S+P Governance · Auswertung
Leitfrage: Übersetzt die Governance von Finanzunternehmen erkannte Compliance-, Geldwäsche- und IKT-Risiken in Entscheidungen, Ressourcen und nachweislich wirksame Maßnahmen?
Version 1.0 · Stichtag der Quellenrecherche: 27.09.2026 · 9 Kernquellen, 18 Quellen insgesamt · Rechtsstand: 27.09.2026 · Lesezeit: 26 Minuten
Die ausgewerteten Aufsichtsveröffentlichungen zeigen ein doppeltes Bild. Risiken werden erfasst und berichtet, ohne dass daraus durchgängig priorisierte, ausgestattete und überprüfbare Maßnahmen entstehen.[1] Zugleich dokumentieren Aufseher gute Berichts-, Eskalations- und Kontrollpraxis.[2]
Daraus folgt die Antwort auf die Leitfrage: Ein Risikobericht wird erst steuerungswirksam, wenn aus einem wesentlichen Befund eine nachvollziehbare Entscheidung, eine ausführbare Maßnahme und ein belastbarer Wirksamkeitsnachweis werden. Der Nachweis guter Governance ist nicht der versandte Bericht, sondern die belegte Kette bis zur Korrektur.
Eine einheitliche Branchenquote liefern die Quellen nicht. Wie groß die Lücke ist, lässt sich nur im eigenen Haus bestimmen, an denselben Sachverhalten und ihren Nachweisen. Kapitel 05 und 06 liefern dafür einen prüfbaren Rahmen.
K1Thematische Prüfung
Die EZB nennt weiterhin unzureichende Priorisierung auf Leitungsebene sowie Schwächen der Datenarchitektur und der Datenqualitätskontrollen als Hindernisse wirksamer Risikoberichterstattung.[1]
Bezugsgröße: SREP-Zyklus 2025, 105 bewertete Banken. Ein Anteil betroffener Banken ist für diesen Befund nicht ausgewiesen.
K2Thematische Prüfung
Die FCA fand in Board-Berichten dokumentierte kritische Rückfragen und Maßnahmenverfolgung, aber auch unzureichend belegte Schlussfolgerungen und ungeklärte Abhilfepläne.[2]
Bezugsgröße: Berichte von 180 Unternehmen, davon 55 kleinere, samt ergänzender Unterlagen; Consumer-Duty-Kontext im Vereinigten Königreich. Kein Anteil guter oder schwacher Berichte ausgewiesen.
K3Thematische Prüfung
Drei Viertel der antwortenden Führungskräfte hielten die Ressourcen für Verbesserungen im Risikomanagement für ausreichend. Beschäftigte aus Legal, Risk und Compliance antworteten weniger positiv.[3]
Bezugsgröße: antwortende Führungskräfte in 18 australischen Einlageninstituten, Erhebung Oktober bis Dezember 2021, rund 165.500 Einladungen. Wahrnehmungsdaten; für die Kontrollfunktionsgruppe ist kein Prozentwert ausgewiesen.
K4Thematische Prüfung
Die FCA beschreibt Berichte, die Maßnahmen als umgesetzt darstellen, aber kaum Evidenz für deren Wirksamkeit enthalten.[2] FINTRAC schließt eine Maßnahme erst, wenn angemessene Korrekturen nachgewiesen sind.[4]
Bezugsgröße: FCA wie bei K2, 180 Unternehmen. FINTRAC: Prozessbeschreibung im Jahresbericht 2024/25 ohne Nenner.
K5Thematische Prüfung
Der durchschnittliche SREP-Score für interne Governance und Risikomanagement verbesserte sich 2025 von 2,83 auf 2,77; ein niedrigerer Wert ist die günstigere Bewertung. Zugleich bestanden strukturelle Schwächen fort, bei mehreren Banken auch unzureichende Ressourcen oder Expertise der Kontrollfunktionen.[1]
Bezugsgröße: 105 bewertete Banken, SREP 2025 gegenüber dem Vorjahr. Der Durchschnitt ist von der EZB veröffentlicht, nicht hier berechnet. Die Zahl der Banken mit Ressourcenmängeln ist nicht ausgewiesen.
K6Thematische Prüfung
In einer früheren Pilotbefragung bei Versicherern antworteten Legal, Compliance, Risk und Financial Control positiver als bestimmte operative Bereiche.[5] Ein Rollenvergleich darf deshalb nicht unterstellen, dass die Geschäftsleitung stets zu optimistisch urteilt.
Bezugsgröße: zehn Schaden- und Unfallversicherer in Australien, rund 11.600 potenziell Teilnehmende, durchschnittlich 62 % Rücklauf, Erhebung März und April 2021. Nicht mit K3 verrechenbar.
Jeder Befund trägt genau eine Evidenzstufe. Sie legt fest, welche Aussage er stützt und welche nicht. Aufsichtsbefragungen über mehrere Institute sind als thematische Prüfung eingeordnet; ihre Ergebnisse sind Wahrnehmungsdaten und werden in der Bezugsgröße so benannt.
| Tag | Evidenztyp | Trägt | Trägt nicht |
|---|---|---|---|
| Länderbewertung | FATF- oder vergleichbare Systembewertung | strukturelle Unterschiede | Aussagen über einzelne Institute |
| Thematische Prüfung | Aufsichtsprüfung über mehrere Institute | Prozessmuster, gute und schlechte Praxis | Marktprävalenz |
| Einzelfall | Veröffentlichung zu einer Maßnahme oder zur Abhilfe | konkreten Fehlermechanismus | Häufigkeit |
| Jahresbericht | Tätigkeitsbericht einer Aufsicht | Prüfungsumfang, Maßnahmenzahlen | Fehlerquoten |
| Rechtsakt | verkündete Norm oder Entwurf | Maßstab und Frist | Umsetzungsstand |
Quellen: eigene methodische Einordnung von S+P Governance
Die Tabelle nennt je Untersuchung das veröffentlichte Ergebnis, seine Bezugsgröße und die Grenze der Aussage. Die Zeilen sind nicht untereinander verrechenbar.
| Untersuchung | Ergebnis | Bezugsgröße | Was folgt und was nicht |
|---|---|---|---|
| EZB, SREP 2025 Thematische Prüfung | Durchschnittlicher Governance- und Risikomanagement-Score 2,77 nach 2,83 im Vorjahr; niedriger ist günstiger.[1] | 105 bewertete Banken, SREP-Zyklus 2025 | Folgt: Die Aufsicht sieht eine Verbesserung. Folgt nicht: eine Wirksamkeitsquote; Verbesserung und Mängel bestehen nebeneinander. |
| EZB, Risikoappetit-Benchmarking Thematische Prüfung | Überwiegend ausgereifte Rahmenwerke mit definierten Eskalationsprozessen; Bedarf bei Governance, nichtfinanziellen Risiken, Kennzahlen und strategischer Verzahnung.[1] | 28 Banken, viertes Quartal 2024 bis zweites Quartal 2025, Teil des SREP-Komplexes | Folgt: Rahmenwerke bestehen meist. Folgt nicht: dass einzelne Risikoakzeptanzen angemessen waren; keine unabhängige Bestätigung der Zeile davor. |
| FCA, Board-Berichte Thematische Prüfung | Gute Berichte mit Rückfragen und Maßnahmenverfolgung; schwache mit unbegründeten Schwellenwerten, fehlenden Daten und wenig Wirksamkeitsbelegen.[2] | 180 Unternehmen, davon 55 kleinere | Folgt: Berichtsqualität unterscheidet sich erkennbar. Folgt nicht: eine AML- oder DORA-Prüfung. |
| APRA, Banken-Risikokultur Thematische Prüfung | Drei Viertel der antwortenden Führungskräfte halten die Ressourcen für ausreichend; Legal, Risk und Compliance weniger positiv.[3] | 18 Einlageninstitute, viertes Quartal 2021, rund 165.500 Einladungen | Folgt: Rollen urteilen verschieden. Folgt nicht: Einladungen sind keine Rückläufe; kein Prozentwert für die Kontrollfunktionen; keine deutsche Quote. |
| APRA, Pilot Versicherer Thematische Prüfung | Kontrollbereiche bewerten positiver als bestimmte operative Bereiche.[5] | 10 Versicherer, rund 11.600 potenziell Teilnehmende, 62 % Rücklauf, März und April 2021 | Folgt: Die Richtung der Lücke ist offen. Folgt nicht: eine gemeinsame Lücke mit der Bankenbefragung. |
| Basler Ausschuss, Risikodaten Thematische Prüfung | Bei allen Banken war weitere Arbeit nötig, um volle Konformität mit BCBS 239 zu erreichen oder zu halten.[6] | 31 global systemrelevante Banken | Folgt: Risikodaten bleiben eine Leitungsaufgabe. Folgt nicht: dass alle 31 gleichermaßen nicht konform waren. |
| BaFin, AML-Sonderprüfungen Thematische Prüfung | Teils unzureichende Ausstattung der Geldwäschefunktion, wenig aussagekräftige Kontrollnachweise, übergangene Warnungen zugunsten von Ertragschancen.[7] | Kein Nenner und keine Stichprobengröße veröffentlicht | Folgt: konkrete Fehlermuster. Folgt nicht: wie häufig sie auftreten. |
| FCA, Operationelle Resilienz Thematische Prüfung | Neben guter Praxis unklare Verantwortlichkeiten, fehlende Zieltermine und begrenzte Evidenz der zweiten und dritten Kontrolllinie.[8] | Kein Nenner ausgewiesen; Review von Selbsteinschätzungen | Folgt: wiederkehrende Muster. Folgt nicht: eine unabhängige technische Wirksamkeitsmessung. |
