Wer MaRisk nur als Rundschreiben im Ablageordner sieht, spürt davon wenig außer Arbeitslast. Wer MaRisk als Betriebssystem für Steuerung und Verlässlichkeit versteht, erlebt etwas anderes: Entscheidungen werden klarer, Überraschungen seltener, und die Organisation reagiert schneller – ohne hektisch zu wirken. Dieser Fachartikel erzählt, wie das gelingt. Nicht mit Paragrafenakrobatik, sondern mit dem Blick auf den gelebten Alltag: Vorstandsrunden, Kreditentscheidungen, Risikoreports, Auslagerungen, IT-Veränderungen, Stresstests. MaRisk ist dabei weder Bremse noch Selbstzweck. Es ist die Logik hinter vernünftiger Banksteuerung, übersetzt in Rollen, Prozesse und Daten.

MaRisk in einem Satz: Proportional, risikoorientiert, wirksam

Der Charme der MaRisk liegt nicht im Umfang, sondern in drei konsequenten Ideen. Proportionalität: Der Rahmen passt sich der Größe und Komplexität eines Instituts an. Risikoorientierung: Wesentliches wird vertieft, Nebensächliches bleibt schlank. Wirksamkeit: Gefordert ist nicht Papier, sondern gelebte Steuerung. Wer diese Trias ernst nimmt, verschiebt die Diskussion vom „Haben wir eine Richtlinie?“ hin zu „Trifft uns dieses Risiko – und was tun wir dann?“.

Wer im Asset Management Verantwortung trägt, weiß es aus Erfahrung: Performance entsteht nicht nur im Portfolio, sondern im Betriebssystem der Organisation – in Governance, Prozessen, Daten, Kontrollen. Genau hier setzt KaMaRisk an, die Mindestanforderungen an das Risikomanagement für Kapitalverwaltungsgesellschaften. KaMaRisk ist kein weiteres Regelwerk „für die Schublade“, sondern die Bedienungsanleitung für ein geschäftsfähiges, prüfbares und belastbares Risikomanagement entlang der gesamten Wertschöpfungskette einer KVG: von der Produktidee bis zum Jahresbericht, vom Order-Management bis zur NAV-Freigabe, von der Auslagerungsteuerung bis zur Krisenkommunikation. Dieser Beitrag führt tief in die Praxis – ohne Umwege, ohne Schlagworte. Was KaMaRisk wirklich verlangt, wie Sie die Anforderungen proportional verankern und wo Prüfungen heute ansetzen.

Was KaMaRisk ist – und warum die Debatte ohne sie nicht zu gewinnen ist

KaMaRisk übersetzt die allgemeinen Governance- und Organisationspflichten für Kapitalverwaltungsgesellschaften in operable Erwartungen an Risikosteuerung und Kontrollarchitektur. Sie ergänzt – je nach Produktregime – die europäischen Rahmen (AIFMD/OGAW) um klare, in Deutschland gelebte Aufsichtspraxis: Rollen trennen, Risiken messen, Grenzen setzen, Abweichungen managen, Verantwortung nachweisen. Der Clou ist die Prinzipienorientierung: KaMaRisk schreibt nicht jede Schraube vor, sondern Ziele und Mindeststandards – die Ausgestaltung bleibt proportional zum Geschäftsmodell. Wer wenige, hochstandardisierte OGAW-Fonds mit starkem SaaS-Anteil betreibt, braucht einen anderen Zuschnitt als eine Service-KVG mit Spezial-AIFs, illiquiden Assets und langen Auslagerungsketten. Unverhandelbar bleibt: Wirksamkeit. Nicht das Dokument zählt, sondern die Fähigkeit, in Echtzeit zu steuern und im Nachhinein zu belegen, dass es geschehen ist.

Führungskräfte in Unternehmen und öffentlichen Einrichtungen werden zunehmend aufgefordert, sich Gedanken darüber zu machen, wie gut die IT gemanagt wird. Als Reaktion darauf müssen Business Cases zur Verbesserung entwickelt und die entsprechende Ebene der Verwaltung und Kontrolle über die Informationsinfrastruktur erreicht werden. Auch wenn nur wenige argumentieren würden, dass dies keine gute Sache ist, so müssen sie doch das Kosten-Nutzen-Verhältnis und diese damit verbundenen Fragen berücksichtigen:

• Was tun unsere Branchenkollegen, und wie werden wir in Beziehung zu ihnen gesetzt?
• Was ist eine akzeptable gute Praxis in der Industrie, und wie werden wir in Bezug auf diese Praktiken platziert?
• Kann man auf der Grundlage dieser Vergleiche sagen, dass wir genug tun?
• Wie können wir feststellen, was getan werden muss, um ein angemessenes Management- und Kontrollniveau für unsere IT-Prozesse zu erreichen?

Es kann schwierig sein, aussagekräftige Antworten auf diese Fragen zu geben. Das IT-Management ist ständig auf der Suche nach Benchmarking- und Selbstbewertungsinstrumenten, da es wissen muss, was effizient zu tun ist. Ausgehend von den COBIT-Prozessen sollte der Prozessverantwortliche in der Lage sein, inkrementelle Benchmarks anhand dieses Kontrollziels durchzuführen. Dies entspricht drei Bedürfnissen:

Die Einführung neuer, funktionsübergreifender Abläufe ist nie ein reines IT-Projekt. Sie ist ein Eingriff in die DNA der Organisation: in Verantwortlichkeiten, Gewohnheiten, Kommunikationswege, Messgrößen – und damit in Machtverhältnisse. Das gilt in besonderem Maße für ITIL, ob man damit nun ITIL v3/2011 (Service­lebenszyklus) oder dem bald kommenden ITIL 4 (Practices, Value Streams und die vier Dimensionen) meint. Auch wenn ITIL ursprünglich als Rahmenwerk für IT-Prozesse entstand, geht es in der Umsetzung immer um ein ganzheitliches Organisationsdesign. Wer das ignoriert, bekommt hübsche Prozessposter und teure Tools – aber kein besseres Serviceerlebnis für die Kundschaft, keine robusteren Betriebsabläufe und keine schnellere Veränderungsfähigkeit.

Dieser Text zeigt, wie man ITIL-Prozesse so konzipiert, einführt und weiterentwickelt, dass sie tatsächlich Wert stiften. Er greift typische Stolperfallen auf, vergleicht gängige Einführungsansätze (Single, Multi, Phase – und warum „Big Bang“ fast nie funktioniert), beschreibt zentrale Abhängigkeiten zwischen Practices, ordnet Toolfragen ein und übersetzt das Thema in Sprache, die im Vorstand gehört wird. Statt Checklisten liefert er Orientierung, Beispiele und Entscheidungslogik – damit Ihre Umsetzung nicht am Papier endet.

Die Balanced Scorecard (BSC) teilt eine Organisation traditionell in vier Perspektiven ein: Finanzperspektive, Kundenperspektive, interne Prozessperspektive und Lern- und Wachstumsperspektive (Kaplan und Norton, 1997).

Lawrence (2002) weist darauf hin, dass die BSC in jeder ihrer Perspektiven Antworten auf vier relevante Fragen gibt: