14. Kapitel Besondere Organisationspflichten von Instituten nach 25a Abs.1 KWG 1

Transkript

1 14. Kapitel Besondere Organisationspflichten von Instituten nach 25a Abs.1 KWG 1 Literatur: BaFin Mindestanforderungen an das Risikomanagement (MaRisk) Rundschreiben 10/2012 (BA) v nebst Übersendungsschreiben und Anlagen; Basler Ausschuss für Bankenaufsicht/Basel Committee on Banking Supervision Verbesserung der Unternehmensführung in Banken/Principles for enhancing corporate governance for banking organisations, September 1999 bzw. Februar 2006 bzw. Oktober 2010; ders. Rahmenkonzept für Interne Kontrollsysteme in Bankinstituten/Framework for Internal Control Systems in Banking Organisations September 1998; ders. Compliance and the compliance function in banks, April 2005; ders. Internationale Konvergenz der Eigenkapitalmessung und Eigenkapitalanforderungen, Überarbeitete Rahmenvereinbarung/Basel II: International Convergence of Capital Measurement and Capital Standards: A Revised Framework Comprehensive Version v. Juni 2004 bzw. Juni 2006; CEBS Guidelines on the Application of the supervisory review process under Pillar 2 (CP03 revised) v ; Dreher Ausstrahlung des Aufsichtsrechts auf das Aktienrecht Unter besonderer Berücksichtigung des Risikomanagements, NZG 2010, 496; Emmenegger Grundsätze guter Unternehmensführung von Banken aus der Sicht des Baseler Ausschusses und der FINMA, in: Hopt/Wohlmannstetter (Hrsg.), Handbuch Corporate Governance von Banken, 2011; European Banking Authority (EBA) Guidelines on Internal Governance (GL 44) v ; Habersack Gesteigerte Überwachungspflichten des Leiters eines sachnahen Vorstandsressorts?, WM 2005, 2360; Hannemann/ Schneider Mindestanforderungen an das Risikomanagement (MaRisk), Kommentar unter Berücksichtigung der Instituts-Vergütungsverordnung (InstitutsVergV), 3. Aufl. 2011; Hörlin/Nemet Die neuen Guidelines on Internal Governance der EBA (European Banking Authority), ZgK 2012, ; Hofer Neue MaRisk BaFinJournal März 2013, S. 15; Hofer/Bothe Die Erfolgsgeschichte der MaRisk BaFinJournal August 2012, S. 5; Hüffer Kommentar zum Aktienrecht, 10. Auflage 2012; Krieger/Schneider (Hrsg.) Handbuch Managerhaftung, 2. Aufl. 2010; Langenbucher Vorstandshaftung und Legalitätspflicht in regulierten Branchen, ZBB/JBB 1/13, S. 20; Luz/Neus/Schaber/Scharp/ Schneider/Weber (Hrsg.) Kreditwesengesetz, Kommentar zum KWG inklusive SolvV, LiqV,GromiKV,MaRisk,2.Aufl.2011;Ohler Europäisches Bankenaufsichtsrecht, in: Derleder/Knops/Bamberger (Hrsg.), Handbuch zum deutschen und europäischen Bankrecht, 2. Aufl. 2009; Preußner Risikomanagement im Schnittpunkt von Bankaufsichtsrecht und Gesellschaft, NZG 2004, 57; Preußner/Zimmermann Risikomanagement als Gesamtaufgabe des Vorstands, AG 2002, 657; Smola PfandBG, Pfandbriefgesetz mit Barwertverordnung, Beleihungswertverordnungen, 22a-22o KWG, 2012; The High-LevelGrouponFinancialSupervisionintheEUReport v ; Weber-Rey Ausstrahlungen des Aufsichtsrechts (insbesondere für Banken und Versicherungen) auf das Aktienrecht oder die Infiltration von Regelungssätzen?, ZGR 2010, 543; Weber-Rey/Baltzer Verlautbarungen der EU und der BaFin zur internen Governance von Banken, in: Hopt/Wohlmannstetter (Hrsg.), Handbuch Corporate Governance von Banken, 2011; Wolf Wider eine Misstrauenspflicht im Kollegialorgan Vorstand, VersR 2005, 1042; Wundenberg Compliance und die prinzipiengeleitete Aufsicht über Bankengruppen, Der Beitrag gibt ausschließlich die persönliche Auffassung der Autorin wieder. Den Ausführungen liegt die Rechtslage zum zugrunde. Soweit wesentliche rechtliche Entwicklungen zu diesem Zeitpunkt bereits abzusehen waren, wurden sie in dem jeweils betroffenen Regelungszusammenhang dargestellt. Glawischnig-Quinke 383

2 14 Besondere Organisationspflichten von Instituten nach 25a KWG A. Einführung 1 Kredit- und Finanzdienstleistungsinstitute unterliegen dem Sonderrecht des Kreditwesengesetzes (KWG) und der Solvenzaufsicht durch die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin). Hier gelten, unabhängig von Rechtsform und Kapitalmarktorientierung, besondere branchenspezifische Organisationspflichten, die unter anderem darauf abzielen, die Regeltreue des Instituts, der Geschäftsleitung und der Mitarbeiter sicherzustellen. Das KWG enthält somit besondere Vorgaben zur Compliance 2,auchwenndas Gesetz diesen Begriff zumindest in der aktuellen Fassung nicht verwendet. 3 Dieses Kapitel gibt eine Einführung in die Anforderungen an die Geschäftsorganisation und das Risikomanagement von Instituten nach 25a Abs. 1 KWG, einer der zentralen Normen des materiellen Bankenaufsichtsrechts. 4 I. Bedeutung der besonderen Organisationspflichten nach 25a Abs.1 KWG 2 Gegenstand von 25a KWG sind laut der amtlichen Überschrift Besondere Organisationspflichten von Instituten. Ausgangspunkt ist 25a Abs. 1 S. 1 KWG. Hiernach sind Institute verpflichtet, eine ordnungsgemäße Geschäftsorganisation sicherzustellen, die die Einhaltung der Gesetze und der betriebswirtschaftlichen Notwendigkeiten gewährleistet. Nach der Systematik des KWG umfasst der Oberbegriff der ordnungsgemäßen Geschäftsorganisation insbesondere Vorgaben zum Risikomanagement, welches die Aufgabe hat, die Risikotragfähigkeit des Instituts laufend sicherzustellen und bestimmte Mindestbestandteile beinhalten muss ( 25a Abs. 1 S. 3 Nr. 1 4 KWG). Die konkrete Ausgestaltung des Risikomanagements wird nicht vorgegeben, vielmehr hängt sie vom Risikoprofil des Instituts ab ( 25a Abs. 1 S. 4 KWG). Zur Vereinheitlichung der Verwaltungspraxis hat die BaFin ihre Auslegung eines angemessenen und wirksamen Risikomanagement i.s.v. 25a Abs. 1 S. 3 KWG in einem Rundschreiben, den sog. MaRisk, präzisiert. Dieses wird im Hinblick auf neue Entwicklungen laufend angepasst und liegt derzeit in der vierten Novelle 5 vor. Eine ordnungsgemäße Geschäftsorganisation hat darüber hinaus die sonstigen Anforderungen nach 25a Abs. 1 S. 6 KWG zu erfüllen. 