Dustin Dehez-Regulatorisches Risiko-Management Executive | Risikosteuerung & 2nd LoD im Banking | EU AI Act, DORA, MaRisk, NFR | CEO Secori

3rd LoD/Run the Bank (RtB)

• Externer Berater für die kurzfristige Validierung von Artefakten aus behobenen Feststellungen des Joint Supervisory Team (JST) der ECB im Third-Party Management
• Validierung von Design- und Implementierungswirksamkeit, Testdesign, Durchführung und Dokumentation sowie Erstellung von Validierungsberichten.

1st LoD/Change the Bank (CtB)

• Externer Berater in einem CtB-Projekt zur Neugestaltung des Third-Party Risk Managements der Gruppe
• Ab Januar 2023: Workstream Lead (4 FTE) für die Neugestaltung und Implementierung des Future State der Third-Party-Risikoanalyse. Verantwortlich für das Design des neuen Kernprozesses und verschiedener Teilprozesse, des neuen Kontrollsets für Third-Party-Risikoanalysen, die Abstimmung des Kontrollsets mit internen Anforderungen, das Erarbeiten von Strategien und Konzepten sowie das dazugehörige Stakeholder-Reporting.
• Juli 2022 bis Dezember 2022: Workstream Lead (3 FTE) für die Neugestaltung der Anforderungen an die Informationssicherheit bei Dritten. Entwicklung der vertraglichen Anpassung zu den Informationssicherheitsanforderungen für Dritte. Abstimmung des konzeptionellen Ansatzes und des Anhangs mit den relevanten Bereichen der Organisation (Legal, 2nd und 3rd LoDs) sowie das dazugehörige Stakeholder-Reporting
• Ausarbeitung und Abstimmung der Dokumentation zur Schließung der entsprechenden Feststellungen gegenüber den Aufsichtsbehörden sowie Abstimmung mit den Stakeholdern zur Meldung des Feststellungsabschlusses
• Ausarbeitung und Abstimmung der Cloud-Strategie sowie der Strategie zur Bewertung von Cloud-Service-Providern
• Ausarbeitung und Abstimmung der Supplier-Security-Richtlinie der Gruppe
• Ausarbeitung und Abstimmung der neuen Prozesslandschaft mit Stakeholdern innerhalb der Gruppe sowie Sicherstellung der Freigabe durch Stakeholder und 3rd LoD.
• Sicherstellung, dass der Future State die regulatorischen Anforderungen gemäß EBA-Leitlinien (ICT und Outsourcing), MaRisk, BAIT, DORA erfüllt

1st LoD/Run the Bank (RtB)

• Externer Berater für das Informationsrisikomanagement in der Bank im Bereich Vendor-/Third-Party-Risk-Management
• Projektleitung bei der Entwicklung und Umsetzung der wesentlichen Änderung des zentralen Arbeitsprozesses zu Informationssicherheitsanforderungen in Drittparteienbeziehungen, Unterstützung des Übergangs zur Cloud-Landschaft und Angleichung der Informationssicherheitsanforderungen für Lieferanten an die geltenden regulatorischen Anforderungen (MaRisk AT9, BAIT, DSGVO, EBA-Leitlinien zum Outsourcing, HKMA, MAS, FED, PRA) sowie relevante Branchenstandards (ISO 27001, CCM, SOC2)
• Prüfung des Risikoexposures der Bank in zahlreichen Third-Party-/Outsourcing-Beziehungen, Prüfung der von Dritten eingereichten Nachweise und ihrer Einhaltung der Informationssicherheitsanforderungen der Bank
• Nachverfolgung und Bewertung von Maßnahmen zur Risikominimierung für Dritte, einschließlich der Koordination von Maßnahmenabschlüssen
• Koordination mit Stakeholdern in verschiedenen Geschäftsbereichen der Bank
• Berichterstattung und Dokumentation des Risikoexposures der Bank auf Basis der Cyber-, IT- und Non-IT-Risikobereitschaft unter Anwendung relevanter ISO 27001- und ISO 27005-Kriterien

