Governance und Kontrollfunktionen
Rechtsstand: 10. September 2026 | Lesezeit: rund 13 Minuten | Erstveröffentlichung: 11. November 2020, vollständig überarbeitet
Die Auslagerung der besonderen Funktion ist der Sonderfall, bei dem die MaRisk am genauesten werden. Mit der Fassung vom 30. Juni 2026 hat sich der Kreis der Institute, die davon Gebrauch machen dürfen, verengt – und die Anforderungen an den Beauftragten sind geschärft worden.
Besondere Funktionen sind nach AT 4.4 der MaRisk die Risikocontrolling-Funktion, die Compliance-Funktion und die Interne Revision. Ihre Auslagerung ist möglich, aber an eigene Maßstäbe geknüpft: AT 9 Tz. 4 nennt sie ausdrücklich, Tz. 5 regelt die Voraussetzungen, Tz. 10 verlangt einen Beauftragten.
Die auffälligste Änderung betrifft die Institutsgröße. Die frühere Öffnung für kleine Institute gilt in der Fassung vom 30. Juni 2026 für sehr kleine Institute – also für Häuser, die im Vierjahresdurchschnitt eine Bilanzsumme von 1 Milliarde Euro nicht überschreiten. Für Institute dazwischen entfällt damit eine Möglichkeit, die sie bisher hatten.
Unverändert bleibt die Sperre für die Risikocontrolling-Funktion: Die zusätzliche Öffnung nennt nur die Compliance-Funktion und die Interne Revision. Wer die Risikocontrolling-Funktion vollständig auslagern will, braucht den Gruppenfall.
Hinzu kommt eine Entwicklung außerhalb der MaRisk: Seit dem 1. April 2026 zählt das KWG die Leiter der internen Kontrollfunktionen zu den Inhabern besonderer Schlüsselfunktionen. Zwei ähnlich klingende Begriffe, zwei Regelwerke, unterschiedliche Reichweite – und eine Verwechslung, die in Prüfungen teuer wird.
Drei Funktionen, ein Sammelbegriff – und ein vierter Eintrag in der Tabelle, der bewusst dort steht, weil er regelmäßig damit verwechselt wird.
| Funktion | Fundstelle | Aufgabe | Auslagerbarkeit |
|---|---|---|---|
| Risikocontrolling-Funktion | AT 4.4.1 MaRisk | Überwacht und berichtet wesentliche Risiken; organisatorisch bis einschließlich Geschäftsleitungsebene von geschäftsinitiierenden Bereichen getrennt | Vollständige Auslagerung nur im Gruppenfall |
| Compliance-Funktion | AT 4.4.2 MaRisk | Wirkt auf die Einhaltung wesentlicher rechtlicher Regelungen hin; grundsätzlich unmittelbar der Geschäftsleitung unterstellt | Vollständige Auslagerung im Gruppenfall und bei sehr kleinen Instituten |
| Interne Revision | AT 4.4.3 MaRisk | Prüft unabhängig und risikoorientiert alle Aktivitäten und Prozesse einschließlich der ausgelagerten Tätigkeiten | Vollständige Auslagerung im Gruppenfall und bei sehr kleinen Instituten |
| Inhaber besonderer Schlüsselfunktionen | § 1 Abs. 2d KWG | Leiter der internen Kontrollfunktionen sowie der Leiter Finanzen, soweit sie nicht Geschäftsleiter sind | Anderer Begriff, anderes Regelwerk – nicht deckungsgleich |
Die Erläuterung zu AT 9 Tz. 2 nennt die vollständige oder teilweise Auslagerung dieser Funktionen als Beispiel für Auslagerungen von erheblicher Tragweite. Für sie ist entsprechend intensiv zu prüfen, ob und wie eine Einbeziehung der ausgelagerten Aktivitäten und Prozesse in das Risikomanagement sichergestellt werden kann.
Der Grund liegt in der Funktion selbst: Es sind die Instrumente, mit denen sich die Geschäftsleitung über die Lage des Hauses informiert. Wer sie vollständig nach außen gibt, gibt seine eigene Informationsbasis aus der Hand.
Die Gegenüberstellung vergleicht den Stand, auf dem dieser Beitrag bis heute beruhte, mit dem Wortlaut des Rundschreibens 06/2026 (BA). Sie ersetzt keine Vergleichsversion – die stellt die BaFin über die Bundesbank-Themenseite bereit.
| Punkt | Bisheriger Stand | Fassung vom 30.06.2026 | Bedeutung |
|---|---|---|---|
| Öffnung für kleinere Häuser | Vollständige Auslagerung von Compliance-Funktion oder Interner Revision bei kleinen Instituten, sofern die Einrichtung nicht angemessen erscheint | Vollständige Auslagerung der Compliance-Funktion oder der Internen Revision ferner bei sehr kleinen Instituten | Engerer Adressatenkreis, Angemessenheitsklausel entfällt |
| Maßstab für den Umfang | Umfang muss gewährleisten, dass das Institut weiterhin über Kenntnisse und Erfahrungen für eine wirksame Überwachung verfügt | Umfang muss gewährleisten, dass eine wirksame Überwachung der erbrachten Dienstleistungen gewährleistet ist | Der Halbsatz zu Kenntnissen und Erfahrungen ist im Text nicht mehr enthalten; AT 7.1 Tz. 2 gilt unverändert |
| Anforderung an den Beauftragten | Ein Beauftragter, der die ordnungsgemäße Durchführung gewährleisten muss | Ein unabhängiger und sachkundiger Beauftragter | Zwei ausdrückliche Eigenschaften statt keiner |
| Verweis in Tz. 10 | Die Anforderungen des AT 4.4 und BT 2 sind entsprechend zu beachten | Die Anforderungen des AT 4.4.3 sind entsprechend zu beachten, ergänzt um besondere Aufgaben des Revisionsbeauftragten | Präziser Verweis statt Sammelverweis |
| Fortführung des Betriebs | Bei Bedarf im Falle der Beendigung des Auslagerungsverhältnisses oder der Änderung der Gruppenstruktur | Bei Bedarf, zum Beispiel im Falle der Beendigung des Auslagerungsverhältnisses | Offene Formulierung mit Regelbeispiel |
Die Unterscheidung entscheidet über die Zulässigkeit. Kleine Institute sind nach AT 1 solche, die als kleine und nicht-komplexe Institute nach Art. 4 Abs. 1 Nr. 145 der Verordnung (EU) Nr. 575/2013 eingestuft sind, sowie CRD-Drittstaatenzweigstellen der Risikoklasse 2. Sehr kleine Institute sind solche, die im Vierjahresdurchschnitt eine Bilanzsumme von 1 Milliarde Euro nicht überschreiten.
Sehr kleine Institute können die Erleichterungen für kleine Institute in Anspruch nehmen, auch wenn sie die Kriterien für kleine und nicht-komplexe Institute nicht erfüllen. Umgekehrt gilt das nicht: Ein kleines Institut oberhalb der Milliardenschwelle kann die Öffnung aus AT 9 Tz. 5 nicht nutzen.
AT 9 Tz. 5 kennt zwei Wege. Beide setzen die allgemeinen Anforderungen aus Tz. 4 voraus.
Zulässig für Tochterinstitute innerhalb einer Institutsgruppe, sofern das auslagernde Institut sowohl nach Größe, Komplexität und Risikogehalt der Geschäftsaktivitäten für den nationalen Finanzsektor als auch hinsichtlich seiner Bedeutung innerhalb der Gruppe als nicht wesentlich einzustufen ist. Gleiches gilt für Gruppen, wenn das Mutterunternehmen kein Institut und im Inland ansässig ist.
Ferner möglich bei sehr kleinen Instituten – aber nur für die Compliance-Funktion oder die Interne Revision. Die Risikocontrolling-Funktion ist in dieser Öffnung nicht genannt.
Die Ordnungsmäßigkeit der Geschäftsorganisation nach § 25a Abs. 1 KWG darf nicht beeinträchtigt werden – der Text nennt ausdrücklich die Grenze der Empty Shell. Die Auslagerung führt nicht zu einer Delegation der Verantwortung der Geschäftsleitung.
Abgrenzung Auslagerung und FremdbezugDie Auslagerung in Kontroll- und Kernbankbereichen ist nur in einem Umfang zulässig, der eine wirksame Überwachung der erbrachten Dienstleistungen gewährleistet.
Es ist sicherzustellen, dass bei Bedarf – zum Beispiel bei Beendigung des Auslagerungsverhältnisses – der ordnungsmäßige Betrieb in diesen Bereichen fortgesetzt werden kann.
