WpI MaRisk BTR: Risikomanagementprozesse ab 2027 richtig aufsetzen

Q: Müssen Kleine Institute quartalsweise, Mittlere monatlich berichten?

Nein, eine solche Staffelung lässt sich dem Rundschreiben nicht entnehmen. BT 2 gibt den Rahmen für die Risikoberichterstattung vor, die Ausgestaltung richtet sich nach Art, Umfang, Komplexität und Risikogehalt. Belastbar ist ein schriftlich festgelegter Turnus mit Begründung und definierten Ad-hoc-Anlässen.

Die BTR-Module bestimmen, wie dein Wertpapierinstitut die als wesentlich eingestuften Risiken steuert, überwacht und berichtet. Seit dem 24. August 2026 steht der maßgebliche Text fest.

BTR ist kein einzelner Prozess, sondern der Modulblock "Anforderungen an die Risikomanagementprozesse" mit vier Modulen: BTR 1 (Risiken aus laufender Tätigkeit, getrennt nach Kunden, Markt und Institut), BTR 2 (Sonstige Risiken), BTR 3 (Liquiditätsrisiken) und BTR 4 (Risiko einer ungeordneten Abwicklung). Was in den BTR bearbeitet wird, entscheidet die Wesentlichkeitseinstufung der Risikoinventur nach AT 2.2. Die allgemeinen Prozessanforderungen stehen in AT 4.3.2, die Berichtspflichten in BT 2.

Rechtsstand 14. September 2026

Rundschreiben 09/2026 (WA)

Anzuwenden ab 1. Januar 2027

Lesezeit 18 Minuten

Management Summary

Vier Punkte, die über den Zuschnitt deines Umsetzungsprojekts entscheiden.

01Rechtsstand

Was jetzt maßgeblich ist

Rechtsgrundlage sind die §§ 38 ff. WpIG, zuletzt geändert durch Art. 9 G v. 09.04.2026, sowie die Verordnung (EU) 2019/2033 und die Richtlinie 2014/65/EU (MiFID II) in Verbindung mit der Delegierten Verordnung (EU) 2017/565. Die Verwaltungspraxis dazu steht seit dem 24. August 2026 im Rundschreiben 09/2026 (WA), anzuwenden ab dem 1. Januar 2027; bis dahin gilt die sinngemäße Anwendung der KWG-MaRisk in der Fassung der 8. Novelle.

02Perspektivwechsel

Nicht Risikoarten, sondern Betroffene

Die KWG-MaRisk ordnen nach Risikoarten: Adressenausfall, Marktpreis, Liquidität, operationelle Risiken. Die WpI MaRisk ordnen in BTR 1 danach, wer geschädigt werden kann: die Kunden, der Markt, das Institut selbst. Zum 1. Januar 2027 löst dieses Raster die sinngemäße Anwendung der Kreditinstituts-MaRisk ab. Eine übernommene Bankgliederung passt darauf nicht.

03Maßstab

Proportionalität wirkt doppelt

Ein Teil der Anforderungen richtet sich von vornherein nur an Mittlere Institute, etwa das Risikotragfähigkeitskonzept und regelmäßige Stresstests. Darüber hinaus richtet sich die Ausgestaltung nach Art, Umfang, Komplexität und Risikogehalt der Geschäftstätigkeit. Eine Freistellung folgt daraus nicht.

04Nachweis

Darlegungslast statt Formular

Das Rundschreiben ist prinzipienorientiert gefasst und verlagert die Darlegungslast ins Institut. Für jedes wesentliche Risiko muss erkennbar sein, welcher Prozess es identifiziert, begrenzt, überwacht und berichtet und warum diese Ausgestaltung angemessen ist.

Inhalt

Sachverhalt und Anwendungsbereich
Was gegenüber dem bisherigen Stand nicht mehr trägt
Die BTR-Module im Einzelnen
Vom Prozess zum Bericht: BT 2
Klein und Mittel: was wirklich auseinanderfällt
Fristen und Zeitpunkte
Regulatorisches Umfeld: was daneben gilt
Wo es in der Praxis klemmt
Quick-Check: Wo steht dein Institut?
No-Regret-Maßnahmen bis zum Stichtag
Mustertabelle für die Dokumentation
Fazit
Häufige Fragen
Quellen
WpI MaRisk: Ressourcen und Praxisleitfäden
Verwandte Leistungen und Programme

Sachverhalt und Anwendungsbereich

Was die BTR verlangen

Mit dem Rundschreiben 09/2026 (WA) legt die BaFin eigenständige Mindestanforderungen an das Risikomanagement von Wertpapierinstituten vor. Bisher wandten Kleine und Mittlere Institute die MaRisk für Kreditinstitute sinngemäß an, ein Regelwerk, das auf Bankgeschäft zugeschnitten ist. Rechtsgrundlage sind insbesondere das 5. Kapitel Abschnitt 1 des WpIG sowie die Richtlinie 2014/65/EU (MiFID II) in Verbindung mit der Delegierten Verordnung (EU) 2017/565.

Im Allgemeinen Teil legt AT 4.3.2 fest, dass angemessene Prozesse zur Identifizierung, Beurteilung, Steuerung sowie zur Überwachung und Kommunikation der wesentlichen Risiken einzurichten sind. Der Besondere Teil macht daraus konkrete Anforderungen je Risikoblock. Der Filter davor ist die Risikoinventur nach AT 2.2: Nur was dort als wesentlich eingestuft wurde, ist Gegenstand der BTR.

