MaRisk: Präzision der 6. Novelle & Ausblick auf die 7. Novelle

Das Fachgremium MaRisk hat grundsätzliche Auslegungs- und Anwendungsfragen sowie prüfungsrelevante Sachverhalte diskutiert. Dem Fachgremium gehören Experten aus Instituten, Prüfer, Verbandsvertreter und Aufseher an. Der folgende Artikel fasst den Austausch mit der BaFin zu Themen der IT-Governance zusammen. Das Thema Auslagerungen steht dabei besonders in Fokus, da während den Sitzungen eine Vielzahl an Fragen zu diesem Thema aufgekommen sind.

Die Sitzungsprotokolle geben dabei auch einen Ausblick auf die adressierten Themenfelder sowie auf das Erscheinungsdatum der 7. MaRisk Novelle.

Auslagerungen

Feststellung einer Absicht zur Auslagerung

• • Zur Feststellung, wann eine Absicht zur Auslagerung vorliegt, ist man sich in der Aufsicht einig. Eine Absicht zur Auslagerung liegt vor, wenn für die geplante wesentliche Auslagerung ein Beschluss des institutsinternen Gremiums zum Abschluss eines Vertragsentwurfes vorliegt.
  • Der Vollzug der Auslagerung beginnt ab dem Zeitpunkt der Nutzung.
  • Ein Genehmigungsprozess durch die Aufsichtsbehörde für Auslagerungen ist nicht geplant, aber ein angemessene Prüfungszeit vor dem Vollzug wäre laut der Aufsichtsbehörde wünschenswert.

Wesentliche Auslagerungen

AT 9 Tz.7

Die Substitutionsmöglichkeiten, welche der BT 2.1 Tz. 3 (Aufgaben der Internen Revision)  MaRisk bzgl. der Revisionshandlungen bei ausgelagerten Aktivitäten und Prozessen ermöglicht, sind auch für nicht wesentliche Auslagerungen anwendbar.

Anforderungen an Auslagerung von Aktivitäten und Prozessen

AT 9 Tz. 11

Bei jeder Auslagerung sind auch die „Risiken aus Weiterverlagerungen“ (AT 9 Tz. 2 MaRisk) zu bewerten. Das bedeutet, dass bei jeder Analyse der mit einer Auslagerung verbundenen Risiken auch immer alle zu diesem Zeitpunkt bestehenden Weiterverlagerungen einer Risikoanalyse unterzogen werden müssen, da ansonsten eine umfassende Risikobewertung der Auslagerung nicht möglich ist.

Auslagerungsbeauftragter

AT 9 Tz. 12

• • Der Auslagerungsbeauftragte wird durch die interne Dokumentation bspw. durch im Geschäftsverteilungsplan (GVP) festgelegt.
  • Es besteht keine Anzeigepflicht gegenüber der BaFin
  • Die Aufgaben gemäß AT 9 Tz.12 sollen der Verantwortung des zentralen Auslagerungsbeauftragten zugeteilt werden.
  • Der Auslagerungsbeauftragte kann sich bspw. dem zentralen Auslagerungsmanagement sowie anderer Abteilungen der Bank bedienen, solange die Zuständigkeiten klar geregelt sind.

Melde- und Veröffentlichungsplattform (MVP)

• Das Fachgremium MaRisk hat das Thema Melde-und Veröffentlichungsplattform nach § 24 Abs. 1 Nr.19 KWG näher konkretisiert und den Einreichungsweg verbindlich festgelegt.
• Die Meldung wird elektronisch über die MVP der BaFin erfolgen. Dabei werden die Daten über eine Schnittstelle automatisch auch an die Deutsche Bundesbank weitergeleitet. Für die Nutzung der MVP ist eine Registrierung der Institute erforderlich.
• Das Verfahren des MVP-Portals zur Anzeige von Auslagerungen wird erst mit Inkrafttreten der Anzeigenverordnung live geschaltet. Gemeldet werden sollen ab dem 01.01.2022 bzw. dem Inkrafttreten der geänderten Anzeigenverordnung neue wesentliche Auslagerungen der Institute. Bestandsmeldungen sollen bis zum 31.12.2022 über die MVP gemeldet werden.
• Zum jetzigen Zeitpunkt ist vorgesehen, die schwerwiegenden Vorfälle zunächst nicht über die MVP einzureichen, da es zu Doppelmeldungen kommen kann. Die Problematik der Doppelmeldungen, insbesondere in Bezug auf die EZB und PSD2-Meldungen, steht bereits im Fokus der Aufsicht.

Wirksamkeit und Angemessenheit des Notfallkonzeptes

AT 7.3 Tz.3

Die BaFin stellt klar, dass alle Aktivitäten und Prozesse mit jedem möglichen Notfallszenario überprüft werden müssen – und zwar unter Berücksichtigung aller relevanten Schadensszenarien mindestens jährlich.

Die Unternehmen haben aber einen Ermessenspielraum bei der Definition, was ihre zeitkritischen Aktivitäten und Prozesse sind und welche Schadensszenarien für diese jeweils relevant sind.

Ausblick auf die 7. MaRisk Novelle

Die Aufsicht informiert darüber, dass eine Veröffentlichung der überarbeiteten MaRisk-Fassung im 4. Quartal 2022 angestrebt wird.

Folgende Themen werden in der 7. Novelle näher adressiert.

• Vorgehen bei der Umsetzung der EBA-Leitlinien für die Kreditvergabe und -überwachung
• Direktinvestitionen in Immobilien
• Spezialfonds
• Geschäftsmodellanalyse
• Handel im Home-Office

Die BaFin wird für eine zügigere Umsetzung der 7. Novelle eine stärkere Verwendung von Verweisen auf die EBA-Leitlinien zum Risikomanagement zurückgreifen. Der Grundsatz der Proportionalität und der Prinzipienorientierung soll dabei durch nationale Öffnungsklauseln und Erleichterungen für kleinere und mittlere Institute gewahrt werden, da die detaillierten und präskriptiven Anforderungen der EBA-Leitlinien den Proportionalitätsgrundsatz gefährden.