Eigenanlagen und Risikomessung
Rechtsstand: 10. September 2026 | Lesezeit: rund 12 Minuten | Erstveröffentlichung: 16. Juni 2020, vollständig überarbeitet
Die kurze Antwort ist unverändert: Das Fondsinvestment selbst ist keine Auslagerung. Die interessante Frage lag nie dort, sondern bei den Risikokennzahlen, die aus dem Fonds kommen. Und für die gibt es seit dem 30. Juni 2026 einen zweiten Prüfmaßstab, der die Diskussion verschiebt.
Der Erwerb von Fondsanteilen und die Vermögensverwaltung durch eine Kapitalverwaltungsgesellschaft sind keine Auslagerung im Sinne von AT 9 Tz. 1. Das Institut lagert keine eigene Tätigkeit aus, sondern erwirbt ein Anlageprodukt. Daran hat sich nichts geändert.
Anders liegt es bei den Risikokennzahlen. Übernimmt ein Institut von der Kapitalverwaltungsgesellschaft berechnete Werte weitgehend unreflektiert in die eigene Risikorechnung und ist die Fondsposition zugleich wesentlich, tritt die Zulieferung an die Stelle einer eigenen Tätigkeit. Genau das ist das Merkmal einer Auslagerung.
Neu ist der zweite Maßstab. Die MaRisk in der Fassung vom 30. Juni 2026 enthalten mit AT 4.3.4 ein eigenes Modul zur Verwendung von Modellen. Es gilt ausdrücklich auch für Modelle, die von einem Dritten entwickelt wurden. Damit ist die Verantwortung für zugelieferte Risikomodelle geregelt – unabhängig davon, wie die Auslagerungsfrage ausgeht.
Für die Geschäftsleitung heißt das: Die alte Ja-Nein-Frage verliert an Bedeutung. Wer extern berechnete Risikowerte nutzt, muss die Modellkonzeption kennen, die Angemessenheit vor dem Einsatz bewerten und regelmäßig validieren – ob die Zulieferung nun als Auslagerung eingestuft wird oder nicht.
AT 9 Tz. 1 definiert die Auslagerung als Beauftragung eines anderen Unternehmens mit der Wahrnehmung von Aktivitäten und Prozessen im Zusammenhang mit der Durchführung von Bankgeschäften, Finanzdienstleistungen oder sonstigen institutstypischen Dienstleistungen, die ansonsten vom Institut selbst erbracht würden.
Der letzte Halbsatz trägt die Antwort. Ein Institut, das Fondsanteile erwirbt, hätte die Portfolioverwaltung des Sondervermögens nicht selbst erbracht – es hat eine Anlageentscheidung getroffen. Die Tätigkeit der Kapitalverwaltungsgesellschaft tritt nicht an die Stelle einer eigenen Tätigkeit des Instituts, sondern ist Bestandteil des erworbenen Produkts.
Ergänzend stellt AT 9 Tz. 1 klar, dass zivilrechtliche Gestaltungen und Vereinbarungen das Vorliegen einer Auslagerung nicht von vornherein ausschließen können. Umgekehrt gilt aber ebenso: Die bloße Beteiligung eines Dritten macht aus einem Anlageprodukt keine Auslagerung.
Aus der Nichteinstufung folgt keine Freistellung von Risikomanagementpflichten. Die Fondsposition geht in die Risikoinventur nach AT 2.2 ein, sie ist Teil des Gesamtrisikoprofils, und die Anforderungen an Datenqualität und Risikosteuerung nach AT 4.3.2 gelten unverändert. Die Frage nach der Auslagerung ist eine Frage nach dem anwendbaren Pflichtenkatalog, nicht nach dem Ob der Steuerung.
