Fachbeiträge & Kommentare zu Interne Revision

Rz. 127 Bei Arbeitsüberlassungen, d. h. Leih- oder Zeitarbeitnehmern, handelt es sich um Mitarbeiter, die bei einem Leiharbeitsunternehmen, wie z. B. einer Zeitarbeitsfirma, angestellt und nur für eine begrenzte Zeit aufgrund eines Arbeitnehmerüberlassungsvertrages zwischen dem Institut und dem Leiharbeitsunternehmen im Institut tätig sind. Sie erhalten ihre Vergütung sowie ... mehr

Rz. 46 Nach den Anforderungen an die Konzernrevision (→ AT 4.5 Tz. 6) hat sie im Rahmen des Risikomanagements auf Gruppenebene ergänzend zur Internen Revision der gruppenangehörigen Unternehmen tätig zu werden. Die Konzernrevision ist ein "Instrument der Geschäftsleitung des übergeordneten Unternehmens". Im Zuge der fünften MaRisk-Novelle wurde explizit aufgenommen, dass die... mehr

Rz. 1 1 Die Tätigkeit der Internen Revision muss auf einem umfassenden und jährlich fortzuschreibenden Prüfungsplan basieren. Die Prüfungsplanung hat risikoorientiert zu erfolgen. Die Aktivitäten und Prozesse des Institutes sind, auch wenn diese ausgelagert sind, in angemessenen Abständen, grundsätzlich innerhalb von drei Jahren, zu prüfen. Wenn besondere Risiken bestehen, i... mehr

Rz. 96 Neben diesen obligatorischen Bestandteilen können ggf. ergänzende Informationen zur Unterstützung der Geschäftsleitung von Interesse sein. Dabei sollte jeweils abgewogen werden, ob der Aufwand zur Beschaffung zusätzlicher Informationen durch den Nutzen gerechtfertigt wird, der mit einer darauf aufbauenden, gezielten Risikosteuerung erreicht werden kann. Hierzu zählen ... mehr

Rz. 1 1 Über jede Prüfung muss von der Internen Revision zeitnah ein schriftlicher Bericht angefertigt und grundsätzlich den fachlich zuständigen Mitgliedern der Geschäftsleitung vorgelegt werden. Der Bericht muss insbesondere eine Darstellung des Prüfungsgegenstandes und der Prüfungsfeststellungen, ggf. einschließlich der vorgesehenen Maßnahmen, enthalten. Wesentliche Mänge... mehr

Rz. 22 3 Die Organisationsrichtlinien haben vor allem Folgendes zu beinhalten: mehr

Rz. 222 Die MaRisk sind modular strukturiert. Der allgemeine Teil (Modul AT) enthält grundlegende Anforderungen. Besondere Anforderungen an die Ausgestaltung des internen Kontrollsystems für bestimmte Geschäftsarten und Risikoarten, die Ausgestaltung der Internen Revision und die Risikoberichterstattung sind Gegenstand des besonderen Teils (Moduls BT). Die modulare Struktur ... mehr

Rz. 164 8 Das Rundschreiben ist modular strukturiert, so dass notwendige Anpassungen in bestimmten Regelungsfeldern auf die zeitnahe Überarbeitung einzelner Module beschränkt werden können. In einem allgemeinen Teil (Modul AT) befinden sich grundsätzliche Prinzipien für die Ausgestaltung des Risikomanagements. Spezifische Anforderungen an die Organisation des Kredit-, Handel... mehr

Rz. 168 Die vom Institut als bedeutend eingestuften Schadensfälle sind unverzüglich hinsichtlich ihrer Ursachen zu analysieren. Auf diese Weise soll vor allem verhindert werden, dass sich derartige Schadensfälle in der Zukunft wiederholen. Aufgrund der spezifischen Kenntnisse über die jeweiligen Prozesse empfiehlt es sich, die den Schaden meldenden bzw. die vom Schaden betr... mehr

