BANKINGNEWS: Herr Vösgen, die 9. MaRisk-Novelle ist nun veröffentlicht. Welche Änderungen halten Sie für Banken und Sparkassen für besonders relevant und wo sehen Sie den größten Handlungsbedarf?
Mark Vösgen: Aus unserer Sicht ist besonders relevant, dass die 9. MaRisk-Novelle die Anforderungen an das Risikomanagement noch stärker in Richtung Angemessenheit, Wirksamkeit und Nachvollziehbarkeit weiterentwickelt. Es geht also nicht nur darum, einzelne Vorgaben formal anzupassen. Banken und Sparkassen müssen zeigen können, dass ihre Organisation, ihre Prozesse und ihre Steuerungsinstrumente zur eigenen Größe, Komplexität und Risikolage passen. Ein zentraler Punkt ist dabei die Proportionalität. Die neue MaRisk-Fassung eröffnet mehr Spielraum bei der Umsetzung. Dieser Spielraum ist aber kein Freibrief für weniger Steuerung, sondern verlangt eine nachvollziehbarere Begründung: Warum ist eine bestimmte Ausgestaltung für das jeweilige Institut angemessen? Besonders relevant sind außerdem Governance, operationelle Risiken, Umweltrisiken sowie die Schnittstellen zu DORA, Informationssicherheit und Auslagerungsmanagement. Der größte Handlungsbedarf liegt darin, die neue MaRisk-Fassung nicht isoliert zu betrachten, sondern sie mit DORA-, Informationssicherheits-, Auslagerungs- und GRC-Prozessen zusammenzuführen. Der erste Schritt sollte deshalb eine strukturierte Betroffenheits- und Gap-Analyse sein: Was betrifft das Institut konkret, wo bestehen bereits tragfähige Prozesse und wo fehlt noch eine konsistente Daten- und Nachweisbasis?
Welche konkreten Auswirkungen wird die 9. MaRisk-Novelle auf die Governance- und Risikosteuerung von Banken haben? Wo müssen Institute jetzt besonders aktiv werden?
Die Novelle stärkt den Blick auf eine klare, wirksame und angemessene Governance. Für Institute bedeutet das: Verantwortlichkeiten, Entscheidungswege, Kontrollprozesse und Berichtslinien müssen nicht nur formal beschrieben, sondern im Alltag auch gelebt werden. Besonders aktiv werden sollten Banken dort, wo Risikomanagement, Informationssicherheit, IT-Steuerung, Compliance und Auslagerungsmanagement heute noch getrennt arbeiten. Die Geschäftsleitung braucht ein konsistentes Gesamtbild: Welche Risiken bestehen, welche Maßnahmen laufen, wer ist verantwortlich und welche Nachweise liegen vor? Ohne diese Transparenz wird Steuerung schwierig. Institute sollten daher insbesondere die Aktualität ihrer Risikoinventur, die Tragfähigkeit ihrer Governance-Strukturen, die Verzahnung ihrer Kontrollprozesse und die Qualität ihrer Datenbasis überprüfen. Denn ohne konsistente Daten kann auch die beste Governance-Struktur nicht wirksam steuern – insbesondere dann, wenn regulatorische Anforderungen aus MaRisk, DORA und weiteren Vorgaben ineinandergreifen.
„Regulatorische Komplexität lässt sich nicht dadurch reduzieren, dass man sie vereinfacht darstellt“
Viele Institute sehen sich derzeit mit der Herausforderung konfrontiert, Anforderungen aus MaRisk, DORA, NIS2 und weiteren regulatorischen Vorgaben gleichzeitig umsetzen zu müssen. Wie können Banken mit dieser zunehmenden regulatorischen Komplexität umgehen?
Der wichtigste Schritt ist, regulatorische Anforderungen nicht als einzelne Projekte nebeneinander zu organisieren. MaRisk, DORA, NIS2-nahe Themen, Informationssicherheit und Auslagerungsmanagement greifen in der Praxis an vielen Stellen auf dieselben Prozesse, Dienstleister, Systeme, Risiken und Nachweise zu. Wer diese Themen getrennt steuert, erzeugt Doppelarbeiten und Inkonsistenzen. Wichtig ist eine klare Priorisierung. Nicht jede regulatorische Anforderung hat für jedes Institut die gleiche Relevanz und nicht jede Vorgabe greift in gleicher Weise. Entscheidend ist daher eine strukturierte regulatorische Landkarte: Welche Anforderungen gelten für das Institut? Welche Überschneidungen bestehen? Welche Kontrollen oder Nachweise können mehrfach genutzt werden? Und wo braucht es institutsspezifische Ergänzungen? Regulatorische Komplexität lässt sich nicht dadurch reduzieren, dass man sie vereinfacht darstellt. Sie lässt sich aber beherrschbar machen, wenn Institute ihre Anforderungen, Risiken, Maßnahmen und Verantwortlichkeiten in einem konsistenten Steuerungsmodell zusammenführen.
