Wer im Asset-Management Verantwortung trägt – in der Geschäftsleitung, in der IT, im Risikomanagement oder in der Compliance – spürt seit Jahren den gleichen Trend: Wertschöpfung entsteht nicht mehr nur am Portfolio, sondern ebenso in Daten, Prozessen und Systemen. Order-Erfassung, Handelsanbindung, Bewertungsmodelle, NAV-Berechnung, regulatorische Meldungen, Anleger-Reporting, Risiko- und Limitkontrolle – all das läuft auf einer verteilten, oft ausgelagerten IT. Genau hier setzt KAIT an, die kapitalverwaltungsaufsichtlichen Anforderungen an die IT. Nach BAIT (für Banken) und VAIT (für Versicherer) schließt KAIT die Lücke im dritten großen Aufsichtsspektrum: Kapitalverwaltungsgesellschaften und ihre Investmentvermögen. Der Anspruch ist klar: ohne Umwege zu einem beherrschten, prüfbaren, resilienten IT-Betrieb – proportional zum Geschäftsmodell, aber konsequent in der Sache.

Warum KAIT – und warum jetzt?

Asset Manager sind längst datengetriebene Organisationen. Produktideen, Handelsstrategien und Vertriebsmodelle mögen den Marktauftritt bestimmen; die tatsächliche Lieferfähigkeit hängt an Order-Strecken, Marktdaten, Preisprozessen, Schnittstellen zur Verwahrstelle, Abwicklung, Meldewesen, Performance- und Risikoanalytik, regulatorischer Berichterstattung sowie – zunehmend – an ausgelagerten Software-as-a-Service-Komponenten. Jede Störung in dieser Kette schlägt unmittelbar auf NAV, Handel, Reporting, Anlegerkommunikation und aufsichtliche Pflichten durch. Vor diesem Hintergrund ist KAIT kein „IT-Rundschreiben“, sondern Betriebsanleitung für eine integrierte Steuerung der IT im KVG-Kosmos.

Wer MaRisk nur als Rundschreiben im Ablageordner sieht, spürt davon wenig außer Arbeitslast. Wer MaRisk als Betriebssystem für Steuerung und Verlässlichkeit versteht, erlebt etwas anderes: Entscheidungen werden klarer, Überraschungen seltener, und die Organisation reagiert schneller – ohne hektisch zu wirken. Dieser Fachartikel erzählt, wie das gelingt. Nicht mit Paragrafenakrobatik, sondern mit dem Blick auf den gelebten Alltag: Vorstandsrunden, Kreditentscheidungen, Risikoreports, Auslagerungen, IT-Veränderungen, Stresstests. MaRisk ist dabei weder Bremse noch Selbstzweck. Es ist die Logik hinter vernünftiger Banksteuerung, übersetzt in Rollen, Prozesse und Daten.

MaRisk in einem Satz: Proportional, risikoorientiert, wirksam

Der Charme der MaRisk liegt nicht im Umfang, sondern in drei konsequenten Ideen. Proportionalität: Der Rahmen passt sich der Größe und Komplexität eines Instituts an. Risikoorientierung: Wesentliches wird vertieft, Nebensächliches bleibt schlank. Wirksamkeit: Gefordert ist nicht Papier, sondern gelebte Steuerung. Wer diese Trias ernst nimmt, verschiebt die Diskussion vom „Haben wir eine Richtlinie?“ hin zu „Trifft uns dieses Risiko – und was tun wir dann?“.

Wer im Asset Management Verantwortung trägt, weiß es aus Erfahrung: Performance entsteht nicht nur im Portfolio, sondern im Betriebssystem der Organisation – in Governance, Prozessen, Daten, Kontrollen. Genau hier setzt KaMaRisk an, die Mindestanforderungen an das Risikomanagement für Kapitalverwaltungsgesellschaften. KaMaRisk ist kein weiteres Regelwerk „für die Schublade“, sondern die Bedienungsanleitung für ein geschäftsfähiges, prüfbares und belastbares Risikomanagement entlang der gesamten Wertschöpfungskette einer KVG: von der Produktidee bis zum Jahresbericht, vom Order-Management bis zur NAV-Freigabe, von der Auslagerungsteuerung bis zur Krisenkommunikation. Dieser Beitrag führt tief in die Praxis – ohne Umwege, ohne Schlagworte. Was KaMaRisk wirklich verlangt, wie Sie die Anforderungen proportional verankern und wo Prüfungen heute ansetzen.