Rz. 195 Legt man die Erläuterungen zugrunde, die zu dieser Anforderung formuliert wurden, zielt die Aufsicht auch auf die zeitlichen Dimensionen der operationellen Risiken ab. So sind bei der Beurteilung der wesentlichen Ausprägungen historische Erkenntnisse, worunter insbesondere die Schadensfälle zu verstehen sind, und potenzielle Ereignisse zu berücksichtigen. Zur Identif... mehr

§ 1 Abs. 10: Definition Auslagerungsunternehmen Wer bestimmt die Wesentlichkeit der aus-/weiterverlagerten Aktivitäten und Prozesse? Wenn die Einstufungen der Institute herangezogen werden: Wie sollen aufsichtliche Rechte/Befugnisse (siehe u. a. § 25b Abs. 4a) für ein bestimmtes Auslagerungsunternehmen im Fall abweichender Einstufungen durch verschiedene Institute anwendbar s... mehr

Rz. 1 Operationelle Risiken werden im Gegensatz zu Adressenausfallrisiken oder Marktpreisrisiken vom Institut zwar grundsätzlich nicht bewusst eingegangen, um daraus Erträge zu generieren. Allerdings müssen sich die Institute z. B. bei der Einführung neuer (komplexer) Produkte oder bei Änderungen betrieblicher Prozesse und Strukturen der damit verbundenen prozessualen, recht... mehr

Rz. 120 Nach den Vorstellungen der EBA sollten die Leiter der besonderen Funktionen, und damit auch der Compliance-Beauftragte, befugt sein, soweit erforderlich, gegenüber dem Aufsichtsorgan ihre Bedenken zu äußern bzw. dieses zu warnen, wenn nachteilige Risikoentwicklungen das Institut beeinträchtigen (könnten).[1] Es ist fraglich, ob damit ein über die Anforderungen der Ma... mehr

[…] ich freue mich, Ihnen nunmehr die finale Fassung der MaRisk vorlegen zu können, wie sie sich nach Abschluss des im Oktober 2020 angestoßenen Konsultationsverfahrens darstellt. Im Ergebnis der Auswertung der Stellungnahmen sowie der Diskussionen in den drei Sitzungen des Fachgremiums MaRisk am 12. und 19.02. sowie am 04.03.2021 sind noch für eine Reihe von strittigen Punkt... mehr

Rz. 77 Kommunikation ist bei jedem Notfall die kritische Komponente und ein zentraler Erfolgsfaktor des Notfallmanagements. Soweit in diesem Zusammenhang keine klaren Regelungen im Notfallkonzept getroffen werden, kann das gesamte Konzept ggf. ins Leere laufen (z. B. weil die Ansprechpartner für den Notfall nicht bekannt sind). Die im Notfall verantwortlichen Mitarbeiter ode... mehr

Rz. 38 Nach dem in Deutschland vorherrschenden dualistischen System der Verwaltungsorgane wird zwischen der Geschäftsleitung gemäß § 25c KWG und dem Aufsichtsorgan gemäß § 25d KWG unterschieden. Die Anforderungen der EBA an Geschäftsleiter und Aufsichtsorgane decken vor dem Hintergrund unterschiedlicher Unternehmensführungsstrukturen in den EU-Mitgliedstaaten dagegen sowohl ... mehr

Rz. 41 Als das "Finanzmarktrichtlinie-Umsetzungsgesetz" (FRUG)[1] am 11. Mai 2007 die letzte parlamentarische Hürde nahm, war der Weg frei für die Umsetzung der Richtlinie über Märkte für Finanzinstrumente – kurz "Finanzmarktrichtlinie" – in nationales Recht. Die Finanzmarktrichtlinie, besser bekannt unter der Bezeichnung "MiFID" (Markets in Financial Instruments Directive)... mehr

