Neue EBA-Leitlinien: Erweiterte Anforderungen an die interne Governance

Mit dem im August 2025 veröffentlichten Konsultationsentwurf zu den EBA-Leitlinien zur internen Governance konkretisiert die Aufsicht ihre Erwartungen an Führungsstrukturen, Kontrollfunktionen und Risikokultur. Die Anpassungen spiegeln im Wesentlichen die aktuellen regulatorischen Anforderungen der Capital Requirements Directive (CRD) VI und dem Digital Operational Resilience Act (DORA) wider.

Die Veröffentlichung der EBA-Leitlinien zur Internen Governance soll in 2026 mit einer Umsetzungsfrist von lediglich sechs Monaten erfolgen.

Die Leitlinien gelten für alle EZB-beaufsichtigen Institute. Bedeutende Institute (Significant Institutions, SI) müssen die Anforderungen unmittelbar und vollständig umsetzen. Weniger bedeutende Institute (Less Significant Institutions, LSI) setzen sie in Deutschland über die Mindestanforderungen an das Risikomanagement (MaRisk) um – unter Berücksichtigung von Größe, Geschäftsmodell und Komplexität.

Unklare Zuständigkeiten, formale Kontrollfunktionen ohne echte Unabhängigkeit oder fehlende Transparenz in Entscheidungswegen zeigen Schwächen in der Governance und gelten zunehmend als Indikator für erhöhte Compliance-Risiken. Institute sollten die Leitlinien daher nicht isoliert betrachten, sondern ihre Governance-Strukturen insgesamt hinterfragen und gegebenenfalls weiterentwickeln.

Ein Schwerpunkt der Leitlinien liegt auf der Rolle des Leitungsorgans. Verantwortlichkeiten sollen klarer definiert und transparent dokumentiert werden – auch gegenüber der Aufsicht.

Konkret erwartet die EBA:

Die Anforderungen an Zweigniederlassungen außerhalb der Europäischen Union werden deutlich verschärft. Ziel ist es, sogenannte „Empty-Shell“-Strukturen zu vermeiden – also Niederlassungen ohne echte Steuerungs- und Entscheidungsbefugnisse.

Konkret erwartet die EBA:

Für international tätige Institute bedeutet dies einen spürbaren Perspektivwechsel. Die Governance in Drittstaatenzweigstellen lässt sich nicht mehr ausschließlich zentral steuern, sondern muss lokal tragfähig ausgestaltet sein. Bestehende Strukturen sollten daher kritisch überprüft werden.

Die Aufsicht präzisiert ihre Erwartungen an Compliance-, Risikomanagement- und Revisionsfunktionen deutlich. Ziel ist es, Interessenkonflikte konsequent zu vermeiden und sicherzustellen, dass Kontrollfunktionen ihre Aufgaben unabhängig, wirksam und mit ausreichendem Gewicht im Institut wahrnehmen können.

Dies umfasst unter anderem:

Insbesondere bei historisch gewachsenen Strukturen oder bei der Zusammenlegung von Kontrollfunktionen müssen die Institute prüfen, ob die Unabhängigkeit auch faktisch gewährleistet ist. Eine klare organisatorische Verankerung, transparente Vergütungsmechanismen und direkte Berichtswege an das Leitungsorgan werden zunehmend zu entscheidenden Faktoren für die aufsichtliche Beurteilung.

Umwelt-, Sozial- und Governance (ESG)-Aspekte rücken stärker in den Fokus der aufsichtlichen Erwartungen. Die EBA verdeutlicht, dass ESG-Risiken nicht isoliert betrachtet werden dürfen, sondern fester Bestandteil der strategischen Steuerung, des Risikomanagements und der Governance-Strukturen von Instituten sein müssen.

Die Mitglieder des Vergütungsausschusses müssen daher über angemessene Kenntnisse, Fähigkeiten und Erfahrungen verfügen, um die Auswirkungen von ESG-Faktoren auf die Vergütungsanreize und Risikobereitschaft des Instituts beurteilen zu können. Dabei ist auch die Bewertung des Risikoausschusses zu berücksichtigen.

ESG-Aspekte müssen somit stärker als bislang in bestehende Steuerungs- und Vergütungssysteme eingebunden werden. Zudem rücken die Entwicklung von Überwachungs- und Steuerungskonzepten sowie die Verankerung quantifizierbarer ESG-Ziele in der Geschäftsstrategie in den Fokus.

Entscheidend ist, dass ESG-Risiken konsistent in das kurz- und langfristige Risikomanagement integriert werden.

Digitale Abhängigkeiten gehören inzwischen zu den zentralen Risikotreibern im Finanzsektor. Entsprechend rückt die Aufsicht das Management von Informations- und Kommunikationstechnologie-Risiken (IKT) sowie die Sicherstellung der operativen Widerstandsfähigkeit stärker in den Fokus der Governance.

Die Anforderungen aus dem Digital Operational Resilience Act (DORA) sind zu integrieren.

Dies umfasst unter anderem:

Die geänderten EBA-Leitlinien zur internen Governance markieren einen weiteren Schritt hin zu klaren, transparenten und besser überprüfbaren Governance-Strukturen im Finanzsektor und sollten von Instituten im Kontext der weiteren regulatorischen Schwerpunkte für 2026 frühzeitig berücksichtigt werden.