Fachbeiträge & Kommentare zu Risikoanalyse

a) Kommentare und Einzelschriften Brandis/Heuermann, Komm zum ErtrStR, Vlg Franz Vahlen München (vormals Blümich); Frotscher/Drüen, Komm zum KStG und UmwStG, Haufe-Vlg (vormals Frotscher/Maas); Frotscher/Geurts, Komm zum EStG, Haufe-Vlg; Gosch, KStG, 4. Aufl (2020), CH Beck Vlg; Heuser/Theile, IAS/IFRS-Hdb – Einzel- und Konzernabschluss; 2. Aufl (2005), Vlg Otto Schmidt; Heyes, Ur... mehr

§ 91 AO ist in der Abgabenordnung der zentrale Anknüpfungspunkt für das verfahrensrechtliche Gehör im Besteuerungsverfahren. Sein Leitbild ist die vorgelagerte Konfliktvermeidung: Bevor ein belastender Verwaltungsakt ergeht, soll dem Beteiligten Gelegenheit gegeben werden, sich zu den entscheidungserheblichen Tatsachen zu äußern; besonders deutlich wird das bei wesentlichen ... mehr

Für Unternehmen, die Hochrisiko-KI-Systeme einsetzen, gelten vor allem folgende Pflichten: Menschliche Aufsicht durch kompetente, ausgebildete und befugte Personen sicherstellen und erforderliche Unterstützung gewähren. Hierfür sollten Schulungen angeboten/angemessene Maßnahmen zur Förderung der KI-Kompetenz ergriffen werden.[1] Information der Arbeitnehmervertreter und betrof... mehr

Die zweite Offenlegungssäule des ESRS G1 befasst sich mit der Frage, wie Unternehmen ihr Geschäftsgebaren im Hinblick auf potenzielle Auswirkungen, Risiken und Chancen analysieren, steuern und weiterentwickeln – insbesondere im Verhältnis zu externen Geschäftspartnern wie Lieferanten und Dienstleistern. Im Zentrum steht die transparente Darlegung, wie Risiken wie Korruption,... mehr

Auch im Kontext des Lieferkettensorgfaltspflichtengesetzes (LkSG) können digitale Dateninstrumente wie ein digitaler Produktpass unterstützend eingesetzt werden. Das LkSG ist seit dem 1. Januar 2023 in Kraft und verpflichtet Unternehmen zur Wahrnehmung menschenrechtlicher und bestimmter umweltbezogener Sorgfaltspflichten entlang ihrer Lieferketten. Zentrale Elemente des Geset... mehr

Die Strategie-Säule umfasst folgende Teilstandards: ESRS E1-1: Übergangsplan für den Klimaschutz ESRS E1-2: Identifikation von Klimarisiken und Szenarioanalyse ESRS E1-3: Resilienz der Strategie und des Geschäftsmodells in Bezug auf den Klimawandel ESRS E1-1: Übergangsplan für den Klimaschutz Der Teilstandard E1-1 verpflichtet Unternehmen zur Darlegung eines Übergangsplans, der e... mehr

Die Umsetzung des simplified ESRS E1 erfordert vom Einkauf eine strategische Neuausrichtung, die weit über eine reine Berichterstattungslogik hinausgeht. Die strukturellen Neuerungen, insbesondere E1-2 (Klimarisikoanalyse), E1-3 (Resilienz), und die deutlich ausgeweiteten finanziellen Offenlegungspflichten unter E1-11 verlangen eine tiefere Integration klimabezogener Aspekte... mehr

Die dritte Offenlegungssäule des simplified ESRS E1 umfasst sechs Teilstandards, die sich auf messbare Ziele, Energieverbrauch, Treibhausgasemissionen, Kompensation, interne CO2-Bepreisung sowie finanzielle Auswirkungen klimabezogener Risiken beziehen. Gegenüber dem ESRS Set 1 wurden die Teilstandards inhaltlich gestrafft und neu nummeriert. Insbesondere E1-11 (Finanzielle A... mehr