Rz. 10 Die dem Risikomanagementbegriff der MaRisk zugrunde liegende Systematik ist durch die verschiedenen Novellierungen des § 25a Abs. 1 KWG ebenfalls weitgehend unberührt geblieben. Auch für die Anforderungen an das Risikomanagement gilt grundsätzlich das Proportionalitätsprinzip: Die Ausgestaltung des Risikomanagements hängt von Art, Umfang, Komplexität und Risikogehalt ... mehr

Rz. 23 Unter inhaltlichen Gesichtspunkten decken die Organisationsrichtlinien zunächst wesentliche Elemente des Risikomanagements gemäß § 25a Abs. 1 KWG ab. Darzustellen sind die aufbau- und ablauforganisatorischen Regelungen, die Regelungen zu den Risikosteuerungs- und -controllingprozessen sowie zur Internen Revision. Zusätzlich muss aus den Organisationsrichtlinien hervor... mehr

Rz. 2 Die Institute haben sich bei wesentlichen Veränderungen in der Aufbau- und Ablauforganisation mit deren Auswirkungen auf ihre internen Kontrollverfahren und -prozesse sorgfältig auseinanderzusetzen. Wegen der besonderen Bedeutung für nahezu sämtliche Risikomanagementprozesse erwartet die Aufsicht eine vergleichbare Analyse auch bei wesentlichen Veränderungen in den IT-... mehr

Rz. 98 Von den Instituten sind Prozesse für eine angemessene "IT-Berechtigungsvergabe" einzurichten, die sicherstellen, dass jeder Mitarbeiter nur über jene Rechte verfügt, die er für seine Tätigkeit benötigt. Die eingerichteten Berechtigungen dürfen insbesondere nicht im Widerspruch zur organisatorischen Zuordnung von Mitarbeitern stehen (→ AT 7.2 Tz. 2, Erläuterung). Beide... mehr

Rz. 63 Die Risikokultur beschreibt allgemein die Art und Weise, wie Mitarbeiter des Institutes im Rahmen ihrer Tätigkeit mit Risiken umgehen (sollen). Sie soll die Identifizierung und den bewussten Umgang mit Risiken fördern und sicherstellen, dass Entscheidungsprozesse zu Ergebnissen führen, die auch unter Risikogesichtspunkten ausgewogen sind. Die Risikokultur stellt somit... mehr

Rz. 328 Der Gesetzgeber hat der BaFin, von ihr beauftragten Personen oder Einrichtungen (z. B. Wirtschaftsprüfern) sowie der Deutschen Bundesbank die Möglichkeit eingeräumt, umfassende Sachverhaltsermittlungen bei den Instituten zu betreiben. Nach § 44 Abs. 1 Satz 1 KWG haben ein Institut und die Mitglieder seiner Organe sowie seine Beschäftigten auf Verlangen Auskünfte über... mehr

Rz. 426 Die Institute haben für die Dokumentation, Steuerung und die Überwachung wesentlicher Auslagerungen klare Verantwortlichkeiten festzulegen (→ AT 9 Tz. 10). Dabei sind im Hinblick auf die organisatorische Ausgestaltung der Auslagerungsüberwachung grundsätzlich sowohl zentrale als auch dezentrale Lösungen denkbar. Die Institute mit einem zentralen Ansatz weisen dem Aus... mehr

Rz. 219 Die deutsche Aufsicht hat den Spielraum für Auslagerungen mit der Überführung des alten Rundschreibens 11/2001 in das Modul AT 9 insgesamt ausgedehnt. So sind grundsätzlich alle Aktivitäten und Prozesse auslagerbar, solange dadurch die Ordnungsmäßigkeit der Geschäftsorganisation nach § 25a Abs. 1 KWG nicht beeinträchtigt wird. Diese grundsätzliche Schranke für die Zu... mehr