Was bedeutet die wachsende Komplexität regulatorischer Anforderungen für die Governance und Risikosteuerung?
Die wachsende Komplexität erhöht den Anspruch an Governance und Risikosteuerung deutlich. Ein Risiko ist heute selten nur einem Bereich zuzuordnen. Ein IKT-Drittdienstleister kann gleichzeitig für DORA, MaRisk, Informationssicherheit, Notfallmanagement, Datenschutz, Vertragsmanagement und Revision relevant sein. Ein IKT-Risiko kann zugleich ein operationelles Risiko, ein Auslagerungsthema und ein Prüfungsgegenstand sein. Für die Governance bedeutet das: Institute brauchen weniger Silodenken und mehr übergreifende Steuerungsfähigkeit. Rollen, Verantwortlichkeiten und Eskalationswege müssen bereichsübergreifend funktionieren. Für die Risikosteuerung bedeutet es, dass reine Dokumentation nicht mehr ausreicht: Risiken müssen in ihrem Zusammenhang verstanden werden. Maßnahmen müssen priorisiert, Fristen überwacht und Wirksamkeiten bewertet werden. Vor allem aber muss die Bank jederzeit auskunftsfähig sein – gegenüber Geschäftsleitung, Revision, Aufsicht und Prüfung. Komplexität verlangt daher nicht automatisch mehr Bürokratie, sondern bessere Struktur, konsistente Daten und eine klare Steuerungslogik.
„Viele Institute verfügen über zahlreiche relevante Informationen, doch diese liegen häufig in unterschiedlichen Systemen, Tabellen oder Fachbereichen“
Wo beobachten Sie derzeit die häufigsten Schwachstellen im Governance-, Risiko- und Compliance-Management von Banken?
Eine häufige Schwachstelle ist die Fragmentierung. Viele Institute verfügen über zahlreiche relevante Informationen, doch diese liegen häufig in unterschiedlichen Systemen, Tabellen oder Fachbereichen. Dadurch entsteht hoher Abstimmungsaufwand und es fehlt ein konsistentes Gesamtbild. Besonders deutlich wird das bei Dienstleisterinformationen und Nachweisen: Berichte werden oft dezentral angefragt, abgelegt und bewertet. Hier können zentrale Ansätze wie TRI HUB entlasten, indem Dienstleisterberichte strukturiert bereitgestellt und gezielt abgerufen werden. Weitere Schwachstellen sehen wir bei unklaren Verantwortlichkeiten, nicht durchgängig verknüpfter Maßnahmensteuerung und uneinheitlicher Datenqualität.
Welche Vorteile ergeben sich für Banken, wenn sie regulatorische Anforderungen wie MaRisk, DORA oder das Auslagerungsmanagement nicht getrennt betrachten, sondern in einem übergreifenden Steuerungsmodell zusammenführen?
Der größte Vorteil ist Transparenz. Wenn MaRisk, DORA, Informationssicherheit, Auslagerungsmanagement und weitere Anforderungen in einem gemeinsamen Modell betrachtet werden, entsteht ein klareres Bild der tatsächlichen Risikolage. Institute sehen schneller, welche Themen zusammenhängen, wo Abhängigkeiten bestehen und welche Maßnahmen priorisiert werden müssen. Gleichzeitig sinkt der Aufwand, weil Informationen wie Prozesse, Dienstleister, Verträge, Risiken, Verantwortlichkeiten und Nachweise nicht mehrfach gepflegt werden. Auch die Prüfungssicherheit verbessert sich: Wenn Risiken, Bewertungen, Maßnahmen und Nachweise miteinander verknüpft sind, kann ein Institut besser erklären, warum Entscheidungen getroffen wurden und wie die Umsetzung überwacht wird. Letztlich stärkt ein integriertes Modell die Steuerungsfähigkeit der Geschäftsleitung. Genau hier setzt RIMAGO an: Die GRC-Software führt regulatorische Anforderungen, Risiken, Maßnahmen und Nachweise in einem konsistenten Steuerungsmodell zusammen. Ergänzend kann TRI HUB helfen, Dienstleisterberichte zentral verfügbar zu machen.
