Fachbeiträge & Kommentare zu IT

Rz. 10 Die Institute müssen sicherstellen, dass die NPE-Definition in allen Niederlassungen und Filialen einheitlich verwendet wird (→ BTO 1.2.5 Tz. 1, Erläuterung). Damit soll insbesondere sichergestellt werden, dass ein Kunde mehrerer Institute in derselben Gruppe einheitlich eingestuft wird. Die EBA erwartet ohnehin, dass die Umsetzung der Vorgaben zur Einstufung von Risi... mehr

Rz. 91 Das Institut hat einen Compliance-Beauftragten zu benennen, der für die Erfüllung der Aufgaben der Compliance-Funktion verantwortlich und damit auch der natürliche Ansprechpartner für die Geschäftsleitung ist. Zusätzlich ist ein Stellvertreter zu bestellen, auch wenn die MaRisk dies nicht ausdrücklich verlangen. Die Anforderung ergibt sich aus der Notwendigkeit angeme... mehr

Rz. 15 Eine papierhafte Vorlage der Prüfungsberichte beim fachlich zuständigen Mitglied der Geschäftsleitung ist grundsätzlich nicht erforderlich. In den meisten Instituten erfolgt die Übermittlung nur auf elektronische Weise, entweder per E-Mail oder über ein entsprechendes Tool. Auch die Kenntnisnahme durch den betroffenen Geschäftsleiter kann auf elektronischem Weg sicher... mehr

Rz. 34 Ohne ausreichend qualifiziertes Personal ist kein Institut dauerhaft in der Lage, den Entwicklungen auf den Märkten standzuhalten. Eine hohe Qualifikation der Mitarbeiter stärkt somit die Position des Institutes gegenüber Wettbewerbern. Qualifiziertes Personal bietet zudem die Gewähr dafür, dass die Vorgaben der Geschäftsleitung korrekt nachvollzogen und somit effekt... mehr

Rz. 52 Die EBA verlangt von den Instituten die Erarbeitung eines Rahmenwerkes für die interne Governance, wobei für die jeweiligen Anforderungen (z. B. organisatorische und operative Struktur des Institutes, Auslagerungen, Risikokultur, Verhaltenskodex, Umgang mit Interessenkonflikten, Whistleblowing-Verfahren) Richtlinien vorgehalten werden sollen.[1] In den von der EBA im ... mehr

Rz. 68 Im Kontext der MaRisk erhält die Prüfung und Beurteilung der Wirksamkeit und Angemessenheit des "Risikomanagements im Allgemeinen" und des "internen Kontrollsystems im Besonderen" seitens der Internen Revision eine besondere Gewichtung. Für die Interne Revision geht es also insbesondere um die Prüfung und Beurteilung des internen Kontrollsystems, d. h. der Regelungen ... mehr

Rz. 20 Die Prüfungsplanung ist jährlich fortzuschreiben. Das bedeutet zunächst einmal nur, dass jedes Jahr eine neue Planung aufgestellt werden muss, die auf der Planung des Vorjahres aufbaut und insbesondere mit der Dreijahresplanung im Einklang steht. Schließlich kann die grundsätzliche Prüfung aller Aktivitäten und Prozesse innerhalb von drei Jahren schlecht sichergestell... mehr

Rz. 63 Die MaRisk-Novelle konkretisierte auch die Anforderungen an die Auslagerung von Prozessen und Aktivitäten. Die besonderen Funktionen Risikocontrolling, Compliance und Interne Revision stellen für die Geschäftsleitung wichtige Steuerungsinstrumente dar. Eine vollständige Auslagerung dieser Funktionen ist daher nur in bestimmten Ausnahmefällen möglich.[1] Die Institute ... mehr

Rz. 231 Das Institut hat im Rahmen der Risikoanalyse alle relevanten Aspekte im Zusammenhang mit der Auslagerung zu berücksichtigen, wobei der Bewertung der Eignung des Auslagerungsunternehmens eine besondere Bedeutung zukommt. Diese beinhaltet z. B. die für die Erbringung der Auslagerung erforderlichen Fachkenntnisse, entsprechende Kapazitäten, personelle und finanzielle Re... mehr

Rz. 23 Die Methodik und die Datengrundlage stellen einen guten Indikator für die Komplexität und damit für das mit dem Modell verbundene Risiko dar. Dabei können verschiedene daten- und modellbezogene Faktoren eine Rolle spielen. Modellbezogene Faktoren sind z. B. die zugrunde liegende Technologie, der Automatisierungsgrad, die Komplexität des Trainings oder auch die Adaptiv... mehr