Rz. 51 Die sogenannte "Waiver-Regelung" gewährt ein nationales Wahlrecht, das der deutsche Gesetzgeber zugunsten der deutschen Kreditwirtschaft zunächst in § 2a KWG umgesetzt hatte.[1] Seit Inkrafttreten der CRR am 1. Januar 2014 sind die materiellen Voraussetzungen an den Waiver für die Eigenmittelanforderungen, die Großkreditregelungen, die Offenlegungsanforderungen und da... mehr

[…] nachdem der Inhalt des ersten Entwurfs über die "Mindestanforderungen an das Risikoma­nagement" (MaRisk) vom 02.02.2005 im Rahmen mehrerer Sitzungen des MaRisk-Fachgremiums intensiv diskutiert wurde, kann ich Ihnen nunmehr einen zweiten offiziellen Entwurf sowie ergänzende Dokumente zuleiten (Anlagen). Die Diskussion im Fachgremium, dem Experten aus kleineren und größeren ... mehr

Rz. 443 Der zentrale Auslagerungsbeauftragte bzw. das zentrale Auslagerungsmanagement haben mindestens jährlich einen Bericht über die wesentlichen Auslagerungen zu erstellen und der Geschäftsleitung zur Verfügung zu stellen. Der Bericht soll eine Aussage darüber treffen, ob die erbrachten Dienstleistungen der Auslagerungsunternehmen den vertraglichen Vereinbarungen entsprech... mehr

Rz. 47 Im Zuge der siebten MaRisk-Novelle wurden mit Blick auf die Organisationsrichtlinien – wie auch an zahlreichen anderen Textstellen der MaRisk – Anforderungen an den Einbezug von ESG-Risiken ergänzt. So haben die Organisationsrichtlinien nunmehr auch Regelungen zur Berücksichtigung der Auswirkungen von ESG-Risiken zu beinhalten. Dabei spezifizieren die MaRisk keine wei... mehr

[…] nachdem ich Ihre Stellungnahmen zum zweiten Entwurf vom 13.08.2007 ausgewertet habe, kann ich Ihnen nunmehr eine offizielle Neufassung der MaRisk zuleiten, die insbesondere um neue Outsourcing-Regelungen ergänzt wurde. Die neuen MaRisk sowie einige weitere Dokumente sind diesem Schreiben als Anlagen beigefügt. Alle Dokumente sind darüber hinaus unter www.bafin.de sowie ww... mehr

Rz. 162 Die zunehmende Bedeutung von Auslagerungen tangiert natürlich auch die Prüfer. Für den Prüfer des auslagernden Unternehmens stellt sich vor allem die Frage, ob sich aus der Ausgestaltung der (dienstleistungsbezogenen) Kontrollstrukturen beim Auslagerungsunternehmen Risiken ergeben können, die auf das zu prüfende Unternehmen durchschlagen. § 25b KWG kann bei Kredit- u... mehr

Rz. 12 Die Erstellung des institutsindividuellen Gesamtrisikoprofils ist der Ausgangspunkt für ein umfassendes Risikomanagement. Dieses "Self-Assessment" ist die Basis für diverse daran anschließende Prozessschritte, die im Mittelpunkt der MaRisk stehen. So ist auf Grundlage des Risikoprofils ein interner Prozess zur Sicherstellung der Risikotragfähigkeit einzurichten (→ AT ... mehr

Rz. 154 Nach den Anforderungen des Rundschreibens 11/2001 war der Tatbestand der Auslagerung an das Kriterium der Dauerhaftigkeit geknüpft ("auf Dauer oder zumindest auf längere Zeit").[1] Im Laufe der Zeit wurde dieses Kriterium durch die Praxis konkretisiert. "Dauerhaftigkeit" lag vor, wenn der Leistungsbezug sich über einen Zeitraum von über 12 Monaten erstreckte (sogenan... mehr

Die organisatorische Einbindung der Compliance-Funktion wirft bei den Teilnehmern eine Reihe von Fragen auf, auf die die BaFin im Folgenden weiter eingeht. In der aufsichtlichen Praxis existieren bereits Vorgaben zur aufbauorganisatorischen Einbindung von Compliance-Einheiten (z. B. nach WpHG/MaComp). Daher scheint es sowohl aus institutsinterner als auch aufsichtlicher Pers... mehr

