Klotzkette Aufsichtsrechtliche Richtlinie neu fassen
1. Start mit dem vorhandenen Material
Lies zuerst Bestandsrichtlinie, Gap-Matrix, Primärquellen, Organisationsplan und vorhandene Kontrollnachweise. Beginne anschließend unmittelbar mit einer Änderungslandkarte und dem Entwurf. Frage nur nach einer Information, ohne die sich Adressat, Pflichtinhalt oder Freigabekompetenz nicht bestimmen lässt.
2. Eingaben
- Bestandsrichtlinie mit Version und Freigabestatus.
- Belegte Gap-Zeilen mit Fundstellen.
- Aktuelle Primärquellen.
- Institutsart, DORA-Scope und einschlägige Proportionalitätsentscheidung.
- Organigramm, Rollenmodell und vorhandene Kontrollfrequenzen.
- Gewünschtes Format: Neufassung, Redline, Vorstandsvorlage oder Umsetzungsplan.
3. Änderungskarte
Vor dem Formulieren jede Änderung zuordnen:
| Änderung | Primärquelle | Bestandsstelle | Regelungsziel | Prozessfolge | Freigabe |
|---|---|---|---|---|---|
| Aufbewahrung anpassen | MaRisk AT 6 Tz. 2 | Richtlinie 4.2 | grundsätzlich mindestens fünf Jahre | Löschkonzept ändern | Geschäftsleitung |
Ein Quellenanker darf nur den Inhalt tragen, der aus ihm folgt. Spezialgesetzliche längere Aufbewahrungsfristen in einer gesonderten Fristenmatrix erfassen und nicht als MaRisk-Inhalt ausgeben.
4. Entwurfsarchitektur
4.1 Mindestbestandteile
- Zweck und Regelungsziel.
- Persönlicher, sachlicher und organisatorischer Geltungsbereich.
- Begriffe und Abgrenzungen.
- Verantwortlichkeiten mit Entscheidung, Ausführung und Kontrolle.
- Prozessschritte mit Auslöser, Frist und Nachweis.
- Kontrollen, Eskalation und Berichterstattung.
- Ausnahmen mit Genehmigungs- und Dokumentationsweg.
- Aufbewahrung, Versionierung, Schulung und Inkrafttreten.
4.2 Redline-Regel
Zeige für jede Änderung Alttext, Neutext, Grund und operative Folge. Vermeide rein dekorative Umformulierungen. Eine neue Pflicht muss erkennen lassen, wer was wann anhand welcher Unterlage tut und wie die Erfüllung nachgewiesen wird.
5. Norm- und Statuskontrolle
| Quelle | Einsatz im Entwurf |
|---|---|
| Paragraf 25a KWG | Geschäftsorganisation, Risikomanagement und Verantwortung |
| Paragraf 25b KWG | Auslagerungssteuerung und Kontrollrechte |
| MaRisk RS 06/2024 (BA) | aktuelle Aufsichtspraxis, modulgenau zitieren |
| DORA | unmittelbar geltende IKT-Pflichten seit 17. Januar 2025 |
| Delegierte oder Durchführungsverordnung zu DORA | technische Konkretisierung, nur bei tatsächlicher Einschlägigkeit |
| EBA-Leitlinie | Fassung, Adressatenkreis und Comply-or-explain-Status nennen |
Vor jeder Neufassung prüfen, ob ein älteres xAIT-Dokument durch DORA oder eine geänderte BaFin-Verlautbarung im konkreten Scope überholt ist. Kein aufgehobenes oder sachlich verdrängtes Rundschreiben als alleinige Normgrundlage verwenden.
6. Beispiel: Aufbewahrung in einer Risikomanagementrichtlinie
6.1 Befund
Die Bestandsrichtlinie sieht vier Jahre vor. MaRisk AT 6 Tz. 2 verlangt für wesentliche Handlungen und Festlegungen grundsätzlich fünf Jahre; längere gesetzliche Fristen bleiben unberührt.
6.2 Redline
4.2 Aufbewahrung
Die für die Einhaltung der MaRisk wesentlichen Handlungen und Festlegungen
werden nachvollziehbar dokumentiert und grundsätzlich mindestens fünf Jahre
aufbewahrt. Gesetzlich oder vertraglich erforderliche längere Fristen gehen vor.
Der Dokumenteneigentümer ordnet jede Dokumentenkategorie vor der Ablage der
maßgeblichen Frist aus der freigegebenen Fristenmatrix zu. Compliance prüft die
Fristenmatrix jährlich und anlassbezogen nach Rechtsänderungen.
6.3 Umsetzungsfolge
- Fristenmatrix und Löschkonzept anpassen.
- Betroffene Systeme und Archivklassen bestimmen.
- Verantwortliche und Kontrollnachweis festlegen.
- Widersprüche zu Spezialfristen bereinigen.
- Freigabe, Kommunikation und Wirksamkeitskontrolle terminieren.
7. Freigabepaket
Liefere zusammen mit dem Richtlinientext:
- Änderungsübersicht mit Quellen und Risikobezug.
- Offene Punkte und bewusst getroffene Scope-Entscheidungen.
- Prozess- und Systemänderungen.
- Schulungs- und Kommunikationsbedarf.
- Freigabematrix und Inkraftsetzungsdatum.
- Erste Wirksamkeitskontrolle mit Verantwortlichem und Termin.
Keine konkrete Organfreigabe behaupten, ohne Satzung, Geschäftsordnung und Delegationslage geprüft zu haben.
8. Primärquellen
- BaFin, Rundschreiben 06/2024 (BA), MaRisk: https://www.bafin.de/SharedDocs/Downloads/DE/Rundschreiben/dl_rs_06_2024_MaRisk_pdf_BA.pdf
- KWG Paragraf 25a: https://www.gesetze-im-internet.de/kredwg/__25a.html
- KWG Paragraf 25b: https://www.gesetze-im-internet.de/kredwg/__25b.html
- Verordnung (EU) 2022/2554: https://eur-lex.europa.eu/eli/reg/2022/2554/oj
- EBA, aktuelle Regelwerke: https://www.eba.europa.eu/activities/single-rulebook/regulatory-activities
9. Schlusskontrolle
- Jede Muss-Regel hat eine Primärquelle oder eine klar gekennzeichnete interne Risikoentscheidung.
- Rundschreiben, Fassung, Modul und Absatz stimmen.
- Rollen existieren im Organigramm und Zuständigkeiten widersprechen sich nicht.
- Prozess, Kontrolle und Nachweis sind ausführbar.
- Übergangs- und Inkraftsetzungsdaten sind belegt, nicht geschätzt.
- Die Neufassung leitet Aufbewahrungsfristen ausschließlich aus der aktuellen, tatsächlich einschlägigen Primärquelle ab.