Source: https://www.adgonline.de/adg_online/Finanzgruppe/Newsletter/2018/Februar%202018/aufsichtsrechtliche-entwicklungen/
Timestamp: 2018-03-19 00:51:20
Document Index: 266494071

Matched Legal Cases: ['§ 25', '§ 25', '§ 2', '§ 25', '§ 25', '§ 25', '§ 1', '§ 25', '§ 25']

Diese neuen aufsichtsrechtlichen Trends müssen Sie kennen! - ADG
FinanzgruppeNewsletterFebruar 2018Diese neuen aufsichtsrechtlichen Trends müssen Sie kennen!
ADG-Infoservice
Die Schlagzahl der aufsichtsrechtlichen Neuerungen bleibt weiterhin hoch. Damit Sie den Überblick behalten können, fassen wir die wichtigsten Entwicklungen in der Regulatorik kurz und prägnant zusammen. Wir geben Ihnen einen Überblick darüber, welche Entscheidungen, Regelungen und Konzeptionen wichtig für Ihre tägliche Praxis werden. So ist beispielsweise im Januar 2018 im BaFin Journal der Artikel „IT-Sicherheit – Aufsicht konkretisiert Anforderungen an die Kreditwirtschaft“ erschienen. Wir haben Ihnen die wichtigsten Informationen zusammengefasst.
Basel III – Ausschuss einigt sich auf neue und verschärfte Regeln
Anforderungen an Geschäftsleiter – BaFin passt Entscheidungsmaßstäbe für die Bestellung von IT-Spezialisten zu Geschäftsleitern an
BAIT – Artikel im BaFin Journal Januar 2018
Im November des vergangenen Jahres hat die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) die Bankaufsichtlichen Anforderungen an die IT (BAIT) veröffentlicht. Hierüber haben wir bereits mit unserem Infoservice – November 2017 informiert. Im BaFin Journal vom Januar 2018 ist nun der Artikel „IT-Sicherheit – Aufsicht konkretisiert Anforderungen an die Kreditwirtschaft“ erschienen, aus dem wir die wichtigsten Informationen für Sie zusammengefasst haben.
Der BaFin-Artikel verdeutlicht, dass die BAIT als zentraler Baustein der IT-Aufsicht für Kredit- und Finanzdienstleistungsinstitute in Deutschland anzusehen sind und sich an die Geschäftsleitungen richten. Die BAIT interpretieren – gemeinsam mit den Mindestanforderungen an das Risikomanagement (MaRisk) – die gesetzlichen Anforderungen des § 25a Abs. 1 Satz 3 Nr. 4 und 5 und des § 25b des Kreditwesengesetzes (KWG). Die BAIT enthalten insbesondere Themen, bei denen die Aufsicht im Rahmen von IT-Prüfungen in den vergangenen Jahren wesentliche Mängel festgestellt hat:
IT-Strategie (AT 4.2 MaRisk), IT-Berichtswesen, Datenqualität (u. A. AT 4.3.2 Tz. 2 und AT 7.2 TZ 2 MaRisk)
IT-Organisation, IT-Auslagerung (AT 9 MaRisk)
Informationsrisikomanagement (AT 4.3.2 i. V. m. BTR 4 MaRisk)
Benutzerberechtigungen (AT 7.2 TZ. 2. i. V. m. AT 4.3.1 TZ. 2 MaRisk)
Anwendungsentwicklung (AT 7.2 TZ. 2 bis 5 MaRisk)
IT-Notfallmanagement (AT 7.3 MaRisk)
IT-Revision (AT 4.4.3, BT 2)
Die BAIT sollen den Banken helfen, in Bezug auf die IT eine ordnungsgemäße Geschäftsorganisation sicherzustellen. Dabei können die BAIT nicht als vollständiger Anforderungskatalog angesehen werden. Die Banken haben gemäß AT 7.2 MaRisk die Pflicht, bei der Umsetzung der BAIT-Anforderungen auf gängige Standards abzustellen. Der Grundsatz der doppelten Proportionalität gilt auch uneingeschränkt für die BAIT. So sollen die Steuerungsinstrumente einer Bank und die Intensität der Überwachung durch die Aufsicht proportional zu den Risiken der Bank sein.
