Umsetzungsleitfaden MaRisk 06/2026 (BA): Änderungen und Handlungsbedarf

Der vorliegende Umsetzungsleitfaden analysiert die Änderungen der MaRisk 06/2026 (BA) und leitet daraus konkrete Handlungsempfehlungen („Action Points“) ab. Ziel des Leitfadens ist es, eine strukturierte und risikoorientierte Gap-Analyse zu unterstützen und den institutsspezifischen Handlungsbedarf sichtbar zu machen. Er soll die Zuordnung von Verantwortlichkeiten erleichtern, die Priorisierung der Maßnahmen ermöglichen und eine nachvollziehbare Umsetzungsdokumentation vorbereiten.

Teil 1: Allgemeiner Teil (AT 1 – AT 9)

AT 1 – Ziel des Rundschreibens

AT 1 trägt nun die Überschrift „Ziel des Rundschreibens“ statt „Vorbemerkung“. § 25a Abs. 1 und § 25b KWG bleiben die zentralen Grundlagen; hinzu tritt der ausdrückliche Verweis auf § 26c KWG zu ESG-Risiken. Die Anforderungen an das Gruppenrisikomanagement stehen nicht mehr in AT 4.5, sondern vor allem in AT 2.1 Tz. 3 und AT 3.1. Interne Regelwerke und Verweise sind an die neue Gliederung anzupassen.

Operative Einzelpflichten enthält AT 1 nur in begrenztem Umfang. Neu sind vor allem die Größenklassen und die Regelung zum Umgang mit EBA-Leitlinien. Erleichterungen dürfen nur genutzt werden, wenn die Voraussetzungen des jeweiligen Moduls erfüllt und dokumentiert sind.

Eine zentrale Übersicht sollte Größenklasse, genutzte Erleichterungen, ESG-Relevanz, einschlägige EBA-Verweise sowie Zuständigkeiten und Abstimmungswege enthalten. Sie bündelt die für Prüfung und Aufsicht erforderlichen Nachweise.

Action Points:

• MaRisk-Umsetzungsmatrix auf Struktur und Begrifflichkeit von AT 1 umstellen.
• Organisationsrichtlinien, Risikohandbuch, Compliance-Dokumentation und Revisionsplanung auf geänderte Verweise prüfen.

ESG-Risiken in Strategie und Risikodokumentation

Der Verweis auf § 26c KWG unterstreicht die Bedeutung von ESG-Risiken für das Risikomanagement. Sie sind nach ihrer institutsindividuellen Relevanz in Risikoinventur, Risikostrategie, Risikotragfähigkeit, Stresstests, Kreditprozessen, Sicherheitenbewertung und Risikoberichterstattung zu berücksichtigen. Sollte die Relevanz von ESG-Risiken im Institut gering sein, ist dies zu begründen und regelmäßig zu überprüfen.

Action Points:

• ESG-Relevanzanalyse durchführen oder aktualisieren und Ergebnis in Risikoinventur und Risikostrategie übernehmen.
• Datenquellen, qualitative Beurteilungskriterien und Verantwortlichkeiten für ESG-Risikotreiber festlegen.

Einbeziehung der Unternehmenszentrale bei Drittstaatenzweigstellen

CRD-Drittstaatenzweigstellen verfügen auf Ebene der deutschen Zweigstelle nach gesellschaftsrechtlichen Maßstäben über kein eigenes Aufsichtsorgan. Um dennoch eine wirksame Überwachungsfunktion über die Leitungs- und Kontrollstrukturen zu gewährleisten, verlangt AT 1 zwingend eine angemessene Einbindung der Unternehmenszentrale.

Hierfür muss die Zweigstelle einen strukturierten Prozess zur Einbindung eines entsprechenden Gremiums aufsetzen. Die Zweigstelle bestimmt dabei das zuständige Gremium oder die zuständige Funktion in der Unternehmenszentrale (etwa den Risiko- oder Prüfungsausschuss), welches die Aufsichtspflichten stellvertretend für die lokale Einheit wahrnimmt.

Action Points:

• Zuständiges Gremium (z. B. Risk Committee) oder zuständige Funktion in der Unternehmenszentrale formell festlegen und in das lokale Organisationshandbuch aufnehmen.
• Klare Kriterien und Eskalationswege definieren, bei welchen Ereignissen (z. B. Schwellenwertüberschreitungen) die Zentrale zwingend und in welchen Fristen einzubinden ist.
• Lückenlose Aufbewahrung und Archivierung von Berichtspaketen, Sitzungsunterlagen, formellen Protokollen der Gremien und einer nachvollziehbaren Maßnahmenverfolgung (Action Tracking) als Nachweis für die Aufsicht und die Interne Revision.

Umgang mit Verweisen auf EBA-Leitlinien

AT 1 Tz. 2 ordnet die MaRisk in den europäischen Aufsichtsrahmen ein. Der Verweis auf die durch CRD VI geänderte CRD IV beschreibt sie als qualitativen Rahmen für Leitungs-, Steuerungs- und Kontrollprozesse, Risikomanagement und ICAAP und damit als Maßstab der aufsichtlichen Beurteilung im SREP.

Der Umgang mit den EBA-Leitlinien zu Stresstests, NPE, Auslagerungen, Kreditvergabe und interne Governance, Zinsänderungs- und Kreditspreadrisiken im Anlagebuch (IRRBB/CSRBB), ESG-Risiken und Umwelt-Szenarioanalysen wird präzisiert. Darin enthaltene zusätzliche Anforderungen sind nur umzusetzen, wenn die MaRisk auf einen bestimmten Abschnitt innerhalb dieser Leitlinien verweisen. Weiterverweise innerhalb dieses jeweiligen Abschnitts und Verweise auf Anhänge können grundsätzlich unberücksichtigt bleiben.

Damit entfällt eine vollständige Parallelprüfung aller genannten EBA-Leitlinien. Die ausdrücklichen Verweise sind jedoch den betroffenen MaRisk-Modulen, internen Regelwerken und verantwortlichen Stellen zuzuordnen.

Action Points:

• Für jede einschlägige EBA-Leitlinie dokumentieren, an welcher Stelle die MaRisk auf einen Abschnitt verweisen, welches interne Regelwerk betroffen ist und wer die Umsetzung verantwortet.
• Direkte MaRisk-Verweise auf EBA-Leitlinien kennzeichnen und nur für die bezeichneten Abschnitte eine zusätzliche EBA-Prüfung vorsehen; die Änderungen des MaRisk-Textes unabhängig davon vollständig prüfen.

Proportionalität und Größenklassen

Die MaRisk konkretisieren das Proportionalitätsprinzip durch feste Größenklassen und modulbezogene Erleichterungen. EBA-Verweise dürfen nach den dort genannten Verhältnismäßigkeitskriterien umgesetzt werden. Unabhängig davon sind weitergehende Vorkehrungen zu treffen, wenn dies für ein angemessenes und wirksames Risikomanagement erforderlich ist.

Kleine Institute sind kleine und nicht komplexe Institute (SNCI) nach Art. 4 Abs. 1 Nr. 145 CRR sowie CRD-Drittstaatenzweigstellen der Risikoklasse 2. Als sehr klein gelten Institute und CRD-Drittstaatenzweigstellen mit einer Bilanzsumme von höchstens 1 Mrd. Euro im Vierjahresdurchschnitt; für Factoringinstitute gilt zusätzlich ein Forderungsankaufsvolumen von höchstens 5 Mrd. Euro im Vierjahresdurchschnitt.

Die Einstufung eröffnet nur die in den jeweiligen Modulen ausdrücklich vorgesehenen Erleichterungen. Deren Voraussetzungen sind gesondert zu prüfen. Sehr kleine Institute können die Erleichterungen für kleine Institute auch ohne SNCI-Einstufung nutzen. Die gewählte Ausgestaltung muss weiterhin ein angemessenes und wirksames Risikomanagement gewährleisten.

Action Points:

• Größenklasse jährlich feststellen und die maßgeblichen Kennzahlen dokumentieren.
• Genutzte Erleichterungen mit Modulbezug, Voraussetzungen, Begründung und Befassung der Geschäftsleitung dokumentieren.

Schnittstellen zu MiFID II und Geldwäscheprävention

AT 1 stellt klar, dass die MaRisk über § 80 Abs. 1 WpHG in Verbindung mit § 25a Abs. 1 KWG weiterhin organisatorische Anforderungen aus MiFID II konkretisieren, soweit diese auf Kredit- und Finanzdienstleistungsinstitute gleichermaßen Anwendung finden. Erfasst sind insbesondere organisatorische Anforderungen, Risikomanagement, Interne Revision, Geschäftsleiterverantwortung und Auslagerungen. Spezialgesetzliche Vorgaben zur Prävention von Geldwäsche und Terrorismusfinanzierung (§ 25h KWG) bleiben parallel bestehen. Entscheidend ist, die Zuständigkeiten der Überwachungs- und Kontrollfunktionen (MaRisk-Compliance-Funktion, WpHG-Compliance-Funktion, Geldwäschebeauftragter, Auslagerungsmanagement) trennscharf voneinander abzugrenzen.

Action Points:

• Zuständigkeiten, Abgrenzungen und Berichtslinien der betroffenen Kontrollfunktionen (MaRisk-Compliance, WpHG-Compliance, GwG, Informationssicherheit, Revision) in einer Matrix dokumentieren.
• Schnittstellengremium (oder Jour fixe) zwischen den Kontrollfunktionen einrichten, um hybride Sachverhalte zu besprechen und "Silo-Denken" aufzubrechen.
• Compliance-Handbücher und Jahresprüfpläne auf inhaltliche Lücken, Überschneidungen und einheitliche Eskalationskriterien (z. B. ab wann ein Vorfall als "wesentlich" für die Geschäftsleitung gilt) überprüfen.
• Verträge und SLAs von Auslagerungen mit Bezug zu Wertpapierdienstleistungen oder Geldwäscheprävention gesondert auf die konkrete Zuweisung von Kontroll- und Weisungsrechten der jeweiligen Fachfunktionen prüfen.

Risikoorientierte Prüfung und interne Umsetzung

Die Bafin hält an der flexiblen Grundausrichtung und am risikoorientierten Prüfungsansatz fest. Der allgemeine Teil enthält die Grundprinzipien; der besondere Teil regelt insbesondere Kredit-, Handels- und Immobiliengeschäft sowie Risikosteuerung und Risikoberichterstattung. Strukturell neu ist die Auflösung des bisherigen BT 2: Die zentralen Anforderungen an die Interne Revision werden in AT 4.4.3 gebündelt. Ergänzende Vorgaben zu ausgelagerten Revisionstätigkeiten stehen weiterhin in AT 9. Die Risikoberichterstattung rückt dadurch von BT 3 auf BT 2 vor.

Neben Richtlinien sind auch Prozesse, Zuständigkeiten, Nachweise und offene Maßnahmen anzupassen. Wesentliche Umsetzungsentscheidungen und Befassungen der Geschäftsleitung sollten zentral dokumentiert werden.

Action Points:

• Umsetzungsbedarf für die geänderten Module nach Risikorelevanz priorisieren.
• Interne Organisationshandbücher, Kontrollpläne und interne Verweise, die sich auf den alten BT 2 stützen, zwingend auf den erweiterten AT 4.4.3 umstellen.
• Prüfungsplanung der Internen Revision auf wesentliche Änderungen und genutzte Öffnungsklauseln ausrichten.

AT 2.1 – Anwenderkreis

Anwenderkreis und Auslandsbezug

AT 2.1 grenzt den Anwenderkreis neu ab. Die MaRisk gelten für Institute nach § 1 Abs. 1b und § 53 Abs. 1 KWG, soweit sie nicht als bedeutende Institute unmittelbar der EZB-Aufsicht unterliegen. Erfasst sind außerdem CRD-Drittstaatenzweigstellen nach § 53c Abs. 1 KWG sowie Zweigniederlassungen deutscher Institute im Ausland. Zweigniederlassungen von Unternehmen aus anderen EWR-Staaten nach § 53b KWG bleiben ausgenommen.

Die Anwendbarkeit ist für jeden Rechtsträger und jede Zweigstelle gesondert zu prüfen. Statuswechsel, Neugründungen oder Änderungen der Zweigstellenstruktur können Anpassungen bei Organisationsrichtlinien, Berichtslinien, Kontrollfunktionen und Prüfungsplanung auslösen.

Action Points:

• Für jeden Rechtsträger und jede Zweigstelle feststellen und dokumentieren, ob und in welchem Umfang die MaRisk anwendbar sind.
• MaRisk-Anwendbarkeit je Einheit dokumentieren; Statuswechsel, Neugründungen und Änderungen von Zweigstellen als Anlässe für eine erneute Prüfung festlegen.

NPL-bezogene Anforderungen und Wegfall der Berechnungserläuterungen

Die MaRisk 2026 behält die Schwelle von 5 % für notleidende Kredite unverändert bei, ab der die besonders gekennzeichneten NPL-Anforderungen gelten. Nicht fortgeführt werden die bisherigen Erläuterungen zur Berechnung der NPL-Quote, zur NPE-Definition und zur Möglichkeit, einzelne Anforderungen auch unterhalb der Schwelle anzuordnen. Daraus folgt keine allgemeine Pflicht zur vollständigen Direktanwendung der NPE-Leitlinien: Nach AT 1 gelten die von der Bafin benannten EBA-Leitlinien grundsätzlich als in den MaRisk umgesetzt; zusätzlich zu prüfen sind nur ausdrücklich bezeichnete Abschnitte. Die für die Quote verwendete Methodik und NPE-Definition sind aus den jeweils einschlägigen aufsichtsrechtlichen Vorgaben abzuleiten und nachvollziehbar zu dokumentieren.

Für die Umsetzung sollte die NPL-Quote laufend überwacht und in die Risikoberichterstattung eingebunden werden. Interne Vorwarnstufen und Eskalationswege sollten sicherstellen, dass die bei Erreichen der 5-%-Schwelle anwendbaren Anforderungen an Strategie, Risikocontrolling, Kreditprozesse und Berichtswesen rechtzeitig aktiviert werden.

Action Points:

• Berechnung und Überwachung der NPL-Quote in das regelmäßige Risikoberichterstattung aufnehmen.
• Bei Erreichen oder Annäherung an 5 % die zusätzlich einschlägigen MaRisk-Anforderungen bestimmen.
• Zuständigkeit für die Überwachung der NPL-Quote, Folgemaßnahmen und die Information der Geschäftsleitung festlegen.

Finanzdienstleistungsinstitute und große Wertpapierfirmen

Die MaRisk 2026 erweitert den regulatorischen Fokus für Finanzdienstleistungsinstitute und große Wertpapierfirmen im Sinne des § 2 Abs. 18 WpIG um einen wesentlichen Aspekt. Während das Grundprinzip der proportionalen Anwendung unverändert fortbesteht, verpflichtet die Neufassung diese Institute nun explizit dazu, neben den bereits bekannten §§ 25a und 25b KWG auch die Vorgaben des § 26c KWG zu erfüllen. Durch diesen neu verankerten rechtlichen Bezug auf § 26c KWG wird aufsichtsrechtlich klargestellt, dass eine pauschale Ausblendung von ESG-Risiken künftig ausgeschlossen ist. Die Institute müssen die MaRisk-Anforderungen weiterhin nur insoweit umsetzen, wie dies aufgrund ihrer spezifischen Institutsgröße, Art, Komplexität und dem Risikogehalt der Geschäftsaktivitäten geboten ist. Dies betrifft insbesondere die Module AT 3, AT 5, AT 7 und AT 9.

Für die interne Umsetzung bedeutet diese inhaltliche Änderung eine zwingende methodische Anpassung der bisherigen Dokumentations- und Prüfprozesse. Die betroffenen Institute müssen eine modulbezogene Anwendbarkeitsprüfung durchführen, die sich gezielt auf die genannten Bereiche AT 3, AT 5, AT 7 und AT 9 erstreckt. Dabei ist jede getroffene Entscheidung für eine proportionale Anwendung oder auch eine vollständige Nichtanwendung einzelner Vorgaben kurz zu begründen und revisionssicher zu dokumentieren. Um den neuen gesetzlichen Pflichten vollumfänglich gerecht zu werden, muss der ESG-Bezug nach § 26c KWG künftig integrativer Bestandteil dieser Anwendbarkeitsprüfung sein und als fester Prüfparameter nachweisbar berücksichtigt werden.

Action Points:

• Modulbezogene Anwendbarkeitsprüfung für AT 3, AT 5, AT 7 und AT 9 durchführen.
• Proportionale Anwendung oder Nichtanwendung kurz begründen und dokumentieren.
• ESG-Bezug aus § 26c KWG in die Anwendbarkeitsprüfung einbeziehen.

Risikomanagement auf Gruppenebene: Verlagerung nach AT 2.1

Die Anforderungen an das gruppenweite Risikomanagement werden aus AT 4.5 in AT 2.1 Tz. 3 verlagert und deutlich gestrafft. Die Kernpflichten zu gruppenweiten Strategien, Risikotragfähigkeit, Organisation, Risikosteuerung, Konzernrevision und Berichtswesen bleiben bestehen. Einzelne bisherige Detailvorgaben und Erläuterungen werden jedoch nicht wörtlich fortgeführt.

Für die Umsetzung sind Verweise auf das bisherige AT 4.5 in Organisationsrichtlinien, Risikohandbuch und Revisionsplanung auf AT 2.1 Tz. 3 umzustellen. Zugleich ist zu prüfen und zu dokumentieren, welche Gruppeneinheiten in das gruppenweite Risikomanagement einbezogen werden und ob bestehende Gruppenprozesse die gestrafften Kernanforderungen weiterhin vollständig erfüllen.

Action Points:

• Festlegen, welche Gruppeneinheiten in das gruppenweite Risikomanagement einbezogen werden und wo eine begründete Begrenzung möglich ist.
• Gruppenweite Strategie, Risikotragfähigkeit, Risikoberichterstattung und Konzernrevision auf MaRisk-Bezug prüfen.
• Verweise auf die bisherige Gruppenregelung in Richtlinien, Risikohandbuch und Revisionsplanung aktualisieren.

AT 2.2 – Risiken

Wesentliche Risikoarten, 5-Prozent-Schwelle und IKT-Risiken

Adressenausfall-, Marktpreis-, Liquiditäts- und operationelle Risiken gelten unverändert als grundsätzlich wesentlich. Neu ist die ausdrückliche Erleichterung, dass für diese vier Kernrisikoarten künftig keine gesondert dokumentierte Wesentlichkeitsanalyse mehr erforderlich ist. Damit verbundene Risikokonzentrationen sind jedoch weiterhin zwingend zu berücksichtigen. Zudem werden Informations- und Kommunikationstechnologierisiken (IKT-Risiken) nun ausdrücklich als Bestandteil der operationellen Risiken klassifiziert und müssen explizit in die regelmäßige Risikoinventur einbezogen werden.

Für alle weiteren Risiken erkennt die Bafin in der ökonomischen Perspektive nun formal eine Wesentlichkeitsschwelle von 5 Prozent des Risikodeckungspotenzials an. Dies entbindet die Institute jedoch nicht von der Pflicht, Kumulationseffekte zu überwachen: Mehrere einzeln unwesentliche Risiken können in der Gesamtbetrachtung wesentlich werden und sind in der Risikotragfähigkeit angemessen zu berücksichtigen. Für alle unter der Schwelle liegenden, nicht wesentlichen Risiken sind weiterhin angemessene Vorkehrungen zu treffen.

Für die praktische Umsetzung bedeutet dies, dass die Risikoinventur und das Risikohandbuch anzupassen sind. Die vier Kernrisikoarten sind fortan ohne zusätzlichen Nachweis einer Wesentlichkeitsanalyse zu erfassen. IKT-Risiken müssen nachweisbar in den Steuerungs- und Berichtsprozessen der operationellen Risiken verankert werden. Darüber hinaus ist methodisch zu dokumentieren, wie die neue 5-Prozent-Schwelle in der ökonomischen Perspektive angewendet wird und durch welche Verfahren mögliche Kumulationseffekte unwesentlicher Risiken aggregiert werden. Für alle als unwesentlich eingestuften Risiken sind die getroffenen Vorkehrungen im internen Regelwerk zu dokumentieren.

Action Points:

• Die vier grundsätzlich wesentlichen Risikoarten ohne zusätzliche dokumentierte Wesentlichkeitsanalyse als wesentlich erfassen.
• Festlegen und dokumentieren, ob und wie die 5-Prozent-Schwelle in der ökonomischen Wesentlichkeitsmethodik angewendet wird; mögliche Kumulationseffekte berücksichtigen.
• IKT-Risiken als Bestandteil der operationellen Risiken in der Risikoinventur und den zugehörigen Steuerungs- und Berichtsprozessen abbilden.
• Für weitere als nicht wesentlich eingestufte Risiken angemessene Vorkehrungen festlegen und dokumentieren.

