Finanzdienstleister – Regulatorik

von Rodica Blei und Claus Huth

Die Bundesregierung hat am 16.12.2020 den Entwurf eines Gesetzes zur Umsetzung der Richtlinie (EU) 2019/2034 über die Beaufsichtigung von Wertpapierinstituten (WpIG) beschlossen. Das Gesetz ist zwischenzeitlich vom Bundestag verabschiedet worden und am 26.06.2021 in Kraft getreten. 

Pragmatisch betrachtet sollten umgesetzte Compliance Management Systembestandteile in ihren Ausführungen sowie ihrer Umsetzung in regelmäßigen Zeitabständen, schlechtesten Falls mindestens einmal im Geschäftsjahr, hinterfragt werden.

Als Basisverständnismodel hierfür eignet sich das so genannte „Three Line of Defense-Model“ (TLoD) welches aus dem Risikomanagement hervorgegangen ist und mittlerweile als gängige Methode angesehen wird. Das Modell dient im Wesentlichen dazu Risiken, die in einer Organisation oder einem Unternehmen auftreten können systematisch aufzuarbeiten. Das TLoD-Modell hat gegenüber anderen Modellen den wesentlichen Vorteil, dass es in Bezug auf Unternehmensgröße oder -struktur nicht gebunden ist oder an Komplexitäts- und damit durchgängige Umsetzungsgrenzen stößt.

Die neue Leitlinie „EBA/GL/2019/02 zu Auslagerungen“ ist im Februar 2019 erschienen. Sie löst die bestehenden Richtlinien Committee of European Banking Supervisors (CEBS) zum Outsourcing vom 14. Dezember 2006 und die Empfehlungen der EBA zum Outsourcing an Cloud-Dienstleister ab. Die Leitlinie trat zum 30.09.2019 in Kraft und umfasst alle zu diesem Datum und danach geschlossenen, zur Prüfung und zur Änderung finalisierten externen Dienstleistungen. Darüber hinaus müssen bereits bestehende Auslagerungsvereinbarungen neu verifiziert und an die neuen Anforderungen angepasst werden. Je nach Einzelfall kann auf Basis der angegebenen Übergangsregelung eine Umsetzung mit der Deadline zum 31.12.2021 erfolgen.

Am 29. März 2019 sollte Großbritannien im Zuge der Brexit-Abstimmung die Europäische Union verlassen. Zwei Jahre zuvor leitete Theresa May, britische Premierministerin, das Austrittsersuchen Großbritanniens an die EU weiter. Geplant war in dem zweijährigen Übergangszeitraum, die Modalitäten zwischen Großbritannien und der EU zum Austritt zu klären und Abkommen und Vorkehrungen für einen geordneten Brexit zu treffen. In den letzten Tagen und Wochen wurde um Verlängerung des Austrittszeitraums bis Ende Juni 2019 gebeten, was die schwierigen Verhandlungen zum Austritt widerspiegelt. Seitens der anderen europäischen Mitgliedsstaaten stehen die Anzeichen zu einer Fristverlängerung gut, sofern sich das britische Parlament dazu bereit erklärt, die Austrittsforderungen der EU zu akzeptieren. Ob es sich jedoch dazu durchringen kann, bleibt auf Grund der heftigen Gegenwehr zu Eingeständnissen an die EU – wie die letzten Tage und Wochen gezeigt haben – abzuwarten.

Sollte es zu keiner Einigung kommen, steht ein „harter“ Brexit bevor, also ein Austritt Großbritanniens ohne weitere Abkommen oder sonstige Austrittsmodalitäten – das bisher denkbarste „Worst-Case“-Szenario, wie es treffend umschrieben wird. Zwar betonen die anderen Mitgliedsstaaten und Deutschland, auf einen „harten“ Brexit vorbereitet zu sein und Vorkehrungen zu treffen; wie die Folgen genau aussehen, bleibt bisher jedoch offen.

Die EBA-Leitlinien zu den „Sicherheitsmaßnahmen bezüglich der operationellen und sicherheitsrelevanten Risiken von Zahlungsdiensten gemäß der Richtlinie (EU) 2015/2366 (PSD2)“ werden in die „Guidelines on ICT and security risk management“ integriert (ICT = information and communication technology; zu deutsch: IKT).

Ziel der Leitlinien ist es, dass Finanzinstitute sich mit den immer relevanter werdenden IKT-Risiken inklusive der Sicherheitsrisiken auseinandersetzen und diese ordnungsgemäß managen. Darüber hinaus dienen sie einem Verständnis darüber, welche Erwartung an die Überwachung dieser Risiken gestellt wird.

