Aufsichtsrecht · Operationelles Risiko
Die EBA hat am 26. August 2026 einen Entwurf technischer Regulierungsstandards zum Management operationeller Risiken zur Konsultation gestellt. Er legt fest, woran ein operationelles Risikomanagement künftig gemessen wird — die Grundpflichten aus Art. 323 Abs. 1 CRR gelten bereits heute.
Der Entwurf schafft keine neue Pflicht zum Risikomanagement. Er bestimmt den Maßstab: einen mindestens jährlich genehmigten Risikoappetit, der in quantitative Limits übersetzt wird, dokumentierte Kriterien für Verlustdaten unterhalb von 20.000 Euro und eine Berichtsfrequenz, die sich am Geschäftsindikator nach Art. 314 CRR bemisst.
Lesezeit rund 17 Minuten · Stand: 9. September 2026
Vier Punkte, die den Umsetzungsaufwand bestimmen. Alles Weitere folgt aus ihnen.
Anwendungsbereich
Nach Art. 1 des Entwurfs gilt der Standard für alle Institute im Anwendungsbereich der CRR, auf Einzelbasis und, soweit einschlägig, konsolidiert und teilkonsolidiert. Die Schwelle von 750 Mio. Euro Geschäftsindikator grenzt den Anwendungsbereich nicht ab. Sie staffelt fünf Bereiche: Prüfturnus, Ausdruck des Risikoappetits, Datenumfang, Taxonomie und Berichtsfrequenz.
Governance
Das Leitungsorgan genehmigt das Rahmenwerk und definiert den Risikoappetit mindestens jährlich (Art. 4 Abs. 3). Das Senior Management übersetzt ihn nach Art. 4 Abs. 6 in quantitative Limits, etwa auf Basis von Verlustkennzahlen, und überwacht die Auslastung. Für Limitüberschreitungen sind Eskalationsverfahren einzurichten.
Daten
Art. 9 verlangt oberhalb der Schwelle, Verluste unterhalb von 20.000 Euro zu erfassen, soweit sie relevant sind — und die Kriterien für diese Relevanz in internen Unterlagen festzulegen. Unterhalb der Schwelle tritt eine Wesentlichkeitsprüfung hinzu. Der Aufwand liegt nicht in der Grenze, sondern in ihrer nachvollziehbaren Begründung.
Berichtswege
Nach Art. 11 Abs. 1 Buchst. b erhält das Leitungsorgan in der Geschäftsführungsfunktion die OpRisk-Informationen und berichtet sie an die Aufsichtsfunktion — mindestens quartalsweise, unterhalb von 750 Mio. Euro mindestens jährlich. Die Berichte folgen den ordentlichen Berichtslinien des Hauses.
Rechtsgrundlage ist Art. 323 Abs. 2 CRR in der Fassung der Verordnung (EU) 2024/1623. Die Vorschrift beauftragt die EBA, die Pflichten des Art. 323 Abs. 1 Buchst. a bis h unter Berücksichtigung von Größe und Komplexität des Instituts zu konkretisieren. Diese Pflichten stehen bereits im Gesetz: dokumentiertes Bewertungs- und Managementsystem, unabhängige OpRisk-Funktion, Berichtswesen, Korrekturverfahren, Compliance-Routinen, interne Validierung, Prüfung durch die Revision und transparente Datenflüsse.
Der Entwurf gliedert das Rahmenwerk in drei Bestandteile, die er in Art. 3 definiert: die Governance, den Managementprozess und das Bewertungssystem. Hinzu kommen Begriffsbestimmungen für Risikoprofil, Risikoappetit und operationelle Resilienz. Der Geschäftsindikator ist derjenige nach Art. 314 CRR — die Einordnung deines Hauses hängt damit an einer Größe, die ohnehin berechnet wird.
Materiell reichen die Anforderungen von der Dokumentationsqualität (Art. 5, mit Autor, Versionsnummer, genehmigendem Gremium und Datum als Mindestinhalt) über den laufenden Managementprozess (Art. 6) und das Bewertungssystem mit Prozesslandkarte, Risk-and-Control-Assessments, Szenarioanalyse und Stresstests (Art. 7) bis zur Verankerung im Tagesgeschäft (Art. 8). Art. 9 regelt Daten und Taxonomie, Art. 10 die unabhängige OpRisk-Funktion, Art. 11 das Berichtswesen, Art. 12 Compliance-Routinen und interne Validierung, Art. 13 und 14 die Revision, Art. 15 die Datenflüsse.
Zwei Punkte sind für die Praxis wichtiger als der Rest. Erstens: Die vorausschauende Sicht wird eingefordert. Der Entwurf nennt ausdrücklich ESG-Faktoren, den zunehmenden Einsatz künstlicher Intelligenz und geopolitische Entwicklungen als Treiber operationeller Risiken. Zweitens: Nach Art. 12 Abs. 2 gehört zur internen Validierung auch die Abstimmung zwischen den Buchhaltungsdaten zu operationellen Verlusten und dem Verlustdatensatz. Das ist eine Nachweispflicht, keine Methodikfrage.
Der Geschäftsindikator nach Art. 314 CRR entscheidet in fünf Bereichen über die Anforderungsstufe. Er grenzt den Anwendungsbereich nicht ab.
| Bereich | Geschäftsindikator unter 750 Mio. Euro | Geschäftsindikator ab 750 Mio. Euro | Norm |
|---|---|---|---|
| Wirksamkeitsprüfung des Rahmenwerks | mindestens alle zwei Jahre | mindestens jährlich | Art. 4 Abs. 4 |
| Ausdruck des Risikoappetits | Geschäftsindikator oder seine Komponenten als alleiniger Näherungswert zulässig | in quantitative Limits übersetzt, Auslastung wird überwacht | Art. 4 Abs. 6, Abs. 7 |
| Umfang der Risikodaten | reduzierter Satz; relevante und wesentliche Verluste unter 20.000 Euro | erweiterter Satz; zusätzlich Beinaheereignisse, Szenarien, Stresstests, Risiko- und Kontrollindikatoren | Art. 9 Abs. 2, Abs. 3 |
| Risikotaxonomie | Anlehnung an die Standards wird empfohlen | konsistent zu den Standards nach Art. 317 Abs. 9 CRR | Art. 9 Abs. 7 |
| Berichterstattung an das Leitungsorgan | mindestens jährlich | mindestens quartalsweise | Art. 11 Abs. 1 Buchst. b |
Die Tabelle bildet die Staffelung des Entwurfs ab. Zwei Punkte werden dabei oft übersehen: Die Erleichterung beim Risikoappetit ist an eine Aufsichtsbefugnis gekoppelt — die zuständige Behörde kann nach Art. 4 Abs. 7 zusätzliche quantitative Maße verlangen, wenn der Geschäftsindikator dein Geschäftsmodell nicht zutreffend abbildet. Und die Erfassung von Verlusten oberhalb von 20.000 Euro bleibt in beiden Stufen Pflicht.
Der Zeitplan des Verfahrens ist bis zur Vorlage bei der Kommission bestimmt. Danach beginnt ein offener Abschnitt.
Frühere Etappen sind für die Einordnung wichtig: Die Pflichten des Art. 323 Abs. 1 CRR gelten unabhängig vom Stand dieses Verfahrens. Der Entwurf konkretisiert sie, er begründet sie nicht.
