Richtlinien neufassung

Aufsichtsrechtliche Richtlinie neu fassen

1. Start mit dem vorhandenen Material

Lies zuerst Bestandsrichtlinie, Gap-Matrix, Primärquellen, Organisationsplan und vorhandene Kontrollnachweise. Beginne anschließend unmittelbar mit einer Änderungslandkarte und dem Entwurf. Frage nur nach einer Information, ohne die sich Adressat, Pflichtinhalt oder Freigabekompetenz nicht bestimmen lässt.

2. Eingaben

1. Bestandsrichtlinie mit Version und Freigabestatus.
2. Belegte Gap-Zeilen mit Fundstellen.
3. Aktuelle Primärquellen.
4. Institutsart, DORA-Scope und einschlägige Proportionalitätsentscheidung.
5. Organigramm, Rollenmodell und vorhandene Kontrollfrequenzen.
6. Gewünschtes Format: Neufassung, Redline, Vorstandsvorlage oder Umsetzungsplan.

3. Änderungskarte

Vor dem Formulieren jede Änderung zuordnen:

Änderung	Primärquelle	Bestandsstelle	Regelungsziel	Prozessfolge	Freigabe
Aufbewahrung anpassen	MaRisk AT 6 Tz. 2	Richtlinie 4.2	grundsätzlich mindestens fünf Jahre	Löschkonzept ändern	Geschäftsleitung

Ein Quellenanker darf nur den Inhalt tragen, der aus ihm folgt. Spezialgesetzliche längere Aufbewahrungsfristen in einer gesonderten Fristenmatrix erfassen und nicht als MaRisk-Inhalt ausgeben.

4. Entwurfsarchitektur

4.1 Mindestbestandteile

1. Zweck und Regelungsziel.
2. Persönlicher, sachlicher und organisatorischer Geltungsbereich.
3. Begriffe und Abgrenzungen.
4. Verantwortlichkeiten mit Entscheidung, Ausführung und Kontrolle.
5. Prozessschritte mit Auslöser, Frist und Nachweis.
6. Kontrollen, Eskalation und Berichterstattung.
7. Ausnahmen mit Genehmigungs- und Dokumentationsweg.
8. Aufbewahrung, Versionierung, Schulung und Inkrafttreten.

4.2 Redline-Regel

Zeige für jede Änderung Alttext, Neutext, Grund und operative Folge. Vermeide rein dekorative Umformulierungen. Eine neue Pflicht muss erkennen lassen, wer was wann anhand welcher Unterlage tut und wie die Erfüllung nachgewiesen wird.

5. Norm- und Statuskontrolle

Quelle	Einsatz im Entwurf
Paragraf 25a KWG	Geschäftsorganisation, Risikomanagement und Verantwortung
Paragraf 25b KWG	Auslagerungssteuerung und Kontrollrechte
MaRisk RS 06/2024 (BA)	aktuelle Aufsichtspraxis, modulgenau zitieren
DORA	unmittelbar geltende IKT-Pflichten seit 17. Januar 2025
Delegierte oder Durchführungsverordnung zu DORA	technische Konkretisierung, nur bei tatsächlicher Einschlägigkeit
EBA-Leitlinie	Fassung, Adressatenkreis und Comply-or-explain-Status nennen

Vor jeder Neufassung prüfen, ob ein älteres xAIT-Dokument durch DORA oder eine geänderte BaFin-Verlautbarung im konkreten Scope überholt ist. Kein aufgehobenes oder sachlich verdrängtes Rundschreiben als alleinige Normgrundlage verwenden.

6. Beispiel: Aufbewahrung in einer Risikomanagementrichtlinie

6.1 Befund

Die Bestandsrichtlinie sieht vier Jahre vor. MaRisk AT 6 Tz. 2 verlangt für wesentliche Handlungen und Festlegungen grundsätzlich fünf Jahre; längere gesetzliche Fristen bleiben unberührt.

6.2 Redline

4.2 Aufbewahrung

Die für die Einhaltung der MaRisk wesentlichen Handlungen und Festlegungen
werden nachvollziehbar dokumentiert und grundsätzlich mindestens fünf Jahre
aufbewahrt. Gesetzlich oder vertraglich erforderliche längere Fristen gehen vor.

Der Dokumenteneigentümer ordnet jede Dokumentenkategorie vor der Ablage der
maßgeblichen Frist aus der freigegebenen Fristenmatrix zu. Compliance prüft die
Fristenmatrix jährlich und anlassbezogen nach Rechtsänderungen.

6.3 Umsetzungsfolge

1. Fristenmatrix und Löschkonzept anpassen.
2. Betroffene Systeme und Archivklassen bestimmen.
3. Verantwortliche und Kontrollnachweis festlegen.
4. Widersprüche zu Spezialfristen bereinigen.
5. Freigabe, Kommunikation und Wirksamkeitskontrolle terminieren.

7. Freigabepaket

Liefere zusammen mit dem Richtlinientext:

1. Änderungsübersicht mit Quellen und Risikobezug.
2. Offene Punkte und bewusst getroffene Scope-Entscheidungen.
3. Prozess- und Systemänderungen.
4. Schulungs- und Kommunikationsbedarf.
5. Freigabematrix und Inkraftsetzungsdatum.
6. Erste Wirksamkeitskontrolle mit Verantwortlichem und Termin.

Keine konkrete Organfreigabe behaupten, ohne Satzung, Geschäftsordnung und Delegationslage geprüft zu haben.

8. Primärquellen

1. BaFin, Rundschreiben 06/2024 (BA), MaRisk: https://www.bafin.de/SharedDocs/Downloads/DE/Rundschreiben/dl_rs_06_2024_MaRisk_pdf_BA.pdf
2. KWG Paragraf 25a: https://www.gesetze-im-internet.de/kredwg/__25a.html
3. KWG Paragraf 25b: https://www.gesetze-im-internet.de/kredwg/__25b.html
4. Verordnung (EU) 2022/2554: https://eur-lex.europa.eu/eli/reg/2022/2554/oj
5. EBA, aktuelle Regelwerke: https://www.eba.europa.eu/activities/single-rulebook/regulatory-activities

9. Schlusskontrolle

1. Jede Muss-Regel hat eine Primärquelle oder eine klar gekennzeichnete interne Risikoentscheidung.
2. Rundschreiben, Fassung, Modul und Absatz stimmen.
3. Rollen existieren im Organigramm und Zuständigkeiten widersprechen sich nicht.
4. Prozess, Kontrolle und Nachweis sind ausführbar.
5. Übergangs- und Inkraftsetzungsdaten sind belegt, nicht geschätzt.
6. Die Neufassung leitet Aufbewahrungsfristen ausschließlich aus der aktuellen, tatsächlich einschlägigen Primärquelle ab.