Einfacher und verhältnismäßiger bei wirksamer Kontrolle? Die neuen EBA-Leitlinien zur internen Governance

Mit den neuen Leitlinien (EBA/GL/2026/10) wird die Europäische Bankenaufsichtsbehörde (EBA) ihre Leitlinien zur internen Governance aus dem Jahr 2021 (EBA/GL/2021/05) ersetzen. Anlass ist vor allem die CRD VI (Richtlinie (EU) 2024/1619). Daneben gleicht die EBA die Leitlinien an DORA, die neue Geldwäscheverordnung (AMLR) und ihre eigenen Leitlinien zu ESG-Risiken an.

Adressaten sind CRR-Kreditinstitute, Wertpapierfirmen (soweit für sie Titel VII der CRD gilt) und zugelassene (gemischte) Finanzholdinggesellschaften. Für Drittstaatenzweigstellen gilt nur ein Teil der Leitlinien. Anwendbar werden die Leitlinien zwei Monate nach Veröffentlichung aller EU-Amtssprachfassungen.

Für deutsche Institute ist das bekanntes Terrain. Das BRUBEG hat die CRD VI ins KWG übertragen. Die 9. MaRisk-Novelle (Rundschreiben 06/2026 (BA)) hat die Organisationspflichten nachgezogen. Das BRUBEG und den Konsultationsentwurf der Novelle haben wir im März und April dieses Jahres besprochen.

Die MaRisk nennen formal noch die Leitlinien der EBA von 2021. Nach dem Anschreiben der Bafin berücksichtigt die Novelle aber schon den Konsultationsentwurf der neuen Leitlinien. Offen ist, ob die Bafin dort nachsteuert, wo die Endfassung vom Entwurf abweicht. Bedeutende Institute im Sinne der SSM-Verordnung, die unmittelbar von der EZB beaufsichtigt werden, sind nach AT 2.1 Tz. 1 vom Anwenderkreis der MaRisk ausgenommen. Für sie ist die aufsichtliche Anwendung der Leitlinien durch die EZB maßgeblich.

Was blieb vom Entwurf? Die Entschärfungen nach der Konsultation

Aufschlussreich ist weniger der Vergleich mit 2021 als der mit dem Konsultationsentwurf (EBA/CP/2025/20). Die EBA hatte ihn im August 2025 vorgelegt, bis Anfang November gingen 24 Stellungnahmen ein. Die Kritik war deutlich. Die Vorgaben zum Mapping of Duties und den persönlichen Aufgabenbeschreibungen („Individual Statements“) hielt die Branche für zu kleinteilig. Die geplanten Beschränkungen für frühere Geschäftsleiters gingen aus ihrer Sicht deutlich über die CRD VI hinaus.

Die EBA hat an mehreren Stellen nachgegeben. Die Vorgaben zum Mapping sind prinzipienbasierter gefasst. Eine verbindliche Vorlage ist dafür nicht vorgesehen. Für die Individual Statements gibt es hingegen eine Vorlage im Anhang. Die Branche hielt sie jedoch für zu detailliert und fürchtete, sie werde faktisch verbindlich. Die EBA stellt daher nun klar, dass sie nur ein Angebot ist. Institute dürfen auch ihre vorhandenen Unterlagen nutzen. Die besonderen Vorgaben für frühere Geschäftsleiters betreffen jetzt den Wechsel in den Vorsitz desselben Unternehmens innerhalb von zwei Jahren. Der Entwurf sah einen weitergehenden dreijährigen Rahmen vor. Die besondere Vorgabe einer individuellen ESG-Expertise der Mitglieder des Vergütungsausschusses wurde gestrichen.

Die allgemeinen individuellen und kollektiven Anforderungen an Kenntnisse, Fähigkeiten und Erfahrung bleiben bestehen (Rn. 53). Der detaillierte Kennzahlenkatalog des Entwurfs zur Diversität entfällt. Die Pflicht, die Entwicklung anhand zusätzlicher interner Indikatoren zu überwachen und die Ergebnisse in der Personalpolitik zu berücksichtigen, bleibt bestehen (Rn. 116). Und der eigene Abschnitt zum Drittparteienrisiko entfällt. Hier verweisen die Leitlinien jetzt auf die gesonderten Leitlinien der EBA zum Drittparteienrisikomanagement für Nicht-IKT-Dienstleistungen. 2021 gab es dazu noch einen eigenen Abschnitt zu Auslagerungen.

Vereinfachung heißt hier also vor allem, dass die EBA Zusätze aus ihrem eigenen Entwurf wieder gestrichen hat. Gegenüber 2021 kommen trotzdem Pflichten hinzu. Die zentralen Neuerungen gehen auf die CRD VI zurück.

Wer macht was? Mapping of Duties und Individual Statements

Die wichtigste Neuerung folgt aus Art. 88 Abs. 3 CRD. Institute müssen für jedes Mitglied der Geschäftsleitung, jede dem Senior Management zuzurechnende Person und jeden Inhaber einer Schlüsselfunktion eine persönliche Aufgabenbeschreibung führen (Individual Statement). Schlüsselfunktionen sind unabhängig von ihrer Hierarchieebene zu erfassen. Dazu kommt eine Gesamtübersicht der Zuständigkeiten (Mapping of Duties). In Deutschland steht die Pflicht bereits in § 25c Abs. 4a Nr. 8 KWG und wird durch die MaRisk konkretisiert. Die Leitlinien von 2021 verlangten nur allgemein, dass Verantwortlichkeiten klar zugeordnet und dokumentiert sind.

Die Leitlinien füllen diesen allgemeinen Rahmen jetzt aus. Das Mapping soll Lücken zwischen Rollen und tatsächlichen Tätigkeiten sichtbar machen. Es fasst die Rollen und Aufgaben zusammen, zeigt, wie Geschäftsleitung, Aufsichtsorgan und Ausschüsse an Entscheidungen mitwirken, und bildet die Berichtslinien ab. Das Leitungsorgan soll es billigen und in Unternehmensgruppen dürfen die Angaben zentral vorgehalten werden, solange jede Tochter auf ihre Daten zugreifen kann.

Die Individual Statements sollen kurz, aber eindeutig sein. Wer im selben Institut mehrere Rollen hat, braucht nur eine Erklärung. Bei Funktionen in mehreren Gruppengesellschaften braucht es eine je Institut. Die Erklärung ist aktuell zu halten und von der betroffenen Person zu unterschreiben. Der Anhang enthält dafür eine Vorlage, deren Nutzung freiwillig ist. Das Mapping darf aus einem Dokumentensatz oder einem Verzeichnis bestehen. Bei geringfügigen Änderungen hält die EBA keine vollständig neue Billigung für nötig. Die individuelle Aufgabenzuweisung lässt die Gesamtverantwortung der Geschäftsleitung unberührt.

Inhaltlich deckt sich das weitgehend mit AT 5 MaRisk. Zwei Punkte gehen aber darüber hinaus. Die MaRisk sprechen weder die Unterschrift der betroffenen Person noch eine förmliche Billigung des Mappings an. Beides hat Gewicht. Je klarer die persönliche Zuständigkeit dokumentiert ist, desto leichter fällt im Ernstfall die individuelle Zurechnung, etwa bei Zwangsgeldern nach § 50 KWG, auch wenn die Unterschrift allein keine Verantwortlichkeit für einen Verstoß begründet. Darauf haben wir schon im Beitrag zum BRUBEG hingewiesen.

Wer darf sie absetzen? Die Leiter der Kontrollfunktionen

Bei den Leitern der internen Kontrollfunktionen geht es vor allem um ihre Abberufung. Die Leitlinien von 2021 verlangten dafür schon die vorherige Zustimmung des Leitungsorgans in seiner Aufsichtsfunktion. Zwingend war das nach Art. 76 Abs. 5 CRD a.F. aber nur für den Leiter der Risikomanagementfunktion. Seit der CRD VI gilt es für alle Kontrollfunktionen (Art. 76 Abs. 6 CRD).

Wie schon 2021 sollen bedeutende Institute die Aufsicht zudem zeitnah über die Abberufung und ihre Gründe informieren. Das KWG verlangt die vorherige Zustimmung des Verwaltungs- oder Aufsichtsorgans bereits (§ 25c Abs. 4a Nr. 3 lit. i KWG). In eilbedürftigen Fällen kann dessen Vorsitzender die Zustimmung vorläufig erteilen. Neu ist außerdem, dass das direkte Berichtsrecht der Leiter an das Aufsichtsorgan im Mapping und in ihren Individual Statements stehen soll.

Ausdrücklicher werden die Anforderungen an die Zusammenlegung von Risikocontrolling- und Compliance-Funktion. Bereits die Leitlinien von 2021 ließen eine Zusammenlegung unter Berücksichtigung der Verhältnismäßigkeit zu. Die neue Rn. 192 konkretisiert die erforderliche Begründung, Konfliktprüfung und Dokumentation. Jetzt soll das Institut darlegen können, dass Art, Umfang und Komplexität seiner Geschäfte eine getrennte Besetzung nicht rechtfertigen.

Es soll Interessenkonflikte prüfen, die Entscheidung dokumentieren und sicherstellen, dass die Person beide Aufgaben fachlich und zeitlich bewältigen kann. Die Revision darf weiterhin mit keiner anderen Kontrollfunktion zusammengelegt werden. Die MaRisk erlauben zwar, die Compliance-Funktion bei der Risikocontrolling-Funktion anzubinden (AT 4.4.2 Tz. 3). Leitet eine Person beide Funktionen, ist insbesondere zu dokumentieren, weshalb eine getrennte Besetzung nicht gerechtfertigt ist.

Leitet ein Geschäftsleiter selbst eine Kontrollfunktion, verlangen die Leitlinien Vorkehrungen gegen Interessenkonflikte, etwa passende Ziele und eine objektive Beurteilung und Vergütung. Das kennt die Praxis bereits aus den MaRisk (AT 4.4.1 Tz. 4, Erläuterung). Sind die Leiter der Kontrollfunktionen nicht selbst Geschäftsleiter, gelten sie seit dem BRUBEG zudem als Inhaber besonderer Schlüsselfunktionen (§ 1 Abs. 2d KWG). Ihre Eignung ist damit auch eine Fit-and-Proper-Frage. Mehr dazu in unserem Beitrag zu Fit and Proper unter CRD VI.

Vom Geschäftsleiter an die Spitze des Aufsichtsorgans? Interessenkonflikte

Neu geordnet ist das Verhältnis von Geschäftsleiter und Vorsitz. Die Leitlinien von 2021 ließen noch eine Ausnahme zu, nach der mit Begründung und Genehmigung der Aufsicht der Vorsitzende des Aufsichtsorgans zugleich Geschäftsleiter sein durfte. Diese Ausnahme taucht nicht mehr auf. Die Leitlinien sprechen jetzt schlicht von einem Verbot (Rn. 122). Ist ein Geschäftsleiter zugleich Mitglied des Aufsichtsorgans eines anderen Instituts derselben Gruppe, soll das Institut mögliche Konflikte prüfen und Gegenmaßnahmen dokumentieren.

Neu sind auch besondere Vorgaben zur Konfliktsteuerung beim Wechsel eines früheren Geschäftsleiter in den Vorsitz des Aufsichtsorgans. Erfolgt der Wechsel innerhalb von zwei Jahren nach Ende seines Geschäftsleiter-Mandats im selben Unternehmen, soll das Institut Interessenkonflikte gezielt steuern (Rn. 123–124). Bei der Wahl geeigneter Maßnahmen lassen die Leitlinien Spielraum und nennen Beispiele, die einzeln oder zusammen in Betracht kommen.

Bei einem festgestellten Konflikt leitet der frühere Geschäftsleiter beispielsweise die Beratung nicht oder enthält sich auf Bitte der übrigen Mitglieder der Stimme. Geht es um die Beurteilung seiner früheren Leistung oder um seine Vergütung als Geschäftsleiter, darf er weder an der Beratung noch an der Abstimmung teilnehmen. Ein Bestellungsverbot ist das nicht. Der Entwurf war hier deutlich strenger.

Die gleichzeitige Wahrnehmung von Geschäftsleitungs- und Kontrollmandaten ist bereits durch nationale Vorschriften begrenzt, insbesondere durch § 25d Abs. 3 und 3a KWG sowie bei Aktiengesellschaften durch § 105 Abs. 1 AktG. Für ehemalige Vorstandsmitglieder börsennotierter Gesellschaften enthält § 100 Abs. 2 Satz 1 Nr. 4 AktG grundsätzlich eine zweijährige Wartezeit. Eine Ausnahme besteht bei einer Wahl auf Vorschlag von Aktionären mit mehr als 25 Prozent der Stimmrechte.

Die EBA-Vorgaben sind daher besonders für nicht börsennotierte Institute relevant, können aber auch beim zulässigen früheren Wechsel in einer börsennotierten Gesellschaft greifen.

Und sonst? Ausschüsse, ESG, DORA und Geldwäsche

Eine echte Lockerung gegenüber 2021 betrifft systemrelevante Institute. Im Nominierungsausschuss von G-SRI und A-SRI genügt jetzt eine ausreichende Zahl unabhängiger Mitglieder statt einer Mehrheit. Der unabhängige Vorsitz bleibt bestehen. Der Rest ist überwiegend Abgleich mit Regeln, die an anderer Stelle schon gelten. Das Leitungsorgan soll ESG-Risiken kurz-, mittel- und langfristig steuern.

Das entspricht dem, was §§ 26c, 26d KWG verlangen. Der Risikoausschuss soll dem Vergütungsausschuss zuarbeiten, welche ESG-Ziele und Kennzahlen in die Vergütung einfließen. Die Business Continuity (Titel VI) ist enger an DORA ausgerichtet. Bei der Geldwäsche verweisen die Leitlinien schon auf die AMLR, die ab dem 10. Juli 2027 gilt. Danach ist ein Mitglied der Geschäftsleitung für die Einhaltung verantwortlich. Auch Risiken aus künstlicher Intelligenz und Quantentechnologien zählen ausdrücklich zu den Risiken, die die Leitlinien meinen (Fn. 12).

Neu ist schließlich die ausdrückliche Konkretisierung der Substanzanforderungen in Rn. 70. Das Institut darf nicht zur „leeren Hülle“ werden. Es braucht jederzeit genug Substanz für seine Erlaubnis, auch wenn es auslagert (Rn. 70). Für Drittstaatenzweigstellen gibt es einen eigenen Abschnitt mit Vorgaben zu Präsenz vor Ort, Substanz und Back-to-back-Geschäften (Abschnitt 7.2).

Fazit

Einfacher und verhältnismäßiger bei wirksamer Kontrolle? Für deutsche CRR-Institute gilt das nur mit Abstrichen. Einfacher sind die Leitlinien vor allem im Vergleich zum eigenen Entwurf der EBA. Gegenüber 2021 gibt es nur wenige echte Lockerungen, etwa beim Nominierungsausschuss von G-SRI und A-SRI.

An anderen Stellen werden die Anforderungen an Begründung und Dokumentation deutlicher, etwa bei der Zusammenlegung von Kontrollfunktionen. Die Anforderungen an eine ordnungsgemäße Geschäftsorganisation bleiben bestehen.

Der Gewinn liegt deshalb weniger in der Entlastung als in der Klarheit darüber, wer wofür zuständig ist. Wer seine Governance nach BRUBEG und 9. MaRisk-Novelle aufgestellt hat, muss daher nicht neu anfangen. Warten sollte trotzdem niemand.

Die Pflichten aus dem durch das BRUBEG geänderten KWG gelten im Wesentlichen seit dem 1. April 2026, die Übergangsfrist für die zusätzlichen Anforderungen der MaRisk endet am 1. Januar 2027. Mit der internen Umsetzung der folgenden Punkte sollte nicht gewartet werden:

• Individual Statements von den betroffenen Personen und angepasstes Mapping dokumentieren.
• Prüfen, ob die Geschäftsordnungen die Zustimmung des Aufsichtsorgans zur Abberufung der Leiter der Kontrollfunktionen abbilden. Auch Mapping und Individual Statements sollten ihr direktes Berichtsrecht an das Aufsichtsorgan zeigen.
• Bei gemeinsamer Leitung von Risikocontrolling und Compliance die Begründung und die Konfliktprüfung schriftlich festhalten.
• Die Interessenkonfliktrichtlinie um Regeln für den Wechsel vom Geschäftsleiter an die Spitze des Aufsichtsorgans ergänzen.