Die zunehmende Arbeit im Homeoffice, der über Jahre hinweg boomende Immobilienmarkt, das Thema Nachhaltigkeit und nicht zuletzt die Leitlinien der Europäischen Bankenaufsichtsbehörde (EBA) für die Kreditvergabe und Überwachung: All dies hat Einfluss auf das Risikomanagement der Institute. Die BaFin hat diese Entwicklungen in der inzwischen 7. Novelle der MaRisk daher berücksichtigt. Dem vorausgegangen war eine vierwöchige Konsultation: Die BaFin hatte den Entwurf der Novelle veröffentlicht und die Finanzbranche um Stellungnahme gebeten. Über 120 Unternehmen und Verbände haben den Entwurf kommentiert.

In den MaRisk macht die BaFin transparent, wie sie in der aufsichtlichen Praxis unbestimmte Rechtsbegriffe – etwa aus dem Kreditwesengesetz (KWG) – anwenden wird. Gleichzeitig gibt sie den Instituten verlässliche Anhaltspunkte für die angemessene Ausgestaltung des institutsinternen Risikomanagements. Die Anforderungen sind dabei so ausgestaltet, dass sie alle Institute anwenden können Darüber hinaus sind sie so flexibel, dass sie den beaufsichtigten Unternehmen Gestaltungsspielräume bieten: Die Institute können so die Vorgaben individuell und zugleich rechtskonform umsetzen. Erstmals hat die BaFin die MaRisk im Jahr 2005 veröffentlicht.

EBA-Leitlinien für die Kreditvergabe und Überwachung integriert

Am 29. Mai 2020 hat die Europäische Bankenaufsicht EBA die deutsche Sprachfassung ihrer Leitlinien für die Kreditvergabe und Überwachung veröffentlicht. Leitlinien der Europäischen Aufsichtsbehörden müssen die nationalen Aufsichtsbehörden innerhalb einer bestimmten Frist in nationale Regeln umsetzen. In Deutschland ist hierfür die BaFin zuständig: Sie überführt die europäischen Leitlinien in eigene Vorgaben für die deutschen beaufsichtigten Unternehmen – zum Beispiel in Rundschreiben wie die MaRisk.

In den bisherigen MaRisk waren einige der neuen Anforderungen aus den EBA-Leitlinien schon enthalten. Andere Vorgaben für Kreditinstitute waren jedoch neu: Beispielsweise differenziertere und konkretere Regeln für den Kreditvergabeprozess – je nachdem, um welche Kategorie von Kreditnehmern (z.B. besicherte Verbraucherkredite oder Kredite an Klein- und Kleinstunternehmen) und um welche Finanzierungsart (z.B. Finanzierung von Gewerbeimmobilien oder Projektfinanzierung) es sich im jeweiligen Fall handelt.

Auch für die Risikoklassifizierung und die davon abhängige Gestaltung der vertraglichen Konditionen gibt es neue Vorgaben: Die Institute müssen mehr Kriterien prüfen, wenn sie die Kreditwürdigkeit potenzieller Kundinnen und Kunden ermitteln. Außerdem müssen sie bei der Sicherheitenbewertung noch sogfältiger vorgehen: Sobald schon im Normalfall begründete Zweifel an der Rückzahlungsfähigkeit einer Kreditnehmerin oder eines Kreditnehmers bestehen, muss die Bank Simulationen für die Verschlechterung der Kreditwürdigkeit errechnen. Die Ergebnisse dieser Prüfungen müssen in die Vertragsgestaltung einfließen.

Die BaFin hat nun alle neuen Anforderungen der EBA in die Novelle der MaRisk integriert: Teilweise enthalten die MaRisk nur Verweise, die zu den betreffenden Passagen der EBA-Leitlinien führen. Dies gilt beispielsweise für die Prozesse, mit denen die Banken ihre Kreditportfolien und die Kreditbesicherung überwachen. Alle anderen Passagen hat die BaFin so überarbeitet, dass sie die Anforderungen der EBA an die Kreditprozesse vollumfänglich wiedergeben – die Recherche im Originaltext der EBA-Leitlinien ist hier also nicht nötig.

Risikomanagementmodelle: Regelungslücke geschlossen

Sehr umfangreiche neue Vorgaben machen die EBA-Leitlinien zu den Risikomanagementmodellen der Institute. Die BaFin hat diese Vorgaben in einem neuen Abschnitt der MaRisk formuliert: im Modul AT 4.3.5, das zum Allgemeinen Teil der MaRisk gehört. Das neue Modul regelt die Datenqualität, Validierung und Erklärbarkeit von Modellen, welche die Institute für ihr Risikomanagement nutzen.

Wenn solche Verfahren – etwa Scoringverfahren bei der Vergabe von Schnellkrediten – auch im Markt eingesetzt werden, müssen ihre Ergebnisse erklärbar sein. Konkret: Wenn eine Bank einen Kreditantrag durch ein automatisiertes Verfahren ablehnt, muss sie Kundinnen oder Kunden auch die entscheidenden Kriterien für diese Ablehnung darlegen können und ihnen die Möglichkeit geben, ihre Kreditwürdigkeit durch Einreichung weiterer Unterlagen nachzuweisen.

