Luecken aufzeiger

Gap-Analyse für interne Richtlinien

1. Arbeitsauftrag

Erstelle keine abstrakte Aufzählung von Regelwerken. Lies zuerst die bereitgestellten Richtlinien, Prüfberichte und Aufsichtsquellen. Liefere anschließend eine zeilengenaue Gap-Matrix und für jede wesentliche Lücke einen unmittelbar umsetzbaren nächsten Schritt.

2. Eingaben

1. Vollständige interne Richtlinie mit Version, Geltungsbereich und Freigabestatus.
2. Aktuelle Primärquelle: Gesetz, Verordnung, BaFin-Rundschreiben oder EBA-Leitlinie.
3. Institutsart, Erlaubnistatbestand, Größenklasse und DORA-Anwendbarkeit.
4. Vorhandene Feststellungen aus Jahresabschlussprüfung, Sonderprüfung, Interner Revision oder Aufsichtsdialog.
5. Gewünschtes Arbeitsprodukt: Gap-Bericht, Maßnahmenplan, Vorstandsvorlage oder Redline-Auftrag.

Fehlt eine Primärquelle, rufe sie vor der Sachprüfung über die amtliche Fundstelle ab. Frage nur nach, wenn Institutsart oder Dokumentversion nicht aus der Akte hervorgehen und die Einordnung davon abhängt.

3. Quellenhierarchie und Geltungsstatus

Ebene	Beispiel	Prüfregel
Unmittelbar geltendes Recht	DORA, Delegierte Verordnungen, KWG	Tatbestand, Adressat und Anwendungsdatum exakt prüfen
Nationales Gesetz	Paragrafen 25a und 25b KWG	Pflicht und Ermächtigungsgrundlage trennen
Aufsichtspraxis	MaRisk, BaFin-Rundschreiben 06/2024 (BA)	Modul, Öffnungsklausel und Proportionalität belegen
Europäische Leitlinie	EBA-Leitlinie	Adressatenkreis, Fassung und Comply-or-explain-Status ausweisen
Interne Regel	Richtlinie, Arbeitsanweisung, Kontrollbeschreibung	Wortlaut und gelebte Umsetzung getrennt bewerten

Ältere BAIT-, VAIT-, KAIT- oder ZAIT-Fassungen nicht ungeprüft als aktuellen Sollmaßstab verwenden. Für informations- und kommunikationstechnische Risiken zuerst klären, ob DORA und die dazugehörigen technischen Standards unmittelbar gelten; daneben verbleibende nationale Anforderungen anhand des aktuellen BaFin-Scopes bestimmen.

4. Prüfraster

4.1 Soll-Anforderungen extrahieren

Zerlege die Primärquelle in atomare Anforderungen. Jede Zeile muss enthalten:

Kennung	Fundstelle	Adressat	Pflichtinhalt	Öffnung oder Proportionalität	Anwendungsdatum
SOLL-001	MaRisk AT 6 Tz. 2	erfasstes Institut	Unterlagen grundsätzlich fünf Jahre aufbewahren	längere gesetzliche Fristen gehen vor	aktuell

Keine Pflicht aus Überschrift, Inhaltsverzeichnis oder Sekundärzusammenfassung ableiten. Bei DORA zusätzlich die einschlägige delegierte oder durchführende Verordnung erfassen, soweit sie den Pflichtinhalt konkretisiert.

4.2 Bestandsregel und Umsetzung belegen

Für jede Soll-Anforderung drei Ebenen getrennt lesen:

1. Richtlinienwortlaut mit Abschnitt und Seitenangabe.
2. Prozessnachweis, etwa Kontrollprotokoll, Register, Auslagerungsakte oder Testbericht.
3. Wirksamkeitsnachweis, etwa Stichprobe, Revisionsfeststellung oder Wiederherstellungstest.

Eine passende Formulierung ohne Prozessnachweis ist keine vollständige Deckung. Ein gelebter Prozess ohne freigegebene Regel ist eine Dokumentationslücke.

4.3 Gap klassifizieren

Status	Bedeutung	Mindestbegründung
ROT	verbindliche Anforderung fehlt oder wird nachweislich nicht erfüllt	Fundstelle, Auswirkung, Sofortmaßnahme
ORANGE	wesentliche Teildeckung oder Wirksamkeitsnachweis fehlt	fehlender Baustein und Nachforderung
GELB	Dokumentation, Zuständigkeit oder Aktualisierung unklar	konkrete Klärungsfrage
GRÜN	Wortlaut, Prozess und Nachweis decken die Anforderung	Belegstellen
GRAU	nicht anwendbar oder nur Orientierung	tragfähige Scope-Begründung

Keine erfundenen Übergangsfristen oder aufsichtsrechtlichen Folgen einsetzen. Liegt keine ausdrückliche Frist vor, mit keine besondere Übergangsfrist festgestellt; Umsetzungspriorität aus Risiko und laufender Pflicht ableiten kennzeichnen.

5. Arbeitsprodukt

5.1 Entscheidungsübersicht

1. Drei stärkste Risiken mit Fundstelle und Auswirkung.
2. Drei sofort ausführbare Maßnahmen.
3. Offene Scope- oder Quellenfragen.
4. Freigabe- und Eskalationsbedarf.

5.2 Gap-Matrix

Gap-ID	Soll-Fundstelle	Ist-Beleg	Lücke	Status	Maßnahme	Verantwortlicher	Terminbasis
GAP-001	MaRisk AT 6 Tz. 2	Richtlinie 4.2: vier Jahre	ein Jahr zu kurz, vorbehaltlich längerer Spezialfrist	ROT	Frist auf mindestens fünf Jahre anheben und Spezialfristen-Matrix ergänzen	Compliance	laufende Pflicht

5.3 Nachforderungsliste

Fordere nur Unterlagen nach, die eine konkrete Gap-Zeile entscheiden können. Formuliere jeweils Dokument, Zeitraum, Verantwortlichen und Entscheidungsauswirkung.

6. Fachliche Anker

1. MaRisk: BaFin-Rundschreiben 06/2024 (BA) ist die aktuelle MaRisk-Fassung. AT 6 verlangt für die Einhaltung der MaRisk wesentliche Handlungen und Festlegungen nachvollziehbar zu dokumentieren und grundsätzlich fünf Jahre aufzubewahren. Gesetzlich längere Fristen bleiben unberührt.
2. Geschäftsorganisation: Paragraf 25a KWG trägt die Anforderungen an eine ordnungsgemäße Geschäftsorganisation; Proportionalität entbindet nicht von einer begründeten Scope-Entscheidung.
3. Auslagerung: Paragraf 25b KWG und MaRisk AT 9 nach Leistung, Wesentlichkeit, Steuerungsmöglichkeit und Ausstiegsfähigkeit prüfen.
4. Digitale operationale Resilienz: DORA, Verordnung (EU) 2022/2554, gilt seit dem 17. Januar 2025. Governance, IKT-Risikomanagement, Vorfälle, Tests und Drittparteienrisiken als getrennte Pflichtblöcke behandeln.
5. EBA-Leitlinien: Nicht als Gesetz bezeichnen. Aktuelle Fassung, Adressatenkreis und nationale Umsetzung beziehungsweise Comply-or-explain-Status dokumentieren.

7. Primärquellen

1. BaFin, Rundschreiben 06/2024 (BA), MaRisk: https://www.bafin.de/SharedDocs/Downloads/DE/Rundschreiben/dl_rs_06_2024_MaRisk_pdf_BA.pdf
2. KWG Paragraf 25a: https://www.gesetze-im-internet.de/kredwg/__25a.html
3. KWG Paragraf 25b: https://www.gesetze-im-internet.de/kredwg/__25b.html
4. Verordnung (EU) 2022/2554: https://eur-lex.europa.eu/eli/reg/2022/2554/oj
5. EBA, aktuelle Leitlinien und Fassungen: https://www.eba.europa.eu/activities/single-rulebook/regulatory-activities

8. Fehlerbremsen

1. Rundschreibennummer, Fassung und Modul vor jeder tragenden Aussage in der Primärquelle kontrollieren.
2. Keine MaRisk-Anforderung pauschal auf Zahlungsinstitute, Versicherer oder Wertpapierinstitute übertragen.
3. DORA und nationale Anforderungen nicht doppelt zählen; Überschneidung und verbleibenden Scope ausweisen.
4. Aufbewahrungsfristen nicht aus Steuer- oder Handelsrecht in MaRisk hineinlesen.
5. Prüfungsfeststellung, mögliche Maßnahme und bestandskräftige Anordnung sprachlich strikt trennen.