Die Änderungen an den neuen MaRisk sind geprägt von den Erkenntnissen, die wir aus der Finanzmarktkrise gewonnen haben. Dabei sind nicht nur Schlussfolgerungen internationaler Gremien, wie Financial Stability Board (FSB) oder Committee of European Banking Supervisors (CEBS), verarbeitet worden. Mit einigen neuen oder veränderten Regeln, wie etwa den Anforderungen zu Risikokonzentrationen, zum Gruppenrisikomanagement oder auch zu internen Handelsgeschäften, hat die BaFin auch eigene Schwerpunkte gesetzt.
Die Finanzmarktkrise hat mehr als deutlich gemacht, dass die Qualität des Risikomanagements und ein durchsetzungsfähiger Chief Risk Officer von entscheidender Bedeutung für das Wohlergehen des Instituts sind. Und weltweit haben wir lernen müssen, dass bei den Instituten in diesem so wichtigen Bereich noch einiges verbessert werden muss. Der im April 2008 veröffentlichte Bericht des FSB hat die identifizierten Schwächen auf den Punkt gebracht: mangelhaftes Liquiditätsrisikomanagement, blindes Vertrauen auf Rating-Einstufungen und unzureichendes Management bilanzunwirksamer Geschäfte, Schwächen in der Steuerung und Überwachung gesamtgeschäftsbezogener Risiken und Risikokonzentrationen, lasche Stresstesting-Programme oder auch Vergütungssysteme, die den Boden für das exzessive Eingehen von Risikopositionen bereitet haben; mit der Folge, dass die eingegangenen Risiken in einem krassen Missverhältnis zur vorhandenen Risikodeckungsmasse standen.
Mit den MaRisk konnten wir schon mit einem umfassenden qualitativen Rahmenwerk für die Ausgestaltung des bankinternen Risikomanagements aufwarten. An einigen Stellen war allerdings eine Schärfung und Erweiterung der Anforderungen erforderlich. Dies betrifft in erster Linie die Themenkomplexe Liquiditätsrisiken, Risikokonzentrationen, Gruppenrisikomanagement, Stresstests und Vergütungssysteme. Komplett neue Anforderungen enthalten die neugefassten MaRisk für das Thema Vergütungs- und Anreizsysteme. Dass diese durch das Setzen falscher Anreize ihren Beitrag zur Krise geleistet haben, ist nicht von der Hand zu weisen. Nicht umsonst haben internationale Gremien wie CEBS mit der Veröffentlichung von "Guidelines" zu deren Ausgestaltung reagiert. Eine Verankerung in der Capital Requirements Directive (CRD) wird demnächst folgen.
Inhaltlich haben wir die Anforderungen an die Ausgestaltung der Vergütungsysteme nach allgemeinen und besonderen Anforderungen differenziert. Die allgemeinen Anforderungen beinhalten etwa, dass die Vergütungssysteme mit den in den Strategien niedergelegten Zielen im Einklang stehen müssen und so ausgestaltet sind, dass schädliche Anreize vermieden werden. Die besonderen Anforderungen gelten hingegen nur für Vorstände und Mitarbeiter, die erhebliche Risikopositionen begründen können, also echte "Risk Taker". Im Fokus steht hier der variable Teil der Vergütung. So soll sich die variable Vergütung nicht nur am Erfolg der jeweiligen Organisationseinheit, sondern auch am Gesamterfolg des Unternehmens orientieren. Darüber hinaus ist der Messzeitraum und der Leistungszeitraum für die variable Vergütung hinreichend langfristig zu gestalten. Sollte sich also ein Geschäftsabschluss als unter Risikogesichtspunkten als nicht vertretbar erweisen, haben die betroffenen Mitarbeiter ihren Bonus teilweise oder sogar ganz zurückzuzahlen.
Da hier der Teufel im Detail liegt, werden wir uns in diesem Bereich an die Materie heranarbeiten. Das Thema Vergütungsanreize wird in der nächsten Sitzung des Fachgremiums MaRisk anhand von Praxisbeispielen intensiv mit der Industrie diskutiert.
Stärker als bisher werden auch Risikokonzentrationen in den MaRisk adressiert. Ziel ist es, dass die Institute sich intensiv mit der Frage auseinandersetzen, welchen Verlustgefahren sie aufgrund von Risikokonzentrationen ausgesetzt sind, und diese Konzentrationen angemessen in ihrem Risikomanagement berücksichtigen. Dies schließt Ertragskonzentrationen ausdrücklich mit ein, denn Institute, deren Erträge sich nur auf wenige Bereiche konzentrieren, reagieren deutlich anfälliger gegen Veränderungen des Marktumfelds. Den Schwerpunkt der neuen Anforderungen haben wir auf die Adressen- und Sektorkonzentrationen gelegt. Diese sind mit Hilfe geeigneter Verfahren zu steuern und zu überwachen, zum Beispiel durch Branchenlimite oder auch mit sogenannten "Ampelsystemen" und sonstigen Vorkehrungen.
Dass die Anforderungen an das Liquiditätsrisikomanagement deutlich umfangreicher geworden sind, versteht sich von selbst. Wenn man sich allein den Anhang V zu Artikel 22 der CRD anschaut, wird man feststellen, welch hohen Stellenwert diesem Bereich eingeräumt wird. Dies schlägt sich natürlich auch in den MaRisk nieder. So müssen die Institute gewährleisten, dass ein sich abzeichnender Liquiditätsengpass frühzeitig erkannt wird, dass
also Frühwarnverfahren einzurichten sind. Auch die Anforderungen an Stresstests in diesem Bereich sind deutlich anspruchsvoller geworden, wobei die erhöhten Anforderungen ausdrücklich an kapitalmarktorientierte Institute adressiert sind. Durch entsprechende Öffnungsklauseln stellen wir sicher, dass auch für kleinere Institute eine Umsetzung der neuen Anforderungen ohne unverhältnismäßigen Aufwand möglich ist.
Weitere Anpassungen haben wir beim Gruppenrisikomanagement und bei den Stresstests vorgenommen. Die Anforderungen an das Gruppenrisikomanagement nach § 25a Abs. 1a KWG werden nunmehr in einem neuen Modul AT 4.5 konkretisiert. Auf Gruppenebene hat das übergeordnete Unternehmen künftig Strategien, Risikotragfähigkeitsbetrachtungen, prozessuale Vorgaben, Risikosteuerungs- und -controllingprozesse sowie eine Konzernrevision für die Gruppe einzurichten, wobei die Ausgestaltung von Art, Umfang, Komplexität und Risikogehalt der von der Gruppe betriebenen Geschäfte abhängt. Dabei sind alle wesentlichen Risiken der Gruppe zu berücksichtigen, unabhängig davon, ob dies konsolidierungspflichtige Unternehmen oder zum Beispiel auch Zweckgesellschaften betrifft. Bei den Stresstests erwartet die Aufsicht etwa, dass nicht nur historische, sondern auch hypothetische Szenarien betrachtet werden. Zudem sollen die Ergebnisse der Stresstests beim Risikotragfähigkeitskonzept kritisch reflektiert werden. Damit wollen wir verhindern, dass Stresstests nur als "Schaulaufen" für die Aufsicht betrachtet werden. Die Institute sollen aus den Ergebnissen echte Schlüsse für ihre Risikosteuerung und -überwachung ziehen.
Alles in allem bin ich mit den Neuerungen sehr zufrieden; wir haben die Grundstruktur der MaRisk beibehalten, sie sind weiterhin prinzipienorientiert ausgerichtet, um so ständig mit den sich verändernden Marktverhältnissen und Institutsstrukturen mithalten zu können. Gleichzeitig sind die Anforderungen in vielen Bereichen aber konkretisiert worden und bieten damit nicht nur für die Institute eine Orientierung. Die neuen MaRisk bieten zusammen mit den neuen Eingriffsbefugnissen vielmehr auch für die BaFin eine Basis, bei Schwächen im Risikomanagement aufsichtlich vorgehen zu können.