Source: https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Rundschreiben/2017/rs_1709_marisk_ba.html;jsessionid=72B8DDB91B479299D400BF710E283C68.1_cid363?nn=9450904
Timestamp: 2018-08-15 10:51:29+00:00

Document:
BaFin - Rundschreiben - Rundschreiben 09/2017 (BA) - MaRisk BA
Rundschreiben 09/2017 (BA) - MaRisk BA
Thema Risikomanagement Rundschreiben 09/2017 (BA) - Mindestanforderungen an das Risikomanagement - MaRisk
Geschäftszeichen BA 54-FR 2210-2017/0002Datum: 27.10.2017
AT 4.3.4 Datenmanagement, Datenqualität, und Aggregation von Risikodaten
AT 9 Auslagerung
BT 3 Anforderung an die Risikoberichterstattung
BT 3.1 Allgemeine Anforderungen an die Risikoberichte
BT 3.2 Berichte der Risikocontrolling-Funktion
Dieses Rundschreiben gibt auf der Grundlage des § 25a Abs. 1 des Kreditwesengesetzes (KWG) einen flexiblen und praxisnahen Rahmen für die Ausgestaltung des Risikomanagements der Institute vor. Es präzisiert ferner die Anforderungen des § 25a Abs. 3 KWG (Risikomanagement auf Gruppenebene) sowie des § 25b KWG (Auslagerung). Ein angemessenes und wirksames Risikomanagement umfasst unter Berücksichtigung der Risikotragfähigkeit insbesondere die Festlegung von Strategien sowie die Einrichtung interner Kontrollverfahren. Die internen Kontrollverfahren bestehen aus dem internen Kontrollsystem und der Internen Revision. Das interne Kontrollsystem umfasst insbesondere
Prozesse zur Identifizierung, Beurteilung, Steuerung, Überwachung sowie Kommunikation der Risiken (Risikosteuerungs- und controllingprozesse) und
Das Rundschreiben gibt zudem einen qualitativen Rahmen für die Umsetzung maßgeblicher Artikel der Richtlinie 2013/36/EU (Bankenrichtlinie – CRD IV) zur Organisation und zum Risikomanagement der Institute vor. Danach sind von den Instituten insbesondere angemessene Leitungs-, Steuerungs- und Kontrollprozesse („Robust Governance Arrangements“), wirksame Verfahren zur Ermittlung, Steuerung, Überwachung und Kommunikation tatsächlicher oder potenzieller Risiken sowie angemessene interne Kontrollmechanismen einzurichten. Ferner müssen sie über wirksame und umfassende Verfahren und Methoden verfügen, die gewährleisten, dass genügend internes Kapital zur Abdeckung aller wesentlichen Risiken vorhanden ist (Interner Prozess zur Sicherstellung der Risikotragfähigkeit - „Internal Capital Adequacy Assessment Process“). Die Angemessenheit und Wirksamkeit dieser Verfahren, Methoden und Prozesse sind von der Aufsicht gemäß Art. 97 der Bankenrichtlinie im Rahmen des bankaufsichtlichen Überwachungsprozesses regelmäßig zu beurteilen („Supervisory Review and Evaluation Process“). Das Rundschreiben ist daher unter Berücksichtigung des Prinzips der doppelten Proportionalität der Regelungsrahmen für die qualitative Aufsicht in Deutschland. Im Hinblick auf die Methoden zur Berechnung der aufsichtsrechtlich erforderlichen Eigenmittel der Bankenrichtlinie sind die Anforderungen des Rundschreibens insofern neutral konzipiert, als sie unabhängig von der gewählten Methode eingehalten werden können.
Der sachgerechte Umgang mit dem Proportionalitätsprinzip seitens der Institute beinhaltet in dem prinzipienorientierten Aufbau der MaRisk auch, dass Institute im Einzelfall über bestimmte, in den MaRisk explizit formulierte Anforderungen hinaus weitergehende Vorkehrungen treffen, soweit dies zur Sicherstellung der Angemessenheit und Wirksamkeit des Risikomanagements erforderlich sein sollte. Insofern haben Institute, die besonders groß sind oder deren Geschäftsaktivitäten durch besondere Komplexität, Internationalität oder eine besondere Risikoexponierung gekennzeichnet sind, weitergehende Vorkehrungen im Bereich des Risikomanagements zu treffen als weniger große Institute mit weniger komplex strukturierten Geschäftsaktivitäten, die keine außergewöhnliche Risikoexponierung aufweisen. Erstgenannte Institute haben dabei auch die Inhalte einschlägiger Veröffentlichungen zum Risikomanagement des Baseler Ausschusses für Bankenaufsicht und des Financial Stability Board in eigenverantwortlicher Weise in ihre Überlegungen zur angemessenen Ausgestaltung des Risikomanagements einzubeziehen.
Das Rundschreiben trägt der heterogenen Institutsstruktur und der Vielfalt der Geschäftsaktivitäten Rechnung. Es enthält zahlreiche Öffnungsklauseln, die abhängig von der Größe der Institute, den Geschäftsschwerpunkten und der Risikosituation eine vereinfachte Umsetzung ermöglichen. Insoweit kann es vor allem auch von kleineren Instituten flexibel umgesetzt werden. Das Rundschreiben ist gegenüber der laufenden Fortentwicklung der Prozesse und Verfahren im Risikomanagement offen, soweit diese im Einklang mit den Zielen des Rundschreibens stehen. Für diese Zwecke wird die Bundesanstalt für Finanzdienstleistungsaufsicht einen fortlaufenden Dialog mit der Praxis führen.
Soweit in den MaRisk auf systemrelevante Institute referenziert wird, handelt es sich dabei um global systemrelevante Institute nach § 10f KWG und um anderweitig systemrelevante Institute nach § 10g KWG.
Das Rundschreiben ist modular strukturiert, so dass notwendige Anpassungen in bestimmten Regelungsfeldern auf die zeitnahe Überarbeitung einzelner Module beschränkt werden können. In einem allgemeinen Teil (Modul AT) befinden sich grundsätzliche Prinzipien für die Ausgestaltung des Risikomanagements. Spezifische Anforderungen an die Organisation des Kredit- und Handelsgeschäfts sind in einem besonderen Teil niedergelegt (Modul BT). Unter Berücksichtigung von Risikokonzentrationen werden in diesem Modul auch Anforderungen an die Identifizierung, Beurteilung, Steuerung sowie die Überwachung und Kommunikation von Adressenausfallrisiken, Marktpreisrisiken, Liquiditätsrisiken sowie operationellen Risiken gestellt. Darüber hinaus wird in Modul BT ein Rahmen für die Ausgestaltung der Internen Revision in den Instituten sowie für die Ausgestaltung der Risikoberichterstattung vorgegeben.
Finanzdienstleistungsinstitute und Wertpapierhandelsbanken haben die Anforderungen des Rundschreibens insoweit zu beachten, wie dies vor dem Hintergrund der Institutsgröße sowie von Art, Umfang, Komplexität und Risikogehalt der Geschäftsaktivitäten zur Einhaltung der gesetzlichen Pflichten aus §§ 25a und 25b KWG geboten erscheint. Dies gilt insbesondere für die Module AT 3, AT 5, AT 7 und AT 9.
Alle Geschäftsleiter (§ 1 Abs. 2 KWG) sind, unabhängig von der internen Zuständigkeitsregelung, für die ordnungsgemäße Geschäftsorganisation und deren Weiterentwicklung verantwortlich. Diese Verantwortung bezieht sich unter Berücksichtigung ausgelagerter Aktivitäten und Prozesse auf alle wesentlichen Elemente des Risikomanagements. Die Geschäftsleiter werden dieser Verantwortung nur gerecht, wenn sie die Risiken beurteilen können und die erforderlichen Maßnahmen zu ihrer Begrenzung treffen. Hierzu zählt auch die Entwicklung, Förderung und Integration einer angemessenen Risikokultur innerhalb des Instituts und der Gruppe. Die Geschäftsleiter eines übergeordneten Unternehmens einer Institutsgruppe oder Finanzholding-Gruppe beziehungsweise eines übergeordneten Finanzkonglomeratsunternehmens sind zudem für die ordnungsgemäße Geschäftsorganisation in der Gruppe und somit auch für ein angemessenes und wirksames Risikomanagement auf Gruppenebene verantwortlich (§ 25a Abs. 3 KWG).
Ungeachtet der Gesamtverantwortung der Geschäftsleitung für die ordnungsgemäße Geschäftsorganisation und insbesondere für ein angemessenes und wirksames Risikomanagement ist jeder Geschäftsleiter für die Einrichtung angemessener Kontroll- und Überwachungsprozesse in seinem jeweiligen Zuständigkeitsbereich verantwortlich.
Das Institut hat einen internen Prozess zur Sicherstellung der Risikotragfähigkeit einzurichten. Die hierzu eingesetzten Verfahren haben sowohl das Ziel der Fortführung des Instituts als auch den Schutz der Gläubiger vor Verlusten aus ökonomischer Sicht angemessen zu berücksichtigen. Die Risikotragfähigkeit ist bei der Festlegung der Strategien (AT 4.2) sowie bei deren Anpassung zu berücksichtigen. Zur Umsetzung der Strategien beziehungsweise zur Gewährleistung der Risikotragfähigkeit sind ferner geeignete Risikosteuerungs- und -controllingprozesse (AT 4.3.2) einzurichten.
Wesentliche Risiken, die nicht in das Risikotragfähigkeitskonzept einbezogen werden, sind festzulegen. Ihre Nichtberücksichtigung ist nachvollziehbar zu begründen und nur dann möglich, wenn das jeweilige Risiko aufgrund seiner Eigenart nicht sinnvoll durch Risikodeckungspotenzial begrenzt werden kann (z. B. das Zahlungsunfähigkeitsrisiko). Es ist sicherzustellen, dass solche Risiken angemessen in den Risikosteuerungs- und -controllingprozessen berücksichtigt werden.
Die Verlässlichkeit und die Stabilität der Diversifikationsannahmen sind regelmäßig und ggf. anlassbezogen zu überprüfen.
Die Wahl der Methoden und Verfahren zur Beurteilung der Risikotragfähigkeit liegt in der Verantwortung des Instituts. Die den Methoden und Verfahren zugrunde liegenden Annahmen sind nachvollziehbar zu begründen. Die Festlegung wesentlicher Elemente der Risikotragfähigkeitssteuerung sowie wesentlicher zugrunde liegender Annahmen ist von der Geschäftsleitung zu genehmigen.
Die Angemessenheit der Methoden und Verfahren ist zumindest jährlich durch die fachlich zuständigen Mitarbeiter zu überprüfen. Im Rahmen der Überprüfung ist den Grenzen und Beschränkungen, die sich aus den eingesetzten Methoden und Verfahren, den ihnen zugrunde liegenden Annahmen und den in die Risikoquantifizierung einfließenden Daten ergeben, hinreichend Rechnung zu tragen. Die Stabilität und Konsistenz der Methoden und Verfahren sowie die Aussagekraft der damit ermittelten Risiken sind insofern kritisch zu analysieren.
Ist aufgrund der vergleichsweisen Komplexität der Verfahren und Methoden, der zugrunde liegenden Annahmen oder der einfließenden Daten eine umfassende Validierung dieser Komponenten gemäß Tz. 9 durchzuführen, ist hierbei eine angemessene Unabhängigkeit zwischen Methodenentwicklung und Validierung zu gewährleisten. Die wesentlichen Ergebnisse der Validierung und ggf. Vorschläge für Maßnahmen zum Umgang mit bekannten Grenzen und Beschränkungen der Methoden und Verfahren sind der Geschäftsleitung vorzulegen.
Die Geschäftsleitung hat eine mit der Geschäftsstrategie und den daraus resultierenden Risiken konsistente Risikostrategie festzulegen. Die Risikostrategie hat, ggf. unterteilt in Teilstrategien für die wesentlichen Risiken, die Ziele der Risikosteuerung der wesentlichen Geschäftsaktivitäten sowie die Maßnahmen zur Erreichung dieser Ziele zu umfassen. Insbesondere ist, unter Berücksichtigung von Risikokonzentrationen, für alle wesentlichen Risiken der Risikoappetit des Instituts festzulegen. Risikokonzentrationen sind dabei auch mit Blick auf die Ertragssituation des Instituts (Ertragskonzentrationen) zu berücksichtigen. Dies setzt voraus, dass das Institut seine Erfolgsquellen voneinander abgrenzen und diese quantifizieren kann (z. B. im Hinblick auf den Konditionen- und den Strukturbeitrag im Zinsbuch).
Die Strategien sowie ggf. erforderliche Anpassungen der Strategien sind dem Aufsichtsorgan des Instituts zur Kenntnis zu geben und mit diesem zu erörtern. Die Erörterung erstreckt sich auch auf die Ursachenanalyse nach AT 4.2 Tz. 4 im Falle von Zielabweichungen.
Bei der Ausgestaltung der Aufbau- und Ablauforganisation ist sicherzustellen, dass miteinander unvereinbare Tätigkeiten durch unterschiedliche Mitarbeiter durchgeführt und auch bei Arbeitsplatzwechseln Interessenkonflikte vermieden werden. Beim Wechsel von Mitarbeitern der Handels- und Marktbereiche in nachgelagerte Bereiche und Kontrollbereiche sind für Tätigkeiten, die gegen das Verbot der Selbstprüfung und –überprüfung verstoßen, angemessene Übergangsfristen vorzusehen.
Prozesse sowie die damit verbundenen Aufgaben, Kompetenzen, Verantwortlichkeiten, Kontrollen sowie Kommunikationswege sind klar zu definieren und aufeinander abzustimmen. Berechtigungen und Kompetenzen sind nach dem Sparsamkeitsgrundsatz (Need-to-know-Prinzip) zu vergeben und bei Bedarf zeitnah anzupassen. Dies beinhaltet auch die regelmäßige und anlassbezogene Überprüfung von IT-Berechtigungen, Zeichnungsberechtigungen und sonstigen eingeräumten Kompetenzen innerhalb angemessener Fristen. Die Fristen orientieren sich dabei an der Bedeutung der Prozesse und, bei IT-Berechtigungen, dem Schutzbedarf verarbeiteter Informationen. Das gilt auch bezüglich der Schnittstellen zu wesentlichen Auslagerungen.
Diese Prozesse sind in eine gemeinsame Ertrags- und Risikosteuerung („Gesamtbanksteuerung“) einzubinden. Durch geeignete Maßnahmen ist zu gewährleisten, dass die Risiken und die damit verbundenen Risikokonzentrationen unter Berücksichtigung der Risikotragfähigkeit und des Risikoappetits wirksam begrenzt und überwacht werden.
Die Risikosteuerungs- und -controllingprozesse müssen gewährleisten, dass die wesentlichen Risiken – auch aus ausgelagerten Aktivitäten und Prozessen – frühzeitig erkannt, vollständig erfasst und in angemessener Weise dargestellt werden können. Hierzu hat das Institut geeignete Indikatoren für die frühzeitige Identifizierung von Risiken sowie von risikoartenübergreifenden Effekten abzuleiten, die je nach Risikoart auf quantitativen und/oder qualitativen Risikomerkmalen basieren.
Die Geschäftsleitung hat sich in angemessenen Abständen über die Risikosituation berichten zu lassen. Zudem hat die Geschäftsleitung das Aufsichtsorgan mindestens vierteljährlich über die Risikosituation in angemessener Weise schriftlich zu informieren. Einzelheiten zur Risikoberichterstattung an die Geschäftsleitung und an das Aufsichtsorgan sind in BT 3 geregelt.
Unter Risikogesichtspunkten wesentliche Informationen sind unverzüglich an die Geschäftsleitung, die jeweiligen Verantwortlichen und ggf. die Interne Revision weiterzuleiten, so dass geeignete Maßnahmen beziehungsweise Prüfungshandlungen frühzeitig eingeleitet werden können. Hierfür ist ein geeignetes Verfahren festzulegen.
Die Risikosteuerungs- und -controllingprozesse sowie die zur Risikoquantifizierung eingesetzten Methoden und Verfahren sind regelmäßig sowie bei sich ändernden Bedingungen auf ihre Angemessenheit zu überprüfen und ggf. anzupassen. Dies betrifft insbesondere auch die Plausibilisierung der ermittelten Ergebnisse und der zugrunde liegenden Daten. AT 4.1 Tz. 9 ist entsprechend anzuwenden.
Es sind regelmäßig sowie anlassbezogen angemessene Stresstests für die wesentlichen Risiken durchzuführen, die Art, Umfang, Komplexität und den Risikogehalt der Geschäftsaktivitäten widerspiegeln. Hierfür sind die für die jeweiligen Risiken wesentlichen Risikofaktoren zu identifizieren. Die Stresstests haben sich auch auf die angenommenen Risikokonzentrationen und Diversifikationseffekte innerhalb und zwischen den Risikoarten zu erstrecken. Risiken aus außerbilanziellen Gesellschaftskonstruktionen und Verbriefungstransaktionen sind im Rahmen der Stresstests zu berücksichtigen.
Regelmäßige und ggf. anlassbezogene Stresstests sind auch für das Gesamtrisikoprofil des Instituts durchzuführen. Dazu sind ausgehend von Art, Umfang, Komplexität und Risikogehalt der Geschäftsaktivitäten geeignete übergeordnete Szenarien zu definieren, die sowohl institutseigene als auch marktweite Ursachen berücksichtigen. Deren potenzielle Auswirkungen auf die wesentlichen Risikoarten sind kombiniert in einer Weise abzubilden, die die Wechselwirkungen zwischen den Risikoarten berücksichtigt.
Die Anforderungen dieses Moduls richten sich an systemrelevante Institute und gelten sowohl auf Gruppenebene als auch auf der Ebene der wesentlichen gruppenangehörigen Einzelinstitute. Das Institut hat institutsweit und gruppenweit geltende Grundsätze für das Datenmanagement, die Datenqualität und die Aggregation von Risikodaten festzulegen, die von der Geschäftsleitung zu genehmigen und in Kraft zu setzen sind.
Datenstruktur und Datenhierarchie müssen gewährleisten, dass Daten zweifelsfrei identifiziert, zusammengeführt und ausgewertet werden können sowie zeitnah zur Verfügung stehen. Hierfür sind, soweit möglich, einheitliche Namenskonventionen und Kennzeichnungen von Daten festzulegen und innerhalb des Instituts zu kommunizieren. Bei unterschiedlichen Namenskonventionen und Kennzeichnungen hat das Institut sicherzustellen, dass Daten automatisiert ineinander überleitbar sind.
Das Institut hat zu gewährleisten, dass Risikodaten genau und vollständig sind. Daten müssen nach unterschiedlichen Kategorien auswertbar sein und sollten, soweit möglich und sinnvoll, automatisiert aggregiert werden können. Der Einsatz und der Umfang manueller Prozesse und Eingriffe sind zu begründen und zu dokumentieren und auf das notwendige Maß zu beschränken. Die Datenqualität und die Datenvollständigkeit sind anhand geeigneter Kriterien zu überwachen. Hierfür hat das Institut interne Anforderungen an die Genauigkeit und Vollständigkeit der Daten zu formulieren
Die Risikodaten sind mit anderen im Institut vorhandenen Informationen abzugleichen und zu plausibilisieren. Es sind Verfahren und Prozesse zum Abgleich der Risikodaten und der Daten in den Risikoberichten einzurichten, mittels derer Datenfehler und Schwachstellen in der Datenqualität identifiziert werden können.
Die Datenaggregationskapazitäten müssen gewährleisten, dass aggregierte Risikodaten, sowohl unter gewöhnlichen Umständen als auch in Stressphasen, zeitnah zur Verfügung stehen. Das Institut hat unter Berücksichtigung der Häufigkeit von Risikoberichten den zeitlichen Rahmen zu definieren, innerhalb dessen die aggregierten Risikodaten vorliegen müssen.
Die Datenaggregationskapazitäten müssen hinreichend flexibel sein, um Informationen ad hoc nach unterschiedlichen Kategorien ausweisen und analysieren zu können. Dazu gehört auch die Möglichkeit, Risikopositionen auf den unterschiedlichsten Ebenen (Geschäftsfelder, Portfolios, ggf. Einzelgeschäfte) auszuweisen und zu analysieren.
Für alle Prozessschritte sind Verantwortlichkeiten festzulegen und entsprechende prozessabhängige Kontrollen einzurichten. Daneben ist regelmäßig zu überprüfen, ob die institutsinternen Regelungen, Verfahren, Methoden und Prozesse von den Mitarbeitern eingehalten werden. Die Überprüfung ist von einer von den geschäftsinitiierenden bzw. geschäftsabschließenden Organisationseinheiten unabhängigen Stelle wahrzunehmen.
Jedes Institut muss über eine unabhängige Risikocontrolling-Funktion verfügen, die für die Überwachung und Kommunikation der Risiken zuständig ist. Die Risikocontrolling-Funktion ist aufbauorganisatorisch bis einschließlich der Ebene der Geschäftsleitung von den Bereichen zu trennen, die für die Initiierung bzw. den Abschluss von Geschäften zuständig sind.
Verantwortung für die Prozesse zur unverzüglichen Weitergabe von unter Risikogesichtspunkten wesentlichen Informationen an die Geschäftsleitung, die jeweiligen Verantwortlichen und ggf. die Interne Revision.
3 Den Mitarbeitern der Risikocontrolling-Funktion sind alle notwendigen Befugnisse und ein uneingeschränkter Zugang zu allen Informationen einzuräumen, die für die Erfüllung ihrer Aufgaben erforderlich sind. Hierzu gehört insbesondere auch ein uneingeschränkter und jederzeitiger Zugang zu den Risikodaten des Instituts.
Bei systemrelevanten Instituten hat die exklusive Wahrnehmung der Leitung der Risikocontrolling-Funktion grundsätzlich durch einen Geschäftsleiter zu erfolgen („Chief Risk Officer“ - CRO). Er kann auch für die Marktfolge zuständig sein, sofern eine klare aufbauorganisatorische Trennung von Risikocontrolling-Funktion und Marktfolge bis unterhalb der Geschäftsleiterebene erfolgt. Der CRO darf weder für den Bereich Finanzen/Rechnungswesen („Chief Financial Officer“ - CFO) noch für den Bereich Organisation/IT („Chief Operational Officer“ - COO) verantwortlich sein. Ausnahmen hiervon sind lediglich im Vertretungsfall möglich. .
Wechselt die Leitung der Risikocontrolling-Funktion, ist das Aufsichtsorgan rechtzeitig vorab unter Angabe der Gründe für den Wechsel zu informieren.
Grundsätzlich ist die Compliance-Funktion unmittelbar der Geschäftsleitung unterstellt und berichtspflichtig. Sie kann auch an andere Kontrolleinheiten angebunden werden, sofern eine direkte Berichtslinie zur Geschäftsleitung existiert. Zur Erfüllung ihrer Aufgaben kann die Compliance-Funktion auch auf andere Funktionen und Stellen zurückgreifen. Die Compliance-Funktion ist abhängig von der Größe des Instituts sowie der Art, des Umfangs, der Komplexität und dem Risikogehalt der Geschäftsaktivitäten in einem von den Bereichen Markt und Handel unabhängigen Bereich anzusiedeln.
Systemrelevante Institute haben für die Compliance-Funktion eine eigenständige Organisationseinheit einzurichten.
Wechselt die Position des Compliance-Beauftragten, ist das Aufsichtsorgan rechtzeitig vorab unter Angabe der Gründe für den Wechsel zu informieren.
Wechselt die Leitung der Internen Revision, ist das Aufsichtsorgan rechtzeitig vorab unter Angabe der Gründe für den Wechsel zu informieren.
Nach § 25a Abs. 3 KWG sind die Geschäftsleiter des übergeordneten Unternehmens einer Institutsgruppe oder Finanzholding-Gruppe sowie die Geschäftsleiter des übergeordneten Finanzkonglomeratsunternehmens eines Finanzkonglomerats für die Einrichtung eines angemessenen und wirksamen Risikomanagements auf Gruppenebene verantwortlich. Die Reichweite des Risikomanagements auf Gruppenebene erstreckt sich auf alle wesentlichen Risiken der Gruppe unabhängig davon, ob diese von konsolidierungspflichtigen Unternehmen begründet werden oder nicht (z. B. Risiken aus nicht konsolidierungspflichtigen Zweckgesellschaften). Die eingesetzten Methoden und Verfahren (beispielsweise IT-Systeme) dürfen der Wirksamkeit des Risikomanagements auf Gruppenebene nicht entgegenstehen. Besondere Maßstäbe für das Risikomanagement auf Gruppenebene können sich aus spezialgesetzlichen Regelungen ergeben, wie z. B. bei Bausparkassen hinsichtlich der Kollektivsteuerung oder bei Pfandbriefbanken.
Es sind angemessene ablauforganisatorische Vorkehrungen auf Gruppenebene zu treffen. Das heißt, dass Prozesse sowie damit verbundene Aufgaben, Kompetenzen, Verantwortlichkeiten, Kontrollen sowie Kommunikationswege innerhalb der Gruppe klar zu definieren und aufeinander abzustimmen sind. An die Geschäftsleiter des übergeordneten Unternehmens ist zeitnah Bericht zu erstatten.
Das übergeordnete Unternehmen hat angemessene Risikosteuerungs- und -controllingprozesse einzurichten, die die gruppenangehörigen Unternehmen einbeziehen. Für die wesentlichen Risiken auf Gruppenebene sind regelmäßig angemessene Stresstests durchzuführen. Regelmäßige und ggf. anlassbezogene Stresstests sind auch für das Gesamtrisikoprofil auf Gruppenebene durchzuführen. Das übergeordnete Unternehmen hat sich in angemessenen Abständen über die Risikosituation der Gruppe zu informieren.