Eines der Ziele, welches die deutsche Bankenaufsicht mit den BAIT verbindet, ist die Schärfung des IT-Risikobewusstseins in den Instituten und hier besonders in den Führungsebenen. Unter IT-Risiken fasst die Aufsicht alle aufgrund von Mängeln entstehende Risiken für die Vermögens- und Ertragslage der Institute, die das IT-Management beziehungsweise die IT-Steuerung, die Verfügbarkeit, Vertraulichkeit, Integrität und Authentizität der Daten, das interne Kontrollsystem der IT-Organisation, die IT-Strategie, -Leitlinien und Aspekte der Geschäftsordnung oder den Einsatz von Informationstechnologie betreffen.
Die Anforderungen an die IT-Strategie formulieren die BAIT dahingehend aus, dass sich die Geschäftsleitung mit den strategischen Implikationen der verschiedenen Aspekte der IT für die Geschäftsstrategie regelmäßig auseinandersetzt. Hierzu gehören nicht nur die Aufbau- und Ablauforganisation der IT sowie die Auslagerung von IT-Dienstleistungen, sondern auch der strategische Umgang mit der individuellen Datenverarbeitung (IDV) in den Fachbereichen. Die Aufsicht betont in ihren Ausführungen, dass durch die Festlegung der IT-Strategie (sowie der daraus abzuleitenden Maßnahmen zu deren Erreichung), Klarheit über die Bedeutung der IT für die Durchführung der Bankgeschäfte geschaffen werde, die für das IT-Risikobewusstsein notwendig sei.
Die Geschäftsleitung muss ebenfalls dafür Sorge tragen, dass die Regelungen der IT- Governance institutsintern und gegenüber Dritten wirksam umgesetzt werden. Weiter muss sie dafür sorgen, dass das Informationsrisiko sowie das Informationssicherheitsmanagement, der IT-Betrieb und die Anwendungsentwicklung angemessen mit Personal ausgestattet sind.
Im Zuge des Managements der Informationsrisiken haben die Institute den jeweiligen Schutzbedarf festzustellen, anschließend Sollmaßnahmen festzulegen und diese mit den wirksam umgesetzten Maßnahmen zu vergleichen.
Die Geschäftsleitung ist auch dafür verantwortlich, dass unter Berücksichtigung der Risikosituation, eine Informationssicherheitslinie beschlossen und intern veröffentlicht wird. Die definierten Schutzbedarfe, welche es im Rahmen des Informationsrisikomanagements festzulegen gilt, sind durch Informationssicherheitsrichtlinien zu konkretisieren. Der Informationssicherheitsbeauftragte ist, so die Aufsicht, das zentrale Element für die Einhaltung und Überwachung der Informationssicherheit innerhalb des Instituts und gegenüber Dritten. Sie ist organisatorisch und prozessual unabhängig auszugestalten, so dass gewährleistet ist, dass die Bewertung der Informationssicherheit frei von Interessenkonflikten erfolgen kann.
Das Berechtigungskonzept, welches im Rahmen des Berechtigungsmanagements schriftlich festzulegen ist, muss nach dem Need-to-Know-Prinzip ausgestaltet sein. Dieses besagt, dass nur Berechtigungen einzurichten sind, die für die Erfüllung einer konkreten Aufgabe benötigt werden.
Die Risiken bei IT-Projekten sind bei der Steuerung und Überwachung insbesondere im Hinblick auf die Dauer, den Ressourcenverbrauch und die Qualität zu berücksichtigen. Die Geschäftsleitung muss sicherstellen, dass eine Gesamtübersicht der IT-Projektrisiken und der Risiken erstellt wird, die sich aus den Abhängigkeiten verschiedener Projekte untereinander ergeben. Bei der Entwicklung von Anwendungen sind Vorkehrungen zu treffen, die die Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität der in diesem Programm zu verarbeitenden Daten sicherstellen. Nach Ansicht der BaFin sei es sinnvoll, IDV-Anwendungen, welche die Fachbereiche entwickeln bzw. betreiben, in Risikoklassen einzuteilen. Die Aufsicht erwartet zusätzlich ein zentrales Register, in dem alle IDV-Anwendungen, die insbesondere für bankgeschäftliche Prozesse, für die Risikosteuerung und -überwachung oder für Zwecke der Rechnungslegung von Bedeutung sind, aufgenommen werden.
Die Berücksichtigung von Risiken, die aus veralteten IT-Systemen resultieren, soll zur Stärkung des IT-Risikobewusstseins beitragen. Dies macht ein Produktlebenszyklus-Management allerdings nur möglich, wenn die Komponenten der IT-Systeme inklusive der Bestandsangaben entsprechend verwaltet werden. Hierfür sollen die Institute grundsätzlich ein Configuration Management Database (CMDB) nutzen.
Um das IT-Risiko angemessen steuern zu können, sind geeignete Kriterien für die Information der Geschäftsleitung über ungeplante Abweichungen vom Regelbetrieb (Störungen), deren Ursachen, über die eingesetzten Notfallmaßnahmen zur Aufrechterhaltung bzw. Wiederherstellung des Geschäftsbetriebes und über die Beseitigung der Mängel durch die Institute festzulegen.
Auslagerungen von IT-Dienstleistungen haben die Anforderungen nach AT 9 MaRisk zu erfüllen und sind mit einer Risikoanalyse zu bewerten. Auch die Risiken aus einem sonstigen Fremdbezug von IT-Dienstleistungen sind zu bewerten. Nur dadurch sei laut BaFin gewährleistet, dass die vollständige Risikosituation ermittelt werde bzw. Konzentrationsrisiken bei den IT-Dienstleistungen erkannt werden. Die aus der Risikoanalyse abgeleiteten Maßnahmen fließen in die Gestaltung der Verträge ein.
Der vorliegende Artikel gibt auch einen Ausblick auf mögliche Anpassungen der BAIT durch die Aufsicht. So werde aktuell geprüft, ob die wesentlichen Elemente der Cybersicherheit, die die G-7-Staaten im Oktober 2016 veröffentlich haben, durch Anpassungen der BAIT umgesetzt werden können.
Weiterhin wird die BaFin gegebenenfalls in Zusammenarbeit mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) ein spezielles Modul für Betreiber Kritischer Infrastrukturen im Sinne des § 2 Abs. 10 BSI-Gesetz in die BAIT aufnehmen. In Planung sei bereits die Ergänzung der BAIT um das Thema IT-Notfallmanagement inklusive Test- und Wiederherstellungsverfahren.
Hier laden Sie den vollständigen BaFin-Artikel herunter
Nach mehrjährigen Verhandlungen hat der Baseler Ausschuss für Bankenaufsicht Ende 2017 Änderungen und Verschärfungen der internationalen Aufsichtsregeln für Banken gebilligt. Vorausgegangen waren monatelange Streitigkeiten zwischen Europäern und den Amerikanern, die sich Ende des vergangenen Jahres auf einen Kompromiss einigten. Hauptstreitpunkt ist die Frage gewesen, wie Banken ihre Kreditrisiken kalkulieren und mit wie viel Eigenkapital die Geschäfte abgesichert werden müssen. Verwenden Großbanken hierfür meist interne Modelle, nutzen die Kreditinstitute für ihre Berechnungen häufig den vom Baseler Ausschuss vorgegebenen Standardansatz. Bis zuletzt wurde in Verhandlungen darum gerungen, um wie viel Prozent der intern ermittelte Wert vom Standardansatz ((„Output-Floor“) abweichen darf. Die neuen Regelungen sehen vor, dass die Abweichung nach unten höchstens 27,5 Prozent betragen darf.
Sollten die neuen Regelungen ursprünglich bereits ab 2019 angewendet werden, wird die Überarbeitung von Basel III nach den neuen Vereinbarungen nun schrittweise ab Januar 2022 greifen. Eine vollumfängliche Umsetzung der neuen Regelungen erfolgt erst nach fünf Jahren.
Das Abkommen wird Gegenstand einer Konsultation durch die EU-Kommission sein, wodurch die Folgen für die EU-Wirtschaft bewertet werden sollen, bevor die Umsetzung in europäisches Recht erfolgt. In der EU wird die Umsetzung über die Eigenkapitalverordnung und die Eigenkapitalrichtlinie erfolgen.
Aufgrund der fortschreitenden Digitalisierung hat die Informationstechnik für die Risikolage von Kreditinstituten und Versicherungsunternehmen eine überragende Bedeutung entwickelt, so die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) in einem Artikel im BaFin Journal vom Dezember 2017. Damit Banken und Versicherungsunternehmen die Herausforderungen der Digitalisierung bewältigen können, hat die BaFin ihre Verwaltungspraxis in Bezug auf die erforderlichen praktischen Erfahrungen von Geschäftsleitern angepasst. Mit dieser Anpassung möchte die Aufsicht mehr Raum für die Bestellung von IT-Spezialisten zu Geschäftsleitern schaffen.
Fachliche Eignung von Geschäftsleitern
Die Anforderungen an die fachliche Eignung von Geschäftsleitern sind in § 25c Abs. 1 Kreditwesengesetz (KWG) abstrakt unter Verwendung von unbestimmten Rechtsbegriffen geregelt, wodurch die Eignung auslegungsfähig ist und immer auf das konkrete Kreditinstitut bezogen unter Berücksichtigung der Proportionalität beurteilt wird. Die gesetzlichen Regelungen werden durch ein Merkblatt der BaFin aus dem Jahr 2016 weiter konkretisiert.
Die fachliche Eignung besteht demnach aus den drei Komponenten:
praktische Kenntnisse und
Wenn die Regelvermutung des § 25c Abs. 1 Satz 3 nicht greift - wonach das Vorliegen der fachlichen Eignung regelmäßig anzunehmen ist, wenn eine dreijährige leitende Tätigkeit bei einem Institut von vergleichbarer Größe und Geschäftsart nachgewiesen werden kann - beurteilt die BaFin die fachliche Eignung einer Person als Geschäftsleiter im Rahmen einer umfassenden Einzelfallprüfung.
Theoretische und praktische Kenntnisse müssen gemäß § 25c Abs. 1 Satz 2 KWG in den „betreffenden Geschäften“ gegeben sein. Dies sind bei Kreditinstituten ausschließlich Bankgeschäfte im Sinne des § 1 Abs. 1 KWG. Die Aufsicht führt in dem Artikel weiter aus, dass zukünftig im Rahmen der Einzelfallprüfung der fachlichen Eignung, die Anforderungen an den Zeitraum angepasst werden können. In geeigneten Fällen kann der Zeitraum, in dem der Geschäftsleiter vor Amtsantritt bank- bzw. versicherungspraktische Erfahrungen erworben haben muss, auf sechs Monate reduziert werden. Die Aufsicht schreibt weiter, dass der angehende Geschäftsleiter diesen Zeitraum nutzen sollte, um die theoretischen Kenntnisse in Bankgeschäften auszubauen und zu vertiefen. Beim Amtsantritt müssen die Anforderungen der fachlichen Eignung dann vorliegen. Um erleichterte Anforderungen an die praktischen Erfahrungen zu rechtfertigen, müssen IT-Ressortverantwortliche profunde theoretische und praktische Kenntnisse im IT-Bereich vorweisen. Diese können, so die Aufsicht, durch einschlägige akademische Qualifikationen und Berufserfahrung nachgewiesen werden.
Gesamtverantwortung aller Geschäftsleiter
Die Aufsicht führt in ihrem Artikel weiter aus, dass dieser flexiblen Anpassung der Anforderungen durch die Gesamtverantwortung der Geschäftsleiter Grenzen gesetzt werden. Auch wenn jeder Geschäftsleiter zunächst die volle Verantwortung für sein Aufgabengebiet hat, muss er sich im Rahmen der Gesamtverantwortung des Gremiums immer dann einschalten und auf Abhilfe hinwirken, wenn Anhaltspunkte für Missstände im Aufgabenbereich eines anderen Geschäftsleiters bestehen. Hierfür müssen natürlich ausreichend theoretische und praktische Kenntnisse in dem vom Unternehmen betriebenen Bankgeschäften vorhanden sein, damit der Geschäftsleiter überhaupt in die Lage versetzt wird, diesen Anforderungen gerecht zu werden.
Die kollektive Eignung des Vorstandsgremiums gewinnt vor dem Hintergrund der geänderten Verwaltungspraxis stärker an Bedeutung. Der Artikel verdeutlicht, dass die BaFin ein spezielles Augenmerkt auf die hinreichende Qualifikation des Gesamtorgans legen und dabei auch auf das Vier-Augen-Prinzip achten wird. Dies bedeutet, dass die Kompetenzen in originären Bankgeschäften im Gesamtorgan nicht nur bei einem Geschäftsleiter vorhanden sein dürfen. Die Bestellung eines Geschäftsleiters, der ausschließlich für die IT zuständig sein soll, ist daher grundsätzlich leichter in Betracht zu ziehen, wenn die Geschäftsleitung aus mehr als drei Personen besteht, die ebenfalls über fundierte Kenntnisse in Bankgeschäften verfügt.
Hier laden Sie den vollständigen BaFin-Artikel vom Dezember 2017 herunter
Die individuelle ADG-Beratung zur Geschäftsleiterqualifikation gemäß § 25c Abs. 1 KWG
Gerade der Wechsel in ein Vorstandsamt bringt besondere Herausforderungen und damit ganz spezielle Fragen sowie Weiterbildungsanforderungen mit sich. Daher unterstützen wir Sie mit unserer individuellen ADG-Beratung zur Geschäftsleiterqualifikation gemäß § 25c Abs. 1 KWG.
Unsere erfahrenen Ansprechpartner stehen Ihnen für Fragen rund um die Geschäftsleiterqualifikation sowie geeigneten Angeboten im Rahmen des Wechsels in den Vorstand zur Verfügung.
Gern unterstützen wir Sie in einem persönlichen und vertraulichen Gespräch – natürlich kostenfrei.
Produktmanager für: ADG-Individual
Produktmanager für: Interne Revision, Rechtliche Fragen des Bankgeschäfts
Nachfolgend haben wir Ihnen alle Seminare mit rechtlichem und aufsichtsrechtlichem Bezug aufgelistet, die wir im ersten Halbjahr 2018 in unserem Angebot haben.
2018-03-21 00:00:00.0 Führungskräfte
Seminar SB118-1568
2018-04-25 00:00:00.0-2018-04-26 00:00:00.0 Führungskräfte und Spezialisten
Seminar SB118-0638
Veröffentlichung der neuen MaRisk 6.0 durch die Bankenaufsicht
2018-04-27 00:00:00.0 Führungskräfte
Seminar SB118-1562
2018-05-07 00:00:00.0-2018-05-08 00:00:00.0 Vorstände
Seminar SB118-0630
2018-05-16 00:00:00.0-2018-05-17 00:00:00.0 Spezialisten
Seminar SB118-1582
2018-05-17 00:00:00.0 Vorstände
Seminar SB118-1391
Compliance für Vorstände in Genossenschaftsbanken
2018-05-18 00:00:00.0 Vorstände
Seminar SB118-1585
Sicher entscheiden! 13. Update Kreditwissen für Vorstände
2018-06-04 00:00:00.0-2018-06-08 00:00:00.0 Vorstände
Seminar SB118-0624
Die neue AnaCredit Verordnung
2018-06-07 00:00:00.0-2018-06-08 00:00:00.0 Führungskräfte und Spezialisten
Seminar SB118-1609
6. Zertifizierter Spezialist Meldewesen ADG
2018-06-18 00:00:00.0-2018-11-30 00:00:00.0 Führungskräfte
Qualifizierungsprogramme SRB118-071