Zum Hauptinhalt springen

MaRisk-Compliance nach der 9. Novelle: AT 4.4.2 umsetzen

Die MaRisk-Compliance richtet sich seit dem 30.06.2026 nach AT 4.4.2 des Rundschreibens 06/2026 (BA); für zusätzliche Anforderungen läuft eine Übergangsfrist bis zum 01.01.2027. Dieser Beitrag ordnet ein, was die Compliance-Funktion jetzt leisten muss und wie dein Institut die Umsetzung bearbeitet.

AT 4.4.2 verlangt von der Compliance-Funktion mehr als Beratung: Sie muss auf wirksame Verfahren und entsprechende Kontrollen hinwirken, den Überwachungsprozess in den Fachbereichen sicherstellen und mindestens jährlich an die Geschäftsleitung berichten, einschließlich Defiziten und Gegenmaßnahmen.
Stand Oktober 2026
Grundlage Rundschreiben 06/2026 (BA)
Übergangsfrist bis 01.01.2027
Lesezeit 18 Min.

Management Summary: vier Punkte für Geschäftsleitung und Compliance

Die Kurzfassung für Entscheider. Die Textziffern stammen aus dem Rundschreiben 06/2026 (BA), die Einordnung zur Umsetzung ist unsere fachliche Sicht.

01 · Auftrag

Hinwirken statt nur beraten

AT 4.4.2 Tz. 1 verpflichtet die Compliance-Funktion, auf die Implementierung wirksamer Verfahren zur Einhaltung der wesentlichen rechtlichen Regelungen und auf entsprechende Kontrollen hinzuwirken. Zusätzlich unterstützt und berät sie die Geschäftsleitung. Die betroffenen Bereiche überwachen die Einhaltung, die Compliance-Funktion stellt diesen strukturierten Prozess sicher.

02 · Organisation

Berichtslinie, Beauftragter, Zugriff

Die Funktion ist grundsätzlich unmittelbar der Geschäftsleitung unterstellt und unabhängig von Markt und Handel (Tz. 3). Das Institut muss einen Compliance-Beauftragten benennen (Tz. 4). Kombinationen mit anderen Funktionen sind möglich, Geldwäschebeauftragter und Datenschutzbeauftragter dürfen aber grundsätzlich nicht kombiniert werden.

03 · Bericht

Mindestens jährlich, mit Defiziten

Die Compliance-Funktion berichtet mindestens jährlich sowie anlassbezogen an die Geschäftsleitung. Der Bericht enthält Hinweise auf Defizite und Gegenmaßnahmen und wird an die Interne Revision weitergegeben (Tz. 6). Das Aufsichtsorgan erhält den Bericht nach AT 3.2 Tz. 2 zur Kenntnis.

04 · Frist und Auslagerung

Übergang bis 01.01.2027

Das Rundschreiben ist seit dem 30.06.2026 in Kraft, für zusätzliche Anforderungen gilt eine Übergangsfrist bis zum 01.01.2027. Die Compliance-Funktion lässt sich nach AT 9 nur in Grenzen auslagern, die Verantwortung der Geschäftsleitung bleibt im Institut.

Was MaRisk-Compliance nach AT 4.4.2 verlangt

Maßgeblich ist das Rundschreiben 06/2026 (BA) der BaFin vom 30.06.2026. Es stützt sich auf § 25a Abs. 1 KWG und präzisiert § 25b KWG (Auslagerung) sowie § 26c KWG (ESG-Risiken) (AT 1 Tz. 1). Nach dem Übersendungsschreiben der BaFin ist die Neufassung mit Veröffentlichung am 30.06.2026 in Kraft getreten. Hauptziel war, das Rundschreiben stärker prinzipienbasiert zu fassen und die Komplexität zu reduzieren; eine grundsätzliche Absenkung des Anforderungsniveaus ist laut BaFin dadurch nicht erfolgt.