Die Konzernrevision hat im Rahmen des Risikomanagements auf Gruppenebene ergänzend zur Internen Revision der gruppenangehörigen Unternehmen tätig zu werden. Dabei kann die Konzernrevision auch die Prüfungsergebnisse der Internen Revisionen der gruppenangehörigen Unternehmen berücksichtigen. Es ist sicherzustellen, dass für die Konzernrevision und die Internen Revisionen der gruppenangehörigen Unternehmen Revisionsgrundsätze und Prüfungsstandards gelten, die eine Vergleichbarkeit der Prüfungsergebnisse gewährleisten. Des Weiteren sind die Prüfungsplanungen sowie die Verfahren zur Überwachung der fristgerechten Beseitigung von Mängeln aufeinander abzustimmen. Die Konzernrevision hat in angemessenen Abständen, mindestens aber vierteljährlich, an die Geschäftsleitung und das Aufsichtsorgan des übergeordneten Unternehmens über ihre Tätigkeit auf Gruppenebene in analoger Anwendung von BT 2.4 Tz. 4 zu berichten.
Das Institut hat sicherzustellen, dass die Geschäftsaktivitäten auf der Grundlage von Organisationsrichtlinien betrieben werden (z. B. Handbücher, Arbeitsanweisungen oder Arbeitsablaufbeschreibungen). Der Detaillierungsgrad der Organisationsrichtlinien hängt von Art, Umfang, Komplexität und Risikogehalt der Geschäftsaktivitäten ab.
Die Organisationsrichtlinien müssen schriftlich fixiert und den betroffenen Mitarbeitern in geeigneter Weise bekannt gemacht werden. Es ist sicherzustellen, dass sie den Mitarbeitern in der jeweils aktuellen Fassung zur Verfügung stehen. Die Richtlinien sind bei Veränderungen der Aktivitäten und Prozesse zeitnah anzupassen.
Regelungen hinsichtlich der Ausgestaltung der Risikosteuerungs- und
-controllingprozesse,
Regelungen zu den Verfahren, Methoden und Prozessen der Aggregation von Risikodaten (bei systemrelevanten Instituten),
Regelungen, die die Einhaltung rechtlicher Regelungen und Vorgaben (z. B. Datenschutz, Compliance) gewährleisten,
Regelungen zu Verfahrensweisen bei wesentlichen Auslagerungen,
abhängig von der Größe des Instituts sowie der Art, dem Umfang, der Komplexität und dem Risikogehalt der Geschäftsaktivitäten, einen Verhaltenskodex für die Mitarbeiter.
Geschäfts-, Kontroll- und Überwachungsunterlagen sind systematisch und für sachkundige Dritte nachvollziehbar abzufassen und grundsätzlich fünf Jahre aufzubewahren. Die Aktualität und Vollständigkeit der Aktenführung ist sicherzustellen.
Die für die Einhaltung dieses Rundschreibens wesentlichen Handlungen und Festlegungen sind nachvollziehbar zu dokumentieren. Dies beinhaltet auch Festlegungen hinsichtlich der Inanspruchnahme wesentlicher Öffnungsklauseln, die ggf. zu begründen ist.
Für IT-Risiken sind angemessene Überwachungs- und Steuerungsprozesse einzurichten, die insbesondere die Festlegung von IT-Risikokriterien, die Identifikation von IT-Risiken, die Festlegung des Schutzbedarfs, daraus abgeleitete Schutzmaßnahmen für den IT-Betrieb sowie die Festlegung entsprechender Maßnahmen zur Risikobehandlung und –minderung umfassen. Beim Bezug von Software sind die damit verbundenen Risiken angemessen zu bewerten.
Die Anforderungen aus AT 7.2 sind auch beim Einsatz von durch die Fachbereiche selbst entwickelten Anwendungen (Individuelle Datenverarbeitung - „IDV“) entsprechend der Kritikalität der unterstützten Geschäftsprozesse und der Bedeutung der Anwendungen für diese Prozesse zu beachten. Die Festlegung von Maßnahmen zur Sicherstellung der Datensicherheit hat sich am Schutzbedarf der verarbeiteten Daten zu orientieren.
1 Jedes Institut muss die von ihm betriebenen Geschäftsaktivitäten verstehen. Für die Aufnahme von Geschäftsaktivitäten in neuen Produkten oder auf neuen Märkten (einschließlich neuer Vertriebswege) ist vorab ein Konzept auszuarbeiten. Grundlage des Konzeptes müssen das Ergebnis der Analyse des Risikogehalts dieser neuen Geschäftsaktivitäten sowie deren Auswirkungen auf das Gesamtrisikoprofil sein. In dem Konzept sind die sich daraus ergebenden wesentlichen Konsequenzen für das Management der Risiken darzustellen.
Das Institut hat einen Katalog jener Produkte und Märkte vorzuhalten, die Gegenstand der Geschäftsaktivitäten sein sollen. In einem angemessenen Turnus ist zu überprüfen, ob die Produkte noch verwendet werden. Produkte, die über einen längeren Zeitraum nicht mehr Gegenstand der Geschäftstätigkeit waren, sind zu kennzeichnen. Der Abbau von Positionen ist davon unberührt. Das Auslaufen oder die Bestandsführung von Positionen begründet keine Produktverwendung. Vor der Wiederaufnahme der Geschäftstätigkeit in gekennzeichneten Produkten ist die Bestätigung der in die Arbeitsabläufe eingebundenen Organisationseinheiten über das Fortbestehen der beim letztmaligen Geschäftsabschluss vorherrschenden Geschäftsprozesse einzuholen. Bei Veränderungen ist zu prüfen, ob der Neu-Produkt-Prozess erneut zu durchlaufen ist.
Sowohl in die Erstellung des Konzeptes als auch in die Testphase sind die später in die Arbeitsabläufe eingebundenen Organisationseinheiten einzuschalten. Im Rahmen ihrer Aufgaben sind auch die Risikocontrolling-Funktion, die Compliance-Funktion und die Interne Revision zu beteiligen.
Soweit nach Einschätzung der in die Arbeitsabläufe eingebundenen Organisationseinheiten Aktivitäten in einem neuen Produkt oder auf einem neuen Markt sachgerecht gehandhabt werden können, ist die Ausarbeitung eines Konzeptes nach Tz. 1 und die Durchführung einer Testphase nach Tz. 4 nicht erforderlich.
Treten im Neu-Produkt-Prozess Häufungen von Fällen auf, bei denen
die in den Konzepten getroffenen Annahmen und die damit verbundenen Analysen des Risikogehalts der Aktivitäten in neuen Produkten oder auf neuen Märkten im Wesentlichen unzutreffend waren oder
die in den Konzepten und aus den Testphasen gezogenen Konsequenzen im Wesentlichen unzutreffend waren oder
gemäß Tz. 7 getroffene Einschätzungen, dass Aktivitäten in neuen Produkten oder auf neuen Märkten sachgerecht gehandhabt werden können, sich als unzutreffend erwiesen haben,
ist eine anlassbezogene Prüfung des Neu-Produkt-Prozesses durchzuführen. Bei Mängeln ist der Prozess unverzüglich anzupassen
Vor der Übernahme anderer Unternehmen oder Fusionen mit anderen Unternehmen hat das Institut ein Konzept zu erarbeiten, in dem die wesentlichen strategischen Ziele, die voraussichtlichen wesentlichen Konsequenzen für das Management der Risiken und die wesentlichen Auswirkungen auf das Gesamtrisikoprofil des Instituts beziehungsweise der Gruppe dargestellt werden. Dies umfasst auch die mittelfristig geplante Entwicklung der Vermögens-, Finanz- und Ertragslage, die voraussichtliche Höhe der Risikopositionen, die notwendigen Anpassungen der Risikosteuerungs- und –controllingprozesse und der IT-Systeme (inklusive der Datenaggregationskapazitäten) sowie die Darstellung wesentlicher rechtlicher Konsequenzen (Bilanzrecht, Steuerrecht etc.).
Eine Auslagerung liegt vor, wenn ein anderes Unternehmen mit der Wahrnehmung solcher Aktivitäten und Prozesse im Zusammenhang mit der Durchführung von Bankgeschäften, Finanzdienstleistungen oder sonstigen institutstypischen Dienstleistungen beauftragt wird, die ansonsten vom Institut selbst erbracht würden. Zivilrechtliche Gestaltungen und Vereinbarungen können dabei das Vorliegen einer Auslagerung nicht von vornherein ausschließen.
Das Institut muss auf der Grundlage einer Risikoanalyse eigenverantwortlich festlegen, welche Auslagerungen von Aktivitäten und Prozessen unter Risikogesichtspunkten wesentlich sind (wesentliche Auslagerungen). Diese ist auf der Grundlage von institutsweit bzw. gruppenweit einheitlichen Rahmenvorgaben sowohl regelmäßig als auch anlassbezogen durchzuführen. Die maßgeblichen Organisationseinheiten sind bei der Erstellung der Risikoanalyse einzubeziehen. Im Rahmen ihrer Aufgaben ist auch die Interne Revision zu beteiligen.
Grundsätzlich sind Aktivitäten und Prozesse auslagerbar, solange dadurch die Ordnungsmäßigkeit der Geschäftsorganisation gemäß § 25a Abs. 1 KWG nicht beeinträchtigt wird. Die Auslagerung darf nicht zu einer Delegation der Verantwortung der Geschäftsleitung an das Auslagerungsunternehmen führen. Die Leitungsaufgaben der Geschäftsleitung sind nicht auslagerbar. Besondere Maßstäbe für Auslagerungsmaßnahmen ergeben sich bei der vollständigen oder teilweisen Auslagerung der besonderen Funktionen Risikocontrolling-Funktion, Compliance-Funktion und Interne Revision. Besondere Maßstäbe können sich ferner aus spezialgesetzlichen Regelungen ergeben, wie z. B. bei Bausparkassen hinsichtlich der Kollektivsteuerung oder bei Pfandbriefbanken hinsichtlich der Deckungsregisterführung und der Deckungsrechnung.
Eine Auslagerung von Aktivitäten und Prozessen in Kontrollbereichen und Kernbankbereichen kann unter Beachtung der in Tz. 4 genannten Anforderungen in einem Umfang vorgenommen werden, der gewährleistet, dass hierdurch das Institut weiterhin über Kenntnisse und Erfahrungen verfügt, die eine wirksame Überwachung der vom Auslagerungsunternehmen erbrachten Dienstleistungen gewährleistet. Es ist sicherzustellen, dass bei Bedarf - im Falle der Beendigung des Auslagerungsverhältnisses oder der Änderung der Gruppenstruktur - der ordnungsmäßige Betrieb in diesen Bereichen fortgesetzt werden kann. Eine vollständige Auslagerung der besonderen Funktionen Risikocontrolling-Funktion, Compliance-Funktion oder Interne Revision ist lediglich für Tochterinstitute innerhalb einer Institutsgruppe zulässig, sofern das übergeordnete Institut Auslagerungsunternehmen ist und das Tochterinstitut sowohl hinsichtlich seiner Größe, Komplexität und dem Risikogehalt der Geschäftsaktivitäten für den nationalen Finanzsektor als auch hinsichtlich seiner Bedeutung innerhalb der Gruppe als nicht wesentlich einzustufen ist. Gleiches gilt für Gruppen, wenn das Mutterunternehmen kein Institut und im Inland ansässig ist. Eine vollständige Auslagerung der Compliance-Funktion oder der Internen Revision ist ferner nur bei kleinen Instituten möglich, sofern deren Einrichtung vor dem Hintergrund der Institutsgröße sowie der Art, des Umfangs, der Komplexität und des Risikogehalts der betriebenen Geschäftsaktivitäten nicht angemessen erscheint.
Das Institut hat bei wesentlichen Auslagerungen im Fall der beabsichtigten oder erwarteten Beendigung der Auslagerungsvereinbarung Vorkehrungen zu treffen, um die Kontinuität und Qualität der ausgelagerten Aktivitäten und Prozesse auch nach Beendigung zu gewährleisten. Für Fälle unbeabsichtigter oder unerwarteter Beendigung dieser Auslagerungen, die mit einer erheblichen Beeinträchtigung der Geschäftstätigkeit verbunden sein können, hat das Institut etwaige Handlungsoptionen auf ihre Durchführbarkeit zu prüfen und zu verabschieden. Dies beinhaltet auch, soweit sinnvoll und möglich, die Festlegung entsprechender Ausstiegsprozesse. Die Handlungsoptionen sind regelmäßig und anlassbezogen zu überprüfen.
Spezifizierung und ggf. Abgrenzung der vom Auslagerungsunternehmen zu erbringenden Leistung,
Festlegung angemessener Informations- und Prüfungsrechte der Internen Revision sowie externer Prüfer,
Sicherstellung der uneingeschränkten Informations- und Prüfungsrechte sowie der Kontrollmöglichkeiten der gemäß § 25b Absatz 3 KWG zuständigen Behörden bezüglich der ausgelagerten Aktivitäten und Prozesse,
Regelungen, die sicherstellen, dass datenschutzrechtliche Bestimmungen und sonstige Sicherheitsanforderungen beachtet werden,
Mit Blick auf Weiterverlagerungen sind möglichst Zustimmungsvorbehalte des auslagernden Instituts oder konkrete Voraussetzungen, wann Weiterverlagerungen einzelner Arbeits- und Prozessschritte möglich sind, im Auslagerungsvertrag zu vereinbaren. Zumindest ist vertraglich sicherzustellen, dass die Vereinbarungen des Auslagerungsunternehmens mit Subunternehmen im Einklang mit den vertraglichen Vereinbarungen des originären Auslagerungsvertrags stehen. Ferner haben die vertraglichen Anforderungen bei Weiterverlagerungen auch eine Informationspflicht des Auslagerungsunternehmens an das auslagernde Institut zu umfassen. Das Auslagerungsunternehmen bleibt im Falle einer Weiterverlagerung auf ein Subunternehmen weiterhin gegenüber dem auslagernden Institut berichtspflichtig.
Das Institut hat die mit wesentlichen Auslagerungen verbundenen Risiken angemessen zu steuern und die Ausführung der ausgelagerten Aktivitäten und Prozesse ordnungsgemäß zu überwachen. Dies umfasst auch die regelmäßige Beurteilung der Leistung des Auslagerungsunternehmens anhand vorzuhaltender Kriterien.
Für die Steuerung und Überwachung wesentlicher Auslagerungen hat das Institut klare Verantwortlichkeiten festzulegen. Soweit besondere Funktionen nach Maßgabe von Tz. 5 vollständig ausgelagert werden, hat die Geschäftsleitung jeweils einen Beauftragten zu benennen, der eine ordnungsgemäße Durchführung der jeweiligen Aufgaben gewährleisten muss. Die Anforderungen des AT 4.4 und BT 2 sind entsprechend zu beachten.
Koordination und Überprüfung der durch die zuständigen Bereiche durchgeführten Risikoanalyse gemäß Tz. 2.
Das zentrale Auslagerungsmanagement hat mindestens jährlich einen Bericht über die wesentlichen Auslagerungen zu erstellen und der Geschäftsleitung zur Verfügung zu stellen. Der Bericht hat unter Berücksichtigung der dem Institut vorliegenden Informationen bzw. der institutsinternen Bewertung der Dienstleistungsqualität der Auslagerungsunternehmen eine Aussage darüber zu treffen, ob die erbrachten Dienstleistungen der Auslagerungsunternehmen den vertraglichen Vereinbarungen entsprechen, die ausgelagerten Aktivitäten und Prozesse angemessen gesteuert und überwacht werden können und ob weitere risikomindernde Maßnahmen ergriffen werden sollen.
Jeder Geschäftsleiter kann im Rahmen seiner Krediteinzelkompetenz eigenständig Kreditentscheidungen treffen und auch Kundenkontakte wahrnehmen. Die aufbauorganisatorische Trennung der Bereiche Markt und Marktfolge bleibt davon unberührt. Zudem sind zwei Voten einzuholen, soweit dies unter Risikogesichtspunkten erforderlich sein sollte. Falls die im Rahmen einer Krediteinzelkompetenz getroffenen Entscheidungen von den Voten abweichen oder wenn sie vom Geschäftsleiter getroffen werden, der für den Bereich Marktfolge zuständig ist, sind sie im Risikobericht besonders hervorzuheben (BT 3.2 Tz. 3).
Das Institut hat Bearbeitungsgrundsätze für die Prozesse im Kreditgeschäft zu formulieren, die, soweit erforderlich, in geeigneter Weise zu differenzieren sind (z. B. nach Kreditarten). Darüber hinaus sind die vom Institut akzeptierten Sicherheitenarten sowie die Verfahren zur Wertermittlung, Verwaltung und Verwertung dieser Sicherheiten festzulegen. Bei der Festlegung der Verfahren zur Wertermittlung von Sicherheiten ist auf geeignete Wertermittlungsverfahren abzustellen.
Die für das Adressenausfallrisiko eines Kreditengagements bedeutsamen Aspekte sind herauszuarbeiten und zu beurteilen, wobei die Intensität dieser Tätigkeiten vom Risikogehalt des Engagements abhängt. Branchen- und ggf. Länderrisiken sind in angemessener Weise zu berücksichtigen. Kritische Punkte eines Engagements sind hervorzuheben und ggf. unter der Annahme verschiedener Szenarien darzustellen.
