Aktuelles aus dem Aufsichtsrecht & Meldewesen 01/2025

Im Zuge der Finalisierung von Basel III bzw. im Zuge der Veröffentlichung der finalen Regelwerke zur CRR III und zur CRD VI wurden in der CRD VI auch Ergänzungen vorgenommen, die sich auf das Management von ESG-Risiken beziehen.

So wurde der Artikel 76 CRD VI zur Ausgestaltung des Risikomanagements überarbeitet, um konkrete Vorgaben zum Management von ESG-Risiken aufzunehmen. Danach sollen Finanzunternehmen Pläne, Ziele und Prozesse zur Identifizierung, Steuerung und Überwachung von ESG-Risiken entwickeln und vorhalten. Dabei sollen auch transitorische Entwicklungen berücksichtigt werden.

Der ebenfalls neu hinzugefügte Artikel 87a CRD VI (ESG-Risiken) definiert hierzu konkreter, dass Banken ihre Analysen und Maßnahmen sowohl auf kurz-, mittelfristige- und langfristige Sicht (Zeithorizont von mindestens 10 Jahren) beziehen sollen. Auch sollen Banken ihre Widerstandsfähigkeit gegen ESG-Risiken regelmäßig testen.

Die nun final veröffentlichten Leitlinien der EBA konkretisieren die oben genannten allgemeinen Vorgaben der CRD VI.

Die EBA betonen dabei, dass nicht nur Umweltrisiken relevant sind, sondern dass auch soziale Risiken (ESG) eine Rolle spielen können, insbesondere bei Betrachtung von Geschäftspartnern (Counterparties) und Investitionsobjekten.

Die EBA-Leitlinien geben einen Rahmen für folgende Schritte vor:

• Identifizierung und Messung von ESG-Risiken
• Allgemeine Prinzipien zum Management von ESG-Risiken
• Strategie und Geschäftsmodell
• Risikoappetit
• Kultur und Kontrollen
• ICAAP und ILAAP
• Kreditprozesse
• Policies für Markt-, Liquiditäts-, Operationelle, Reputations- und Konzentrationsrisiken
• Überwachung

Außerdem sind den Leitlinien Vorgaben zur Ausgestaltung von Plänen zum Umgang mit ESG-Risiken zu entnehmen.

Die EBA hat den Entwurf einer Stellungahme zum Umgang mit dem Output-Floor im Zusammenhang mit dem aufsichtlichen Überprüfungsprozess (SREP) veröffentlicht. Die aufsichtliche Grundlage für dieses Mandat befindet sich in Art. 104a Abs. 6 der CRD VI.

Danach sollen die Aufsichtsbehörden sicherstellen, dass

1. sich der Nominalbetrag der zusätzlichen Eigenmittel, die von der für das Institut zuständigen Behörde gemäß Artikel 104 Absatz 1 Buchstabe a verlangt werden, um andere Risiken als das Risiko einer übermäßigen Verschuldung zu bewältigen, nicht erhöht, wenn das Institut dem Output-Floor unterliegt;
2. die verlangten zusätzlichen Eigenmittel keine Doppelungen enthalten, die bereits aufgrund der Einhaltung des Output-Floor abgedeckt sind.

Zu 1) stellt die EBA klar, dass diese Obergrenze bzw. temporary cap (bis zur Höhe der festgelegten zusätzlichen Eigenmittel) nur einmalig gelten soll, wenn der Output-Floor erstmalig anzuwenden ist. Die Obergrenze soll jedoch keine Anwendung finden, soweit die Aufsicht feststellt, dass Risiken nicht doppelt angerechnet werden würden, durch erhöhte Eigenmittelanforderungen. Die Institute sollen zudem vorab auch eigenständig ermitteln und melden, ob und inwieweit es zu einer Erhöhung der zusätzlichen Eigenmittel kommen würde, sobald der Output-Floor für das Haus relevant wird.

Zu 2) stellt die EBA klar, dass zur Identifizierung möglicher Doppelungen hinsichtlich möglicher zusätzlicher Eigenmittel ein tiefes fachlich/methodisches Verständnis der bisherigen individuellen P2R-Anforderung erforderlich ist. In diesem Zusammenhang hebt die EBA als eine wesentliche mögliche Ursache für mögliche Überlappungen zwischen der P2R-Anforderung und dem Output-Floor mögliche Add-ons für Modell-Schwächen bzw. model deficiencies hervor.

Die EBA weist auch darauf hin, dass die Institute die Auswirkungen aus einer möglichen Anwendung der Obergrenze sowie die Ergebnisse zur Analyse möglicher Doppelzählungen auch in ihrem Offenlegungsbericht (Säule 3) angeben sollten.

Die BaFin hat die Verbände darüber informiert, dass ab dem 17.01.2025 die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (Digital Operational Resilience Act, DORA) in Kraft getreten ist, die europaweit harmonisierte Regeln für das Management von Risiken der Informations- und Kommunikationstechnologie (IKT) sicherstellen soll.

Zu diesen Regeln gehören Anforderungen an den „regulären IKT-Risikomanagementrahmen“ und an die „Schlüsselprinzipien für ein solides Management des IKT-Drittparteienrisikos“ einschließlich der entsprechenden Delegierten Verordnungen 2024/1774 und 2024/1773.1. Diese Anforderungen decken im Wesentlichen die Aufsichtlichen Anforderungen der BaFin an die IT ab. Dazu gehören die „Bankaufsichtlichen Anforderungen an die IT“ (BAIT), die „Kapitalverwaltungsaufsichtlichen Anforderungen an die IT“ (KAIT), die „Versicherungsaufsichtlichen Anforderungen an die IT“ (VAIT) und die „Zahlungsdiensteaufsichtlichen Anforderungen an die IT“ von Zahlungs- und E-Geld-Instituten (ZAIT).

Um Doppelregulierung zu vermeiden und die Komplexität der regulatorischen Anforderungen zu verringern, wurden bzw. wird daher die KAIT, VAIT und ZAIT vollständig zum 17.01.2025 und die BAIT schrittweise zum 31.12.2026 aufgehoben.

In einem ersten Schritt wird der Anwenderkreis der BAIT reduziert: Mit Ablauf des 16.01.2025 werden Institute, die ab dem 17.01.2025 ein IKT-Risikomanagement nach Art. 5-15 oder Art. 16 DORA betreiben müssen, aus dem Anwenderkreis der BAIT ausgenommen. Mit Ablauf des 31.12.2026 treten die BAIT vollständig außer Kraft.