Fachbeiträge & Kommentare zu Management

Rz. 73 Beim Management der operationellen Risiken geht es vorrangig darum, angemessene Risiko­steuerungs- und -controllingprozesse zu etablieren, um die Realisierung operationeller Risiken in Form von Verlusten weitgehend zu vermeiden oder deren negative Auswirkungen für das Institut möglichst gering zu halten. Um dieses Ziel zu erreichen, muss den operationellen Risiken du... mehr

Rz. 253 Insbesondere das Zahlungsunfähigkeitsrisiko kann nicht sinnvoll durch Risikodeckungspotenzial begrenzt werden und muss demzufolge auch nicht in das Risikotragfähigkeitskonzept einbezogen werden. Diese Sonderbehandlung ist darauf zurückzuführen, dass das Zahlungsunfähigkeitsrisiko durch einen angemessen hohen Liquiditätspuffer abgesichert wird. Insofern entspricht der... mehr

Rz. 188 Wegen der besonderen Bedeutung des Zahlungsverkehrs werden an "Zahlungsdienstleister"[1] ebenfalls besondere Anforderungen gestellt, die eine angemessene Pflege der Kundenbeziehungen mit "Zahlungsdienstnutzern" zum Ziel haben. So sollten die Zahlungsdienstleister Prozesse implementieren, mit deren Hilfe die Zahlungsdienstnutzer unterstützt und beraten werden und ihr ... mehr

Rz. 1 Die nach § 53 ZAG geforderten Risikominderungsmaßnahmen zur Beherrschung der operationellen und sicherheitsrelevanten Risiken beinhalten auch Maßnahmen, mit denen die Zahlungsdienstnutzer für die Reduzierung, insbesondere von Betrugsrisiken, direkt adressiert werden. Dazu ist ein angemessenes Management der Beziehungen mit den Zahlungsdienstnutzern zu etablieren. Rz. 2... mehr

Rz. 191 Mit Blick auf die Auslagerung an Cloud-Anbieter hat die Aufsicht in der im Jahr 2024 veröffentlichten "Aufsichtsmitteilung zu Auslagerungen an Cloud-Anbieter"[1] das vormals als "Orientierungshilfe"[2] bekannte Dokument unter anderem um das Kapitel "Sichere Anwendungsentwicklung und IT-Betrieb in der Cloud" erweitert.[3] Dabei widmet sich die Aufsicht auch eingehend ... mehr

Rz. 44 2 Die Identifizierung der wesentlichen rechtlichen Regelungen und Vorgaben, deren Nichteinhaltung zu einer Gefährdung des Vermögens des Institutes führen kann, erfolgt unter Berücksichtigung von Risikogesichtspunkten in regelmäßigen Abständen durch die Compliance-Funktion. 3.1 Definition von Compliance-Risiken Rz. 45 In den MaRisk werden die Compliance-Risiken allgemein... mehr

Rz. 147 6 Risikokonzentrationen sind zu identifizieren. Gegebenenfalls vorhandene Abhängigkeiten sind dabei zu berücksichtigen. Bei der Beurteilung der Risikokonzentrationen ist auf qualitative und, soweit möglich, auf quantitative Verfahren abzustellen. Risikokonzentrationen sind mithilfe geeigneter Verfahren zu steuern und zu überwachen (z. B. Limite, Ampelsysteme oder auf... mehr

Rz. 102 4 Die für das Adressenausfallrisiko eines Kreditengagements bedeutsamen Aspekte sind herauszuarbeiten und zu beurteilen, wobei die Intensität dieser Tätigkeiten vom Risikogehalt des Engagements abhängt. Branchen- und ggf. Länderrisiken sowie die Auswirkungen von ESG-Risiken sind in angemessener Weise zu berücksichtigen. Bei der Beurteilung der Auswirkungen von ESG-Ri... mehr

Rz. 152 4 Für IT-Risiken sind angemessene Überwachungs- und Steuerungsprozesse einzurichten, die insbesondere die Festlegung von IT-Risikokriterien, die Identifikation von IT-Risiken, die Festlegung des Schutzbedarfs, daraus abgeleitete Schutzmaßnahmen für den IT-Betrieb sowie die Festlegung entsprechender Maßnahmen zur Risikobehandlung und -minderung umfassen. Beim Bezug vo... mehr

Rz. 367 9 Das Institut hat die mit Auslagerungen verbundenen Risiken angemessen zu steuern und die Ausführung der ausgelagerten Aktivitäten und Prozesse ordnungsgemäß zu überwachen. Dies umfasst bei wesentlichen Auslagerungen auch die laufende Überwachung der Leistung des Auslagerungsunternehmens anhand vorzuhaltender Kriterien (z. B. Key Performance Indicators, Key Risk Ind... mehr

Rz. 82 4 Es ist laufend zu überprüfen, inwieweit das Institut, auch bei angespanntem Marktumfeld, in der Lage ist, einen auftretenden Liquiditätsbedarf zu decken. Dabei ist insbesondere auch auf den Liquiditätsgrad der Vermögenswerte abzustellen. Der dauerhafte Zugang zu den für das Institut relevanten Refinanzierungsquellen ist regelmäßig zu überprüfen. Für kurzfristig eint... mehr

Rz. 1 1 Das Institut hat sicherzustellen, dass es seine Zahlungsverpflichtungen jederzeit erfüllen kann. Das Institut hat dabei, soweit erforderlich, auch Maßnahmen zur Steuerung des untertägigen Liquiditätsrisikos zu ergreifen. Es ist eine ausreichende Diversifikation der Refinanzierungsquellen und der Liquiditätspuffer zu gewährleisten, wobei auch die Auswirkungen von ESG-... mehr

Rz. 39 In manchen Instituten erstellt die Compliance-Funktion einen Verhaltenskodex ("Code of Conduct") oder Rahmenwerke für die Vermeidung bzw. den Umgang mit Interessenkonflikten. Allerdings kommen auch andere Lösungen in Betracht. Mit einem Verhaltenskodex oder Rahmenvorgaben werden die Anforderungen der EBA umgesetzt, die wirksame Richtlinien zur Ermittlung, Bewertung, S... mehr

Rz. 52 Ein Institut muss dafür Sorge tragen, dass seine wesentlichen Risiken durch das Risikodeckungspotenzial bzw. die daraus abgeleitete Risikodeckungsmasse laufend abgedeckt sind und damit die Risikotragfähigkeit gegeben ist (→ AT 4.1 Tz. 1). Diese Anforderung wird im Rahmen der Steuerung von Adressenausfallrisiken an zentraler Stelle aufgegriffen. So hat das Institut en... mehr

Rz. 55 Auch die Marktpreisrisiken inklusive der Zinsänderungsrisiken sind grundsätzlich als wesentlich einzustufen (→ AT 2.2 Tz. 1). Im Modul BTR 2 sind die Vorgaben aus Art. 83 Abs. 1 CRD IV umgesetzt, wonach in den Instituten Grundsätze und Verfahren vorhanden sein müssen, um alle wesentlichen Ursachen und Auswirkungen von Marktpreisrisiken zu ermitteln, zu messen und zu s... mehr

Rz. 90 Mit der Umsetzung der EBA-Leitlinien zum Zinsänderungs- und Kreditspreadrisiko im Anlagebuch wurden die bisherigen Anforderungen an das Zinsänderungsrisiko im Anlagebuch ("Interest Rate Risk in the Banking Book", IRRBB) erweitert und um Vorgaben an den Umgang mit dem Kreditspreadrisiko im Anlagebuch ("Credit Spread Risk in the Banking Book", CSRBB)[1] ergänzt. Der Ris... mehr

Hinweis zur Benutzung des Literaturverzeichnisses: Sofern es sich bei den Autoren bzw. Herausgebern um Organisationen handelt, sind die aufgeführten Werke i. d. R. auf der Internetseite der jeweiligen Organisation verfügbar. Achtelik, Olaf, in: Herzog, Felix (Hrsg.), Geldwäschegesetz, 5. Auflage, München, 2023, § 24c KWG, § 25h KWG und § 6 GwG. ACI Deutschland e. V. – Arbeitsg... mehr

Rz. 107 Der BCBS, dessen Empfehlungen sich grundsätzlich an große, international tätige Institute richten, betont die Bedeutung einer soliden internen Governance für ein effektives Management der operationellen Risiken. In diesem Zusammenhang äußert sich der BCBS auch zum Modell der drei Verteidigungslinien. Die Institute sollten insbesondere sicherstellen, dass die Funktion... mehr

Rz. 67 Die Institute sollten mit den Geschäftsfortführungsplänen sicherstellen, dass sie auf potenzielle Ausfallszenarien angemessen reagieren können und in der Lage sind, den Betrieb ihrer kritischen Geschäftstätigkeiten nach Störungen (bzw. bei Untersuchung von "Störungsszenarien") innerhalb einer vorgegebenen "Wiederanlaufzeit" ("Recovery Time Objective", RTO)[1] und zu e... mehr

Rz. 1 Operationelle Risiken werden im Gegensatz zu Adressenausfallrisiken oder Marktpreisrisiken vom Institut zwar grundsätzlich nicht bewusst eingegangen, um daraus Erträge zu generieren. Allerdings müssen sich die Institute z. B. bei der Einführung neuer (komplexer) Produkte oder bei Änderungen betrieblicher Prozesse und Strukturen der damit verbundenen prozessualen, recht... mehr

Rz. 84 Die operative Umsetzung der Vorgaben aus dem Implementierungsplan obliegt in erster Linie den darauf spezialisierten "NPE-Abwicklungseinheiten" ("NPE-Workout Units" bzw. "NPE-WU"). Diese Einheiten müssen grundsätzlich vom Kreditvergabeprozess getrennt und in einem Bereich außerhalb des Marktes angesiedelt sein. Wenn Überschneidungen mit den an der Kreditvergabe beteil... mehr

Rz. 119 Die wesentlichen operationellen Risiken, d. h. die bedeutenden potenziellen Schadensfälle, müssen identifiziert und beurteilt werden. Für die Identifizierung potenzieller Schadensfälle und zur Beurteilung ihrer möglichen negativen Auswirkungen auf die Ertrags- oder Vermögenslage des Institutes kann u. a. auf die in der Vergangenheit beobachteten Verluste abgestellt w... mehr

Rz. 86 Der BCBS hat klare Vorstellungen zur Ausgestaltung des Rahmenwerkes für das ORMF, das vollständig in die allgemeinen Risikomanagementprozesse des Institutes integriert werden soll. Daraus lässt sich leicht ableiten, was zumindest nach den Vorstellungen des BCBS als angemessenes Management operationeller Risiken zu verstehen ist. Dazu gehört zunächst eine klare Festleg... mehr

Rz. 55 Da es in erster Linie um den Abbau der NPE-Bestände im gesamten Institut und ggf. auch in bestimmten Portfolios im Zeitverlauf geht und dafür entsprechende NPE-Zielgrößen festgelegt wurden, bietet es sich natürlich an, die Entwicklung der relativen und absoluten Bestände an notleidenden Risikopositionen zu überwachen. In Ergänzung dazu könnten auch die Bestände an ges... mehr

Rz. 18 Um einen "Notfall" richtig einordnen zu können, ist es hilfreich, sich einen Überblick über die verschiedenen Ursachen für Unterbrechungen von Geschäftsprozessen und deren mögliche Auswirkungen zu verschaffen. Hilfestellung liefert das Bundesamt für Sicherheit in der Informationstechnik (BSI). Den Definitionen vom BSI zufolge können verschiedene "Schadensereignisse" b... mehr

