I. Das Zusammenspiel von MaRisk 8.0 und BaFin-Merkblatt

In den am 29.06.2023 veröffentlichten neuen MaRisk werden ESG-Risiken erstmals „explizit“ aufgenommen. Laut Übersendungsschreiben der BaFin an die Spitzenverbände soll durch die Verwendung dieses Begriffs zum Ausdruck gebracht werden, dass seitens der Aufsicht eine konkrete, nachvollziehbare und (transparent) dokumentierte Auseinandersetzung mit ESG-Risiken erwartet wird. Ein impliziter Umgang, also eine Betrachtung nur im Rahmen anderer Risikoarten ohne Auseinandersetzung mit den Wirkungsmechanismen von ESG-Faktoren auf die klassischen Risikoarten, ist künftig nicht mehr ausreichend.

Die BaFin hat bereits im Dezember 2019 ein spezielles Merkblatt zum Umgang mit Nachhaltigkeitsrisiken veröffentlicht, welches zunächst lediglich als eine Art Orientierungshilfe bei der Integration von ESG-Risiken in ihre Risikomanagementprozesse gedacht war. Vertreter der BaFin haben allerdings bei verschiedenen Gelegenheiten gegenüber den Instituten und ihren Verbänden immer wieder betont, dass die Anforderungen der novellierten MaRisk im Grundsatz nicht hinter den im Merkblatt geäußerten aufsichtlichen Erwartungen zurückbleiben werden. Vor dem Hintergrund des universellen Charakters der MaRisk, in denen entsprechende Anforderungen deutlich komprimierter und ohne detaillierte Erläuterungen (wie im Merkblatt) erfolgen können, bedeutet dies, dass ESG-Risiken zwar an besonders prominenten Stellen der neuen MaRisk ausdrücklich angesprochen werden, sie an anderen Stellen aber auch dann relevant sein können, wenn sie dort nicht explizit aufgeführt werden. Dies gilt z. B. für Prüfungstätigkeiten der Internen Revision, wo ESG-Risiken im überarbeiteten MaRisk-Text zwar nicht ausdrücklich erwähnt, allerdings relativ ausführlich im BaFin-Merkblatt adressiert werden. Künftige Prüfungshandlungen der Aufsicht werden also sowohl vor dem Hintergrund der Anforderungen der neuen MaRisk als auch der Anforderungen des Merkblatts vonstattengehen, wenn auch die Referenzierung einer Feststellung sich nach wie vor auf die MaRisk beschränken wird.

Da das BaFin-Merkblatt den Instituten einerseits bereits seit Ende 2019 Orientierungslinien für den Umgang mit ESG-Risiken gegeben hat und weil andererseits die Anforderungen der neuen MaRisk an das ESG-Risikomanagement von der BaFin überwiegend als Klarstellungen bisheriger Anforderungen an das Management wesentlicher Risiken gesehen werden, erwartet die BaFin laut ihrem Übersendungsschreiben an die Spitzenverbände, dass diese grundsätzlich ohne Übergangsfrist mit Inkrafttreten der Novelle zum 23.06.2023 eingehalten werden.^[2] Neue Anforderungen („Neuerungen“), welche erst am 01.01.2024 in Kraft treten, sieht die BaFin hauptsächlich in den Bereichen Risikoinventur, Risikomessung und Risikosteuerung, speziell in der Risikoquantifizierung für den ICAAP und beim ESG-Stresstesting.

II. (Wirkungsketten von) Nachhaltigkeitsrisiken sind im Risikomanagement der Institute zu berücksichtigen

In den neuen MaRisk wird in AT 2.2 Tz. 1 ausdrücklich dargelegt, dass für die regelmäßige wie anlassbezogene Beurteilung der Wesentlichkeit der Risiken durch die Geschäftsleitung „[…] Auswirkungen von ESG-Risiken angemessen und explizit einzubeziehen sind“. Dies hat unabhängig davon zu geschehen, ob ESG-Risiken als wesentlich definiert werden oder nicht, und auch unabhängig davon, ob ESG-Risiken vom Institut als eigenständige Risikoart definiert werden oder nicht. Dies kommt auch in den Erläuterungen zu AT 2.2 Tz. 1 zum Ausdruck. Dort heißt es (nur noch), dass ESG-Risiken „[…] als Risikotreiber [wirken] und […] sich auf die in Tz. 1 a)-d) aufgeführten sowie weitere wesentliche Risikoarten auswirken [können]“.

Die Aufsicht wird sich also künftig nicht mehr mit einer Argumentation zufriedengeben, nach der ESG-Risiken schon in den klassischen Risikoarten berücksichtigt und insofern nicht noch einmal separat in den Überlegungen bezüglich der Risikoinventur zu betrachten seien. Zudem wird auch noch einmal die Methoden- und Definitionshoheit des Instituts im Rahmen der MaRisk unterstrichen, denn in Abweichung zum BaFin-Merkblatt heißt es nicht mehr explizit, ESG-Risiken seien keine eigenständige Risikoart, sondern „nur noch“ (wie oben schon erwähnt), dass ESG-Risiken als Risikotreiber für die klassischen Risikoarten wirken können. Dies erleichtert es dem Institut, bei Bedarf ESG-Risiken als eigenständige Risikoart zu definieren. Eine Pflicht so vorzugehen, ist damit aber nicht verbunden und von der Aufsicht auch nicht intendiert. 

Weiterhin wird in den Erläuterungen zu AT 2.2 Tz. 1 klargestellt, dass bei der Risikoinventur ein „angemessen langer“ Zeitraum zu wählen ist. Der typische Planungshorizont von maximal drei bzw. fünf Jahren wird also hierbei nicht mehr ausreichen. Diesbezüglich hat die Aufsicht auch bereits bei bankgeschäftlichen Prüfungen erste Feststellungen getroffen. Zwar geben die neuen MaRisk aufgrund ihres prinzipienbasierten Ansatzes keine Definition mittel- und langfristiger Zeithorizonte vor, die EBA empfiehlt aber z. B., gerade bei der Festlegung der Geschäftsstrategie, den Zeithorizont für die strategische Planung auf mindestens zehn Jahre auszuweiten (wenn auch „nur“ qualitativ und nicht quantitativ).^[3] Auch die neue CRD VI wird den Zeithorizont von mindestens zehn Jahren für die langfristige strategische Planung vermutlich übernehmen.

Nicht nur bei der Risikoidentifikation im Rahmen der Risikoinventur, auch bei der Risikosteuerung verschärfen die neuen MaRisk die Anforderungen im Zusammenhang mit Nachhaltigkeitsrisiken. Gemäß AT 4.3.2 Tz. 1 müssen die Banken künftig nicht nur angemessene Risikosteuerungs- und -controllingprozesse für die wesentlichen Risiken einrichten, sondern unabhängig von der Wesentlichkeit auch eine Identifizierung, Beurteilung, Steuerung sowie Überwachung und Kommunikation der Auswirkungen von ESG-Risiken gewährleisten. Bis dato war es den Instituten möglich, für ESG-Risiken keine expliziten Risikosteuerungs- und controllingprozesse einzurichten, solange ESG-Risiken von diesen nicht als wesentlich definiert wurden. Dies war aus Sicht der Aufsicht ein Schlupfloch, bei dessen Nutzung bei bankgeschäftlichen Prüfungen mit ESG-Fokus diesbezügliche Schwächen bei den Instituten nicht mit Feststellungen belegt werden konnten. Mit den neuen MaRisk wird dieses Schlupfloch geschlossen.

Bezüglich der Berücksichtigung von Nachhaltigkeitsrisiken bei den Stresstests lässt sich der neuen Formulierung des AT 4.3.3 Tz. 1 zunächst entnehmen, dass sich die dort aufgeführten Anforderungen an institutsindividuelle Stresstests zwar nach wie vor nur auf die wesentlichen Risikoarten beziehen. Allerdings sind bei den für diese Risikoarten wesentlichen Risikofaktoren auf jeden Fall die Auswirkungen von ESG-Risiken zu berücksichtigen. Die Erläuterungen zu Tz. 1 führen weiter aus, dass diese Auswirkungen über einen angemessen langen, über den regulären Risikobetrachtungshorizont hinausgehenden Zeitraum abzubilden sind (z. B. auch im Rahmen gesonderter Sensitivitätsanalysen). Auch hier lässt sich also die bislang weithin beobachtete Praxis der Institute, ESG-Faktoren bei den institutsindividuellen Stresstests nicht zu berücksichtigen, nicht mehr aufrechterhalten. Das BaFin-Merkblatt legt den Instituten dabei in Abschnitt 7 nahe, sowohl physische als auch transitorische Risiken in den entsprechenden What-if-Ansätzen zu berücksichtigen.

Im Sinne einer Risikoakzeptanz müssen ESG-Risiken schließlich auch ausreichend in den Risikotragfähigkeitsprozess Eingang finden. Im überarbeiteten Text des AT 4.1 Tz. 1 heißt es dazu ausdrücklich: „Die Auswirkungen von ESG-Risiken i.S. von AT 2.2 Tz. 1 sind angemessen und explizit zu berücksichtigen.“ Die Erläuterungen zu AT 4.1 Tz. 1 betonen zudem, dass den Auswirkungen von ESG-Risiken im Rahmen einer zukunftsgerichteten Betrachtung und unter Würdigung der damit einhergehenden Unsicherheiten sowohl in der normativen als auch in der ökonomischen Perspektive Rechnung zu tragen ist. Ein Abstellen allein auf vorhandene Datenhistorien reicht dabei nicht aus. Die Aufsicht kommt den Instituten hier insoweit entgegen, als dass diese sich in einem ersten Schritt auf die durch Umweltrisiken, insbesondere durch den Klimawandel und die Transition zu einer nachhaltigen Wirtschaft entstehenden Risiken, beschränken können. Der Umstand, dass die entsprechenden Risikotreiber (mit klassischen Risikomodellen) schwer zu messen sind, kann somit also nicht (mehr) dazu führen, vom Versuch der Risikomessung gänzlich abzusehen.