Sie bleibt der Regelfall und ist an keine Größenklasse geknüpft. Wer Fachwissen zukaufen will, das im Haus nicht oder nur mit unverhältnismäßigem Aufwand vorhanden wäre, braucht Tz. 5 nicht.
Einstufung wesentlicher AuslagerungenEin Hinweis zur Sorgfalt: Die frühere Fassung knüpfte den Gruppenfall zusätzlich daran, dass das übergeordnete Institut Auslagerungsunternehmen ist. Im Wortlaut vom 30. Juni 2026 findet sich diese Voraussetzung nicht. Ob es sich um eine bewusste Streichung handelt, lässt sich nur der Vergleichsversion der BaFin entnehmen – vor einer Gestaltungsentscheidung gehört sie herangezogen.
Wird eine besondere Funktion nach Maßgabe von Tz. 5 vollständig ausgelagert, muss die Geschäftsleitung jeweils einen unabhängigen und sachkundigen Beauftragten benennen, der eine ordnungsgemäße Durchführung der jeweiligen Aufgaben gewährleisten muss.
Beide Eigenschaften stehen ausdrücklich im Text. Sachkunde ist über AT 7.1 Tz. 2 auszufüllen: Kenntnisse und Erfahrungen passend zu Aufgaben, Kompetenzen und Verantwortlichkeiten.
Eignung nachweisenDer Text spricht von jeweils einem Beauftragten. Werden zwei besondere Funktionen vollständig ausgelagert, braucht es zwei Benennungen – nicht eine Sammelrolle.
Er erstellt den Prüfungsplan gemeinsam mit dem beauftragten Dritten, verfasst gegebenenfalls gemeinsam mit ihm den vierteljährlichen Bericht nach AT 4.4.3 Tz. 9 und prüft nach AT 4.4.3 Tz. 11, ob die festgestellten Mängel beseitigt wurden.
Aufgaben der Internen RevisionDer Revisionsbeauftragte ist der Geschäftsleitung unmittelbar zu unterstellen. Eine Zwischenebene widerspricht der Norm.
Die Aufgaben des Revisionsbeauftragten eines sehr kleinen Instituts können von einem Geschäftsleiter wahrgenommen werden, wenn die Benennung unterhalb der Geschäftsleitung unverhältnismäßig ist.
Der Beauftragte nach Tz. 10 ist etwas anderes als das zentrale Auslagerungsmanagement nach Tz. 12. Letzteres steuert alle Auslagerungen, Ersterer verantwortet eine ausgelagerte besondere Funktion.
Pflichten im AuslagerungsmanagementAT 9 Tz. 4 hält unverändert fest: Die Leitungsaufgaben der Geschäftsleitung dürfen nicht ausgelagert werden. Was darunter fällt, sagt der Text der Fassung vom 30. Juni 2026 allerdings nicht mehr.
Die frühere Erläuterung zählte Unternehmensplanung, -koordination und -kontrolle sowie die Besetzung der Führungskräfte auf. Diese Aufzählung findet sich im aktuellen Text nicht. Der Grundsatz bleibt, die Anleitung ist entfallen – dasselbe Muster wie bei der Risikoanalyse in Tz. 2.
Wer heute begründen muss, welche Aufgaben Leitungsaufgaben sind, findet die belastbarste Grundlage in § 25c Abs. 4a KWG. Die Norm zählt die Pflichten auf, die den Geschäftsleitern im Rahmen ihrer Gesamtverantwortung für die ordnungsgemäße Geschäftsorganisation zugewiesen sind – von den Grundsätzen ordnungsgemäßer Geschäftsführung über die Verfahren bei Auslagerungen bis zur Übersicht über Aufgaben und individuelle Verantwortlichkeiten.
Von den Leitungsaufgaben abzugrenzen sind die Funktionen, deren sich die Geschäftsleitung bei deren Ausübung bedient. Genau das sind die drei besonderen Funktionen – und deshalb sind sie unter den Voraussetzungen der Tz. 5 überhaupt auslagerbar.
Die ersten drei betreffen jedes Haus, dessen Auslagerungsrichtlinie älter ist als der 30. Juni 2026.
Die Richtlinie stützt die vollständige Auslagerung auf die Öffnung für kleine Institute. AT 9 Tz. 5 nennt seit dem 30. Juni 2026 sehr kleine Institute. Zwischen beiden liegt die Milliardenschwelle.
