WpI MaRisk BTR 2 – Sonstige Risiken: Der Auffangtatbestand im Risikomanagement
BTR 2 stellt sicher, dass keine wesentlichen Risiken übersehen werden, nur weil sie nicht in anderen Modulen geregelt sind. Es greift für sonstige wesentliche Risiken – proportional zu Größe, Komplexität und Risikoprofil Ihres Instituts.
- Was ist BTR 2 und warum ist es wichtig?
Das Modul BTR 2 im Rundschreiben WpI MaRisk stellt sicher, dass keine wesentlichen Risiken unberücksichtigt bleiben, nur weil sie nicht ausdrücklich in anderen Modulen geregelt sind.
BTR 2 greift für Risikoarten, die
-
nicht in BTR 1 (Risiken aus laufender Tätigkeit),
-
nicht in BTR 3 (Liquiditätsrisiken) und
-
nicht in BTR 4 (Risiko einer ungeordneten Abwicklung)
erfasst werden, aber dennoch wesentlich für Ihr Institut sind.
Praxisrelevanz: BTR 2 ist der Auffangtatbestand – hier landet alles, was wichtig ist, aber sonst nirgends passt. Typische Beispiele:
-
Reputationsrisiken
-
IT-/Cyberrisiken (sofern nicht bereits als operationelles Risiko unter BTR 1.3 subsumiert)
-
Rechtsrisiken
-
Modellrisiken
-
ESG-/Klimarisiken
2. Kernaussagen von BTR 2
-
Ganzheitlicher Blick: Erfassen Sie alle wesentlichen Risiken – auch seltene oder „exotische“.
-
Integration: Binden Sie diese Risiken in Identifikations-, Bewertungs-, Steuerungs- und Überwachungsprozesse ein.
-
Wesentlichkeitsprüfung: Nur Risiken, die Sie gemäß AT 2.2 als wesentlich eingestuft haben, unterliegen BTR 2.
-
Dokumentation: Maßnahmen und Prüfungen sind nachweisbar zu dokumentieren.
3. Beispiele für „Sonstige Risiken“ in der Praxis
| Risikoart | Beschreibung | Mögliche Steuerungsmaßnahmen |
|---|---|---|
| Reputationsrisiko | Imageschäden durch negative Presse, Kundenbeschwerden oder Social-Media-Krisen | Kommunikationsplan, Monitoring von Erwähnungen, schnelle Krisenreaktion |
| IT-/Cyberrisiken | Hackerangriffe, Systemausfälle, Datenverlust | Firewalls, Backup-Strategien, Notfallübungen |
| Rechtsrisiken | Verluste durch fehlerhafte Verträge oder Rechtsverstöße | Rechtsprüfungen, Compliance-Checks, externe Gutachten |
| Modellrisiken | Fehler in Bewertungs- oder Risikomodellen | Validierung durch unabhängige Einheiten, Szenariotests |
| ESG-/Klimarisiken | Auswirkungen von Umwelt- oder Sozialfaktoren | Integration in Risikoanalyse, ESG-Strategie |
4. Unterschiede – Klein vs. Mittel
| Anforderung | Kleine Wertpapierinstitute | Mittlere Wertpapierinstitute |
|---|---|---|
| Erfassung sonstiger Risiken | Qualitative Erfassung, vereinfachte Risiko-Checklisten | Quantitative und qualitative Erfassung, strukturierte Risikoinventur |
| Analyse | Grundsätzliche Beurteilung, ob Risiko wesentlich ist | Detaillierte Szenarioanalysen und Bewertungsmethoden |
| Steuerung | Allgemeine Maßnahmen, keine formellen Limits erforderlich | Formelle Limitstrukturen und klare Verantwortlichkeiten |
| Stresstests | Nicht verpflichtend, konservative Annahmen ausreichend | Pflicht zu regelmäßigen, dokumentierten Stresstests |
| Dokumentation | Kurze, praxisorientierte Berichte | Ausführliche Berichterstattung inkl. Management-Reporting |
5. Umsetzungsschritte für BTR 2
-
Risikoinventur durchführen – Liste aller Risiken, die nicht durch BTR 1/3/4 abgedeckt sind.
-
Wesentlichkeitsprüfung (AT 2.2) – klein: qualitativ; mittel: qualitativ und quantitativ.
-
Maßnahmen festlegen – Verantwortlichkeiten, Prozesse, Notfallpläne.
-
Monitoring etablieren – z. B. IT-Sicherheitsberichte, Compliance-Reports.
-
Dokumentation pflegen – nachvollziehbar, prüfungssicher.
6. Häufige BaFin-Prüfungsfeststellungen zu BTR 2
-
„Sonstige Risiken“ nicht klar definiert; Abgrenzung zu BTR 1/3/4 fehlt.
-
IT-/Cyberrisiken unterschätzt; fehlende Integration ins Risikomanagement.
-
Keine ESG-Risikoanalyse, obwohl das Geschäftsmodell betroffen ist.
-
Dokulücken: Maßnahmen nicht ausreichend nachvollziehbar festgehalten.
7. Best Practices
-
Risikomatrix mit „Auffangspalte“ – damit kein Risiko durchs Raster fällt.
-
Regelmäßige Workshops – neue Risikoarten identifizieren (Markt/Technologie).
-
Externe Quellen nutzen – BaFin-Hinweise, Branchenreports, Cyber-Lageberichte.
-
Frühwarnindikatoren definieren – besonders für Reputations- und IT-Risiken.
S+P Fazit
BTR 2 ist Ihr Sicherheitsnetz im Risikomanagement – es stellt sicher, dass sonstige wesentliche Risiken nicht übersehen werden. Kleine Institute profitieren von schlanken, pragmatischen Verfahren, mittlere Institute benötigen strukturierte Analysen und detailliertes Reporting.
Merke: Wer BTR 2 ernst nimmt, beugt bösen Überraschungen vor – gerade bei Risiken außerhalb der „klassischen“ Kategorien.
Wpl MaRisk 2025 – Ressourcen & Praxisleitfäden
Hub-Artikel – Ihr Einstieg
AT-Module – Allgemeiner Teil
BTO-Module – Organisation & Abwicklung
BTR -Module – Risikomanagement
Spezialthemen
Kapitalplanung
WpI MaRisk effizient umsetzen – mit S+P Compliance Auslagerung
Sie möchten Proportionalität nutzen, aber Audit-Sicherheit wahren? Wir übernehmen die Compliance-Funktion, unterstützen bei Risikomanagement & Reporting und stellen prüfungsfeste Dokumentation bereit – abgestimmt auf kleine und mittlere Wertpapierinstitute.
- Proportionalitäts-Begründung & Gap-Analyse
- MaRisk-/WpI-Dokumentationspakete & Reporting
- Vorbereitung auf Prüfungen der Aufsicht
Ihr Nutzen
- Schlanke Umsetzung statt Overengineering
- Klar dokumentierte Proportionalität
- Prüfungs- und Audit-Sicherheit