Die sechs Textziffern von AT 4.4.2 im Überblick

TextzifferInhaltWas dein Institut daraus macht
AT 4.4.2 Tz. 1Jedes Institut braucht eine Compliance-Funktion. Sie wirkt auf wirksame Verfahren und Kontrollen hin, unterstützt und berät die Geschäftsleitung und stellt in einem strukturierten Prozess sicher, dass die betroffenen Bereiche die Einhaltung überwachen.Compliance-Prozess schriftlich fassen: Wer überwacht was, und wie weist die Compliance-Funktion das nach?
AT 4.4.2 Tz. 2Die Funktion identifiziert risikoorientiert und in regelmäßigen Abständen die wesentlichen rechtlichen Regelungen, deren Nichteinhaltung das Vermögen des Instituts gefährden kann.Legal Inventory mit Wesentlichkeitskriterium, Turnus und Verantwortlichen führen.
AT 4.4.2 Tz. 3Grundsätzlich unmittelbare Unterstellung unter die Geschäftsleitung. Anbindung an Risikocontrolling oder andere geeignete Funktionen ist mit direkter Berichtslinie möglich. Unabhängigkeit von Markt und Handel.Berichtslinie und Kombinationsentscheidung dokumentieren.
AT 4.4.2 Tz. 4Das Institut benennt einen Compliance-Beauftragten. Bei sehr kleinen Instituten kann ein Geschäftsleiter die Aufgabe übernehmen, wenn Maßnahmen gegen Interessenkonflikte bestehen.Benennung, Aufgabenbeschreibung und Vertretung festhalten.
AT 4.4.2 Tz. 5Die Mitarbeiter haben uneingeschränkten Zugriff auf alle nötigen Informationen. Weisungen und wesentliche Änderungen werden rechtzeitig mitgeteilt. Compliance und Risikocontrolling arbeiten zusammen.Zugriffsrechte, Informationsflüsse und Austausch mit dem Risikocontrolling regeln.
AT 4.4.2 Tz. 6Bericht mindestens jährlich und anlassbezogen an die Geschäftsleitung, mit Hinweisen auf Defizite und Gegenmaßnahmen, Weitergabe an die Interne Revision.Berichtsvorlage und Verteiler festlegen.

Geltung und Größenklassen

Die Anforderungen richten sich an Institute nach § 1 Abs. 1b KWG bzw. § 53 Abs. 1 KWG, soweit sie nicht als bedeutende Institute der direkten EZB-Aufsicht unterliegen (AT 2.1 Tz. 1). Finanzdienstleistungsinstitute und große Wertpapierfirmen beachten das Rundschreiben insoweit, als dies nach Größe, Art, Umfang, Komplexität und Risikogehalt zur Einhaltung der §§ 25a, 25b und 26c KWG geboten ist (AT 2.1 Tz. 2).

Zusätzlich zur proportionalen Anwendung definiert die 9. Novelle Größenklassen. Kleine Institute sind SNCI nach Art. 4 Abs. 1 Nr. 145 CRR, sehr kleine Institute haben im Vierjahresdurchschnitt eine Bilanzsumme von höchstens 1 Mrd. Euro; bei Factoringinstituten kommt ein jährliches Forderungsankaufsvolumen von höchstens 5 Mrd. Euro hinzu (AT 1 Tz. 3).

Verhältnis zu Spezialgesetzen

Sonstige Vorgaben zur Compliance-Funktion aus anderen Aufsichtsgesetzen bleiben unberührt (AT 4.4.2 Tz. 1, Erläuterung). Die Regelungen zur Prävention von Geldwäsche und Terrorismusfinanzierung sind stets einzuhalten (AT 1 Tz. 4). Über § 80 Abs. 1 WpHG i. V. m. § 25a Abs. 1 KWG konkretisieren die MaRisk außerdem die allgemeinen organisatorischen Anforderungen des Art. 16 MiFID II, soweit dieser auf Kredit- und Finanzdienstleistungsinstitute gleichermaßen Anwendung findet (AT 1 Tz. 4).

Risikoorientierung bei Tz. 2

Bundesbank und BaFin haben im Aufsichtsbriefing vom 19.06.2026 betont, dass der MaRisk-Text einem risikoorientierten Vorgehen der Compliance-Funktion nicht entgegensteht. Maßgeblich sind Regelungen, deren Nichteinhaltung das Vermögen des Instituts gefährden kann; das umfasst nach ständiger Auslegung auch materielle operationelle Risiken.

Die Konsultationsfassung 02/2026 beschrieb die Aufgabe der Compliance-Funktion noch mit anderem Wortlaut (Beratung, Unterstützung, strukturierter Überwachungsprozess). Für deine Umsetzung zählt allein die finale Fassung.

Hinweis für Wertpapierinstitute: Kleine und mittlere Wertpapierinstitute wenden ab dem 01.01.2027 die WpI MaRisk (Rundschreiben 09/2026 (WA) vom 24.08.2026) an (AT 1 Tz. 5). Bis dahin gilt sinngemäß die KWG-MaRisk in der 8. Novelle; Änderungen der 9. Novelle sind in diesem Zeitraum nicht zwingend zu berücksichtigen (Anschreiben, Abschnitt VI). Große Wertpapierinstitute wenden weiterhin §§ 25a, 25b KWG und die MaRisk 06/2026 (BA) an (WpI MaRisk AT 2.1).

