Fachbeiträge & Kommentare zu IT

Rz. 13 Wie beim Neu-Produkt-Prozess (→ AT 8.1 Tz. 5) sind in die Analysen zu den Auswirkungen der geplanten Veränderungen auf die Kontrollverfahren und die Kontrollintensität die später in die Arbeitsabläufe eingebundenen Organisationseinheiten einzuschalten. Aus Effizienzgründen empfiehlt sich ein vergleichbares Vorgehen wie beim Neu-Produkt-Prozess (NPP), indem die zuständ... mehr

Rz. 7 Ein wirksames Kreditrisikomanagement im weiteren Sinne beginnt mit der frühzeitigen Identifizierung der Risikopotenziale im Kreditgeschäft. Dies setzt voraus, dass die mit den einzelnen Kreditgeschäften verbundenen Risiken überhaupt bekannt sind. Diese Voraussetzung soll in Abgrenzung vom Bestandsgeschäft dadurch erfüllt werden, dass die Institute vor der Aufnahme von ... mehr

Rz. 6 Die Anforderungen des Moduls AT 4.3.5 sind technologieneutral formuliert und regeln den Einsatz sowohl einfacher als auch fortgeschrittener Modelle, darunter auch Modelle im Bereich der künstlichen Intelligenz und des maschinellen Lernens. Die BaFin definiert den Begriff der "künstlichen Intelligenz" als Kombination aus großen Datenmengen ("Big Data"), Rechenressourcen... mehr

Rz. 138 Um ein angemessenes Risikomanagement gewährleisten zu können, müssen die eingesetzten IT-Systeme und Datenverarbeitungsprozesse die Aktualität der Risikodaten sicherstellen. Die Datenstruktur und die Datenhierarchie müssen daher gewährleisten, dass die Daten zweifelsfrei identifiziert, zusammengeführt und ausgewertet werden können sowie zeitnah zur Verfügung stehen (... mehr

Rz. 155 An einer Trennung der Zuständigkeiten für Risikocontrolling und Finanzen auf Geschäftsleiterebene kommen die bedeutenden Institute nicht vorbei.[1] Diese Vorgabe, die im Rahmen der fünften MaRisk-Novelle zunächst für die systemrelevanten Institute Eingang in das Rundschreiben gefunden hat und mit der sechsten bzw. siebten MaRisk-Novelle auf die bedeutenden Institute ... mehr

Rz. 146 Nach Produktivsetzung der Anwendung sind laut Tz. 7.12 BAIT mögliche "Abweichungen vom Regelbetrieb" zu überwachen, deren Ursachen zu untersuchen und ggf. Maßnahmen zur Nachbesserung zu veranlassen. Hinweise auf erhebliche Mängel können z. B. Häufungen von Abweichungen vom Regelbetrieb sein. mehr

Rz. 37 In den MaRisk finden sich keine konkreten Hinweise, wann genau von einem neuen Produkt oder von Aktivitäten auf neuen Märkten einschließlich neuer Vertriebswege auszugehen ist. Zur Interpretation des Begriffes ist daher auf die individuellen Verhältnisse aus der Perspektive des Institutes abzustellen. So ist auch ein am Markt weitgehend etabliertes Produkt für ein Ins... mehr

Rz. 86 4 Zur Wahrnehmung ihrer Aufgaben ist der Internen Revision ein vollständiges und uneingeschränktes Informationsrecht einzuräumen. Dieses Recht ist jederzeit zu gewährleisten. Der Internen Revision sind insoweit unverzüglich die erforderlichen Informationen zu erteilen, die notwendigen Unterlagen zur Verfügung zu stellen und Einblick in die Aktivitäten und Prozesse sow... mehr

Rz. 248 Grundsätzlich können alle Aktivitäten und Prozesse ausgelagert werden, solange die Ordnungsmäßigkeit der Geschäftsorganisation gemäß § 25a Abs. 1 KWG nicht beeinträchtigt wird (→ AT 9 Tz. 4). Im Zuge der fünften MaRisk-Novelle hat die BaFin die Anforderungen an die Auslagerung der Risikocontrolling-Funktion, der Compliance-Funktion und der Internen Revision aufgrund ... mehr

Rz. 377 Das Institut hat die Ausführung der ausgelagerten Aktivitäten und Prozesse durch den Dienstleister ordnungsgemäß zu überwachen. Die Überwachung erstreckt sich in erster Linie auf die Ergebniskontrolle und die für diese Zwecke eingerichteten Prozesse und Strukturen. Folgende Aufgaben spielen im Rahmen der Überwachung eine wichtige Rolle:[1] Soll-Ist-Vergleiche auf Basi... mehr