3 Für die ordnungsgemäße Geschäftsorganisation des Einzelinstituts sind dessen Geschäftsleiter aufsichtsrechtlich verantwortlich ( 25a Abs. 1 S. 2 KWG). Im Hinblick auf die bankenaufsichtsrechtliche Gruppe, für die die Organisationspflichten des 25a Abs. 1 KWG entsprechend anwendbar sind, liegt die aufsichtsrechtliche Verantwortlichkeit gem. 25a Abs. 1a S. 1 KWG bei den Geschäftsleitern des übergeordneten Unternehmens. 4 Die Bankenaufsicht 6 hat die Aufgabe, die Ordnungsgemäßheit der Geschäftsorganisation im Sinne des 25a KWG zu überprüfen. Hierbei sind unterjährige Sachverhalte, die 2 Schwennicke/Auerbach/Langen 25a Rn. 54 ff. bezeichnet die Vorgaben nach 25a Abs. 1 S. 3, S. 6 und S. 7 KWG als die besondere bankaufsichtsrechtliche Compliance. 3 Ab findet sich in 25a Abs. 1 S. 3 KWG n.f. der Begriff Compliance im Hinblick auf die Anforderung an Institute, über eine Compliance-Funktion zu verfügen. 4 Die Anforderungen an Auslagerungen nach 25a Abs. 2 KWG, ab in 25b KWG n.f. geregelt, sind nicht Gegenstand dieses Beitrags. 5 BaFin Mindestanforderungen an das Risikomanagement (MaRisk) Rundschreiben 10/2012 (BA) v In Deutschland ist die Bankenaufsicht gemeinsame Aufgabe von BaFin und Deutscher Bundesbank. Die BaFin übt als zuständige Verwaltungsbehörde die Aufsicht über die Institute nach dem KWG aus ( 6 Abs.1 KWG). Sie arbeitet dabei mit der Deutschen Bundesbank nach Maßgabe des 7 KWG und der Aufsichtsrichtlinie zusammen. Hiernach ist die Deutsche Bundesbank insbesondere für die laufende Überwachung der Institute zuständig, die BaFin für den Erlass hoheitlicher Maßnahmen. 384 Glawischnig-Quinke

3 Einführung 14 Berichte über Jahresabschlussprüfungen und die Feststellungen aus bankgeschäftlichen Sonderprüfungen nach 44 Abs. 1 KWG zu berücksichtigen. Bei Mängeln kann die BaFin gegenüber dem Institut und/oder den verantwortlichen Geschäftsleitern Maßnahmen zur Sicherstellung bzw. zur Wiederherstellung einer ordnungsgemäßen Geschäftsorganisation ergreifen. Die Organisationspflichten des 25a Abs. 1 KWG entfalten darüber hinaus in folgenden Zusammenhängen Bedeutung: Nach 33 Abs. 1 S. 1 WpHG müssen Wertpapierdienstleistungsunternehmen die organisatorischen Pflichten des 25a Abs. 1 KWG einhalten. 7 Aufgrund dieses Verweises gilt 25a Abs. 1 KWG auch für Wertpapierdienstleistungsunternehmen. 25a Abs. 1 KWG diente zudem als Vorbild für entsprechende Regelungen in 64a des Versicherungsaufsichtsgesetzes (VAG) im Hinblick auf Versicherungsunternehmen. Der Vorschrift wird daher eine Schrittmacherrolle 8 im Aufsichtsrecht beigemessen. Das sog. Trennbankengesetz 9 führt mit 54a KWG n.f. erstmals eine Strafvorschrift ein, die bestimmte Verstöße des Geschäftsleiters gegen seine Risikomanagementpflichten sanktioniert (siehe unter Rn. 89 ff. sowie weiterführend 29. Kap. Rn. 32 ff.). Im Schrifttum wird seit geraumer Zeit eine Ausstrahlungswirkung der speziellen bankenaufsichtsrechtlichen Organisationspflichten nach 25a KWG auf das allgemeine Gesellschaftsrecht diskutiert. Hierbei geht es insbesondere um die Frage, ob diese zur Konkretisierung der aktienrechtlichen Leitungs- und Sorgfaltspflichten von Vorstandsmitgliedern herangezogen werden können. Das VG Frankfurt hat im Jahr 2004 in seinem viel kritisierten Bruderhilfe-Urteil 10 die Anforderungen von 25a Abs. 1 KWG bei der Auslegung der Pflichten des Vorstandsmitglieds einer Versicherung nach 34 VAG i.v.m. 91 Abs. 2 AktG berücksichtigt. 11 Die inzwischen h.m. verneint eine Ausstrahlungswirkung jedenfalls im Hinblick auf die gesellschaftsrechtlichen Pflichten von Geschäftsleitern nicht-regulierter Unternehmen Diejenigen Organisationspflichten, die gleichermaßen auf Institute und Wertpapierdienstleistungsunternehmen Anwendung finden, werden in den besonderen organisatorischen Pflichten für Institute nach 25a Abs. 1 KWG in Verbindung mit den Verwaltungsvorschriften der BaFin zu den Mindestanforderungen für das Risikomanagement umgesetzt; vgl. Begründung zum Entwurf eines Gesetzes zur Umsetzung der Richtlinie über Märkte für Finanzinstrumente und der Durchführungsrichtlinie der Kommission (Finanzmarkt-Richtlinie-Umsetzungsgesetz), BT-Drucks. 16/4028, S. 70 f.; siehe auch AT 1 Tz. 3 MaRisk. 8 Vgl. 1.Kap. Rn.1 m.w.n. 9 Gesetz zur Abschirmung von Risiken und zur Planung der Sanierung und Abwicklung von Kreditinstituten und Finanzgruppen v , BGBl I S WM 2004, Zur Begründung hat das Gericht angeführt, dass diese Normen sich in ihrer rechtlichen Bedeutung entsprechen. Mit der Einführung des 25a KWG im Jahr 1997 und des 91 Abs. 2 AktG im Jahr 1998 habe der Gesetzgeber die Gesamtintention verfolgt, die Verpflichtung der Geschäftsleitung hervorzuheben, Risikofrüherkennungs- sowie Risikoüberwachungssysteme in den Unternehmen einzurichten. Eine solche Gesamtintention des Gesetzgebers ablehnend Langen Schwennicke/Auerbach 25a Rn Mit weiteren Nachweisen siehe u.a. Hüffer AktG 91 AktG Rn. 8; Schwennicke/Auerbach/Langen 25a Rn. 32; Boos/Fischer/Schulte-Mattler/Braun/Wolfgarten 25a Rn 63; Weber-Rey S. 564f.; a.a. Preußner/Zimmermann AG 2002, 657, 660; Preußner NZG 2004, 57ff. m.v.a. Fleischer ZIP 2003, 110. Ausführlich zur Ausstrahlungswirkung im Hinblick auf Geschäftsleiter eines Aktien-Instituts Wundenberg S. 126 ff.; weiterführend auch Dreher ZHR 2010, 496. Glawischnig-Quinke 385

4 14 Besondere Organisationspflichten von Instituten nach 25a KWG II. Keine abschließende Regelung der Organisationspflichten 6 25a KWG regelt die besonderen Organisationspflichten von Instituten und ihren Geschäftsleitern nicht abschließend (vgl. 3. Kap. Rn. 79 ff.). 13 Sowohl das KWG als auch kreditwesenrechtliche Spezialgesetze 14 enthalten weitere Pflichten. Von besonderer Praxisrelevanz sind dabei die Vorgaben zur Verhinderung von Geldwäsche, Terrorismusfinanzierung und sonstigen strafbaren Handlungen zum Nachteil der Institute 15 (hierzu 15. Kap. Rn. 17 f. sowie 25. Kap.). Durch das sog. Trennbankengesetz 16 wird 25f KWG n.f. eingefügt, der neue organisatorische Pflichten von Instituten zur Abschirmung von Risiken aus bestimmten Geschäftsbereichen enthält. Ein Wertpapierdienstleistungsunternehmen muss zudem die spezifischen Organisationspflichten des WpHG erfüllen, insbesondere nach 33 Abs. 1 S. 2 WpHG (hierzu 16. Kap.). Schließlich können weitere gesetzliche (z.b. 91 Abs. 2 AktG, 34 GenG) oder aus dem Postulat ordnungsgemäßer Geschäftsführung ableitbare organisatorische Pflichten bestehen. 17 B. Entwicklung besonderer prinzipienorientierter Organisationsanforderungen für Institute 7 Organisationspflichten sind die gesetzgeberische Reaktion auf spezifische Risikosituationen der betroffenen Wirtschaftsbranche. 18 Die Notwendigkeit besonderer Organisationsanforderungen für Banken liegt darin begründet, dass diese eine wichtige volkswirtschaftliche Aufgabe als Finanzintermediäre und Anbieter von Infrastrukturdienstleistungen wahrnehmen. Der Zusammenbruch einer Bank kann über die Verluste der Gläubiger bzw. der betroffenen Einlagensicherungssysteme und der Eigentümer hinaus erhebliche Kosten und Folgen für das Finanzsystem sowie die Allgemeinheit auslösen. Eine gute Unternehmensführung, -steuerung und -kontrolle (Governance) von Banken ist daher von großer Bedeutung für die Funktionsfähigkeit und die Stabilität des einzelnen Instituts wie auch des Finanzsystems als Ganzem. 19 Verschiedene Bankenkrisen und zuletzt die Finanzmarktkrise haben jedoch Mängel und Schwächen in der Unternehmensführung, -steuerung und -kontrolle von Finanzinstituten offenbart. Sie waren Auslöser für internationale Vorschläge zur Verbesserung der Gover- 13 Eine Übersicht zu weiteren Organisationspflichten findet sich außerdem bei Schwennicke/Auerbach/Langen 25a Tz Beispielsweise muss eine Pfandbriefbank nach 27 Abs. 1 PfandBG über ein geeignetes Risikomanagementsystem für das Pfandbriefgeschäft verfügen, das die speziellen Risiken des Pfandbriefgeschäftes berücksichtigt, wobei 27 PfandBG zusätzlich zu 25a KWG zu beachten ist, vgl. Smola 27 Rn Siehe 25b i KWG; nach Inkrafttreten des CRD IV-Umsetzungsgesetzes 25f m KWG n.f. 16 Gesetz zur Abschirmung von Risiken und zur Planung der Sanierung und Abwicklung von Kreditinstituten und Finanzgruppen v , BGBl I S Vgl. Regierungsbegründung zum Entwurf eines Gesetzes zur Umsetzung der Richtlinie 2002/87/EG des Europäischen Parlaments und des Rates vom (Finanzkonglomeraterichtlinie-Umsetzungsgesetz), BT-Drucks. 15/3631, Schwennicke/Auerbach/Langen 25a Rn. 32; zur Notwendigkeit einer Aufsicht über die bankbetrieblichen Prozesse Luz/Neus/Schaber/Scharpf/Schneider/Weber/Neus Einführung Rn Vgl. hierzu bereits Basler Ausschuss für Bankenaufsicht Verbesserung der Unternehmensführung in Banken/Principles for enhancing corporate governance for banking organisations von September 1999, überarbeitete Versionen von Februar 2006 und zuletzt von Oktober 2010 (nur in englischsprachiger Fassung verfügbar), dort Tz Glawischnig-Quinke

5 Entwicklung besonderer prinzipienorientierter Organisationsanforderungen 14 nance von Banken und eine Verschärfung bzw. Konkretisierung der bestehenden Anforderungen durch den europäischen bzw. nationalen Gesetzgeber und die Aufsichtsbehörden. Der nachfolgende Abschnitt beschreibt die Entwicklung prinzipienorientierter besonderer Organisationsanforderungen für Banken. I. Basler Ausschuss für Bankenaufsicht Die heutigen Anforderungen an die Geschäftsorganisation von Instituten nach 25a Abs. 1 KWG gehen wesentlich auf Arbeiten des Basler Ausschusses für Bankenaufsicht zurück. Aufgrund der besonderen Bedeutung von Banken für das (internationale) Finanz- und Wirtschaftssystem hat der Basler Ausschuss für Bankenaufsicht schon seit den Neunziger Jahren des vergangenen Jahrhunderts branchenspezifische Governance- und Compliance- Anforderungen formuliert. Der Ausschuss setzt sich aus hochrangigen Vertretern der Bankaufsichtsbehörden bzw. der Zentralbanken der Mitgliedsstaaten zusammen. 1. Veröffentlichungen des Basler Ausschusses für Bankenaufsicht zur Governance und Compliance von Banken Zur Fortentwicklung und Harmonisierung von Regulierung, Aufsicht und Praxis international tätiger Banken veröffentlicht der Basler Ausschuss für Bankenaufsicht Dokumente zu bankaufsichtlichen Themen, darunter Leitlinien ( principles bzw. high level principles ) und Praxisempfehlungen ( sound practices ). Die Veröffentlichungen sind rechtlich nicht verbindlich, sondern internationales soft law. 20 Da sie die gemeinsame Auffassung der im Ausschuss vertretenen Behörden wiedergeben, kommt ihnen jedoch eine hohe faktische Bindungswirkung zu. 21 Die Inhalte der Veröffentlichungen werden von den Mitgliedsstaaten (und darüber hinaus) regelmäßig in nationales Recht umgesetzt. Bei der Auslegung nationaler bzw. europäischer Gesetze können die Veröffentlichungen des Basler Ausschusses für Bankenaufsicht daher als Erkenntnisquelle herangezogen werden, wenn die Intention des Gesetzgebers, diese in nationales bzw. europäisches Recht umzusetzen, erkennbar ist (z.b. bei entsprechender Bezugnahme in der Gesetzesbegründung). 22 In AT 1.2 MaRisk äußert die BaFin seit der vierten Novelle zudem ihre Erwartung an besonders große, besonders komplexe bzw. besonders international tätige Institute, dass diese die einschlägigen Inhalte der Veröffentlichungen des Basler Ausschusses für Bankenaufsicht eigenverantwortlich in ihre Überlegung zur Ausgestaltung des Risikomanagements einbeziehen. Im Zusammenhang mit der Governance und dem Risikomanagement von Instituten verdienen folgende Veröffentlichungen besondere Erwähnung: Verbesserung der Unternehmensführung in Banken ( Principles for Enhancing Corporate Governance for Banking Organisations ) vom September 1999, überarbeitete Versionen von Februar 2006 und zuletzt vom Oktober 2010, 23 Rahmenkonzept für Interne Kontrollsysteme in Bankinstituten ( Framework for Internal Control Systems in Banking Organisations ) vom September 1998, Compliance and the compliance function in banks vom April Zum Rechtscharakter der Regelwerke Hopt/Wohlmannstetter/Emmenegger S. 406 f. 21 Prof. Zeitler Vortrag Regulierung der Finanzmärkte auf dem Seminar der Münchner Juristischen Gesellschaft am , S. 5 f.; abrufbar unter der Rubrik Reden auf Dort findet sich auch eine kurze Beschreibung der Arbeitsweise des Basler Ausschusses für Bankenaufsicht. 22 Wundenberg S. 17; Derleder/Knops/Bamberger/Ohler 76 Rn Weiterführend zu diesen Leitlinien Hopt/Wohlmannstetter/Emmenegger S. 405 f. Glawischnig-Quinke 387

6 14 Besondere Organisationspflichten von Instituten nach 25a KWG 2. Säule zwei von Basel II 11 Ein Meilenstein des internationalen Bankenaufsichtsrechts nicht nur im Hinblick auf die Organisationsanforderungen für Banken war die Überarbeitete Rahmenvereinbarung des Basler Ausschusses für Bankenaufsicht ( Basel II 24 ), die die erste Basler Eigenkapitalvereinbarung von 1988 (sog. Basler Akkord oder Basel I ) weiterentwickelte. Sie beruht auf drei Säulen: Die erste Säule von Basel II beinhaltet überarbeitete Mindestkapitalanforderungen. Sie wurde um die für dieses Kapitel bedeutsame zweite Säule, den bankaufsichtlichen Überprüfungsprozess ( Supervisory Review Process oder kurz: SRP ), erweitert. Die dritte Säule enthält erweiterte Offenlegungsanforderungen. 12 Da mit den Mindestkapitalanforderungen der ersten Säule von Basel II nicht alle relevanten Risiken (vollständig) erfasst werden, dient die zweite Säule von Basel II dazu, Lücken der Risikobetrachtung zu schließen. Nach Auffassung des Basler Ausschusses für Bankenaufsicht ist ein solides Risikomanagement die Grundlage für eine effektive Beurteilung der Angemessenheit der Kapitalsituation einer Bank. Die Geschäftsleitung muss die Art und den Umfang der von der Bank eingegangenen Risiken sowie deren Beziehung zur angemessenen Eigenkapitalausstattung kennen. Sie ist auch dafür verantwortlich, dass Form und Entwicklungsgrad des Risikomanagements im Hinblick auf das Risikoprofil und den Geschäftsplan angemessen sind. 25 Der bankaufsichtliche Überprüfungsprozess nach der zweiten Säule von Basel II verfolgt dementsprechend zwei Ziele: sicherzustellen, dass Banken über angemessenes Eigenkapital (sog. internes oder ökonomisches Kapital) für alle Risiken verfügen, die mit ihrem Geschäft verbunden sind; darauf hinzuwirken, dass die Banken ihre Risikomanagementverfahren für die Überwachung und Handhabung ihrer Risiken verbessern, fortentwickeln und für die Steuerung anwenden Damit wird das Risikomanagement als unternehmensinternes Instrument für aufsichtliche Zwecke nutzbar gemacht. Zur Verwirklichung dieser Ziele besteht eine Verpflichtung der Institute, einen internen Prozess einzurichten, der sicherstellt, dass das Institut im Hinblick auf seine Risiken über angemessenes internes Kapital verfügt ( Internal Capital Adequacy Assessment Process, kurz: ICAAP ). Die Aufsicht ist ihrerseits verpflichtet, das Risikomanagement der Institute mindestens einmal jährlich zu überprüfen, aktuelle und potentielle Risiken zu bewerten und dabei dem Umfang sowie der Bedeutung der Risiken für das Institut und der Bedeutung des Instituts für das Finanzsystem Rechnung zu tragen ( Supervisory Review and Evaluation Process, kurz: SREP ). 24 Basler Ausschuss für Bankenaufsicht Internationale Konvergenz der Eigenkapitalmessung und Eigenkapitalanforderungen, Überarbeitete Rahmenvereinbarung/Basel II: International Convergence of Capital Measurement and Capital Standards: A Revised Framework Comprehensive Version v. Juni 2004 bzw. Juni Nach Auffassung des Basler Ausschusses für Bankenaufsicht Basel II, Tz. 723 sollte eine Erhöhung des Eigenkapitals nicht als die einzige Möglichkeit gesehen werden, mit der eine Bank zunehmenden Risiken begegnen kann. Andere Mittel, wie die Stärkung des Risikomanagements, die Anwendung interner Limits, die Stärkung von Rückstellungen und Reserven sowie die Verbesserung interner Kontrollen, müssen ebenfalls erwogen werden. Darüber hinaus sollte Eigenkapital nicht als Ersatz dafür angesehen werden, grundlegend unzureichende Kontroll- oder Risikomanagementverfahren zu verbessern. 26 Basler Ausschusses für Bankenaufsicht Basel II, Tz Glawischnig-Quinke

7 Entwicklung besonderer prinzipienorientierter Organisationsanforderungen 14 II. Europäische Vorgaben Durch die Neufassung der Bankenrichtlinie 27 und der Kapitaladäquanzrichtlinie, 28 die wiederum ab dem in den EU-Mitgliedsstaaten in nationales Recht umzusetzen waren, hat der europäische Gesetzgeber Basel II in europäisches Recht überführt. 29 Nach Art. 22 der Bankenrichtlinie wirken die zuständigen Behörden des Herkunftsmitgliedstaats darauf hin, dass jedes Kreditinstitut über eine solide Unternehmenssteuerung verfügt. 