Auf dieser Seite:

• AT 1 Vorbemerkung
• AT 2 Anwendungsbereich
  • AT 2.1 Anwenderkreis
  • AT 2.2 Risiken
  • AT 2.3 Geschäfte
• AT 3 Gesamtverantwortung der Geschäftsleitung
• AT 4 Allgemeine Anforderungen an das Risikomanagement
  • AT 4.1 Risikotragfähigkeit
  • AT 4.2 Strategien
  • AT 4.3 Internes Kontrollsystem
    • AT 4.3.1 Aufbau- und Ablauforganisation
    • AT 4.3.2 Risikosteuerungs- und -controllingprozesse
    • AT 4.3.3 Stresstests
  • AT 4.4 Besondere Funktionen
    • AT 4.4.1 Risikocontrolling-Funktion
    • AT 4.4.2 Compliance-Funktion
    • AT 4.4.3 Interne Revision
  • AT 4.5 Risikomanagement auf Gruppenebene
• AT 5 Organisationsrichtlinien
• AT 6 Dokumentation
• AT 7 Ressourcen
  • AT 7.1 Personal
  • AT 7.2 Technisch-organisatorische Ausstattung
  • AT 7.3 Notfallkonzept
• AT 8 Anpassungsprozesse
  • AT 8.1 Neu-Produkt-Prozess
  • AT 8.2 Änderungen betrieblicher Prozesse oder Strukturen
  • AT 8.3 Übernahmen und Fusionen
  • AT 9 Outsourcing
• BT 1 Besondere Anforderungen an das interne Kontrollsystem
• BTO Anforderungen an die Aufbau- und Ablauforganisation
• BTO 1 Kreditgeschäft
  • BTO 1.1 Funktionstrennung und Votierung
  • BTO 1.2 Anforderungen an die Prozesse im Kreditgeschäft
    • BTO 1.2.1 Kreditgewährung
    • BTO 1.2.2 Kreditweiterbearbeitung
    • BTO 1.2.3 Kreditbearbeitungskontrolle
    • BTO 1.2.4 Intensivbetreuung
    • BTO 1.2.5 Behandlung von Problemkrediten
    • BTO 1.2.6 Risikovorsorge
  • BTO 1.3 Verfahren zur Früherkennung von Risiken
  • BTO 1.4 Risikoklassifizierungsverfahren
• BTO 2 Handelsgeschäft
  • BTO 2.1 Funktionstrennung
  • BTO 2.2 Anforderungen an die Prozesse im Handelsgeschäft
    • BTO 2.2.1 Handel
    • BTO 2.2.2 Abwicklung und Kontrolle
    • BTO 2.2.3 Abbildung im Risikocontrolling
• BTR Anforderungen an die Risikosteuerungs- und –controllingprozesse
• BTR 1 Adressenausfallrisiken
• BTR 2 Marktpreisrisiken
  • BTR 2.1 Allgemeine Anforderungen
  • BTR 2.2 Marktpreisrisiken des Handelsbuches
  • BTR 2.3 Marktpreisrisiken des Anlagebuches (einschließlich Zinsänderungsrisiken)
• BTR 3 Liquiditätsrisiken
  • BTR 3.1 Allgemeine Anforderungen
  • BTR 3.2 Zusätzliche Anforderungen an kapitalmarktorientierte Institute
• BTR 4 Operationelle Risiken
• BT 2 Besondere Anforderungen an die Ausgestaltung der Internen Revision
  • BT 2.1 Aufgaben der Internen Revision
  • BT 2.2 Grundsätze für die Interne Revision
  • BT 2.3 Prüfungsplanung und -durchführung
  • BT 2.4 Berichtspflicht
  • BT 2.5 Reaktion auf festgestellte Mängel

AT 1 Vorbemerkung

1. Dieses Rundschreiben gibt auf der Grundlage des § 25a Abs. 1 des Kreditwesengesetzes (KWG) einen flexiblen und praxisnahen Rahmen für die Ausgestaltung des Risikomanagements der Institute vor. Es präzisiert ferner die Anforderungen des § 25a Abs. 1a und Abs. 2 KWG (Risikomanagement auf Gruppenebene, Outsourcing). Ein angemessenes und wirksames Risikomanagement umfasst unter Berücksichtigung der Risikotragfähigkeit insbesondere die Festlegung von Strategien sowie die Einrichtung interner Kontrollverfahren. Die internen Kontrollverfahren bestehen aus dem internen Kontrollsystem und der Internen Revision. Das interne Kontrollsystem umfasst insbesondere

   • Regelungen zur Aufbau- und Ablauforganisation,
   • Prozesse zur Identifizierung, Beurteilung, Steuerung, Überwachung sowie Kommunikation der Risiken (Risikosteuerungs- und -controllingprozesse) und
   • eine Risikocontrolling-Funktion und eine Compliance-Funktion.
     
     Das Risikomanagement schafft eine Grundlage für die sachgerechte Wahrnehmung der Überwachungsfunktionen des Aufsichtsorgans und beinhaltet deshalb auch dessen angemessene Einbindung.
2. Das Rundschreiben gibt zudem einen qualitativen Rahmen für die Umsetzung der Art. 22 und 123 der Richtlinie 2006/48/EG (Bankenrichtlinie) vor. Danach sind von den Instituten angemessene Leitungs-, Steuerungs- und Kontrollprozesse („Robust Governance Arrangements“) sowie Strategien und Prozesse einzurichten, die gewährleisten, dass genügend internes Kapital zur Abdeckung aller wesentlichen Risiken vorhanden ist (Interner Prozess zur Sicherstellung der Risikotragfähigkeit - „Internal Capital Adequacy Assessment Process“). Die Qualität dieser Prozesse ist von der Aufsicht gemäß Art. 124 der Bankenrichtlinie im Rahmen des bankaufsichtlichen Überwachungsprozesses regelmäßig zu beurteilen („Supervisory Review and Evaluation Process“). Das Rundschreiben ist daher unter Berücksichtigung des Prinzips der doppelten Proportionalität der Regelungsrahmen für die qualitative Aufsicht in Deutschland („Supervisory Review Process“). Der sachgerechte Umgang mit dem Proportionalitätsprinzip seitens der Institute beinhaltet in dem prinzipienorientierten Aufbau der MaRisk auch, dass Institute im Einzelfall über bestimmte, in den MaRisk explizit formulierte Anforderungen hinaus weitergehende Vorkehrungen treffen, soweit dies zur Sicherstellung der Angemessenheit und Wirksamkeit des Risikomanagements erforderlich sein sollte. Insofern haben Institute, die besonders groß sind oder deren Geschäftsaktivitäten durch besondere Komplexität, Internationalität oder eine besondere Risikoexponierung gekennzeichnet sind, weitergehende Vorkehrungen im Bereich des Risikomanagements zu treffen als weniger große Institute mit weniger komplex strukturierten Geschäftsaktivitäten, die keine außergewöhnliche Risikoexponierung aufweisen. Erstgenannte Institute haben dabei auch die Inhalte einschlägiger Veröffentlichungen zum Risikomanagement des Baseler Ausschusses für Bankenaufsicht und des Financial Stability Board in eigenverantwortlicher Weise in ihre Überlegungen zur angemessenen Ausgestaltung des Risikomanagements einzubeziehen. Im Hinblick auf die Methoden zur Berechnung der aufsichtsrechtlich erforderlichen Eigenmittel der Bankenrichtlinie sind die Anforderungen des Rundschreibens insofern neutral konzipiert, als sie unabhängig von der gewählten Methode eingehalten werden können.
3. Durch das Rundschreiben wird zudem über § 33 Abs. 1 des Gesetzes über den Wertpapierhandel (WpHG) in Verbindung mit § 25a Abs. 1 KWG Art. 13 der Richtlinie 2004/39/EG (Finanzmarktrichtlinie) umgesetzt, soweit diese auf Kreditinstitute und Finanzdienstleistungsinstitute gleichermaßen Anwendung findet. Dies betrifft die allgemeinen organisatorischen Anforderungen gemäß Art. 5, die Anforderungen an das Risikomanagement und die Interne Revision gemäß Art. 7 und 8, die Anforderungen zur Geschäftsleiterverantwortung gemäß Art. 9 sowie an Auslagerungen gemäß Art. 13 und 14 der Richtlinie 2006/73/EG (Durchführungsrichtlinie zur Finanzmarktrichtlinie). Diese Anforderungen dienen der Verwirklichung des Ziels der Finanzmarktrichtlinie, die Finanzmärkte in der Europäischen Union im Interesse des grenzüberschreitenden Finanzdienstleistungsverkehrs und einheitlicher Grundlagen für den Anlegerschutz zu harmonisieren.
4. Das Rundschreiben trägt der heterogenen Institutsstruktur und der Vielfalt der Geschäftsaktivitäten Rechnung. Es enthält zahlreiche Öffnungsklauseln, die abhängig von der Größe der Institute, den Geschäftsschwerpunkten und der Risikosituation eine
   vereinfachte Umsetzung ermöglichen. Insoweit kann es vor allem auch von kleineren Instituten flexibel umgesetzt werden. Das Rundschreiben ist gegenüber der laufenden Fortentwicklung der Prozesse und Verfahren im Risikomanagement offen, soweit diese
   im Einklang mit den Zielen des Rundschreibens stehen. Für diese Zwecke wird die Bundesanstalt für Finanzdienstleistungsaufsicht einen fortlaufenden Dialog mit der Praxis führen.
5. Die Bundesanstalt für Finanzdienstleistungsaufsicht erwartet, dass der flexiblen Grundausrichtung des Rundschreibens im Rahmen von Prüfungshandlungen Rechnung getragen wird. Prüfungen sind daher auf der Basis eines risikoorientierten Prüfungsansatzes durchzuführen.
6. Das Rundschreiben ist modular strukturiert, so dass notwendige Anpassungen in bestimmten Regelungsfeldern auf die zeitnahe Überarbeitung einzelner Module beschränkt werden können. In einem allgemeinen Teil (Modul AT) befinden sich grundsätzliche Prinzipien für die Ausgestaltung des Risikomanagements. Spezifische Anforderungen an die Organisation des Kredit- und Handelsgeschäfts sind in einem besonderen Teil niedergelegt (Modul BT). Unter Berücksichtigung von Risikokonzentrationen werden in diesem Modul auch Anforderungen an die Identifizierung, Beurteilung, Steuerung sowie die Überwachung und Kommunikation von Adressenausfallrisiken, Marktpreisrisiken, Liquiditätsrisiken sowie operationellen Risiken gestellt. Darüber hinaus wird in Modul BT ein Rahmen für die Ausgestaltung der Internen Revision in den Instituten vorgegeben.