Die dritte Säule der Offenlegungspflichten umfasst insgesamt folgende sechs Teilstandards: ESRS E1-4: Ziele in Bezug auf Strategien zum Klimaschutz und zur Anpassung an den Klimawandel Der Teilstandard ESRS E1-4 verpflichtet Unternehmen zur Offenlegung konkreter, überprüfbarer Zielsetzungen, die sich aus der strategischen Ausrichtung in Bezug auf den Klimawandel ergeben. Diese... mehr

Die zweite zentrale Offenlegungssäule im ESRS E1 betrifft das Management klimabezogener Auswirkungen, Risiken und Chancen. Die beiden Teilstandards E1-2 und E1-3 verpflichten Unternehmen zur strukturierten Erfassung, Bewertung und Steuerung physischer und transitorischer Klimaeinflüsse. ESRS E1-2: Strategien im Zusammenhang mit dem Klimaschutz und der Anpassung an den Klimawa... mehr

Die Umsetzung des ESRS S2 erfordert eine umfassende strategische Ausrichtung im Einkauf, die sicherstellt, dass arbeitsrechtliche Risiken in der Lieferkette nicht nur identifiziert, sondern aktiv gemanagt werden. Während die einzelnen Substandards spezifische Anforderungen an die Einkaufsstrategie stellen, sind die folgenden allgemeinen Handlungsempfehlungen grundlegend für ... mehr

Die Offenlegungssäule zum Management der Auswirkungen, Risiken und Chancen umfasst drei Teilstandards, die sich auf die Darlegung von Richtlinien, Einbindungsprozessen und konkreten Maßnahmen beziehen. Für den Einkauf sind alle drei unmittelbar relevant, da sie zentrale Aspekte eines verantwortungsvollen Lieferantenmanagements und menschenrechtlicher Sorgfalt in der Beschaff... mehr

Im Rahmen des ESRS G1 verweist die Governance-Säule ausschließlich auf den Querschnittsstandard ESRS 2 GOV-1. Dieser verpflichtet Unternehmen zur Offenlegung der Rollen und Zuständigkeiten ihrer Leitungs-, Verwaltungs- und Aufsichtsorgane in Bezug auf Nachhaltigkeit. Im Zentrum steht die Frage, wer innerhalb der Organisation für die Steuerung, Überwachung und Integration von... mehr

Der Bereich Kennzahlen und Ziele umfasst eine weitere finale Offenlegungspflicht: ESRS S2-5: Ziele in Bezug auf den Umgang mit wesentlichen negativen und positiven Auswirkungen sowie wesentlichen Risiken und Chancen Der letzte Teilstandard verlangt von Unternehmen, konkrete und zeitlich definierte Ziele festzulegen, um negative Auswirkungen auf Arbeitskräfte in der Wertschöpfu... mehr

Die dritte Säule der Offenlegungspflichten umfasst insgesamt folgende drei Teilstandards, die sich auf die Festlegung, Steuerung und Überprüfung von Zielen, Indikatoren und Leistungskennzahlen im Bereich verantwortungsvoller Unternehmensführung beziehen: ESRS G1-4: Korruptions- oder Bestechungsfälle Der Teilstandard ESRS G1-4 verpflichtet Unternehmen zur Offenlegung konkreter ... mehr

Überblick Dieser Beitrag erläutert, wie die Überwachung des Risikomanagements nach dem Lieferkettensorgfaltspflichtengesetz (LkSG) ausgestaltet werden kann. In § 4 Abs. 3 LkSG ist etwa die Benennung eines Menschenrechtsbeauftragten als eine Möglichkeit zur Überwachung des Risikomanagements genannt. Der Beitrag zeigt auf, welche Kompetenzen für die Ausübung der Überwachungsfu... mehr

In anderem Gewand stellt sich die Frage des Durchgriffsrechts, wenn die Überwachungszuständigkeit mit der Zuständigkeit für die Umsetzung des Risikomanagements kombiniert werden soll. Das ist etwa der Fall, wenn die Leitung der Einkaufsabteilung, die operativ für die Risikobewertung und Umsetzung von Präventiv- und Abhilfemaßnahmen in der Lieferkette des Unternehmens zuständ... mehr

Rz. 166 2 Das Institut muss anhand einer Risikoanalyse bewerten, welche Risiken mit einer Auslagerung verbunden sind. Ausgehend von dieser Risikoanalyse ist eigenverantwortlich festzulegen, welche Auslagerungen von Aktivitäten und Prozessen unter Risikogesichtspunkten wesentlich sind (wesentliche Auslagerungen). Diese ist auf der Grundlage von institutsweit bzw. gruppenweit ... mehr

Rz. 202 Die Durchführung, der Inhalt und das Ergebnis der Risikoanalyse sind in einem angemessenen Umfang und für Dritte nachvollziehbar zu dokumentieren (→ AT 6 Tz. 1). Auch dafür gilt der Grundsatz der Proportionalität. Liegt bei Leistungen ohne einen speziellen Bezug zur Geschäftstätigkeit eines Institutes überhaupt keine Auslagerung vor (z. B. Kantinenbetrieb, Fuhrpark, ... mehr

Rz. 171 Auf Basis der festgelegten "Risikokriterien" ist eine "Risikoanalyse" durchzuführen. Diese Risiko­analyse umfasst neben dem Soll-Ist-Vergleich die Analyse der möglichen Bedrohungen, das ­Schadenspotenzial, die Schadenshäufigkeit sowie den Risikoappetit des Institutes. Sonstige risiko­reduzierende Maßnahmen können auch in die Risikoanalyse einfließen. Laut Tz. 3.9 BAI... mehr

Rz. 414 Seit der fünften MaRisk-Novelle hat das Institut bereits bei der Risikoanalyse mögliche Risikokonzentrationen und Risiken aus Weiterverlagerungen zu berücksichtigen (→ AT 9 Tz. 2, Erläuterung). Hintergrund dieser Regelung dürfte sein, dass im Rahmen der Risikoanalyse die Risikobewertung oftmals lediglich auf Basis von einzelnen Leistungsbeziehungen erfolgte und dadur... mehr

Rz. 169 Die MaRisk enthalten im Hinblick auf die Risikoanalyse keine konkreten Vorgaben. Es gilt der Grundsatz der Proportionalität. Die Intensität der Analyse hängt von Art, Umfang, Komplexität und Risikogehalt der ausgelagerten Aktivitäten und Prozesse ab. Die MaRisk verlangen lediglich, dass die maßgeblichen Organisationseinheiten bei der Erstellung der Risikoanalyse einz... mehr

Rz. 197 Die Risikoanalyse ist auf der Grundlage von institutsweit bzw. gruppenweit einheitlichen Rahmenvorgaben sowohl regelmäßig als auch anlassbezogen durchzuführen. Die im Rahmen der fünften MaRisk-Novelle eingefügte Anforderung ist mit Blick auf den Turnus im Grunde nicht neu. Auch nach der bisherigen Regelung war die Risikoanalyse anzupassen, soweit sich wesentliche Änd... mehr

Spezifische Outsourcing-relevante Anforderungen (z. B. die Festlegung von Prüfungsrechten im Auslagerungsvertrag) werden – wie bislang auch – lediglich an die Auslagerung wesentlicher Aktivitäten und Prozesse geknüpft. Bei der Beantwortung der Frage, welche Auslagerung im Einzelfall als "wesentlich" zu betrachten ist, wird jedoch der risikoorientierte Ansatz sowie die Eigenv... mehr

Rz. 208 Mit Anwendung des Digital Operational Resilience Acts (DORA) ab dem 17. Januar 2025 müssen Institute, die Aktivitäten und Prozesse auslagern und dabei gleichzeitig als Finanzunternehmen eine vertragliche Vereinbarung über IKT-Dienstleistungen abschließen, bei der Durchführung der Risikoanalyse und Due-Diligence-Prüfung zusätzliche Anforderungen gemäß Art. 28 Abs. 4 u... mehr