30 Gemäß Art. 123 der Bankenrichtlinie müssen die Kreditinstitute angemessene Leitungs-, Steuerungs- und Kontrollprozesse ( Robust Governance Arrangements ) sowie Strategien und Prozesse einrichten, die gewährleisten, dass genügend internes Kapital zur Abdeckung aller wesentlichen Risiken vorhanden ist ( Internal Capital Adequacy Assessment Process 31 ). Nach Art. 73 Abs. 3 der Bankenrichtlinie gelten diese Anforderungen in der Institutsgruppe entsprechend. Die Qualität der internen Prozesse (ICAAP und Risikomanagement) ist von der Aufsicht gem. Art. 124 der Bankenrichtlinie im Rahmen des bankaufsichtlichen Überwachungsprozesses regelmäßig mindestens jährlich zu beurteilen ( Supervisory Review and Evaluation Process ). Art. 123 und 124 der Bankenrichtlinie schreiben zudem den Grundsatz der doppelten Proportionalität europarechtlich fest. Doppelte Proportionalität bedeutet, dass sowohl die materiell-rechtlichen Organisationsanforderungen an das Risikomanagement als auch die Intensität der Aufsicht im Verhältnis zu dem institutsspezifischen Risikoprofil stehen müssen III. Umsetzung in deutsches Recht Die qualitativen Anforderungen der zweiten Säule von Basel II bzw. von Art. 22 und 123 der Bankenrichtlinie wurden in Deutschland durch eine Änderung von 25a KWG in nationales Recht umgesetzt und durch die MaRisk präzisiert (im Einzelnen siehe Rn. 28 ff.). Durch die zweite Säule von Basel II bzw. die umzusetzenden EU-Richtlinien fanden verstärkt Elemente prinzipienorientierter Regulierung Eingang in das deutsche Bankenaufsichtsrecht. Dieser seinerzeit neue Regulierungsansatz unterscheidet sich erheblich von der klassischen regelbasierten Regulierung. Er soll im Folgenden zunächst theoretisch und sodann in seiner Ausprägung durch 25a KWG bzw. die MaRisk vorgestellt werden Prinzipienorientierte Regulierung und qualitative Bankenaufsicht Prinzipien sind Zielnormen mit einem hohen Generalitätsgrad. 33 Sie normieren eine Handlungspflicht der beaufsichtigten Unternehmen und das von diesen zu erfüllende regulatorische Ziel (Normzweck ist Bestandteil des Wortlauts). Grammatikalisch erfolgt dies über Richtlinie 2006/48/EG (Bankenrichtlinie) des Europäischen Parlaments und des Rates v über die Aufnahme und Ausübung der Tätigkeit der Kreditinstitute, AblEU Nr. L177/1-200 v Richtlinie 2006/49/EG (Kapitaladäquanzrichtlinie) des Europäischen Parlaments und des Rates vom über die angemessene Eigenkapitalausstattung von Wertpapierfirmen und Kreditinstituten, ABlEU Nr. L177/ v Das sog. CRD IV-Paket beinhaltet eine Verordnung und eine Richtlinie, mit denen in Umsetzung von Basel III die früheren Eigenkapitalrichtlinien 2006/48/EG und 2006/49/EG ersetzt werden. 30 Das Committee of European Banking Supervisors (CEBS) hat hierzu die Guidelines on the Application of the supervisory review process under Pillar 2 (CP03 revised) vom veröffentlicht, worin CEBS die Anforderungen an die interne Unternehmenssteuerung nach Art. 22 der Bankenrichtlinie durch 21 Grundsätze konkretisiert. 31 In den MaRisk als Interner Prozess zur Sicherstellung der Risikotragfähigkeit bezeichnet. 32 Grundlegende normtheoretische und -systematische Ausführungen bei Wundenberg S. 37 ff. 33 Wundenberg S. 53. Glawischnig-Quinke 389

8 14 Besondere Organisationspflichten von Instituten nach 25a KWG eine finale Normstruktur und die Verwendung von um zu -Sätzen. 34 Dem regulatorischen Ziel ist daher bei einer prinzipienorientierten Regulierung in besonderem Maße Rechnung zu tragen. 35 Charakteristisch ist ferner, dass der Gesetzgeber die Wahl der im Einzelfall sachgerechten Mittel und Methoden den Normadressaten überantwortet. 36 Innerhalb des vorgegebenen gesetzlichen Rahmens (hierzu gehört auch die Eignung des Mittels zur Erreichung des bankaufsichtlichen Ziels) bestehen daher typischerweise weite Gestaltungsspielräume. Diese Flexibilität bringt gleichzeitig ein hohes Maß an Eigenverantwortung für die Institute und ihre Geschäftsleiter mit sich. Prinzipien erfordern insbesondere eine Gefährdungsanalyse und eine sorgfältige Abwägung zwischen den in Betracht kommenden Handlungsmöglichkeiten. 37 Die Komplexität der Rechtsanwendung ist gerade in jüngster Zeit als einer der Nachteile prinzipienorientierter Regulierung kritisiert worden. Daher verwundert es nicht, dass eine Tendenz zu immer stärker detaillierten Regelungen der aufsichtsrechtlichen Risikomanagementpflichten erkennbar ist. 18 Der Begriff der prinzipienorientierten Regulierung ist eng mit dem Begriff der qualitativen Aufsicht verknüpft. Qualitative Aufsicht bedeutet, dass sich die Aufsicht auch mit der Qualität der internen Verfahren beschäftigt. Hauptanwendungsfall ist das Governance-System der Institute. 38 Bei Einführung des bankaufsichtlichen Überprüfungsprozess hat die BaFin diesen als neue Strategie einer präventiv agierenden Aufsicht beschrieben, die die Qualität der institutsinternen Verfahren zur Steuerung und Überwachung aller Risiken verstärkt. 39 Die nationalen Aufsichtsbehörden müssten sich mehr als bisher auch aus eigener Anschauung ein Bild über die Qualität dieser Verfahren verschaffen, weshalb von dem SRP ein starker Impuls in Richtung qualitativer Bankenaufsicht ausgehen werde. 39 Mit Inkrafttreten des CRD IV-Umsetzungsgesetzes werden das aufsichtliche Überprüfungs- und Evaluierungsverfahren und die präventive Aufsichtstätigkeit durch die Einfügung von 6b KWG n.f. nochmals gestärkt. Ein weiteres Merkmal der qualitativen Aufsicht ist, dass die maßgeblichen Anforderungen im Dialog mit den beaufsichtigten Unternehmen entwickelt und angepasst werden, wohingegen sich die traditionelle quantitative Aufsicht auf die Überwachung der vom Normgeber vorgegebenen quantitativen Anforderungen (z.b. Kennzahlen) beschränkt a KWG als prinzipienorientierte Regulierung 19 Kennzeichnend für 25a KWG als prinzipienorientierter Regulierung sind eine Vielzahl unbestimmter Rechtsbegriffe, die Vorgabe regulatorischer Ziele und die Festschreibung des Grundsatzes der doppelten Proportionalität. Der Gesetzgeber hat anders als im Hinblick auf die Anforderungen an die Ausgestaltung der Vergütungssysteme der Institute 40 für die Angemessenheit des Risikomanagements keine Ermächtigung zum Erlass einer Rechtsverordnung vorgesehen. Die Vorgabe zu starrer Anforderungen an das Risikomanagement, wie z.b. in Verordnungen oder Gesetzen, sei im Hinblick auf die Dynamik 34 Wundenberg S Siehe auch Hannemann/Schneider S. 22; siehe auch AT 1 Tz. 4 S. 3 MaRisk: Das Rundschreiben ist gegenüber der laufenden Fortentwicklung der Prozesse und Verfahren im Risikomanagement offen, soweit diese im Einklang mit den Zielen des Rundschreibens stehen. 