Am 27. Mai 2024 hat die Bundesanstalt für Finanzdienstleistungsaufsicht („BaFin“) die finale Fassung des Rundschreibens über die Mindestanforderungen an das Risikomanagement von Zahlungsinstituten („ZAG-MaRisk“) veröffentlicht. Damit liegen nun erstmals eigene Mindestanforderungen für ZAG-Institute vor. Zuvor musste auf die MaRisk für Kreditinstitute („MaRisk (BA)“) zurückgegriffen und diese diese zum Teil sinngemäß angewendet werden. Diese „Lücke“ wurde nun durch die Aufsicht geschlossen. Die ZAG-MaRisk konkretisiert dabei auf Grundlage von § 27 Abs. 1 des Zahlungsdiensteaufsichtsgesetzes („ZAG“) die Anforderungen an die ordnungsgemäße Geschäftsorganisation der Institute. Zudem enthält sie insbesondere Konkretisierungen zu Sicherungsanforderungen (§§ 17 f. ZAG) sowie Auslagerungen (§ 26 ZAG). Im Vergleich zum Konsultationsentwurf vom 27. September 2023 haben sich in der finalen Fassung keine wesentlichen Änderungen ergeben. Vielmehr wurden einzelne Inhalte konkretisiert und ergänzt. Die ZAG-MaRisk zwar trat mit ihrer Veröffentlichung in Kraft, allerdings gewährt die BaFin den Instituten eine Umsetzungsfrist bis zum 1. Januar 2025.

Entsprechend des Aufbaus der MaRisk (BA) ist auch die ZAG-MaRisk in einen allgemeinen Teil (AT) und einen besonderen Teil (BT) gegliedert.

Der allgemeine Teil der ZAG-MaRisk legt seinen besonderen Schwerpunkt auf die Feststellung einzelner oder konzentrierter Risiken durch die Institute, der Ausarbeitung einer entsprechenden Risikostrategie, Methoden zur Überprüfung (u.a. auch Stresstests) sowie auf Kernelemente des Risiko-Reportings. Zudem stellt die Aufsicht die Anforderungen an die Organisation der Institute sowie zu Auslagerungen auf.

Der besondere Teil konkretisiert die Anforderungen an die Ausgestaltung des internen Kontrollsystems und bezieht sich dabei insbesondere auf die Aufbau- und Ablauforganisation; die Risikosteuerungs- und Risikocontrollingprozesse, Adressenausfallrisiken, Marktpreisrisiken sowie Liquiditätsrisiken.
Neben den konkreten Anforderungen der ZAG-MaRisk betont die BaFin jedoch abermals, dass aufgrund der heterogenen Institutsstruktur und der Vielfalt der Geschäftsaktivitäten der Institute, der Proportionalitätsgrundsatz gilt. Die Anforderungen an das Risikomanagement verringern bzw. erhöhen sich daher in Abhängigkeit von Art, Umfang, der Komplexität und dem Risikogehalt der betriebenen Geschäfte des Instituts.

Die finale Fassung des ZAG-MaRisk unterstreicht den Willen der BaFin, auch für ZAG-Institute einen einheitlichen und bankenähnlichen Standard beim Risikomanagement einzuführen. Dies geht einher mit einer immer aufmerksameren Prüfung der Institute durch die Aufsicht, sodass betroffene Institute mit der Umsetzung der geforderten (Mindest-)Standards bereits jetzt beginnen sollten.