Rz. 203 Die EBA unterscheidet in ihren Leitlinien zu Auslagerungen zwischen der Auslagerung von kritischen oder wesentlichen Funktionen ("critical or important functions") und sonstigen Auslagerungen.[1] Der Begriff "kritische oder wesentliche" Funktion ist als Einheit zu verstehen, so dass zwischen der Auslagerung von kritischen/wesentlichen Funktionen einerseits und nicht ... mehr

Rz. 37 Im Rahmen der fünften MaRisk-Novelle wurden Anforderungen an die Risikobewertungsverfahren ergänzt. Danach haben die Risikobewertungsverfahren der Internen Revision eine Analyse des "Risikopotenzials" der Aktivitäten und Prozesse "unter Berücksichtigung absehbarer Veränderungen" zu beinhalten, wobei die verschiedenen Risikoquellen und die Manipulationsanfälligkeit der... mehr

Rz. 36 Die Prüfungstätigkeit der Internen Revision muss sich auf der Grundlage eines risikoorientierten Prüfungsansatzes grundsätzlich auf alle Aktivitäten und Prozesse des Institutes erstrecken (→ BT 2.1 Tz. 1). In der Konsequenz soll der Prüfungsturnus vom Risikogehalt der Prüfungsobjekte abhängig gemacht werden (→ BT 2.3 Tz. 1). Daraus folgt, dass der Risikogehalt der Akt... mehr

Rz. 164 Auch im Hinblick auf den sonstigen Fremdbezug von IT-Dienstleistungen haben die Institute zunächst die allgemeinen Anforderungen an die ordnungsgemäße Geschäftsorganisation gemäß § 25a Abs. 1 KWG zu beachten (→ AT 9 Tz. 1, Erläuterung). Darüber hinaus sind bei jedem Bezug von Software die damit verbundenen Risiken angemessen zu bewerten (→ AT 7.2 Tz. 4 Satz ;2). Wege... mehr

Rz. 149 Die Intensität der Risikobeurteilung hängt in erster Linie vom Risikogehalt des Kreditengagements ab. Dafür kommen – je nach Risikogehalt der Geschäfte – z. B. Kreditwürdigkeitsprüfungen, Risikoeinstufungen im Risikoklassifizierungsverfahren (→ BTO 1.4) oder Beurteilungen auf der Grundlage vereinfachter Verfahren in Betracht. Diese Formulierung ist etwas missverständ... mehr

Rz. 42 Die deutsche Aufsicht verlangt nicht zwingend eine quantitative Risikobewertung. Qualitative Einstufungen sind ebenfalls zulässig. Dabei erfolgt üblicherweise zunächst eine Bewertung des inhärenten Risikos des Prüfungsobjektes, bevor anschließend die Effektivität und Funktionsfähigkeit der internen Kontrollen (Kontrollrisiko) bewertet werden.[1] Rz. 43 In der Praxis we... mehr

Rz. 196 Beim Bezug von Software sind die damit verbundenen Risiken angemessen zu bewerten. Der isolierte Bezug von Software ist i. d. R. als "sonstiger Fremdbezug von Leistungen" einzustufen. Allerdings sind mit dem Bezug von Software häufig auch Unterstützungsleistungen verbunden. Sofern die Software zur Identifizierung, Beurteilung, Steuerung, Überwachung und Kommunikation... mehr

a. Risikoanalyse: Die Aufsicht stellt zunächst die Zielrichtung der in den MaRisk geforderten Risikoanalyse dar. Mittels Risikoanalyse ist im ersten Schritt zu prüfen welche Risiken mit der geplanten Maßnahme überhaupt verbunden sind. In einer Gesamtschau wird anschließend entschieden, ob diese Risiken wesentlich oder unwesentlich sind. AT 9 Tz. 2 MaRisk mit den dazugehörigen... mehr

Rz. 30 Zeitkritisch sind grundsätzlich jene Aktivitäten und Prozesse, bei deren Beeinträchtigung für "definierte Zeiträume" ein "nicht mehr akzeptabler Schaden" für das Institut zu erwarten ist (→ AT 7.3 Tz. 1, Erläuterung). Insofern geht es für ein Institut darum, jene Aktivitäten und Prozesse zu ermitteln, bei denen eine Beeinträchtigung schon kurzfristig zu einem graviere... mehr

Rz. 87 Unmittelbar im Anschluss an die Veröffentlichung der fünften MaRisk-Novelle hat die deutsche Aufsicht im November 2017 die "Bankaufsichtlichen Anforderungen an die IT" (BAIT) vorgelegt.[1] Dieses Rundschreiben gibt auf der Grundlage des § 25a Abs. 1 KWG einen flexiblen und praxisnahen Rahmen für die technisch-organisatorische Ausstattung der Institute vor, insbesonder... mehr

Rz. 188 Die Risikoanalyse muss grundsätzlich alle relevanten Aspekte umfassen, die für die angemessene Einbindung der ausgelagerten Aktivitäten und Prozesse in das Risikomanagement von Bedeutung sind. Um dies zu gewährleisten, sind die von der Auslagerung maßgeblich betroffenen Organisationseinheiten bei der Risikoanalyse zu beteiligen. Welche Organisationseinheiten bei der ... mehr

Rz. 9 Der zweite Schritt der Risikosteuerungs- und -controllingprozesse dient der näheren Bestimmung des Gefährdungspotenzials der Risiken, die als wesentlich identifiziert wurden. Eine solche Beurteilung ist aus verschiedenen Gründen von Bedeutung. Zum einen ist das Ergebnis der Beurteilung von wesentlichen Risiken eine wichtige Entscheidungsgrundlage für Maßnahmen, die de... mehr

Rz. 185 Betrachtet man den gesamten Auslagerungsprozess, der von der strategischen Grundsatzentscheidung über die Anbahnung und Implementierung bis hin zum Regelbetrieb reicht, so nimmt die "Analyse der Risiken" eine exponierte Stellung ein.[1] Erst durch deren Einbindung in den Auslagerungsprozess entfaltet die Risikoanalyse ihre volle Wirksamkeit. Zugleich trägt das Instit... mehr

Rz. 1 Eine Auslagerung liegt vor, wenn ein anderes Unternehmen mit der Wahrnehmung von Aktivitäten und Prozessen im Zusammenhang mit der Durchführung von Bankgeschäften, Finanzdienstleistungen oder sonstigen institutstypischen Dienstleistungen beauftragt wird, die ansonsten vom Institut selbst erbracht würden. Zivilrechtliche Gestaltungen und Vereinbarungen können dabei das ... mehr

Rz. 433 Die Regelung, die nicht zwischen "wesentlichen" und "nicht wesentlichen" Auslagerungen unterscheidet, weist dem zentralen Auslagerungsbeauftragten bzw. dem zentralen Auslagerungsmanagement im Einzelnen folgende Aufgaben zu: Implementierung und Weiterentwicklung eines angemessenen Auslagerungsmanagements und entsprechender Kontroll- und Überwachungsprozesse, Erstellung... mehr

Rz. 11 Das Konzept baut auf der Risikoanalyse auf. Soweit sich hieraus wesentliche Konsequenzen für das Management der Risiken ergeben, sind diese neben den Ergebnissen der Risikoanalyse im Konzept darzustellen. Die Darstellung der Konsequenzen muss im Bedarfsfall entsprechende Maßnahmen nach sich ziehen. Insofern empfiehlt es sich, diese Darstellung mit Handlungsempfehlunge... mehr

Rz. 27 Die Geschäftsleiter werden ihrer Verantwortung für alle wesentlichen Elemente des Risikoma­nagements nur gerecht, wenn sie die Risiken beurteilen können und die erforderlichen Maßnahmen zu ihrer Begrenzung entsprechend treffen. Die Beurteilung der Risiken setzt hierbei nicht notwendigerweise umfassende methodische Kenntnisse im Bereich einzelner Risikomanagementinstru... mehr

