Einleitung

Die Aufsichtsprioritäten des SSM spiegeln die mittelfristige Strategie der EZB-Bankenaufsicht für die nächsten drei Jahre wider. Sie werden vom Aufsichtsgremium festgelegt und jährlich überprüft. Sie beruhen auf einer umfassenden Bewertung der wichtigsten Risiken und Schwachstellen der beaufsichtigten Institute. Auch die Ergebnisse des aufsichtlichen Überprüfungs- und Bewertungsprozesses (Supervisory Review and Evaluation Process – SREP)^[1] und die Fortschritte in Bezug auf die Prioritäten aus den Vorjahren werden berücksichtigt. Außerdem helfen sie dabei, die verfügbaren Aufsichtsressourcen effizient einzusetzen, und sie können flexibel angepasst werden, wenn es aufgrund von Veränderungen in der Risikolandschaft angebracht ist.

Die beaufsichtigten Institute haben die makrofinanziellen und geopolitischen Schocks der letzten Jahre gut gemeistert. Dank robuster Fundamentaldaten – wie solider Eigenkapitalpositionen und Liquiditätspuffer oder niedrigerer Bestände an notleidenden Krediten (Non-performing Loans – NPL) – konnten die Banken die Herausforderungen bewältigen, die mit der Corona-Pandemie und den damit verbundenen Lieferkettenstörungen, dem Krieg Russlands in der Ukraine und dem anschließenden Energieangebotsschock sowie mit den jüngsten Bankenausfällen in den USA und der Schweiz einhergingen. Dass der Bankensektor einem schweren Konjunkturabschwung standhalten könnte, haben auch die Ergebnisse des diesjährigen EU-weiten Stresstests bestätigt.^[2]

Dem europäischen Bankensektor stehen einige Herausforderungen bevor, die von den Aufsichtsbehörden und Banken besonders wachsam beobachtet werden müssen. Während der rasche Zinsanstieg die Ertragslage der Banken bislang verbessert hat, dürfte das höhere Zinsniveau mittelfristig dazu führen, dass die Volatilität einiger Refinanzierungsquellen sowie die Refinanzierungskosten der Banken steigen, und zwar gerade dann, wenn ein beträchtlicher Teil der Zentralbankrefinanzierung ersetzt werden soll. Zudem könnte sich die Qualität der Bankaktiva wieder verschlechtern, wenn geopolitische Risiken eintreten oder eine hohe Inflation in Verbindung mit restriktiveren Finanzierungsbedingungen die Schuldendienstfähigkeit der privaten Haushalte und nichtfinanziellen Kapitalgesellschaften beeinträchtigt. Höhere Risikoprämien können eine weitere Neubewertung von Finanzaktiva nach sich ziehen und zeitweise zu hoher Volatilität an den Finanzmärkten führen. Vor diesem Hintergrund ist es von entscheidender Bedeutung, dass die Banken ihre Rahmen für das Kreditrisikomanagement und für das Aktiv-Passiv-Management (Asset Liability Management – ALM) beibehalten und weiter optimieren. Bei Letzterem sollten sie zudem sicherstellen, dass sowohl Liquiditäts- und Finanzierungsrisiken als auch Zinsänderungsrisiken im Anlagebuch (Interest Rate Risk in the Banking Book – IRRBB) abgedeckt sind.

Der Ausfall einer Reihe mittelgroßer US-Banken und die Übernahme einer Schweizer Bank zeigen einmal mehr, dass Banken eine solide interne Governance und wirksame Risikokontrollen benötigen, um den dynamischen Veränderungen der Risikolandschaft standhalten zu können. Die Bankenausfälle haben uns außerdem vor Augen geführt, wie wichtig eine zeitnahe und wirksame Reaktion der Aufsicht sowie gegebenenfalls eine Eskalation ist, wenn die Praktiken der Banken unangemessen erscheinen und Korrekturen auf sich warten lassen. Vor diesem Hintergrund wird die EZB-Bankenaufsicht schrittweise die geeigneten Eskalationsmechanismen und -instrumente anwenden, um sicherzustellen, dass die Banken die unter die Aufsichtsprioritäten fallenden Schwachstellen zügig und abschließend beseitigen. Dies gilt insbesondere für die Governance: Trotz langjähriger Zusammenarbeit mit den Aufsichtsbehörden haben einige Banken erhebliche Mängel nicht angemessen behoben, beispielsweise im Zusammenhang mit der Funktionsweise und dem Lenkungsvermögen der Leitungsorgane oder den Kapazitäten für die Aggregation von Risikodaten und die Risikoberichterstattung (Risk Data Aggregation and Reporting – RDAR). Außerdem müssen die Banken sicherstellen, dass ihre Praktiken mit dem soliden Management von Klima- und Umweltrisiken vollständig in Einklang stehen. Hierfür läuft die Frist bis Ende 2024. Gleichzeitig hat die EZB-Bankenaufsicht Zwischenfristen festgelegt, bis zu denen Banken bestimmte Anforderungen erfüllen müssen.

Die digitale Transformation ist für viele Banken im Ringen um Wettbewerbsfähigkeit zu einem Schwerpunkt geworden. Diese Banken brauchen daher angemessene Sicherheitsvorkehrungen, um die Risiken zu begrenzen, die mit neuen Geschäftspraktiken und -technologien möglicherweise einhergehen. Prüfungen der Bankenaufsicht haben offenbart, dass einige Banken bei der digitalen Transformation bereits gute Fortschritte erzielt haben. Andere haben nicht die erforderlichen Ressourcen eingesetzt, um ihre Ziele zu erreichen. Zunehmende Cyberbedrohungen, die durch die aktuellen geopolitischen Spannungen verstärkt werden, und die zunehmende Abhängigkeit von externen Dienstleistern, verdeutlichen außerdem, dass Banken auch bei schwerwiegenden operativen Störungen widerstandsfähig bleiben und die Kontinuität ihrer kritischen Dienstleistungen gewährleisten müssen. Vor diesem Hintergrund und neben den aufsichtlichen Aktivitäten, die im Rahmen dieser Prioritäten eingeleitet werden, werden die Banken in den kommenden Monaten aufgefordert nachzuweisen, dass sie für solche negativen Ereignisse gewappnet sind und sich davon erholen können.

Die Risikolandschaft hat sich seit letztem Jahr zwar weiter verändert, die Aufsichtsprioritäten und die entsprechenden Aktivitäten aus dem Jahr 2022 haben jedoch weiterhin Bestand. Sie zielen nach wie vor auf die größten Schwachstellen im Bankensektor ab. Wenngleich für eine Planung über einen Zeitraum von drei Jahren eine gewisse Stabilität erforderlich ist, sind vereinzelte Anpassungen nötig, um auf die zuvor genannten Risiken einzugehen.