Rz. 63 Gemäß Tz. 2.2 BAIT ist die Geschäftsleitung dafür verantwortlich, dass auf Basis der IT-Strategie die Regelungen zur IT-Aufbau- und IT-Ablauforganisation festgelegt und bei Veränderungen der Aktivitäten und Prozesse zeitnah angepasst werden. Es ist sicherzustellen, dass diese Regelungen wirksam umgesetzt werden. Rz. 64 Laut Tz. 4.4 BAIT hat die Geschäftsleitung die Fun... mehr

Rz. 2 Naturkatastrophen, Terroranschläge, Pandemien oder Hackerangriffe können Unterbrechungen der innerbetrieblichen Geschäftsabläufe zur Folge haben, die sich im Extremfall aufgrund der Vernetzung der internationalen Finanzmärkte zu globalen Krisen ausweiten. Aber auch weniger spektakuläre Ereignisse können bei Instituten zu gravierenden Beeinträchtigungen führen, wie z. B... mehr

Rz. 39 Bei der Gestaltung der NPE-Abwicklungseinheiten sind die Besonderheiten der eigenen NPE-Portfolios zu berücksichtigen, also z. B. die Spezifikationen im Privat- oder Firmenkundengeschäft (→ BTO 1.2.5 Tz. 1, Erläuterung). Dabei sollte auch auf die verschiedenen Arten der jeweils hauptsächlich verwendeten Sicherheiten geachtet werden, die ggf. verwertet werden müssen. H... mehr

Rz. 218 Zur Beurteilung des operativen Geschäftsumfeldes ist eine umfassende jährliche Selbsteinschätzung der tatsächlichen Situation vorzunehmen. Außerdem sind die externen Bedingungen und die Auswirkungen der Strategie für notleidende Risikopositionen auf das Kapital zu berücksichtigen (→ AT 4.2 Tz. 3, Erläuterung). Rz. 219 Die Selbsteinschätzung soll sich auf die Größenord... mehr

Rz. 109 Für ein effektives Liquiditätsrisikomanagement ist aus Sicht des BCBS in erster Linie die Erhaltung des Marktzuganges entscheidend, da er sich auf die Fähigkeit zur Mittelbeschaffung (passivische Liquiditätsgenerierung) und zur Liquidierung von Vermögensgegenständen (aktivische Liquiditätsgenerierung) gleichermaßen auswirkt. Die Geschäftsleitung sollte deshalb sicher... mehr

Rz. 75 Um den operationellen Risiken durch ein angemessenes Risikomanagement Rechnung tragen zu können, muss im Institut zunächst Klarheit darüber herrschen, was unter dieser Risikoart genau zu verstehen ist. Insofern beginnt das Management operationeller Risiken mit deren Definition. Grundsätzlich werden diesbezüglich von der deutschen Aufsicht keine Vorgaben gemacht. Alle... mehr

Rz. 30 Zeitkritisch sind grundsätzlich jene Aktivitäten und Prozesse, bei deren Beeinträchtigung für "definierte Zeiträume" ein "nicht mehr akzeptabler Schaden" für das Institut zu erwarten ist (→ AT 7.3 Tz. 1, Erläuterung). Insofern geht es für ein Institut darum, jene Aktivitäten und Prozesse zu ermitteln, bei denen eine Beeinträchtigung schon kurzfristig zu einem graviere... mehr

Rz. 129 In der Richtlinie für Rettungserwerbe sind auch die beabsichtigte Haltedauer sowie die Verfahren zur angemessenen Bewertung und Überprüfung der erworbenen Vermögenswerte festzulegen. Da sich ein Institut von einem Rettungserwerb verspricht, durch die Verwertung dieser Sicherheit zu einem späteren Zeitpunkt zumindest einen Teil der ausstehenden Forderungen zurückzuerh... mehr