Während die ursprüngliche Version EBA GL 2017/17 den Fokus auf Zahlungsdienste gelegt hatte, adressieren die neuen Leitlinien weitere Aktivitäten von Instituten. Auch wenn sich derzeit die neuen Leitlinien noch in der Konsultationsphase befinden, so zeichnet sich im Vergleich folgendes Bild ab:

Ziele, Zusammenfassung und Übersicht der Themen und mögliche Arbeitspakete für PSD-2-Projekte

Das Rundschreiben 4/2015 (BA) der BaFin – Mindestanforderungen an die Sicherheit von Internetzahlungen (kurz MaSI) – gilt als Vorbereitung auf die PSD-II-Zahlungsdiensterichtlinie (Directive on Payment Services). Während die MaSI einen starken Fokus auf die Sicherheit von Internetzahlungen gelegt hat, reguliert PSD II den grundsätzlichen Zahlungsverkehr. Das spannendste Thema ist dabei sicherlich die Einbindung innovativer Marktteilnehmer und die Verpflichtung für Zahlungsdienstleister, sich gegenüber „Third Party Providers“ (TPPs) in Form von geeigneten Schnittstellen zu öffnen. Dazu zählen die Kontoinformationsdienste („Account Information Services“, kurz AIS) oder die Zahlungsauslösedienstleister („Payment Initiation Services“, kurz PIS).

In vielen Organisationen werden Daten zur Unternehmenssteuerung häufig in Tabellenkalkulationsprogrammen, wie z.B. Microsoft Excel, aufbereitet und dokumentiert. Die Flexibilität des Werkzeugs ist zugleich sein größtes Risiko. "Spreadsheet Risks" sind eine große Fehlerquelle in Unternehmen. Eine Dokumentation und wirksame "Spreadsheet Controls" sind oft kaum umsetzbar. Eine Vielzahl von Office-Dateien ist kaum bekannt und damit nur schwer kontrollierbar. Was für alle Unternehmen gleichermaßen zutrifft, ist im Finanzdienstleistungssektor Bestandteil der Regulierung. Eine der größten Herausforderungen für die Institute ist die gezielte Umsetzung der Mindestanforderungen an das Risikomanagement für Banken (MaRisk BA).

Denn: Die verbindliche Vorgabe der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) fordert für die Ausgestaltung des Risikomanagements zur Einhaltung von Compliance-Richtlinien in Kreditinstituten, die Einrichtung angemessener institutsinterner Leistungs-, Steuerungs- und Kontrollprozesse. Zudem wird die Sicherstellung der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit von Daten verlangt. Finanzdienstleister stehen daher nach wie vor vor der Aufgabe, sich einen Überblick über die wesentlichen Excel-Dateien in ihrem Hause zu verschaffen und diese, ebenso wie die dazugehörigen Prozesse, auch entsprechend zu dokumentieren.

Im Rundschreiben 5/2010 vom 30. Juni 2010 hat das BaFin die Mindestanforderungen an das Risikomanagement für Investmentgesellschaften (InvMaRisk) veröffentlicht.

Nicht nur durch die MaComp (Mindestanforderungen an Compliance und die weiteren Ver­haltens-, Organisations- und Transparenzpflichten nach §§ 31 ff. WpHG), veröffentlicht im Rundschreiben 4/2010 vom 7. Juni 2010, stellen eine Verschärfung der Anforderungen an die Compliance bei Banken dar.

Nachdem das BaFin in seinem Rundschreiben 15/2009(BA) vom 14.08.2009 die Mindestan­forderungen an das Risikomanagement [MaRisk (BA)] von Banken (konkretisiert die Maßnahmen im Zusammenhang mit § 25 a KWG) und im Rundschreiben 03/2009 (VA) vom 22. Januar 2009 die aufsichtsrechtlichen Mindestanforderungen an das Risikomanagement [MaRisk (VA)] von Versicherungen (konkretisiert die Maßnahmen im Zusammenhang mit dem 2008 in Kraft getretenen § 64a VAG) veröffentlichte, wurden jetzt die InvMaRisk ver­abschiedet, welche die Forderungen des § 9a InvG in zwölf Punkten konkretisieren. Legt man die drei hier benannten Standards nebeneinander und vergleicht diese, so lassen sich überschneidende Bereiche sehr schnell identifizieren.