Bei Objekt-/Projektfinanzierungen ist im Rahmen der Kreditbearbeitung sicherzustellen, dass neben der wirtschaftlichen Betrachtung insbesondere auch die technische Machbarkeit und Entwicklung sowie die mit dem Objekt/Projekt verbundenen rechtlichen Risiken in die Beurteilung einbezogen werden. Dabei kann auch auf die Expertise einer vom Kreditnehmer unabhängigen sach- und fachkundigen Organisationseinheit zurückgegriffen werden. Soweit externe Personen für diese Zwecke herangezogen werden, ist vorher deren Eignung zu überprüfen. In unter Risikogesichtspunkten festzulegenden Abständen sind während der Entwicklungsphase des Projektes/Objektes Besichtigungen und Bautenstandskontrollen durchzuführen.
Bei Immobiliar-Verbraucherdarlehen sind auch zukünftige, als wahrscheinlich anzusehende Einkommensschwankungen in die Beurteilung der Kapitaldienstfähigkeit einzubeziehen. Alle für die Kreditgewährung relevanten Informationen sind vollständig zu dokumentieren und über die Laufzeit des Kredites aufzubewahren.
Die Werthaltigkeit und der rechtliche Bestand von Sicherheiten sind grundsätzlich vor der Kreditvergabe zu überprüfen. Der Wertansatz muss hinsichtlich wertbeeinflussender Umstände nachvollziehbar und in den Annahmen und Parametern begründet sein. Bei der Überprüfung der Werthaltigkeit kann auf bereits vorhandene Sicherheitenwerte zurückgegriffen werden, sofern keine Anhaltspunkte für Wertveränderungen vorliegen.
Entscheidet sich das Institut trotz Erfüllung der Kriterien für den Übergang in die Sanierung bzw. Abwicklung und trotz wesentlicher Leistungsstörungen für einen Verbleib in der Intensivbetreuung, ist sicherzustellen, dass das Adressenausfallrisiko des Kredits verringert oder begrenzt werden kann. Das Vorgehen ist mit den auf die Sanierung bzw. Abwicklung spezialisierten Mitarbeitern abzustimmen. Rechtliche Risiken sind dabei zu prüfen.
Zieht ein Institut die Begleitung einer Sanierung in Betracht, hat es sich ein Sanierungskonzept zur Beurteilung der Sanierungsfähigkeit des Kreditnehmers vorlegen zu lassen und auf dieser Grundlage ein eigenständiges Urteil darüber zu treffen, ob eine Sanierung erreicht werden kann.
Für den Fall der Abwicklung eines Engagements ist ein Abwicklungskonzept zu erstellen. In den Prozess der Verwertung der Sicherheiten sind Mitarbeiter oder ggf. externe Spezialisten mit entsprechenden Kenntnissen einzubeziehen.
In jedem Institut sind aussagekräftige Risikoklassifizierungsverfahren für die erstmalige beziehungsweise die turnusmäßige oder anlassbezogene Beurteilung der Adressenausfallrisiken sowie ggf. der Objekt-/Projektrisiken einzurichten. Es sind Kriterien festzulegen, die im Rahmen der Beurteilung der Risiken eine nachvollziehbare Zuweisung in eine Risikoklasse gewährleisten.
Die Klassifizierungsverfahren sind in angemessener Weise in die Prozesse des Kreditgeschäfts und ggf. die Kompetenzordnung einzubinden.
Geschäftsabschlüsse außerhalb der Geschäftsräume sind nur im Rahmen interner Vorgaben zulässig. Dabei sind insbesondere die Berechtigten, der Zweck, der Umfang und die Erfassung festzulegen. Für solche Handelsgeschäfte ist vom Kontrahenten eine unverzügliche fernschriftliche Bestätigung zu verlangen. Diese Handelsgeschäfte sind vom Händler unverzüglich in geeigneter Form dem eigenen Institut anzuzeigen, besonders zu kennzeichnen und dem zuständigen Geschäftsleiter beziehungsweise einer von ihm autorisierten Organisationseinheit zur Kenntnis zu bringen.
Für die Kontrolle der Marktgerechtigkeit von Geschäftsabschlüssen sind geeignete Verfahren, ggf. differenziert nach Handelsgeschäftsarten, einzurichten. Der für die Marktgerechtigkeitskontrolle zuständige Geschäftsleiter ist unverzüglich zu unterrichten, wenn abweichend von BTO 2.2.1 Tz. 2 Handelsgeschäfte zu nicht marktgerechten Bedingungen abgeschlossen werden.
Die Geschäfte sind unverzüglich auf die kreditnehmerbezogenen Limite anzurechnen. Die Einhaltung der Limite ist zu überwachen. Limitüberschreitungen und die deswegen ggf. getroffenen Maßnahmen sind festzuhalten. Ab einer unter Risikogesichtspunkten festgelegten Höhe sind Überschreitungen von Kontrahenten- und Emittentenlimiten den zuständigen Geschäftsleitern täglich anzuzeigen.
Das Institut hat eine angemessene Erfassung der Erlöse aus der Abwicklung von Kreditengagements sowie der zugehörigen historischen Werte der Kreditsicherheiten in einer Erlösquotensammlung zu gewährleisten. Die Erkenntnisse aus der Erlösquotensammlung sind bei der Steuerung der Adressenausfallrisiken angemessen zu berücksichtigen.
Es ist täglich ein Ergebnis für das Handelsbuch zu ermitteln. Die bestehenden Risikopositionen sind mindestens einmal täglich zum Geschäftsschluss zu Gesamtrisikopositionen zusammenzufassen.
Bei der Bestimmung der Zinsänderungsrisiken kann auf die Auswirkungen von Zinsänderungen auf das handelsrechtliche Ergebnis des Instituts oder die Markt- beziehungsweise Barwerte der betroffenen Positionen als primär steuerungsrelevantes Verfahren abgestellt werden. Die Auswirkungen aus der jeweils anderen Steuerungsperspektive sind angemessen zu berücksichtigen. Sofern sich hieraus weitergehende Zinsänderungsrisiken in bedeutendem Umfang ergeben, ist diesen im Rahmen der Risikosteuerungs- und -controllingprozesse sowie bei der Beurteilung der Risikotragfähigkeit Rechnung zu tragen. Bei einer Bestimmung über die Auswirkungen auf das handelsrechtliche Ergebnis ist eine angemessene Betrachtung über den Bilanzstichtag hinaus erforderlich.
Das Institut hat sicherzustellen, dass es seine Zahlungsverpflichtungen jederzeit erfüllen kann. Das Institut hat dabei, soweit erforderlich, auch Maßnahmen zur Steuerung des untertägigen Liquiditätsrisikos zu ergreifen. Es ist eine ausreichende Diversifikation der Refinanzierungsquellen und der Liquiditätspuffer zu gewährleisten. Konzentrationen sind wirksam zu überwachen und zu begrenzen.
Das Institut hat zu gewährleisten, dass ein sich abzeichnender Liquiditätsengpass frühzeitig erkannt wird. Hierfür sind Verfahren einzurichten, deren Angemessenheit regelmäßig, mindestens aber jährlich, zu überprüfen ist. Auswirkungen anderer Risiken auf die Liquidität des Instituts (z. B. Reputationsrisiken) sind bei den Verfahren zu berücksichtigen.
Das Institut hat für einen geeigneten Zeitraum eine oder mehrere aussagekräftige Liquiditätsübersichten zu erstellen, in denen die voraussichtlichen Mittelzuflüsse den voraussichtlichen Mittelabflüssen gegenübergestellt werden. Die Liquiditätsübersichten müssen geeignet sein, um die Liquiditätslage im kurz-, mittel- und langfristigen Bereich darzustellen. Dies hat sich in den getroffenen Annahmen, die den Mittelzu- und - abflüssen zugrunde liegen, und in der Untergliederung in Zeitbändern angemessen widerzuspiegeln. Den auch in normalen Marktphasen üblichen Schwankungen der Zahlungsflüsse ist in den Liquiditätsübersichten angemessen Rechnung zu tragen.
Es ist laufend zu überprüfen, inwieweit das Institut, auch bei angespanntem Marktumfeld, in der Lage ist, einen auftretenden Liquiditätsbedarf zu decken. Dabei ist insbesondere auch auf den Liquiditätsgrad der Vermögenswerte abzustellen. Der dauerhafte Zugang zu den für das Institut relevanten Refinanzierungsquellen ist regelmäßig zu überprüfen. Für kurzfristig eintretende Verschlechterungen der Liquiditätssituation hat das Institut ausreichend bemessene, nachhaltige Liquiditätspuffer (z. B. hochliquide, unbelastete Vermögensgegenstände) vorzuhalten.
Große Institute mit komplexen Geschäftsaktivitäten haben ein Liquiditätstransferpreissystem zur verursachungsgerechten internen Verrechnung der jeweiligen Liquiditätskosten, -nutzen und –risiken zu etablieren. Die ermittelten Transferpreise sind im Rahmen der Ertrags- und Risikosteuerung zu berücksichtigen, indem die Verrechnung möglichst auf Transaktionsebene erfolgt. Dies gilt für bilanzwirksame und außerbilanzielle Geschäftsaktivitäten. Die Aspekte Haltedauer und Marktliquidität der Vermögensgegenstände sind bei der Ermittlung der jeweiligen Transferpreise zu berücksichtigen. Für unsichere Zahlungsströme sind geeignete Annahmen zu treffen. Das Liquiditätstransferpreissystem hat auch die Kosten für vorzuhaltende Liquiditätspuffer zu verrechnen.
