Fachbeiträge & Kommentare zu Risikoanalyse

Rz. 167 Ist nach Maßgabe der Definition (→ AT 9 Tz. 1) die Frage geklärt, ob überhaupt eine Auslagerung vorliegt, rückt neben der Prüfung der Auslagerungsfähigkeit (→ AT 9 Tz. 4 und 5) der Aspekt der "Wesentlichkeit" in den Vordergrund. Die Institute haben zentrale Vorgaben des AT 9 ausdrücklich nur bei unter Risikogesichtspunkten "wesentlichen" Auslagerungen einzuhalten. Mi... mehr

Rz. 32 Die deutsche Aufsicht stellt damit auf eine längere Diskussion mit der Kreditwirtschaft ab, die am 2. September 2021 im Fachgremium MaRisk gestartet und von den Aufsichtsbehörden mit einer E-Mail vom 3. Januar 2023 sowie einem ergänzenden Schreiben vom 5. Juni 2023 an die Deutsche Kreditwirtschaft (DK) abgeschlossen wurde. Die ersten Vorstellungen der Aufsicht, die al... mehr

Die Aufsicht führt in das Thema ein und stellt ihre Erwartungshaltung hinsichtlich der kreditprozessualen Anforderungen, die Institute mit Investitionen in Fondsanlagen zu erfüllen haben, vor: Kreditprozessuale Anforderungen für Handelsgeschäfte (Risikoanalyse, Votierung, Kreditentscheidung) sind in den MaRisk bereits jetzt aufsichtlich verankert und grundsätzlich für alle Ei... mehr

Die Aufsicht fasst ihre Sichtweise hinsichtlich der Frage zusammen, wann der Anwendungsbereich des § 25b KWG eröffnet ist und wie sich Fremdbezug und Auslagerung voneinander abgrenzen. Es wird darauf hingewiesen, dass im Gesetzeswortlaut die wesentlichen Kriterien zur Unterscheidung enthalten sind. Eine Auslagerung liegt dann vor, wenn Aktivitäten und Prozesse Bestandteil vo... mehr

Rz. 93 Den Anforderungen des Moduls 3 der BAIT zufolge sollen die Institute beim IT-Risikomanagement vor allem auf den Schutzbedarf für die Bestandteile ihres festgelegten Informationsverbundes abstellen. Dabei sollten deren Abhängigkeiten und Schnittstellen einbezogen werden, um die Vernetzung des Informationsverbundes mit Dritten zu berücksichtigen. Auf dieser Basis müssen... mehr

Rz. 122 Im Rahmen der Kreditbearbeitung ist außerdem sicherzustellen, dass die Auswirkungen von ESG-Risiken in die Beurteilung einbezogen werden (→ BTO 1.2.1 Tz. 1, Erläuterung). Diese Anforderung wurde im Rahmen der siebten MaRisk-Novelle ergänzt, da sich ESG-Risiken zukünftig verstärkt auf die Kreditwürdigkeit auswirken werden, insbesondere bei Unternehmenskunden in bestim... mehr

Rz. 14 Mitarbeiter der Internen Revision dürfen nach den MaRisk grundsätzlich nur für die Interne Revision tätig werden. In der Praxis ist eine solch strikte Aufgabenzuweisung allerdings kaum umsetzbar und auch nicht in jedem Fall sinnvoll. Das Fachwissen und die Erfahrung der Internen Revision müssen – wie bei der Projektbegleitung (→ BT 2.1 Tz. 2) – im Interesse des Instit... mehr

Rz. 137 Sowohl im Rahmen der Kreditentscheidung[1] als auch bei turnusmäßigen und anlassbezogenen Beurteilungen sind die Risiken eines Engagements mithilfe von Risikoklassifizierungsverfahren (→ BTO 1.4) zu bewerten. Die bis zur siebten MaRisk-Novelle verwendete Formulierung "mithilfe eines Risikoklassifizierungsverfahrens" wurde in erster Linie deswegen geändert, weil zumin... mehr

Rz. 38 Die Aufsicht muss sich im Rahmen des SREP intensiv mit den Methoden, Prozessen, Verfahren und Strategien der Institute auseinandersetzen und diese u. a. hinsichtlich ihrer Angemessenheit bezüglich einer dauerhaften Sicherstellung der Risikotragfähigkeit beurteilen. Dabei misst sie bei der Beurteilung des ICAAP verstärkt der Datenhaltung sowie den Management-Informatio... mehr

Rz. 119 Gemäß § 25b Abs. 1 Satz 3 KWG sind die ausgelagerten Aktivitäten und Prozesse in das Risikomanagement des Institutes einzubeziehen. Da die Strategien vom weiten Risikomanagementbegriff des § 25a Abs. 1 KWG erfasst werden, geht der Gesetzgeber davon aus, dass die Institute ihre Auslagerungsaktivitäten auch unter strategischen Gesichtspunkten angemessen berücksichtigen... mehr

Rz. 194 Der bei der Risikoanalyse zu betreibende Aufwand orientiert sich am Proportionalitätsprinzip. Die Intensität der Analyse hängt von Art, Umfang, Komplexität und Risikogehalt der ausgelagerten Aktivitäten und Prozesse ab (→ AT 9 Tz. 2, Erläuterung). Diese Vorgehensweise entspricht den Vorstellungen der EBA, die in ihren Leitlinien zu Auslagerungen den Grundsatz der Pro... mehr

Rz. 22 Unter dem Eindruck der Finanzmarktkrise hat der Gesetzgeber im Rahmen des Trennbankengesetzes Regelungen in das Kreditwesengesetz aufgenommen, die es ermöglichen, zukünftig Pflichtverletzungen im Risikomanagement auch von Geschäftsleitern auf Gruppenebene strafrechtlich zu sanktionieren (§ 54a KWG). Die Anforderungen an die Geschäftsleiter des übergeordneten Unternehm... mehr

Rz. 5 Für die Aufnahme von Geschäftsaktivitäten in neuen Produkten oder auf neuen Märkten einschließlich neuer Vertriebswege ist vorab ein Konzept auszuarbeiten.[1] Dieses Konzept umfasst grundsätzlich zwei Prozessschritte, die gewisse Abstufungen zulassen: Liegt ein neues Produkt vor oder wird das Institut auf einem neuen Markt tätig, was unter Einbindung eines vom Markt bzw... mehr

Rz. 10 Die dem Risikomanagementbegriff der MaRisk zugrunde liegende Systematik ist durch die verschiedenen Novellierungen des § 25a Abs. 1 KWG ebenfalls weitgehend unberührt geblieben. Auch für die Anforderungen an das Risikomanagement gilt grundsätzlich das Proportionalitätsprinzip: Die Ausgestaltung des Risikomanagements hängt von Art, Umfang, Komplexität und Risikogehalt ... mehr

Rz. 33 Gegenstand der Organisationsrichtlinien sind auch die Verfahrensweisen des Institutes im Hinblick auf Auslagerungsaktivitäten. Mit dem Finanzmarktintegritätsstärkungsgesetz[1] aus dem Jahr 2021 und der sechsten MaRisk-Novelle wurde die bisherige Systematik des § 25b KWG und des Moduls AT 9 im Hinblick auf die Anforderungen an Auslagerungen geändert. Die Regelungen bes... mehr

[…] nachdem ich Ihre Stellungnahmen zum zweiten Entwurf vom 13.08.2007 ausgewertet habe, kann ich Ihnen nunmehr eine offizielle Neufassung der MaRisk zuleiten, die insbesondere um neue Outsourcing-Regelungen ergänzt wurde. Die neuen MaRisk sowie einige weitere Dokumente sind diesem Schreiben als Anlagen beigefügt. Alle Dokumente sind darüber hinaus unter www.bafin.de sowie ww... mehr

Rz. 15 Aufgrund der Bedeutung der Risiken von Auslagerungen sind Vorgaben der Bankenaufsicht unverzichtbar, wenn Institute Aktivitäten und Prozessen auf Dritte auslagern. Das Ziel der bankaufsichtlichen Anforderungen ist es dabei nicht, die mit den Auslagerungen verbundenen Risiken zu verhindern. Die Risiken sind zu einem bestimmten Grad unvermeidbar, z. B. wird bei einer vo... mehr

Rz. 1 Die Informationsverarbeitung und -weitergabe in Geschäfts- und Serviceprozessen wird durch datenverarbeitende IT-Systeme und zugehörige IT-Prozesse unterstützt. Deren Umfang und Qualität hat sich insbesondere an betriebsinternen Erfordernissen, den Geschäftsaktivitäten sowie an der Risikosituation zu orientieren (vgl. AT 7.2 Tz. 1 MaRisk). IT-Systeme, die zugehörigen I... mehr

Rz. 257 Die Ausgestaltung der institutsinternen Vergütungssysteme steht seit der Finanzmarktkrise im Fokus internationaler und nationaler Regulierungsmaßnahmen, weil unangemessene Vergütungspraktiken und -strukturen im Finanzsektor als eine maßgebliche Ursache dieser Krise gelten. Die verschiedenen regulatorischen Initiativen, insbesondere vom Finanzstabilitätsrat (Financia... mehr

Rz. 212 Auch jene Auslagerungen, die auf Basis der Risikoanalyse als "nicht wesentlich" eingestuft werden, sind nicht vollkommen risikofrei. Diesem Umstand wird aus regulatorischer Sicht durch eine allgemeingültige Formulierung entsprochen. Zwar ist bei solchen Auslagerungen die Spezialregelung des § 25b KWG grundsätzlich nicht einschlägig. Seit dem Inkrafttreten des Finanzm... mehr

Rz. 465 15 Im Hinblick auf Gruppen gemäß AT 4.5 oder Finanzverbünde ergeben sich die folgenden Erleichterungen: mehr

Rz. 474 Bei gruppen- und verbundinternen Auslagerungen können im Rahmen der Risikoanalyse wirksame Vorkehrungen auf Gruppen- bzw. Verbundebene, insbesondere ein einheitliches und umfassendes Risikomanagement sowie Durchgriffsrechte, bei der Erstellung und Anpassung der Risikoanalyse risikomindernd berücksichtigt werden. Bei Institutsgruppen und (gemischten) Finanzholding-Gru... mehr

Rz. 151 Nicht als Auslagerung im aufsichtsrechtlichen Sinne einzustufen sind allgemeine Service- und Unterstützungsleistungen sowie die Nutzung von Infrastruktureinrichtungen, wie z. B. Geldautomatenversorgung, Kantinenbetrieb, Reinigungsdienst, Wachdienst, Fuhrpark, Betriebsarzt, technisches Gebäudemanagement, Strom, Wasser oder Postzustellung.[1] Diese Leistungen ohne eine... mehr

Rz. 254 Das Institut hat auf der Grundlage einer Risikoanalyse eigenverantwortlich festzustellen, ob die Auslagerung unter Risikogesichtspunkten wesentlich ist. Im Zuge der fünften MaRisk-Novelle wurde der Begriff "Auslagerung von erheblicher Tragweite" eingeführt. Der Begriff stellt neben der "wesentlichen" und der "unwesentlichen Auslagerung" keine dritte Kategorie einer A... mehr

Rz. 46 Nachdem § 25a Abs. 2 und 3 KWG a. F. mit dem CRD IV-Umsetzungsgesetz zum 1. Januar 2014 ohne inhaltliche Änderung in § 25b KWG überführt wurden, ist nunmehr § 25b KWG der zentrale gesetzliche Regelungsrahmen für die Auslagerungsaktivitäten der Institute. Die Regelung ist – ebenso wie die Vorgängervorschrift § 25a Abs. 2 und 3 KWG a. F. – gesetzestechnisch ungenau.[1] ... mehr