Ganzheitliche Risikoinventur und außerbilanzielle Strukturen

Der Grundsatz einer wirtschaftlichen Risikobetrachtung bleibt bestehen: Die Risikoinventur darf sich nicht allein an Rechnungslegung oder formalrechtlichen Strukturen orientieren. Neu ist vor allem die Verlagerung der bereits 2024 in den Erläuterungen enthaltenen Pflicht, Risiken aus außerbilanziellen Gesellschaftskonstruktionen – etwa nicht konsolidierungspflichtigen Zweckgesellschaften – zu betrachten, in den Anforderungstext. Institute müssen prüfen, ob solche Strukturen die Vermögenslage einschließlich Kapitalausstattung, die Ertragslage oder die Liquiditätslage wesentlich beeinträchtigen können. Informationswege zwischen Risikocontrolling, Rechnungswesen, Meldewesen, Recht und Beteiligungsmanagement sind insoweit auf Vollständigkeit und Aktualität zu prüfen.

Action Points:

• Prüfen, ob Risiken aus nicht konsolidierungspflichtigen Zweckgesellschaften und sonstigen außerbilanziellen Strukturen vollständig in der Risikoinventur erfasst sind.
• Informationswege zwischen Risikocontrolling, Rechnungswesen, Meldewesen, Recht und Beteiligungsmanagement auf Vollständigkeit und Aktualität überprüfen.

ESG-Risiken als Risikotreiber

ESG-Risiken bleiben Risikotreiber und keine eigenständige Risikoart. Neu ist vor allem die zentrale, unmittelbar im Anforderungstext verankerte Vorgabe, ihre Auswirkungen bei der Wesentlichkeitsbeurteilung, in der Risikoinventur, bei der Ausgestaltung des internen Kontrollsystems, in der Risikostrategie und in der Berichterstattung zu berücksichtigen. Die Beurteilung muss plausible, mit wissenschaftlichen Erkenntnissen vereinbare Szenarien sowie kurz-, mittel- und langfristige Zeithorizonte einbeziehen; ein ausschließlicher Rückgriff auf historische Daten genügt nicht. Die ESG-Risikotreiber sind den betroffenen Risikoarten, Portfolios und Steuerungsprozessen nachvollziehbar zuzuordnen.

Action Points:

• ESG-Risikotreiber den betroffenen Risikoarten, Portfolios und Steuerungsprozessen zuordnen.
• Szenarien, Datenquellen sowie kurz-, mittel- und langfristige Betrachtungszeiträume festlegen.
• Eine geringe ESG-Relevanz nachvollziehbar dokumentieren und regelmäßig überprüfen.

AT 2.3 – Geschäfte: Straffung und traditionelle Warengeschäfte

Die Geschäftsdefinitionen werden gestrafft und neu nummeriert. Beim Kreditgeschäft entfällt der ausdrückliche Verweis auf § 19 Abs. 1 KWG; inhaltlich bleibt es bei bilanziellen und außerbilanziellen Geschäften mit Adressenausfallrisiken. Die bereits 2024 erläuterte Pflicht, eine Handelsabsicht bei handelbaren Forderungen anhand geeigneter Kriterien festzustellen, steht nun im Anforderungstext. Nicht fortgeführt werden die Beispiele für Warengeschäfte und die ausdrückliche Ausnahme für während der gesamten Geschäftsdauer geschlossene Positionen. Für das traditionelle Warengeschäft gemischtwirtschaftlicher Kreditgenossenschaften wird die Erläuterung verbindlicher gefasst: Statt einer möglichen sinngemäßen Umsetzung heißt es nun, dass die Anforderungen an das Handelsgeschäft sinngemäß anzuwenden sind.

Action Points:

• Interne Begriffsbestimmungen und Verweise an die neue Nummerierung und die gestrafften Definitionen anpassen.
• Kriterien für die Handelsabsicht bei handelbaren Forderungen im Produkt- oder Handelskatalog nachvollziehbar festlegen.
• Bestehende Einordnungen von Warengeschäften nach Wegfall der bisherigen Beispiele und Ausnahmebeschreibung überprüfen.
• Bei gemischtwirtschaftlichen Kreditgenossenschaften sicherstellen, dass die einschlägigen Anforderungen an das Handelsgeschäft auf das traditionelle Warengeschäft sinngemäß angewendet werden.

AT 3 – Verantwortung der Geschäftsleitung und des Aufsichtsorgans

AT 3.1 – Gesamtverantwortung der Geschäftsleitung

Hinsichtlich der Gesamtverantwortung der Geschäftsleitung ergeben sich inhaltlich kaum Änderungen. Alle Geschäftsleiter tragen unabhängig von internen Zuständigkeiten weiterhin die Verantwortung für die ordnungsgemäße Geschäftsorganisation, deren Weiterentwicklung sowie für ein wirksames Risikomanagement auf Gruppenebene. Eine spürbare redaktionelle Neuerung ist jedoch die Kürzung bei der Risikokultur: Während die Pflicht zu einer angemessenen Risikokultur als solche erhalten bleibt, entfallen die bisherigen Detailvorgaben zur konkreten Überwachung und zur Behebung festgestellter Mängel aus den Erläuterungen.

AT 3.2 – Aufsichtsorgan: Berichts- und Eskalationspflichten

AT 3.2 bündelt bereits bestehende Berichts- und Eskalationspflichten gegenüber dem Aufsichtsorgan, die 2024 auf mehrere Module verteilt waren. Die Geschäftsleitung muss weiterhin mindestens vierteljährlich in Textform über Geschäftslage und Risikosituation informieren; die Informationen müssen eine Beurteilung, besondere Risiken und geplante Maßnahmen enthalten. Wichtige Risikoinformationen sind unverzüglich weiterzuleiten, Strategien und Strategieänderungen sind zur Kenntnis zu geben und zu erörtern. Auch die Weiterleitung des Compliance-Berichts und der regelmäßigen Revisionsberichte bleibt bestehen. Neu ist damit vor allem die zentrale Verortung und gestraffte Zusammenführung der Pflichten.

Die Eskalationspflicht bei schwerwiegenden Revisionsfeststellungen gegen Geschäftsleiter ist inhaltlich nicht neu, sondern wird neu verortet und aufgeteilt. Die Geschäftsleitung muss den Vorsitzenden des Aufsichtsorgans weiterhin unverzüglich informieren. Unterbleibt dies oder werden keine sachgerechten Maßnahmen beschlossen, muss die Interne Revision den Vorsitzenden selbst unterrichten. Die Meldung an die Bafin und Deutsche Bundesbank steht nun in AT 4.4.3. Interne Berichtsvorgaben müssen deshalb vor allem an die neue Verteilung der Regelungen angepasst werden.

Action Points:

• Interne Verweise und Berichtsvorgaben auf AT 3.2 umstellen und die unterschiedlichen Turnusse abbilden: mindestens vierteljährliche Berichterstattung über Geschäftslage und Risikosituation sowie durch die Interne Revision, mindestens jährliche und anlassbezogene Compliance-Berichterstattung.
• Verfahren für die unverzügliche Weiterleitung wichtiger Risikoinformationen sowie für schwerwiegende Revisionsfeststellungen abstimmen; die Information des Aufsichtsorganvorsitzenden und die Aufsichtsmeldung getrennt abbilden.
• Ausschussbeschlüsse, Informationspflichten des Ausschussvorsitzenden, Einsichtsrechte der übrigen Organmitglieder und die Dokumentation der Befassung überprüfen.

AT 4.1 – Risikotragfähigkeit: Puffer, Validierung und Kapitalplanung

Die wesentlichen Risiken müssen auch nach der MaRisk 2026 laufend durch das Risikodeckungspotenzial abgedeckt sein. Neu ist, dass die bisher lediglich in den Erläuterungen enthaltene Pflicht, Kumulationseffekte mehrerer einzeln unwesentlicher, aber in Summe wesentlicher Risiken angemessen zu berücksichtigen, nun unmittelbar als bindender Anforderungstext festgeschrieben wurde.

Für schwer quantifizierbare Risiken dürfen Institute statt pauschalisierter Schätzungen und ihrer Berücksichtigung auf der Risikoseite künftig angemessene Puffer im Risikodeckungspotenzial vorhalten. Voraussetzung ist die genaue Dokumentation, welche spezifischen Risiken dieser Puffer abdecken soll. Eine zentrale Neuerung betrifft die Validierung: Es gelten nun ausdrückliche Fristen. Methoden, Verfahren und Parameter sind zwingend vor ihrem ersten Einsatz (Initialvalidierung) zu validieren. Folgevalidierungen müssen mindestens alle drei Jahre sowie anlassbezogen erfolgen. Bei komplexen Methoden ist die Validierung strikt von der Modellentwicklung zu trennen, wovon nur kleine Institute ausgenommen sind. Selbst bei der Nutzung zentral validierter Verfahren externer Dienstleister (z. B. Rechenzentren) bleibt eine institutsindividuelle Angemessenheitsprüfung der Parameter zwingend erforderlich. Die Kapitalplanung ist weiterhin jährlich durchzuführen, muss nun aber bei wesentlichen Änderungen der Annahmen anlassbezogen aktualisiert werden, wobei mögliche adverse Entwicklungen stets einzubeziehen sind.

Für die Umsetzung ist der Validierungsplan auf die neuen Drei-Jahres-Fristen und Anlassvorgaben umzustellen. Die Methode zur Behandlung schwer quantifizierbarer Risiken (Puffer vs. Expertenschätzung) ist verbindlich zu dokumentieren. Der Kapitalplanungsprozess muss um definierte Auslöser für unterjährige Aktualisierungen ergänzt werden.

Die Kapitalplanung ist jährlich durchzuführen und bei wesentlichen Änderungen der Annahmen zu aktualisieren. Adverse Entwicklungen sind in der Planung zu berücksichtigen.

Action Points:

• Prüfen, ob mehrere einzeln als unwesentlich eingestufte Risiken in ihrer Gesamtheit die Wesentlichkeitsschwelle überschreiten.
• Für schwer quantifizierbare Risiken festlegen, ob ein plausibilisierter Risikobetrag – etwa auf Grundlage einer qualifizierten Expertenschätzung – oder ein angemessener und dokumentierter Puffer im Risikodeckungspotenzial verwendet wird.
• Validierungsplan anpassen: Initialvalidierung, mindestens dreijährliche Folgevalidierung, Anlassvalidierung und Umgang mit extern validierten Verfahren.
• Kapitalplanungsprozess um Auslöser für anlassbezogene Aktualisierungen bei wesentlichen Annahmeänderungen ergänzen.

AT 4.2 – Strategien – Strukturelle Neuausrichtung und inhaltliche Neuerungen

Das Modul AT 4.2 wurde vollständig neu gegliedert und konzentriert sich nun explizit auf die Geschäftsstrategie, die Risikostrategie einschließlich Risikoappetit, die IKT- und DOR-Strategie sowie bei Bedarf auf die NPL-Strategie. Diese Straffung reduziert die materiellen Pflichten nicht; alle strategischen Vorgaben müssen sich weiterhin konsistent in der Kapital- und Ressourcenplanung, der operativen Steuerung und dem Berichtswesen widerspiegeln. Operativ müssen alle bestehenden Strategiedokumente und Verweise mit der neuen Struktur von AT 4.2 abgeglichen und aktualisiert werden.

Action Points:

• Bestehende Geschäfts-, Risiko- und IKT-Strategie auf die neue Struktur von AT 4.2 abgleichen.
• Alte Detailverweise in Strategiedokumenten, Richtlinien und Vorlagen auf Aktualität prüfen.
• Strategieprozess so dokumentieren, dass Planung, Umsetzung, Zielüberprüfung und Anpassung nachvollziehbar sind.

Geschäftsstrategie und Geschäftsmodellanalyse

Die Geschäftsleitung muss eine tragfähige Geschäftsstrategie mit Zielen für die wesentlichen Geschäftsaktivitäten und Maßnahmen zu deren Erreichung festlegen. Grundlage ist eine zukunftsgerichtete Geschäftsmodellanalyse, deren Tiefe sich nach Komplexität und Risikogehalt richtet. Wesentliche interne und externe Einflussfaktoren sind anhand plausibler Annahmen einzubeziehen und regelmäßig zu überprüfen.

Die Geschäftsstrategie ist aus der Geschäftsmodellanalyse abzuleiten. Zu berücksichtigen sind insbesondere Markt und Wettbewerb, regulatorische Anforderungen, Umweltveränderungen, Risikotragfähigkeit, Liquidität, Ertragslage, Personal und technische Ressourcen. Die Ziele müssen in die operative Planung übertragbar sein.

Action Points:

• Geschäftsmodellanalyse als Grundlage der Geschäftsstrategie aktualisieren.
• Wesentliche externe und interne Einflussfaktoren mit plausiblen Annahmen dokumentieren.
• Strategische Ziele und Maßnahmen so formulieren, dass sie in Geschäfts- und Kapitalplanung überleitbar sind.

Risikostrategie und Risikoappetit

Die Risikostrategie muss mit der Geschäftsstrategie und dem Risikoprofil übereinstimmen. Sie kann in Teilstrategien gegliedert werden und muss Ziele und Maßnahmen für alle wesentlichen Risiken enthalten. Für diese Risiken ist der Risikoappetit festzulegen; Risikokonzentrationen sind auch mit Blick auf die Ertragslage zu berücksichtigen.

Der Risikoappetit verbindet Strategie, Risikotragfähigkeit und operative Steuerung. Er kann quantitativ durch Limite, Kennzahlen oder Puffer und qualitativ etwa durch Besicherungsanforderungen oder den Ausschluss bestimmter Geschäfte festgelegt werden.

Action Points:

• Risikoappetit für alle wesentlichen Risiken überprüfen und dokumentieren.
• Risikokonzentrationen einschließlich Ertragskonzentrationen in der Risikostrategie abbilden.
• Strategie, Risikoappetit, Limite und Risikoberichte auf Konsistenz prüfen.

IKT- und DOR-Strategie: Zusammenführung zulässig

Neu ist die explizite Pflicht zur Festlegung einer mit der Geschäftsstrategie konsistenten IKT-Strategie. Unterliegt ein Institut zusätzlich dem DORA-Rahmenwerk, ist zwingend eine DOR-Strategie erforderlich. Zur operativen Entlastung gewährt die MaRisk 2026 jedoch eine prozessuale Erleichterung: Abhängig von Größe und Gesamtrisikoprofil dürfen die IKT- und DOR-Strategie in einem gemeinsamen Dokument zusammengeführt oder vollständig in die übergeordnete Geschäftsstrategie integriert werden. Dabei müssen Ziele, Maßnahmen und Verantwortlichkeiten jedoch weiterhin eindeutig zuordenbar bleiben.

Action Points:

• Prüfen, welche Strategiepflichten nach MaRisk und DORA bestehen und ob eine Zusammenführung zweckmäßig ist.
• Bei einer Zusammenführung die jeweiligen MaRisk- und DORA-Anforderungen eindeutig zuordnen sowie Verantwortlichkeiten und Genehmigungswege festlegen.
• Geschäftsstrategie, IKT-Strategie und DOR-Strategie auf inhaltliche Konsistenz mit Geschäftsmodell, Risikoappetit, IKT-Risikotoleranz und Ressourcenplanung überprüfen.

NPL und gehebelte Transaktionen

Institute mit hohem NPL-Bestand müssen eine Strategie für notleidende Risikopositionen mit Ursachenanalyse, kurz-, mittel- und langfristigen Abbauzielen und Implementierungsplan festlegen. Der Fortschritt ist vierteljährlich anhand NPE-bezogener KPI zu überwachen. Wesentliche Abweichungen und Abhilfemaßnahmen sind der Geschäftsleitung und der Bafin zu berichten.

Institute mit einem Portfolio gehebelter Transaktionen müssen Definition, Rahmenbedingungen und Risikoappetit für diese Geschäfte in der Strategie festlegen.

Action Points:

• Bei hohem NPL-Bestand NPL-Strategie, Abbauziele, KPI und Implementierungsplan aktualisieren.
• Gehebelte Transaktionen im Produkt- und Portfoliokatalog identifizieren.
• Risikoappetit und Rahmenbedingungen für gehebelte Transaktionen in der Strategie festlegen.

Strategieprozess und Überwachung (Öffnungsklausel)

Strategische Ziele sind so konkret zu formulieren, dass ihre Erreichung objektiv überprüfbar ist. Für kleine Institute wurde eine neue, an harte Eigenkapitalkriterien geknüpfte Erleichterung eingeführt: Sie dürfen ihre Strategie und Kapitalplanung in einem lediglich jährlichen Turnus überwachen, sofern sie zusätzlich zur vorgeschriebenen Kapitalausstattung einen Puffer von mindestens zwei Prozentpunkten an hartem Kernkapital vorhalten. In allen Instituten sind Inhaltsänderungen der Strategien adressatengerecht zu kommunizieren und zu dokumentieren.

Action Points:

• Strategische Ziele mit messbaren oder prüfbaren Zielgrößen hinterlegen.
• Überwachungsturnus und Eskalation bei Zielabweichungen festlegen.
• Änderungen der Strategie adressatengerecht im Institut kommunizieren und dokumentieren.

AT 4.3 – Internes Kontrollsystem – Verlagerung der Datenanforderungen

Der zentrale Rahmen für das interne Kontrollsystem (IKS) bleibt im Grundsatz bestehen: Institute müssen weiterhin angemessene Regelungen zur Aufbau- und Ablauforganisation sowie zu Risikosteuerungs- und -controllingprozessen treffen und sowohl eine Risikocontrolling- als auch eine Compliance-Funktion implementieren.

Das bisherige Modul zu Datenmanagement, Datenqualität und Aggregation von Risikodaten entfällt als eigener Unterabschnitt. Einzelne Grundanforderungen an Datenvorhaltung, technische Kapazitäten, Datenqualität und Risikoberichterstattung werden in AT 4.3.2, AT 7.2 und BT 2 fortgeführt. Der ausführliche Detailkatalog des bisherigen AT 4.3.4 wird jedoch nicht vollständig übernommen. Der neue AT 4.3.4 regelt die Verwendung von Modellen.

Action Points:

• IKS-Dokumentation auf die neue Struktur von AT 4.3 umstellen und frühere Verweise auf das alte Datenmanagement-Modul sachgerecht neu zuordnen.
• Die nun dezentralisierten Verantwortlichkeiten für Risikodaten, Modelle, Berechtigungen und Kontrollen in einer IKS-Matrix zusammenführen.

AT 4.3.1 – Aufbau- und Ablauforganisation: Funktionstrennung und Ersatzkontrollen

Die strikte Trennung unvereinbarer Tätigkeiten sowie die klare Festlegung von Prozessen, Kompetenzen und Kommunikationswegen bleiben die zentralen Leitprinzipien der Ablauforganisation. Beim Personalwechsel aus Markt- oder Handelsbereichen in nachgelagerte Kontrollbereiche sind weiterhin angemessene Übergangsfristen vorzusehen, um Interessenkonflikte zu vermeiden.

Die maßgebliche Neuerung ist der Wegfall einschränkender Detailvorgaben: Kleine Institute dürfen nun alternative Kontrollmechanismen einsetzen, ohne dass wie bisher die ausdrückliche Voraussetzung erfüllt sein muss, dass reguläre Übergangsfristen den Betriebsablauf "unverhältnismäßig verzögern". Eingesetzte Ersatzkontrollen (etwa Vier-Augen-Kontrollen oder Stichproben) müssen Selbstprüfungen und Interessenkonflikte jedoch weiterhin wirksam ausschließen. Zudem wurden die bisherigen Detailvorgaben zum Sparsamkeitsgrundsatz (Need-to-know-Prinzip), zu spezifischen IT- und Zeichnungsberechtigungen sowie zu deren regelmäßigen Prüfzyklen in diesem Unterabschnitt vollständig gestrichen.

Action Points:

• Funktionstrennungsmatrix für Markt, Handel, Marktfolge, Risikocontrolling, Compliance, Abwicklung und Kontrolle aktualisieren.
• Wechselprozesse in Kontrollbereiche einschließlich der definierten Übergangsfristen oder – bei kleinen Instituten – der alternativen Ersatzkontrollen rechtssicher dokumentieren.
• Sicherstellen, dass alternative Kontrollmechanismen bei kleinen Instituten nachvollziehbar begründet werden und Interessenkonflikte wirksam vermeiden.

AT 4.3.2 Risikosteuerungs- und -controllingprozesse – Datenvorhaltung und Informationswege

Die Grundanforderungen an die Identifizierung, Beurteilung, Steuerung, Überwachung und Kommunikation wesentlicher Risiken bleiben inhaltlich bestehen. Eine zentrale Neuerung ist jedoch die Überführung bisheriger Erläuterungen in den verbindlichen Anforderungstext: Institute werden nun explizit verpflichtet, relevante Daten zu Forderungen, deren Sicherheiten sowie der spezifischen Beziehung zwischen Sicherheit und zugrunde liegender Transaktion vorzuhalten.

Das Modul wird außerdem gestrafft: Die vierteljährliche Information des Aufsichtsorgans wird nach AT 3.2 verlagert. Die besonderen Auslöser für eine Information der Internen Revision – risikorelevante Mängel, bedeutende Schadensfälle oder ein konkreter Verdacht auf Unregelmäßigkeiten – werden in den Erläuterungen nun verbindlicher formuliert; sie stehen nicht im eigentlichen Anforderungstext.

