Vor-Ort-Prüfungen der Aufsicht: Die aktuellen Schwerpunkte der EZB

Darüber hinaus müssen Banken gemäß den Anforderungen der Capital Requirements Directive (CRD VI) Übergangspläne (prudential transition plans) entwickeln, die von den Aufsichtsbehörden im Einklang mit den EBA-Leitlinien zum Management von ESG-Risiken überprüft werden. Die EZB wird einen schrittweisen und zielgerichteten Ansatz verfolgen und sich dabei auf die durch die Leitlinien eingeführten neuen Elemente konzentrieren.

3. Digitale und operationelle Resilienz

Die Aufsichtsbehörden haben bereits DORA-fokussierte OSIs in Ländern wie Spanien, Deutschland, Belgien und Griechenland durchgeführt. Unsere Auswertung zeigt: Die Prüfungen sind deutlich anspruchsvoller als frühere IKT-Risikoinspektionen und konzentrieren sich zunehmend auf die praktische Wirksamkeit von Rahmenwerken zur digitalen und operativen Resilienz. Dabei werden auch Cybersicherheitsaspekte sowie die Fähigkeiten im Management von Drittparteirisiken berücksichtigt

Die Aufsichtsteams konzentrieren sich auf zentrale Elemente der IKT-Risikomanagement-Rahmenwerke:

• auf die Angemessenheit der Richtlinien, Key Performance Indicators (KPIs) zur Verfolgung der Umsetzung der DORA‑Strategie, die Einbindung kritischer IKT‑Drittanbieter sowie Exit‑Strategien.
  ,,
• auf die IKT-Betriebs- und die IKT-Sicherheitprozesse (zum Beispiel das Schwachstellenmanagement, Backups und Wiederherstellungsprozesse).
  ,,
• auf das IKT-Incident Management (zum Beispiel die Qualität der Erkennung, Eskalation und Meldung von Vorfällen).
  ,,
• auf die Notfall‑ und Business‑Continuity‑Planung (z. B. Umfang und Tiefe von Business‑Impact‑Analysen und Resilienztests).

Mögliche Schwachstellen bei Banken können sein:

• das Fehlen einer konsistenten End-to-End-Sicht auf die operative Resilienz über IKT-Risiken, IKT- Betrieb, Incident Management und das Business-Continuity-Management (BCM) hinweg
  ,,
• unzureichend entwickelte IKT-Incident Prozesse, wobei BCM-Rahmenwerke nicht vollständig auf IKT-Risiken oder Abhängigkeiten von Drittanbietern abgestimmt sind und Tests in Umfang und Realitätsnähe begrenzt sind
  ,,
• unvollständige KPIs, Schwellenwerte und Überwachungsmechanismen, die das rechtzeitige Erkennen aufkommender IKT-Risiken einschränken

4. BCBS 239 und Risk Data Aggregation and Risk Reporting (RDARR)

Seit Jahren bestehen Schwachstellen in der Qualität der RDARR und stehen somit auch in den kommenden Jahren ganz oben auf der Schwerpunktliste der EZB. Ein besonderer Fokus liegt dabei auf der vollständigen Einhaltung der Grundsätze von BCBS 239.

Zentrale Prüfungsschwerpunkte sind:

• die Wirksamkeit des Managements, die Rechenschaftspflicht des Leistungsorgans sowie die Klarheit der Governance-Strukturen
  ,,
• die Angemessenheit zentraler Kontrollen zur Sicherstellung der Datenqualität sowie der Datenqualitätsberichterstattung
  ,,
• die zeitnahe Berichterstattung unter Stressbedingungen sowie die Fähigkeit zur ad‑hoc‑Risikoberichterstattung
  ,,
• die Abstimmung mit Finanzdaten, sowie
  ,,
• die Vollständigkeit und Nachvollziehbarkeit der Datenherkunft (Data Lineage)

Jede BCBS 239-Vor-Ort-Prüfung wird mit einer hohen Wahrscheinlichkeit diese Bereiche gezielt und umfassend untersuchen.

Mögliche Schwachstellen für Banken können sein:

• Inkonsistente oder ineffektive Kontrollen zur Sicherstellung der Datenqualität und Datenqualitätsberichterstattung, verbunden mit hoher Abhängigkeit von manuellen Prozessen sowie Datenlücken, die sich über die drei Verteidigungslinien erstrecken
  ,,
• Verzögerungen in regulären Berichtszyklen und begrenzte Kapazitäten zur Erstellung von Ad-hoc-Risikoberichten
  ,,
• Unfähigkeit, eine klare und durchgängige Data Lineage für alle kritischen Datenelemente hinweg zu etablieren, oder dies nur mit erheblichem Aufwand zu ermöglichen

5. Risikogewichteten Aktiva (RWA)-Berechnung und CRR-III-Umsetzung

In den vergangenen Monaten ist eine Zunahme von OSIs mit Fokus auf die RWA-Berechnung und die CRR-III-Umsetzung zu beobachten. Betroffen sind dabei besonders große Institute beispielsweise aus Deutschland und Spanien.

