KAMaRisk-Novelle 2026, für Ihre Compliance wäre nicht nur die Funktionstrennung ratsam.

1. Die harte Umsetzungsfrist (9-Monats-Frist)

• Die Frist: Die neuen Anforderungen des geänderten Abschnitts 5 (Kreditgeschäft) müssen exakt neun Monate nach der Veröffentlichung der finalen Fassung auf der Internetseite der BaFin umgesetzt sein.
  
  
• Die Konsequenz: Es gibt keine weiche Schonfrist. Der Abschlussprüfer ist regulatorisch verpflichtet, die konkreten Umsetzungsschritte direkt in der nächsten anstehenden Abschlussprüfung darzustellen und zu prüfen.

2. Der dreiphasige Praxis-Fahrplan (Interne Projektfristen)

Laut der To-Do-Liste der Excel-Datei unterteilt sich der unmittelbare Fahrplan in drei zeitliche Blöcke:

• Phase 1 – Sofort (Monat 1–2):

  Akuter Handlungsbedarf für Compliance. Hierunter fallen die Inventur der Kreditvergabestrukturen, die Berechnung der 150-%-Quote bei Gesellschafterdarlehen, die formale Gap-Analyse der Richtlinien sowie die Prüfung von Stellungnahmen zur Konsultation.

• Phase 2 – Vorbereitung (Monat 3–5):

  Konzeptionelle Ausgestaltung. Entscheidung über den Umbau von Marktfolgeprozessen, schriftliche Fixierung der neuen Covenant-, Limit- und Prolongationsverfahren sowie die vertragliche Einbindung von Zweckgesellschaften (SPVs).

• Phase 3 – Nach finaler Fassung (Monat 6–9):

Technischer Rollout. Anpassung der IT-Rechtekonzepte, Durchführung von Systemtests und finale Abnahme durch die Fachbereiche vor dem Stichtag der Abschlussprüfung.

3. Fortlaufende, turnusmäßige Fristen (Dauerpflichten)

Sobald die Novelle greift, müssen regulatorische Zyklen zwingend eingehalten werden:

• Mindestens jährlich:

Überprüfung und Aktualisierung sämtlicher Strategien, Verfahren und Prozesse zur Bewertung des Kreditrisikos und zur Überwachung des Kreditportfolios (§ 29a Abs. 5a KAGB i.V.m. Abschnitt 5.1).

• Mindestens jährlich:

Durchführung der Bonitäts- und Adressenausfallrisiko-Beurteilung für bestehende Engagements (Abschnitt 5.3.1).

• Mindestens jährlich / Unverzüglich:

Die Interne Revision muss mindestens einmal jährlich über Mängel berichten. Werden jedoch besonders schwerwiegende Mängel identifiziert, ist das C-Level verpflichtet, den Aufsichtsrat unverzüglich in Kenntnis zu setzen (Abschnitt 12.5).

1.) Pflichten für das C-Level (Geschäftsleitung)

a.) Strategische Richtungsentscheidung zum Zwei-Voten-Prozess:

Das C-Level muss formal entscheiden, ob die Marktfolge-Organisation und die Zwei-Voten-Prozesse beibehalten oder (wo risikoorientiert zulässig) zwecks Entlastung abgebaut werden.

b.) Sicherstellung der Unabhängigkeit auf Führungsebene:

Die Geschäftsleitung muss garantieren, dass das Risikocontrolling bis zur Vorstandsebene hierarchisch und funktionell vom Fondsmanagement getrennt bleibt (Art. 42 Abs. 2 AIFM-VO, § 29 Abs. 6 KAGB).

c.) Durchgriff auf Sonderstrukturen (SPVs):

Das C-Level steht in der Pflicht, Verträge und Governance so zu gestalten, dass Kreditvergabezweckgesellschaften und externe Portfoliomanager sämtliche KAMaRisk-Vorgaben lückenlos einhalten.

d.) Unverzügliche Berichtspflicht an den Aufsichtsrat:

Bei von der Internen Revision gemeldeten besonders schwerwiegenden Mängeln muss die Geschäftsleitung den Aufsichtsrat ohne schuldhaftes Zögern (unverzüglich) informieren.

2. Pflichten für Compliance & Risikomanagement

a.) Umfassende Gap-Analyse & SfO-Update:

Compliance muss die Schriftlich fixierte Ordnung (Organisationsrichtlinien, Kredithandbuch, Risk Management Policy, Revisionsordnung) lückenlos an die neue Konsultationsfassung anpassen.

b.) Quoten-Ermittlung und Monitoring bei Gesellschafterdarlehen:

Compliance muss sofort die Nominalwerte je AIF erheben, um die 150-%-Grenze zu überwachen. Als Bezugsgröße für das „Kapital des AIF“ ist das investierbare Kapital anzusetzen und ein Frühwarnsystem (z. B. bei 130 %) aufzusetzen.

c.) Formalisierung von Limit- und Covenant-Verfahren:

Es müssen schriftliche Verfahren für den Umgang mit Limitüberschreitungen sowie standardisierte Prozesse für Covenant-Verstöße und Prolongationen implementiert werden.

d.) Wissenschaftsbasierte ESG- und IKT-Integration:

Nachhaltigkeitsrisiken müssen als verbindliche Risikotreiber in das Risikotragfähigkeitskonzept integriert werden. IKT-Risiken sind explizit als wesentliches Risiko zu steuern.

e.) Etablierung von Plausibilisierungspflichten:

Bei indirekter Kreditvergabe über nicht regulierte Dritte muss Compliance prozessual sicherstellen, dass die Bonitäts- und Sicherheitenprüfungen des Partners aktiv plausibilisiert werden.

f.) Umsetzung des Revisions-Cooling-off:

Für die Interne Revision muss ein striktes 12-Monats-Cooling-off für Mitarbeiter etabliert und überwacht werden, um Unabhängigkeitskonflikte auszuschließen.

