S+P Governance
Das Fachportal für C-Level, Geschäftsleitung und Compliance
Beim Thema Organhaftung Geschäftsleitung geht es um drei Fragen: Was bleibt bei der Geschäftsleitung, was lässt sich delegieren, und was muss nachweisbar sein? Dieses Portal ordnet das ein, für regulierte Unternehmen.
Rechtsgrundlagen, auf die sich die Beiträge beziehen
Rechtsstand: Oktober 2026. Keine Rechtsberatung. Die AT-Verweise gelten für Institute im Anwendungsbereich der MaRisk, für andere Aufsichtsregime gelten eigene Vorgaben.
Jede Geschäftsleitung stößt irgendwann auf diese Fragen. Hier stehen kurze Antworten mit Bezug auf die Primärquellen.
Geschäftsleiter sind für die ordnungsgemäße Geschäftsorganisation verantwortlich (§ 25a Abs. 1 KWG), unabhängig von der internen Zuständigkeitsregelung (AT 3.1 Tz. 1).
Zur Haftung gegenüber der Gesellschaft siehe das Gesellschaftsrecht, etwa § 43 GmbHG oder § 93 AktG.
Die MaRisk verlangen Regelungen zur Aufbau- und Ablauforganisation sowie eine Risikocontrolling- und eine Compliance-Funktion (AT 4.3 Tz. 1).
Die Geschäftsleitung lässt sich regelmäßig berichten (AT 4.3.2 Tz. 3) und informiert das Aufsichtsorgan mindestens vierteljährlich (AT 3.2 Tz. 2).
Unterlagen müssen für sachkundige Dritte nachvollziehbar sein und fünf Jahre aufbewahrt werden (AT 6 Tz. 1).
Die Interne Revision überwacht, dass festgestellte Mängel fristgerecht beseitigt werden (AT 4.4.3 Tz. 11).
Das gilt unter den Voraussetzungen von AT 9 Tz. 4 MaRisk: Die Ordnungsmäßigkeit der Geschäftsorganisation darf nicht beeinträchtigt werden.
Such dir das Thema aus, das dich gerade beschäftigt. Zu jedem Feld gibt es einen Beitrag, der tiefer einsteigt.
Wer gilt als wirtschaftlich Berechtigter, wenn niemand die Kriterien erfüllt, und was folgt daraus für die Meldepflichten?
Beitrag lesenWie bereitet sich die Geschäftsleitung auf eine Prüfung durch die Aufsicht vor?
Beitrag lesenWelche Entscheidungen zur Proportionalität muss die Geschäftsleitung gegenüber Aufsicht und Prüfern begründen können?
Beitrag lesenWann ist ein Leistungsbezug eine Auslagerung, und was folgt daraus für die Steuerung durch die Geschäftsleitung?
Beitrag lesenWelche Verantwortung trägt die Geschäftsleitung für Cybersicherheit und IKT-Risiken?
Beitrag lesenWelche Haftungsfragen entstehen für das C-Level 2026 im Zusammenspiel von CRA, Geldwäscheprävention und Compliance?
Beitrag lesenEine allgemeine Orientierung zur Rollenverteilung nach den MaRisk. Die konkrete Zuordnung hängt vom Institut, seiner Größe und dem Auslagerungsvertrag ab.