Rz. 368 Der Implementierung geeigneter Steuerungs- und Überwachungsmechanismen kommt bei Dienstleistungen eine besonders wichtige Rolle zu. Während sich Sachleistungen i. d. R. exakt durch entsprechende Spezifikationen im Auslagerungsvertrag umschreiben lassen, erweist sich dies bei Dienstleistungen häufig als schwieriger. Entwickeln die Geschäftspartner bezüglich des Inhalt... mehr

[…] ich freue mich, Ihnen nunmehr die finale Fassung der MaRisk vorlegen zu können, wie sie sich nach Abschluss des im Oktober 2020 angestoßenen Konsultationsverfahrens darstellt. Im Ergebnis der Auswertung der Stellungnahmen sowie der Diskussionen in den drei Sitzungen des Fachgremiums MaRisk am 12. und 19.02. sowie am 04.03.2021 sind noch für eine Reihe von strittigen Punkt... mehr

Rz. 94 Die von der EBA im Februar 2019 veröffentlichten Leitlinien zu Auslagerungen[1] aktualisieren die CEBS-Leitlinien aus dem Jahr 2006 und integrieren die Empfehlungen der EBA zu Outsourcing an Cloud-Anbieter. Darüber hinaus konkretisieren sie die Anforderungen an die Überwachung der Auslagerungen im SREP. Ziel der Leitlinien ist es, die Anforderungen an Auslagerungen eu... mehr

Rz. 182 Seit der sechsten MaRisk-Novelle ist die Risikoanalyse durch eine Szenarioanalyse zu ergänzen, soweit dies sinnvoll und verhältnismäßig ist (→ AT 9 Tz. 2, Erläuterung). Im Übermittlungsschreiben zur sechsten MaRisk-Novelle verweist die BaFin in diesem Zusammenhang ausdrücklich auf Tz. 65 der EBA-Leitlinien zu Auslagerungen.[1] Anhand von Szenarien sollten ggf. unters... mehr

Rz. 16 Der deutsche Gesetzgeber hat erstmals im Rahmen der sechsten KWG-Novelle im Jahr 1998 in § 25a Abs. 2 KWG a. F. für Institute Anforderungen an die Zulässigkeit und Ausgestaltung der Auslagerung von Aktivitäten und Prozessen auf andere Unternehmen festgelegt. Die Aufnahme der Regelung in das KWG stellte zugleich klar, dass die Auslagerung von Aktivitäten und Prozessen... mehr

Rz. 450 Das Modul AT 9 enthielt bis zur sechsten MaRisk-Novelle keine speziellen Anforderungen an die Dokumentation im Hinblick auf die Auslagerungen von Aktivitäten und Prozessen auf andere Unternehmen. Es galten lediglich die allgemeinen Anforderungen an die Dokumentation, wonach die für die Einhaltung der MaRisk wesentlichen Handlungen und Festlegungen nachvollziehbar zu ... mehr

§ 1 Abs. 10: Definition Auslagerungsunternehmen Wer bestimmt die Wesentlichkeit der aus-/weiterverlagerten Aktivitäten und Prozesse? Wenn die Einstufungen der Institute herangezogen werden: Wie sollen aufsichtliche Rechte/Befugnisse (siehe u. a. § 25b Abs. 4a) für ein bestimmtes Auslagerungsunternehmen im Fall abweichender Einstufungen durch verschiedene Institute anwendbar s... mehr

Rz. 16 In den MaRisk wird kein Einheitsprozess gefordert, der schablonenhaft bei jeder neuartigen Aktivität zu durchlaufen ist. Es bestehen vielmehr Gestaltungsspielräume für alternative Vorgehensweisen. Maßgeblich für die jeweilige Ausgestaltung des NPP sind dabei vor allem der Grad der Neuartigkeit und die Bedeutung der Aktivitäten oder Vertriebswege für das Institut. Grun... mehr