36 Wundenberg S. 57 bezeichnet dies als Delegation der Verantwortung vom Gesetzgeber zum Gesetzesanwender (Institute, Prüfer, Aufsicht). 37 Wundenberg S. 56 f. und 88 f. 38 Siehe hierzu Basel Committee on Banking Supervision Core Principle for Effective Banking Supervision und Basel Committee on Banking Supervision Core Principle Methodology. 39 BaFin Schreiben v zur Entwicklung der MaRisk; abgedruckt in Hannemann/Schneider Anlage 18, S a Abs. 5 S. 1 3 und 5 KWG enthalten eine Verordnungsermächtigung. Hiervon wurde durch Erlass der Instituts-Vergütungsverordnung v Gebrauch gemacht. 390 Glawischnig-Quinke

9 Entwicklung besonderer prinzipienorientierter Organisationsanforderungen 14 finanzwirtschaftlicher Tätigkeit, die laufende Fortentwicklung des Risikomanagements und die Heterogenität der Institute wenig zweckmäßig 41. Die Präzisierung der unbestimmten Rechtsbegriffe des 25a KWG erfolgt daher auf untergesetzlicher Ebene durch die MaRisk, ein mit der Kreditwirtschaft konsultiertes Rundschreiben der BaFin. Für die Institute bietet dies eine gewisse Rechts- und Planungssicherheit, während die Aufsicht flexibel bleibt, das Regelwerk zu ändern oder anzupassen. 3. MaRisk als prinzipienorientierte Regulierung Die BaFin hat bei der erstmaligen Veröffentlichung der MaRisk eine Abkehr von der traditionellen Regel-basierten Aufsicht hin zu einer Prinzipien-orientierten Aufsicht angekündigt. Dieser Paradigmenwechsel werde sowohl Form und Stil der Regulierung als auch die bankenaufsichtliche Praxis verändern. 42 Der Vorteil 43 der prinzipienorientierten Ausrichtung der MaRisk gegenüber einem regelbasierten Ansatz bestehe darin, dass dieser dem Anwender einen Handlungsrahmen vorgibt, ihm jedoch weitgehende Freiheiten bei der praktischen Umsetzung gibt, soweit diese mit der gesetzlichen Zielsetzung der Angemessenheit und Wirksamkeit des Risikomanagements vereinbar sind. 44 Die Form des Rundschreibens hat sich in Deutschland etabliert; die MaRisk wurden seit ihrer erstmaligen Veröffentlichung im Jahr 2005 mehrfach überarbeitet. Die derzeit aktuelle Fassung (vierte Novelle, auch als MaRisk 5.0 oder MaRisk 2012 bezeichnet) ist zum in Kraft getreten. 45 Trotz der immer konkreter werdenden internationalen Vorgaben hat die BaFin auch in jüngerer Zeit betont, dass sie soweit als möglich den prinzipienorientierten Aufbau der MaRisk beibehalten wird. 46 a) Merkmale der MaRisk Die MaRisk stellen wie der Name besagt qualitative Mindestanforderungen auf. Sie sind ein umfassendes Regelwerk, das auf der Basis einer ganzheitlichen Risikobetrachtung einen flexiblen und praxisnahen Rahmen für das Management aller wesentlichen Risiken vorgibt. 47 Das Rundschreiben ist dabei der qualitative Rahmen für die Umsetzung von Art. 22 und 123 der Bankenrichtlinie (AT 1 Tz.2 S.1 MaRisk). Da die Qualität der internen Prozesse von der Aufsicht gem. Art. 124 der Bankenrichtlinie im Rahmen des bankaufsichtlichen Überwachungsprozesses regelmäßig zu beurteilen ist, gibt das Rundschreiben zudem den Regelungsrahmen für die qualitative Aufsicht in Deutschland (AT 1 Tz. 2 S. 1 MaRisk). Folgende Merkmale sind kennzeichnend für die MaRisk (vgl. AT 1 Tz. 4 6 MaRisk): zahlreiche Öffnungsklauseln, die abhängig von der Größe der Institute, den Geschäftsschwerpunkten und der Risikosituation eine vereinfachte Umsetzung ermöglichen; eine grundsätzliche Offenheit gegenüber der laufenden Fortentwicklung der Prozesse und Verfahren im Risikomanagement, soweit diese im Einklang mit den Zielen des Rundschreibens stehen; eine (Weiter-)Entwicklung im fortlaufenden Dialog mit der Praxis; eine modulare Struktur, so dass notwendige Anpassungen in bestimmten Regelungsfeldern auf die zeitnahe Überarbeitung einzelner Module beschränkt werden können BaFin Schreiben v zur Entwicklung der MaRisk; abgedruckt in Hannemann/Schneider Anlage 18, S BaFin Übersendungsschreiben zum Rundschreiben 18/2005 (BA) v , S Kritisch zur Verwendung von soft law im Hinblick auf die rechtsstaatliche Kompetenzverteilung und die demokratische Legitimation belastender Regelungssätze ohne ausdrückliche gesetzliche Ermächtigung Hopt/Wohlmannstetter/Weber-Rey/Baltzer S. 432 f. 44 Vgl. Hofer/Bothe BaFinJournal August 2012, S BaFin Übersendungsschreiben zum Rundschreiben 10/12 (BA) v , S Vgl. Hofer/Bothe BaFinJournal August 2012, S Hannemann/Schneider S. 5. Glawischnig-Quinke 391

10 14 Besondere Organisationspflichten von Instituten nach 25a KWG 24 Die BaFin erwartet von den Prüfern, dass diese ihre Prüfungen auf der Basis eines risikoorientierten Prüfungsansatzes durchführen, so dass der flexiblen Grundausrichtung des Rundschreibens Rechnung getragen wird. 25 Über die nun ausdrückliche Anforderung in AT 1 Tz.2 MaRisk an große Institute, die Veröffentlichungen internationaler Gremien zum Risikomanagement (namentlich des Basler Ausschusses für Bankenaufsicht und des Financial Stability Board) eigenverantwortlich in ihre Überlegungen einzubeziehen, ist davon auszugehen, dass diese einen noch stärkeren Eingang in die deutsche Aufsichtspraxis finden werden. 48 Die BaFin hat angekündigt, einzelne Aspekte aus den Veröffentlichungen internationaler Gremien, die nicht bereits Eingang in das KWG oder die MaRisk gefunden haben, mit den relevanten Instituten zu diskutieren. 