Endfassung der 4. MaRisk-Novelle

Transkript

1 Endfassung der 4. MaRisk-Novelle Ronny Rehbein, Prof. Dr. Dirk Wohlert Inhalt Aktueller Stand und Umsetzungsfrist... 1 Wesentliche Änderungen aus dem Konsultationsprozess... 2 Risikosteuerung- und -controlling... 4 Internal Governance... 4 neuer AT für das Risikocontrolling... 5 neuer AT für Compliance... 5 Liquiditätstransferpreissystem... 6 Weitere Anforderungen... 6 Fazit... 8 Aktueller Stand und Umsetzungsfrist Wir haben Sie Anfang Mai diesen Jahres in einem Fachbeitrag über den Entwurf der 4. MaRisk-Novelle informiert. Nach einer fast achtmonatigen Konsultationsphase hat die BaFin hat am 14. Dezember 2012 die Endfassung der 4. MaRisk-Novelle veröffentlicht. In diesem Fachbeitrag stellen wir deshalb zunächst wesentliche Änderungen aus dem Konsultationsprozess dar und geben anschließend einen im Vergleich zu unserem Mai- Fachbeitrag aktualisierten Überblick über bedeutende Änderungen bzw. Neuerungen im Vergleich zur bisherigen MaRisk-Version. Anlass für die geplante Novelle sind internationale Vorgaben, insbesondere die deutsche Umsetzung der EU-Bankenrichtlinie (CRD IV), die EBA Guidelines for Internal Governance, die CEBS Guidelines on Liquidity Cost Benefit Allocation sowie zwei Vorschläge des European Systemic Risk Board ESRB zu Fremdwährungsdarlehen und Fremdwährungsfinanzierungen. Die 4. MaRisk-Novelle tritt zum in Kraft, allerdings räumt die Aufsicht eine Umsetzungsfrist für die neuen Anforderungen bis zum ein, die jedoch nicht für Konkretisierungen bisheriger Anforderungen gilt. Welche veränderten Textziffern jedoch als Konkretisierung zu sehen sind, wird nicht spezifiziert und ist somit institutsintern zu analysieren). Die BaFin plant im ersten Halbjahr 2013 weitere Fachgremiumssitzungen zur Klärung von Auslegungs- und Anwendungsfragen für die neuen Themenbereiche einzuberufen, insbesondere hinsichtlich der neuen Anforderungen an Compliance und Liquiditätstransferpreise.

2 Wesentliche Änderungen aus dem Konsultationsprozess Proportionalitätsprinzip (AT 1): Die Anforderungen, dass Institute im Einzelfall über die Mindestanforderungen hinausgehen müssen und sich an internationalen Veröffentlichungen orientieren sollten, wurde auf Institute, die besonders groß sind oder deren Geschäftsaktivitäten durch besondere Komplexität, Internationalität oder eine besondere Risikoexponierung gekennzeichnet sind, eingeschränkt. Diese Institute habe dabei auch die Veröffentlichungen des Baseler Ausschusses und des Financial Stability Reports einzubeziehen (was jedoch nicht notwendigerweise eine Umsetzung dieser Veröffentlichungen bedeuten muss). Risikotragfähigkeit (AT 4.1): Hinsichtlich der etwas missverständlichen Formulierung des Entwurfs, dass die Risikotragfähigkeitsansätze die Ziele der Fortführung des Instituts und des Gläubigerschutzes beinhalten, wurde ergänzt, dass die Ausführungen des BaFin-Papiers zur Risikotragfähigkeit vom unverändert gelten, und deshalb der Going-Concern-Ansatz und der Liquidationsansatz nicht parallel implementiert werden müssen. Kapitalplanungsprozess (AT 4.1): Betreffend den Kapitalplanungsprozess wurde klargestellt, dass sich die Anforderungen sowohl auf das interne als auch das regulatorische Kapital beziehen. Im Anschreiben zur Endfassung der 4. MaRisk-Novelle nennt die Aufsicht darüberhinaus einen Zeitraum von in der Regel 2 bis 3 Jahre über den Risikobetrachtungshorizont hinweg. Aufbau- und Ablauforganisation (AT 4.3.1): In Bezug auf die neuen Textziffer zur regelmäßigen Überprüfung von IT-Berechtigungen, Zeichnungsberechtigungen und sonstigen eingeräumten Kompetenzen wurde ergänzt, dass diese Überprüfungen auch anlassbezogen erfolgen müssen und dass bei IT- Berechtigungen und Zeichnungsberechtigungen auf Zahlungsverkehrskonten eine mindestens jährliche, bei kritischen IT-Berechtigungen sogar eine mindestens halbjährliche Überprüfung erwartet wird. Risikosteuerungs- und -controllingprozesse (AT 4.3.2): Bezüglich des im Entwurf geforderten Limitsystems zur Begrenzung der in das Risikotragfähigkeitskonzept einbezogenen Risiken (Gesamtbanklimitsystem) wurde eingeräumt, dass die Begrenzung und Überwachung im Rahmen des Limitsystems nur insofern erfolgen muss, wie dieses für die jeweiligen Risiken sinnvoll ist. Risikosteuerungs- und -controllingprozesse (AT 4.3.2): Hinsichtlich der bereits im Entwurf geforderten Indikatoren für die frühzeitige Identifizierung von Risiken (Frühwarnverfahren) wurde ergänzt, dass die Indikatoren je nach Risikoart quantitativ und/oder qualitativ sein können. Stresstests (AT 4.3.3): Streichung des Wortes grundsätzlich bei inversen Stresstests, so dass diese nun zwingend sind. 1 PLUS i GmbH Dezember von 2