Aufbau des BTR-Blocks
Modul	Überschrift im Rundschreiben	Gegenstand
BTR 1	Risiken aus laufender Tätigkeit	Oberkategorie, gegliedert nach den drei Betroffenen
BTR 1.1	Risiken für die Kunden	Wirkungen der eigenen Tätigkeit auf Kundenvermögen und Kundenrechte
BTR 1.2	Risiken für den Markt	Wirkungen auf Marktteilnehmer und Marktintegrität
BTR 1.3	Risiken für das Wertpapierinstitut	Wirkungen auf Eigenmittel, Ertragslage und Fortführung des Instituts
BTR 2	Sonstige Risiken	Wesentliche Risiken, die keinem der übrigen Module zugeordnet sind
BTR 3	Liquiditätsrisiken	Jederzeitige Zahlungsfähigkeit, Refinanzierung, Notfallplanung
BTR 4	Risiko einer ungeordneten Abwicklung	Zeitraum und Kosten einer geordneten Abwicklung
BT 2	Anforderungen an die Risikoberichterstattung	Adressaten, Inhalte und Nachvollziehbarkeit der Risikoberichte

Warum das mehr ist als ein Regelwerkswechsel

Die Zuordnung in BTR 1 folgt nicht der bankaufsichtlichen Logik der Risikoarten, sondern der Frage, wer aus der laufenden Tätigkeit Schaden nehmen kann. Ein Beratungsfehler ist damit nicht primär ein operationelles Risiko des Instituts, sondern zuerst ein Risiko für die Kunden. Wer eine vorhandene Risikolandkarte aus der KWG-Welt eins zu eins übernimmt, produziert genau die Lücke, die in der Prüfung auffällt: Risikoarten sind abgedeckt, die Perspektive der Betroffenen ist es nicht.

Einordnung ins Leistungsmodell: Der Aufbau und der laufende Betrieb der Risikomanagementprozesse sind Aufgaben der ersten Linie, ihre Überwachung und Beurteilung eine Aufgabe der zweiten. S+P Compliance übernimmt beides getrennt voneinander, als ausgelagerte Beauftragtenfunktion oder als operative Bearbeitung nach Vorgaben des Instituts.

Was gegenüber dem bisherigen Stand nicht mehr trägt

Diese Seite lag zuvor auf einem Stand ohne Fundstellenbezug. Die Gegenüberstellung nennt neun Punkte, die durch die finale Fassung überholt oder richtigzustellen sind. Sie ist als Prüfliste gedacht: Wer Unterlagen aus der Entwurfsphase im Haus hat, findet hier, was daran nicht mehr trägt.

Punkt	Bisheriger Stand	Stand nach dem Rundschreiben 09/2026 (WA)
Rechtsstand	Kein Fundstellenbezug; die BTR wurden als bevorstehende Neuerung beschrieben.	Maßgeblich ist das Rundschreiben 09/2026 (WA) vom 24. August 2026, anzuwenden ab dem 1. Januar 2027. Bis dahin gilt die sinngemäße Anwendung der KWG-MaRisk in der Fassung der 8. Novelle.
Rechtsgrundlage	Das Rundschreiben wurde als das Maßgebliche behandelt, ohne Bezug auf die dahinterstehenden Normen.	Ein Rundschreiben ist Verwaltungspraxis, keine Rechtsgrundlage. Die Pflichten folgen aus den §§ 38 ff. WpIG sowie aus der Verordnung (EU) 2019/2033 und MiFID II i. V. m. der Delegierten Verordnung (EU) 2017/565. Die WpI MaRisk konkretisieren diese Vorgaben und lösen zum 1. Januar 2027 die sinngemäße Anwendung der Kreditinstituts-MaRisk ab.
Modulbezeichnung	"Allgemeine Anforderungen an Risikomanagementprozesse" als Titel des BTR-Blocks.	Der Block heißt "Anforderungen an die Risikomanagementprozesse". Die allgemeinen Prozessanforderungen stehen im Allgemeinen Teil unter AT 4.3.2, nicht in den BTR.
Gliederung BTR 1	Beispiele frei zugeordnet, teils mit Risikoarten der Bankaufsicht vermischt.	BTR 1 gliedert sich in Risiken für die Kunden (BTR 1.1), für den Markt (BTR 1.2) und für das Wertpapierinstitut (BTR 1.3). Maßgeblich ist die Wirkung auf den jeweils Betroffenen, nicht die Risikoart.
Berichtsfrequenz	Tabelle mit fester Vorgabe: Kleine Institute quartalsweise, Mittlere Institute monatlich.	Nicht belegt. Die Anforderungen an die Risikoberichterstattung stehen in BT 2 und sind proportional auszugestalten. Eine nach Institutsgröße gestaffelte Berichtsfrequenz lässt sich aus den geprüften Quellen nicht ableiten; wer sie behauptet, muss die Fundstelle nennen.
Methodik der Wesentlichkeit	"Klein qualitativ, Mittel quantitativ mit Risikoindikatoren und Modellen."	Nicht belegt. Erkennbar ist eine Unterscheidung über einzelne Anforderungen, die nur Mittlere Institute treffen, nicht über eine nach Größe vorgeschriebene Methodik. Die Methodenwahl bleibt beim Institut und ist zu begründen.
BTR 2	Feste Aufzählung: Strategie-, Reputations- und ESG-Risiken.	BTR 2 erfasst die wesentlichen Risiken, die keinem anderen Modul zugeordnet sind. Welche das sind, ergibt die eigene Risikoinventur. Die genannten Beispiele sind Auslegungshilfe; ein abschließender Katalog von Risikoarten ist den geprüften Quellen nicht zu entnehmen.
BTR 4	"Planung einer geordneten Abwicklung, Abwicklungsplan jährlich testen."	Nach dem Anschreiben der BaFin beschränken sich die Anforderungen auf die Bestimmung eines Zeitraums und der für diesen Zeitraum anzusetzenden Kosten. Eine Verpflichtung zur Erstellung von Sanierungs- und Abwicklungsplänen folgt daraus ausdrücklich nicht.
Prüfungsfeststellungen	Liste "typischer Prüfungsfeststellungen der BaFin zu BTR".	Eine Prüfungspraxis zu den WpI MaRisk kann es noch nicht geben, das Regelwerk gilt erst ab dem 1. Januar 2027. Die Liste ersetzt durch Konstellationen, die sich aus den Anforderungen selbst ableiten lassen.

Die BTR-Module im Einzelnen

Die Übersicht ordnet jedem Modul seinen Gegenstand, den typischen Arbeitsanfall im Haus und den Nachweis zu, der am Ende vorliegen sollte. Sie ersetzt keine Lektüre des Rundschreibens, sondern zeigt, wo die Umsetzung ansetzt.

Zur Einordnung: Modulbezeichnungen und Zuschnitt folgen der Gliederung des Rundschreibens. Die Beschreibungen der Modulinhalte sind Auslegung anhand der Aufsichtsveröffentlichungen und der zugrunde liegenden Rechtsakte, die Zeilen "Typischer Nachweis" sind Prüfungserfahrung von S+P Compliance und kein Wortlaut des Rundschreibens. Für Randziffernbezüge ist der Volltext heranzuziehen.

BTR 1.1 – Risiken für die Kunden

Normbezug BTR 1.1, AT 4.3.2, Delegierte Verordnung (EU) 2017/565

Betrachtet werden die Wirkungen der eigenen Tätigkeit auf Kundenvermögen und Kundenrechte: fehlerhafte Beratung und Vermittlung, Mängel in Auftragsannahme und Ausführung, Interessenkonflikte, Fehler in Prozessen und Systemen sowie Fehlverhalten vertraglich gebundener Vermittler. Bei Verwahrung von Kundengeldern und Kundenwertpapieren tritt die Trennung der Kundenbestände hinzu.

Typischer Nachweis Risikolandkarte je Produkt und Vertriebsweg, Kontrollplan mit Ersteller und Prüfer, Beschwerde- und Fehlerauswertung mit abgeleiteten Maßnahmen

BTR 1.2 – Risiken für den Markt

Normbezug BTR 1.2, Verordnung (EU) 596/2014, WpHG

Erfasst werden mögliche Auswirkungen der eigenen Geschäftstätigkeit auf andere Marktteilnehmer und auf die Marktintegrität, etwa durch marktmissbräuchliches Verhalten, fehlerhafte Orderweiterleitung oder störende Auftragsströme. Wer ein MTF oder OTF betreibt, trägt hier die höchste Last, weil die eigene Infrastruktur unmittelbar auf den Markt durchschlägt.

Typischer Nachweis Überwachungsparameter und Schwellenwerte, Eskalations- und Meldewege, Auswertung auffälliger Vorgänge mit Entscheidung und Datum

BTR 1.3 – Risiken für das Wertpapierinstitut

Normbezug BTR 1.3, AT 4.1, AT 7.2, AT 7.3

Hier stehen die Risiken, die die eigene Substanz treffen: Gegenpartei- und Ausfallrisiken, Marktpreisrisiken aus eigenen Positionen, operationelle und rechtliche Risiken, Risiken aus dem IT-Betrieb und aus Auslagerungen. Rechtliche Risiken sind regelmäßig zu identifizieren und zu bewerten, auch solche aus neuen regulatorischen Vorgaben, vertraglichen Verpflichtungen und Rechtsstreitigkeiten. Seit dem 11. September 2026 fragt der Prüfungsbericht die Organisation der IKT und die Einhaltung der DORA-Vorgaben ausdrücklich ab (§ 15 WpIPrüfbV).

Typischer Nachweis Limitsystem mit Auslastung und Überschreitungsverfahren, Schadensfallsammlung, Verknüpfung mit Kapitalplanung und Notfallmanagement

BTR 2 – Sonstige Risiken

Normbezug BTR 2, AT 2.2

Auffangmodul für alle wesentlichen Risiken, die sich keinem anderen Modul zuordnen lassen. Der Zweck ist nicht die Erfindung neuer Risikoarten, sondern die Sicherung, dass kein als wesentlich eingestuftes Risiko ohne Prozess bleibt. Welche Risiken das sind, entscheidet die eigene Risikoinventur und nicht eine Vorlage.

Typischer Nachweis Zuordnungsübersicht aller wesentlichen Risiken zu Modulen, Begründung der Restposten, Aktualisierungsanlässe

BTR 3 – Liquiditätsrisiken

Normbezug BTR 3, § 39 WpIG, Verordnung (EU) 2019/2033

Sicherzustellen ist die jederzeitige Zahlungsfähigkeit. Dazu gehören die Steuerung der Zahlungsströme einschließlich untertägiger Effekte, eine ausreichend diversifizierte Refinanzierung, die Betrachtung von Fremdwährungseffekten sowie eine Notfallplanung mit benannten Maßnahmen, Verantwortlichen und Liquiditätsquellen. Kritisch wird das Modul dort, wo Margin- und Einschussverpflichtungen aus dem Geschäftsmodell folgen.

Typischer Nachweis Liquiditätsübersicht mit Planungshorizont, Szenariorechnung mit Annahmen, Notfallplan mit Auslösern und Testvermerk

BTR 4 – Risiko einer ungeordneten Abwicklung

Normbezug BTR 4, Anschreiben zum Rundschreiben 09/2026 (WA)

Das Modul richtet sich an Mittlere Institute. Verlangt ist, Szenarien zu betrachten, die zu einer Beendigung der Geschäftstätigkeit führen können, und daraus den Zeitraum sowie die Kosten einer geordneten Abwicklung zu bestimmen. Zu berücksichtigen sind sowohl externe Auslöser als auch eigene Entscheidungen zum Marktausstieg. Eine Pflicht zur Erstellung von Sanierungs- und Abwicklungsplänen folgt daraus nach dem Anschreiben ausdrücklich nicht.

Typischer Nachweis Szenarienbeschreibung, Herleitung von Zeitraum und Kosten, Abgleich mit Eigenmitteln und Liquidität, Beschluss der Geschäftsleiter

Vom Prozess zum Bericht: BT 2

Ein Risikomanagementprozess endet nicht bei der Messung. BT 2 gibt den Rahmen für die Risikoberichterstattung vor: Die Berichte müssen nachvollziehbar und aussagekräftig sein und den Geschäftsleitern eine aktive Steuerung ermöglichen. Dazu gehören die Lage der wesentlichen Risiken, die Kapital- und Liquiditätssituation, Limitauslastungen und Überschreitungen sowie die getroffenen Maßnahmen. Neben der turnusmäßigen Berichterstattung steht die Pflicht, unter der Hand bedeutend gewordene Sachverhalte unverzüglich weiterzugeben.

Turnus und Tiefe leiten sich aus Art, Umfang, Komplexität und Risikogehalt der Geschäftstätigkeit ab. Eine feste Frequenz nach Institutsgröße ist nicht erkennbar. Belastbar ist deshalb nicht die Frequenz an sich, sondern ihre Begründung: Warum reicht dieser Turnus, um das jeweilige Risiko rechtzeitig zu erkennen, und was löst einen Bericht außer der Reihe aus?

Praxishinweis: Der häufigste Bruch liegt zwischen BTR und BT 2. Die Prozesse messen Kennzahlen, die im Bericht nicht auftauchen, und der Bericht enthält Kennzahlen, für die kein Prozess einen Schwellenwert definiert. Ein einseitiges Mapping von Risiko zu Indikator zu Berichtszeile schließt diese Lücke schneller als jede Textüberarbeitung.

Klein und Mittel: was wirklich auseinanderfällt

Die Unterscheidung wirkt nicht über eine vorgeschriebene Methodik, sondern über einzelne Anforderungen, die nur Mittlere Institute treffen. Die Einstufung selbst folgt aus § 2 Abs. 16 und 17 WpIG in Verbindung mit Art. 12 Abs. 1 der Verordnung (EU) 2019/2033.

Aspekt	Kleine Wertpapierinstitute	Mittlere Wertpapierinstitute
Risikotragfähigkeit (AT 4.1.1)	Kein eigenes Risikotragfähigkeitskonzept gefordert.	Risikotragfähigkeitskonzept, das die wesentlichen Risiken laufend abdeckt.
Kapitalplanung (AT 4.1.2)	Mehrjährig, mit mindestens einem adversen Szenario.	Mehrjährig, mit mindestens einem adversen Szenario.
Stresstests (AT 4.3.3)	Anlassbezogen, soweit für die wesentlichen Risiken angemessen.	Regelmäßig durchzuführen, Ergebnisse fließen in die Risikotragfähigkeit ein.
Ungeordnete Abwicklung (BTR 4)	Nicht Adressat des Moduls.	Zeitraum und Kosten einer geordneten Abwicklung sind regelmäßig zu bestimmen.
Methodik in BTR 1 bis BTR 3	Keine erkennbare Vorgabe nach Institutsgröße. Maßgeblich sind Art, Umfang, Komplexität und Risikogehalt; wer einfacher vorgeht, belegt Eignung und Aussagekraft.
Berichterstattung (BT 2)	Keine erkennbare Frequenzvorgabe nach Institutsgröße. Turnus, Inhalte und Ad-hoc-Anlässe sind schriftlich festzulegen und zu begründen.
Besondere Funktionen (AT 4.4)	Angemessenheit und Verhältnismäßigkeit entscheiden, ergänzt um Regelbeispiele wie Kundengeldverwahrung, Vertrieb komplexer Produkte und MTF- oder OTF-Betrieb.

Aufsichtsrechtlich kommt § 38 Abs. 3 WpIG hinzu: Wird ein Institut nicht mehr als Kleines, sondern als Mittleres Wertpapierinstitut eingestuft, ist das der BaFin mitzuteilen. Die ausschließlich für Mittlere Institute geltenden Anforderungen sind spätestens zwölf Monate nach diesem Zeitpunkt einzuhalten. Für die BTR heißt das: Die Einstufung ist nachzurechnen, bevor Prozesse zugeschnitten werden.

Fristen und Zeitpunkte

Rot markiert sind die beiden Zeitpunkte, die noch vor dir liegen.

06.08.2025Erste Konsultationsfassung der WpI MaRisk; Stellungnahmen bis zum 19. September 2025.
06.05.2026Zweite Konsultationsfassung, deutlich gestrafft und stärker prinzipienorientiert; Stellungnahmen bis zum 17. Juni 2026.
30.06.2026Finale 9. MaRisk-Novelle als Rundschreiben 06/2026 (BA). Sie gilt für Große Wertpapierinstitute; die WpI MaRisk wurden nach dem Anschreiben gezielt an die Ergebnisse des KWG-MaRisk-Reviews angepasst.
24.08.2026Finale Fassung als Rundschreiben 09/2026 (WA), zusammen mit dem Anschreiben der BaFin.
10.09.2026Verkündung der Änderungsverordnung zur WpIPrüfbV im Bundesgesetzblatt (BGBl. 2026 I Nr. 256, ausgefertigt am 26.08.2026), in Kraft seit dem 11. September 2026.
bis 31.12.2026Sinngemäße Anwendung der KWG-MaRisk in der Fassung der 8. Novelle. Änderungen der 9. Novelle sind in diesem Zeitraum nicht zwingend zu berücksichtigen.
01.01.2027Geltungsbeginn der WpI MaRisk. Prozesse, Limite, Kontrollen und Berichtswege nach BTR 1 bis BTR 4 und BT 2 müssen eingerichtet und funktionsfähig sein.

Bereits vor dem Stichtag bestehende Mängel der Geschäftsorganisation werden durch die Übergangsregelung nicht legitimiert. Sie betrifft allein die Frage, welches Regelwerk bis zum 31. Dezember 2026 sinngemäß anzuwenden ist. Große Wertpapierinstitute bleiben beim Regime der §§ 25a, 25b KWG und der MaRisk für Kreditinstitute.

Regulatorisches Umfeld: was daneben gilt

Die BTR stehen nicht allein. Vier Regelwerke haben sich 2026 bewegt und wirken unmittelbar auf die Prozesse, die bis zum Stichtag stehen müssen.

Regelwerk	Stand	Wirkung auf die BTR
MaRisk für Kreditinstitute, 9. Novelle	Rundschreiben 06/2026 (BA) vom 30.06.2026	Für Große Wertpapierinstitute bleibt dieses Regelwerk maßgeblich. Kleine und Mittlere Institute wenden bis zum 31.12.2026 die 8. Novelle sinngemäß an; die WpI MaRisk wurden laut Anschreiben gezielt an die Ergebnisse des KWG-MaRisk-Reviews angepasst.
WpIPrüfbV, DORA-Änderung	BGBl. 2026 I Nr. 256 vom 10.09.2026, in Kraft seit 11.09.2026	Der Prüfer berichtet über die Organisation der IKT und beurteilt, ob die DORA-Vorgaben angemessen und wirksam eingehalten werden. Anzuwenden erstmals auf Geschäftsjahre, die nach dem 31.12.2024 beginnen, also bereits vor dem Geltungsbeginn der WpI MaRisk.
DORA	Verordnung (EU) 2022/2554, anwendbar seit 17.01.2025	IKT-bezogene Fremdbezüge laufen über das IKT-Drittparteienrisikomanagement und nicht über das Auslagerungsmodul. Für BTR 1.3 heißt das: Die IT-Risiken bleiben zu steuern, der Rahmen dafür steht in der Verordnung.
IFR und WpIG	Verordnung (EU) 2019/2033; WpIG zuletzt geändert durch Art. 9 G v. 09.04.2026	Art. 12 bestimmt die Einstufung als Kleines Institut und damit den Pflichtenumfang. Die K-Faktor-Systematik der IFR prägt zusätzlich den Zuschnitt von BTR 1.

Warum BTR 1 nach Kunden, Markt und Institut gliedert

Die Dreiteilung ist keine Erfindung des Rundschreibens. Schon die IFR gruppiert ihre K-Faktoren nach dem Risiko für den Kunden, dem Risiko für den Markt und dem Risiko für die Firma. Die WpI MaRisk übernehmen diese Perspektive für die zweite Säule. Säule 1 und Säule 2 sprechen damit dieselbe Sprache, und die Risikolandkarte lässt sich an die Kennzahlen anschließen, die ohnehin für die Eigenmittelanforderung gerechnet werden.

Vorsicht bei Auslassungen: Einzelne Klarstellungen der KWG-MaRisk sind nicht in die WpI MaRisk übernommen worden, etwa zur wirtschaftlichen Betrachtung von Auslagerungen unabhängig von der zivilrechtlichen Gestaltung oder zum Zugriff auf eigene Daten bei Insolvenz eines Dienstleisters. Daraus folgt nicht, dass diese Risiken für dein Haus unbedeutend wären. Sie sind über die Risikoinventur und die BTR abzudecken, nur ohne vorgegebene Formulierung.

Wo es in der Praxis klemmt

Eine gefestigte Prüfungspraxis zu den WpI MaRisk gibt es noch nicht, das Regelwerk gilt erst ab dem 1. Januar 2027. Aus den Anforderungen selbst lassen sich aber sechs Konstellationen ableiten, die in Prüfungen erfahrungsgemäß zuerst auffallen.

Bankgliederung übernommen

BTR 1.1 bis BTR 1.3

Die Risikolandkarte führt Adressenausfall-, Marktpreis- und operationelle Risiken. Die Perspektive der Kunden und des Marktes fehlt, obwohl BTR 1 genau danach gliedert. Ergebnis: Prozesse ohne Zuordnung und Kategorien ohne Prozess.

Wesentlichkeit ohne Geschäftsmodellbezug

AT 2.2, BTR 1 bis BTR 3

Eine abstrakte Risikoliste erfüllt die Anforderung nicht. Die Einstufung muss an Produkten, Kundengruppen, Vertriebswegen und technischen Abhängigkeiten ansetzen und in ein Gesamtrisikoprofil münden, aus dem sich die BTR-Prozesse ableiten.

Limite ohne Konsequenz

AT 4.3.2, BTR 1.3

Schwellenwerte sind gesetzt, aber es fehlt die Regelung, was bei Überschreitung passiert: wer informiert wird, wer entscheidet, bis wann. Eine Begrenzung ohne Eskalationsweg ist keine Steuerung, sondern eine Beobachtung.

Liquiditätsszenarien zu freundlich

BTR 3

Die Stressannahmen unterstellen funktionierende Refinanzierung und planmäßige Zahlungseingänge. Untertägige Effekte, Einschussverpflichtungen und Fremdwährungseffekte bleiben außen vor. Der Notfallplan nennt keine Auslöser und keine Verantwortlichen.

BTR 4 als Abwicklungsplan missverstanden

BTR 4

Statt Zeitraum und Kosten einer geordneten Abwicklung herzuleiten, entsteht ein umfangreiches Planwerk nach bankaufsichtlichem Vorbild. Das bindet Ressourcen und beantwortet die gestellte Frage trotzdem nicht.

Dokumentation ohne Vollzug

§ 41 WpIG, AT 6

Prozessbeschreibungen und Risikomatrix liegen vor, aber es gibt keine Spur von durchgeführten Kontrollen, Eskalationen oder Managemententscheidungen. Genau darauf zielt die Prüfung.

No-Regret-Maßnahmen bis zum Stichtag

Sechs Maßnahmen, die sich unabhängig davon lohnen, wie das Umsetzungsprojekt am Ende zugeschnitten wird. Sie sind in der Reihenfolge sortiert, in der sie aufeinander aufbauen.

1
Einstufung nachrechnen und festschreiben
Die Bedingungen des Art. 12 Abs. 1 der Verordnung (EU) 2019/2033 mit aktuellen Kennzahlen abgleichen, Ergebnis, Datenquelle und Stichtag protokollieren. Erst danach steht fest, ob BTR 4, das Risikotragfähigkeitskonzept und regelmäßige Stresstests überhaupt greifen.
2
Risikolandkarte auf das BTR-Raster umstellen
Die vorhandenen Risiken neu nach Kunden, Markt und Institut sortieren und dabei prüfen, welche Positionen bisher nur aus Institutssicht erfasst waren. Sonstige Risiken und Liquiditätsrisiken getrennt führen.
3
Je Risiko Begrenzung, Indikator und Eskalation festlegen
Für jedes wesentliche Risiko eine Zeile: Steuerungsinstrument, Schwellenwert, Messfrequenz, Informationsempfänger, Entscheidungsbefugnis, Frist. Das ist der Kern dessen, was AT 4.3.2 und BTR 1 verlangen.
4
Liquiditätssteuerung und Notfallplan schärfen
Zahlungsströme mit Planungshorizont abbilden, Stressannahmen adverse setzen und den Notfallplan mit Auslösern, Maßnahmen, Verantwortlichen und verfügbaren Quellen versehen. Einmal durchspielen und das Ergebnis vermerken.
5
Bericht an die Prozesse anschließen
Ein Mapping von Risiko zu Indikator zu Berichtszeile erstellen, Turnus und Ad-hoc-Anlässe schriftlich festlegen und begründen. Kennzahlen ohne Prozess und Prozesse ohne Berichtszeile fallen dabei von selbst auf.
6
Managementfreigabe mit Restrisikobild
Die Geschäftsleitung beschließt nicht den Projektabschluss, sondern eine Bewertung: verbleibende Risiken, offene Maßnahmen, beanspruchte Erleichterungen mit Begründung. Damit ist die Befassung belegt.

Mustertabelle für die Dokumentation

Die Form ist frei. Belastbar wird sie, wenn je Zeile Modul, Steuerungsinstrument, Schwelle, Berichtsweg und Verantwortlicher erkennbar sind. Halte die Begründung auf zwei bis drei Sätze begrenzt.

BTR-Prozessdokumentation, Dokumentationsbeispiel
Risiko	Modul	Steuerung und Überwachung	Bericht	Verantwortlich / Datum
Beratungsfehler Privatkunden	BTR 1.1	Stichprobenkontrolle der Geeignetheitserklärungen, Schwelle: drei Beanstandungen je Quartal	Quartalsbericht, Ad hoc bei Schwellenüberschreitung	Compliance-Funktion, 05.01.2027
Fehlerhafte Orderweiterleitung	BTR 1.2	Abgleich Order- und Ausführungsdaten, Auffälligkeitsprüfung mit definierten Parametern	Quartalsbericht, Ad hoc bei Meldefall	Handelsüberwachung, 05.01.2027
Ausfall des ausgelagerten IT-Betriebs	BTR 1.3	Leistungsüberwachung nach Service Level, Wiederanlaufzeit als Schwelle, Test des Notfallverfahrens	Quartalsbericht, Ad hoc bei Ausfall über Wiederanlaufzeit	Auslagerungsmanagement, 05.01.2027
Zahlungsunfähigkeit bei Margin-Abruf	BTR 3	Tägliche Liquiditätsübersicht, Mindestbestand als Schwelle, Notfallplan mit benannten Quellen	Monatsbericht, Ad hoc bei Unterschreitung	Geschäftsleitung Finanzen, 05.01.2027
Ungeordnete Beendigung der Geschäftstätigkeit	BTR 4	Szenarien mit externem Auslöser und eigenem Marktausstieg, Herleitung von Zeitraum und Kosten	Jahresbericht an die Geschäftsleiter	Risikomanagement-Funktion, 05.01.2027

Die Beispielzeilen sind Muster, keine Vorlage für dein Haus. Welche Risiken wesentlich sind und welcher Turnus trägt, entscheidet dein Geschäftsmodell, nicht diese Tabelle.

Fazit

Die BTR sind der Besondere Teil zu den Risikomanagementprozessen: BTR 1 nach Kunden, Markt und Institut, BTR 2 für sonstige Risiken, BTR 3 für Liquidität, BTR 4 für das Risiko einer ungeordneten Abwicklung.
Der Eingang in die BTR führt über AT 2.2. Nur wesentliche Risiken brauchen einen Prozess, und die Einstufung muss institutsspezifisch begründet und datiert sein.
BTR 4 verlangt Zeitraum und Kosten einer geordneten Abwicklung, keine Sanierungs- und Abwicklungspläne. Das ist eine Begrenzung des Aufwands, kein Einstieg in bankaufsichtliche Planwerke.
Eine nach Institutsgröße gestaffelte Methodik oder Berichtsfrequenz ist nicht belegt. Die Unterschiede liegen in einzelnen Anforderungen, die nur Mittlere Institute treffen.
Der Stichtag ist hart. Zum 1. Januar 2027 müssen Prozesse, Limite, Kontrollen und Berichtswege eingerichtet und funktionsfähig sein.

Der nächste sinnvolle Schritt ist eine dokumentierte Readiness-Analyse: nachgerechnete Einstufung, Soll-Ist-Abgleich gegen BTR 1 bis BTR 4 und BT 2, Mapping von Risiko zu Indikator zu Bericht und ein von der Geschäftsleitung bestätigter Maßnahmenplan mit Verantwortlichen, Fristen und Wirksamkeitsnachweisen. Die Modulreihe zu den WpI MaRisk führt die Einzelthemen zusammen.

Häufige Fragen zu den BTR-Modulen der WpI MaRisk

Wie hängen AT 4.3.2 und die BTR zusammen?+–

AT 4.3.2 enthält die allgemeinen Anforderungen an die Risikomanagementprozesse: identifizieren, beurteilen, steuern, überwachen und kommunizieren. Die BTR konkretisieren diese Anforderungen für die einzelnen Risikoblöcke. Wer nur den Allgemeinen Teil umsetzt, hat die Module nicht bedient; wer nur die Module abarbeitet, verliert den gemeinsamen Prozessrahmen.

Gilt BTR 4 auch für Kleine Wertpapierinstitute?+–

Das Modul adressiert Mittlere Institute. Sie bestimmen regelmäßig den Zeitraum und die Kosten einer geordneten Abwicklung. Nach dem Anschreiben der BaFin folgt daraus ausdrücklich keine Pflicht, Sanierungs- und Abwicklungspläne zu erstellen. Kleine Institute prüfen im Rahmen der Risikoinventur, ob und welche Risiken aus einer Beendigung der Geschäftstätigkeit für sie wesentlich sind.

Müssen Kleine Institute quartalsweise, Mittlere monatlich berichten?+–

Nein, eine solche Staffelung lässt sich aus den geprüften Quellen nicht ableiten. BT 2 gibt den Rahmen für die Risikoberichterstattung vor, die Ausgestaltung richtet sich nach Art, Umfang, Komplexität und Risikogehalt. Belastbar ist ein schriftlich festgelegter Turnus mit Begründung und definierten Ad-hoc-Anlässen.

Was gilt bis zum 31. Dezember 2026?+–

Nach dem Anschreiben der BaFin gilt bis zum Geltungsbeginn die sinngemäße Anwendung der KWG-MaRisk in der Fassung der 8. Novelle. Änderungen aus der 9. Novelle sind in diesem Zeitraum nicht zwingend zu berücksichtigen. Eine Schonfrist über den 1. Januar 2027 hinaus folgt daraus nicht.

Können wir unsere bestehende MaRisk-Risikolandkarte weiterverwenden?+–

Als Materialsammlung ja, als Struktur nein. BTR 1 gliedert nach den Betroffenen: Kunden, Markt, Institut. Eine Gliederung nach Adressenausfall-, Marktpreis- und operationellen Risiken lässt insbesondere die Kunden- und die Marktperspektive unbesetzt. Die Inhalte lassen sich umsortieren, der Zuschnitt ist neu zu machen.

Was hat die 9. MaRisk-Novelle mit den WpI MaRisk zu tun?+–

Die 9. Novelle ist als Rundschreiben 06/2026 (BA) am 30. Juni 2026 erschienen und richtet sich an Kreditinstitute sowie an Große Wertpapierinstitute. Für Kleine und Mittlere Institute gilt im Übergangszeitraum die 8. Novelle sinngemäß. Mittelbar wirkt sie trotzdem: Nach dem Anschreiben hat die BaFin die WpI MaRisk gezielt an die Ergebnisse des KWG-MaRisk-Reviews angepasst, um beide Regelwerke konsistent zu halten.

Ändert die neue Prüfungsberichtsverordnung etwas für die BTR?+–

Nicht an den Anforderungen selbst, wohl aber am Zeitpunkt, zu dem sie geprüft werden. Die Änderungsverordnung zur WpIPrüfbV (BGBl. 2026 I Nr. 256) ist seit dem 11. September 2026 in Kraft. Der Prüfer berichtet über die Organisation der IKT und beurteilt die Einhaltung der DORA-Vorgaben, erstmals für Geschäftsjahre, die nach dem 31. Dezember 2024 beginnen. Die IT-bezogenen Nachweise aus BTR 1.3 werden damit früher relevant als der Geltungsbeginn der WpI MaRisk.

Gibt es bereits Prüfungserfahrungen zu den BTR?+–

Nein. Das Rundschreiben gilt erst ab dem 1. Januar 2027, eine gefestigte Prüfungspraxis kann es deshalb noch nicht geben. Aussagekräftig sind allein die Anforderungen selbst und die Erläuterungen der Aufsicht; alles darüber hinaus ist Einschätzung und sollte als solche gekennzeichnet sein.

