die bank 10 // 2023

REGULIERUNG Z Abschnitt

REGULIERUNG Z Abschnitt 5 EBA-Leitlinien: Mit Blick auf die Verfahrensvorgaben für die Kreditvergabe hat sich die BaFin für einen Verweis auf die Regelungen EBA-Leitlinien entschieden (Erläuterung zu BTO 1.2.1 Tz. 1 MaRisk). Z Abschnitt 6 EBA-Leitlinien: Die inhaltlichen Vorgaben an eine risikobasierte Bepreisung von Krediten wurden größtenteils bereits in den bisherigen MaRisk adressiert, sodass insofern lediglich punktuelle Ergänzungen erfolgten (BTO 1.2 Tz. 7 MaRisk inkl. Erläuterung). Z Abschnitt 7 EBA-Leitlinien: Dieser Abschnitt betrifft die Anforderungen an die Bewertung von Sicherheiten bei der Kreditvergabe sowie die Überwachung und Neubewertung solcher Sicherheiten. Die BaFin setzt die Vorgaben zum einen durch Verweis auf die EBA-Leitlinien (Erläuterungen zu BTO 1.2 Tz. 3, BTO 1.2.1 Tz. 2 und BTO 1.2.2 Tz. 3 MaRisk), zum anderen durch detaillierte (dem Text der EBA- Leitlinien entsprechende) Regelungen zu sogenannten fortgeschrittenen statistischen Bewertungsmodellen in Bezug auf Sicherheiten um (BT 1.2.1 Tz. 2 MaRisk). Z Abschnitt 8 EBA-Leitlinien: In Bezug auf die Anforderungen an die laufende Überwachung des Kreditrisikos verweisen die MaRisk nunmehr auf die EBA-Leitlinien (Erläuterung zu AT 4.3.2 Tz. 1). Daneben wurden die MaRisk um das Modul AT 4.3.5 ergänzt. Dieses statuiert Anforderungen an die Anwendung, Datenqualität, Validierung und Erklärbarkeit von sogenannten Modellen. Soweit sich Modelle auf die Bereiche der Kreditvergabe und Kreditwürdigkeitsprüfung beziehen, werden hiermit zugleich die Anforderungen der EBA-Leitlinien (Abschnitte 4.3.3 und 4.3.4) umgesetzt. Das neue Modul umfasst darüber hinaus auch sonstige Modelle im Rahmen des Risikomanagements (Ausnahme: Modelle im Anwendungsbereich der Verordnung (EU) Nr. 575/2013 (CRR)). Ein „Modell“ im Sinne der MaRisk ist eine quantitative Methode, ein System oder ein Ansatz, der statistische oder mathematische Theorien, Techniken und Annahmen anwendet, um Eingabedaten zu quantitativen Schätzungen zu verarbeiten (Erläuterung zu AT 4.3.5 Tz. 1 MaRisk). Dem Konzept des Modells liegt dabei ein technologieoffenes Verständnis zugrunde, sodass die Anforderungen etwa auch bei – in Zukunft voraussichtlich besonders relevanten – Modellen im Bereich Künstlicher Intelligenz gelten (vgl. AT 4.3.5 Tz. 1 MaRisk). Bei der Verwendung von Modellen müssen Institute die diesen jeweils zugrunde gelegten Annahmen nachvollziehbar begründen. Angemessenheit und Eignung des Modells sind vor dessen Einsatz zu bewerten bzw. hiernach regelmäßig zu überprüfen (AT 4.3.5 Tz. 2 MaRisk). Ferner sind die Qualität der den Modellen zugrunde gelegten Daten zu gewährleisten (AT 4.3.5 Tz. 3 MaRisk) und angemessene Regelungen zur Verwendung der Modellergebnisse (inklusive des Umgangs mit vom Modell abweichenden Werte) zu treffen (AT 4.3.5 Tz. 4 MaRisk). Auch sind Modelle (in Anbetracht der Grenzen und Beschränkungen, der zugrunde liegenden Annahmen und der verwendeten Daten) kritisch zu prüfen, zu validieren und die Qualität der Modellergebnisse regelmäßig zu analysieren (AT 4.3.5 Tz. 5 MaRisk). Schließlich müssen Institute ihre Modelle auch hinreichend erklären können (AT 4.3.5 Tz. 6 MaRisk). Dazu müssen sie in der Lage sein, Wirkungszusammenhänge zwischen 52 10 | 2023

REGULIERUNG Eingangs- und Ausgangsgrößen aufzuzeigen (Erläuterung zu AT 4.3.5 Tz. 6 MaRisk). Dieses Erfordernis wird gerade bei Verwendung technologiegestützter Modelle (gegebenenfalls unter Einsatz Künstlicher Intelligenz) zukünftig von erheblicher Praxisrelevanz sein. Der konkrete Umfang der vorstehenden Anforderungen im Rahmen des Moduls AT 4.3.5 richten nach der Komplexität des Modells, seiner Bedeutung für das Risikomanagement sowie den Risiken, die mit seiner Anwendung einhergehen (vgl. die Erläuterung zu AT 4.3.5 Tz. 1 als spezielle Ausprägung des Proportionalitätsgrundsatzes). ESG-Risiken Bereits in ihrem Merkblatt zum Umgang mit Nachhaltigkeitsrisiken vom 20. Dezember 2019 (Merkblatt) hat die BaFin betont, dass ESG-Risiken für das Risikomanagement von Instituten verstärkt relevant werden. Dabei stellen ESG-Risiken nach Lesart der BaFin keine separate Risikoart dar. Vielmehr wirken sie auf alle in den MaRisk genannten Risikokategorien ein. Obwohl diese Systematik strenggenommen bereits eine Verpflichtung zur Berücksichtigung von ESG-Risken unter dem bestehenden Rechtsrahmen hätte begründen können, ging die Aufsicht im Merkblatt zunächst noch davon aus, dass sich Institute mit den Auswirkungen von ESG-Risiken lediglich auseinandersetzen und diesen Prozess dokumentieren sollten. Insoweit sollten die Anforderungen des Merkblatts lediglich ein „Kompendium unverbindlicher Verfahrensweisen“ bzw. „Good- Practice-Ansätze“ sein. Im Rahmen der aktuellen Novelle überführt die BaFin die zentralen Inhalte des Merkblatts in die MaRisk und schreibt diese damit als verbindliche (wohlgemerkt vorbehaltlich des Rechtscharakters der MaRisk als bloße Verwaltungsvorschriften) Anforderungen an das Risikomanagement fest. In Zukunft müssen Institute eine – gemessen an ihrem jeweiligen Geschäftsmodell und Risikoprofil – angemessene Strategie zur Berücksichtigung von ESG-Risiken vorhalten. Insofern gilt wiederum der Proportionalitätsgrundsatz, sodass die konkret erforderlichen Strukturen, Prozesse und Methoden davon abhängen, inwiefern ESG-Risiken für ein konkretes Institut relevant sind. In der Praxis dürfte die zutreffende Messung und Steuerung von ESG-Risiken Institute aktuell vor gewisse methodische Schwierigkeiten stellen. So fehlen in weiten Teilen noch historische Datenbestände zu ESG-Risikofaktoren. Auch die Vielzahl häufig über längere Zeiträume zu berücksichtigender Faktoren sowie die Ungewissheit zukünftiger Klimaund Politikszenarien erschweren die Erfüllung der neuen Anforderungen. Gleichwohl hat die Aufsicht im Begleitschreiben zur MaRisk-Novelle an die Spitzenverbände der Deutschen Kreditwirtschaft (Begleitschreiben) deutlich die Erwartungshaltung formuliert, dass Institute ihre bisherigen Prozesse anpassen und Mess-, Steuerungs- und Risikominderungsinstrumente zum Umgang mit ESG-Risiken neu entwickeln sollen. Dabei dürfen sie im Rahmen der Risikoklassifizierung – solange die unzureichende Datenqualität dies praktikabel erscheinen lässt – ESG-Scores für die Bewertung von Bonität und Kreditwürdigkeit heranziehen. 10 | 2023 53