse oder Fehler beim Auftragnehmer oder in Fällen der Weiterverlagerung bei Subunternehmen, sofern sich hieraus * eine Beeinträchtigung der vertragsgegenständlichen Leistung im Einklang mit gesetzlichen oder aufsichtsrechtlichen Anforderungen * ein Reputationsrisiko für den Auftraggeber oder * eine Gefahr für die Datensicherheit der beim Auftragnehmer befindlichen oder verarbeiteten Daten ergibt. Ferner müssen vom Auftragnehmer ad-hoc gemeldet werden: * sicherheitsrelevante Vorfälle sowie schwerwiegende Mängel oder Schwachstellen in der Informationssicherheit sowie * als „wesentlich“ eingestufte Prüfungsfeststellungen. | Unverzüglich |
Dokumentationen
Sofern in den einschlägigen Anlagen zum Rahmenvertrag oder in den Einzelaufträgen nicht abweichend vereinbart, werden Dokumentationen (z. B. Betriebsdokumentation) dem Auftraggeber im Falle einer sachlich begründeten Anforderung des Auftraggebers innerhalb eines angemessenen Zeitraums zur Verfügung gestellt, wobei sich diese Anforderung in der Regel auf die aktuelle Version bezieht.
Unterschriften
Dieses Dokument wurde von den nachstehenden Unterzeichnern genehmigt.
| [Bezeichnung des Auftragnehmers] | Unterschrift - Name |
| Datum | |
| [Bezeichnung des Auftragnehmers] | Unterschrift - Name |
| Datum | |
| Helaba Landesbank Hessen-Thüringen Girozentrale | Unterschrift - Name |
| Datum | |
| Helaba Landesbank Hessen-Thüringen Girozentrale | Unterschrift - Name |
| Datum |