Fachbeiträge & Kommentare zu Interne Kommunikation

Die dritte Säule der Offenlegungspflichten umfasst insgesamt folgende sechs Teilstandards: ESRS E1-4: Ziele in Bezug auf Strategien zum Klimaschutz und zur Anpassung an den Klimawandel Der Teilstandard ESRS E1-4 verpflichtet Unternehmen zur Offenlegung konkreter, überprüfbarer Zielsetzungen, die sich aus der strategischen Ausrichtung in Bezug auf den Klimawandel ergeben. Diese... mehr

Im Rahmen des ESRS S2 sind im Teilbereich "Management von Auswirkungen, Risiken und Chancen" vier zentrale Offenlegungspflichten definiert, die auch für den Einkauf weitreichende Auswirkungen haben: ESRS S2-1: Richtlinien und Policies in Bezug auf Arbeitskräfte in der Wertschöpfungskette Dieser Teilstandard verlangt von Unternehmen eine detaillierte Darstellung ihrer Strategie... mehr

Die Umsetzung des ESRS G1 erfordert vom Einkauf ein deutlich erweitertes Rollenverständnis im Sinne guter Unternehmensführung. Integrität, Transparenz, ethisches Verhalten und verantwortungsvolle Lieferantenbeziehungen sind nicht mehr nur Compliance-Themen, sondern strategische Anforderungen, die operativ durch den Einkauf mitgestaltet werden müssen. Die folgenden übergreife... mehr

Die Umsetzung des simplified ESRS G1 erfordert vom Einkauf weiterhin ein erweitertes Rollenverständnis im Sinne guter Unternehmensführung. Die strukturellen Vereinfachungen des Standards entbinden nicht von der inhaltlichen Verantwortung, sondern verlagern sie stärker auf die strategische Begründung und Eigeninitiative des Einkaufs. Die folgenden 15 Handlungsempfehlungen gel... mehr

Die zweite Offenlegungssäule des ESRS G1 befasst sich mit der Frage, wie Unternehmen ihr Geschäftsgebaren im Hinblick auf potenzielle Auswirkungen, Risiken und Chancen analysieren, steuern und weiterentwickeln – insbesondere im Verhältnis zu externen Geschäftspartnern wie Lieferanten und Dienstleistern. Im Zentrum steht die transparente Darlegung, wie Risiken wie Korruption,... mehr

Auch wenn der digitale Produktpass aktuell noch nicht verpflichtend für Unternehmen ist, gibt es verschiedene Ziele und Vorteile, welche die Umsetzung auch ohne betreffende Regularien befürworten. Mit der Umsetzung eines DPP kann die Erreichung 3 großer Überziele unterstützt werden, welche eng miteinander verwoben sind. Dabei handelt es sich um die Einhaltung von Nachhaltigkei... mehr

Rz. 77 Kommunikation ist bei jedem Notfall die kritische Komponente und ein zentraler Erfolgsfaktor des Notfallmanagements. Soweit in diesem Zusammenhang keine klaren Regelungen im Notfallkonzept getroffen werden, kann das gesamte Konzept ggf. ins Leere laufen (z. B. weil die Ansprechpartner für den Notfall nicht bekannt sind). Die im Notfall verantwortlichen Mitarbeiter ode... mehr

Rz. 82 Unter anderem wird ein sogenanntes "Silodenken" als einer der Gründe für die Finanzmarktkrise angeführt. Der Baseler Ausschuss für Bankenaufsicht erwartet daher, dass die Institute organisatorische "Silos" vermeiden, die eine effektive Weitergabe von Informationen erschweren und zu Entscheidungen führen, die isoliert vom Rest der Bank getroffen werden.[1] Die zum groß... mehr

Rz. 220 Die Bedeutung des Risikotragfähigkeitskonzeptes ist nicht auf die Gegenüberstellung der wesentlichen Risiken mit dem Risikodeckungspotenzial beschränkt. Das Risikodeckungspotenzial kann seine Funktion als zentrale interne Steuerungsgröße erst dann vollständig entfalten, wenn das Risikotragfähigkeitskonzept mit den geschäfts- und risikostrategischen Vorgaben der Gesch... mehr

Rz. 55 Die Berichterstattung über ESG-Risiken bildet die Basis für deren kontinuierliche Überwachung unter Verwendung von Kennzahlen wie dem Prozentsatz der Transaktionen, die auf ESG-Aspekte überprüft wurden, sowie von Tools, Modellen und Daten. Dafür scheinen geeignete Berichtsrahmen, die durch die zugrunde liegenden IT-Systeme erweitert und unterstützt werden, unerlässlic... mehr

Rz. 72 Seit der Umsetzung der Anforderungen von Basel III in europäisches Recht weist die Bankenverordnung (Capital Requirements Regulation, CRR) der Internen Revision – unter Berücksichtigung der Anpassungen im Jahr 2024 – insbesondere folgende Aufgaben explizit zu, die mehr ins Detail gehen: Gemäß Art. 191 CRR prüft die Interne Revision oder eine andere vergleichbare unabhä... mehr

Rz. 14 Mitarbeiter der Internen Revision dürfen nach den MaRisk grundsätzlich nur für die Interne Revision tätig werden. In der Praxis ist eine solch strikte Aufgabenzuweisung allerdings kaum umsetzbar und auch nicht in jedem Fall sinnvoll. Das Fachwissen und die Erfahrung der Internen Revision müssen – wie bei der Projektbegleitung (→ BT 2.1 Tz. 2) – im Interesse des Instit... mehr

Rz. 69 Die Compliance-Funktion kann zur Erfüllung ihrer Aufgaben auf andere Funktionen und Stellen zurückgreifen. Diese Möglichkeit ist in den MaRisk nicht weiter eingeschränkt worden. Insofern ist es grundsätzlich möglich, dass die Compliance-Funktion bei der Planung und Durchführung ihrer Kontrolltätigkeit die Prüfungsplanung und Berichterstattung der Internen Revision ber... mehr

Rz. 39 Nach einschlägigen gesellschaftsrechtlichen Regelungen besteht die Hauptaufgabe des Aufsichtsorgans darin, die Geschäftsführung durch den Vorstand zu überwachen (AktG, Sparkassengesetze der Länder, GenG). Die Interne Revision hat als Instrument der Geschäftsleitung risikoorientiert und prozessunabhängig die Wirksamkeit und Angemessenheit des Risikomanagements im Allge... mehr

Rz. 11 Etwa zeitgleich mit der Veröffentlichung der EBA-Leitlinien zur internen Governance im Jahr 2011 hat sich der Baseler Ausschuss für Bankenaufsicht (BCBS) mit der Rolle der Internen Revision auseinandergesetzt.[1] Das im Dezember 2011 zur Konsultation gestellte Papier wurde im Juni 2012 in seiner endgültigen Fassung veröffentlicht. Darin beschreibt der BCBS das Verhäl... mehr

Terminologisch orientieren sich die MaRisk weitgehend am § 25a Abs. 1 KWG, der im Zuge der Umsetzung der Finanzkonglomeraterichtlinie in deutsches Recht präzisiert wurde (Bundesgesetzblatt, Jahrgang 2004, Teil I, Nr. 72, 27.12.2004). Gemäß seiner Neufassung sind die Geschäftsleiter eines Institutes u. a. für die Festlegung einer angemessenen Strategie sowie die Einrichtung a... mehr

Rz. 25 Einige Fachspezialisten haben sich seit dem Jahr 2010 mit einer Weiterentwicklung des traditionellen Modells der drei Verteidigungslinien aus einem anderen Blickwinkel beschäftigt.[1] Unter Berücksichtigung der identifizierten Schwachstellen dieses Modells sowie der Besonderheiten des Finanzsektors wurde z. B. die Erweiterung um eine vierte Verteidigungslinie vorgesch... mehr

Um die Governance-Strukturen der Institute weiter zu stärken, habe ich bestehende Pflichten der Geschäftsleitung gegenüber dem Aufsichtsorgan weiter ausgebaut. Insbesondere haben die Geschäftsleiter dem Aufsichtsorgan ein direktes Auskunftsrecht gegenüber der Internen Revision einzuräumen, damit es seine Überwachungsfunktion noch effektiver wahrnehmen kann. Da das Aufsichtso... mehr

Rz. 1 Die Institute müssen angemessene Prozesse zur Identifizierung, Beurteilung, Steuerung sowie Überwachung und Kommunikation der wesentlichen Risiken und der damit verbundenen Risikokonzentrationen (Risikosteuerungs- und -controllingprozesse) einrichten (→ AT 4.3.2 Tz. 1). Die letzten Prozessschritte der "Überwachung und Kommunikation" der wesentlichen Risiken werden häuf... mehr

Rz. 1 Im besonderen Teil der MaRisk werden die geschäfts- und risikoartenübergreifenden Prinzipien des allgemeinen Teils für einzelne Themenbereiche konkretisiert und zum Teil deutlich ergänzt. Das betrifft die Anforderungen an die internen Kontrollverfahren, also das interne Kontrollsystem (→ BT 1) und die Interne Revision (→ BT 2). Die Vorgaben zur Risikoberichterstattung ... mehr

Rz. 62 Mit der vierten MaRisk-Novelle wurde die bisherige Formulierung auf Vorschlag des Deutschen Institutes für Interne Revision insoweit angepasst, als zukünftig auch die Compliance- und die Risikocontrolling-Funktion "im Rahmen ihrer Aufgaben" zu beteiligen sind. Die Deutsche Kreditwirtschaft hatte eine Streichung vorgeschlagen, weil die gleichzeitige Nennung anderer Fun... mehr

Rz. 1 Das Institut muss angemessene Prozesse zur Identifizierung, Beurteilung, Steuerung sowie Überwachung und Kommunikation der wesentlichen Risiken einrichten. Risiken und Risikokonzentrationen sind unter Berücksichtigung der Risikotragfähigkeit und des Risikoappetits wirksam zu begrenzen und zu überwachen. Diese Prozesse sind in eine gemeinsame Ertrags- und Risikosteuerung ("G... mehr

Rz. 9 Die Finanzmarktkrise im Jahr 2008 hat eindrucksvoll gezeigt, dass Unternehmenskrisen im Banken- und Versicherungssektor zu erheblichen Verwerfungen auf den Finanzmärkten führen können – mit entsprechend negativen Auswirkungen auf die Unternehmen des Finanzsektors sowie die Realwirtschaft. Darüber hinaus haben die notwendig gewordenen staatlichen Stützungsmaßnahmen die ... mehr

Rz. 22 Ein angemessenes und wirksames Risikomanagement nach § 25a Abs. 1 Satz 3 Nr. 3 KWG beinhaltet die Errichtung interner Kontrollverfahren, die sich wiederum aus dem internen Kontrollsystem und der Internen Revision zusammensetzen. Das interne Kontrollsystem (IKS) umfasst insbesondere Regelungen zur Aufbau- und Ablauforganisation mit klarer Abgrenzung der Verantwortungsbe... mehr

Rz. 1 Nach § 25a Abs. 1 Satz 3 Nr. 3 KWG umfasst das "interne Kontrollsystem" insbesondere die aufbau- und ablauforganisatorischen Regelungen mit klarer Abgrenzung der Verantwortungsbereiche, die Prozesse zur Identifizierung, Beurteilung, Steuerung sowie Überwachung und Kommunikation der Risiken entsprechend den in Art. 76 bis 87 CRD IV niedergelegten technischen Kriterien, ... mehr

Rz. 224 Das Modul BT besteht aus drei Hauptteilen, in denen besondere Anforderungen an die internen Kontrollverfahren, d. h. das interne Kontrollsystem (→ BT 1) und die Interne Revision (→ BT 2), sowie die Risikoberichterstattung (→ BT 3) abgehandelt werden. Dieser Unterteilung liegt die vom Gesetzgeber vorgegebene Differenzierung zwischen prozessabhängigen und prozessunabhä... mehr

Rz. 14 Durch den letzten Prozessschritt der Risikosteuerungs- und -controllingprozesse soll insbesondere sichergestellt werden, dass die Risikosituation mit den risikostrategischen Vorgaben der Geschäftsleitung vereinbar ist. Der Schritt der "Überwachung und Kommunikation" wird unter dem Begriff Risikocontrolling zusammengefasst. Die Funktion des Risikocontrollings ist zur ... mehr

Rz. 47 Die allgemeine Zuständigkeit der Risikocontrolling-Funktion für die unabhängige Kommunikation der Risiken (→ AT 4.4.1 Tz. 1) wird an dieser Stelle gleich in zweifacher Hinsicht konkretisiert. So ist sie einerseits für die regelmäßige Erstellung der Risikoberichte an die Geschäftsleitung zuständig. Andererseits trägt sie die Verantwortung für die Prozesse zur unverzügl... mehr

Rz. 1 Dieses Rundschreiben zeigt auf der Grundlage des § 25a Abs. 1 des Kreditwesengesetzes (KWG) einen flexiblen und praxisnahen Rahmen für die Ausgestaltung des Risikomanagements der Institute auf. Es präzisiert ferner die Anforderungen des § 25b KWG (Auslagerung) und des § 26c KWG (ESG-Risiken). Erläuterung: CRD-Drittstaatenzweigstellen Da bei CRD-Drittstaatenzweigstellen k... mehr

Rz. 5 Eine wesentliche Voraussetzung für ein risikoorientiertes Vorgehen der Internen Revision ist die Analyse aller Prozesse und Aktivitäten im Hinblick auf ihren jeweiligen Risikogehalt. Die konkrete Ausgestaltung dieser Analysetätigkeit bleibt dabei der Internen Revision überlassen. Allerdings benötigt sie dafür einen vollständigen Überblick über die Aktivitäten und Proze... mehr

Rz. 16 Das interne Kontrollsystem umfasst alle Formen von Überwachungsmechanismen, die integraler Bestandteil der zu überwachenden Prozesse sind (prozessabhängige Überwachung). Die für derartige Überwachungsaufgaben zuständigen Mitarbeiter oder Stellen sind an den jeweiligen Arbeitsprozessen beteiligt und häufig auch für das Ergebnis der zu überwachenden Prozesse verantwortl... mehr

Rz. 161 Zu den Anforderungen an die Geschäftsleiter nach § 25c KWG besteht eine enge Verbindung. Diese Anforderungen beziehen sich in Abs. 3 zunächst auf die Gesamtverantwortung für die ordnungsgemäße Geschäftsorganisation, die in Abs. 4 durch die Forderung nach angemessenen personellen und finanziellen Ressourcen zur Bewältigung dieser Aufgabe sowie in Abs. 4a bzw. Abs. 4b ... mehr

Rz. 139 Gestaltungsmöglichkeiten ergeben sich auch aus unbestimmten Rechtsbegriffen (z. B. "wesentlich" oder "angemessen"), deren Präzisierung für allgemeingültige Zwecke weder möglich noch zweckmäßig ist. Auch hier müssen Institute – innerhalb des ihnen zustehenden Beurteilungsspielraumes – eine sachgerechte, einzelfallabhängige Lösung zur Auslegung und Umsetzung der entspr... mehr

Rz. 200 In allen genannten Varianten der Berichterstattung geht es letztlich darum, auf Schwachstellen hinzuweisen, um frühzeitig geeignete Maßnahmen zur Beseitigung der Ursachen zu treffen, angemessene Risikosteuerungsmaßnahmen zu ergreifen oder Prüfungshandlungen durch die Interne Revision einzuleiten. Auf diese Weise kann vom Institut weiterer Schaden abgewendet werden. D... mehr

Rz. 289 Auch die EBA betont im Zusammenhang mit der Umsetzung der Strategie am Beispiel der Strategie für Informations- und Kommunikationstechnologie (IKT-Strategie) besonders den Prozesscharakter. Insbesondere in jenen Fällen, in denen die IKT-Strategie des Institutes die Umsetzung wichtiger und komplexer IKT-Anpassungen oder Änderungen mit erheblichen Auswirkungen auf das ... mehr

Rz. 3 1 Dieses Rundschreiben gibt auf der Grundlage des § 25a Abs. 1 des Kreditwesengesetzes (KWG) einen flexiblen und praxisnahen Rahmen für die Ausgestaltung des Risikoma­nagements der Institute vor. Es präzisiert ferner die Anforderungen des § 25a Abs. 3 KWG (Risikomanagement auf Gruppenebene) sowie des § 25b KWG (Auslagerung). Ein angemessenes und wirksames Risikomanagem... mehr

Rz. 95 Bei den Prozessen zur Identifizierung, Beurteilung, Steuerung sowie Überwachung und Kommunikation der wesentlichen Risiken wird grundsätzlich nicht zwischen den Prozessen und Aktivitäten differenziert, die im Institut ablaufen oder ausgelagert sind. In ähnlicher Weise hat die Interne Revision risikoorientiert und prozessunabhängig die Ordnungsmäßigkeit grundsätzlich a... mehr

Rz. 6 Die Institute müssen angemessene Prozesse zur Identifizierung, Beurteilung, Steuerung sowie Überwachung und Kommunikation der wesentlichen Risiken und der damit verbundenen Risikokonzentrationen (Risikosteuerungs- und -controllingprozesse) einrichten. Diese Prozesse sollten nicht für sich betrachtet werden, sondern in eine gemeinsame Ertrags- und Risikosteuerung ("Gesa... mehr

Rz. 18 Die MaRisk enthalten eine Vielzahl von Öffnungsklauseln, die abhängig von der Größe des Institutes, den Geschäftsschwerpunkten und der Risikosituation individuelle Umsetzungslösungen möglich machen (→ AT 1 Tz. 5). Diese Öffnungsklauseln sind eng mit dem Proportionalitäts­prinzip verknüpft, das ein immanenter Bestandteil des aufsichtlichen Überprüfungs- und Bewertungsp... mehr

Rz. 22 Auf europäischer Ebene war in diesem Zusammenhang die am 28. September 2005 vom Europäischen Parlament verabschiedete "Capital Requirements Directive" (CRD) von entscheidender Bedeutung. Mit deren Hilfe hat die EU-Kommission die Anforderungen von Basel II in europäisches Recht transformiert. Dieser Umsetzungsprozess betraf die Neufassung der Bankenrichtlinie[1] sowie ... mehr

Rz. 285 Üblicherweise umfasst ein Notfallplan auch organisatorische Aspekte, wie z. B. die Festlegung von internen und externen Kommunikationswegen, Funktionen und Verantwortlichkeiten sowie Eskalationsverfahren. Auf dieser Basis soll ein Institut befähigt werden, die geplanten Maßnahmen rechtzeitig einzuleiten sowie zügig und erfolgreich umzusetzen. Insbesondere über die zu... mehr

Rz. 17 Der BCBS erwartet im Risikobericht risikorelevante Kennzahlen wie aufsichtsrechtliches und ökonomisches Kapital, Aussagen zur Angemessenheit der Kapitalausstattung, Prognosen der Kapital- und Liquiditätskennzahlen sowie Refinanzierungspositionen und -pläne.[1] Mit der fünften MaRisk-Novelle wurde diese Anforderung ergänzt. Damit rücken neben der Darstellung der Risiko... mehr

Rz. 2 Im Rahmen der fünften MaRisk-Novelle wurde die Textziffer redaktionell angepasst. Nachdem zuvor lediglich eine Risikocontrolling-Funktion gefordert wurde, die für die unabhängige Überwachung und Kommunikation der Risiken verantwortlich ist, wird nunmehr die Unabhängigkeit der Risikocontrolling-Funktion an sich hervorgehoben. Damit soll sichergestellt werden, dass die R... mehr

Der Kerngedanke des ICAAP besteht – wie eingangs bereits erwähnt – darin, dass bei den Instituten entsprechend dem individuellen Risikoprofil genügend "internes Kapital" zur Abdeckung aller wesentlichen Risiken vorhanden sein soll. Dabei geht es nicht nur in erster Linie um die Funktion des "internen Kapitals" als Risiko-Deckungsgröße; das "interne Kapital" stellt vielmehr a... mehr

Rz. 63 Die Risikokultur beschreibt allgemein die Art und Weise, wie Mitarbeiter des Institutes im Rahmen ihrer Tätigkeit mit Risiken umgehen (sollen). Sie soll die Identifizierung und den bewussten Umgang mit Risiken fördern und sicherstellen, dass Entscheidungsprozesse zu Ergebnissen führen, die auch unter Risikogesichtspunkten ausgewogen sind. Die Risikokultur stellt somit... mehr

Rz. 147 Gesetzliche Grundlage der MaRisk und Anknüpfungspunkt für die Umsetzung des "Supervisory Review Process" (SRP) ist § 25a Abs. 1 KWG, der von den Instituten eine "ordnungsgemäße Geschäftsorganisation" fordert. Das KWG zielt diesbezüglich in erster Linie auf ein aus qualitativer Sicht angemessenes Risikoumfeld in den Instituten ab, das zur Stärkung des Risikobewusstsei... mehr

Rz. 102 Im Rahmen der vierten MaRisk-Novelle ist darauf verzichtet worden, den Instituten die Einrichtung einer Risikocontrolling-Funktion auf Gruppenebene explizit vorzuschreiben. Allerdings wird mit dem Trennbankengesetz von den Geschäftsleitern des übergeordneten Unternehmens einer Institutsgruppe, Finanzholding-Gruppe oder gemischten Finanzholding-Gruppe gemäß § 25c Abs.... mehr

Rz. 14 Hinsichtlich der besonderen Anforderungen an die Prozesse zur Identifizierung, Beurteilung, Steuerung, Überwachung sowie Kommunikation der Risiken (Risikosteuerungs- und -controllingprozesse) wird unterschieden nach: Adressenausfallrisiken inkl. Länderrisiken (→ BTR 1), Marktpreisrisiken inkl. Zinsänderungsrisiken (→ BTR 2), Liquiditätsrisiken (→ BTR 3) und operationellen... mehr

Rz. 1 Für Aktivitäten und Prozesse, die kritische oder wichtige Funktionen darstellen, ist Vorsorge durch ein Notfallkonzept zu treffen. Die darin festgelegten Maßnahmen müssen geeignet sein, mögliche Schäden zu begrenzen. Das Notfallkonzept ist jährlich und anlassbezogen zu aktualisieren und angemessen zu kommunizieren. Die Geschäftsleitung ist mindestens quartalsweise und ... mehr

Rz. 24 Schließlich ist es erforderlich, dass die Geschäftsleitung über den Abschluss von Handelsgeschäften zu nicht marktgerechten Bedingungen unterrichtet wird. Diese Notwendigkeit ergibt sich jedoch nur bei Abschlüssen von entsprechender Bedeutung. Da die Umschreibung "von entsprechender Bedeutung" in den MaRisk nicht weiter erläutert wird, liegt es im Ermessen des Institu... mehr