Fachbeiträge & Kommentare zu Risikoanalyse

Anknüpfend an den einleitenden Ausführungen zeigt die BaFin auf, welche rechtlichen Regelungen und Vorgaben in jedem Fall in den Anwendungsbereich der Compliance-Funktion fallen. Hierzu gehören zunächst die Vorgaben des WpHG, die schon Gegenstand der MaComp sind, weiterhin die Vorgaben zur Vermeidung von Geldwäsche und Terrorismusfinanzierung; Vorgaben zur Vermeidung sonstig... mehr

Rz. 17 Im Rahmen der Risikosteuerung kommt der Begrenzung der Risiken eine besondere Bedeutung zu. Durch geeignete Maßnahmen ist zu gewährleisten, dass die Risiken unter Berücksichtigung der Risikotragfähigkeit und des Risikoappetits wirksam begrenzt und überwacht werden. Geeignete Maßnahmen zur Begrenzung von Risiken und damit verbundenen Risikokonzentrationen können quanti... mehr

Rz. 383 Bei wesentlichen Auslagerungen ist die Leistung des Auslagerungsunternehmens laufend anhand vorzuhaltender Kriterien (z. B. "Key Performance Indicators", "Key Risk Indicators") und vertraglich vereinbarter Informationen des Auslagerungsunternehmens zu überwachen. Die Qualität der erbrachten Leistungen ist regelmäßig zu beurteilen. Durch diese Anforderung wird zunäch... mehr

Rz. 102 Gemäß dem Grundsatz der Verhältnismäßigkeit (Proportionalitätsprinzip) sollte das Stresstestprogramm eines Institutes mit seinem individuellen Risikoprofil und Geschäftsmodell übereinstimmen. Die Institute sollten daher bei der Entwicklung und Durchführung des Stresstestprogramms ihre Größe, ihre interne Organisation sowie die Art, den Umfang und die Komplexität ihre... mehr

Rz. 125 Die EU-Finanzminister haben sich Mitte Dezember 2012 darauf geeinigt, bestimmte Institute unter eine einheitliche Aufsicht zu stellen, die bei der Europäischen Zentralbank angesiedelt wurde. Der durch die SSM-Verordnung [1] umgesetzte Einheitliche Aufsichtsmechanismus ("Single Supervisory Mechanism", SSM) setzt sich aus der EZB und den nationalen Aufsichtsbehörden der... mehr

Rz. 275 In den beiden geschilderten Varianten hat das auslagernde Institut i. d. R. die Möglichkeit, sich rechtzeitig auf die Beendigung der Auslagerungsvereinbarung einzustellen und insofern in geeigneter Weise darauf zu reagieren. Anders verhält es sich hingegen, wenn eine wesentliche Auslagerung aus Sicht des auslagernden Institutes "unbeabsichtigt" bzw. "unerwartet" been... mehr

Rz. 56 Es liegt natürlich im Interesse der Institute, Verluste aus Schadensfällen weitgehend zu vermeiden. Nach Art. 85 Abs. 2 CRD IV müssen die Institute zum Management ihrer operationellen Risiken über Notfall- und Geschäftsfortführungspläne verfügen, die bei einer schwerwiegenden Betriebsunterbrechung die Fortführung der Geschäftstätigkeit und die Begrenzung von Verlusten... mehr

Rz. 36 Die Aufgaben der Compliance-Funktion beschränken sich nicht auf die in diesem Modul enthaltenen Verantwortlichkeiten.[1] Nach § 2 Abs. 11 InstitutsVergV ist die Compliance-Funktion als Kontrolleinheit im Sinne der Institutsvergütungsverordnung einzustufen. Die Institutsvergütungsverordnung weist den Kontrolleinheiten an zahlreichen Stellen Verantwortlichkeiten zu bzw.... mehr

Rz. 235 Nachdem die internen und externen Rahmenbedingungen umfassend analysiert wurden, sollten sich die Institute einen Überblick über ihre verfügbaren strategischen Optionen zur Umsetzung der Strategie für notleidende Risikopositionen verschaffen. Beispielhaft werden von der Aufsicht eine Haltestrategie, Forbearance-Optionen, ein aktiver Portfolioabbau, eine Änderung der ... mehr

Rz. 49 Die Identifizierung der Compliance-Risiken ist von entscheidender Bedeutung, da sie den Ausgangspunkt für die anschließenden Prozessschritte Beurteilung, Steuerung, Überwachung und Kommunikation der Risiken bildet. Wesentliche Compliance-Risiken können sich insbesondere aus Änderungen der geschäfts- und risikostrategischen Ausrichtung des Institutes oder der rechtlich... mehr

Rz. 54 Das KWG regelt nicht ausdrücklich, ob das übergeordnete Unternehmen einer Institutsgruppe, Finanzholding-Gruppe, gemischten Finanzholding-Gruppe oder Unterkonsolidierungsgruppe nach Art. 22 CRR für die Einhaltung des § 25b KWG auf Gruppenebene verantwortlich ist. Dagegen spricht, dass § 25a Abs. 3 Satz 1 KWG nur die in § 25a Abs. 1 und 2 KWG genannten Organisationspfl... mehr

Rz. 69 Die Compliance-Funktion kann zur Erfüllung ihrer Aufgaben auf andere Funktionen und Stellen zurückgreifen. Diese Möglichkeit ist in den MaRisk nicht weiter eingeschränkt worden. Insofern ist es grundsätzlich möglich, dass die Compliance-Funktion bei der Planung und Durchführung ihrer Kontrolltätigkeit die Prüfungsplanung und Berichterstattung der Internen Revision ber... mehr

Rz. 121 Mit dem Risikoreduzierungsgesetz aus dem Jahr 2020 wurde im KWG für die Zwecke der Corporate Governance der Institute und der Vergütungsregelungen eine einheitliche Definition für "bedeutende Institute" eingeführt. Gemäß § 1 Abs. 3c KWG ist ein Institut bedeutend, wenn seine Bilanzsumme im Durchschnitt zu den jeweiligen Stichtagen der letzten vier abgeschlossenen Ges... mehr

Rz. 282 Die Grundsätze des Baseler Ausschusses für Bankenaufsicht für die effektive Aggregation von Risikodaten und die Risikoberichterstattung[1] enthalten nicht nur Vorgaben für das Risikomanagement (→ Kapitel 2.6.1), sondern betreffen in einem hohen Maße auch die Informationstechnologie. Die IT-relevanten Vorgaben wurden erstmals im November 2017 als Konkretisierung der M... mehr

Rz. 91 Damit die Bestandteile des Informationsverbundes ihre Schutzziele erfüllen, ist bei der Ausgestaltung der IT-Systeme und zugehörigen IT-Prozesse grundsätzlich auf gängige Standards abzustellen. Der Rückgriff auf gängige Standards hat vor allem den Vorteil, dass auf Methoden abgestellt werden kann, die sich bereits in der Praxis bewährt haben. Dadurch wird nicht nur ei... mehr

AT 9 Tz. 5 MaRisk schränkt die Auslagerung der besonderen Funktionen anhand bestimmter Kriterien ein. Demnach ist "eine vollständige Auslagerung der besonderen Funktionen Risikocontrolling‐Funktion, Compliance‐Funktion oder Interne Revision […] lediglich für Tochterinstitute innerhalb einer Institutsgruppe zulässig, sofern das übergeordnete Institut Auslagerungsunternehmen i... mehr

Rz. 84 Im Zuge der fünften MaRisk-Novelle wurde als neue Anforderung aufgenommen, dass bei einem wiederholten Auftreten von Problemen der gesamte Neu-Produkt-Prozess (NPP) anlassbezogen zu überprüfen ist. Werden dabei Mängel festgestellt, ist der Prozess unverzüglich anzupassen. Im ersten Entwurf hatte die Aufsicht noch verlangt, dass die Institute mindestens jährlich überpr... mehr

Rz. 85 Die bedeutenden Institute und die "großen Förderbanken" müssen allerdings keine exklusive Organisationseinheit ausschließlich für die Compliance-Funktion im Sinne des AT 4.4.2 einrichten. Eine Kombination mit den für andere Compliance-Themen zuständigen Einheiten, insbesondere die Compliance-Funktion nach MaComp sowie die für Geldwäscheprävention, Terrorismusfinanzier... mehr

Rz. 105 Die fünfte und sechste MaRisk-Novelle haben zu erheblichen Überarbeitungen der Anforderungen an Auslagerungen geführt.[1] Positiv ist dabei anzumerken, dass die in die MaRisk übernommenen Regelungen deutlich prinzipienorientierter ausgestaltet sind als ihre europäischen Vorgaben. Zwar betont auch die EBA die Bedeutung des Grundsatzes der Proportionalität sowohl bei d... mehr

Rz. 340 Die Kündigung ist immer eine Option, mit der das auslagernde Institut und das Auslagerungsunternehmen rechnen müssen. Die einseitige, in die Zukunft wirkende Beendigung des Dauerschuldverhältnisses "Auslagerung" kann auf unterschiedliche Ursachen zurückzuführen sein (→ AT 9 Tz. 6). Für das auslagernde Institut können schlecht oder sogar nicht erbrachte Leistungen des... mehr

Rz. 63 Die MaRisk-Novelle konkretisierte auch die Anforderungen an die Auslagerung von Prozessen und Aktivitäten. Die besonderen Funktionen Risikocontrolling, Compliance und Interne Revision stellen für die Geschäftsleitung wichtige Steuerungsinstrumente dar. Eine vollständige Auslagerung dieser Funktionen ist daher nur in bestimmten Ausnahmefällen möglich.[1] Die Institute ... mehr

Rz. 231 Das Institut hat im Rahmen der Risikoanalyse alle relevanten Aspekte im Zusammenhang mit der Auslagerung zu berücksichtigen, wobei der Bewertung der Eignung des Auslagerungsunternehmens eine besondere Bedeutung zukommt. Diese beinhaltet z. B. die für die Erbringung der Auslagerung erforderlichen Fachkenntnisse, entsprechende Kapazitäten, personelle und finanzielle Re... mehr

Rz. 116 Für die Definition eines anderen Unternehmens im Sinne der MaRisk kann weiterhin auf das Rundschreiben 11/2001 zurückgegriffen werden. Danach ist unter einem anderen Unternehmen jede andere Stelle, Einheit oder Person zu verstehen, die in Bezug auf die ausgelagerte Funktion oder Tätigkeit nicht dem auslagernden Institut zuzurechnen und organisatorisch von ihm abgegre... mehr

Rz. 41 Die Vergabe von Berechtigungen und Kompetenzen beinhaltet seit der vierten MaRisk-Novelle auch die regelmäßige und anlassbezogene Überprüfung von IT-Berechtigungen, Zeichnungsberechtigungen und sonstigen eingeräumten Kompetenzen. Rz. 42 Die regelmäßige Überprüfung muss innerhalb angemessener Fristen erfolgen. Diese Fristen sollen sich an der Bedeutung der Prozesse und,... mehr

Rz. 76 Die angemessenen, transparenten und auf eine nachhaltige Entwicklung des Institutes ausgerichteten Vergütungssysteme sind laut § 25a Abs. 1 Satz 3 Nr. 6 KWG Gegenstand der Prüfungshandlungen der Internen Revision. In der Konsequenz werden der Internen Revision in der Vergütungsverordnung an zahlreichen Stellen Verantwortlichkeiten zugewiesen bzw. ihre Einbindung gefor... mehr