AT 2 Anwendungsbereich

1. Die Beachtung der Anforderungen des Rundschreibens durch die Institute soll dazu beitragen, Missständen im Kredit- und Finanzdienstleistungswesen entgegenzuwirken, welche die Sicherheit der den Instituten anvertrauten Vermögenswerte gefährden, die ordnungsgemäße Durchführung der Bankgeschäfte oder Finanzdienstleistungen beeinträchtigen oder erhebliche Nachteile für die Gesamtwirtschaft herbeiführen können. Bei der Erbringung von Wertpapierdienstleistungen und Wertpapiernebendienstleistungen müssen die Institute die Anforderungen darüber hinaus mit der Maßgabe einhalten, die Interessen der Wertpapierdienstleistungskunden zu schützen.

AT 2.1 Anwenderkreis

1. Die Anforderungen des Rundschreibens sind von allen Instituten im Sinne von § 1 Abs. 1b KWG beziehungsweise im Sinne von § 53 Abs. 1 KWG zu beachten. Sie gelten auch für die Zweigniederlassungen deutscher Institute im Ausland. Auf Zweigniederlassungen von Unternehmen mit Sitz in einem anderen Staat des Europäischen Wirtschaftsraums nach § 53b KWG finden sie keine Anwendung. Die Anforderungen in Modul AT 4.5 des Rundschreibens sind von übergeordneten Unternehmen beziehungsweise übergeordneten Finanzkonglomeratsunternehmen einer Institutsgruppe, einer Finanzholdinggruppe oder eines Finanzkonglomerats auf Gruppenebene zu beachten.
2. Finanzdienstleistungsinstitute und Wertpapierhandelsbanken haben die Anforderungen des Rundschreibens insoweit zu beachten, wie dies vor dem Hintergrund der Institutsgröße sowie von Art, Umfang, Komplexität und Risikogehalt der Geschäftsaktivitäten zur Einhaltung der gesetzlichen Pflichten aus § 25a KWG geboten erscheint. Dies gilt insbesondere für die Module AT 3, AT 5, AT 7 und AT 9.

AT 2.2 Risiken

AT 2.3 Geschäfte

AT 3 Gesamtverantwortung der Geschäftsleitung

1. Alle Geschäftsleiter (§ 1 Abs. 2 KWG) sind, unabhängig von der internen Zuständigkeitsregelung, für die ordnungsgemäße Geschäftsorganisation und deren Weiterentwicklung verantwortlich. Diese Verantwortung bezieht sich unter Berücksichtigung ausgelagerter Aktivitäten und Prozesse auf alle wesentlichen Elemente des Risikomanagements. Die Geschäftsleiter werden dieser Verantwortung nur gerecht, wenn sie die Risiken beurteilen können und die erforderlichen Maßnahmen zu ihrer Begrenzung treffen. Die Geschäftsleiter eines übergeordneten Unternehmens einer Institutsgruppe oder Finanzholding-Gruppe beziehungsweise eines übergeordneten Finanzkonglomeratsunternehmens sind zudem für die ordnungsgemäße Geschäftsorganisation in der Gruppe und somit auch für ein angemessenes und wirksames Risikomanagement auf Gruppenebene verantwortlich (§ 25a Abs. 1a KWG).

AT 4 Allgemeine Anforderungen an das Risikomanagement

AT 4.1 Risikotragfähigkeit

1. Auf der Grundlage des Gesamtrisikoprofils ist sicherzustellen, dass die wesentlichen Risiken des Instituts durch das Risikodeckungspotenzial, unter Berücksichtigung von Risikokonzentrationen, laufend abgedeckt sind und damit die Risikotragfähigkeit gegeben ist.
2. Das Institut hat einen internen Prozess zur Sicherstellung der Risikotragfähigkeit einzurichten. Die Risikotragfähigkeit ist bei der Festlegung der Strategien (AT 4.2) sowie bei deren Anpassung zu berücksichtigen. Zur Umsetzung der Strategien beziehungsweise zur Gewährleistung der Risikotragfähigkeit sind ferner geeignete Risikosteuerungs- und -controllingprozesse (AT 4.3.2) einzurichten.
3. Knüpft das Risikotragfähigkeitskonzept an Jahresabschluss-Größen an, so ist eine angemessene Betrachtung über den Bilanzstichtag hinaus erforderlich.
4. Wesentliche Risiken, die nicht in das Risikotragfähigkeitskonzept einbezogen werden, sind festzulegen. Ihre Nichtberücksichtigung ist nachvollziehbar zu begründen und nur dann möglich, wenn das jeweilige Risiko aufgrund seiner Eigenart nicht sinnvoll durch Risikodeckungspotenzial begrenzt werden kann (z. B. im Allgemeinen Liquiditätsrisiken). Es ist sicherzustellen, dass solche Risiken angemessen in den Risikosteuerungs- und -controllingprozessen berücksichtigt werden.
5. Verfügt ein Institut über keine geeigneten Verfahren zur Quantifizierung einzelner Risiken, die in das Risikotragfähigkeitskonzept einbezogen werden sollen, so ist für diese auf der Basis einer Plausibilisierung ein Risikobetrag festzulegen. Die Plausibilisierung kann auf der Basis einer qualifizierten Expertenschätzung durchgeführt werden.
6. Soweit ein Institut innerhalb oder zwischen Risikoarten risikomindernde Diversifikationseffekte im Risikotragfähigkeitskonzept berücksichtigt, müssen die zugrunde liegenden Annahmen anhand einer Analyse der institutsindividuellen Verhältnisse getroffen werden und auf Daten basieren, die auf die individuelle Risikosituation des Instituts als übertragbar angesehen werden können. Die zugrunde liegenden Datenhistorien müssen ausreichend lang sein, um Veränderungen von Diversifikationseffekten in konjunkturellen Auf- und Abschwungphasen widerzuspiegeln. Diversifikationseffekte müssen so konservativ geschätzt werden, dass sie auch in konjunkturellen Abschwungphasen sowie bei im Hinblick auf die Geschäfts- und Risikostruktur des Instituts ungünstigen Marktverhältnissen als ausreichend stabil angenommen werden können.
7. Die Verlässlichkeit und die Stabilität der Diversifikationsannahmen sind regelmäßig und gegebenenfalls anlassbezogen zu überprüfen.
8. Die Wahl der Methoden und Verfahren zur Beurteilung der Risikotragfähigkeit liegt in der Verantwortung des Instituts. Die den Methoden und Verfahren zugrunde liegenden Annahmen sind nachvollziehbar zu begründen. Die Festlegung wesentlicher Elemente
   der Risikotragfähigkeitssteuerung sowie wesentlicher zugrunde liegender Annahmen ist von der Geschäftsleitung zu genehmigen. Die Angemessenheit der Methoden und Verfahren ist zumindest jährlich durch die fachlich zuständigen Mitarbeiter zu überprüfen. Dabei ist den Grenzen und Beschränkungen, die sich aus den eingesetzten Methoden und Verfahren, den ihnen zugrunde liegenden Annahmen und den in die Risikoquantifizierung einfließenden Daten ergeben, hinreichend Rechnung zu tragen. Die Aussagekraft der quantifizierten Risiken ist insofern kritisch zu analysieren. Die zur Risikotragfähigkeitssteuerung eingesetzten Verfahren haben sowohl das Ziel der Fortführung des Instituts als auch den Schutz der Gläubiger vor Verlusten aus ökonomischer Sicht angemessen zu berücksichtigen.
9. Jedes Institut muss über einen Prozess zur Planung des zukünftigen Kapitalbedarfs verfügen. Der Planungshorizont muss einen angemessen langen, mehrjährigen Zeitraum umfassen. Dabei ist zu berücksichtigen, wie sich über den Risikobetrachtungshorizont des Risikotragfähigkeitskonzepts hinaus Veränderungen der eigenen Geschäftstätigkeit oder der strategischen Ziele sowie Veränderungen des wirtschaftlichen Umfelds auf den Kapitalbedarf auswirken. Möglichen adversen Entwicklungen, die von den Erwartungen abweichen, ist bei der Planung angemessen Rechnung zu tragen.

AT 4.2 Strategien

1. Die Geschäftsleitung hat eine nachhaltige Geschäftsstrategie festzulegen, in der die Ziele des Instituts für jede wesentliche Geschäftsaktivität sowie die Maßnahmen zur Erreichung dieser Ziele dargestellt werden. Bei der Festlegung und Anpassung der Geschäftsstrategie sind sowohl externe Einflussfaktoren (z. B. Marktentwicklung, Wettbewerbssituation, regulatorisches Umfeld) als auch interne Einflussfaktoren (z. B. Risikotragfähigkeit, Liquidität, Ertragslage, personelle und technisch-organisatorische Ressourcen) zu berücksichtigen. Im Hinblick auf die zukünftige Entwicklung der relevanten Einflussfaktoren sind Annahmen zu treffen. Die Annahmen sind einer regelmäßigen und anlassbezogenen Überprüfung zu unterziehen; erforderlichenfalls ist die Geschäftsstrategie anzupassen.
2. Die Geschäftsleitung hat eine mit der Geschäftsstrategie und den daraus resultierenden Risiken konsistente Risikostrategie festzulegen. Die Risikostrategie hat, gegebenenfalls unterteilt in Teilstrategien für die wesentlichen Risiken, die Ziele der Risikosteuerung der wesentlichen Geschäftsaktivitäten sowie die Maßnahmen zur Erreichung dieser Ziele zu umfassen. Insbesondere sind, unter Berücksichtigung von Risikokonzentrationen, für alle wesentlichen Risiken Risikotoleranzen festzulegen. Risikokonzentrationen sind dabei auch mit Blick auf die Ertragssituation des Instituts (Ertragskonzentrationen) zu berücksichtigen. Dies setzt voraus, dass das Institut seine Erfolgsquellen voneinander abgrenzen und diese quantifizieren kann (z. B. im Hinblick auf den Konditionen- und den Strukturbeitrag im Zinsbuch).
3. Die Geschäftsleitung ist verantwortlich für die Festlegung und Anpassung der Strategien; diese Verantwortung ist nicht delegierbar. Die Geschäftsleitung muss für die Umsetzung der Strategien Sorge tragen. Der Detaillierungsgrad der Strategien ist abhängig vom Umfang und Komplexität sowie dem Risikogehalt der geplanten Geschäftsaktivitäten. Es bleibt dem Institut überlassen, die Risikostrategie in die Geschäftsstrategie zu integrieren.
   
4. Die Geschäftsleitung hat einen Strategieprozess einzurichten, der sich insbesondere auf die Prozessschritte Planung, Umsetzung, Beurteilung und Anpassung der Strategien erstreckt. Für die Zwecke der Beurteilung sind die in den Strategien niedergelegten Ziele so zu formulieren, dass eine sinnvolle Überprüfung der Zielerreichung möglich ist. Die Ursachen für etwaige Abweichungen sind zu analysieren.
5. Die Strategien sowie gegebenenfalls erforderliche Anpassungen der Strategien sind dem Aufsichtsorgan des Instituts zur Kenntnis zu geben und mit diesem zu erörtern. Die Erörterung erstreckt sich auch auf die Ursachenanalyse nach AT 4.2 Tz. 4 im Falle von Zielabweichungen.
6. Die Inhalte sowie Änderungen der Strategien sind innerhalb des Instituts in geeigneter Weise zu kommunizieren.