Action Points:

• Limitsysteme, Ampelsysteme und qualitative Risikoanalysen mit dem definierten Risikoappetit und der Risikotragfähigkeit abgleichen.
• Eskalationswege für Limitüberschreitungen und Risikokonzentrationen auf Aktualität überprüfen.
• Die Erfassung relevanter Daten zu Forderungen, Sicherheiten und deren direkter Beziehung zur Transaktion in den Kredit- und Risikodatenprozessen verbindlich verankern.
• Klare Meldewege an die Interne Revision für risikorelevante Mängel, bedeutende Schadensfälle und Verdachtsfälle festlegen.

AT 4.3.3 Stresstests – Regulatorische Erleichterungen und Resilienzanalysen

Während die generelle Pflicht zu regelmäßigen und anlassbezogenen Stresstests bestehen bleibt, führt die MaRisk 2026 weitreichende Erleichterungen für kleinere Institute ein. Sehr kleine Institute dürfen künftig auf gesonderte Stresstests für einzelne Risikoarten verzichten, sofern der Stresstest für das Gesamtrisikoprofil diese durch adverse Annahmen negativ beeinflusst. Zudem entfällt für diese Institute ein separater Stresstest für das operationelle Risiko, wenn entsprechende adverse Szenarien bereits im Notfallmanagement abgedeckt sind. Für kleine Institute gilt künftig, dass ein schwerer konjunktureller Abschwung (oder ein Stagflationsszenario) als Szenario für die Gesamtbankebene ausreicht; zudem sind sie vollständig von der Durchführung inverser Stresstests befreit.

Die Berücksichtigung von Umwelt- und ESG-Risiken in Stresstests war bereits 2024 vorgesehen. Neu ist die ausdrückliche Konzentration auf wesentliche Umweltrisiken und vor allem die Pflicht zu langfristigen Resilienzanalysen, welche die kurzfristigen Stresstests ergänzen. Die Ergebnisse sind in der Geschäftsmodellanalyse und bei der Festlegung der Strategie zu berücksichtigen. Institute dürfen vereinfachte Sensitivitätsanalysen verwenden; kleine Institute können qualitative Ansätze nutzen.

Action Points:

• Stresstestprogramm auf zulässige Erleichterungen für kleine und sehr kleine Institute (z. B. Verzicht auf inverse Stresstests oder Einzelrisiko-Stresstests) prüfen und die Inanspruchnahme dokumentieren.
• Szenario für das Gesamtrisikoprofil so justieren, dass alle wesentlichen Risiken negativ ausgelenkt werden.
• Wesentliche Umweltrisiken und langfristige Resilienzanalysen in die Stresstestmethodik, die Geschäftsmodellanalyse und den Strategieprozess integrieren.

AT 4.3.4 – Verwendung von Modellen: reine Umnummerierung

Das Modul zur Verwendung von Modellen wird nicht materiell geändert, sondern lediglich vom bisherigen AT 4.3.5 in den neuen AT 4.3.4 verschoben. Anwendungsbereich und Vorgaben bleiben identisch: Dies betrifft die Anforderungen an automatisierte und KI-gestützte Verfahren, von Dritten entwickelte Modelle, Datenqualität, Überschreibungen (Übersteuerungen), Validierungszyklen sowie die Erklärbarkeit von Modellen. Modelle, die in den Anwendungsbereich der CRR fallen, bleiben weiterhin ausgenommen. Der Anpassungsbedarf ist hier rein redaktioneller Natur.

Action Points:

• Verweise in Modellrichtlinie, Risikohandbuch, Kontrollvorgaben und Revisionsplanung von AT 4.3.5 auf AT 4.3.4 umstellen.

AT 4.4 – Besondere Funktionen

AT 4.4.1 Risikocontrolling-Funktion – Funktionstrennung und NPL-Überwachung

Die neue Fassung fasst die Anforderungen an Leitung und Funktionstrennung der Risikocontrolling-Funktion neu und knüpft einzelne Erleichterungen an die neuen Größenklassen. Die erleichterte Trennung beim nicht-risikorelevanten Kreditgeschäft war bereits 2024 vorgesehen; sie gilt nun ausdrücklich für kleine Institute mit höchstens drei Geschäftsleitern und setzt den Ausschluss wesentlicher Interessenkonflikte und einer Bündelung von Verantwortlichkeiten voraus. Auch die NPE-bezogene Überwachung durch die Risikocontrolling-Funktion bestand bereits 2024 in den Erläuterungen. Neu ist ihre verkürzte Aufnahme in den Anforderungstext.

Action Points:

• Funktionstrennung zwischen Risikocontrolling, Markt, Handel und Marktfolge im Organigramm und in der Geschäftsverteilung validieren.
• Bei Inanspruchnahme von Erleichterungen für kleine Institute den Ausschluss von Interessenkonflikten und Verantwortungsbündelungen rechtssicher dokumentieren.
• Bei hohem NPL-Bestand die NPE-KPI, Datenquellen und die Berichtslinie der Risikocontrolling-Funktion verbindlich festlegen.

AT 4.4.2 Compliance-Funktion – Struktureller Rahmen und Funktionskombinationen

Die Compliance-Funktion wird regulatorisch stärker als rahmensetzende und koordinierende Instanz positioniert. Sie muss in einem strukturierten Prozess sicherstellen, dass die jeweils betroffenen Fachbereiche die Einhaltung wesentlicher rechtlicher Vorgaben operativ überwachen. Spezialgesetzliche Vorgaben (etwa aus WpHG, GwG, DORA oder DSGVO) bleiben unberührt und werden durch die MaRisk-Compliance nicht ersetzt.

Die Compliance-Funktion muss weiterhin von Markt und Handel unabhängig sein und grundsätzlich unmittelbar an die Geschäftsleitung berichten. Die bereits 2024 mögliche Anbindung an andere Kontrolleinheiten wird neu gefasst und um weitere Beispiele ergänzt. Neu in den Erläuterungen ist insbesondere die Klarstellung, dass Geldwäsche- und Datenschutzbeauftragter grundsätzlich nicht in Personalunion tätig sein dürfen. Sehr kleine Institute dürfen die Funktion des Compliance-Beauftragten unter den genannten Voraussetzungen einem Geschäftsleiter übertragen. Die mindestens jährliche und anlassbezogene Berichterstattung sowie die Weitergabe an Interne Revision und Aufsichtsorgan bestanden bereits 2024; geändert ist vor allem ihre neue Verortung.

Action Points:

• Strukturierten Prozess implementieren, in dem Fachbereiche die operative Einhaltung von Vorgaben überwachen und Compliance dies nachvollzieht.
• Funktionskombinationen auf Interessenkonflikte, ausreichende Ressourcen und das explizite Verbot der Kombination von Geldwäsche und Datenschutz prüfen.
• Compliance-Bericht um Defizite und Gegenmaßnahmen ergänzen und die Weitergabe an Geschäftsleitung, Revision und Aufsichtsorgan prozessual fixieren.

AT 4.4.3 Interne Revision – Neuzuordnung, Prüfungszyklen und Berichterstattung

Die bislang auf AT 4.4.3 und BT 2 verteilten Anforderungen an die Interne Revision werden nun in AT 4.4.3 gebündelt. Das uneingeschränkte Informations- und Zugriffsrecht bleibt bestehen und gilt ausdrücklich auch bei der Begleitung wesentlicher Projekte. Die Möglichkeit, Revisionsaufgaben bei unverhältnismäßiger eigener Revisionseinheit durch einen Geschäftsleiter wahrnehmen zu lassen, bestand bereits 2024; sie wird nun auf sehr kleine Institute beschränkt.

Eine signifikante Neuerung betrifft die Prüfungszyklen: Während für sämtliche Aktivitäten (inklusive Auslagerungen) grundsätzlich ein dreijähriger Turnus gilt, wird für unter Risikogesichtspunkten nicht wesentliche Prüfungsfelder erstmals eine verbindliche Höchstfrist von fünf Jahren normiert.

Darüber hinaus wird die Berichterstattung reformiert: Der bisher erforderliche, gesonderte Jahresbericht entfällt vollständig. Im Gegenzug muss der quartalsweise zu erstellende Revisionsbericht künftig zwingend noch nicht behobene wesentliche Mängel aus früheren Quartalen sowie eine fundierte Beurteilung der voraussichtlichen Einhaltung des Prüfungsplans enthalten. Besonders schwerwiegende Mängel sind weiterhin unverzüglich zu berichten; für verzögerte Mängelbeseitigungen gilt eine gestufte Eskalation an die fachlich zuständigen Geschäftsleiter und nachfolgend an die Gesamtgeschäftsleitung.

Action Points:

• Revisionsordnung auf die neue Verortung im AT 4.4.3 sowie auf die verankerten Informationsrechte bei risikoorientierter Projektbegleitung anpassen.
• Prüfungsuniversum strikt auf den 3-Jahres-Turnus und den neuen maximalen 5-Jahres-Turnus für unwesentliche Aktivitäten abgleichen.
• Den vierteljährlichen Revisionsbericht um offene Mängel aus Vorquartalen und die Prognose zum Prüfungsplan erweitern; den Prozess für den gesonderten Jahresbericht streichen.

AT 4.5 Risikomanagement auf Gruppenebene (Verlagerung nach AT 2.1)

AT 4.5 entfällt; die Kernanforderungen an das Gruppenrisikomanagement stehen nun kompakt in AT 2.1 Tz. 3. Die Pflichten zu gruppenweiten Strategien, Risikotragfähigkeit, Organisation, Risikosteuerung, Konzernrevision und Berichtswesen bleiben bestehen. Die Neufassung ist jedoch deutlich gestrafft, sodass nicht sämtliche bisherigen Detailvorgaben und Erläuterungen wörtlich fortgeführt werden.

Action Points:

• Interne Verweise in Organisationsrichtlinien, Risikohandbuch und Revisionsplanung von AT 4.5 auf AT 2.1 Tz. 3 umstellen.
• Bestehende Gruppenprozesse auf formale Übereinstimmung mit der kompakteren Darstellung des AT 2.1 Tz. 3 validieren.
• Revisionssicher dokumentieren, welche Gruppengesellschaften einbezogen werden und wo Einschränkungen unter dem Kriterium „sinnvoll und notwendig“ rechtlich begründet sind.

AT 5 Organisationsrichtlinien – Dokumentation individueller Verantwortlichkeiten

Die MaRisk 2026 strafft das Modul AT 5 und konkretisiert die Anforderungen an die Dokumentation von Verantwortlichkeiten. Organisationsrichtlinien müssen weiterhin in Textform vorliegen, den Mitarbeitern bekannt sein, zeitnah angepasst werden und sich als Prüfungsgrundlage für die Interne Revision eignen.

Eine wesentliche Neuerung ist die Pflicht zur Erstellung personenspezifischer Erklärungen zu Aufgaben und individuellen Verantwortlichkeiten gemäß § 25c Abs. 4a Nr. 8 KWG. Diese sind zwingend für alle Mitglieder der Geschäftsleitung sowie für die unmittelbar nachgelagerte Führungsebene – inklusive aller Inhaber von Schlüsselfunktionen – zu erstellen. Aus diesen Erklärungen müssen die Aufgaben, Entscheidungsbefugnisse, Kontroll- und Berichtspflichten sowie die Zuständigkeitsbereiche explizit hervorgehen. Ergänzend ist eine Gesamtübersicht aufzubauen, die konsistent zu den individuellen Erklärungen auch die Zuständigkeiten des Aufsichtsorgans, Berichtslinien und Governance-Strukturen darstellt. Neu ist zudem die Pflicht, regelmäßig zu prüfen, ob die Mitarbeiter die übertragenen Aufgaben tatsächlich wahrnehmen, und bei Defiziten korrigierende Maßnahmen einzuleiten. Der Verhaltenskodex bleibt als proportionaler Mindestinhalt erhalten, während Risikodatenaggregation und ESG-Risiken nicht mehr als explizite Mindestinhalte des AT 5 geführt werden, da sie nun in den jeweils fachspezifischen Modulen abgebildet sind.

Action Points:

• Individuelle Verantwortlichkeitserklärungen für die Geschäftsleitung, die unmittelbar nachgelagerte Führungsebene und Schlüsselfunktionen erstellen oder auf Aktualität prüfen.
• Die geforderte Gesamtübersicht zur Aufgaben- und Verantwortlichkeitsverteilung konsistent zu den individuellen Erklärungen aufbauen und die Berichtslinien integrieren.
• Einen verbindlichen Regelprozess zur Aktualitätsprüfung der Unterlagen sowie zur Kontrolle der tatsächlichen Aufgabenerfüllung etablieren.
• Auslagerungsrichtlinie um Lebenszyklusphasen, Grundsätze und Zuständigkeiten ergänzen.

AT 6 – Dokumentation: punktuelle Anpassungen

AT 6 bleibt in seinen Grundzügen erhalten, wurde jedoch punktuell geschärft. Die Aufbewahrungsfrist von fünf Jahren wird nun verbindlich ohne die bisherige Einschränkung „grundsätzlich“ formuliert. Eine wichtige inhaltliche Neuerung ist die explizite Dokumentationspflicht für Fälle, in denen eine Einbindung oder Entscheidung durch die Geschäftsleitung zwingend erforderlich ist. Der bisherige Bezug auf wesentliche Öffnungsklauseln entfällt.

Action Points:

• Dokumentationsrichtlinie auf die verbindliche Fünfjahresfrist prüfen.
• In der Kompetenzordnung oder einer entsprechenden Umsetzungsmatrix klar dokumentieren, bei welchen regulatorischen Festlegungen oder Prozessen eine explizite Befassung der Geschäftsleitung zwingend vorgeschrieben ist.

AT 7 Ressourcen

AT 7.1 Personal – Gestraffte Vorgaben und störungsfreier Betrieb

Die Vorgaben zur Personalausstattung werden gestrafft. Die bereits 2024 enthaltene Anforderung, nachhaltige Störungen der Betriebsabläufe durch Abwesenheit oder Ausscheiden von Mitarbeitern zu vermeiden, wird nun als allgemeine Muss-Vorgabe formuliert: Art und Umfang der Personalausstattung müssen einen störungsfreien Betriebsablauf ermöglichen. Die bisherigen Detailhinweise zu Leiharbeitnehmern, besonderen Qualifikationsanforderungen und Abwesenheiten entfallen aus AT 7.1. Die Pflicht, dass Mitarbeiter und ihre Vertreter über die erforderlichen Kenntnisse und Erfahrungen verfügen, bleibt bestehen.

Action Points:

• Personalbemessung mit internen Erfordernissen, Geschäftsaktivitäten und Risikosituation abgleichen.
• Kenntnisse und Erfahrungen von Mitarbeitern und Vertretern in Qualifikationsprofilen oder Stellenbeschreibungen nachvollziehbar abbilden.
• Vertretungs- und Schlüsselpersonenregelungen daraufhin prüfen, ob die Betriebsabläufe auch bei ungeplanten Abwesenheiten störungsfrei aufrechterhalten werden können.

AT 7.2 Technisch-organisatorische Ausstattung – Wegfall der IT-Detailvorgaben

AT 7.2 wird stark gestrafft. Die bisherigen Detailvorgaben zu Informationsverbund, Berechtigungen, Test- und Freigabeprozessen, IT-Risikosteuerung und individueller Datenverarbeitung stehen nicht mehr in diesem Modul. Daraus folgt nicht automatisch, dass sämtliche zugrunde liegenden Pflichten entfallen: Je nach Sachverhalt sind insbesondere DORA, andere aufsichtsrechtliche Vorgaben und das allgemeine interne Kontrollsystem gesondert zu prüfen. In AT 7.2 verbleiben die Ausrichtung der technisch-organisatorischen Ausstattung am Geschäfts- und Risikoprofil sowie Anforderungen an technische Kapazitäten und Datenqualität für wesentliche Risikoarten.

Action Points:

• Interne Verweise auf gestrichene AT 7.2-Detailvorgaben in IT-, IDV- und Berechtigungsrichtlinien bereinigen.
• Datenqualitätsanforderungen für wesentliche Risikoarten in Risikodaten- und Berichtsprozessen verankern.
• Schnittstellen zur DORA- und IKT-Dokumentation prüfen und sicherstellen, dass durch den Wegfall der bisherigen AT-7.2-Detailvorgaben keine Kontrolllücken entstehen.

AT 7.3 Notfallmanagement – Fokus auf kritische oder wichtige Funktionen

Ein fundamentaler terminologischer und prozessualer Wechsel erfolgt im Notfallmanagement: Der bisherige Begriff der „zeitkritischen Aktivitäten und Prozesse“ wird durch „kritische oder wichtige Funktionen“ abgelöst. Dies erfordert weit mehr als eine bloße Umbenennung. Als Basis der obligatorischen Auswirkungsanalyse muss künftig eine Übersicht über sämtliche Funktionen des Instituts dienen. Die Analyse hat Risiken schwerwiegender Störungen zu erfassen und zwingend notwendige Unterstützungsprozesse, IKT-Systeme sowie sonstige Ressourcen und potenzielle Gefährdungen über abgestufte Zeiträume hinweg einzubeziehen.

Das Notfallkonzept muss Geschäftsfortführungs- und Wiederherstellungspläne umfassen, die auf plausiblen Szenarien und vernünftigen Annahmen beruhen. Die Abstimmung der Notfallkonzepte von Institut und Auslagerungsunternehmen war bereits 2024 vorgeschrieben; sie wird nun auf Auslagerungen bezogen, die kritische oder wichtige Funktionen unterstützen. Auch die mindestens jährliche Überprüfung bestand bereits für zeitkritische Aktivitäten und Prozesse. Neu sind daher vor allem der geänderte Bezugsrahmen und die Einordnung in die Systematik der kritischen oder wichtigen Funktionen.

Action Points:

• Business-Impact-Analyse (BIA) inhaltlich von „zeitkritischen Aktivitäten“ auf „kritische oder wichtige Funktionen“ umstellen.
• Die Übersicht über alle Funktionen, Unterstützungsprozesse, IKT-Systeme und Ressourcen als neue Ausgangsbasis der Auswirkungsanalyse aktualisieren.
• Eigene Notfallkonzepte zwingend mit jenen der relevanten Auslagerungsunternehmen abstimmen.
• Regelprozess etablieren, um die Wirksamkeit und Angemessenheit der Notfallkonzepte für kritische oder wichtige Funktionen mindestens jährlich zu validieren und zu dokumentieren.

AT 8 Anpassungsprozesse

AT 8.1 Neu-Produkt-Prozess – Katalogpflege und Wiederaufnahme

Die Kernanforderungen an den Neu-Produkt-Prozess (NPP) bleiben bestehen, erfahren jedoch prozessuale Verschiebungen. Die BaFin verlangt nun ausdrücklich, dass der Katalog jener Produkte und Märkte, die Gegenstand der Geschäftsaktivitäten sind, auf dem jeweils aktuellen Stand zu halten ist. Wird die Geschäftstätigkeit in bestimmten Produkten oder Märkten nach einem längeren Zeitraum wieder aufgenommen, hat das Institut eigenverantwortlich zu prüfen, ob der NPP erneut durchlaufen werden muss. Die bisherige Pflicht zur expliziten Kennzeichnung ungenutzter Produkte sowie zur vorherigen Einholung einer formellen Bestätigung durch die beteiligten Organisationseinheiten entfällt im aktuellen Anforderungstext. Häufen sich Fälle, in denen im Rahmen des Konzeptes oder der Testphase unzutreffende Annahmen oder Risikoanalysen getroffen wurden, ist der NPP zwingend anlassbezogen zu überprüfen und bei Mängeln unverzüglich anzupassen.

Der Wegfall der starren Kennzeichnungs- und Bestätigungspflichten reduziert den formalen Aufwand bei länger nicht genutzten Produkten. Zugleich muss das Institut anhand klarer eigener Kriterien entscheiden, ob bei einer Wiederaufnahme der Neu-Produkt-Prozess erneut zu durchlaufen ist. Diese Kriterien und die jeweilige Entscheidung sollten nachvollziehbar dokumentiert werden.

Action Points:

• Den bestehenden Produkt- und Marktkatalog auf Aktualität überprüfen und kontinuierliche Pflegeprozesse etablieren.
• In der NPP-Richtlinie gerichtsfest definieren, unter welchen exakten Parametern bei einer Wiederaufnahme länger nicht genutzter Produkte eine erneute NPP-Prüfung ausgelöst wird.
• Klare Eskalationskriterien für eine anlassbezogene Überprüfung des gesamten NPP (bei wiederholt unzutreffenden Annahmen) festlegen.

AT 8.2 Änderungen betrieblicher Prozesse oder Strukturen; Übernahmen und Fusionen

Der bisher separat geführte Modulbaustein zu Übernahmen und Fusionen (ehemals AT 8.3) wurde strukturell vollständig in den neuen AT 8.2 integriert. Bei wesentlichen Veränderungen der Aufbau- und Ablauforganisation sowie der IKT-Systeme müssen die Auswirkungen auf Kontrollverfahren weiterhin zwingend analysiert werden, wobei die Risikocontrolling-Funktion, die Compliance-Funktion und die Interne Revision einzubeziehen sind.

Bei Übernahmen und Fusionen muss das vorab zu erarbeitende Konzept weiterhin die wesentlichen strategischen Ziele, die voraussichtlichen Folgen für das Risikomanagement und die Auswirkungen auf das Gesamtrisikoprofil darstellen. Der bisherige ausführliche Mindestkatalog, etwa zur Entwicklung der Vermögens-, Finanz- und Ertragslage, zu Risikopositionen und rechtlichen Folgen, wird nicht fortgeführt. Diese Punkte können weiterhin als interne Prüffelder verwendet werden, soweit sie für das Vorhaben wesentlich sind.

Action Points:

• Vorlagen für Organisations-, Prozess- und IKT-Änderungen an die neue Systematik und Terminologie anpassen.
• M&A-Konzeptvorlagen auf die drei verbleibenden MaRisk-Kernanforderungen fokussieren; bisherige Detailfelder (z. B. zu bilanziellen und steuerrechtlichen Konsequenzen) zur eigenen Absicherung als interne Prüfpunkte fortführen.

AT 9 Auslagerung – DORA-Abgrenzung und IKT-Fremdbezug

AT 9 grenzt IKT-Dienstleistungen künftig ausdrücklich vom MaRisk-Auslagerungsregime ab: Ausgelagerte oder fremdbezogene IKT-Dienstleistungen nach Art. 3 Nr. 21 DORA, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, fallen nicht in den Anwendungsbereich des AT 9. Die jeweiligen Pflichten entfallen nicht, sondern richten sich nach DORA; geldwäscherechtliche Anforderungen bleiben unberührt. Institute müssen ihre Fremdbezüge deshalb konsistent als MaRisk-Auslagerung, sonstigen Fremdbezug oder IKT-Drittdienstleistung nach DORA einordnen.

Action Points:

• Fremdbezugskatalog zwingend auf Auslagerungen nach AT 9, sonstigen Fremdbezug und IKT-Drittdienstleistungen nach DORA umstellen.
• Schnittstellen zwischen dem MaRisk-Auslagerungsmanagement, dem IKT-Drittparteienrisikomanagement und der Geldwäscheprävention verbindlich festlegen.

Risikoanalyse: Prüfturnus und Szenarioanalyse

Die Risikoanalyse bleibt Grundlage der Wesentlichkeitseinstufung. Neu ist die ausdrückliche Mindestfrist von drei Jahren für ihre regelmäßige Überprüfung bei kleinen Instituten; bei wesentlichen Änderungen ist sie weiterhin anzupassen. Die Ergänzung um eine Szenarioanalyse, soweit sinnvoll und verhältnismäßig, war bereits 2024 vorgesehen. Kleine Institute dürfen weiterhin qualitative Ansätze nutzen. Interne und externe Verlustdaten sind nur zu verwenden, sofern sie verfügbar sind.

Action Points:

• Den Prüfturnus (bei kleinen Instituten maximal drei Jahre) sowie die Auslöser für anlassbezogene Aktualisierungen in der Auslagerungsrichtlinie verankern.
• Methodische Vorgaben zur Szenarioanalyse ergänzen und die Nutzung qualitativer Ansätze bei kleinen Instituten rechtssicher dokumentieren.

Vollauslagerung besonderer Funktionen und Revisionsprüfung

Die Möglichkeit der vollständigen Auslagerung besonderer Kontrollfunktionen wird enger gefasst. Die bisherige proportionale Öffnung für „kleinere Institute“ wird für Compliance-Funktion und Interne Revision auf „sehr kleine Institute“ begrenzt. Für die Risikocontrolling-Funktion besteht diese größenbezogene Ausnahme nicht mehr. Gruppenbezogene Ausnahmen für nicht wesentliche Tochterinstitute bleiben bestehen.

Die Interne Revision darf weiterhin auf eigene Prüfungshandlungen verzichten, wenn eine anderweitige Revisionstätigkeit den aufsichtlichen Anforderungen genügt und die relevanten Ergebnisse weitergeleitet werden. Nachweise und Zertifikate nach gängigen Standards dürfen ergänzend genutzt werden, reichen bei wesentlichen Auslagerungen aber nicht allein aus. Bestehende Vollauslagerungen sind deshalb anhand der neuen Größenklassen und der fortbestehenden Überwachungsanforderungen zu überprüfen.

Action Points:

• Bestehende Vollauslagerungen von Risikocontrolling, Compliance und Interner Revision anhand der neuen Größenkriterien (Fokus auf "sehr kleine Institute") prüfen und den Ausnahmestatus dokumentieren.
• Bei Aufrechterhaltung einer Vollauslagerung zwingend einen unabhängigen und sachkundigen internen Beauftragten benennen.
• Den Verzicht auf eigene Revisionshandlungen, die alternative Revisionstätigkeit sowie die flankierende Bewertung von Zertifikaten (als Ergänzung, nicht als Ersatz) prozessual festhalten

Ausstiegsstrategien, Vertragsinhalte und Weiterverlagerungen

Bei der Beendigung wesentlicher Auslagerungen bleiben Vorkehrungen für Kontinuität und Qualität sowie die Prüfung von Handlungsoptionen erforderlich. Der Begriff „Ausstiegsstrategien“ ersetzt die bisherige Bezeichnung „Ausstiegsprozesse“; die zugrunde liegende Pflicht ist im Kern nicht neu. Auch die Möglichkeit, auf gesonderte vertragliche Weisungsrechte bei hinreichend klarer Leistungsspezifikation zu verzichten, und die Festlegung interner Akzeptanzgrenzen für Schlechtleistungen bestanden bereits 2024. Neu ist vor allem der unmittelbare Verweis auf § 25b Abs. 3 Satz 3 KWG, der Inhalte des Auslagerungsvertrags vorschreibt, und die gestraffte Darstellung.

Bei Weiterverlagerungen knüpften die erweiterten Anforderungen bereits 2024 an die Wesentlichkeit der Weiterverlagerung an. Verbindlicher wird dagegen die Kontrolle langer und komplexer Auslagerungsketten: Das Institut muss nun ausdrücklich sicherstellen, dass seine Überwachungsfähigkeit durch solche Ketten nicht beeinträchtigt wird.

Action Points:

• Ausstiegsstrategien und Handlungsoptionen formulieren; bei fehlenden Alternativen das Notfallkonzept zwingend aktualisieren.
• Vertragsmuster mit den Vorgaben des § 25b Abs. 3 Satz 3 KWG abgleichen und sicherstellen, dass Informations- und Prüfungsrechte auch Zutritts-, Zugangs- und Zugriffsrechte umfassen.
• Akzeptanzgrenzen für Schlechtleistungen bereits in der Anbahnungsphase definieren und im Überwachungsprozess verankern.
• Auslagerungsketten auf ihre Überwachbarkeit prüfen und die Wesentlichkeit von Weiterverlagerungen isoliert bewerten.

Zentrales Auslagerungsmanagement und Berichterstattung

Die bisherige starre Pflicht zur Benennung eines isolierten "zentralen Auslagerungsbeauftragten" entfällt. Stattdessen ist, abhängig von Art, Umfang und Komplexität der Aktivitäten, ein "zentrales Auslagerungsmanagement" einzurichten. Dieses greift steuernd ein, unterstützt Fachbereiche, koordiniert Risikoanalysen und führt das Auslagerungsregister.

Bei der Berichterstattung über wesentliche Auslagerungen wird der bisherige jährliche Mindestturnus durch eine regelmäßige und anlassbezogene Berichterstattung ersetzt. Der Bericht muss Vertragserfüllung, Steuerbarkeit und den Bedarf an risikomindernden Maßnahmen beurteilen. Die Möglichkeit einer mündlichen Behandlung in einer Vorstandssitzung bestand bereits 2024 für kleinere, weniger komplexe Institute; sie wird nun ausdrücklich auf sehr kleine Institute begrenzt. Der gewählte Berichtsturnus und die Inanspruchnahme der Erleichterung sind nachvollziehbar zu dokumentieren.

Action Points:

• Rollen und Aufgaben auf das "zentrale Auslagerungsmanagement" überführen; bisherige Stabsstellen nur beibehalten, wenn dies organisatorisch sinnvoll bleibt.
• Den Berichtsturnus für wesentliche Auslagerungen risikoorientiert festlegen und die internen Richtlinien entsprechend anpassen.
• Bei sehr kleinen Instituten den Beschluss zur Berichterstattung im Rahmen der Vorstandssitzung protokollieren.

Teil 2: Besonderer Teil (BT, BTO und BTR)

BT 1 – Besondere Anforderungen an das interne Kontrollsystem

Straffung und Einbeziehung der Kreditspreadrisiken

BT 1 wird redaktionell und systematisch gestrafft. Kreditspreadrisiken im Anlagebuch waren bereits 2024 in BTR 5 geregelt; neu ist ihre ausdrückliche Aufnahme in die einleitende Aufzählung der BTR-Risikoarten. Die besonderen ESG-Hinweise im Eingangstext entfallen, ohne dass die Berücksichtigung von ESG-Risiken nach AT 2.2 aufgehoben wird.

Action Points:

• Sämtliche internen BT-1-Verweise in der IKS-, BTO- und BTR-Dokumentation an die gestraffte Terminologie anpassen.
• Kreditspreadrisiken im Anlagebuch in der Risikosteuerung und Berichterstattung zwingend dem Modul BTR 5 zuordnen.

BTO Anforderungen an die Aufbau- und Ablauforganisation

Die allgemeinen BTO-Vorgaben werden gestrafft. Die Unterscheidung zwischen „Bereich“ und „Stelle“ bestand bereits 2024 in den Erläuterungen: Eine unabhängige Stelle kann innerhalb der Geschäftsleiterlinie Markt oder Handel liegen, während ein Bereich außerhalb von Markt und Handel bis einschließlich der Geschäftsleiterebene getrennt sein muss. Neu ist daher vor allem die kompaktere Darstellung, nicht der Inhalt dieser Abgrenzung.

Auch die Möglichkeit, die Bereiche Markt für Kredit- und Immobiliengeschäft beziehungsweise die entsprechenden Marktfolge-Bereiche personenidentisch zu besetzen, bestand bereits 2024. Gleiches gilt im Kern für abweichende Linienstrukturen rechtlich unselbständiger Auslandszweigstellen, sofern die fachliche Funktionstrennung gewahrt bleibt. Die Neufassung übernimmt und strafft diese Regelungen. Nicht fortgeführt werden einzelne Detailvorgaben zur organisatorischen Ansiedlung des Rechnungswesens und des Marktpreisrisikocontrollings.

Action Points:

• Die BTO-Begrifflichkeiten (Bereich vs. Stelle) im Organigramm und in der Funktionstrennungsmatrix aktualisieren.
• Bei Doppelfunktionen dokumentieren, dass eine identische Besetzung ausschließlich innerhalb des Marktes oder der Marktfolge erfolgt.
• CRD-Drittstaatenzweigstellen müssen abweichende Linienorganisationen begründen und die fachliche Trennung nachweisen.

BTO 1 Kreditgeschäft – Beteiligungen und organisatorische Vorgaben

Für Beteiligungen werden die bereits 2024 in den Erläuterungen enthaltenen Maßstäbe gestrafft fortgeführt. Im Regelfall sind eine Beteiligungsstrategie und ein Beteiligungscontrolling erforderlich; für kreditnahe oder kreditersetzende Beteiligungen gelten zusätzlich die aufbau- und ablauforganisatorischen Anforderungen des BTO 1. Die materielle Erleichterung betrifft Verbund- und Pflichtbeteiligungen: Bei ihnen darf künftig sowohl auf eine Beteiligungsstrategie als auch auf ein gesondertes Beteiligungscontrolling verzichtet werden.

Action Points:

• Das Beteiligungsportfolio nach Regelfall, kreditnaher/kreditersetzender Beteiligung sowie Verbund-/Pflichtbeteiligung klassifizieren.
• Je nach Klassifizierung festlegen, ob eine Beteiligungsstrategie, BTO-1- oder BTO-3-Anforderungen (für Immobilientochterunternehmen) einschlägig sind.

BTO 1.1 Funktionstrennung und Votierung

Die Trennung von Markt und Marktfolge bis zur Geschäftsleiterebene bleibt das Kernelement im Kreditgeschäft. Materiell enger gefasst wird die vollständige Ausnahme vom Zwei-Voten-Prinzip: Die bisherige proportionale Öffnung steht künftig nur noch sehr kleinen Instituten offen und setzt voraus, dass die Geschäftsleitung risikorelevante Kredite selbst bearbeitet und beschließt.

Bei Krediten an Mitarbeiter und Geschäftsleiter bleibt die bereits 2024 erläuterte Pflicht bestehen, eine geeignete, nicht an der Kreditbearbeitung beteiligte Stelle – etwa die Personalabteilung – einzubeziehen. Die Regelung wird gestrafft fortgeführt; die eigentliche Kreditbearbeitung darf weiterhin im Kreditbereich verbleiben.

Die bislang in den Erläuterungen enthaltene materielle Plausibilitätsprüfung wird in den Anforderungstext übernommen. Die Marktfolge muss die Bearbeitung des Marktes nicht wiederholen, aber die Nachvollziehbarkeit der zugrunde gelegten Annahmen und Bewertungen sowie die Vertretbarkeit der vorgeschlagenen Kreditentscheidung prüfen. Hierfür benötigt sie Zugang zu allen wesentlichen Kreditunterlagen.

Der Verzicht auf ein zweites Votum bleibt für nicht-risikorelevante Kreditgeschäfte möglich. Drittinitiierte Geschäfte, stark standardisierte Entscheidungsabläufe und Bagatellgrenzen waren bereits 2024 in den Erläuterungen genannt; die Neufassung führt diese Fallgruppen gestrafft fort.

Auch die Bindung der Krediteinzelkompetenz an das Amt des Geschäftsleiters und der Ausschluss einer Ausübung durch Personen unterhalb der Geschäftsleitung bestanden bereits 2024. Die Kompetenz geht auch im Vertretungsfall nicht auf nachgelagerte Vertreter über. Anpassungsbedarf entsteht daher vor allem durch die neue Gliederung und gegebenenfalls durch abweichende interne Verweise.

Die Vorgaben zu unvoreingenommenen und interessenkonfliktfreien Entscheidungen, zu delegierten Befugnissen und zum Einsatz automatisierter Modelle waren bereits 2024 in den Erläuterungen angelegt und werden nun verbindlicher im Anforderungstext abgebildet. Die Kontrolle des rechtlichen Bestands von Sicherheiten darf weiterhin einer von Markt und Handel unabhängigen Stelle, etwa der Rechtsabteilung, zugewiesen werden.

Action Points:

• Den Verzicht auf zwei Voten strikt auf "sehr kleine Institute" (bei GL-Einbindung) sowie auf Abgrenzungskriterien für das nicht-risikorelevante Kreditgeschäft (inkl. drittinitiierte Geschäfte, Bagatellgrenzen) prüfen.
• Bei Krediten an Mitarbeiter und Geschäftsleiter die zwingende Mitwirkung einer unabhängigen Stelle (z. B. Personalabteilung) prozessual verankern.
• Die Krediteinzelkompetenzvorgaben aktualisieren und sicherstellen, dass die Vertretungsregelung für diese Befugnis ausschließlich auf Ebene der Geschäftsleitung stattfindet.
• Die materielle Plausibilitätsprüfung der Marktfolge sowie den uneingeschränkten Systemzugriff auf alle relevanten Kreditakten sicherstellen.
• Die Kompetenzordnung um Vorgaben zur Unvoreingenommenheit, Delegation und zum Einsatz automatisierter Modelle ergänzen.
• Die Zuständigkeit für die rechtliche Prüfung von Sicherheiten (z. B. an die Rechtsabteilung) klar zuordnen und in den Arbeitsanweisungen abbilden

BTO 1.2 Prozesse im Kreditgeschäft – Automatisierung, Sicherheiten und Erleichterungen

BTO 1.2 wird umfassend aktualisiert. Neben der terminologischen Anpassung von „Kreditgewährung“ zu „Kreditvergabe“ rücken insbesondere die Themen Automatisierung, Betrugsprävention und der Einsatz statistischer Bewertungsmodelle in den Fokus. Die bisherigen isolierten Verweise auf ESG-Risiken entfallen hier, da diese ganzheitlich im AT 2.2 sowie in den betroffenen Fachprozessen zu verankern sind.

Kreditvergabeprozess, Automatisierung und Betrugsprävention

Mehrere bislang vor allem in den Erläuterungen oder über EBA-Verweise enthaltene Vorgaben werden in den Anforderungstext übernommen. Dies betrifft Genehmigungsstufen, Kreditvergabekriterien, Risikominderungsmaßnahmen und den Umgang mit Abweichungen. Auch die Anforderungen an automatisierte Entscheidungsmodelle sowie an die Begrenzung interner und externer Betrugsrisiken werden nun unmittelbar und verbindlicher geregelt.

Der Anpassungsbedarf liegt damit vor allem in der Überführung bestehender Vorgaben in klare Prozess-, Modell- und Kontrollregelungen sowie in der Abstimmung mit den allgemeinen Modellanforderungen nach AT 4.3.4.

Erleichterungen im drittinitiierten Geschäft

Die Erleichterungen bei drittinitiierten Geschäften bestanden bereits 2024 in den Erläuterungen und werden gestrafft fortgeführt. Bei objektiv eingeschränktem Datenzugang kann unter den genannten Voraussetzungen auf einzelne Sensitivitätsanalysen, die Überwachung von Covenants sowie auf Intensiv- und Problemkreditbetreuung verzichtet werden.

Voraussetzung bleibt, dass der eingeschränkte Datenzugang nachvollziehbar ist und vertragliche Informationspflichten sicherstellen, dass das Institut über wesentliche Vorkommnisse beim Kreditnehmer informiert wird. Die Nutzung der Erleichterung und ihre Voraussetzungen sind zu dokumentieren.

Sicherheitenbewertung und Sachverständige

Die Verfahren zur Sicherheitenbewertung sind künftig regelmäßig, bei kleinen Instituten mindestens alle zwei Jahre, zu überprüfen. Der bisherige Genehmigungsvorbehalt der Geschäftsleitung vor Erstverwendung oder wesentlicher Änderung entfällt in diesem Modul. Anforderungen an fortgeschrittene statistische Bewertungsmodelle, die 2024 vor allem über EBA-Verweise einbezogen waren, werden nun unmittelbar ausformuliert. Sachverständige müssen weiterhin vom Markt unabhängig sein und dürfen nicht erfolgsabhängig vergütet werden. Neu ist außerdem, dass sehr kleine Institute auf eine Rotation bei der Bewertung von Immobiliensicherheiten verzichten dürfen.

Die Neufassung reduziert damit einzelne formale Vorgaben, verlangt aber eine belastbare Dokumentation der Bewertungsmethoden, Daten und Modellkenntnisse. Bestehende Rotations- und Genehmigungsprozesse sollten gezielt daraufhin geprüft werden, welche Anforderungen entfallen und welche aus Gründen der Unabhängigkeit oder Modellqualität beibehalten werden.

Konditionsgestaltung und Standardtexte

Die Konditionsgestaltung muss sich zwingend aus dem Risikoappetit, der Geschäftsstrategie und den vollumfänglichen Kosten ableiten. Die bisherige Vorgabe zu standardisierten Kreditvorlagen wurde gestrichen, jedoch müssen Verträge auf rechtlich geprüften Standardtexten beruhen, die anlassbezogen zu aktualisieren sind. Weicht der Markt vor Vertragsabschluss von diesen Standards ab, ist eine Freigabe durch eine marktunabhängige Stelle zwingend erforderlich. Im nicht-risikorelevanten Geschäft genügt die Prüfung durch einen sachkundigen, marktunabhängigen Mitarbeiter.

Action Points:

• Kreditprozessrichtlinien auf die neuen Vorgaben zu Genehmigungsstufen, Kreditlimiten und Betrugsprävention aktualisieren. Den Einsatz automatisierter Entscheidungsverfahren (inklusive der zulässigen Segmente und Limite) trennscharf dokumentieren.
• Prüfen, ob bei Kooperationen der Datenzugang objektiv eingeschränkt ist, um Erleichterungen zu nutzen. Informationspflichten zu Vorkommnissen vertraglich sicherstellen.
• Den Überprüfungsturnus für Bewertungsverfahren verankern; bei kleinen Instituten beträgt er mindestens zwei Jahre. Bei Nutzung statistischer Bewertungsmodelle Datenqualität und Modelldokumentation an die nun unmittelbar ausformulierten Anforderungen anpassen.
• Unabhängigkeit und Vergütungsstrukturen prüfen; sehr kleine Institute sollten den Verzicht auf Rotation bei Immobilienbewertungen formell beschließen und dokumentieren.
• Sicherstellen, dass die Konditionsgestaltung alle Kosten und den Risikoappetit reflektiert. Einen klaren Freigabeprozess für Abweichungen von rechtlich geprüften Standardtexten etablieren.

