Fachbeiträge & Kommentare zu IT

Rz. 1 1 Vor der Übernahme anderer Unternehmen oder Fusionen mit anderen Unternehmen hat das Institut ein Konzept zu erarbeiten, in dem die wesentlichen strategischen Ziele, die voraussichtlichen wesentlichen Konsequenzen für das Management der Risiken und die wesentlichen Auswirkungen auf das Gesamtrisikoprofil des Institutes bzw. der Gruppe dargestellt werden. Dies umfasst ... mehr

Rz. 148 Zunächst wird entsprechend den konkreten Bedürfnissen der fachlich und technisch zuständigen Mitarbeiter ein Anforderungsprofil erstellt, das den Ausgangspunkt für die Suche nach einer geeigneten Lösung auf dem Markt für Softwareprodukte darstellt. Dabei sollten das Vorliegen von Referenzen (z. B. Zertifikate nach bestimmten Standards, Qualitätsbeurteilungen aus Fach... mehr

Rz. 43 Die Erkenntnisse aus beiden Analysen dienen im nächsten Schritt dazu, das Notfallkonzept mit Leben zu füllen. Im "Notfallkonzept" sollen u. a. die Verantwortlichkeiten, Ziele und Maßnahmen zur Fortführung bzw. Wiederherstellung der zeitkritischen Aktivitäten und Prozesse bestimmt werden. Das Notfallkonzept muss zudem die Geschäftsfortführungs- und Wiederherstellungspl... mehr

Rz. 22 Wie im Zusammenhang mit dem Risikoklassifizierungsverfahren (→ BTO 1.4) näher ausgeführt wird, handelt es sich bei quantitativen Risikomerkmalen i. d. R. um Zahlenmaterial, das zu vorgegebenen Vergleichsgrößen oder Kennziffern in Beziehung gesetzt wird. Im Ergebnis lassen sich Relationen ableiten, die im Fall des Verfahrens zur Früherkennung von Risiken Auskunft über ... mehr

Mit der neu eingefügten Tz. 7 bekommt das Modul AT 8 eine erweiterte Grundausrichtung. Wenn auch weiterhin schwerpunktmäßig auf den Neuprodukteprozess abzielend, halte ich es für ebenso erforderlich, dass sich die Institute bei wesentlichen Veränderungen in der Aufbau- und Ablauforganisation und – wegen der besonderen Bedeutung für nahezu sämtliche Risikomanagementprozesse –... mehr

Rz. 4 In der Praxis unterscheidet man zwischen formellen und materiellen Kreditbearbeitungskontrollen. Formelle Kreditbearbeitungskontrollen sind vielfältiger Natur. Hierzu zählen z. B. die Kontrolle der Vollständigkeit und formellen Ordnungsmäßigkeit der Kreditverträge sowie der Sicherheitenverträge, die Einhaltung von Meldevorschriften oder die Zusagen- und Auszahlungskon... mehr

Rz. 123 Soweit die Compliance-Funktion auch für die Identifizierung und das Monitoring zukünftiger rechtlicher Regelungen und Vorgaben verantwortlich ist (→ AT 4.4.2 Tz. 1), kann sich die regelmäßige oder anlassbezogene Berichterstattung der Compliance-Funktion an die Geschäftsleitung auch auf das regulatorische Monitoring einschließlich etwaiger regulatorischer Risiken erst... mehr

Rz. 13 Im Zusammenhang mit einer Kreditvergabe bezeichnet die "Valutierung" die Belastung des Kundenkontos mit dem vereinbarten Kreditbetrag. Wird der Kredit nicht in einer Summe ausgezahlt, sondern in verschiedene Zahlungsabschnitte aufgeteilt (sogenannte "Tranchen"), so spricht man auch von einer "Teilvalutierung". Die Auszahlung in Teilbeträgen ist z. B. in der Immobilien... mehr

