Internal Governance 2026: Warum die MaRisk-Compliance allein kein Schutzschild mehr ist

Internal Governance 2026

In der Theorie klingt es simpel: Ein paar Leitlinien schreiben, Verantwortlichkeiten im Organigramm definieren und die Revisionsberichte abheften. Doch die Realität in der aktuellen Aufsichtspraxis sieht anders aus. Governance ist längst kein „Häkchen-Thema“ mehr, das man mit einer gut sortierten Dokumentenablage erledigen kann.

Im Jahr 2026 hat sich die Perspektive von Aufsicht und Abschlussprüfern radikal gewandelt: Weg von der reinen Prozessbestätigung, hin zur Analyse der strukturellen Belastbarkeit.

Wer Governance heute noch als lästige Compliance-Übung versteht, übersieht, dass sie zum zentralen Steuerungsfaktor und zur „harten Währung“ im SREP-Prozess (Supervisory Review and Evaluation Process) geworden ist. Die neue IDW-Arbeitshilfe zur Prüfung des internen Governance-Systems fungiert dabei als scharfes Diagnose-Instrument, das Schwachstellen dort aufzeigt, wo sie bisher oft im Verborgenen blieben.

Das Fundament: Aufbauorganisation und die Tücke der Wechselwirkungen

Das interne System der Governance ist das Skelett eines Instituts. Doch ein Skelett ist nur dann stabil, wenn die Gelenke – die Wechselwirkungen – funktionieren. Die MaRisk stellt zwar die regulatorischen Leitplanken auf, doch die neue Prüfungspraxis fragt tiefer: Wie interagieren die Kontrollinstanzen tatsächlich?

Eine belastbare Governance-Struktur zeichnet sich nicht durch die bloße Existenz von Risk-Controlling, Compliance und Interner Revision aus. Vielmehr geht es um die Vermeidung von Verantwortungsdiffusion. In vielen Instituten beobachten wir das Phänomen der „Silo-Governance“: Jede Funktion arbeitet für sich genommen korrekt, doch an den Schnittstellen entstehen blinde Flecken.

Die IDW-Arbeitshilfe legt hier den Finger in die Wunde. Sie fordert eine ganzheitliche Betrachtung der Aufbauorganisation. Eine klare Trennung von Markt und Marktfolge ist das absolute Minimum; die moderne Governance-Analyse blickt auf die Informationsflüsse.

Erreichen kritische Informationen die Geschäftsleitung ungefiltert und zeitnah? Gibt es informelle Machtstrukturen, die die offiziellen Entscheidungswege unterlaufen? Wenn die informelle Hierarchie die formelle Struktur dominiert, ist das System für den Abschlussprüfer bereits ein Hochrisiko-Indikator.

Identifizierbare Indikatoren: Wenn das System „spricht“

Prüfer verlassen sich heute weniger auf das, was im Handbuch steht, und mehr auf das, was das System im Alltag „ausspuckt“. Ein funktionierendes Governance-System liefert erkennbare Indikatoren für Stabilität.

Ein positiver Indikator ist beispielsweise eine lebendige Diskussionskultur in den Gremien, die durch Protokolle belegbar ist. Wenn Beschlüsse stets einstimmig und ohne kritische Rückfragen innerhalb von Minuten gefasst werden, deutet das für Aufseher oft nicht auf Harmonie, sondern auf eine mangelnde Herausforderungskultur (Challenge Culture) hin.

Weitere Indikatoren sind:

• Ressourcen-Angemessenheit: Passt die personelle und IT-seitige Ausstattung der Kontrollfunktionen zum Risikoprofil? Ein rasant wachsendes Krypto-Portfolio bei einer stagnierenden Compliance-Abteilung ist ein klassisches Warnsignal.
• Fehlertoleranz und Eskalationswege: Wie wird mit Fehlern umgegangen? Werden Schwachstellen proaktiv gemeldet oder erst auf Druck der Revision entdeckt? Die Art der Fehlerkommunikation ist einer der stärksten Indikatoren für die Qualität der Governance-Kultur.

