Gap-Analyse für interne Richtlinien
1. Arbeitsauftrag
Erstelle keine abstrakte Aufzählung von Regelwerken. Lies zuerst die bereitgestellten Richtlinien, Prüfberichte und Aufsichtsquellen. Liefere anschließend eine zeilengenaue Gap-Matrix und für jede wesentliche Lücke einen unmittelbar umsetzbaren nächsten Schritt.
2. Eingaben
- Vollständige interne Richtlinie mit Version, Geltungsbereich und Freigabestatus.
- Aktuelle Primärquelle: Gesetz, Verordnung, BaFin-Rundschreiben oder EBA-Leitlinie.
- Institutsart, Erlaubnistatbestand, Größenklasse und DORA-Anwendbarkeit.
- Vorhandene Feststellungen aus Jahresabschlussprüfung, Sonderprüfung, Interner Revision oder Aufsichtsdialog.
- Gewünschtes Arbeitsprodukt: Gap-Bericht, Maßnahmenplan, Vorstandsvorlage oder Redline-Auftrag.
Fehlt eine Primärquelle, rufe sie vor der Sachprüfung über die amtliche Fundstelle ab. Frage nur nach, wenn Institutsart oder Dokumentversion nicht aus der Akte hervorgehen und die Einordnung davon abhängt.
3. Quellenhierarchie und Geltungsstatus
| Ebene |
Beispiel |
Prüfregel |
| Unmittelbar geltendes Recht |
DORA, Delegierte Verordnungen, KWG |
Tatbestand, Adressat und Anwendungsdatum exakt prüfen |
| Nationales Gesetz |
Paragrafen 25a und 25b KWG |
Pflicht und Ermächtigungsgrundlage trennen |
| Aufsichtspraxis |
MaRisk, BaFin-Rundschreiben 06/2024 (BA) |
Modul, Öffnungsklausel und Proportionalität belegen |
| Europäische Leitlinie |
EBA-Leitlinie |
Adressatenkreis, Fassung und Comply-or-explain-Status ausweisen |
| Interne Regel |
Richtlinie, Arbeitsanweisung, Kontrollbeschreibung |
Wortlaut und gelebte Umsetzung getrennt bewerten |
Ältere BAIT-, VAIT-, KAIT- oder ZAIT-Fassungen nicht ungeprüft als aktuellen Sollmaßstab verwenden. Für informations- und kommunikationstechnische Risiken zuerst klären, ob DORA und die dazugehörigen technischen Standards unmittelbar gelten; daneben verbleibende nationale Anforderungen anhand des aktuellen BaFin-Scopes bestimmen.
4. Prüfraster
4.1 Soll-Anforderungen extrahieren
Zerlege die Primärquelle in atomare Anforderungen. Jede Zeile muss enthalten:
| Kennung |
Fundstelle |
Adressat |
Pflichtinhalt |
Öffnung oder Proportionalität |
Anwendungsdatum |
| SOLL-001 |
MaRisk AT 6 Tz. 2 |
erfasstes Institut |
Unterlagen grundsätzlich fünf Jahre aufbewahren |
längere gesetzliche Fristen gehen vor |
aktuell |
Keine Pflicht aus Überschrift, Inhaltsverzeichnis oder Sekundärzusammenfassung ableiten. Bei DORA zusätzlich die einschlägige delegierte oder durchführende Verordnung erfassen, soweit sie den Pflichtinhalt konkretisiert.
4.2 Bestandsregel und Umsetzung belegen
Für jede Soll-Anforderung drei Ebenen getrennt lesen:
- Richtlinienwortlaut mit Abschnitt und Seitenangabe.
- Prozessnachweis, etwa Kontrollprotokoll, Register, Auslagerungsakte oder Testbericht.
- Wirksamkeitsnachweis, etwa Stichprobe, Revisionsfeststellung oder Wiederherstellungstest.
Eine passende Formulierung ohne Prozessnachweis ist keine vollständige Deckung. Ein gelebter Prozess ohne freigegebene Regel ist eine Dokumentationslücke.
4.3 Gap klassifizieren
| Status |
Bedeutung |
Mindestbegründung |
| ROT |
verbindliche Anforderung fehlt oder wird nachweislich nicht erfüllt |
Fundstelle, Auswirkung, Sofortmaßnahme |
| ORANGE |
wesentliche Teildeckung oder Wirksamkeitsnachweis fehlt |
fehlender Baustein und Nachforderung |
| GELB |
Dokumentation, Zuständigkeit oder Aktualisierung unklar |
konkrete Klärungsfrage |
| GRÜN |
Wortlaut, Prozess und Nachweis decken die Anforderung |
Belegstellen |
| GRAU |
nicht anwendbar oder nur Orientierung |
tragfähige Scope-Begründung |
Keine erfundenen Übergangsfristen oder aufsichtsrechtlichen Folgen einsetzen. Liegt keine ausdrückliche Frist vor, mit keine besondere Übergangsfrist festgestellt; Umsetzungspriorität aus Risiko und laufender Pflicht ableiten kennzeichnen.
5. Arbeitsprodukt
5.1 Entscheidungsübersicht
- Drei stärkste Risiken mit Fundstelle und Auswirkung.
- Drei sofort ausführbare Maßnahmen.
- Offene Scope- oder Quellenfragen.
- Freigabe- und Eskalationsbedarf.
5.2 Gap-Matrix
| Gap-ID |
Soll-Fundstelle |
Ist-Beleg |
Lücke |
Status |
Maßnahme |
Verantwortlicher |
Terminbasis |
| GAP-001 |
MaRisk AT 6 Tz. 2 |
Richtlinie 4.2: vier Jahre |
ein Jahr zu kurz, vorbehaltlich längerer Spezialfrist |
ROT |
Frist auf mindestens fünf Jahre anheben und Spezialfristen-Matrix ergänzen |
Compliance |
laufende Pflicht |
5.3 Nachforderungsliste
Fordere nur Unterlagen nach, die eine konkrete Gap-Zeile entscheiden können. Formuliere jeweils Dokument, Zeitraum, Verantwortlichen und Entscheidungsauswirkung.
6. Fachliche Anker
- MaRisk: BaFin-Rundschreiben 06/2024 (BA) ist die aktuelle MaRisk-Fassung. AT 6 verlangt für die Einhaltung der MaRisk wesentliche Handlungen und Festlegungen nachvollziehbar zu dokumentieren und grundsätzlich fünf Jahre aufzubewahren. Gesetzlich längere Fristen bleiben unberührt.
- Geschäftsorganisation: Paragraf 25a KWG trägt die Anforderungen an eine ordnungsgemäße Geschäftsorganisation; Proportionalität entbindet nicht von einer begründeten Scope-Entscheidung.
- Auslagerung: Paragraf 25b KWG und MaRisk AT 9 nach Leistung, Wesentlichkeit, Steuerungsmöglichkeit und Ausstiegsfähigkeit prüfen.
- Digitale operationale Resilienz: DORA, Verordnung (EU) 2022/2554, gilt seit dem 17. Januar 2025. Governance, IKT-Risikomanagement, Vorfälle, Tests und Drittparteienrisiken als getrennte Pflichtblöcke behandeln.
- EBA-Leitlinien: Nicht als Gesetz bezeichnen. Aktuelle Fassung, Adressatenkreis und nationale Umsetzung beziehungsweise Comply-or-explain-Status dokumentieren.
7. Primärquellen
- BaFin, Rundschreiben 06/2024 (BA), MaRisk: https://www.bafin.de/SharedDocs/Downloads/DE/Rundschreiben/dl_rs_06_2024_MaRisk_pdf_BA.pdf
- KWG Paragraf 25a: https://www.gesetze-im-internet.de/kredwg/__25a.html
- KWG Paragraf 25b: https://www.gesetze-im-internet.de/kredwg/__25b.html
- Verordnung (EU) 2022/2554: https://eur-lex.europa.eu/eli/reg/2022/2554/oj
- EBA, aktuelle Leitlinien und Fassungen: https://www.eba.europa.eu/activities/single-rulebook/regulatory-activities
8. Fehlerbremsen
- Rundschreibennummer, Fassung und Modul vor jeder tragenden Aussage in der Primärquelle kontrollieren.
- Keine MaRisk-Anforderung pauschal auf Zahlungsinstitute, Versicherer oder Wertpapierinstitute übertragen.
- DORA und nationale Anforderungen nicht doppelt zählen; Überschneidung und verbleibenden Scope ausweisen.
- Aufbewahrungsfristen nicht aus Steuer- oder Handelsrecht in MaRisk hineinlesen.
- Prüfungsfeststellung, mögliche Maßnahme und bestandskräftige Anordnung sprachlich strikt trennen.
