Die Bafin hat die finale Fassung der Mindestanforderungen an das Risikomanagement von Wertpapierinstituten (WpI MaRisk) veröffentlicht. Sie ist als Rundschreiben 09/2026 (WA) mit Stand vom 24. August 2026 ergangen und gilt ab dem 1. Januar 2027. Vorausgegangen war vor rund einem Jahr eine öffentliche Konsultation, gegenüber der die Bafin den Text erheblich gestrafft und an mehreren Stellen inhaltlich nachjustiert hat. Im Folgenden stellen wir die zentralen Inhalte der finalen WpI MaRisk vor.
Inhaltsverzeichnis
Ziel, Rechtsgrundlage und Anwendungsbereich
Die WpI MaRisk zeigt einen flexiblen, praxisnahen Rahmen für die Geschäftsorganisation und das Risikomanagement von Wertpapierinstituten auf. Rechtsgrundlage sind insbesondere das Wertpapierinstitutsgesetz (WpIG), das Wertpapierhandelsgesetz (WpHG) sowie die Delegierte Verordnung (EU) 2017/565; zudem setzt das Rundschreiben einschlägige EBA-Leitlinien zur internen Governance und zur Eignung von Leitungsorganmitgliedern um.
Adressiert werden mittlere und kleine Wertpapierinstitute einschließlich ihrer ausländischen Zweigniederlassungen. Für große Wertpapierinstitute gilt weiterhin der Aufsichtsrahmen nach §§ 25a, 25b des Kreditwesengesetzes (KWG) und die konkretisierenden Anforderungen aus dem Rundschreiben 06/2026 (BA) – Mindestanforderungen an das Risikomanagement (MaRisk).
Tragendes Strukturprinzip ist die doppelte Proportionalität: Die Anforderungen unterscheiden zwischen kleinen und mittleren Wertpapierinstituten, und ihre Ausgestaltung richtet sich zusätzlich nach Art, Umfang, Komplexität und Risikogehalt der Geschäftstätigkeit. Im Rahmen einer Risikoinventur müssen die Geschäftsleiter regelmäßig ein Gesamtrisikoprofil erstellen und dabei Risiken für Kunden, Markt und Institut, sonstige Risiken sowie Liquiditätsrisiken auf ihre Wesentlichkeit prüfen.
Risikotragfähigkeit, Kapitalplanung und Strategien
Mittlere Wertpapierinstitute müssen sicherstellen, dass ihr Risikodeckungspotenzial die wesentlichen Risiken laufend abdeckt, und hierfür ein von den Geschäftsleitern genehmigtes Risikotragfähigkeitskonzept einrichten. Kleine und mittlere Wertpapierinstitute benötigen zudem einen mehrjährigen Kapitalplanungsprozess, der neben einem Planszenario mindestens ein adverses Szenario berücksichtigt und mit der operativen Geschäftsplanung im Einklang steht.
Die Geschäftsleiter müssen eine tragfähige, regelmäßig überprüfte Geschäftsstrategie sowie eine darauf abgestimmte Risikostrategie mit dem Risikoappetit des Instituts festlegen; bei kleinen Wertpapierinstituten darf der Strategieprozess einfacher ausgestaltet sein.
Jedes Institut muss angemessene Regelungen zur Aufbau- und Ablauforganisation treffen, Risikomanagementprozesse einrichten, eine Compliance-Funktion implementieren und, soweit verhältnismäßig, eine Risikomanagement-Funktion und eine Interne Revision einrichten. Bei Instituten, die Kundengelder oder -wertpapiere verwalten, komplexe Produkte vertreiben oder ein MTF/OTF betreiben, ist eine unabhängige Risikomanagement-Funktion in der Regel angemessen und verhältnismäßig.
Die Compliance-Funktion muss unabhängig von den operativen Bereichen angesiedelt und grundsätzlich den Geschäftsleitern unmittelbar unterstellt sein. Ein Compliance-Beauftragter, dessen Aufgabe auch ein Geschäftsleiter wahrnehmen kann, berichtet mindestens jährlich an die Geschäftsleiter und leitet den Bericht an die Interne Revision weiter.
Interne Revision: Proportionalität mit klaren Grenzen
Wertpapierinstitute müssen, soweit angemessen und verhältnismäßig, eine unabhängige Interne Revision einrichten. Ist dies unverhältnismäßig, kann die Aufgabe ein Geschäftsleiter wahrnehmen oder ganz entfallen. Von Unverhältnismäßigkeit wird regelmäßig bei weniger als zehn Mitarbeitern ausgegangen – nicht jedoch bei Instituten mit Kundengeld- oder -wertpapierverwahrung, komplexen Produkten oder MTF/OTF-Betrieb.
Die Interne Revision arbeitet auf Basis eines risikoorientierten, jährlich zu genehmigenden Prüfungsplans und berichtet den Geschäftsleitern jährlich über wesentliche Feststellungen.
Auslagerung
Eine Auslagerung liegt vor, wenn ein Institut Aktivitäten an ein anderes Unternehmen überträgt, die es sonst selbst erbringen würde. Wesentliche Auslagerungen sind anhand einer Risikoanalyse zu identifizieren, und jedes Institut muss ein zentrales Auslagerungsmanagement mit Auslagerungsregister einrichten.
Bei Auslagerungen von erheblicher Tragweite, etwa der Risikomanagement-, Compliance- oder Revisionsfunktion, ist intensiv zu prüfen, wie eine Einbeziehung in das Risikomanagement sichergestellt werden kann. Die Leitungsaufgaben der Geschäftsleiter bleiben stets unauslagerbar, und lange Auslagerungsketten können die Überwachungsfähigkeit einschränken.
Handelsgeschäft und vertraglich gebundene Vermittler
Maßgeblich für das Handelsgeschäft (BTH-Modul) ist die klare Trennung von Handel, Risikomanagement sowie Abwicklung und Kontrolle bis zur Ebene der Geschäftsleiter. Bei nicht-risikorelevanten Handelsaktivitäten kann hiervon jedoch abgesehen werden. Handelsgeschäfte sind laufend, unabhängig vom Handel zu kontrollieren und unverzüglich im Risikomanagement abzubilden. Für vertraglich gebundene Vermittler (BTV-Modul) gilt: Jeder einzelne Vermittler stellt eine eigenständige Auslagerung dar; das Institut muss dessen fachliche Eignung nachweisen lassen und die Tätigkeit systematisch überwachen, etwa durch Stichproben, computergestützte Kontrollen oder Vor-Ort-Prüfungen.
Der Status als vertraglich gebundener Vermittler wird dabei erst mit der Anzeige der Haftungsübernahme gegenüber der Bafin begründet.
Risikomanagementprozesse, Stresstests und Risikoberichterstattung
Für wesentliche Risiken muss jedes Institut Prozesse zur Identifizierung, Steuerung und Überwachung einrichten. Mittlere Wertpapierinstitute müssen zudem regelmäßig Stresstests durchführen und deren Ergebnisse in die Risikotragfähigkeit einbeziehen. Erhöhte Anforderungen gelten für Institute mit relevantem Eigenhandel, Emissionsgeschäft oder Kundengeld- bzw. Kundenwertpapierverwahrung.
Die Geschäftsleiter sind regelmäßig über Geschäftslage und Risikosituation zu informieren; die Berichte müssen aussagekräftig sein, Stresstest-Ergebnisse und Risikokonzentrationen ausweisen und auch anlassbezogen erstellt werden können.
Liquiditätsrisiken und das Risiko einer ungeordneten Abwicklung
Institute müssen jederzeit zahlungsfähig bleiben und Liquiditätsengpässe frühzeitig erkennen. Mittlere Wertpapierinstitute müssen ihre liquiden Aktiva auf Stressszenarien auslegen. Zudem müssen mittlere Wertpapierinstitute regelmäßig bestimmen, in welchem Zeitraum und zu welchen Kosten eine geordnete Abwicklung ihrer Geschäftstätigkeit erfolgen könnte.
Stärkung des Proportionalitätsgrundsatzes
Ein durchgängiges Kennzeichen der finalen WpI MaRisk ist die Stärkung des Proportionalitätsgrundsatzes: Während große Wertpapierinstitute aus dem Anwendungsbereich herausgenommen sind und für diese die (im Endeffekt strengere) MaRisk gilt, gelten zahlreiche Vorgaben der WpI MaRisk von vornherein nur für mittlere Wertpapierinstitute, und die konkrete Ausgestaltung richtet sich stets nach Art, Umfang, Komplexität und Risikogehalt der Geschäftstätigkeit. Besonders deutlich zeigt sich dies bei der Internen Revision: Bei Instituten mit weniger als zehn Mitarbeitern (einschließlich Geschäftsleiter, unter Einrechnung ausgelagerter Bereiche) wird regelmäßig von einer Unverhältnismäßigkeit einer eigenen Revisionseinheit ausgegangen, sodass die Aufgabenwahrnehmung entfallen kann.
Fazit
Mit der finalen WpI MaRisk liegt ein geschlossener, auf kleine und mittlere Wertpapierinstitute zugeschnittener Rahmen für Geschäftsorganisation und Risikomanagement vor, der allgemeine Anforderungen mit spezifischen Vorgaben für Handelsgeschäfte, vertraglich gebundene Vermittler, Auslagerungen und die einzelnen Risikoarten verbindet. Gegenüber der rund ein Jahr zuvor veröffentlichten Konsultationsfassung hat die Bafin den Text dabei erheblich gestrafft.
Betroffene Institute sollten ihre internen Richtlinien und Prozesse rechtzeitig vor dem Inkrafttreten am 1. Januar 2027 entsprechend anpassen.