Rz. 51 Das Notfallkonzept ist angemessen zu kommunizieren. Vor diesem Hintergrund bietet es sich an, den Inhalt des Notfallkonzeptes in den Organisationsrichtlinien zu verankern. Viele Institute haben für diese Zwecke allerdings auch separate Notfallhandbücher entwickelt, was ebenso möglich ist. Sofern in einem Institut mehrere Notfallpläne für verschiedene Zwecke existieren... mehr

Rz. 76 Die Geschäftsleitung ist für die Genehmigung des Stresstestprogramms und die Überwachung seiner Umsetzung und Durchführung verantwortlich. Sie muss deshalb die wesentlichen Aspekte des Stresstestprogramms verstehen, um sich aktiv an Diskussionen mit den für die Stresstests verantwortlichen Gremien bzw. Mitarbeitern oder externen Beratern zu beteiligen, wichtige Modell... mehr

Rz. 17 Die Anforderungen aus BCBS 239 gelten in erster Linie für global ("Global Systemically Important Banks", G-SIBs) und national systemrelevante Banken ("Domestic Systemically Important Banks", D-SIBs). Global systemrelevante Institute (G-SRI)[1] haben die Grundsätze des Baseler Ausschusses für Bankenaufsicht (BCBS) bereits seit Anfang 2016 vollständig zu berücksichtige... mehr

Rz. 32 Die deutsche Aufsicht stand derartigen Lösungen zu Beginn der COVID-19-Pandemie zwar noch skeptisch gegenüber. So hatte sie zunächst organisatorische und technische Probleme befürchtet, wenn Handelstätigkeiten außerhalb der Geschäftsräume ausgeübt werden. Allerdings hielt sie es durchaus für vertretbar und vom Wortlaut der MaRisk auch gedeckt, die strengen Regeln zu G... mehr

Rz. 172 Der Baseler Ausschuss für Bankenaufsicht (BCBS) erwartet, dass die Kapazitäten zur Risikodatenaggregation und die Verfahren zur Risikoberichterstattung eines Institutes hohen Validierungsstandards unterliegen. Diese Validierung[1] ist unabhängig durchzuführen und soll die Einhaltung der aufgeführten Grundsätze im Institut überprüfen. Der vorrangige Zweck der unabhäng... mehr

Rz. 8 Die MaRisk beziehen sich auf das Management der für ein Institut "wesentlichen" Risiken, wobei auch für die übrigen Risiken angemessene Vorkehrungen zu treffen sind. Dieser umfassende risikobezogene Anwendungsbereich stützt sich auf EU-Vorgaben (Art. 73 und 108 CRD IV) und korrespondierende nationale Regelungen (§ 25a Abs. 1 KWG), die auf eine übergreifende Risikobetra... mehr

[…] ich freue mich, Ihnen die Bankaufsichtlichen Anforderungen an die IT (BAIT) vorzulegen, die nunmehr um ein weiteres Modul ergänzt sind, das sich an diejenigen Unternehmen richtet, die die BAIT einzuhalten haben und die zugleich Betreiber kritischer Infrastrukturen im Sinne des BSI-Gesetzes sind ("KRITIS-Modul"). Um für diese Institute zusätzliche Belastungen durch das Hinz... mehr

Rz. 165 Gemäß Art. 80 CRD IV müssen die zuständigen Behörden sicherstellen, dass das Risiko, dass die von den Instituten eingesetzten anerkannten Kreditrisikominderungstechniken sich als weniger wirksam erweisen als erwartet ("Restrisiko")[1], u. a. durch schriftliche Grundsätze und Verfahren erfasst und gesteuert wird. Zur Überprüfung der Werthaltigkeit und des rechtlichen ... mehr

Rz. 16 Die deutsche Aufsicht sah sich aufgrund der Finanzmarktkrise dazu veranlasst, die Sensibilität der Institute für die Frage der Wesentlichkeit ihrer Risiken im Rahmen der zweiten MaRisk-Novelle zu schärfen. Praktisch von der Aufsicht vorgegeben werden seitdem eine Reihe typischer bankgeschäftlicher Risiken[1], die von den Instituten als wesentlich einzustufen sind. Unt... mehr

Rz. 193 Die Institute sollten ggf. in ihren Strategien und Verfahren Bewertungsmethoden bzw. -ansätze für bewegliche Vermögenswerte festlegen. Die Bewertung sollte auf der Grundlage eines vorsichtigen Ansatzes erfolgen, der der Beschaffenheit, Art und Komplexität der Sicherheit angemessen ist. Die EBA nennt u. a. geeignete fortgeschrittene statistische Modelle und andere Sta... mehr

Rz. 18 Die MaRisk enthalten eine Vielzahl von Öffnungsklauseln, die abhängig von der Größe des Institutes, den Geschäftsschwerpunkten und der Risikosituation individuelle Umsetzungslösungen möglich machen (→ AT 1 Tz. 5). Diese Öffnungsklauseln sind eng mit dem Proportionalitäts­prinzip verknüpft, das ein immanenter Bestandteil des aufsichtlichen Überprüfungs- und Bewertungsp... mehr

Rz. 87 Mit gewissen Einschränkungen ist es auch möglich, einen zusätzlichen Liquiditätsbedarf mithilfe ausgewählter (teilweise statischer) Kennziffern zu ermitteln. Neben den bereits erwähnten Liquiditäts- und Beobachtungskennzahlen können z. B. die folgenden Kennziffern zur Bestimmung verschiedener Ausprägungen des Liquiditätsrisikos herangezogen werden:[1] Zur Berechnung de... mehr

Rz. 45 In ihrem Leitfaden an die effektive Risikodatenaggregation und Risikoberichterstattung hat die EZB auch ihre Erwartungen an die Umsetzungsprojekte der Institute formuliert. Von den Instituten, die noch nicht die Grundsätze des BCBS 239 befolgen, wird erwartet, dass sie entsprechende Maßnahmen zur Umsetzung ergreifen. Ein Umsetzungsprojekt sollte alle "Lücken" abdecken... mehr

Rz. 37 Im Rahmen der fünften MaRisk-Novelle wurden Anforderungen an die Risikobewertungsverfahren ergänzt. Danach haben die Risikobewertungsverfahren der Internen Revision eine Analyse des "Risikopotenzials" der Aktivitäten und Prozesse "unter Berücksichtigung absehbarer Veränderungen" zu beinhalten, wobei die verschiedenen Risikoquellen und die Manipulationsanfälligkeit der... mehr

[…] ich lege Ihnen hiermit den angekündigten Entwurf der Neufassung des Rundschreibens 09/2017 (BA) für die Mindestanforderungen an das Risikomanagement (im folgenden MaRisk) zur Konsultation vor. Die Überarbeitung ist zuvorderst auf Änderungen der internationalen Regelsetzung zurückzuführen. Mit der aktuellen MaRisk-Novelle werden die Leitlinien der EBA zu notleidenden und g... mehr

Rz. 169 Die modulare Struktur der MaRisk hat gegenüber dem Aufbau der alten Mindestanforderungen erhebliche Vorteile für Institute, Prüfer, Verbände, Aufsicht und andere Betroffene. Anpassungen des Regelwerkes führen nicht mehr automatisch zu weiteren Rundschreiben der BaFin. Ein zusätzlicher Vorteil besteht darin, dass im Bedarfsfall vollkommen neue Regelungsbereiche in die... mehr

Rz. 7 Die MaRisk beziehen sich auf alle für das Institut wesentlichen Risiken, wobei auch für die übrigen Risiken angemessene Vorkehrungen zu treffen sind. Dieser umfassende risikobezogene Anwendungsbereich stützt sich auf EU-Vorgaben (Art. 73 und 108 CRD IV) und entsprechende nationale Regelungen (§ 25a Abs. 1 KWG), die auf eine übergreifende Risikobetrachtung unter Einschl... mehr

Rz. 96 Für die Zwecke der Implementierung liegt es nahe, sich an den auf Institutsebene geltenden allgemeinen Anforderungen an die Risikosteuerungs- und -controllingprozesse zu orientieren: Zunächst müssen die Risikosteuerungs- und -controllingprozesse eine frühzeitige Identifizierung, vollständige Erfassung und angemessene Darstellung der wesentlichen Risiken gewährleisten (... mehr

Rz. 38 Konkret ist anlassbezogen zu überprüfen, ob die Verfahren zur Beurteilung der Marktpreisrisiken auch bei schwerwiegenden Marktstörungen zu verwertbaren Ergebnissen führen. Diese Anforderung bezieht sich auf wesentliche Risikopositionen hinsichtlich Volumen, Risikogehalt, Bedeutung der Geschäfte etc. und betrifft unter Risikogesichtspunkten schwerwiegende Marktstörunge... mehr

Rz. 185 Für die Betreiber "kritischer Infrastrukturen" (KRITIS-Betreiber)[1] gelten u. a. in Bezug auf die Sicherstellung angemessener Vorkehrungen zur Gewährleistung von Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit der Informationsverarbeitung besondere Vorschriften. Nach Tz. 12.2 BAIT ist der Geltungsbereich der kritischen Infrastrukturen (KRITIS) innerhalb... mehr