Rz. 48 Für die Analyse der jeweiligen NPE-Portfolios sind auf die NPE-Abwicklung spezialisierte und hinreichend qualifizierte Mitarbeiter heranzuziehen (→ BTO 1.2.5 Tz. 1, Erläuterung). In allgemeiner Form ist eine angemessene Personalausstattung bereits an anderer Stelle gefordert. So hat sich die quantitative und qualitative Personalausstattung des Institutes insbesondere ... mehr

Rz. 8 Ein wesentliches Motiv für die Auslagerung von Aktivitäten und Prozessen auf Dritte ist für die Institute die Möglichkeit der Kostenreduzierung. Spezialisierte Auslagerungsunternehmen können in der Regel Größenvorteile und Mengeneffekte sowie Erfahrungs- und Know-how-Vorteile realisieren. Ein weiterer Effekt mit potenziellen Kostenvorteilen kann die Umwandlung von fixe... mehr

Rz. 105 Die Tests sollten auch schwerwiegende, aber plausibel mögliche Szenarien umfassen.[1] Dabei müssen neben ggf. institutsindividuell definierten Szenarien auch die von der Aufsicht zur Entwicklung der Geschäftsfortführungspläne vorgegebenen "Notfallszenarien" berücksichtigt werden. Das bedeutet konkret, dass mindestens der (Teil-)Ausfall eines Standortes (z. B. durch H... mehr

Rz. 188 Die Risikoanalyse muss grundsätzlich alle relevanten Aspekte umfassen, die für die angemessene Einbindung der ausgelagerten Aktivitäten und Prozesse in das Risikomanagement von Bedeutung sind. Um dies zu gewährleisten, sind die von der Auslagerung maßgeblich betroffenen Organisationseinheiten bei der Risikoanalyse zu beteiligen. Welche Organisationseinheiten bei der ... mehr

Rz. 11 Hinsichtlich der Darstellung der Organisationsrichtlinien kommt es aus Sicht der deutschen Aufsicht in erster Linie darauf an, dass diese sachgerecht und für die Mitarbeiter des Institutes nachvollziehbar sind. Die konkrete Art und Weise der Darstellung bleibt daher den Instituten selbst überlassen (→ AT 5 Tz. 1, Erläuterung). Beispielhaft wird auf Handbücher, Arbeits... mehr

Rz. 150 Gemäß Art. 4 Abs. 1 Nr. 52 CRR bezeichnet das "operationelle Risiko" das Risiko von Verlusten, die durch die Unangemessenheit oder das Versagen von internen Verfahren, Menschen und Systemen oder durch externe Ereignisse verursacht werden, einschließlich Rechtsrisiken. Vor diesem Hintergrund sollten sich die Institute darüber im Klaren sein, dass die relevanten Risiko... mehr

a) Gesamtverantwortung der Geschäftsleitung Gemäß AT 3 Tz. 1 sind alle Geschäftsleiter für die ordnungsgemäße Geschäftsorganisation und deren Weiterentwicklung verantwortlich. Diese Verantwortung umfasst alle wesentlichen Elemente des Risikomanagements. Die Geschäftsleiter werden dieser Verantwortung nur gerecht, wenn sie die Risiken beurteilen können und die erforderlichen M... mehr

Rz. 212 In Abgrenzung zur "Datensicherheit" geht es beim "Datenschutz" um den Schutz personenbezogener Daten vor etwaigem Missbrauch durch Dritte. Damit soll der Einzelne davor geschützt werden, dass er durch den Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird. Die englische Bezeichnung für "Datenschutz" ist "Data Protection" als ... mehr

Rz. 117 3 Die IT-Systeme sind vor ihrem erstmaligen Einsatz und nach wesentlichen Veränderungen zu testen und von den fachlich sowie auch von den technisch zuständigen Mitarbeitern abzunehmen. Hierfür ist ein Regelprozess der Entwicklung, des Testens, der Freigabe und der Implementierung in die Produktionsprozesse zu etablieren. Produktions- und Testumgebung sind dabei grund... mehr

AT 9 Tz. 5 MaRisk schränkt die Auslagerung der besonderen Funktionen anhand bestimmter Kriterien ein. Demnach ist "eine vollständige Auslagerung der besonderen Funktionen Risikocontrolling‐Funktion, Compliance‐Funktion oder Interne Revision […] lediglich für Tochterinstitute innerhalb einer Institutsgruppe zulässig, sofern das übergeordnete Institut Auslagerungsunternehmen i... mehr

a. Risikoanalyse: Die Aufsicht stellt zunächst die Zielrichtung der in den MaRisk geforderten Risikoanalyse dar. Mittels Risikoanalyse ist im ersten Schritt zu prüfen welche Risiken mit der geplanten Maßnahme überhaupt verbunden sind. In einer Gesamtschau wird anschließend entschieden, ob diese Risiken wesentlich oder unwesentlich sind. AT 9 Tz. 2 MaRisk mit den dazugehörigen... mehr

