Konsultation der 9. MaRisk-Novelle: Die Neuerungen für die Compliance

Neue Möglichkeit zur Anbindung der Compliance-Funktion an andere Kontrolleinheiten

Eine wesentliche Erleichterung betrifft die organisatorische Zuordnung der Compliance-Funktion. Während nach der geltenden MaRisk-Fassung bislang lediglich eine Anbindung an andere Kontrolleinheiten vorgesehen ist, eröffnet die Konsultationsfassung ausdrücklich die Möglichkeit, die Compliance-Funktion an andere geeignete Funktionen anzubinden.

Erstmals werden in diesem Kontext konkret die IKT-Risikocontrolling-Funktion sowie der Datenschutzbeauftragte genannt. Eine erweiterte Kombinationsmöglichkeit mit anderen Einheiten wurde bereits in den aufsichtlichen Mitteilungen der BaFin vom November 2024 dargestellt.

Die Konsultationsfassung konkretisiert zudem, dass nur bei sehr kleinen Instituten mit einer Bilanzsumme von bis zu einer Milliarde Euro die Funktion des Compliance-Beauftragten von einem Geschäftsleiter wahrgenommen werden kann. Das dürfte für einzelne Institute ein konkretes Handlungs- und Anpassungserfordernis nach sich ziehen.

Denn die bisherige Regelung knüpft primär an die Art, den Umfang, die Komplexität und den Risikogehalt der Geschäftsaktivitäten sowie die Größe des Instituts an – und nicht ausschließlich an eine feste Bilanzsumme. Außerdem muss sichergestellt sein, dass Maßnahmen zur Vermeidung von Interessenkonflikten umgesetzt sind.

Konsultationsfassung sieht engere Abstimmung von Compliance und Risikocontrolling vor

Der aufsichtsrechtliche Fokus richtet sich stärker darauf, wie Compliance‑Risiken identifiziert, eingeordnet und in die Gesamt‑Risikosteuerung eingebunden werden. Maßgeblich ist weiterhin, dass die Compliance‑Funktion rechtliche Risiken mit potenziell wesentlichen Auswirkungen risikoorientiert identifiziert, priorisiert und nachvollziehbar bewertet. Sie soll sich dabei aber künftig eng mit der Risikocontrolling‑Funktion abstimmen.

Erwartet wird somit keine isolierte Betrachtung rechtlicher Risiken, sondern ein konsistenter Informations‑ und Austauschprozess, der sicherstellt, dass Compliance‑Risiken im Kontext des Geschäftsmodells und des institutsspezifischen Risikoprofils berücksichtigt werden. Das begründet keine neuen formalen Nachweispflichten. Aber es erhöht die Erwartung an die inhaltliche Verzahnung von Compliance und Risikocontrolling.

In der Berichterstattung der Compliance-Funktion rücken identifizierte Defizite sowie die daraus abgeleiteten Maßnahmen stärker in den Fokus. Eine explizite Darstellung der Angemessenheit und Wirksamkeit je wesentlicher rechtlicher Regelung ist demgegenüber nicht mehr erforderlich.

Mögliche Handlungsfelder für weniger bedeutende Institute umfassen:

• Anpassung der organisatorischen Anbindung der Compliance‑Funktion: Institute sollten gegebenenfalls prüfen, ob eine Anbindung an geeignete Funktionen (zum Beispiel das IKT‑Risikocontrolling oder den Datenschutz) Synergien ermöglicht, sachgerechter ist und zur Effizienz sowie besseren Verzahnung beiträgt.
• Klärung der Rolle des Compliance‑Beauftragten bei sehr kleinen Instituten: Gegebenenfalls ist die Anbindung der Compliance‑Funktion an einen Geschäftsleiter sinnvoll, sofern die Bilanzsumme weniger als eine Milliarde Euro beträgt und Interessenkonflikte ausreichend vermieden werden. Bei Überschreiten des Schwellenwerts kann eine organisatorische Neuzuordnung erforderlich sein, sofern die Funktion des Compliance-Beauftragten aktuell durch einen Geschäftsleiter ausgeübt wird.
• Stärkere Verzahnung von Compliance und Risikocontrolling: Prüfen und gegebenenfalls Etablieren eines konsistenten Abstimmungs‑ und Austauschprozesses zur Integration von Compliance‑Risiken in die Gesamt‑Risikosteuerung und das institutsspezifische Risikoprofil
• Prüfung und Weiterentwicklung der Compliance‑Berichterstattung: Gegebenenfalls stärkere Ausrichtung der mindestens jährlichen oder anlassbezogenen Berichterstattung auf identifizierte Defizite, wesentliche Risiken sowie konkrete Maßnahmen

Bedeutende Institute fallen aus dem Anwendungsbereich heraus

Für bedeutende Institute (Significant Institutions, SIs) markiert die Konsultationsfassung der 9. MaRisk‑Novelle keinen operativen Umbruch, wohl aber einen klaren Wechsel des aufsichtsrechtlichen Bezugsrahmens. Mit der Herausnahme von SIs aus dem MaRisk‑Anwendungsbereich wird deutlich, dass die Bewertung der Compliance‑Funktion künftig in erster Linie am europäischen Maßstab ausgerichtet ist, geprägt durch die Aufsichtspraxis der EZB und die in Konsultation befindlichen EBA-Leitlinien zur internen Governance.

Da die EBA‑Leitlinien zur internen Governance von bedeutenden Instituten bereits heute anzuwenden sind, sollten die entsprechenden Anforderungen grundsätzlich bereits implementiert sein. Gleichwohl empfiehlt es sich, die bestehenden Governance‑ und Compliance‑Strukturen anhand der aktuellen Erwartungen noch einmal zu überprüfen und gegebenenfalls anzupassen, nicht zuletzt vor dem Hintergrund der Konsultationsfassung von August 2025.