Mindestanforderungen an das Risikomanagement - MaRisk

AT 4.4 Interne Revision1 Jedes Institut muss über eine funktionsfähige Interne Revision verfügen. BeiInstituten, bei denen aus Gründen der Betriebsgröße die Einrichtung einerRevisionseinheit unverhältnismäßig ist, können die Aufgaben der Internen Revision voneinem Geschäftsleiter erfüllt werden.2 Die Interne Revision ist ein Instrument der Geschäftsleitung, ihr unmittelbar unterstelltund berichtspflichtig. Sie kann auch einem Mitglied der Geschäftsleitung, nachMöglichkeit dem Vorsitzenden, unterstellt sein. Unbeschadet dessen ist sicherzustellen,dass der Vorsitzende des Aufsichtsorgans unter Einbeziehung der Geschäftsleitungdirekt bei dem Leiter der Internen Revision Auskünfte einholen kann.3 Die Interne Revision hat risikoorientiert und prozessunabhängig die Wirksamkeit undAngemessenheit des Risikomanagements im Allgemeinen und des internenKontrollsystems im Besonderen sowie die Ordnungsmäßigkeit grundsätzlich allerAktivitäten und Prozesse zu prüfen und zu beurteilen, unabhängig davon, ob dieseausgelagert sind oder nicht. BT 2.1 Tz. 3 bleibt hiervon unberührt.4 Zur Wahrnehmung ihrer Aufgaben ist der Internen Revision ein vollständiges unduneingeschränktes Informationsrecht einzuräumen. Dieses Recht ist jederzeit zugewährleisten. Der Internen Revision sind insoweit unverzüglich die erforderlichenInformationen zu erteilen, die notwendigen Unterlagen zur Verfügung zu stellen undEinblick in die Aktivitäten und Prozesse sowie die IT-Systeme des Instituts zugewähren.5 Weisungen und Beschlüsse der Geschäftsleitung, die für die Interne Revision vonBedeutung sein können, sind ihr bekannt zu geben. Über wesentliche Änderungen imRisikomanagement ist die Interne Revision rechtzeitig zu informieren.AT 4.5 Risikomanagement auf Gruppenebene1 Nach § 25a Abs. 1a KWG sind die Geschäftsleiter des übergeordneten Unternehmenseiner Institutsgruppe oder Finanzholding-Gruppe sowie die Geschäftsleiter desübergeordneten Finanzkonglomeratsunternehmens eines Finanzkonglomerats für dieEinrichtung eines angemessenen und wirksamen Risikomanagements aufGruppenebene verantwortlich. Die Reichweite des Risikomanagements aufGruppenebene erstreckt sich auf alle wesentlichen Risiken der Gruppe unabhängigdavon, ob diese von konsolidierungspflichtigen Unternehmen begründet werden odernicht (z. B. Risiken aus nicht konsolidierungspflichtigen Zweckgesellschaften).Besondere Maßstäbe für das Risikomanagement auf Gruppenebene können sich ausspezialgesetzlichen Regelungen ergeben, wie z. B. bei Bausparkassen hinsichtlich derKollektivsteuerung oder bei Pfandbriefbanken.2 Die Geschäftsleitung des übergeordneten Unternehmens hat eine Geschäftsstrategiesowie eine dazu konsistente Risikostrategie festzulegen („gruppenweite Strategien“).Die strategische Ausrichtung der gruppenangehörigen Unternehmen ist mit dengruppenweiten Strategien abzustimmen. Die Geschäftsleitung des übergeordnetenUnternehmens muss für die Umsetzung der gruppenweiten Strategien Sorge tragen.Rundschreiben 11/2010 (BA) vom 15.12.2010 - Seite 11 von 35