Die MaRisk sind verbindliche, modular aufgebaute Vorgaben der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) für die Ausgestaltung des Risikomanagements in deutschen Banken und Finanzinstituten. Sie sind für alle nationalen Bankinstitute verpflichtend.
Aufgrund ihrer Geschäftstätigkeit sind Finanzinstitute und Banken besonderen Risiken ausgesetzt. Ein angemessenes und wirksames Risikomanagement umfasst unter Berücksichtigung der Risikotragfähigkeit (Modul AT) insbesondere die Festlegung von Strategien sowie die Einrichtung interner Kontrollverfahren (Modul BT).
Primär muss die Verfügbarkeit, Integrität, Vertraulichkeit und Authentizität der Daten in den IT-Systemen sichergestellt werden. Weitere Vorschriften sind z. B. eine angemessene IT-Berechtigungsvergabe, Test- und Abnahmeverfahren, eine Trennung von Test- und Produktionsumgebungen sowie ein Notfallkonzept mit Geschäftsfortführungs- und Wiederanlaufplänen.
Derartige Anforderung an das Risikomanagement werden auf Grundlage des § 25a KWG seit 2005 durch entsprechende Verwaltungsanweisungen in Form der MaRisk konkretisiert. 2007 erfolgte eine Neufassung der MaRisk, die vor allem um Regelungen zum Outsourcing ergänzt wurden.
Weitere Novellierungen erfuhr die MaRisk in den Jahren 2009 und 2012, wobei es zum einem um die Schärfung der Anforderungen zum Stresstesting, zum Liquiditätsrisiko und zu Risikokonzentrationen und zum anderen um die Festschreibung, die Compliance- sowie Risikocontrollingfunktionen als eigenständige Prozesse anzusehen, ging.
Obwohl erst im Oktober 2017 die derzeit aktuelle Version der MaRisk durch die BaFin veröffentlicht wurde, ist bereits seit 2019 die 6. Novelle in Arbeit. Nach aktuellem Stand wird es bei der erneuten Überarbeitung um die Umsetzung einzelner Leitlinien der Europäischen Bankenaufsichtsbehörde (EBA) gehen.
Weitere Informationen zu den Mindestanforderungen an das Risikomanagement für Banken finden Sie
Durch weitreichende Maßnahmen wird sichergestellt, dass alle gesetzlich und regulatorisch relevanten Anforderungen erfüllt werden, insbesondere die Regelungen aus dem KWG § 25a und der MaRisk. Es erfolgen hierzu regelmäßige externe Audits:
Ziel ist das Erreichen eines angemessenen und ausreichenden Schutzniveaus für IT-Systeme. Hierfür wird ein Katalog von technischen Sicherheitsmaßnahmen sowie infrastrukturellen, organisatorischen und personellen Schutzmaßnahmen umgesetzt.
Der Bank-Verlag stellt seinen Kunden Informationen zu folgenden Berichten und Dokumenten zur Verfügung: