WpI-MaRisk im zweiten Anlauf: Schlanker im Rahmen, präziser im Anspruch

Was der zweite Konsultationsentwurf für kleine und mittlere Wertpapierinstitute wirklich bedeutet

Mit der Veröffentlichung des zweiten Entwurfs der WpI-MaRisk am 6. Mai 2026 setzt die BaFin einen weiteren Meilenstein auf dem Weg zu einem eigenständigen, proportionalen Aufsichtsrahmen für kleine und mittlere Wertpapierinstitute. Im Vergleich zur bislang sinngemäß angewandten MaRisk (BA) tritt mit dem Entwurf ein eigenes, prinzipienbasiertes Regelwerk an die Stelle des bisherigen „Übersetzungspfads" – mit einer schlankeren Normarchitektur, aber einem präziseren Prüfungsanspruch. Wo die Norm verschlankt, wächst die Begründungslast bei den Instituten.

Stellungnahmen sind bis zum 17. Juni 2026 möglich. Das Inkrafttreten ist nach derzeitigem Planungsstand für Anfang 2027 vorgesehen. Adressaten sind kleine und mittlere Wertpapierinstitute im Sinne von § 2 Abs. 16, 17 WpIG. Große Wertpapierinstitute verbleiben im Anwendungsbereich der MaRisk (BA), deren 9. Novelle parallel konsultiert wurde. Im Folgenden ordnen wir die Deltas zwischen der bisherigen MaRisk-Anwendung und dem zweiten Entwurf ein – und zeigen, wo Institute jetzt genauer hinsehen sollten.

Schlanker Rahmen, schärferer Maßstab

Für Institute, die sich bislang eng an den MaRisk (BA) orientiert haben, sind wesentliche Elemente einer belastbaren Risikomanagementorganisation häufig bereits vorhanden. Der entscheidende Punkt liegt daher weniger in einer Neuimplementierung, sondern in der Überleitung bestehender Strukturen auf die WpI-spezifische Logik – und in der eigenständigen Begründung von Proportionalitätserleichterungen. Mit der WpI-MaRisk wird die BaFin künftig nicht mehr „sinngemäß" gegen die MaRisk (BA) prüfen, sondern gegen ein eigenständiges Rundschreiben mit eigener Dokumentations- und Nachweislogik. Auch dort, wo die materiellen Anforderungen vertraut wirken, verschiebt sich damit die Begründungslast auf die Institute. Erleichterungen ohne dokumentierte Begründung werden im Aufsichtsdialog 2027 kaum noch tragen.

Die parallele Angleichung an die 9. Novelle der MaRisk (BA) ist insbesondere für Wertpapierinstitute innerhalb von Banken- oder Finanzgruppen relevant, in denen eine konsistente gruppenweite Risikomanagement-Logik gefordert ist. Was nach reiner Normpflege aussieht, ist in solchen Konstellationen ein eigenständiger Steuerungsauftrag.

Risikotaxonomie: vertraut im Grundsatz, anspruchsvoll im Mapping

Die WpI-spezifische Risikotaxonomie „Risk to Firm / Risk to Client / Risk to Market“ ist im Grundsatz bereits im WpIG angelegt und knüpft an die K-Faktor-Logik der IFR an. Ggü. der bisherigen MaRisk-Anwendung wird sie jedoch erstmals zum expliziten Prüfungs- und Dokumentationsmaßstab – und nicht mehr zur sinngemäß übersetzten Variante der klassischen MaRisk-Risikoarten. Hinzu kommt die explizite Berücksichtigung von ESG-Risikotreibern in Risikoinventur und -bewertung. Beides war in der bisherigen Praxis vieler kleiner und mittlerer Wertpapierinstitute nicht durchgängig Teil der Standarddokumentation.

Materiell anspruchsvoll wird dies vor allem dort, wo eine konsolidierte Steuerung erforderlich ist: Institute in Banken- oder Versicherungsgruppen müssen die WpI-Taxonomie konsistent in die Konzern-Risikosteuerung überleiten – ohne dass dabei methodische Brüche entstehen. Die Aufgabe ist weniger konzeptionell als handwerklich: Mapping, Dokumentation, Nachweis.

Risiko einer ungeordneten Abwicklung: das eigentliche Delta

Die wohl substanziellste Neuerung ggü. der bisherigen MaRisk-Praxisadressiert das Risiko einer ungeordneten Abwicklung (BTR 4). Mittlere Wertpapierinstitute müssen künftig nachvollziehbar betrachten, ob und wie sie ihre Geschäftstätigkeit geordnet einstellen oder abwickeln könnten. Relevant sind dabei der mögliche Abwicklungszeitraum, die laufenden und abwicklungsspezifischen Kosten, die Abhängigkeiten von Auslagerungen und gruppeninternen Services sowie der Umgang mit Kundenvermögen.