Rz. 89 Die EBA hat zur Abbildung von ESG-Risiken in den Geschäftsstrategien und Geschäftsprozessen der Institute vier besonders relevante Aspekte identifiziert: die Überwachung des sich verändernden Geschäftsumfeldes und die Bewertung der langfristigen Belastbarkeit, die Festlegung von ESG-bezogenen strategischen Zielen oder Limiten, die Einbindung von Kunden und anderen rel... mehr

Rz. 109 Die Überprüfungen beinhalten u. a. einen "Test der technischen Vorsorgemaßnahmen", "Kommunikations-, Krisenstabs- und Alarmierungsübungen" sowie "Ernstfall- oder Vollübungen" (→ AT 7.3 Tz. 3, Erläuterung). Bei den Vorgaben zu den Überprüfungen des Notfallkonzeptes hat sich die deutsche Aufsicht nach eigener Auskunft eng an den BSI-Standards 100-4 (Notfallmanagement) ... mehr

Rz. 131 Die direkte Aufsicht über bedeutende Institute im SSM wird von gemeinsamen Aufsichtsteams ("Joint Supervisory Teams", JST) der EZB und der nationalen Aufsichtsbehörden durchgeführt. Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) und die Deutsche Bundesbank (Bundesbank) sind somit unter der Federführung der EZB in die Beaufsichtigung der bedeutenden Insti... mehr

Rz. 19 Auch aus der COVID-19-Pandemie haben die Institute und die Aufsichtsbehörden wieder ihre Lehren gezogen. Eine wichtige Erkenntnis war, dass sich eine Krise vor allem dann gut bewältigen lässt, wenn alle Beteiligten an einem Strang ziehen, anstelle gegeneinander zu arbeiten und ihre Probleme auf Kosten der anderen zu lösen. Die COVID-19-Pandemie hat auch der Digitalisi... mehr

Rz. 7 Das grundlegende Prinzip besteht darin, zunächst das Institut nach bestimmten Kriterien in verschiedene Prüfungsobjekte aufzuteilen und anschließend deren Risikogehalt und Relevanz zu analysieren und zu bewerten, um auf dieser Basis eine risikoorientierte Prüfungsplanung aufzustellen. Die Einteilung der Prüfungsobjekte kann sich in Abhängigkeit vom verwendeten (prozess... mehr

Rz. 7 Die sechste MaRisk-Novelle aus dem Jahr 2021 enthielt neue Anforderungen an die Risikocontrolling- und die Compliance-Funktion, die auf die Leitlinien der EBA zu notleidenden und gestundeten Risikopositionen[1] und die Aufsichtspraxis zurückgehen. Bei Instituten mit einem hohen NPL-Bestand (→ AT 2.1 Tz. 1, Erläuterung) hat die Risikocontrolling-Funktion seitdem explizi... mehr

Rz. 16 Die zugrunde liegende Philosophie dieser drei Verteidigungslinien ist nicht neu[1] und entspricht auch dem Verständnis der MaRisk. Zum operativen Management in den Geschäftsbereichen, also der ersten Verteidigungslinie mit dem "Markt" und dem "Handel", gehören insbesondere die prozessabhängigen Kontrollen und Funktionstrennungen. Die Zuordnung der in den MaRisk aufgef... mehr

Rz. 1 Beim Abschluss von Handelsgeschäften müssen die Konditionen einschließlich der Nebenabreden vollständig vereinbart werden. Das Institut muss standardisierte Vertragstexte verwenden, soweit dies in Anbetracht der jeweiligen Geschäftsarten möglich und zweckmäßig ist. Interne Handelsgeschäfte dürfen nur auf der Basis klarer Regelungen abgeschlossen werden. Für interne Hand... mehr

Rz. 16 Bei der Aufarbeitung der Finanzmarktkrise[1] spielt auch das Thema Strategie eine prominente Rolle. So wird etwa von der globalen Interessenvertretung der Finanzindustrie, dem Institute of International Finance (IIF), herausgestellt, dass sich das leitende Management ein besseres Verständnis für die eigene geschäftspolitische Ausrichtung und deren Weiterentwicklung ve... mehr

