Prüfungsberichte sind für die Aufsicht von zentraler Bedeutung, um Informationen über die Geschäftslage der Institute zu erhalten. Die PrüfbV konkretisiert die Anforderungen der Aufsicht an den Gegenstand der Prüfung, den Inhalt der Prüfungsberichte sowie Art und Umfang der Berichterstattung.

Aufgrund der europäischen Eigenmittelverordnung CRR (Capital Requirements Regulation) und des Umsetzungsgesetzes zur Eigenmittelrichtlinie CRD IV (Capital Requirements Directive IV) bestand bei wesentlichen Vorschriften der geltenden PrüfbV Anpassungsbedarf, insbesondere bei den Vorschriften zum Risikomanagement und zur Geschäftsorganisation, einschließlich der Anforderungen an die Prüfung der Vergütungs- und IT-Systeme. Der vorliegende Beitrag stellt die wichtigsten Änderungen vor.

Berichtspflicht zu früheren Mängeln

Im Prüfungsbericht ist zukünftig nicht mehr nur über Mängel zu berichten, die der Prüfer neu ermittelt hat. Er muss nun auch Angaben dazu enthalten, wie die Mängel, die bei der vorherigen Prüfung festgestellt wurden, beseitigt oder welche Maßnahmen zu ihrer Beseitigung eingeleitet worden sind.

Dies soll es der Aufsicht ermöglichen, einfach nachzuvollziehen, inwiefern das Unternehmen die im vorhergehenden Prüfungsbericht aufgeführten Mängel abgearbeitet hat.

Elektronische Fassung

Um es der Aufsicht zu erleichtern, den Prüfungsbericht fortlaufend als Erkenntnisquelle zu nutzen, sieht die Verordnung nun vor, dass er zusätzlich zur Papierfassung auch elektronisch einzureichen ist. Dabei ist ein gängiges elektronisches Format zu verwenden, das es ermöglicht, Auszüge zu drucken, nach Schlagwörtern zu suchen und Passagen von Texten zu kopieren.

Darüber hinaus kann die BaFin künftig vorgeben, auf welchem Wege die Berichte zu übermitteln sind. So kann sie sicherstellen, dass ein Verfahren verwendet wird, das die Authentizität, Vertraulichkeit und Integrität der Daten gewährleistet. Die BaFin sieht derzeit jedoch keinen Anlass, von dieser Möglichkeit Gebrauch zu machen.

Technisch-organisatorische Ausstattung

Aufgrund der zunehmenden Bedrohung durch Hacker, Wirtschaftsspionage und Sabotage wird es für die Institute immer wichtiger, die Integrität, Vertraulichkeit, Authentizität und Verfügbarkeit von Daten zu sichern. Die neue PrüfbV verpflichtet den Abschlussprüfer daher, über wesentliche Änderungen bei den IT-Systemen zu berichten und die entsprechenden IT-Projekte im Prüfungsbericht aufzuführen.

Darüber hinaus muss der Prüfer ausführlicher als bisher über die IT-Systeme der Institute berichten. So hat er zu bewerten, ob die organisatorischen, personellen und technischen Vorkehrungen zur Sicherstellung der Integrität, Vertraulichkeit, Authentizität und Verfügbarkeit der bankaufsichtlich relevanten Daten angemessen sind und wirksam umgesetzt wurden. Dies soll es der Aufsicht erleichtern, die IT-Risikosituation der Institute einzuschätzen. Zusätzlich sollen die Vorgaben dazu beitragen, die Berichte verschiedener Institute vergleichbarer zu machen.

Einhaltung von Anordnungen

Die neue PrüfbV sieht darüber hinaus erstmals eine generelle Berichterstattungspflicht über die Einhaltung von Anordnungen der BaFin gemäß § 4 Absatz 1 Satz 3 Wertpapierhandelsgesetz vor.

Demnach kann die BaFin Anordnungen treffen, die geeignet und erforderlich sind, um Missstände zu beseitigen oder zu verhindern, die die ordnungsgemäße Durchführung des Handels mit Finanzinstrumenten oder von Wertpapierdienst- oder -nebendienstleistungen beeinträchtigen oder erhebliche Nachteile für den Finanzmarkt bewirken können. Ein Beispiel für eine solche Anordnung ist das Leerverkaufsverbot.

Risikomanagement

Grundlegend überarbeitet wurden als Konsequenz aus der Finanzkrise die Anforderungen an das Risikomanagement der Institute. Die neue PrüfbV geht hier deutlich über das hinaus, was die bisherige Verordnung vorschreibt. Sie legt den Fokus stärker als bisher auf die einzelnen Bestandteile des Risikomanagements, analog zum ebenfalls geänderten Kreditwesengesetz (KWG).

So verlangt die neue PrüfbV, dass der Abschlussprüfer beurteilt, ob die Strategien des Instituts auf dessen nachhaltige Entwicklung ausgerichtet sind und die Verfahren zur Ermittlung der Risikotragfähigkeit des Instituts gewährleisten, dass die Risiken und die Risikodeckungspotenziale gewissenhaft ermittelt werden. Außerdem hat er zu bewerten, ob das interne Kontrollsystem – also insbesondere die Risikocontrolling- und die Compliance-Funktion – und die Interne Revision angemessen und wirksam sind. Gleiches gilt für das Notfallkonzept für die IT-Systeme. Der Abschlussprüfer hat außerdem zu beurteilen, ob die personelle und technisch-organisatorische Ausstattung des Instituts angemessen ist.

Auch die Anforderungen des BaFin-Rundschreibens zu den Systemen und Kontrollen für den Algorithmushandel sind Teil des Risikomanagements. Daher hat der Prüfer auch darüber zu berichten, ob die Geschäftsorganisation der Institute im Sinne des Rundschreibens ordnungsgemäß ist.

Verwaltungs- und Aufsichtsorgane

Durch das CRD-IV-Umsetzungsgesetz wurden Anforderungen an die zeitliche Verfügbarkeit der Geschäftsleiter und Mitglieder von Verwaltungs- und Aufsichtsorganen in das KWG aufgenommen. Sie begrenzen unter anderem die zulässige Zahl an Mandaten.

Der Abschlussprüfer hat künftig zu prüfen, ob diese Beschränkungen eingehalten werden. Darüber hinaus hat er darüber zu berichten, ob die Geschäftsleiter den Aufgaben nachgekommen sind, die sie nach § 25c Absatz 3, 4a und 4b des Kreditwesengesetzes im Rahmen ihrer Pflichten und ihrer Gesamtverantwortung für die ordnungsgemäße Geschäftsorganisation zu erfüllen haben.

Bereits bei der Konsultation zur neuen PrüfbV hatte die BaFin darauf hingewiesen, dass es in der Praxis nur eingeschränkt möglich sein wird, die Einhaltung der Mandatsbeschränkungen zu prüfen, da die Abschlussprüfer keinen Zugriff auf die Mitglieder der Verwaltungs- und Aufsichtsorgane haben. Sie können daher hierzu nur Aussagen treffen, wenn sie bei der Prüfung entsprechende Hinweise erhalten. Das ist der BaFin bewusst.

Strukturen und Berichtswege

Die aufsichtlichen Anforderungen des KWG an die Tätigkeit der Verwaltungs- und Aufsichtsorgane wurden erheblich erweitert. Die neue PrüfbV konkretisiert, dass der Abschlussprüfer zu beurteilen und darzustellen hat, inwiefern die Institute diese Verpflichtungen einhalten.

So hat er zu beurteilen, ob die Strukturen des Instituts es seinem Verwaltungs- oder Aufsichtsorgan ermöglichen, seine Aufgaben ordnungsgemäß wahrzunehmen. Bei dieser Beurteilung muss er darauf eingehen, ob das Institut die Ausschüsse eingerichtet hat, die § 25d Absatz 8 bis 12 KWG vorsieht. Dies sind der Risikoausschuss, der Prüfungsausschuss oder der gemeinsame Prüfungs- und Risikoausschuss, der Nominierungsausschuss und der Vergütungskontrollausschuss. Die Beurteilung hat in Abhängigkeit von der Größe, der internen Organisation und der Art, des Umfangs, der Komplexität und des Risikogehalts der Geschäfte des Instituts zu erfolgen.