BTO 1.2.1 Kreditvergabe – EBA-Leitlinien und Sicherheitenbewertung

Die für Unternehmenskredite relevanten Verweise auf die Abschnitte 5.2.5 bis 5.2.11 der EBA-Leitlinien stehen nun im Anforderungstext; die bisherigen Verweise auf die Unterabschnitte für Verbraucherkredite werden nicht fortgeführt. Vor der Kreditvergabe sind Sicherheiten zu bewerten und ihr rechtlicher Bestand zu prüfen. Für große und komplexe bewegliche Sicherheiten sieht die MaRisk in der Regel eine Bewertung durch interne oder externe sachverständige Personen vor. Andere bewegliche Sicherheiten dürfen weiterhin auf Grundlage statistischer Modelle oder geeigneter standardisierter Verfahren bewertet werden.

Die Neufassung macht die Anforderungen an die Sicherheitenbewertung unmittelbarer, lässt aber weiterhin risikogerechte Differenzierungen zu. Institute müssen insbesondere festlegen, wann eine bewegliche Sicherheit als groß oder komplex gilt und welche Voraussetzungen statistische oder standardisierte Bewertungsverfahren erfüllen müssen.

Action Points:

• Erleichterungen im nicht-risikorelevanten Kreditgeschäft (z. B. bei Sensitivitätsanalysen) prozessual verankern und nachvollziehbar begründen.
• Prozesse zur Sicherheitenbewertung anpassen: Kriterien für große und komplexe bewegliche Sicherheiten festlegen, die in der Regel durch sachverständige Personen zu bewerten sind, und die methodischen Voraussetzungen für statistische oder standardisierte Verfahren dokumentieren.

BTO 1.2.2 Kreditweiterbearbeitung – Endfällige Kredite und Marktdaten

Bei endfälligen Krediten wird eine bereits 2024 in den Erläuterungen enthaltene Anforderung in den Anforderungstext übernommen. Die Rückzahlungsfähigkeit darf nicht allein aus der laufenden Zinsdienstfähigkeit abgeleitet werden; vielmehr ist die Fähigkeit zur Rückzahlung des Gesamtbetrags am Laufzeitende unter Berücksichtigung der Finanzlage, der Gesamtverschuldung und des Objekt- oder Projektwerts zu beurteilen.

Eine neue Erleichterung gilt für kleine Institute mit regional konzentriertem Kreditbuch: Sie dürfen auf den Einkauf fremder Daten und den Einsatz eines Marktschwankungskonzepts verzichten, wenn ihre eigenen Transaktionen einen hinreichenden Einblick in die Entwicklung der Immobilienmärkte im Geschäftsgebiet vermitteln.

Die Erleichterung für kleine Institute bei regionalen Marktinformationen kann den Beschaffungsaufwand reduzieren, setzt aber eine ausreichende eigene Transaktionsbasis und nachvollziehbare Dokumentation voraus. Bei endfälligen Krediten sind Prozesse und Vorlagen vor allem an die nun unmittelbar formulierte Prüfung der Rückzahlungsfähigkeit anzupassen. Die Detailerläuterungen zu Covenants und der isolierte EBA-Verweis entfallen.

Action Points:

• Die laufende Überprüfung endfälliger Kredite zwingend um die ganzheitliche Tilgungsfähigkeit am Laufzeitende (nicht nur Zinsdienst) ergänzen.
• Bei kleinen Instituten: Den Verzicht auf externe Marktdaten methodisch sauber auf den eigenen, belastbaren regionalen Markteinblick stützen und dies dokumentieren.
• Veraltete Verweise auf EBA-Abschnitt 8.3 und gestrichene Covenant-Detailvorgaben aus den Arbeitsrichtlinien entfernen.

BTO 1.2.3 & BTO 1.2.4: Kreditbearbeitungskontrolle und Intensivbetreuung

Beide Module bleiben materiell unverändert. In BTO 1.2.4 wurden lediglich beispielhafte Aufzählungen für Maßnahmen der Intensivbetreuung (wie die Aufnahme in Beobachtungslisten) aus dem Text gestrichen. Die Pflicht, prozessabhängige Kontrollen (etwa vor Valutierung) durchzuführen und geeignete Maßnahmen zur Rückführung von Krediten in die Normalbetreuung zu ergreifen, bleibt uneingeschränkt bestehen..

BTO 1.2.5 Behandlung von Problemkrediten – NPE-Einheiten und Rettungserwerbe

Im Problemkreditmanagement werden vor allem bereits bestehende Vorgaben verbindlicher gefasst und aus den Erläuterungen in den Anforderungstext übernommen.

Für Institute mit hohem NPL-Bestand wird die bisherige Soll-Vorgabe zu spezialisierten NPE-Abwicklungseinheiten zu einer verbindlichen Muss-Vorgabe. Die Einheiten müssen dem Geschäfts- und Risikoprofil entsprechen, grundsätzlich vom Kreditvergabeprozess getrennt und außerhalb des Bereichs Markt angesiedelt sein; eine Zuordnung zur Problemkreditbearbeitung bleibt möglich. Lassen sich personelle Überschneidungen nicht vermeiden, sind Interessenkonflikte zu vermeiden. Inhaltlich entsprechen diese Organisationsmerkmale weitgehend bereits der Erläuterung von 2024; neu ist vor allem ihre Verbindlichkeit und Aufnahme in den Anforderungstext.

Bei Immobilien aus Rettungserwerben liegt dagegen keine materielle Neuerung vor. Die bereits 2024 in den Erläuterungen enthaltene Regelung steht nun im Anforderungstext: Im Rahmen eines Rettungserwerbs erworbene Immobilien gelten als Immobiliengeschäfte.

Werden bei Immobilien aus Rettungserwerben die Schwellen nach BTO 3 überschritten, sind weiterhin die Anforderungen des BTO 3.2.2 zur Weiterbearbeitung und Überwachung zu beachten. Für die Umsetzung sind daher vor allem die verbindlichere Ausgestaltung der NPE-Abwicklungseinheiten und die Aktualisierung interner Verweise relevant.

Action Points:

• Bei hohem NPL-Bestand die zwingende Ansiedlung der NPE-Abwicklungseinheit außerhalb des Marktes und die strikte Trennung vom Kreditvergabeprozess im Organigramm sicherstellen.
• Bei unvermeidbaren personellen Überschneidungen in der NPE-Abwicklung verbindliche, wirksame Kontrollvorkehrungen (z. B. Vier-Augen-Prinzip, Eskalationswege) implementieren.
• Erworbene Immobilien formell als Immobiliengeschäfte klassifizieren und bei Überschreiten der BTO-3-Schwellen die Weiterbearbeitung nach BTO 3.2.2 anstoßen.

BTO 1.2.6 – Risikovorsorge

BTO 1.2.6 wird nur sprachlich bereinigt. Die Anforderungen an Kriterien für Wertberichtigungen, Abschreibungen und Rückstellungen, die zeitnahe Ermittlung und Fortschreibung der Risikovorsorge sowie die regelmäßigen Rückvergleiche der Methoden und Verfahren bleiben unverändert.

BTO 1.3.1 Früherkennung von Risiken

Die wesentliche formelle Änderung besteht in der unmittelbaren Aufnahme bislang über EBA-Verweise einbezogener Vorgaben in BTO 1.3.1. Ausgelöste Frühwarnindikatoren müssen zu einer Prüfung des Engagements und bei Bedarf zur Aufnahme in eine Beobachtungsliste führen. Die Geschäftsleitung ist regelmäßig über deren Stand und die ergriffenen Maßnahmen zu informieren. Die besonderen ESG- und EBA-Verweise entfallen.

Die Erleichterung für drittinitiierte Geschäfte bei objektiv eingeschränktem Datenzugang bestand bereits 2024 in den Erläuterungen und wird fortgeführt. Ebenfalls klargestellt bleibt, dass ein bloßes Rating- oder Scoringergebnis kein ausreichendes Früherkennungsverfahren darstellt. Wird das Risikoklassifizierungsverfahren zugleich zur Früherkennung eingesetzt, muss es Risiken über einen Zeitraum beobachten und einen geregelten Prozess für Folgemaßnahmen auslösen.

Die Kodifizierung der EBA-Leitlinien im Haupttext schafft Rechtssicherheit, erhöht jedoch die formellen Anforderungen an die prozessuale Dokumentation. Die Ausnahmeregelung bei drittinitiierten Geschäften reduziert den operativen Aufwand merklich, verlangt zur Absicherung der Risikoposition jedoch rechtlich belastbare und engmaschige vertragliche Informationspflichten gegenüber dem Dritten.

Action Points:

• Frühwarnindikatoren, Auslöseereignisse und die Systematik der Beobachtungsliste (inklusive Eskalationsstufen) im Früherkennungsprozess formalisieren.
• Die regelmäßige Berichterstattung an die Geschäftsleitung über den Bestand der Beobachtungsliste in den fixen Berichtsturnus aufnehmen.
• Bei drittinitiierten Geschäften den Verzicht auf eigene Verfahren dokumentieren und die entsprechenden Informationspflichten vertraglich absichern.
• Bestehende Risikoklassifizierungsverfahren auf indikatoren-, zeitraum- und prozessbezogene Komponenten prüfen, sofern sie als Früherkennungssystem fungieren.

BTO 1.3.2 – Forbearance

Das Modul wird gestrafft und unmittelbar an das aufsichtliche Meldewesen angebunden. Die Definition von Forbearance richtete sich bereits 2024 nach der Definition für das aufsichtliche Meldewesen. Die Neufassung führt diesen Ansatz fort und verweist ausdrücklich auf die einschlägigen aufsichtsrechtlichen Vorgaben. Kreditprozesse, Risikocontrolling und Meldewesen müssen deshalb dieselben Begriffe und Einstufungskriterien verwenden.

Die bisherige eigenständige Richtlinienvorgabe und mehrere Detailanforderungen werden nicht fortgeführt. Die Institute müssen weiterhin Prozesse, Zuständigkeiten, Entscheidungswege, verfügbare Maßnahmen und Verfahren zur Wirksamkeitsmessung festlegen. Standardisierte Lösungen für homogene Portfolios mit geringer Komplexität waren bereits 2024 zulässig und bleiben möglich.

Neu ausdrücklich genannt wird neben der Zahlungsfähigkeit auch die Zahlungswilligkeit des Kreditnehmers. Die Eignung einer Forbearance-Maßnahme ist anhand beider Kriterien zu beurteilen; Sicherheiten oder Garantien ersetzen diese Prüfung nicht. Vertragsänderungen mit Auswirkungen auf das Zahlungsverhalten erfordern eine erneute Beurteilung der finanziellen Lage. Nachverhandlungen ohne finanzielle Schwierigkeiten sind weiterhin von Forbearance-Maßnahmen abzugrenzen.

Der Wegfall einzelner Detailvorgaben eröffnet mehr Spielraum für eine institutsindividuelle Ausgestaltung, erhöht aber die Bedeutung klarer eigener Kriterien und einer einheitlichen Anwendung in Kreditprozess, Risikocontrolling und Meldewesen. Insbesondere die Beurteilung, ob die Zahlungsfähigkeit in einem angemessenen Zeitraum wiederhergestellt werden kann, ist nachvollziehbar zu dokumentieren.

Action Points:

• Forbearance-Definitionen in den internen Richtlinien zwingend mit den Kriterien des aufsichtlichen Meldewesens synchronisieren, um divergierende Einstufungen zu vermeiden.
• Interne Regelwerke anpassen: Den Wegfall der Pflicht-Richtlinie nutzen, um Prozesse, Zuständigkeiten und Maßnahmen effizienter in bestehenden Arbeitsanweisungen abzubilden; fachlich sinnvolle Detailvorgaben sollten zur eigenen Absicherung bewusst fortgeführt werden.
• Prüfungsprozesse so ausgestalten, dass Zahlungsfähigkeit und Zahlungswilligkeit des Kreditnehmers angemessen beurteilt werden; Sicherheiten und Garantien dürfen diese Beurteilung nicht ersetzen. Standardisierte Lösungen für homogene, wenig komplexe Portfolios risikogerecht einsetzen.
• Prozessuale Auslöser festlegen, um bei Vertragsänderungen mit Auswirkung auf das Zahlungsverhalten eine Neubeurteilung anzustoßen und rein wirtschaftliche Nachverhandlungen rechtssicher abzugrenzen.
• Bestehende Arbeitsanweisungen auf veraltete MaRisk- und EBA-Verweise sowie unbeabsichtigte Selbstbindungen (z. B. starre Zweijahresfristen) überprüfen und bereinigen.

BTO 1.4 Risikoklassifizierungsverfahren

Das Modul bleibt materiell vollständig unverändert. Die Anforderungen an aussagekräftige Risikoklassifizierungsverfahren, die strikte Verortung der organisatorischen Verantwortung für diese Verfahren außerhalb des Bereiches Markt sowie die Berücksichtigung qualitativer und quantitativer Kriterien gelten in der bisherigen Form fort.

BTO 2.1 Funktionstrennung

Die Anforderungen an die Funktionstrennung sowie die Befugnisse von Kundenberatern wurden direkt in den Anforderungstext überführt. Kundenberater dürfen weiterhin Aufträge zur Preisgestaltung an den Handel weiterleiten, sofern sie innerhalb festgelegter Limits bleiben; eine eigene Kursstellung sowie der Aufbau von Eigenpositionen bleiben für diesen Personenkreis strikt untersagt.

Die Befreiung von der Funktionstrennung (zwischen Handel und Abwicklung/Kontrolle) erfolgt nicht mehr anhand des starren Kriterienkatalogs nach Art. 94 Abs. 1 CRR. An dessen Stelle tritt die qualitative Anforderung, dass das Handelsvolumen im Verhältnis zum Gesamtgeschäft gering und die Struktur der Geschäfte nicht komplex sein muss. Bei kleinsten Strukturen ist die Aufgabentrennung durch direkte Einbindung der Geschäftsleitung oder die temporäre Zuweisung fachfremder Mitarbeiter sicherzustellen.

Die Abkehr von starren CRR-Referenzen erhöht die organisatorische Flexibilität. Gleichzeitig verlagert die Nutzung unbestimmter Rechtsbegriffe („geringes Volumen“, „nicht komplex“) das regulatorische Interpretationsrisiko auf das Institut. Eine belastbare, intern definierte Abgrenzung dieser Kriterien ist daher zwingend erforderlich, um die Inanspruchnahme von Trennungserleichterungen bei Aufsichtsprüfungen revisionssicher zu begründen.

Action Points:

• Kundenberater-Richtlinien hinsichtlich Limitrahmen und Tätigkeitsverboten prüfen.
• Interne Schwellenwerte für "geringes Volumen" und "nicht komplexe Strukturen" als Basis für Trennungserleichterungen definieren und dokumentieren.
• Bei Kleinststrukturen den Prozess zur Geschäftsleitungseinbindung oder zur temporären Mitarbeiterzuordnung in den Arbeitsanweisungen explizit verankern.

BTO 2.2.1 Handel

BTO 2.2.1 bleibt im Wesentlichen unverändert. Die jährliche Übertragung der Positionsverantwortung für mindestens zehn Handelstage ist weiterhin sicherzustellen; die Ausgestaltung ist an Art, Umfang und Komplexität der Handelsaktivitäten auszurichten. Bei der Vertragsprüfung entfällt der ausdrückliche Klammerhinweis auf Rahmenvereinbarungen, Nettingabreden und Sicherheitenbestellungen; die Pflicht zur unabhängigen Prüfung der rechtlichen Durchsetzbarkeit bleibt bestehen.

Action Points:

• Die jährliche Übertragung der Positionsverantwortung auf Art, Umfang und Komplexität der Handelsaktivitäten abstimmen und die Ausgestaltung nachvollziehbar dokumentieren.

BTO 2.2.2 Abwicklung und Kontrolle

Die wichtigsten Änderungen betreffen den Bestätigungsprozess und die Nachvollziehbarkeit von Positionen und Zahlungsströmen. Mehrere Vorgaben, die 2024 nur in den Erläuterungen standen, sind nun unmittelbar in den Anforderungstext aufgenommen. Unverändert bleibt der Grundsatz, Handelsgeschäfte abhängig von Art, Umfang, Komplexität und Risiko grundsätzlich elektronisch abzuwickeln und vorhandene Abwicklungssysteme möglichst zu nutzen.

Fehlende oder unvollständige Gegenbestätigungen sind weiterhin unverzüglich zu reklamieren. Können Gegenbestätigungen nicht eingeholt werden, muss das Institut Existenz und Inhalt des Geschäfts auf andere geeignete Weise prüfen. Diese Vorgabe stand 2024 noch in den Erläuterungen. Neu ist die verbindlichere inhaltliche Vorgabe für Ad-hoc-Bestätigungen bei komplexen Produkten: Sieht der Rahmenvertrag vor, dass nur ein Vertragspartner die ausführliche Vertragsfassung erstellt, muss die beiderseitige Ad-hoc-Bestätigung die wesentlichen Angaben zum vereinbarten Handelsgeschäft enthalten. 2024 war diese Vorgabe mit „sollte“ noch weniger verbindlich formuliert.

Ebenfalls in den Anforderungstext übernommen werden die Möglichkeit, innerhalb von Rahmenverträgen Schweigen nach Ablauf einer vorher vereinbarten Frist als Gegenbestätigung festzulegen, und die Pflicht, auf Häufungen von Stornierungen und Korrekturen bei einzelnen Mitarbeitern oder bestimmten Geschäften zu achten. Die bisherige ausdrückliche Formulierung, Gegenbestätigungen dürften nicht an den Handel adressiert sein, ist entfallen. Weiterhin ist jedoch ihr unverzüglicher und direkter Eingang in die Abwicklung zu überwachen.

Die Sonderregel zu OTC-Derivaten ist inhaltlich nicht neu, steht nun aber im Anforderungstext. Eine Bestätigung nach Art. 11 Abs. 1 Buchstabe a EMIR genügt, wenn sie unabhängig vom Handel erfolgt, die Meldepflicht gegenüber einem Transaktionsregister erfüllt wird, beide Vertragspartner die Abschlussdaten jederzeit abrufen können und das Institut den Abruf tatsächlich vornimmt und dokumentiert. Zugleich wurde der Verweis auf die durch EMIR 3 geänderte Fassung der Verordnung aktualisiert.

Auch die Erleichterung bei einer automatischen Datenweiterleitung wird aus den Erläuterungen in den Anforderungstext übernommen. Auf die Kontrollen, ob Geschäftsunterlagen vollständig und zeitnah vorliegen und ob Händlerangaben richtig, vollständig und mit vorhandenen Vergleichsunterlagen übereinstimmen, kann verzichtet werden, wenn die eingegebenen Abschlussdaten automatisch und ohne weitere Eingriffsmöglichkeit des Händlers an die Abwicklung weitergeleitet werden. Änderungen und Stornierungen der Abschlussdaten oder Buchungen sind weiterhin außerhalb des Handels zu kontrollieren.

Bei der Marktgerechtigkeitskontrolle ändert sich in der Sache wenig. Die bisher erläuterten Stichproben- und Ausnahmefälle stehen nun im Anforderungstext. Das betrifft insbesondere Stichproben bei liquiden Kassa- und Termingeschäften, den möglichen Verzicht bei Geschäften an Börsen oder anderen organisierten Märkten, den weiterhin erforderlichen Kontrollumfang bei organisierten Handelssystemen (OTF), Erleichterungen beim Ersterwerb aus einer Emission sowie die Einbeziehung interner Handelsgeschäfte.

Eine klare Verschärfung betrifft die Nachvollziehbarkeit von Positionen und Zahlungsströmen. Bisher wurde lediglich erläutert, dass entsprechende Prozesse notwendig sein können. Nach der neuen Fassung müssen geeignete Prozesse vorhanden sein, mit denen sich der Bestand und die Veränderungen von Positionen sowie die Zahlungsströme nachvollziehen lassen. Zu prüfen ist deshalb nicht nur, ob Abstimmungsprozesse bestehen, sondern ob sie diese Nachvollziehbarkeit tatsächlich gewährleisten und belegen.

Action Points:

• Bestätigungsprozesse auf Ersatzverifikation, Muss-Angaben in Ad-hoc-Bestätigungen sowie den Abruf der Abschlussdaten aus dem Transaktionsregister und dessen Dokumentation bei OTC-Derivaten prüfen.
• Kontrollkonzept auf automatische Datenweiterleitung sowie Auffälligkeiten bei Stornierungen und Korrekturen prüfen.
• Marktgerechtigkeitskontrolle und Nachvollziehbarkeit von Positionen und Zahlungsströmen auf veraltete Verweise und tatsächliche Dokumentationslücken prüfen.