3 Risikocontrolling (AT 4.4.1): Im Hinblick auf die besondere Stellung des Leiters Risikocontrolling wurde die Konkretisierung eingefügt, dass die entsprechende Person abhängig von Art, Umfang, Komplexität und Risikogehalt der Geschäftsaktivitäten grundsätzlich in exklusiver Weise für das Risikocontrolling zuständig ist. Weiterhin wurde klargestellt, dass hierfür bei großen, international tätigen Instituten mit komplexen Geschäftsaktivitäten ein Geschäftsleiter verantwortlich sein muss. Nach dem Anschreiben der BaFin zur Endfassung hängt es bei größeren Instituten vom konkreten Aufgabenzuschnitt ab, ob das Risikocontrolling zusätzlich auch für den Finanzbereich zuständig oder unterstützend tätig sein kann. Compliance und Interne Revision (AT und 4.4.3): Die Regelung, dass bei einem Wechsel des Leiters Risikocontrolling das Aufsichtsorgan einzubeziehen ist, wurde auf die Leiter der Compliance-Funktion und der internen Revision erweitert. Auch wurde das Wort einzubeziehen in informieren geändert. Personal (AT 7.1): Die Anforderung des Entwurfs, dass die Leiter Compliance und Risikocontrolling besonders qualifiziert sein müssen, wurde auf den Leiter der internen Revision erweitert. Compliance (AT 4.4.2): Zur erweiterten Aufgabe der Compliance Funktion herrschten während des Konsultationsprozesses viele Unklarheiten, so dass einige ergänzende Textziffern eingebaut wurden. Diese beinhalten unter anderem, dass die Compliance-Funktion auch auf andere Funktionen und Stellen zurückgreifen und im Ausnahmefall auch von einem Geschäftsleiter wahrgenommen werden kann. Nach dem Anschreiben der Aufsicht zur Endfassung der 4. MaRisk-Novelle ist die Compliance-Funktion nicht für alle relevanten Rechtsbereiche zuständig, sondern es geht um Bereiche mit wesentlichem Compliance-Risiko. Hierfür werden im Anschreiben insbesondere Vorgaben zu Wertpapierdienstleistungen (WphG), Geldwäsche und Terrorismusfinanzierung, allgemeine Verbraucherschutzvorgaben, Datenschutzvorgaben, Verhinderung doloser Handlungen zu Lasten des Instituts und ggf. weitere rechtliche Regelungen und Vorgaben, soweit sie vom Institut als unter Compliance-Gesichtspunkten wesentlich eingestuft wurden genannt. Outsourcing (AT 9): Für den Fall einer unbeabsichtigten oder unerwarteten Beendigung von Auslagerungsvereinbarungen wurde die Formulierung des Entwurfs nach geeigneten Vorkehrungen etwas konkretisiert, so dass jetzt etwaige Handlungsoptionen auf Ihre Durchführbarkeit zu prüfen sind. Kreditgewährung (BTO 1.2.1): Wie im Entwurf wird auch in der Endfassung die Risikoanalyse bei Fremdwährungsdarlehen betont, die Textziffer nach Risikoaufklärung potenzieller Kreditnehmer jedoch gestrichen. Kreditgewährung (BTO 1.2.1): Weiterhin wird die Bedeutung der Kapitaldienstfähigkeit hervorgehoben, jedoch wurde bei dem Hinweis auf vereinfachte Ver- 1 PLUS i GmbH Dezember von 3

4 fahren der Bezug zum kleinteiligen Konsumentengeschäft gestrichen, was nach Ansicht der Autoren zu einem größeren Gestaltungsspielraum führt. Liquiditätstransferpreissystem (BTR 3.1): Die Anforderungen zum neu geforderten Liquiditätstransferpreissystem wurden durch die Klarstellung entschärft, dass Institute mit überwiegend kleinteiligem Kundengeschäft auf Aktiv- und Passivseite und einer stabilen Refinanzierung die Anforderungen auch durch ein einfaches Kostenverrechnungssystem erfüllen können. Als Konsequenz davon werden nach dem Anschreiben der BaFin zur Endfassung der Novelle der Masse der Institute keine unüberwindbaren Hürden für eine Umsetzung gestellt. Wie hoch diese verbleibenden Hürden jedoch sind und wie eine minimale Umsetzung aussieht, wird nicht weiter spezifiziert. Große Institute mit komplexen Geschäftsaktivitäten haben jedoch das geforderte Liquiditätstransferpreissystem einzurichten, welches nach Möglichkeit zwar auf Transaktionsebene erfolgen muss, aber eine Zusammenfassung von Produkten mit gleichen Liquiditätseigenschaften beinhalten darf. Bei der aufsichtlichen Beurteilung bezüglich des Liquiditätstransferpreissystems wird ein Vorgehen mit Augenmaß in Aussicht gestellt, soweit Verzögerungen im Einzelfall nicht auf Versäumnisse des Instituts zurückzuführen sind. Risikosteuerung- und -controlling Ein Gesamtbanklimitsystem wird -soweit sinnvoll- für alle wesentlichen Risiken erwartet, was zuvor nur für Marktpreisrisiken und eingeschränkt für Adressenausfallrisiken streng gefordert wurde. Gleichwohl so die Erfahrung der Autoren- ist ein solches Limitsystem schon aktuell bei den meisten Instituten eingerichtet. In der vorherigen MaRisk-Version wurden bereits Frühwarnverfahren für Einzelkreditengagements/-risiken und Liquiditätsengpässe gefordert. In der 4. Novelle wird diese Anforderung auf alle wesentlichen Risiken ausgeweitet. Hierzu müssen die Institute für die wesentlichen Risiken geeignete Indikatoren festlegen. Nach Ansicht der Autoren könnte hier z.b. bei Marktpreisrisiken neben qualitativen Indikatoren u.a. an Aspekte wie Warnschwellen bei Limitauslastungen und bei größeren Marktschwankungen (z. B. Wechselkursveränderungen, Spreadveränderungen) gedacht werden. Internal Governance Unter Internal Governance (zu deutsch interne Unternehmensführung) werden gemeinhin Anforderungen an eine angemessene und ordnungsgemäße Unternehmensführung verstanden, was man häufig mit dem guten und ehrbaren Kaufmann umschreibt. Zwei 1 PLUS i GmbH Dezember von 4

5 wichtige Bausteine oder eben besondere Funktionen aus aufsichtsrechtlicher Sicht sind das Risikocontrolling und das Compliance. neuer AT für das Risikocontrolling Aufgrund der hohen Bedeutung werden zentrale Aufgaben des Risikocontrollings in einem eigenen neuen Teilmodul geregelt. Hier wird auf der einen Seite der uneingeschränkte Zugang zu allen relevanten Informationen betont, auf der anderen Seite werden explizite Aufgaben des Risikocontrollings benannt, die jedoch aus Sicht der Autoren dies Fachbeitrags relativ selbstverständlich sind bzw. schon an anderer Stellen in den MaRisk genannt wird (BTO, Tz. 2). Dazu zählen z. B.: Überwachung der Risikosituation, der Risikotragfähigkeit sowie der eingerichteten Risikolimite Reporting/Kommunikation der Risiken Durchführung der Risikoinventur Unterstützung der Geschäftsleitung in allen risikorelevanten Fragen Die Funktion des Risikocontrollings ist bis auf die Ebene der Geschäftsleitung von den Funktionen zu trennen, die für die Initiierung bzw. den Abschluss von Geschäften zuständig sind. Im Lichte von Kredit- und Handelsgeschäften ist diese Anforderung ein alter Hut. Nun soll dieser Grundsatz für alle Arten von Geschäften (z. B. Einlagengeschäft, Wertpapierberatung) gelten. Dies kann vor allem bei kleineren Instituten mit nur 2 Vorständen zu Änderungen der aufbauorganisatorischen Struktur führen. Auch wenn in der Novelle nicht explizit erwähnt, ist getreu dem propagierten Proportionalitätsprinzip davon auszugehen, dass analog zum Kredit- und Handelsgeschäft auch für andere Geschäftsarten gilt, dass die Trennung unter Risikoaspekten ggf. entbehrlich sein kann. Zudem wird die Stellung des Leiters des Risikocontrollings aufgewertet: Er muss analog zum Leiter Revision und Leiter Compliance eine besonders hohe Qualifikation aufweisen. Weiterhin ist er bei wichtigen risikopolitischen Entscheidungen der Geschäftsleitung zu beteiligen und muss auf einer ausreichend hohen Führungsebene angesiedelt sein. Er muss zudem für das Risikocontrolling in Abhängigkeit von Art, Umfang, Komplexität und Risikogehalt der Geschäftsaktivitäten grundsätzlich exklusiv - also ausschließlich zuständig sein. In jedem Fall ist bei Wechsel des Leiters Controlling das Aufsichtsorgan zu informieren. neuer AT für Compliance In der bisherigen MaRisk-Fassung war die Compliance-Funktion kein Regelungsgegenstand, sondern ausschließlich in den eigenständigen MaComp thematisiert. Unabhängig 1 PLUS i GmbH Dezember von 5