Vor dem Hintergrund der Aufsichtsprioritäten des SSM für 2024-2026 werden die beaufsichtigten Institute in erster Linie aufgefordert, ihre Widerstandsfähigkeit gegen unmittelbare makrofinanzielle und geopolitische Schocks zu stärken (Priorität 1), die effektive Beseitigung von Mängeln in der Governance und beim Management von Klima- und Umweltrisiken zu beschleunigen (Priorität 2) und weitere Fortschritte bei der digitalen Transformation und Erstellung robuster Rahmenwerke für die operative Widerstandsfähigkeit zu machen (Priorität 3). In Abbildung 1 sind sieben wesentliche Schwachstellen bei Banken angeführt, die drei übergeordneten Prioritäten zugeordnet werden können.

Bei der strategischen Planung der EZB-Bankenaufsicht geht es vor allem darum, eine solide Strategie für die kommenden drei Jahre zu erstellen. Die Aufsichtsprioritäten erhöhen die Wirksamkeit und Konsistenz der Aufsichtsplanung der gemeinsamen Aufsichtsteams (Joint Supervisory Team – JST). Sie ermöglichen eine effizientere Ressourcenzuweisung im Einklang mit der Festlegung der entsprechenden Risikotoleranzschwellen. Außerdem können sich die nationalen Aufsichtsbehörden an ihnen orientieren, wenn sie ihre eigenen Prioritäten für die Aufsicht über weniger bedeutender Institute festlegen. Eine transparente Kommunikation der Prioritäten schafft Klarheit über die Erwartungen der Aufsicht an die Banken. Sie erhöht die Wirkung der Aufsichtstätigkeit, wenn es darum geht, die Resilienz des Bankensektors weiter zu stärken, und trägt dazu bei, einheitliche Rahmenbedingungen zu gewährleisten.

In den folgenden Abschnitten werden die Ergebnisse der Identifizierung und Bewertung von Risiken im Jahr 2023 sowie die Aufsichtsprioritäten und die zugrunde liegenden Arbeitsprogramme für 2024-2026 näher erläutert. Weitere regelmäßige und anlassbezogene Aktivitäten der Aufseherinnen und Aufseher erfolgen im Rahmen ihres ständigen Austauschs mit den Banken und ergänzen die Arbeit an den Prioritäten.

Risikobeurteilung und Aufsichtsprioritäten 2024-2026

Geschäftsumfeld der beaufsichtigten Institute

Der europäische Bankensektor hat gezeigt, dass er gut gegen externe Schocks gewappnet ist: Als im März dieses Jahres Spannungen im US-amerikanischen und im Schweizer Bankensektor auftraten, kam es nur begrenzt und vorübergehend zu Ansteckungseffekten. Die europäischen Banken zeigten sich robust im Hinblick auf Kapital, Liquidität sowie Aktivaqualität. Sowohl ihre Refinanzierungsquellen als auch ihre Kundenbasis sind gut diversifiziert. Ihre Rentabilität, die jahrelang Anlass zur Sorge gab, hat sich unlängst in einem Umfeld höherer Zinsen stark erholt und ist so hoch wie seit über zehn Jahren nicht mehr. Die erhöhte Widerstandsfähigkeit des Bankensektors – die auch durch die Stärkung des europäischen Regulierungs- und Aufsichtsrahmens erreicht wurde – kann jedoch in Zukunft erneut auf die Probe gestellt werden, und es besteht kein Anlass, mit dem Erreichten zufrieden zu sein.

Die Wachstumsaussichten für den Euroraum sind nach wie vor mit hoher Unsicherheit behaftet. Gründe sind die verschärften Finanzierungsbedingungen, erhöhte geopolitische Spannungen und Aufwärtsrisiken bei den Energie- und Nahrungsmittelpreisen.^[3] Dieses schwierige Umfeld steht weiterhin unter dem Einfluss von Inflationsdruck, und es wird erwartet, dass es auf kurze Sicht im Euroraum bei einem schwachen Wachstum bleiben wird. Während die Schwäche im verarbeitenden Gewerbe anhält, wird nun auch im Dienstleistungssektor – bislang die Haupttriebfeder des Wirtschaftswachstums – damit gerechnet, dass die Aktivität nachlässt. Denn die Effekte, die durch das Wiederhochfahren der Wirtschaft nach der Pandemie zu spüren waren, lassen nach. Gleichzeitig blieben die restriktiven Finanzierungsbedingungen und die erhöhte Unsicherheit der Verbraucher deutlich spürbar. Der Arbeitsmarkt im Euroraum hat sich bislang widerstandsfähig gezeigt. Die Nachfrage nach Arbeitskräften könnte sich jedoch verlangsamen, sollte die Konjunktur länger stagnieren.^[4] Die Kreditangebotsbedingungen sind seit Dezember 2022 deutlich restriktiver geworden. Zudem hat sich die Kreditdynamik verlangsamt, da die rasche Straffung der Geldpolitik zunehmend auf die Realwirtschaft durchschlägt.^[5]

Die Gesamtinflation im Euroraum wird den Projektionen zufolge auf mittlere Sicht weiter sinken, während die Kerninflation in kleineren Schritten zurückgehen dürfte.^[6] Wenn die Geldpolitik weiter gestrafft werden muss oder die Zinsen in einem Szenario anhaltend hoher Inflation länger auf einem höheren Niveau bleiben, könnten sich die Wachstumsaussichten eintrüben. Dies könnte die Qualität der Bankaktiva beeinträchtigen. Insgesamt erscheint die Finanzlage der privaten Haushalte und Unternehmen zwar solide, es mehren sich aber die Bedenken hinsichtlich der Schuldendienstfähigkeit von Kreditnehmern, insbesondere bei Immobilienkrediten. Neben einer Verschlechterung der Aktivaqualität der Banken im Falle eines konjunkturellen Abschwungs stellen Sondereffekte wie die Bankenabgabe in einigen Ländern ein gesondertes Abwärtsrisiko für die Ertragslage der Banken dar.

Eine Mischung aus erhöhten geopolitischen Spannungen, länger anhaltenden hohen Zinsen und einer möglichen Konjunkturabschwächung im Euroraum könnte zu erneuten Turbulenzen an den Finanzmärkten führen. Die Turbulenzen im US-amerikanischen und im Schweizer Bankensektor Anfang März, die zu einer rapide sinkenden Risikobereitschaft der US-Banken führte, griffen nur teilweise und vorübergehend auf den europäischen Bankensektor über. Der Euroraum wurde davon nur mäßig und kurzzeitig erfasst: Die Volatilität an den Märkten ließ wieder nach, die Aktienkurse im Euroraum erholten sich kurz nach dem Schock – insbesondere im Bankensektor – und die Renditeabstände der Unternehmensanleihen verringerten sich wieder. Eine plötzliche Eintrübung der Wirtschaftsaussichten könnte jedoch erneut Phasen erhöhter Volatilität und abrupter Vermögenspreiskorrekturen nach sich ziehen und zu einer weiteren Verschärfung der Finanzierungsbedingungen führen.

Aufsichtsprioritäten für die Jahre 2024-2026

Die Aufsichtsprioritäten sind das Ergebnis einer ganzheitlichen Bewertung der wichtigsten Risiken und Schwachstellen der Banken. Die drei übergeordneten Prioritäten für die nächsten drei Jahre legen den Schwerpunkt sowohl auf die kurzfristigen Risiken für den Bankensektor (Priorität 1) als auch auf die Notwendigkeit, eher strukturelle mittelfristige Herausforderungen anzugehen (Prioritäten 2 und 3). Jede Priorität zielt auf eine Reihe von Schwachstellen im Bankensektor ab, die auch „prioritäre Schwachstellen“ genannt werden. Für sie wurden spezielle strategische Ziele festgelegt und Arbeitsprogramme ausgearbeitet, um die zugrunde liegenden Risiken zu mindern. Die Arbeitsprogramme sind so gestaltet, dass sie den Wechselwirkungen zwischen den Risiken Rechnung tragen, und zielen darauf ab, sowohl die Effizienz als auch die Effektivität der Zusammenarbeit zwischen Aufsichtsbehörden und Banken zu stärken.

Priorität 1: Stärkung der Widerstandsfähigkeit gegen unmittelbare makrofinanzielle und geopolitische Schocks

Der Ausblick für den europäischen Bankensektor ist nach wie vor durch das unsichere makrofinanzielle Umfeld in Verbindung mit anhaltenden geopolitischen Spannungen sowie das Risiko erneuter finanzieller Stressphasen geprägt. Die beaufsichtigten Institute müssen umsichtig handeln. Sie müssen widerstandsfähige Geschäftsstrategien entwickeln und verfolgen, um dem schnellen Wandel des makrofinanziellen und geopolitischen Umfelds standhalten zu können. Vor diesem Hintergrund ist es das vorrangige Ziel der EZB-Bankenaufsicht, dafür zu sorgen, dass die direkt von ihr beaufsichtigten Banken ihre Widerstandsfähigkeit gegen unmittelbare makrofinanzielle und geopolitische Schocks stärken. Zwar sind die steigenden Zinsen bislang der Ertragslage zugutegekommen, die Banken müssen jedoch darauf vorbereitet sein, dass die Refinanzierungsquellen volatiler werden, die Refinanzierungskosten steigen, die Aktivaqualität abnimmt und dass es kurz- und mittelfristig an den Finanzmärkten zu einer Neubewertung von Risiken kommt. Folglich müssen die Banken ihre Rahmen für das Kreditrisikomanagement und für das Aktiv-Passiv-Management (ALM) stärken.

Priorisierte Schwachstelle: Mängel in den Rahmen für die Steuerung des Kreditrisikos und des Gegenparteiausfallrisikos

Strategisches Ziel: Die Banken sollten strukturelle Mängel in ihren Rahmen für die Steuerung des Kreditrisikos einschließlich des Gegenparteiausfallrisikos (Counterparty Credit Risk – CCR) wirksam beheben und Abweichungen von aufsichtsrechtlichen Anforderungen und aufsichtlichen Erwartungen zeitnah korrigieren. In Portfolios, die stärker auf das aktuelle makrofinanzielle Umfeld reagieren, sollten sie den Aufbau von Risiken zügig erkennen und eindämmen können.

Dank robuster Unternehmensgewinne, niedriger Arbeitslosenquoten und hoher Ersparnisse haben sich Unternehmen und private Haushalte bislang als widerstandsfähig gegenüber dem Konjunkturabschwung erwiesen. Die aggregierten NPL-Quoten und -Bestände der beaufsichtigten Institute liegen zwar nach wie vor unweit ihrer historischen Tiefstände, es sind aber erste Anzeichen für eine Verschlechterung der Aktivaqualität erkennbar. Der Anteil der Stufe-2-Kredite an private Haushalte, insbesondere der Konsumentenkredite, ist gestiegen, da die schrumpfenden Realeinkommen in Verbindung mit höheren Zinsen die Schuldendienstfähigkeit der privaten Haushalte zunehmend belasten. Ebenso ist bei Unternehmensinsolvenzen und Ausfallraten ein erster Anstieg gegenüber den niedrigen Ständen während der Pandemie zu verzeichnen.

Der Zyklus am Wohnimmobilienmarkt (Residential Real Estate – RRE) im Euroraum hat eine Wende vollzogen. In den meisten Ländern ist eine Verlangsamung der Immobilienkreditvergabe und ein Rückgang der Wohnimmobilienpreise zu beobachten. Der Markt für Gewerbeimmobilien (Commercial Real Estate – CRE) befindet sich weiterhin im Abschwung. Die Bewertungen und Transaktionsvolumen sind stark rückläufig. Strukturelle Schwächen und eine geringere Nachfrage insbesondere nach Einzelhandels- und Büroobjekten geringerer Qualität verstärken die Effekte der restriktiveren Finanzierungsbedingungen und des unsicheren Marktumfelds. Besonders anfällig scheinen die Risikopositionen von Banken in Ländern, die durch eine zuvor bestehende Überbewertung gekennzeichnet sind und in denen es einen hohen Anteil an variabel verzinsten und endfälligen Krediten (z. B. Bullet Loans) mit einem potenziell höheren Refinanzierungsrisiko gibt.

Die Kombination aus höheren Refinanzierungskosten aufgrund von restriktiveren Finanzierungsbedingungen und hoher Volatilität an den Finanzmärkten verstärkt die Risiken für Finanzinstitute des Nichtbankensektors mit hohem Fremdkapitalanteil, insbesondere für solche, die über umfangreiche Derivatepositionen verfügen. Risikopositionen gegenüber solchen Instituten könnten für einige Banken zu einem erhöhten CCR führen, was die Notwendigkeit solider Risikomanagementpraktiken verdeutlicht.

