Die aufsichtsrechtlichen Anforderungen an Wertpapierinstitute sowie Kapitalverwaltungsgesellschaften haben sich in den vergangenen Jahrzehnten stark verschärft. Mit im Laufe der Zeit eingeführten und kontinuierlich weiterentwickelten Regelwerken – von der MaRisk über das WpHG und das WpIG bis hin zu DORA und dem EU AI Act – wächst nicht nur die Zahl der regulatorischen Pflichten. Auch deren Komplexität nimmt immer weiter zu.
Damit sind IKT Risiken nach DORA und KI Use Cases nach dem EU AI Act keine Nischenthemen mehr, sondern verpflichtende Bausteine der institutsweiten Governance und Kontrollarchitektur.
Entscheider stehen daher vor der Herausforderung, sämtliche Organisationspflichten jederzeit vollständig, nachvollziehbar und prüfungssicher zu dokumentieren.
Dennoch arbeiten viele Institute noch immer mit Excel Tabellen, Listen oder gar dem Kopfwissen einzelner Mitarbeiter. Zwar mögen diese Methoden in der Vergangenheit probate Lösungen gewesen sein. Inzwischen stoßen sie jedoch an ihre Grenzen. Insbesondere bei internen Revisionen oder BaFin Prüfungen.
Daher ist der Wechsel zu einer zentralen Governance Steuerung längst keine Frage der Bequemlichkeit mehr. Stattdessen bildet er die Grundlage für eine belastbare Compliance Strategie.
Darum haben Excel Listen in der Governance Steuerung inzwischen ausgedient
Wer in einem Büro arbeitet, kommt an der ein oder anderen Excel Liste sicherlich nicht vorbei. Kein Wunder. Schließlich eignet sich das Programm gut für einfache Auswertungen und kurzfristige Übersichten. Jedoch taugt es kaum als zentrales Steuerungsinstrument für regulatorische Organisationspflichten.
Arbeiten Wertpapierinstitute oder Kapitalverwaltungsgesellschaften dennoch ausschließlich mit Excel Tabellen, wird ein fehlender Überblick schnell zum Dauerproblem. Denn sowohl Compliance und Auslagerungsmanagement als auch Informationssicherheit und Rechtsabteilung führen jeweils eigene Listen und Dokumentationen.
Die Folgen: doppelte Datenpflege, Medienbrüche sowie ein gravierender Mangel an Transparenz.
Neue Informationen werden nicht überall gleichzeitig übernommen. Wichtige Fristen können leicht in Vergessenheit geraten. Zudem sind Verantwortlichkeiten nicht eindeutig geklärt.
Dadurch kann für Wirtschaftsprüfer sowie Aufsichtsbehörden der Eindruck fehlender Struktur und Professionalität entstehen. Spätestens in der nächsten Jahresabschlussprüfung kann sich das zu einem Risiko entwickeln.
Regulatorische Anforderungen wachsen kontinuierlich
Die regulatorischen Vorgaben für Wertpapier und Finanzinstitute steigen nicht nur seit Jahren. Sie entwickeln sich auch stetig weiter. So wurde etwa die im Jahr 2005 ins Leben gerufene MaRisk bereits mehrfach überarbeitet. Dazu kommen stetig neue Vorschriften wie:
- das 2021 veröffentlichte Wertpapierinstitutsgesetz (WpIG)
- der 2023 in Kraft getretene Digital Operational Resilience Act (DORA)
- der im August 2024 beschlossene EU AI Act
Mit jeder neuen Vorgabe erhöhen sich dabei die Anforderungen an die Organisationsstruktur eines Instituts. Konnten Compliance Themen in der Vergangenheit noch separat betrachtet werden, greifen die heutigen Regelwerke zunehmend ineinander.
So müssen etwa Wertpapierinstitute neben den klassischen Pflichten aus dem Wertpapierhandelsgesetz (WpHG) unter anderem Vorgaben aus dem Wertpapierinstitutsgesetz erfüllen.
Kapitalverwaltungsgesellschaften unterliegen gleichzeitig einer ganzen Reihe organisatorischer Vorschriften, die eine lückenlose Dokumentation von Kontrollmaßnahmen und Verantwortlichkeiten erfordern. Dazu kommen noch weitere Pflichten wie:
- Informationssicherheit und Datenschutz
- Business Continuity Management
- Cybersecurity und Risikomanagement
Mit DORA erhält in Banken und anderen Finanzinstituten insbesondere die digitale Resilienz mehr Aufmerksamkeit. Daher müssen IKT Risiken systematisch dokumentiert, Dienstleister überwacht, Vorfälle erfasst und regelmäßige Tests nachgewiesen werden. DORA verankert damit IKT Risikomanagement, Vorfallsmanagement, Resilienztests und die Steuerung kritischer Dienstleister als integrale Bestandteile der Governance Struktur eines Instituts.
Parallel dazu entstehen durch den EU AI Act weitere Anforderungen an den verantwortungsvollen Umgang mit künstlicher Intelligenz.
Dementsprechend entwickelt sich Governance zunehmend zu einem bereichsübergreifenden Managementsystem, das sämtliche regulatorische Verpflichtungen miteinander verknüpft.
Verteilte Einzellösungen gehören der Vergangenheit an
Den Governance Pflichten mit der Hilfe von Excel Tabellen und E Mail Korrespondenz nachzukommen, mag sich auf den ersten Blick einfach anhören. Auf lange Sicht entsteht durch dieses Nebeneinander jedoch ein Durcheinander, das sich ohne Zeit und Personalaufwand kaum noch strukturieren lässt.
Um das zu vermeiden, arbeiten moderne Governance Lösungen im Vergleich zu klassischen Tabellenwerken mit einem anderen Ansatz. Dabei werden Informationen nicht länger dezentral verwaltet. Stattdessen lassen sich alle Organisationspflichten in einem zentralen und damit übersichtlichen Register zusammenfassen.
Jede regulatorische Verpflichtung wird dabei einmalig erfasst und im Anschluss den zuständigen Prozessen, Verantwortlichen und Fachbereichen zugeordnet.
Dadurch entsteht ein nachvollziehbarer und vor allem vollständiger Überblick der Anforderungen, die Wertpapierinstitute und Kapitalverwaltungsgesellschaften zu erfüllen haben. Verantwortlichkeiten werden eindeutig festgehalten, Nachweise revisionssicher gespeichert.
Somit lassen sich nicht nur Informations und Bearbeitungsstände nachvollziehbar abbilden. Auch der institutsinterne Verwaltungsaufwand reduziert sich erheblich.
Für Entscheider bedeutet das eine deutlich bessere Steuerbarkeit der Governance Struktur. So erhalten etwa Compliance Officer eine transparente Übersicht über abgeschlossene, aktuelle und bevorstehende Aufgaben. Syndikus Anwälte können derweil regulatorische Änderungen schneller in bestehende Prozesse integrieren.
Warum die passgenaue Abbildung der BaFin Erlaubnis entscheidend ist
Bei einer modernen Governance Struktur ist es entscheidend, Organisationspflichten nicht pauschal zu erfassen. Schließlich besitzt jedes Institut eine individuelle BaFin Erlaubnis und muss dementsprechend verschiedene regulatorische Verpflichtungen erfüllen.
Ein Wertpapierinstitut etwa geht mit anderen Prozessen einher als eine Kapitalverwaltungsgesellschaft mit mehreren Fondsstrukturen. Zudem unterscheiden sich die Anforderungen hinsichtlich:
- des Geschäftsmodells
- des Auslagerungsumfangs
- der verwendeten IT Systeme
Sinnvoll ist daher eine zentrale Governance Lösung, die ausschließlich die Organisationspflichten enthält, die für das jeweilige Institut entscheidend sind. Dadurch lässt sich einerseits ein unnötiger Dokumentationsaufwand vermeiden. Andererseits entstehen schlanke und dennoch vollständige Übersichten aller Anforderungen.
Das erleichtert nicht nur die tägliche Arbeit. Es verbessert zudem die Nachvollziehbarkeit gegenüber Aufsicht und Abschlussprüfern. Um der BaFin und der Internen Revision jederzeit auf Knopfdruck einen lückenlosen Nachweis zu liefern, bündeln führende Institute ihre Organisationspflichten durch ein zentrales digitales Governance Register.
Microsoft 365 und SharePoint als Grundlage moderner Governance
Wer sich eine professionelle Governance Steuerung wünscht, muss in eine kostspielige Speziallösung investieren – oder? Nein, denn eine übersichtliche Organisation geht nicht zwingend mit teuren Software Lizenzen einher. Stattdessen sind die notwendigen Technologien in den meisten Instituten bereits vorhanden.
So bieten etwa Microsoft 365 sowie SharePoint die Chance:
- Organisationspflichten strukturiert zu verwalten
- Dokumente zentral abzulegen
- Verantwortlichkeiten eindeutig zuzuordnen
Bekannte Oberflächen, etablierte IT Strukturen sowie bestehende Benutzerrechte bleiben erhalten. Dadurch erhöht sich unternehmensintern nicht nur die Akzeptanz einer modernen Governance Struktur. Bestehende Prozesse können zudem Schritt für Schritt digitalisiert werden, ohne die Organisation sprichwörtlich auf den Kopf zu stellen.
Die Vorteile einer zentralen digitalen Governance Steuerung
Eine zentrale digitale Governance Steuerung kann mit mehreren Dingen überzeugen, darunter einer Automatisierung wiederkehrender Aufgaben. So lassen sich für jede Organisationspflicht feste Überprüfungsintervalle hinterlegen.
Sinnvoll ist zudem eine übersichtliche Quartalsampel für Q1 bis Q4. Sie ermöglicht Entscheidern einen ständigen Überblick über sämtliche Maßnahmen, die bereits erledigt, in Arbeit oder noch anstehend sind.
Parallel dazu helfen automatisierte Fristenerinnerungen dabei, bevorstehende Aufgaben rechtzeitig zu kommunizieren. Dadurch sinkt der manuelle Koordinationsaufwand von Compliance Verantwortlichen.
Auch im Rahmen von Wirtschaftsprüfungen bietet ein gepflegtes Governance Register eine Reihe von Vorteilen. Statt Informationen aus verschiedenen Excel Listen zusammentragen zu müssen, lassen sich sämtliche Nachweise strukturiert an einem Ort aufrufen. Dadurch erhalten Prüfer jederzeit einen Überblick über Verantwortlichkeiten, Dokumentationen, Erfüllungsstände und Fristen.
Zudem optimiert die zentrale Steuerung die Zusammenarbeit zwischen Compliance, Recht, Informationssicherheit und Risikomanagement.
Autor : Dino Bozzi
Bild von Gerd Altmann auf Pixabay
Aussagen des Autors und des Interviewpartners geben nicht unbedingt die Meinung der Redaktion und des Verlags wieder.
