| Auftrag und Prozess | Ist beschrieben, wie die betroffenen Bereiche die Einhaltung überwachen und wie die Compliance-Funktion das nachvollzieht? | AT 4.4.2 Tz. 1 | Überwachung nur im Compliance-Bereich, Kontrollen der Fachbereiche undokumentiert. |
| Legal Inventory | Werden wesentliche rechtliche Regelungen risikoorientiert und in regelmäßigen Abständen identifiziert? | AT 4.4.2 Tz. 2 | Inventar ohne Turnus und ohne Wesentlichkeitskriterium. |
| Anbindung und Unabhängigkeit | Besteht eine direkte Berichtslinie zur Geschäftsleitung, und ist die Unabhängigkeit von Markt und Handel gesichert? | AT 4.4.2 Tz. 3; AT 4.3.1 | Anbindung an eine andere Funktion ohne dokumentierte Berichtslinie. |
| Beauftragter und Ressourcen | Ist der Compliance-Beauftragte benannt, sind Zugriff, Kenntnisse und Vertretung geregelt? | AT 4.4.2 Tz. 4, 5; AT 7.1 Tz. 2 | Vertretung nicht geregelt, Zugriffsrechte nicht festgehalten. |
| Bericht | Enthält der Bericht Defizite und Gegenmaßnahmen, geht er an die Interne Revision und zur Kenntnis an das Aufsichtsorgan? | AT 4.4.2 Tz. 6; AT 3.2 Tz. 2 | Bericht ohne Maßnahmenstatus, Verteiler nicht festgelegt. |
| Auslagerung | Liegt bei Auslagerung eine Risikoanalyse vor, ist ein Beauftragter benannt, sind Überwachung und Ausstieg geregelt? | AT 9 Tz. 2, 4, 5, 6, 10 | Beauftragter benannt, Überwachungsnachweise fehlen. |
| Übergangsfrist | Liegt eine Gap-Analyse gegen die 9. Novelle mit Maßnahmen und Terminen bis 01.01.2027 vor? | Übersendungsschreiben; AT 6 Tz. 2 | Gap-Analyse nicht angelegt, abweichende Auslegung nicht dokumentiert. |