Compliance-Berater in Deutschland

• Leitung der gruppenweiten, internationalen und funktionsübergreifenden IT-Governance-&-IAM-Abteilung in der zentralen IT-Division eines großen deutsch-französischen Privatbankkonzerns. Disziplinarische Führung von rund 30 Mitarbeitenden an fünf Standorten (Frankfurt, Paris, Tunis, Saarbrücken, Düsseldorf). Vorsitzender in IT-Komitees und zentrale Rolle in der direkten Kommunikation mit der Geschäftsführung, dem Aufsichtsrat, externen Stakeholdern und Aufsichtsbehörden.
• Definition und Implementierung eines modernen IT-Strategieprozesses sowie der zugehörigen IT-Governance-Strukturen für die IT-Abteilung mit über 600 Mitarbeitenden (bestätigt durch die deutsche Bundesanstalt für Finanzdienstleistungsaufsicht und die ACPR) und erfolgreichem Ablauf.
• Aufbau eines zukunftsorientierten Prozessrahmens für IT und der notwendigen Governance-Strukturen (Process Squads) zur kontinuierlichen Verbesserung der IT-Prozesse im Hinblick auf neue regulatorische Anforderungen (einschließlich DORA, EU AI Act usw.).
• Einführung strenger Prozesse zum Abbau eines historischen Rückstands an Prüfungsfeststellungen (> 100 IT-Feststellungen, 40 überfällige Feststellungen in 2022) von internen und externen Prüfern (WP, ACPR, BaFin). Erfolgreiche Reduzierung der überfälligen Feststellungen auf 0 Ende 2025.
• Unterstützung von mehr als 20 IT-Prüfungen pro Jahr und Aufbau von Prozessen zur regulatorischen Überwachung. Einführung von ServiceNow zur Revolutionierung der Prozesse für regulatorische Änderungen und IT-Compliance mit erweiterten KI-Funktionen.
• Neuausrichtung der IT-Kontrollprozesse in Verbindung mit der neu gegründeten ICT-Risiko-Funktion nach DORA und dem Drei-Linien-Modell mit der TopEase GRC-Lösung.
• Reduzierung der Anwendungslandschaft durch systematische Analyse der Funktionen gemeinsam mit Anwendungs- und Fachverantwortlichen, Identifikation von Doppelungen und Umsetzung einer One-Tool-Strategie im gesamten Konzern. Erfolgreiche Reduzierung eines Drittels der Anwendungen in der CMDB.
• Onboarding aller Konzernanwendungen in die konzernweite IAM-Lösung von One Identity sowie Betrieb und Weiterentwicklung der Lösung in Verbindung mit Segregation of Duties (SoD), rollenbasierter Zugriffskontrolle (RBAC) usw.

Aufbau Compliance-Abteilung & DORA-Operationalisierung

• Aufbau einer vollständigen Compliance-Organisation nach DORA
• Entwicklung und Operationalisierung der SfO
• Einsatz von KI-Agenten zur Automatisierung:
• Auswertung von Due-Diligence-Fragebögen inkl. Risikoeinstufung
• KI-gestützte Vertragsanalyse (DORA/MaRisk-Konformität)
• Monitoring externer Datenquellen (Cyber-Vorfälle, Newsfeeds)
• Aufbau eines dezentralen Risiko- und Maßnahmenregisters
• Erstellung von GAP-Analysen und Ableitung von Maßnahmen
• Aufbau und Pflege des Auslagerungs-Informationsregisters
• Nutzung eigener TPRM-Frameworks, Checklisten und Prozessmodelle

Aufbau Compliance-Abteilung & DORA-Operationalisierung

• Aufbau einer vollständigen Compliance-Organisation nach DORA
• Entwicklung und Operationalisierung der SfO
• Einsatz von KI-Agenten zur Automatisierung:
• Auswertung von Due-Diligence-Fragebögen inkl. Risikoeinstufung
• KI-gestützte Vertragsanalyse (DORA/MaRisk-Konformität)
• Monitoring externer Datenquellen (Cyber-Vorfälle, Newsfeeds)
• Aufbau eines dezentralen Risiko- und Maßnahmenregisters
• Erstellung von GAP-Analysen und Ableitung von Maßnahmen
• Aufbau und Pflege des Auslagerungs-Informationsregisters
• Nutzung eigener TPRM-Frameworks, Checklisten und Prozessmodelle
• Projektcontrolling - Darstellung und strukturierte Messung der erreichten Projektziele im Rahmen des Management Reportings.