1. Haftungsrisiken für das C-Level (Geschäftsleitung)

a.) Durchgriffshaftung bei Fehlverhalten von Zweckgesellschaften (SPVs)

• Das Risiko: Das Rundschreiben stellt unmissverständlich klar, dass die KVG (und damit die Geschäftsleitung) die volle Verantwortung dafür trägt, dass von ihr beherrschte Kreditvergabezweckgesellschaften alle KAMaRisk-Vorgaben lückenlos erfüllen.

• Haftungsfolge: Setzt ein SPV die Prozesse zur Kreditbearbeitung oder Risikoeinstufung mangelhaft um, kann sich das C-Level nicht auf die rechtliche Eigenständigkeit der Zweckgesellschaft berufen. Es droht eine direkte Haftung wegen Verletzung der führungsmäßigen Organisations- und Überwachungspflichten (§ 28, § 29a KAGB).

b.) Persönliche Haftung bei Scheitern der Funktionstrennung

• Das Risiko: Die Unabhängigkeit des Risikocontrollings vom operativen Geschäft (Fondsmanagement) muss zwingend bis auf die Ebene der Geschäftsleitung durchgezogen werden (Art. 42 Abs. 2 AIFM-VO, § 29 Abs. 6 KAGB).

• Haftungsfolge: Kommt es aufgrund einer fehlerhaften („durchströmten“) Aufbauorganisation zu unentdeckten Risikokonzentrationen oder Kreditausfällen, haften die Geschäftsführer persönlich im Innenverhältnis gegenüber der KVG wegen Pflichtverletzung (§ 43 GmbHG bzw. § 93 AktG), da eine Kernvorgabe der ordnungsgemäßen Geschäftsorganisation missachtet wurde.

c.) Organisationsverschulden bei Quotenüberschreitungen (Gesellschafterdarlehen)

• Das Risiko: Wird die neue 150-%-Grenze bei Gesellschafterdarlehen überschritten, ohne dass das vollumfängliche Kreditrisikomanagement nach Abschnitt 5 aktiviert wird, liegt ein schwerer regulatorischer Verstoß vor.

• Haftungsfolge: Das C-Level trägt das Risiko des Organisationsverschuldens. Bei Verlusten in den betroffenen Fonds drohen Schadensersatzklagen der Investoren wegen Verletzung der gesetzlichen Anlage- und Risikogrenzen.

d.) Ad-hoc-Haftung bei verzögerter Mängelberichterstattung

• Das Risiko: Stellt die Interne Revision besonders schwerwiegende Mängel fest, ist die Geschäftsleitung verpflichtet, den Aufsichtsrat unverzüglich zu unterrichten (Abschnitt 12.5).

• Haftungsfolge: Verzögert das C-Level diese Meldung (z. B. um den Mangel erst intern „still“ zu beheben) und entsteht in dieser Zeit ein finanzieller oder reputativer Schaden, haftet die Geschäftsleitung vollumfänglich für die verschleppte Ad-hoc-Meldung.

2. Haftungsrisiken für Compliance / Risikomanagement

a.) Haftung wegen unzureichender Plausibilisierung von Drittdaten

• Das Risiko: Bei drittinitiierten Geschäften (z. B. Darlehenserwerb über nicht regulierte Partner) fordert die BaFin eine aktive, dokumentierte Plausibilisierung der Kreditwürdigkeit und der Sicherheitenwerte.

• Haftungsfolge: Verlässt sich Compliance blind auf die Unterlagen des Dritten und fällt das Darlehen wegen vorab erkennbarer Mängel aus, droht dem Compliance-Verantwortlichen ein Haftungsrisiko wegen unzureichender Kontrollprozesse („Überwachungsverschulden“).

b.) Sonderhaftung gegenüber dem Abschlussprüfer

• Das Risiko: Da die Umsetzungsschritte der 9-Monats-Frist explizit im nächsten Prüfbericht des Abschlussprüfers darzustellen sind, rückt Compliance in den Fokus der Testatserteilung.

• Haftungsfolge: Liegen zum Prüfungsstichtag keine ausreichenden schriftlichen Verfahren für Limitüberschreitungen, Covenants oder Prolongationen vor, droht eine Einschränkung des Prüfungsvermerks oder eine formale Rüge der BaFin. Dies führt im schlimmsten Fall zur aufsichtsrechtlichen Abberufung wegen mangelnder fachlicher Eignung.

c.) Revisions-Haftungsfalle beim „Cooling-off“

• Das Risiko: Das strikte 12-Monats-Verbot für Revisionsmitarbeiter, operativ begleitete Prozesse zu prüfen, ist eine harte Compliance-Vorgabe (Abschnitt 12.3).

• Haftungsfolge: Wird dieses Verbot (oft aus Personalmangel) missachtet, verliert der Revisionsbericht seine aufsichtsrechtliche Gültigkeit. Compliance haftet für die Implementierung eines fehlerhaften und unwirksamen Kontrollsystems.

3. Allgemeine regulatorische Sanktionen (BaFin)

Bei systemischen Verstößen gegen diesen Pflichtenkatalog drohen der KVG als Institut:

• Geldbußen wegen Ordnungswidrigkeiten (Verstoß gegen geänderte KAGB-Verweisnormen).

• Leverage-Beschränkungen oder das Verbot der Kreditvergabe für einzelne Fonds durch die BaFin.

• Ein empfindlicher Reputationsschaden durch das potenzielle „Naming and Shaming“ (Veröffentlichung von Sanktionen) auf der BaFin-Website.