Deutsche Schubladenwirtschaft

Warum wir den 'sonstigen Fremdbezug' in MaRisk AT 9 endlich abschaffen sollten

Die aktuelle Konsultation zu den MaRisk suggeriert Vereinfachung. Doch bei genauerer Betrachtung bleibt für die Steuerung von Drittbezügen ein zentrales Problem unangetastet: die deutsche Schubladisierung in „Auslagerungen“ und „sonstigen Fremdbezug„.

Europa setzt auf Impact - Deutschland weiterhin auf Formalismus

Auf europäischer Ebene vollzieht sich eine klare Entwicklung: Sowohl die konsultierten Guidelines on the sound management of third-party risk (EBA GL) als auch DORA knüpfen regulatorische Anforderungen nicht an formale Kategorien, sondern an das Schadenspotenzial einer Drittleistung.

DORA: Die regulatorischen Konsequenzen für IKT-Dienstleistungen ergeben sich direkt aus der KWF-Unterstützung.
EBA GL: Zwar enthalten sie eine formale Outsourcing-Definition, die dem deutschen Auslagerungsbegriff entspricht, doch diese bleibt in der weiteren Betrachtung irrelevant. Die Strenge der Anforderungen an die Steuerung von „third-party arrangements“ knüpft an deren Unterstützung von „critical or important functions“ an. Die EBA GL selbst ignoriert damit ihre eigene Definition von Outsourcings zugunsten einer schadensbasierten Herangehensweise.

Die deutsche Praxis: Ein System heraufbeschworener Diskussionen

Demgegenüber hält die deutsche Aufsichtspraxis an dem zweistufigen Verfahren fest, das in der Praxis mehr Probleme schafft als löst:

Stufe 1: Formale Klassifizierung Zunächst wird geprüft, ob eine Leistung als Auslagerung oder sonstiger Fremdbezug einzustufen ist.
Stufe 2: Risikoanalyse Für Auslagerungen wird anschließend die Wesentlichkeit bewertet.

Die MaRisk-Definition, wonach eine Auslagerung vorliegt, wenn „wenn ein anderes Unternehmen mit der Wahrnehmung von Aktivitäten und Prozessen im Zusammenhang mit der Durchführung von Bankgeschäften, Finanzdienstleistungen oder sonstigen institutstypischen Dienstleistungen beauftragt wird, die ansonsten vom Institut selbst erbracht würden“, wirft noch immer praktische Probleme auf.

Die Unschärfe des Begriffs „institutstypisch“ führt zu uneinheitlichen Interpretationen zwischen Instituten, Dienstleistern und Aufsichtsbehörden. Besonders deutlich wird dies bei Querschnittsfunktionen – hier beispielhafte „Evergreens“:

Personalprozesse: Branchenneutrale Standardleistungen oder bankspezifische Prozesse?
Datenschutz: Allgemeine Compliance-Pflichten oder bankspezifische Anforderungen?
Interne Revision: MaRisk-spezifische Vorgaben oder allgemeine Governance-Anforderungen, die bspw. nach AktG eine Vielzahl anderer Unternehmen trifft?

In der Prüfungspraxis zeigt sich ein systematisches Muster: Die Aufsicht – und aus Vorsichtsgründen auch externe Prüfer – interpretieren „institutstypisch“ regelmäßig weit. Das Ergebnis ist absurd: Selbst universell einsetzbare Dienstleistungen werden häufig zu bankspezifischen Auslagerungen erklärt. Sachgerecht? Die Diskussionen über diese Abgrenzung binden erhebliche Ressourcen, ohne die Risikosteuerung zu verbessern.

Hinzu kommen strategische Fehlanreize: Dienstleister versuchen systematisch, ihre Leistungen nicht als Auslagerung klassifizieren zu lassen, was zu kreativen Vertragsgestaltungen führt, die das tatsächliche Risiko verschleiern. Besonders problematisch: Die Konsultationsfassung verschärft die Unsicherheit noch, indem sie bisherige Orientierungshilfen und Beispiele streicht – im Namen der „Entbürokratisierung“.

Der regulatorische Zirkelschluss: § 25a KWG als Fluchtpunkt

Für den sonstigen Fremdbezug gilt: „Dessen ungeachtet muss das Institut auch beim sonstigen Fremdbezug von Leistungen darauf achten, dass die Ordnungsmäßigkeit der Geschäftsorganisation gemäß § 25a Abs. 1 KWG nicht beeinträchtigt wird.“

Für nicht wesentliche Auslagerungen gilt: „Bei Auslagerungen, die unter Risikogesichtspunkten nicht wesentlich sind, sind die allgemeinen Anforderungen an die Ordnungsmäßigkeit der Geschäftsorganisation gemäß § 25a Abs. 1 KWG zu beachten.“

Auf den ersten Blick ist klar: „Weniger“ Anforderungen für nicht wesentliche Auslagerungen und den sonstigen Fremdbezug.

Doch was dieses „weniger“ konkret bedeutet, bleibt seit Jahren umstritten. Egal wie klassifiziert wird, am Ende landet man immer bei § 25a KWG. Man verlässt die MaRisk in AT 9 durch die Hintertür, nur um über die Generalklausel des § 25a KWG wieder hereingeschickt zu werden.

Die Lösung: Konsequente Risikosicht

Die aktuelle MaRisk-Konsultation suggeriert Bürokratieabbau, perpetuiert aber ein System, das mehr Probleme schafft als löst. Während Europa auf eine konsequent schadens-/risikobasierte Regulierung setzt, trotz der inhärenten Herausforderungen in der KWF-Definition und den bekannten Unschärfen, hält Deutschland an formalen Kategorien fest, die keinen Mehrwert für die Risikosteuerung bieten.

Die logische Konsequenz kann nur lauten:Weg von der Schubladisierung, hin zu einer konsequenten Risikosicht. Nur so lässt sich Bürokratie tatsächlich abbauen und ein System schaffen, das sich am tatsächlichen Risiko orientiert – statt an juristischen Formalismen.