24. August 2026
Kleine und mittlere Wertpapierinstitute erhalten erstmals ein eigenes aufsichtsrechtliches Regelwerk für ihr Risikomanagement. Mit dem Rundschreiben 09/2026 (WA) hat die BaFin am 24. August 2026 die finale Fassung der WpI MaRisk vorgelegt. Bis zum Geltungsbeginn am 1. Januar 2027 bleiben den Instituten rund vier Monate, um Governance, Risikoprozesse und die Schriftlich fixierte Ordnung anzupassen.
Die WpI MaRisk treten zum 1. Januar 2027 in Kraft und ersetzen die bisherige sinngemäße Anwendung der MaRisk – Mindestanforderungen an das Risikomanagement (BA) für die Ausgestaltung des Risikomanagements in deutschen Finanzdienstleistungsinstituten und Kreditinstituten. Diese müssen künftig nur noch von großen Wertpapierinstituten und Kreditinstituten angewendet werden.
Die BaFin verfolgt mit den WpI MaRisk ausdrücklich das Prinzip der doppelten Proportionalität. Die Anforderungen sollen sich an Größe, Geschäftsmodell und Risikoprofil des Wertpapierinstituts orientieren.
Für kleine und mittlere Wertpapierinstitute kommen insbesondere folgende Erleichterungen in Betracht. Ihre Inanspruchnahme ist risikoorientiert zu begründen und nachvollziehbar zu dokumentieren.
Erleichterungen für einbezogene Wertpapierinstitute können sich ergeben durch:
- die Zusammenlegung von Funktionen in Personalunion, sofern Interessenkonflikte angemessen beherrscht werden,
- vereinfachte Risikomanagement- und Berichtsprozesse,
- schlankere Stresstests,
- keine Übernahme des vollen bankaufsichtlichen Risikotragfähigkeitskonzepts,
- eine stärkere Orientierung an den Vorgaben des Wertpapierinstitutsgesetzes (WpIG) sowie an der Investment Firm Regulation (IFR) und der Investment Firm Directive (IFD) anstelle bankaufsichtlicher Anforderungen des KWG,
- vereinfachte Lösungen im Bereich der Internen Revision abhängig von Größe und Risiko des Wertpapierinstituts; die BaFin nennt allerdings Regelbeispiele, bei deren Vorliegen sie erhöhte Anforderungen erwartet, etwa eine unabhängige Interne Revisionseinheit beim Vertrieb komplexer Produkte
Die WpI MaRisk verlangen auch künftig:
- die Formulierung einer Geschäfts- und Risikostrategie
- eine mindestens jährliche Risikoinventur mit Fokus auf wesentliche Risiken
- die Implementierung eines Internen Kontrollsystems (IKS)
- die Einrichtung einer Compliance-Funktion
- angemessene Risikomanagementprozesse
- ein Notfall- und Geschäftsfortführungsmanagement
- ein Auslagerungs- und IKT-Drittparteienmanagement
- die Beachtung von DORA
Alle Umsetzungsmaßnahmen sind in der Schriftlich fixierten Ordnung, in Organisationsrichtlinien und in Prozessbeschreibungen zu dokumentieren. Praktisch bedeutet das: Bis zum 31. Dezember 2026 sollten Institute eine Gap-Analyse gegen die WpI MaRisk durchführen, Geschäfts- und Risikostrategie sowie Risikoinventur aktualisieren, die Aufgaben von Compliance, Risikocontrolling und Interner Revision überprüfen und jede in Anspruch genommene Erleichterung risikoorientiert begründen. So ist die Umsetzung auch in Prüfungen belastbar nachweisbar.
Sollten wir mit unseren Ausführungen ihr Interesse für einen weiteren Austausch geweckt haben oder sollten sie Rückfragen haben, kommen sie jederzeit auf uns zu.
