Fachbeiträge & Kommentare zu IT

Rz. 18 Um einen "Notfall" richtig einordnen zu können, ist es hilfreich, sich einen Überblick über die verschiedenen Ursachen für Unterbrechungen von Geschäftsprozessen und deren mögliche Auswirkungen zu verschaffen. Hilfestellung liefert das Bundesamt für Sicherheit in der Informationstechnik (BSI). Den Definitionen vom BSI zufolge können verschiedene "Schadensereignisse" b... mehr

Rz. 18 Unter dem Begriff der Personalentwicklung werden alle Maßnahmen zusammengefasst, die darauf abzielen, bestehende Mitarbeiterqualifikationen mit einem einheitlichen Konzept zu erweitern oder neue Qualifikationen zu vermitteln.[1] Es geht dabei nicht nur um die Verbesserung von Fachkompetenzen, sondern auch um die (Weiter-)Entwicklung von Sozial- und Führungskompetenzen... mehr

Wolff-Diepenbrock, Zur Begriffsbestimmung der Katalogberufe und der ihnen ähnlichen Berufe, DStZ/A 1981, 333; Rothaus, Abgrenzung zwischen freiberuflicher und gewerblicher Tätigkeit von Ingenieuren oder ähnlichen Berufen, INF 1982, 344; Graf, § 18 EStG und die Tätigkeit des EDV-Beraters, INF 1990, 49; Kempermann, "Ähnliche Berufe" iSd § 18 Abs 1 EStG – zur Problematik der Autod... mehr

Rz. 63 Auf die Notwendigkeit "risikoorientierter Prüfungshandlungen" hat die Bankenaufsicht schon in der Vergangenheit in einschlägigen qualitativen Regelwerken hingewiesen. In den MaIR und den MaK war der Grundsatz der Risikoorientierung fest verankert, in den etwas älteren MaH aus dem Jahr 1995 allerdings noch nicht. Diese sahen bestimmte Prüfungsfelder vor, die von der In... mehr

Rz. 26 Die Aufsichtsbehörden verwenden mittlerweile zwar alle den Begriff "nichtfinanzielle Risiken", geben dafür allerdings keine Definition an.[1] Insofern existiert bisher auch keine eindeutige Zuordnung einzelner Risikoarten zu den NFR. Rz. 27 Die EZB unterscheidet an einer Stelle zwischen operationellen Risiken und nichtfinanziellen Risiken, zu denen sie neben Rechtsrisi... mehr

Rz. 98 Im Zusammenhang mit dem Management der operationellen Risiken (→ BTR 4) wird von der EBA eine Reihe von Unterkategorien genannt, die von den Instituten im Risikomanagement und den zuständigen Behörden beim SREP zu berücksichtigen sind. Dazu gehören u. a. auch Auslagerungsrisiken sowie Informations- und Kommunikationstechnologie-Risiken (IKT-Risiken). Das "IKT-Auslager... mehr

Rz. 143 Die Leitung der Risikocontrolling-Funktion ist einer Person auf einer ausreichend hohen Führungsebene zu übertragen. Sie hat ihre Aufgaben in Abhängigkeit von der Größe des Institutes sowie von Art, Umfang, Komplexität und Risikogehalt der Geschäftsaktivitäten grundsätzlich in exklusiver Weise auszufüllen (→ AT 4.4.1 Tz. 4). Die exklusive Wahrnehmung der Leitung der ... mehr

Rz. 13 Die EBA sieht mit Blick auf das Kreditgeschäft die Kreditvergabe als entscheidende Phase an, um die notwendigen ESG-bezogenen Informationen und Daten von den Vertragspartnern zu sammeln, die in der Erstbewertungsphase direkt in den Überwachungsprozess einfließen. Im Rahmen der Kreditvergabe oder der laufenden Kundenbeziehung sollten die Institute die Bewertung von ESG... mehr

Rz. 98 Der Compliance-Beauftragte und die Mitarbeiter der Compliance-Funktion müssen für ihre Tätigkeit über die erforderlichen Fachkenntnisse und Erfahrungen verfügen. Der Compliance-Beauftragte hat darüber hinaus den besonderen qualitativen Anforderungen entsprechend seines Aufgabengebietes zu genügen (→ AT 7.1 Tz. 3, Erläuterung). Der Compliance-Beauftragte ist als "Inhab... mehr

Rz. 72 Seit der Umsetzung der Anforderungen von Basel III in europäisches Recht weist die Bankenverordnung (Capital Requirements Regulation, CRR) der Internen Revision – unter Berücksichtigung der Anpassungen im Jahr 2024 – insbesondere folgende Aufgaben explizit zu, die mehr ins Detail gehen: Gemäß Art. 191 CRR prüft die Interne Revision oder eine andere vergleichbare unabhä... mehr

Rz. 11 Die Grundsätze des Baseler Ausschusses für Bankenaufsicht beziehen sich auf alle Daten, die für das Risikomanagement wesentlich sind. Die Grundsätze sollen auf sämtliche Daten angewendet werden, die für die Risikosteuerung eines Institutes notwendig sind. Die Anforderungen schließen auch die Modelle für die Ermittlung der Kapitalanforderungen nach der ersten Säule (z.... mehr

Rz. 218 Wie bereits ausgeführt, können mithilfe von Sensitivitätsanalysen jene Risikofaktoren identifiziert werden, die einen erheblichen Einfluss auf das Risikoprofil bzw. auf die Vermögens-, Ertrags- oder Liquiditätssituation eines Institutes und damit auf seine Anfälligkeit gegenüber bestimmten Ereignissen haben. Diese Erkenntnisse werden i. d. R. zur Festlegung geeignete... mehr

Rz. 150 Die EBA versteht unter dem "IKT-Änderungsrisiko" das Risiko, das sich aus der mangelnden Fähigkeit des Institutes ergibt, IKT-Systemänderungen zeitgerecht und kontrolliert zu steuern, insbesondere was umfangreiche und komplexe Änderungsprogramme angeht.[1] Das Management dieser Risikokategorie zielt auf die Fehlerbehebung oder notwendige Korrekturen der Daten (→ AT 7... mehr

Rz. 173 Bei der Ermittlung des ökonomischen Risikodeckungspotenzials müssen in konsistenter Weise auch die Verwaltungskosten berücksichtigt werden, die für die Fortführung und Verwaltung der Positionen über die gesamte Laufzeit voraussichtlich erforderlich sind. Der Verwaltungskostenbarwert umfasst dabei alle mit der Pflege des Bestandsportfolios in Verbindung stehenden Kost... mehr

Rn. 185 Stand: EL 191 – ET: 08/2026 Ein ähnlicher Beruf (s Rn 129 ff) liegt nach allg Grundsätzen nur dann vor, wenn er auf einer durch Selbststudium oder in sonstiger Weise erworbenen vergleichbar breiten fachlichen Vorbildung beruht (BFH BStBl II 1990, 73; BFH BStBl II 2000, 616; BFH BStBl II 2002, 768; BFH BStBl II 2003, 27) und sich die Beratungstätigkeit auf einen vergle... mehr

Rz. 16 Die EZB hat im Januar 2021 die endgültige Fassung ihres Leitfadens zum aufsichtlichen Ansatz für Konsolidierungen im Bankensektor veröffentlicht. Der Leitfaden stellt das Ziel und den Prozess der von der EZB vorzunehmenden aufsichtlichen Bewertung von Fusionen oder Übernahmen von Instituten dar. Darüber hinaus beschreibt er die Erwartungshaltung der EZB an Konsolidier... mehr

