Was regeln die WpI MaRisk für kleine und mittlere Wertpapierinstitute?

Die WpI MaRisk ergänzen künftig den eigenständigen Aufsichtsrahmen für Wertpapierinstitute in Deutschland. Dieser basiert auf der Investment Firm Regulation (IFR) als unmittelbar geltender europäischer Verordnung sowie der Investment Firm Directive (IFD), die durch das Wertpapierinstitutsgesetz (WpIG) in nationales Recht umgesetzt wurde.

Vor dem Inkrafttreten der WpI MaRisk am 1. Januar 2027 sollten kleine und mittlere Wertpapierinstitute die verbleibende Zeit nutzen, um ihre etablierten Prozesse und Rahmenwerke einer Standortbestimmung zu unterziehen. Die Analyse sollte dem individuellen Risikoprofil des eigenen Geschäfts- und Betriebsmodells Rechnung tragen und gleichzeitig das Proportionalitätsprinzip angemessen berücksichtigen. Institute, die ihre Aufbau- und Ablauforganisation bislang nur bedingt an den Anforderungen der MaRisk für Kreditinstitute ausgerichtet haben, sollten zudem herausarbeiten, in welchen Teilen des eigenen Betriebsmodells prioritärer Anpassungs- und Handlungsbedarf besteht.

Regulatorischer Hintergrund der WpI MaRisk

Die WpI MaRisk ist nicht isoliert zu betrachten. Vielmehr stellen sie den nächsten konsequenten Schritt einer regulatorischen Entwicklung dar, die bereits mit dem europäischen Investment-Firm-Regime begonnen hat. Finanzdienstleistungsinstitute wurden in Deutschland zuvor grundsätzlich nach denselben aufsichtsrechtlichen Grundsätzen wie Kreditinstitute beaufsichtigt. Die Regulierung von Wertpapierinstituten war damit über viele Jahre stark vom Bankaufsichtsrecht geprägt. Mit dem Inkrafttreten der IFR und der IFD am 25. Dezember 2019 hat die Europäische Union erstmals einen eigenständigen Aufsichtsrahmen speziell für Wertpapierfirmen geschaffen. Der Gesetzgeber in Deutschland setzte den europäischen Rahmen im Juni 2021 mit dem Wertpapierinstitutsgesetz um.

Durch die Umsetzung wurde ein stärker risikosensitives und proportional ausgestaltetes Regelwerk eingeführt, das den unterschiedlichen Geschäftsmodellen, Größenordnungen und Risikoprofilen von Wertpapierinstituten wesentlich gezielter Rechnung trägt. In den Folgejahren konkretisierte die Aufsicht bereits ausgewählte Aspekte, beispielsweise durch die Bafin-FAQs zu den neuen IFR-/IFD-Anforderungen für Wertpapierinstitute, die WpI-Anzeigenverordnung oder die WpI-Vergütungsverordnung. Die WpI MaRisk schaffen nun einen systematischen Ordnungsrahmen für die Geschäftsorganisation und das Risikomanagement von Wertpapierinstituten und sorgen damit für Klarheit bei den betroffenen Instituten.

Die WpI MaRisk stellen damit keine grundlegend neue Regulierungsinitiative dar. Vielmehr konkretisieren sie die bereits bestehenden Anforderungen des WpIG und verknüpfen diese mit den einschlägigen europäischen Vorgaben aus IFR, IFD, MiFID II, der Delegierten Verordnung (EU) 2017/565 sowie den einschlägigen EBA-Leitlinien zur internen Governance von Wertpapierfirmen.

Für welche Institute gelten die WpI MaRisk?

