MaRisk 2023: Risikotragfähigkeit, Stresstests und Auslagerungsmanagement
Die MaRisk (Mindestanforderungen an das Risikomanagement) sind das zentrale Regelwerk der BaFin für Kreditinstitute und Finanzdienstleister. BaFin-Rundschreiben 09/2017 (BA) in der Fassung vom 23. Juni 2023. Das Rundschreiben hat 51 Seiten und gliedert sich in 10 Module. BT 1 bis BT 3. AT 1 bis AT 9. Jedes Modul definiert Mindeststandards, die Institute in ihrer Risikomanagement-Organisation umsetzen müssen.
Risikotragfähigkeit (RTF) nach AT 4.1 MaRisk: Kernanforderung. Das Institut muss jederzeit sicherstellen, dass die Risiken durch das Risikodeckungspotenzial gedeckt sind. Risikodeckungspotenzial = Eigenmittel + Liquiditätsreserven. Die Risikotragfähigkeit ist in zwei Perspektiven zu berechnen: ökonomische Perspektive (Going-Concern-Ansatz) und regulatorische Perspektive (Normativansatz). AT 4.1 Tz. 1.
Stresstests nach AT 4.1 Tz. 4 MaRisk: Das Institut muss regelmäßig inverse Stresstests durchführen. Welches Ereignis bringt das Institut zum Kippen? Welche Kombination von Risikofaktoren führt zum Überschreiten der Risikotragfähigkeit? Die Stresstests sind mindestens jährlich durchzuführen, bei Marktverwerfungen auch ad hoc. Die Ergebnisse sind im Risikobericht an die Geschäftsleitung zu dokumentieren.
Notfallkonzept nach AT 7.3 MaRisk: Jedes Institut braucht ein Notfallkonzept für den Fall, dass kritische Geschäftsprozesse ausfallen. IT-Ausfall, Personalknappheit, Gebäudeschaden. Das Konzept definiert: Schwellenwerte für die Eskalation, Verantwortlichkeiten, Wiederanlaufzeiten (RTO), Kommunikationswege, Testintervalle. Mindestens jährlich testen. Die BaFin fragt beim Vor-Ort-Termin das Notfallkonzept ab.
Auslagerungsmanagement nach AT 9 MaRisk: Jede Auslagerung von Aktivitäten und Prozessen auf einen Dienstleister unterliegt strengen Anforderungen. AT 9 Tz. 1. Risikoanalyse vor Auslagerung, schriftlicher Vertrag, laufende Überwachung. Wesentliche Auslagerungen sind der BaFin anzuzeigen. AT 9 Tz. 4. Der Auslagerungsvertrag muss Kontrollrechte der BaFin vorsehen, Informationspflichten, Kündigungsrechte.
Praxisfall: Ein Finanzdienstleister mit 80 MA lagert IT-Operations an einen Cloud-Dienstleister aus. AT 9 MaRisk verlangt: Risikoanalyse der Auslagerung (Operationale Risiken, Konzentrationsrisiken, Rechtsrisiken), schriftliche Auslagerungsvereinbarung mit Mindestinhalten, jährliche Überprüfung, Anzeige bei BaFin. Kosten der Auslagerungsdokumentation: 15.000–25.000 EUR einmalig, 5.000–8.000 EUR jährlich. Ohne Dokumentation: Verstoß gegen § 25a KWG.
Ordnungsgemäße Geschäftsorganisation nach § 25a KWG: Die BaFin erwartet klare Organisationsstruktur, Risikosteuerung, Kontrollverfahren. Der Vorstand trägt die Gesamtverantwortung. § 25a Abs. 1 KWG. Bei Verstoß kann die BaFin einen Sonderbeauftragten nach § 46 KWG bestellen – Kosten trägt das Institut. Tagessatz externer Prüfer: 1.500–3.000 EUR. Mehrmonatige Prüfung: 200.000–800.000 EUR.
Internes Kontrollsystem (IKS) nach AT 4.3 MaRisk: Aufbau- und ablauforganisatorische Regelungen zur Steuerung und Überwachung von Risiken. Funktionstrennung zwischen Handel und Abwicklung, Markt und Marktfolge. Vier-Augen-Prinzip. Zugriffsberechtigungen nach Berechtigungskonzept. Die Interne Revision prüft das IKS mindestens jährlich nach DIIR Revisionsstandard Nr. 3.
Risikoberichterstattung nach AT 4.2 MaRisk: Regelmäßige Berichte an die Geschäftsleitung über Risikosituation – Adressausfallrisiko, Marktpreisrisiko, operationelles Risiko, Liquiditätsrisiko. Berichtsrhythmus: mindestens vierteljährlich, bei Überschreitung von Risikolimiten ad hoc. Die Berichte müssen nachvollziehbar sein und Entscheidungsgrundlage liefern. Die BaFin prüft die Berichtsqualität.
Typische Fehler in der Praxis: Risikotragfähigkeit wird einmal jährlich berechnet, nicht laufend überwacht. Stresstests werden nur mit Standardparametern gerechnet, nicht mit institutsspezifischen Szenarien. Auslagerungsmanagement existiert formal, aber die Überwachung der Dienstleister findet nicht statt. Die BaFin stellt bei Sonderprüfungen nach § 44 KWG genau diese Lücken fest.
Fazit: MaRisk-Compliance ist ein Dauerbetrieb. Risikotragfähigkeit, Stresstests, Notfallkonzept, Auslagerungsmanagement, IKS, Berichterstattung. Jedes Modul muss dokumentiert, gelebt und geprüft werden. KanB Access baut Ihnen die Struktur. Cockpitartig. Transparent. Audit-ready.