Fachbeiträge & Kommentare zu Risikoanalyse

Rz. 32 Die Begrenzung der im Risikotragfähigkeitskonzept einbezogenen Risiken soll vorrangig auf Basis eines wirksamen Limitsystems erfolgen. Entsprechende Vorgaben sind für Adressenausfallrisiken (→ BTR 1 Tz. 2, 3 und 4) und Marktpreisrisiken (→ BTR 2.1 Tz. 1) grundsätzlich nicht neu. Die Risikocontrolling-Funktion sollte auch den Vorstellungen der EBA zufolge sicherstellen... mehr

Rz. 80 Das Aufgabenspektrum der Internen Revision erstreckt sich auch auf die ausgelagerten Aktivitäten und Prozesse des Institutes.[1] Für die Revision sind ausgelagerte Aktivitäten und Prozesse regelmäßig von besonderem Interesse, da sie nur mittelbar vom Institut beeinflusst werden können und die Revision nicht mehr den unmittelbaren Zugriff auf alle für das Institut rele... mehr

Rz. 83 Die Auslagerung von zeitkritischen Aktivitäten und Prozessen darf nicht dazu führen, dass die Vorsorge für Notfälle vernachlässigt oder sogar komplett ausgeblendet wird. Das wäre insbesondere vor dem Hintergrund der großen Bedeutung der IT-Auslagerungen für die Institute ein fataler Trugschluss.[1] Rz. 84 Allerdings ist es schon unter Praktikabilitätsgesichtspunkten ka... mehr

Rz. 13 Der Umfang und die Qualität der technisch-organisatorischen Ausstattung müssen allerdings auch mit der Entwicklung der Geschäftsaktivitäten eines Institutes und dem technischen Fortschritt mithalten können. Insofern genügt es nicht, die technisch-organisatorische Ausstattung einmal zu überprüfen und für angemessen zu befinden. So können sich die betriebsinternen Erfor... mehr

Rz. 59 Den Beobachtungen der Deutschen Bundesbank zufolge bilden die Erträge aus dem Depot A bzw. dem eigenen Anlagebestand mittlerweile für viele deutsche Kreditinstitute eine wichtige Ertragsquelle neben dem klassischen Kundenkreditgeschäft. Dabei zeigen kleinere und mittlere Banken häufig eine Präferenz für die Anlage in Spezialfonds. Die deutsche Aufsicht hat daher paral... mehr

Rz. 61 Da die Interne Revision als Instrument der Geschäftsleitung für die prozessunabhängige Überprüfung des Risikomanagements im Allgemeinen und des internen Kontrollsystems im Besonderen zuständig ist, sollte sie nur insoweit eingebunden werden, wie ihre Unabhängigkeit sichergestellt bleibt (→ AT 4.4.3 Tz. 3). Ungeachtet dessen soll die Interne Revision ihre Expertise in ... mehr

Rz. 10 Das Institut hat die Ziele zum Notfallmanagement zu definieren und einen entsprechenden Prozess festzulegen. Für Notfälle in zeitkritischen Aktivitäten und Prozessen ist ein Notfallkonzept zu erarbeiten, anlassbezogen zu aktualisieren, jährlich auf Aktualität zu überprüfen und angemessen zu kommunizieren. Zur Identifikation von zeitkritischen Aktivitäten und Prozesse... mehr

Rz. 306 Bei wesentlichen Auslagerungen mit Auslandsbezug ist im Auslagerungsvertrag explizit das geltende Recht zu vereinbaren, sofern dieser nicht dem deutschen Recht unterliegt. Das auslagernde Institut und das Auslagerungsunternehmen müssen in diesem Fall durch eine "Rechtswahlklausel" festlegen, welcher Rechtsordnung die vertraglichen Rechte und Pflichten der Vertragspar... mehr

Rz. 425 12 Jedes Institut, das Auslagerungen vornimmt, hat einen zentralen Auslagerungsbeauftragten im Institut selbst einzurichten. Zusätzlich hat das Institut abhängig von der Art, dem Umfang und der Komplexität der Auslagerungsaktivitäten ein zentrales Auslagerungsmanagement zur Unterstützung des zentralen Auslagerungsbeauftragten einzurichten. Zu den Aufgaben zählen insb... mehr

Rz. 144 Die zeitnahe Verfügbarkeit von aggregierten Risikodaten ist insbesondere in Stressphasen von Bedeutung und damit auch für die bankinternen Stresstests relevant. So sollten die Institute zur Durchführung von Stresstests über ein Verfahren zur Aggregation von Risikodaten verfügen, um genaue und verlässliche Risikodaten pflegen und auf dem neuesten Stand halten zu könne... mehr

Rz. 70 Die Umsetzung der EBA-Leitlinien zum Management von IKT- und Sicherheitsrisiken ist in erster Linie im neu gefassten Modul zum Notfallmanagement erfolgt (→ AT 7.3). Die Institute haben für alle im Rahmen einer durchzuführenden Auswirkungsanalyse identifizierten zeitkritischen Aktivitäten und Prozesse eine Risikoanalyse durchzuführen, um potenzielle Gefährdungen zu ide... mehr

Revisionsleistungen müssen sowohl im Interesse der Institute als auch der Bankenaufsicht qualitativ hochwertig sein – unabhängig davon, ob die Revisionsleistungen intern oder extern erbracht werden. Die BaFin wird daher darauf achten, dass bei Auslagerungen der Internen Revision eine qualitativ gleichwertige Erbringung der Revisionsleistungen sichergestellt ist. Bei Vollausl... mehr

Rz. 52 Das Institut hat bei Handelsgeschäften grundsätzlich eine Testphase durchzuführen. Die Wahl des Begriffes "grundsätzlich" lässt im Hinblick auf die Durchführung der Testphase Ausnahmen zu. So kann darauf verzichtet werden, wenn der Verzicht unter Risikogesichtspunkten vertretbar erscheint und von vornherein mit großer Sicherheit davon auszugehen ist, dass sich aus der... mehr

Rz. 94 Die Interne Revision erhält darüber hinaus wichtige Erkenntnisse für ihre spätere Prüfungstätigkeit durch die aufsichtsrechtlich verlangte Einbindung in bestimmte institutsinterne Prozesse, wobei ihre Unabhängigkeit stets gewährleistet sein muss. So ist die Interne Revision in den Neu-Produkt-Prozess und in die von den Instituten bei wesentlichen Veränderungen betrieb... mehr

Rz. 12 Die bedeutenden Institute gemäß Art. 6 SSM-Verordnung müssen unter Berücksichtigung des Proportionalitätsprinzips institutsweit und gruppenweit geltende Grundsätze für das Datenma­nagement, die Datenqualität und die Aggregation von Risikodaten festlegen, um insbesondere ihre Fähigkeiten zur zeitnahen Risikoanalyse und -berichterstattung zu verbessern (→ AT 4.3.4 Tz. 1... mehr

Rz. 159 Gemäß Tz. 9.1 BAIT müssen auch Cloud-Dienstleistungen die Anforderungen nach AT 9 erfüllen. "Cloud-Dienstleistungen" sind demnach Auslagerungen von IT-Dienstleistungen, die dem Institut durch ein Dienstleistungsunternehmen über ein Netz bereitgestellt werden (z. B. Rechenleistung, Speicherplatz, Plattformen oder Software) und deren Angebot, Nutzung und Abrechnung dyn... mehr

Rz. 1 Das Institut muss angemessene Prozesse zur Identifizierung, Beurteilung, Steuerung sowie Überwachung und Kommunikation der wesentlichen Risiken einrichten. Risiken und Risikokonzentrationen sind unter Berücksichtigung der Risikotragfähigkeit und des Risikoappetits wirksam zu begrenzen und zu überwachen. Diese Prozesse sind in eine gemeinsame Ertrags- und Risikosteuerung ("G... mehr

Rz. 111 Da dieses Eskalationsverfahren letztlich sämtliche Hierarchiestufen einbezieht und für den Prozess der Kreditentscheidung vor allem dann aktiviert werden muss, wenn keine Einigkeit zwischen den beteiligten Einheiten über die Einschätzung der relevanten Risiken erzielt werden kann, sollte es unabhängig von der Art der jeweiligen Risiken seinen Zweck erfüllen. Vor dies... mehr

Rz. 49 Die Anforderungen an die Auslagerung von Aktivitäten und Prozessen nach § 25b KWG sind nicht isoliert zu betrachten. Vielmehr besteht zwischen § 25a Abs. 1 KWG und § 25b KWG ein enger Zusammenhang. Gemäß § 25a Abs. 1 Satz 1 KWG muss ein Institut über eine ordnungsgemäße Geschäftsorganisation verfügen, die die Einhaltung der vom Institut zu beachtenden gesetzlichen Bes... mehr

Rz. 128 Grundsätzlich dient die Hereinnahme von Sicherheiten immer der Reduzierung des Risikogehaltes eines Kreditengagements. Andernfalls könnte sich das Institut den mit der Hereinnahme der Sicherheit verbundenen Aufwand aus betriebswirtschaftlicher Sicht auch sparen. Vor diesem Hintergrund existieren im Grunde keine Sicherheiten, die unter Risikogesichtspunkten irrelevant... mehr

Rz. 13 Bei der Kreditgewährung sind die für die Risikobeurteilung wichtigen Faktoren unter besonderer Berücksichtigung der Kapitaldienstfähigkeit des Kreditnehmers bzw. des Objektes/Projektes zu analysieren und zu beurteilen, wobei die Intensität der Beurteilung vom Risikogehalt der Engagements abhängt (→ BTO 1.2.1 Tz. 1). Dabei geht es nicht um den konkreten Risikogehalt ei... mehr

Rz. 119 Die wesentlichen operationellen Risiken, d. h. die bedeutenden potenziellen Schadensfälle, müssen identifiziert und beurteilt werden. Für die Identifizierung potenzieller Schadensfälle und zur Beurteilung ihrer möglichen negativen Auswirkungen auf die Ertrags- oder Vermögenslage des Institutes kann u. a. auf die in der Vergangenheit beobachteten Verluste abgestellt w... mehr

Rz. 4 Gegenstand der Prüfungstätigkeit der Internen Revision sind nicht nur alle internen Aktivitäten und Prozesse des Institutes, sondern auch jene Tätigkeiten, die auf andere Unternehmen ausgelagert sind (→ AT 4.4.3 Tz. 3). Die Prüfungstätigkeit der Internen Revision kann aufgrund dieses Abdeckungsgrades also durchaus als "umfassend" charakterisiert werden. Die Vollständig... mehr

Hinweis zur Benutzung des Literaturverzeichnisses: Sofern es sich bei den Autoren bzw. Herausgebern um Organisationen handelt, sind die aufgeführten Werke i. d. R. auf der Internetseite der jeweiligen Organisation verfügbar. Achtelik, Olaf, in: Herzog, Felix (Hrsg.), Geldwäschegesetz, 5. Auflage, München, 2023, § 24c KWG, § 25h KWG und § 6 GwG. ACI Deutschland e. V. – Arbeitsg... mehr

Rz. 159 Das "Informations- und Kommunikationstechnologie-Risiko" (IKT-Risiko) wurde zunächst als Risiko von Verlusten aufgrund der Unzweckmäßigkeit oder des Versagens der Hard- und Software technischer Infrastrukturen verstanden, welche die Verfügbarkeit, Integrität, Zugänglichkeit und Sicherheit dieser Infrastrukturen oder der Daten beeinträchtigen können.[1] Neueren Defini... mehr