| MAS, neun Institute Einzelfall | AML-Umsetzungsdefizite; in einem Teilfall hielten Kontrollen und Governance nicht mit starkem Geschäftswachstum Schritt.[9] | 9 Institute, gezielte Fallgruppe | Folgt: der Mechanismus Wachstum vor Kontrolle. Folgt nicht: eine Quote; Einzelbefunde gelten nicht für alle neun. |
| FINTRAC, Jahresbericht 2024/25 Jahresbericht | Eine Maßnahme gilt erst als geschlossen, wenn angemessene Korrekturen nachgewiesen sind.[4] | Prozessbeschreibung, kein Nenner | Folgt: eine prüfbare Abschlusslogik. Folgt nicht: die Wirksamkeit aller Maßnahmen. |
Quellen: [1], [2], [3], [5], [6], [7], [8], [9], [4]
Die australische Bankenbefragung trennt Führungskräfte von Beschäftigten in Legal, Risk und Compliance. Die Aufsicht weist selbst darauf hin, dass die Antworten nicht ihre abschließende Bewertung der Risikokultur sind.[3] Die Angabe „drei Viertel“ betrifft antwortende Führungskräfte, nicht drei Viertel aller Unternehmen und nicht den deutschen Markt.
Methodisch folgt daraus ein dreistufiges Vorgehen: Sichtweisen getrennt erheben, Unterschiede am selben Sachverhalt klären, danach die operative Evidenz prüfen. Zwei übereinstimmend positive Einschätzungen sind noch kein Wirksamkeitsnachweis. Eine negative Einschätzung kann auf fehlender Information beruhen statt auf einem unwirksamen Prozess.
Gute Board-Berichte hatten eine klare Struktur, stützende Managementinformation und dokumentierte kritische Rückfragen. Schwächere Berichte enthielten unbegründete Schwellenwerte, fehlende Daten oder nicht erläuterte Maßnahmen.[2] Die EZB beschreibt parallel fortbestehende Probleme bei Genauigkeit, Vollständigkeit und zeitgerechter Verfügbarkeit von Risikodaten.[1]
Das ergibt zwei Fehlerklassen. Ein Bericht kann auf unzuverlässigen Daten beruhen. Er kann aber auch richtige Informationen enthalten, ohne daraus eine Entscheidungsfrage abzuleiten.
Die EZB fand überwiegend definierte Eskalationsprozesse für Limitverletzungen, sah aber Verbesserungsbedarf bei interner Governance und bei der Verzahnung von Risikoidentifikation und Risikoappetit.[1] Die australische Bankenbefragung zeigt Unterschiede zwischen Führungskräften und Beschäftigten ohne Personalverantwortung, wenn es um die Sicherheit geht, sich zu äußern.[3]
Ein Eskalationsweg braucht deshalb mehr als eine Adresse: einen Auslöser, eine zuständige Entscheidungsinstanz und eine Regel für ausbleibende Entscheidungen. Kenntnisnahme schließt eine Eskalation nicht ab.
Gute Praxis umfasst nach der FCA Maßnahmenverantwortliche, Termine, messbare Ziele und Nachweise der Verbesserung.[2] Im Resilienz-Review fehlten dagegen teils Zieltermine und klare Verantwortlichkeiten.[8]
Belastbare Branchenquoten überfälliger Compliance-, AML- oder IKT-Maßnahmen liefern die Quellen nicht. Solche Quoten sind institutseigene Kennzahlen mit festgelegtem Nenner, keine Marktwerte.
Die EZB-Befunde zum Risikoappetit zeigen Fortschritte bei formalen Rahmenwerken und offene Fragen zu Kennzahlen, nichtfinanziellen Risiken und strategischer Verknüpfung.[1] Ein Risikoappetit-Rahmen sagt aber nichts darüber, ob eine einzelne Akzeptanz zulässig und angemessen ist.
Zu trennen sind ein zulässig eingehbares Restrisiko, eine befristete Ausnahme von einem internen Standard und eine bestehende Pflichtverletzung. Eine Freigabe durch die Geschäftsleitung ersetzt nicht die anwendbare Norm; auch die aktienrechtliche Sorgfaltsregel knüpft Entscheidungen an angemessene Information.[10]
Die Einschätzung der Ressourcen hängt von der Rolle ab.[3] Die EZB nennt bei mehreren Banken fortbestehende Defizite an Ressourcen und Expertise in den Kontrollfunktionen.[1] Die BaFin berichtet von einer teils unzureichenden Ausstattung der Geldwäschefunktion.[7] In Singapur hielt in einem Teilfall die Entwicklung von Kontrollen und Governance nicht mit dem Geschäftswachstum Schritt.[9]
Budgetfreigabe, Besetzung, Qualifikation und produktiv verfügbare Kapazität sind verschiedene Größen. Eine genehmigte Stelle baut einen Rückstand erst ab, wenn geeignete Personen eingesetzt und eingearbeitet sind.
Die FCA nennt die Einbindung der zweiten und dritten Kontrolllinie einschließlich unabhängiger Bewertungen als gute Praxis.[2] Die BaFin beschreibt Kontrollen, deren Ausführung oder Dokumentation das relevante Risiko nicht hinreichend adressierte.[7]
Eine Wirksamkeitsprüfung beginnt mit einem definierten Kontrollziel und einer belastbaren Grundgesamtheit. Fehlende Evidenz und bestätigte Nichtdurchführung sind verschieden zu kennzeichnen; beide lösen Prüfung aus, tragen aber nicht dasselbe Urteil.
Die Quellen zeigen nicht nur Lücken. Der durchschnittliche SREP-Score für Governance hat sich verbessert.[1] Die meisten Banken im Risikoappetit-Benchmarking haben definierte Eskalationsprozesse. Die FCA dokumentiert Board-Berichte mit kritischen Rückfragen und nachverfolgten Maßnahmen und fand auch bei der operationellen Resilienz gute Governance-Praxis.[8] In der Pilotbefragung bei Versicherern urteilten die Kontrollbereiche positiver als Teile des Geschäfts.[5] Die Diagnose lautet daher: Die Kette reißt nicht überall, aber nicht überall ist sie belegt.
Der Regelkreis aus Kapitel 06 verbindet mehrere Rechtsgebiete, ersetzt aber nicht die Prüfung des persönlichen und sachlichen Anwendungsbereichs. Die folgenden Pflichten gelten nicht automatisch für jede Rechtsform.
Im Aktienrecht regelt § 93 AktG Sorgfalt und Verantwortlichkeit des Vorstands.[10] § 111 AktG weist dem Aufsichtsrat die Überwachung zu und schließt die Übertragung von Geschäftsführungsmaßnahmen auf ihn aus.[11] Für Institute verknüpft § 25a KWG die Verantwortung der Geschäftsleiter mit einem angemessenen und wirksamen Risikomanagement und angemessener Ausstattung.[12]
In der Geldwäscheprävention verlangt § 4 GwG ein wirksames Risikomanagement und ein verantwortliches Mitglied der Leitungsebene.[13] § 7 GwG regelt Befugnisse, Mittel, Informationszugang und den Berichtsweg des Geldwäschebeauftragten.[14] Im Wertpapierbereich verlangt Artikel 22 der Delegierten Verordnung (EU) 2017/565 eine wirksame, unabhängige Compliance-Funktion mit geeigneten Ressourcen und Berichterstattung an die Leitung.[15] Für IKT-Risiken gilt seit dem 17.01.2025 DORA; das Leitungsorgan trägt dort die Verantwortung für das IKT-Risikomanagement.[16]
Die AMLR ist verkündet und gilt grundsätzlich ab dem 10.07.2027. Sie regelt unter anderem Risikobewertung und Compliance-Funktionen einschließlich Verantwortung und Ressourcen.[17] Wie das nationale Recht an die AMLR angepasst wird, ist nicht Gegenstand dieser Auswertung.
Die EZB hat im Juni 2026 angekündigt, den 2024 konsultierten Leitfaden zu Governance und Risikokultur durch einen Bericht über gute Praktiken zu ersetzen; die Veröffentlichung ist für das erste Quartal 2027 vorgesehen. Die EZB betont zugleich, dass ihre Leitfäden keine zusätzlichen Rechtspflichten schaffen.[18] Der Bericht wird hier weder als veröffentlicht noch als verbindlich behandelt. Einen Gesetzentwurf mit unmittelbarem Bezug zur Leitfrage erfasst diese Auswertung nicht.