Was KaMaRisk ist – und warum die Debatte ohne sie nicht zu gewinnen ist

KaMaRisk übersetzt die allgemeinen Governance- und Organisationspflichten für Kapitalverwaltungsgesellschaften in operable Erwartungen an Risikosteuerung und Kontrollarchitektur. Sie ergänzt – je nach Produktregime – die europäischen Rahmen (AIFMD/OGAW) um klare, in Deutschland gelebte Aufsichtspraxis: Rollen trennen, Risiken messen, Grenzen setzen, Abweichungen managen, Verantwortung nachweisen. Der Clou ist die Prinzipienorientierung: KaMaRisk schreibt nicht jede Schraube vor, sondern Ziele und Mindeststandards – die Ausgestaltung bleibt proportional zum Geschäftsmodell. Wer wenige, hochstandardisierte OGAW-Fonds mit starkem SaaS-Anteil betreibt, braucht einen anderen Zuschnitt als eine Service-KVG mit Spezial-AIFs, illiquiden Assets und langen Auslagerungsketten. Unverhandelbar bleibt: Wirksamkeit. Nicht das Dokument zählt, sondern die Fähigkeit, in Echtzeit zu steuern und im Nachhinein zu belegen, dass es geschehen ist.

Führungskräfte in Unternehmen und öffentlichen Einrichtungen werden zunehmend aufgefordert, sich Gedanken darüber zu machen, wie gut die IT gemanagt wird. Als Reaktion darauf müssen Business Cases zur Verbesserung entwickelt und die entsprechende Ebene der Verwaltung und Kontrolle über die Informationsinfrastruktur erreicht werden. Auch wenn nur wenige argumentieren würden, dass dies keine gute Sache ist, so müssen sie doch das Kosten-Nutzen-Verhältnis und diese damit verbundenen Fragen berücksichtigen:

• Was tun unsere Branchenkollegen, und wie werden wir in Beziehung zu ihnen gesetzt?
• Was ist eine akzeptable gute Praxis in der Industrie, und wie werden wir in Bezug auf diese Praktiken platziert?
• Kann man auf der Grundlage dieser Vergleiche sagen, dass wir genug tun?
• Wie können wir feststellen, was getan werden muss, um ein angemessenes Management- und Kontrollniveau für unsere IT-Prozesse zu erreichen?

Es kann schwierig sein, aussagekräftige Antworten auf diese Fragen zu geben. Das IT-Management ist ständig auf der Suche nach Benchmarking- und Selbstbewertungsinstrumenten, da es wissen muss, was effizient zu tun ist. Ausgehend von den COBIT-Prozessen sollte der Prozessverantwortliche in der Lage sein, inkrementelle Benchmarks anhand dieses Kontrollziels durchzuführen. Dies entspricht drei Bedürfnissen:

Die Einführung neuer, funktionsübergreifender Abläufe ist nie ein reines IT-Projekt. Sie ist ein Eingriff in die DNA der Organisation: in Verantwortlichkeiten, Gewohnheiten, Kommunikationswege, Messgrößen – und damit in Machtverhältnisse. Das gilt in besonderem Maße für ITIL, ob man damit nun ITIL v3/2011 (Service­lebenszyklus) oder dem bald kommenden ITIL 4 (Practices, Value Streams und die vier Dimensionen) meint. Auch wenn ITIL ursprünglich als Rahmenwerk für IT-Prozesse entstand, geht es in der Umsetzung immer um ein ganzheitliches Organisationsdesign. Wer das ignoriert, bekommt hübsche Prozessposter und teure Tools – aber kein besseres Serviceerlebnis für die Kundschaft, keine robusteren Betriebsabläufe und keine schnellere Veränderungsfähigkeit.

Dieser Text zeigt, wie man ITIL-Prozesse so konzipiert, einführt und weiterentwickelt, dass sie tatsächlich Wert stiften. Er greift typische Stolperfallen auf, vergleicht gängige Einführungsansätze (Single, Multi, Phase – und warum „Big Bang“ fast nie funktioniert), beschreibt zentrale Abhängigkeiten zwischen Practices, ordnet Toolfragen ein und übersetzt das Thema in Sprache, die im Vorstand gehört wird. Statt Checklisten liefert er Orientierung, Beispiele und Entscheidungslogik – damit Ihre Umsetzung nicht am Papier endet.