Welche Rolle spielen technologische Lösungen heute bei der Umsetzung und Steuerung regulatorischer Anforderungen?
Technologische Lösungen ersetzen keine regulatorische Verantwortung, sie machen Komplexität aber deutlich besser steuerbar. Gerade bei MaRisk, DORA, Auslagerungsmanagement, Informationssicherheit und weiteren GRC-Themen geht es um große Mengen miteinander verbundener Informationen: Risiken, Prozesse, Systeme, Dienstleister, Verträge, Maßnahmen, Kontrollen und Nachweise müssen nicht nur dokumentiert, sondern miteinander in Beziehung gesetzt werden. Das lässt sich mit isolierten Tabellen oder Dokumentenstrukturen kaum noch effizient steuern. Eine gute technische Lösung schafft Transparenz über Zusammenhänge. Sie unterstützt Workflows, Verantwortlichkeiten, Fristen, Eskalationen und Berichtswesen. Sie sorgt dafür, dass Informationen nicht mehrfach gepflegt werden müssen und dass Nachweise dort verfügbar sind, wo sie benötigt werden. Mit RIMAGO verfolgen wir diesen integrierten Ansatz: Banken und Sparkassen können regulatorische Anforderungen, Verantwortlichkeiten und Maßnahmen zentral steuern und bleiben gegenüber Geschäftsleitung, Revision, Prüfung und Aufsicht auskunftsfähig.
Welche Anforderungen sollte eine moderne GRC-Lösung heute erfüllen, um Banken bei der Umsetzung von immer komplexeren regulatorischen Vorgaben bestmöglich zu unterstützen?
Eine moderne GRC-Lösung muss heute vor allem integrieren können. Sie sollte Risiken, regulatorische Anforderungen, Maßnahmen, Verantwortlichkeiten, Dienstleister, Verträge, Kontrollen und Nachweise nicht getrennt behandeln, sondern in einem gemeinsamen Steuerungsmodell zusammenführen. Wichtig ist außerdem eine hohe fachliche Passgenauigkeit für Finanzinstitute. Eine Lösung muss die Logik von MaRisk, DORA, Auslagerungsmanagement, Informationssicherheit und bankfachlicher Steuerung verstehen und abbilden können. Zudem sollte sie Transparenz für unterschiedliche Ebenen schaffen: operativ für Fachbereiche, steuernd für Risikomanagement und Compliance, berichtend für Geschäftsleitung, Revision und Prüfung. Des Weiteren muss eine moderne GRC-Lösung flexibel bleiben. Regulatorische Anforderungen entwickeln sich weiter. Institute benötigen daher eine Lösung, die neue Anforderungen aufnehmen kann, ohne jedes Mal neue Insellösungen zu schaffen. Darüber hinaus kann KI gezielt dazu beitragen, regulatorische Komplexität weiter zu reduzieren – etwa durch zusätzliche, einfache und praxisnahe Funktionalitäten für die tägliche Arbeit der Kundinnen und Kunden. Hinzu kommen klare Workflows, Auswertungen, Fristensteuerung, belastbare Nachweisketten und Benutzerfreundlichkeit. Genau diesen Anspruch verfolgen wir mit RIMAGO – und diskutieren ihn auch beim RIMAGO FORUM mit Aufsicht, Prüfung, Praxis und Technologie.
Mark Vösgen ist seit dem 1. Januar 2024 Vorstand der TRICEPT Informationssysteme AG – gemeinsam mit Marc Hagener und Vito Nordloh. Nach seinem Studium der Wirtschaftsinformatik an der Dualen Hochschule Baden-Württemberg sammelte Mark Vösgen erste Berufserfahrung als IT Product Owner bei der Robert Bosch GmbH. Seit 2020 ist er bei TRICEPT tätig und begleitet Finanzinstitute im Umfeld der GRC-Lösung RIMAGO. In seiner Vorstandsrolle verantwortet er unter anderem die Bereiche Personal und Marketing sowie die Beratungsleistungen, das Kundenmanagement, Schulungen und Rollouts rund um RIMAGO. Zudem engagiert sich Mark Vösgen als Gastdozent an der DHBW Stuttgart für Software Ergonomie.