BTO 3 Immobiliengeschäft

Die zentrale Änderung in diesem Modul ist die deutliche Anhebung der Anwendungsschwellen. Auf die besonderen Anforderungen des BTO 3 kann künftig verzichtet werden, solange die Buchwerte aller Immobiliengeschäfte weder 40 Mio. Euro noch 4 % der Bilanzsumme überschreiten. Bisher lagen die Schwellen bei 30 Mio. Euro und 2 %. Wird auch nur eine der beiden neuen Schwellen überschritten, ist BTO 3 anzuwenden. Zugleich wird die bislang nur in den Erläuterungen enthaltene Schwellenregelung in den Anforderungstext übernommen.

Neu ist außerdem die ausdrückliche Möglichkeit, Immobilienbuchwerte anteilig anzurechnen. Sie gilt für Immobiliengeschäfte gemeinschaftlich beherrschter Unternehmen und auch für Immobiliengeschäfte von Tochterunternehmen nach § 290 HGB. Voraussetzung ist, dass keine Anhaltspunkte für Umgehungsgeschäfte bestehen.

Der Kreis der in die Schwellenberechnung einzubeziehenden Geschäfte bleibt dagegen unverändert. Zu erfassen sind neben den unmittelbar vom Institut betriebenen Immobiliengeschäften auch die Immobiliengeschäfte von Tochterunternehmen und gemeinschaftlich beherrschten Unternehmen, sofern deren Vermögensgegenstände ausschließlich oder überwiegend aus Immobiliengeschäften oder Beteiligungen daran bestehen. Neu ist nicht ihre Einbeziehung, sondern die Möglichkeit, die betreffenden Immobilienbuchwerte anteilig anzusetzen.

BTO 3 enthält keine gesonderte Vorgabe zur Dokumentation der Schwellenprüfung. Nach den allgemeinen Dokumentationsanforderungen ist die Entscheidung, BTO 3 nicht anzuwenden, jedoch nachvollziehbar festzuhalten. Wird von der anteiligen Anrechnung Gebrauch gemacht, sollten auch die Berechnungsgrundlage und die Prüfung auf Anhaltspunkte für Umgehungsgeschäfte dokumentiert werden.

Action Points:

• BTO-3-Anwendbarkeit anhand der neuen Schwellen von 40 Mio. EUR und 4 % der Bilanzsumme prüfen.
• Vollständigkeit der einbezogenen Immobiliengeschäfte prüfen, insbesondere bei Tochterunternehmen und gemeinschaftlich beherrschten Unternehmen, und die Berechnungslogik für eine anteilige Anrechnung festlegen.
• Entscheidung über die Nichtanwendung von BTO 3 sowie gegebenenfalls Berechnungsgrundlage, Beteiligungsquote und Prüfung auf Anhaltspunkte für Umgehungsgeschäfte dokumentieren.

BTO 3.1 Aufbauorganisation

Neu im Anforderungstext ist die materielle Plausibilitätsprüfung des marktunabhängigen Votums. Inhaltlich war sie bereits 2024 in den Erläuterungen enthalten. Die Marktfolge muss die Bearbeitung des Marktes nicht wiederholen. Sie muss jedoch prüfen, ob die Investitionsentscheidung nachvollziehbar und vertretbar ist, ob das Markt-Votum eine tragfähige Entscheidungsgrundlage bildet und ob das Immobiliengeschäft nach Höhe und Ausgestaltung vertretbar ist. Hierfür benötigt sie Zugang zu allen wesentlichen Unterlagen.

Funktionstrennung, Zwei-Voten-Prinzip und die Vorgabe, dass die Marktfolge in einem Ausschuss nicht überstimmt werden darf, bleiben unverändert. Auch bei einem von Dritten initiierten Immobiliengeschäft genügt weiterhin ein Votum der Marktfolge. Als Drittinitiierung kann unverändert auch der Fall behandelt werden, dass ein Tochterunternehmen den Erwerb anstößt und ein erstes Votum abgibt. Die Voten dürfen weiterhin in einem Dokument zusammengefasst werden.

Nicht mehr ausdrücklich enthalten sind die Hinweise zur Dokumentation des positiven Votums durch Unterschrift oder elektronische Freigabe, zum Verbot eines Gefälligkeitsvotums und zur Abstufung der Prüfungsintensität nach der Komplexität des Geschäfts. Ein rein formales Mitzeichnen genügt dennoch nicht, da dem marktunabhängigen Votum weiterhin eine materielle Plausibilitätsprüfung zugrunde liegen muss. Ebenfalls entfallen ist die bisherige Vorgabe, bei abweichenden Voten das Geschäft entweder abzulehnen oder einer höheren Kompetenzstufe vorzulegen. Eine klare Kompetenzordnung mit Entscheidungsregeln und Eskalationsverfahren bleibt jedoch erforderlich.

Action Points:

• Vorlagen und Arbeitsanweisungen für das Votum der Marktfolge um die Prüfung der Aussagekraft des Markt-Votums sowie der Vertretbarkeit von Höhe und Ausgestaltung des Geschäfts ergänzen.
• Sicherstellen, dass die materielle Plausibilitätsprüfung aus den Entscheidungsunterlagen hervorgeht und der Marktfolge alle wesentlichen Unterlagen zugänglich sind.
• Kompetenzordnung und Eskalationsverfahren für abweichende Voten überprüfen und Verweise auf die bisher ausdrücklich vorgegebenen Entscheidungsalternativen aktualisieren.

BTO 3.2 – Prozesse im Immobiliengeschäft

Neu im Anforderungstext stehen zwei Regelungen, die 2024 noch in den Erläuterungen enthalten waren. Erstens darf die Entwicklung der Prozesse weiterhin im Bereich Markt erfolgen, wenn ein marktunabhängiger Bereich deren Qualität auf Grundlage einer materiellen Plausibilitätsprüfung sichert. Zweitens dürfen Tochterunternehmen die nach BTO 3.2 erforderlichen Tätigkeiten selbst ausführen, wenn sich das Institut angemessen von deren Qualität überzeugt. Inhaltlich sind diese Regelungen damit nicht neu, werden nun aber unmittelbar im Anforderungstext verankert.

Der bisherige ausdrückliche Hinweis, dass das Tochterunternehmen nach klaren Vorgaben des Instituts handeln muss, entfällt. Die allgemeinen Organisationsanforderungen verlangen jedoch weiterhin, Aufgaben, Kompetenzen, Verantwortlichkeiten und Kommunikationswege klar festzulegen. Zudem muss das Institut nachvollziehbar darlegen können, wie es die Qualität der durch das Tochterunternehmen ausgeführten Tätigkeiten geprüft hat.

Die Anforderungen an Bewertungsverfahren, Wertansatz, Objektbesichtigung, Qualifikation der sachverständigen Personen, Vermeidung von Interessenkonflikten und Plausibilisierung externer Bewertungen bleiben im Wesentlichen unverändert. Weiterhin ist eine angemessene Rotation der für die Bewertung zuständigen Personen sicherzustellen. Nicht übernommen wurde dagegen die bisherige feste Vorgabe, nach zwei aufeinanderfolgenden Einzelbewertungen derselben Immobilie die sachverständige Person zu wechseln.

Action Points:

• Prozessentwicklung im Bereich Markt nur vorsehen, wenn die marktunabhängige Qualitätssicherung und die zugrunde liegende materielle Plausibilitätsprüfung klar geregelt und dokumentiert sind.
• Für Tätigkeiten von Tochterunternehmen Zuständigkeiten, Informationswege, Unterlagenzugang und Art der Qualitätsprüfung festlegen.
• Bewertungsrichtlinien auf Qualifikation, Interessenkonflikte, angemessene Rotation und Plausibilisierung externer Bewertungen prüfen; starre Verweise auf einen Wechsel nach zwei Einzelbewertungen entfernen.

BTO 3.2.1 – Immobilienerwerb oder -errichtung

Der Abschnitt bleibt inhaltlich weitgehend unverändert. Vor einem Immobilienerwerb oder einer Immobilienerrichtung sind die risikobedeutsamen Aspekte weiterhin abhängig vom Risikogehalt des Geschäfts zu analysieren und zu beurteilen. Kritische Punkte sind hervorzuheben. Einzubeziehen sind insbesondere die wirtschaftlichen Aspekte, bei Immobilienprojekten außerdem die technische Machbarkeit, die weitere Entwicklung und die rechtlichen Risiken. Werden externe Personen hinzugezogen, ist deren Eignung vorab zu prüfen. Auch die Marktwertermittlung vor dem Erwerb bleibt unverändert vorgeschrieben.

Entfallen ist lediglich die ausdrückliche Vorgabe, kritische Punkte gegebenenfalls unter verschiedenen Szenarien darzustellen. BTO 3.2.1 enthält damit keine eigenständige allgemeine Pflicht mehr, Szenarioanalysen durchzuführen. Sie bleiben jedoch ein geeignetes Mittel, wenn sich Risiken aufgrund der Projektstruktur oder erheblicher wirtschaftlicher Unsicherheiten anders nicht angemessen beurteilen lassen.

Action Points:

• Erwerbs- und Errichtungsprozesse weiterhin auf eine risikobasierte Analyse ausrichten und Kriterien festlegen, bei welchen Geschäften Szenarioanalysen zur sachgerechten Risikobeurteilung eingesetzt werden.

BTO 3.2.2 – Weiterbearbeitung und Überwachung

Die wesentlichen Überwachungspflichten bleiben bestehen. Während der Entwicklungsphase von Immobilienprojekten sind weiterhin Besichtigungen und Bautenstandskontrollen durchzuführen; deren Abstände sind nach dem Risiko des Projekts festzulegen. Hinzu kommt unverändert die laufende Kostenkontrolle.

Auch der Immobilienwert ist weiterhin jährlich zu überprüfen. Ergibt die Prüfung, dass sich der Wert um mehr als 10 % verringert haben könnte, ist eine Neubewertung erforderlich. Außerordentliche Überprüfungen bleiben vorgeschrieben, wenn Informationen auf eine wesentliche negative Wertänderung der Immobilie oder des Immobilienprojekts hindeuten. Der jährliche Bericht an die Geschäftsleitung über Wertänderungen und Risiken bleibt ebenfalls erhalten und ist nun in Tz. 3 geregelt.

Entfallen sind die ausdrückliche Klarstellung, dass bei der jährlichen Überprüfung unter bestimmten Voraussetzungen auf vorhandene Immobilienwerte zurückgegriffen werden darf, sowie der Verweis auf BTO 3.2 Tz. 2 bis 4. Eine erforderliche Neubewertung richtet sich dennoch nach den allgemeinen Bewertungsvorgaben des BTO 3.2. Nicht mehr ausdrücklich genannt werden außerdem die unverzügliche Durchführung der außerordentlichen Überprüfung, die Unterscheidung zwischen internen und externen Informationsquellen sowie die unverzügliche Weiterleitung an alle beteiligten Organisationseinheiten. Für wesentliche Risikoinformationen gilt jedoch weiterhin die allgemeine Pflicht zur unverzüglichen Weitergabe an die Geschäftsleitung und die zuständigen Verantwortlichen.

Action Points:

• Verfahren für die jährliche Wertüberprüfung auf einen nachvollziehbaren Prüfungsnachweis und einen eindeutigen Auslöser für Neubewertungen bei möglichen Wertverlusten von mehr als 10 % prüfen.
• Regelungen zu außerordentlichen Überprüfungen und zur Weitergabe wesentlicher Informationen an die gestraffte Fassung anpassen, ohne notwendige kurze Reaktions- und Informationswege aufzugeben.
• Verweise auf die bisherige Nummerierung aktualisieren und sicherstellen, dass erforderliche Neubewertungen weiterhin nach BTO 3.2 durchgeführt werden.

BTO 3.2.3 Bearbeitungskontrollen

BTO 3.2.3 entfällt vollständig. Damit wird die bisherige besondere Vorgabe gestrichen, für Immobiliengeschäfte prozessabhängige Kontrollen einzurichten, die Einhaltung der Organisationsrichtlinien sicherzustellen und insbesondere die Entscheidung nach der Kompetenzordnung zu kontrollieren. Auch der ausdrückliche Hinweis auf das Vier-Augen-Prinzip wird nicht übernommen.

Aus dem Wegfall folgt jedoch nicht, dass sämtliche Kontrollen entbehrlich werden. Die allgemeinen Anforderungen an das interne Kontrollsystem, die klare Festlegung von Aufgaben und Kompetenzen sowie die Funktionstrennung gelten fort. Die bisherigen Bearbeitungskontrollen sind daher daraufhin zu prüfen, welche Kontrollen weiterhin erforderlich sind, und in die allgemeinen Kontroll- und Kompetenzregelungen einzuordnen. Eine unveränderte Fortführung sämtlicher bisheriger Kontrollen ist ebenso wenig zwingend wie deren ersatzlose Streichung.

Action Points:

• Verweise auf BTO 3.2.3 aus Organisationsrichtlinien, Kontrollbeschreibungen und Prüfprogrammen entfernen.
• Bestehende Bearbeitungskontrollen einzeln daraufhin prüfen, ob sie zur Einhaltung der allgemeinen Organisations-, Funktionstrennungs- und Kompetenzvorgaben weiterhin erforderlich sind.
• Verbleibende Kontrollen mit klaren Zuständigkeiten in die allgemeinen Kontrollprozesse für das Immobiliengeschäft übernehmen.

BTR Risikosteuerungs- und -controllingprozesse

Die ausdrücklichen Hinweise auf ESG-Risiken im Eingang des BTR und in BTR 1 Tz. 1 entfallen. Daraus folgt jedoch keine Freistellung von der Berücksichtigung dieser Risiken. Die Anforderungen stehen nun gebündelt in AT 2.2: Auswirkungen von ESG-Risiken sind bei der Risikoinventur, bei der Ausgestaltung des internen Kontrollsystems einschließlich des Risikotragfähigkeitskonzepts, in der Strategie und in der Berichterstattung angemessen zu berücksichtigen.

Für wesentliche Umweltrisiken gelten ergänzend besondere Anforderungen an Stresstests. Neu ausdrücklich vorgesehen sind langfristige Resilienzanalysen, bei denen ein wahrscheinlicher Verlauf der Umweltbedingungen mindestens einem nachteiligen Szenario gegenüberzustellen ist. Diese besondere Vorgabe betrifft Umweltrisiken und damit nicht sämtliche ESG-Risiken.

BTR 1 – Adressenausfallrisiken

Aktualisierte Limitbegriffe und fortlaufende Überwachung

Bei den kreditnehmerbezogenen Limiten wird die bisherige Bezeichnung „Kreditnehmereinheitenlimit“ durch „Limit je Gruppe verbundener Kunden“ ersetzt. Auch wenn dies zunächst nur eine terminologische Änderung ist, sollte geprüft werden, ob Abgrenzungen, Zuordnungen und Auswertungen in den Systemen der neuen Bezeichnung entsprechen.

Die Ausnahmen für Börsengeschäfte und bestimmte Kassageschäfte stehen künftig unmittelbar im Anforderungstext. Inhaltlich bleiben sie unverändert: Eine Anrechnung auf das Kontrahentenlimit ist nicht erforderlich, wenn der Gegenwert bereits angeschafft wurde, Zug um Zug angeschafft wird oder eine entsprechende Deckung besteht.

Nicht mehr ausdrücklich genannt werden Wiedereindeckungs- und Erfüllungsrisiken bei der Ermittlung der Auslastung von Kontrahentenlimiten. Diese Streichung sollte nicht ohne weitere Prüfung als Erlaubnis verstanden werden, wirtschaftlich bestehende Risiken aus der Limitermittlung auszunehmen. BTR 1 verlangt weiterhin eine angemessene Begrenzung der Adressenausfallrisiken.

Konkreter gefasst wird die laufende Limitüberwachung. Während bisher nur die Einhaltung der Limite zu überwachen war, muss künftig die Limitauslastung fortlaufend überwacht werden. Die Dokumentation von Überschreitungen und Maßnahmen sowie die tägliche Meldung wesentlicher Überschreitungen an den zuständigen Geschäftsleiter bleiben bestehen.

Emittentenlimite: bisherige Erleichterung entfällt teilweise

Der Grundsatz bleibt bestehen: Für Handelsgeschäfte sind Emittentenlimite festzulegen. Kurzfristige Limite können weiterhin auf Grundlage risikobasierter Vorgaben eingeräumt werden. Der reguläre Bearbeitungsprozess muss nach der neuen Fassung innerhalb von drei Monaten vollständig durchgeführt werden. Ebenso kann weiterhin auf eine gesonderte Emittentenlimitierung verzichtet werden, wenn das spezifische Adressenausfallrisiko durch Marktpreisrisikolimite auf Grundlage angemessener Verfahren erfasst wird und Risikokonzentrationen berücksichtigt werden.

Nicht übernommen wird die bisherige ausdrückliche Erleichterung, bei Handelsbuchbeständen mit einer Haltedauer von höchstens drei Monaten vollständig auf den Bearbeitungsprozess zu verzichten. Auch die besonderen Regelungen für eine vorläufige Anrechnung von Geschäften des Anlagebuchs auf Vorratslimite entfallen. Nach dem neuen Wortlaut ist daher bei kurzfristig eingeräumten Emittentenlimiten grundsätzlich von einem innerhalb von drei Monaten abzuschließenden Bearbeitungsprozess auszugehen.

Handelsgeschäfte dürfen weiterhin auf pauschale, kurzfristig eingeräumte Emittentenlimite – sogenannte Vorratslimite – angerechnet werden. Voraussetzung ist, dass diese Limite aus dem Risikotragfähigkeitskonzept und dem Limitsystem abgeleitet sind und ausreichendes Risikodeckungspotenzial vorhanden ist.

Der Hinweis zu liquiden Kreditprodukten wie Loan Trading wird verkürzt. Vor Aufnahme der Handelstätigkeit müssen weiterhin Kontrahenten- oder Emittentenlimite festgelegt werden. Der bisherige ausdrückliche Hinweis, hierbei die Erleichterungen für kurzfristige Emittentenlimite nutzen zu können, entfällt.

Risikokonzentrationen: weniger Beispiele, unveränderte Kernpflicht

Die ausführlichen Beispiele für Adressen-, Sektor-, regionale und sonstige Konzentrationen werden nicht fortgeführt. Ebenfalls entfällt die ausdrückliche Vorgabe, für ihre Beurteilung qualitative und möglichst auch quantitative Verfahren einzusetzen.

Die Kernanforderung bleibt bestehen. Risikokonzentrationen sind zu identifizieren, unter Berücksichtigung bestehender Abhängigkeiten zu bewerten und mit geeigneten Instrumenten zu steuern und zu überwachen. Wirtschaftliche Verflechtungen und rechtliche Abhängigkeiten werden weiterhin ausdrücklich als mögliche Abhängigkeiten genannt. Der Wegfall einzelner Beispiele rechtfertigt daher keine pauschale Verengung der betrachteten Konzentrationsarten.

Erlösquotensammlung

Die Pflicht zur Erfassung der Erlöse aus der Abwicklung von Kreditengagements und der historischen Werte der zugehörigen Sicherheiten bleibt unverändert. Weiterhin einzubeziehen sind Erlösquoten aus Rettungserwerben. Nicht mehr ausdrücklich vorgeschrieben ist dagegen, die gewonnenen Erkenntnisse bei der Steuerung der Adressenausfallrisiken zu berücksichtigen.

Action Points:

• Limitrichtlinien, Systeme und Berichte auf die Bezeichnung „Gruppe verbundener Kunden“ sowie auf die fortlaufende Überwachung der Limitauslastung umstellen. Wiedereindeckungs- und Erfüllungsrisiken nicht allein wegen ihrer gestrichenen Nennung aus der Limitermittlung entfernen.
• Den Emittentenlimitprozess an die neue Fassung anpassen. Insbesondere ist sicherzustellen, dass der reguläre Bearbeitungsprozess bei kurzfristig eingeräumten Emittentenlimiten innerhalb von drei Monaten abgeschlossen wird. Die Voraussetzungen für Vorratslimite und ihre Anrechnung sind eindeutig festzulegen.
• Risikokonzentrationskonzept nicht verengen; entfallene Beispiele fortführen, soweit sie für das institutsindividuelle Geschäfts- und Risikoprofil relevant sind.

BTR 2 – Marktpreisrisiken

Gestraffte Regelungen und ausformulierte Anforderungen an Zinsänderungsrisiken

Der bisher nur in den Erläuterungen beschriebene Aufbau des BTR 2 wird als neue Tz. 1 in den Anforderungstext aufgenommen. Danach gelten die allgemeinen Anforderungen des BTR 2.1 für sämtliche Marktpreisrisiken einschließlich der Zinsänderungsrisiken des Anlagebuchs. BTR 2.2 ergänzt sie für das Handelsbuch, BTR 2.3 enthält die besonderen Regelungen für das Anlagebuch.

Nicht fortgeführt werden die ausdrückliche ESG-Nennung beim Limitsystem und der bisherige Katalog der Marktpreisrisiken. Auch der besondere Hinweis auf bonitäts- und marktliquiditätsbedingte Risiken entfällt. Der Umfang der zu erfassenden Risiken wird dadurch nicht eingeschränkt. ESG-Risiken sind weiterhin nach AT 2.2 bei der Risikoinventur, im internen Kontrollsystem, in der Strategie und in der Berichterstattung zu berücksichtigen.