Rz. 73 Das Institut muss beurteilen, inwieweit notleidende Risikopositionen mit länger andauernden Zahlungsrückständen noch einbringlich sind (→ BTO 1.2.5 Tz. 9, Erläuterung). Sofern keine tragfähige Restrukturierungslösung mehr möglich ist, kommen ggf. Abwicklungsmaßnahmen infrage. Für den Fall der Abwicklung eines Engagements ist ein Abwicklungskonzept zu erstellen, in dem... mehr

Rz. 4 Konkrete methodische Vorgaben werden von der deutschen Aufsicht nicht gemacht. Insoweit kann auf eine ganze Palette infrage kommender Verfahren zurückgegriffen werden. Um einen Gleichlauf zwischen interner und externer Rechnungslegung sicherzustellen, der eine Unternehmenssteuerung erleichtert, erscheint es zweckmäßig, wenn jeweils identische Kriterien genutzt werden. ... mehr

Rz. 9 Die Bankenaufsicht muss ebenfalls ihre Lehren aus den jeweils relevanten Ereignissen der Vergangenheit ziehen. Um den grenzüberschreitenden Aktivitäten vieler Institute gerecht zu werden, muss auch die Zusammenarbeit der Aufsichtsbehörden weiter vorangetrieben werden. Ferner werden seit einigen Jahren makroökonomische Entwicklungen bei der Beaufsichtigung der Institute... mehr

Rz. 200 In allen genannten Varianten der Berichterstattung geht es letztlich darum, auf Schwachstellen hinzuweisen, um frühzeitig geeignete Maßnahmen zur Beseitigung der Ursachen zu treffen, angemessene Risikosteuerungsmaßnahmen zu ergreifen oder Prüfungshandlungen durch die Interne Revision einzuleiten. Auf diese Weise kann vom Institut weiterer Schaden abgewendet werden. D... mehr

Rz. 123 Eine Auswirkung der Finanzmarktkrise, die auch viele Jahre später noch nicht vollständig beseitigt werden konnte, waren die teilweise sehr hohen Bestände an notleidenden Krediten in den Bilanzen einiger Institute. Die europäischen Institute waren davon unterschiedlich stark betroffen, wobei in einzelnen Ländern eine Konzentration dieser "Institute mit hohem NPL-Besta... mehr

Rz. 20 Aus Entwicklungen des Umfeldes und betriebsinterner Faktoren und den daraus resultierenden Veränderungen des Aufgabenvolumens und/oder der Anforderungen an die Mitarbeiter können natürlich nicht nur positive Personalbedarfe, d. h. Beschaffungsbedarfe, resultieren, sondern auch negative, d. h., eine Freisetzung von Personal wird erforderlich. Dabei wird unter dem Termi... mehr

Rz. 56 Die Festlegung der Liquiditätspuffer hinsichtlich Art und Umfang der Vermögenswerte sollte auch davon abhängig gemacht werden, inwieweit ein Institut in Bezug auf seine Liquiditätsausstattung eigenverantwortlich ist, wobei u. a. berücksichtigt werden sollte, ob gruppeninterne Abhängigkeiten existieren. Die Organisation des Liquiditätsmanagements reicht vom vollständig... mehr

Rz. 156 Die Erwartungshaltung der deutschen Aufsicht an ein angemessenes IT-Risikomanagement hat sie in den bisher geltenden BAIT näher ausgeführt. Die BAIT haben jedoch auch bisher keinen vollständigen Anforderungskatalog dargestellt. Sie sollen vielmehr einen verständlichen und flexiblen Rahmen für das Management der IT-Ressourcen, des Informationsrisikos und der Informati... mehr

Rz. 77 Kommunikation ist bei jedem Notfall die kritische Komponente und ein zentraler Erfolgsfaktor des Notfallmanagements. Soweit in diesem Zusammenhang keine klaren Regelungen im Notfallkonzept getroffen werden, kann das gesamte Konzept ggf. ins Leere laufen (z. B. weil die Ansprechpartner für den Notfall nicht bekannt sind). Die im Notfall verantwortlichen Mitarbeiter ode... mehr