Rz. 12 Eine Arbeitsgruppe der Senior Supervisors Group (SSG)[1] hat die Begriffe "Risikoappetit", "Risikotragfähigkeit" und "Risikoprofil" im Dezember 2010 wie folgt voneinander abgegrenzt und gleichzeitig deren Zusammenhänge dargestellt:[2] Der "Risikoappetit" ("risk appetite") beschreibt die Art und das Niveau der Risiken, die ein Unternehmen angesichts seiner wirtschaftlic... mehr

Rz. 14 Mitarbeiter der Internen Revision dürfen nach den MaRisk grundsätzlich nur für die Interne Revision tätig werden. In der Praxis ist eine solch strikte Aufgabenzuweisung allerdings kaum umsetzbar und auch nicht in jedem Fall sinnvoll. Das Fachwissen und die Erfahrung der Internen Revision müssen – wie bei der Projektbegleitung (→ BT 2.1 Tz. 2) – im Interesse des Instit... mehr

Rz. 6 Bei den ablauforganisatorischen Anforderungen wird der übliche prozessuale Ablauf in der Praxis durch die Unterteilung in die Prozessschritte Handel, Abwicklung und Kontrolle sowie Risikocontrolling nachgebildet: Der Abschluss von Handelsgeschäften stellt den Ausgangspunkt der ablauforganisatorischen Anforderungen dar. Beim Abschluss von Handelsgeschäften durch die Hän... mehr

Rz. 357 Mit dem Digital Operational Resilience Act (DORA)[1] hat der europäische Gesetzgeber für Finanz­unternehmen[2] als Bestandteil des Drittparteienrisikomanagements der Informations- und Kommunikationstechnologie (IKT-Drittparteienrisikomanagement) sektorübergreifende Mindestvorgaben an vertragliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen zwischen Finan... mehr

Rz. 368 Der Implementierung geeigneter Steuerungs- und Überwachungsmechanismen kommt bei Dienstleistungen eine besonders wichtige Rolle zu. Während sich Sachleistungen i. d. R. exakt durch entsprechende Spezifikationen im Auslagerungsvertrag umschreiben lassen, erweist sich dies bei Dienstleistungen häufig als schwieriger. Entwickeln die Geschäftspartner bezüglich des Inhalt... mehr

Rz. 144 Im Zuge der fünften MaRisk-Novelle wurde die Abgrenzung zwischen einer Auslagerung und dem sonstigen Fremdbezug von Leistungen im Bereich der Software und der zugehörigen Unterstützungsleistungen neu geregelt. Die Aufsicht trägt damit der zunehmenden Bedeutung der Informationstechnik (IT) als Basisinfrastruktur für sämtliche fachlichen und nicht-fachlichen Prozesse i... mehr

Rn. 198 Stand: EL 191 – ET: 08/2026 Dem Ingenieur "ähnlich" ist danach nur, wer eine vergleichbare Ausbildung vorweisen kann und eine in den wesentlichen Punkten vergleichbare Tätigkeit ausübt (BFH BStBl II 1983, 677; BFH BStBl II 1985, 584; BFH BStBl II 1988, 497; BFH BStBl II 1989, 198; BFH BStBl II 1990, 73; BFH BStBl II 1990, 337; BFH BStBl II 1991, 20; BFH BStBl II 1991,... mehr

Rz. 27 Die Prüfungen haben in angemessenen Abständen zu erfolgen, wobei grundsätzlich ein Turnus von drei Jahren unterstellt wird. Um eine risikoorientierte Prüfung zu ermöglichen, werden Abweichungen in beide Richtungen zugelassen. Wenn "besondere Risiken" bestehen, ist jährlich zu prüfen.[1] Bei unter Risikogesichtspunkten nicht wesentlichen Aktivitäten und Prozessen kann ... mehr

Rz. 18 Ein Institut sollte über einen ganzheitlichen institutsweiten Rahmen für das Risikomanagement ("Risk Management Framework", RMF) verfügen, der sich auf alle Geschäftsbereiche und internen Einheiten, einschließlich der internen Kontrollfunktionen, erstreckt und dem ökonomischen Gehalt aller Risikopositionen voll und ganz Rechnung trägt. Der RMF sollte das Institut in d... mehr

Rz. 30 Die interne Governance und das Risikomanagement eines Institutes haben einen erheblichen Einfluss auf sein Gesamtrisikoprofil und die Tragfähigkeit seines Geschäftsmodells. Die EZB konzentriert sich im Rahmen des SREP deshalb insbesondere auf die Solidität der Geschäftsmodelle und die Rentabilität des Bankensektors in einem Umfeld, in dem die Institute mit wirtschaftl... mehr

Rz. 14 Operationelle Risiken sind verknüpft mit Menschen, die Fehler machen, mit IT-Systemen, die ausfallen, oder mit Naturkatastrophen, die Unheil anrichten.[1] Unter ihnen versteht man nach der gängigen Definition in Art. 4 Abs. 1 Nr. 52 CRR das Risiko von Verlusten, die durch die Unangemessenheit oder das Versagen von internen Verfahren, Menschen und Systemen oder durch e... mehr

Rz. 99 Während der Konsultationen zur dritten MaRisk-Novelle stand die Frage nach der Abgrenzung zwischen strategischer und operativer Ebene im Fokus der Diskussionen. So wurde von Seiten der Spitzenverbände der Kreditwirtschaft u. a. darauf hingewiesen, dass die Strategien der Institute üblicherweise nur qualitative Leitsätze und Ziele enthalten, die erst auf der nachgeordn... mehr

Rz. 74 Die zuständigen Aufsichtsbehörden berücksichtigen die EBA-Leitlinien zum SREP bei ihrer Aufsichtstätigkeit seit Januar 2016. Aufgrund der Unterscheidung zwischen bedeutenden Instituten (SI) und weniger bedeutenden Instituten (LSI) ist die Europäische Zentralbank (EZB) seit dem 4. November 2014 für den "SI-SREP" verantwortlich, während die BaFin in Abstimmung mit der D... mehr

Rz. 383 Bei wesentlichen Auslagerungen ist die Leistung des Auslagerungsunternehmens laufend anhand vorzuhaltender Kriterien (z. B. "Key Performance Indicators", "Key Risk Indicators") und vertraglich vereinbarter Informationen des Auslagerungsunternehmens zu überwachen. Die Qualität der erbrachten Leistungen ist regelmäßig zu beurteilen. Durch diese Anforderung wird zunäch... mehr

Rz. 102 Gemäß dem Grundsatz der Verhältnismäßigkeit (Proportionalitätsprinzip) sollte das Stresstestprogramm eines Institutes mit seinem individuellen Risikoprofil und Geschäftsmodell übereinstimmen. Die Institute sollten daher bei der Entwicklung und Durchführung des Stresstestprogramms ihre Größe, ihre interne Organisation sowie die Art, den Umfang und die Komplexität ihre... mehr

Rz. 104 Da Strategien in die Zukunft gerichtet sind und sich die Zukunft nicht perfekt vorhersagen lässt, bleibt im Hinblick auf die erfolgreiche Umsetzung der Strategien immer ein mehr oder minder hohes (strategisches) Restrisiko. Die erfolgreiche Umsetzung einer Geschäftsstrategie bzw. der strategischen Ziele hängt ganz wesentlich davon ab, ob das Institut die notwendigen ... mehr

Rz. 1 Nach den nationalen und internationalen Revisionsstandards des Deutschen Institutes für Interne Revision (DIIR)[1] und des Institute of Internal Auditors (IIA)[2] ist die Tätigkeit der Internen Revision u. a. darauf gerichtet, die Geschäftsprozesse zu verbessern. Gemäß diesen Standards unterstützt die Interne Revision die Organisation bei der Erreichung ihrer Ziele, in... mehr

Rz. 104 Die Konzernrevision ist – entsprechend der Anforderung auf Ebene des einzelnen Institutes – ein "Instrument" der Geschäftsleitung des übergeordneten Unternehmens. Die Konzernrevision hat im Rahmen des Risikomanagements der Gruppe ergänzend zur Internen Revision der gruppenangehörigen Unternehmen tätig zu werden. Sie kann dabei auf die Prüfungsergebnisse der Revisione... mehr

Rz. 101 Die Häufigkeit und der Umfang der Überprüfungen sollen sich grundsätzlich an der Gefährdungslage orientieren (→ AT 7.3 Tz. 3, Erläuterung). Für "zeitkritische" Aktivitäten und Prozesse sind die Wirksamkeit und Angemessenheit des Notfallkonzeptes für alle relevanten Szenarien mindestens jährlich und anlassbezogen "nachzuweisen". Dabei geht die Aufsicht grundsätzlich d... mehr

Rz. 407 Mit der weiteren Umsetzung von EBA-Leitlinien in den MaRisk sind aus Sicht der deutschen Aufsicht bestimmte Nachteile verbunden. So nimmt der Umsetzungsprozess relativ viel Zeit in Anspruch, womit der in den EBA-Leitlinien genannte Termin des Inkrafttretens von den weniger bedeutenden Instituten i. d. R. nicht eingehalten wird. Zudem hinkt Deutschland damit anderen e... mehr

Rz. 117 Im Rahmen der fünften MaRisk-Novelle wurden einige Anforderungen auf Basis der Vorgaben des Baseler Ausschusses für Bankenaufsicht (BCBS) für systemrelevante Institute zum Ausbau und zur Verbesserung der Kapazitäten zur Risikodatenaggregation (BCBS 239)[1] in die MaRisk integriert. Diese Vorgaben wurden mit der sechsten MaRisk-Novelle auf bedeutende Institute im Sin... mehr

Rz. 49 Die Identifizierung der Compliance-Risiken ist von entscheidender Bedeutung, da sie den Ausgangspunkt für die anschließenden Prozessschritte Beurteilung, Steuerung, Überwachung und Kommunikation der Risiken bildet. Wesentliche Compliance-Risiken können sich insbesondere aus Änderungen der geschäfts- und risikostrategischen Ausrichtung des Institutes oder der rechtlich... mehr

Rz. 6 Im Fokus der Risikoberichterstattung befinden sich alle vom Institut als wesentlich eingestuften Risikoarten. Auf die jeweiligen Besonderheiten der verschiedenen Risikoarten und der zugehörigen Unterkategorien wird an anderer Stelle ausführlich eingegangen (→ BTR). Vor diesem Hintergrund weist die deutsche Aufsicht darauf hin, dass eine vierteljährliche Risikoberichter... mehr

Rz. 12 Die Anforderungen an die Funktionstrennung werden in Anbetracht des Bestehens spezifischer Interessenkonfliktpotenziale bei bestimmten Geschäftsarten im besonderen Teil der MaRisk enger gefasst. Insbesondere sind in bestimmten Konstellationen aufbauorganisatorische Trennungen verschiedener Organisationseinheiten (Bereiche, Stellen) erforderlich. Zunächst sind bestimmt... mehr

Die neuen Mindestanforderungen lösen meine in Anlage 6 genannten Schreiben ab. Soweit die neuen Anforderungen – auch in modifizierter Form – unmittelbar aus den bisherigen Regelwerken (MaK, MaH, MaIR) in die MaRisk überführt wurden, entfalten sie mit ihrer Veröffentlichung unmittelbare Bindungswirkung und schränken entsprechend ihrer deregulierenden Stoßrichtung die Auslegun... mehr

Rz. 156 Durch die Integration der überarbeiteten Outsourcing-Regelungen in die MaRisk wurde die gesetzliche Grundlage, auf die sich die MaRisk beziehen, erweitert. Die MaRisk dienen seither auch der Auslegung von § 25b KWG (§ 25a Abs. 2 KWG a. F.) – der zentralen gesetzlichen Norm im Bereich der Auslagerung von Aktivitäten und Prozessen, die im Zuge der Umsetzung des Finanzm... mehr