Die übrigen allgemeinen Anforderungen bleiben unverändert. Marktpreisrisiken sind durch ein auf der Risikotragfähigkeit beruhendes Limitsystem zu begrenzen. Geschäfte dürfen nur innerhalb eines Marktpreisrisikolimits abgeschlossen werden. Die Verfahren zur Risikobeurteilung sind regelmäßig und auch auf ihre Eignung bei schweren Marktstörungen zu prüfen; für länger fehlende, veraltete oder verzerrte Marktpreise sind alternative Bewertungsverfahren vorzusehen. Die Ergebnisse aus Rechnungswesen und Risikocontrolling sind regelmäßig miteinander abzugleichen.

BTR 2.2 Marktpreisrisiken des Handelsbuches

Redaktionelle Zusammenführung ohne inhaltliche Änderung

BTR 2.2 wird gestrafft und neu nummeriert. Die bisher getrennten Vorgaben zur täglichen Bewertung sowie zur täglichen Ergebnisermittlung und Zusammenfassung der Risikopositionen werden in einer Tz. zusammengeführt. Inhaltlich bleiben sämtliche Anforderungen bestehen:

• unverzügliche Anrechnung der Geschäfte auf die einschlägigen Limite,
• zeitnahe Information der Positionsverantwortlichen über Limite und Auslastung,
• Maßnahmen und gegebenenfalls Eskalation bei Limitüberschreitungen,
• tägliche Bewertung und Ergebnisermittlung,
• tägliche Zusammenfassung der Risikopositionen sowie
• fortlaufender Vergleich der modellierten Risikowerte mit der tatsächlichen Entwicklung.

Es besteht daher vor allem Anpassungsbedarf bei Nummerierungen und Verweisen, nicht bei den zugrunde liegenden Prozessen.

BTR 2.3 Marktpreisrisiken des Anlagebucheseinschließlich Zinsänderungsrisiken

Bewertung und Ergebnisermittlung werden zusammengeführt

Die mindestens vierteljährliche Bewertung der Positionen und die mindestens vierteljährliche Ergebnisermittlung werden in einer Tz. zusammengefasst. Die bisher im Anforderungstext enthaltene Vorgabe, abhängig von Art, Umfang, Komplexität und Risiko eine tägliche, wöchentliche oder monatliche Bewertung, Ergebnisermittlung und Risikokommunikation vorzunehmen, steht künftig in den Erläuterungen. Inhaltlich bleibt eine risikogerechte höhere Frequenz damit weiterhin erforderlich.

Bisherige EBA-Verweise werden im MaRisk-Text ausformuliert

Neu ist vor allem, dass wesentliche Vorgaben, die bislang nur über Verweise auf die EBA-Leitlinien einbezogen waren, nun im MaRisk-Text selbst stehen. Der Anforderungstext verlangt ausdrücklich, sämtliche zinssensitiven bilanziellen und außerbilanziellen Positionen des Anlagebuchs zu erfassen. Dies umfasst auch notleidende Risikopositionen nach Abzug der Wertberichtigungen und unter Berücksichtigung ihrer erwarteten Zahlungsströme. Die Erläuterungen stellen zudem klar, dass unmittelbare Pensionsverpflichtungen einzubeziehen sind, soweit die damit verbundenen Risiken nicht bereits anderweitig erfasst werden.

Ebenfalls neu ausformuliert sind die methodischen Anforderungen. Die Institute müssen festlegen, welche Betrachtungsperspektiven und Zinskurven sie verwenden, welche Zinsänderungen sie unterstellen und wie sie Margen in den Zahlungsströmen behandeln. Werden Margen bei der barwertigen Betrachtung herausgerechnet, ist der risikofreie Zinssatz für jedes Instrument zu Laufzeitbeginn nachvollziehbar zu bestimmen. Die gewählte Methode muss für alle einbezogenen Positionen und Geschäftsbereiche einheitlich angewandt werden. Als wesentliche Ausprägungen der Zinsänderungsrisiken nennt die MaRisk nun ausdrücklich Zinslücken-, Basis- und Optionsrisiken.

Separate Bewertung wird verbindlich

Aus der bisherigen Soll-Vorgabe wird eine Muss-Vorgabe: Zinsänderungsrisiken sind künftig ausdrücklich separat zu bewerten. Weiterhin sind sowohl die Auswirkungen auf das handelsrechtliche Ergebnis einschließlich zinsbedingter Marktwertveränderungen als auch die Auswirkungen auf Markt- und Barwerte zu betrachten. Beide Perspektiven müssen in den Risikosteuerungs- und -controllingprozessen abgebildet werden.

Der bisherige ausdrückliche Zusatz, beide Perspektiven auch bei der Beurteilung der Risikotragfähigkeit heranzuziehen, wird in BTR 2.3 nicht fortgeführt. Daraus folgt jedoch keine allgemeine Ausnahme von der Risikotragfähigkeitsbetrachtung: Wesentliche Risiken müssen weiterhin durch das Risikodeckungspotenzial abgedeckt sein.

Die bisher in den Erläuterungen enthaltene Ausnahme für zeitlich unbegrenzt verfügbare Eigenkapitalbestandteile wird in den Anforderungstext übernommen und präzisiert. Nicht in die barwertige Ermittlung einzubeziehen sind Instrumente des harten Kernkapitals sowie sonstige unbefristete Eigenmittelinstrumente, die ohne vertraglich bestimmte Kündigungs- oder Rückzahlungstermine zeitlich unbegrenzt zur Verfügung stehen.

Genauere Vorgaben für Positionen ohne feste Kapital- oder Zinsbindung

Die Anforderungen an die Modellierung von Positionen ohne feste Kapital- oder Zinsbindung werden deutlich konkreter. Die Annahmen müssen mögliche Veränderungen ihrer Stabilität berücksichtigen, insbesondere bei unterschiedlichen Zinsszenarien, Veränderungen des wirtschaftlichen Umfelds und Wechseln zwischen Produktklassen. Außerdem ist zwischen Kerneinlagen und sonstigen Einlagen sowie nach Kunden- und Kontenarten zu unterscheiden. Die bestehende Vorgabe, im Modell der gleitenden Durchschnitte keine Stützstellen von mehr als zehn Jahren zu verwenden, bleibt erhalten.

Eine wesentliche Änderung betrifft Einlagen von Finanzkunden. Nach der Fassung von 2024 durften sie nicht modelliert werden und waren als täglich fällig anzusetzen. Künftig dürfen operative Einlagen von Finanzkunden im Sinne von Art. 27 der Delegierten Verordnung (EU) 2015/61 modelliert werden. Andere Einlagen von Finanzkunden bleiben von der Modellierung ausgeschlossen.

Für Positionen ohne feste Kapital- oder Zinsbindung aus Einlagen von Nicht-Finanzkunden und aus operativen Einlagen von Finanzkunden darf die angenommene gewichtete durchschnittliche Zinsbindung fünf Jahre nicht überschreiten. Die Grenze gilt auf Ebene des gesamten Portfolios dieser Einlagen und ist für jede Währung gesondert einzuhalten. Sie bezieht sich damit nicht auf jedes einzelne Konto oder Produkt.

Mehrwährungsrisiken und interne Risikotransfers

Bei wesentlichen Zinsänderungsrisiken in mehreren Währungen sind die Risiken für jede wesentliche Währung gesondert zu ermitteln. Für die jeweiligen Zinsszenarien sind währungsspezifische Annahmen festzulegen. Abhängigkeiten zwischen den Zinsentwicklungen verschiedener Währungen dürfen nur berücksichtigt werden, wenn sie hinreichend begründet sind. Für die anschließende Zusammenfassung der Risikowerte sind konservative Annahmen zu verwenden. Diese Anforderungen waren 2024 lediglich über einen Verweis auf die EBA-Leitlinien einbezogen und stehen nun unmittelbar im Anforderungstext.

Interne Risikotransfers zwischen Anlage- und Handelsbuch müssen weiterhin dokumentiert werden. Neu ausdrücklich geregelt ist, dass sie zudem mit den risikopolitischen Vorgaben des Instituts übereinstimmen müssen.

Action Points

• Risikoinventur, Organisationsrichtlinien und Verweise an die neue Gliederung des BTR 2 anpassen. Den Umfang der Marktpreisrisiken trotz des entfallenen Risikokatalogs und der gestrichenen ESG-Nennung nicht verengen.
• Verfahren für Zinsänderungsrisiken auf den vollständigen Positionsumfang einschließlich notleidender Positionen und unmittelbarer Pensionsverpflichtungen prüfen. Betrachtungsperspektiven, Zinskurven, Zinsszenarien, Margenbehandlung sowie Zinslücken-, Basis- und Optionsrisiken eindeutig festlegen.
• Die verbindliche separate Bewertung der Zinsänderungsrisiken und die präzisierte Behandlung von Instrumenten des harten Kernkapitals und sonstigen unbefristeten Eigenmittelinstrumenten in Methoden und Richtlinien abbilden.
• Modelle für Positionen ohne feste Kapital- oder Zinsbindung auf Stabilitätsannahmen, Wechsel zwischen Produktklassen, Segmentierung nach Einlagen-, Kunden- und Kontenart sowie die Zulässigkeit operativer Finanzkundeneinlagen prüfen. Die Fünfjahresgrenze auf Ebene des gesamten Portfolios und getrennt nach Währung überwachen.
• Mehrwährungsmodelle auf währungsspezifische Annahmen, belastbare Abhängigkeitsannahmen und eine konservative Zusammenfassung der Risikowerte prüfen. Interne Risikotransfers dokumentieren und mit den risikopolitischen Vorgaben abstimmen.

BTR 3 Liquiditätsrisiken

Einheitliche Anforderungen für alle Institute

Die bisherigen Abschnitte BTR 3.1 und BTR 3.2 werden in einem einheitlichen BTR 3 zusammengeführt. Die besonderen Anforderungen an kapitalmarktorientierte Institute entfallen als eigener Abschnitt. Vor allem der einmonatige Mindesthorizont für Liquiditätspuffer und die Anforderungen an deren Nutzbarkeit gelten künftig für alle Institute. Gleichzeitig wird der Regelungstext deutlich gestrafft und auf zentrale Vorgaben beschränkt. Der Wegfall einzelner Detailregelungen erlaubt Vereinfachungen jedoch nur, soweit Geschäftsmodell, Risikoprofil und Aussagekraft der Verfahren dies zulassen.

Grundanforderungen, Diversifikation und Früherkennung

Neu ist die vorbehaltlose Pflicht, das untertägige Liquiditätsrisiko zu steuern. Der bisherige Zusatz „soweit erforderlich“ entfällt. Unverändert müssen die Refinanzierungsquellen und die Liquiditätspuffer ausreichend diversifiziert sein. Dies kann weiterhin über Verbund- oder Konzernstrukturen erreicht werden. Als mögliche Kriterien nennt die MaRisk Geschäftspartner oder Emittenten, Produkte, Laufzeiten und Regionen.

Die besonderen Hinweise auf ESG-Risiken und Konzentrationen werden aus BTR 3 gestrichen. Inhaltlich bleiben beide Themen relevant: ESG-Risiken sind nach AT 2.2 bei der Risikoinventur, im internen Kontrollsystem, in der Strategie und in der Berichterstattung zu berücksichtigen. Risiken und Risikokonzentrationen sind nach AT 4.3.2 weiterhin wirksam zu begrenzen und zu überwachen.

Unverändert bleiben die frühzeitige Erkennung drohender Liquiditätsengpässe, die mindestens jährliche Überprüfung der hierfür eingerichteten Verfahren und die Berücksichtigung anderer Risiken, etwa von Reputationsrisiken.

Liquiditätsübersichten

Liquiditätsübersichten für den kurz-, mittel- und langfristigen Bereich bleiben vorgeschrieben. Nicht mehr ausdrücklich verlangt wird, dass sich die Annahmen zu den Mittelzu- und -abflüssen sowie deren Einteilung in Zeitbänder in den Übersichten angemessen widerspiegeln. Auch der besondere Hinweis auf mögliche Inanspruchnahmen aus Liquiditäts- und Kreditlinien, die das Institut Dritten eingeräumt hat, entfällt. Diese Faktoren sind gleichwohl weiterhin einzubeziehen, soweit sie für eine vollständige und aussagekräftige Darstellung der Liquiditätslage erforderlich sind.

Liquiditätspuffer

Die wichtigste materielle Änderung ist der künftig für alle Institute geltende Mindestzeitraum. Die Liquiditätspuffer müssen den im Stresstest ermittelten Liquiditätsbedarf über einen am Risikoappetit ausgerichteten Zeitraum von mindestens einem Monat abdecken. Bisher galt dieser Mindestzeitraum ausdrücklich nur für kapitalmarktorientierte Institute.

Als Bestandteile der Puffer nennt die neue Fassung neben Zentralbankgeld hochliquide, unbelastete und zentralbankfähige Vermögensgegenstände, die jederzeit ohne erhebliche Wertverluste auf privaten Märkten zu Liquidität gemacht werden können. Der Nutzung der Puffer dürfen keine rechtlichen, regulatorischen, technischen oder operationellen Hindernisse entgegenstehen. Die ausdrückliche Einbeziehung technischer Hindernisse ist neu.

Nicht mehr ausdrücklich geregelt sind dagegen:

• die vollständige Deckung des Liquiditätsbedarfs auch in normalen Marktphasen,
• die laufende Prüfung der Deckungsfähigkeit in einem angespannten Marktumfeld,
• die gesonderte Prüfung des Liquiditätsgrads der Vermögenswerte und des dauerhaften Zugangs zu Refinanzierungsquellen,
• die bisherige Aufteilung des Puffers in einen besonders liquiden Teil für mindestens eine Woche und weitere Vermögensgegenstände für den restlichen Zeitraum bis zu einem Monat sowie
• die Detailvorgaben zu Bonität, Bewertbarkeit, Markttiefe, Wertabschlägen, besicherter Refinanzierung und zur bereits bestehenden Eignung für den vorgesehenen Liquidierungsweg.

Auch die besondere Vorgabe zur Verteilung der Liquiditätspuffer auf verschiedene Staaten oder Rechtsräume wird nicht fortgeführt.

Für belastete Vermögensgegenstände verbleibt eine allgemeine Pflicht: Höhe, Art, Umfang und Entwicklung der Belastung müssen bei der Steuerung und Beurteilung der Liquiditätsrisiken berücksichtigt werden. Nicht übernommen werden die bisherigen Vorgaben zur zeitnahen Ermittlung, zur Berichterstattung an die Geschäftsleitung sowie zur ausdrücklichen Einbeziehung in Stressszenarien und den Liquiditätsnotfallplan.

Verrechnungssystem

Das verursachungsgerechte interne Verrechnungssystem für Liquiditätskosten, Liquiditätsnutzen und Liquiditätsrisiken bleibt erforderlich. Neu ist, dass alle Institute die Kosten der vorzuhaltenden Liquiditätspuffer in der Ertrags- und Risikosteuerung berücksichtigen müssen. Bisher war die ausdrückliche Verrechnung dieser Kosten Teil der besonderen Vorgaben für große Institute mit komplexen Geschäftsaktivitäten. Die Erleichterung für Institute mit überwiegend kleinteiligem Kundengeschäft und stabiler Refinanzierung bleibt bestehen.

Nicht fortgeführt werden die ausdrückliche Ausrichtung des Verrechnungssystems an Geschäftsaktivitäten und Refinanzierungsstruktur sowie dessen Genehmigung durch die Geschäftsleitung. Ebenfalls entfällt die Pflicht großer Institute mit komplexen Geschäftsaktivitäten, ein besonderes Liquiditätstransferpreissystem einzurichten. Damit entfallen auch die zugehörigen Detailvorgaben zur Verrechnung auf Geschäftsebene, zur Einbeziehung außerbilanzieller Geschäfte, zu Haltedauer und Marktliquidität, zu unsicheren Zahlungsströmen, zur unabhängigen Methodenverantwortung, zur Transparenz der Transferpreise und zur einheitlichen Anwendung innerhalb der Gruppe.

Stresstests

Die Kernanforderungen bleiben bestehen. Die Stresstests müssen weiterhin institutseigene und marktweite Ursachen sowie deren Kombination erfassen. Außerdem ist der voraussichtliche Zeitraum zu ermitteln, über den das Institut unter den jeweiligen Stressannahmen zahlungsfähig bleibt.

Nicht mehr ausdrücklich vorgeschrieben sind eine individuelle Definition der Liquiditätsstresstests und unterschiedlich lange Zeithorizonte. Auch die bisherigen detaillierten Stressannahmen für kapitalmarktorientierte Institute werden nicht übernommen. Neu ist dagegen eine Erleichterung für kleine Institute: Sie müssen nur das Szenario untersuchen, das regelmäßig die größten Auswirkungen hat. In der Regel ist dies die Kombination aus institutseigenen und marktweiten Ursachen. Die Auswahl des maßgeblichen Szenarios sollte nachvollziehbar begründet werden.

Liquiditätsnotfallplan und gruppeninterne Übertragbarkeit

Der Liquiditätsnotfallplan bleibt im Wesentlichen unverändert. Er muss die im Engpassfall vorgesehenen Maßnahmen, die verfügbaren Liquiditätsquellen unter Berücksichtigung möglicher Mindererlöse und die Kommunikationswege festlegen. Die Maßnahmen sind regelmäßig auf ihre Durchführbarkeit zu prüfen und bei Bedarf anzupassen. Die Ergebnisse der Stresstests sind weiterhin einzubeziehen.

Der bisherige gesonderte Prüfauftrag zu rechtlichen, regulatorischen und operationellen Beschränkungen bei der Übertragung liquider Mittel und unbelasteter Vermögensgegenstände innerhalb einer Gruppe entfällt. Die allgemeine Vorgabe zur uneingeschränkten Nutzbarkeit der Liquiditätspuffer ersetzt diese Regelung nicht vollständig, da sie sich unmittelbar nur auf die Nutzung der Puffer bezieht. Gruppeninterne Übertragungsbeschränkungen bleiben daher zu berücksichtigen, soweit sie die tatsächliche Verfügbarkeit der Puffer oder das Liquiditätsrisiko des Instituts beeinflussen.

Fremdwährungsliquidität

Bei wesentlichen Liquiditätsrisiken in Fremdwährungen bleiben angemessene Verfahren zur Steuerung der Liquidität in den betroffenen Währungen erforderlich. Nicht mehr ausdrücklich vorgeschrieben sind gesonderte Liquiditätsübersichten, eigene Fremdwährungsstresstests und die ausdrückliche Einbeziehung in den Liquiditätsnotfallplan. Die Definition wesentlicher Fremdwährungsliquiditätsrisiken anhand bedeutender Fremdwährungspositionen sowie gleichzeitiger Währungs- oder Laufzeitinkongruenzen bleibt unverändert.

Der Wegfall der Mindestmaßnahmen erlaubt eine Vereinfachung nur, wenn die verbleibenden Verfahren eine angemessene Steuerung der wesentlichen Fremdwährungsrisiken gewährleisten. Je nach Risikoprofil können gesonderte Übersichten, Stresstests oder Notfallmaßnahmen daher weiterhin erforderlich sein.

Interner Refinanzierungsplan

Der Refinanzierungsplan muss künftig zwingend einen mehrjährigen Zeitraum abdecken. Bisher war ein mehrjähriger Planungshorizont nur „in der Regel“ vorgesehen. Neu im Anforderungstext ist außerdem, dass seine Ausgestaltung ausdrücklich von Art und Umfang der Liquiditätsrisiken abhängt. Strategien, Risikoappetit, Geschäftsmodell und mögliche nachteilige Entwicklungen bleiben zu berücksichtigen.

Nicht mehr einzeln genannt werden Veränderungen der Geschäftstätigkeit, der strategischen Ziele und des wirtschaftlichen Umfelds. Auch die Erläuterung zur Abgrenzung gegenüber den Refinanzierungsplänen nach den EBA-Leitlinien entfällt. Solche Veränderungen bleiben jedoch relevant, soweit sie sich auf das Geschäftsmodell, den Risikoappetit oder Art und Umfang der Liquiditätsrisiken auswirken.

Action Points:

• Liquiditätspuffer auf einen am Risikoappetit ausgerichteten Zeitraum von mindestens einem Monat, ihre Zusammensetzung und ihre tatsächliche Nutzbarkeit prüfen.
• Liquiditätsübersichten, Prozesse zur Erfassung und Überwachung belasteter Vermögensgegenstände und Fremdwährungssteuerung trotz entfallener Detailvorgaben nur insoweit vereinfachen, wie Aussagekraft und Risikoprofil dies zulassen.
• Das interne Verrechnungssystem um die Berücksichtigung der Kosten der Liquiditätspuffer ergänzen und überholte Verweise auf das besondere Liquiditätstransferpreissystem prüfen.
• Das Stresstestkonzept an die gestrafften Vorgaben anpassen. Bei Nutzung der Erleichterung für kleine Institute ist nachvollziehbar festzuhalten, weshalb das ausgewählte Szenario regelmäßig die größten Auswirkungen hat.
• Den internen Refinanzierungsplan auf einen zwingend mehrjährigen Horizont umstellen und seine Ausgestaltung ausdrücklich an Art und Umfang der Liquiditätsrisiken ausrichten.

BTR 4 Operationelle Risiken

Verbindlichere Vorgaben für Schadensfälle und ihre Zusammenfassung

BTR 4 behält seine bisherige Grundstruktur. Die Änderungen betreffen vor allem verbindlichere Formulierungen und die Übernahme bisheriger Erläuterungen in den Anforderungstext. Zugleich entfallen einzelne Definitionen und Detailvorgaben.

Die Pflicht, operationelle Risiken institutsweit einheitlich zu definieren und von anderen Risiken abzugrenzen, bleibt bestehen. Bereits 2024 musste diese Festlegung den Mitarbeitern mitgeteilt werden. Neu ist die ausdrückliche Vorgabe, sie verständlich zu kommunizieren. Der bisherige erläuternde Hinweis auf eine möglichst klare Abgrenzung gegenüber anderen Risikoarten wird nicht fortgeführt.

Verbindlicher wird der Umgang mit Schadensfällen, die zugleich einen Markt- oder Kreditrisikobezug aufweisen, mit Beinaheverlusten und mit zusammenhängenden Ereignissen. Die Prozesse „müssen“ diese Fälle künftig erfassen; 2024 hieß es noch, sie „sollten“ dies tun. Nicht übernommen werden dagegen die bisherigen Definitionen von Boundary Events und Beinaheverlusten sowie das Beispiel einer zunächst fehlerhaften, später zurückgezahlten Überweisung. Die Begriffe sollten daher intern weiterhin eindeutig festgelegt werden.

Die mindestens jährliche Identifizierung und Bewertung wesentlicher operationeller Risiken bleibt unverändert. Der besondere ESG-Hinweis in BTR 4 entfällt. ESG-Risiken sind jedoch weiterhin nach AT 2.2 bei der Risikoinventur, im internen Kontrollsystem, in der Strategie und in der Berichterstattung zu berücksichtigen. IKT-Risiken werden nun ausdrücklich als Bestandteil der operationellen Risiken eingeordnet und sind in die Risikoinventur einzubeziehen.

Schadensfälle sind weiterhin angemessen zu erfassen; bedeutende Schadensfälle müssen unverzüglich analysiert werden. Der Zusatz, dass sich die Analyse ausdrücklich auf die Ursachen beziehen muss, entfällt. Eine Ursachenbetrachtung bleibt gleichwohl erforderlich, soweit über Maßnahmen zur Beseitigung der Ursachen zu entscheiden ist. Nicht fortgeführt wird die besondere Vorgabe für größere Institute, eine Ereignisdatenbank für Schadensfälle oberhalb festgelegter Schwellenwerte einzurichten. Neu im Anforderungstext steht dagegen die Pflicht, einzeln erfasste Schadensfälle, die auf dasselbe Ereignis zurückgehen, zusammengefasst weiterzuverarbeiten.

Auch die Anforderungen an die Risikobeurteilung werden teilweise aus den Erläuterungen in den Anforderungstext übernommen. Historische Erkenntnisse, insbesondere eingetretene Schadensfälle, und mögliche künftige Ereignisse sind nun ausdrücklich einzubeziehen. Der bisherige Katalog möglicher Informationsquellen entfällt. Nicht mehr einzeln genannt werden Erkenntnisse aus der Internen Revision, dem Informationssicherheitsmanagement, der Compliance-Funktion, den Anpassungsprozessen sowie dem Notfall- und Auslagerungsmanagement. Soweit diese Erkenntnisse für die Beurteilung operationeller Risiken erheblich sind, sollten sie weiterhin berücksichtigt werden.

Unverändert ist auf Grundlage der identifizierten Risiken zu entscheiden, ob Ursachen beseitigt oder andere Steuerungsmaßnahmen ergriffen werden müssen. Als Beispiele nennt die MaRisk weiterhin Versicherungen, Ersatzverfahren, die Neuausrichtung von Geschäftsaktivitäten und Maßnahmen des Notfallmanagements. Die bisherige ausdrückliche Pflicht, die Umsetzung beschlossener Maßnahmen zu überwachen, entfällt. Ein ersatzloser Verzicht auf die Maßnahmenverfolgung wäre jedoch mit den allgemeinen Anforderungen an die Steuerung und Überwachung wesentlicher Risiken schwer vereinbar.

Action Points:

• Definition und Abgrenzung operationeller Risiken auf eine verständliche Kommunikation sowie auf eine eindeutige interne Behandlung von Schadensfällen mit Markt- oder Kreditrisikobezug, Beinaheverlusten und zusammenhängenden Ereignissen prüfen.
• Im Schadensfallprozess die Zusammenfassung von Einzelfällen mit gemeinsamer Ursache sicherstellen. Ursachenanalysen und eine vorhandene Ereignisdatenbank nicht allein wegen des Wegfalls der besonderen Vorgaben aufgeben, sondern risikoorientiert überprüfen.
• Bei der Risikobeurteilung weiterhin Erkenntnisse der Kontroll- und Managementfunktionen einbeziehen, beschlossene Maßnahmen nachhalten und ESG- sowie IKT-Risiken nach AT 2.2 erfassen.

BTR 5 Kreditspreadrisiken im Anlagebuch

Konkreter Positionsumfang statt Verweisen auf die EBA-Leitlinien

Die wichtigste Änderung in BTR 5 liegt darin, dass bisher über Verweise auf die EBA-Leitlinien einbezogene Vorgaben nun weitgehend im MaRisk-Text selbst stehen. Dadurch wird vor allem der Kreis der einzubeziehenden Positionen ausdrücklich geregelt. Auch die Vorgaben für kleine Handelsbücher und interne Risikotransfers werden unmittelbar oder in den Erläuterungen ausformuliert; inhaltlich waren wesentliche Teile bereits über die EBA-Verweise zu beachten.

Neu ist, dass BTR 5 Tz. 1 ausdrücklich auf die wesentlichen Kreditspreadrisiken im Anlagebuch abstellt. Unverändert bleibt die Pflicht, Kreditspreadänderungen aus zwei Perspektiven zu beurteilen: nach ihren Auswirkungen auf das handelsrechtliche Ergebnis einschließlich kreditspreadbedingter Marktwertänderungen sowie nach ihren Auswirkungen auf die Markt- beziehungsweise Barwerte der betroffenen Positionen. Beide Perspektiven sind weiterhin in den Risikosteuerungs- und -controllingprozessen zu berücksichtigen.

Nicht fortgeführt wird die besondere Formulierung, wonach beiden Sichtweisen auch bei der Beurteilung der Risikotragfähigkeit Rechnung zu tragen ist. Dies nimmt wesentliche Kreditspreadrisiken jedoch nicht aus der Risikotragfähigkeit heraus. Nach AT 4.1 müssen sämtliche wesentlichen Risiken grundsätzlich durch das Risikodeckungspotenzial abgedeckt sein.

Die bisher in AT 2.2 enthaltene Möglichkeit, Kreditspreadrisiken gemeinsam mit anderen Risikoarten oder als eigene Risikoart zu ermitteln, steht nun in den Erläuterungen zu BTR 5. Unabhängig von der gewählten Zuordnung sind Kreditspreadrisiken weiterhin gesondert auszuweisen.

Neu ausdrücklich geregelt ist der Positionsumfang:

• Zum beizulegenden Zeitwert bewertete Positionen der Aktivseite sind einzubeziehen.
• Notleidende Risikopositionen sind nicht einzubeziehen.
• Positionen dürfen nicht allein wegen ihrer Handelbarkeit oder einer kurzen Haltedauer generell ausgeschlossen werden.
• Für einzelne Produktgruppen sind pauschalere Entscheidungen über eine Nichtberücksichtigung möglich. Genannt werden Kredite ohne Kreditspreadrisikosensitivität, die nicht zur Veräußerung bestimmt sind, Einlagen und bestimmte Derivate, deren Basiswert konstruktionsbedingt keine Kreditspreadrisikosensitivität aufweist.

Die Nichtberücksichtigung einer Position bleibt zu begründen und zu dokumentieren. Pauschale Ausschlüsse setzen damit voraus, dass die betreffende Produktgruppe tatsächlich keine relevante Kreditspreadrisikosensitivität aufweist.

Bei der Ermittlung der Kreditspreadänderungen darf künftig ausdrücklich nach Währungen unterschieden werden. Kleine Handelsbücher nach Art. 94 CRR sind gemeinsam mit dem Anlagebuch zu behandeln, wenn ihr Kreditspreadrisiko nicht bereits durch eine andere Risikoermittlung erfasst wird. Beide Vorgaben stehen in den Erläuterungen und ersetzen insoweit den bisherigen allgemeinen Verweis auf einzelne Randnummern der EBA-Leitlinien.

Schuldner- oder instrumentspezifische Risikokomponenten dürfen weiterhin berücksichtigt werden. Die neue Fassung verlangt, dass dies konservativ erfolgt und nachvollziehbar begründet wird. Eine eindeutige materielle Lockerung oder Verschärfung gegenüber 2024 ist damit nicht verbunden.

Interne Risikotransfers zwischen Anlage- und Handelsbuch müssen weiterhin dokumentiert werden. Neu ist die ausdrückliche Vorgabe, dass sie mit den risikopolitischen Vorgaben des Instituts übereinstimmen müssen. Der ergänzende Verweis auf die EBA-Leitlinien entfällt.

Die Zuordnung der Kreditspreadrisiken zur Risikoberichterstattung bleibt frei wählbar: Sie können im Bericht über Adressenausfallrisiken, im Marktpreisrisikobericht oder in einem gesonderten Bericht dargestellt werden. Nicht fortgeführt wird der Verweis auf die besonderen Berichtsvorgaben der EBA-Leitlinien.

Action Points:

• Prüfen, ob zum beizulegenden Zeitwert bewertete Positionen der Aktivseite vollständig einbezogen werden, notleidende Risikopositionen unberücksichtigt bleiben und die Nichtberücksichtigung weiterer Positionen angemessen begründet und dokumentiert wird.
• Pauschale Ausschlusskriterien auf Basis von Handelbarkeit oder Haltedauer beseitigen; Kreditspreadrisikosensitivität von Krediten, Einlagen und Derivaten produktbezogen beurteilen.
• Prüfen, ob die Methodik Kreditspreadänderungen nach Währungen differenziert und kleine Handelsbücher erforderlichenfalls integriert erfasst.
• Interne Risikotransfers mit den risikopolitischen Vorgaben abstimmen; den Wegfall der besonderen Formulierung zur Risikotragfähigkeit nicht als Herausnahme wesentlicher Kreditspreadrisiken behandeln.

BT 2 Anforderungen an die Risikoberichterstattung

Neue Nummerierung und weniger Detailvorgaben

Das bisherige BT 3.1 wird als BT 2.1 fortgeführt. Die Grundanforderungen an die Risikoberichte bleiben bestehen: Sie müssen die Geschäftslage und Risikosituation nachvollziehbar und aussagekräftig darstellen, auf vollständigen, genauen und aktuellen Daten beruhen und eine Bewertung sowie eine vorausschauende Einschätzung enthalten. Soweit erforderlich, sind auch Handlungsvorschläge aufzunehmen.

Neu ist vor allem die Straffung einzelner Detailvorgaben. Daten sind weiterhin grundsätzlich zum Berichtsstichtag zu erheben. Die ausdrückliche Pflicht, vorläufige Daten oder Daten aus früheren Berichtszeiträumen zu kennzeichnen und zu begründen, entfällt. Abweichende Datenstände sollten gleichwohl transparent bleiben, wenn sie die Aussagekraft des Berichts beeinflussen.

Auch die besonderen ESG-Erläuterungen werden nicht fortgeführt. Ein gesonderter aktueller, möglichst quantitativer ESG-Überblick und besondere langfristige Angaben im Gesamtrisikobericht sind damit nicht mehr ausdrücklich vorgeschrieben. ESG-Risiken bleiben jedoch nach AT 2.2 Teil der allgemeinen Risikoberichterstattung.

Unverändert sind Stresstestergebnisse und ihre wesentlichen Annahmen zu berichten sowie die Auswirkungen auf Risikosituation und Risikodeckungspotenzial darzustellen. Risikokonzentrationen sind weiterhin gesondert auszuweisen. Auch Anlassberichte und eine rechtzeitige Berichtserstellung bleiben erforderlich.

Die Vorgaben zur Berichterstattung an das Aufsichtsorgan werden aus BT 3.1 nach AT 3.2 verlagert. Inhaltlich bleiben die mindestens vierteljährliche Information über Geschäftslage und Risikosituation sowie die unverzügliche Weitergabe wichtiger Risikoinformationen erhalten. Anpassungsbedarf besteht daher vor allem bei internen Verweisen und Berichtslinien.

Action Points:

• Risikoberichtsrichtlinie, Vorlagen und interne Verweise auf die neue Gliederung umstellen. Die Berichterstattung an das Aufsichtsorgan ist künftig AT 3.2 zuzuordnen; Zuständigkeiten, Berichtslinien und Eskalationswege sind entsprechend anzupassen.
• Abweichungen vom Berichtsstichtag weiterhin kenntlich machen und begründen, wenn vorläufige Daten oder Daten aus früheren Zeiträumen die Aussagekraft oder Vergleichbarkeit des Berichts beeinflussen.
• ESG-Risiken in die allgemeine Risikoberichterstattung nach AT 2.2 einbinden. Bestehende ESG-Inhalte nicht allein deshalb streichen, weil die besonderen Erläuterungen in BT 2.1 entfallen.
• Berichtsvorlagen darauf prüfen, dass Stresstestergebnisse und ihre wesentlichen Annahmen, die Auswirkungen auf Risikosituation und Risikodeckungspotenzial sowie Risikokonzentrationen weiterhin vollständig dargestellt werden. Verfahren für Anlassberichte und eine rechtzeitige Berichtserstellung beibehalten.

BT 2.2 Berichte der Risikocontrolling-Funktion

Gestraffte Berichtsinhalte und Erleichterungen für kleine Institute

Der mindestens vierteljährliche Gesamtrisikobericht bleibt die zentrale Berichtspflicht der Risikocontrolling-Funktion. Abhängig von Risikoart, Marktentwicklung und Stresslage kann weiterhin ein kürzerer Turnus erforderlich sein. Neu sind vor allem konkrete Erleichterungen für kleine Institute und deutlich gestraffte Mindestinhalte für die einzelnen Risikoberichte.

Erleichterungen für kleine Institute

Kleine Institute dürfen bei unveränderter Risikolage auf frühere Berichte verweisen. Bei Risiken mit hoher Stabilität kann die unterjährige Berichterstattung entfallen. Hat das Institut für eine grundsätzlich wesentliche Risikoart einen niedrigen Risikoappetit festgelegt und kurzfristige Schwankungen ausgeschlossen, genügt unterjährig ein entsprechender Hinweis. Zudem können die Stresstests rollierend aktualisiert werden, indem in jedem Quartal nur einzelne Stresstests fortgeschrieben werden. Die zuvor allen Instituten offenstehende Möglichkeit, bei unveränderten Sachverhalten auf frühere Berichte zu verweisen, wird damit nur noch für kleine Institute ausdrücklich fortgeführt.

Gesamtrisikobericht

Der Mindestinhalt des Gesamtrisikoberichts wird gestrafft. Er muss weiterhin die wesentlichen Risikoarten, Stresstests, Risikokonzentrationen, Kapitalausstattung und Refinanzierung abdecken. Hinzu kommen Prognosen zur Entwicklung der Kapital- und Liquiditätskennzahlen sowie der Refinanzierungspositionen. Das aufsichtsrechtliche und ökonomische Kapital sowie die aktuellen Kapital- und Liquiditätskennzahlen werden nicht mehr gesondert genannt. Sie bleiben aufzunehmen, soweit sie für die Beurteilung der Kapitalausstattung und der Risikolage erforderlich sind.

Adressenausfallrisiken

Auch der vierteljährliche Bericht über Adressenausfallrisiken wird auf zentrale Inhalte konzentriert. Zu berichten ist insbesondere über die Portfolioentwicklung, Limite und deren Auslastung, Limitüberschreitungen, Großkredite, Risikovorsorge, wesentliche Kreditentscheidungen und notleidende Risikopositionen. Der bisherige ausführliche Einzelkatalog entfällt. Weitere Angaben sind deshalb nur noch aufzunehmen, soweit sie für das Kreditrisikoprofil und dessen Beurteilung wesentlich sind.

Marktpreis- und Zinsänderungsrisiken

Über Marktpreisrisiken einschließlich Zinsänderungsrisiken ist weiterhin mindestens vierteljährlich zu berichten. Die tägliche Meldung wird dagegen enger gefasst: Dem zuständigen Geschäftsleiter sind am nächsten Werktag die Risikowerte und Limitauslastungen mitzuteilen. Die bisher ausdrücklich verlangte tägliche Mitteilung des Ergebnisses und die Abstimmung der Meldung mit dem Handel entfallen.

Geändert werden auch die Voraussetzungen für einen Verzicht auf die tägliche Berichterstattung. Maßgeblich ist künftig, ob die Handelsaktivitäten im Handels- und Anlagebuch nicht komplex und gemessen am Geschäftsvolumen gering sind. Der bisherige Bezug auf die Erleichterung für kleine Handelsbücher nach Art. 94 CRR entfällt.

Für Zinsänderungsrisiken im Anlagebuch nennt die MaRisk die Berichtsinhalte nun unmittelbar. Der Bericht soll, soweit für die Risikoeinschätzung wesentlich, insbesondere die Risikofaktoren, Zinslücken-, Basis- und Optionsrisiken, die wesentlichen Modellierungsannahmen und deren Stabilität, den Einfluss von Derivaten sowie die Ergebnisse der aufsichtlichen Schockszenarien darstellen. Der bisherige Verweis auf die EBA-Leitlinien entfällt.

Liquiditätsrisiken

Die wichtigste Änderung betrifft den Berichtsturnus: Der Liquiditätsrisikobericht ist künftig für alle Institute mindestens vierteljährlich zu erstellen. Damit entfällt die bislang für bedeutende oder kapitalmarktorientierte Institute geltende monatliche Berichtspflicht. Bei erhöhtem Steuerungsbedarf kann nach den allgemeinen Vorgaben weiterhin ein kürzerer Turnus erforderlich sein.

Zugleich wird der Mindestinhalt gestrafft. Weiterhin zu berichten ist über Liquiditätspuffer, Stresstests, Refinanzierungsrisiken, weitere wesentliche Liquiditätsrisiken – insbesondere untertägige Liquiditäts- und Fremdwährungsrisiken – sowie gegebenenfalls über wesentliche Änderungen des Liquiditätsnotfallplans. Höhe, Qualität und Zusammensetzung der Liquiditätspuffer sowie Risiken aus außerbilanziellen Gesellschaftskonstruktionen werden dagegen nicht mehr ausdrücklich als Pflichtangaben genannt.

Operationelle und weitere wesentliche Risiken

Über bedeutende operationelle Risiken und Schadensfälle ist weiterhin mindestens jährlich zu berichten. Der Mindestinhalt wird jedoch reduziert: Ausdrücklich verlangt werden nur noch die Ursachen und bereits ergriffene Gegenmaßnahmen. Wesentliche Schwächen, mögliche künftige Ereignisse, das Schadensausmaß und lediglich eingeleitete Maßnahmen werden nicht mehr gesondert genannt. Sie bleiben aufzunehmen, wenn sie für die Beurteilung des Risikos wesentlich sind.

Für weitere wesentliche Risiken entfällt der bisherige vierteljährliche Mindestturnus. Künftig ist regelmäßig über Ursachen, Auswirkungen und bereits ergriffene Gegenmaßnahmen zu berichten. Die Berichtsfrequenz kann damit stärker an Bedeutung, Veränderlichkeit und Steuerungsbedarf des jeweiligen Risikos ausgerichtet werden.

Action Points:

• Berichtskalender an die Erleichterungen für kleine Institute, den Wegfall des monatlichen Liquiditätsrisikoberichts und den flexibleren Turnus für weitere wesentliche Risiken anpassen. Kürzere Intervalle bei volatilen Risiken oder in Stressphasen weiterhin sicherstellen.
• Berichtsvorlagen anhand der gestrafften Mindestinhalte überprüfen. Bisherige Angaben nur streichen, wenn sie für das Risikoprofil und die Risikosteuerung tatsächlich nicht wesentlich sind.
• Die tägliche Marktpreisrisikoberichterstattung auf Risikowerte und Limitauslastungen ausrichten. Verweise auf Art. 94 CRR aktualisieren und die neue Erleichterung anhand von Komplexität und Geschäftsvolumen prüfen.
• Die Berichterstattung über Zinsänderungsrisiken um die für die Risikoeinschätzung wesentlichen Angaben zu Risikofaktoren, Zinslücken-, Basis- und Optionsrisiken, Modellannahmen, Derivaten und aufsichtlichen Schockszenarien ergänzen.