AT 4.3 Internes Kontrollsystem

AT 4.3.1 Aufbau- und Ablauforganisation

1. Bei der Ausgestaltung der Aufbau- und Ablauforganisation ist sicherzustellen, dass miteinander unvereinbare Tätigkeiten durch unterschiedliche Mitarbeiter durchgeführt und auch bei Arbeitsplatzwechseln Interessenkonflikte vermieden werden.
2. Prozesse sowie die damit verbundenen Aufgaben, Kompetenzen, Verantwortlichkeiten, Kontrollen sowie Kommunikationswege sind klar zu definieren und aufeinander abzustimmen. Dies beinhaltet auch die regelmäßige und anlassbezogene Überprüfung von IT-Berechtigungen, Zeichnungsberechtigungen und sonstigen eingeräumten Kompetenzen. Das gilt auch bezüglich der Schnittstellen zu wesentlichen Auslagerungen.

AT 4.3.2 Risikosteuerungs- und -controllingprozesse

1. Das Institut hat angemessene Risikosteuerungs- und -controllingprozesse einzurichten, die eine

   1. Identifizierung,
   2. Beurteilung,
   3. Steuerung sowie
   4. Überwachung und Kommunikation
      
      der wesentlichen Risiken und damit verbundener Risikokonzentrationen gewährleisten.
      
      Diese Prozesse sind in eine gemeinsame Ertrags- und Risikosteuerung („Gesamtbanksteuerung“) einzubinden. Durch geeignete Maßnahmen ist zu gewährleisten, dass die Risiken und die damit verbundenen Risikokonzentrationen unter Berücksichtigung der Risikotragfähigkeit und der Risikotoleranzen wirksam begrenzt und überwacht werden.
2. Die Risikosteuerungs- und -controllingprozesse müssen gewährleisten, dass die wesentlichen Risiken – auch aus ausgelagerten Aktivitäten und Prozessen – frühzeitig erkannt, vollständig erfasst und in angemessener Weise dargestellt werden können.
   Hierzu hat das Institut geeignete Indikatoren für die frühzeitige Identifizierung von Risiken sowie von risikoartenübergreifenden Effekten abzuleiten, die je nach Risikoart auf quantitativen und/oder qualitativen Risikomerkmalen basieren.
3. Die Geschäftsleitung hat sich in angemessenen Abständen über die Risikosituation berichten zu lassen. Die Risikoberichterstattung ist in nachvollziehbarer, aussagefähiger Art und Weise zu verfassen. Sie hat neben einer Darstellung auch eine Beurteilung der Risikosituation zu enthalten. In die Risikoberichterstattung sind bei Bedarf auch Handlungsvorschläge, z. B. zur Risikoreduzierung, aufzunehmen. Einzelheiten zur Risikoberichterstattung sind in BTR 1 bis BTR 4 geregelt.
4. In den Risikoberichten sind insbesondere auch die Ergebnisse der Stresstests und deren potenzielle Auswirkungen auf die Risikosituation und das Risikodeckungspotenzial darzustellen. Ebenfalls darzustellen sind die den Stresstests zugrunde liegenden wesentlichen Annahmen. Darüber hinaus ist auch aufRisikokonzentrationen und deren potenzielle Auswirkungen gesondert einzugehen.
5. Unter Risikogesichtspunkten wesentliche Informationen sind unverzüglich an dieGeschäftsleitung, die jeweiligen Verantwortlichen und gegebenenfalls die Interne Revision weiterzuleiten, so dass geeignete Maßnahmen beziehungsweise Prüfungshandlungen frühzeitig eingeleitet werden können. Hierfür ist ein geeignetesVerfahren festzulegen.
6. Die Geschäftsleitung hat das Aufsichtsorgan vierteljährlich über die Risikosituation in angemessener Weise schriftlich zu informieren. Die Berichterstattung ist in nachvollziehbarer, aussagefähiger Art und Weise zu verfassen und hat neben der Darstellung auch eine Beurteilung der Risikosituation zu enthalten. Auf besondere Risiken für die Geschäftsentwicklung und dafür geplante Maßnahmen der Geschäftsleitung ist gesondert einzugehen. Für das Aufsichtsorgan unter Risikogesichtspunkten wesentliche Informationen sind von der Geschäftsleitung unverzüglich weiterzuleiten. Hierfür hat die Geschäftsleitung gemeinsam mit dem Aufsichtsorgan ein geeignetes Verfahren festzulegen.
7. Die Risikosteuerungs- und -controllingprozesse sind zeitnah an sich ändernde Bedingungen anzupassen.

AT 4.3.3 Stresstests

1. Es sind regelmäßig sowie anlassbezogen angemessene Stresstests für die wesentlichen Risiken durchzuführen, die Art, Umfang, Komplexität und den Risikogehalt der Geschäftsaktivitäten widerspiegeln. Hierfür sind die für die jeweiligen Risiken wesentlichen Risikofaktoren zu identifizieren. Die Stresstests haben sich auch auf die angenommenen Risikokonzentrationen und Diversifikationseffekte innerhalb und zwischen den Risikoarten zu erstrecken. Risiken aus außerbilanziellen Gesellschaftskonstruktionen und Verbriefungstransaktionen sind im Rahmen der Stresstests zu berücksichtigen. Die Stresstests sind auch auf Gesamtinstitutsebene durchzuführen.
2. Die Stresstests haben auch außergewöhnliche, aber plausibel mögliche Ereignisse abzubilden. Dabei sind geeignete historische und hypothetische Szenarien darzustellen. Anhand der Stresstests sind dabei auch die Auswirkungen eines schweren konjunkturellen Abschwungs auf Gesamtinstitutsebene zu analysieren. Bei der Festlegung der Szenarien sind die strategische Ausrichtung des Instituts und sein wirtschaftliches Umfeld zu berücksichtigen.
3. Das Institut hat auch sogenannte „inverse Stresstests“ durchzuführen. Die Ausgestaltung und Durchführung ist abhängig von Art, Umfang, Komplexität und Risikogehalt der Geschäftsaktivitäten und kann qualitativ oder quantitativ erfolgen.
4. Die Angemessenheit der Stresstests sowie deren zugrunde liegende Annahmen sind in regelmäßigen Abständen, mindestens aber jährlich, zu überprüfen.
5. Die Ergebnisse der Stresstests sind kritisch zu reflektieren. Dabei ist zu ergründen, inwieweit, und wenn ja, welcher Handlungsbedarf besteht. Die Ergebnisse der Stresstests sind auch bei der Beurteilung der Risikotragfähigkeit angemessen zu berücksichtigen. Dabei ist den Auswirkungen eines schweren konjunkturellen Abschwungs besondere Aufmerksamkeit zu schenken.

AT 4.4 Besondere Funktionen

AT 4.4.1 Risikocontrolling-Funktion

1. Jedes Institut muss über eine Risikocontrolling-Funktion verfügen, die für die unabhängige Überwachung und Kommunikation der Risiken zuständig ist. Die Risikocontrolling-Funktion ist aufbauorganisatorisch bis einschließlich der Ebene der Geschäftsleitung von den Bereichen zu trennen, die für die Initiierung bzw. den Abschluss von Geschäften zuständig sind.

2. Die Risikocontrolling-Funktion hat insbesondere die folgenden Aufgaben:

   • Unterstützung der Geschäftsleitung in allen risikopolitischen Fragen, insbesondere bei der Entwicklung und Umsetzung der Risikostrategie sowie bei der Ausgestaltung eines Systems zur Begrenzung der Risiken;
   • Durchführung der Risikoinventur und Erstellung des Gesamtrisikoprofils;
   • Unterstützung der Geschäftsleitung bei der Einrichtung und Weiterentwicklung der Risikosteuerungs- und –controllingprozesse;
   • Einrichtung und Weiterentwicklung eines Systems von Risikokennzahlen und eines Risikofrüherkennungsverfahrens;
   • Laufende Überwachung der Risikosituation des Instituts und der Risikotragfähigkeit sowie der Einhaltung der eingerichteten Risikolimite;
   • Regelmäßige Erstellung der Risikoberichte für die Geschäftsleitung;
   • Verantwortung für die Prozesse zur unverzüglichen Weitergabe von unter Risikogesichtspunkten wesentlichen Informationen an die Geschäftsleitung, die jeweiligen Verantwortlichen und gegebenenfalls die Interne Revision.
3. Den Mitarbeitern der Risikocontrolling-Funktion sind alle notwendigen Befugnisse und ein uneingeschränkter Zugang zu allen Informationen einzuräumen, die für die Erfüllung ihrer Aufgaben erforderlich sind.
4. Die Leitung der Risikocontrolling-Funktion ist bei wichtigen risikopolitischen Entscheidungen der Geschäftsleitung zu beteiligen. Diese Aufgabe ist einer Person auf einer ausreichend hohen Führungsebene zu übertragen. Sie hat ihre Aufgaben in Abhängigkeit von der Größe des Instituts sowie Art, Umfang, Komplexität und Risikogehalt der Geschäftsaktivitäten grundsätzlich in exklusiver Weise auszufüllen.
5. Wechselt die Leitung der Risikocontrolling-Funktion, ist das Aufsichtsorgan zu informieren.

AT 4.4.2 Compliance-Funktion

1. Jedes Institut muss über eine Compliance-Funktion verfügen, um den Risiken, die sich aus der Nichteinhaltung rechtlicher Regelungen und Vorgaben ergeben können, entgegenzuwirken. Die Compliance-Funktion hat auf die Implementierung wirksamer Verfahren zur Einhaltung der für das Institut wesentlichen rechtlichen Regelungen und Vorgaben und entsprechender Kontrollen hinzuwirken. Ferner hat die Compliance-Funktion die Geschäftsleitung hinsichtlich der Einhaltung dieser rechtlichen Regelungen und Vorgaben zu unterstützen und zu beraten.
2. Die Identifizierung der wesentlichen rechtlichen Regelungen und Vorgaben, deren Nichteinhaltung zu einer Gefährdung des Vermögens des Instituts führen kann, erfolgt unter Berücksichtigung von Risikogesichtspunkten in regelmäßigen Abständen durch die Compliance-Funktion.
3. Grundsätzlich ist die Compliance-Funktion unmittelbar der Geschäftsleitung unterstellt und berichtspflichtig. Sie kann auch an andere Kontrolleinheiten angebunden werden. Zur Erfüllung ihrer Aufgaben kann die Compliance-Funktion auch auf andere Funktionen und Stellen zurückgreifen.
4. Das Institut hat einen Compliance-Beauftragten zu benennen, der für die Erfüllung der Aufgaben der Compliance-Funktion verantwortlich ist. Abhängig von Art, Umfang, Komplexität und Risikogehalt der Geschäftsaktivitäten sowie der Größe des Instituts kann im Ausnahmefall die Funktion des Compliance-Beauftragten auch einem Geschäftsleiter übertragen werden.
5. Den Mitarbeitern der Compliance-Funktion sind ausreichende Befugnisse und ein uneingeschränkter Zugang zu allen Informationen einzuräumen, die für die Erfüllung ihrer Aufgaben erforderlich sind. Weisungen und Beschlüsse der Geschäftsleitung, die für die Compliance-Funktion wesentlich sind, sind ihr bekanntzugeben. Über wesentliche Änderungen der Regelungen, die die Einhaltung der wesentlichen rechtlichen Regelungen und Vorgaben gewährleisten sollen, sind die Mitarbeiter der Compliance-Funktion rechtzeitig zu informieren.
6. Die Compliance-Funktion hat mindestens jährlich sowie anlassbezogen der Geschäftsleitung über ihre Tätigkeit Bericht zu erstatten. Darin ist auf die Angemessenheit und Wirksamkeit der Regelungen zur Einhaltung der wesentlichen rechtlichen Regelungen und Vorgaben einzugehen. Ferner hat der Bericht auch Angaben zu möglichen Defiziten sowie zu Maßnahmen zu deren Behebung zu enthalten. Die Berichte sind auch an das Aufsichtsorgan und die Interne Revision weiterzuleiten.
7. Wechselt die Position des Compliance-Beauftragten, ist das Aufsichtsorgan zu informieren.