Die Aufsichtsbehörden arbeiten seit mehreren Jahren daran, strukturelle Mängel in den Rahmen der Banken für die Steuerung des Kreditrisikos zu beheben.^[7] Die Aufsichtstätigkeit zeigt zwar, dass die Banken in diesem Bereich gewisse Fortschritte erzielt haben, sie offenbart aber auch mehrere anhaltende Mängel. So wurde beispielsweise festgestellt, dass Banken nur begrenzt in der Lage sind, aufkommende Risiken (einschließlich Klima- und Umweltrisiken) zu antizipieren und in ihrer Kreditrisikovorsorge angemessen zu berücksichtigen. Zudem sind sie unzureichend auf eine Zunahme notleidender Schuldner und steigende Refinanzierungsrisiken vorbereitet, und es gibt Hinweise auf eine Überbewertung von Sicherheiten in CRE-Portfolios. Die bei diesen Überprüfungen getroffenen Feststellungen sind in die Ergebnisse des SREP 2023 eingeflossen. Die Banken wurden aber auch über spezifische Aufsichtsmaßnahmen informiert, und die Umsetzung der geplanten Abhilfemaßnahmen wird von der Aufsicht genau überwacht.

Was das CCR-Management betrifft, so haben die gezielte Überprüfung im Jahr 2022 und die anschließenden Vor-Ort-Prüfungen wesentliche Mängel bei der Sorgfaltspflicht (Due Diligence) der Banken gegenüber dem Kunden, der Festlegung der Risikobereitschaft, den Ausfallmanagementprozessen und den Stresstestrahmen aufgezeigt. Bei der Beseitigung der festgestellten Mängel haben die beaufsichtigten Institute zwar Fortschritte erzielt, sie sollten jedoch weiterhin auf eine enge Orientierung an den 2023 veröffentlichten “Sound practices in counterparty credit risk governance and management” hinarbeiten.

Mit Blick auf die Zukunft werden die Aufsichtstätigkeiten aus dem letztjährigen Arbeitsprogramm, die darauf ausgerichtet sind, das strategische Ziel im Kredit- und CCR-Management zu erreichen, weitgehend fortgeführt. Dennoch ist eine gewisse Neuausrichtung erforderlich, um dem Wandel des wirtschaftlichen Umfelds und den erzielten Fortschritten Rechnung zu tragen. Die verbleibenden Lücken, die 2020 bei der „Dear CEO“-Initiative festgestellt wurden, werden im Rahmen der Überprüfung der Prozesse zu Forbearance, Unwahrscheinlichkeit der Rückzahlung (Unlikeliness-to-pay – UTP) und Risikovorsorge weiterverfolgt. In Bezug auf Letztere wird die gezielte Überprüfung mit Schwerpunkt IFRS 9 und Overlays wiederholt werden, um die Fortschritte der Banken und die Behebung der Mängel aus früheren Feststellungen zu überwachen. Darüber hinaus werden gezielte Überprüfungen und gegebenenfalls Vor-Ort-Prüfungen sowie Prüfungen interner Modelle zu sensibleren Portfolios wie Immobilien (sowohl RRE als auch CRE) sowie kleine und mittlere Unternehmen (KMUs) durchgeführt. Hinsichtlich des CCR werden die JSTs die Risikopositionen der Banken weiterhin genau überwachen und die Angemessenheit ihrer Risikomanagementverfahren prüfen. In diesem Zusammenhang werden sie gezielt verfolgen, welche Fortschritte bei der Behebung der im Jahr 2022 festgestellten Mängel erreicht wurden.

Wichtigste Aktivitäten im Rahmen des Arbeitsprogramms zu den Aufsichtsprioritäten

• Gezielte Überprüfungen mit Schwerpunkt auf der Resilienz von Portfolios, die stärker auf die aktuelle makrofinanzielle Lage reagieren und Refinanzierungsrisiken ausgesetzt sind, einschließlich Follow-up zu den Feststellungen früherer gezielter Überprüfungen zur Kreditvergabe in den Bereichen Wohn- und Gewerbeimmobilien und Einleitung einer neuen gezielten Überprüfung zu finanziell anfälligen Kreditnehmern des KMU-Segments
• Follow-up zur gezielten Überprüfung zu IFRS 9, bei der überwacht wird, inwieweit die Modelle der Banken zu erwarteten Kreditausfällen neu auftretende Risiken berücksichtigen können, mit Schwerpunkt auf Overlays
• Ausweitung der eingehenden Überprüfungen (Deep Dives) zu Forbearance- und UTP-Richtlinien
• Ausweitung der Vor-Ort-Prüfungen mit Schwerpunkt auf der in IFRS 9 vorgesehenen Stufenzuordnung auf Basis einer kollektiven Beurteilung und der Risikovorsorge für KMU, Retail-Portfolios und Gewerbeimmobilien (einschließlich Sicherheitenbewertungen)
• Ausweitung der Prüfungen interner Modelle und Follow-up durch JSTs zur Beurteilung von Änderungen an auf internen Ratings basierenden Modellen im Zusammenhang mit neuen aufsichtsrechtlichen Anforderungen und der Behebung der Feststellungen aus der gezielten Überprüfung interner Modelle
• Follow-up zu der 2022 durchgeführten gezielten Überprüfung des CCR-Managements
• Gezielte Vor-Ort-Prüfungen zu bestimmten Aspekten des CCR-Managements

Priorisierte Schwachstelle: Mängel in den Rahmen für das Aktiv-Passiv-Management (ALM)

Strategisches Ziel: Die Banken sollten eine solide und umsichtige ALM-Governance und -Strategie sicherstellen. Darin soll sich eine starke Überwachung durch ihre Leitungsorgane und eine angemessene Erfassung der Risiken widerspiegeln, die sich aus der aktuellen Geldpolitik und dem schnellen Wandel des wirtschaftlichen Umfelds ergeben. Die Banken sollten insbesondere belastbare und glaubwürdige Refinanzierungspläne entwickeln, die auf diversifizierte Finanzierungsstrukturen abzielen, und wirksame Notfallpläne ausarbeiten, um kurzfristigen Liquiditätsschocks standhalten zu können. Ferner sollten die Banken ein angemessenes Management ihrer Zinsrisikopositionen sicherstellen, das vorsichtige Annahmen in Bezug auf das Kundenverhalten unterstellt, und ihrem Risikoprofil entsprechende Minderungsstrategien entwickeln.

Das Zinsumfeld der Banken hat sich in den letzten beiden Jahren grundlegend verändert. Die höheren Zinsen stützen zwar grundsätzlich die Ertragslage der beaufsichtigten Institute, sie könnten aber auch zu höheren Refinanzierungskosten führen und eine Herausforderung für die Liquiditätssituation der Banken sowie ganz allgemein, ihre Governance, Strategien und Rahmen für das Aktiv-Passiv-Management darstellen.

Die Finanzmarktvolatilität sowie Kurskorrekturen an den Anleihemärkten vor dem Hintergrund der aktuellen Zinsdynamik haben das Risiko erhöht, dass sich in den zu fortgeführten Anschaffungskosten bewerteten Portfolios der Banken nicht realisierte Verluste aufbauen. Die Auswirkungen können gravierend sein, wie die Turbulenzen im Zusammenhang mit einigen mittelgroßen US-Banken im März gezeigt haben. Jedoch konnte das Zusammenspiel der Faktoren, die zu dieser besonderen Entwicklung geführt haben, bei den Banken unter europäischer Bankenaufsicht bislang nicht beobachtet werden. Wie aus den im Juli 2023 veröffentlichten Daten^[8] hervorgeht, hielt sich der Gesamtbetrag dieser nicht realisierten Verluste mit 73 Mrd. EUR im Februar 2023 in Grenzen. Im Vergleich dazu waren es für US-Banken 620 Mrd. USD zum Jahresende 2022.^[9] Bereits in der zweiten Jahreshälfte 2021, als erste Anzeichen für Inflationsdruck auftraten, stellte die Aufsicht die Beurteilung und Steuerung der Zins- und Kreditspreadrisiken durch die Banken auf den Prüfstand. 2022 nahm die EZB-Bankenaufsicht diese Risiken in ihre Aufsichtsprioritäten auf und führte eine gezielte Überprüfung durch, um proaktiv zu beurteilen, inwieweit die Banken auf mögliche Zinserhöhungen vorbereitet waren. Die damaligen Feststellungen deuteten darauf hin, dass die Banken die Kalibrierung ihrer ALM-Modelle häufiger überprüfen müssen, um auf Veränderungen des Kundenverhaltens infolge der Zinswende und auf Schwachstellen in einigen Hedging-Strategien reagieren zu können.

Hinsichtlich Liquidität und Refinanzierung haben sich die beaufsichtigten Institute insgesamt als sehr widerstandsfähig gegen Veränderungen des finanziellen Umfelds erwiesen. Sinkende Zentralbankguthaben und die schwache Geldmengenentwicklung haben die Liquiditätspuffer der Banken zwar schrumpfen lassen, ihre Liquiditätsdeckungsquoten und strukturellen Liquiditätsquoten liegen im Durchschnitt aber weiterhin deutlich über den regulatorischen Mindestanforderungen. Zudem weisen die beaufsichtigten Institute nicht in dem Maße Finanzierungskonzentrationen auf wie einige der mittelgroßen US-Banken, die Anfang des Jahres ausfielen, stammen ihre Refinanzierungsmittel doch hauptsächlich aus Einlagen. Diese kommen überwiegend von Privatkunden und sind zum Großteil über die Einlagensicherung abgedeckt. Um ein reibungsloses Auslaufen der gezielten längerfristigen Refinanzierungsgeschäfte (TLTROs) zu gewährleisten und zu beurteilen, inwieweit die Banken darauf vorbereitet sind, waren die Ausstiegsstrategien der Banken aus den TLTROs Gegenstand einer im Jahr 2023 durchgeführten gezielten Überprüfung. Vor diesem Hintergrund wurden einige Banken aufgefordert, ihre Refinanzierungsquellen weiter zu diversifizieren. Auch die Zuverlässigkeit und Solidität der Refinanzierungspläne der Banken ist Gegenstand einer gezielten Überprüfung. Die gewonnen Erkenntnisse werden in die Ergebnisse des SREP 2024 einfließen.

Die EZB-Bankenaufsicht wird auch in Zukunft mit Nachdruck darauf hinweisen, dass Banken solide ALM-Regelungen brauchen. Im Rahmen gezielter Maßnahmen werden die ALM-Governance und -Strategien der Banken überprüft und wird beurteilt werden, ob die Annahmen, die einigen ihrer Verhaltensmodelle zugrunde liegen, angemessen sind. Die Aufsicht wird auch die Widerstandsfähigkeit der Banken gegen kurzfristige Liquiditätsschocks sowie die Glaubwürdigkeit und Solidität ihrer Liquiditätsnotfallpläne bewerten. Schließlich werden die Aufsichtsbehörden die in den vergangenen Jahren eingeleiteten Bemühungen fortsetzen, indem sie das IRRBB-Management der Banken sowie die Solidität und Zuverlässigkeit ihrer Refinanzierungspläne weiter überprüfen.

Wichtigste Aktivitäten im Rahmen des Arbeitsprogramms zu den Aufsichtsprioritäten

• Gezielte Überprüfungen der Solidität und Zuverlässigkeit von Refinanzierungsplänen, der Notfallplanung und der Angemessenheit der Kapazitäten zur Sicherheitenoptimierung sowie der ALM-Governance und Strategien.
• Gezielte Vor-Ort-Prüfungen zur Beurteilung der Belastbarkeit und Angemessenheit von Refinanzierungs- und Sanierungsplänen
• Follow-up zu den Feststellungen aus der gezielten Überprüfung der Zins- und Kreditspreadrisiken und Ausweitung dieser Überprüfung auf einen größeren Kreis von Instituten
• Vor-Ort-Prüfungskampagne zum IRRBB mit Schwerpunkt ALM-Positionierung und -Strategie, IRRBB-Verhaltensmodelle und Absicherungsstrategie

Priorität 2: Beschleunigung der effektiven Beseitigung von Mängeln in der Governance und beim Management von Klima- und Umweltrisiken

Die SREP-Ergebnisse 2023 zeigen immer noch, dass einige Banken unzureichende Fortschritte bei der Behebung von Mängeln in der Governance erzielt haben. Dies gilt besonders für Bereiche, die mit der Funktionsweise und der strategischen Steuerung der Leitungsorgane der Banken zusammenhängen, aber auch mit deren Kapazitäten für die Aggregation von Risikodaten und die Risikoberichterstattung (RDAR). Wie wichtig eine solide Governance und Risikokontrolle ist, wurde durch den Zusammenbruch einiger US-amerikanischer und Schweizer Banken in diesem Jahr wieder einmal verdeutlicht. Gleiches gilt im Kontext stetig zunehmender Klima- und Umweltrisiken, deren negative Auswirkungen sich bereits weltweit bemerkbar machen. Die Banken werden aufgefordert werden, ihre Anstrengungen zu verstärken und die relevanten Risikodimensionen in ihren Geschäftsstrategien und Risikomanagementrahmen angemessen zu berücksichtigen, damit sie die entsprechenden aufsichtlichen Erwartungen bis Ende 2024 vollständig zu erfüllen. Im Hinblick auf dieses Ziel ist die EZB-Bankenaufsicht bereit, die ihr zur Verfügung stehenden Instrumente (einschließlich erforderlichenfalls Kapitalaufschläge, Durchsetzungsmaßnahmen und Sanktionen sowie Überprüfungen von Eignungsprüfungen) zu nutzen, um Anreize für Banken zu schaffen, die festgestellten Mängel wirksam zu beseitigen, insbesondere wenn klare Maßnahmen und konkrete Fristen für die Erfüllung der aufsichtlichen Erwartungen festgelegt sind.