Der Entwurf ordnet Aufgaben nicht pauschal dem Leitungsorgan zu, sondern unterscheidet Aufsichtsfunktion, Geschäftsführungsfunktion und Senior Management. Diese Dreiteilung ist der häufigste Fehler bei der Übertragung in interne Regelwerke.
| Funktion | Aufgabe nach dem Entwurf | Norm |
|---|---|---|
| Leitungsorgan, Aufsichtsfunktion | Genehmigt das Rahmenwerk, definiert den Risikoappetit mindestens jährlich und überwacht laufend, dass das Risikoprofil innerhalb des Appetits bleibt. | Art. 4 Abs. 3 |
| Leitungsorgan, Geschäftsführungsfunktion | Verantwortet die Umsetzung des genehmigten Rahmenwerks und berichtet die OpRisk-Informationen an die Aufsichtsfunktion. | Art. 4 Abs. 5, Art. 11 Abs. 1 |
| Senior Management | Übersetzt den Risikoappetit in quantitative Limits, überwacht die Auslastung und hält Eskalationsverfahren für Überschreitungen vor. | Art. 4 Abs. 6 |
| OpRisk-Funktion, zweite Linie | Entwirft und überwacht Managementprozess und Bewertungssystem, fordert Neuprodukte und Prozessänderungen heraus, trägt die Risikokultur. | Art. 10 Abs. 1 |
| Leitung der OpRisk-Funktion | Fachliche Eignung, regelmäßiger direkter Austausch mit dem Leitungsorgan, Mitwirkung am Risikoappetit, Unabhängigkeit von den überwachten Einheiten. | Art. 10 Abs. 4 |
| Fachbereiche und IT, erste Linie | Erfassen Risiken, führen Kontrollen durch und erhalten die Informationen aus dem Managementprozess, damit Risiken dort gesteuert werden, wo sie entstehen. | Art. 6 Abs. 3, Abs. 5 |
| Compliance-Funktion | Arbeitet mit der OpRisk-Funktion zusammen, soweit beide nicht in einer Einheit liegen, insbesondere bei Rechtsrisiken; Berichtslinien und Eskalation sind zu dokumentieren. | Erwägungsgrund 15, Art. 12 Abs. 4 |
| Interne Revision, dritte Linie | Beurteilt Verlässlichkeit und Wirksamkeit, prüft Qualität und Vollständigkeit der verwendeten Daten und hält ein fortgeschriebenes Prüfprogramm vor. | Art. 13 Abs. 1 bis 3 |
Hinzu kommt die interne Validierung nach Art. 12 Abs. 2. Sie beurteilt das Bewertungssystem, die Berechnung des Geschäftsindikator-Bestandteils und — ab 750 Mio. Euro — die Berechnung des jährlichen operationellen Verlusts. Sie ist von der Revision zu trennen: Validierung beurteilt Methodik und Ergebnisse, die Revision gibt unabhängige Sicherheit über Angemessenheit und Wirksamkeit.
Der Entwurf verzichtet bewusst auf eigene IKT-Anforderungen. Die Abgrenzung musst du trotzdem dokumentieren — in zwei verschiedenen Rechtskreisen.
Der Entwurf regelt IKT-Risiken nicht selbst. Art. 2 Abs. 1 verlangt, dass das IKT-Risikomanagement nach der Verordnung (EU) 2022/2554 und der Richtlinie (EU) 2022/2556 integraler Bestandteil des Gesamtrahmenwerks ist. Art. 2 Abs. 2 erlaubt ausdrücklich, sich auf Strategien, Leitlinien, Verfahren, Kontrollen und Werkzeuge zu stützen, die bereits nach DORA bestehen, soweit sie die Anforderungen des Entwurfs erfüllen. Doppelstrukturen sind also nicht gewollt — die Nachweisführung dafür schon.
Praktisch heißt das: IKT-bezogene Vorfälle, die operationelle Risiken auslösen, gehören als operationelle Risikoereignisse in dein Rahmenwerk, und die Informationen aus dem DORA-Vorfallmanagement sind dafür zu nutzen. Wer DORA-Register, Vorfallklassifizierung und OpRisk-Verlustdatensatz getrennt führt, erzeugt genau die Inkonsistenz, die eine Prüfung findet.
