MaRisk steht für Mindestanforderungen an das Risikomanagement. Das BaFin-Rundschreiben beschreibt prinzipienbasierte Anforderungen an Governance, interne Kontrollen und Risikomanagement der erfassten deutschen Institute. Es behandelt Verantwortlichkeiten, Risikotragfähigkeit, Kontrollprozesse, Auslagerungen und interne Revision.
Technologie- und Informationsrisiken sind Teil dieser Gesamtverantwortung. Das genaue Zusammenspiel mit aktuellen europäischen Regeln einschließlich DORA hängt von Institut und aktuellen Aufsichtsveröffentlichungen ab und sollte fachkundig regulatorisch bewertet werden.
Was ist bei der Umsetzung wichtig?
Institute übersetzen allgemeine Anforderungen in verhältnismäßige Kontrollen, dokumentieren Entscheidungen und weisen Wirksamkeit nach. Eine Sammlung von Richtlinien ohne funktionierende Verantwortung, Überwachung und Eskalation erfüllt das Ziel wirksamen Risikomanagements nicht.
Wie sind die MaRisk aufgebaut?
| Bereich | Inhalt |
|---|---|
| Allgemeiner Teil (AT) | Gesamtverantwortung der Geschäftsleitung, Strategien, Risikotragfähigkeit, Kontrollen, Organisation, Ressourcen, Anpassungsprozesse und Auslagerungen. |
| Besonderer Teil (BT) | Anforderungen an ausgewählte Geschäfts- und Risikoarten, Kontrollfunktionen und Interne Revision. |
| Öffnungsklauseln | Ermöglichen eine proportionale Ausgestaltung anhand Größe, Komplexität und Risikogehalt des Instituts. |
| Prüfung und Nachweis | Dokumentation allein genügt nicht; Prozesse und Kontrollen müssen angemessen, umgesetzt und wirksam sein. |
MaRisk, DORA und IT-Risiken
DORA gilt seit dem 17. Januar 2025 als spezieller europäischer Rahmen für die digitale operative Resilienz erfasster Finanzunternehmen. Damit werden IKT-Risikomanagement, Vorfallmeldungen, Resilienztests und Drittparteienrisiken detailliert geregelt. MaRisk bleiben der breitere prinzipienorientierte Rahmen des institutsinternen Risikomanagements. Welche Anforderung im Einzelfall gilt und wie Überschneidungen behandelt werden, ist anhand aktueller BaFin-Fassungen, Übergangsregeln und Institutstyp zu prüfen.
Was sollte ein Umsetzungsnachweis zeigen?
Ein belastbarer Nachweis verbindet Risiko, Entscheidung, Kontrolle, Verantwortlichen und Wirksamkeitsprüfung. Beispiele sind genehmigte Risikolimits, nachvollziehbare Eskalationen, Auslagerungsregister, Kontrolltests und geschlossene Revisionsfeststellungen. Technische Tests wie Schwachstellenscans oder Penetrationstests liefern einzelne Nachweise, ersetzen aber weder Risikoinventur noch Governance und laufende Überwachung.
Vielen Dank für dein Feedback! Wir werden es prüfen und unseren Artikel anpassen.