Fachbeiträge & Kommentare zu Berichterstattung

Rz. 51 Das Notfallkonzept ist angemessen zu kommunizieren. Vor diesem Hintergrund bietet es sich an, den Inhalt des Notfallkonzeptes in den Organisationsrichtlinien zu verankern. Viele Institute haben für diese Zwecke allerdings auch separate Notfallhandbücher entwickelt, was ebenso möglich ist. Sofern in einem Institut mehrere Notfallpläne für verschiedene Zwecke existieren... mehr

Rz. 112 Angesichts der besonderen Merkmale von ESG-Risiken sollten die Institute ihre IT-Systeme anpassen, um die erforderlichen Daten systematisch erheben und aggregieren sowie beurteilen zu können, inwieweit sie diesen Risiken ausgesetzt sind. Außerdem sollten sich die Institute darüber Gedanken machen, wie die bestehenden Datenlücken in diesem Bereich geschlossen werden ... mehr

Rz. 12 Über jede Prüfung ist ein schriftlicher Prüfungsbericht zu erstellen, der den Vorstellungen des DIIR zufolge richtig, objektiv, prägnant, klar, konstruktiv und vollständig sein muss. Die Prüfungsberichte enthalten regelmäßig den Prüfungsauftrag und die Auftragsdurchführung (Prüfungsziel, Prüfungsumfang, Prüfungsteam, Prüfungszeitraum, Prüfungsort, Prüfungsanlass und ... mehr

Rz. 102 Nach § 25d Abs. 6 KWG muss das Aufsichtsorgan die Geschäftsleiter auch im Hinblick auf die Einhaltung der einschlägigen bankaufsichtsrechtlichen Regelungen überwachen. Es muss der Erörterung von Strategien, Risiken und Vergütungssystemen für Geschäftsleiter und Mitarbeiter ausreichend Zeit widmen. Das erfordert insbesondere, dass die Mitglieder des Aufsichtsorgans di... mehr

Rz. 108 Die Umschreibung "unter Risikogesichtspunkten wesentliche Informationen" ist wie andere Begriffe der MaRisk unbestimmt (→ AT 1 Tz. 4). Das Institut hat demnach in eigenem Ermessen festzulegen, welche Informationen aus seiner Sicht unter Risikogesichtspunkten als wesentlich zu qualifizieren sind. Zwei Indizien sprechen dafür, dass es sich um besonders bedeutsame Ereig... mehr

Rz. 443 Der zentrale Auslagerungsbeauftragte bzw. das zentrale Auslagerungsmanagement haben mindestens jährlich einen Bericht über die wesentlichen Auslagerungen zu erstellen und der Geschäftsleitung zur Verfügung zu stellen. Der Bericht soll eine Aussage darüber treffen, ob die erbrachten Dienstleistungen der Auslagerungsunternehmen den vertraglichen Vereinbarungen entsprech... mehr

Rz. 48 Das Aufsichtsorgan spielt auch in den MaRisk eine wichtige Rolle. Allerdings sind die Anforderungen in erster Linie an die Geschäftsleitung des Institutes und nicht etwa unmittelbar an das Aufsichtsorgan selbst gerichtet. Nach den MaRisk wird die Geschäftsleitung dazu verpflichtet, "eine angemessene Einbindung des Aufsichtsorgans" sicherzustellen, damit dieses seine Ü... mehr

Rz. 116 Die Geschäftsleitung ist für die Einhaltung der allgemeinen Compliance im Sinne einer ordnungsgemäßen Geschäftsorganisation nach § 25a Abs. 1 KWG zuständig. Daher wird auch die Berichterstattung an das Aufsichtsorgan regelmäßig durch die Geschäftsleitung erfolgen. Unabhängig davon sind die Berichte des Compliance-Beauftragten an das Aufsichtsorgan und die Interne Rev... mehr