Rz. 8 Es besteht ein enger Zusammenhang zwischen der Qualität der Risikoberichterstattung und den vorhandenen Kapazitäten zur Risikodatenaggregation, wenngleich die entsprechenden Anforderungen an die Risikodatenaggregation in erster Linie für bedeutende Institute gelten[1] (→ AT 4.3.4 Tz. 1). Die deutsche Aufsicht hat deshalb explizit darauf hingewiesen, dass verlässliche u... mehr

Rz. 55 Die Berichterstattung über ESG-Risiken bildet die Basis für deren kontinuierliche Überwachung unter Verwendung von Kennzahlen wie dem Prozentsatz der Transaktionen, die auf ESG-Aspekte überprüft wurden, sowie von Tools, Modellen und Daten. Dafür scheinen geeignete Berichtsrahmen, die durch die zugrunde liegenden IT-Systeme erweitert und unterstützt werden, unerlässlic... mehr

Rz. 51 Die Überwachung, Überprüfung und Neubewertung von beweglichen Vermögensgegenständen kann durch einen Sachverständigen oder auf Basis statistischer Modelle und Indizes erfolgen. Die Institute sollten in ihren Strategien und Verfahren festlegen, unter welchen Voraussetzungen sie auf einen Sachverständigen zurückgreifen und/oder statistische Modelle verwenden möchten. Au... mehr

Rz. 79 Die Aufsicht hat sich im Hinblick auf die Abgrenzung zwischen "neuartig" und "nicht-neuartig" in den MaRisk für eine pragmatische Verfahrensweise entschieden. Die Anforderungen des Moduls AT 8.1 zielen im Kern darauf ab, dass Ungewissheiten im Zusammenhang mit neuartigen ­Aktivitäten in kalkulierbare Risiken transformiert werden, die von den involvierten Organisations... mehr

Rz. 41 Bereits vor der Kreditvergabe sind die Werthaltigkeit und der rechtliche Bestand von Sicherheiten grundsätzlich zu überprüfen (→ BTO 1.2.1 Tz. 2). Das gilt insbesondere dann, wenn die Risikobeurteilung maßgeblich vom Wert der Sicherheiten abhängig gemacht wird, was typischerweise auf Objekt- und Projektfinanzierungen zutrifft (→ BTO 1.2.1 Tz. 1). Da Kreditverträge i.... mehr

Rz. 14 Neben der Integration von neuem Personal gehört auch die Bindung von bestehendem und möglichem künftigen Personal zu den Schlüsselaufgaben des Personalmanagements (sogenannte "Staff Retention").[1] Personalerhaltung kann insbesondere durch die Etablierung von monetären sowie nichtmonetären Anreizinstrumenten erreicht werden. Ein zielführendes Bindungsmanagement, das d... mehr

Rz. 139 Gestaltungsmöglichkeiten ergeben sich auch aus unbestimmten Rechtsbegriffen (z. B. "wesentlich" oder "angemessen"), deren Präzisierung für allgemeingültige Zwecke weder möglich noch zweckmäßig ist. Auch hier müssen Institute – innerhalb des ihnen zustehenden Beurteilungsspielraumes – eine sachgerechte, einzelfallabhängige Lösung zur Auslegung und Umsetzung der entspr... mehr

Rz. 333 Das auslagernde Institut hat dafür Sorge zu tragen, dass im Auslagerungsvertrag Weisungsrechte gegenüber dem Auslagerungsunternehmen vereinbart werden. Eine entsprechende Verpflichtung ergibt sich unmittelbar aus § 25b Abs. 3 Satz 3 KWG. Über die tiefere Bedeutung der Weisungsrechte und ihre Reichweite wurde in der Vergangenheit zum Teil kontrovers diskutiert. Bei Me... mehr