Die 9. MaRisk-Novelle im ÜberblickDie Öffnung für sehr kleine Institute nennt nur Compliance-Funktion und Interne Revision. Wer die Risikocontrolling-Funktion außerhalb des Gruppenfalls vollständig auslagert, hat keine Rechtsgrundlage.
Tz. 10 verlangt Unabhängigkeit und Sachkunde ausdrücklich. Eine Benennungsurkunde ohne dokumentierte Kenntnisse und Erfahrungen nach AT 7.1 Tz. 2 trägt das nicht.
Eignungsbeurteilung in der PraxisDer Text spricht von jeweils einem Beauftragten. Eine Sammelrolle für Compliance und Revision wirft zudem die Frage der Unabhängigkeit auf.
Tz. 5 verlangt sicherzustellen, dass der ordnungsmäßige Betrieb bei Bedarf fortgesetzt werden kann. Ohne konkrete Handlungsoption nach Tz. 6 bleibt das eine Absichtserklärung.
Typische PrüfungsfeststellungenBesondere Funktionen nach AT 4.4 MaRisk und Inhaber besonderer Schlüsselfunktionen nach § 1 Abs. 2d KWG sind zwei Begriffe aus zwei Regelwerken. Wer sie gleichsetzt, zieht falsche Folgerungen in beide Richtungen.
Sechs Fragen entlang der Zulässigkeitsprüfung. Wähle je Zeile den zutreffenden Zustand; die Empfehlung erscheint darunter. Die Auswahl wird nicht gespeichert und nicht übertragen.
Ist die Institutsklasse bestimmt und dokumentiert?
AT 1 MaRisk, Art. 4 Abs. 1 Nr. 145 Verordnung (EU) Nr. 575/2013
ErfülltKlein oder sehr klein ist festgestellt und mit Zahlen belegt. Prüfe die Einstufung jährlich anhand des Vierjahresdurchschnitts.
TeilweiseDie Einordnung ist bekannt, aber nicht belegt. Halte die Bilanzsummen der vier Jahre fest.
OffenOhne Einstufung ist unklar, ob AT 9 Tz. 5 überhaupt offensteht. Das ist die erste Frage.
Beruht eine bestehende Vollauslagerung noch auf der alten Größenklasse?
AT 9 Tz. 5 MaRisk, Fassung vom 30.06.2026
ErfülltDie Grundlage ist geprüft und trägt weiter. Dokumentiere die Prüfung mit Datum.
TeilweiseDie Prüfung steht aus. Setze sie an, bevor die nächste Jahresabschlussprüfung sie anstößt.
OffenLiegt das Institut über der Milliardenschwelle und außerhalb des Gruppenfalls, fehlt die Grundlage. Handlungsbedarf ist unmittelbar.
Ist die Risikocontrolling-Funktion von der Vollauslagerung ausgenommen?
AT 9 Tz. 5 MaRisk
ErfülltSie ist im Haus oder im Gruppenfall ausgelagert. Prüfe die Zuordnungsdokumentation.
TeilweiseTeile der Funktion sind ausgelagert. Teilauslagerung ist zulässig – dokumentiere die Grenze zur Vollauslagerung.
OffenEine Vollauslagerung außerhalb des Gruppenfalls ist nicht gedeckt. Das ist kein Formfehler.
Ist je vollständig ausgelagerter Funktion ein Beauftragter benannt?
AT 9 Tz. 10 MaRisk
ErfülltJe Funktion liegt eine Benennung vor. Prüfe die Unterstellung des Revisionsbeauftragten.
TeilweiseEine Person deckt mehrere Funktionen ab. Prüfe die Unabhängigkeit und begründe die Bündelung.
OffenOhne Benennung ist die Vollauslagerung unvollständig umgesetzt. Hole sie nach.
Sind Unabhängigkeit und Sachkunde des Beauftragten dokumentiert?
AT 9 Tz. 10, AT 7.1 Tz. 2 MaRisk
ErfülltBeides ist belegt und wird regelmäßig überprüft.
TeilweiseDie Sachkunde ist belegt, die Unabhängigkeit nicht geprüft. Dokumentiere mögliche Interessenkonflikte und ihre Vermeidung.
OffenDer Text nennt beide Eigenschaften ausdrücklich. Eine Benennung ohne Nachweis genügt nicht.
Ist die Fortführung des Betriebs bei Beendigung konkret geplant?
AT 9 Tz. 5 und Tz. 6 MaRisk
ErfülltHandlungsoptionen sind geprüft und verabschiedet. Überprüfe sie regelmäßig und anlassbezogen.
TeilweiseEine Absichtserklärung liegt vor, eine geprüfte Handlungsoption nicht. Arbeite die Durchführbarkeit aus.
OffenOhne Handlungsoption ist zumindest eine angemessene Berücksichtigung in der Notfallplanung erforderlich.
Sechs Schritte, die bei jeder Konstellation tragen.
Zwei Punkte lassen sich aus den hier ausgewerteten Quellen nicht abschließend beurteilen. Erstens die Frage, ob der Wegfall der Voraussetzung, dass das übergeordnete Institut Auslagerungsunternehmen ist, eine bewusste Öffnung darstellt. Zweitens, ob die Aufsicht für Institute, die durch die neue Größenklasse aus der Öffnung fallen, eine Übergangserwartung formuliert. Die Vergleichsversion der BaFin gegenüber der Fassung vom 29. Mai 2024 ist für beide Fragen die richtige Quelle.
Die Auslagerung der besonderen Funktion bleibt möglich – der Kreis derer, die sie vollständig nutzen dürfen, ist aber kleiner geworden.
Wer diese fünf Punkte belegen kann, hält die Konstruktion auch in einer Sonderprüfung.
AT 4.4 der MaRisk fasst unter besonderen Funktionen die Risikocontrolling-Funktion (AT 4.4.1), die Compliance-Funktion (AT 4.4.2) und die Interne Revision (AT 4.4.3) zusammen. Für ihre Auslagerung gelten nach AT 9 Tz. 4 und Tz. 5 besondere Maßstäbe, die über die allgemeinen Anforderungen an Auslagerungen hinausgehen.
Nach AT 9 Tz. 5 in der Fassung vom 30. Juni 2026 ist das für Tochterinstitute innerhalb einer Institutsgruppe unter Bedingungen zulässig sowie ferner bei sehr kleinen Instituten. Sehr klein sind nach AT 1 Institute, die im Vierjahresdurchschnitt eine Bilanzsumme von 1 Milliarde Euro nicht überschreiten.
Nur im Gruppenfall. Die zusätzliche Öffnung für sehr kleine Institute in AT 9 Tz. 5 nennt ausdrücklich nur die Compliance-Funktion und die Interne Revision. Die Risikocontrolling-Funktion ist dort nicht aufgeführt.
Drei Punkte fallen auf. Die Öffnung für kleine Institute gilt jetzt für sehr kleine Institute. Der Beauftragte nach AT 9 Tz. 10 muss ausdrücklich unabhängig und sachkundig sein. Und der Verweis in Tz. 10 richtet sich auf AT 4.4.3, ergänzt um eigene Aufgaben des Revisionsbeauftragten.
Er muss eine ordnungsgemäße Durchführung der jeweiligen Aufgaben gewährleisten. Für den Revisionsbeauftragten nennt die Erläuterung konkret: Prüfungsplan gemeinsam mit dem beauftragten Dritten erstellen, den vierteljährlichen Bericht nach AT 4.4.3 Tz. 9 verfassen und nach AT 4.4.3 Tz. 11 prüfen, ob festgestellte Mängel beseitigt wurden. Er ist der Geschäftsleitung unmittelbar zu unterstellen.
Nein. Besondere Funktionen sind ein Begriff der MaRisk und meinen die drei Funktionen aus AT 4.4. Inhaber besonderer Schlüsselfunktionen ist ein Begriff des KWG: § 1 Abs. 2d zählt dazu die Leiter der internen Kontrollfunktionen sowie den Leiter Finanzen, soweit sie nicht Geschäftsleiter sind. Die Begriffe überschneiden sich, sind aber nicht deckungsgleich.
Primärquellen zuerst. Je Eintrag ist angegeben, wofür die Quelle in diesem Beitrag einsteht.
Die Auslagerung der besonderen Funktion berührt mehrere Themen. Hier die angrenzenden Beiträge.
Hinweis zur Unabhängigkeit: Dieser Beitrag beschreibt Anforderungen und Organisationsmodelle neutral. Aussagen zu Produkten einzelner Anbieter werden bewusst nicht getroffen.
Besondere Funktion auslagern oder zurückholen? Erst die Zulässigkeit prüfen, dann gestalten.
Wir verwenden Cookies und ähnliche Technologien, um Ihre Erfahrung auf unserer Website zu verbessern. Weitere Informationen in unserer Datenschutzerklärung.