Die Unterscheidung zwischen gelieferten Daten und gelieferten Ergebnissen trägt die gesamte Bewertung. Sie entscheidet darüber, ob das Institut eine eigene Tätigkeit behält oder abgibt.
| Sachverhalt | Was geliefert wird | Einordnung | Begründung |
|---|---|---|---|
| Erwerb von Fondsanteilen | Anlageentscheidung des Instituts | Keine Auslagerung | Keine Tätigkeit des Instituts wird übertragen |
| Portfolioverwaltung durch die KVG | Bestandteil des erworbenen Produkts | Keine Auslagerung | Wäre nicht vom Institut selbst erbracht worden |
| Lieferung von Rohdaten für die Durchschau | Datenbereitstellung zu den enthaltenen Positionen | Regelmäßig sonstiger Fremdbezug | Die Auswertung bleibt beim Institut |
| Lieferung fertiger Risikokennzahlen | Berechnete Werte, etwa Value at Risk | Einzelfallabhängig | Entscheidend ist, ob das Institut sie prüft oder übernimmt |
| Unreflektierte Übernahme bei wesentlicher Position | Übernahme ohne Plausibilisierung in die Risikorechnung | Auslagerungstatbestand | Die Zulieferung ersetzt eine eigene Tätigkeit |
| Digitale Bereitstellung der Daten | Übermittlung über eine IKT-Dienstleistung | Gesondert zu prüfen | Möglicher Anwendungsfall von Art. 3 Nr. 21 DORA |
Die Verwaltungspraxis zur vierten und fünften Zeile geht auf ein Schreiben der Aufsicht an die Deutsche Kreditwirtschaft und den Bundesverband Investment und Asset Management aus dem Jahr 2017 zurück. Dieses Schreiben war für die vorliegende Überarbeitung nicht abrufbar; die Darstellung stützt sich auf die seither etablierte Prüfungspraxis und sollte vor einer Einzelfallentscheidung gegen die aktuelle Verwaltungspraxis abgeglichen werden.
AT 4.3.4 ist der Grund, warum diese Seite überarbeitet gehört. Das Modul gilt für Modelle, die für die im Rundschreiben geregelten Prozesse eingesetzt werden – und ausdrücklich unabhängig davon, ob sie vom Institut selbst oder einem Dritten entwickelt wurden.
Ein Modell ist eine quantitative Methode, ein System oder ein Ansatz, der statistische oder mathematische Theorien, Techniken und Annahmen anwendet, um Eingabedaten zu quantitativen Schätzungen zu verarbeiten. Verfahren zur Risikoquantifizierung im Rahmen der Risikotragfähigkeit sind ausdrücklich genannt.
Die Wahl der Modelle liegt in der Verantwortung des Instituts. Die zugrundeliegenden Annahmen sind nachvollziehbar zu begründen (Tz. 2). Das gilt auch dann, wenn das Modell von der Kapitalverwaltungsgesellschaft stammt.
Angemessenheit und Eignung sind vor dem Einsatz zu bewerten und regelmäßig zu überprüfen. Das setzt hinreichende Kenntnisse über die Modell-Konzeption voraus, insbesondere zu wesentlichen Annahmen und Parametern sowie zu den einfließenden Daten.
Das Institut hat geeignete Verfahren zu implementieren, die die Qualität der zugrundeliegenden Daten sicherstellen. Qualitätsschwächen sollen erkannt und bereinigt werden (Tz. 3).
Angemessene Regelungen zur Verwendung der Modellergebnisse sind zu treffen; soweit relevant müssen sie auch Ausführungen zu Überschreibungen enthalten (Tz. 4).
Das Institut hat sich kritisch mit Grenzen und Beschränkungen auseinanderzusetzen und die Modelle regelmäßig zu validieren. Genauigkeit, Stabilität und Konsistenz sind regelmäßig zu analysieren (Tz. 5).
Damit verliert die alte Frage an Schärfe. Ob die Zulieferung als Auslagerung einzustufen ist oder nicht: Die inhaltliche Verantwortung für ein extern entwickeltes Risikomodell liegt in beiden Fällen beim Institut. Der Unterschied betrifft die zusätzlichen Pflichten aus AT 9 – Risikoanalyse, Vertrag, Register, Bericht.
AT 4.1 Tz. 9 regelt die Validierung im Kontext der Risikotragfähigkeit und enthält zwei Passagen, die für Fondspositionen unmittelbar einschlägig sind.
Werden zentral validierte Methoden und Verfahren eines externen Dienstleisters verwendet, hat das Institut die Ergebnisse der zentralen Validierung zur Kenntnis zu nehmen sowie eine institutsindividuelle Angemessenheitsprüfung der Parameter durchzuführen oder zu veranlassen.
Das ist eine Zweiteilung mit Folgen: Die Kenntnisnahme der fremden Validierung genügt nicht. Es braucht daneben eine eigene Prüfung, ob die Parameter für das eigene Haus angemessen sind. Sie darf veranlasst werden – die Verantwortung dafür bleibt aber beim Institut.