Rz. 43 Das "Unterstützungsrisiko" ("Step-in-Risk") ist das Risiko, dass ein Institut beschließt, ein nicht konsolidiertes Unternehmen, das mit einer Stresssituation konfrontiert ist, finanziell zu unterstützen, wenn keine vertragliche Verpflichtung zur Unterstützung besteht oder wenn über eine entsprechende vertragliche Verpflichtung hinausgegangen wird.[1] Als Hauptgrund fü... mehr

Rz. 2 Gemäß § 25a Abs. 1 Satz 3 KWG wird von allen Instituten die Einrichtung eines angemessenen Risikomanagements gefordert, zu dessen Bestandteilen u. a. Prozesse zur Identifizierung, Beurteilung, Steuerung, Überwachung und Kommunikation der Risiken entsprechend den in Art. 76 bis 87 CRD IV niedergelegten technischen Kriterien zählen (→ Teil I, Kapitel 4.1 und AT 1 Tz. 1).... mehr

Rz. 8 Die MaRisk beziehen sich auf das Management der für ein Institut "wesentlichen" Risiken, wobei auch für die übrigen Risiken angemessene Vorkehrungen zu treffen sind. Dieser umfassende risikobezogene Anwendungsbereich stützt sich auf EU-Vorgaben (Art. 73 und 108 CRD IV) und korrespondierende nationale Regelungen (§ 25a Abs. 1 KWG), die auf eine übergreifende Risikobetra... mehr

Rz. 82 Die ein paar Jahre nach der Finanzmarktkrise vorherrschende Niedrigzinsphase, phasenweise verbunden mit der Verpflichtung zur Zahlung von Negativzinsen, die Corona-Krise und die damit einhergehende Erhöhung der Ausfallrisiken im Kreditgeschäft sowie verschiedene makroöko­nomische Faktoren, wie insbesondere der Krieg in der Ukraine und die lange Zeit anhaltenden Proble... mehr

Rz. 156 Die Erwartungshaltung der deutschen Aufsicht an ein angemessenes IT-Risikomanagement hat sie in den bisher geltenden BAIT näher ausgeführt. Die BAIT haben jedoch auch bisher keinen vollständigen Anforderungskatalog dargestellt. Sie sollen vielmehr einen verständlichen und flexiblen Rahmen für das Management der IT-Ressourcen, des Informationsrisikos und der Informati... mehr

Rz. 375 Im Hinblick auf die Steuerung der auslagerungsspezifischen Risiken sind unterschiedliche Maßnahmen denkbar, deren Eignung nicht unwesentlich von der konkreten Ausgestaltung des Auslagerungsvertrages abhängt. Insbesondere die folgenden Maßnahmen können einen effektiven Beitrag zur Steuerung der Risiken leisten: Die Leistungsbeziehung zwischen auslagerndem Institut und ... mehr

Rz. 38 Die Integration der Anforderungen an die Zulässigkeit und Ausgestaltung der Auslagerung von Aktivitäten und Prozessen auf Dritte erfolgte im Zuge der ersten MaRisk-Novelle aus dem Jahr 2007. Die in die MaRisk überführten Auslagerungsregelungen hielten und halten unter inhaltlichen Gesichtspunkten an vielen Grundgedanken des Rundschreibens 11/2001 fest. Zentrale Elemen... mehr

Rz. 270 Im Kontext der Richtlinienvorgaben spielen die Regelungen der MaRisk allerdings nicht nur für den Fall der "beabsichtigten" Beendigung der Auslagerungsvereinbarung eine wichtige Rolle. Auch bei einer Beendigung der Vereinbarung aus anderen Gründen, die nicht zwingend auf die Initiative des auslagernden Institutes zurückgehen, sind entsprechende Vorkehrungen zu treffe... mehr