Seit Einführung des WpIG unterscheidet die Aufsicht zwischen großen, mittleren und kleinen Wertpapierinstituten. Während große Wertpapierinstitute vom Anwendungsbereich der WpI MaRisk vollständig ausgenommen sind, wird für mittlere und kleine Wertpapierinstitute auf Ebene der einzelnen Anforderungen unterschieden, ob und in welchem Umfang diese jeweils anwendbar sind. Die klare Einordnung der Größenklasse des eigenen Wertpapierinstituts bildet daher den Ausgangspunkt jeder Betroffenheits- und Umsetzungsanalyse.

Große Wertpapierinstitute sind von den WpI MaRisk ausgenommen

Als große Wertpapierinstitute gelten insbesondere Wertpapierfirmen, die Eigenhandel und/oder das Emissionsgeschäft betreiben und aufgrund ihrer Größe und ihres Risikoprofils stärker an die Bankenaufsicht angelehnt reguliert werden. Die konkrete aufsichtsrechtliche Einordnung leitet sich von den einschlägigen Schwellenwerten nach WpIG und IFR sowie der jeweiligen Einzel- oder Gruppensituation ab. Große Wertpapierinstitute unterliegen daher bereits heute umfangreichen Anforderungen aus dem europäischen Bankenaufsichtsrecht und in Deutschland insbesondere den MaRisk. Sie sind von den WpI MaRisk nicht betroffen.

Mittlere Wertpapierinstitute im Fokus der WpI MaRisk

Besondere Tragweite entfalten die WpI MaRisk vor dem Hintergrund der gezielten Anforderungen insbesondere für mittlere Wertpapierinstitute. Hierunter fallen Wertpapierfirmen, die mindestens einen der in Art. 12 IFR definierten Schwellenwerte erreichen oder überschreiten, ohne gleichzeitig als großes Wertpapierinstitut eingestuft zu werden. Maßgebliche Kriterien hierfür sind beispielsweise ein verwaltetes Vermögen (Assets under Management) von mindestens 1,2 Milliarden Euro, eine bilanzielle und außerbilanzielle Gesamtsumme von mindestens 100 Millionen Euro oder jährliche Bruttoerträge aus Wertpapierdienstleistungen von mindestens 30 Millionen Euro.

Für mittlere Wertpapierinstitute sieht die WpI MaRisk in mehreren Bereichen weitergehende organisatorische Anforderungen vor als für kleine Wertpapierinstitute. Gleichzeitig gelten zentrale Anforderungen an Strategie, interne Kontrollmechanismen und besondere Funktionen grundsätzlich auch für kleine Wertpapierinstitute, soweit sie nach Art, Umfang, Komplexität und Risikogehalt der Geschäftstätigkeit einschlägig sind. Die WpI MaRisk verdeutlicht unter anderem, dass die Bafin bei mittleren Instituten eine formalisierte Risikoinventur und angemessene Stresstests erwartet.

Erleichterungen für kleine Wertpapierinstitute

Als kleine Wertpapierinstitute gelten Unternehmen, die unterhalb der für mittlere Wertpapierinstitute maßgeblichen Schwellenwerte des Art. 12 IFR bleiben. Die Bafin macht deutlich, dass Umfang und Ausgestaltung der organisatorischen Vorkehrungen an Art, Umfang, Komplexität und Risikogehalt der jeweiligen Geschäftstätigkeit angepasst werden sollen. Die WpI MaRisk würdigen die geringere Komplexität und das reduzierte Risikoprofil kleiner Wertpapierinstitute in der finalen Fassung deutlicher als in der ersten Konsultationsfassung.

Für kleine Wertpapierinstitute dürfte das in der WpI MaRisk verankerte Proportionalitätsprinzip von zentraler Bedeutung sein. Viele Anforderungen, wie beispielsweise die Pflicht zur Einrichtung einer Internen Revision, bieten Potenzial für proportionale Anpassungen entsprechend dem individuellen Risikoprofil der kleinen Wertpapierinstitute. Gleichzeitig wird erwartet, dass Institute die getroffenen Entscheidungen zur Inanspruchnahme einer proportionalen Umsetzung der Anforderungen nachvollziehbar begründen können.

