Fachbeiträge & Kommentare zu Berichterstattung

Rz. 14 Mitarbeiter der Internen Revision dürfen nach den MaRisk grundsätzlich nur für die Interne Revision tätig werden. In der Praxis ist eine solch strikte Aufgabenzuweisung allerdings kaum umsetzbar und auch nicht in jedem Fall sinnvoll. Das Fachwissen und die Erfahrung der Internen Revision müssen – wie bei der Projektbegleitung (→ BT 2.1 Tz. 2) – im Interesse des Instit... mehr

Rz. 56 Über "Basel III"[1] wurden Mitte 2013 auch in der Bankenverordnung neue Vorgaben zum Liquiditätsmanagement ergänzt, die zum Teil auf die zweite Säule ausstrahlen. Gemäß der Anforderung an die Liquiditätsdeckungsquote ("Liquidity Coverage Ratio", LCR) nach Art. 412 Abs. 1 CRR müssen die Institute über liquide Aktiva (Liquiditätspuffer) verfügen, deren Gesamtwert die Li... mehr

Die Diskussionen während der Konsultation bezüglich des neuen Untermoduls AT 4.4.2 haben gezeigt, dass in der Praxis noch viel Unsicherheit hinsichtlich der aufsichtlichen Erwartungshaltung herrscht. Dies betrifft sowohl den Umfang der rechtlichen Regelungen und Vorgaben, die diese Funktion im Fokus haben soll, als auch die organisatorische Einordnung und den konkreten Aufga... mehr

Rz. 85 Die Integration der Leitplanken aus dem BaFin-Merkblatt zum Umgang mit Nachhaltigkeitsrisiken[1], das die Aufsicht als Kompendium unverbindlicher Verfahrensweisen ("Good-Practice-Ansätze") versteht, kann als Einstieg in die prüfungsrelevante Behandlung dieses Themenfeldes betrachtet werden. Einbezogen wurden dabei auch die relevanten Anforderungen aus den EBA-Leitlini... mehr

Rz. 171 Auf Basis der festgelegten "Risikokriterien" ist eine "Risikoanalyse" durchzuführen. Diese Risiko­analyse umfasst neben dem Soll-Ist-Vergleich die Analyse der möglichen Bedrohungen, das ­Schadenspotenzial, die Schadenshäufigkeit sowie den Risikoappetit des Institutes. Sonstige risiko­reduzierende Maßnahmen können auch in die Risikoanalyse einfließen. Laut Tz. 3.9 BAI... mehr

Rz. 18 Ein Institut sollte über einen ganzheitlichen institutsweiten Rahmen für das Risikomanagement ("Risk Management Framework", RMF) verfügen, der sich auf alle Geschäftsbereiche und internen Einheiten, einschließlich der internen Kontrollfunktionen, erstreckt und dem ökonomischen Gehalt aller Risikopositionen voll und ganz Rechnung trägt. Der RMF sollte das Institut in d... mehr

Rz. 30 Die interne Governance und das Risikomanagement eines Institutes haben einen erheblichen Einfluss auf sein Gesamtrisikoprofil und die Tragfähigkeit seines Geschäftsmodells. Die EZB konzentriert sich im Rahmen des SREP deshalb insbesondere auf die Solidität der Geschäftsmodelle und die Rentabilität des Bankensektors in einem Umfeld, in dem die Institute mit wirtschaftl... mehr

Rz. 344 Im Jahr 2012 wurde von der G20 für Maßnahmen gegen den Klimawandel erstmals der Begriff "Climate Finance" geprägt und eine eigene Studiengruppe mit diesem Namen gegründet. Im Oktober 2015 hat das UNEP in einem Bericht erläutert, in welcher Weise das Finanzsystem mit dem Nachhaltigkeitsbemühen in Einklang gebracht werden sollte.[1] Schließlich ist im Jahr 2016 von der... mehr