Rz. 54 Diese ursprünglich in AT 4.3.2 Tz. 6 enthaltene Anforderung hat die deutsche Aufsicht im Zuge der fünften MaRisk-Novelle fast wortgleich hierher überführt. Geändert wurde lediglich, dass die Berichterstattung an das Aufsichtsorgan "mindestens" vierteljährlich zu erfolgen hat. Damit wird ein zeitlicher Gleichklang zur turnusmäßigen Vorlage des Gesamtrisikoberichtes der... mehr

Hinweis zur Benutzung des Literaturverzeichnisses: Sofern es sich bei den Autoren bzw. Herausgebern um Organisationen handelt, sind die aufgeführten Werke i. d. R. auf der Internetseite der jeweiligen Organisation verfügbar. Achtelik, Olaf, in: Herzog, Felix (Hrsg.), Geldwäschegesetz, 5. Auflage, München, 2023, § 24c KWG, § 25h KWG und § 6 GwG. ACI Deutschland e. V. – Arbeitsg... mehr

Rz. 109 Im Rahmen der internen Risikoberichterstattung sollte auch angemessen auf die Auswirkungen von ESG-Risiken eingegangen werden, sofern über sie nicht schon als Teil anderer Risikoarten berichtet wird (→ BT 3.2 Tz. 1, Erläuterung). Davon ist zunächst auszugehen, da sie als Risikotreiber auf die anderen Risikoarten einwirken (→ AT 2.2 Tz. 1, Erläuterung). Von den Instit... mehr

Rz. 112 Unter Maßnahmen sind Handlungen zu verstehen, die darauf abzielen, sich abzeichnende oder eingetretene negative Entwicklungen abzuwenden bzw. in ihrer Wirkung einzudämmen. Als mögliche Maßnahmen kommen z. B. die Abwicklung bestimmter Kreditnehmer, die Aufstockung des Risikodeckungspotenzials oder strategische Neuausrichtungen in Betracht. Dem Institut steht es darübe... mehr

Rz. 47 Die allgemeine Zuständigkeit der Risikocontrolling-Funktion für die unabhängige Kommunikation der Risiken (→ AT 4.4.1 Tz. 1) wird an dieser Stelle gleich in zweifacher Hinsicht konkretisiert. So ist sie einerseits für die regelmäßige Erstellung der Risikoberichte an die Geschäftsleitung zuständig. Andererseits trägt sie die Verantwortung für die Prozesse zur unverzügl... mehr

Rz. 8 An die Berichterstattung über "wesentliche" und "schwerwiegende" Mängel werden also besondere Anforderungen gestellt. Der Abstufung der Mängel kommt insofern eine wichtige Bedeutung zu. Die deutsche Aufsicht hat daher entsprechende Hinweise gegeben. In den MaRisk wird für die Zwecke der Revisionstätigkeit zwischen "wesentlichen", "schwerwiegenden" und "besonders schwer... mehr

Rz. 149 Die Institute sollten in der Lage sein, aggregierte Risikodaten zu generieren, um eine große Bandbreite an Ad-hoc-Anfragen an die Risikoberichterstattung bearbeiten zu können, wie z. B. Anfragen in Stressphasen (→ AT 4.3.4 Tz. 5), Anfragen im Zusammenhang mit geänderten internen Anforderungen sowie Anfragen der Aufsicht. Darüber hinaus können auch Anfragen der Wirtsc... mehr

Rz. 111 Die zuständigen Geschäftsleiter sollten zumindest bei bedeutenden Engagements regelmäßig über den Stand der Sanierung informiert werden. Die Informationspflicht betrifft also nicht alle Sanierungsengagements, sondern lediglich die "bedeutenden" Fälle. Sie richtet sich ferner nur an jene Geschäftsleiter, die aufgrund ihrer Ressortverantwortung in den Entwicklungsproz... mehr