Fristen und Zeitpunkte

Das Rundschreiben gilt, die Übergangsfrist läuft. Offene Termine sind rot markiert.

  • 01.04. bis 08.05.2026

    Konsultation der 9. MaRisk-Novelle (Konsultation 02/2026). Die Konsultationsfassung beschrieb die Aufgaben der Compliance-Funktion noch mit anderem Wortlaut.

  • 30.06.2026

    BaFin veröffentlicht das Rundschreiben 06/2026 (BA). Es tritt mit der Veröffentlichung in Kraft; die Aufsichtsmitteilung vom 26.11.2024 ist in den Regelungstext überführt.

  • 24.08.2026

    BaFin veröffentlicht die WpI MaRisk (Rundschreiben 09/2026 (WA)) für kleine und mittlere Wertpapierinstitute.

  • 01.01.2027

    Ende der Übergangsfrist für zusätzliche Anforderungen aus dem Rundschreiben 06/2026 (BA). Zugleich Geltungsbeginn der WpI MaRisk.

  • jährlich

    Bericht der Compliance-Funktion an die Geschäftsleitung (AT 4.4.2 Tz. 6). Kontroll- und Überwachungsunterlagen sind fünf Jahre aufzubewahren (AT 6 Tz. 1).

Pflichten nach Funktion getrennt

Die Compliance-Funktion trägt die Umsetzung nicht allein. Die Tabelle zeigt, welche Funktion im Rundschreiben wofür adressiert ist.

FunktionPflicht und AufgabeFundstelle
Compliance-Funktion und Compliance-BeauftragterHinwirken auf wirksame Verfahren und Kontrollen, Identifikation wesentlicher rechtlicher Regelungen, Zusammenarbeit mit dem Risikocontrolling, Bericht an die Geschäftsleitung.AT 4.4.2 Tz. 1, 2, 4, 5, 6
GeschäftsleitungGesamtverantwortung für die Geschäftsorganisation, Benennung des Compliance-Beauftragten, rechtzeitige Mitteilung von Weisungen und wesentlichen Änderungen, Organisationsrichtlinien mit Regelungen zur Einhaltung rechtlicher Vorgaben, Festlegung der Fälle mit Einbindung der Geschäftsleitung.AT 3.1 Tz. 1; AT 4.4.2 Tz. 4, 5; AT 5 Tz. 3 d); AT 6 Tz. 2
Betroffene FachbereicheÜberwachen die Einhaltung der Regelungen im strukturierten Prozess. Die Compliance-Funktion wird bei Neu-Produkt-Prozessen und bei wesentlichen Änderungen im Rahmen ihrer Aufgaben beteiligt.AT 4.4.2 Tz. 1 (Erläuterung); AT 8.1 Tz. 5; AT 8.2 Tz. 1
Risikocontrolling-FunktionArbeitet mit der Compliance-Funktion zusammen und tauscht Informationen aus. Sie kann die Compliance-Funktion bei direkter Berichtslinie zur Geschäftsleitung aufnehmen.AT 4.4.2 Tz. 3, 5
Interne RevisionErhält den Bericht der Compliance-Funktion und prüft risikoorientiert alle Aktivitäten und Prozesse, einschließlich ausgelagerter Tätigkeiten.AT 4.4.2 Tz. 6; AT 4.4.3 Tz. 5
AufsichtsorganErhält den Bericht der Compliance-Funktion zur Kenntnis.AT 3.2 Tz. 2
Zentrales AuslagerungsmanagementSteuert und überwacht Auslagerungen, führt das Auslagerungsregister und berichtet über wesentliche Auslagerungen an die Geschäftsleitung. Bei vollständiger Auslagerung einer besonderen Funktion benennt die Geschäftsleitung einen Beauftragten.AT 9 Tz. 10, 12, 13

Sechs Pain Points mit Normbezug

Diese Lücken sehen wir in der Bearbeitung regelmäßig. Sie sind kein Befund für ein bestimmtes Haus, sondern ein typischer Ausgangspunkt für die Gap-Analyse.

AT 4.4.2 Tz. 1

Kontrollen fehlen in den Fachbereichen

Die Compliance-Funktion berät, aber niemand weist nach, dass die betroffenen Bereiche die Einhaltung selbst überwachen. Tz. 1 verlangt einen strukturierten Prozess und das Hinwirken auf entsprechende Kontrollen. Ohne beschriebenen Prozess fehlt der Nachweis, dass die Compliance-Funktion diese Überwachung sicherstellt.

