Risk Assessment Compliance – Dein Leitfaden für eine wirksame Risikoanalyse

Die Risikoanalyse verfolgt ein klares Ziel: alle relevanten rechtlichen Risiken zu identifizieren, zu bewerten und durch wirksame Maßnahmen zu steuern. Dabei geht es nicht nur um klassische Felder wie WpHG, GwG oder WpIG, sondern auch um Datenschutz, Verbraucherschutz und Zahlungsdienste.

Wichtig: Nicht alles gehört in den Scope. Arbeitsrecht, Steuerrecht oder Kartellrecht fallen nur dann in deine Betrachtung, wenn sie Schnittstellenrisiken für dein Institut schaffen. Das Fachkonzept sorgt so für Fokus und Effizienz.

Damit du das Risk Assessment korrekt aufsetzt, musst du die wichtigsten Rechtsgrundlagen kennen:

• § 25a KWG: Verpflichtet Institute zu einer ordnungsgemäßen Geschäftsorganisation inklusive unabhängiger Compliance-Funktion.

• § 33 WpIG: Spezifische Anforderungen für Wertpapierinstitute.

• GwG: Zentrale Vorschriften zur Verhinderung von Geldwäsche und Terrorismusfinanzierung.

• Datenschutz (DSGVO, BDSG): Verstöße ziehen hohe Bußgelder und Reputationsschäden nach sich.

• Verbraucherschutz: Regelt u. a. AGB, Verbraucherdarlehen und Zahlungsdienste.

Dazu kommen die MaRisk (AT 4.4.2), die MaComp sowie Prüfungsstandards wie IDW PS 982. Auf europäischer Ebene geben die EBA-Guidelines und internationale Standards von BCBS oder ESMA die Richtung vor.

Methodik des Risk Assessments

Die Risikobewertung ist ein fünfstufiger Prozess:

1. Bestandsaufnahme
   – Erfasse deine Geschäftsaktivitäten, Produkte, Vertriebskanäle, Organisation und IKT-Systeme.
   – Analysiere regulatorisches Umfeld und bestehende Kontrollen.

2. Identifikation von Risiken
   – Pflege ein Legal Inventory mit allen relevanten Gesetzen.
   – Trenne klar: Was gehört in deinen Scope? Was nicht?
   – Analysiere mögliche Risiken, z. B. durch Änderungen der Marktbedingungen.

3. Kategorisierung und Bewertung
   – Nutze ein Scoring-Modell mit den Dimensionen:

   • Risk Impact (RI) – Schadenshöhe, Reputationsrisiken, rechtliche Folgen.

   • Entdeckungsrisiko (ER) – Wahrscheinlichkeit, dass Risiken unentdeckt bleiben.

   • Eintrittswahrscheinlichkeit (EW) – wie wahrscheinlich ein Risiko tatsächlich eintritt.

4. Maßnahmen entwickeln
   – Setze präventive und korrektive Kontrollen auf.
   – Dokumentiere Verantwortlichkeiten, Fristen und Wirksamkeitsindikatoren.

5. Überprüfung & Weiterentwicklung
   – Kontrolliere regelmäßig die Wirksamkeit.
   – Nutze Prüfungsberichte, OpRisk-Datenbanken und Lessons Learned.
   – Stelle sicher, dass dein Prozess dynamisch und anpassungsfähig bleibt.

Das Scoring-Modell – Herzstück der Bewertung

Ein mehrdimensionales Scoring-Modell macht Risiken vergleichbar und prüfungssicher.

• 3 Punkte = niedriges Risiko

• 6 Punkte = mittleres Risiko

• 9 Punkte = hohes Risiko

Die Gesamtrisiko-Punktzahl errechnet sich aus:

RI × ER × EW = Gesamtrisiko

Damit stellst du sicher, dass Risiken nicht nur nach Schadenshöhe, sondern auch nach Erkennbarkeit und Wahrscheinlichkeit gewichtet werden.

Beispiel:

Ein Risiko mit

• RI = hoch (9),

• ER = mittel (6),

• EW = hoch (9)

ergibt 486 Punkte.
→ Klar oberhalb der Wesentlichkeitsgrenze (109 Punkte) und damit wesentlich.

Wesentlichkeit als Steuerungsgröße

Die Wesentlichkeitsgrenze von 109 Punkten ist entscheidend:

• Unterhalb: Dokumentation reicht, keine intensive Bearbeitung nötig.

• Oberhalb: Vertiefte Analyse und priorisierte Maßnahmen erforderlich.

So konzentrierst du deine Ressourcen auf die Risiken, die dein Institut wirklich bedrohen.

Bruttorisiko und Nettorisiko

Um die Wirksamkeit deiner Maßnahmen zu zeigen, unterscheidest du:

• Bruttorisiko (inhärent): Risiko ohne jegliche Kontrollen.

• Nettorisiko (Restrisiko): Risiko nach Einführung deiner Maßnahmen.

Diese Differenzierung macht transparent, was du tatsächlich bewirkst. Akzeptierst du das Restrisiko, reduzierst du es oder eliminierst du es durch zusätzliche Maßnahmen? Diese Fragen gehören ins Reporting an die Geschäftsleitung.

Interne Sicherheitsvorkehrungen

Deine Ergebnisse münden in ein Set von internen Präventionsmaßnahmen. Beispiele:

• PM 1: Compliance-Strategie & CMS nach MaRisk.

• PM 2: Regelmäßige und Ad-hoc-Berichte an Vorstand und Aufsichtsorgane.

• PM 5: Permanentes Rechtsmonitoring.

• PM 6: Integration ins interne Kontrollsystem.

• PM 8: Schulungen für Mitarbeiter.

Alle Maßnahmen werden nach dem IDW PS 982-Schema dokumentiert: WER? WAS? WIE? WO? WANN?

Integration ins Drei-Linien-Modell

Das Risk Assessment ist nicht isoliert, sondern eingebettet in das Governance-System:

1. Erste Linie – Geschäftsbereiche: Verantwortung für die regelkonforme Umsetzung.

2. Zweite Linie – Compliance-Funktion: unabhängige Überwachung und Beratung.

3. Dritte Linie – Interne Revision: unabhängige Prüfung der Angemessenheit und Wirksamkeit.

So schaffst du ein belastbares Kontrollsystem, das regulatorischen Prüfungen standhält.

Angemessenheit und Wirksamkeit

Ein zentraler Punkt: Nicht nur die Maßnahmen aufschreiben – sondern prüfen, ob sie wirklich wirken.

• Angemessenheit: Stimmen Prozesse und Regelwerke mit den Anforderungen überein?

• Wirksamkeit: Wurden sie tatsächlich umgesetzt und haben sie das Risiko reduziert?

Dafür nutzt du Prüfungen, interne Kontrollen, externe Audits und OpRisk-Datenbanken.

Dokumentation und Reporting

Dein Risk Assessment ist nur so gut wie seine Dokumentation.
Du musst sicherstellen, dass die Ergebnisse:

• nachvollziehbar,

• prüfbar,

• aktuell und

• adressatengerecht aufbereitet sind.

Berichte gehen regelmäßig an Vorstand, Aufsichtsorgane und bei Bedarf an BaFin oder externe Prüfer. Wesentliche Risiken musst du Ad-hoc (innerhalb von 5 Werktagen) melden.

Governance- und Eskalationsmatrix

Eine klare Matrix sorgt für Struktur:

• Wesentliche Risiken → sofortige Meldung an Vorstand/CEO/CCO, Maßnahmenplan erforderlich.

• Nicht wesentliche Risiken → periodisches Reporting an das Compliance-Komitee.

Das schafft Transparenz und verhindert, dass Risiken „unter den Tisch fallen“.

Dein Nutzen als Compliance Officer

Ein strukturiertes Risk Assessment bietet dir viele Vorteile:

• Prüfungssicherheit gegenüber Aufsicht und Abschlussprüfern.

• Transparente Risikolandschaft, die jederzeit belegbar ist.

• Effiziente Ressourcennutzung durch Priorisierung nach Wesentlichkeit.

• Integration in Governance und Risikomanagement, sodass Compliance kein Fremdkörper, sondern Teil der Unternehmenssteuerung ist.

• Stärkung der Risikokultur: Mitarbeiter werden sensibilisiert, Führungskräfte eingebunden.

Fazit

Ein Risk Assessment Compliance nach MaRisk ist weit mehr als eine regulatorische Pflicht.
Es ist das strategische Werkzeug, mit dem du:

• Risiken systematisch erkennst,

• Maßnahmen priorisierst,

• Restrisiken steuerst und

• dein Institut langfristig vor Sanktionen, finanziellen Verlusten und Reputationsschäden schützt.

Wenn du den Prozess konsequent umsetzt, baust du Vertrauen auf – intern wie extern – und sicherst die Zukunftsfähigkeit deines Instituts.