Rz. 90 Wie in der Einführung zu diesem Modul bereits ausgeführt, hat der Baseler Ausschuss für Bankenaufsicht (BCBS) im Dezember 2010 unter dem Stichwort "Basel III" Standards für quantitative Mindestanforderungen an die Liquiditätsausstattung international tätiger Institute veröffentlicht, die auf verschiedenen Kennziffern basieren.[1] Diese Standards wurden in Europa in Ar... mehr

Die organisatorische Einbindung der Compliance-Funktion wirft bei den Teilnehmern eine Reihe von Fragen auf, auf die die BaFin im Folgenden weiter eingeht. In der aufsichtlichen Praxis existieren bereits Vorgaben zur aufbauorganisatorischen Einbindung von Compliance-Einheiten (z. B. nach WpHG/MaComp). Daher scheint es sowohl aus institutsinterner als auch aufsichtlicher Pers... mehr

Rz. 79 In der ursprünglichen Fassung der MaRisk war bereits bei der Risikoanalyse der Grundsatz verankert, dass sich die Anforderungen des Rundschreibens auf das Management der für das Institut wesentlichen Risiken "sowie damit verbundener Risikokonzentrationen" beziehen (→ AT 2.2 Tz. 1). Im Rahmen der zweiten MaRisk-Novelle wurde dieser Grundsatz um die zitierte Passage gek... mehr

Rz. 256 Das Institut hat für die Dokumentation, Steuerung und Überwachung wesentlicher Auslagerungen grundsätzlich klare Verantwortlichkeiten festzulegen. Erfolgt eine vollständige Auslagerung der Risikocontrolling-Funktion, der Compliance-Funktion oder der Internen Revision, hat die Geschäftsleitung einen Beauftragten zu benennen, der eine ordnungsgemäße Durchführung der je... mehr

Rz. 44 Aus der generellen Verantwortung der Risikocontrolling-Funktion für die unabhängige Überwachung der Risiken (→ AT 4.4.1 Tz. 1) ergibt sich auf natürliche Weise auch ihre Zuständigkeit für die laufende Überwachung der Risikosituation des Institutes und der Risikotragfähigkeit sowie der Einhaltung der eingerichteten Risikolimite. Die Kreditwirtschaft hatte vorgeschlagen... mehr

Rz. 358 Mit der zunehmenden Bedeutung der "Nachhaltigkeitsrisiken" bzw. "ESG-Risiken" (→ AT 2.2 Tz. 1) ist die Beantwortung der Frage dringlicher geworden, auf welche Weise diese Risiken sinnvoll in das interne Risikomanagement der Institute integriert werden können. Als problematisch hat sich schnell erwiesen, dass mit dieser Risikoart ein anderes Wesentlichkeitsverständnis... mehr

Rz. 34 Unter "ESG-Faktoren" werden Aspekte aus den Bereichen Umwelt, Soziales und Unternehmensführung ("Environmental, Social and Governance", ESG) verstanden, die sich positiv oder negativ auf die finanzielle Leistung oder Solvenz eines Unternehmens, Staates oder einer Person auswirken können. Insofern können ESG-Faktoren auch bei der Bewertung von Chancen und Risiken für f... mehr

Rz. 203 Basierend auf geeigneten Risikoindikatoren für ESG-Risiken, die von der Aufsicht als quantitative Vorgabe betrachtet werden, sind bei der Festlegung des Risikoappetits ebenfalls die Auswirkungen von ESG-Risiken explizit zu berücksichtigen (→ AT 4.2 Tz. 2, Erläuterung). Die BaFin hat die Festlegung von geeigneten Risikoindikatoren unter Berücksichtigung der Risikotrag... mehr

Rz. 230 Die prominenteste Schwester der MaRisk für Banken und Finanzdienstleistungsinstitute waren die im Januar 2009 von der BaFin veröffentlichten "Mindestanforderungen an das Risikomanagement von Versicherungsunternehmen" (MaRisk VA).[1] Die MaRisk VA gaben auf der Basis des damaligen § 64a des Gesetzes über die Beaufsichtigung der Versicherungsunternehmen (VAG) einen Rah... mehr