Davon zu trennen ist die nationale Weichenstellung im Cybersicherheitsrecht. Nach § 28 Abs. 6 Nr. 1 BSIG gilt DORA für Finanzunternehmen als lex specialis: Sie sind von den Pflichten der §§ 30, 31, 32, 35, 36, 38 und 39 BSIG ausgenommen. Die Registrierungspflicht nach § 33 BSIG bleibt davon unberührt. Für Einheiten deiner Gruppe, die keine Finanzunternehmen im Sinne der DORA sind — etwa konzerninterne IT-Dienstleister — greift die Ausnahme nicht.
Die folgenden Muster begegnen uns unabhängig von Größe und Geschäftsmodell. Sie sind kein Ersatz für die Prüfung im Einzelfall.
Ein Risikoappetit, der als Grundsatzformulierung im Rahmenwerk steht, genügt oberhalb von 750 Mio. Euro Geschäftsindikator nicht mehr. Art. 4 Abs. 6 verlangt die Übersetzung in quantitative Limits und die Überwachung der Auslastung. Ohne Eskalationsverfahren für Überschreitungen fehlt der Regelung die Konsequenz.
Art. 4 des Entwurfs
Art. 9 Abs. 2 Buchst. a verlangt nicht, jeden Kleinschaden zu erfassen, sondern die Kriterien für Relevanz in internen Unterlagen und Verfahren festzulegen. Wer die Grenze nur als Erfassungsschwelle im System hinterlegt hat, hat die Anforderung nicht erfüllt.
Art. 9 des Entwurfs
Oberhalb der Schwelle muss die Taxonomie zur Klassifizierung operationeller Risikoereignisse konsistent zu den Standards nach Art. 317 Abs. 9 CRR sein (Art. 9 Abs. 7). Gewachsene Kategorienbäume aus der Verlustdatenbank sind das häufig nicht, weil sie nach Organisationseinheit statt nach Ereignistyp geschnitten sind.
Art. 9 des Entwurfs
Die Quartalsfrequenz betrifft nicht irgendeinen Bericht an ein Gremium. Nach Art. 11 Abs. 1 Buchst. b berichtet das Leitungsorgan in der Geschäftsführungsfunktion an die Aufsichtsfunktion. Wer den Weg umgekehrt oder als Bericht der OpRisk-Funktion an den Vorstand abbildet, verfehlt die Norm.
Art. 11 des Entwurfs
Wo andere Funktionen einzelne operationelle Risikoarten überwachen, muss die OpRisk-Funktion nach Art. 10 Abs. 2 nachweisen können, dass sie eine unabhängige und institutsweite Gesamtsicht behält. Zwischen OpRisk, Compliance, Informationssicherheit und Geldwäscheprävention ist das selten schriftlich geregelt.
Art. 10 des Entwurfs
Art. 12 Abs. 2 Buchst. c und Art. 15 Abs. 3 verlangen Verfahren zur Abstimmung zwischen den Buchhaltungsdaten zu operationellen Verlusten und dem Verlustdatensatz. Fehlt der Abgleich, ist die Vollständigkeit des Datensatzes nicht belegbar — und damit auch die Berechnung nicht.
Art. 12 des Entwurfs
Fünf Fragen zur Selbsteinschätzung. Wähle je Frage den Zustand, der deinem Haus heute am nächsten kommt. Die Einschätzung bleibt in deinem Browser und wird nicht übertragen.
Ist der Geschäftsindikator nach Art. 314 CRR berechnet und die Zuordnung zur 750-Mio.-Euro-Schwelle dokumentiert?
Die Einordnung steht fest und ist nachvollziehbar hergeleitet. Halte sie bei jeder wesentlichen Veränderung des Geschäftsmodells nach.
Der Wert liegt vor, die Ableitung der daraus folgenden Anforderungsstufe fehlt. Ergänze eine kurze Herleitung je betroffenem Bereich der Proportionalitätstabelle.