Rz. 25 Die IT-Systeme (Hardware- und Software-Komponenten), die zugehörigen IT-Prozesse und die sonstigen Bestandteile des Informationsverbundes müssen die "Integrität", die "Verfügbarkeit", die "Authentizität" sowie die "Vertraulichkeit" der Daten sicherstellen. Gemäß Tz. 4.7 BAIT handelt es sich dabei um die sogenannten "Schutzziele" bzw. im Sprachgebrauch des Bundesamtes... mehr

Rz. 1 IT-Dienstleistungen umfassen alle Ausprägungen des Bezugs von IT; dazu zählen insbesondere die Bereitstellung von IT-Systemen, Projekte/Gewerke oder Personalgestellung. Die Auslagerungen der IT-Dienstleistungen haben die Anforderungen nach AT 9 der MaRisk zu erfüllen. Dies gilt auch für Auslagerungen von IT-Dienstleistungen, die dem Institut durch ein Dienstleistungsun... mehr

Rz. 123 Wesentlich für eine angemessene Risikoberichterstattung ist eine hohe Datenqualität, die nur erreicht werden kann, wenn alle Daten korrekt sind und alle relevanten Daten vollständig erfasst werden. Die Institute sollten daher entsprechende Vorgaben zur Datenqualität formulieren und in einem täglichen Datenqualitätsmanagement umsetzen.[1] Dabei müssen die Vorgaben zur... mehr

Rz. 1 Der IT-Betrieb hat die Anforderungen, die sich aus der Umsetzung der Geschäftsstrategie sowie aus den IT-unterstützten Geschäftsprozessen ergeben, zu erfüllen (vgl. AT 7.2 Tz. 1 und Tz. 2 MaRisk). Rz. 2 Die Komponenten der IT-Systeme und deren Beziehungen zueinander sind in geeigneter Weise zu verwalten und die hierzu erfassten Bestandsangaben regelmäßig sowie anlassbez... mehr

Rz. 35 Ob und ggf. inwieweit sich die Interne Revision des auslagernden Institutes auf die Ergebnisse Dritter stützen kann, hängt allerdings nicht nur von praktischen Erwägungen ab, sondern insbesondere auch von der Bedeutung und der Risikorelevanz der ausgelagerten Aktivitäten und Prozesse für das Institut. Aus der Risikoanalyse können auch im Hinblick auf diese Frage wicht... mehr

Rz. 67 Die Anpassungen des Moduls AT 9 aufgrund der EBA-Leitlinien zu Auslagerungen betrafen den gesamten Auslagerungszyklus. Zunächst wurde die Definition des Auslagerungstatbestandes durch die Aufnahme weiterer Beispiele für den sonstigen Fremdbezug von Leistungen geschärft (→ AT 9 Tz. 1, Erläuterung). Ein weiterer Schwerpunkt lag auf der Risikoanalyse, in der nunmehr auc... mehr

Rz. 17 In der Sondersitzung des MaRisk-Fachgremiums zur Compliance-Funktion am 24. April 2013 hat die BaFin klargestellt, dass die Compliance-Funktion nicht für die allgemeine Compliance im Sinne einer ordnungsgemäßen Geschäftsorganisation nach § 25a Abs. 1 KWG zuständig ist.[1] Die Verantwortung dafür liegt ausschließlich bei der Geschäftsleitung (→ AT 3 Tz. 1). Darüber hin... mehr

Rz. 79 In der ursprünglichen Fassung der MaRisk war bereits bei der Risikoanalyse der Grundsatz verankert, dass sich die Anforderungen des Rundschreibens auf das Management der für das Institut wesentlichen Risiken "sowie damit verbundener Risikokonzentrationen" beziehen (→ AT 2.2 Tz. 1). Im Rahmen der zweiten MaRisk-Novelle wurde dieser Grundsatz um die zitierte Passage gek... mehr