Typische Schwachstellen: Das „Governance-Theater“ entlarven

Die IDW-Arbeitshilfe und die Fallanalysen der Aufsicht zeigen wiederkehrende Muster auf, die regelmäßig zu Feststellungen führen. Wir nennen es auch das „Governance-Theater“: Nach außen hin wird die perfekte Struktur inszeniert, während die operative Steuerung ganz anderen Regeln folgt.

Zu den typischen Schwachstellen mit hoher Prüfungsrelevanz gehören:

1. Überforderte Schlüsselfunktionen: Compliance-Beauftragte oder Risikomanager, die mit so vielen operativen Aufgaben überhäuft werden, dass für die strategische Überwachung keine Zeit bleibt.
2. Mangelnde Unabhängigkeit: Wenn die Vergütung des Risikomanagers zu stark an Vertriebsziele gekoppelt ist oder wenn die Interne Revision direkt an einen Vorstand berichtet, dessen Fachbereich sie prüfen soll.
3. Veraltete Kompetenzprofile: Governance-Strukturen, die für das Geschäft von vor fünf Jahren konzipiert wurden, aber die heutigen Anforderungen an ESG-Risiken oder Cyber-Resilienz gar nicht abbilden können.

Diese Schwachstellen sind für den Abschlussprüfer keine bloßen „Schönheitsfehler“. Sie sind Beweise für eine unzureichende Steuerungsfähigkeit der Geschäftsleitung.

Die Risikoeinschätzung des Abschlussprüfers: Die neue Basisbewertung

Früher war die Prüfung der Governance oft ein Anhängsel der Bilanzprüfung. Heute ist die Risikoeinschätzung der Abschlussprüfer bezüglich der Governance die Grundlage für die gesamte institutsweite Risikoeinschätzung.

Der Prüfer stellt sich die Frage: „Kann ich mich auf die Zahlen verlassen, wenn das System, das diese Zahlen generiert, strukturelle Mängel aufweist?“

Eine schlechte Governance-Note hat direkte Auswirkungen auf den Prüfungsumfang. Erhöhte Risikoeinschätzungen führen zu vertieften Prüfungshandlungen, höheren Kosten und – im schlimmsten Fall – zu einer Meldung an die Aufsicht, die daraufhin den SREP-Aufschlag (Kapitalzuschlag) erhöhen kann.

Governance ist damit kein abstraktes Konzept mehr, sondern beeinflusst direkt die Eigenmittelanforderungen und die Rentabilität des Instituts.

Fazit: Governance als Wettbewerbsvorteil

Die Anforderungen der MaRisk und die Präzisierungen durch die IDW-Arbeitshilfe sollten nicht als regulatorische Last, sondern als Blaupause für ein widerstandsfähiges Unternehmen verstanden werden. Ein Institut mit einer transparenten, durchlässigen und fachlich fundierten Governance-Struktur wird nicht nur die nächste Prüfung reibungslos überstehen, sondern ist auch agiler in der Krisenbewältigung.

Der Weg zur „Governance Excellence“ führt über drei Schritte:

• Selbstreflexion: Nutzen Sie die Indikatoren der IDW-Arbeitshilfe für einen internen Quick-Check, bevor der Prüfer kommt.
• Investition in Köpfe: Governance braucht Fachkompetenz und Rückgrat in den Schlüsselfunktionen.
• Kulturwandel: Etablieren Sie eine Kommunikation, in der Risiken als Steuerungsimpulse und nicht als persönliches Versagen gesehen werden.

Am Ende des Tages ist Governance keine Frage der Formulare, sondern eine Frage der Haltung. Wer dies verinnerlicht, macht sein Institut sicher für die regulatorischen Anforderungen von morgen.