6 von den MaComp, die unberührt bleiben, wird die Compliance-Funktion in der aktuellen Novelle in einem neuen Teilmodul AT nun auch aus Risikomanagementsicht geregelt. Kern der neuen Regelungen ist, dass die Aufgaben von Compliance deutlich erweitert werden: Sie ist zukünftig für die Einhaltung sämtlicher Compliance-relevanter gesetzlicher Bereiche zuständig und ist damit nicht wie bisher in den MaComp auf Wertpapierdienstleistungen beschränkt. Liquiditätstransferpreissystem Liquiditätskosten, -nutzen und -risiken sind zukünftig möglichst verursachungsgerecht bei der Kalkulation und Steuerung von Transaktionen zu berücksichtigen. So hat es das CEBS (Vorläufer der EBA) in seinen CEBS Guidelines on Liquidity Cost Benefit Allocation ausgeführt. Während für Institute mit überwiegend kleinteiligem Kundengeschäft auf Aktiv- und Passivseite und einer stabilen Refinanzierung ein einfaches Kostenverrechnungssystem ausreicht, haben große Institute mit komplexen Geschäftsaktivitäten nun ein Liquiditätstransferpreissystem einzurichten. Ziel eines solchen Systems - so die BaFin in ihrem Anschreiben zum Entwurf der 4. MaRisk-Novelle - ist es, Liquiditätskosten, nutzen und risiken möglichst verursachungsgerecht bei der Steuerung und der Kalkulation der Transaktionen einfließen zu lassen. Damit soll verhindert werden, dass durch deren unvollständige Berücksichtigung Fehlanreize für Refinanzierungsstrukturen gesetzt werden, die sich während der Turbulenzen auf den Finanzmärkten als extrem instabil erwiesen haben. Es werden weitere Kriterien genannt, u.a. dass die Transferpreise die Kosten für die zusätzliche Liquiditätsbeschaffung bei Liquiditätsengpässen berücksichtigen und den betroffenen Mitarbeitern transparent zu machen sind. Noch im Rahmen der Sitzungen des MaRisk-Fachgremiums zu präzisieren ist die Öffnungsklausel bzw. die Frage, mit welcher Intensität diese Anforderungen bei den Instituten, insbesondere auch bei kleineren Instituten, umzusetzen sind. Einerseits steht diese Anforderung bei den allgemeinen Anforderungen für alle Institute und nicht bei den speziellen für kapitalmarktorientierte Institute. Andererseits ist das einzelne Kreditrisiko auch nicht zwingend bei der Kalkulation von Kreditgeschäftstransaktionen zu berücksichtigen (Tz. 7 BTO 1.2). Weitere Anforderungen In der Novelle finden sich weitere neue Anforderungen zu den nachfolgenden Punkten: 1 PLUS i GmbH Dezember von 6