Rz. 78 Als Orientierungshilfe für die institutsinterne Geschäftsmodellanalyse empfiehlt sich ein Studium der Vorgehensweise der zuständigen Behörden im Rahmen des SREP. Die Geschäftsmodellanalyse im Rahmen des SREP bezieht neben einer Bewertung der Tragfähigkeit des Geschäftsmodells auch eine Bewertung der Nachhaltigkeit der Geschäftsstrategie des Institutes ein. Damit solle... mehr

Rz. 61 Sowohl der Baseler Ausschuss für Bankenaufsicht (BCBS) als auch die EZB haben konkrete Empfehlungen hinsichtlich der Inhalte von Grundsätzen für das Datenmanagement, die Datenqualität und die Aggregation von Risikodaten abgegeben, die die Basis für eine angemessene Governance bilden sollen.[1] Von den Instituten wird erwartet, dass sie ein effektives Rahmenwerk zur Da... mehr

Rz. 11 Etwa zeitgleich mit der Veröffentlichung der EBA-Leitlinien zur internen Governance im Jahr 2011 hat sich der Baseler Ausschuss für Bankenaufsicht (BCBS) mit der Rolle der Internen Revision auseinandergesetzt.[1] Das im Dezember 2011 zur Konsultation gestellte Papier wurde im Juni 2012 in seiner endgültigen Fassung veröffentlicht. Darin beschreibt der BCBS das Verhäl... mehr

Rz. 2 Die Konzentration verschiedener Aufgaben auf einzelne Personen kann bei Instituten zu mehr oder minder stark ausgeprägten Interessenkonflikten führen, die sich negativ auf die Ziele des Institutes auswirken können. Interessenkonflikte sind grundsätzlich auf allen Hierarchiestufen möglich und können verschiedene Abläufe innerhalb einer Organisation berühren. Mit besonde... mehr

Rz. 11 Das Konzept baut auf der Risikoanalyse auf. Soweit sich hieraus wesentliche Konsequenzen für das Management der Risiken ergeben, sind diese neben den Ergebnissen der Risikoanalyse im Konzept darzustellen. Die Darstellung der Konsequenzen muss im Bedarfsfall entsprechende Maßnahmen nach sich ziehen. Insofern empfiehlt es sich, diese Darstellung mit Handlungsempfehlunge... mehr

Rz. 78 Im Rahmen der Angemessenheitsüberprüfung sind auch die zugrunde liegenden Daten eines Modells kritisch zu würdigen. Einschränkungen in der Datenqualität können sich bereits bei den Rohdaten ergeben. Rohdaten sind z. B. die Kundenstammdaten (Anschrift des Kreditnehmers, Kreditbetrag, Rating etc.) oder die für die Risikorechnung verwendeten Marktdaten (Aktienkurse, Zins... mehr

Rz. 312 Seit der sechsten MaRisk-Novelle ist in den Auslagerungsvereinbarungen die vereinbarte Dienstleistungsgüte mit eindeutig festgelegten Leistungszielen festzulegen. Zudem haben die Institute bei wesentlichen Auslagerungen die Leistungserbringung des Auslagerungsunternehmens anhand vorzuhaltender Kriterien (z. B. Key Performance Indicators, Key Risk Indicators) und ver... mehr

Rz. 138 Normalerweise wird durch einen Kreditbeschluss ein Prozess ausgelöst, der mit der (IT-technischen) Erfassung des kreditnehmerbezogenen (internen oder externen) Limits beginnt und durch die vereinbarten Tilgungen oder Sonderzahlungen zu den im Kreditvertrag festgelegten Zeitpunkten auch eine entsprechende Limitreduzierung nach sich zieht. Dadurch ist als Grundvorausse... mehr

Rz. 144 Die zeitnahe Verfügbarkeit von aggregierten Risikodaten ist insbesondere in Stressphasen von Bedeutung und damit auch für die bankinternen Stresstests relevant. So sollten die Institute zur Durchführung von Stresstests über ein Verfahren zur Aggregation von Risikodaten verfügen, um genaue und verlässliche Risikodaten pflegen und auf dem neuesten Stand halten zu könne... mehr

