Fachbeiträge & Kommentare zu Resilienz

Tz. 31 Stand: EL 124 – ET: 09/2026 Zu berücksichtigen sind die Niederlassungsfreiheit des Art 49 AEUV (Art 43 EGV) sowie die Kap-Verkehrsfreiheit gem Art 63 AEUV (Art 56 EGV). In der Lit wird die Auff vertreten, die Zinsschranke verstoße gegen diese Grundfreiheiten (zum Bsp s Körner, Ubg 2011, 610, 616; s Homburg, FR 2007, 717, 723; s Musil/Volmering, DB 2008, 12, 15 ff; s Kn... mehr

Unabhängig von der Aufbauorganisation eines Unternehmens lautet die entscheidende Prüffrage immer: Inwiefern können die aktuellen Strukturen den Anforderungen des Krisenmanagements gerecht werden? Daraus ergeben sich die ersten und wichtigsten Analyse-Punkte in Bezug auf die Unternehmensstrukturen: Wer muss in welchem Krisenfall benachrichtigt werden (Alarm-Matrix)? Welche Ent... mehr

Jedes gut geführte Unternehmen verfügt über wohldefinierte und praxiserprobte Prozesse, angepasst an die jeweils üblichen Abläufe im Tagesgeschäft und/oder in Projekten. Diese Prozesse werden mehr oder weniger regelmäßig hinterfragt und geschult. Sie sind den Mitarbeitern bekannt, werden laufend optimiert und täglich gelebt. Wie aber steht es um die Prozesse im Unternehmen, d... mehr

Die Strategie-Säule umfasst folgende Teilstandards: ESRS E1-1: Übergangsplan für den Klimaschutz ESRS E1-2: Identifikation von Klimarisiken und Szenarioanalyse ESRS E1-3: Resilienz der Strategie und des Geschäftsmodells in Bezug auf den Klimawandel ESRS E1-1: Übergangsplan für den Klimaschutz Der Teilstandard E1-1 verpflichtet Unternehmen zur Darlegung eines Übergangsplans, der e... mehr

Systematische Krisenprävention kann Krisen nicht verhindern, aber sie kann Unternehmen widerstandsfähiger machen und Reaktionsfähigkeit und Handlungsspielräume in der Krise entscheidend verbessern. So trägt Krisenprävention unmittelbar zum Risikomanagement des Unternehmens bei. Krisenprävention bedeutet in erster Linie, die Resilienz einer Organisation insgesamt zu stärken. R... mehr

Die übergeordnete Zielsetzung des simplified ESRS E1 bleibt gegenüber dem ESRS Set 1 unverändert: Transparenz über die Auswirkungen von Unternehmen auf den Klimawandel sowie über klimabezogene Risiken und Chancen herzustellen und eine nachvollziehbare Klimastrategie offenzulegen, die auch in komplexen globalen Lieferketten greift. Was sich ändert, ist nicht das Ziel, sondern... mehr

Der simplified ESRS E1 markiert keine Vereinfachung des klimapolitischen Anspruchs, er vertieft ihn vielmehr. Mit der Einführung von E1-2 (Klimarisikoanalyse und Szenarioanalyse) und E1-3 (Resilienz) werden zwei vollständig neue strategische Offenlegungspflichten geschaffen, die den Einkauf weit über seine bisherige Rolle als Datenlieferant hinausführen. Die systematische Id... mehr

Krisen können Unternehmen also massiv beinträchtigen, unter Umständen sogar in ihrer Existenz bedrohen. Sie lassen sich oft nicht verhindern, insbesondere wenn sie externe Auslöser haben. Aber Unternehmen können sich im Rahmen eines ganzheitlichen Risikomanagements auf Krisen vorbereiten und so resilienter, widerstandsfähiger werden. Ausgangspunkt jeder Krisenprävention ist ... mehr