Die Erläuterung nennt den Fall ausdrücklich: Basiert die Risikoermittlung auf Berechnungen Dritter, zum Beispiel bei Fondsgesellschaften, muss sich das Institut aussagekräftige Informationen hierzu vorlegen lassen, insbesondere zu wesentlichen Annahmen und Parametern und zu deren Änderungen.
Im Rahmen einer Initialvalidierung ist die Angemessenheit der Methoden, Verfahren und Parameter bereits vor deren Einsatz zu überprüfen. Mindestens alle drei Jahre sowie anlassbezogen sind Folgevalidierungen durchzuführen. Für komplexe Methoden hat die Validierung unabhängig von der Modellentwicklung zu erfolgen; kleine Institute können auf diese Trennung verzichten.
Die Wesentlichkeit entscheidet darüber, ob aus einer unkritischen Übernahme ein Auslagerungstatbestand wird. Vier Punkte sind dafür maßgeblich.
Abzustellen ist auf die Gesamtheit aller Fondsinvestments, nicht auf die einzelne Anlage. Andernfalls ließe sich eine wesentliche Position durch Aufteilung auf mehrere Fonds in unwesentliche Teile zerlegen.
Nach AT 2.2 Tz. 1 muss sich die Geschäftsleitung regelmäßig und anlassbezogen im Rahmen einer Risikoinventur einen Überblick über die Risiken verschaffen. Dort gehört die Beurteilung hin.
Die Wesentlichkeit ist institutsindividuell zu beurteilen. Die MaRisk nennen in AT 2.2 eine Wesentlichkeitsschwelle von 5 Prozent des Risikodeckungspotenzials – allerdings bezogen auf Risikoarten in der ökonomischen Perspektive, nicht auf Fondspositionen. Als Orientierung taugt sie, als Automatismus nicht.
Ist die Gesamtfondsposition wesentlich, ist eine Durchschau auf Einzelpositionen erforderlich, um die Risikotragfähigkeit angemessen abbilden zu können. AT 4.3.2 verlangt, die für Beurteilung, Steuerung und Überwachung relevanten Daten vorzuhalten.
AT 2.2 verlangt, Risikokonzentrationen innerhalb einer Risikoart und über Risikoarten hinweg zu berücksichtigen. Bei Fonds mit ähnlicher Anlagestrategie oder überlappenden Positionen ist das der eigentliche Prüfpunkt.
Einstufung kritisch oder wesentlichWird ein Auslagerungstatbestand bejaht, greifen die Anforderungen des AT 9 – von der Risikoanalyse nach Tz. 2 über die Vertragsinhalte nach Tz. 7 bis zu Register und Bericht nach Tz. 12 und 13.
Pflichten im AuslagerungsmanagementDiese Befunde entstehen, wenn die Nichteinstufung als Auslagerung mit einer Freistellung verwechselt wird.
Der Value at Risk aus dem Fondsreporting wandert direkt in die Risikotragfähigkeitsrechnung. Genau diese Konstellation begründet bei wesentlicher Position einen Auslagerungstatbestand.
AT 4.3.4 gilt seit dem 30. Juni 2026 auch für Modelle Dritter. Wer das Modul nur auf eigenentwickelte Verfahren anwendet, hat eine Lücke.
Die 9. MaRisk-Novelle im ÜberblickMaßgeblich ist die Gesamtfondsposition. Eine Beurteilung je Fonds führt regelmäßig zu einem zu niedrigen Ergebnis.
AT 4.1 Tz. 9 verlangt neben der Kenntnisnahme der zentralen Validierung eine institutsindividuelle Prüfung der Parameter. Die Kenntnisnahme allein genügt nicht.
Ohne Zugriff auf Einzelpositionen lässt sich die Wesentlichkeit weder prüfen noch die Risikotragfähigkeit angemessen abbilden. Die Datenlieferung gehört vertraglich abgesichert.
Typische PrüfungsfeststellungenWird die Datenlieferung über eine IKT-Dienstleistung im Sinne von Art. 3 Nr. 21 DORA erbracht, greift ein anderes Regime. Diese Prüfung fehlt in den meisten Bestandsanalysen.
DORA und IKT-DrittanbieterSechs Fragen entlang der Prüfkette. Wähle je Zeile den zutreffenden Zustand; die Empfehlung erscheint darunter. Die Auswahl wird nicht gespeichert und nicht übertragen.
Ist die Wesentlichkeit der Gesamtfondsposition beurteilt und dokumentiert?
AT 2.2 Tz. 1 und 2 MaRisk
ErfülltDie Beurteilung liegt vor, bezieht sich auf die Gesamtposition und wird in der Risikoinventur fortgeschrieben.
TeilweiseDie Beurteilung erfolgt je Fonds. Stelle auf die Gesamtfondsposition um – das Ergebnis ändert sich häufig.
OffenOhne Beurteilung lässt sich die Folgefrage nach der Auslagerung nicht beantworten. Das ist der erste Schritt.
Werden extern gelieferte Risikokennzahlen plausibilisiert?
AT 4.1 Tz. 9 MaRisk
ErfülltPlausibilisierung und Angemessenheitsprüfung sind dokumentiert. Prüfe die Nachvollziehbarkeit an einem konkreten Wert.
TeilweiseDie Werte werden gesichtet, aber nicht geprüft. Der Unterschied entscheidet über die Einstufung als Auslagerung.
OffenEine unreflektierte Übernahme bei wesentlicher Position begründet einen Auslagerungstatbestand. Handlungsbedarf ist unmittelbar.
Ist AT 4.3.4 auf extern entwickelte Modelle angewendet?
AT 4.3.4 Tz. 1 und 2 MaRisk
ErfülltDas Modul ist auf zugelieferte Modelle angewendet, die Annahmen sind begründet und dokumentiert.
TeilweiseDas Modul ist bekannt, aber nur auf eigene Verfahren angewendet. Ziehe die Modelle Dritter nach.
OffenDas Modul gilt seit dem 30. Juni 2026 ausdrücklich auch für Modelle Dritter. Beginne mit der Bestandsaufnahme.
Liegen aussagekräftige Informationen zu Annahmen und Parametern vor?
Erläuterung zu AT 4.1 Tz. 9 MaRisk
ErfülltDie Informationen liegen vor und werden bei Änderungen aktualisiert. Verankere die Meldepflicht vertraglich.
TeilweiseInformationen liegen vor, Änderungen werden nicht nachgehalten. Genau darauf stellt die Erläuterung ab.
OffenOhne diese Informationen ist die Angemessenheitsprüfung nicht durchführbar. Fordere sie an.
Ist die Durchschau auf Einzelpositionen sichergestellt?
AT 4.3.2 Tz. 1 MaRisk
ErfülltDie Daten liegen in der erforderlichen Granularität vor. Prüfe Frequenz und Format.
TeilweiseEine Durchschau ist möglich, aber nicht vertraglich abgesichert. Nimm sie in die Vereinbarung auf.
OffenOhne Durchschau lässt sich bei wesentlicher Position die Risikotragfähigkeit nicht angemessen abbilden.
Ist geprüft, ob die Datenlieferung eine IKT-Dienstleistung ist?
Art. 3 Nr. 21 DORA, Erläuterung zu AT 9 Tz. 1 MaRisk
ErfülltDie Zuordnung liegt vor. Wiederhole sie bei Änderung des Bereitstellungswegs.
TeilweiseDie Frage ist gestellt, aber nicht entschieden. Halte das Ergebnis fest – es steuert das anwendbare Regime.
OffenOhne diese Prüfung bleibt offen, ob AT 9 oder das IKT-Drittparteienrisikomanagement greift.
Sechs Schritte, unabhängig vom Ergebnis der Einstufungsfrage.
Zwei Punkte. Erstens: Das Schreiben der Aufsicht an die Deutsche Kreditwirtschaft und den BVI aus dem Jahr 2017, auf das die Verwaltungspraxis zur unreflektierten Übernahme zurückgeht, war für diese Überarbeitung nicht abrufbar. Ob die Aufsicht ihre Linie nach der 9. MaRisk-Novelle unverändert fortführt, lässt sich daraus nicht ableiten.
Zweitens: Ob die digitale Bereitstellung von Fonds- und Risikodaten eine IKT-Dienstleistung im Sinne von Art. 3 Nr. 21 DORA darstellt, ist eine Einzelfallfrage, zu der aus den hier ausgewerteten Quellen keine allgemeine Aussage folgt. Wer sie bejaht, wechselt in ein anderes Regime – das sollte bewusst und dokumentiert geschehen.
Spezialfonds als Auslagerung – die Frage ist seit 2026 nicht mehr die entscheidende.
Wer die Modellverantwortung sauber aufsetzt, hat die Einstufungsfrage weitgehend entschärft. Wer sie umgeht, hat sie doppelt.
Nein. Der Erwerb von Fondsanteilen und die Vermögensverwaltung durch die Kapitalverwaltungsgesellschaft sind keine Auslagerung von Aktivitäten und Prozessen des Instituts im Sinne von AT 9 Tz. 1. Das Institut lagert keine eigene Tätigkeit aus, sondern erwirbt ein Anlageprodukt. Diese Handhabung ist in der Prüfungspraxis etabliert.
Wenn das Institut von der Kapitalverwaltungsgesellschaft ermittelte Risikokennzahlen weitgehend unreflektiert in die eigene Risikorechnung übernimmt und die Fondsposition zugleich wesentlich ist. Dann tritt die Zulieferung an die Stelle einer eigenen Tätigkeit – und genau das ist das Merkmal einer Auslagerung nach AT 9 Tz. 1.
Die Frage hat einen zweiten Prüfmaßstab bekommen. Das neue Modul AT 4.3.4 zur Verwendung von Modellen gilt ausdrücklich auch für Modelle, die von einem Dritten entwickelt wurden. Damit ist die Verantwortung für zugelieferte Risikomodelle unabhängig von der Auslagerungsfrage geregelt.
Werden zentral validierte Methoden und Verfahren eines externen Dienstleisters verwendet, hat das Institut die Ergebnisse der zentralen Validierung zur Kenntnis zu nehmen und eine institutsindividuelle Angemessenheitsprüfung der Parameter durchzuführen oder zu veranlassen. Die Erläuterung nennt Fondsgesellschaften ausdrücklich als Beispiel für Berechnungen Dritter.
Maßgeblich ist die Gesamtheit aller Fondsinvestments, nicht die einzelne Anlage. Die Beurteilung erfolgt im Rahmen der Risikoinventur nach AT 2.2 und ist institutsindividuell. Allgemeine prozentuale Richtwerte sind dafür wenig geeignet; die MaRisk nennen eine Wesentlichkeitsschwelle nur für Risikoarten in der ökonomischen Perspektive.
Ja, das ist die tragende Unterscheidung. Die reine Lieferung von Rohdaten für eine Durchschau ist typischerweise sonstiger Fremdbezug nach AT 9 Tz. 1. Erst die Lieferung fertig berechneter Risikokennzahlen, die das Institut ungeprüft übernimmt, verschiebt die Bewertung Richtung Auslagerung.
Primärquellen zuerst. Je Eintrag ist angegeben, wofür die Quelle in diesem Beitrag einsteht.
Die Frage nach Spezialfonds als Auslagerung berührt Abgrenzung, Einstufung und Modellverantwortung. Hier die angrenzenden Themen.
Hinweis zur Unabhängigkeit: Dieser Beitrag beschreibt Anforderungen und Bewertungsmaßstäbe neutral. Aussagen zu Produkten oder Gesellschaften einzelner Anbieter werden bewusst nicht getroffen.
Fondskennzahlen im Risikomanagement, aber ohne Modelldokumentation? Erst der Quick-Check.
Achim Schulz kennt die Führungsebene aus eigener Verantwortung – langjährig als Vorstand bei Banken und Geschäftsführer sowie als Interim-Manager in Industrieunternehmen. Diese Doppelperspektive aus Finanzsektor und Realwirtschaft prägt seine Beiträge für CEO, COO und CFO. Er kennt das Zusammenspiel von Geschäftsleitung, Aufsichtsrat und Gesellschaftern aus der Praxis und übersetzt strategische wie aufsichtsrechtliche Anforderungen in umsetzbare, haftungssichere Führungsentscheidungen – praxisnah und auf Augenhöhe mit dem Management.
LinkedIn-Profil → · Redaktion & Experten →Wir verwenden Cookies und ähnliche Technologien, um Ihre Erfahrung auf unserer Website zu verbessern. Weitere Informationen in unserer Datenschutzerklärung.