Rz. 49 Das Adressenausfallrisiko im Sinne der MaRisk schließt auch das Besicherungsrisiko ein, d. h. die Gefahr von Wertminderungen der Sicherheiten (→ BTO 1.2.1 und BTO 1.2.2). In der CRD IV wird das Besicherungsrisiko im Zusammenhang mit dem Restrisiko erwähnt. Gemäß Art. 80 CRD IV müssen die zuständigen Behörden sicherstellen, dass das Risiko, dass die von den Instituten ... mehr

Rz. 142 5 Bei bedeutenden Instituten und Instituten gemäß § 2 Abs. 9i Satz 2 KWG, welche die in Satz 2 dieser Vorschrift gesetzte Bilanzschwelle überschreiten, hat die exklusive Wahrnehmung der Leitung der Risikocontrolling-Funktion grundsätzlich durch einen Geschäftsleiter zu erfolgen. Er kann auch für die Marktfolge zuständig sein, sofern eine klare aufbauorganisatorische ... mehr

Rz. 149 An die Vorauswahl schließt sich die Testphase an. Für die als geeignet eingestuften Softwareprodukte sollten Testlizenzen besorgt werden, auf deren Grundlage eruiert werden kann, ob die Produkte tatsächlich dem Anforderungsprofil entsprechen. Für die Testphase schlägt das BSI folgenden Prozessablauf vor:[1] In der Phase der Testvorbereitung werden die Testmethoden für... mehr

Rz. 36 Entscheidungsrelevant könnte also vor allem die Beantwortung der Frage sein, für welche Segmente der mit der Etablierung eines derartigen Verfahrens erzielbare Nutzen den verbundenen Aufwand rechtfertigt. Gerade im Mengenkreditgeschäft werden ohnehin häufig IT-gestützte Instrumentarien eingesetzt, die zwar kein Frühwarnsystem darstellen, jedoch risikobegrenzende Maßna... mehr

Rz. 2 Maßgeblich für den Anwenderkreis der MaRisk auf Institutsebene ist der Institutsbegriff nach den §§ 1 Abs. 1b und 53 Abs. 1 KWG. Rz. 3 Gemäß § 1 Abs. 1b KWG zählen zu den Instituten im Sinne des Kreditwesengesetzes sowohl Kreditinstitute (§ 1 Abs. 1 KWG) als auch Finanzdienstleistungsinstitute (§ 1 Abs. 1a KWG). Erfasst werden daher alle deutschen Kredit- und Finanzdien... mehr

Rz. 19 Allerdings zeigt die Praxis, dass die Interne Revision zu bestimmten Anlässen zeitweise auf das ausgewiesene Spezialwissen von Mitarbeitern anderer Organisationseinheiten zurückgreifen muss. Die zunehmende Komplexität der Geschäftsaktivitäten und die damit einhergehenden steigenden Anforderungen an das Risikomanagement erfordern in nahezu allen relevanten Bereichen de... mehr

Rz. 11 Im ersten Entwurf zur dritten MaRisk-Novelle vom 9. Juli 2010 wurde zunächst gefordert, die Anforderungen an den NPP auch bei Übernahmen und Fusionen "sinngemäß" anzuwenden. Mit dieser offenen Formulierung sollte zum Ausdruck gebracht werden, dass sich nicht sämtliche Anforderungen ohne Weiteres auf Fusionen und Übernahmen übertragen lassen. Dies folgt allein aus der ... mehr

Rz. 45 Das (Gesamt-)Risikoprofil ("risk profile") ist das Ergebnis der mithilfe verschiedener Instrumente und Maßnahmen zu einem bestimmten Zeitpunkt ("point-in-time") vorgenommenen Bewertung der von einem Unternehmen tatsächlich eingegangenen und potenziellen Risiken, die mit seinen Geschäftsaktivitäten verbunden sind.[1] Die Institute müssen das Gesamtrisikoprofil im Rahme... mehr