• Erstellung einer vollständigen zweisprachigen (DE/EN) Sicherheits- und Notfalldokumentation: Business-Continuity-Plan / Disaster-Recovery-Plan, Incident-Response-Plan v2.0 mit vier fallspezifischen Playbooks (PICERL), Zugriffskontrollrichtlinie, Vulnerability-Management-Policy, Business-Resilience-Programm, Risk-Governance-Plan
• Konsolidierung zu einem integrierten Notfallhandbuch (12 Kapitel) mit Sofort-Checklisten für sechs Notfallszenarien, priorisierter Maßnahmentabelle und formaler Freigabestruktur
• Aufarbeitung eines Penetrationstest-Berichts (Greenbone) mit vollständiger Behebung aller Findings und formaler Risikoakzeptanz eines Restrisikos mit dokumentierter kompensierender Kontrolle
• Prüfung und Dokumentation der NIS2- und HinSchG-Anwendbarkeit einschließlich rechtlicher Begründung der Nicht-Betroffenheit

• Entwurf und Umsetzung des Konzeptes zur Bewertung von physischen Klimarisiken, Abbildung von Risiken gemäß LkSG
• Wirksame Kommunikation

• Inhalte auf verschiedenen Plattformen entwickelt und verwaltet, dabei Ton, Struktur und Stil an die Erwartungen der Zielgruppe und an redaktionelle Standards angepasst
• Gründliche Recherchen durchgeführt, um Genauigkeit, Relevanz und Übereinstimmung der Inhalte mit den Zielen des Kunden und fachlichen Anforderungen sicherzustellen
• Kundenmanuskripte und -entwürfe überarbeitet und verfeinert, um Klarheit, Erzählfluss, Kohärenz und Leserbindung zu verbessern
• Mehrere parallel laufende Content-Projekte verwaltet, Aufgaben priorisiert und enge Fristen eingehalten, dabei stets hohe Qualitätsstandards bewahrt
• Lektoratsunterstützung für verschiedene Publikationen ohne Nennung geleistet, um polierte, konsistente und druckfertige Manuskripte zu gewährleisten

Leitung des DORA-basierten Programms für operative Resilienz bei Jefferies durch Stärkung der ICT-Risikogovernance, des Kontroll-Designs und der regulatorischen Bereitschaft in zentralen Technologie- und Auslagerungsbereichen. Zusammenarbeit mit Führungskräften, um regulatorische Vorgaben in pragmatische Governance-, Reporting- und Prüfprozesse für ein globales Investmentbanking-Umfeld zu übersetzen.

• Entwickelte das Enterprise Register of Information (DORA Art. 28.3) zur Einhaltung regulatorischer Anforderungen.
• Definierte und implementierte ICT-Risikobereitschaft und Toleranzwerte im Einklang mit dem Global Operational Risk Framework und stärkte so die Entscheidungsfindung und Governance der Risikoakzeptanz.
• Steigerte die Prüfungsbereitschaft, indem über 50 IT- und Informationssicherheitsrichtlinien überprüft und neu formuliert wurden, was Klarheit, Verantwortlichkeiten und Kontrollausrichtung verbesserte.
• Beaufsichtigte das Programm zum Testen der operativen Resilienz (inklusive Penetrationstests) und verfolgte die Beseitigung von Schwachstellen bis zum Abschluss, wodurch die Kontrollsicherheit gestärkt und offene Befunde reduziert wurden.
• Brachte über 10 konzerninterne Vereinbarungen in Einklang mit den DORA-Regelstandards.
• Verbesserung der Entscheidungsfindung auf Führungsebene durch ein unternehmensweites ICT Risk Dashboard mit KPIs/KRIs.

Durchführung einer GAP-Analyse zur Bewertung bestehender Sicherheitsmaßnahmen → Identifikation kritischer Schwachstellen

Entwicklung eines Maßnahmenkatalogs unter Berücksichtigung von Risiko und Wirtschaftlichkeit

Einführung eines IT-Reifegradmodells nach BSI-Vorgaben

Beratung der Geschäftsleitung zu Compliance, Governance und Sicherheitsstrategie

Aufbau interner Prozesse zur nachhaltigen Sicherheitsorganisation

• Gestaltung von Prozessen zur Umsetzung regulatorischer Anforderungen an die IT (VAIT, BAIT, DORA, MaGo) sowie deren Etablierung in der IT-Organisation
• Überwachung der Durchführung dieser Prozesse, der Qualitätssicherung und Anpassung an neue Anforderungen
• Betreuung und Steuerung der Jahresabschlussprüfung hinsichtlich regulatorischer Anforderungen an die IT (PwC)
• ITK Governance
• Software Lifecycle Management
• Dokumentation und Steuerung des IDV-Entwicklungsprozesses
• Prozessunterstützung und Richtlinienerstellung beim Aufbau des Testmanagements hinsichtlich DORA und VAIT
• Richtlinienerstellung für IAM-Prozesse
• Werkzeuge/Applications: ServiceNow, Confluence, Jira, M365, Loop, Connect, Omada

• Einführung umfassender NIS-2-Compliance-Programme durch detaillierte Gap-Analysen gegenüber ISO 27001, Siemens-Richtlinien und -Kontrollen
• Entwicklung messbarer Erfolgskriterien für nachhaltige Compliance-Strukturen
• Analyse komplexer Lieferketten für systematische Bewertung von Drittanbieterrisiken

