Mit ihrem Rundschreiben 09/2017 (BA) hat die BaFin ihre finale Fassung der MaRisk 2017 veröffentlicht. Neben einigen Klarstellungen und Ergänzungen enthalten die Verwaltungsanweisungen der Finanzaufseher auch einige neue Themenbereiche mit weitreichenden Auswirkungen auf die Institute.

Die MaRisk sind Verwaltungsanweisungen zur Ausgestaltung des Risikomanagements in deutschen Kreditinstituten. Erstmals hatte die Finanzaufsichtsbehörde ihre Verwaltungsanweisungen mit Rundschreiben 18/2005 veröffentlicht. Die letzte Novellierung erfolgte 2012. Das aktuelle Rundschreiben, das am 19.02.2016 zur Konsultation gestellt wurde, hat folgende Schwerpunkte:

• Allgemeine Anforderungen
• Risikodatenaggregation und Risikoberichterstattung
• Risikokultur
• Auslagerungen

Allgemeine Anforderungen

Die Allgemeinen Anforderungen in AT 4 der MaRisk 2017 beinhalten im Wesentlichen folgende Themen:

• Unternehmensfortführung und Gläubigerschutz: Danach müssen die Verfahren zur Bestimmung der Risikotragfähigkeit nach AT 4.1 ausdrücklich sowohl das Ziel der Unternehmensfortführung als auch den Gläubigerschutz berücksichtigen.
• Anforderungen an externe Daten: Für die Methoden und Verfahren zur Risikomessung werden die Anforderungen an externe Daten konkretisiert. Zudem werden Unabhängigkeitsanforderungen für die Validierung der internen Risikomodelle eingefügt.
• Funktionstrennung: Die Anforderungen an die Funktionstrennung in AT 4.3.1 erweitern sich um das Selbstprüfungsverbot der Internen Revision. Gleiches gilt für Aspekte bei Mitarbeiterwechseln zwischen Markt- und Kontrollbereichen.

Aggregation von Risikodaten

Grundlegend neu ist AT 4.3.4 „Datenmanagement, Datenqualität und Aggregation von Risikodaten”. Diese Anweisung bezieht sich auf die internationalen Regelungen aus BCBS 239 und behandelt im Wesentlichen die Genauigkeit und Vollständigkeit von Risikodaten. Allerdings gilt AT 4.3.4 nur für systemrelevante Institute. Definiert sind diese in AT 1.

Vor diesem Hintergrund macht AT 7 Ausführungen zu IT-Risiken, Maßnahmen des IT-Risikomanagements und zu den Anforderungen an die individuelle Datenverarbeitung.

Risikoberichterstattung

Der neue Anweisung BT 3 „Anforderungen an die Risikoberichterstattung” führt die inhaltlichen und prozessualen Anforderungen an die Risikoberichterstattung zusammen. So müssen die Berichte auf vollständigen, genauen und aktuellen Daten basieren. Die Daten müssen also in einem zeitlich angemessenen Rahmen erstellt werden, so dass eine aktive und zeitnahe Steuerung der Risiken möglich ist.

Diese Anforderungen gelten für alle deutschen Institute. Die BaFin ist aber der Auffassung, dass nicht alle Institute die Anweisung AT 4.3.4 umsetzen müssen.

Auslagerungen

Die Vorschrift des AT 9 „Auslagerung” der MaRisk 2017 grenzt den Begriff der Auslagerung stärker gegenüber dem „sonstigen Fremdbezug von Leistungen” ab. Zudem definiert diese Norm einige neue Anforderungen an das Auslagerungsmanagement, an „Exit-Prozesse” und an Weiterverlagerungen.

Wichtige weitere Neuerungen

• Gesamtverantwortung der Geschäftsleitung: Neue Anforderungen an die Entwicklung, Förderung und Integration einer angemessenen Risikokultur legt AT 3 „Gesamtverantwortung der Geschäftsleitung” der MaRisk fest. Die dortigen Anweisungen werden flankiert durch die Pflicht, nach AT 5 Tz. 3 g einen Verhaltenskodex für Mitarbeiter aufzustellen. Damit will die Aufsichtsbörde hervorheben, dass die Risikokultur ein wesentlicher Bestandteil eines wirksamen Risikomanagements ist.
  
  
• Prozesse im Kreditgeschäft: Für die Prozesse im Kreditgeschäft legen die MaRisk 2017 ergänzende Anforderungen für die Wertermittlung von Sicherheiten und die Prüfung der Kapitaldienstfähigkeit in BTO 1 fest.
  
  
• Erlösquotensammlung: Zudem beinhaltet BTR 1 neue Regelungen zur Berücksichtigung von „Forbearance” zur Einführung einer Erlösquotensammlung.
  
  
• Liquiditätsrisiken: Das Management von Liquiditätsrisiken nach BTR 3 wird erweitert um die untertägige Überwachung des Liquiditätsrisikos, die angemessene Berücksichtigung der „Asset Encumbrance”. Ebenso soll eine langfristige Liquiditätsablaufbilanz sowie eine interne Refinanzierungsplanung eingeführt werden.
  
  
• Steuerung operationeller Risiken: Die Institute sollen künftig ihre operationellen Risiken schärfen und stärker gegen andere sonstige Risikoarten abgrenzen. Ziel ist eine Verbesserung der Messung und Steuerung der operationellen Risiken nach BTR 4. Ebenso sind zusätzliche Aspekte wie „boundary events” und „Beinaheverluste” bei der Erfassung von Schadensfällen zu berücksichtigen.

Umsetzungszeiträume

Wie bisher unterscheiden die MaRisk bei den Umsetzungsfristen nach bloßen Klarstellungen, Ergänzungen und Neuerungen wie folgt:

• Während reine Klarstellungen bereits ab der Veröffentlichung der Endfassung umzusetzen sind, endet die Umsetzungsfrist für neue Themenbereiche am 31.10.2018.
  
  
• Für die Neuerungen in AT 4.3.4 zur Risikodatenaggregation legt das aktuelle Rundschreiben für die betroffenen Institute grundsätzlich drei Jahre ab dem Zeitpunkt der Einstufung als anderweitig systemrelevantes Institut fest.

Umsetzungsaufwand

Auf die Institute kommt somit ein nicht zu unterschätzender Umsetzungsaufwand zu. Allerdings ist dieser je nach Institutsgröße und Komplexität des Geschäftsmodells unterschiedlich hoch.

• Rundschreiben 09/2017 (BA) - Mindestanforderungen an das Risikomanagement – MaRisk
• Anschreiben an die Verbände

Investmentwesen in Bewegung Die Datenbank Investment von Beckmann/Scholtz/Vollmer unterstützt Sie darin, Chancen und Risiken der zahlreichen Neuerungen im Investmentwesen zu erkennen und die Vorschriften rechtssicher umzusetzen. Ihre Vorzüge im Überblick: Fundierte Kommentierungen zu KAGB, KAVerOV, InvStG und UBGG  Kommentierungen und Schreiben der Finanzverwaltungen zum InvStG (2018) Erläuterungen, Auslegungsfragen, Merkblätter der BaFin zum KAGB Testen Sie INVESTMENT kostenlos und unverbindlich.

(ESV/bp)