Rz. 295 Aufgrund der Bedeutung des Auslagerungsvertrages für das Management auslagerungsspezifischer Risiken (→ BTR 4) ist es nicht überraschend, dass diverse Vertragselemente aufgezählt werden, die das auslagernde Institut mit dem Auslagerungsunternehmen im Auslagerungsvertrag zu vereinbaren hat. Die Anforderungen sind eher allgemeiner Natur und berücksichtigen natürlich in... mehr

Rz. 111 Nach den Auslagerungsregelungen der MaRisk können Aktivitäten und Prozesse grundsätzlich ausgelagert werden, solange die Ordnungsmäßigkeit der Geschäftsorganisation nicht beeinträchtigt wird. Die teilweise oder vollständige Auslagerung der Internen Revision ist daher – unabhängig von der Größe des auslagernden Institutes – grundsätzlich möglich. Ob und ggf. inwieweit... mehr

Rz. 36 Zusammengefasst wird – erstmalig auf Basis der Quartalsberichterstattung der KVG zum 31. Dezember 2023 – die folgende Vorgehensweise in der aufsichtlichen Praxis erwartet, mit der die von der Aufsicht in der Sitzung des Fachgremiums MaRisk am 2. September 2021 erhobene Forderung, auch im Hinblick auf Direktinvestitionen in Spezialfonds eine angemessene Risikosteuerung... mehr

Rz. 58 Nach § 25b Abs. 1 Satz 1 KWG muss ein Institut bei einer Auslagerung von Aktivitäten oder Prozessen auf ein anderes Unternehmen, die für die Durchführung von Bankgeschäften, Finanzdienstleistungen oder institutstypischen Dienstleistungen wesentlich sind, angemessene Vorkehrungen treffen, um übermäßige zusätzliche Risiken zu vermeiden. Die alte Regelung des § 25a Abs. ... mehr

Rz. 98 Die Aufgaben der Risikocontrolling-Funktion beschränken sich nicht auf die in den MaRisk enthaltenen Verantwortlichkeiten. Nach § 2 Abs. 11 InstitutsVergV ist die Risikocontrolling-Funktion als Kontrolleinheit im Sinne der Institutsvergütungsverordnung einzustufen. Die Institutsvergütungsverordnung weist den Kontrolleinheiten an zahlreichen Stellen Verantwortlichkeite... mehr

Rz. 2 Auf Basis ihres Gesamtrisikoprofils müssen die Institute sicherstellen, dass ihre wesentlichen Risiken – unter Berücksichtigung der Auswirkungen von ESG-Risiken – laufend durch das Risikodeckungspotenzial bzw. die Risikodeckungsmasse[1] abgedeckt sind und damit die Risikotragfähigkeit gegeben ist (→ AT 4.1 Tz. 1). Damit wird die Fortführung der Geschäftstätigkeit ermö... mehr

Rz. 74 Ein Institut kann die Compliance-Funktion oder einzelne Teilbereiche daraus grundsätzlich auf ein anderes Unternehmen auslagern. Die Geschäftsleitung bzw. die zuständigen Geschäftsbereiche bleiben im Fall der Auslagerung für die Einhaltung der rechtlichen Regelungen und Vorgaben verantwortlich. Das Institut hat auf der Grundlage einer Risikoanalyse eigenverantwortlich... mehr

Rz. 222 Der ICAAP muss ein integraler Bestandteil des übergreifenden Managementrahmens eines Institutes sein. Gemäß AT 4.3.2 Tz. 1 sind die Risikosteuerungs- und -controllingprozesse in eine gemeinsame Ertrags- und Risikosteuerung ("Gesamtbanksteuerung") einzubinden. Von den Instituten wird erwartet, dass eine Einbindung in die Gesamtbanksteuerung konsistent über alle Risiko... mehr

Rz. 124 Gerade bei kleinen Instituten mit einer geringen Bilanzsumme und einfachem Geschäftsmodell besteht die Gefahr, dass der Verwaltungsaufwand für die Erfüllung der bankaufsichtlichen Anforderungen in keinem angemessenen Verhältnis zum aufsichtlichen Nutzen steht.[1] Da Deutschland mit fast 1.500 Instituten rund 40 Prozent der kleinen Institute in der Eurozone stellt, ve... mehr

Rz. 5 Eine wesentliche Voraussetzung für ein risikoorientiertes Vorgehen der Internen Revision ist die Analyse aller Prozesse und Aktivitäten im Hinblick auf ihren jeweiligen Risikogehalt. Die konkrete Ausgestaltung dieser Analysetätigkeit bleibt dabei der Internen Revision überlassen. Allerdings benötigt sie dafür einen vollständigen Überblick über die Aktivitäten und Proze... mehr

Rz. 85 Die Anforderungen der MaRisk beziehen sich auf das Management der für das Institut wesentlichen Risiken. Zur Beurteilung der Wesentlichkeit hat sich die Geschäftsleitung regelmäßig und anlassbezogen im Rahmen einer Risikoinventur einen Überblick über die Risiken auf der Ebene des gesamten Institutes (Gesamtrisikoprofil) zu verschaffen (→ AT 2.2 Tz. 1). Hinsichtlich de... mehr

Rz. 2 Die Institute haben sich bei wesentlichen Veränderungen in der Aufbau- und Ablauforganisation mit deren Auswirkungen auf ihre internen Kontrollverfahren und -prozesse sorgfältig auseinanderzusetzen. Wegen der besonderen Bedeutung für nahezu sämtliche Risikomanagementprozesse erwartet die Aufsicht eine vergleichbare Analyse auch bei wesentlichen Veränderungen in den IT-... mehr

Rz. 118 Der Einsatz von unzureichend getesteten und nicht abgenommenen IT-Systemen kann den gesamten IT-Betrieb erheblich beeinträchtigen. So können z. B. Fehler in der Software nicht erkannt werden, wenn diese nicht ausreichend getestet und freigegeben wird. Solche Fehler gefährden den produktiven Einsatz und die Informationssicherheit der neuen Software sowie unter Umständ... mehr

Rz. 312 Die Erträge aus dem Depot A bzw. dem eigenen Anlagebestand bilden mittlerweile für viele deutsche Kreditinstitute eine wichtige Ertragsquelle neben dem klassischen Kundenkreditgeschäft. Da kleinere und mittlere Banken häufig eine Präferenz für die Anlage in Spezialfonds haben, sind diese verstärkt in den Fokus der Bankenaufsicht gerückt. Die deutsche Aufsicht erwarte... mehr

Rz. 336 Im Auslagerungsvertrag sind Regelungen zu treffen, die sicherstellen, dass datenschutzrechtliche Bestimmungen, wie sie sich in Deutschland aus dem Bundesdatenschutzgesetz (BDSG) und aus der unmittelbar anwendbaren europäischen Datenschutz-Grundverordnung (DSGVO) ergeben, beachtet werden. Diese Anforderung ist Gegenstand von Art. 14 Abs. 2 lit. j MiFID-Durchführungsri... mehr

Rz. 475 Mehrere Institute einer Gruppe bzw. eines Finanzverbundes können für Auslagerungen an eines oder mehrere gemeinsame Auslagerungsunternehmen auf Gruppen- bzw. Verbundebene ein zentrales Auslagerungsmanagement einrichten, wobei dieses explizit den Anforderungen des AT 9 MaRisk bzw. den Anforderungen der EBA-Leitlinien zu Auslagerungen aus dem Jahr 2019 entsprechen muss... mehr

Rz. 155 Bereits nach den Mindestanforderungen an das Kreditgeschäft (MaK) war durch geeignete Maßnahmen sicherzustellen, dass gesamtgeschäftsbezogene Risiken (Branchenrisiko, Verteilungen der Engagements auf Größen- und Risikoklassen sowie ggf. das Länderrisiko und sonstige Konzentrationsrisiken) gesteuert und überwacht werden können. Auf den damals in einem Konsultationspap... mehr

Rz. 13 Die EBA sieht mit Blick auf das Kreditgeschäft die Kreditvergabe als entscheidende Phase an, um die notwendigen ESG-bezogenen Informationen und Daten von den Vertragspartnern zu sammeln, die in der Erstbewertungsphase direkt in den Überwachungsprozess einfließen. Im Rahmen der Kreditvergabe oder der laufenden Kundenbeziehung sollten die Institute die Bewertung von ESG... mehr

Rz. 439 Im Rahmen der sechsten MaRisk-Novelle ist darauf verzichtet worden, den Instituten die Einrichtung eines zentralen Auslagerungsbeauftragten und Auslagerungsmanagements auf Gruppenebene vorzugeben. Als Erleichterung wurde lediglich für Auslagerungen mehrerer Institute einer Gruppe bzw. eines Verbundes an ein bzw. mehrere gemeinsame Auslagerungsunternehmen die Möglich... mehr

Rz. 7 Als ein weiteres Merkmal im Zusammenhang mit der Unabhängigkeit der Internen Revision wird hervorgehoben, dass sie bei der Berichterstattung und Wertung der Prüfungsergebnisse keinen Weisungen unterworfen sein darf. Damit wird das Unabhängigkeitsprinzip nochmals konkretisiert. Das Prüfungsurteil durch die Interne Revision soll also unparteiisch, neutral und sachbezoge... mehr

Rz. 443 Der zentrale Auslagerungsbeauftragte bzw. das zentrale Auslagerungsmanagement haben mindestens jährlich einen Bericht über die wesentlichen Auslagerungen zu erstellen und der Geschäftsleitung zur Verfügung zu stellen. Der Bericht soll eine Aussage darüber treffen, ob die erbrachten Dienstleistungen der Auslagerungsunternehmen den vertraglichen Vereinbarungen entsprech... mehr

Rz. 121 Im Zuge des Inkrafttretens des Finanzmarktintegritätsstärkungsgesetzes (FISG) wurde in § 1 Abs. 10 KWG eine Definition für ein Auslagerungsunternehmen eingefügt.[1] Auslagerungsunternehmen sind danach "Unternehmen, auf die ein Institut oder ein übergeordnetes Unternehmen Aktivitäten und Prozesse zur Durchführung von Bankgeschäften, Finanzdienstleistungen oder sonstig... mehr

Rz. 237 Gemäß § 80 Abs. 6 WpHG muss ein Wertpapierdienstleistungsunternehmen bei einer Auslagerung von Aktivitäten oder Prozessen sowie von Finanzdienstleistungen die Anforderungen des § 25b KWG einhalten. Die Auslagerung darf nicht die Rechtsverhältnisse des Unternehmens zu seinen Kunden sowie die Verhaltens-, Transparenz- und Organisationspflichten des Wertpapierdienstleis... mehr

Rz. 7 Maßgeblich für die Zuordnung der betriebenen Geschäfte zu den Anforderungen an die Ausgestaltung der Aufbau- und Ablauforganisation im Kreditbereich (→ BTO 1), im Handelsbereich (→ BTO 2) oder im Immobilienbereich (→ BTO 3) sind die Definitionen im allgemeinen Teil des Rundschreibens (→ AT 2.3). Während bei den Kreditgeschäften von Anfang an auf den weiten Kreditbegrif... mehr

Rz. 144 Im Zuge der fünften MaRisk-Novelle wurde die Abgrenzung zwischen einer Auslagerung und dem sonstigen Fremdbezug von Leistungen im Bereich der Software und der zugehörigen Unterstützungsleistungen neu geregelt. Die Aufsicht trägt damit der zunehmenden Bedeutung der Informationstechnik (IT) als Basisinfrastruktur für sämtliche fachlichen und nicht-fachlichen Prozesse i... mehr