Mängel wurden vor allem im Informationsrisikomanagement und im Internen Kontrollsystem festgestellt. Die schriftlich fixierte Ordnung des Instituts war zudem teilweise lückenhaft. Es hatte in vielen Fällen keine Regeln für die lokalen regulatorischen Anforderungen adaptiert.

Das Institut muss der BaFin und der Deutschen Bundesbank regelmäßig über Fortschritte bei der Mängelbeseitigung berichten.

Beide Maßnahmen sind bestandskräftig.

Ordnungsgemäße Geschäftsorganisation

Eine ordnungsgemäße Geschäftsorganisation soll gewährleisten, dass Kreditinstitute die gesetzlichen Bestimmungen einhalten und tun, was betriebswirtschaftlich notwendig ist. Wie dies zu geschehen hat, regelt § 25a Absatz 1 Kreditwesengesetz (KWG). Ein wesentlicher Teil der ordnungsgemäßen Geschäftsorganisation ist ein angemessenes und wirksames Risikomanagement. Dies umfasst auch ein adäquat ausgestattetes und funktionales Informationsrisikomanagement sowie ein Internes Kontrollsystem.

Das heißt unter anderem: Institute müssen bei ihrer technisch-organisatorischen Ausstattung die Mindestanforderungen an das Risikomanagement (MaRisk) erfüllen. Diese Anforderungen hat die BaFin mit ihrem Rundschreiben „Bankaufsichtliche Anforderungen an die IT“ (BAIT) konkretisiert.

Kommt die BaFin zu dem Schluss, dass die Geschäftsorganisation eines Instituts Mängel aufweist, kann sie tätig werden. Grundlage hierfür ist § 25a Absatz 2 Satz 2 KWG. Die BaFin kann zum Beispiel anordnen, dass das betroffene Institut die Mängel beseitigt. Gemäß § 44 Absatz 1 KWG kann Sie auch verlangen, dass das Institut der Finanzaufsicht regelmäßig zum Fortschritt der erforderlichen Mängelbeseitigung berichtet. Beides hat sie im Fall der Citibank N.A., Filiale Frankfurt am Main getan.

Da es sich bei der Citibank N.A., Filiale Frankfurt am Main um eine Drittstaatenzweigstelle handelt, erfolgten beide Maßnahmen in Verbindung § 53 Absatz 1 KWG.

Die Veröffentlichung solcher Maßnahmen der BaFin erfolgt ebenfalls nach festen Regeln, die sich aus § 60b Absatz 1 KWG ergeben.