Welche Anforderungen gelten an das Risikomanagement von Wertpapierinstituten?

Die WpI MaRisk orientieren sich in zahlreichen Ausprägungen nah an den MaRisk für Kreditinstitute. Die Spezifika der Geschäftsmodelle von Wertpapierinstituten werden durch die Aufsicht jedoch unter anderem durch die Betrachtung des Risikos einer ungeordneten Abwicklung und der Anbindung vertraglich gebundener Vermittler gesondert berücksichtigt. Darüber hinaus werden die drei Risikoklassen der IFR durch die WpI MaRisk übernommen.

Risiko einer ungeordneten Abwicklung

Neu ist die explizite Auseinandersetzung mit dem Risiko einer ungeordneten Abwicklung. Mittlere Wertpapierinstitute müssen bestimmen, innerhalb welchen Zeitraums eine geordnete Einstellung ihrer Wertpapierdienstleistungen beziehungsweise die Rückgabe der Erlaubnis möglich wäre und welche Kosten während dieses Zeitraums entstehen würden. Die Ergebnisse sind schriftlich festzuhalten und regelmäßig sowie anlassbezogen kritisch auf bestehenden Handlungsbedarf zu überprüfen. Für Wertpapierinstitute, die Eigentum oder Besitz an Kundengeldern oder Kundenwertpapieren erlangen, gelten hierbei erhöhte Anforderungen an die Detailtiefe der Analyse. Auf Verlangen müssen die Ergebnisse gegenüber der Aufsicht nachvollziehbar erläutert werden können. In der initialen Umsetzung sollten daher bereits geeignete Bewertungsansätze entwickelt, potenzielle Abwicklungsszenarien dokumentiert und die finanziellen Auswirkungen einer geordneten Abwicklung transparent hergeleitet werden.

Anbindung vertraglich gebundener Vermittler

Für Institute, die als Haftungsdach für vertraglich gebundene Vermittler auftreten, bringen die WpI MaRisk eine deutliche Konkretisierung der aufsichtlichen Erwartungen. Die Anbindung vertraglich gebundener Vermittler gilt künftig ausdrücklich als Auslagerung und unterliegt damit den entsprechenden Governance- und Kontrollanforderungen gemäß WpI MaRisk. Neben der Dokumentation von Zuverlässigkeit und fachlicher Eignung sowie einer ordnungsgemäßen Registrierung bei der Bafin rückt darüber hinaus insbesondere die laufende Überwachung der Vermittler in den Fokus der Aufsicht.

Die Bafin erwartet eine systematische Steuerung aller angebundenen Vermittler, eine gesamthafte Betrachtung der aus Haftungsübernahmen resultierenden Risiken sowie prozessual implementierte Kontrollhandlungen zur Sicherstellung der Einhaltung gesetzlicher und interner Vorgaben. Wertpapierinstitute mit umfangreichen Vermittlerstrukturen sollten frühzeitig bewerten, ob ihre etablierten Prozesse den erhöhten Anforderungen an Governance und Risikomanagement bereits genügen.

Risikoarten nach der IFR

Mit den Risikoarten „Risiken für die Kunden“, „Risiken für den Markt“ und „Risiken für das Wertpapierinstitut“ knüpfen die Vorgaben der WpI MaRisk an die Systematik der IFR an. Für viele Institute bedeutet dies die Neustrukturierung ihrer etablierten Risikomanagementansätze. Neu ist insbesondere die stärkere Ausrichtung an den K-Faktoren der IFR sowie die explizite Berücksichtigung potenzieller Auswirkungen auf Kunden und Marktteilnehmer.

Bei den Risiken für die Kunden rücken insbesondere Schäden aus Beratungsfehlern, Prozess- und Systemmängeln sowie Fehlverhalten vertraglich gebundener Vermittler in den Fokus. Die Risiken für den Markt adressieren vor allem mögliche Auswirkungen der eigenen Geschäftstätigkeit auf Marktteilnehmer und berücksichtigen dabei insbesondere volatile Marktbedingungen, komplexe oder illiquide Produkte sowie die Marktstellung des Instituts.

Für die Risiken des Wertpapierinstituts selbst konkretisieren die WpI MaRisk die Anforderungen an die Risikosteuerung deutlich und verlangen bei mittleren Wertpapierinstituten unter anderem angemessene Limitstrukturen, die laufende Überwachung von Limitauslastungen sowie eine regelmäßige Bewertung und Überwachung von Handels- und Anlagebuchpositionen. Institute sollten daher ihre Risikoinventur, -bewertung, -überwachung und -berichterstattung frühzeitig daraufhin überprüfen, ob die verwendete Risikotaxonomie, Governance-Strukturen und Steuerungsinstrumente den zukünftigen regulatorischen Erwartungen entsprechen.

Anforderungen an die Compliance-Funktion

Neben Risikomanagement-Funktion und Interner Revision rückt auch die Compliance-Funktion ausdrücklich in den Fokus der WpI MaRisk. Nach der Systematik der WpI MaRisk ist sie Teil der besonderen Funktionen und damit ein wesentlicher Baustein der internen Kontrollmechanismen.

Wertpapierinstitute müssen sicherstellen, dass die Compliance-Funktion über ein klar definiertes Mandat, ausreichende Ressourcen, Zugang zu relevanten Informationen sowie eine angemessene organisatorische Unabhängigkeit verfügt. Ihre Aufgaben umfassen insbesondere die Überwachung der Einhaltung gesetzlicher, aufsichtsrechtlicher und interner Vorgaben, die Beratung der Geschäftsleitung und Fachbereiche, die Bewertung von Compliance-Risiken sowie eine regelmäßige, risikoorientierte Berichterstattung.

Für die Umsetzung bedeutet dies, dass die Compliance-Funktion nicht lediglich formal eingerichtet sein sollte, sondern vielmehr wirksam in die Governance-Struktur eingebunden sein und risikoorientiert über klar definierte Schnittstellen zum Risikomanagement sowie zu relevanten Kontroll- und Eskalationsprozessen verfügen soll. Bei kleinen Wertpapierinstituten können Umfang und organisatorische Ausgestaltung proportional erfolgen; gleichwohl sollte nachvollziehbar dokumentiert werden, wie Interessenkonflikte vermieden, Unabhängigkeit gewährleistet und eine wirksame Wahrnehmung der Compliance-Aufgaben sichergestellt werden.

Mittlere Wertpapierinstitute sollten demgegenüber besonders prüfen, ob Zuständigkeiten, Berichtslinien, Compliance-Planung, Überwachungshandlungen und Eskalationsmechanismen bereits den künftigen aufsichtlichen Erwartungen entsprechen.

WpI MaRisk strukturiert umsetzen

Die Bafin hat die WpI MaRisk am 24. August 2026 final veröffentlicht. Für betroffene Wertpapierinstitute ist es daher jetzt entscheidend, die Auswirkungen der Anforderungen der WpI MaRisk auf das eigene Betriebsmodell frühzeitig zu identifizieren.

Fazit

Die WpI MaRisk konkretisieren den aufsichtsrechtlichen Rahmen für das Risikomanagement kleiner und mittlerer Wertpapierinstitute. Für mittlere Institute stehen insbesondere Risikoinventur, Stresstests, Risikoarten und Kontrollfunktionen im Fokus. Kleine Institute sollten prüfen, wie sie Anforderungen proportional umsetzen und ihre Entscheidungen nachvollziehbar dokumentieren. Eine frühzeitige Betroffenheitsanalyse schafft Orientierung, macht Anpassungsbedarf sichtbar und ermöglicht eine risikoorientierte Priorisierung bis zum geplanten Inkrafttreten.