Neue MaRisk-Novelle betrifft schwerpunktmäßig den Auslagerungsbereich

Henning Riediger, Prüfungsleiter im Referat Bankgeschäftliche Prüfungen, Deutsche Bundesbank 

Zusammenspiel EBA-Leitlinie und MaRisk-Novelle

Die Änderungen in der neuen MaRisk-Novelle vom 16.08.2021 zum Themenbereich der Auslagerung gehen zurück auf die von der EBA am 25.02.2019 veröffentlichte Leitlinie zu Auslagerungen (EBA/GL/2019/02). Die EBA-Leitlinie war bereits ab Ende September 20219 für Signifikante Institute unmittelbar gültig. Die entsprechende mittelbare Anwendung für die LSIs erfolgte nunmehr mit der MaRisk-Novelle. In der Folge ergibt sich eine hohe Deckungsgleichheit der Anforderungen, dies ist dem positiven Umstand geschuldet, dass bereits die EBA-Leitlinie auf eine angemessene risikoorientierte Umsetzung Wert legte und die Verhältnismäßigkeit ausdrücklich betonte. 

Wie bei bisherigen MaRisk-Novellen teilen sich die Anpassungen in Klarstellungen bzw. Konkretisierungen auf der einen Seite und faktische neue Anforderungen auf der anderen Seite. Für diejenigen Passagen, die lediglich einer Konkretisierung unterliegen, ergibt sich keine Umsetzungsfrist. Anderenfalls sind die neuen Anforderungen bis 01.01.2022 umzusetzen.

Neuerungen der MaRisk-Novelle 

Fokussieren wir uns zunächst auf die „echten“ Neuerungen. Ein Thema ist hierbei besonders hervorzuheben, da es den Instituten in der Praxis bereits in der Vergangenheit wiederholt Probleme mit der Erfüllung der Anforderungen an die Risikoanalyse aus AT 9 Tz. 2 MaRisk bereitete. Nunmehr wird klar und deutlich herausgestellt, welche Komponenten maßgebliche Pflichtbestandteile einer Risikoanalyse nach aufsichtlichem Verständnis darstellen. Um diese Risikoanalyse vollumfänglich und inhaltlich angemessen durchführen zu können, benötigen die Institute Informationen, die sie zu weiten Teilen dem neu in AT 9 Tz. 14 MaRisk geforderten Auslagerungsregister entnehmen können. Die bisherige Bankpraxis zeigte, dass in den Instituten teilweise kein ausreichender Überblick über die ausgelagerten Aktivitäten und Prozesse vorlag, so dass sich im Ergebnis für das Auslagerungs(risiko)management Unvollständigkeit und Ineffizienz offenbarten. Wer nach Anhaltspunkten für entsprechende Inhalte dieses Auslagerungsregisters sucht, dem sei neben der MaRisk-Norm ausdrücklich die EBA-Leitlinie ans Herz gelegt, da der potenzielle Inhaltskatalog dort umfassender als in den MaRisk ausgestaltet ist. Auch wenn dieser Katalog nicht unmittelbar für LS-Institute gilt, kann er für die Konzeption einige wertvolle Hinweise und Indikationen geben. Im Auslagerungsregister müssen sämtliche wesentliche und unwesentliche Auslagerungen enthalten sein. Dieses Register muss dauerhaft aktuell gehalten werden. Dies bedeutet, dass eine kontinuierliche Fortschreibung erwartet wird. Eine Aktualisierung erst im Rahmen der jährlichen Risikoinventur bzw. -analysen vorzunehmen, reicht demnach nicht aus.

Für Gruppen- und verbundangehörige Institute wurden nunmehr ausdrückliche Erleichterungen in AT 9 Tz. 15 der MaRisk aufgenommen. Besonders möchte ich hier ausdrücklich auf die Möglichkeit der verbundweiten (Vor-)Auswertung der Risikoinformationen der Auslagerungsunternehmen hinweisen. Der Ausdruck „Vor“-Auswertung zeigt, dass die Aufsicht an dem Konzept, dass die finale Einschätzung immer aus der institutsindividuellen Beurteilung erfolgen soll, festhält. Sind diese Vorauswertungen inhaltlich gut aufgebaut und aus Sicht der auslagernden Institute risikoorientiert ausgestaltet, bieten diese Indikationen einen erheblichen Mehrwert. 

Eine deutliche Aussage bildet zudem die Anforderung an die Einrichtung eines zentralen Auslagerungsbeauftragten in AT 9 Tz. 12 MaRisk. Auch hier zeigt sich, dass die bisherige aufsichtliche Erwartung an die Funktion nicht darin bestand, die Verträge und Risikoanalysen „zu knicken, zu lochen und abzuheften“, sondern den Prozess zu unterstützen. D. h. die Aufsicht erwartet schon, dass die von den Fachbereichen gelieferten Einwertungen und Analysen vom zentralen Auslagerungsbeauftragten mindestens auf Plausibilität kontrolliert werden. Richtig rund wird die ganze Sache, wenn es dem zentralen Auslagerungsbeauftragten gelingt, eine einheitliche Prozessstruktur und das Verständnis bzw. Unterstützung der Fachbereiche zu den Auslagerungsthemen zu erreichen.

Konkretisierungen 

Neben den dargestellten signifikanten Neuerungen sei noch auf die Klarstellungen des bisherigen Anforderungsprofils hingewiesen. Für manches Schmunzeln dürfte die nunmehrige Aussage in AT 9 Tz. 7 MaRisk, dass Auslagerungsverträge der Schriftform bedürften, gesorgt haben. Wiederholt wurde auch der Auslagerungsbegriff an sich weiter konkretisiert. Diese Konkretisierung enthält nunmehr einen umfassenderen Katalog an möglichen Aktivitäten, die nicht als aufsichtliche Auslagerung einzustufen sind, als bisher. Aber Achtung! Wer nach dem Lesen des Katalogs der Meinung ist: „Müssen wir ja jetzt bei einigen Sachen nichts mehr machen!“ (oder schlimmer: „Müssen wir ja jetzt doch weiterhin nichts machen“) – dem sei geraten, unterhalb des Katalogs weiterzulesen. Dort wird ausdrücklich darauf verwiesen, dass in den genannten Fällen – auch bei Nichtvorliegen einer aufsichtlichen Auslagerung – die ordnungsgemäße Geschäftsorganisation gem. § 25a Abs. 1 KWG durch die Verlagerung nicht eingeschränkt sein darf. D. h. für die Praxis: Das Institut sollte schon wissen: „Wer“, „wie“ und vor allem „wo“ etwas erledigt wird.

Weitere wichtige aktualisiere MaRisk-Anforderungen befinden sich in AT 9 Tz. 11 – die explizite Einbeziehung von Weiterverlagerungen, in AT 9 Tz. 9 – die ausdrückliche Erwähnung der angemessenen Steuerung von Dienstleistern – und AT 9 Tz. 2 – die Klarstellung, dass zunächst die Risikoanalyse und dann folgend die Wesentlichkeitseinschätzung erfolgen muss. In der Praxis erfolgt dies gelegentlich andersherum: das erwartete Ergebnis der Wesentlichkeitseinschätzung bestimmt den Umfang der Risikoanalyse.  

PRAXISTIPPS

• Führen Sie immer zunächst die Risikoanalyse und dann folgend die Wesetlichkeitseinstufung durch!
• Auch Probleme/Risiken beim Fremdbezug sind relevant für die ordnungsgemäße Geschäftsorganisation.
• Das Auslagerungsregister sollte immer aktueller als die Risikoanalyse sein.
• Auslagerungsverträge bedürfen der Schriftform.