AT 4.4.2 Tz. 2

Legal Inventory ohne Turnus

Das Inventar der wesentlichen rechtlichen Regelungen entsteht einmalig und wird nicht fortgeschrieben. Tz. 2 verlangt die Identifikation in regelmäßigen Abständen und unter Risikogesichtspunkten. Ohne Wesentlichkeitskriterium und Turnus ist nicht erkennbar, warum eine Regelung im Inventar steht oder fehlt.

AT 4.4.2 Tz. 6; AT 3.2 Tz. 2

Bericht ohne Defizite und Gegenmaßnahmen

Der Jahresbericht beschreibt Tätigkeiten, nennt aber keine Defizite und Gegenmaßnahmen und erreicht Interne Revision und Aufsichtsorgan nicht. Tz. 6 verlangt die Hinweise im Bericht und die Weitergabe an die Interne Revision. Das Aufsichtsorgan erhält den Bericht zur Kenntnis.

AT 4.4.2 Tz. 3, 4

Rollen und Berichtslinie unscharf

Bei Anbindung an das Risikocontrolling oder bei Kombination mit anderen Funktionen fehlt die dokumentierte direkte Berichtslinie zur Geschäftsleitung. Tz. 3 verlangt sie ausdrücklich. Geldwäschebeauftragter und Datenschutzbeauftragter dürfen grundsätzlich nicht kombiniert werden.

AT 9 Tz. 2, 4, 5, 10

Auslagerung ohne Überwachungsnachweis

Die Compliance-Funktion ist ganz oder teilweise ausgelagert, aber Risikoanalyse, Überwachung und Beauftragter sind nicht nachvollziehbar dokumentiert. AT 9 verlangt bei der Auslagerung besonderer Funktionen eine intensive Prüfung und stellt klar, dass die Verantwortung der Geschäftsleitung nicht übergeht.

Übersendungsschreiben 30.06.2026

Übergangsfrist ohne Gap-Analyse

Bis zum 01.01.2027 sind zusätzliche Anforderungen umzusetzen. Ohne dokumentierte Gap-Analyse gegen die 9. Novelle bleibt offen, welche Anforderungen sich für dein Institut im Einzelfall ergeben. Auch Anpassungen bei dokumentierter abweichender Auslegung der Aufsichtsmitteilung sind erst zum 01.01.2027 umzusetzen.

Quick-Check: sieben Prüffelder für dein Institut

Beantworte jede Prüffrage mit Ja, Teilweise oder Nein und halte die Begründung fest. Jedes „Teilweise“ und „Nein“ gehört in die Maßnahmenliste.

PrüffeldPrüffrageNormbezugTypischer Befund
Auftrag und ProzessIst beschrieben, wie die betroffenen Bereiche die Einhaltung überwachen und wie die Compliance-Funktion das nachvollzieht?AT 4.4.2 Tz. 1Überwachung nur im Compliance-Bereich, Kontrollen der Fachbereiche undokumentiert.
Legal InventoryWerden wesentliche rechtliche Regelungen risikoorientiert und in regelmäßigen Abständen identifiziert?AT 4.4.2 Tz. 2Inventar ohne Turnus und ohne Wesentlichkeitskriterium.
Anbindung und UnabhängigkeitBesteht eine direkte Berichtslinie zur Geschäftsleitung, und ist die Unabhängigkeit von Markt und Handel gesichert?AT 4.4.2 Tz. 3; AT 4.3.1Anbindung an eine andere Funktion ohne dokumentierte Berichtslinie.
Beauftragter und RessourcenIst der Compliance-Beauftragte benannt, sind Zugriff, Kenntnisse und Vertretung geregelt?AT 4.4.2 Tz. 4, 5; AT 7.1 Tz. 2Vertretung nicht geregelt, Zugriffsrechte nicht festgehalten.
BerichtEnthält der Bericht Defizite und Gegenmaßnahmen, geht er an die Interne Revision und zur Kenntnis an das Aufsichtsorgan?AT 4.4.2 Tz. 6; AT 3.2 Tz. 2Bericht ohne Maßnahmenstatus, Verteiler nicht festgelegt.
AuslagerungLiegt bei Auslagerung eine Risikoanalyse vor, ist ein Beauftragter benannt, sind Überwachung und Ausstieg geregelt?AT 9 Tz. 2, 4, 5, 6, 10Beauftragter benannt, Überwachungsnachweise fehlen.
ÜbergangsfristLiegt eine Gap-Analyse gegen die 9. Novelle mit Maßnahmen und Terminen bis 01.01.2027 vor?Übersendungsschreiben; AT 6 Tz. 2Gap-Analyse nicht angelegt, abweichende Auslegung nicht dokumentiert.