Rn. 223 Stand: EL 191 – ET: 08/2026 Auch für diese Tätigkeit besteht kein fixiertes Berufsbild. Nach der Rspr des BFH ist der Bildberichterstatter nach Aufgabe und Tätigkeit Journalist, der an der Gestaltung des geistigen Inhalts publizistischer Medien mitwirkt, und zwar im Wege der Nachrichtenübermittlung und/oder -vertiefung durch Bilder und/oder Filme. Danach erhält die Tä... mehr

Mit der nun eingeläuteten MaRisk-Überarbeitung sollen insbesondere die Inhalte des Baseler Papiers BCBS 239 zur Risikodatenaggregation und zur Risikoberichterstattung in die Aufsichts­praxis übernommen werden. Erklärtes Ziel ist es, die IT-Infrastruktur der großen, systemrelevanten Institute dahingehend zu verbessern, dass eine umfassende, genaue und zeitnahe Aggregation der... mehr

Rz. 104 Die Konzernrevision ist – entsprechend der Anforderung auf Ebene des einzelnen Institutes – ein "Instrument" der Geschäftsleitung des übergeordneten Unternehmens. Die Konzernrevision hat im Rahmen des Risikomanagements der Gruppe ergänzend zur Internen Revision der gruppenangehörigen Unternehmen tätig zu werden. Sie kann dabei auf die Prüfungsergebnisse der Revisione... mehr

[…] vielen Dank für Ihr Schreiben zum Thema "Leitung der Risikocontrolling-Funktion" (AT 4.4.1 Tz. 4 MaRisk). Sie bitten mich darin um Klarstellung, inwieweit die exklusive Wahrnehmung der Leitung der Risikocontrolling-Funktion auf Geschäftsleiterebene mit der gleichzeitigen Zuständigkeit für den Bereich Marktfolge im Einklang steht. Ferner bitten Sie um eine Stellungnahme, o... mehr

Rz. 110 Die Institute sollten den Zeithorizont des Stresstests im Einklang mit dem Ziel der Übung, den Merkmalen des untersuchten Portfolios, wie z. B. der Laufzeit der gestressten Positionen, und ggf. dem Risikoprofil festlegen.[1] ICAAP- und ILAAP-Stresstests sollten denselben vorausschauenden Zeithorizont abdecken wie der ICAAP bzw. der ILAAP des Institutes und mindestens... mehr

Rz. 9 Die Bankenaufsicht muss ebenfalls ihre Lehren aus den jeweils relevanten Ereignissen der Vergangenheit ziehen. Um den grenzüberschreitenden Aktivitäten vieler Institute gerecht zu werden, muss auch die Zusammenarbeit der Aufsichtsbehörden weiter vorangetrieben werden. Ferner werden seit einigen Jahren makroökonomische Entwicklungen bei der Beaufsichtigung der Institute... mehr

Rz. 19 An dieser Stelle wird mit Blick auf den Wortlaut von § 25a Abs. 1 Satz 3 Nr. 3 KWG lediglich zum Ausdruck gebracht, dass alle Institute über die wesentlichen Komponenten des internen Kontrollsystems verfügen müssen, d. h. über aufbau- und ablauforganisatorische Regelungen mit klarer Abgrenzung der Verantwortungsbereiche (→ AT 4.3.1), Risikosteuerungs- und -controllingpr... mehr

Rz. 17 Auf Basis der geschilderten Analysetätigkeiten erfolgt eine Zuordnung der Prüfungsobjekte zu bestimmten Bewertungsstufen (Priorisierung). Diese Zuordnung kann wiederum auf verschiedenen Verfahren basieren, die von der einfachen qualitativen Einschätzung bis hin zu komplexen mathematischen Verfahren reichen. In der Praxis hat es sich als sinnvoll erwiesen, die Zahl der... mehr