Diese anspruchsvollen Prüfungen haben die Berechnung, Dokumentation und Validierung der Eigenmittel sowie die Berechnung der risikogewichteten Aktiva, die Prozesse zum Management regulatorischer Änderungen, die Governance-Rahmenwerke rund um Eigenmittel und Kapitaladäquanzberechnungen sowie unterstützende Instrumente in Bereichen wie der Angemessenheit, der Zuverlässigkeit, der Datenqualität und -integrität unter die Lupe genommen.

Mögliche Schwachstellen für Banken können sein:

• Schwache Kontrollrahmenwerke rund um die RWA-Berechnungen, die sich zum Beispiel aus falschen Risikopositionsklassifizierungen, Risikogewichtszuweisungen und Sicherheitenbewertungen ergeben. Dies gilt insbesondere angesichts der zunehmenden Bedeutung des Standardansatzes bei der Bestimmung der Solvenz von Banken, unter anderem durch die Berechnung des neuen Output-Floors.
  ,,
• Inkonsistente Auslegung regulatorischer Anforderungen, die zu Schwächen bei der Umsetzung der Anforderungen über Portfolios und Methoden hinweg führt
  ,,
• Notwendigkeit einer stärkeren Governance im Zusammenhang mit regulatorischen Dateneingaben, wie das Verfahren zur Minderung manueller Fehler, veralteter Informationen und Prozesslücken

6. Weitere Schwerpunkte und Risikobereiche der EZB-Aufsichtsaktivität

Ergänzend dazu weisen Beobachtungen aus unserem Netzwerk auf eine Reihe weiterer Bereiche hin, die in OSIs der EZB derzeit eine Rolle spielen:

• Geschäftsmodell und Rentabilität: mit Schwerpunkt auf Rentabilitätsfaktoren, Preisgestaltungs- und Kostenallokation, Annahmen und Prognosen in Geschäftsplänen sowie deren Tragfähigkeit, insbesondere unter Berücksichtigung geopolitischer und makroökonomischer Belastungen
  ,,
• Digitalisierung: Bewertung der digitalen Transformationsinitiativen der Institute, der Governance‑ und Kontrollrahmen im Zusammenhang mit neuen Technologien sowie dem damit verbundenen Risikomanagement zur Unterstützung der Wettbewerbsfähigkeit und einer nachhaltigen Transformation
  ,,
• Liquiditäts- und Refinanzierungsrisiken: Überprüfung von Governance-Rahmenwerken für die Liquiditätsrisikosteuerung und für Liquiditäts-Stresstests
  ,,
• Marktrisiko: betrifft Bewertungsanpassungen, unabhängige Preisüberprüfung, Limit-Rahmenwerke und FRTB-Readiness
  ,,
• IRRBB/CSRBB: Credit-Spread-Risiken einschließlich Einlagenverhaltensmodellen, der Vorfälligkeits- und Optionsmodellierung sowie von Net-Interest-Income (NII)-Simulationsrahmenwerken
  ,,
• Compliance-Funktion: mit Schwerpunkt auf der Wirksamkeit interner Verfahren, Kontrollrahmenwerken zur Bekämpfung von Geldwäsche (AML) und Terrorismusfinanzierung (CFT), Überwachungs- und Eskalationsprozessen sowie der Rolle der Funktion bei risikorelevanten Entscheidungsprozessen

Mit Blick auf die Zukunft gibt es zudem Anzeichen dafür, dass die Digitalisierung und insbesondere künstliche Intelligenz Gegenstand von OSIs sein könnten. Obwohl wir noch nicht absehen können, wie diese konkret ausgestaltet sein werden, ist davon auszugehen, dass OSIs herangezogen werden, um KI-bezogene Strategien, Governance-Strukturen und das Risikomanagement von Banken zu überprüfen.

Das schließt die Frage ein, ob Governance- und Kontrollrahmenwerke wirksam in den operativen Einsatz von KI eingebettet sind und nicht nur auf politischer oder konzeptioneller Ebene bestehen.

Zusammenfassend sollten Banken davon ausgehen, dass sich OSIs im Jahr 2026 und darüber hinaus auf eine begrenzte Anzahl wahrscheinlicher Risikofelder konzentrieren werden.

Banken sollten bedenken, dass festgestellte Schwachstellen Anpassungen der SREP-Bewertung sowie weitere Maßnahmen im Rahmen des Eskalationsmechanismus der EZB auslösen könnten. Ein klares Verständnis der Erwartungen und das Antizipieren wahrscheinlicher OSI-Verfahren sowie eine gezielte Fokussierung von Ressourcen auf die richtigen Bereiche sind daher entscheidend für eine wirksame Vorbereitung.