Für Liquiditätsrisiken sind regelmäßig angemessene Stresstests durchzuführen. Dabei sind sowohl institutseigene als auch marktweite Ursachen für Liquiditätsrisiken in die Betrachtung einzubeziehen. Darüber hinaus sind beide Aspekte kombiniert zu betrachten. Das Institut hat die Stresstests individuell zu definieren. Dabei sind den Stresstests unterschiedlich lange Zeithorizonte zugrunde zu legen. Das Institut hat in den Stressszenarien seinen voraussichtlichen Überlebenshorizont zu ermitteln.
Das Institut hat festzulegen, welche Maßnahmen im Fall eines Liquiditätsengpasses ergriffen werden sollen (Notfallplan für Liquiditätsengpässe). Dazu gehört auch die Darstellung der in diesen Fällen zur Verfügung stehenden Liquiditätsquellen unter Berücksichtigung etwaiger Mindererlöse. Die im Fall eines Liquiditätsengpasses zu verwendenden Kommunikationswege sind festzulegen. Die geplanten Maßnahmen sind regelmäßig auf ihre Durchführbarkeit zu überprüfen und ggf. anzupassen. Die Ergebnisse der Stresstests sind dabei zu berücksichtigen.
Das Institut hat einen internen Refinanzierungsplan aufzustellen, der die Strategien, den Risikoappetit und das Geschäftsmodell angemessen widerspiegelt. Der Planungshorizont hat einen angemessen langen, in der Regel mehrjährigen Zeitraum zu umfassen. Dabei ist zu berücksichtigen, wie sich Veränderungen der eigenen Geschäftstätigkeit oder der strategischen Ziele sowie Veränderungen des wirtschaftlichen Umfelds auf den Refinanzierungsbedarf auswirken. Möglichen adversen Entwicklungen, die von den Erwartungen abweichen, ist bei der Planung angemessen Rechnung zu tragen
Das Institut muss in der Lage sein, den erforderlichen Liquiditätsbedarf, der sich aus den institutsindividuellen Stressszenarien über den Zeithorizont von mindestens einem Monat ergibt, mit den nach BTR 3.1 Tz. 4 vorzuhaltenden Liquiditätspuffern zu überbrücken, die in BTR 3.2 Tz. 2 näher spezifiziert sind.
Zur Überbrückung des kurzfristigen Liquiditätsbedarfs von mindestens einer Woche hat das Institut neben Zentralbankgeld hochliquide Vermögensgegenstände vorzuhalten, die jederzeit ohne signifikante Wertverluste in privaten Märkten liquidiert werden können und zentralbankfähig sind. Für den weiteren Liquiditätsbedarf bis zum Ende des Zeithorizonts von mindestens einem Monat können andere Vermögensgegenstände als weitere Bestandteile der Liquiditätspuffer herangezogen werden, wenn diese ohne signifikante Wertverluste innerhalb des Zeithorizonts liquidiert werden können.
Das Institut hat Stressszenarien zu betrachten, nach denen auch die Liquiditätspuffer gemäß Tz. 1 zu bemessen sind. Im Rahmen der Stresstests sind zum einen Stressszenarien zu betrachten, die auf institutseigenen Ursachen beruhen. Zum anderen sind getrennt davon Stressszenarien zu betrachten, die auf marktweite Ursachen zurückzuführen sind. Darüber hinaus sind beide Aspekte kombiniert zu betrachten.
Ein Szenario, das auf institutseigenen Ursachen beruht, hat auch eine signifikante Ratingverschlechterung abzubilden, bei der mindestens folgende Annahmen zu berücksichtigen sind:
Keine Verlängerung von unbesicherter Refinanzierung durch institutionelle Anleger mindestens innerhalb der ersten Woche des Stressszenarios
Abzug eines Teils der Privatkundeneinlagen.
Allgemeiner Kursverfall von marktgängigen Vermögensgegenständen, insbesondere Wertpapieren,
Das Institut hat sicherzustellen, dass der Nutzung der Liquiditätspuffer keine rechtlichen, regulatorischen oder operationellen Restriktionen entgegenstehen. Die Diversifikation und die Aufteilung der Liquiditätspuffer auf verschiedene Jurisdiktionen müssen der Struktur und den Geschäftsaktivitäten des Instituts und der Gruppe entsprechen.
Das Institut hat den operationellen Risiken durch angemessene Maßnahmen Rechnung zu tragen. Für diese Zwecke ist eine institutsintern einheitliche Festlegung und Abgrenzung der operationellen Risiken vorzunehmen und an die Mitarbeiter zu kommunizieren.
Das Institut hat eine angemessene Erfassung von Schadensfällen sicherzustellen. Bedeutende Schadensfälle sind unverzüglich hinsichtlich ihrer Ursachen zu analysieren
Auf Basis der Risikoberichterstattung gemäß BT 3.2 Tz. 6 ist zu entscheiden, ob und welche Maßnahmen zur Beseitigung der Ursachen zu treffen oder welche Risikosteuerungsmaßnahmen (z. B. Versicherungen, Ersatzverfahren, Neuausrichtung von Geschäftsaktivitäten, Katastrophenschutzmaßnahmen) zu ergreifen sind. Die Umsetzung der zu treffenden Maßnahmen ist zu überwachen.
Mitarbeiter, die in anderen Organisationseinheiten des Instituts beschäftigt sind, dürfen grundsätzlich nicht mit Aufgaben der Internen Revision betraut werden. Das schließt jedoch nicht aus, dass in begründeten Einzelfällen andere Mitarbeiter aufgrund ihres Spezialwissens zeitweise für die Interne Revision tätig werden. Beim Wechsel von Mitarbeitern anderer Organisationseinheiten zur Internen Revision sind angemessene Übergangsfristen von in der Regel mindestens einem Jahr vorzusehen, innerhalb derer diese Mitarbeiter keine Tätigkeiten prüfen dürfen, die gegen das Verbot der Selbstprüfung und -überprüfung verstoßen. Erleichterungen hinsichtlich der Übergangsfristen sind für Institute in Abhängigkeit von der Art, dem Umfang, der Komplexität und dem Risikogehalt der betriebenen Geschäftsaktivitäten möglich.
Die Tätigkeit der Internen Revision muss auf einem umfassenden und jährlich fortzuschreibenden Prüfungsplan basieren. Die Prüfungsplanung hat risikoorientiert zu erfolgen. Die Aktivitäten und Prozesse des Instituts sind, auch wenn diese ausgelagert sind, in angemessenen Abständen, grundsätzlich innerhalb von drei Jahren, zu prüfen. Wenn besondere Risiken bestehen, ist jährlich zu prüfen. Bei unter Risikogesichtspunkten nicht wesentlichen Aktivitäten und Prozessen kann vom dreijährigen Turnus abgewichen werden. Die Risikoeinstufung der Aktivitäten und Prozesse ist regelmäßig zu überprüfen
Die Risikobewertungsverfahren der Internen Revision haben eine Analyse des Risikopotenzials der Aktivitäten und Prozesse unter Berücksichtigung absehbarer Veränderungen zu beinhalten. Dabei sind die verschiedenen Risikoquellen und die Manipulationsanfälligkeit der Prozesse durch Mitarbeiter angemessen zu berücksichtigen.
Die Prüfungsplanung, -methoden und -qualität sind regelmäßig und anlassbezogen auf Angemessenheit zu überprüfen und weiterzuentwickeln.
Über jede Prüfung muss von der Internen Revision zeitnah ein schriftlicher Bericht angefertigt und grundsätzlich den fachlich zuständigen Mitgliedern der Geschäftsleitung vorgelegt werden. Der Bericht muss insbesondere eine Darstellung des Prüfungsgegenstandes und der Prüfungsfeststellungen, ggf. einschließlich der vorgesehenen Maßnahmen, enthalten. Wesentliche Mängel sind besonders herauszustellen. Dabei sind die Prüfungsergebnisse zu beurteilen. Bei schwerwiegenden Mängeln muss der Bericht unverzüglich der Geschäftsleitung vorgelegt werden.
Die Interne Revision hat zeitnah einen Quartalsberichtbericht über die von ihr seit dem Stichtag des letzten Quartalsberichts durchgeführten Prüfungen zu verfassen und zeitnah der Geschäftsleitung und dem Aufsichtsorgan vorzulegen. Der Quartalsbericht muss über die wesentlichen oder höher eingestuften Mängel, die beschlossenen Maßnahmen sowie den Status dieser Maßnahmen informieren. Es ist ferner darzulegen, ob und inwieweit die Vorgaben des Prüfungsplans eingehalten wurden. Die Interne Revision hat außerdem über die im Jahresablauf festgestellten schwerwiegenden sowie über die noch nicht behobenen wesentlichen Mängel in inhaltlich prägnanter Form an die Geschäftsleitung und das Aufsichtsorgan zu berichten (Jahresbericht). Die aufgedeckten schwerwiegenden Mängel, die beschlossenen Maßnahmen sowie der Status dieser Maßnahmen sind dabei besonders hervorzuheben. Über besonders schwerwiegende Mängel hat die Interne Revision unverzüglich zu berichten.
Die Geschäftsleitung hat sich regelmäßig über die Risikosituation berichten zu lassen. Die Risikoberichterstattung ist in nachvollziehbarer, aussagefähiger Art und Weise zu verfassen. Sie hat neben einer Darstellung auch eine Beurteilung der Risikosituation zu enthalten. Die Berichte müssen auf vollständigen, genauen und aktuellen Daten beruhen. Die Risikoberichte müssen auch eine zukunftsorientierte Risikoeinschätzung abgeben und sich nicht ausschließlich auf aktuelle und historische Daten stützen. In die Risikoberichterstattung sind bei Bedarf auch Handlungsvorschläge, z. B. zur Risikoreduzierung, aufzunehmen
In den Risikoberichten sind insbesondere auch die Ergebnisse der Stresstests und deren potenzielle Auswirkungen auf die Risikosituation und das Risikodeckungspotenzial darzustellen. Ebenfalls darzustellen sind die den Stresstests zugrunde liegenden wesentlichen Annahmen. Darüber hinaus ist auch auf Risikokonzentrationen und deren potenzielle Auswirkungen gesondert einzugehen.
Neben der turnusmäßigen Erstellung von Risikoberichten (Gesamtrisikobericht, Berichte über einzelne Risikoarten) muss das Institut in der Lage sein, ad hoc Risikoinformationen zu generieren, sofern dies aufgrund der aktuellen Risikosituation des Instituts oder der aktuellen Situation der Märkte, auf denen das Institut tätig ist, geboten erscheint.
Die Risikoberichte sind in einem zeitlich angemessenen Rahmen zu erstellen, der eine aktive und zeitnahe Steuerung der Risiken auf der Basis der Berichte ermöglicht, wobei die Produktionszeit auch von der Art und der Volatilität der Risiken abhängt.
Die Geschäftsleitung hat das Aufsichtsorgan mindestens vierteljährlich über die Risikosituation in angemessener Weise schriftlich zu informieren. Die Berichterstattung ist in nachvollziehbarer, aussagefähiger Art und Weise zu verfassen und hat neben der Darstellung auch eine Beurteilung der Risikosituation zu enthalten. Auf besondere Risiken für die Geschäftsentwicklung und dafür geplante Maßnahmen der Geschäftsleitung ist gesondert einzugehen. Für das Aufsichtsorgan unter Risikogesichtspunkten wesentliche Informationen sind von der Geschäftsleitung unverzüglich weiterzuleiten. Hierfür hat die Geschäftsleitung gemeinsam mit dem Aufsichtsorgan ein geeignetes Verfahren festzulegen.
Die Risikocontrolling-Funktion hat regelmäßig, mindestens aber vierteljährlich, einen Gesamtrisikobericht über die als wesentlich eingestuften Risikoarten zu erstellen und der Geschäftsleitung vorzulegen. Mit Blick auf die einzelnen als wesentlich eingestuften Risikoarten kann in Abhängigkeit von der Risikoart, der Art, dem Umfang, der Komplexität, dem Risikogehalt und der Volatilität der jeweiligen Positionen sowie der Marktentwicklung auch eine monatliche, wöchentliche oder tägliche Berichterstattung über einzelne Risikoarten erforderlich sein.
Der Gesamtrisikobericht hat neben den wesentlichen Informationen zu den einzelnen als wesentlich eingestuften Risikoarten, den Stresstestergebnissen und Informationen zu den Risikokonzentrationen auch Angaben zur Angemessenheit der Kapitalausstattung, zum aufsichtsrechtlichen und ökonomischen Kapital, zu den aktuellen Kapital- und Liquiditätskennzahlen sowie zu Refinanzierungspositionen zu enthalten. Ferner sind auch Prognosen zur Entwicklung der Kapital- und Liquiditätskennzahlen und der Refinanzierungspositionen aufzunehmen.
In regelmäßigen Abständen, mindestens aber vierteljährlich, ist ein Risikobericht über die Adressenausfallrisiken, in dem die wesentlichen strukturellen Merkmale des Kreditgeschäfts enthalten sind, zu erstellen und der Geschäftsleitung zur Verfügung zu stellen. Der Risikobericht hat die folgenden Informationen zu umfassen:
den Umfang der vergebenen Limite und externen Linien; ferner sind Großkredite und sonstige bemerkenswerte Engagements (z. B. Sanierungs- und Abwicklungskredite von wesentlicher Bedeutung, Kredite in der Intensivbetreuung von wesentlicher Bedeutung) aufzuführen und ggf. zu kommentieren,
ggf. eine gesonderte Darstellung der Länderrisiken,
getroffene Kreditentscheidungen von wesentlicher Bedeutung, die von den Strategien abweichen, und
In regelmäßigen Abständen, mindestens aber vierteljährlich, ist ein Risikobericht über die vom Institut insgesamt eingegangenen Marktpreisrisiken einschließlich der Zinsänderungsrisiken zu erstellen und der Geschäftsleitung zur Verfügung zu stellen. Der Bericht hat unter Einbeziehung der internen Handelsgeschäfte folgende Informationen zu umfassen:
Die nach BTR 2.2 Tz. 3 zu ermittelnden Gesamtrisikopositionen und Ergebnisse und die Limitauslastungen sind zeitnah am nächsten Geschäftstag dem für das Risikocontrolling zuständigen Geschäftsleiter zu berichten. Die Meldung ist mit dem Handelsbereich abzustimmen.
Die Berichtspflichten aus BTO 2.2.1 Tz. 2 Buchstabe d (bedeutende Handelsgeschäfte zu nicht marktgerechten Bedingungen) bleiben unberührt.
Es ist regelmäßig, mindestens aber vierteljährlich, ein Risikobericht über die Liquiditätsrisiken und die Liquiditätssituation zu erstellen und der Geschäftsleitung zur Verfügung zu stellen. Im Risikobericht sind auch die Ergebnisse der Stresstests und wesentliche Änderungen des Notfallplans für Liquiditätsengpässe darzustellen. Auf besondere Liquiditätsrisiken aus außerbilanziellen Gesellschaftskonstruktionen und aus verschiedenen Fremdwährungen sowie auf etwaige untertägige Liquiditätsrisiken ist gesondert einzugehen. Systemrelevante Institute sowie kapitalmarktorientierte Institute haben den Risikobericht über die Liquiditätsrisiken und die Liquiditätssituation mindestens monatlich zu erstellen. Dabei ist zusätzlich über die Höhe, die Qualität und die Zusammensetzung der Liquiditätspuffer zu berichten.
Die Geschäftsleitung ist mindestens jährlich über bedeutende Schadensfälle und wesentliche operationelle Risiken zu unterrichten. Die Berichterstattung hat die Art des Schadens beziehungsweise Risikos, die Ursachen, das Ausmaß des Schadens beziehungsweise Risikos und ggf. bereits getroffene Gegenmaßnahmen zu umfassen.
Die Geschäftsleitung ist mindestens vierteljährlich über die sonstigen vom Institut als wesentlich identifizierten Risiken zu unterrichten. Die Berichterstattung hat dabei das jeweilige Risiko, die Ursachen, die möglichen Implikationen sowie ggf. bereits getroffene Gegenmaßnahmen zu umfassen. Aus den Berichten muss hervorgehen, wie sich die aktuelle Risikosituation darstellt und ggf. mit welchen Maßnahmen diesen Risiken begegnet wurde bzw. begegnet werden kann.
Format: Anlage MaRisk - Anschreiben an die Verbände (PDF, 236KB, nicht barrierefrei)
Format: Anlage Anlage 1: Erläuterungen zu den MaRisk (PDF, 823KB, nicht barrierefrei)
Format: Rundschreiben Anlage 2: Endfassung 2017 im Überarbeitungsmodus (PDF, 901KB, nicht barrierefrei)
Format: Rundschreiben Rundschreiben 09/2017 (BA) - MaRisk (PDF-Version) (PDF, 288KB, nicht barrierefrei)
Webcode https://www.bafin.de/dok/10149454

References: § 25
 § 25
 § 25
 Art. 97
 § 10
 § 10
 § 25
 § 25
 § 25