[…] ich freue mich, Ihnen nunmehr die finale Fassung der MaRisk vorlegen zu können, wie sie sich nach Abschluss des im Oktober 2020 angestoßenen Konsultationsverfahrens darstellt. Im Ergebnis der Auswertung der Stellungnahmen sowie der Diskussionen in den drei Sitzungen des Fachgremiums MaRisk am 12. und 19.02. sowie am 04.03.2021 sind noch für eine Reihe von strittigen Punkt... mehr

Brandt, Zur Abgrenzung der Einkünfte aus selbstständiger Arbeit nach § 18 Abs 1 Nr 1 EStG, aus sonstiger selbstständiger Arbeit und aus Gewerbebetrieb, INF 2003, 57; Jahn, Überblick zur steuerlichen Abgrenzung zwischen freiberuflicher und gewerblicher Tätigkeit, DB 2005, 692. Verwaltungsanweisungen: H 15.6 EStH 2024. Rn. 236 Stand: EL 191 – ET: 08/2026 Hier werden im Folgenden Tä... mehr

Rz. 34 Seit der erstmaligen Veröffentlichung der MaRisk im Jahr 2005 hat der Wortlaut zur Gesamtverantwortung der Geschäftsleitung einige interessante Änderungen erfahren. Zunächst hieß es, dass die Geschäftsleiter ihrer Verantwortung für das Risikomanagement nur gerecht werden, wenn sie die Risiken beurteilen können und die erforderlichen Maßnahmen zu ihrer Begrenzung treff... mehr

Rz. 1 Der Begriff "Strategie" erfreut sich nicht nur in der Wirtschaft großer Beliebtheit. Es gibt z. B. strategische Schlüsselkunden, Allfinanzstrategien, Verdrängungsstrategien oder Nischenstrategien. Mitunter wird dieser Begriff jedoch nur als Schlagwort und nicht in jedem Fall hinreichend reflektiert verwendet. Selbst in der Wissenschaft gibt es keine einheitliche Defini... mehr

Gerade wer remote oder hybrid arbeitet – also von unterwegs und/oder zwischen Homeoffice und Arbeitsplatz im Unternehmen wechselt – muss Selbstmanagement beherrschen. Wer sich seine Zeit selbst einteilen kann, ist auch selbst dafür verantwortlich, mit einem guten Zeitmanagement für Erfolge und für sein Wohlbefinden und seine Gesundheit zu sorgen. Dafür bietet sich die Unters... mehr

mehr

Der häufigste Kritikpunkt am Fast-Close-Ansatz erfasst die Qualität und Verlässlichkeit der Jahresabschlüsse. Grundsätzlich ist eine zügige Bereitstellung und Übermittlung von Unternehmensdaten zu begrüßen – in keinem Fall darf es jedoch zur Veröffentlichung von ungenauen und minderwertigen Informationen kommen. Je kürzer der Zeitraum für die Abschlusserstellung ist, desto h... mehr

Die Möglichkeiten und Ansatzpunkte zum Erreichen eines Fast Close sind vielfältig. In jedem Unternehmen gibt es individuelle Besonderheiten und Abläufe, die eine spezielle Herangehensweise an das Fast-Close-Projekt erfordern. Im Folgenden werden einige praxiserprobte Beispiele genannt: Viele Abschlusstätigkeiten sind nicht an den Stichtag gebunden und können ohne Probleme in ... mehr

Rz. 38 Der Kostenerstattungsanspruch eines jugendlichen Antragsstellers scheitert nicht von vornherein daran, dass seine Eltern die inzwischen angefallenen Kosten bei fehlender Leistungsbereitschaft des Rehabilitationsträgers bereits getragen haben: LSG Nordrhein-Westfalen, Urteil v. 23.3.2016, L 8 R 914/14. Leistung zur Teilhabe – Bewilligung durch den Rehabilitationsträger d... mehr

Gerade in der Anfangszeit ist es wichtig, keine Ausnahmen zuzulassen. Das bedeutet, dass man keinen Zyklus verlängert oder ausfallen lässt, keine Schritte "einspart", keine Teamentwicklungsmaßnahmen vertagt. Nur nach mehrmaliger Iteration geht dem Team der Prozess in Fleisch und Blut über und wird so in der Team-DNA verankert. Ist das Team erst einmal an diesem Punkt angelang... mehr

Für die Stellvertreterin/den Stellvertreter ist es wichtig, Zugang zu Codes, Kennwörtern und ähnlichen Informationen zu haben, um gewisse Handlungen, zum Beispiel Online-Überweisungen oder Zugang zur Cloud oder zu den im Homeoffice arbeitenden Personen, vornehmen zu können. Angesichtes der rasanten Geschwindigkeit, mit der Arbeitsprozesse, soweit möglich digitalisiert werde... mehr