49 b) Rechtsnatur der MaRisk 26 Die BaFin hat in den MaRisk Pflichten, Anforderungen und Ausnahmeregelungen für die Institute und ihre Geschäftsleiter formuliert. Sie gibt das Inkrafttreten der MaRisk bekannt und gewährt im Hinblick auf einzelne Module oder Anforderungen Umsetzungsfristen. Ungeachtet dieserbegrifflichkeiten handelt essich bei den MaRisk nicht um Außenrechtsnormen, sondern um interne Verwaltungsvorschriften der BaFin. Sie dienen der Vereinheitlichung der Verwaltungspraxis und sind Innenrecht der Verwaltung. Als behördliche Interpretation der unbestimmten Rechtsbegriffe eines angemessenen und wirksamen Risikomanagements im Sinne des 25a Abs. 1 S. 3 KWG geben die MaRisk den Mitarbeitern der BaFin einen Beurteilungsmaßstab 50 bei der Rechtsanwendung. Aufgrund der einheitlichen Verwaltungspraxis in vergleichbaren Fällen führen sie zu einer Selbstbindung der Verwaltung (Art. 3 Abs. 1 GG) bei der Beurteilung der Angemessenheit des Risikomanagements eines Instituts. 27 Ob die MaRisk Rechtsverbindlichkeit nach außen entfalten, hängt davon ab, ob sie als norminterpretierende oder als normkonkretisierende Verwaltungsvorschriften einzuordnen sind. Der VGH Kassel 51 hat zur Verbindlichkeit des BaKred-Rundschreibens 1/2000 Mindestanforderungen an die Ausgestaltung der Internen Revision der Kreditinstitute (kurz: MaIR) in einem obiter dictum Stellung genommen. In dem konkreten Fall ging es um die Rechtmäßigkeit einer Verwarnung nach 36 Abs. 2 KWG, die die Behörde gegenüber dem Geschäftsleiter einer Bank wegen zumindest leichtfertiger Verstöße gegen 25a KWG ausgesprochen hatte. Der VGH Kassel stellte fest, dass einem solchen Rundschreiben weder gegenüber den Adressaten noch gegenüber den Gerichten Rechtsverbindlichkeit zukommt, sondern es sich lediglich um die Kundgabe einer Rechtsauffassung der BaFin handelt. 52 DieMaIRsindindenMaRiskaufgegangen, 53 so dass sich diese Auffassung auf die Rechtsnatur der MaRisk übertragen lässt. 48 Zu der Vorgängerversion der MaRisk findet sich bei Boos/Fischer/Schulte-Mattler/Braun/Wolfgarten 25a Rn. 86 eine Übersicht über Empfehlungen des Basler Ausschusses für Bankenaufsicht, die nach der Auffassung der Autoren bei der Auslegung der MaRisk (2010) zu berücksichtigen sind. 49 BaFin Übersendungsschreiben zum Rundschreiben 10/2012 (BA) v , S BaFin Übersendungsschreiben zum ersten Entwurf der MaRisk v ; abgedruckt in Hannemann/ Schneider Anlage 17, S WM 2007, Auf die rechtliche Verbindlichkeit des Rundschreibens kam es in dem Fall nicht entscheidungserheblich an. Nach der Auffassung des VGH Kassel ergab sich bereits aus der damals gegenständlichen Gesetzesfassung, die Pflicht zur Einrichtung einer Internen Revision: denn in zutreffender Konkretisierung des unbestimmten Rechtsbegriffes internes Kontrollverfahren ist hier gefordert, dass jedenfalls im Grundsatz die Aufgabe der Revision in dem Institut intern besetzt sein muss, wozu insbesondere auch gehört, dassdie Stelle mit einem weisungsabhängigen Mitarbeiter des Instituts besetzt wird. Da sich dieses Erfordernis, wie das Verwaltungsgericht zutreffend angenommen hat, bereits hinreichend aus dem Gesetz selbst ergibt, kommt es auf eine rechtliche Verbindlichkeit des Rundschreibens der Beklagten über Mindestanforderungen an die Ausgestaltung der internen Revision nicht an. 53 BaFin Übersendungsschreiben zum ersten Entwurf der MaRisk v in Hannemann/Schneider, Anlage 17, S Glawischnig-Quinke

11 Entwicklung besonderer prinzipienorientierter Organisationsanforderungen 14 Ein rechtlich bedeutsamer Unterschied zwischen den beiden Rundschreiben könnte jedoch darin bestehen, dass der erste Entwurf der MaRisk abweichend von dem bis dahin bei Konsultationen verfolgten Verfahren zunächst einem sog. Fachgremium zur fachlichen Weiterentwicklung vorgelegt wurde. 54 Das Fachgremium setzt sich aus Vertretern der Verbände, der Institute, der Prüfer, der Innenrevisoren und der Aufsicht zusammen, ist also sachverständig und pluralistisch besetzt. Jedoch wurde es vom Gesetzgeber nicht mit der Konkretisierung der unbestimmten Rechtsbegriffe des 25a KWG beauftragt. Das Fachgremium wurde von der BaFin eingerichtet, um durch Transparenz und Praxisnähe bei der Ausarbeitung der Anforderungen die Akzeptanz der Vorgaben zu erhöhen. 55 Den Vertretern der Kreditwirtschaft steht jedoch kein Mitentscheidungsrecht über die Inhalte des Rundschreibens zu. Unabhängig davon stünde die Einordnung der MaRisk als normkonkretisierende Verwaltungsvorschriften mit ihrem Charakter als prinzipienorientierter Regulierung in Widerspruch. 56 Die MaRisk sind somit als norminterpretierende Verwaltungsvorschriften einzuordnen, die keine unmittelbare Bindungswirkung gegenüber den Instituten und den Gerichten entfalten. 57 Die Grenze der behördlichen Norminterpretation bleibt somit der Wortlaut des Gesetzes; die MaRisk begründen keine Rechtspflichten, die nicht bereits in 25a KWG verankert sind. Aufgrund des Vorbehaltes des Gesetzes kann die BaFin Maßnahmen nicht allein auf eine Nichterfüllung der MaRisk stützen; vielmehr muss ein Verstoß gegen 25a KWG vorliegen. Das Gericht muss daher im Hinblick auf jede einzelne Anforderung der MaRisk feststellen, ob diese bereits hinreichend in 25a KWG verankert ist. c) Faktische Bindungswirkung der MaRisk Trotz ihrer rechtlichen Unverbindlichkeit haben die MaRisk eine hohe faktische Bindungswirkung. 