Der Abschlussprüfer hat zudem zu bewerten, ob die Vorsitzenden der Ausschüsse – beziehungsweise der Vorsitzende des Verwaltungs- oder Aufsichtsorgans, sofern ein Ausschuss nicht bestellt wurde – unmittelbar bei den Leitern der Internen Revision und des Risikocontrollings oder bei den Leitern der Organisationseinheiten, die für die Ausgestaltung der Vergütungssysteme zuständig sind, Auskünfte einholen können.

Vergütungssysteme

Neu in die Verordnung aufgenommen wurden auch Anforderungen an die Prüfung der Vergütungssysteme. Sie sollen sicherstellen, dass die Aufsicht jährlich grundlegende Informationen über die Vergütungssysteme der Institute erhält.

Der Abschlussprüfer hat eine Einschätzung darüber abzugeben, ob die Systeme des Instituts im Sinne der Institutsvergütungsverordnung (InstitutsVergV) angemessen und transparent und ob sie auf eine nachhaltige Entwicklung des Instituts ausgerichtet sind. Dazu zählt unter anderem, ob das Institut ein angemessenes Verhältnis zwischen der variablen und der fixen jährlichen Vergütung festgelegt hat. Transparent ist ein Vergütungssystem, wenn es für die Mitarbeiter, aber auch für Dritte nachvollziehbar und durchschaubar ist.

Zudem hat der Abschlussprüfer zu beurteilen, ob die Vergütungssysteme und -parameter – also beispielsweise das Neugeschäftsvolumen, die Risikokosten und die Einhaltung des Budgets – an den Strategien des Instituts ausgerichtet sind und ob die Parameter zur Erreichung der strategischen Ziele des Instituts beitragen.

Bei bedeutenden Instituten hat der Abschlussprüfer darüber hinaus auch eine Aussage über den Prozess zur Identifizierung so genannter Risk-Taker (Risikoträger), über deren Vergütungssysteme und die Auszahlungsmodalitäten zu treffen. Risk-Taker sind Mitarbeiter, deren Tätigkeit einen wesentlichen Einfluss auf das Risikoprofil hat. Des Weiteren ist zur Ausgestaltung und den Aufgaben des Vergütungskontrollausschusses sowie zum Vergütungsbeauftragten Stellung zu nehmen.

Sanierungsplanung

Eine weitere Neuerung stellt die Pflicht zur Prüfung der Sanierungsplanung der Institute dar. Der Abschlussprüfer verfügt über institutsspezifische Kenntnisse, die es ihm ermöglichen, den Sanierungsplan zu beurteilen. Er ist daher künftig verpflichtet zu prüfen, ob alle wesentlichen Aspekte, die für die Sanierungsplanung relevant sind, sachlich richtig und angemessen berücksichtigt wurden. Zu diesen Aspekten zählen die Unternehmensstruktur und das Geschäftsmodell, die grundsätzliche Eignung, die Auswirkungen und Umsetzbarkeit der im Sanierungsplan genannten Handlungsoptionen, die qualitativen und quantitativen Indikatoren für die einzelnen Risikodimensionen, die Szenarien für schwerwiegende Belastungen, die Wirksamkeit und Umsetzbarkeit des Sanierungsplans, das Kommunikations- und Informationskonzept sowie die vorbereitenden Maßnahmen, die die Umsetzung des Sanierungsplans erleichtern sollen.

Einige Institute müssen keinen Einzelsanierungsplan einreichen, insbesondere verbandsgeprüfte Unternehmen. Hier hat der Abschlussprüfer zu prüfen, ob das Institut Prozesse implementiert hat, die es dem Institutssicherungssystem ermöglichen, die Anforderungen an die Sanierungsplanung aus den §§ 12 bis 18 des Sanierungs- und Abwicklungsgesetzes zu erfüllen. Hintergrund dieser Regelung ist, dass das Institutssicherungssystem bei der Erstellung des Sanierungsplans auf die Mitarbeit der Institute angewiesen ist, die von der Pflicht zur Einreichung eines Einzelsanierungsplans befreit sind, etwa im Hinblick auf die Berichtspflichten zu Sanierungsindikatoren.