Rz. 114 Neben der allgemeinen Ad-hoc-Berichterstattung existieren in den MaRisk noch weitere besondere Informationspflichten gegenüber der Geschäftsleitung bzw. einzelnen Geschäftsleitern. Bei diesen Berichtspflichten wird ebenfalls das Erfordernis der Unverzüglichkeit betont: Ein erheblicher Risikovorsorgebedarf ist der Geschäftsleitung unverzüglich mitzuteilen (→ BTO 1.2.6 ... mehr

Berichterstattung für das Handelsbuch Nach BTR 2.2 Tz. 3 der MaRisk ist der für das Risikocontrolling zuständige Geschäftsleiter täglich über die Risikopositionen im Handelsbuch zu unterrichten. Bei Nicht-Handelsbuchinstituten mit unter Risikogesichtspunkten überschaubaren Positionen im Handelsbuch ist an die tägliche Berichterstattung regelmäßig kein nennenswerter Informatio... mehr

Rz. 33 Die Institute müssen täglich ein Ergebnis für das Handelsbuch ermitteln, womit in erster Linie das vom Risikocontrolling ermittelte betriebswirtschaftliche Ergebnis gemeint ist. Die bestehenden Risikopositionen sind dabei zu Gesamtrisikopositionen zusammenzufassen. Zusammengefasst wird jeweils die Gesamtheit der Positionen, die demselben Marktpreisrisiko unterliegen b... mehr

Rz. 97 Die Geschäftsleitung hat sich "in angemessenen Abständen" über die Geschäftslage und die Risikosituation einschließlich vorhandener Risikokonzentrationen berichten zu lassen, wobei die Einzelheiten zu Art, Umfang und Turnus der Berichterstattung seit der fünften MaRisk-Novelle an zentraler Stelle in BT 3 geregelt sind. Demnach hat sich die Geschäftsleitung "regelmäßig... mehr

Rz. 107 Der BCBS, dessen Empfehlungen sich grundsätzlich an große, international tätige Institute richten, betont die Bedeutung einer soliden internen Governance für ein effektives Management der operationellen Risiken. In diesem Zusammenhang äußert sich der BCBS auch zum Modell der drei Verteidigungslinien. Die Institute sollten insbesondere sicherstellen, dass die Funktion... mehr

Rz. 59 Die Senior Supervisors Group hat in ihrem Bericht aus dem Jahr 2010 eine wichtige Forderung aufgestellt: Die IT-Strategie muss essenzieller Teil der Geschäftsstrategie sein.[1] Die deutsche Aufsicht erwartet somit, dass die notwendigen Anforderungen an die digitale Transformation auf geschäftspolitischen Grundlagen basieren und strategisch verankert werden.[2] Um eine... mehr

Rz. 93 Den Anforderungen des Moduls 3 der BAIT zufolge sollen die Institute beim IT-Risikomanagement vor allem auf den Schutzbedarf für die Bestandteile ihres festgelegten Informationsverbundes abstellen. Dabei sollten deren Abhängigkeiten und Schnittstellen einbezogen werden, um die Vernetzung des Informationsverbundes mit Dritten zu berücksichtigen. Auf dieser Basis müssen... mehr

Rz. 1 Das Informationssicherheitsmanagement macht Vorgaben zur Informationssicherheit, definiert Prozesse und steuert deren Umsetzung (vgl. AT 7.2 Tz. 2 MaRisk). Das Informationssicherheitsmanagement folgt einem fortlaufenden Prozess, der die Phasen Planung, Umsetzung, Erfolgskontrolle sowie Optimierung und Verbesserung umfasst. Die inhaltlichen Berichtspflichten des Informa... mehr

Rz. 35 Der wechselseitige Austausch von Informationen ist eine wichtige Voraussetzung für ein funktionierendes Risikomanagement. Für diese Zwecke sind Kommunikationswege zu definieren, durch die der Austausch von Informationen erst möglich wird. Bestehen z. B. hinsichtlich der regelmäßigen Berichterstattung über die Risikosituation an die Geschäftsleitung (→ AT 4.3.2 Tz. 3 u... mehr

Rz. 2 Die Begrenzung und Überwachung von im Risikotragfähigkeitskonzept einbezogenen Risiken erfolgt i. d. R., soweit sinnvoll, auf Basis eines wirksamen Limitsystems (→ AT 4.3.2 Tz. 1, Erläuterung). Zu den wesentlichen Risiken, die regelmäßig im Risikotragfähigkeitskonzept berücksichtigt werden, gehören in erster Linie die Adressenausfallrisiken und die Marktpreisrisiken. U... mehr

Rz. 55 Die Berichterstattung über ESG-Risiken bildet die Basis für deren kontinuierliche Überwachung unter Verwendung von Kennzahlen wie dem Prozentsatz der Transaktionen, die auf ESG-Aspekte überprüft wurden, sowie von Tools, Modellen und Daten. Dafür scheinen geeignete Berichtsrahmen, die durch die zugrunde liegenden IT-Systeme erweitert und unterstützt werden, unerlässlic... mehr

Rz. 40 Trotz der positiven Entwicklung beim Abbau der Bestände an notleidenden Krediten in den letzten Jahren sieht die Aufsicht weiterhin Handlungsbedarf, um insbesondere vor dem Hintergrund der aktuellen wirtschaftlichen Lage ein erneutes Anwachsen des NPL-Bestandes abzumildern und negative Konsequenzen für die Institute zu verhindern. Demzufolge haben die EBA und die EZB ... mehr

Rz. 39 In Bezug auf den in die Berichterstattung einzubeziehenden Umfang der vergebenen Limite und externen Linien ist in Fachkreisen diskutiert worden, ob hierzu auch sogenannte "interne Vorratslinien" zählen. Derartige Vorratslinien fokussieren nicht auf den aktuellen Kapitalbedarf des Kunden, sondern auf seine Bonität sowie seine kurz-, mittel- und langfristige Kapitaldi... mehr

Rz. 30 An die Inanspruchnahme der Alternativen sind verschiedene Voraussetzungen geknüpft. So hat die "anderweitig durchgeführte Revisionstätigkeit" den einschlägigen Anforderungen der MaRisk zu genügen (→ AT 4.4.3 und BT 2). Damit wird insbesondere klargestellt, dass eine Auslagerung der Aufgaben der Internen Revision grundsätzlich keine Aufweichung der damit verbundenen Mi... mehr

Rz. 25 Um zu prüfen, ob die Risikoberichte genau sind und die Risiken akkurat wiedergeben werden, sollten die Risikoberichte mit den Risikodaten in geeigneter Weise abgeglichen werden. Der BCBS setzt dafür entsprechende automatisierte und manuelle Änderungs- sowie Plausibilitätsprüfungen mit zugehörigen Validierungsregeln voraus. Dazu gehört auch der Umgang mit Datenfehlern ... mehr

Rz. 1 Die Risikocontrolling-Funktion erstellt regelmäßig, mindestens vierteljährlich, einen Gesamtrisikobericht zu den wesentlichen Risikoarten und legt diesen der Geschäftsleitung vor. Je nach Risikoart und Marktentwicklung kann auch eine häufigere Berichterstattung (z. B. täglich) erforderlich sein. Von den Instituten wird erwartet, dass sie in Stressphasen des eigenen Inst... mehr

Rz. 109 Die unter Risikogesichtspunkten wesentlichen Informationen sind unverzüglich an die Empfänger weiterzuleiten. Durch die Wahl des Begriffes "unverzüglich" wird klargestellt, dass die Berichterstattung "ohne schuldhaftes Zögern" erfolgen muss. Ein bewusstes Zurückhalten der Informationen ist daher nicht statthaft und liegt auch kaum im Interesse des Institutes, da in d... mehr