Rz. 396 Bei der Vollauslagerung der Internen Revision handelt es sich aufgrund der besonderen Stellung, die der Revision in den Instituten zukommt (→ AT 4.4.3 Tz. 2), um ein sensibles Thema, dass während der Integration der Auslagerungsregelungen in die MaRisk intensiv diskutiert wurde. Das Deutsche Institut für Interne Revision (DIIR) befürchtete, dass sich die Öffnung der ... mehr

Rz. 89 Die im Rahmen des SREP gewonnenen Erkenntnisse fließen vollständig in die "bankaufsichtlichen Risikoprofile" der von der deutschen Aufsicht weiterhin beaufsichtigten weniger bedeutenden Institute (LSI) ein.[1] Diese Risikoprofile umfassen eine Bewertung aller Risiken des Institutes, seiner Organisation und internen Kontrollverfahren sowie seiner Risikotragfähigkeit.[2... mehr

Rz. 47 Von der Internen Revision sollte sichergestellt werden, dass die Qualität der Revisionsarbeit hohen Standards genügt. Dazu muss nicht nur die Qualität der zur Anwendung gebrachten Methoden überprüft werden. Die Mitarbeiter müssen abhängig von ihren Aufgaben, Kompetenzen und Verantwortlichkeiten auch über die erforderlichen Kenntnisse und Erfahrungen verfügen. Durch g... mehr

Rz. 131 Die direkte Aufsicht über bedeutende Institute im SSM wird von gemeinsamen Aufsichtsteams ("Joint Supervisory Teams", JST) der EZB und der nationalen Aufsichtsbehörden durchgeführt. Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) und die Deutsche Bundesbank (Bundesbank) sind somit unter der Federführung der EZB in die Beaufsichtigung der bedeutenden Insti... mehr

Rz. 70 Die zuständigen Entscheidungsträger bzw. die durch Delegation für die Genehmigung des Konzeptes bzw. die Aufnahme der laufenden Geschäftstätigkeit zuständigen internen Gremien, Mitarbeiter oder Organisationseinheiten benötigen eine fundierte Entscheidungsgrundlage. Dazu dienen insbesondere die Ergebnisse der Risikoanalyse und der Testphase sowie das Konzept zur Geschä... mehr

Rz. 152 Auch die EBA gestattet eine verhältnismäßige Anwendung ihrer detaillierten Vorgaben aus Abschnitt 5 der Leitlinien für die Kreditvergabe und Überwachung, indem die Institute bei der Umsetzung den Umfang, die Art und die Komplexität der jeweiligen Kreditfazilität – unbeschadet der Art. 18 und 20 der Wohnimmobilienkreditrichtlinie ("Mortgage Credit Directive", MCD)[1] ... mehr

Rz. 104 Die Intensität der Beurteilung des Adressenausfallrisikos wird vor allem vom Risikogehalt der Engagements abhängig gemacht. Dieser Forderung liegt die Erkenntnis zugrunde, dass die Wahrscheinlichkeit des Ausfalls eines Engagements mit überschaubaren Risiken deutlich geringer ist als im Fall extrem risikobehafteter Engagements. So wird es z. B. nicht erforderlich sein... mehr

Rz. 33 Im Rahmen der Überprüfung ist den Grenzen und Beschränkungen, die sich aus den eingesetzten Methoden und Verfahren, den ihnen zugrunde liegenden Annahmen und den in die Risikoquantifizierung einfließenden Daten ergeben, hinreichend Rechnung zu tragen. Die Stabilität und Konsistenz der Methoden und Verfahren sowie die Aussagekraft der damit ermittelten Risiken sind ins... mehr

Rz. 116 Die zuständigen Behörden sollten im Rahmen des SREP bewerten, ob das Institut über einen geeigneten Rahmen für die Ermittlung, das Verständnis, die Messung und die Minderung der IKT-Verfügbarkeits- und Kontinuitätsrisiken verfügt. Dabei sollten sie insbesondere berücksichtigen, ob auf dieser Basis die kritischen IKT-Prozesse und die unterstützenden IKT-Systeme als T... mehr

