EBA Ongoing Compliance

Kreditinstitute müssen alle für sie relevanten EBA-Leitlinien (Guidelines), technischen Regulierungsstandards (RTS) und Durchführungsstandards (ITS) laufend überwachen. Zu den wichtigsten gehören die Governance-Leitlinien (EBA/GL/2021/05), die Outsourcing-Guidelines, die ESG-Risiko-Leitlinien (ab Januar 2026 für große Institute verpflichtend), die Leitlinien zur Kreditvergabe und -überwachung sowie DORA-bezogene IKT-Standards. Die EBA veröffentlicht jährlich über 30 neue oder aktualisierte regulatorische Dokumente, die auf Relevanz geprüft und bei Bedarf umgesetzt werden müssen.

Ein Regulatory Change Management für EBA-Anforderungen umfasst vier Stufen: (1) Monitoring, systematische Erfassung neuer EBA-Konsultationen, Leitlinien und Standards über offizielle EBA-Kanäle und Branchen-Tracker. (2) Relevanzprüfung, Bewertung, welche neuen Anforderungen das Institut betreffen, basierend auf Geschäftsmodell und Proportionalitätsprinzip. (3) Gap-Analyse, Vergleich der neuen Anforderungen mit dem Ist-Zustand und Identifikation von Handlungsbedarf. (4) Umsetzungsplanung, Erstellung eines Maßnahmenplans mit Fristen, Verantwortlichkeiten und Ressourcen. Institute, die diesen Prozess proaktiv ab der Konsultationsphase starten, reduzieren den Umsetzungsaufwand bei Inkrafttreten erheblich.

Im SREP (Supervisory Review and Evaluation Process) prüft die Aufsicht unter anderem die Einhaltung relevanter EBA-Leitlinien und -Standards. Kernbereiche sind: die Umsetzung der Governance-Leitlinien (EBA/GL/2021/05), das interne Kapitaladäquanzverfahren (ICAAP) und Liquiditätsadäquanzverfahren (ILAAP), die Einhaltung der Outsourcing-Guidelines, die Umsetzung von Mängelfeststellungen aus früheren Prüfungen sowie die Anpassung an neue regulatorische Anforderungen. Eine strukturierte Ongoing Compliance stellt sicher, dass alle Prüfungsfelder dokumentiert und aktuell sind.

EBA-Leitlinien durchlaufen typischerweise folgenden Zeitrahmen: Konsultationsphase (3 Monate), Auswertung und Finalisierung (3 bis 12 Monate), Veröffentlichung mit Umsetzungsfrist (meist 6 bis 12 Monate nach Veröffentlichung). Konkrete aktuelle Fristen: ESG-Risiko-Leitlinien, Januar 2026 für große Institute, Januar 2027 für kleinere. Überarbeitete Governance-Leitlinien (CRD VI-Anpassung), voraussichtlich 2027. CRR III / CRD VI-Paket, gestaffelte Umsetzung ab Januar 2025. Die BaFin veröffentlicht Comply-or-Explain-Stellungnahmen zu jeder EBA-Leitlinie.

Die initiale Implementierung einer EBA-Leitlinie ist ein einmaliges Projekt mit definiertem Scope und Deadline. EBA Ongoing Compliance dagegen ist ein kontinuierlicher Prozess, der sicherstellt, dass (1) bestehende Umsetzungen aktuell bleiben und nicht durch organisatorische Änderungen erodieren, (2) neue oder aktualisierte EBA-Anforderungen rechtzeitig erkannt und umgesetzt werden, (3) die Wirksamkeit der Compliance-Maßnahmen regelmäßig überprüft wird und (4) die Dokumentation prüfungsbereit gehalten wird. Ohne Ongoing Compliance veralten initiale Implementierungen innerhalb von 12 bis 18 Monaten.

Die EBA ist maßgeblich an der Ausgestaltung von DORA (Digital Operational Resilience Act) und ESG-Regulierung beteiligt. Im DORA-Bereich entwickelt die EBA zusammen mit den anderen ESAs technische Regulierungsstandards für IKT-Risikomanagement, Incident Reporting und das Informationsregister für IKT-Drittanbieter. Im ESG-Bereich hat die EBA Leitlinien zum Management von ESG-Risiken veröffentlicht, die ab Januar 2026 für große Institute gelten. Beide Bereiche erfordern laufendes Monitoring, da die EBA kontinuierlich neue Konkretisierungen, Q&As und Umsetzungshilfen veröffentlicht.

EBA Compliance-Monitoring lässt sich in mehreren Bereichen automatisieren: (1) Regulatorisches Monitoring, automatische Erfassung neuer EBA-Publikationen über RSS-Feeds und API-Schnittstellen der EBA-Website. (2) Gap-Tracking, spezialisierte Legal Change Management Tools filtern relevante Änderungen nach Institut. (3) Kontrolltests, automatisierte Stichproben und Schwellenwertprüfungen im IKS. (4) Reporting, automatische Generierung von Compliance-Dashboards mit Status pro Leitlinie. Die Automatisierung reduziert den manuellen Aufwand für das Compliance-Team und erhöht die Reaktionsgeschwindigkeit bei regulatorischen Änderungen.