Ohne diesen Wert lässt sich keine der fünf gestaffelten Anforderungen bestimmen. Das ist der erste Schritt, alles Weitere hängt daran.
Ist der Risikoappetit in quantitative Limits übersetzt und die Eskalation bei Überschreitung geregelt?
Limits, Verantwortliche und Eskalationsweg sind festgelegt. Prüfe, ob die Auslastung tatsächlich laufend berichtet wird und nicht nur bei Bedarf.
Es gibt Kennzahlen, aber keine verbindlichen Limits oder keinen definierten Eskalationsweg. Art. 4 Abs. 6 verlangt beides zusammen.
Unterhalb von 750 Mio. Euro Geschäftsindikator darf der Geschäftsindikator als alleiniger Näherungswert dienen. Oberhalb ist das keine Option mehr.
Sind die Kriterien dokumentiert, wann ein Verlust unterhalb von 20.000 Euro als relevant gilt?
Die Kriterien stehen in internen Unterlagen und werden angewendet. Prüfe, ob sie zur Taxonomie passen und ob Beinaheereignisse mitgedacht sind.
Es gibt eine gelebte Praxis, aber keine schriftliche Festlegung. Genau die verlangt Art. 9 Abs. 2 Buchst. a ausdrücklich.
Ohne dokumentierte Kriterien ist weder Vollständigkeit noch Konsistenz belegbar. Der Aufwand liegt in der Begründung, nicht in der Erfassung.
Berichtet die Geschäftsführungsfunktion die OpRisk-Informationen in der geforderten Frequenz an die Aufsichtsfunktion?
Richtung und Frequenz entsprechen Art. 11 Abs. 1 Buchst. b. Prüfe die Mindestinhalte: Top-Risiken, Profil und Appetit, wesentliche Überschreitungen, Maßnahmen.
Es wird berichtet, aber Frequenz oder Mindestinhalte sind nicht an der Größenklasse ausgerichtet. Ziehe die Berichtsvorlage nach.
Die Berichtsrichtung ist im Entwurf eindeutig geregelt. Bilde sie in der Geschäftsordnung und in der Berichtsvorlage ab, bevor der RTS finalisiert wird.
Gibt es ein dokumentiertes Verfahren zur Abstimmung zwischen Buchhaltungsdaten und Verlustdatensatz?
Das Verfahren läuft und ist dokumentiert. Lass die Ergebnisse in die interne Validierung einfließen, so wie Art. 12 Abs. 2 es vorsieht.
Der Abgleich findet statt, ist aber weder beschrieben noch als Kontrolle verankert. Damit fehlt der Nachweis.
Ohne Abstimmung ist die Vollständigkeit des Verlustdatensatzes nicht belegbar. Das trifft auch die Berechnung des Geschäftsindikator-Bestandteils.
Die Empfehlungen ersetzen keine Gap-Analyse. Sie zeigen, an welcher Stelle des Entwurfs du zuerst nachsehen solltest.
Alle sechs Schritte zahlen auf Anforderungen ein, die bereits aus Art. 323 Abs. 1 CRR und den MaRisk folgen. Sie sind damit auch dann nicht verloren, wenn sich der Entwurf im Verfahren noch ändert.
Berechne den Geschäftsindikator nach Art. 314 CRR und halte je Bereich der Proportionalitätstabelle fest, welche Anforderungsstufe für dich gilt. Diese eine Seite entscheidet über den gesamten Umsetzungsaufwand.
Spiegle das bestehende Rahmenwerk gegen Art. 4 bis 15 des Entwurfs, Artikel für Artikel. Zusammenfassungen verdecken genau die Stellen, an denen der Entwurf konkreter wird als die bisherige Praxis: Dokumentationsmindestinhalte, Relevanzkriterien, Abstimmungsverfahren.
Leite aus dem Appetit quantitative Limits ab, lege Messpunkte und Verantwortliche fest und beschreibe den Eskalationsweg bei Überschreitung. Verankere die jährliche Genehmigung im Sitzungskalender des Leitungsorgans.