• Externer Datenschutzbeauftragter
• Einführung eines Software-Tools für den Betrieb des Datenschutz-Managementsystems
• Umsetzung und Pflege eines Verzeichnisses von Verarbeitungstätigkeiten
• Datenschutz-Folgenabschätzungen und Transfer-Folgenabschätzungen sowie das dazugehörige Risikomanagement

• Due Diligence für den deutschen Teil einer größeren britischen Due-Diligence-Prüfung
• Open-Source Intelligence und Bewertung der gesammelten Beweise
• Strategische Beratung zur Fortführung des Projekts

Gründer (seit 10/2014) und Chief Executive Officer (seit 09/2025), mit 5 direkten und 20 indirekten Mitarbeitenden. Aufbau eines Unternehmens von Grund auf ohne Seed-Funding und Entwicklung zu einer Risiko-Beratung mit ca. 3 Mio. EUR Jahresumsatz, die heute als zertifizierter Great Place to Work gilt, mit extrem geringer Fluktuation. Anstoß für Veränderungen im Unternehmen, vom Skalieren hin zum Führen von Mitarbeitenden und zum Aufbau einer internen Governance für den Einsatz von KI im Unternehmen.

• SAP SE: Konzeption und Umsetzung eines unternehmensweiten AI Governance & Control Framework, das regulatorische und branchenspezifische Anforderungen in ein einheitliches, prüfbares Kontrollmodell für KI-gestützte Prozesse und Anwendungen übersetzt. Definition einer Kontrollbibliothek mit 200–250 Maßnahmen, Festlegung von Anforderungen an Audit-Nachweise und Abstimmung mit funktionsübergreifenden Stakeholdern zur Stärkung von KI-Governance, Assurance und regulatorischer Compliance.
• Deutsche Leasing: Leitung des BaFin-Remediation-Workstreams nach einer Sonderprüfung der IT durch die BaFin, Neugestaltung der Richtlinien für die IT-Landschaft ("Informationsverbund"), der Struktur-Analyse und der Klassifizierung der Schutzbedarfe, Umsetzung neuer End-to-End-Prozesse und Tool-Integration, um die 2nd LoD für den BaFin-Abschluss und die DORA-Compliance aufzustellen.
• Deutsche Bank: Prüfung der Abarbeitung von Findings als Internal Audit (3rd LoD), um JST-(EZB-)Findings im Outsourcing-Management zu schließen.
• Hessische Landesbank: Steuerung des IT-Risikomanagements für die Hessische Landesbank (1st LoD): jährliche IT-Risikoanalysen, Stresstests und Abstimmung über alle LoDs hinweg. Neugestaltung des Kernprozesses für Informationsrisiken zur Behebung von EZB-Findings, Einführung eines Modells zur Verfolgung von Abweichungen und Verankerung des neuen Rahmens in der bankweiten Risikoübung – von der EZB akzeptiert und operativ im Non-Financial-Risk-Governance-Modell umgesetzt.
• Deutsche Börse: Neugestaltung des Third-Party Risk Management von Grund auf; Umsetzung DORA-fähiger Prozesse, Schließung regulatorischer Findings und Einführung neuer Sicherheitsanforderungen für Anbieter über Cloud- und Lieferantenlandschaft hinweg. Der neue Rahmen war an EBA-Leitlinien, MaRisk und BAIT ausgerichtet und wurde von Internal Audit und Aufsicht genehmigt.
• Deutsche Bank: Neugestaltung des Frameworks für Informationssicherheit bei Dienstleistern: Umsetzung cloudfähiger Verfahren, konform mit MaRisk, BAIT, EBA, HKMA, MAS, FED, PRA, ISO 27001 und SOC2. Prüfung des Risikos aus Drittfirmenbeziehungen und Koordination der Schließung von Findings.

• Vorbereitung von Vorträgen und Präsentationen
• Vorbereitung von Briefings
• Koordination von Veranstaltungen