Priorisierte Schwachstelle: Mängel in der Funktionsweise und im Lenkungsvermögen der Leitungsorgane

Strategisches Ziel: Die Banken sollten wesentliche Mängel in der Funktionsweise, Überwachungsfunktion und Zusammensetzung ihrer Leitungsorgane wirksam beheben, indem sie solide Pläne zur Mängelbeseitigung entwickeln und schnell umsetzen, damit sie die aufsichtlichen Erwartungen erfüllen.

Die Widerstandsfähigkeit und Tragfähigkeit der Geschäftsmodelle von Banken wird in entscheidendem Maße durch starke Regelungen für die interne Governance und durch eine wirksame strategische Steuerung sichergestellt. Angesichts der derzeit unsicheren makrofinanziellen Aussichten und der aktuellen Veränderung des Zinsumfelds nach Jahren akkommodierender Finanzierungsbedingungen müssen die Banken eine wirksame strategische Steuerung betreiben und ihre Verfahren anpassen, um die damit verbundenen Risiken angemessen zu bewerten, zu kontrollieren und zu steuern. Die Turbulenzen im Bankensektor der Vereinigten Staaten und der Schweiz im März haben die entscheidende Rolle der Leitungsorgane der Banken deutlich gemacht, die letztlich für die Gewährleistung angemessener interner Governance-Regelungen und wirksamer Risikomanagementprozesse verantwortlich sind. Sie haben auch vor Augen geführt, welch verheerende Folgen es für eine Bank haben kann, wenn diese Regelungen und Prozesse fehlen. Eine wirksame strategische Steuerung ist auch erforderlich, um die Geschäftsmodelle der Banken an neue Trends wie die Digitalisierung und einen schnelleren ökologischen Wandel anzupassen.

Die Beseitigung von Mängeln in den Leitungsorganen zählt seit mehreren Jahren zu den obersten Prioritäten der EZB-Bankenaufsicht. Zwar wurden in einigen Bereichen Verbesserungen erreicht, doch in Bezug auf die Zusammensetzung, die kollektive Eignung und die Überwachungsfunktion der Leitungsorgane der Banken müssen weitere Fortschritte erzielt werden. Nach den direkten Aufsichtstätigkeiten im Jahr 2022 haben die Banken ihre Diversitätspolitik verbessert, die neben dem Geschlecht nun auch die Kriterien Bildungsweg, Erfahrung, geografische Herkunft und Alter umfasst. Aktuell haben fast alle beaufsichtigten Institute Ziele festgelegt, um geschlechtsspezifische Ungleichgewichte in ihren Leitungsorganen anzugehen. Bei diesen Zielen wurden jedoch noch keine ausreichenden Fortschritte erzielt.^[10] Die Banken müssen darüber hinaus die kollektive Eignung ihrer Leitungsorgane verbessern, und deren Mitglieder müssen besser in der Lage sein, kritische Fragen zu stellen. Letzteres hängt mit Schwächen in der Zusammensetzung des Leitungsorgans (z. B. einer zu geringen Anzahl formal unabhängiger Mitglieder und mangelnden Kenntnissen in bestimmten Bereichen wie IT) und seiner Funktionsweise (z. B. nicht genügend Zeit für Diskussionen und Bedenken in den Nominierungsverfahren der Leitungsorgane) zusammen. Ebenso muss die Überwachungsfunktion der Ausschüsse des Leitungsorgans weiter verbessert werden, wie die gezielte Überprüfung der Leitungsorgane im Jahr 2023 gezeigt hat.^[11]

Die EZB-Bankenaufsicht wird ihre Zusammenarbeit mit den Banken fortsetzen, um diese seit Langem bestehenden Mängel durch gezielte Überprüfungen und Vor-Ort-Prüfungen zu beheben. Sie wird außerdem die aufsichtlichen Erwartungen an Governance und Risikomanagement aktualisieren und veröffentlichen.

Wichtigste Aktivitäten im Rahmen des Arbeitsprogramms zu den Aufsichtsprioritäten

• Gezielte Überprüfung der Effektivität der Leitungsorgane der Banken und gezielte Vor-Ort-Prüfungen
• Aktualisierung und externe Veröffentlichung der aufsichtlichen Erwartungen und Best Practices in Bezug auf die Governance und Risikokultur der Banken^[12]

Priorisierte Schwachstelle: Mängel in der Risikodatenaggregation und Risikoberichterstattung

Strategisches Ziel: Die Banken sollten seit Langem bestehende Mängel wirksam beheben und über wirksame Rahmen für die Risikodatenaggregation und Risikoberichterstattung (RDAR) verfügen, um die effiziente Steuerung durch die Leitungsorgane zu unterstützen und den aufsichtlichen Erwartungen auch in Krisenzeiten gerecht zu werden.

Eine zeitnahe und korrekte Aggregation von Risikodaten und Risikoberichterstattung ist besonders im aktuellen Umfeld für eine solide Entscheidungsfindung und eine wirksame strategische Steuerung seitens der Banken und auch für die Zwecke der Risiko-, Finanz- und aufsichtlichen Berichterstattung von wesentlicher Bedeutung. Die Ergebnisse der bisherigen Aufsichtstätigkeiten – einschließlich des SREP 2023 und der laufenden Vor-Ort-Prüfungskampagne – deuten allesamt auf unzureichende Fortschritte bei der Schließung der Lücken hin, die hinsichtlich der aufsichtlichen Erwartungen und der Einhaltung der Grundsätze für die effektive Aggregation von Risikodaten und die Risikoberichterstattung des Basler Ausschusses für Bankenaufsicht bestehen. Die wichtigsten Mängel bestehen im Zusammenhang mit der unzureichenden Beachtung und Überwachung durch die Leitungsorgane, Schwachstellen in der Datenarchitektur sowie fragmentierten und nicht harmonisierten IT-Landschaften, geringen Kapazitäten für die Aggregation und ineffektiven Governance-Rahmen. Da zur Behebung von Mängeln im Zusammenhang mit der RDAR häufig erhebliche Ressourcen erforderlich sind, ist eine konsequente Priorisierung durch die Leitungsorgane besonders wichtig.

Wie bereits in den Aufsichtsprioritäten des vergangenen Jahres kommuniziert, verstärkt die EZB-Bankenaufsicht ihre Bemühungen, damit die beaufsichtigten Institute bei der Beseitigung der bei der RDAR seit Langem bestehenden Mängel deutliche Fortschritte erzielen. Ab 2024 wird verstärkt ein strukturierter Eskalationsmechanismus angewandt werden, der Durchsetzungsmaßnahmen und Sanktionen umfassen kann.^[13] Im Leitfaden zur effektiven Risikodatenaggregation und Risikoberichterstattung werden die aufsichtlichen Erwartungen weiter untermauert und konkretisiert. Von Juli bis Oktober 2023 fand eine öffentliche Konsultation^[14] zu dem Leitfaden statt, und die Veröffentlichung des Leitfadens ist für 2024 geplant. Wenn anhaltende Mängel festgestellt werden, wird die Aufsicht auch gezielte Überprüfungen und Vor-Ort-Prüfungen durchführen und mit den Banken in Kontakt treten. Den Managementbericht zur Datengovernance und Datenqualität^[15], der Anfang 2023 im Rahmen eins Pilotprojekts getestet wurde, wird es als jährlichen Fragebogen an die Banken weiterhin geben. Er soll sicherstellen, dass die Leitungsorgane von Banken in Fragen der internen, Finanz- und aufsichtlichen Berichterstattung ihrer Rechenschaftspflicht angemessen nachkommen.

Wichtigste Aktivitäten im Rahmen des Arbeitsprogramms zu den Aufsichtsprioritäten

• Präzisierung der aufsichtlichen Erwartungen in Bezug auf die Umsetzung der RDAR-Grundsätze und Veröffentlichung des Leitfadens zur effektiven Risikodatenaggregation und Risikoberichterstattung
• Gezielte Überprüfungen der RDAR-Praktiken
• Vor-Ort-Prüfungskampagne zur RDAR (Verlängerung über 2023 hinaus)
• Erstellung des Managementberichts zur Datengovernance und Datenqualität – ein jährlicher Fragebogen, der sicherstellen soll, dass die Leitungsorgane von Banken in Fragen der internen, Finanz- und aufsichtlichen Berichterstattung ihrer Rechenschaftspflicht angemessen nachkommen

Priorisierte Schwachstelle: Erhebliche Anfälligkeit gegenüber Treibern von physischen und Übergangsrisiken im Zusammenhang mit dem Klimawandel

Strategisches Ziel: Die Banken sollten Klima- und Umweltrisiken angemessen in ihre Geschäftsstrategie und ihre Governance- und Risikomanagementrahmen einbeziehen, um diese Risiken zu mindern und offenzulegen, und ihre Verfahren mit den derzeitigen aufsichtsrechtlichen Anforderungen und aufsichtlichen Erwartungen in Einklang bringen.

Die weltweiten Emissionen von Treibhausgasen sind weiter gestiegen^[16], was in Zukunft zu einer weiteren Erderwärmung und somit einer Verschärfung mehrerer und gleichzeitig auftretender Gefahren führen wird. Rekordhitzewellen, die Waldbrände und Überschwemmungen in Europa und anderen Regionen der Welt haben dies bereits mehrfach deutlich gemacht. Die bestehenden Maßnahmen reichen nicht aus, um die im Pariser Klimaabkommen von 2015 festgelegten Erderwärmungsziele zu erreichen.^[17] Es ist zu erwarten, dass verspätete Klimaschutzmaßnahmen die physischen Risiken und Übergangsrisiken sowie möglicherweise die damit verbundenen Verluste für die Banken weiter erhöhen und somit auch das Risiko größerer Schäden, der Bindung an emissionsintensive Infrastrukturen, gestrandeter Vermögenswerten und einer Kosteneskalation.^[18] Angesichts der geopolitischen Spannungen und der immer höheren Vorabinvestitionen sowie der disruptiven Veränderungen, die für den Klimaschutz und die Anpassung an den Klimawandel erforderlich sind, dürften die Übergangsrisiken vor dem Hintergrund verschärfter Finanzierungsbedingungen weiter zunehmen.

Im Zuge des SREP 2023 wurde bei einigen Banken zwar eine gewisse Verbesserung im Hinblick auf die Festlegung einer Strategie für Klima- und Umweltrisiken festgestellt, bei anderen Banken stellte sich aber heraus, dass sie die diesbezüglichen Mängel dringend beheben müssen. Die qualitativen SREP-Maßnahmen konzentrierten sich in erster Linie auf die Schwachstellen der Banken auf dem Gebiet der strategischen und operativen Planung sowie mangelnde Kenntnisse der Leitungsorgane in den Bereichen Umwelt, Soziales und Unternehmensführung. Im Vergleich zum letztjährigen SREP haben sich die Klima- und Umweltrisiken bei einer zunehmenden Anzahl von Banken auf die Höhe der Säule-2-Anforderung ausgewirkt.^[19]

Um die Mängel wirksam zu beheben, die beim EZB-Stresstest 2022 zu Klimarisiken^[20] und der thematischen Überprüfung^[21] zutage getreten waren, setzte die EZB-Bankenaufsicht den Banken institutsspezifische Fristen, damit diese bis Ende 2024 ihre Verfahren an die im EZB-Leitfaden zu Klima- und Umweltrisiken aus dem Jahr 2020 formulierten aufsichtlichen Erwartungen anpassen. Der März 2023 markierte einen Zwischenetappe in diesem Prozess, da die Banken bis zu diesem Monat ihre Klima- und Umweltrisiken adäquat kategorisieren und eine vollständige Bewertung der Auswirkungen auf ihre Aktivitäten vornehmen sollten. Einige Banken weisen in dieser Hinsicht nach wie vor erhebliche Schwächen auf, und die Aufsicht ist mit ihnen mittels Verwaltungshandeln, qualitativen SREP-Anforderungen und Ad-hoc-Beschlüssen des Aufsichtsgremiums in Austausch getreten. Es wird erwartet, dass die Banken ihre Klima- und Umweltrisiken bis Ende 2023 in ihre Governance, ihre Strategie und ihr Risikomanagement einbeziehen und bis Ende 2024 schlussendlich alle im Jahr 2020 formulierten aufsichtlichen Erwartungen erfüllen, darunter die vollständige Integration in den bankinternen Prozess zur Sicherstellung einer angemessenen Kapitalausstattung (Internal Capital Adequacy Assessment Process – ICAAP) und in die Stresstests. Auch in Zukunft wird die EZB-Bankenaufsicht ihr gesamtes Instrumentarium nutzen, um sicherzustellen, dass die Banken diese Erwartungen erfüllen, gegebenenfalls auch durch aufsichtliche Eskalation z. B. in Form von Zwangsgeldern oder bankspezifischen Kapitalaufschlägen.^[22]

