ZAG-Institute aufgepasst! Die BaFin hat ihr Rundschreiben 08/2023 zur Überwachung und Governance von Bankprodukten im Privatkundengeschäft aktualisiert. Dies hat Auswirkungen auf die Umsetzung der ZAG-MaRisk.
Wie mein Kollege Jörg Streißle in seinem Blogbeitrag bereits erläutert hat, gelten seit dem 01. Mai 2024 die Anforderungen des Rundschreibens 08/2023 zur Überwachung und Governance von Bankprodukten im Privatkundengeschäft (Rundschreiben 08/2023) grundsätzlich auch für die Zahlungs- und E-Geldinstitute, soweit diese ihre Zahlungs- und E-Geld-Konten, -dienste und -instrumente den Verbrauchern anbieten wollen.
Die Zahlungs- und E-Gelfd-Institute als Produkthersteller sind insbesondere dafür verantwortlich, sicherzustellen, dass ihre Zahlungsdienste und E-Geldprodukte für die Interessen, Ziele und Eigenschaften des von ihnen definierten Zielmarktes geeignet sind. Die finanzielle Leistungsfähigkeit des Zielmarktes stellt dabei ein maßgebliches Kriterium für die Beurteilung der Geeignetheit dar.
Die Regelungen des Rundschreiben 08/2023 umfassen im Einzelnen:
- Produktüberwachung und Governance für Produkthersteller
Dazu gehören Leitlinien zur Einrichtung, Verhältnismäßigkeit, Überprüfung und Dokumentation (Leitlinie 1), den internen Kontrollfunktionen des Produktherstellers (Leitlinie 2), der Bestimmung und Aktualisierung des Zielmarktes (Leitlinie 3), den Produkttests (Leitlinie 4), der Produktüberwachung (Leitlinie 5) und Abhilfemaßnahmen (Leitlinie 6), den Vertriebskanälen (Leitlinie 7) und Informationen für die Produktvertreiber (Leitlinie 8):
- Produktüberwachung und –Governance für Produktvertreiber (Leitlinien 9 bis 12); Produktvertreiber sind Unternehmen, die Zahlungsdienste und E-Geld-Produkte anbieten und / oder verkaufen.
- Auslagerung.
Das Rundschreiben 08/2023 macht an mehreren Stellen deutlich, dass die darin enthaltenen Anforderungen in das allgemeine Risikomanagement der Produktehersteller zu integrieren sind.
Am 27. Mai 2024 hat die BaFin das Rundschreiben 07/2024 (BA) veröffentlicht, in dem sie die Mindestanforderungen an das Risikomanagement von ZAG-Instituten (ZAG-MaRisk) konkretisiert. In der Folge wurden die Passagen des Rundschreibens 08/2023, die bisher nur auf die MaRisk für Kreditinstitute (Rundschreiben 06/2024 (BA)) verwiesen hatten, durch die BaFin am 30. August 2024 angepasst. In der aktualisierten Fassung des Rundschreibens 08/2023 nimmt die BaFin in Rn. 15, 18, 20 und 49 nun ausdrücklich Bezug auf die ZAG-MaRisk. Die BaFin macht damit deutlich, dass sie die Integration der Vorgaben dieses Rundschreibens 08/2023 in die Umsetzung der Anforderungen der ZAG-MaRisk erwartet.
Im Einzelnen sollen die Zahlungs- und E-Geldinstitute
- bei der Einführung eines neuen regulierten Produkts für Privatkunden sicherstellen, dass die Regelungen für die Produktüberwachung und Governance im Rahmen der Genehmigungsstrategie für neue Produkte (Neu-Produkt-Prozess, NPP) im Einklang mit AT 8.1 ZAG-MaRisk erfolgen;
- sicherstellen, dass die Regelungen für die Produktüberwachung und Governance in ihren Rahmen für die Unternehmensführung (Governance) und das Risikomanagement im Sinne der ZAG-MaRisk integriert werden. Zu diesem Zweck muss das Leitungsorgan des ZAG-Instituts die Festlegung der Regelungen und spätere Überprüfungen genehmigen.
- die Zuständigkeiten für die Beaufsichtigung dieses Prozesses durch die Risikocontrolling- Funktion und die Compliance-Funktion in die üblichen Aufgaben gemäß den AT 4.4.1 und AT 4.4.2 der ZAG-MaRisk integrieren;
- sicherstellen, dass sie die in AT 9 der ZAG-MaRisk zur Auslagerung festgelegten Anforderungen erfüllen, sofern die Tätigkeit der Produktherstellung und/oder des Produktvertriebs komplett oder teilweise an Dritte ausgelagert oder von einer anderen Einheit auf andere Weise wahrgenommen wird.
Zusätzlich nahm die BaFin redaktionelle Änderungen in den Randnummern 6 b) und c) des Rundschreibens 08/2023 vor.
Die ZAG-Institute sind verpflichtet, das aktualisierte Rundschreiben 08/2023 bis spätestens zum 01. Januar 2025 umzusetzen. Diese Frist entspricht der Umsetzungsfrist des ZAG-MaRisk. Die redaktionellen Anpassungen treten bereits zum 30. August 2024 in Kraft, da die BaFin an ihrer bisherigen Verwaltungspraxis festhalten will.
Zusammenfassend ist festzuhalten, dass Zahlungs- und E-Geld-Institute ihre für die Verbraucher konzipierten Produkte an die Interessen, Ziele und Eigenschaften des Zielmarktes ausrichten und die Regelungen für die Produktüberwachung und Governance in ihren Rahmen für die Unternehmensführung (Governance) und das Risikomanagement im Sinne der ZAG-MaRisk bis zum 01. Januar 2025 integrieren müssen.