Rz. 10 Um einen angemessenen Umfang und eine hinreichende Qualität der technisch-organisatorischen Ausstattung sicherstellen zu können, muss zunächst einmal Klarheit über den Ist-Zustand herrschen ("Bestandsaufnahme").[1] Zu diesem Zweck hat der IT-Betrieb gemäß Tz. 8.2 BAIT die Komponenten der IT-Systeme (Hardware- und Software-Komponenten) sowie deren Beziehungen zueinande... mehr

Rz. 169 Die modulare Struktur der MaRisk hat gegenüber dem Aufbau der alten Mindestanforderungen erhebliche Vorteile für Institute, Prüfer, Verbände, Aufsicht und andere Betroffene. Anpassungen des Regelwerkes führen nicht mehr automatisch zu weiteren Rundschreiben der BaFin. Ein zusätzlicher Vorteil besteht darin, dass im Bedarfsfall vollkommen neue Regelungsbereiche in die... mehr

Rz. 31 Das "IKT-Risiko" bezeichnet gemäß Art. 4 Abs. 1 Nr. 52c CRR die Gefahr von Verlusten in Verbindung mit jedem vernünftigerweise identifizierbaren Umstand im Zusammenhang mit der Nutzung von Netzwerk- und Informationssystemen, die bei Eintritt – durch die damit einhergehenden nachteiligen Auswirkungen im digitalen oder physischen Umfeld – die Sicherheit der Netzwerk- un... mehr

Rz. 102 Der Finanzstabilitätsrat (Financial Stability Board, FSB) hat im November 2020 ein Diskussionspapier zu Regulierungs- und Aufsichtsfragen im Zusammenhang mit Auslagerungen und Beziehungen zu Drittparteien zur Konsultation gestellt.[1] Das Papier gibt einen Überblick über bestehende und sich entwickelnde Aufsichtsansätze und stellt die Herausforderungen für Aufsichtsb... mehr

Rz. 11 Bei der Umsetzung dieser Anforderungen sind zumindest bis zum 17. Januar 2025 die "Bankaufsichtlichen Anforderungen an die IT" (BAIT)[1] zu beachten, mit deren Hilfe die MaRisk in den relevanten Bereichen weiter konkretisiert werden. Mithilfe der BAIT wird den Instituten die Erwartungshaltung der deutschen Aufsicht zur sicheren Ausgestaltung der IT-Systeme und zugehör... mehr

Rz. 153 Mit der Anforderung, IT-Risiken angemessen zu überwachen und zu steuern, behandelt die deutsche Aufsicht IT-Risiken als eigene Risikokategorie, die im Risikomanagement entsprechend zu berücksichtigen ist. Hierfür sind angemessene Prozesse einzurichten. Der Begriff "IT-Risiko" wird in den MaRisk nicht definiert. Die BaFin zählt IT-Risiken zu den operationellen Risiken... mehr

Rz. 185 In Deutschland haben sich die von BaFin und Bundesbank im Jahr 2005 erstmals veröffentlichten MaRisk zur Konkretisierung der gesetzlichen Anforderungen gemäß § 25a Abs. 1 KWG und § 25b KWG bewährt. Bei dem Rundschreiben handelt es sich um norminterpretierende Verwaltungsvorschriften, die für die Institute rechtlich nicht verbindlich sind. Sie tragen jedoch als "Benc... mehr

Rz. 68 Immobiliensicherheiten sollten nach Maßgabe von Art. 229 CRR auf der Grundlage ihres Markt- oder Beleihungswertes[1] bewertet werden.[2] Gemäß Art. 4 Abs. 1 Nr. 74a CRR wird unter dem "Immobilienwert" ebenso der nach Art. 229 Abs. 1 CRR ermittelte Wert einer Wohn- oder Gewerbeimmobilie verstanden, wobei die Begriffe "Wohnimmobilie" und "Gewerbeimmobilie" näher erläute... mehr