• Beratung zur Aufwandabschätzung VDA ISA / TISAX Zertifizierung
• Durchführung eines 2-tägigen Workshops zuzüglich Vor- und Nachbereitungen
• Skills: TISAX 5.1, ISO 27001:2022, Audit, Informationssicherheit, Beratung, Moderation, Präsentation

• Überprüfung der Baseline-Compliance anhand der MAS-Audit-Ergebnisse
• Erstellung eines technischen Architekturkonzepts für 30 Technologien zur Entwicklung von Hardening-Standardartefakten
• Identifizierung und Umsetzung von Automatisierungsmöglichkeiten für gegebene Technologien auf Basis von CIS
• Erstellung der Standard-Baseline-Konfiguration basierend auf internen Sicherheitsrichtlinien
• Verantwortlich für die Erstellung von Architekturartefakten für die Cloud Native Application Protection Platform (CNAPP) auf Basis der Azure-Cloud-Plattform
• Verantwortlich für RFQ und RFP für verschiedene CNAPP-Lösungen (Qualys Total Cloud, CrowdStrike, Azure Security Center)
• Unterstützung der Compliance-Prüfung und -Validierung mittels automatisierter Skripte für eine Stichprobe von IT-Geräten und Instanzen
• Verantwortlich für den gesamten Lifecycle des Schwachstellenmanagements mit Nexpose, Behebung, Reporting und Integration der Ergebnisse in Splunk, HPSM und Tableau
• Unterstützung bei Audits für MAS

• Implementierung von Richtlinien-Überwachungssystemen, Migrationsprojekten sowie Analyse und Umsetzung vertraglicher und regulatorischer Investmentrichtlinien.

• Migration von Fonds von MIG21 zu SimCorp Dimension, einschließlich Design, Test und Implementierung von Templates in FundDesigner und SimCorp.

• Nutzung des KI-gestützten Dakota-Programms in FundDesigner zur Analyse von Dokumenten und Umsetzung kundenspezifischer Änderungen.

• Aktive Zusammenarbeit mit funktionsübergreifenden, internationalen Teams zur Unterstützung laufender Projekte und Initiativen.

• Entwerfen, Testen und Verfeinern von KI-Prompts basierend auf Kundenanforderungen, um Genauigkeit und Konsistenz der Ausgaben zu regulatorischen und Investmentrichtlinien zu optimieren.

• Analyse von vom Kunden bereitgestellten Prompts und Quelldokumenten, Übersetzung komplexer Anforderungen in effektive Promptstrukturen und wiederverwendbare Vorlagen.

• Arbeit mit mehreren großen Sprachmodellen, die auf AWS gehostet werden, Bewertung des Modellverhaltens und der Outputqualität für Compliance-bezogene Anwendungsfälle.

• Koordination mit internationalen Teams zur Unterstützung grenzüberschreitender Investment-Compliance-Initiativen.

• Leitender Programm-Risikomanager in der globalen IT-CyberSecurity Initiative
• Strategische Beratung der Abteilungsausrichtung „Digital Compliance Management“
• Revision des Portfolio Managements (Demands & Projects) innerhalb des Bereiches
• Moderation der Requirements und Leitung der Digital Compliance- und Risk Assessments Projekte

• Spielte eine Schlüsselrolle bei der Entwicklung und Implementierung interner Compliance-Prozesse in Übereinstimmung mit Unternehmens- und Regulierungsstandards.
• Unterstützte die Implementierung des Compliance-Management-Systems (CMS) und interner Richtlinien, um die Einhaltung globaler Compliance-Rahmenwerke sicherzustellen.
• Führte Exportklassifikationen nach dem Harmonisierten System (HS) durch, einschließlich Dual-Use- und US-Exportverwaltungsvorschriften (EAR), um eine präzise und regelkonforme Handelsdokumentation sicherzustellen.
• Tätig als Zollkoordinator und überwachte die Export-Compliance sowie Zollprozesse, um reibungslose und rechtssichere internationale Transaktionen zu gewährleisten.
• Unterstützte bei DSGVO-bezogenen Datenschutzanforderungen, internen Risikobewertungen und Compliance-Berichtspflichten.
• Mitarbeit an internen Audits, regulatorischer Berichterstattung und Mitarbeiterschulungen, um eine starke Compliance-Kultur in der Organisation zu fördern.
• Leitete ein Projekt zur Ermöglichung konformer mobiler Arbeit im Ausland, steigerte die operative Flexibilität und minimierte Compliance-Risiken.
• Zusammenarbeit mit funktionsübergreifenden Teams (Recht, Betrieb, IT, Personal), um die Einhaltung von Corporate Governance und regulatorischen Anforderungen sicherzustellen.