Rz. 112 Kontrahentenrisiken bestehen grundsätzlich bei allen Handelsgeschäften, insbesondere aber bei Termingeschäften, bei denen die Vertragsbedingungen zwar am Abschlusstag festgelegt werden, die Vertragserfüllung aber erst zu einem späteren Termin erfolgt, und bei schwebenden (noch nicht vollständig erfüllten) Kassageschäften. Die deutsche Aufsicht weist auf besondere Ris... mehr

Rz. 69 Auch wenn in erster Linie das auslagernde Institut der Adressat bankaufsichtlicher Maßnahmen ist, wurden im Zuge des Finanzmarktintegritätsstärkungsgesetzes (FISG) die Befugnisse der BaFin bei wesentlichen Auslagerungen dahingehend erweitert, dass diese nunmehr unter bestimmten Bedingungen auch unmittelbar gegenüber dem Auslagerungsunternehmen Anordnungen treffen kann... mehr

Rz. 19 Die Übertragung von einzelnen Tätigkeiten der Internen Revision auf externe Personen oder gar deren vollständige Auslagerung kommt unter Berücksichtigung bestimmter Voraussetzungen grundsätzlich für alle Institute in Betracht (→ AT 9 Tz. 4, 5 und 10). Die Übernahme der Aufgaben der Internen Revision durch einen Geschäftsleiter ist hingegen nur Instituten gestattet, be... mehr

Rz. 92 Die Risikocontrolling-Funktion sollte bei der Erfüllung ihrer Aufgaben auch die ESG-Risiken berücksichtigen. Insbesondere sollte sie der Geschäftsleitung vollumfänglich über Art und Umfang der erheblichen ESG-Risiken Bericht erstatten.[1] Diese Vorgaben aus dem Merkblatt der BaFin sind mit der siebten MaRisk-Novelle ergänzt worden. So muss die Risikocontrolling-Funkti... mehr

Rz. 69 Die Compliance-Funktion kann zur Erfüllung ihrer Aufgaben auf andere Funktionen und Stellen zurückgreifen. Diese Möglichkeit ist in den MaRisk nicht weiter eingeschränkt worden. Insofern ist es grundsätzlich möglich, dass die Compliance-Funktion bei der Planung und Durchführung ihrer Kontrolltätigkeit die Prüfungsplanung und Berichterstattung der Internen Revision ber... mehr

Rz. 88 Die Aufsicht schreibt den Instituten keine bestimmte Risikokultur vor.[1] Die individuelle Risikokultur eines Institutes ist vielmehr abhängig von seinem Geschäftsmodell, den Produkten und Märkten sowie den damit verbundenen Risiken, der Kundenstruktur, der (inter-)nationalen oder regionalen Ausrichtung, der Eigentümerstruktur sowie einer möglichen Gruppen- oder Verbu... mehr

Mit dem neuen Modul AT 4.3.4 werden die Anforderungen an die Datenaggregation näher spezifiziert. Mit diesen neuen Anforderungen soll sichergestellt werden, dass entscheidungsrelevante Risikoinformationen schnell die verantwortlichen Entscheidungsträger erreichen und auf möglichst vollständigen, genauen und zeitnah vorliegenden Daten basieren. Das neu eingeführte Modul AT 4.3... mehr

Rz. 41 Die physischen Risiken, die sich z. B. bei extremen Wetterereignissen in einer vernichteten Ernte niederschlagen können, wirken beim Marktpreisrisiko direkt über den Preis. Eine allgemeine Verschlechterung der klimatischen Verhältnisse kann sich wiederum negativ auf das Wirtschaftswachstum, die Arbeitslosen-/Beschäftigtenquote, die Inflationsrate und andere makroökono... mehr