AT 4.4.3 Interne Revision

1. Jedes Institut muss über eine funktionsfähige Interne Revision verfügen. Bei Instituten, bei denen aus Gründen der Betriebsgröße die Einrichtung einer Revisionseinheit unverhältnismäßig ist, können die Aufgaben der Internen Revision von einem Geschäftsleiter erfüllt werden.
2. Die Interne Revision ist ein Instrument der Geschäftsleitung, ihr unmittelbar unterstellt und berichtspflichtig. Sie kann auch einem Mitglied der Geschäftsleitung, nach Möglichkeit dem Vorsitzenden, unterstellt sein. Unbeschadet dessen ist sicherzustellen, dass der Vorsitzende des Aufsichtsorgans unter Einbeziehung der Geschäftsleitung direkt bei dem Leiter der Internen Revision Auskünfte einholen kann.
3. Die Interne Revision hat risikoorientiert und prozessunabhängig die Wirksamkeit und Angemessenheit des Risikomanagements im Allgemeinen und des internen Kontrollsystems im Besonderen sowie die Ordnungsmäßigkeit grundsätzlich aller Aktivitäten und Prozesse zu prüfen und zu beurteilen, unabhängig davon, ob diese ausgelagert sind oder nicht. BT 2.1 Tz. 3 bleibt hiervon unberührt.
4. Zur Wahrnehmung ihrer Aufgaben ist der Internen Revision ein vollständiges und uneingeschränktes Informationsrecht einzuräumen. Dieses Recht ist jederzeit zu gewährleisten. Der Internen Revision sind insoweit unverzüglich die erforderlichen Informationen zu erteilen, die notwendigen Unterlagen zur Verfügung zu stellen und Einblick in die Aktivitäten und Prozesse sowie die IT-Systeme des Instituts zu gewähren.
5. Weisungen und Beschlüsse der Geschäftsleitung, die für die Interne Revision von Bedeutung sein können, sind ihr bekannt zu geben. Über wesentliche Änderungen im Risikomanagement ist die Interne Revision rechtzeitig zu informieren.
6. Wechselt die Leitung der Internen Revision, ist das Aufsichtsorgan zu informieren.

AT 4.5 Risikomanagement auf Gruppenebene

1. Nach § 25a Abs. 1a KWG sind die Geschäftsleiter des übergeordneten Unternehmens einer Institutsgruppe oder Finanzholding-Gruppe sowie die Geschäftsleiter des übergeordneten Finanzkonglomeratsunternehmens eines Finanzkonglomerats für die Einrichtung eines angemessenen und wirksamen Risikomanagements auf Gruppenebene verantwortlich. Die Reichweite des Risikomanagements auf Gruppenebene erstreckt sich auf alle wesentlichen Risiken der Gruppe unabhängig davon, ob diese von konsolidierungspflichtigen Unternehmen begründet werden oder nicht (z. B. Risiken aus nicht konsolidierungspflichtigen Zweckgesellschaften). Die eingesetzten Methoden und Verfahren (beispielsweise IT-Systeme) dürfen der Wirksamkeit des Risikomanagements auf Gruppenebene nicht entgegenstehen. Besondere Maßstäbe für das Risikomanagement auf Gruppenebene können sich aus spezialgesetzlichen Regelungen ergeben, wie z. B. bei Bausparkassen hinsichtlich der Kollektivsteuerung oder bei Pfandbriefbanken.
2. Die Geschäftsleitung des übergeordneten Unternehmens hat eine Geschäftsstrategie sowie eine dazu konsistente Risikostrategie festzulegen („gruppenweite Strategien“). Die strategische Ausrichtung der gruppenangehörigen Unternehmen ist mit den gruppenweiten Strategien abzustimmen. Die Geschäftsleitung des übergeordneten Unternehmens muss für die Umsetzung der gruppenweiten Strategien Sorge tragen.
3. Das übergeordnete Unternehmen hat auf der Grundlage des Gesamtrisikoprofils der Gruppe einen internen Prozess zur Sicherstellung der Risikotragfähigkeit auf Gruppenebene einzurichten (AT 4.1 Tz. 2). Die Risikotragfähigkeit der Gruppe ist laufend sicherzustellen.
4. Es sind angemessene ablauforganisatorische Vorkehrungen auf Gruppenebene zu treffen. Das heißt, dass Prozesse sowie damit verbundene Aufgaben, Kompetenzen, Verantwortlichkeiten, Kontrollen sowie Kommunikationswege innerhalb der Gruppe klar
   zu definieren und aufeinander abzustimmen sind.
5. Das übergeordnete Unternehmen hat angemessene Risikosteuerungs- und -controllingprozesse einzurichten, die die gruppenangehörigen Unternehmen einbeziehen. Für die wesentlichen Risiken auf Gruppenebene sind regelmäßig angemessene Stresstests durchzuführen. Das übergeordnete Unternehmen hat sich in angemessenen Abständen über die Risikosituation der Gruppe zu informieren.
6. Die Konzernrevision hat im Rahmen des Risikomanagements auf Gruppenebene ergänzend zur Internen Revision der gruppenangehörigen Unternehmen tätig zu werden. Dabei kann die Konzernrevision auch die Prüfungsergebnisse der Internen Revisionen der gruppenangehörigen Unternehmen berücksichtigen.

AT 5 Organisationsrichtlinien

AT 6 Dokumentation

1. Geschäfts-, Kontroll- und Überwachungsunterlagen sind systematisch und für sachkundige Dritte nachvollziehbar abzufassen und, vorbehaltlich gesetzlicher Regelungen, grundsätzlich zwei Jahre aufzubewahren. Die Aktualität und Vollständigkeit der Aktenführung ist sicherzustellen.
2. Die für die Einhaltung dieses Rundschreibens wesentlichen Handlungen und Festlegungen sind nachvollziehbar zu dokumentieren. Dies beinhaltet auch Festlegungen hinsichtlich der Inanspruchnahme wesentlicher Öffnungsklauseln, die gegebenenfalls zu begründen ist.

AT 7 Ressourcen

AT 7.1 Personal

1. Die quantitative und qualitative Personalausstattung des Instituts hat sich insbesondere an betriebsinternen Erfordernissen, den Geschäftsaktivitäten sowie der Risikosituation zu orientieren. Dies gilt auch beim Rückgriff auf Leiharbeitnehmer.
2. Die Mitarbeiter sowie deren Vertreter müssen abhängig von ihren Aufgaben, Kompetenzen und Verantwortlichkeiten über die erforderlichen Kenntnisse und Erfahrungen verfügen. Durch geeignete Maßnahmen ist zu gewährleisten, dass das Qualifikationsniveau der Mitarbeiter angemessen ist.
3. Die Abwesenheit oder das Ausscheiden von Mitarbeitern sollte nicht zu nachhaltigen Störungen der Betriebsabläufe führen.

AT 7.2 Technisch-organisatorische Ausstattung

1. Umfang und Qualität der technisch-organisatorischen Ausstattung haben sich insbesondere an betriebsinternen Erfordernissen, den Geschäftsaktivitäten sowie der Risikosituation zu orientieren.
2. Die IT-Systeme (Hardware- und Software-Komponenten) und die zugehörigen IT-Prozesse müssen die Integrität, die Verfügbarkeit, die Authentizität sowie die Vertraulichkeit der Daten sicherstellen. Für diese Zwecke ist bei der Ausgestaltung der IT-Systeme und der zugehörigen IT-Prozesse grundsätzlich auf gängige Standards abzustellen, insbesondere sind Prozesse für eine angemessene IT-Berechtigungsvergabe einzurichten, die sicherstellen, dass jeder Mitarbeiter nur über die Rechte verfügt, die er für seine Tätigkeit benötigt; die Zusammenfassung von Berechtigungen in einem Rollenmodell ist möglich. Die Eignung der IT-Systeme und der zugehörigen Prozesse ist regelmäßig von den fachlich und technisch zuständigen Mitarbeitern zu überprüfen.
3. Die IT-Systeme sind vor ihrem erstmaligen Einsatz und nach wesentlichen Veränderungen zu testen und von den fachlich sowie auch von den technisch zuständigen Mitarbeitern abzunehmen. Hierfür ist ein Regelprozess der Entwicklung, des Testens, der Freigabe und der Implementierung in die Produktionsprozesse zu etablieren. Produktions- und Testumgebung sind dabei grundsätzlich voneinander zu trennen.
4. Die Entwicklung und Änderung programmtechnischer Vorgaben (z. B. Parameteranpassungen) sind unter Beteiligung der fachlich und technisch zuständigen Mitarbeiter durchzuführen. Die programmtechnische Freigabe hat grundsätzlich unabhängig vom Anwender zu erfolgen.

AT 7.3 Notfallkonzept

1. Für Notfälle in zeitkritischen Aktivitäten und Prozessen ist Vorsorge zu treffen (Notfallkonzept). Die im Notfallkonzept festgelegten Maßnahmen müssen dazu geeignet sein, das Ausmaß möglicher Schäden zu reduzieren. Die Wirksamkeit und Angemessenheit des Notfallkonzeptes ist regelmäßig durch Notfalltests zu überprüfen. Die Ergebnisse der Notfalltests sind den jeweiligen Verantwortlichen mitzuteilen. Im Fall der Auslagerung von zeitkritischen Aktivitäten und Prozessen haben das auslagernde Institut und das Auslagerungsunternehmen über aufeinander abgestimmte Notfallkonzepte zu verfügen.
2. Das Notfallkonzept muss Geschäftsfortführungs- sowie Wiederanlaufpläne umfassen. Die Geschäftsfortführungspläne müssen gewährleisten, dass im Notfall zeitnah Ersatzlösungen zur Verfügung stehen. Die Wiederanlaufpläne müssen innerhalb eines angemessenen Zeitraums die Rückkehr zum Normalbetrieb ermöglichen. Die im Notfall zu verwendenden Kommunikationswege sind festzulegen. Das Notfallkonzept muss den beteiligten Mitarbeitern zur Verfügung stehen.

AT 8 Anpassungsprozesse

AT 8.1 Neu-Produkt-Prozess

1. Jedes Institut muss die von ihm betriebenen Geschäftsaktivitäten verstehen. Für die Aufnahme von Geschäftsaktivitäten in neuen Produkten oder auf neuen Märkten (einschließlich neuer Vertriebswege) ist vorab ein Konzept auszuarbeiten. Grundlage
   des Konzeptes muss das Ergebnis der Analyse des Risikogehalts dieser neuen Geschäftsaktivitäten sowie deren Auswirkungen auf das Gesamtrisikoprofil sein. In dem Konzept sind die sich daraus ergebenden wesentlichen Konsequenzen für das Management der Risiken darzustellen.
2. Bei der Entscheidung, ob es sich um Geschäftsaktivitäten in neuen Produkten oder auf neuen Märkten handelt, ist ein vom Markt beziehungsweise vom Handel unabhängiger Bereich einzubinden.
3. Bei Handelsgeschäften ist vor dem laufenden Handel in neuen Produkten oder auf neuen Märkten grundsätzlich eine Testphase durchzuführen. Während der Testphase dürfen Handelsgeschäfte nur in überschaubarem Umfang durchgeführt werden. Es ist sicherzustellen, dass der laufende Handel erst beginnt, wenn die Testphase erfolgreich abgeschlossen ist und geeignete Risikosteuerungs- und -controllingprozesse vorhanden sind.
4. Sowohl in die Erstellung des Konzeptes als auch in die Testphase sind die später in die Arbeitsabläufe eingebundenen Organisationseinheiten einzuschalten. Im Rahmen ihrer Aufgaben sind auch die Risikocontrolling-Funktion, die Compliance-Funktion und die
   Interne Revision zu beteiligen.
5. Das Konzept und die Aufnahme der laufenden Geschäftstätigkeit sind von den zuständigen Geschäftsleitern unter Einbeziehung der für die Überwachung der Geschäfte verantwortlichen Geschäftsleiter zu genehmigen. Diese Genehmigungen können delegiert werden, sofern dafür klare Vorgaben erlassen wurden und die Geschäftsleitung zeitnah über die Entscheidungen informiert wird.
6. Soweit nach Einschätzung der in die Arbeitsabläufe eingebundenen Organisationseinheiten Aktivitäten in einem neuen Produkt oder auf einem neuen Markt sachgerecht gehandhabt werden können, ist die Anwendung des AT 8 nicht erforderlich.

AT 8.2 Änderungen betrieblicher Prozesse oder Strukturen

1. Vor wesentlichen Veränderungen in der Aufbau- und Ablauforganisation sowie in den IT-Systemen hat das Institut die Auswirkungen der geplanten Veränderungen auf die Kontrollverfahren und die Kontrollintensität zu analysieren. In diese Analysen sind die später in die Arbeitsabläufe eingebundenen Organisationseinheiten einzuschalten. Im Rahmen ihrer Aufgaben sind auch die Risikocontrolling-Funktion, die Compliance-Funktion und die Interne Revision zu beteiligen.

AT 8.3 Übernahmen und Fusionen

1. Vor der Übernahme anderer Unternehmen oder Fusionen mit anderen Unternehmen hat das Institut ein Konzept zu erarbeiten, in dem die wesentlichen strategischen Ziele, die voraussichtlichen wesentlichen Konsequenzen für das Management der Risiken und die wesentlichen Auswirkungen auf das Gesamtrisikoprofil des Instituts beziehungsweise der Gruppe dargestellt werden. Dies umfasst auch die mittelfristig geplante Entwicklung der Vermögens-, Finanz- und Ertragslage, die voraussichtliche Höhe der Risikopositionen, die notwendigen Anpassungen der Risikosteuerungs- und –controllingprozesse und der IT-Systeme sowie die Darstellung wesentlicher rechtlicher Konsequenzen (Bilanzrecht, Steuerrecht etc.).

AT 9 Outsourcing

BT 1 Besondere Anforderungen an das interne Kontrollsystem

1. In diesem Modul werden besondere Anforderungen an die Ausgestaltung des internen Kontrollsystems gestellt. Die Anforderungen beziehen sich vor allem auf die Ausgestaltung der Aufbau- und Ablauforganisation im Kredit- und Handelsgeschäft (BTO). Darüber hinaus werden unter Berücksichtigung von Risikokonzentrationen Anforderungen an die Ausgestaltung der Risikosteuerungs- und -controllingprozesse für Adressenausfallrisiken, Marktpreisrisiken, Liquiditätsrisiken und operationelle Risiken gestellt (BTR).

BTO Anforderungen an die Aufbau- und Ablauforganisation

BTO 1 Kreditgeschäft

1. Dieses Modul stellt Anforderungen an die Ausgestaltung der Aufbau- und Ablauforganisation, die Verfahren zur Früherkennung von Risiken und die Verfahren zur Klassifizierung der Risiken im Kreditgeschäft. Bei Handelsgeschäften und Beteiligungen kann von der Umsetzung einzelner Anforderungen dieses Moduls abgesehen werden, soweit deren Umsetzung vor dem Hintergrund der Besonderheiten dieser Geschäftsarten nicht zweckmäßig ist (z. B. die Anforderungen zur Kreditverwendungskontrolle unter BTO 1.2.2 Tz. 1).

BTO 1.1 Funktionstrennung und Votierung

1. Maßgeblicher Grundsatz für die Ausgestaltung der Prozesse im Kreditgeschäft ist die klare aufbauorganisatorische Trennung der Bereiche Markt und Marktfolge bis einschließlich der Ebene der Geschäftsleitung. Bei kleinen Instituten sind unter bestimmten Voraussetzungen Ausnahmen hinsichtlich der Funktionstrennung möglich.
2. Abhängig von Art, Umfang, Komplexität und Risikogehalt des Kreditengagements erfordert eine Kreditentscheidung zwei zustimmende Voten der Bereiche Markt und Marktfolge. Weitergehende Beschlussfassungsvorschriften (z. B. KWG, Satzung) bleiben hiervon unberührt. Soweit die Entscheidungen von einem Ausschuss getroffen werden, sind die Mehrheitsverhältnisse innerhalb eines Ausschusses so festzulegen, dass der Bereich Marktfolge nicht überstimmt werden kann.
3. Bei Handelsgeschäften sind Kontrahenten- und Emittentenlimite durch eine Votierung aus dem Bereich Marktfolge festzulegen.
4. Für Kreditentscheidungen bei Geschäften, die unter Risikogesichtspunkten als nicht wesentlich einzustufen sind, kann das Institut bestimmen, dass nur ein Votum erforderlich ist („nicht-risikorelevante Kreditgeschäfte“). Vereinfachungen sind auch dann möglich, wenn Kreditgeschäfte von Dritten initiiert werden. Insoweit ist die aufbauorganisatorische Trennung zwischen Markt und Marktfolge nur für Kreditgeschäfte maßgeblich, bei denen zwei Voten erforderlich sind. Falls ein zweites Votum nicht erforderlich sein sollte, ist eine angemessene Umsetzung der Anforderungen in BTO 1.2 sicherzustellen.
5. Jeder Geschäftsleiter kann im Rahmen seiner Krediteinzelkompetenz eigenständig Kreditentscheidungen treffen und auch Kundenkontakte wahrnehmen. Die aufbauorganisatorische Trennung der Bereiche Markt und Marktfolge bleibt davon unberührt. Zudem sind zwei Voten einzuholen, soweit dies unter Risikogesichtspunkten erforderlich sein sollte. Falls die im Rahmen einer Krediteinzelkompetenz getroffenen Entscheidungen von den Voten abweichen oder wenn sie vom Geschäftsleiter getroffen werden, der für den Bereich Marktfolge zuständig ist, sind sie im Risikobericht besonders hervorzuheben (BTR 1 Tz. 7).
6. Das Institut hat eine klare und konsistente Kompetenzordnung für Entscheidungen im Kreditgeschäft festzulegen. Für den Fall voneinander abweichender Voten sind in der Kompetenzordnung Entscheidungsregeln zu treffen: Der Kredit ist in diesen Fällen abzulehnen oder zur Entscheidung auf eine höhere Kompetenzstufe zu verlagern (Eskalationsverfahren).
7. Die Überprüfung bestimmter, unter Risikogesichtspunkten festzulegender Sicherheiten ist außerhalb des Bereichs Markt durchzuführen. Diese Zuordnung gilt auch für Entscheidungen über die Risikovorsorge bei bedeutenden Engagements. Die Zuordnung aller anderen in BTO 1.2 genannten Prozesse beziehungsweise Teilprozesse liegt, soweit dieses Rundschreiben nichts anderes vorsieht, im Ermessen der Institute (z. B. die Kreditbearbeitung oder Teilprozesse der Kreditbearbeitung).

BTO 1.2 Anforderungen an die Prozesse im Kreditgeschäft

1. Das Institut hat Prozesse für die Kreditbearbeitung (Kreditgewährung und Kreditweiterbearbeitung), die Kreditbearbeitungskontrolle, die Intensivbetreuung, die Problemkreditbearbeitung und die Risikovorsorge einzurichten. Die Verantwortung für deren Entwicklung und Qualität muss außerhalb des Bereichs Markt angesiedelt sein.
2. Das Institut hat Bearbeitungsgrundsätze für die Prozesse im Kreditgeschäft zu formulieren, die, soweit erforderlich, in geeigneter Weise zu differenzieren sind (z. B. nach Kreditarten). Darüber hinaus sind die Verfahren zur Überprüfung, Verwaltung und Verwertung gestellter Sicherheiten festzulegen.
3. Die für das Adressenausfallrisiko eines Kreditengagements bedeutsamen Aspekte sind herauszuarbeiten und zu beurteilen, wobei die Intensität dieser Tätigkeiten vom Risikogehalt des Engagements abhängt. Branchen- und gegebenenfalls Länderrisiken sind in angemessener Weise zu berücksichtigen. Kritische Punkte eines Engagements sind hervorzuheben und gegebenenfalls unter der Annahme verschiedener Szenarien darzustellen.
4. Die Verwendung externer Bonitätseinschätzungen enthebt das Institut nicht von seiner Verpflichtung, sich ein Urteil über das Adressenausfallrisiko zu bilden und dabei eigene Erkenntnisse und Informationen in die Kreditentscheidung einfließen zu lassen.
5. Bei Objekt-/Projektfinanzierungen ist im Rahmen der Kreditbearbeitung sicherzustellen, dass neben der wirtschaftlichen Betrachtung insbesondere auch die technische Machbarkeit und Entwicklung sowie die mit dem Objekt/Projekt verbundenen rechtlichen Risiken in die Beurteilung einbezogen werden. Dabei kann auch auf die Expertise einer vom Kreditnehmer unabhängigen sach- und fachkundigen Organisationseinheit zurückgegriffen werden. Soweit externe Personen für diese Zwecke herangezogen werden, ist vorher deren Eignung zu überprüfen.
6. Abhängig vom Risikogehalt der Kreditgeschäfte sind sowohl im Rahmen der Kreditentscheidung als auch bei turnusmäßigen oder anlassbezogenen Beurteilungen die Risiken eines Engagements mit Hilfe eines Risikoklassifizierungsverfahrens zu bewerten. Eine Überprüfung der Risikoeinstufung ist jährlich durchzuführen.
7. Zwischen der Einstufung im Risikoklassifizierungsverfahren und der Konditionengestaltung sollte ein sachlich nachvollziehbarer Zusammenhang bestehen.
8. Das Institut hat ein der Kompetenzordnung entsprechendes Verfahren einzurichten, in dem festgelegt ist, wie Überschreitungen von Limiten zu behandeln sind. Soweit unter Risikogesichtspunkten vertretbar, ist für Limitüberschreitungen und Prolongationen auf der Grundlage klarer Vorgaben eine vereinfachte Umsetzung der Anforderungen in BTO 1.1 sowie BTO 1.2 möglich.
9. Im Hinblick auf die erforderlichen Kreditunterlagen ist ein Verfahren einzurichten, das deren zeitnahe Einreichung überwacht und eine zeitnahe Auswertung gewährleistet. Für ausstehende Unterlagen ist ein entsprechendes Mahnverfahren einzurichten.
10. Das Institut hat standardisierte Kreditvorlagen zu verwenden, soweit dies in Anbetracht der jeweiligen Geschäftsarten möglich und zweckmäßig ist, wobei die Ausgestaltung der Kreditvorlagen von Art, Umfang, Komplexität und Risikogehalt der Kreditgeschäfte abhängt.
11. Vertragliche Vereinbarungen im Kreditgeschäft sind auf der Grundlage rechtlich geprüfter Unterlagen abzuschließen.
12. Für die einzelnen Kreditverträge sind rechtlich geprüfte Standardtexte zu verwenden, die anlassbezogen zu aktualisieren sind. Falls bei einem Engagement (z. B. im Rahmen von Individualvereinbarungen) von den Standardtexten abgewichen werden soll, ist, soweit unter Risikogesichtspunkten erforderlich, vor Abschluss des Vertrages die rechtliche Prüfung durch eine vom Bereich Markt unabhängige Stelle notwendig.

BTO 1.2.1 Kreditgewährung

1. Der Prozess der Kreditgewährung umfasst die bis zur Bereitstellung des Kredites erforderlichen Arbeitsabläufe. Dabei sind die für die Beurteilung des Risikos wichtigen Faktoren unter besonderer Berücksichtigung der Kapitaldienstfähigkeit des Kreditnehmers beziehungsweise des Objektes/Projektes zu analysieren und zu beurteilen, wobei die Intensität der Beurteilung vom Risikogehalt der Engagements abhängt (z. B. Kreditwürdigkeitsprüfung, Risikoeinstufung im Risikoklassifizierungsverfahren oder eine Beurteilung auf der Grundlage eines vereinfachten Verfahrens).
2. Die Werthaltigkeit und der rechtliche Bestand von Sicherheiten sind grundsätzlich vor der Kreditvergabe zu überprüfen. Bei der Überprüfung der Werthaltigkeit kann auf bereits vorhandene Sicherheitenwerte zurückgegriffen werden, sofern keine Anhaltspunkte für Wertveränderungen vorliegen.
3. Hängt der Sicherheitenwert maßgeblich von den Verhältnissen eines Dritten ab (z. B. Bürgschaft), so ist eine angemessene Überprüfung der Adressenausfallrisiken des Dritten durchzuführen.
4. Das Institut hat die akzeptierten Sicherheitenarten und die Verfahren zur Wertermittlung dieser Sicherheiten festzulegen.

BTO 1.2.2 Kreditweiterbearbeitung

1. Im Rahmen der Kreditweiterbearbeitung ist zu überwachen, ob die vertraglichen Vereinbarungen vom Kreditnehmer eingehalten werden. Bei zweckgebundenen Kreditvergaben ist zu kontrollieren, ob die valutierten Mittel der vereinbarten Verwendung zukommen (Kreditverwendungskontrolle).
2. Eine Beurteilung der Adressenausfallrisiken ist jährlich durchzuführen, wobei die Intensität der Beurteilungen vom Risikogehalt der Engagements abhängt (z. B. Kreditwürdigkeitsprüfung, Risikoeinstufung im Risikoklassifizierungsverfahren oder eine Beurteilung auf der Grundlage eines vereinfachten Verfahrens).
3. Die Werthaltigkeit und der rechtliche Bestand von Sicherheiten sind im Rahmen der Kreditweiterbearbeitung in Abhängigkeit von der Sicherheitenart ab einer vom Institut unter Risikogesichtspunkten festzulegenden Grenze in angemessenen Abständen zu überprüfen.
4. Außerordentliche Überprüfungen von Engagements einschließlich der Sicherheiten sind zumindest dann unverzüglich durchzuführen, wenn dem Institut aus externen oder internen Quellen Informationen bekannt werden, die auf eine wesentliche negative Änderung der Risikoeinschätzung der Engagements oder der Sicherheiten hindeuten. Derartige Informationen sind unverzüglich an alle einzubindenden Organisationseinheiten weiterzuleiten.

BTO 1.2.3 Kreditbearbeitungskontrolle

1. Für die Kreditbearbeitung sind prozessabhängige Kontrollen einzurichten, die gewährleisten, dass die Vorgaben der Organisationsrichtlinien eingehalten werden. Die Kontrollen können auch im Rahmen des üblichen Vier-Augen-Prinzips erfolgen.
2. Insbesondere ist zu kontrollieren, ob die Kreditentscheidung entsprechend der festgelegten Kompetenzordnung erfolgte und ob vor der Valutierung die Voraussetzungen beziehungsweise Auflagen aus dem Kreditvertrag erfüllt sind.

BTO 1.2.4 Intensivbetreuung

1. Das Institut hat Kriterien festzulegen, wann ein Engagement einer gesonderten Beobachtung (Intensivbetreuung) zu unterziehen ist. Die Verantwortung für die Entwicklung und Qualität dieser Kriterien sowie deren regelmäßige Überprüfung muss außerhalb des Bereichs Markt angesiedelt sein.
2. Die einer Intensivbetreuung unterliegenden Engagements sind nach einem festzulegenden Turnus auf ihre weitere Behandlung hin zu überprüfen (weitere Intensivbetreuung, Rückführung in die Normalbetreuung, Abgabe an die Abwicklung oder die Sanierung).

BTO 1.2.5 Behandlung von Problemkrediten

1. Das Institut hat Kriterien festzulegen, die die Abgabe eines Engagements an die auf die Sanierung beziehungsweise Abwicklung spezialisierten Mitarbeiter oder Bereiche beziehungsweise deren Einschaltung regeln. Die Verantwortung für die Entwicklung und die Qualität dieser Kriterien sowie deren regelmäßige Überprüfung muss außerhalb des Bereichs Markt angesiedelt sein. Die Federführung für den Sanierungs- beziehungsweise den Abwicklungsprozess oder die Überwachung dieser Prozesse ist außerhalb des Bereichs Markt wahrzunehmen.
2. Zieht ein Institut die Begleitung einer Sanierung in Betracht, hat es sich ein Sanierungskonzept zur Beurteilung der Sanierungsfähigkeit des Kreditnehmers vorlegen zu lassen und auf dieser Grundlage seine Entscheidung zu treffen.
3. Die Umsetzung des Sanierungskonzeptes sowie die Auswirkungen der Maßnahmen sind vom Institut zu überwachen.
4. Die zuständigen Geschäftsleiter sind bei bedeutenden Engagements regelmäßig über den Stand der Sanierung zu informieren. Erforderlichenfalls kann bei dem Sanierungsprozess auf externe Spezialisten mit entsprechenden Kenntnissen zurückgegriffen werden.
5. Für den Fall der Abwicklung eines Engagements ist ein Abwicklungskonzept zu erstellen. In den Prozess der Verwertung der Sicherheiten sind Mitarbeiter oder gegebenenfalls externe Spezialisten mit entsprechenden Kenntnissen einzubeziehen.

BTO 1.2.6 Risikovorsorge

1. Das Institut hat Kriterien festzulegen, auf deren Grundlage unter Beachtung der angewandten Rechnungslegungsnormen Wertberichtigungen, Abschreibungen und Rückstellungen für das Kreditgeschäft (einschließlich der Länderrisikovorsorge) zu bilden sind (z. B. ein institutsinternes Forderungsbewertungsverfahren).
2. Die erforderliche Risikovorsorge ist zeitnah zu ermitteln und fortzuschreiben. Ein erheblicher Risikovorsorgebedarf ist der Geschäftsleitung unverzüglich mitzuteilen.

BTO 1.3 Verfahren zur Früherkennung von Risiken

1. Das Verfahren zur Früherkennung von Risiken dient insbesondere der rechtzeitigen Identifizierung von Kreditnehmern, bei deren Engagements sich erhöhte Risiken abzuzeichnen beginnen. Damit soll das Institut in die Lage versetzt werden, in einem möglichst frühen Stadium Gegenmaßnahmen einleiten zu können (z. B. Intensivbetreuung von Engagements).
2. Für diese Zwecke hat das Institut auf der Basis quantitativer und qualitativer Risikomerkmale Indikatoren für eine frühzeitige Risikoidentifizierung zu entwickeln.
3. Das Institut kann bestimmte, unter Risikogesichtspunkten festzulegende Arten von Kreditgeschäften oder Kreditgeschäfte unterhalb bestimmter Größenordnungen von der Anwendung des Verfahrens zur Früherkennung von Risiken ausnehmen. Die Funktion der Früherkennung von Risiken kann auch von einem Risikoklassifizierungsverfahren wahrgenommen werden, soweit es eine Früherkennung von Risiken ermöglicht.

BTO 1.4 Risikoklassifizierungsverfahren

1. In jedem Institut sind aussagekräftige Risikoklassifizierungsverfahren für die erstmalige beziehungsweise die turnusmäßige oder anlassbezogene Beurteilung der Adressenausfallrisiken sowie gegebenenfalls der Objekt-/Projektrisiken einzurichten. Es sind Kriterien festzulegen, die im Rahmen der Beurteilung der Risiken eine nachvollziehbare Zuweisung in eine Risikoklasse gewährleisten.
2. Die Verantwortung für Entwicklung, Qualität und Überwachung der Anwendung der Risikoklassifizierungsverfahren muss außerhalb des Bereichs Markt angesiedelt sein.
3. Maßgebliche Indikatoren für die Bestimmung der Adressenausfallrisiken im Risikoklassifizierungsverfahren müssen neben quantitativen auch, soweit möglich, qualitative Kriterien sein. Es ist insbesondere zu berücksichtigen, inwieweit der Kreditnehmer in der Lage ist, künftig Erträge zu erwirtschaften, um den ausgereichten Kredit zurückzuführen.
4. Die Klassifizierungsverfahren sind in angemessener Weise in die Prozesse des Kreditgeschäfts und gegebenenfalls die Kompetenzordnung einzubinden.

