Konsultationsentwurf WpI MaRisk 2026

Die Bafin hat ihren Vorschlag für die neuen MaRisk für Wertpapierinstituten überarbeitet. Das neue Rundschreiben soll einen eigenen MaRisk-Maßstab für kleine und mittlere WpI schaffen. Mit den WpI MaRisk wird es künftig Organisations- und Risikomanagementregeln speziell für WpI geben, die eine noch stärkere Befassung als früher mit dem Risikomanagement notwendig machen. Der Entwurf ist noch nicht endgültig verabschiedet, laut Planung soll er ab dem 01.01.2027 gelten. Die Anforderungen richten sich an kleine und mittlere Wertpapierinstitute.

Kernstück der MaRisk ist die Risikoinventur. Die Geschäftsleiter müssen regelmäßig und anlassbezogen ein Gesamtrisikoprofil erstellen. Wesentlich sind Risiken mit wesentlichen Auswirkungen auf verfügbare Eigenmittel oder mit wesentlicher Beeinträchtigung der Vermögens-, Ertrags- oder Liquiditätslage (AT 2.2 Tz. 1).

Zu prüfen sind Risiken aus laufender Tätigkeit, sonstige Risiken und Liquiditätsrisiken. Risiken aus laufender Tätigkeit gliedern sich in Risiken für Kunden (RtC), Risiken für den Markt (RtM) und Risiken für das Wertpapierinstitut (RtF). IKT-Risiken sind in die Risikoinventur einzubeziehen. ESG-Risiken wirken als Risikotreiber und sind bei Risikoinventur, Risikomanagement und Berichterstattung ebenfalls zu berücksichtigen (AT 2.2 Tz. 1 und 3).

Kleine WpI dürfen die Wesentlichkeit regelmäßig qualitativ beurteilen, etwa durch Expertenschätzung. Risiken für den Markt können sie außer Acht lassen. Somit gelten die Anforderungen zu RtM für kleine WpI nicht. Auch die besonderen Anforderungen zu RtF sind in der Praxis vor allem für mittlere WpI mit relevanten Gegenparteien- oder Emittentenrisiken bedeutsam (AT 2.2 Tz. 1; BTR 1.2; BTR 1.3).

Trotzdem darf kein Risiko ignoriert werden. Für nicht wesentliche Risiken sind angemessene Vorkehrungen zu treffen. Die Entscheidung „nicht wesentlich“ muss daher kurz begründet werden (AT 2.2 Tz. 1).

Die Geschäftsleiter bleiben gesamtverantwortlich. Sie legen fest, welche Risiken das Institut eingehen will. Das kann quantitativ, insbesondere durch Limite, oder qualitativ, beispielsweise durch Geschäftsbeschränkungen, geschehen (AT 3.1).

Der Risikoappetit gehört in die Risikostrategie. Daraus resultiert die Risikosteuerung mit festgelegten Kontrollen, Eskalationen und Berichten. Beispiel: Wenn das Institut „keine komplexen Produkte“ vertreibt, muss dies in Produktfreigabe, Schulung, Vertriebskontrolle und Beschlusswegen abgebildet werden. Wenn neue regulatorische Projekte wie DORA die internen Kapazitäten wesentlich binden, sollte der Prozess regeln, ab wann externe Unterstützung eingeholt wird oder die Geschäftsleitung über Priorisierung, Budget und Fristen entscheidet (AT 4.2; AT 4.3.2).

Die Geschäftsstrategie muss Ziele, Maßnahmen und Annahmen enthalten. Die Risikostrategie muss dazu passen. Sie muss den Risikoappetit festlegen sowie die Ziele der Risikosteuerung und die Maßnahmen zu deren Erreichung bestimmen. Kleine WpI dürfen den Strategieprozess einfach ausgestalten. Er muss aber so konkret sein, dass die Geschäftsleiter die Zielerreichung überwachen können (AT 4.2).

Kontroll- und Überwachungsprozesse sind im OHB konkret zu beschreiben. Erforderlich sind klare Aufgaben, Kompetenzen, Verantwortlichkeiten und Kommunikationswege. Unvereinbare Tätigkeiten sollen grundsätzlich von verschiedenen Personen ausgeführt werden. Auch Selbstprüfungen sind grundsätzlich zu vermeiden, etwa wenn dieselbe Person einen Vorgang bearbeitet und anschließend kontrolliert. Bei sehr kleinen Instituten können Ausnahmen vertretbar sein. Dann sind Ersatzmaßnahmen erforderlich, etwa Geschäftsleiterkontrollen, externe Stichproben oder nachgelagerte Compliance-Prüfungen (AT 4.3; AT 4.3.1).

Einen Prozess zur laufenden Bestimmung der Risikotragfähigkeit nach AT 4.1.1 benötigen nur mittlere Wertpapierinstitute. Kleine WpI müssen daher grundsätzlich kein spezielles Risikotragfähigkeitskonzept haben. Die BaFin kann jedoch Anforderungen anordnen (§ 39 Abs. 3 WpIG). Außerdem bleiben die Vorgaben zur Kapitalplanung anwendbar (AT 4.1.1).

Die Kapitalplanung, also die Planung des zukünftigen Kapitalbedarfs, muss einen mehrjährigen Planungshorizont vorsehen. Neben dem Planszenario ist mindestens ein adverses Szenario zu berücksichtigen. Beispiele: 20 Prozent weniger Provisionsertrag, verspätete Honorare, höhere IT-Kosten, Sonderkosten für eine Prüfung oder eine Schadensfallbearbeitung (AT 4.1.2).

Liquiditätsrisiken werden für viele kleine WpI erstmals in dieser Form dokumentationsrelevant. Sich abzeichnende Liquiditätsengpässe sollen frühzeitig erkannt werden. Für kleine WpI genügen im Regelfall aussagekräftige Liquiditätsübersichten für einen geeigneten Zeitraum. Mittelzuflüsse sind den Mittelabflüssen gegenüberzustellen. Verspätete Zahlungseingänge und Zahlungsausfälle sind einzubeziehen (BTR 3).

Die Compliance-Funktion bleibt zwingend. Sie ist wie bisher nicht auf wertpapierhandelsrechtliche Themen beschränkt. Vielmehr müssen die wesentlichen rechtlichen Regelungen erfasst werden, deren Nichteinhaltung das Vermögen des Instituts gefährden kann (Stichwort MaRisk-Compliance-Funktion). Dazu gehören etwa WpIG, WpHG, Geldwäsche, Datenschutz, DORA/IKT, Zivilrecht, Auslagerung, Vergütung und interne Beschlüsse.

Die Risikomanagement-Funktion ist nur einzurichten, soweit dies nach Art, Umfang, Komplexität und Risikogehalt angemessen ist. Ohne eigene Funktion liegen die Zuständigkeiten bei den Geschäftsleitern. Bei komplexen Produkten ist die Einrichtung regelmäßig naheliegend (AT 4.4.1).

Auch die Einrichtung einer Internen Revision ist nur erforderlich, soweit sie angemessen ist, andernfalls werden die Aufgaben von den Geschäftsleitern wahrgenommen. Ist auch das unverhältnismäßig, kann die Aufgabenwahrnehmung entfallen. Bei weniger als zehn Mitarbeitern bzw. FTE einschließlich Geschäftsleitern kommt dies regelmäßig in Betracht. Ausgelagerte Bereiche sind einzurechnen. Das kann im Einzelfall bedeuten, dass ein kleines WpI eine bisher vorgehaltene Revisionslösung abschaffen oder deutlich verschlanken darf. Automatisch gilt das nicht. Erforderlich sind ein Geschäftsleiterbeschluss, eine Risikobegründung und Ersatzkontrollen. Beim Vertrieb komplexer Produkte gilt die Regelvermutung, dass die Einrichtung einer Internen Revision notwendig ist (AT 4.4.3).7. OHB, Personal, Daten, Notfall und Neu-Produkt-Prozess

Organisationsrichtlinien einschließlich ihrer Änderungen müssen den Mitarbeitern zur Verfügung gestellt werden. Es wird betont, dass Aufgaben, Verantwortlichkeiten, Kontrollen und Kommunikationswege so beschrieben werden, dass sie als Prüfungsgrundlage für die Interne Revision taugen (AT 5).

Insgesamt steigt der Dokumentationsaufwand. Es sind alle wesentlichen Handlungen und Festlegungen, die zur Einhaltung der WpI MaRisk getroffen werden, zu dokumentieren. Das gilt nicht zuletzt für die Nutzung von Öffnungsklauseln, Proportionalitätsentscheidungen und den Verzicht auf Funktionen (AT 6).

Die Personalausstattung muss angemessen sein. Das Personal muss über die notwendigen Kenntnisse und Erfahrungen verfügen. In der Zukunft wird dies erfordern, Zuständigkeiten, Qualifikation, Schulungen und Vertretungen nachweisbar zu dokumentieren (AT 7.1).

Für das Risikomanagement sind verlässliche Informationen und Daten zu beschaffen. Technische und organisatorische Ausstattung müssen dies ermöglichen (AT 7.2).

Ein Notfallkonzept ist für Aktivitäten und Prozesse erforderlich, die kritische oder wichtige Funktionen unterstützen. Es muss Schadensbegrenzung ermöglichen. Es ist regelmäßig zu prüfen und anlassbezogen anzupassen (AT 7.3).

Der Neu-Produkt-Prozess ist an den aus den bisherigen MaRisk bekannten NPP angelehnt. Er ist als Prüf- und Freigabeprozess auszugestalten. Vor Geschäften in neuen Produkten oder auf neuen Märkten, einschließlich neuer Vertriebswege, sind die Risiken zu beurteilen und die Aufnahme in einem Konzept darzustellen. Die betroffenen Stellen sind einzubinden. Zu prüfen sind insbesondere die Auswirkungen auf Organisation, Personal, IKT-Systeme, Risiken und rechtliche Anforderungen. Die Geschäftsleiter oder eine zuständige delegierte Stelle müssen auf dieser Grundlage über die Aufnahme entscheiden. Eine Testphase ist nur verpflichtend, wenn das Institut selbst auf eigene Rechnung mit Finanzinstrumenten handelt. Für die typische Anlageberatung, Anlagevermittlung oder Finanzportfolioverwaltung ist sie daher nicht einschlägig. Auch wesentliche Änderungen betrieblicher Prozesse oder Strukturen sind vorab risikobasiert zu bewerten und zu dokumentieren (AT 8.1; AT 8.2).

AT 9 knüpft im Wesentlichen an die Auslagerungssystematik der MaRisk an. In der Praxis bleibt es damit bei den bisherigen Schritten: Wesentlichkeit der Auslagerung anhand einer Risikoanalyse prüfen, Auslagerungsvertrag nach den inhaltlichen Anforderungen der MaRisk ausgestalten, insbesondere Leistungsbeschreibung, Informations- und Prüfungsrechte zugunsten des Instituts, seiner Prüfer und der Aufsicht, Weisungs- und Kündigungsrechte und Zustimmungen zu Weiterverlagerungen regeln, laufende Überwachung organisieren und die Auslagerung im Auslagerungsregister erfassen (AT 9).

Auch die Abgrenzung zwischen Auslagerung und sonstigem Fremdbezug folgt den dort angelegten Grundsätzen. Sonstiger Fremdbezug liegt etwa bei Rechtsgutachten, gerichtlicher Vertretung, Marktinformationen oder sonstigen Standardleistungen vor. Eine Auslagerung liegt regelmäßig näher, wenn ein Dienstleister dauerhaft institutstypische Aufgaben übernimmt, etwa Compliance, Interne Revision, Meldewesen, Portfolio-Reporting oder wesentliche Backoffice-Prozesse.

Praktisch wichtig ist die neue DORA-Abgrenzung. IKT-Dienstleistungen, die Art. 28 bis 30 DORA unterliegen, fallen nicht zusätzlich unter AT 9. Einfach ist das bei reinen IKT-Leistungen wie Cloud, Hosting oder Software. Offen bleibt der Umgang mit gemischten Leistungen. Beispiel: Ein Dienstleister erstellt die periodischen Kundenberichte im Rahmen einer Vermögensverwaltung und nutzt hierfür eigene Systeme mit Kundendaten. Ob dann AT 9, DORA oder beide Regelungsregime eingreifen, klärt der Entwurf noch nicht abschließend.

Die Geschäftsleiter müssen in angemessenen Abständen über Geschäfts- und Risikosituation informiert werden. Die Berichte sollen eine Beurteilung, gegebenenfalls Handlungsvorschläge und eine zukunftsgerichtete Einschätzung enthalten. Außerdem müssen Risikoinformationen so verfügbar sein, dass bei Bedarf anlassbezogene Berichte erstellt werden können, um Risiken aktiv und zeitnah zu steuern (BT 2).

Wir werden sehen, ob die Bafin ihren Entwurf zeitnah veröffentlicht und für verbindlich erklärt. Dann müssen wir loslegen.

Mit freundlichen Grüßen

Ihr
Dr. Christian Waigel
Rechtsanwalt