Rz. 163 In der Praxis stellen die Anforderungen an eine Festlegung von Verantwortlichkeiten große Herausforderungen für die Institute dar. Die EZB hat im Rahmen ihres Thematic Reviews festgestellt, dass die mangelhafte Zuordnung von Verantwortlichkeiten auf verschiedenen Ebenen bis einschließlich der Geschäftsleitung oftmals Ursache für eine mangelhafte Umsetzung der Grundsä... mehr

Rz. 24 Die Risikoberichterstattung an die Geschäftsleitung enthält also eine Fülle von Informationen. Zudem hat sie neben einer (quantitativen) Darstellung auch eine (qualitative) Beurteilung der Geschäftslage und der Risikosituation zu enthalten, um nachvollziehbar und aussagefähig zu sein (→ BT 3.1 Tz. 1). Um der Geschäftsleitung einen Überblick über die wesentlichen Erken... mehr

Rz. 304 Die für den ILAAP verwendeten Strategien, Grundsätze, Verfahren und Systeme, mit denen das Liquiditätsrisiko über eine angemessene Auswahl von Zeiträumen ermittelt, gemessen, gesteuert und überwacht wird, müssen nach Art. 86 Abs. 1 CRD IV auch in Anbetracht von Geschäftsfeldern, Währungen, Zweigniederlassungen und Rechtssubjekten angemessen ausgestaltet sein. Möglich... mehr

Rz. 154 Ein angemessenes und wirksames Risikomanagement ist auch auf Gruppenebene sicherzustellen. Verantwortlich hierfür sind nach § 25a Abs. 3 KWG die Geschäftsleiter des jeweils übergeordneten Unternehmens der Gruppe.[1] Wie auf der Institutsebene erstreckt sich das gruppenbezogene Risikomanagement insbesondere auf die Aspekte Strategien, Risikotragfähigkeit, internes Kon... mehr

Rz. 34 Aus dem Umstand, dass die Interne Revision als Instrument der Geschäftsleitung agiert, ergibt sich grundsätzlich auch deren unmittelbare Anbindung an die Geschäftsleitung, z. B. in Form einer Stabsstelle. Dass diese organisatorische Anbindung eine direkte Berichtspflicht nach sich zieht, ist ebenfalls einsichtig und bedarf im Grunde keiner besonderen Erwähnung. Im Ein... mehr

Rz. 98 Im Zusammenhang mit dem Management der operationellen Risiken (→ BTR 4) wird von der EBA eine Reihe von Unterkategorien genannt, die von den Instituten im Risikomanagement und den zuständigen Behörden beim SREP zu berücksichtigen sind. Dazu gehören u. a. auch Auslagerungsrisiken sowie Informations- und Kommunikationstechnologie-Risiken (IKT-Risiken). Das "IKT-Auslager... mehr

Rz. 26 Die Risikoberichte müssen auch eine zukunftsorientierte Risikoeinschätzung abgeben und sich nicht ausschließlich auf aktuelle und historische Daten stützen. Damit wird dem Umstand Rechnung getragen, dass Krisensituationen häufig andere Ursachen haben, als dies aus den vergangenheitsbasierten Datenbanken ablesbar ist. Die Erfahrungen aus der Vergangenheit sollten also ... mehr

Rz. 33 Die Interne Revision hat vierteljährlich einen Quartalsbericht über die von ihr seit dem Stichtag des letzten Quartalsberichtes durchgeführten Prüfungen zu erstellen. Empfänger des Quartalsberichtes sind die Geschäftsleitung und das Aufsichtsorgan. Der Bericht hat die folgenden Informationen zu enthalten: die festgestellten wesentlichen oder höher eingestuften Mängel, d... mehr

Rz. 121 Mit dem CRD IV-Umsetzungsgesetz wurde ergänzt, dass eine ordnungsgemäße Geschäftsorganisation gemäß § 25a Abs. 1 Satz 6 Nr. 3 KWG auch einen Prozess umfasst, der es den Mitarbeitern unter Wahrung der Vertraulichkeit ihrer Identität ermöglicht, Verstöße gegen die CRR, die Marktmissbrauchsverordnung [1], die Verordnung über Märkte für Finanzinstrumente ("Markets in Fina... mehr