Quellen

Zwölf Fundstellen, ausschließlich amtliche Quellen: Rechtsakte der Europäischen Union, Gesetzestexte des Bundes und Veröffentlichungen der zuständigen Behörden. Je Eintrag eine Zeile dazu, wofür die Quelle einsteht. Alle Fundstellen wurden am 14. September 2026 abgerufen.

BaFin, Rundschreiben 09/2026 (WA) – WpI MaRiskFundstelle des Rundschreibens mit Datum 24.08.2026; von dort führt der Weg zum Volltext (PDF). Maßgebliche Quelle für alle Modulangaben dieses Beitrags.
BaFin, Anschreiben zum Rundschreiben 09/2026 (WA)Belegt die Beschränkung von BTR 4 auf Zeitraum und Kosten ohne Pflicht zu Sanierungs- und Abwicklungsplänen, die Übergangsregelung, die Regelbeispiele zur Internen Revision und die Einordnung der Begriffe der Kreditinstitutsaufsicht.
BaFin, Meldung vom 24.08.2026 zur Veröffentlichung der WpI MaRiskBelegt Adressatenkreis, Inkrafttreten zum 1. Januar 2027 und die Ablösung der sinngemäßen Anwendung der Kreditinstituts-MaRisk.
BaFin, Meldung vom 06.05.2026 zur zweiten KonsultationsfassungBelegt den Entwurfscharakter des Standes vom Mai 2026, die Stellungnahmefrist bis zum 17. Juni 2026, die Rechtsgrundlagen §§ 38 ff. WpIG i. V. m. MiFID II und das Fortgelten der MaRisk (BA) für Große Wertpapierinstitute.
BaFin, Konsultation 15/2025 – erste Entwurfsfassung der WpI MaRiskBelegt den Beginn des Konsultationsverfahrens am 06.08.2025. Die Gliederung des Besonderen Teils mit BTR 1 bis BTR 4 und BT 2 ist dieser Entwurfsfassung entnommen; maßgeblich bleibt der Volltext der finalen Fassung.
WpIG, Gesamtausgabe bei Gesetze im InternetAmtliches Angebot des Bundesministeriums der Justiz. § 2 Abs. 16 bis 18 zur Einstufung, § 38 Abs. 3 zur Mitteilung an die BaFin, §§ 39 bis 41 zu Kapital-, Liquiditäts- und Organisationspflichten.
Verordnung (EU) 2019/2033, konsolidierte Fassung bei EUR-LexAmtsblatt der Europäischen Union. Art. 12 mit den Bedingungen für kleine und nicht verflochtene Wertpapierfirmen sowie den Fristen beim Überschreiten eines Schwellenwerts.
Delegierte Verordnung (EU) 2017/565, konsolidierte Fassung bei EUR-LexOrganisatorische Anforderungen an Wertpapierfirmen, unter anderem zu Interessenkonflikten, Risikomanagement und Geschäftsfortführung; eine der Rechtsgrundlagen der WpI MaRisk.
Verordnung (EU) 2022/2554 (DORA) bei EUR-LexAmtsblatt der Europäischen Union. Begriff der IKT-Dienstleistung in Art. 3 Nr. 21 und das IKT-Drittparteienrisikomanagement, maßgeblich für IT-bezogene Risiken in BTR 1.3.
Bundesgesetzblatt Teil I, Verkündungsplattform des BundesBGBl. 2026 I Nr. 256 vom 10.09.2026, ausgefertigt am 26.08.2026: Verordnung zur Änderung der Wertpapierinstituts-Prüfungsberichtsverordnung und der Schwarmfinanzierungsdienstleister-Prüfungsverordnung zur Berücksichtigung der Vorgaben der Verordnung (EU) 2022/2554.
WpIPrüfbV bei Gesetze im InternetKonsolidierte Fassung der Wertpapierinstituts-Prüfungsberichtsverordnung, maßgeblich für Umfang und Inhalt der Berichterstattung des Prüfers, unter anderem zur Organisation der IKT.
Deutsche Bundesbank, MaRisk – Mindestanforderungen an das RisikomanagementBelegt die Veröffentlichung der 9. MaRisk-Novelle am 30.06.2026 als Rundschreiben 06/2026 (BA) und stellt Volltext, Anschreiben und Änderungsübersichten bereit; maßgeblich für Große Wertpapierinstitute und für die Übergangszeit.

WpI MaRisk: Ressourcen und Praxisleitfäden

Die Modulreihe im Überblick. Alle Beiträge stehen auf dem Stand, der jeweils angegeben ist; maßgeblich ist in jedem Fall das Rundschreiben 09/2026 (WA).

Hub-Artikel – dein Einstieg

WpI MaRisk – Was sich für Kleine und Mittlere Institute ändert

AT-Module – Allgemeiner Teil

BTO-Module – Organisation und Abwicklung

BTR-Module – Risikomanagement

Spezialthemen

Kapitalplanung

Kapitalplanung nach WpI MaRisk – dein Leitfaden

Risikomanagementprozesse, die den Stichtag tragen

S+P Compliance baut die Prozesse nach BTR 1 bis BTR 4 und BT 2 auf oder prüft vorhandene Prozesse gegen das Rundschreiben 09/2026 (WA). Ergebnis ist eine Zuordnung aller wesentlichen Risiken zu Modulen, ein Mapping von Risiko zu Indikator zu Bericht und ein Maßnahmenplan bis zum 1. Januar 2027.