Die Aufsicht stellt zu den EBA-Leitlinien zu Auslagerungen (im Folgenden: EBA-Leitlinien) eine Präsentation vor, die sich insbesondere in die Schwerpunkte "Zeitplan" und "Wesentliche Neuerungen" untergliedert. Zum "Zeitplan" führt die Aufsicht aus, dass die EBA-Leitlinien am 20.02.2019 vom Board of Supervisors verabschiedet und am 25.02.2019 von der EBA veröffentlicht wurden.... mehr

Welche Erkenntnisse hat die Aufsicht aus der anlassbezogenen SREP-Datenerhebung per 30. Juni 2020 ggf. gezogen? Die anlassbezogene Datenerhebung war notwendig, um auf dieser Basis eine unterjährige Risikoanalyse vorzunehmen. Ein Einblick in die Risikolage der Institute während der Pandemie konnte nicht bis zur Auswertung der Jahresendzahlen warten. Die Erkenntnisse aus der Da... mehr

Rz. 37 Für die Berechnung des Schwellenwertes in Bezug auf die Bilanzsumme (Institutskriterium) bietet sich die Summe der Buchwerte der Spezialfondsanteile zum letzten Bewertungsstichtag an, entweder direkt aus der Bilanz oder aus einer aktuellen FINREP-Meldung. Dabei sind nicht nur Ein-Anleger-Spezialfonds zu berücksichtigen, sondern gleichermaßen Spezialfonds mit zwei oder... mehr

Rz. 139 Gestaltungsmöglichkeiten ergeben sich auch aus unbestimmten Rechtsbegriffen (z. B. "wesentlich" oder "angemessen"), deren Präzisierung für allgemeingültige Zwecke weder möglich noch zweckmäßig ist. Auch hier müssen Institute – innerhalb des ihnen zustehenden Beurteilungsspielraumes – eine sachgerechte, einzelfallabhängige Lösung zur Auslegung und Umsetzung der entspr... mehr

Wie ich bereits in meinem Anschreiben zum ersten Entwurf vom 05.04.2007 zum Ausdruck brachte, sind gruppeninterne Auslagerungen unter Risikogesichtspunkten ggf. anders einzuordnen als Auslagerungen auf sonstige Dritte. Bei gruppeninternen Auslagerungen können daher wirksame Vorkehrungen, insbesondere ein Risikomanagement auf Gruppenebene sowie Durchgriffsrechte, bei der Erst... mehr

[…] ich lege Ihnen hiermit den angekündigten Entwurf der Neufassung des Rundschreibens 09/2017 (BA) für die Mindestanforderungen an das Risikomanagement (im folgenden MaRisk) zur Konsultation vor. Die Überarbeitung ist zuvorderst auf Änderungen der internationalen Regelsetzung zurückzuführen. Mit der aktuellen MaRisk-Novelle werden die Leitlinien der EBA zu notleidenden und g... mehr

Rz. 7 Das grundlegende Prinzip besteht darin, zunächst das Institut nach bestimmten Kriterien in verschiedene Prüfungsobjekte aufzuteilen und anschließend deren Risikogehalt und Relevanz zu analysieren und zu bewerten, um auf dieser Basis eine risikoorientierte Prüfungsplanung aufzustellen. Die Einteilung der Prüfungsobjekte kann sich in Abhängigkeit vom verwendeten (prozess... mehr

Rz. 51 Für die Vorgaben zur Informationssicherheit[1], die Definition der zugehörigen Prozesse und die Steuerung von deren Umsetzung ist laut Tz. 4.1 BAIT das "Informationssicherheitsmanagement" (ISM) zuständig. Der zugrunde liegende Prozess umfasst die Phasen Planung, Umsetzung, Erfolgskontrolle sowie Optimierung und Verbesserung der Informationssicherheit.[2] Rz. 52 Die Ec... mehr

Rz. 47 Die "Verfügbarkeit" ("availability") von Dienstleistungen, Funktionen eines IT-Systems, IT-Anwendungen oder IT-Netzen oder auch von Informationen ist vorhanden, wenn diese von den Anwendern stets wie vorgesehen genutzt werden können.[1] Damit verbunden ist insbesondere die zeitliche Verfügbarkeit bestimmter IT-Dienstleistungen, wozu auch der Zugriff auf Daten bzw. Inf... mehr