Rz. 1 1 Vor wesentlichen Veränderungen in der Aufbau- und Ablauforganisation sowie in den IT-Systemen hat das Institut die Auswirkungen der geplanten Veränderungen auf die Kontrollverfahren und die Kontrollintensität zu analysieren. In diese Analysen sind die später in die Arbeitsabläufe eingebundenen Organisationseinheiten einzuschalten. Im Rahmen ihrer Aufgaben sind auch d... mehr

Rz. 29 Im Zuge der fünften MaRisk-Novelle wurden die vom Baseler Ausschuss für Bankenaufsicht formulierten Anforderungen an das Datenmanagement, die Datenqualität und die Aggregation von Risikodaten (BCBS 239)[1] in das neue Modul AT 4.3.4 aufgenommen und damit in die deutsche Aufsichtspraxis überführt.[2] Die Anforderungen galten nur für systemrelevante Institute, wobei die... mehr

Rz. 29 Der Begriff "Kompetenz" hat verschiedene Bedeutungen. Einerseits kann damit auf die Fähigkeiten einer Person abgestellt werden, wie z. B. auf ihre Fach-, Methoden-, Sozial- oder Sprachkompetenz. Andererseits können im Zusammenhang mit organisatorischen Vorgaben die Zuständigkeiten, Befugnisse oder Berechtigungen gemeint sein, um die es auch im Zusammenhang mit den MaR... mehr

Rz. 65 Die Geschäftsleitung des übergeordneten Unternehmens ist verpflichtet, eine gruppenweite Geschäftsstrategie sowie eine dazu konsistente Risikostrategie festzulegen und für deren Umsetzung Sorge zu tragen. Diese Anforderungen bestehen in vergleichbarer Weise auf Institutsebene (→ AT 4.2 Tz. 4) und ergeben sich bereits aus dem Verweis von § 25a Abs. 3 Satz 1 KWG auf § 2... mehr

Rz. 171 Die Definition und Abgrenzung der Begriffe "Risikoappetit", "Risikotragfähigkeit" und "Risikoprofil" wurde bereits an anderer Stelle ausführlich erläutert (→ AT 4, Einführung und Überblick). Demnach beschreibt der "Risikoappetit" ("risk appetite")[1] in qualitativer und quantitativer Weise die Art und das Niveau der Risiken, die ein Unternehmen angesichts seiner wirt... mehr

Rz. 63 Nachdem der Notfall auf der Basis verschiedener Ersatzlösungen bewältigt wurde, drängt sich die Frage nach der Rückkehr zum Normalbetrieb auf. Dafür sind Wiederherstellungspläne zu entwickeln, die innerhalb eines angemessenen Zeitraumes die Rückkehr zum Normalbetrieb ermöglichen sollen. In Wiederherstellungsplänen sind z. B. die Möglichkeiten zur Wiederbeschaffung aus... mehr

Rz. 28 Die Nutzung des Outputs ist ein wichtiger Indikator für die Bedeutung des Modells im Risikomanagement. Diese Bedeutung hängt insbesondere davon ab, welche Ergebnisse das Modell liefert und mit welcher Relevanz diese Ergebnisse in die Geschäftsprozesse des Institutes einfließen. Beispiele sind Risikomodelle der zweiten Säule, Risikofrüherkennungsverfahren etc. Dabei so... mehr

Rz. 42 Eine ausschließlich turnusmäßige Erstellung von Risikoberichten, auf deren Basis die steuerungsrelevanten Entscheidungen der Geschäftsleitung getroffen werden sollen, würde ein Institut für die Zeiträume zwischen den Berichtsterminen ggf. in ernste Gefahr bringen, wenn sich die aktuelle Risikosituation des Institutes oder die aktuelle Situation der Märkte, auf denen d... mehr

Rz. 15 Im Rahmen der gesamten Unternehmensführung ("Corporate Governance") umfasst die interne Governance ("Internal Governance") die Definition der Rollen und Verantwortlichkeiten der relevanten Personen, Funktionen, Gremien und Ausschüsse innerhalb eines Institutes sowie deren Zusammenspiel. Die interne Governance bezieht sich insofern auf die interne Organisation eines In... mehr

Rz. 29 In der folgenden Übersicht wird im Einzelnen dargestellt, welche Abschnitte bzw. Textziffern von der deutschen Aufsicht an welcher Stelle und auf welche Weise in die MaRisk überführt worden sind. Damit soll ein Auffinden der entsprechenden Kommentierung erleichtert werden. In den ersten drei Spalten sind die Nummerierung und die Überschriften der einzelnen Abschnitte ... mehr

Rz. 1 Operationelle Risiken werden im Gegensatz zu Adressenausfallrisiken oder Marktpreisrisiken vom Institut zwar grundsätzlich nicht bewusst eingegangen, um daraus Erträge zu generieren. Allerdings müssen sich die Institute z. B. bei der Einführung neuer (komplexer) Produkte oder bei Änderungen betrieblicher Prozesse und Strukturen der damit verbundenen prozessualen, recht... mehr

4.3.1 Betriebsstabilität Rz. 176 Zwar sind mit Informations- und Kommunikationstechnologien (IKT) sowohl Chancen als auch Risiken verbunden. Die IKT-Risiken bleiben nach Einschätzung der EU-Kommission aber trotz zahlreicher regulatorischer Maßnahmen in erster Linie eine Herausforderung für die "Betriebsstabilität", die Leistungsfähigkeit der Institute und die Stabilität des F... mehr

Rz. 1 Bei Industrieunternehmen ist die Leistungserstellung das Ergebnis des Zusammenwirkens verschiedener Produktionsfaktoren. Für Kredit- und Finanzdienstleistungsinstitute gilt im Prinzip nichts anderes. Kapital, Arbeit und Betriebsmittel werden in einem bestimmten Verhältnis miteinander kombiniert, um auf diese Weise die Ziele des Institutes bestmöglich zu verwirklichen. ... mehr

Rz. 42 Grundsätzlich sind für sämtliche Geschäftsabschlüsse außerhalb der Geschäftsräume interne Vorgaben erforderlich, aus denen insbesondere die Berechtigten, der Zweck, der Umfang und die Erfassung hervorgehen. Das gilt also nicht nur für die klassischen Außer-Haus-Geschäfte, sondern ebenso für die Geschäftsabschlüsse an häuslichen Arbeitsplätzen. Allerdings dienen die in... mehr

Rz. 33 Die Compliance-Funktion hat in erster Linie den Compliance-Risiken entgegenzuwirken, die sich aus der Nichteinhaltung bestehender rechtlicher Regelungen und Vorgaben ergeben können. Bei einem Verstoß gegen die geltenden gesetzlichen Regelungen und Vorgaben drohen dem Institut ggf. (Geld-)Strafen, Bußgelder sowie Schadensersatzansprüche und/oder die Nichtigkeit von Ver... mehr

Rz. 1 Risiken sind fester Bestandteil der menschlichen Umwelt. Neben gesundheitlichen Risiken, politischen Risiken oder unternehmerischen Risiken existiert eine Vielzahl weiterer Risiken. Ihre Dimensionen rücken dabei häufig erst durch Katastrophen, Unternehmenspleiten, Unfälle oder Krankheiten in das Bewusstsein unserer Gesellschaft. Risiken sind allgegenwärtig. Je offener ... mehr

Rz. 191 Mit Blick auf die Auslagerung an Cloud-Anbieter hat die Aufsicht in der im Jahr 2024 veröffentlichten "Aufsichtsmitteilung zu Auslagerungen an Cloud-Anbieter"[1] das vormals als "Orientierungshilfe"[2] bekannte Dokument unter anderem um das Kapitel "Sichere Anwendungsentwicklung und IT-Betrieb in der Cloud" erweitert.[3] Dabei widmet sich die Aufsicht auch eingehend ... mehr

Rz. 282 Im MaRisk-Fachgremium wurde lange darüber diskutiert, wie z. B. Verbundinstitute mit einem einzigen Rechenzentrum und keiner kurzfristig greifenden Alternativlösung mit dieser Anforderung umgehen sollen. Seitens der Institute wurde darauf verwiesen, dass durch eine Beteiligung in den maßgeblichen Aufsichtsorganen der Dienstleister eine gewisse Einflussnahme auf diese... mehr

Rz. 1 1 Nach § 25a Abs. 3 KWG sind die Geschäftsleiter des übergeordneten Unternehmens einer Institutsgruppe oder Finanzholding-Gruppe sowie die Geschäftsleiter des übergeordneten Finanzkonglomeratsunternehmens eines Finanzkonglomerates für die Einrichtung eines angemessenen und wirksamen Risikomanagements auf Gruppenebene verantwortlich. Die Reichweite des Risikomanagements... mehr

Da von Seiten der Institute ein nachvollziehbares Interesse an Rechts- und Planungssicherheit besteht, haben sich die Spitzenverbände der Kreditwirtschaft dafür ausgesprochen, dass mit den MaRisk die an die Institute gerichteten qualitativen Anforderungen der Säule 2 ("Supervisory Review Process" – SRP) abgedeckt werden sollten. Ohne dem Gesetzgeber vorgreifen zu wollen, ist... mehr

Rz. 71 Voraussetzung für eine sachgerechte Ausgestaltung der Prozesse im Handel ist die ordnungsgemäße Erfassung der Geschäfte. Dadurch wird zum einen sichergestellt, dass die Handelsgeschäfte effizient abgewickelt werden. Zum anderen können die Risiken aus den Handelsgeschäften angemessenen in den Risikosteuerungs- und -controllingprozessen berücksichtigt werden, indem die ... mehr

Rz. 3 Der Systematik der MaRisk entsprechend wird die Erfassung der Handelsgeschäfte dem Handel zugeordnet (→ BTO 2.2.1 Tz. 5). Bei handelsintensiven Instituten werden die Händler bei der Erfassung von komplexen Buchungen teilweise durch entsprechende Support-Funktionen aus dem Handelsbereich unterstützt (→ BTO 2.2.1 Tz. 6). Die Überleitung an die Abwicklung und das (Risiko-... mehr

Rz. 211 Die Festlegung von Maßnahmen zur Sicherstellung der "Datensicherheit" hat sich in jedem Fall am Schutzbedarf der verarbeiteten Daten zu orientieren. Das ergibt sich bereits aus der Definition, weil die "Datensicherheit" bzw. "Informationssicherheit" den Schutz von Daten hinsichtlich gegebener Anforderungen an deren Vertraulichkeit, Verfügbarkeit und Integrität bezeic... mehr

Rz. 90 Die zuständigen Behörden sollten im Rahmen des SREP bewerten, ob das Institut über einen wirksamen Rahmen für die Ermittlung, das Verständnis, die Messung und die Minderung des IKT-Sicherheitsrisikos verfügt. Damit sollten klar definierte Rollen und Verantwortlichkeiten in Bezug auf die Person(en) und/oder Ausschüsse festgelegt sein, die für das tägliche IKT-Sicherhei... mehr

Rz. 13 Das Konzept und anschließend die Aufnahme der laufenden Geschäftstätigkeit sind grundsätzlich von den zuständigen Geschäftsleitern unter Einbeziehung des für das Risikocontrolling verantwortlichen Geschäftsleiters zu genehmigen. Die Genehmigung kann auf der Grundlage klarer Vorgaben delegiert werden, z. B. auf ein internes Gremium (NPP-Arbeitsgremium etc.). Die Geschä... mehr

Rz. 43 Im Hinblick auf die konkrete Ausgestaltung des Risikomanagements auf Gruppenebene werden den Instituten gewisse Spielräume gelassen. Offensichtlich stößt eine Eins-zu-eins-Orientierung an den entsprechenden Regelungen der MaRisk auf Institutsebene aus verschiedenen Gründen an ihre Grenzen (z. B. nicht praktikable Doppelungen auf Gruppen- und Institutsebene). Gemäß dem... mehr

Rz. 272 Die inhaltliche Ausgestaltung der Geschäftsstrategie – und damit grundsätzlich auch der dazu konsistenten Risikostrategie – verbleibt allein in der Verantwortung der Geschäftsleitung (→ AT 4.2 Tz. 1, Erläuterung). Allerdings werden einige Vorgaben dazu gemacht, was für besondere strategische Aspekte unter welchen Voraussetzungen von den Instituten zu berücksichtigen ... mehr

Rz. 28 Unter Aufgaben versteht man i. d. R. für einzelne Mitarbeiter bestehende Pflichten, eine vorgegebene Handlung durchzuführen und dabei ein bestimmtes Ergebnis anzustreben. Die MaRisk beziehen sich auf vielfältige Aufgaben, die häufig Kontrollcharakter besitzen. So sind z. B. im Rahmen der Abwicklung von Handelsgeschäften auf der Basis der vom Handel erhaltenen Unterlag... mehr

Rz. 316 Um eine ordnungsgemäße Interne Revision auch im Fall der Auslagerung sicherzustellen, sind im Auslagerungsvertrag Informations- und Prüfungsrechte zugunsten der Internen Revision des auslagernden Institutes zu vereinbaren. Die Interne Revision prüft und beurteilt die Ordnungsmäßigkeit grundsätzlich aller Aktivitäten und Prozesse eines Institutes, unabhängig davon, ob... mehr