Rz. 1 Die Anforderungen des Rundschreibens richten sich an alle Institute gemäß § 1 Abs. 1b KWG bzw. gemäß § 53 Abs. 1 KWG, sofern sie nicht als bedeutende Institute im Sinne von Art. 6 der Verordnung (EU) Nr. 1024/2013 vom 15. Oktober 2013 (SSM-Verordnung) eingestuft werden und damit nicht der direkten Aufsicht der EZB unterliegen. Darüber hinaus gelten die Anforderungen au... mehr

Rz. 126 Die Geschäftsleitung hat bei einem Wechsel der Position des Compliance-Beauftragten das Aufsichtsorgan des Institutes rechtzeitig vorab unter Angabe der Gründe zu informieren. Vergleichbare Regelungen bestehen beim Wechsel des Leiters der Risikocontrolling-Funktion (→ AT 4.4.1 Tz. 6) und der Leitung der Internen Revision (→ AT 4.4.3 Tz. 6). Eine nachträgliche Informa... mehr

Rz. 4 Die Institute müssen sich bei ihrer quantitativen und qualitativen Personalausstattung unter eventueller Berücksichtigung von Leiharbeitnehmern an betriebsinternen Erfordernissen, den Geschäftsaktivitäten sowie der Risikosituation orientieren (→ AT 7.1 Tz. 1). Sie müssen dafür sorgen, dass die Mitarbeiter und deren Vertreter in Abhängigkeit von ihren Aufgaben, Kompete... mehr

Rz. 64 Hinsichtlich der Information des Aufsichtsorgans über die Strategien kann ein dafür gebildeter Ausschuss eingeschaltet werden (→ AT 4.2 Tz. 6, Erläuterung). Es erscheint naheliegend, mit der Risikoberichterstattung in ähnlicher Weise zu verfahren, zumal sich diese u. a. mit der möglichen Abweichung von den Strategien beschäftigt. Adressat der Risikoberichterstattung ... mehr

Rz. 101 Die Häufigkeit und der Umfang der Überprüfungen sollen sich grundsätzlich an der Gefährdungslage orientieren (→ AT 7.3 Tz. 3, Erläuterung). Für "zeitkritische" Aktivitäten und Prozesse sind die Wirksamkeit und Angemessenheit des Notfallkonzeptes für alle relevanten Szenarien mindestens jährlich und anlassbezogen "nachzuweisen". Dabei geht die Aufsicht grundsätzlich d... mehr

Rz. 49 Die Anforderungen an die Auslagerung von Aktivitäten und Prozessen nach § 25b KWG sind nicht isoliert zu betrachten. Vielmehr besteht zwischen § 25a Abs. 1 KWG und § 25b KWG ein enger Zusammenhang. Gemäß § 25a Abs. 1 Satz 1 KWG muss ein Institut über eine ordnungsgemäße Geschäftsorganisation verfügen, die die Einhaltung der vom Institut zu beachtenden gesetzlichen Bes... mehr

Rz. 12 Die Anforderungen an die Funktionstrennung werden in Anbetracht des Bestehens spezifischer Interessenkonfliktpotenziale bei bestimmten Geschäftsarten im besonderen Teil der MaRisk enger gefasst. Insbesondere sind in bestimmten Konstellationen aufbauorganisatorische Trennungen verschiedener Organisationseinheiten (Bereiche, Stellen) erforderlich. Zunächst sind bestimmt... mehr

Rz. 197 Die Risikoanalyse ist auf der Grundlage von institutsweit bzw. gruppenweit einheitlichen Rahmenvorgaben sowohl regelmäßig als auch anlassbezogen durchzuführen. Die im Rahmen der fünften MaRisk-Novelle eingefügte Anforderung ist mit Blick auf den Turnus im Grunde nicht neu. Auch nach der bisherigen Regelung war die Risikoanalyse anzupassen, soweit sich wesentliche Änd... mehr

