Finale MaRisk 2017

(openPR) Die Mindestanforderungen an das Risikomanagement (MaRisk) wurden am 27. Oktober 2017 von der BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht) in finaler Fassung veröffentlicht. Die Schwerpunktthemen beinhalten gem. BaFin die Risikodatenaggregation, Risikoberichterstattung, Risikokultur sowie Auslagerungen. Im Folgenden wird ein zusammenfassender Überblick über die zentralen Veränderungen der MaRisk 2017 im Vergleich zur Fassung von 2012 gegeben.

Änderungen und Neues in den MaRisk 2017 im Überblick
In den „Allgemeinen Anforderungen“ in AT 4 wurden diverse Änderungen vorgenommen: U.a. wurde in AT 4.1 formuliert, dass die Verfahren zur Bestimmung der Risikotragfähigkeit sowohl dem Fortführungsziel als auch dem Gläubigerschutz Rechnung tragen müssen.
Methoden und Verfahren zur Risikomessung wurden durch konkretisierte Anforderungen an externe Daten und Unabhängigkeitsanforderungen für die Validierung der internen Risikomodelle ergänzt.
Grundlegend neu ist AT 4.3.4 „Datenmanagement, Datenqualität und Aggregation von Risikodaten“ (Gültigkeit für systemrelevante Institute gem. AT1). Er greift die internationalen Regelungen aus BCBS 239 auf und stellt die Genauigkeit und Vollständigkeit von Risikodaten in den Vordergrund. Ergänzende Ausführungen sind im AT 7 zu IT-Risiken, Maßnahmen des IT-Risikomanagements und zu den Anforderungen an die Individuelle Datenverarbeitung (IDV) enthalten.
Mit den neuen BT 3 „Anforderungen an die Risikoberichterstattung“ werden die Anforderungen (inhaltlich und prozessual) an die Risikoberichterstattung zusammengeführt. Basis des Berichtswesens bilden die vollständigen und aktuellen Daten, die in einem zeitlich angemessenen Rahmen erstellt werden. Auf Basis dieser Berichte ist eine aktive und zeitnahe Steuerung der Risiken gegeben. Diese grundlegenden Anforderungen gelten für alle Institute in Deutschland.
Weitreichende Anforderungen an die Entwicklung, Förderung und Integration einer angemessenen Risikokultur wurden in AT 3 “Gesamtverantwortung der Geschäftsleitung” integriert und durch die Ausführungen im AT 5 „Organisationsrichtlinien“ ergänzt.
Der Begriff der „Auslagerung“ wurde im AT 9 zu dem „sonstigen Fremdbezug von Leistungen“ abgegrenzt und weitere neue Anforderungen an das Auslagerungsmanagement, Exit-Prozesse und die Weiterverlagerungen aufgenommen.
Darüber hinaus wurden im BTO 1 „Kreditgeschäft“ bei der Wertermittlung von Sicherheiten und der Prüfung der Kapitaldienstfähigkeit weitere Anforderungen, auch verschärfte, aufgenommen.
Die BTR 3 „Liquiditätsrisiken“ wurden ergänzt. Insbesondere im Hinblick auf die angemessene Berücksichtigung der Asset Encumbrance (belastete Vermögenswerte), die untertägige Überwachung des Liquiditätsrisikos, die Einführung einer langfristigen Liquiditätsablaufbilanz sowie die interne Refinanzierungsplanung.
Um im Rahmen des BTR 4 „Operationelle Risiken“ die Steuerung zu verbessern, soll die Definition der operationellen Risiken geschärft und gegen die „sonstigen Risikoarten besser abgegrenzt werden.

Umsetzungsfristen der MaRisk 2017
Wie in der Vergangenheit, differenziert die BaFin in den MaRisk hinsichtlich der Umsetzungsfristen nach bloßen Klarstellungen (verpflichtend mit Veröffentlichung), Ergänzungen und Neuerungen (Umsetzungsfrist bis zum 31. Oktober 2018).
Für die neuen Anforderungen in AT 4.3.4. „Datenmanagement, Datenqualität und Aggregation von Risikodaten“ ist gemäß Anschreiben der BaFin die Umsetzungsfrist gesondert geregelt. Diese beträgt 3 Jahre, ab dem Zeitpunkt der Einstufung als „systemrelevantes Institut“.

Fazit
Auf die Institute kommt ein erheblicher Umsetzungsaufwand zu, der, abhängig von der Komplexität des Geschäftsmodells des Instituts, unterschiedlich ausgeprägt sein wird. In Bezug auf die Anforderungen aus der BAI T ist mit einem erheblichen Umsetzungsaufwand für die Institute zu rechnen.