Schließlich fallen gemäß der von der BaFin explizit als Neuerung ausgewiesenen Bestimmung des BTO 1.2 Tz. 4 unter die angemessene Berücksichtigung der für das Kreditausfallrisiko eines Kreditengagements bedeutenden Aspekte auch die Auswirkungen von ESG-Risiken. Konsistent hierzu sind nach BTO 1.2 Tz. 6 bei der Bewertung der Risiken mit Hilfe von Risikoklassifizierungsverfahren die Auswirkungen von ESG-Risiken angemessen zu berücksichtigen, wobei dies bonitätsinduziert (also über die Einbeziehung von ESG-Faktoren in klassische Ratingverfahren – was aufgrund der Datenproblematik bei der Quantifizierung von ESG-Risiken im Moment noch nicht möglich sein dürfte) oder separat, z. B. in Form eines ESG-Scores geschehen kann. Solange sich die Einbeziehung von ESG-Faktoren in die klassischen Ratingverfahren als noch nicht praktikabel erweist, können also separate ESG-Scores bei der Bewertung der Bonität und der Kreditwürdigkeitsprüfung herangezogen werden.^[4] Schon das BaFin-Merkblatt hatte unter Tz. 6.3.1 bereits beide Alternativen eröffnet und darauf hingewiesen, dass Risikoklassifizierungsverfahren u. a. der Prüfung der Fähigkeit und Bereitschaft des Vertragspartners zu risikomindernden Maßnahmen dienen (inklusive der Beurteilung seines Nachhaltigkeitsmanagements und eventueller vertraglicher Vereinbarungen entsprechender Risikomitigationsmaßnahmen).

III. Ausblick

Die BaFin stellt in ihrem Übersendungsschreiben an die Spitzenverbände der Kreditwirtschaft noch einmal deutlich heraus, dass die explizite Aufnahme von ESG-Risiken in die MaRisk die Finanzierung der Transition der Wirtschaft durch Kreditinstitute nicht behindern soll. Dabei betont sie ausdrücklich, dass die Limitierung von oder der Rückzug aus bestimmten Engagements nicht das vorrangige oder gar einzig mögliche Mittel der Risikominderung sein sollte.^[5] Stattdessen kämen laut BaFin z. B. auch der Eintritt in einen Kundendialog in Frage, insbesondere bei Unternehmen, welche aufgrund ihrer Geschäftsaktivitäten bzw. ihrer Sektorzugehörigkeit im besonderen Maße ESG-Risiken unterliegen, oder auch die Verknüpfung von Produkten mit transitionsrisikomindernden Maßnahmen.^[6] Dies betont noch einmal die wirtschaftspolitisch neutrale Haltung der Bankenaufsicht in diesem Bereich. Ein „sudden death“ der Finanzierung „brauner“ Assets kann nicht in deren Interesse liegen.

Die neuen MaRisk geben auf jeden Fall ein klares und explizites Signal an die Institute, sich angemessen mit dem Management von ESG-Risiken auseinanderzusetzen. Die zu erwartenden endgültigen Leitlinien der EBA zur Behandlung von ESG-Risiken unter Säule 2 sowie die neue CRD VI werden das Thema schon bald erneut auf die politische Agenda bringen. Zudem ist hinsichtlich des Themas Nachhaltigkeit bereits kurzfristig (ab 2024) mit stark zunehmenden Prüfungshandlungen bei bankgeschäftlichen Prüfungen zu rechnen. Darüber hinaus werden sich mit Inkrafttreten der MaRisk (zumindest bezüglich der zum 29.06.2023 bereits gültigen Teile) auch die Wirtschaftsprüfer zum ersten Mal vertieft dem Thema Nachhaltigkeit widmen. Schließlich dürfte auch das Thema Biodiversität, das in seinen potenziell negativen Auswirkungen durchaus mit Klimarisiken vergleichbar ist, ab 2025 unter bankaufsichtlicher Perspektive eine wesentlich stärkere Rolle spielen als bislang.^[7] Die Institute tun also gut daran, sich möglichst bald angemessen mit Nachhaltigkeitsrisiken auseinanderzusetzen.

PRAXISTIPPS

• Falls noch nicht erfolgt, muss das Institut sich umgehend mit potenziellen Auswirkungen von ESG-Faktoren auf die klassischen Risikoarten beschäftigen.
• ESG-Risiken müssen künftig zwingend in den Risikoinventurprozess einbezogen und die entsprechenden Überlegungen und Ergebnisse für sachkundige Dritte nachvollziehbar dokumentiert werden.
• Auch bei den Risikocontrolling- und steuerungspozessen sowie beim Stresstesting müssen ESG-Faktoren angemessen berücksichtigt werden.
• Die Inhalte des BaFin-Merkblatts sind künftig nicht mehr nur Orientierungspunkte, sondern führen die Bestimmungen der neuen MaRisk weiter aus.
• Biodiversitätsrisiken spielen hinsichtlich ihrer potenziellen Auswirkungen auf die Finanzstabilität eine mindestens genauso wichtige Rolle wie Klimarisiken, eine perspektivische Befassung mit Biodiversitätsrisiken im institutsinternen Risikomanagement ist daher unbedingt notwendig.