| Regelung | Status | Geltung | Führungsfrage |
|---|---|---|---|
| § 93 AktG | geltendes Recht | in Kraft | Beruht die Entscheidung auf angemessener Information? |
| § 111 AktG | geltendes Recht | in Kraft | Sind Überwachung und Geschäftsführung getrennt abgebildet? |
| § 25a KWG | geltendes Recht | in Kraft | Sind Risikomanagement und Ausstattung wirksam? |
| § 4 und § 7 GwG | geltendes Recht | in Kraft | Hat der Geldwäschebeauftragte Mittel, Zugang und Berichtsweg? |
| Art. 22 Delegierte Verordnung (EU) 2017/565 | geltendes Recht | in Kraft | Ist die Compliance-Funktion unabhängig und ausgestattet? |
| Verordnung (EU) 2022/2554 (DORA) | geltendes Recht | seit 17.01.2025 | Entscheidet das Leitungsorgan über IKT-Risiken und Ressourcen? |
| Verordnung (EU) 2024/1624 (AMLR) | verkündet, künftig verbindlich | grundsätzlich ab 10.07.2027 | Ist der Zielzustand für Risikobewertung und Compliance-Funktion geplant? |
| EZB-Bericht über gute Praktiken | angekündigt, keine Rechtspflicht | vorgesehen für das erste Quartal 2027 | Welche Erwartung wird vom Rechtsverstoß getrennt berichtet? |
Quellen: [10], [11], [12], [13], [14], [15], [16], [17], [18]
Für ein belastbares Reporting müssen vier Kategorien unterscheidbar bleiben: Rechtsverstoß, Abweichung von einer aufsichtlichen Erwartung, Abweichung von einem internen Standard und eigene Verbesserungsempfehlung.
Die Befunde führen zu klaren Aufgaben je Funktion. Leitung und Überwachung bleiben dabei getrennt, und keine Kontrollfunktion übernimmt die Verantwortung der Geschäftsleitung.
Du entscheidest über wesentliche Befunde, stattest Maßnahmen aus und verlangst einen Wirksamkeitsnachweis. Grundlage sind § 25a KWG, § 4 GwG und für IKT-Risiken DORA.[12]
Du überwachst, fragst kritisch nach und nutzt Zustimmungsvorbehalte. Geschäftsführungsmaßnahmen kann der Aufsichtsrat einer AG nicht übernehmen.[11]
Du begründest den Bedarf aufgabenbezogen und legst Begrenzungen offen. Der Geldwäschebeauftragte braucht Mittel, Informationszugang und einen direkten Berichtsweg; die Verantwortung der Leitungsebene bleibt unberührt.[14]
Du prüfst Abschlusskandidaten an Kontrollziel und Grundgesamtheit. Die Interne Revision wird dabei nicht zum operativen Maßnahmenverantwortlichen und nicht zur Freigabestelle für Geschäftsentscheidungen.
Wähle je Feld den Zustand, der am besten passt. Die Empfehlung erscheint darunter. Die Einschätzung wird nicht gespeichert und nicht übertragen.
Die Zeitabschnitte sind ein Arbeitsprogramm, keine regulatorische Schonfrist. Akute Pflichtverletzungen und wesentliche Kontrollausfälle sind unabhängig davon sofort zu behandeln.
| Zeitraum | Schwerpunkt | Ergebnis |
|---|---|---|
| Tage 1 bis 30 | Berichte, Befunde, Beschlüsse, Maßnahmen und Akzeptanzen auf einen Stichtag bringen | Vollständige Entscheidungsliste; fehlende Zuständigkeiten, Fristen und Nachweise sichtbar |
| Tage 31 bis 60 | Kritische Fälle bis zur Entscheidung verfolgen; Ressourcenbedarf und Verfügbarkeit abgleichen | Beschlüsse, Umsetzungsaufträge und begründete Prioritäten |
| Tage 61 bis 90 | Wesentliche Abschlusskandidaten unabhängig nachprüfen; Statuslogik erproben | Belegte Abschlüsse, Wiedereröffnungen, erstes Reifegradprofil |
| Regelbetrieb | Rollenbezogene Sichtweisen periodisch vergleichen und Abweichungen gezielt prüfen | Nachvollziehbare Verbesserung statt eines neuen Berichtsformats |
Quellen: eigene Ableitung von S+P Governance auf Grundlage von [2], [4]
Eigene methodische Entwicklung, kein Messergebnis. Regelkreis, Reifegradprofil und Kennzahlen sind aus den Befunden abgeleitet und noch nicht als Brancheninstrument validiert. Für diese Auswertung wurden keine Unternehmenswerte berechnet.
Jede Stufe hat einen eigenen Nachweis. Eine spätere Stufe ersetzt die vorherigen nicht.
| Stufe | Kernfrage | Mindestnachweis |
|---|---|---|
| Erkennen | Welcher Sachverhalt wurde mit welcher Reichweite festgestellt? | Quelle, Datum, betroffene Population, bekannte und unbekannte Auswirkungen |
| Bewerten | Welche Pflicht, welches Risiko, welche Dringlichkeit? | Rechts- und Risikoeinordnung, Kritikalität, Sofortbedarf |
| Eskalieren | Wer muss bis wann entscheiden? | Zuständigkeit, Vorlage, Eingang, Frist, weiterer Weg |
| Entscheiden | Welche Option wird aus welchen Gründen gewählt? | Beschluss, Alternativen, Votum der Kontrollfunktion, Befristung |
| Ausstatten | Sind Geld, Kapazität, Kompetenz und Zugriffe verfügbar? | Budget, Einsatzplan, Besetzung, Zieltermin |
| Umsetzen | Was wurde konkret verändert? | Prozess-, System- oder Fallnachweis, nicht nur Projektstatus |
| Verifizieren | Hat die Veränderung das Ziel erreicht? | Prüfumfang, Ergebnis, Unabhängigkeit, Restbefunde |
| Nachsteuern | Was folgt für Regelbetrieb und Leitung? | Abschluss oder Wiedereröffnung, dokumentierte Entscheidung |
Quellen: eigene Entwicklung von S+P Governance auf Grundlage von [2], [4]
Das Profil umfasst sechs Felder mit je vier Kriterien. Es wird je Feld dargestellt, nicht als ausgleichende Gesamtnote: Ein kritischer Pflichtverstoß bleibt sichtbar, auch wenn andere Felder hoch bewertet sind.
| Stufe | Bewertungsregel |
|---|---|
| 0 Nicht eingerichtet | Die Prüfung bestätigt, dass eine erforderliche Struktur oder Durchführung fehlt. |
| 1 Formal geregelt | Zuständigkeit und Verfahren sind festgelegt, ein belastbarer Ablauf ist noch nicht nachgewiesen. |
| 2 Entscheidungsfähig | Bewertung, Eskalation und Entscheidung sind in geprüften Fällen nachvollziehbar. |
| 3 Verlässlich umgesetzt | Entscheidungen werden mit Ressourcen umgesetzt; wesentliche Abweichungen bleiben sichtbar. |
| 4 Wirksam nachgewiesen | Umsetzung und Zielerreichung sind hinreichend unabhängig belegt, wesentliche Mängel nachgeprüft. |
| Nicht bewertbar | Informationen fehlen oder erlauben keine belastbare Feststellung. Keine automatische Nullbewertung. |
Quellen: eigene Entwicklung von S+P Governance
| Feld | Vier Kriterien |
|---|---|
| Managementreporting | verlässliche Daten; klare Wesentlichkeit und Rechtszuordnung; konkrete Handlungsoptionen; erkennbare Entscheidungs- und Evidenzlücken |
| Eskalation | definierte Auslöser; zuständige und erreichbare Instanz; dokumentierte Reaktion; weiterer Weg bei ausbleibender Entscheidung |
| Maßnahmensteuerung | eindeutiger Owner und ursprünglicher Termin; transparente Änderungen; belegte Umsetzung; kontrollierter Abschluss oder Wiedereröffnung |
| Risikoakzeptanz | Zulässigkeit und Abgrenzung; befugte Entscheidung; begründete Bedingungen; Ablauf- und Anlassüberwachung |
| Ressourcen | aufgabenbezogener Bedarf; konkrete Entscheidung; tatsächliche Verfügbarkeit; Wirkung auf Qualität und Rückstände |
| Wirksamkeitskontrolle | geeignetes Kontrollziel; belastbare Grundgesamtheit und Prüfmethode; hinreichende Unabhängigkeit; evidenzbasierte Nachprüfung |
Quellen: eigene Entwicklung von S+P Governance
Jede Kennzahl hat einen festen Zähler, einen festen Nenner und einen Interpretationsschutz. Die Werte sind institutseigen zu erheben; Marktwerte folgen aus ihnen nicht.
| Kennzahl | Zähler | Nenner | Interpretationsschutz |
|---|---|---|---|
| Offene wesentliche Entscheidungen | wesentliche Fälle mit dokumentiertem Entscheidungsbedarf ohne Beschluss | alle wesentlichen Fälle mit Entscheidungsbedarf am Stichtag | Kenntnisnahme zählt nicht als Entscheidung. |
| Entscheidungsalter | Tage vom Eskalationsauslöser bis zur Entscheidung | im Zeitraum entschiedene Fälle; offene Fälle gesondert | Startpunkt und Frist nicht nachträglich verschieben. |
| Überfällige Maßnahmen | offene Maßnahmen jenseits der ursprünglichen Frist | alle offenen Maßnahmen am Stichtag | Genehmigte Verlängerungen zeigen, die ursprüngliche Überschreitung nicht löschen. |
| Wiederholte Fristverschiebung | Maßnahmen mit mehr als einer Verlängerung | alle offenen Maßnahmen am Stichtag | Zusammen mit Risiko und Dauer bewerten. |
| Akzeptanzen außerhalb der Laufzeit | nicht erledigte Akzeptanzen mit abgelaufener Gültigkeit | alle nicht erledigten Akzeptanzen am Stichtag | Keine stille Verlängerung durch unveränderten Registerstatus. |
| Ressourcenrealisierung | tatsächlich verfügbare Kapazität im Zeitraum | beschlossen benötigter Umfang im selben Zeitraum | Budget, Besetzung und Arbeitszeit getrennt zeigen. |
| Wirksamkeitsabschlussquote | unabhängig wirksamkeitsbestätigte Abschlüsse im Zeitraum | prüfpflichtige Abschlusskandidaten im selben Zeitraum | Nicht gegen alle Maßnahmen im Bestand teilen. |
| Wiedereröffnungen | nach gemeldetem Abschluss wieder geöffnete Maßnahmen | gemeldete Abschlüsse im selben Zeitraum | Auch als Zeichen funktionierender Nachprüfung lesen. |
| Perspektivabweichung | Kriterien mit abweichender Rollenbewertung | gematchte, bewertbare Kriterien | Keine Aussage, welche Sicht zutrifft. |
Quellen: eigene Entwicklung von S+P Governance auf Grundlage von [2], [4]
Für eine spätere Primärerhebung empfiehlt sich je Unternehmen mindestens eine Antwort der Geschäftsleitung und eine der fachlich zuständigen Kontrollfunktion, bezogen auf denselben Rechtsträger, Stichtag und dieselben Fälle. Beide Antworten werden getrennt erhoben und erst danach zusammengeführt. Die Interne Revision kann eine dritte, getrennte Evidenzsicht liefern.