Rz. 1 Die Institute müssen angemessene Prozesse zur Identifizierung, Beurteilung, Steuerung sowie Überwachung und Kommunikation der wesentlichen Risiken und der damit verbundenen Risikokonzentrationen (Risikosteuerungs- und -controllingprozesse) einrichten (→ AT 4.3.2 Tz. 1). Die letzten Prozessschritte der "Überwachung und Kommunikation" der wesentlichen Risiken werden häuf... mehr

Rz. 282 Die Grundsätze des Baseler Ausschusses für Bankenaufsicht für die effektive Aggregation von Risikodaten und die Risikoberichterstattung[1] enthalten nicht nur Vorgaben für das Risikomanagement (→ Kapitel 2.6.1), sondern betreffen in einem hohen Maße auch die Informationstechnologie. Die IT-relevanten Vorgaben wurden erstmals im November 2017 als Konkretisierung der M... mehr

Rz. 159 Das "Informations- und Kommunikationstechnologie-Risiko" (IKT-Risiko) wurde zunächst als Risiko von Verlusten aufgrund der Unzweckmäßigkeit oder des Versagens der Hard- und Software technischer Infrastrukturen verstanden, welche die Verfügbarkeit, Integrität, Zugänglichkeit und Sicherheit dieser Infrastrukturen oder der Daten beeinträchtigen können.[1] Neueren Defini... mehr

Rz. 64 Die Aufgaben der Compliance-Funktion können nicht von der Internen Revision wahrgenommen werden (→ AT 4.4.2 Tz. 3, Erläuterung).[1] Die Compliance-Funktion gehört zum internen Kontrollsystem und ist somit ein integraler Bestandteil der von der Internen Revision zu überwachenden Prozesse. Neben der Identifizierung der unter Compliance-Gesichtspunkten wesentlichen recht... mehr

Rz. 88 Wesentliche Risiken, die zu spät identifiziert werden, können die Qualität der Risikosteuerungs- und -controllingprozesse erheblich beeinträchtigen, da die an die Identifizierung anschließenden Prozessstufen (Beurteilung, Steuerung, Überwachung und Kommunikation der Risiken) ihre Wirkung in diesem Fall nicht rechtzeitig entfalten. Im Extremfall kann eine zu späte Iden... mehr

Rz. 86 Der BCBS hat klare Vorstellungen zur Ausgestaltung des Rahmenwerkes für das ORMF, das vollständig in die allgemeinen Risikomanagementprozesse des Institutes integriert werden soll. Daraus lässt sich leicht ableiten, was zumindest nach den Vorstellungen des BCBS als angemessenes Management operationeller Risiken zu verstehen ist. Dazu gehört zunächst eine klare Festleg... mehr

Rz. 159 In der Risikostrategie, die grundsätzlich auf eine Jahressicht fokussiert und häufig gemeinsam mit der operativen Geschäftsplanung erarbeitet wird, sind unter Berücksichtigung geschäftsstrategischer Vorgaben (→ AT 4.2 Tz. 1) nicht nur die "Ziele der Risikosteuerung" der wesentlichen Geschäftsaktivitäten, sondern auch die "Maßnahmen zur Erreichung dieser Ziele" darzus... mehr

Rz. 310 Korrekte Ergebnisse der Stresstests setzen eine angemessene Dateninfrastruktur voraus. Die EBA erwartet von den Instituten, dass ihr Stresstestprogramm durch eine angemessene Dateninfrastruktur unterstützt wird.[1] Unter Proportionalitätsgesichtspunkten sollte dabei auf die Vorgaben des Baseler Ausschusses für Bankenaufsicht für eine wirksame Risikodatenaggregation u... mehr

Rz. 85 Die bedeutenden Institute und die "großen Förderbanken" müssen allerdings keine exklusive Organisationseinheit ausschließlich für die Compliance-Funktion im Sinne des AT 4.4.2 einrichten. Eine Kombination mit den für andere Compliance-Themen zuständigen Einheiten, insbesondere die Compliance-Funktion nach MaComp sowie die für Geldwäscheprävention, Terrorismusfinanzier... mehr

Rz. 125 Die Weiterentwicklung der IT-Systeme ist oftmals ein komplexes Unterfangen und erfordert nicht selten eine gut funktionierende Projektstruktur. Die BaFin erwartet daher laut Tz. 7.2 BAIT, dass die organisatorischen Grundlagen für "IT-Projekte" und die Kriterien für deren Anwendung geregelt werden. Dabei sind u. a. folgende Aspekte zu berücksichtigen: Einbindung betrof... mehr

Rz. 139 Gestaltungsmöglichkeiten ergeben sich auch aus unbestimmten Rechtsbegriffen (z. B. "wesentlich" oder "angemessen"), deren Präzisierung für allgemeingültige Zwecke weder möglich noch zweckmäßig ist. Auch hier müssen Institute – innerhalb des ihnen zustehenden Beurteilungsspielraumes – eine sachgerechte, einzelfallabhängige Lösung zur Auslegung und Umsetzung der entspr... mehr

Rz. 55 Auch die Marktpreisrisiken inklusive der Zinsänderungsrisiken sind grundsätzlich als wesentlich einzustufen (→ AT 2.2 Tz. 1). Im Modul BTR 2 sind die Vorgaben aus Art. 83 Abs. 1 CRD IV umgesetzt, wonach in den Instituten Grundsätze und Verfahren vorhanden sein müssen, um alle wesentlichen Ursachen und Auswirkungen von Marktpreisrisiken zu ermitteln, zu messen und zu s... mehr

Rz. 58 Die zuständigen Aufsichtsbehörden sollten die Stresstestprogramme der Institute und ihre Konformität mit den EBA-Leitlinien zu den Stresstests der Institute[1] unter Berücksichtigung des Proportionalitätsprinzips überprüfen und bewerten. Die zuständigen Behörden sollten eine qualitative Bewertung der Stresstestprogramme sowie eine quantitative Bewertung der Ergebnisse... mehr

Rz. 10 Die Institute müssen sicherstellen, dass die NPE-Definition in allen Niederlassungen und Filialen einheitlich verwendet wird (→ BTO 1.2.5 Tz. 1, Erläuterung). Damit soll insbesondere sichergestellt werden, dass ein Kunde mehrerer Institute in derselben Gruppe einheitlich eingestuft wird. Die EBA erwartet ohnehin, dass die Umsetzung der Vorgaben zur Einstufung von Risi... mehr

Rz. 29 Im Zuge der fünften MaRisk-Novelle wurden die vom Baseler Ausschuss für Bankenaufsicht formulierten Anforderungen an das Datenmanagement, die Datenqualität und die Aggregation von Risikodaten (BCBS 239)[1] in das neue Modul AT 4.3.4 aufgenommen und damit in die deutsche Aufsichtspraxis überführt.[2] Die Anforderungen galten nur für systemrelevante Institute, wobei die... mehr

Rz. 16 In der Regel wird sich das institutsinterne Risikomanagement nicht auf die genannten Risikoarten beschränken, sondern weitere Risiken in die Betrachtung einbeziehen, sofern sie eine entsprechende Bedeutung für die Institute haben. Die MaRisk beziehen sich daher auf das Management aller für ein Institut "wesentlichen" Risiken. Welche Risiken dieses Kriterium erfüllen, ... mehr

Rz. 29 Die Zuständigkeit für die Erstellung der Risikoberichte liegt schwerpunktmäßig bei den Mitarbeitern, die mit dem Risikocontrolling betraut sind. Risikocontrolling wird in den MaRisk funktional definiert. Es umfasst die Funktionen der Überwachung und Kommunikation der Risiken (→ AT 4.4.1 Tz. 1 und BTO Tz. 2 lit. d). Diese Funktionen sind grundsätzlich bis einschließli... mehr