REGULIERUNG gerungen in
REGULIERUNG gerungen in AT 9 der MaRisk die Differenz zwischen den gegenwärtigen rechtlichen Anforderungen einerseits und den Vorgaben der EBA-Leitlinien andererseits nicht so groß sein wie in manch anderem EU-Mitgliedstaat, doch ändert dies nichts daran, dass der Status quo auch in Deutschland noch nicht vollständig den Standards der EBA-Leitlinien entspricht. Überblick zu wesentlichen Weiter entwicklungen Die Unterschiede beginnen bereits beim Anwendungsbereich. Während die MaRisk für Kreditinstitute und Finanzdienstleistungsinstitute anwendbar sind, erstreckt sich der Anwendungsbereich der EBA-Leitlinien auf Kreditinstitute und Wertpapierfirmen im Sinne der Verordnung (EU) Nr. 575/2013 sowie auf Zahlungsinstitute und E-Geld-Institute im Sinne der Richtlinie (EU) 2015/2366 bzw. der Richtlinie (EU) 2009/110/EG. Es gibt zwar Stimmen und insbesondere Bestrebungen der BaFin, die grundlegenden Prinzipien der MaRisk für Zahlungsinstitute und E-Geld-Institute als Ausdruck einer ordnungsgemäßen Geschäftsführung entsprechend anzuwenden, doch wird die Aufsicht nicht umhin kommen, vor dem Hintergrund der EBA-Leitlinien klare Verhältnisse zu schaffen und – in den MaRisk oder an anderer Stelle – eindeutig festzulegen, dass auch Zahlungsinstitute und E-Geld-Institute den noch zu ergänzenden Vorgaben für Auslagerungen in AT 9 der MaRisk unterliegen. Der umfassendere Ansatz der EBA-Leitlinien im Vergleich zu den MaRisk oder auch den gesetzlichen Vorgaben insbesondere in §§ 25b KWG, 80 Abs. 6 WpHG und Art. 30 ff. der Delegierten Verordnung (EU) 2017/565 zieht sich weiter durch viele Aspekte der Auslagerungsregulierung. Während etwa die EBA-Leitlinien bei geplanten Auslagerungen von kritischen Funktionen eine Informationspflicht gegenüber den zuständigen Aufsichtsbehörden vorsehen, ist dies für Institute derzeit regelmäßig nicht zwingend, sondern speziellen Konstellationen wie der Auslagerung interner Sicherungsmaßnahmen nach § 6 Abs. 7 GwG oder dem Outsourcing wesentlicher betrieblicher Aufgaben durch Zahlungsinstitute oder E-Geld-Institute gemäß § 26 Abs. 2 ZAG vorbehalten. Die EBA-Leitlinien gehen jedoch auch in inhaltlichen Punkten über die gegenwärtigen Vorgaben für Auslagerungen im deutschen Recht hinaus, auch wenn manche Unterschiede bloß terminologischer Natur sind oder sich daraus ergeben, dass in den EBA-Leitlinien sehr viel granularer auf Aspekte eingegangen wird, die materiell bereits von den MaRisk abgedeckt werden. So wird in den EBA-Leitlinien zwischen Auslagerungen kritischer oder wesentlicher Funktionen einerseits und den übrigen Auslagerungen andererseits unterschieden, während in § 25b Abs. 1 S. 1 KWG sowie in AT 9 MaRisk lediglich von wesentlichen Auslagerungen die Rede ist, ohne dass damit erhebliche Unterschiede einhergehen. Freilich werden in den EBA-Leitlinien die einzelnen Kriterien für die Einordnung als kritische bzw. wesentliche Auslagerung detaillierter vorgegeben. Vergleichbares gilt für die Anforderungen an die Auslagerungsrichtlinien, für die sich in den EBA-Leitlinien umfassende Vorgaben finden, während Auslagerungsrichtlinien zwar zum allgemein bekannten Standard des deutschen Aufsichtsrechts gehören, sie jedoch in den MaRisk eher beiläufig über den Verweis auf „einheitliche Rahmenvorgaben“ in AT 9 Tz. 2 MaRisk oder den allgemeinen Grundsatz prüfungsfähiger Organisationsrichtlinien in AT 5 MaRisk erwähnt werden. Dagegen findet sich in den EBA-Leitlinien ein umfangreicher Katalog mit den erforderlichen Inhalten von Auslagerungsrichtlinien, die den gesamten Zyklus einer Auslagerung von den Zuständigkeiten, der Planung einschließlich einer ausführlichen Due-Diligence-Prüfung künftiger Dienstleister und dem Verfahren zur Ermittlung, Bewertung, Steuerung und Minderung potenzieller Interessenkonflikte bis hin zur Überwachung sowie dem Management von Auslagerungen und Vorgaben für den Ausstieg aus Auslagerungsvereinbarungen abdecken. 42 04 // 2021
REGULIERUNG Geschäftsführung ist für die Überprüfung der Richtlinien zuständig Die gesteigerte Bedeutung von Auslagerungsrichtlinien wird auch dadurch deutlich, dass nach den EBA-Leitlinien die Geschäftsführung eines Instituts für die Genehmigung und die regelmäßige Überprüfung der Richtlinien zuständig ist und ggf. ihre Beteiligung an der Entscheidungsfindung zur Auslagerung wesentlicher Funktionen vorzusehen ist. Ausführlicher als in den MaRisk wird in den EBA-Leitlinien zudem auf die Bestimmungen eingegangen, die Verträge über wesentliche Auslagerungen zu enthalten haben. Die Unterschiede liegen insoweit eher im Detail, als etwa einem adäquaten Datenschutz größere Bedeutung beigemessen wird oder Einzelheiten zu erforderlichen Kündigungs-, Prüfungs- und Informationsrechten sowie zu quantitativen und qualitativen Leistungszielen verlangt werden, die ein laufendes Monitoring der Leistungen des Auslagerungsdienstleisters erleichtern sollen. Freilich zeigen die ersten Erfahrungen aus der Praxis, dass die ausführlicheren Regelungen nicht notwendigerweise zu weniger Diskussionen bei den Vertragsverhandlungen führen müssen, da sich beispielsweise bei den Vorgaben zu Kündigungen oder Informations- und Prüfungsrechten nach wie vor Spielräume für deren Auslegung ergeben. Gerade das Beispiel der Zugangs- und Prüfungsrechte beweist, dass Einzelheiten der EBA-Leitlinien Anpassungsbedarf im deutschen Recht nach sich ziehen können. Denn während es in den EBA-Leitlinien zunächst den Anschein hat, dass solche Prüfungs- und Zugangsrechte lediglich in Verträgen über wesentliche Auslagerungen vorzusehen sind. Wird bei genauerem Hinsehen deutlich, dass Institute auch bei nicht wesentlichen Auslagerungen risikobasiert solche Rechte vereinbaren sollen. Es wäre ohnehin ein Trugschluss, den EBA-Leitlinien ausschließlich Relevanz für wesentliche Auslagerungen beizumessen. Zwar wird in ihnen – insoweit vergleichbar dem Ansatz in AT 9 MaRisk – mit abnehmender Intensität der aufsichtsrechtlichen Anforderungen zwischen der Auslagerung wesentlicher bzw. kritischer Funktionen, Auslagerungen im Übrigen und sonstigem Fremdbezug unterschieden. Doch finden sich eben auch Vorgaben für nicht wesentliche Auslagerungen. Eine echte Neuerung ist hierbei die Pflicht zur Führung eines Auslagerungsregisters, in das sämtliche Auslagerungen eines Instituts aufzunehmen sind. Hierbei ist zwischen der Auslagerung wesentlicher Funktionen und sonstigen Auslagerungsvereinbarungen zu unterscheiden, zudem sind zusätzliche Begleitinformationen zu den betreffenden Auslagerungen aufzunehmen. Diese Informationen müssen zudem so aufbereitet sein, dass sie den Aufsichtsbehörden in einem elektronischen Format bereitgestellt werden können. Neue Akzentuierungen gibt es schließlich bei Auslagerungen innerhalb der Gruppe bzw. innerhalb eines institutsbezogenen Sicherungssystems, die im Ergebnis zu gewissen Privilegierungen solcher Auslagerungen führen, auch wenn die Verantwortlichkeit für die Erfüllung der regulatorischen Anforderungen auch in diesen Fällen vollständig bei dem auslagernden Institut verbleibt. Sechste MaRisk-Novelle Der vorstehende Überblick zu wesentlichen Regelungsgegenständen der EBA-Leitlinien hat bereits gezeigt, dass weder die gegenwärtig anwendbaren gesetzlichen Bestimmungen noch die derzeit gültige Fassung der MaRisk sämtliche Vorgaben der EBA-Leitlinien reflektiert. Angesichts der von der BaFin gegenüber der EBA angezeigten Absicht, diese Vorgaben erfüllen zu wollen, war zu erwarten, dass die BaFin ihre Vorschläge zur Überarbeitung der auslagerungsbezogenen Anforderungen innerhalb der MaRisk zur Konsultation stellen würde. Überraschend war allerdings angesichts der zeitlichen Vorgaben, dass die öffentliche Konsultation erst mit Schreiben der BaFin vom 26. Oktober 2020 initiiert wurde. Vorausgegangen war bereits ein intensiver Diskussionsprozess, insbesondere innerhalb des Fachgremiums MaRisk, dem neben Vertretern von BaFin und Deutscher Bundesbank Experten aus dem Kreis der Institute, Prüfer sowie der Verbände angehören. Bereits dieser Diskussionsprozess hat relativ lange gedauert, wenn berücksichtigt wird, dass die EBA-Leit linien bereits seit dem Februar 2019 vorliegen. Für den recht langen Zeitraum bis zum Start der öffentlichen Konsultation können neben unterschiedlichen Auffassungen zur sachgerechten Umsetzung der Leitlinien mehrere Gründe angeführt werden. Zunächst dürften aufgrund der Herausforderungen der Covid- 19-Pandemie andere Themen als die Umsetzung der EBA-Leitlinien im Fokus gestanden haben. Zudem sollen mit der nunmehr sechsten Novelle der MaRisk auch die EBA-Leitlinien zu notleidenden und gestundeten Risikopositionen (EBA/GL/2018/06) sowie die EBA-Leitlinien für das Management von IKT- und Sicherheitsrisiken (EBA/GL/2019/4) umgesetzt werden, sodass es nicht mit einer Überarbeitung der AT 9 MaRisk sein Bewenden haben kann. 04 // 2021 43