Die Umsetzung des simplified ESRS E1 erfordert vom Einkauf eine strategische Neuausrichtung, die weit über eine reine Berichterstattungslogik hinausgeht. Die strukturellen Neuerungen, insbesondere E1-2 (Klimarisikoanalyse), E1-3 (Resilienz), und die deutlich ausgeweiteten finanziellen Offenlegungspflichten unter E1-11 verlangen eine tiefere Integration klimabezogener Aspekte... mehr

Neben den in allen Unternehmen in vergleichbarer Weise zu betrachtenden Dimensionen der Strukturen, Prozesse, Instrumente und Fähigkeiten, gibt es in jedem Unternehmen ganz spezifische Erfolgsfaktoren und Risiken. In der Regel sind diese bereits im Rahmen des Risikomanagements identifiziert. Es empfiehlt sich, diese spezifischen Aspekte nochmals unter dem Gesichtspunkt der K... mehr

Die Anforderungen des ESRS E1 markieren einen Paradigmenwechsel im unternehmerischen Klimamanagement – und rücken die Beschaffung in den Mittelpunkt der Umsetzung. In allen neun Teilstandards zeigt sich: Der Einkauf ist nicht nur Datenlieferant, sondern strategischer Gestalter einer emissionsarmen, klimaresilienten und zukunftsfähigen Wertschöpfungskette. Der Standard verlang... mehr

Krisen sind wie schwarze Schwäne. Eigentlich sollte es sie nicht geben. Aber es gibt sie. Und als disruptive Ereignisse liegen Krisen oft außerhalb der Risikobetrachtungen von Unternehmen. Die Häufigkeit globaler Krisen, die unmittelbare Auswirkungen auf Unternehmen hierzulande haben, nimmt in den vergangenen Jahren stetig zu (Abb. 1). Und es kommt möglicherweise noch schlim... mehr

Einige wenige, aber wesentliche Faktoren bestimmen die Krisen-Resilienz von Unternehmen. Anhand einfacher Prüffragen lassen sich die wichtigsten Handlungsfelder zur Krisenprävention identifizieren. Durch konsequente Bearbeitung dieser Handlungsfelder können sich Unternehmen in die Lage versetzen, disruptive Ereignisse schnell und kompetent zu bewältigen. Krisenprävention red... mehr

Die zweite zentrale Offenlegungssäule im ESRS E1 betrifft das Management klimabezogener Auswirkungen, Risiken und Chancen. Die beiden Teilstandards E1-2 und E1-3 verpflichten Unternehmen zur strukturierten Erfassung, Bewertung und Steuerung physischer und transitorischer Klimaeinflüsse. ESRS E1-2: Strategien im Zusammenhang mit dem Klimaschutz und der Anpassung an den Klimawa... mehr

Der simplified ESRS E1 bleibt innerhalb der Gesamtstruktur der ESRS weiterhin der thematische Standard der Kategorie Umwelt (E), der sich auf den Klimawandel konzentriert. Die Gesamtstruktur der ESRS mit zwölf thematischen Standards und zwei Querschnittsstandards bleibt unverändert. Was sich grundlegend ändert, ist die innere Architektur des Standards. Im ESRS Set 1 gliederte... mehr

Die dritte Säule der Offenlegungspflichten umfasst insgesamt folgende drei Teilstandards, die sich auf die Festlegung, Steuerung und Überprüfung von Zielen, Indikatoren und Leistungskennzahlen im Bereich verantwortungsvoller Unternehmensführung beziehen: ESRS G1-4: Korruptions- oder Bestechungsfälle Der Teilstandard ESRS G1-4 verpflichtet Unternehmen zur Offenlegung konkreter ... mehr

Mit der Richtlinie (EU) 2026/470 (Omnibus I) wurde EFRAG beauftragt, das ESRS Set 1 zu überarbeiten. Den entsprechenden Entwurf, die sog. simplified ESRS, hat EFRAG am 3.12.2025 an die EU-Kommission übermittelt, die darauf aufbauend am 3.7.2026 den finalen delegierten Rechtsakt zu den überarbeiteten ESRS verabschiedet hat. Er wird derzeit von Europäischem Parlament und Rat g... mehr