Rz. 92 Zunächst kann sich ein Institut bewusst dafür entscheiden, bestimmte Risiken zu tragen, weil sich z. B. entsprechende Gegensteuerungsmaßnahmen aus betriebswirtschaftlichen Überlegungen als unbrauchbar erweisen. Dies wird insbesondere dann der Fall sein, wenn die Erträge aus der jeweiligen Geschäftstätigkeit die potenziellen Verluste aus damit verbundenen operationelle... mehr

Rz. 150 Die EBA versteht unter dem "IKT-Änderungsrisiko" das Risiko, das sich aus der mangelnden Fähigkeit des Institutes ergibt, IKT-Systemänderungen zeitgerecht und kontrolliert zu steuern, insbesondere was umfangreiche und komplexe Änderungsprogramme angeht.[1] Das Management dieser Risikokategorie zielt auf die Fehlerbehebung oder notwendige Korrekturen der Daten (→ AT 7... mehr

Rz. 32 Die "Vertraulichkeit" ("confidentiality") bezieht sich laut BSI auf den Schutz vor unbefugter Preisgabe von Informationen. Vertrauliche Daten und Informationen dürfen ausschließlich Befugten in der zulässigen Weise zugänglich sein.[1] Das betrifft das Lesen, Anpassen, Bearbeiten und Verwalten dieser Daten und Informationen. Das Institut hat insofern sicherzustellen, d... mehr

Rz. 41 Mit der "Authentizität" ("authenticity") wird gewährleistet, dass eine Kommunikationsstelle tatsächlich diejenige ist, die sie vorgibt zu sein. Es handelt sich um authentische Informationen, wenn sichergestellt ist, dass sie von der angegebenen Quelle erstellt wurden. Der Begriff wird sowohl zur Prüfung der Identität von Personen als auch bei IT-Komponenten oder Anwen... mehr

Rz. 8 Bei wesentlichen Veränderungen in den IT-Systemen sind ergänzend die "Bankaufsichtlichen Anforderungen an die IT" (BAIT)[1] zu beachten, mit deren Hilfe die MaRisk in den relevanten Bereichen weiter konkretisiert werden. Die Aufsicht erläutert darin auch, was sie unter angemessenen Änderungsprozessen von IT-Systemen versteht (→ AT 7.2 Tz. 3). Die MaRisk und die BAIT si... mehr

Rz. 1 Operationelle Risiken werden im Gegensatz zu Adressenausfallrisiken oder Marktpreisrisiken vom Institut zwar grundsätzlich nicht bewusst eingegangen, um daraus Erträge zu generieren. Allerdings müssen sich die Institute z. B. bei der Einführung neuer (komplexer) Produkte oder bei Änderungen betrieblicher Prozesse und Strukturen der damit verbundenen prozessualen, recht... mehr

Rz. 30 Für die Anwendung der Risikoklassifizierungsverfahren gibt es in den MaRisk keine organisatorischen Einschränkungen. So kann z. B. eine Risikoeinstufung im Marktbereich erstellt werden, unabhängig davon, ob es sich um risikorelevante Geschäfte handelt und somit zwei Voten erforderlich sind oder nicht.[1] Das Zwei-Voten-Prinzip (→ BTO 1.1 Tz. 2) bezieht sich direkt au... mehr

Rz. 35 Quantitative Kriterien sind, wie der Name schon sagt, Kriterien, die in geeigneter Weise quantifiziert werden können. Häufig handelt es sich um Zahlenmaterial, das zueinander oder zu vorgegebenen Größen in Beziehung gesetzt wird. Für die Prognose kann auch die Entwicklung quantitativer Kriterien im Zeitverlauf für die Risikobeurteilung von Interesse sein. Im Ergebnis ... mehr