Am 27. Januar 2025 haben die BaFin und Bundesbank ihre diesjährigen Aufsichtsschwerpunkte im Aufsichtsbriefing vor insgesamt 3.500 Teilnehmern vorgetragen.
Die Aufsicht betonte vorwiegend die geopolitischen und makroökonomischen Rahmenbedingungen, die für die Real- und Finanzwirtschaft mit vielfältigen Herausforderungen verbunden sind. Hierbei standen die folgenden Fragen im Mittelpunkt:
- Welche Risiken hat die Aufsicht für die deutschen Kreditinstitute identifiziert und welche aufsichtlichen Schwerpunkte und Handlungsfelder leiten sich daraus ab?
- Welche Pläne verfolgt die Aufsicht mit Blick auf digitale Risiken?
- Welche Erwartungen hat die Aufsicht im Hinblick auf den Umgang mit Gewerbeimmobilien sowie die Governance der Institute?
Aus Sicht des SSM (Single Supervisory Mechanism) wirken sich geopolitische Risiken über folgende Transmissionskanäle auf die Banken aus:
- Finanzmarktkanal: Die Aufsicht beobachtet hier eine hohe und plötzlich auftretende Volatilität, die zu Preiseinbrüchen sowie zu höherer Risikoaversion bei Investoren führt. Es ist nicht unwahrscheinlich, dass die Kursturbulenzen 2025 zunehmen.
Für die betroffenen Institute bedeutet dies u. a., dass Sachwerte, Wertpapiere und Sicherheiten unter Druck geraten und Wertminderungen zu Abschreibungen sowie höherem Risikokapitalbedarf führen könnten. - Realwirtschaftlicher Kanal: Zunehmende international ausgetragene Handelskonflikte, Lieferkettenprobleme und diesbezügliche Unsicherheiten können sich auf die Auftragslage und folglich Erträge bzw. Profitabilität der Unternehmen auswirken. Dies sorgt wiederum für höhere Ausfallrisiken, Vorsorgeaufwendungen und damit geringere Erträge bei den finanzierenden Banken.
Für die Institute bedeutet dies eine vorausschauende risikoadjustierte Kapital- und Ertragsplanung zur Sicherstellung der Risikotragfähigkeit unter Berücksichtigung adverser Szenarien und Stressfallbetrachtungen. - Sicherheitskanal: Hybride Bedrohungen sind allgegenwärtig und bedeuten physische und Cyber-Gefahren.
Risikoinventur im Zeichen des disruptiven Wandels
Folgerichtig sollten Banken im Rahmen ihrer Risikoinventur und -analyse die Auswirkung dieser Risikofaktoren über die vorgenannten Transmissionskanäle auf die Vermögens-, Ertrags- und Liquiditätslage des Instituts bestimmen und entsprechende Maßnahmen treffen. Zudem besteht Sorge, dass disruptiv wirkende Ereignisse und die mit hohen Unsicherheiten behafteten Risikoannahmen die tradierten Risikomessverfahren und -methoden überfordern. Daher mahnt die Aufsicht zu einem holistischen Ansatz im Risikomanagement mit effektiven und auch qualitativen Prozessen.
Auf die folgenden Risiken hat die Aufsicht schwerpunktmäßig ein besonderes Augenmerk:
Kreditrisiken
Im Zuge realwirtschaftlicher Risikotransmission nehmen Ausfallrisiken zu. Eine signifikante Zunahme an Unternehmensinsolvenzen hat schmerzhafte Spuren im Kreditportfolio der Institute hinterlassen. Dies hatte eine höhere Risikovorsorge und NPL-Quote (+1,8 % in Q4/24 / 20 % Anstieg gegenüber Vorjahresquartal) zur Folge. Betroffen waren insbesondere Gewerbeimmobilienkredite (NPL-Quote 4,5 %). Trotz gewisser Anzeichen für einen Stopp des Preisverfalls, dürften sich laut Aufsicht bislang nicht alle Risiken in den Bilanzen der Institute materialisiert haben.
Folgende Fragen wird die Aufsicht 2025 im Blick haben:
- Wie entwickeln sich die Kreditvergabestandards?
- Wie die Kreditausfallquoten und
- wie die Werte der Sicherheiten?
Zudem wird überprüft, wie betroffene Institute mit Auffälligkeiten bei den Ergebnissen ihrer LSI-Stresstests umgehen und diese adressieren. Das Kreditgeschäft und vorwiegend das Unternehmens- und Gewerbeimmobilienkreditportfolio werden zum Gegenstand von Sonderprüfungen, den sogenannten 44er-Prüfungen. Depot-A-Positionen und Eigenanlagen von Banken in Immobilien stehen ebenfalls im Fokus.