Wichtig dabei ist: Die Anforderungen sind technologieneutral – das heißt, sie gelten unabhängig davon, welche digitalen Tools die Banken konkret im Risikomanagement verwenden. Außerdem regeln die Anforderungen sowohl den Einsatz einfacher Modelle als auch den von fortgeschrittenen Modellen durch den Einsatz künstlicher Intelligenz und maschinellen Lernens. Damit schließen sie eine Regelungslücke, denn die europäischen Leitlinien hatten ebenso wie die MaRisk diese innovativen Techniken bisher nicht ausreichend erfasst.

Neues Modul für eigene Immobilien

Viele Kreditinstitute haben in den vergangenen Jahren Immobilien gekauft, um vom boomenden Immobilienmarkt zu profitieren. Mit dem neuen Modul BTO 3 greift die BaFin diese Entwicklung auf. Darin formuliert die Finanzaufsicht Anforderungen an die Votierung, Wertermittlung und Risikoanalyse für Immobilieninvestments. Die Anforderungen gelten allerdings erst, wenn der Immobilieneigenbestand eines Instituts mehr als zwei Prozent der Bilanzsumme ausmacht oder die Schwelle von 30 Millionen Euro übersteigt. Immobilienfonds sind nicht von den neuen Anforderungen betroffen.

Hintergrund ist: Mit dem Erwerb eigener Immobilien erweitern manche Banken ihre Geschäftsstrategie und gehen zusätzliche Risiken ein. Die zu erwartenden Renditen könnten zum Beispiel durch den endenden Boom am Immobilienmarkt und des Endes der Niedrigzinsphase geschmälert werden. Die 7. MaRisk-Novelle trägt dazu bei, dass Banken ein solches Risiko adäquat managen.

Handel im Homeoffice: Pandemiebedingte Regelungen gelten weiterhin

Während der Covid-19-Pandemie hatte die Aufsicht den Wertpapierhandel im Homeoffice zugelassen – allerdings nur unter bestimmten Bedingungen. Die technischen Voraussetzungen lagen auf der Hand: Die Händlerinnen und Händler mussten auch außerhalb der Geschäftsräume über einen IT-Zugang zu den Handelsplattformen verfügen, der störungsfreie Beratungsgespräche und Transaktionen ermöglichte. Darüber hinaus musste der Homeoffice-Arbeitsplatz allen aufsichtlichen Anforderungen genügen, wie sie vor der Pandemie innerhalb der Geschäftsräume galten: etwa in puncto Transaktionssicherheit, IT-Sicherheit, Datenschutz und Vertraulichkeit, auch im Hinblick auf Insiderinformationen.

Die BaFin legte damals fest, dass sich häusliche Arbeitsplätze von Händlerinnen und Händlern an festgelegten Standorten befinden müssen. Diese müssen vertrauliche Geschäftsabschlüsse ermöglichen. Außerdem mussten die Institute sicherstellen, dass der Handel bei (technischen) Beeinträchtigungen im Homeoffice in die Geschäftsräume verlagert werden kann.

Diese Erleichterungen gelten nun vorerst fort. Sollte aber die internationale Regulierung abweichende Standards verabschieden, wird die BaFin ihre Vorgaben wieder anpassen.

ESG-Risiken: Wissenschaftliche Erkenntnisse hilfreich

Bereits mit dem Merkblatt zum Umgang mit Nachhaltigkeitsrisiken hat die BaFin den von ihr beaufsichtigten Instituten und weiteren beaufsichtigten Unternehmen des Finanzsektors eine Orientierungshilfe zum Umgang mit Nachhaltigkeitsrisiken gegeben. Das Merkblatt bestimmt den Begriff „Nachhaltigkeit“ im Sinne von ESG (Environmental, Social and Governance – Umwelt, Soziales und Unternehmensführung).

Zu diesem Thema hatte es im Konsultationsverfahren viele Rückmeldungen gegeben. Die MaRisk-Novelle stellt nun klar, dass die Institute ihre ESG-Risiken mit Hilfe von wissenschaftlich fundierten Szenarien messen sollen. Es ist also nicht erforderlich und auch nicht ratsam, dass Banken selbst Annahmen zum Klimawandel oder zur Transition hin zu einer nachhaltigen Wirtschaft treffen. Stattdessen können sie beispielsweise die von allgemein anerkannten Institutionen oder Netzwerken entwickelten Szenarien heranziehen und auf ihr eigenes Geschäftsmodell übertragen.

Dabei spielt auch das Proportionalitätsprinzip eine besondere Rolle: Je nachdem, wie stark sie – etwa aufgrund ihres Geschäftsmodells – gegenüber ESG-Risiken exponiert sind, dürfen kleinere Institute eine einfachere Risikobetrachtung vornehmen: zum Beispiel, indem sie die Komplexität der zu betrachtenden Szenarien reduzieren, indem sie sich bei der Analyse nur auf die am meisten betroffenen Risikopositionen oder Portfolien beschränken oder indem sie für langfristige Betrachtungen einen ausschließlich qualitativen Ansatz wählen.

Übergangsfrist für neue Anforderungen

Die neue Fassung der MaRisk tritt am 29. Juni 2023 in Kraft. Wie bereits in der Vergangenheit enthalten die überarbeiteten MaRisk einige Klarstellungen, die im Detail die derzeitige Verwaltungspraxis der BaFin beschreiben. Solche Vorgaben sind unmittelbar nach Veröffentlichung anzuwenden. Für die Implementierung der Änderungen, die neue Anforderungen mit sich bringen, gilt eine Übergangsfrist bis zum 1. Januar 2024.