58 Sie dienen den Instituten in der Praxis als Orientierungshilfe bei der Rechtsanwendung, wobei sich ihre Akzeptanz sich auch daraus erklärt, dass sie unter Beteiligung der Kreditwirtschaft und des Standes der Wirtschaftsprüfer somit nicht am grünen Tisch entstanden sind. Wichtig ist zudem, dass ihre Einhaltung wenn auch nur mittelbar und nicht letztverbindlich behördlich durchsetzbar ist. Die BaFin beurteilt wie oben dargestellt anhand der MaRisk, ob ein Institut die Organisationspflichten des 25a KWG einhält, und entscheidet auf dieser Grundlage über bankaufsichtliche Maßnahmen. Eine Nichtbefolgung kann somit einschneidende Folgen haben (siehe unter Rn. 89 ff.). Auch wenn das Institut bzw. der betroffene Geschäftsleiter Maßnahmen der BaFin gerichtlich überprüfen und ggf. die Aufhebung erreichen kann, verbleibt selbst im Erfolgsfall ein nicht unbeachtliches Reputationsrisiko. 59 Zudem ist davon auszugehen, dass das mit dem Rechtsstreit befasste Verwaltungsgericht die MaRisk trotz ihrer Unverbindlichkeit als Auslegungs- bzw. Orientierungshilfe für die Entscheidung der Frage zu Rate ziehen wird, ob ein BaFin Übersendungsschreiben zum ersten Entwurf der MaRisk v in Hannemann/ Schneider, Anlage 17, S In der Konsultationsphase eines Rundschreibens besteht die Möglichkeit, Kritik, Anregungen und Änderungsvorschläge einzubringen. In der Folgezeit dient das Fachgremium der Klärung von Auslegungsfragen und der Erörterung von prüfungsrelevanten Sachverhalten. 56 Wundenberg S. 92 ff. 57 Vgl. Hannemann/Schneider S. 19 und S. 43; Hofer/Bothe BaFinJournal August 2012 S. 5; Schwennicke/Auerbach/Langen 25a Rn Reischauer/Kleinhans/Bitterwolf Anhang 1 zu 25a, AT 1 Tz. 1 Rn. 2; Schwennicke/Auerbach/Langen 25a Rn Weber-Rey S Glawischnig-Quinke 393

12 14 Besondere Organisationspflichten von Instituten nach 25a KWG Verstoß gegen 25a KWG vorliegt. 60 Sofern es die Norminterpretation durch die Behörde als zutreffend erachtet, wird es diese unter Umständen sogar zur Begründung seines Urteils heranziehen Darüber hinaus dienen die MaRisk auch den Prüfern (Wirtschaftsprüfern, Verbandsprüfern, Prüfern der Deutschen Bundesbank) als Orientierungshilfe bzw. Maßstab für die Prüfung des Risikomanagements eines Instituts. 62 Die Jahresabschlussprüfer des Instituts haben nach 29 Abs. 1 S. 2 KWG das Risikomanagement zu prüfen und greifen hierfür auf die MaRisk. 63 Die von der BaFin nach 44 Abs. 1 S. 2 KWG mit einer bankgeschäftlichen Sonderprüfung der Geschäftsorganisation beauftragten Prüfer der Deutschen Bundesbank legen die MaRisk als Leitplanke für ihre Prüfungstätigkeiten an. Die (Nicht-)Einhaltung der Anforderungen der MaRisk wird im Prüfungsbericht entsprechend dargestellt. Das zusammengefasste Prüfungsergebnis zur Ordnungsgemäßheit der Geschäftsorganisation nach 25a KWG hängt von Anzahl, Schwere und Fortsetzung der Mängel sowie deren Auswirkung(en) auf das ordnungsgemäße Betreiben der Geschäfte und das Risikomanagement ab. Die Feststellungen der Sonderprüfer, die sie sich regelmäßig zu eigen macht, sind die Grundlage, auf der die BaFin über aufsichtliche Maßnahmen entscheidet. 64 d) Verankerung von Anforderungen der MaRisk im KWG 30 Es ist eine Tendenz erkennbar, im Vorgriff auf Änderungen des KWG die MaRisk anzupassen; dies geschah bspw. in der MaRisk-Novelle 2012 im Hinblick auf den damaligen Entwurf des CRD IV-Umsetzungsgesetzes. Andererseits werden aber auch Anforderungen der MaRisk in das KWG übernommen. Jüngstes Beispiel sind 25c Abs. 4a und 4b KWG n.f., die durch das sog. Trennbankengesetz eingefügt wurden. Hierin werden umfangreiche und detaillierte Sorgetragungspflichten von Geschäftsleitern normiert, die diese im Rahmen ihrer Gesamtverantwortung für eine ordnungsgemäße Geschäftsorganisation zu beachten haben, sowie gesetzliche Mindestanforderungen. 65 Die in 25c Abs. 4a und 4b KWG n.f. geregelten Pflichten sind inhaltlich nicht neu; sie geben den von der Verwaltungspraxis angenommenen Geschäftsleiterpflichten nach dem gesetzgeberischen Willen nunmehr Gesetzesrang. 66 Mit Inkrafttreten ab dem sind diese Pflichten somit für die Geschäftsleiter von Instituten unmittelbar verbindlich. 60 Es sei in diesem Zusammenhang darauf hingewiesen, dass der BGH hat zur strafrechtlichen Verantwortung von Vorstandsmitgliedern einer Sparkasse die Rundschreiben des Bundesaufsichtsamtes für Kreditwesen, eines der Vorgängerämter der BaFin, zur Konkretisierung der gesetzlichen Vorgaben des 18 KWG herangezogen hat. Siehe BGHSt 47, 148 ff.: Das BAKred hat das Verfahren nach 18 Satz 1 KWG in mehreren Rundschreiben konkretisiert, die als Erläuterung der banküblichen Sorgfaltspflichten bei der Kreditwürdigkeitsprüfung auch für den Tatzeitraum heranzuziehen sind.... Gravierende Verstöße gegen die bankübliche Informations- und Prüfungspflicht begründen aber eine Pflichtwidrigkeit im Sinne des Mißbrauchstatbestandes des 266 StGB (vgl. auch BGH wistra 1985, 190; wistra 1990, 148). Bei der Frage, ob solche Verstöße vorliegen, kann auch auf die Erläuterungen des BAKred zum Verfahren nach 18 KWG zurückgegriffen werden. Diese bußgeldbewehrte ( 56 Abs.3 Nr.4 KWG n.f.) gesetzlich geregelte Informationspflicht und die sie erläuternden amtlichen Verlautbarungen des BAKred konkretisieren die Grenzen des rechtlichen Dürfens von Bankleitern bei der Kreditvergabe und machen den Mißbrauchstatbestand damit zugleich hinreichend bestimmt. 61 So offensichtlich das erstinstanzlich befasste Verwaltungsgericht in dem bereits zitierten Fall vor dem VGH Kassel (WM 2007, 392). 62 Reischauer/Kleinhans/Bitterwolf Anhang 1 zu 25a, AT 1 Tz. 1 Rn Boos/Fischer/Schulte-Mattler/Braun/Wolfgarten 25a Rn Die Abarbeitung der Feststellungen wird von der Fachaufsicht der BaFin bzw. der laufenden Aufsicht der Deutschen Bundesbank überwacht. Gegebenenfalls findet eine sog. Nachschau-Prüfung statt. 65 Entwurf eines Gesetzes zur Abschirmung von Risiken und zur Planung der Sanierung und Abwicklung von Kreditinstituten und Finanzgruppen, BR-Drucks. 378/ Begründung zum Entwurf eines Gesetzes zur Abschirmung von Risiken und zur Planung der Sanierung und Abwicklung von Kreditinstituten und Finanzgruppen, BT-Drucks. 17/12601, S Glawischnig-Quinke