Rz. 383 Bei wesentlichen Auslagerungen ist die Leistung des Auslagerungsunternehmens laufend anhand vorzuhaltender Kriterien (z. B. "Key Performance Indicators", "Key Risk Indicators") und vertraglich vereinbarter Informationen des Auslagerungsunternehmens zu überwachen. Die Qualität der erbrachten Leistungen ist regelmäßig zu beurteilen. Durch diese Anforderung wird zunäch... mehr

Rz. 64 Hinsichtlich der Information des Aufsichtsorgans über die Strategien kann ein dafür gebildeter Ausschuss eingeschaltet werden (→ AT 4.2 Tz. 6, Erläuterung). Es erscheint naheliegend, mit der Risikoberichterstattung in ähnlicher Weise zu verfahren, zumal sich diese u. a. mit der möglichen Abweichung von den Strategien beschäftigt. Adressat der Risikoberichterstattung ... mehr

Rz. 50 Mit der sechsten MaRisk-Novelle wurde für "Institute mit hohem NPL-Bestand" (→ AT 2.1 Tz. 1) die Anforderung ergänzt, eine Strategie für notleidende Risikopositionen und einen entsprechenden Implementierungsplan festzulegen und regelmäßig zu überprüfen (→ AT 4.2 Tz. 1). Dabei geht es insgesamt um eine Reduzierung des hohen NPL-Bestandes auf ein vorab festgelegtes NPE... mehr

Rz. 245 Im Ergebnis der bisherigen Schritte hat ein Institut also für seine Portfolios mit hohem NPL-Bestand, die in Abhängigkeit vom Geschäftsmodell nach individuellen Kriterien unterschieden werden können, kurz- bis mittelfristige NPE-Ziele und dafür geeignete Maßnahmen festgelegt. Im nächsten Schritt geht es folglich darum, wie diese Maßnahmen konkret umgesetzt werden sol... mehr

Rn. 215 Stand: EL 191 – ET: 08/2026 Ein gesetzlich fixiertes Berufsbild fehlt ebenso wie eine die Berufsbezeichnung regelnde Vorschrift. Deshalb spielt eine bestimmte Vorbildung (Hochschulstudium, Journalistenschule) nur eine unterstützende Rolle als positives Beweisanzeichen (BFH BStBl II 2015, 217). Die im Folgenden wiedergegebene Rspr stellt konsequenterweise allein auf da... mehr

Rz. 63 Gemäß Tz. 2.2 BAIT ist die Geschäftsleitung dafür verantwortlich, dass auf Basis der IT-Strategie die Regelungen zur IT-Aufbau- und IT-Ablauforganisation festgelegt und bei Veränderungen der Aktivitäten und Prozesse zeitnah angepasst werden. Es ist sicherzustellen, dass diese Regelungen wirksam umgesetzt werden. Rz. 64 Laut Tz. 4.4 BAIT hat die Geschäftsleitung die Fun... mehr

Rz. 200 In allen genannten Varianten der Berichterstattung geht es letztlich darum, auf Schwachstellen hinzuweisen, um frühzeitig geeignete Maßnahmen zur Beseitigung der Ursachen zu treffen, angemessene Risikosteuerungsmaßnahmen zu ergreifen oder Prüfungshandlungen durch die Interne Revision einzuleiten. Auf diese Weise kann vom Institut weiterer Schaden abgewendet werden. D... mehr

a) Gesamtverantwortung der Geschäftsleitung Gemäß AT 3 Tz. 1 sind alle Geschäftsleiter für die ordnungsgemäße Geschäftsorganisation und deren Weiterentwicklung verantwortlich. Diese Verantwortung umfasst alle wesentlichen Elemente des Risikomanagements. Die Geschäftsleiter werden dieser Verantwortung nur gerecht, wenn sie die Risiken beurteilen können und die erforderlichen M... mehr