7 Den Grenzen der Methoden ist bei der Risikotragfähigkeit ausreichend Rechnung zu tragen bei vergleichsweise komplexen Methoden ist eine quantitative und qualitative Validierung erforderlich. Ein Kapitalplanungsprozess über einen angemessen langen mehrjährigen Zeitraum wird gefordert, u.a. im Hinblick auf Auslauf von Kapitalbestandteilen und unerwartete Entwicklungen. Bei Berücksichtigung von Diversifikationseffekten dürfen Durchschnitte nur angesetzt werden, wenn diese in der Vergangenheit sehr stabil waren und keine Anhaltspunkte vorliegen, dass sich dies in der Zukunft ändert. Beinhaltet die beobachtbare Historie für Diversifikationseffekte bei Marktpreisrisiken keine geeignete Marktphase, kann anstelle einer historischen ausnahmsweise eine konservative hypothetische Marktphase verwendet werden. Stresstests müssen nicht nur regelmäßig, sondern auch anlassbezogen erfolgen. Bei den Strategieanforderungen werden Beispiele zur Festlegung von Risikotoleranzen gegeben. Die Strategien müssen auch die IT und auch das Outsourcing abdecken (letzteres nur, wenn dieses umfangreich ist). AT 8 wird neu mit der Überschrift Anpassungsprozesse betitelt und in drei Teilmodule aufgeteilt (AT 8.1 Neu-Produkt-Prozess, AT 8.2 Technischorganisatorische Ausstattung und AT 8.3 Übernahmen und Fusionen). Während AT 8.3 im Vergleich zu den vorherigen MaRisk unverändert und nur in ein eigenes Teilmodul verschoben ist, wurde in AT 8.1 neu die Ergänzung aufgenommen, dass die Revision, Compliance und Risikocontrolling im Rahmen ihrer Aufgaben einzubeziehen sind. Inhaltlich komplett neu ist dagegen AT 8.2, nach dem bei wesentlichen Veränderungen der Aufbau und Ablauforganisation oder der IT die Auswirkungen auf die Kontrollverfahren zu analysieren sind. Hinsichtlich des Outsourcings werden in der Novelle auch geeignete Vorkehrungen bei unbeabsichtigten oder unerwarteten Beendigungen der Auslagerung gefordert (früher waren diese Vorkehrungen nur bei beabsichtigter Beendigung erforderlich). Die Würdigung der Kapitaldienstfähigkeit der Kreditnehmer im Rahmen der Kreditgewährung erfordert grundsätzlich eine individuelle Berücksichtigung der wirtschaftlichen Verhältnisse auch bei vereinfachten Verfahren ist kein genereller Verzicht möglich. Bei Vergabe von Fremdwährungsdarlehen muss den besonderen Risiken Rechnung getragen werden. Die Positionsverantwortung jedes Händlers muss jährlich für 10 zusammenhängende Handelstage auf andere Mitarbeiter übertragen werden. In dieser Zeit darf der entsprechende Händler keinen Zugriff auf seine Positionen haben. Die Formulierung in der bisherigen MaRisk-Fassung, wonach bei handelsrechtlichen Ansätzen zur Messung von Zinsänderungsrisiken des Anlagebuchs eine 1 PLUS i GmbH Dezember von 7

8 angemessene Betrachtung über den Bilanzstichtag hinaus erfolgen muss, wird dahingehend ergänzt, dass die Länge des Betrachtungszeitraums von der Portfoliostruktur abhängt. Als Anhaltspunkt wird die durchschnittliche Zinsbindungsdauer genannt. Klarstellung, dass zur Steuerung wesentlicher Liquiditätsrisiken in Fremdwährungen eine gesonderte Liquiditätsübersicht, gesonderte Fremdwährungsstresstests sowie eine explizite Berücksichtigung im Notfallplan für Liquiditätsengpässe gehören. Fazit In der 4. MaRisk-Novelle sind eine Reihe neuer Anforderungen zu finden, wobei einige bereits heute weitgehend umgesetzt sind oder nur noch eines geringen Umsetzungsaufwandes bedürfen. Andere Anforderungen wie hinsichtlich des Frühwarnverfahrens oder des Liquiditätstransferpreissystems können dagegen sehr aufwändig in der Implementierung sein. Unsere Empfehlung ist daher, den Neuigkeitsgrad der einzelnen Anforderungen zu analysieren und entsprechende Umsetzungsalternativen zu identifizieren und umzusetzen. 1 PLUS i unterstützt ihre Kunden gerne mit Seminarangeboten sowie in aktuellen Beratungsprojekten bei der Umsetzung aller neuen Vorgaben. So bieten wir neben individuellen Umsetzungsunterstützungen vom März 2013 einen Workshop Aktuelle Entwicklungen im Aufsichtsrecht an, in dem unter anderem auch die neuen MaRisk- Anforderungen Thema sind. 1 PLUS i GmbH Dezember von 8