Formuliere die Kriterien für relevante Verluste unterhalb von 20.000 Euro und prüfe gleichzeitig, ob deine Taxonomie zu den Standards nach Art. 317 Abs. 9 CRR anschlussfähig ist. Beides getrennt zu bearbeiten erzeugt doppelte Nacharbeit.
Dokumentiere, welche bestehenden DORA-Artefakte welche Anforderung des Entwurfs abdecken. Art. 2 Abs. 2 lässt das ausdrücklich zu; verwertbar ist es nur mit einer expliziten Zuordnung. Halte die BSIG-Weichenstellung im selben Dokument fest.
Beschreibe das Abstimmungsverfahren zwischen Buchhaltung und Verlustdatensatz, weise ihm einen Verantwortlichen zu und lass die Ergebnisse in die interne Validierung nach Art. 12 Abs. 2 einfließen. Revisionsfeste Dokumentation ist hier der eigentliche Liefergegenstand.
Drei Kernbotschaften für Geschäftsleitung, Risikocontrolling und Compliance.
Die Pflichten aus Art. 323 Abs. 1 CRR gelten bereits. Neu ist, dass der Entwurf sie in prüfbare Einzelanforderungen zerlegt: genehmigter Risikoappetit, quantitative Limits, dokumentierte Relevanzkriterien, definierte Berichtsrichtung.
750 Mio. Euro Geschäftsindikator trennen zwei Anforderungsniveaus in fünf Bereichen. Unterhalb der Schwelle bleibt die Pflicht zu einem angemessenen Rahmenwerk in vollem Umfang bestehen.
Die meisten Häuser tun vieles bereits. Was fehlt, ist die schriftliche Herleitung: Kriterien, Zuordnungen, Abstimmungen. Genau daran misst eine Prüfung die Umsetzung.
Die Konsultationsphase bis zum 31. Dezember 2026 ist der günstigste Zeitpunkt für eine Gap-Analyse: Der Text steht, der Anwendungszeitpunkt ist offen, und jede jetzt geschlossene Lücke ist später kein Feststellungsrisiko. Ein operationelles Risikomanagement, das Geschäftsindikator, Risikoappetit, Verlustdaten und Berichtswege sauber verbindet, trägt unabhängig davon, in welcher Fassung der RTS am Ende in Kraft tritt.
Die Antworten beziehen sich auf die Entwurfsfassung vom 26. August 2026.
Der Entwurf gilt nach Art. 1 für alle Institute im Anwendungsbereich der CRR, auf Einzelbasis und, soweit einschlägig, auf konsolidierter und teilkonsolidierter Basis. Die Schwelle von 750 Mio. Euro Geschäftsindikator begrenzt den Anwendungsbereich nicht, sondern staffelt einzelne Anforderungen. Institute unterhalb der Schwelle bleiben zur Einrichtung eines angemessenen OpRisk-Rahmenwerks verpflichtet.
Sie unterscheidet zwei Anforderungsniveaus in fünf Bereichen: Turnus der Wirksamkeitsprüfung, Ausdruck des Risikoappetits, Umfang der Risikodaten, Bindung an die Risikotaxonomie und Frequenz der Berichterstattung an das Leitungsorgan. Oberhalb der Schwelle gilt jeweils die strengere Stufe, etwa die jährliche statt zweijährliche Wirksamkeitsprüfung nach Art. 4 Abs. 4.
Institute ab 750 Mio. Euro Geschäftsindikator müssen operationelle Verluste unterhalb von 20.000 Euro erfassen, soweit sie relevant sind, und die Kriterien für diese Relevanz in ihren internen Unterlagen und Verfahren festlegen. Unterhalb der Schwelle kommt eine Wesentlichkeitsprüfung hinzu. Der Umsetzungsaufwand liegt in der dokumentierten Begründung, nicht in der Erfassung als solcher.