BTO 2 Handelsgeschäft

1. Dieses Modul stellt Anforderungen an die Ausgestaltung der Aufbau- und Ablauforganisation im Handelsgeschäft.

BTO 2.1 Funktionstrennung

1. Maßgeblicher Grundsatz für die Ausgestaltung der Prozesse im Handelsgeschäft ist die klare aufbauorganisatorische Trennung des Bereichs Handel von den Funktionen des Risikocontrollings sowie der Abwicklung und Kontrolle bis einschließlich der Ebene der Geschäftsleitung.
2. Von der Trennung bis einschließlich der Ebene der Geschäftsleitung kann abgesehen werden, wenn sich die Handelsaktivitäten in ihrer Gesamtheit auf Handelsgeschäfte konzentrieren, die unter Risikogesichtspunkten als nicht wesentlich einzustufen sind („nicht-risikorelevante Handelsaktivitäten“).

BTO 2.2 Anforderungen an die Prozesse im Handelsgeschäft

BTO 2.2.1 Handel

BTO 2.2.2 Abwicklung und Kontrolle

BTO 2.2.3 Abbildung im Risikocontrolling

1. Handelsgeschäfte einschließlich solcher Nebenabreden, die zu Positionen führen, sind unverzüglich im Risikocontrolling abzubilden.

BTR Anforderungen an die Risikosteuerungs- und –controllingprozesse

BTR 1 Adressenausfallrisiken

BTR 2 Marktpreisrisiken

BTR 2.1 Allgemeine Anforderungen

BTR 2.2 Marktpreisrisiken des Handelsbuches

1. Es ist sicherzustellen, dass die mit Marktpreisrisiken behafteten Geschäfte des Handelsbuches unverzüglich auf die einschlägigen Limite angerechnet werden und der Positionsverantwortliche über die für ihn relevanten Limite und ihre aktuelle Ausnutzung zeitnah informiert ist. Bei Limitüberschreitungen sind geeignete Maßnahmen zu treffen. Gegebenenfalls ist ein Eskalationsverfahren einzuleiten.
2. Die mit Marktpreisrisiken behafteten Positionen des Handelsbuches sind täglich zu bewerten.
3. Es ist täglich ein Ergebnis für das Handelsbuch zu ermitteln. Die bestehenden Risikopositionen sind mindestens einmal täglich zum Geschäftsschluss zu Gesamtrisikopositionen zusammenzufassen. Die Gesamtrisikopositionen, Ergebnisse und Limitauslastungen sind grundsätzlich zeitnah am nächsten Geschäftstag dem für das Risikocontrolling zuständigen Geschäftsleiter zu berichten. Die Meldung ist mit den Handelsbereichen abzustimmen.
4. Die modellmäßig ermittelten Risikowerte sind fortlaufend mit der tatsächlichen Entwicklung zu vergleichen.

BTR 2.3 Marktpreisrisiken des Anlagebuches (einschließlich Zinsänderungsrisiken)

1. Die mit Marktpreisrisiken behafteten Positionen des Anlagebuches sind mindestens vierteljährlich zu bewerten.
2. Ebenfalls mindestens vierteljährlich ist ein Ergebnis für das Anlagebuch zu ermitteln.
3. Durch geeignete Maßnahmen ist sicherzustellen, dass Limitüberschreitungen aufgrund zwischenzeitlicher Veränderungen der Risikopositionen vermieden werden können.
4. Abhängig von Art, Umfang, Komplexität und Risikogehalt der Positionen im Anlagebuch kann auch eine tägliche, wöchentliche oder monatliche Bewertung, Ergebnisermittlung und Kommunikation der Risiken erforderlich sein.
5. Die Verfahren zur Beurteilung der Zinsänderungsrisiken des Anlagebuches müssen die wesentlichen Ausprägungen der Zinsänderungsrisiken erfassen.
6. Bei der Bestimmung der Zinsänderungsrisiken kann entweder auf die Auswirkungen von Zinsänderungen auf das handelsrechtliche Ergebnis des Instituts oder die Marktbeziehungsweise Barwerte der betroffenen Positionen abgestellt werden. Bei einer Bestimmung über die Auswirkungen auf das handelsrechtliche Ergebnis ist eine angemessene Betrachtung über den Bilanzstichtag hinaus erforderlich.
7. Hinsichtlich der Berücksichtigung von Positionen mit unbestimmter Kapital- oder Zinsbindung sind geeignete Annahmen festzulegen.
8. Institute, die wesentliche Zinsänderungsrisiken in verschiedenen Währungen eingegangen sind, müssen die Zinsänderungsrisiken in jeder dieser Währungen ermitteln.

BTR 3 Liquiditätsrisiken

BTR 3.1 Allgemeine Anforderungen

1. Das Institut hat sicherzustellen, dass es seine Zahlungsverpflichtungen jederzeit erfüllen kann. Dabei ist eine ausreichende Diversifikation, vor allem im Hinblick auf die Vermögens- und Kapitalstruktur, zu gewährleisten. Das Institut hat, soweit erforderlich, auch die Liquidität im Tagesverlauf sicherzustellen.
2. Das Institut hat zu gewährleisten, dass ein sich abzeichnender Liquiditätsengpass frühzeitig erkannt wird. Hierfür sind Verfahren einzurichten, deren Angemessenheit regelmäßig zu überprüfen ist. Auswirkungen anderer Risiken auf die Liquidität des Instituts (z. B. Reputationsrisiken) sind bei den Verfahren zu berücksichtigen.
3. Das Institut hat für einen geeigneten Zeitraum eine aussagekräftige Liquiditätsübersicht zu erstellen, in der die voraussichtlichen Mittelzuflüsse den voraussichtlichen Mittelabflüssen gegenübergestellt werden. Den auch in normalen Marktphasen üblichen Schwankungen der Zahlungsflüsse ist angemessen Rechnung zu tragen. Die Annahmen, die den Mittelzuflüssen und -abflüssen zugrunde liegen, sind festzulegen. Die Untergliederung in Zeitbänder muss geeignet sein, um auch die Entwicklung der kurzfristigen Liquiditätslage abzubilden.
4. Es ist laufend zu überprüfen, inwieweit das Institut, auch bei angespanntem Marktumfeld, in der Lage ist, einen auftretenden Liquiditätsbedarf zu decken. Dabei ist insbesondere auch auf den Liquiditätsgrad der Vermögenswerte abzustellen. Der dauerhafte Zugang zu den für das Institut relevanten Refinanzierungsquellen ist regelmäßig zu überprüfen. Für kurzfristig eintretende Verschlechterungen der Liquiditätssituation hat das Institut ausreichend bemessene, nachhaltige Liquiditätsreserven (z. B. hochliquide, unbelastete Vermögensgegenstände) vorzuhalten.
5. Das Institut hat ein geeignetes Verrechnungssystem zur verursachungsgerechten internen Verrechnung der jeweiligen Liquiditätskosten, -nutzen und –risiken einzurichten. Die Ausgestaltung des Verrechnungssystems ist abhängig von Art, Umfang, Komplexität und Risikogehalt der Geschäftsaktivitäten sowie der Refinanzierungsstruktur des Instituts. Das Verrechnungssystem ist von der Geschäftsleitung zu genehmigen.
6. Große Institute mit komplexen Geschäftsaktivitäten haben ein Liquiditätstransferpreissystem zur verursachungsgerechten internen Verrechnung der jeweiligen Liquiditätskosten, -nutzen und –risiken zu etablieren. Die ermittelten Transferpreise sind im Rahmen der Ertrags- und Risikosteuerung zu berücksichtigen, indem die Verrechnung möglichst auf Transaktionsebene erfolgt. Dies gilt für bilanzwirksame und außerbilanzielle Geschäftsaktivitäten. Die Aspekte Haltedauer und Marktliquidität der Vermögensgegenstände sind bei der Ermittlung der jeweiligen Transferpreise zu berücksichtigen. Für unsichere Zahlungsströme sind geeignete Annahmen zu treffen. Das Liquiditätstransferpreissystem hat auch die Kosten für vorzuhaltende Liquiditätsreserven zu verrechnen.
7. Die Verantwortung für die Entwicklung und Qualität sowie die regelmäßige Überprüfung des Liquiditätstransferpreissystems ist in einem vom Markt und Handel unabhängigen Bereich wahrzunehmen. Die jeweils gültigen Liquiditätstransferpreise sind den betroffenen Mitarbeitern transparent zu machen. Die Konsistenz der eingesetzten Liquiditätstransferpreissysteme innerhalb der Gruppe muss gewährleistet sein.
8. Für Liquiditätsrisiken sind regelmäßig angemessene Stresstests durchzuführen. Dabei sind sowohl institutseigene als auch marktweite Ursachen für Liquiditätsrisiken in die Betrachtung einzubeziehen. Das Institut hat die Stresstests individuell zu definieren. Dabei sind den Stresstests unterschiedlich lange Zeithorizonte zugrunde zu legen.
9. Das Institut hat festzulegen, welche Maßnahmen im Fall eines Liquiditätsengpasses ergriffen werden sollen (Notfallplan für Liquiditätsengpässe). Dazu gehört auch die Darstellung der in diesen Fällen zur Verfügung stehenden Liquiditätsquellen unter Berücksichtigung etwaiger Mindererlöse. Die im Fall eines Liquiditätsengpasses zu verwendenden Kommunikationswege sind festzulegen. Die geplanten Maßnahmen sind regelmäßig auf ihre Durchführbarkeit zu überprüfen und gegebenenfalls anzupassen. Die Ergebnisse der Stresstests sind dabei zu berücksichtigen.
10. Es ist zu überprüfen, inwieweit der Übertragung liquider Mittel und unbelasteter Vermögensgegenstände innerhalb der Gruppe gesellschaftsrechtliche, regulatorische und operationelle Restriktionen entgegenstehen.
11. Der Geschäftsleitung ist regelmäßig über die Liquiditätssituation, über die Ergebnisse der Stresstests sowie über wesentliche Änderungen des Notfallplans für Liquiditätsengpässe Bericht zu erstatten. Auf besondere Liquiditätsrisiken aus außerbilanziellen Gesellschaftskonstruktionen ist gesondert einzugehen.
12. Ein Institut, das wesentliche Liquiditätsrisiken in Fremdwährungen aufweist, hat zur Sicherstellung seiner Zahlungsverpflichtungen angemessene Verfahren zur Steuerung der Fremdwährungsliquidität in den wesentlichen Währungen zu implementieren. Hierzu gehören für die jeweiligen Währungen zumindest eine gesonderte Liquiditätsübersicht, gesonderte Fremdwährungsstresstests sowie eine explizite Berücksichtigung im Notfallplan für Liquiditätsengpässe.

BTR 3.2 Zusätzliche Anforderungen an kapitalmarktorientierte Institute

1. Das Institut muss in der Lage sein, den erforderlichen Refinanzierungsbedarf, der sich aus den institutsindividuellen Stressszenarien über den Zeithorizont von mindestens einem Monat ergibt, mit den nach BTR 3.1 Tz. 4 vorzuhaltenden Liquiditätsreserven zu überbrücken, die in BTR 3.2 Tz. 2 näher spezifiziert sind.
2. Zur Überbrückung des kurzfristigen Refinanzierungsbedarfs von mindestens einer Woche hat das Institut neben Geldmitteln hochliquide Vermögensgegenstände vorzuhalten, die jederzeit ohne signifikante Wertverluste in privaten Märkten liquidiert werden können und zentralbankfähig sind. Für den weiteren Refinanzierungsbedarf bis zum Ende des Zeithorizonts von mindestens einem Monat können andere Vermögensgegenstände als weitere Bestandteile der Liquiditätsreserven herangezogen werden, wenn diese ohne signifikante Wertverluste innerhalb des Zeithorizonts liquidiert werden können.

3. Das Institut hat Stressszenarien zu betrachten, nach denen auch die Liquiditätsreserven gemäß Tz. 1 zu bemessen sind. Im Rahmen der Stresstests sind zum einen Stressszenarien zu betrachten, die auf institutseigenen Ursachen beruhen. Zum anderen sind getrennt davon Stressszenarien zu betrachten, die auf marktweite Ursachen zurückzuführen sind. Darüber hinaus sind beide Aspekte kombiniert zu betrachten. Ein Szenario, das auf institutseigenen Ursachen beruht, hat auch eine signifikante Ratingverschlechterung abzubilden, bei der mindestens folgende Annahmen zu berücksichtigen sind:

   • Keine Verlängerung von unbesicherter Refinanzierung durch institutionelle Anleger mindestens innerhalb der ersten Woche des Stressszenarios;
   • Abzug eines Teils von Privatkundeneinlagen.
     
     Ferner sind für ein Szenario, das auf marktweiten Ursachen beruht, folgende Annahmen zu berücksichtigen:
     
     
   • Allgemeiner Kursverfall von marktgängigen Vermögensgegenständen, insbesondere Wertpapieren;
   • Allgemeine Verschlechterung der Refinanzierungsbedingungen.
     
     
4. Das Institut hat sicherzustellen, dass der Nutzung der Liquiditätsreserven keine rechtlichen, regulatorischen oder operationellen Restriktionen entgegenstehen. Die Diversifikation und die Aufteilung der Liquiditätsreserven auf verschiedene Jurisdiktionen müssen der Struktur und den Geschäftsaktivitäten des Instituts und der Gruppe entsprechen.

BTR 4 Operationelle Risiken

1. Das Institut hat den operationellen Risiken durch angemessene Maßnahmen Rechnung zu tragen.
2. Es muss gewährleistet sein, dass wesentliche operationelle Risiken zumindest jährlich identifiziert und beurteilt werden.
3. Bedeutende Schadensfälle sind unverzüglich hinsichtlich ihrer Ursachen zu analysieren.
4. Die Geschäftsleitung ist mindestens jährlich über bedeutende Schadensfälle und wesentliche operationelle Risiken zu unterrichten. Die Berichterstattung hat die Art des Schadens beziehungsweise Risikos, die Ursachen, das Ausmaß des Schadens beziehungsweise Risikos und gegebenenfalls bereits getroffene Gegenmaßnahmen zu umfassen.
5. Auf Basis der Berichterstattung ist zu entscheiden, ob und welche Maßnahmen zur Beseitigung der Ursachen zu treffen oder welche Risikosteuerungsmaßnahmen (z. B. Versicherungen, Ersatzverfahren, Neuausrichtung von Geschäftsaktivitäten, Katastrophenschutzmaßnahmen) zu ergreifen sind. Die Umsetzung der zu treffenden Maßnahmen ist zu überwachen.

BT 2 Besondere Anforderungen an die Ausgestaltung der Internen Revision

BT 2.1 Aufgaben der Internen Revision

1. Die Prüfungstätigkeit der Internen Revision hat sich auf der Grundlage eines risikoorientierten Prüfungsansatzes grundsätzlich auf alle Aktivitäten und Prozesse des Instituts zu erstrecken.
2. Die Interne Revision hat unter Wahrung ihrer Unabhängigkeit und unter Vermeidung von Interessenkonflikten bei wesentlichen Projekten begleitend tätig zu sein.
3. Im Fall wesentlicher Auslagerungen auf ein anderes Unternehmen kann die Interne Revision des Instituts auf eigene Prüfungshandlungen verzichten, sofern die anderweitig durchgeführte Revisionstätigkeit den Anforderungen in AT 4.4 und BT 2 genügt. Die Interne Revision des auslagernden Instituts hat sich von der Einhaltung dieser Voraussetzungen regelmäßig zu überzeugen. Die für das Institut relevanten Prüfungsergebnisse sind an die Interne Revision des auslagernden Instituts weiterzuleiten.

BT 2.2 Grundsätze für die Interne Revision

1. Die Interne Revision hat ihre Aufgaben selbständig und unabhängig wahrzunehmen. Insbesondere ist zu gewährleisten, dass sie bei der Berichterstattung und der Wertung der Prüfungsergebnisse keinen Weisungen unterworfen ist. Das Direktionsrecht der Geschäftsleitung zur Anordnung zusätzlicher Prüfungen steht der Selbständigkeit und Unabhängigkeit der Internen Revision nicht entgegen.
2. Die in der Internen Revision beschäftigten Mitarbeiter dürfen grundsätzlich nicht mit revisionsfremden Aufgaben betraut werden. Sie dürfen insbesondere keine Aufgaben wahrnehmen, die mit der Prüfungstätigkeit nicht im Einklang stehen. Soweit die Unabhängigkeit der Internen Revision gewährleistet ist, kann sie im Rahmen ihrer Aufgaben für die Geschäftsleitung oder andere Organisationseinheiten des Instituts beratend tätig sein.
3. Mitarbeiter, die in anderen Organisationseinheiten des Instituts beschäftigt sind, dürfen grundsätzlich nicht mit Aufgaben der Internen Revision betraut werden. Das schließt jedoch nicht aus, dass in begründeten Einzelfällen andere Mitarbeiter aufgrund ihres Spezialwissens zeitweise für die Interne Revision tätig werden.

BT 2.3 Prüfungsplanung und -durchführung

1. Die Tätigkeit der Internen Revision muss auf einem umfassenden und jährlich fortzuschreibenden Prüfungsplan basieren. Die Prüfungsplanung hat risikoorientiert zu erfolgen. Die Aktivitäten und Prozesse des Instituts sind, auch wenn diese ausgelagert sind, in angemessenen Abständen, grundsätzlich innerhalb von drei Jahren, zu prüfen. Wenn besondere Risiken bestehen, ist jährlich zu prüfen. Bei unter Risikogesichtspunkten nicht wesentlichen Aktivitäten und Prozessen kann vom dreijährigen Turnus abgewichen werden.
2. Die Prüfungsplanung, -methoden und -qualität sind regelmäßig und anlassbezogen zu überprüfen und weiterzuentwickeln.
3. Es muss sichergestellt sein, dass kurzfristig notwendige Sonderprüfungen, z. B. anlässlich deutlich gewordener Mängel oder bestimmter Informationsbedürfnisse, jederzeit durchgeführt werden können.
4. Die Prüfungsplanung sowie wesentliche Anpassungen sind von der Geschäftsleitung zu genehmigen.

BT 2.4 Berichtspflicht

1. Über jede Prüfung muss von der Internen Revision zeitnah ein schriftlicher Bericht angefertigt und grundsätzlich den fachlich zuständigen Mitgliedern der Geschäftsleitung vorgelegt werden. Der Bericht muss insbesondere eine Darstellung des Prüfungsgegenstandes und der Prüfungsfeststellungen, gegebenenfalls einschließlich der vorgesehenen Maßnahmen, enthalten. Wesentliche Mängel sind besonders herauszustellen. Dabei sind die Prüfungsergebnisse zu beurteilen. Bei schwerwiegenden Mängeln muss der Bericht unverzüglich der Geschäftsleitung vorgelegt werden.
2. Die Prüfungen sind durch Arbeitsunterlagen zu dokumentieren. Aus ihnen müssen die durchgeführten Arbeiten sowie die festgestellten Mängel und Schlussfolgerungen für sachkundige Dritte nachvollziehbar hervorgehen.
3. Besteht hinsichtlich der zur Erledigung der Feststellungen zu ergreifenden Maßnahmen keine Einigkeit zwischen geprüfter Organisationseinheit und Interner Revision, so ist von der geprüften Organisationseinheit eine Stellungnahme hierzu abzugeben.
4. Die Interne Revision hat zeitnah einen Gesamtbericht über die von ihr im Laufe des Geschäftsjahres durchgeführten Prüfungen zu verfassen und zeitnah der Geschäftsleitung vorzulegen. Der Gesamtbericht muss über die wesentlichen Mängel und die ergriffenen Maßnahmen informieren. Es ist ferner darzulegen, ob und inwieweit die Vorgaben des Prüfungsplans eingehalten wurden.
5. Ergeben sich im Rahmen der Prüfungen schwerwiegende Feststellungen gegen Geschäftsleiter, so ist der Geschäftsleitung unverzüglich Bericht zu erstatten. Diese hat unverzüglich den Vorsitzenden des Aufsichtsorgans sowie die Aufsichtsinstitutionen (Bundesanstalt für Finanzdienstleistungsaufsicht, Deutsche Bundesbank) zu informieren. Kommt die Geschäftsleitung ihrer Berichtspflicht nicht nach oder beschließt sie keine sachgerechten Maßnahmen, so hat die Interne Revision den Vorsitzenden des Aufsichtsorgans zu unterrichten.
6. Die Geschäftsleitung hat das Aufsichtsorgan mindestens einmal jährlich über die von der Internen Revision festgestellten schwerwiegenden sowie über die noch nicht behobenen wesentlichen Mängel in inhaltlich prägnanter Form zu unterrichten. Die aufgedeckten schwerwiegenden Mängel, die beschlossenen Maßnahmen zu deren Behebung sowie die Umsetzung der Maßnahmen sind dabei besonders hervorzuheben. Über besonders schwerwiegende Mängel ist das Aufsichtsorgan unverzüglich durch die Geschäftsleitung in Kenntnis zu setzen.
7. Revisionsberichte und Arbeitsunterlagen sind sechs Jahre aufzubewahren.

BT 2.5 Reaktion auf festgestellte Mängel

1. Die Interne Revision hat die fristgerechte Beseitigung der bei der Prüfung festgestellten Mängel in geeigneter Form zu überwachen. Gegebenenfalls ist hierzu eine Nachschauprüfung anzusetzen.
2. Werden die wesentlichen Mängel nicht in einer angemessenen Zeit beseitigt, so hat der Leiter der Internen Revision darüber zunächst den fachlich zuständigen Geschäftsleiter schriftlich zu informieren. Erfolgt die Mängelbeseitigung nicht, so ist die Geschäftsleitung spätestens im Rahmen des nächsten Gesamtberichts schriftlich über die noch nicht beseitigten Mängel zu unterrichten.