Fit & Proper: Die zehn größten Wissenslücken in Verwaltungs- und Aufsichtsräten und die Agenda 2027

Warum sind die Anfoderungen mehr als ein regulatorisches Pflichtprogramm?

Die Anforderungen an Verwaltungs- und Aufsichtsräte haben sich in den vergangenen Jahren grundlegend verändert. Was früher vielfach als ehrenamtliche Kontrollfunktion verstanden wurde, entwickelt sich zunehmend zu einer anspruchsvollen Governance-Aufgabe, mit der erhebliche fachliche und regulatorische Anforderungen gekoppelt sind.

Spätestens seit den Weiterentwicklungen des europäischen Fit-&-Proper-Regimes, den steigenden Anforderungen aus den MaRisk, der Einführung von DORA, den ESG-Anforderungen sowie den zunehmenden Erwartungen an die Überwachung von Cyber- resp. KI-Risiken ist klar: Die Aufsicht erwartet heute kompetente, aktive und kontinuierlich fortgebildete Gremienmitglieder. Die fachliche Eignung wird nicht mehr als einmalige Voraussetzung für die Bestellung betrachtet, sondern als Teil eines fortlaufenden Prozesses verstanden.

Viele Institute fokussieren sich oft auf die Frage, ob einzelne Verwaltungsratsmitglieder zu Beginn ausreichend qualifiziert sind. Die eigentliche Herausforderung liegt meist an anderer Stelle: Verfügt das Gremium insgesamt und fortlaufend über die Kompetenzen, die in einer sich ständig ändernden Welt für das Management der aktuellen und zukünftigen Herausforderungen erforderlich sind?

Welche gesetzlichen und regulatorischen Rahmenbedingungen müssen Gremienmitglieder heute zwingend erfüllen?

In welchen zehn Schlüsselbereichen weisen Verwaltungs- und Aufsichtsräte die gravierendsten Wissenslücken auf?

Die Grundlage solcher Anforderungen wird in § 25d KWG formuliert. Danach müssen Mitglieder von Verwaltungs- und Aufsichtsorganen zuverlässig sein, ausreichend Zeit für die Mandatsausübung aufbringen und über die zur Wahrnehmung ihrer Aufgaben erforderliche Sachkunde verfügen. Diese Sachkunde umfasst insbesondere die Fähigkeit,

• die Geschäftsleitung wirksam zu überwachen,
• die Geschäfte und Risiken des Instituts zu verstehen,
• wesentliche regulatorische Anforderungen einzuordnen,
• strategische Entwicklungen kritisch zu begleiten und zu hinterfragen sowie
• die Auswirkungen geschäftspolitischer Entscheidungen zu beurteilen.

Besonders interessant ist, was die Aufsicht nicht verlangt. Nicht jedes Mitglied muss Spezialist:in für Risikomodelle, Bilanzierung oder Aufsichtsrecht sein. Erwartet wird vielmehr die Fähigkeit, Zusammenhänge zu verstehen, kritische Fragen zu stellen und gegebenenfalls zusätzlichen Beratungsbedarf zu erkennen. Genau diese Fähigkeit entscheidet in der Praxis häufig über die Qualität der Verwaltungsratsarbeit.

Auch die MaRisk adressieren die Verantwortung des Verwaltungsrats unmittelbar. Der Verwaltungsrat hat nicht nur die Geschäftsleitung zu bestellen und zu überwachen. Er muss sich ebenfalls regelmäßig mit Risikostrategie, Risikotragfähigkeit, Kapitalplanung, Compliance-Risiken, Auslagerungen, Notfallmanagement sowie wesentlichen Prüfungsergebnissen auseinandersetzen.

Damit ein Verwaltungsrat diese Aufgaben tatsächlich wahrnehmen kann, sind entsprechende Fachkenntnisse unverzichtbar. Die MaRisk stellen somit indirekt sehr konkrete Anforderungen an die Kompetenzprofile der Gremienmitglieder.

Besonders deutlich wird dies im neuen Fit-&-Proper-Rundschreiben der BaFin^.[1] Hier werden die Erwartungen an die Eignungsprüfung von Geschäftsleiter:innen und Verwaltungsratsmitgliedern konkretisiert. Das Rundschreiben orientiert sich noch stärker an der Aufsichtspraxis der EZB. Nach dem Rundschreiben gewinnen insbesondere folgende Themen an Bedeutung:

• dokumentierte Eignungsrichtlinien,
• Diversitätsrichtlinien,
• strukturierte Onboarding-Prozesse,
• regelmäßige Weiterbildungsmaßnahmen,
• laufende Neubewertung der Eignung,
• Umgang mit Interessenkonflikten sowie
• Sicherstellung der kollektiven Eignung des Gesamtgremiums.

Bemerkenswert ist vor allem der Perspektivwechsel. Die Aufsicht betrachtet nicht mehr ausschließlich die Qualifikation einzelner Mitglieder. Im Fokus steht zunehmend die Einschätzung, ob das Gremium als Ganzes über alle erforderlichen Kompetenzen verfügt. Die zentrale Frage lautet daher nicht mehr „Erfüllt jedes Aufsichtsratsmitglied die Mindestanforderungen?“, sondern „Ist unser Gremium insgesamt in der Lage, die Bank der Zukunft wirksam zu begleiten und zu kontrollieren?“

Was sind die zehn größten Wissenslücken in Verwaltungs- und Aufsichtsräten?

1. Gesamtbanksteuerung bleibt für viele ein „Blackbox-Thema“

Die meisten Verwaltungsratsmitglieder erhalten regelmäßig Berichte zu Risikotragfähigkeit, ICAAP, ILAAP, Kapitalplanung und Stresstests. In vielen Sitzungen zeigt sich allerdings, dass die Interpretation dieser Berichte häufig auf wenige Kennzahlen reduziert wird. Die eigentliche Frage, welche Steuerungsimpulse sich daraus ergeben und welche Zusammenhänge zwischen Ertragslage, Risikotragfähigkeit und Kapitalplanung bestehen, wird oftmals zu wenig diskutiert.^[2]

2. Regulatorik wird häufig an Expert:innen delegiert

CRR III, CRD VI, DORA, ESG-Leitlinien, SREP-Anforderungen und neue Fit-&-Proper-Regelungen sind mit einer enormen Komplexität verbunden. Viele Gremien verlassen sich vollständig auf Vorstands- oder Compliance-Berichte. Damit geht jedoch das Risiko einher, regulatorische Entwicklungen lediglich zur Kenntnis zu nehmen, statt deren Auswirkungen auf Strategie, Risikoprofil und Geschäftsmodell kritisch zu hinterfragen. Gerade die aktuell laufende Überarbeitung der europäischen Suitability-Regeln zeigt, dass die Aufsicht zukünftig noch stärker auf kollektive Eignung, Diversität, kontinuierliche Weiterbildung und die Vermeidung von „Groupthink“ achten wird.

3. Kreditrisiken werden oftmals zu operativ betrachtet

Kreditrisiken gehören weiterhin zu den zentralen Risikoarten von Banken und Sparkassen. Während sich Verwaltungsräte häufig intensiv mit Einzelkrediten beschäftigen, fehlt nicht selten der Blick auf Portfolioeffekte, Konzentrationsrisiken, Branchencluster oder strukturelle Veränderungen im Kreditportfolio. Die Herausforderung der kommenden Jahre wird darin bestehen, Kreditrisiken stärker mit makroökonomischen Entwicklungen, ESG-Faktoren und Transformationsrisiken zu verknüpfen. Gerade in wirtschaftlich unsicheren Zeiten muss ein Aufsichtsgremium verstehen, welche Risiken im Kreditportfolio entstehen und wie sich diese auf das Ergebnis und das Eigenkapital auswirken.

4. Risikokultur wird unterschätzt

Nahezu jede Bank verfügt heute über umfangreiche Risikoreports. Deutlich schwieriger ist jedoch die Beantwortung der Frage: „Welche Risikokultur herrscht eigentlich in unserem Institut?“ Die MaRisk betonen seit Jahren die Bedeutung einer angemessenen Risikokultur. Dennoch wird dieses Thema in Verwaltungsräten häufig wesentlich seltener diskutiert als einzelne Risikokennzahlen. Viele Krisen entstehen jedoch nicht aufgrund fehlender Kennzahlen, sondern aufgrund fehlender kritischer Diskussionen.

5. Cyberrisiken sind zum Governance-Thema geworden

Mit DORA hat sich die Rolle des Verwaltungsrats grundlegend verändert. Cyberresilienz ist nicht länger ein IT-Thema. Vielmehr erwartet die Aufsicht, dass Verwaltungs- und Aufsichtsräte die wesentlichen Risiken verstehen, die Wirksamkeit der Schutzmaßnahmen beurteilen und regelmäßige Berichterstattung einfordern. In Gesprächen mit Verwaltungsräten zeigt sich jedoch häufig, dass die Diskussion noch stark technisch geprägt ist.

Die wirklich relevante Frage lautet dagegen: „Welche Auswirkungen hätte ein Cybervorfall auf Geschäftsmodell, Reputation, Liquidität und Kundengeschäft?“

6. KI wird diskutiert, aber selten verstanden

Künstliche Intelligenz hat innerhalb kürzester Zeit den Weg auf nahezu jede Verwaltungsratsagenda gefunden. Allerdings konzentrieren sich viele Diskussionen derzeit auf einzelne Anwendungen oder Investitionen. Die eigentlichen Governance-Fragen werden häufig noch nicht gestellt:

• Wer trägt Verantwortung für KI-Entscheidungen?
• Wie wird die Modellqualität überwacht?
• Welche regulatorischen Anforderungen entstehen durch den AI Act?
• Welche Risiken ergeben sich für Reputation und Haftung?

Solche Fragen werden Verwaltungsräte in den kommenden Jahren verstärkt beschäftigen.

7. ESG ist kein Nachhaltigkeitsprojekt mehr

Viele Institute behandeln ESG weiterhin primär als Berichts- oder Nachhaltigkeitsthema. Tatsächlich betrifft ESG mittlerweile nahezu sämtliche Kernbereiche der Banksteuerung:

• Kreditgeschäft,
• Risikomanagement,
• Kapitalplanung,
• Strategie,
• Reporting und
• Governance.

Verwaltungsräte müssen unbedingt verstehen, welche finanziellen Auswirkungen sich aus Nachhaltigkeitsrisiken ergeben können.

8. Ausschüsse werden professioneller – die Anforderungen steigen

Prüfungsausschüsse, Risikoausschüsse und Nominierungsausschüsse übernehmen immer mehr Verantwortung. Gleichzeitig steigen die Anforderungen an die fachliche Besetzung dieser Gremien deutlich. Das aktuelle Fit-&-Proper-Regime hebt die Bedeutung strukturierter Ausschussarbeit ausdrücklich hervor. In der Praxis stellt sich daher immer öfter die Frage, ob traditionelle Kompetenzprofile noch ausreichend sind.

9. Die strategische Rolle wird oft unterschätzt

Historisch standen Überwachungsaufgaben im Vordergrund. Heute erwarten Aufsicht und Eigentümer zunehmend, dass Verwaltungsräte strategische Entwicklungen aktiv begleiten. Dazu gehören beispielsweise:

• Digitalisierung,
• Plattformökonomie,
• Open Finance,
• verändertes Kundenverhalten,
• Konsolidierung im Bankensektor,
• neue Wettbewerber sowie
• KI-basierte Geschäftsmodelle.

Viele Gremien diskutieren oftmals lieber über die Vergangenheit als über die Zukunft.

10. Die Kunst der richtigen Frage

Die stärksten Verwaltungsräte zeichnen sich selten durch überragendes Detailwissen aus. Ihr Erfolgsfaktor liegt oftmals in der Fähigkeit,

• Unstimmigkeiten zu erkennen,
• blinde Flecken zu identifizieren,
• Annahmen zu hinterfragen und
• kritische Diskussionen anzustoßen.

Gerade diese Kompetenzen werden in Fit-&-Proper-Bewertungen zunehmend wichtiger.

Die Agenda 2027: Auf welche sechs zentralen Themenfelder müssen sich Verwaltungsräte jetzt vorbereiten?

Die nächsten Jahre werden die Verwaltungsratsarbeit nachhaltig verändern. Auf Basis aktueller regulatorischer Entwicklungen zeichnen sich sechs Themenfelder ab, die künftig nahezu jede Agenda dominieren werden.

1. KI-Governance: Der Fokus verschiebt sich von der Frage nach Einsatzmöglichkeiten hin zur Frage nach Steuerung, Überwachung und Verantwortlichkeiten.
2. Cyberresilienz: DORA macht Cyberrisiken, Resilienztests und Notfallfähigkeit zu dauerhaften Aufsichtsthemen.
3. Strategische Transformation: Kostenstrukturen, Filialnetze, digitale Vertriebskanäle und neue Wettbewerber erhöhen den Anpassungsdruck.
4. Nachhaltigkeitsrisiken: ESG wird endgültig Teil der Gesamtbanksteuerung und damit Pflichtprogramm für jedes Verwaltungsratsmitglied.
5. Kollektive Eignung: Die Aufsicht richtet ihren Blick verstärkt auf die Frage, ob das Gremium insgesamt alle relevanten Kompetenzen abdeckt. Diversität, unterschiedliche Perspektiven und Vermeidung von „Groupthink“ gewinnen an Bedeutung.
6. Lebenslanges Lernen: Die größte Veränderung betrifft möglicherweise das Rollenverständnis selbst: Weiterbildung wird zum festen Bestandteil einer ordnungsgemäßen Mandatsausübung. Die Aufsicht erwartet zunehmend nachvollziehbare Schulungs- und Entwicklungsprogramme für Verwaltungs- und Aufsichtsräte.

Welches Fazit lässt sich für die zukünftige Aufsichtsratspraxis ziehen?

Die Diskussion über Fit & Proper wird häufig auf regulatorische Mindestanforderungen reduziert. Tatsächlich geht es um weit mehr. Verwaltungs- und Aufsichtsräte stehen vor der Herausforderung, Institute durch eine Zeit tiefgreifender technologischer, regulatorischer und strategischer Veränderungen zu begleiten.

Die eigentliche Frage lautet daher nicht, ob ein Gremium die Anforderungen des § 25d KWG erfüllt. Entscheidend ist vielmehr, ob es die Kompetenz besitzt, die relevanten Zukunftsfragen zu stellen: Wie verändern KI, Cyberrisiken, Nachhaltigkeit und Regulierung unser Geschäftsmodell? Welche Risiken entstehen daraus? Und welche strategischen Antworten braucht das Institut? Die Qualität der Antworten auf diese Fragen wird maßgeblich darüber entscheiden, ob Verwaltungsräte ihrer Rolle als wirksames Kontroll- und Beratungsorgan auch in Zukunft gerecht werden.

zeb.business school

Die zeb.business school unterstützt Verwaltungs- und Aufsichtsräte mit maßgeschneiderten Qualifizierungsprogrammen, regulatorischen Updates und praxisorientierten Workshops.
Gemeinsam schließen wir Wissenslücken und stärken die Zukunftsfähigkeit Ihres Gremiums.