In der bisherigen Aufsichtspraxis ist eine solche Wind-down-Betrachtung bei vielen Häusern noch nicht etabliert. Sie ist mit den Eigenmittel-Schwellen der IFR – insbesondere den dort verankerten Wind-down-Triggern – zu verzahnen und damit deutlich mehr als ein zusätzlicher Eintrag in der Risikoinventur. Wer hier ohne belastbare Quantifizierung in den Aufsichtsdialog geht, dürfte zu erheblichen Nachfragen kommen.

Vertraglich gebundene Vermittler: ein eigener Prüfungsfokus

Institute, die vertraglich gebundene Vermittler einsetzen – allen voran Haftungsdach-Anbieter –, etabliert der Entwurf ggü. der bisherigen MaRisk-Anwendung einen eigenständigen Dokumentations- und Kontrollfokus. Auswahlprozess, Eignungsprüfung, Onboarding, laufende Überwachung über KPI/KRI, Beschwerdemanagement und Stichproben sowie Eskalations- und Sanktionsmechanismen sind nachvollziehbar auszugestalten. Auch die Schnittstelle zu den Wohlverhaltensregeln nach MiFID II rückt in den Vordergrund. Faktisch entsteht damit ein zweites Governance-System neben den klassischen Auslagerungsprozessen, das in der bisherigen Praxis häufig nur fragmentarisch dokumentiert war.

Handelsgeschäft, Auslagerung, DORA-Abgrenzung: keine neuen Strukturen, aber prüfbare Konsistenz

Bei Handelsgeschäft, Limitprozessen und Marktpreisrisiken geht es weniger um neue Anforderungen als um die saubere Anschlussfähigkeit bestehender MaRisk-Prozesse an die WpI-MaRisk-Logik. Verantwortlichkeiten, Funktionstrennung, Limitfestlegung, Kontrollhandlungen und Eskalationswege sollten gezielt darauf überprüft werden, ob sie zur künftigen Prüfungslogik passen und ausreichend dokumentiert sind. Die Erleichterungen bei nicht-risikorelevanten Handelsaktivitäten sind zulässig, müssen aber proportionalitätsseitig begründet werden.

Für Auslagerungen gilt eine ähnliche Logik. Die WpI-MaRisk dupliziert nicht das ICT-Risikomanagement nach DORA, sondern setzt an dessen Schnittstellen an – insbesondere bei Auslagerungssteuerung, Vertragsanforderungen, Governance und Berichtswegen. Eine saubere Abgrenzung gegenüber den DORA-Anforderungen vermeidet Doppelarbeit und Prüfungsrisiken zugleich.

Was Institute jetzt tun sollten

Die WpI-MaRisk ist kein Anlass für einen pauschalen Großumbau, aber ein guter Anlass für eine gezielte Standortbestimmung. Institute sollten frühzeitig klären, welche Anforderungen bereits durch bestehende MaRisk-nahe Strukturen abgedeckt sind, wo eine Dokumentationsanpassung genügt und wo prozessuale oder organisatorische Anpassungen erforderlich werden. Die Erfahrung aus vergleichbaren Konsultationsphasen zeigt: Bekannt heißt nicht dokumentiert. Gerade bei Risikoinventur, Proportionalitätsbegründung und vGV-Governance liegen die größten Lücken weniger in fehlenden Prozessen als in deren prüfungsfester Nachweisführung.

Besonders relevant ist diese Standortbestimmung für mittlere Wertpapierinstitute, für Häuser mit Handelsgeschäft, für Institute mit ausgeprägter Auslagerungsabhängigkeit, für Anbieter von Haftungsdach-Lösungen sowie für Wertpapierinstitute innerhalb von Banken- oder Versicherungsgruppen. In diesen Konstellationen liefert der zweite Entwurf konkrete Ansatzpunkte für eine fokussierte Delta-Analyse mit überschaubarem Aufwand und klarem Ergebnis.

Wir unterstützen Wertpapierinstitute bei der Scoping-Frage, bei Delta-Analysen gegen bestehende MaRisk-Setups, bei der WpI-spezifischen Risikoinventur einschließlich Mapping auf Risk to Firm / Client / Market und ESG-Risikotreiber, beim Aufsetzen der Wind-down-Betrachtung gemäß BTR 4, bei Governance- und Outsourcing-Reviews einschließlich DORA-Abgrenzung sowie bei der Vorbereitung auf Prüfungsfragen rund um vertraglich gebundene Vermittler. Sprechen Sie uns an – gerne diskutieren wir, ob in Ihrem Fall ein schlanker Abgleich ausreicht oder ob einzelne Themen vertieft analysiert werden sollten.