Nach einer fast zehnmonatigen Konsultationsphase - das Anschreiben zum Konsultationsentwurf wurde am 26. Oktober 2020 verschickt - hat die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) am 16. August 2021 die schon lange erwartete finale Fassung der 6. Novelle zur Änderung der Mindestanforderungen an das Risikomanagement von Banken im Rundschreiben 10/2021 (BA) publiziert.
Die Veröffentlichung durch die BaFin erfolgte aufgrund der Covid-19-Pandemie mit einer gewissen Verspätung. Der EBA gegenüber hatte sie ursprünglich ihre Absicht gemeldet, den Outsourcing Guidelines bis Ende 2020 nachzukommen.
Die mit der Veröffentlichung zur Verfügung gestellten Dokumente sind umfangreicher als in den bisherigen Novellen (Abbildung 1). Mit dem Übersendungsschreiben gibt die BaFin wichtige Hinweise zu Hintergründen und Schwerpunkten der neuen Novelle. Gesondert sind zudem alle Änderungen gegenüber der 5. Novelle in reine Klarstellungen und in tatsächliche Neuerungen sowie in Anpassungen klassifiziert. Dies auch mit Blick auf die relevanten Übergangsfristen.
Abgleich der Fassungen
Der Abgleich in den MaRisk 7.0 zwischen dem finalen Rundschreiben vom 16. August 2021 und der Konsultationsfassung vom 26. Oktober 2020 zeigt bezugnehmend auf Auslagerungen vereinzelt (materielle) Änderungen und Erweiterungen im Rundschreiben sowie die Rücknahme einzelner vorgesehener Verschärfungen aus der Konsultationsfassung. Im Vergleich zur Konsultationsfassung stellen die Anpassungen im finalen Rundschreiben den beabsichtigten Regelungszweck besser heraus oder entsprechen stärker den berechtigten Bedürfnissen vor allem der kleineren Institute. Erstaunlich ist, dass auf die für die Praxis besonders bedeutsamen Auslagerungen in die Cloud - die auf EU-Ebene durchaus speziell adressiert werden, zum Beispiel auch in den EBA Guidelines on Outsourcing Arrangements - im Rundschreiben nicht gesondert eingegangen wird.
Größere Deltas zwischen beiden Aufsichtstexten (Rundschreiben und Konsultationsfassung) ergeben sich in den folgenden Themenclustern:
- Risikoanalyse
- Auslagerbarkeit
- Auslagerungsvertrag
- Weiterverlagerung
- Auslagerungsbeauftragter
- Berichterstattung
- Auslagerungsregister und
- Erleichterungen für Gruppen oder Finanzverbünde.
Die konkreten Veränderungen in den einzelnen Clustern sind in Abbildung 2 dargestellt. Die Darstellung zeigt, dass im Vergleich zur Konsultationsfassung vieles unverändert geblieben ist. Einige materielle Änderungen gibt es jedoch im für Auslagerungen relevanten Allgemeinen Teil AT 9.
Übergangsfristen
Die MaRisk 7.0 sind am 16. August 2021 mit Veröffentlichung in Kraft getreten. Mit dem Übersendungsschreiben sind auch die Umsetzungsfristen festgelegt: Wie schon in der Vergangenheit sollen reine Klarstellungen, die nach Ansicht der BaFin keine Neuerungen darstellen, unmittelbar mit der Veröffentlichung Anwendung finden. Sofern die 6. MaRisk-Novelle neue Regelungen etabliert, wird den Instituten eine Übergangsfrist bis zum 31. Dezember 2021 eingeräumt. Für die Anpassung von bereits bestehenden oder in Verhandlung befindlichen Auslagerungsverträgen gilt eine Ausnahme. Hier wird eine gesonderte Umsetzungsfrist bis 31. Dezember 2022 eingeräumt.
Mit Blick auf die besonderen rechtlichen Probleme brauchen Anpassungen von Vertragsverhältnissen, die auf Grundlage eines öffentlichen Vergabeverfahrens abgeschlossen werden, dann nicht angepasst werden, wenn sie befristet sind und innerhalb der nächsten fünf Jahre neu vergeben werden. Für Vergabeverfahren ab dem 1. Januar 2022 sind die neuen Anforderungen zu berücksichtigen.