Unterschiede werden nicht aus einer Punktedifferenz abgeleitet, sondern über ein Klärungsgespräch und die zugehörige Evidenz einer von vier Lücken zugeordnet:
Eine höhere Bewertung durch die Geschäftsleitung gilt nicht automatisch als Selbstüberschätzung, und die Sicht der Kontrollfunktion nicht automatisch als zutreffend. Bei kleinen Organisationen kann schon die Rollenbeschreibung eine Person erkennbar machen; Vertraulichkeit ist deshalb vorab zu regeln.
Die internationale Evidenz trägt eine belastbare qualitative Diagnose, aber keine repräsentative Quote deutscher Entscheidungslücken. Historische Befragungen messen nicht den Zustand 2026, aufsichtliche Ratings sind keine Prozentwerte operativer Wirksamkeit, und zu einzelnen Risikoakzeptanzen, aktuellen Überfälligkeiten und gepaarten Rollenbewertungen fehlen einheitliche Daten. Die empirische Basis betrifft überwiegend regulierte Finanzunternehmen; für andere Branchen ist sie Gestaltungsimpuls, keine Aussage über dortige Pflichten oder Fehlerhäufigkeiten.
Nein. Sie wertet veröffentlichte Primärquellen von Aufsichtsbehörden und Rechtsakte aus. Eigene Befragungen, Einsicht in Unternehmensunterlagen oder Nachprüfungen von Maßnahmen gehören nicht dazu. Das Reifegradprofil und die Kennzahlen sind eigene methodische Entwicklungen, keine Messergebnisse.
Nein. Die ausgewerteten Quellen beruhen auf verschiedenen Grundgesamtheiten, Zeiträumen und Methoden und lassen sich nicht zu einer Quote verrechnen. Wie groß die Lücke zwischen Bericht und wirksamer Entscheidung ist, lässt sich nur im eigenen Haus anhand derselben Sachverhalte und ihrer Nachweise bestimmen.
Erst wenn die Umsetzung belegt und die Zielerreichung im vereinbarten Umfang hinreichend unabhängig geprüft ist. Eine Erledigtmeldung der operativen Einheit, ein technischer Ticketabschluss oder eine neue Richtlinienversion reichen dafür bei wesentlichen Mängeln nicht aus.
Nein. Zu unterscheiden sind ein zulässig eingehbares Restrisiko, eine befristete Ausnahme von einem internen Standard und eine bestehende Pflichtverletzung. Eine Pflichtverletzung wird durch das Etikett akzeptiert nicht zu einem ordnungsgemäßen Zustand; hier ist die Entscheidung auf Beendigung, Korrektur und gegebenenfalls Meldung auszurichten.
In der Aktiengesellschaft nicht. Der Aufsichtsrat überwacht die Geschäftsführung; Maßnahmen der Geschäftsführung können ihm nach § 111 AktG nicht übertragen werden. Zustimmungsvorbehalte und Informationsrechte sind gesondert zu regeln und im Reporting getrennt abzubilden.
Neben dem Gesellschaftsrecht und § 25a KWG sind das vor allem das Geldwäschegesetz, die seit dem 17.01.2025 geltende DORA und die AMLR, die grundsätzlich ab dem 10.07.2027 gilt. Welche Normen im Einzelfall greifen, hängt von Rechtsform, Erlaubnis und Geschäftsmodell ab.
Sortiert nach Rang der Quelle, innerhalb der Gruppe nach der ersten Nennung.