Lösungsansätze: sechs No-Regret-Maßnahmen

Diese Maßnahmen zahlen unabhängig davon ein, wie dein Institut die Anforderungen im Einzelfall auslegt. Sie machen die MaRisk-Compliance nachweisbar.

AT 5 Tz. 3 d); AT 6

Compliance-Prozess schriftlich fassen

Lege in einer Organisationsrichtlinie fest, wie die Fachbereiche die Einhaltung überwachen und wie die Compliance-Funktion das nachvollzieht. Halte Zuständigkeiten, Nachweise und Eskalationswege fest. Kontroll- und Überwachungsunterlagen sind fünf Jahre aufzubewahren.

AT 4.4.2 Tz. 2

Legal Inventory risikoorientiert aufsetzen

Definiere ein Wesentlichkeitskriterium (Gefährdung des Vermögens des Instituts), einen Turnus und Verantwortliche je Regelung. Dokumentiere, warum Regelungen aufgenommen oder ausgeschlossen werden.

AT 4.4.2 Tz. 6

Berichtsvorlage anpassen

Ergänze den Bericht um Defizite, Gegenmaßnahmen und deren Status. Lege den Verteiler fest: Geschäftsleitung, Interne Revision und, zur Kenntnis, das Aufsichtsorgan.

AT 4.4.2 Tz. 3 bis 5; AT 7.1 Tz. 2

Rollen und Berichtslinie dokumentieren

Halte Beauftragten, Vertretung, Zugriffsrechte und mögliche Kombinationen mit anderen Funktionen fest. Begründe Kombinationen und beschreibe die Maßnahmen gegen Interessenkonflikte.

Übersendungsschreiben

Gap-Analyse bis 01.01.2027 aufsetzen

Vergleiche deinen Stand Zeile für Zeile mit AT 4.4.2 und den angrenzenden Modulen AT 3.2, AT 5, AT 6, AT 8 und AT 9. Halte Maßnahmen, Verantwortliche und Termine fest und dokumentiere abweichende Auslegungen.

AT 9 Tz. 2, 5, 6, 10

Auslagerung steuerbar machen

Führe eine Risikoanalyse durch, benenne den Beauftragten, vereinbare Informations- und Prüfungsrechte, definiere Kennzahlen zur Leistungsüberwachung und prüfe Handlungsoptionen für den Fall einer Beendigung.

Arbeitsstände in einer Struktur führen

Wer Legal Inventory, Kontrollen und Maßnahmen nicht in verteilten Dateien führen möchte, findet auf der Seite S+P RegTech Arbeitsinstrumente für Compliance Officer und weitere Funktionen. Die Tools bereiten Bewertungen und Dokumentation vor; die fachliche Bewertung und die Entscheidung bleiben im Institut. Ein Excel-Export ersetzt nicht automatisch einen Audit Trail.

Einordnung im S+P Leistungsmodell: Ausgelagerte Beauftragtenfunktionen wie die des Compliance Officers gehören zu Compliance as a Service (zweite Verteidigungslinie). Die operative Bearbeitung nach den Vorgaben deines Instituts gehört zu den 1st Line Services.

Auslagerung der MaRisk-Compliance: Grenzen und Verantwortung

AT 9 erlaubt die Auslagerung in Kontrollbereichen nur in einem Umfang, der eine wirksame Überwachung gewährleistet. Nach dem Aufsichtsbriefing kann die Überwachung ausgelagerter Dienstleistungen auch in den Fachbereichen wahrgenommen werden. Für die Compliance-Funktion gilt im Einzelnen:

  • Risikoanalyse vor der Auslagerung. Bei der Auslagerung der Compliance-Funktion ist intensiv zu prüfen, wie die ausgelagerten Tätigkeiten in das Risikomanagement einbezogen bleiben (AT 9 Tz. 2).
  • Keine Delegation der Verantwortung. Die Auslagerung führt nicht zur Delegation der Verantwortung der Geschäftsleitung, Leitungsaufgaben dürfen nicht ausgelagert werden (AT 9 Tz. 4).
  • Wirksame Überwachung und Fortführung. Der Umfang der Auslagerung muss eine wirksame Überwachung gewährleisten, und der ordnungsmäßige Betrieb muss sich bei Beendigung fortsetzen lassen (AT 9 Tz. 5).
  • Vollständige Auslagerung nur in benannten Fällen. Sie ist für Tochterinstitute innerhalb einer Institutsgruppe unter den genannten Voraussetzungen zulässig und ferner bei sehr kleinen Instituten möglich (AT 9 Tz. 5).
  • Beauftragter bei vollständiger Auslagerung. Die Geschäftsleitung benennt einen unabhängigen und sachkundigen Beauftragten (AT 9 Tz. 10).
  • Vertrag und Ausstieg. Bei wesentlichen Auslagerungen gehören Informations- und Prüfungsrechte, Weisungsrechte soweit erforderlich und Vorkehrungen für die Zeit nach Beendigung in den Vertrag (AT 9 Tz. 6, 7).
  • DORA-Abgrenzung. IKT-Dienstleistungen, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, fallen nicht in den Anwendungsbereich des AT 9 (AT 9 Tz. 1).