Gesetz zur Stärkung der Finanzmarktintegrität
Zur besseren Unterscheidung, welche Änderungen als Neuerung, welche als Präzisierung und welche als Anpassung zu verstehen sind, hat die BaFin in einer Anlage zu den MaRisk 7.0 eine entsprechende Zuordnung vorgenommen. Neuerungen stellen dabei erstmalig in den Regelungstext aufgenommene Anforderungen dar. Bei Präzisierungen handelt es sich um Änderungen klarstellender Natur, die keine neuen Regelungsinhalte mit sich bringen und lediglich die existierende Verwaltungspraxis widerspiegeln. Anpassungen knüpfen an Single-Supervisory-Mechanism-(SSM)-Auslegungen an und sind nur für Institute entsprechend MaRisk AT 1 Tz. 6 (Significant Institutes) relevant.
Parallel zur Überarbeitung der AT 9 Anforderungen wurden mit dem Gesetz zur Stärkung der Finanzmarktintegrität (FISG) Ergänzungen im Kreditwesengesetz (KWG) vorgenommen. So sind nun im neuen § 25 b Absatz 1 KWG alle Institute gesetzlich verpflichtet ein Auslagerungsregister zu führen, in dem sämtliche wesentlichen und nicht wesentlichen Auslagerungen - inklusive der Auslagerungen innerhalb einer Institutsgruppe oder eines Finanzverbundes - zu erfassen sind.
Darüber hinaus wurde mit dem FISG in § 24 Absatz 1 KWG unter anderem eine Meldepflicht für die Absicht, den Vollzug sowie jede Änderung einer wesentlichen Auslagerung vorgeschrieben. Zudem müssen schwerwiegende Vorfälle im Rahmen bestehender wesentlicher Auslagerungen, die einen wesentlichen Einfluss auf die Geschäftstätigkeit des Instituts haben können, angezeigt werden. Gleichzeitig erhält die BaFin die Ermächtigung, auch unmittelbar gegenüber Auslagerungsunternehmen Anordnungen zu treffen (§ 25b Absatz 4a KWG), um zum Beispiel Verstöße gegen aufsichtsrechtliche Bestimmungen zu verhindern, zu unterbinden oder um Missstände beim Institut zu verhindern oder zu beseitigen. Zu beachten ist, dass die Pflicht zum Vorhalten eines Auslagerungsregisters mit Blick auf die Vorgaben des FISG bereits zum 1. Januar 2022 für die Institute gesetzlich verbindlich ist.
Weitere Überarbeitung geplant
In den MaRisk 7.0 sind die EBA-Leitlinien zur Kreditvergabe und Überwachung (EBA/GL/2020/06) sowie die jüngsten Entwicklungen im Bereich Nachhaltigkeit - beispielsweise BaFin-Merkblatt zum "Umgang mit Nachhaltigkeitsrisiken" (2020) und EZB-Leitfaden zu "Klima- und Umweltrisiken" (2020) - nicht berücksichtigt. Sie sind der nächsten Überarbeitung der MaRisk vorbehalten. Die Arbeiten an dieser 7. Novelle sollen dem Vernehmen nach zeitnah starten. Es ist damit zu rechnen, dass noch 2022 die offizielle Konsultation der 7. Novelle gestartet wird.
Fußnoten
1) Zu einer Darstellung der MaRisk 7.0 in Bezug auf Auslagerungen siehe Riediger, Neue MaRisk-Novelle betrifft schwerpunktmäßig den Auslagerungsbereich, 2021.
2) Einen guten Überblick zu der Einordnung der Änderungen liefert PWC, RS 10/2021 MaRisk Novelle 2021 - Wesentliche Neuerungen und Präzisierungen im Themenbereich Auslagerungen und ihre Auswirkungen auf IT-Auslagerungen, 2021.
3) Zur Darstellung und kritischen Analyse der Thematik "Auslagerungen" im Konsultationspapier siehe Chrubasik/Schütz, Die 6. MaRisk-Novelle - Konsultation 14/2020, in: FLF 2/2021, S.82 ff.
4) Übersendungsschreiben RS 10/2021 MaRisk.
5) Für Anpassungen kann die deutsche Aufsicht keine Umsetzungsfristen festlegen. Als zuständige Aufsichtsbehörde hat die Europäische Zentralbank zu entscheiden, ob erhöhte Anforderungen im Einzelfall unter Proportionalitätsgesichtspunkten möglich sind und welche Übergangsfrist jeweils gelten.
6) Chrubasik, Neue rechtliche und aufsichtsrechtliche Anforderungen an das Auslagerungsmanagement: MaRisk 7.0, BAIT 2.0, FISG, Dora, Vortragsunterlagen vom Outsourcing Symposium, 2021.