Nach Art. 11 Abs. 1 Buchst. b erhält das Leitungsorgan in der Geschäftsführungsfunktion die Informationen zum operationellen Risikoprofil und berichtet sie an das Leitungsorgan in der Aufsichtsfunktion, mindestens quartalsweise. Für Institute mit einem Geschäftsindikator unter 750 Mio. Euro genügt eine jährliche Berichterstattung.
Art. 2 des Entwurfs verlangt, dass das IKT-Risikomanagement nach der Verordnung (EU) 2022/2554 integraler Bestandteil des Gesamtrahmenwerks ist, und erlaubt, sich auf bereits bestehende DORA-Artefakte zu stützen. Davon getrennt gilt im nationalen Cybersicherheitsrecht § 28 Abs. 6 Nr. 1 BSIG: DORA ist für Finanzunternehmen lex specialis, die Registrierungspflicht nach § 33 BSIG bleibt bestehen.
Ein verbindlicher Anwendungszeitpunkt steht noch nicht fest. Die Kommentierungsfrist endet am 31. Dezember 2026, die EBA muss den finalen Entwurf nach Art. 323 Abs. 2 CRR bis zum 10. Januar 2027 der Europäischen Kommission vorlegen. Maßgeblich sind anschließend die Regelungen zum Inkrafttreten und zur Anwendung im angenommenen Rechtsakt.
Amtliche Quellen zuerst, danach der internationale Bezugsrahmen. Jede Angabe in diesem Beitrag lässt sich hier nachvollziehen.
Hinweis zum Rechtsstand: Dieser Beitrag beruht auf einem Konsultationsentwurf und ersetzt keine Rechtsberatung im Einzelfall. Gleiche sämtliche Angaben zu Artikeln, Schwellenwerten, Fristen und Anwendungszeitpunkten gegen die jeweils aktuelle amtliche Fassung und nach Abschluss des Verfahrens gegen den angenommenen Rechtsakt ab.
Ein OpRisk-Rahmenwerk greift in bestehende Prozesse ein. Diese Bausteine schließen an.
Operative Bearbeitung datenintensiver und fristgebundener Fachprozesse nach den Vorgaben deines Instituts — der Rahmen, in dem OpRisk-Datenhaushalt und Berichtsstrecke als Service laufen.
Führung und Qualitätssicherung des Informationsregisters nach DORA — die Datengrundlage, auf die sich Art. 2 des Entwurfs stützen lässt.
Abgrenzung von erster, zweiter und dritter Linie — die Frage, die Art. 10 des Entwurfs an die Unabhängigkeit der OpRisk-Funktion stellt.
Anbieterneutrale Unterstützung bei Datenhaushalt, Schnittstellen und Auswertbarkeit — ohne Bindung an ein Produkt.
Unabhängige Prüfung des Rahmenwerks nach Art. 13 des Entwurfs, mit dokumentiertem Prüfprogramm und Nachverfolgung der Feststellungen.
Governance-, Maßnahmen- und Evidenzregister an einem Ort — der Ablageort für Relevanzkriterien, Limits und Abstimmungsnachweise.
Achim Schulz kennt die Führungsebene aus eigener Verantwortung – langjährig als Vorstand bei Banken und Geschäftsführer sowie als Interim-Manager in Industrieunternehmen. Diese Doppelperspektive aus Finanzsektor und Realwirtschaft prägt seine Beiträge für CEO, COO und CFO. Er kennt das Zusammenspiel von Geschäftsleitung, Aufsichtsrat und Gesellschaftern aus der Praxis und übersetzt strategische wie aufsichtsrechtliche Anforderungen in umsetzbare, haftungssichere Führungsentscheidungen – praxisnah und auf Augenhöhe mit dem Management.
LinkedIn-Profil →Wir verwenden Cookies und ähnliche Technologien, um Ihre Erfahrung auf unserer Website zu verbessern. Weitere Informationen in unserer Datenschutzerklärung.