Für die Institute ist eine vorausschauende Steuerung erforderlich. Vornehmlich sollte die noch gute Ertragslage für eine hinreichende Dotierung der Risikovorsorge genutzt werden.
Zinsrisiken
Nach einer langen Niedrigzinsphase mit teilweise negativen Zinsen kam die Zinskurve zurück. Die Ertragslage der Institute konnte sich zwischenzeitlich infolge hoher Zinserträge verbessern. Jedoch verstärken sich Anzeichen für einen Rückgang des Zinsüberschusses. Ein Zinsrückgang bei gleichzeitigem Rückgang der Kreditnachfrage könnte sich nachteilig auf den Zinsüberschuss auswirken, da auf der Aktivseite weniger verdient werden kann und die niedrigen Einlagenzinsen nicht signifikant gesenkt werden können. Der Wettbewerb um Liquidität und knapperes Zentralbankgeld könnte wieder zunehmen, was die Treasury und das Liquiditätsmanagement vor Herausforderungen stellt.
Hieraus resultieren zwei Konsequenzen. Erstens wird sich die Branche auf niedrigere Zinserträge einstellen müssen. Zweitens stehen die Institute vor der großen Herausforderung, ihre Geschäftsmodelle im Rahmen des digitalen Wandels zukunftsorientiert aufzustellen. Auf Basis der derzeit noch guten Ertragslage sollten daher die Mittel für erforderliche Zukunftsinvestitionen und den Ausbau der digitalen Infrastruktur verwendet werden. Dies schafft nachhaltig Effizienzen in der Kostenstruktur und stärkt die Wettbewerbsfähigkeit.
Operationale Resilienz gegen IKT-Risiken und Cyberkriminalität
Der Ausbau der digitalen Systeme kann ein nachhaltiger Erfolgsfaktor für das Geschäftsmodell sein. Aufgrund der wachsenden Cybergefahren und -angriffe auf ebendiese Infrastrukturen erhöht sich jedoch die Risikolage durch diesen Transmissionskanal für die Institute. IKT-Sicherheit wird daher zum relevanten Faktor. Institute müssen ihre digitale Widerstandsfähigkeit sicherstellen. Das hierfür erforderliche Set an technischen und organisatorischen Maßnahmen, Vorkehrungen und Prozessen sollte einen höchstmöglichen Schutz vor IKT-Risiken bieten und vor den Auswirkungen schwerwiegender IKT-Vorfälle zur Aufrechterhaltung des Geschäftsbetriebes schützen.
Banken müssen sich daher verstärkt mit diesen operationellen Risiken auseinandersetzen und für eine nachhaltige digitale Resilienz Sorge tragen. Seit dem 17. Januar 2025 ist DORA (Verordnung EU 2022/2554) verpflichtend und damit auch für Banken von entscheidender organisatorischer und strategischer Bedeutung. DORA gibt Finanzunternehmen klare Anforderungen und Pflichten zur Sicherung ihrer digitalen Betriebsstabilität und Minimierung von Risiken im Bereich IKT vor.
IKT-Sicherheit ist damit Aufsichtsschwerpunkt und sollte auch hohe Priorität bei den Bankenvorständen einnehmen. Die Verantwortung liegt aber nicht nur bei den Instituten, sondern auch bei Dienstleistern, insbesondere den großen Mehrmandantendienstleistern. Die Aufsicht wird hierzu Konzentrationen bei Auslagerungen ermitteln und eine Cyber-Risikolandkarte erstellen.
Operationelle Risiken und Governance
Die Anforderungen an das Risikomanagementsystem und deren Funktionsfähigkeit steigen. Wie bereits erwähnt, können tradierte Risikomanagementverfahren die aktuelle Bedrohung und Risikolage nur unzureichend abdecken. Das Bewusstsein und die Verantwortung beginnt gewissermaßen „from the top“ und betrifft alle Bereiche und Funktionen einer Bank im Rahmen einer angemessenen Unternehmens- und Risikokultur. Das Interne Kontrollsystem (IKS) als effektives Instrument zur Mitigation operationeller Risiken und deren organisatorische Verankerung im sogenannten TLoD (Third Line of Defense) Modell kommt dabei eine hohe Bedeutung zu. Risk Awareness ist kein verordneter Zustand, sondern ein gelebter Prozess, der nicht mit der obligatorischen Risikoinventur endet. Die Aufsicht zeigt sich beunruhigt über festgestellte erhebliche Defizite in der Governance und den daraus folgenden Problemen. Folgende Elemente stehen bei der Beurteilung der Wirksamkeit des IKS im Vordergrund:
- Die Effektivität der Kontrollfunktion.
- Klare und nachvollziehbare Prozesse zur Vermeidung von Interessenkonflikten.
- Die Evidenz für eine tatsächlich gelebte und angemessene Risikokultur.
Governance als dritte Säule des House of SREP stärker im Fokus der Aufsicht
Kreditinstitute müssen kompetent geführt werden, um über eine effektive Geschäftsorganisation (Risikomanagementorganisation gemäß § 25a KWG) verfügen. Zu ernsten Problemen führten zumeist Geschäfte, deren Risikogehalt von der Geschäftsleitung nicht verstanden wurde und für welche die organisatorischen Voraussetzungen für ein effektives Risikomanagement unzureichend waren. Führungsversagen oder Mängel in den Aufsichtsorganen lassen auf Mängel bei der Governance, Risikokultur und IKS schließen. Die Aufsicht macht unmissverständlich deutlich, dass sie Mängel in der Governance nicht dulden wird und droht mit entsprechenden Sanktionen. Auffälligkeiten bei der Wirksamkeit des IKS und Governance werden u. a. durch SREP-Zuschläge geahndet und können unter Umständen die Geschäftsführereignung infrage stellen. Die Funktion des Aufsichtsorgans bei der qualifizierten Überwachung der Entwicklung und Wirksamkeit des IKS und des Risikomanagements sollte weiter gestärkt werden.
ESG und digitale Transformation bleiben Mittel- und Langfristthema der Aufsicht
- Vor dem Hintergrund, der sehr umfangreichen und granularen europäischen Regulierungsanstrengungen zur Erreichung der Pariser Klimaziele, sieht die Aufsicht die Machbarkeit bei der Umsetzung kritisch, da sie die Institute überfordert. Die Aussetzung der CSRD um zwei Jahre wird daher begrüßt. Dennoch stellen Klima- und Umweltrisiken eine große Bedrohung dar, die sich über die Transmissionskanäle auf bankgeschäftliche Risiken auswirken können. Die Auseinandersetzung und Berücksichtigung mit diesen Risiken im Rahmen des Risikomanagements und in der Strategie bleiben daher unbenommen.
- Mit der digitalen Transformation und deren disruptiven Wirkung auf Wertschöpfungsprozesse sind auch erhebliche Risiken verbunden. Einerseits sind, wie erwähnt, erhebliche Investitionen in neue Technologien erforderlich und andererseits steigen mit den Chancen auch die operationellen Risiken, da Technik anfällig ist und der Schutz ebenfalls erhebliche Ressourcen bindet.
- Von der Aufsicht wurde ein weiterer Risikofaktor für das Geschäftsmodell der Banken identifiziert: der demografische Wandel. Der qualifizierte Fachkräftemangel ist nicht nur eine Gefahr für das Wirtschaftswachstum, sondern stellt auch Banken vor Probleme, ihren Aufgaben gerecht zu werden.
Hier schließt sich der Kreis im Hinblick auf Chancen, die der digitale Fortschritt und der Einsatz von Zukunftstechnologien bieten. Dadurch könnten Kapazitätsengpässen entgegengewirkt und Prozesse effektiver und effizienter gestaltet werden. Ein Beispiel stellt die Automation des IKS dar. Lösungsansätze könnten sein:
- Vereinfachung komplexer Kontrollen
- Erhöhung systembasierter Kontrollen
- Digitale sowie intelligente Ansätze (KI) optimieren Ressourcen- und Risikoallokation durch Weiterentwicklung des IKS von manuellen zu automatisierten Kontrollen und Berichtswesen
- Reduzierung redundanter Kontrollen
- Synchronisation und Konsistenz im Risiko-Datenmanagement
- Gewährleistung Audit Readiness
Ein modernes – digitales – IKS könnte also freie Ressourcen schaffen, ohne dabei zum Risikofaktor zu werden.
Mit automatisierten Kontrollen kann sichergestellt werden, dass wesentliche Geschäftsprozesse und -aktivitäten möglichst effektiv, effizient und fehlerfrei ablaufen können, wie dies bereits im Rahmen der Fraud Detection durch den Einsatz von KI erfolgreich möglich ist.