Kombinierte Kapitalpuffer-Anforderung

Das CRD-IV-Umsetzungsgesetz hat kombinierte Kapitalpuffer-Anforderungen eingeführt. Dies bedeutet, dass das einzelne Institut jederzeit die Summe der Kapitalpuffer für systemische Risiken und der für global und anderweitig systemrelevante Institute (§§10e bis g KWG) vorzuhalten hat. Ausschüttungen darf es nur dann vornehmen, wenn dadurch das harte Kernkapital nicht so stark abnimmt, dass die kombinierte Kapitalpuffer-Anforderung nicht mehr erfüllt werden kann.

Die PrüfbV wurde nun entsprechend angepasst. Der Abschlussprüfer hat zu berichten, ob die Verfahren des Instituts zur Ermittlung der Anforderungen angemessen sind.

Organkredite

Organkredite gemäß § 15 KWG waren bereits nach der alten PrüfbV zu prüfen, wenn sie hinsichtlich ihrer Höhe oder ihrer Ausgestaltung von außergewöhnlicher Bedeutung und damit als „Bemerkenswerte Kredite“ einzustufen waren. Die neue PrüfbV (§ 33) enthält nun eine eigene Regelung für Organkredite. Grundsätzlich sind künftig sämtliche Organkredite zu prüfen, da sie die Gefahr bergen, dass der Kreditnehmer in einen Interessenkonflikt geraten könnte. Tatsächlich werden nach den Grundsätzen der Risikoorientierung und Wesentlichkeit der Prüfung jedoch nicht alle Organkredite in die Prüfung einzubeziehen sein.

Immer zu prüfen sind jedoch Kredite an Mitglieder des Verwaltungs- oder Aufsichtsorgans, an dessen Ehegatten, Lebenspartner oder minderjährige Kinder sowie an Unternehmen, die diese Personen leiten oder kontrollieren können. Hintergrund ist, dass sich aus solchen Krediten Interessenkonflikte der Mitglieder des Verwaltungs- oder Aufsichtsorgans ergeben können, die die aufsichtliche Anforderung der Zuverlässigkeit berühren.

Übertragene Kreditrisiken

Die neue PrüfbV führt zudem die Pflicht zur Prüfung der „Sorgfaltsprüfung bei Risikopositionen aus übertragenen Kreditrisiken“ ein. Sie dient der Überprüfung der Anforderungen aus Artikel 406 Absatz 1a bis 1g der CRR.

Danach müssen Institute förmliche Regeln und Verfahren zur Analyse und Erfassung bestimmter Informationen einführen, die bezüglich ihres Handels- und ihres Anlagebuchs geeignet und bezüglich des Risikoprofils ihrer Anlagen in verbriefte Positionen angemessen sind, bevor sie durch eine Verbriefung Risiken eingehen.

Derivategeschäfte und Zentrale Gegenparteien

Im Konsultationsentwurf der PrüfbV war darüber hinaus vorgesehen, den Abschlussprüfer auch darüber berichten zu lassen, ob die Institute die Pflichten einhalten, die die Europäische Marktinfrastrukturverordnung (European Market Infrastructure Regulation – EMIR) für Derivategeschäfte und Zentrale Gegenparteien vorschreibt. Diese Vorgabe wurde jedoch gestrichen. Hintergrund ist, dass dafür zunächst § 29 Absatz 4 KWG angepasst werden muss.

Im Zuge des geplanten Abwicklungsmechanismusgesetzes soll die entsprechende Rechtsgrundlage geschaffen und die Regelung dabei auch in die PrüfbV aufgenommen werden. Das Abwicklungsmechanismusgesetz soll noch im Herbst dieses Jahres in Kraft treten.

Fußnote: