Fachbeiträge & Kommentare zu Reporting

Rz. 109 Im Rahmen der internen Risikoberichterstattung sollte auch angemessen auf die Auswirkungen von ESG-Risiken eingegangen werden, sofern über sie nicht schon als Teil anderer Risikoarten berichtet wird (→ BT 3.2 Tz. 1, Erläuterung). Davon ist zunächst auszugehen, da sie als Risikotreiber auf die anderen Risikoarten einwirken (→ AT 2.2 Tz. 1, Erläuterung). Von den Instit... mehr

Rz. 94 Die Grundlage für eine reibungslose Aggregation von Daten im Institut ist eine einheitliche Systematik der Datenhaushalte. Ein Institut hat integrierte Datentaxonomien einschließlich einer entsprechenden konzernweiten Datenarchitektur zu erstellen, in der auch Angaben zu den Eigenschaften der Daten (Metadaten) enthalten sind. Darüber hinaus sind Standardkennzeichnunge... mehr

Rz. 31 Der Baseler Ausschuss für Bankenaufsicht gibt in seinen Fortschrittsberichten zum Umsetzungsstand von BCBS 239 regelmäßig Empfehlungen für die Umsetzung der Grundsätze ab, um weitere Verzögerungen zu vermeiden. Diese Empfehlungen richten sich grundsätzlich an die Geschäftsleitung. Die Institute sollten demnach sicherstellen, dass sie über ein von der Geschäftsleitung ... mehr

Rz. 71 Die Aufsicht macht die Sicherstellung der Datenqualität zu einer Managementaufgabe und nimmt die Geschäftsleitung sehr stark in die Verantwortung. Sowohl der Baseler Ausschuss für Bankenaufsicht (BCBS) als auch die EZB[1] haben betont, dass eine intensive Einbindung der Geschäftsleitung[2] unerlässlich für die Verbesserung der Risikodatenaggregation und der Risikoberi... mehr

Rz. 25 Der Baseler Ausschuss für Bankenaufsicht (BCBS) überprüft seit Veröffentlichung des BCBS 239 in 2013 die Einhaltung dieser Grundsätze. Von 2013 bis 2015 hat er drei Berichte veröffentlicht, die auf den Selbsteinschätzungen der 30 von ihm als global systemrelevant eingestuften Banken[1] zur Umsetzung der Grundsätze beruhten.[2] Der im März 2017 veröffentlichte Bericht ... mehr

Rz. 47 Der Geschäftsleitung wird von der EZB nahegelegt, sich eingehend damit zu befassen, wie das Institut auf die internationalen Abkommen, wie z. B. das Übereinkommen von Paris, die Maßnahmenpakete der EU-Kommission und entsprechende nationale oder lokale Initiativen (→ Teil I, Kapitel 9), sowie auf die Ergebnisse gut fundierter Klima- und Umweltbewertungen reagieren möch... mehr

Rz. 55 Die Berichterstattung über ESG-Risiken bildet die Basis für deren kontinuierliche Überwachung unter Verwendung von Kennzahlen wie dem Prozentsatz der Transaktionen, die auf ESG-Aspekte überprüft wurden, sowie von Tools, Modellen und Daten. Dafür scheinen geeignete Berichtsrahmen, die durch die zugrunde liegenden IT-Systeme erweitert und unterstützt werden, unerlässlic... mehr

Rz. 123 Wesentlich für eine angemessene Risikoberichterstattung ist eine hohe Datenqualität, die nur erreicht werden kann, wenn alle Daten korrekt sind und alle relevanten Daten vollständig erfasst werden. Die Institute sollten daher entsprechende Vorgaben zur Datenqualität formulieren und in einem täglichen Datenqualitätsmanagement umsetzen.[1] Dabei müssen die Vorgaben zur... mehr

Rz. 86 Beim IKT-Risiko sollte nicht nur nach den Vorstellungen des Baseler Ausschusses für Bankenaufsicht mit Verweis auf das Cyber-Lexikon des Financial Stability Boards (FSB) auch das "Cyberrisiko" berücksichtigt werden.[1] Der Definition des FSB zufolge wird die Kombination aus der Wahrscheinlichkeit des Auftretens von Cybervorfällen und deren Auswirkungen als "Cyberrisi... mehr

Rz. 138 Um ein angemessenes Risikomanagement gewährleisten zu können, müssen die eingesetzten IT-Systeme und Datenverarbeitungsprozesse die Aktualität der Risikodaten sicherstellen. Die Datenstruktur und die Datenhierarchie müssen daher gewährleisten, dass die Daten zweifelsfrei identifiziert, zusammengeführt und ausgewertet werden können sowie zeitnah zur Verfügung stehen (... mehr

Rz. 11 Die Grundsätze des Baseler Ausschusses für Bankenaufsicht beziehen sich auf alle Daten, die für das Risikomanagement wesentlich sind. Die Grundsätze sollen auf sämtliche Daten angewendet werden, die für die Risikosteuerung eines Institutes notwendig sind. Die Anforderungen schließen auch die Modelle für die Ermittlung der Kapitalanforderungen nach der ersten Säule (z.... mehr

Rz. 163 In der Praxis stellen die Anforderungen an eine Festlegung von Verantwortlichkeiten große Herausforderungen für die Institute dar. Die EZB hat im Rahmen ihres Thematic Reviews festgestellt, dass die mangelhafte Zuordnung von Verantwortlichkeiten auf verschiedenen Ebenen bis einschließlich der Geschäftsleitung oftmals Ursache für eine mangelhafte Umsetzung der Grundsä... mehr

Rz. 177 Zu den Aufgaben der internen Validierung zählt die Überprüfung sowohl der Angemessenheit des Rahmenwerkes für Risikodatenaggregation und Risikoberichterstattung als auch dessen faktische Umsetzung im Institut bzw. in der Gruppe. Die interne Validierungsfunktion sollte sich in erster Linie mit dem "BCBS-239-Zielbild" des Institutes bzw. der Gruppe beschäftigen und die... mehr

Rz. 38 Die Aufsicht muss sich im Rahmen des SREP intensiv mit den Methoden, Prozessen, Verfahren und Strategien der Institute auseinandersetzen und diese u. a. hinsichtlich ihrer Angemessenheit bezüglich einer dauerhaften Sicherstellung der Risikotragfähigkeit beurteilen. Dabei misst sie bei der Beurteilung des ICAAP verstärkt der Datenhaltung sowie den Management-Informatio... mehr

Rz. 168 Um die inhaltliche Richtigkeit, Vollständigkeit und Aktualität der Daten sicherzustellen, müssen einerseits die Daten den IT-Schutzzielen Integrität, Authentizität und Verfügbarkeit genügen und andererseits durch die Fachbereiche geeignete inhaltliche Kontrollen durchgeführt werden.[1] Demnach liegt das Datenqualitätsmanagement sowohl in der Verantwortung der Fachber... mehr

Rz. 47 Bei der Risikoberichterstattung kommt es allerdings nicht nur darauf an, dass die Informationen nachvollziehbar und aussagefähig sind und auf vollständigen und genauen Daten beruhen. So stellt sich die Frage, ob man noch von aktuellen Daten sprechen kann, wenn diese zum Beginn der Berichterstellung zwar direkt aus den Systemen übernommen wurden, bis zur Vorlage des Ri... mehr

Rz. 29 Bei der am 23. Oktober 1995 veröffentlichten Verlautbarung über die Mindestanforderungen an das Betreiben von Handelsgeschäften (MaH) handelte es sich um das erste qualitative Rahmenwerk der deutschen Bankenaufsicht, das sich mit dem "Handelsgeschäft" auf einen kompletten Geschäftsbereich bezog. Allerdings hatten auch die MaH ihre Vorläufer. Dazu zählten die "Mindesta... mehr

Rz. 123 Die Verfahren zur Steuerung und Beurteilung der Liquiditätsrisiken haben auch zu gewährleisten, dass Höhe, Art, Umfang und Entwicklung der Belastung von Vermögensgegenständen zeitnah identifiziert und in den Berichten an die Geschäftsleitung berücksichtigt werden. Dabei sind auch die Auswirkungen von Stressszenarien angemessen zu berücksichtigen. Auch beim Notfallpla... mehr

Rz. 45 Mithilfe der Risikoberichterstattung soll sich die Geschäftsleitung in erster Linie einen Überblick über die Risiko- und Ergebnisentwicklung der mit Marktpreisrisiken behafteten Positionen auf Gesamtbankebene im Berichtszeitraum verschaffen. Der Risikobericht kann entweder auf die Entwicklung des handelsrechtlichen oder des betriebswirtschaftlichen Ergebnisses abgest... mehr

Rz. 57 Für die Marktgerechtigkeitskontrolle sind, ggf. differenziert nach Handelsgeschäftsarten, geeignete Verfahren einzurichten. Dabei sollte sichergestellt werden, dass sich die Kontrolle auf den Zeitpunkt des Abschlusses bezieht. Verzögerungen können in Abhängigkeit von der Volatilität der Märkte zu Abweichungen führen, die das Ergebnis der Marktgerechtigkeitskontrolle v... mehr

Rz. 97 Die Anforderung zur Pflichtabwesenheit von Händlern als Instrument der Betrugsbekämpfung existiert bereits seit vielen Jahren. Früheste Ansätze finden sich z. B. in den USA, wo der Einlagensicherungsfonds der USA ("Federal Deposit Insurance Corporation", FDIC) in einem Rundschreiben vom 3. August 1995 mit dem Titel "Vacation Policies" eine ununterbrochene Abwesenheit ... mehr

Rz. 377 Das Institut hat die Ausführung der ausgelagerten Aktivitäten und Prozesse durch den Dienstleister ordnungsgemäß zu überwachen. Die Überwachung erstreckt sich in erster Linie auf die Ergebniskontrolle und die für diese Zwecke eingerichteten Prozesse und Strukturen. Folgende Aufgaben spielen im Rahmen der Überwachung eine wichtige Rolle:[1] Soll-Ist-Vergleiche auf Basi... mehr

Rz. 376 Am 19. Juni 2019 hat die TEG ihren Abschlussbericht mit Empfehlungen an die EU-Kommission zu den Grundsätzen für einen EU Green Bond Standard (EuGB) sowie einen Modellentwurf vorgelegt. Am 9. März 2020 wurde von der TEG ein Nutzerleitfaden mit Empfehlungen für potenzielle Emittenten, Verifizierer und Investoren veröffentlicht.[1] Auf diesen Empfehlungen basierend, ha... mehr

Rz. 41 Hinsichtlich der Bewertung von Finanzinstrumenten besteht ein enger Zusammenhang zur kapitalmarktorientierten Rechnungslegung, wie den International Financial Reporting Standards (IFRS). Grundsätzlich können Finanzinstrumente zu "fortgeführten Anschaffungs- oder Herstellungskosten" oder zum "beizulegenden Zeitwert" ("Fair Value") bewertet werden. Nach den Vorschriften... mehr

Rz. 220 Die Bedeutung des Risikotragfähigkeitskonzeptes ist nicht auf die Gegenüberstellung der wesentlichen Risiken mit dem Risikodeckungspotenzial beschränkt. Das Risikodeckungspotenzial kann seine Funktion als zentrale interne Steuerungsgröße erst dann vollständig entfalten, wenn das Risikotragfähigkeitskonzept mit den geschäfts- und risikostrategischen Vorgaben der Gesch... mehr

Rz. 115 Die interne Berichterstattung über ESG-Risiken kann sich auch an den Anforderungen an die Offenlegung zu ESG-Risiken orientieren. Schließlich lassen sich aus den aufsichtsrechtlich vorgegebenen Kennzahlen, die von (einigen) Instituten offengelegt werden müssen, immer auch gewisse Rückschlüsse auf die Erwartungen der Aufsichtsbehörden in diesem Bereich ziehen. Unabhän... mehr

Rz. 121 Nach den Vorstellungen der EBA[1] sollten die Institute ESG-Risiken durch wirksame interne Berichtsrahmen überwachen, die der Geschäftsleitung und dem Aufsichtsorgan angemessene Informationen und aggregierte Daten übermitteln, beispielsweise durch die Integration von ESG-Risiken in die regelmäßigen Risikoberichte oder in Form von Dashboards mit Kennzahlen, die eine w... mehr

Rz. 66 Die EBA nennt bestimmte Indikatoren, die von den Instituten mindestens verwendet werden sollten, wobei die kleinen und wenig komplexen Institute ("small and non-complex institutions", SNCI) diese Indikatoren zumindest in Erwägung ziehen sollten:[1] Genannt werden zunächst die finanzierten THG-Emissionen nach Scope 1, 2 und 3, aufgeschlüsselt nach Sektoren, unter Verwen... mehr

Rz. 89 Die IT-Infrastruktur stellt eine wesentliche Voraussetzung für die effektive Risikodatenaggregation und Risikoberichterstattung dar. Aufgrund von historisch gewachsenen Systemlandschaften ist die IT-Infrastruktur in Banken sehr stark fragmentiert und stellt eine der größten Herausforderungen für die Umsetzung von BCBS 239 dar. Aus diesem Grund erfordern die Umsetzungs... mehr

Rz. 115 Traditionell werden in den Instituten selbst entwickelte Anwendungen ("Individuelle Datenverarbeitung", IDV) auf Basis von MS Excel und MS Access als zentrale Aggregations- und Weiterverarbeitungstools verwendet. Diese Anwendungen werden oft zur Lösung von Ad-hoc-Anfragen verwendet, aber auch für regelmäßige Informationsbedürfnisse eingesetzt. Sie ermöglichen flexibl... mehr

Rz. 83 Im dualistischen System ("Two-tier-system") ist die Geschäftsleitung einer Bank primär für die Umsetzung der regulatorischen Anforderungen verantwortlich. Das Aufsichtsorgan muss sicherstellen, dass es alle Informationen verlangt und erhält, die für die Erfüllung seiner Überwachungsfunktion für die Bank und die Risiken, denen diese ausgesetzt ist, relevant sind. Eine ... mehr

Rz. 131 Im Interesse einer aussagekräftigen Risikoberichterstattung sollten die Risikodaten korrekt und konsistent sein. Hierfür sollten die Möglichkeiten zum Abgleich und zur Plausibilisierung der Risikodaten mit den im Institut vorhandenen Informationen genutzt werden. So fordert der Baseler Ausschuss für Bankenaufsicht (BCBS), die Risikodaten mit anderen im Institut zur V... mehr

Rz. 158 Die Sicherstellung der Datenqualität ist eine unternehmensweite Aufgabe, die nicht nur von einer Organisationseinheit bewerkstelligt werden kann. Der Baseler Ausschuss für Bankenaufsicht erwartet, dass die zuständigen Mitarbeiter (Geschäftsbereiche und IT-Funktionen) gemeinsam mit den Risikomanagern sicherstellen, dass während des gesamten Datenzyklus und unter sämtl... mehr

Rz. 6 Im Fokus der Risikoberichterstattung befinden sich alle vom Institut als wesentlich eingestuften Risikoarten. Auf die jeweiligen Besonderheiten der verschiedenen Risikoarten und der zugehörigen Unterkategorien wird an anderer Stelle ausführlich eingegangen (→ BTR). Vor diesem Hintergrund weist die deutsche Aufsicht darauf hin, dass eine vierteljährliche Risikoberichter... mehr

Rz. 182 Die EZB erwartet, dass die Interne Revision unabhängig von den Aktivitäten der internen Validierungsfunktion Prüfungen der Validierungsfunktion, des Data-Governance-Rahmenwerkes, der Risikodatenaggregationskapazitäten und der Risikoberichterstattung sowie der Qualität der für die Risikoquantifizierung verwendeten Daten durchführt.[1] Diese Anforderung resultiert bere... mehr

Rz. 106 Im Rahmen seines letzten Umsetzungsberichtes hat der Baseler Ausschuss für Bankenaufsicht (BCBS) Beispiele für eine effektive Datenarchitektur und IT-Infrastruktur von Instituten aufgezählt, bei denen die Grundsätze bereits im Wesentlichen bzw. vollständig umgesetzt sind. Hierzu gehören die effektive Integration isolierter Datenbanken von verschiedenen Konzerngesells... mehr

Rz. 323 Im Mittelpunkt dieser Überlegungen steht mit dem "Bail-in" ein Instrument der Beteiligung von Gläubigern eines Institutes an dessen Verlusten bei der Abwicklung im Fall einer Bestandsgefährdung. Die BaFin hat die "Mindestanforderungen zur Umsetzbarkeit eines Bail-in" (MaBail-in) in ihrer Funktion als nationale Abwicklungsbehörde erstmals im Juli 2019 veröffentlicht.[... mehr

Rz. 51 Die Risikoberichte müssen den richtigen Personen mit den richtigen Informationen zur richtigen Zeit übermittelt werden, nämlich den entsprechenden Entscheidungsträgern zu einem Zeitpunkt, der noch eine angemessene Reaktion erlaubt.[1] Die Institute sollten deshalb in der Lage sein, aggregierte und aktuelle Risikodaten sowohl unter gewöhnlichen Umständen als auch in St... mehr

Rz. 42 Eine ausschließlich turnusmäßige Erstellung von Risikoberichten, auf deren Basis die steuerungsrelevanten Entscheidungen der Geschäftsleitung getroffen werden sollen, würde ein Institut für die Zeiträume zwischen den Berichtsterminen ggf. in ernste Gefahr bringen, wenn sich die aktuelle Risikosituation des Institutes oder die aktuelle Situation der Märkte, auf denen d... mehr

Rz. 136 Im Rahmen der Konsultation des EZB-Leitfadens an die effektive Risikodatenaggregation und Risikoberichterstattung wurde die Frage nach der erforderlichen Frequenz für die Abgleiche zwischen verschiedenen Datenquellen und Berichten gestellt. Nach Ansicht der EZB sollte die Frequenz entsprechend der Häufigkeit der Datenflüsse ausgewählt werden, die den Wert von Datenel... mehr

Rz. 48 Das nachhaltige und kontinuierliche Daten- bzw. Datenqualitätsmanagement gewinnt enorm an Bedeutung und befördert den von der Aufsicht geforderten Kulturwandel in den Instituten. Die bisher eher als "IT-technisches Gut" betrachteten Daten stellen mittlerweile einen "wesentlichen Vermögenswert" der Institute dar, der entsprechend sorgsam behandelt werden sollte. Um die... mehr

Rz. 57 Zur Berechnung der NPL-Quote muss der "Bruttobuchwert" der "notleidenden Darlehen und Kredite" ("non-performing loans", NPL) durch den Bruttobuchwert der gesamten Darlehen und Kredite geteilt werden (→ AT 2.1 Tz. 1, Erläuterung). Zur Klarstellung, was unter dem Status "notleidend" genau zu verstehen ist, soll die Definition für das aufsichtliche Meldewesen herangezoge... mehr

Rz. 144 Die zeitnahe Verfügbarkeit von aggregierten Risikodaten ist insbesondere in Stressphasen von Bedeutung und damit auch für die bankinternen Stresstests relevant. So sollten die Institute zur Durchführung von Stresstests über ein Verfahren zur Aggregation von Risikodaten verfügen, um genaue und verlässliche Risikodaten pflegen und auf dem neuesten Stand halten zu könne... mehr

Rz. 17 Die Anforderungen aus BCBS 239 gelten in erster Linie für global ("Global Systemically Important Banks", G-SIBs) und national systemrelevante Banken ("Domestic Systemically Important Banks", D-SIBs). Global systemrelevante Institute (G-SRI)[1] haben die Grundsätze des Baseler Ausschusses für Bankenaufsicht (BCBS) bereits seit Anfang 2016 vollständig zu berücksichtige... mehr

Rz. 36 Die "Integrität" ("integrity") bezeichnet laut BSI die Sicherstellung der Korrektheit (Unversehrtheit) von Daten bzw. der korrekten Funktionsweise von Systemen. Das BSI unterscheidet außerdem zwischen der Integrität von "Daten" und der Integrität von "Informationen". Das ist darauf zurückzuführen, dass der Begriff "Informationen" vom BSI als Synonym für "Daten" verwen... mehr

Rz. 2 Die unabhängige Risikocontrolling-Funktion ist für die Überwachung und Kommunikation der Risiken im Institut zuständig (→ AT 4.4.1 Tz. 1). Damit hat die Risikocontrolling-Funktion auch die Aufgabe, für die Geschäftsleitung regelmäßig die Risikoberichte zu erstellen (→ AT 4.4.1 Tz. 2). Die deutsche Aufsicht fordert von den Instituten mindestens vierteljährlich vorzulege... mehr

Rz. 220 Stresssituationen können auf institutseigene oder marktweite Ursachen rekurrieren. Institutseigene Ursachen sind im Gegensatz zu marktweiten Ursachen i. d. R. auf eigene Versäumnisse des Institutes zurückzuführen. Sie können im Extremfall den vollständigen Verlust des Vertrauens der Marktteilnehmer in das Institut und folglich den kompletten Abzug von Kundeneinlagen ... mehr

Rz. 146 Die Institute müssen ihre Risikosysteme so einrichten, dass sie in der Lage sind, in Stressphasen oder Krisen aggregierte Risikodaten zu sämtlichen kritischen Risiken zeitnah zur Verfügung zu stellen.[1] Die deutsche Aufsicht hat eine nicht abschließende Aufzählung von Daten vorgegeben, die auch in Stressphasen zeitnah zur Verfügung stehen müssen, und sich dabei an d... mehr

AT 1 Tz. 6: Einführung des Begriffs "bedeutende Institute" An dem Begriff "bedeutende Institute" wird die Aufsicht festhalten. Allerdings sollen erläuternde Ausführungen in das Übersendungsschreiben zur MaRisk-Novelle aufgenommen werden. Hinsichtlich der einzelnen Themen, für die die Änderung "bedeutendes Institut" relevant ist, wird auf die Erläuterungen zu den jeweiligen Mod... mehr

Rz. 83 Die klare und aufeinander abgestimmte Definition von Prozessen und daran geknüpften Aufgaben, Kompetenzen, Verantwortlichkeiten, Kontrollen und Kommunikationswege ist von essenzieller Bedeutung für die Funktionsfähigkeit einer Organisation. Das gilt grundsätzlich auch für die Organisation einer Unternehmensgruppe, die ein reibungsloses Zusammenspiel zwischen den grupp... mehr