Die Tabelle dokumentiert den Kernbestand der Befundsynthese. Rechtsakte und die aufsichtliche Ankündigung zählen nicht als empirische Untersuchungen. Teiluntersuchungen innerhalb einer Veröffentlichung zählen nicht als eigene Stichprobe.
| ID | Quelle | Untersuchungseinheit und Zeitraum | Evidenzstufe | Methodische Grenze |
|---|---|---|---|---|
| G01 | EZB, SREP 2025, 18.11.2025[1] | 105 Banken; darin Risikoappetit-Benchmarking von 28 Banken | Thematische Prüfung | Teiluntersuchungen nicht als zusätzliche Stichproben zählen. |
| G02 | FCA, Consumer Duty Board Reports, 11.12.2024, aktualisiert März 2026[2] | 180 Unternehmen, davon 55 kleinere | Thematische Prüfung | Berichtssichtung, kein Audit aller Compliance-Prozesse. |
| G03 | APRA, Banken-Risikokultur, 10.11.2022[3] | 18 Einlageninstitute, Oktober bis Dezember 2021 | Thematische Prüfung | Wahrnehmungsdaten; rund 165.500 Einladungen sind nicht die Zahl der Antworten. |
| G04 | APRA, Pilotbefragung, 14.10.2021[5] | 10 allgemeine Versicherer, März und April 2021 | Thematische Prüfung | Anderer Sektor; freiwillige Teilnahme. |
| G05 | BCBS, Fortschritt Risikodaten, 28.11.2023[6] | 31 global systemrelevante Banken | Thematische Prüfung | Fortschrittsbericht, keine Erfolgsquote. |
| G06 | BaFin, AML-Sonderprüfungen, 13.01.2025[7] | mehrere Institute, Nenner nicht veröffentlicht | Thematische Prüfung | Qualitative Synthese ohne Prävalenz. |
| G07 | FCA, Operational Resilience, 27.03.2026[8] | Selbsteinschätzungen, Nenner nicht ausgewiesen | Thematische Prüfung | Keine unabhängige technische Prüfung. |
| G08 | MAS, neun Finanzinstitute, 04.07.2025[9] | 9 Institute, gezielte Fallgruppe | Einzelfall | Einzelbefunde nicht allen neun zuschreiben. |
| G09 | FINTRAC, Jahresbericht 2024/25, Seitenstand 30.10.2025[4] | Behördlicher Nachverfolgungsprozess | Jahresbericht | Keine quantitative Wirksamkeitsuntersuchung. |
S+P Governance (2026): Governance 2026/27: Vom Risikobericht zur wirksamen Entscheidung. Version 1.0, Stand 27.09.2026. https://schulz-beratung.de/compliance-governance-auswertung-2027/
| Version | Datum | Änderung |
|---|---|---|
| 1.0 | 27.09.2026 | Erstveröffentlichung |
Quellen: redaktionelle Angaben von S+P Governance
Die Einordnung des Vorjahres zum Zusammenspiel von Compliance und Unternehmensführung. Zum Beitrag
Was die Aufsicht zu Geldwäsche-Sonderprüfungen berichtet und welche Führungsfragen daraus folgen. Zum Beitrag
Die Übersicht der Analysen von S+P Governance. Zur Übersicht
Für die operative Umsetzung eines Wirksamkeitschecks oder Audits ist S+P Compliance zuständig. Zu S+P Compliance
Achim Schulz kennt BaFin-Prüfungen und komplexe regulatorische Anforderungen nicht nur vom Papier, sondern aus eigener Verantwortung. Als ehemaliger Bankvorstand und langjähriger Geschäftsführer weiß er aus erster Hand: Die Gratwanderung zwischen strenger regulatorischer Pflichterfüllung (MaRisk 10.0, DORA) und operativer Effizienz entscheidet heute über den Erfolg und die Sicherheit eines Instituts. Er ist ein gefragter Sparringspartner für Auslagerungsbeauftragte, Compliance Officer und die Geschäftsleitung, weil er beide Seiten versteht: die Erwartungshaltung der Aufsicht und die operativen Hürden in der Praxis. In seinen Seminaren schützt er die Teilnehmer vor dem gefürchteten "bürokratischen Overkill". Trockene EBA-Leitlinien und KWG-Paragraphen übersetzt er auf Augenhöhe in schlanke, revisionssichere Prozesse, die im Institut wirklich funktionieren. Mithilfe der S+P Tool Box rüstet er Beauftragte mit sofort einsetzbaren Frameworks zur lückenlosen Dokumentation aus. Das klare Ziel: Bei der nächsten BaFin-Sonderprüfung absolute Souveränität ausstrahlen, das Auslagerungsmanagement rechtssicher im Griff haben und die eigene Verantwortung als Beauftragter haftungssicher abschirmen.
LinkedIn-Profil → · Redaktion & Experten →Wir verwenden Cookies und ähnliche Technologien, um Ihre Erfahrung auf unserer Website zu verbessern. Weitere Informationen in unserer Datenschutzerklärung.