Rz. 203 Die EBA unterscheidet in ihren Leitlinien zu Auslagerungen zwischen der Auslagerung von kritischen oder wesentlichen Funktionen ("critical or important functions") und sonstigen Auslagerungen.[1] Der Begriff "kritische oder wesentliche" Funktion ist als Einheit zu verstehen, so dass zwischen der Auslagerung von kritischen/wesentlichen Funktionen einerseits und nicht ... mehr

Rz. 88 Wesentliche Risiken, die zu spät identifiziert werden, können die Qualität der Risikosteuerungs- und -controllingprozesse erheblich beeinträchtigen, da die an die Identifizierung anschließenden Prozessstufen (Beurteilung, Steuerung, Überwachung und Kommunikation der Risiken) ihre Wirkung in diesem Fall nicht rechtzeitig entfalten. Im Extremfall kann eine zu späte Iden... mehr

Rz. 84 Im Zuge der fünften MaRisk-Novelle wurde als neue Anforderung aufgenommen, dass bei einem wiederholten Auftreten von Problemen der gesamte Neu-Produkt-Prozess (NPP) anlassbezogen zu überprüfen ist. Werden dabei Mängel festgestellt, ist der Prozess unverzüglich anzupassen. Im ersten Entwurf hatte die Aufsicht noch verlangt, dass die Institute mindestens jährlich überpr... mehr

a. Risikoanalyse: Die Aufsicht stellt zunächst die Zielrichtung der in den MaRisk geforderten Risikoanalyse dar. Mittels Risikoanalyse ist im ersten Schritt zu prüfen welche Risiken mit der geplanten Maßnahme überhaupt verbunden sind. In einer Gesamtschau wird anschließend entschieden, ob diese Risiken wesentlich oder unwesentlich sind. AT 9 Tz. 2 MaRisk mit den dazugehörigen... mehr

[…] wie in meinem o. g. Schreiben angekündigt, kann ich Ihnen nunmehr einen ersten Entwurf über die "Mindestanforderungen an das Risikomanagement" (MaRisk) zuleiten (Anlage 1). Der Entwurf wurde von Mitarbeitern der Deutschen Bundesbank und meiner Behörde ausgearbeitet; er stellt den "starting point" für den weiteren Abstimmungsprozess dar (MaRisk-Fachgremium, Konsultation), ... mehr

Rz. 115 Die Institute haben den operationellen Risiken durch ein angemessenes Risikomanagement Rechnung zu tragen (→ BTR 4 Tz. 1). Hinsichtlich der Identifizierung und Beurteilung der operationellen Risiken sowie der Ursachenanalyse bei Schadensfällen (→ BTR 4 Tz. 3) besteht kein Vollständigkeitsanspruch. Die Institute haben sich in erster Linie mit den wesentlichen operati... mehr

Rz. 40 Aufgrund der Abhängigkeit von der IT wird wohl bei nahezu allen Instituten deren teilweiser oder vollständiger Ausfall als "zeitkritisch" und somit als Notfall eingestuft werden. Dasselbe trifft auf Liquiditätsengpässe zu, für deren Beseitigung sogar explizit ein Notfallplan gefordert wird (→ BTR 3.1 Tz. 9). Ähnlich bedeutsam kann der Ausfall wesentlicher Geschäftspro... mehr

Rz. 112 Die Compliance-Funktion hat der Geschäftsleitung mindestens jährlich sowie anlassbezogen über ihre Tätigkeit Bericht zu erstatten. In der Praxis wird die Unterrichtung der Geschäftsleitung schon aus Dokumentationszwecken regelmäßig schriftlich erfolgen. Bei anlassbezogenen Berichten kann wegen einer möglichen Eilbedürftigkeit vorab eine mündliche Berichterstattung si... mehr