| Thema | Geschäftsleitung | Compliance-Funktion | Externer Dienstleister |
|---|---|---|---|
| Gesamtverantwortung | Alle Geschäftsleiter verantworten die ordnungsgemäße Geschäftsorganisation, unabhängig von der internen Zuständigkeitsregelung (AT 3.1 Tz. 1). | Unterstützt und berät die Geschäftsleitung bei der Einhaltung der wesentlichen rechtlichen Regelungen (AT 4.4.2 Tz. 1). | Die Auslagerung führt nicht zu einer Delegation der Verantwortung. Leitungsaufgaben dürfen nicht ausgelagert werden (AT 9 Tz. 4). |
| Überwachung der rechtlichen Vorgaben | Lässt sich regelmäßig über Geschäftslage und Risikosituation berichten (AT 4.3.2 Tz. 3). | Identifiziert die wesentlichen rechtlichen Regelungen und wirkt auf wirksame Verfahren und Kontrollen hin (AT 4.4.2 Tz. 1 und 2). | Das Institut steuert und überwacht die ausgelagerten Aktivitäten und Prozesse (AT 9 Tz. 9). |
| Berichterstattung | Informiert das Aufsichtsorgan mindestens vierteljährlich in Textform über Geschäftslage und Risikosituation (AT 3.2 Tz. 2). | Berichtet mindestens jährlich und anlassbezogen an die Geschäftsleitung, auch zu Defiziten und Gegenmaßnahmen (AT 4.4.2 Tz. 6). | Das zentrale Auslagerungsmanagement berichtet der Geschäftsleitung über wesentliche Auslagerungen (AT 9 Tz. 13). |
| Auslagerung | Entscheidet über Auslagerungen. Werden besondere Funktionen vollständig ausgelagert, benennt sie einen unabhängigen und sachkundigen Beauftragten (AT 9 Tz. 10). | Wird sie selbst ausgelagert, gelten besondere Maßstäbe. Eine vollständige Auslagerung ist nur in den Fällen von AT 9 Tz. 5 möglich. | Erbringt die Leistung nach Vertrag. Weiterverlagerungen sind vertraglich zu regeln (AT 9 Tz. 8). |
| Nachweise für Prüfer | Die Dokumentation umfasst auch die Festlegung, in welchen Fällen die Geschäftsleitung einzubinden ist und entscheidet (AT 6 Tz. 2). | Der Bericht der Compliance-Funktion geht auch an die Interne Revision (AT 4.4.2 Tz. 6). | Bei wesentlichen Auslagerungen sind Informations- und Prüfungsrechte der Internen Revision und externer Prüfer vertraglich festzulegen (AT 9 Tz. 7). |
Allgemeine Darstellung ohne Anspruch auf Vollständigkeit. Die AT-Verweise beziehen sich auf das Rundschreiben 06/2026 (BA) und gelten für Institute im Anwendungsbereich der MaRisk. Sie ersetzt keine Rechtsberatung.
Wer Verantwortung trägt, braucht Informationen. Die MaRisk legen fest, auf welchem Weg sie zur Geschäftsleitung und zum Aufsichtsorgan kommen.
Wenn der Weg unterbrochen ist: Kommt die Geschäftsleitung ihrer Berichtspflicht nicht nach oder beschließt sie keine sachgerechten Maßnahmen, muss die Interne Revision den Vorsitzenden des Aufsichtsorgans unterrichten (AT 3.2 Tz. 2).
Bezug: AT 4.4.2 Tz. 6, AT 4.4.3 Tz. 9 und AT 3.2 Tz. 2 MaRisk, Rundschreiben 06/2026 (BA).
Manche Annahmen setzen sich leicht fest. Hier steht, was die MaRisk dazu festlegen.
Die Auslagerung führt nicht zu einer Delegation der Verantwortung der Geschäftsleitung an das Auslagerungsunternehmen. Leitungsaufgaben dürfen nicht ausgelagert werden. (AT 9 Tz. 4)
Auch beim sonstigen Fremdbezug muss das Institut darauf achten, dass die Ordnungsmäßigkeit der Geschäftsorganisation nicht beeinträchtigt wird. (AT 9 Tz. 1)
Die Compliance-Funktion berichtet mindestens jährlich an die Geschäftsleitung. Das Aufsichtsorgan erhält den Bericht zur Kenntnis. (AT 4.4.2 Tz. 6, AT 3.2 Tz. 2)
Geschäfts-, Kontroll- und Überwachungsunterlagen sind systematisch und für sachkundige Dritte nachvollziehbar abzufassen und fünf Jahre aufzubewahren. (AT 6 Tz. 1)
Vier Fragen, je drei Stufen. Zu jeder Stufe erscheint eine Empfehlung für die nächste Sitzung der Geschäftsleitung. Die Auswahl wird nicht gespeichert und nicht übertragen.
Wenn klar ist, was die Geschäftsleitung entscheiden muss, stellt sich die nächste Frage: Wer setzt es um, oder wer im Team braucht das Wissen dafür?
Ausgelagerte Kontrollfunktionen und Compliance-Services für regulierte Institute. Dort werden Funktionen betrieben, Prozesse aufgesetzt und Nachweise erstellt.
Weiterbildung für Geschäftsleitung, Compliance Officer und Geldwäschebeauftragte: Methodenwissen und Sachkunde für das eigene Team.
Einordnungen zu aktuellen Regulierungsthemen für die Geschäftsleitung.
Die Antworten beziehen sich auf die MaRisk in der Fassung des Rundschreibens 06/2026 (BA).
Alle Geschäftsleiter sind unabhängig von der internen Zuständigkeitsregelung für die ordnungsgemäße Geschäftsorganisation und deren Weiterentwicklung verantwortlich (AT 3.1 Tz. 1 MaRisk). Zusätzlich ist jeder Geschäftsleiter für die Einrichtung angemessener Kontroll- und Überwachungsprozesse in seinem Zuständigkeitsbereich verantwortlich (AT 3.1 Tz. 2).
Grundsätzlich dürfen Aktivitäten und Prozesse ausgelagert werden, solange die Ordnungsmäßigkeit der Geschäftsorganisation dadurch nicht beeinträchtigt wird. Die Auslagerung führt nicht zu einer Delegation der Verantwortung der Geschäftsleitung, und Leitungsaufgaben dürfen nicht ausgelagert werden (AT 9 Tz. 4 MaRisk). Für die vollständige oder teilweise Auslagerung der Compliance-Funktion gelten besondere Maßstäbe (AT 9 Tz. 4 und 5). Die geldwäscherechtlichen Pflichten sind daneben anzuwenden (AT 9 Tz. 1).
Eine Auslagerung liegt vor, wenn ein anderes Unternehmen mit Aktivitäten und Prozessen im Zusammenhang mit Bankgeschäften, Finanzdienstleistungen oder sonstigen institutstypischen Dienstleistungen beauftragt wird, die ansonsten das Institut selbst erbringen würde. Sonstiger Fremdbezug ist keine Auslagerung, das Institut muss aber auch dabei darauf achten, dass die Ordnungsmäßigkeit der Geschäftsorganisation nicht beeinträchtigt wird (AT 9 Tz. 1 MaRisk). IKT-Dienstleistungen, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, fallen nicht in den Anwendungsbereich von AT 9.
Die Compliance-Funktion berichtet mindestens jährlich sowie anlassbezogen an die Geschäftsleitung. Der Bericht enthält auch Hinweise auf Defizite und Gegenmaßnahmen und wird an die Interne Revision weitergegeben (AT 4.4.2 Tz. 6 MaRisk). Das Aufsichtsorgan erhält den Bericht der Compliance-Funktion zur Kenntnis (AT 3.2 Tz. 2).
Die BaFin hat die neue Fassung der MaRisk im Juni 2026 als Rundschreiben 06/2026 (BA) veröffentlicht. Sie tritt mit der Veröffentlichung in Kraft. Soweit sich im Einzelfall zusätzliche Anforderungen ergeben, gilt eine Übergangsfrist bis zum 1. Januar 2027. Nach Angaben der Aufsicht ist das Rundschreiben stärker prinzipienbasiert und weniger komplex, eine grundsätzliche Absenkung des Anforderungsniveaus ist nicht erfolgt. Das Modul AT 3 regelt neben der Gesamtverantwortung der Geschäftsleitung (AT 3.1) die Verantwortung des Aufsichtsorgans (AT 3.2).
Die MaRisk verlangen, dass Geschäfts-, Kontroll- und Überwachungsunterlagen für sachkundige Dritte nachvollziehbar abgefasst und fünf Jahre aufbewahrt werden (AT 6 Tz. 1). Wesentliche Handlungen und Festlegungen sind zu dokumentieren, auch die Fälle, in denen die Geschäftsleitung einzubinden ist (AT 6 Tz. 2). Die Interne Revision überwacht die fristgerechte Beseitigung festgestellter Mängel (AT 4.4.3 Tz. 11).
Primärquellen zuerst: EU-Rechtsakte, dann die Aufsicht. PDF-Dateien sind gekennzeichnet.
Die zitierten Bundesgesetze (KWG, GwG, GmbHG, AktG) sind über das Portal gesetze-im-internet.de des Bundesministeriums der Justiz abrufbar.
Beim Thema Organhaftung Geschäftsleitung entscheidet die Qualität der Einordnung über alles Weitere. Wer weiß, was sich nicht delegieren lässt und welche Nachweise ein Prüfer erwartet, kann gezielt entscheiden, ob die Umsetzung ausgelagert oder das eigene Team qualifiziert wird. Fang mit der Frage an, die dich gerade am meisten beschäftigt.
Zu den Themenfeldern oder zu den zwei Wegen nach der Entscheidung
Wir verwenden Cookies und ähnliche Technologien, um Ihre Erfahrung auf unserer Website zu verbessern. Weitere Informationen in unserer Datenschutzerklärung.