Rz. 7 Die formellen Kontrollen können im Rahmen des üblichen Vier-Augen-Prinzips wahrgenommen werden, soweit sie nicht schon über geeignete IT-Anwendungen umgesetzt sind. Hinsichtlich der organisatorischen Zuordnung der Kreditbearbeitungskontrollen werden in den MaRisk keine Vorgaben gemacht. Sie können daher sowohl im Bereich Markt als auch in einem marktunabhängigen Bereic... mehr

Rz. 170 In Abhängigkeit von den jeweils verwendeten Verfahren der internen Steuerung kann insbesondere die Erfassung und Historisierung von Schadensfällen, die auf operationelle Risiken zurückgehen, eine ähnlich große Bedeutung wie die Ausfallhistorien im Kreditrisikobereich erlangen. Institute, die zur Eigenkapitalbemessung des operationellen Risikos frühzeitig fortgeschrit... mehr

Die Überführung und Ergänzung bestehender Anforderungen in das neue Modul BTR 5 soll dazu beitragen, dass Thema Konzentrationsrisiken noch stärker als bisher in das Bewusstsein der Institute zu rücken. Insbesondere sind von den Instituten angemessene Prozesse zur Identifizierung, Beurteilung, Steuerung, Überwachung und Kommunikation von Konzentrationsrisiken einzurichten. Di... mehr

Rz. 94 Die im Handel ermittelten Positionen sind regelmäßig mit den Positionen abzustimmen, die in den nachgelagerten Prozessen und Funktionen geführt werden. Das betrifft in erster Linie die Abwicklung und das Rechnungswesen. Soweit sich Institute IT-gestützter Systeme bedienen, die den Prozess vom Abschluss des Handelsgeschäftes über dessen Erfassung in den Handelssystemen... mehr

§ 1 Abs. 10: Definition Auslagerungsunternehmen Wer bestimmt die Wesentlichkeit der aus-/weiterverlagerten Aktivitäten und Prozesse? Wenn die Einstufungen der Institute herangezogen werden: Wie sollen aufsichtliche Rechte/Befugnisse (siehe u. a. § 25b Abs. 4a) für ein bestimmtes Auslagerungsunternehmen im Fall abweichender Einstufungen durch verschiedene Institute anwendbar s... mehr

Rz. 85 Der Baseler Ausschuss für Bankenaufsicht erwartet, dass die Risikodatenaggregationskapazitäten und die Verfahren zur Risikoberichterstattung vollumfänglich schriftlich niedergelegt werden.[1] Gefordert werden sogar eine Dokumentation und Erläuterung sämtlicher Prozesse der Risikodatenaggregation.[2] Das Institut muss einen Überblick über die Systemlandschaft und die D... mehr

Rz. 101 Zur Sicherstellung angemessener Abstimmungsprozesse "kann es notwendig sein", dass das Institut Prozesse und Verfahren etabliert, die eine jederzeitige Verifizierung der Entstehungshistorie von Positionen und Zahlungsströmen ("Cashflows") gewährleisten (→ BTO 2.2.2 Tz. 7, Erläuterung). Trotz dieser weichen Formulierung sollte davon ausgegangen werden, dass es sich um... mehr

Rz. 194 Der bei der Risikoanalyse zu betreibende Aufwand orientiert sich am Proportionalitätsprinzip. Die Intensität der Analyse hängt von Art, Umfang, Komplexität und Risikogehalt der ausgelagerten Aktivitäten und Prozesse ab (→ AT 9 Tz. 2, Erläuterung). Diese Vorgehensweise entspricht den Vorstellungen der EBA, die in ihren Leitlinien zu Auslagerungen den Grundsatz der Pro... mehr

Rz. 58 Nach § 25b Abs. 1 Satz 1 KWG muss ein Institut bei einer Auslagerung von Aktivitäten oder Prozessen auf ein anderes Unternehmen, die für die Durchführung von Bankgeschäften, Finanzdienstleistungen oder institutstypischen Dienstleistungen wesentlich sind, angemessene Vorkehrungen treffen, um übermäßige zusätzliche Risiken zu vermeiden. Die alte Regelung des § 25a Abs. ... mehr

Rz. 8 Notwendige Anpassungen der institutsinternen Strukturen (z. B. aufgrund veränderter Marktbedingungen oder eines Strategiewechsels) lassen sich in vielen Fällen nicht auf der Basis etablierter Regelprozesse umsetzen. Um der Komplexität solcher Anpassungsprozesse Genüge zu tun, werden daher häufig Projekte initiiert. Ein "Projekt" ist ein komplexes Vorhaben, welches zeit... mehr

Rz. 14 Interessenkonflikte sind auch bei Arbeitsplatzwechseln von Mitarbeitern zu vermeiden. Hierbei handelt es sich um eine Anforderung, die im Rahmen der dritten MaRisk-Novelle eingefügt wurde. Sie orientiert sich an entsprechenden Vorgaben von CEBS, die allerdings ihren Schwerpunkt auf die Handelsaktivitäten der Institute legen ("Market-related Activities").[1] So können ... mehr

Rz. 22 Unter dem Eindruck der Finanzmarktkrise hat der Gesetzgeber im Rahmen des Trennbankengesetzes Regelungen in das Kreditwesengesetz aufgenommen, die es ermöglichen, zukünftig Pflichtverletzungen im Risikomanagement auch von Geschäftsleitern auf Gruppenebene strafrechtlich zu sanktionieren (§ 54a KWG). Die Anforderungen an die Geschäftsleiter des übergeordneten Unternehm... mehr

Rz. 450 Das Modul AT 9 enthielt bis zur sechsten MaRisk-Novelle keine speziellen Anforderungen an die Dokumentation im Hinblick auf die Auslagerungen von Aktivitäten und Prozessen auf andere Unternehmen. Es galten lediglich die allgemeinen Anforderungen an die Dokumentation, wonach die für die Einhaltung der MaRisk wesentlichen Handlungen und Festlegungen nachvollziehbar zu ... mehr

Rz. 60 Das Institut hat die für eine angemessene Beurteilung, Steuerung und Überwachung von Risiken und für die Bereitstellung von Informationen relevanten Daten vorzuhalten. Hierunter fallen insbesondere Daten zu Sicherheiten und zur Beziehung zwischen der jeweiligen Sicherheit und der zugrunde liegenden Transaktion (→ AT 4.3.2 Tz. 1, Erläuterung). Es ist einleuchtend, dass... mehr

Rz. 69 Soweit in den MaRisk auf die EBA-Leitlinien für die Kreditvergabe und Überwachung verwiesen wird, können die damit verbundenen Anforderungen unter Berücksichtigung der in Tz. 16 dieser Leitlinien genannten Verhältnismäßigkeitskriterien umgesetzt werden (→ AT 1 Tz. 3, Erläuterung). Das gilt natürlich auch für jene Anforderungen, die aus den EBA-Leitlinien direkt in die... mehr

Rz. 75 Um den operationellen Risiken durch ein angemessenes Risikomanagement Rechnung tragen zu können, muss im Institut zunächst Klarheit darüber herrschen, was unter dieser Risikoart genau zu verstehen ist. Insofern beginnt das Management operationeller Risiken mit deren Definition. Grundsätzlich werden diesbezüglich von der deutschen Aufsicht keine Vorgaben gemacht. Alle... mehr

Rz. 76 Soweit die Institute fortgeschrittene statistische Modelle[1] zur Bewertung, Neubewertung und Überwachung der Werte von Sicherheiten verwenden, sollten sie in ihren Strategien und Verfahren die Kriterien für deren Verwendung festlegen (→ BTO 1.2 Tz. 2, Erläuterung). Damit wird einerseits zum Ausdruck gebracht, dass fortgeschrittene statistische Modelle durchaus zur Be... mehr

Rz. 7 Mit der siebten MaRisk-Novelle wurden Anpassungen im Hinblick auf die Geschäftsmodellanalyse vorgenommen, wobei es sich hierbei weitgehend um eine Klarstellung der Begriffe sowie bestehender Anforderungen handelt. Bezüglich der Berichterstattung wurde in den Modulen AT 4.3.2 und BT 3.1 konkretisiert, dass neben der Berichterstattung zur Risikosituation eines Institutes... mehr

Rz. 408 Weiterverlagerungen[1] (auch "Sub-Outsourcing" oder "Chain-Outsourcing") sind in der Praxis weiter verbreitet, als man auf den ersten Blick erwarten würde. Nach Untersuchungen der Europäischen Zentralbank war bereits Ende 2004 etwa 50 Prozent der auslagernden Institute in Europa bekannt, dass ihre Dienstleister bestimmte Aktivitäten und Prozesse an Dritte (Subunterne... mehr

Die Aufsicht stellt zu den NPL‐Leitlinien eine Präsentation vor, die insbesondere die Schwerpunkte "Umsetzung" und "Wesentliche Neuerungen" beinhaltet. Zur "Umsetzung" führt die Aufsicht aus, dass die deutsche Aufsicht im Rahmen des "Comply‐or‐explain‐Verfahrens" der EBA ein "intend to comply" bis Ende 2020 für diese Leitlinien erklärt hat. Ihre Umsetzung erfolgt im Rahmen de... mehr

Rz. 422 Die zunehmende Fragmentierung von Wertschöpfungsketten stellt Finanzunternehmen insbesondere bei standardisierten IT-Dienstleistungen vor die Herausforderung, den aufsichtsrechtlichen Anforderungen entsprechende Verträge mit Dienstleistern aushandeln zu müssen. Dies betrifft insbesondere Regelungen, die der Überwachung der gesamten Wertschöpfungskette dienen. Hier ha... mehr

Rz. 216 Die BaFin hat – im Unterschied zum Rundschreiben 11/2001 – ebenfalls darauf verzichtet, Beispiele für "nicht wesentliche" Auslagerungen in den Regelungstext der MaRisk aufzunehmen. Als "nicht wesentlich" waren nach dem Rundschreiben 11/2001 u. a. die folgenden Sachverhalte einzuordnen: das Inkassowesen, die Geldautomatenversorgung, die Wartung technischer Geräte (auc... mehr

Rz. 92 Das Postulat der Vollständigkeit hängt eng mit der Identifizierung der wesentlichen Risiken zusammen. Werden im Zuge der Risikoidentifizierung, z. B. wegen methodischer Schwächen oder einer ungenügenden Datenbasis, bestimmte wesentliche Risiken nicht bzw. nicht vollständig erfasst, können sie folglich auch nicht bzw. nicht in angemessener Weise im Rahmen der folgenden... mehr

Rz. 152 Auch die EBA gestattet eine verhältnismäßige Anwendung ihrer detaillierten Vorgaben aus Abschnitt 5 der Leitlinien für die Kreditvergabe und Überwachung, indem die Institute bei der Umsetzung den Umfang, die Art und die Komplexität der jeweiligen Kreditfazilität – unbeschadet der Art. 18 und 20 der Wohnimmobilienkreditrichtlinie ("Mortgage Credit Directive", MCD)[1] ... mehr

Rz. 16 In den MaRisk wird kein Einheitsprozess gefordert, der schablonenhaft bei jeder neuartigen Aktivität zu durchlaufen ist. Es bestehen vielmehr Gestaltungsspielräume für alternative Vorgehensweisen. Maßgeblich für die jeweilige Ausgestaltung des NPP sind dabei vor allem der Grad der Neuartigkeit und die Bedeutung der Aktivitäten oder Vertriebswege für das Institut. Grun... mehr