Die neuen WpI MaRisk definieren einen klaren Pflichtenkanon, der die organisatorische Trennung zwischen strategischer Steuerung und unabhängiger Überwachung zementiert. Dabei folgt die BaFin einem unmissverständlichen Prinzip: Operative Aufgaben sind im Sinne der Proportionalität delegierbar, die Letztverantwortung und persönliche Haftung für die Geschäftsorganisation verbleiben jedoch unübertragbar beim C-Level.
Dieser aufgeführte Pflichtenkanon stellt sicher, dass Compliance nicht als isolierte Kontrollinstanz agiert, sondern als strategischer Partner der Geschäftsleitung fungiert – insbesondere bei der Identifikation neuer Risikotreiber wie ESG oder IKT-Risiken. Um dieser Verantwortung gerecht zu werden, ergeben sich folgende spezifische Anforderungen:
1. Pflichten des C-Level (Geschäftsleitung)
Das C-Level ist nach AT 3 für die ordnungsgemäße Geschäftsorganisation verantwortlich. Das bedeutet: Verantwortung kann man delegieren, Haftung nicht.
- Festlegung der Strategien (AT 4.2): Das C-Level muss die Geschäfts- und Risikostrategie (inkl. Nachhaltigkeits- und IKT-Strategie) festlegen und jährlich überprüfen.
- Ressourcenverantwortung: Sicherstellung, dass das Institut über angemessene personelle und technisch-organisatorische Ausstattung verfügt (insbesondere für Compliance und Risikomanagement).
- Einrichtung der Kontrollinstanzen (AT 4.4): Die Geschäftsleitung muss eine wirksame Compliance-Funktion, ein Risikomanagement und eine Interne Revision implementieren.
- Informationsfluss zum Aufsichtsorgan (AT 3): Es muss ein schriftlich fixiertes Verfahren geben, wie der Aufsichtsrat über die Risikolage informiert wird.
- Letztentscheidungsbefugnis beim NPP (AT 8.1): Neue Produkte oder Märkte dürfen erst nach expliziter Genehmigung durch die Geschäftsleitung „live“ gehen.
- Auslagerungs-Governance (AT 9): Das C-Level haftet dafür, dass das Institut bei Outsourcing keine „leere Hülle“ wird und die Kontrolle über die Dienstleister behält.
2. Pflichten der Compliance-Funktion
Compliance agiert als die „Zweite Verteidigungslinie“ (Second Line of Defense) und hat primär unterstützende und überwachende Aufgaben (AT 4.4.2).
- Überwachung & Beratung: Laufende Überprüfung der Einhaltung rechtlicher Regelungen und Beratung der Geschäftsleitung bei der Umsetzung neuer Vorgaben (z.B. MiFID II, WpIG).
- Risikobasiertes Monitoring: Identifizierung der wesentlichen rechtlichen Risiken, deren Verletzung das Vermögen des Instituts gefährden könnte.
- ESG-Integration (AT 2.2): Sicherstellen, dass Nachhaltigkeitsaspekte als Risikotreiber in den relevanten Kontrollprozessen berücksichtigt werden.
- Berichterstattung: Erstellung des jährlichen (und bei Bedarf anlassbezogenen) Compliance-Berichts an die Geschäftsleitung. Dieser muss Mängel und Gegenmaßnahmen enthalten.
- NPP-Beteiligung (AT 8.1): Aktive Teilnahme an der Konzept- und Testphase bei neuen Geschäftsfeldern, um rechtliche Fallstricke vorab zu identifizieren.
- Schnittstelle zur Revision: Enge Abstimmung und Übergabe der Berichte an die Interne Revision zur Prüfung der Wirksamkeit der Compliance-Kontrollen.
1. Haftungsfalle: Das C-Level (Geschäftsleitung) Organisations- und Auswahlverantwortung
Hier wird es für das C-Level und die Compliance-Abteilung ungemütlich, denn die BaFin sanktioniert nicht das „Gefühl“, sondern das konkrete Tun oder Unterlassen gegen die im WpIG und den MaRisk verankerten Pflichten.
Das C-Level haftet primär für die Organisations– und Auswahlverantwortung.
Für die Geschäftsleitung bedeutet die neue Rechtslage vor allem eines: Untätigkeit ist ein sanktionierbarer Verstoß.
-
Der Ressourcen-Engpass: Wenn Sie als Geschäftsleiter zulassen, dass die Compliance-Abteilung chronisch unterbesetzt ist und Kontrollen objektiv nicht mehr durchgeführt werden können, verstoßen Sie gegen AT 3. Die Quittung folgt über § 82 Abs. 1 Nr. 15 WpIG: Hier drohen Bußgelder von bis zu 5 Millionen Euro oder 10 % des Jahresumsatzes.
-
Der NPP-Blindflug: Wer neue Produkte (z. B. Krypto-Assets) am Markt platziert, ohne das zwingende schriftliche NPP-Konzept nach AT 8.1 persönlich zu genehmigen, begeht einen schweren Organisationsmangel. Neben Bußgeldern riskiert das C-Level hier den „Fit & Proper“-Status nach § 19 WpIG – im schlimmsten Fall droht die Abberufung durch die BaFin.
-
ESG-Ignoranz: Werden Nachhaltigkeitsrisiken in der Geschäftsstrategie entgegen AT 4.2 ignoriert, droht bei Verlusten die persönliche Innenhaftung nach § 43 Abs. 2 GmbHG. Sie haften dann mit Ihrem Privatvermögen für Schäden, die durch eine fehlerhafte strategische Risikoeinschätzung entstanden sind.
-
Der Kontrollverlust beim Outsourcing: Wer wesentliche Prozesse auslagert, ohne ein Monitoring-System nach AT 9 zu implementieren, macht das Institut zur „leeren Hülle“. Dies kann nicht nur Bußgelder nach sich ziehen, sondern bei Vorsatz sogar den Tatbestand der Untreue gemäß § 266 StGB erfüllen.
2. Haftungsfalle: Die Compliance-Funktion
Hier liegt das Risiko im Überwachungsversagen und in der Fehlinformation.
Der „Schönwetter-Bericht“ (Unterlassen):
Verstoß: Der Compliance-Beauftragte erkennt im Rahmen seines Monitorings schwerwiegende Defizite in der Anlageberatung, lässt diese aber im jährlichen Compliance-Bericht weg, um „keine Unruhe zu stiften“ (Verstoß gegen AT 4.4.2).
Folge: Arbeitsrechtliche Kündigung; bei Schäden Regress durch das Institut (§ 280 BGB). Strafrechtlich: Garantenstellung – Beihilfe durch Unterlassen zu Straftaten im Unternehmen (§ 13 StGB).
Ignoranz rechtlicher Neuerungen (Tun):
Verstoß: Compliance versäumt es, die neue MaRisk-Fassung 05/2026 zeitnah zu analysieren und das C-Level über notwendige Anpassungen zu informieren. Das Institut arbeitet nach veralteten Standards weiter.
Folge: Massive Reputationsschäden und Haftung für Bußgelder, die das Institut aufgrund der Falschberatung/Nichtberatung durch Compliance zahlen muss.
- NPP-Veto-Verzicht (Unterlassen):
Verstoß: Compliance wird am NPP-Prozess für ein hochriskantes Derivat beteiligt, winkt das Konzept aber trotz erkennbarer Rechtsmängel ohne Prüfung durch (Verstoß gegen AT 8.1).
Folge: Verletzung der Kernpflichten des Arbeitsvertrages; persönliche Mithaftung bei Schadensersatzansprüchen geschädigter Kunden.