Verantwortungsabgrenzung: Wer bereitet vor, wer entscheidet

Die Auslagerung berührt Entscheidungen, die nicht delegierbar sind. Wir halten die Trennung zwischen Vorbereitung und Entscheidung in jedem Arbeitspaket sichtbar und dokumentieren sie im Nachweispfad.

S+P Compliance bereitet vor und dokumentiert

  • Sachverhaltsaufnahme, Belegrecherche und Gap-Analyse gegen AT 4.4.2
  • Entwurf und Fortschreibung des Legal Inventory mit Wesentlichkeitsbegründung
  • Entwurf des Compliance-Berichts mit Defiziten und Gegenmaßnahmen
  • Vorbereitung der Risikoanalyse zur Auslagerung mit Bewertungsvorschlag
  • Fristenüberwachung, Protokollierung und revisionsfeste Ablage der Arbeitsschritte

Dein Institut entscheidet

  • Entscheidung über die Auslagerung und Freigabe der Risikoanalyse
  • Benennung des Compliance-Beauftragten und des Beauftragten nach AT 9 Tz. 10
  • Freigabe und Weitergabe des Berichts an Geschäftsleitung, Interne Revision und Aufsichtsorgan
  • Maßnahmen bei festgestellten Defiziten
  • Verdachtsmeldung nach § 43 GwG, Sanktionssperre, Unstimmigkeitsmeldung zum Transparenzregister und Freigabe von Szenarien und Schwellenwerten

Die Auslagerung verlagert die Aufgabe, nicht die aufsichtsrechtliche Verantwortung; sie bleibt in deinem Institut. Ausgelagert wird die Bearbeitung, nicht die Entscheidung und nicht die Haftung.

Fazit: MaRisk-Compliance als dokumentierter Prozess

Die 9. MaRisk-Novelle senkt das Anforderungsniveau nach den Worten der BaFin nicht, sie formuliert es prinzipienbasierter. Für die MaRisk-Compliance bedeutet das: Dein Institut muss zeigen, dass die Compliance-Funktion auf wirksame Verfahren und Kontrollen hinwirkt, wesentliche rechtliche Regelungen risikoorientiert identifiziert und an die Geschäftsleitung berichtet.

Wer die Umsetzung bis zum 01.01.2027 nachweisbar aufsetzt, schafft die Grundlage für Prüfung, Revision und Aufsichtsorgan.

Hinwirken heißt Kontrollen

Tz. 1 verlangt wirksame Verfahren und entsprechende Kontrollen. Beratung allein genügt nicht als Nachweis.

Dokumentation trägt

Legal Inventory, Berichtslinie und Bericht mit Defiziten sind die Unterlagen, an denen Prüfer die Umsetzung ablesen.

Der Stichtag ist 01.01.2027

Für zusätzliche Anforderungen läuft die Übergangsfrist. Eine dokumentierte Gap-Analyse zeigt, was sich für dein Institut ergibt.

Verantwortung bleibt im Institut

Die Auslagerung verlagert die Bearbeitung. Entscheidung und Verantwortung der Geschäftsleitung bleiben beim Institut.

Häufige Fragen zur MaRisk-Compliance

Die Antworten beziehen sich auf den Rechtsstand Oktober 2026 und ersetzen keine Rechtsberatung im Einzelfall.

Was verlangt AT 4.4.2 MaRisk von der Compliance-Funktion?+−

AT 4.4.2 Tz. 1 verlangt in jedem Institut eine Compliance-Funktion, die auf die Implementierung wirksamer Verfahren zur Einhaltung der für das Institut wesentlichen rechtlichen Regelungen und Vorgaben und entsprechender Kontrollen hinwirkt. Sie unterstützt und berät außerdem die Geschäftsleitung. Nach Tz. 2 identifiziert sie wesentliche rechtliche Regelungen risikoorientiert in regelmäßigen Abständen, nach Tz. 6 berichtet sie mindestens jährlich sowie anlassbezogen an die Geschäftsleitung.

Seit wann gilt die 9. MaRisk-Novelle, und was bedeutet die Übergangsfrist?+−

Das Rundschreiben 06/2026 (BA) ist nach dem Übersendungsschreiben der BaFin mit der Veröffentlichung am 30.06.2026 in Kraft getreten. Soweit sich aus den MaRisk in Einzelfällen zusätzliche Anforderungen ergeben, gilt eine Übergangsfrist bis zum 01.01.2027. Hat dein Institut dokumentiert, dass es Hinweise der Aufsichtsmitteilung vom 26.11.2024 abweichend ausgelegt hat, sind erforderliche organisatorische Anpassungen ebenfalls erst zum 01.01.2027 umzusetzen.

Darf dein Institut die Compliance-Funktion auslagern?+−

Nach AT 9 Tz. 5 ist eine Auslagerung in Kontrollbereichen in einem Umfang möglich, der eine wirksame Überwachung des Dienstleisters gewährleistet. Eine vollständige Auslagerung der Compliance-Funktion ist für Tochterinstitute innerhalb einer Institutsgruppe unter den dort genannten Voraussetzungen zulässig und ferner bei sehr kleinen Instituten möglich. Bei vollständiger Auslagerung benennt die Geschäftsleitung nach AT 9 Tz. 10 einen unabhängigen und sachkundigen Beauftragten. Die Verantwortung der Geschäftsleitung geht nach AT 9 Tz. 4 nicht auf das Auslagerungsunternehmen über.

Können Compliance-Funktion und Geldwäschebeauftragter in einer Person liegen?+−

AT 4.4.2 Tz. 3 lässt die Kombination der Compliance-Funktion mit anderen geeigneten Funktionen zu. Genannt werden der Geldwäschebeauftragte, die IKT-Risikokontrollfunktion nach Art. 6 Abs. 4 der Verordnung (EU) 2022/2554 und der Datenschutzbeauftragte. Nach dem Hinweis im Rundschreiben dürfen die Funktionen des Geldwäschebeauftragten und des Datenschutzbeauftragten grundsätzlich nicht miteinander kombiniert werden. Dokumentiere die Entscheidung und die Maßnahmen gegen Interessenkonflikte.

Was gilt für Wertpapierinstitute?+−

Große Wertpapierinstitute wenden weiterhin die §§ 25a und 25b KWG und die MaRisk 06/2026 (BA) an. Für kleine und mittlere Wertpapierinstitute gelten die WpI MaRisk (Rundschreiben 09/2026 (WA) vom 24.08.2026) ab dem 01.01.2027. Bis dahin gilt sinngemäß die KWG-MaRisk in der 8. Novelle, Änderungen der 9. Novelle sind in diesem Zeitraum nicht zwingend zu berücksichtigen. AT 4.4.2 der WpI MaRisk beschreibt die Aufgaben der Compliance-Funktion in fünf Textziffern eigenständig.

Übernimmt S+P Compliance Verdachtsmeldungen, Sanktionssperren oder die Entscheidung über die Auslagerung?+−

Nein. S+P Compliance bereitet vor und dokumentiert: Sachverhalte werden aufbereitet, Entwürfe erstellt, Fristen überwacht und Entscheidungen nachvollziehbar festgehalten. Die Abgabe einer Verdachtsmeldung nach § 43 GwG, die Sperre oder Freigabe von Transaktionen im Sanktionskontext, die Unstimmigkeitsmeldung zum Transparenzregister, die Freigabe von Szenarien und Schwellenwerten, die Zustimmung der Führungsebene nach § 15 Abs. 5 Nr. 2 GwG sowie die Entscheidung über eine Auslagerung bleiben Entscheidungen deines Instituts. Die Auslagerung verlagert die Aufgabe, nicht die aufsichtsrechtliche Verantwortung; sie bleibt in deinem Institut.

Quellen und weiterführende Dokumente

Die Aussagen zu Normtext, Fristen und Geltung stützen sich auf die folgenden amtlichen Primärquellen. Verlinkt werden ausschließlich Dokumente von BaFin und Deutscher Bundesbank.

  1. BaFin: Rundschreiben 06/2026 (BA) – Mindestanforderungen an das Risikomanagement (MaRisk), Stand 30.06.2026Normtext von AT 4.4.2 sowie AT 1, AT 2, AT 3.2, AT 5, AT 6, AT 7.1, AT 8 und AT 9. PDF, bereitgestellt über die Deutsche Bundesbank.www.bundesbank.de, PDF [PDF]
  2. BaFin: Übersendungsschreiben zur Neufassung des Rundschreibens 06/2026 (BA) vom 30.06.2026Inkrafttreten mit Veröffentlichung, Übergangsfrist bis 01.01.2027 und Einordnung der Änderungen. PDF.www.bundesbank.de, PDF [PDF]
  3. Deutsche Bundesbank und BaFin: Digitales Aufsichtsbriefing im Fokus, Die 10. MaRisk (Stand 19.06.2026)Aufsichtliche Einordnung der Novelle, unter anderem zur risikoorientierten Auslegung von AT 4.4.2 Tz. 2. PDF.www.bundesbank.de, PDF [PDF]
  4. BaFin: Rundschreiben 09/2026 (WA) – Mindestanforderungen an das Risikomanagement von Wertpapierinstituten (WpI MaRisk), Stand 24.08.2026Geltungsbeginn 01.01.2027 und eigene Regelungen zur Compliance-Funktion (AT 4.4.2) für kleine und mittlere Wertpapierinstitute. PDF.www.bundesbank.de, PDF [PDF]
  5. BaFin: Anschreiben zum Rundschreiben 09/2026 (WA) vom 24.08.2026Übergangszeit bis zum Geltungsbeginn, Einordnung der Compliance-Funktion im Verhältnis zur MaComp. PDF.www.bundesbank.de, PDF [PDF]

Verwandte Leistungen und Programme

Die MaRisk-Compliance greift in bestehende Prozesse ein. Diese Seiten schließen an: die Umsetzung bei S+P Compliance, die Qualifizierung bei S+P Seminare.

S+P Seminare: Compliance-Seminare

Die Bearbeitung der Anforderungen liegt hier bei uns, das Wissen dafür bei deinem Team: Seminare, Lehrgänge und Updates für Compliance Officer von S+P Seminare.

Compliance-Seminare ansehen

Lehrgang MaRisk-/WpHG-Compliance Officer

Der zweite Lehrgangstag behandelt AT 4.4.2 MaRisk und das Legal Inventory. Er zeigt die Perspektive derer, die die Funktion im Institut ausüben.

Lehrgang ansehen

S+P RegTech

Arbeitsinstrumente für Compliance Officer und weitere Funktionen, um Bewertungen, Maßnahmen und Berichte in einer Arbeitsstruktur zu führen. Das Institut entscheidet.

RegTech ansehen

Auslagerung Compliance Officer

Die Funktion des Compliance Officers als ausgelagerte Leistung. S+P Compliance bereitet vor und dokumentiert, dein Institut entscheidet; die Auslagerung verlagert die Bearbeitung, nicht die Verantwortung.

Auslagerung ansehen

Alle Auslagerungslösungen

Überblick über ausgelagerte Beauftragten- und Kontrollfunktionen im Leistungsmodell von S+P Compliance.

Auslagerungslösungen ansehen

Three-Lines-Modell

Wie Kontrollfunktionen über die drei Verteidigungslinien organisiert werden, relevant für die Abgrenzung von Compliance-Funktion, Fachbereichen und Revision.

Three-Lines-Modell ansehen

First Line Services

Operative Bearbeitung datenintensiver und fristgebundener Fachprozesse nach den Vorgaben deines Instituts.

First Line Services ansehen

AMLR Readiness

AT 9 stellt klar, dass GwG und AMLR anzuwenden sind. Die Vorbereitung auf die europäische Geldwäscheverordnung läuft getrennt von der MaRisk-Umsetzung, aber nicht unabhängig.

AMLR Readiness ansehen

MaRisk-Compliance nach der 9. Novelle: AT 4.4.2 umsetzen
Achim Schulz
Über den Autor

Achim Schulz

Geschäftsführer S+P Compliance & S+P Unternehmerforum · langjährige Vorstands- & Geschäftsführungserfahrung

Achim Schulz kennt die Führungsebene aus eigener Verantwortung – langjährig als Vorstand bei Banken und Geschäftsführer sowie als Interim-Manager in Industrieunternehmen. Diese Doppelperspektive aus Finanzsektor und Realwirtschaft prägt seine Beiträge für CEO, COO und CFO. Er kennt das Zusammenspiel von Geschäftsleitung, Aufsichtsrat und Gesellschaftern aus der Praxis und übersetzt strategische wie aufsichtsrechtliche Anforderungen in umsetzbare, haftungssichere Führungsentscheidungen – praxisnah und auf Augenhöhe mit dem Management.

LinkedIn-Profil →