Ziel der Neufassung ist eine stärker prinzipienbasierte und weniger komplexe Regulierung sowie die Anpassung an aktuelle europäische Vorgaben.
Die MaRisk richten sich nun ausschließlich an Institute, die nicht der direkten Aufsicht der EZB unterliegen. Banken, die direkt durch die EZB beaufsichtigt werden, müssen seit 1. Juli 2026 unmittelbar die EBA-Leitlinien anwenden.
Im Folgenden beleuchten wir die Auswirkungen auf die Interne Revision und zeigen, welche Änderungen sich insbesondere bei Informations- und Zugriffsrechten, der Ressortzuordnung, dem Prüfungsturnus, der Berichterstattung sowie der Prüfung ausgelagerter Aktivitäten ergeben. Darüber hinaus werden die unterschiedlichen Anforderungen für bedeutende und nicht bedeutende Institute sowie die praktische Auslegung der neuen Regelungen durch die BaFin eingeordnet und bewertet.
Wie angekündigt, hat die BaFin am 30. Juni 2026 die Neufassung der Mindestanforderungen an das Risikomanagement für Banken (MaRisk) veröffentlicht. Hauptziel der Überarbeitung war, die MaRisk stärker prinzipienbasiert zu gestalten und die Komplexität zu reduzieren. Daneben wurde die Aufsichtsmitteilung vom 26. November 2024 in den Regelungstext der MaRisk überführt. Weiterhin wurden die EBA-Leitlinien zur Umwelt-Szenarioanalyse (EBA/GL/2025/04) und der vorliegende Entwurf der Leitlinien zur Internen Governance umgesetzt.
Die neu gefassten MaRisk richten sich nunmehr ausschließlich an Institute, die nicht als bedeutend im Sinne von Art. 6 der Verordnung (EU) Nr. 1024/2013 vom 15. Oktober 2013 (SSM-Verordnung) eingestuft werden und damit nicht der direkten Aufsicht der EZB unterliegen. Banken, die direkt durch die EZB beaufsichtigt werden, müssen seit 1. Juli 2026 unmittelbar die EBA-Leitlinien anwenden.
Nicht als bedeutend eingestufte Banken, die von der BaFin beaufsichtigt werden, müssen die Leitlinien der EBA, die von der BaFin als in den MaRisk umgesetzt erklärt wurden, nicht mehr gesondert beachten, es sei denn, die MaRisk verweisen explizit auf einzelne Abschnitte dieser Leitlinien. Dies stellt eine erhebliche Erleichterung für diese Banken dar. Die BaFin betont jedoch, dass die prinzipienbasierte Ausgestaltung der MaRisk und die Möglichkeit für Institute, Ermessen auszuüben und die Anforderungen proportional anzuwenden, keine grundsätzliche Absenkung des Anforderungsniveaus bedeutet. Andererseits werden Anwendungen und Lösungen weiter anerkannt, die nicht mehr den in der Neufassung der MaRisk enthaltenen Erläuterungsteilen entsprechen, aber die langjährige Auslegungspraxis der BaFin widerspiegeln.
Es ist darauf hinzuweisen, dass die MaRisk auch von bedeutenden Instituten noch teilweise zu beachten sind, wenn diese Dienstleistungen für nicht bedeutende Institute erbringen. Daneben können auch Gruppenkonstellationen bestehen, in denen einzelne Institute von der EZB direkt beaufsichtigt werden und andere weiter von der BaFin beaufsichtigt werden. Für letztere und für Dienstleistungen, die für diese Institute erbracht werden, gelten die MaRisk, auch wenn das Mutterinstitut direkt von der EZB beaufsichtigt wird.
Sofern bedeutende Institute Anforderungen der MaRisk, die über Anforderungen aus den Leitlinien der EBA hinausgehen, künftig nicht mehr anwenden wollen, empfiehlt es sich, eine entsprechende Risikoabwägung zu dokumentieren. Dies insbesondere vor dem Hintergrund, dass die Anforderungen an eine ordnungsgemäße Geschäftsorganisation gemäß §§ 25a ff KWG weiter für alle Institute gelten und die MaRisk als normenkonkretisierendes Rundschreiben der BaFin gegebenenfalls im Rahmen von Prüfungen zur Interpretation herangezogen werden könnten.
Die DIIR-Arbeitskreise MaRisk und Europäische Bankenregulierung hatten für das DIIR eine Stellungnahme vorbereitet, die im Rahmen der Konsultation eingereicht wurde. Die enthaltenen Anmerkungen hatten überwiegend klarstellenden Charakter und wurden von der Aufsicht berücksichtigt bzw. im Rahmen der Fachgremiumssitzung am 17. Juni 2026 bestätigt.
In der Neufassung werden die spezifischen Anforderungen an die Interne Revision in Abschnitt AT 4.4.3 zusammengefasst und leicht gestrafft. Daneben befinden sich Anforderungen mit Bezug zur Internen Revision in
Im Folgenden werden wesentliche Änderungen der Neufassung kommentiert.
Konzernrevision
Die Regelungen zur Konzernrevision wurden stark gekürzt und sind nunmehr in AT 2.1 Tz 3 enthalten. Im Rahmen der Fachgremiumssitzung am 17. Juni 2026 hat die BaFin klargestellt, dass die Konzernrevision im Rahmen ihrer ergänzenden Tätigkeit auf Gruppenebene weiter die Prüfungsergebnisse der Internen Revisionen der gruppenangehörigen Unternehmen berücksichtigen kann („langjährige Auslegungspraxis“).
Informations- und Zugriffsrecht
Gemäß AT 4.4.3 Tz. 1 ist der Internen Revision zur Wahrnehmung ihrer Aufgaben ein vollständiges und uneingeschränktes Informations- und Zugriffsrecht einzuräumen. Dies betrifft auch den Zugriff auf Protokolle der Beschlüsse von Organen und Ausschüssen, auch wenn diese hier nicht explizit genannt werden. Der neue Satz: „Die Geschäftsleitung muss der Internen Revision wesentliche Entscheidungen mitteilen.“ betont noch einmal eine zusätzliche Bringschuld der Geschäftsleitung. Sofern alle wesentlichen Entscheidungen in Protokollen, auf die die Interne Revision Zugriff hat, dokumentiert werden, ist diesbezüglich kein gesonderter Prozess zu etablieren.
Projektbegleitung
Die explizite Anforderung „wesentliche Projekte zu begleiten“ ist entfallen. Ursprünglich wurde diese Anforderung aufgenommen, um der Internen Revision Zugang zu Informationen, die für ihre Tätigkeit relevant sind zu sichern. Konsequenterweise wurde die Formulierung „Dies gilt auch bei der Begleitung wesentlicher Projekte.“ in der Neufassung nunmehr in den Kontext der Informations- und Zugriffsrechte der Internen Revision (AT 4.4.3 Tz. 1) gestellt. Die Prüfung eines Projektes oder von geänderten Prozessen/IT-Systemen, die im Rahmen eines Projektes eingeführt wurden, erfolgt weiter nach risikoorientiertem Ermessen der Internen Revision.
Ressortzuordnung der Internen Revision
In AT 4.4.3 Tz. 2 ist nur noch der Satz: „Die Interne Revision ist direkt der Geschäftsleitung unterstellt und berichtet an diese.“ enthalten. Dies bedeutet, dass die Berichterstattung der Internen Revision grundsätzlich an alle Geschäftsleiter erfolgt und dass alle Geschäftsleiter für die Prüfungsplanung und die Anordnung zusätzlicher Prüfungen verantwortlich sind. Es bedeutet jedoch gemäß Auskunft der BaFin in der Fachgremiumssitzung am 17. Juni 2026 nicht, dass die Interne Revision in der Geschäftsverteilung nicht mehr einem Geschäftsleiter unterstellt werden kann. Allerdings ist die Anforderung „nach Möglichkeit dem Vorsitzenden“ entfallen. Unter Berücksichtigung möglicher Interessenkonflikte, kann die Interne Revision daher künftig auch anderen Geschäftsleitungsressorts zugeordnet werden. Aufgrund der Bedeutung der Funktion als Instrument der Geschäftsleitung empfiehlt sich jedoch weiter die Unterstellung unter den Vorsitzenden.
Prüfungsturnus
Gemäß AT 4.4.3 Tz. 6 sind sämtliche Aktivitäten, einschließlich ausgelagerter, grundsätzlich innerhalb von drei Jahren zu prüfen. Bei besonderen Prüfungen ist ein kürzerer Turnus (nicht mehr zwingend ein jährlicher) erforderlich. Unter Risikogesichtspunkten nicht wesentliche Aktivitäten und Prozesse sind innerhalb von fünf Jahren zu prüfen. Damit ist die Zulässigkeit eines Turnus von fünf Jahren nun explizit in den MaRisk verankert.
Regelberichterstattung
Die Regelberichterstattung an die Geschäftsleitung ist in AT 4.4.3 Tz. 9 (Geschäftsleitung) und AT 3.2 Tz. 2 (Aufsichtsorgan) geregelt. Die Pflicht zur Erstellung eines Jahresberichtes entfällt, da mit der Quartalsberichterstattung bereits hinreichend über durchgeführte Prüfungen, festgestellte wesentliche Mängel, Maßnahmen zu deren Beseitigung und deren Status, noch nicht behobene wesentliche Mängel aus anderen Berichtsquartalen sowie über die (voraussichtliche) Einhaltung des Prüfungsplans berichtet wird.
Abstufung der Mängel
Sofern in AT 4.4.3 Anforderungen an die Handhabung von „wesentlichen“ Mängeln gestellt werden, sind immer auch die höher eingestuften („schwerwiegende“ und „besonders schwerwiegende“ Mängel) mit gemeint.
Verzicht auf eigene Prüfungshandlungen bei ausgelagerten Aktivitäten und Prozessen
Die ehemals in BT 2.1 Tz. 3 enthaltene Regelung wurde inhaltlich unverändert in AT 9 Tz. 4 übernommen. Die im Konsultationsentwurf noch enthaltene Verschärfung, dass die Interne Revision „sicherstellen“ muss, dass die anderweitige Revisionstätigkeit den aufsichtlichen Anforderungen genügt und dass die relevanten Prüfungsergebnisse weitergegeben werden, wurde wieder auf die ursprüngliche Formulierung „muss sich regelmäßig überzeugen“ zurückgenommen. Damit gilt unverändert folgende Dreistufigkeit für die Prüfungstätigkeit bei Auslagerungen:
Mehr Details zu Anwendungs- und Auslegungsfragen für bedeutende und nicht bedeutende Institute, die sich aus der 9. MaRisk-Novelle und dem BRUBEG ergeben, werden Bernd Hombach und Jürgen Rohrmann vom DIIR-Arbeitskreis MaRisk auf der DIIR-Jahrestagung Finanzen und Industrie am 17. und 18. November 2026 in Leipzig vorstellen.
DIIR-Arbeitskreis MaRisk, Juli 2026