Rz. 31 Das "IKT-Risiko" bezeichnet gemäß Art. 4 Abs. 1 Nr. 52c CRR die Gefahr von Verlusten in Verbindung mit jedem vernünftigerweise identifizierbaren Umstand im Zusammenhang mit der Nutzung von Netzwerk- und Informationssystemen, die bei Eintritt – durch die damit einhergehenden nachteiligen Auswirkungen im digitalen oder physischen Umfeld – die Sicherheit der Netzwerk- un... mehr

Rz. 14 Die Aussagekraft der Risikoklassifizierungsverfahren hängt maßgeblich davon ab, wie die zur Risikobeurteilung relevanten Faktoren ausgewählt und die für das Verfahren erforderlichen Informationen qualitätsgesichert und verarbeitet werden. Bereits mit der Entwicklung von Risikoklassifizierungsverfahren muss grundsätzlich geprüft werden, welche Merkmale überhaupt eine A... mehr

Rz. 63 Auf die Notwendigkeit "risikoorientierter Prüfungshandlungen" hat die Bankenaufsicht schon in der Vergangenheit in einschlägigen qualitativen Regelwerken hingewiesen. In den MaIR und den MaK war der Grundsatz der Risikoorientierung fest verankert, in den etwas älteren MaH aus dem Jahr 1995 allerdings noch nicht. Diese sahen bestimmte Prüfungsfelder vor, die von der In... mehr

Rz. 85 Seit der sechsten MaRisk-Novelle ist das Modul AT 9 ("Auslagerung") in 15 Textziffern gegliedert. Im Einzelnen sind insbesondere die folgenden Elemente von Bedeutung: Definition des Auslagerungstatbestandes (→ AT 9 Tz. 1), Bestimmung der Wesentlichkeit einer Auslagerung und (implizite) Berücksichtigung der Ergebnisse der Risikoanalyse im institutsinternen Risikomanageme... mehr

Rz. 10 Die Analyse des Risikogehaltes neuer Produkte oder Märkte soll die wesentlichen Risikotreiber berücksichtigen. Dazu gehören zum einen Risiken, die sich direkt auf das Produkt beziehen. Hierzu zählen z. B. das Rechtsrisiko einer komplexen Vertragsgestaltung, die Auswirkung bestimmter Nebenabreden auf die Risikosteuerungs- und -controllingprozesse sowie ggf. Liquiditäts... mehr

Rz. 466 Die Institute lagern zu einem erheblichen Anteil Aktivitäten und Prozesse innerhalb ihrer Gruppe aus. Einer Untersuchung der EZB zufolge entfallen über 50 Prozent der Auslagerungsaktivitäten von europäischen Banken auf "Intra-Group-Outsourcing", wobei die Auslagerungen auf Mutter-, Tochter- oder Schwestergesellschaften möglich sind.[1] Häufig werden Serviceprozesse, ... mehr

Das Thema gruppeninterne Auslagerungen muss m. E. jedoch in einem breiteren Kontext als nur in Bezug auf Weisungsrechte diskutiert werden. EU-Regelungen (MiFID, CEBS) und der deutsche Gesetzgeber differenzieren zwar grundsätzlich nicht zwischen gruppeninternen Auslagerungen und Auslagerungen auf sonstige Dritte. Allerdings wird sowohl in den einschlägigen EU-Regelungen als a... mehr

Rz. 43 Die Erkenntnisse aus beiden Analysen dienen im nächsten Schritt dazu, das Notfallkonzept mit Leben zu füllen. Im "Notfallkonzept" sollen u. a. die Verantwortlichkeiten, Ziele und Maßnahmen zur Fortführung bzw. Wiederherstellung der zeitkritischen Aktivitäten und Prozesse bestimmt werden. Das Notfallkonzept muss zudem die Geschäftsfortführungs- und Wiederherstellungspl... mehr