Neufassung der MaRisk

21. September 2021 | Die Bafin hat am 16. August 2021 nach umfangreichem Konsultationsverfahren die finale Neufassung der Mindestanforderungen an das Risikomanagement (MaRisk) vorgelegt. Hintergrund sind geänderte Leitlinien der Europäischen Bankenaufsichtsbehörde EBA. Die Anforderungen des Rundschreibens gelten für Kredit- und Finanzdienstleistungsinstitute im Sinne von § 1 Abs. 1b KWG. Das bedeutet, anzuwenden ist die MaRisk für diejenigen Unternehmen, die nach Inkrafttreten des WpIG am 26. Juni 2021 weiterhin den Organisationsanforderungen des KWG unterfallen, wie z.B. große Wertpapierinstitute oder Leasing- und Factoringunternehmen. Ebenfalls im Anwendungsbereich nun auch Kryptoverwahrer und Wertpapierregisterführer.

Die Bafin hat am 16. August 2021 nach umfangreichem Konsultationsverfahren die finale Neufassung der Mindestanforderungen an das Risikomanagement (MaRisk) vorgelegt. Hintergrund sind geänderte Leitlinien der Europäischen Bankenaufsichtsbehörde EBA. Die Anforderungen des Rundschreibens gelten für Kredit- und Finanzdienstleistungsinstitute im Sinne von § 1 Abs. 1b KWG. Das bedeutet, anzuwenden ist die MaRisk für diejenigen Unternehmen, die nach Inkrafttreten des WpIG am 26. Juni 2021 weiterhin den Organisationsanforderungen des KWG unterliegen, wie z.B. große Wertpapierinstitute oder Leasing- und Factoringunternehmen. Ebenfalls im Anwendungsbereich nun auch Kryptoverwahrer und Wertpapierregisterführer.

Wesentliche Änderungen

Eines der Schwerpunktziele der MaRisk ist es, Interessenkonflikte innerhalb der Compliance-Funktion zu vermeiden und somit operative und überwachende Tätigkeiten zu trennen. Im Unterschied zur Konsultationsfassung enthält die finale MaRisk-Fassung allerdings keine exemplarische Aufzählung nicht zulässiger Kombinationen einzelner Kontrollbereiche und Beauftragter zur Compliance Funktion mehr. Neben dem Hinweis auf die in jedem Fall zulässigen Kombinationen mit Funktionen, wie WpHG-Compliance, Geldwäschebeauftragtem, Informationssicherheit und Datenschutz wird aber auf das allgemeine Prinzip verwiesen, wonach nur (reine) Kontrolleinheiten bei der Compliance-Funktion angesiedelt werden können.

Einer der Bereiche, bei dem die Anpassung der MaRisk der EZB folgt, betrifft die Regelungen zu Datenmanagement, Datenqualität und Aggregation von Risikodaten. Der zugrunde liegende BCBS 239 Standard des Baseler Ausschusses für Bankenaufsicht, der die Risikoberichterstattung von Kreditinstituten regelt, richtet sich zwar in erster Linie an systemrelevante Institute, stellt es der zuständigen Aufsicht jedoch ausdrücklich frei, die Anforderungen unter Beachtung des Proportionalitätsprinzips auch an einen erweiterten Institutskreis zu stellen.

Neu sind Regelungen zu Verfahrensweisen bei Auslagerungen. Jedes Institut, das Auslagerungen vornimmt, soll einen zentralen Auslagerungsbeauftragten bestimmen. Kleinere, weniger komplexe Institute können die Funktion einem Geschäftsleiter übertragen. Bei wesentlichen Auslagerungen sollen neben Informations- und Prüfungsrechten auch Zugangsrechte im Auslagerungsvertrag verankert werden. Grundsätzlich sind Informationen über Auslagerungsvereinbarungen sowie veranschlagte Kosten jährlich in einem Auslagerungsregister einzutragen. Zusätzlich ist jährlich ein Bericht über wesentliche Auslagerungen (Auslagerungsbericht) zu erstellen.

Ebenfalls neu gefasst wurde der Abschnitt zum Notfallmanagement. Zeitkritische Aktivitäten und Prozesse sind zu identifizieren und Risikoanalysen durchzuführen. In einem Notfallkonzept muss dargestellt sein, welche Ersatzlösungen im Notfall zeitnah zur Verfügung stehen und wie eine Rückkehr zum Normalbetrieb verlaufen soll. Als Basis hierfür soll eine Übersicht über alle Aktivitäten und Prozesse (z. B. in Form einer Prozesslandkarte) dienen. Die Wirksamkeit und Angemessenheit des Notfallkonzeptes sind regelmäßig zu überprüfen.

Die MaRisk-Novelle ist mit ihrer Veröffentlichung in Kraft getreten. Änderungen lediglich klarstellender Natur sind unmittelbar nach Veröffentlichung von den Instituten anzuwenden. Um den Instituten einen ausreichenden Zeitraum für die Implementierung der Änderungen einzuräumen, die neue Anforderungen mit sich bringen, gilt eine Übergangsfrist bis zum 31. Dezember 2021. Davon abweichend gilt für die Anpassung von bereits bestehenden oder in Verhandlung befindlichen Auslagerungsverträgen eine gesonderte Umsetzungsfrist bis zum 31. Dezember 2022.