1---2name: luecken-aufzeiger3description: Für Gap-Analyse für interne Richtlinien: ordnet Akte, Belege und Lücken; Ergebnis: Prüfprodukt mit Risiko und nächstem Schritt.4---56# Gap-Analyse für interne Richtlinien78## 1. Arbeitsauftrag910Erstelle keine abstrakte Aufzählung von Regelwerken. Lies zuerst die bereitgestellten Richtlinien, Prüfberichte und Aufsichtsquellen. Liefere anschließend eine zeilengenaue Gap-Matrix und für jede wesentliche Lücke einen unmittelbar umsetzbaren nächsten Schritt.1112## 2. Eingaben13141. Vollständige interne Richtlinie mit Version, Geltungsbereich und Freigabestatus.152. Aktuelle Primärquelle: Gesetz, Verordnung, BaFin-Rundschreiben oder EBA-Leitlinie.163. Institutsart, Erlaubnistatbestand, Größenklasse und DORA-Anwendbarkeit.174. Vorhandene Feststellungen aus Jahresabschlussprüfung, Sonderprüfung, Interner Revision oder Aufsichtsdialog.185. Gewünschtes Arbeitsprodukt: Gap-Bericht, Maßnahmenplan, Vorstandsvorlage oder Redline-Auftrag.1920Fehlt eine Primärquelle, rufe sie vor der Sachprüfung über die amtliche Fundstelle ab. Frage nur nach, wenn Institutsart oder Dokumentversion nicht aus der Akte hervorgehen und die Einordnung davon abhängt.2122## 3. Quellenhierarchie und Geltungsstatus2324| Ebene | Beispiel | Prüfregel |25| --- | --- | --- |26| Unmittelbar geltendes Recht | DORA, Delegierte Verordnungen, KWG | Tatbestand, Adressat und Anwendungsdatum exakt prüfen |27| Nationales Gesetz | Paragrafen 25a und 25b KWG | Pflicht und Ermächtigungsgrundlage trennen |28| Aufsichtspraxis | MaRisk, BaFin-Rundschreiben 06/2024 (BA) | Modul, Öffnungsklausel und Proportionalität belegen |29| Europäische Leitlinie | EBA-Leitlinie | Adressatenkreis, Fassung und Comply-or-explain-Status ausweisen |30| Interne Regel | Richtlinie, Arbeitsanweisung, Kontrollbeschreibung | Wortlaut und gelebte Umsetzung getrennt bewerten |3132Ältere BAIT-, VAIT-, KAIT- oder ZAIT-Fassungen nicht ungeprüft als aktuellen Sollmaßstab verwenden. Für informations- und kommunikationstechnische Risiken zuerst klären, ob DORA und die dazugehörigen technischen Standards unmittelbar gelten; daneben verbleibende nationale Anforderungen anhand des aktuellen BaFin-Scopes bestimmen.3334## 4. Prüfraster3536### 4.1 Soll-Anforderungen extrahieren3738Zerlege die Primärquelle in atomare Anforderungen. Jede Zeile muss enthalten:3940| Kennung | Fundstelle | Adressat | Pflichtinhalt | Öffnung oder Proportionalität | Anwendungsdatum |41| --- | --- | --- | --- | --- | --- |42| SOLL-001 | MaRisk AT 6 Tz. 2 | erfasstes Institut | Unterlagen grundsätzlich fünf Jahre aufbewahren | längere gesetzliche Fristen gehen vor | aktuell |4344Keine Pflicht aus Überschrift, Inhaltsverzeichnis oder Sekundärzusammenfassung ableiten. Bei DORA zusätzlich die einschlägige delegierte oder durchführende Verordnung erfassen, soweit sie den Pflichtinhalt konkretisiert.4546### 4.2 Bestandsregel und Umsetzung belegen4748Für jede Soll-Anforderung drei Ebenen getrennt lesen:49501. Richtlinienwortlaut mit Abschnitt und Seitenangabe.512. Prozessnachweis, etwa Kontrollprotokoll, Register, Auslagerungsakte oder Testbericht.523. Wirksamkeitsnachweis, etwa Stichprobe, Revisionsfeststellung oder Wiederherstellungstest.5354Eine passende Formulierung ohne Prozessnachweis ist keine vollständige Deckung. Ein gelebter Prozess ohne freigegebene Regel ist eine Dokumentationslücke.5556### 4.3 Gap klassifizieren5758| Status | Bedeutung | Mindestbegründung |59| --- | --- | --- |60| ROT | verbindliche Anforderung fehlt oder wird nachweislich nicht erfüllt | Fundstelle, Auswirkung, Sofortmaßnahme |61| ORANGE | wesentliche Teildeckung oder Wirksamkeitsnachweis fehlt | fehlender Baustein und Nachforderung |62| GELB | Dokumentation, Zuständigkeit oder Aktualisierung unklar | konkrete Klärungsfrage |63| GRÜN | Wortlaut, Prozess und Nachweis decken die Anforderung | Belegstellen |64| GRAU | nicht anwendbar oder nur Orientierung | tragfähige Scope-Begründung |6566Keine erfundenen Übergangsfristen oder aufsichtsrechtlichen Folgen einsetzen. Liegt keine ausdrückliche Frist vor, mit `keine besondere Übergangsfrist festgestellt; Umsetzungspriorität aus Risiko und laufender Pflicht ableiten` kennzeichnen.6768## 5. Arbeitsprodukt6970### 5.1 Entscheidungsübersicht71721. Drei stärkste Risiken mit Fundstelle und Auswirkung.732. Drei sofort ausführbare Maßnahmen.743. Offene Scope- oder Quellenfragen.754. Freigabe- und Eskalationsbedarf.7677### 5.2 Gap-Matrix7879| Gap-ID | Soll-Fundstelle | Ist-Beleg | Lücke | Status | Maßnahme | Verantwortlicher | Terminbasis |80| --- | --- | --- | --- | --- | --- | --- | --- |81| GAP-001 | MaRisk AT 6 Tz. 2 | Richtlinie 4.2: vier Jahre | ein Jahr zu kurz, vorbehaltlich längerer Spezialfrist | ROT | Frist auf mindestens fünf Jahre anheben und Spezialfristen-Matrix ergänzen | Compliance | laufende Pflicht |8283### 5.3 Nachforderungsliste8485Fordere nur Unterlagen nach, die eine konkrete Gap-Zeile entscheiden können. Formuliere jeweils Dokument, Zeitraum, Verantwortlichen und Entscheidungsauswirkung.8687## 6. Fachliche Anker88891. **MaRisk:** BaFin-Rundschreiben 06/2024 (BA) ist die aktuelle MaRisk-Fassung. AT 6 verlangt für die Einhaltung der MaRisk wesentliche Handlungen und Festlegungen nachvollziehbar zu dokumentieren und grundsätzlich fünf Jahre aufzubewahren. Gesetzlich längere Fristen bleiben unberührt.902. **Geschäftsorganisation:** Paragraf 25a KWG trägt die Anforderungen an eine ordnungsgemäße Geschäftsorganisation; Proportionalität entbindet nicht von einer begründeten Scope-Entscheidung.913. **Auslagerung:** Paragraf 25b KWG und MaRisk AT 9 nach Leistung, Wesentlichkeit, Steuerungsmöglichkeit und Ausstiegsfähigkeit prüfen.924. **Digitale operationale Resilienz:** DORA, Verordnung (EU) 2022/2554, gilt seit dem 17. Januar 2025. Governance, IKT-Risikomanagement, Vorfälle, Tests und Drittparteienrisiken als getrennte Pflichtblöcke behandeln.935. **EBA-Leitlinien:** Nicht als Gesetz bezeichnen. Aktuelle Fassung, Adressatenkreis und nationale Umsetzung beziehungsweise Comply-or-explain-Status dokumentieren.9495## 7. Primärquellen96971. BaFin, Rundschreiben 06/2024 (BA), MaRisk: https://www.bafin.de/SharedDocs/Downloads/DE/Rundschreiben/dl_rs_06_2024_MaRisk_pdf_BA.pdf982. KWG Paragraf 25a: https://www.gesetze-im-internet.de/kredwg/__25a.html993. KWG Paragraf 25b: https://www.gesetze-im-internet.de/kredwg/__25b.html1004. Verordnung (EU) 2022/2554: https://eur-lex.europa.eu/eli/reg/2022/2554/oj1015. EBA, aktuelle Leitlinien und Fassungen: https://www.eba.europa.eu/activities/single-rulebook/regulatory-activities102103## 8. Fehlerbremsen1041051. Rundschreibennummer, Fassung und Modul vor jeder tragenden Aussage in der Primärquelle kontrollieren.1062. Keine MaRisk-Anforderung pauschal auf Zahlungsinstitute, Versicherer oder Wertpapierinstitute übertragen.1073. DORA und nationale Anforderungen nicht doppelt zählen; Überschneidung und verbleibenden Scope ausweisen.1084. Aufbewahrungsfristen nicht aus Steuer- oder Handelsrecht in MaRisk hineinlesen.1095. Prüfungsfeststellung, mögliche Maßnahme und bestandskräftige Anordnung sprachlich strikt trennen.
Klotzkette