Im strategischen Kontext des ESRS S2 spielen die Teilbereiche SBM[2]-2 und SBM-3 eine zentrale Rolle, deren Offenlegungspflichten den Einkauf vor neue Herausforderungen, aber auch vor bedeutende Chancen stellen: ESRS S2 SBM-2: Interessen und Standpunkte der Interessenträger Dieser Teilstandard fordert Unternehmen dazu auf, darzulegen, wie die Interessen, Rechte und Standpunkte... mehr

Die dritte Säule der Offenlegungspflichten umfasst insgesamt folgende sechs Teilstandards: ESRS E1-4: Ziele in Bezug auf Strategien zum Klimaschutz und zur Anpassung an den Klimawandel Der Teilstandard ESRS E1-4 verpflichtet Unternehmen zur Offenlegung konkreter, überprüfbarer Zielsetzungen, die sich aus der strategischen Ausrichtung in Bezug auf den Klimawandel ergeben. Diese... mehr

Rz. 176 Zwar sind mit Informations- und Kommunikationstechnologien (IKT) sowohl Chancen als auch Risiken verbunden. Die IKT-Risiken bleiben nach Einschätzung der EU-Kommission aber trotz zahlreicher regulatorischer Maßnahmen in erster Linie eine Herausforderung für die "Betriebsstabilität", die Leistungsfähigkeit der Institute und die Stabilität des Finanzsystems in der EU. ... mehr

Rz. 86 Beim IKT-Risiko sollte nicht nur nach den Vorstellungen des Baseler Ausschusses für Bankenaufsicht mit Verweis auf das Cyber-Lexikon des Financial Stability Boards (FSB) auch das "Cyberrisiko" berücksichtigt werden.[1] Der Definition des FSB zufolge wird die Kombination aus der Wahrscheinlichkeit des Auftretens von Cybervorfällen und deren Auswirkungen als "Cyberrisi... mehr

Rz. 194 Damit das Informationsrisikomanagement und das Informationssicherheitsmanagement (→ AT 7.2 Tz. 2) überhaupt greifen können, muss die Geschäftsleitung die IT-Organisation auch insgesamt angemessen steuern. Voraussetzung hierfür ist eine IT-Strategie, die dem Geschäftsmodell angemessen ist und in der IT-Organisation umgesetzt wird.[1] Die Geschäftsleitung hat daher nac... mehr

Rz. 8 Bei wesentlichen Veränderungen in den IT-Systemen sind ergänzend die "Bankaufsichtlichen Anforderungen an die IT" (BAIT)[1] zu beachten, mit deren Hilfe die MaRisk in den relevanten Bereichen weiter konkretisiert werden. Die Aufsicht erläutert darin auch, was sie unter angemessenen Änderungsprozessen von IT-Systemen versteht (→ AT 7.2 Tz. 3). Die MaRisk und die BAIT si... mehr

Rz. 133 Die Anforderungen an die Funktionalität der Anwendung müssen laut Tz. 7.7 BAIT ebenso erhoben, bewertet, dokumentiert und genehmigt werden wie "nichtfunktionale Anforderungen". Nichtfunktionale Anforderungen an IT-Systeme sind beispielsweise: Anforderungen an die Informationssicherheit, Zugriffsregelungen, Ergonomie, Wartbarkeit, Antwortzeiten, Resilienz.[1] Rz. 134 Zu jede... mehr

Rz. 2 Die technisch-organisatorische Ausstattung umfasst die Gesamtheit der Einrichtungen und Anlagen zur Leistungserstellung eines Institutes. Hierzu zählen z. B. Grundstücke, Gebäude, Büromaterial oder Aufbewahrungsmöglichkeiten. Es ist evident, dass sich z. B. hinsichtlich der Gebäude bei einem Institut mit weit verzweigtem Filialnetz andere Fragen ergeben als bei einem I... mehr

Rz. 63 Gemäß Tz. 2.2 BAIT ist die Geschäftsleitung dafür verantwortlich, dass auf Basis der IT-Strategie die Regelungen zur IT-Aufbau- und IT-Ablauforganisation festgelegt und bei Veränderungen der Aktivitäten und Prozesse zeitnah angepasst werden. Es ist sicherzustellen, dass diese Regelungen wirksam umgesetzt werden. Rz. 64 Laut Tz. 4.4 BAIT hat die Geschäftsleitung die Fun... mehr

Rz. 309 Die BaFin hat am 8. November 2018 eine Orientierungshilfe zu Auslagerungen an Cloud-Anbieter in Form eines Merkblattes veröffentlicht.[1] In diesem mit der Deutschen Bundesbank abgestimmten Dokument wird die aufsichtliche Praxis bei derartigen Konstellationen dargelegt. Gleichzeitig soll bei den beaufsichtigten Unternehmen ein Problembewusstsein im Umgang mit Cloud-D... mehr

Rz. 16 Der deutsche Gesetzgeber hat erstmals im Rahmen der sechsten KWG-Novelle im Jahr 1998 in § 25a Abs. 2 KWG a. F. für Institute Anforderungen an die Zulässigkeit und Ausgestaltung der Auslagerung von Aktivitäten und Prozessen auf andere Unternehmen festgelegt. Die Aufnahme der Regelung in das KWG stellte zugleich klar, dass die Auslagerung von Aktivitäten und Prozessen... mehr

Rz. 11 Bei der Umsetzung dieser Anforderungen sind zumindest bis zum 17. Januar 2025 die "Bankaufsichtlichen Anforderungen an die IT" (BAIT)[1] zu beachten, mit deren Hilfe die MaRisk in den relevanten Bereichen weiter konkretisiert werden. Mithilfe der BAIT wird den Instituten die Erwartungshaltung der deutschen Aufsicht zur sicheren Ausgestaltung der IT-Systeme und zugehör... mehr

Rz. 357 Mit dem Digital Operational Resilience Act (DORA)[1] hat der europäische Gesetzgeber für Finanz­unternehmen[2] als Bestandteil des Drittparteienrisikomanagements der Informations- und Kommunikationstechnologie (IKT-Drittparteienrisikomanagement) sektorübergreifende Mindestvorgaben an vertragliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen zwischen Finan... mehr

Hinweis zur Benutzung des Literaturverzeichnisses: Sofern es sich bei den Autoren bzw. Herausgebern um Organisationen handelt, sind die aufgeführten Werke i. d. R. auf der Internetseite der jeweiligen Organisation verfügbar. Achtelik, Olaf, in: Herzog, Felix (Hrsg.), Geldwäschegesetz, 5. Auflage, München, 2023, § 24c KWG, § 25h KWG und § 6 GwG. ACI Deutschland e. V. – Arbeitsg... mehr

Rz. 407 Mit der weiteren Umsetzung von EBA-Leitlinien in den MaRisk sind aus Sicht der deutschen Aufsicht bestimmte Nachteile verbunden. So nimmt der Umsetzungsprozess relativ viel Zeit in Anspruch, womit der in den EBA-Leitlinien genannte Termin des Inkrafttretens von den weniger bedeutenden Instituten i. d. R. nicht eingehalten wird. Zudem hinkt Deutschland damit anderen e... mehr

Rz. 282 Die Grundsätze des Baseler Ausschusses für Bankenaufsicht für die effektive Aggregation von Risikodaten und die Risikoberichterstattung[1] enthalten nicht nur Vorgaben für das Risikomanagement (→ Kapitel 2.6.1), sondern betreffen in einem hohen Maße auch die Informationstechnologie. Die IT-relevanten Vorgaben wurden erstmals im November 2017 als Konkretisierung der M... mehr

Rz. 101 Tendenziell wird im Zusammenhang mit Auslagerungsrisiken mittlerweile global allgemeiner auf "Drittparteirisiken" ("Third-Party Risks") abgestellt. Dies zeigt auch der Digital Operational Resilience Act (DORA), mit dem die Europäische Union eine finanzsektorweite Regulierung für die Themen Cybersicherheit, IKT-Risiken und digitale operationale Resilienz geschaffen ha... mehr

Rz. 1 Operationelle Risiken werden im Gegensatz zu Adressenausfallrisiken oder Marktpreisrisiken vom Institut zwar grundsätzlich nicht bewusst eingegangen, um daraus Erträge zu generieren. Allerdings müssen sich die Institute z. B. bei der Einführung neuer (komplexer) Produkte oder bei Änderungen betrieblicher Prozesse und Strukturen der damit verbundenen prozessualen, recht... mehr

Rz. 3 Natürlich spielt die Auslagerung von Aktivitäten und Prozessen auf Dritte auch bei Banken und Finanzdienstleistern eine wichtige Rolle.[1] Auslagerungen fallen im Bankensektor sogar auf besonders fruchtbaren Boden, da die Institute im Vergleich zu Industrieunternehmen immer noch einen recht hohen Anteil der Leistungen in Eigenregie erstellen.[2] Dennoch geht der Trend ... mehr

Rz. 68 Immobiliensicherheiten sollten nach Maßgabe von Art. 229 CRR auf der Grundlage ihres Markt- oder Beleihungswertes[1] bewertet werden.[2] Gemäß Art. 4 Abs. 1 Nr. 74a CRR wird unter dem "Immobilienwert" ebenso der nach Art. 229 Abs. 1 CRR ermittelte Wert einer Wohn- oder Gewerbeimmobilie verstanden, wobei die Begriffe "Wohnimmobilie" und "Gewerbeimmobilie" näher erläute... mehr

Rz. 53 Die EBA nennt verschiedene Regelwerke, auf deren Vorgaben sich ihre Leitlinien beziehen:[1] Regelungen, Verfahren und Mechanismen für die Unternehmensführung (Governance) gemäß Art. 74 Abs. 1 CRD IV, Anforderungen im Hinblick auf das Kreditrisiko und das Kontrahentenrisiko (Gegenparteiausfallrisiko) gemäß Art. 79 CRD IV, die unter dem Begriff Adressenausfallrisiko zusam... mehr

Rz. 422 Die zunehmende Fragmentierung von Wertschöpfungsketten stellt Finanzunternehmen insbesondere bei standardisierten IT-Dienstleistungen vor die Herausforderung, den aufsichtsrechtlichen Anforderungen entsprechende Verträge mit Dienstleistern aushandeln zu müssen. Dies betrifft insbesondere Regelungen, die der Überwachung der gesamten Wertschöpfungskette dienen. Hier ha... mehr

Rz. 35 Ob und ggf. inwieweit sich die Interne Revision des auslagernden Institutes auf die Ergebnisse Dritter stützen kann, hängt allerdings nicht nur von praktischen Erwägungen ab, sondern insbesondere auch von der Bedeutung und der Risikorelevanz der ausgelagerten Aktivitäten und Prozesse für das Institut. Aus der Risikoanalyse können auch im Hinblick auf diese Frage wicht... mehr

Rz. 57 Der zweistufige Prozess, bestehend aus dem "Internal Capital Adequacy Assessment Process" (ICAAP) und dem "Supervisory Review and Evaluation Process" (SREP), ist nach wie vor auch Gegenstand der CRD IV. Die Aufsichtsbehörden richten ihr Augenmerk allerdings mittlerweile nicht mehr ausschließlich auf die Kapitalausstattung der Institute, sondern mit Einführung des "Int... mehr

Rz. 1 Die Geschäftsleitung muss eine tragfähige Geschäftsstrategie festlegen, in der die Ziele des Instituts für die wesentlichen Geschäftsaktivitäten sowie die Maßnahmen zur Erreichung dieser Ziele dargestellt werden. Diese Strategieentwicklung setzt eine zukunftsgerichtete Analyse des Geschäftsmodells voraus. Die Geschäftsmodellanalyse kann in Abhängigkeit von Komplexität ... mehr

Rz. 1 Das Institut muss regelmäßig und anlassbezogen angemessene Stresstests für die wesentlichen Risiken durchführen. Hierfür sind die für die jeweiligen Risiken wesentlichen Risikofaktoren zu identifizieren. Erläuterung: Stresstests Der Ausdruck "Stresstests" wird als Oberbegriff für die unterschiedlichen Methoden gebraucht, mit denen die Institute ihr individuelles Gefährdu... mehr

Rz. 1 Wesentliche Veränderungen in den IT-Systemen im Rahmen von IT-Projekten, deren Auswirkung auf die IT-Aufbau- und IT-Ablauforganisation sowie die dazugehörigen IT-Prozesse sind im Rahmen einer Auswirkungsanalyse zu bewerten (vgl. AT 8.2 Tz. 1 MaRisk). Im Hinblick auf den erstmaligen Einsatz sowie wesentliche Veränderungen von IT-Systemen sind die Anforderungen des AT 7.... mehr

Rz. 159 Das "Informations- und Kommunikationstechnologie-Risiko" (IKT-Risiko) wurde zunächst als Risiko von Verlusten aufgrund der Unzweckmäßigkeit oder des Versagens der Hard- und Software technischer Infrastrukturen verstanden, welche die Verfügbarkeit, Integrität, Zugänglichkeit und Sicherheit dieser Infrastrukturen oder der Daten beeinträchtigen können.[1] Neueren Defini... mehr

Rz. 87 Unmittelbar im Anschluss an die Veröffentlichung der fünften MaRisk-Novelle hat die deutsche Aufsicht im November 2017 die "Bankaufsichtlichen Anforderungen an die IT" (BAIT) vorgelegt.[1] Dieses Rundschreiben gibt auf der Grundlage des § 25a Abs. 1 KWG einen flexiblen und praxisnahen Rahmen für die technisch-organisatorische Ausstattung der Institute vor, insbesonder... mehr

Rz. 105 Die fünfte und sechste MaRisk-Novelle haben zu erheblichen Überarbeitungen der Anforderungen an Auslagerungen geführt.[1] Positiv ist dabei anzumerken, dass die in die MaRisk übernommenen Regelungen deutlich prinzipienorientierter ausgestaltet sind als ihre europäischen Vorgaben. Zwar betont auch die EBA die Bedeutung des Grundsatzes der Proportionalität sowohl bei d... mehr

Rz. 97 Im Zusammenhang mit der Vermeidung oder Reduzierung operationeller Risiken werden häufig auch Auslagerungen genannt. Derartigen Maßnahmen könnte – neben betriebswirtschaftlichen Gesichtspunkten – auch die Überlegung zugrunde liegen, dass im Fall ausgelagerter Tätigkeiten die Gefahr von Verlusten, die infolge der Unangemessenheit oder des Versagens von internen Verfahr... mehr

Rz. 2 Naturkatastrophen, Terroranschläge, Pandemien oder Hackerangriffe können Unterbrechungen der innerbetrieblichen Geschäftsabläufe zur Folge haben, die sich im Extremfall aufgrund der Vernetzung der internationalen Finanzmärkte zu globalen Krisen ausweiten. Aber auch weniger spektakuläre Ereignisse können bei Instituten zu gravierenden Beeinträchtigungen führen, wie z. B... mehr

Rz. 28 Die Nutzung des Outputs ist ein wichtiger Indikator für die Bedeutung des Modells im Risikomanagement. Diese Bedeutung hängt insbesondere davon ab, welche Ergebnisse das Modell liefert und mit welcher Relevanz diese Ergebnisse in die Geschäftsprozesse des Institutes einfließen. Beispiele sind Risikomodelle der zweiten Säule, Risikofrüherkennungsverfahren etc. Dabei so... mehr