Darüber hinaus wird die Aufsicht die Angemessenheit der Offenlegungspraxis der Banken weiter überprüfen und bewerten. Die Banken haben in diesem Bereich zwar Fortschritte erzielt, wie die Ergebnisse der dritten Beurteilung der von den europäischen Banken erzielten Fortschritte bei der Offenlegung von Klima- und Umweltrisiken gezeigt haben, doch die Qualität der offen gelegten Informationen ist nach wie vor gering. Einer der weiteren Schwerpunkte in den kommenden Jahren wird der Umgang mit klima- und umweltbezogenen Reputations- und Prozessrisiken sein, die sich aus der Veröffentlichung von Übergangszielen und/oder Netto-Null-Verpflichtungen ergeben. Die Aufsicht wird auch ihre Vorbereitungen für die Ausarbeitung eines Rahmens zur Überprüfung der Übergangsplanung und des Vorbereitungsstands der Banken im Hinblick auf die Erfüllung der in der Eigenkapitalrichtlinie (Capital Requirements Directive – CRD VI) vorgesehenen Mandate fortsetzen. Die Bewertung von Klimarisiken im Rahmen bestimmter risikospezifischer Vor-Ort-Prüfungen wird fortgesetzt, und 2024 soll mit gezielten Einzelprüfungen zu Klima- und Umweltrisiken begonnen werden.

Wichtigste Aktivitäten im Rahmen des Arbeitsprogramms zu den Aufsichtsprioritäten

• Gezieltes Follow-up zu den im Rahmen des Stresstests zu Klimarisiken 2022 und der thematischen Überprüfung festgestellten Mängeln mit dem Ziel, bis Ende 2024 eine vollständige Übereinstimmung mit den entsprechenden aufsichtlichen Erwartungen zu erreichen
• Überprüfung, inwieweit Banken die technischen Durchführungsstandards zu den Meldepflichten und die Offenlegungsanforderungen nach Säule 3 in Bezug auf Klima- und Umweltrisiken einhalten und diese aufeinander abgestimmt sind, sowie ein Benchmarking der Verfahren der Banken anhand der aufsichtlichen Erwartungen
• Eingehende Überprüfungen (Deep Dives) in Bezug auf die Fähigkeit der Banken, mit Reputations- und Prozessrisiken umzugehen, die mit klima- und umweltbezogenen Verpflichtungen im Zusammenhang stehen
• Gezielte Vor-Ort-Prüfungen zu klimabezogenen Aspekten, entweder auf Einzelbasis oder im Rahmen von geplanten Überprüfungen einzelner Risiken (z. B. Kredit-, operationelles und Geschäftsmodellrisiko)

Priorität 3: Weitere Fortschritte bei der digitalen Transformation und Erstellung robuster Rahmen für die operative Widerstandsfähigkeit

Die meisten beaufsichtigten Institute machen Fortschritte bei der Digitalisierung ihres Geschäftsbetriebs und ihrer Leistungen, um den zunehmenden Herausforderungen des Wettbewerbs gewachsen zu sein. Sie müssen jedoch auch ihre Rahmen für die operative Widerstandsfähigkeit stärken und bei Bedarf anpassen, um potenzielle Risiken zu mindern. Operative Widerstandsfähigkeit sollte auf mittlere Sicht zur Tragfähigkeit der Geschäftsmodelle der Banken beitragen und es den Banken unter anderem ermöglichen, die Vorteile innovativer Technologien zu nutzen. Einige Banken sind mit der Erreichung ihrer Ziele in diesem Bereich allerdings in Verzug. Zudem müssen die beaufsichtigten Institute Schwachstellen beseitigen, die auf ihre zunehmende operative Abhängigkeit von externen Anbietern zurückzuführen sind, und ihr IT-Sicherheits-/Cyberrisikomanagement verbessern. Besonders wichtig ist dies angesichts der wachsenden Cyberbedrohungen aufgrund des aktuellen geopolitischen Umfelds.

Priorisierte Schwachstelle: Mängel in den Strategien für die digitale Transformation

Strategisches Ziel: Die Banken sollten durch angemessene Regelungen (z. B. Geschäftsstrategie und Risikomanagement) solide Pläne für die digitale Transformation entwickeln und umsetzen, um die Tragfähigkeit ihres Geschäftsmodells zu stärken und die Risiken zu mindern, die mit dem Einsatz innovativer Technologien einhergehen.

Die von den beaufsichtigten Instituten ausgewiesene Rentabilität lag zuletzt auf Rekordhöhe, was zumeist auf hohe Nettozinsmargen zurückzuführen war. Die Geschäftsmodelle der Banken weisen jedoch immer noch strukturelle Schwächen auf. Ihre Aufwand/Ertrag-Relation verharrt weiterhin auf hohem Niveau, und angesichts des derzeit hohen Inflationsdrucks könnte sich die Umsetzung von Maßnahmen zur Kosteneindämmung als schwierig erweisen. Insofern sollten die beaufsichtigten Institute in der Lage sein, den voraussichtlichen Anstieg der Betriebsaufwendungen zu verkraften, ohne dass die dringend erforderlichen Investitionen in die digitale Transformation darunter leiden. Die Digitalisierung dürfte die Wettbewerbsposition der Banken stärken und für eine größere Widerstandkraft gegenüber dem Wettbewerb von außerhalb des Bankensektors sorgen.

Die EZB-Bankenaufsicht führte 2023 eine horizontale Analyse und eine Benchmarking-Analyse durch, die auf im SSM erhobenen Daten zur digitalen Transformation und zum Einsatz von Finanztechnologie (FinTech) basierte. Die Ergebnisse dieser Analyse wurden den Banken mitgeteilt und haben ihnen dabei geholfen, eine Reihe von Risiken genauer zu bestimmen, die mit der digitalen Transformation verbunden sind, darunter strategische Risiken und Ausführungsrisiken, Cyberrisiken, Risiken aufgrund der Abhängigkeit von Dritten sowie Geldwäsche- und Betrugsrisiken. Die ergänzend zur horizontalen Analyse durchgeführten gezielten Vor-Ort-Prüfungen ergaben Vorbehalte im Hinblick auf die effektive strategische Steuerung und Ausführung. Dabei zeigte sich auch, wie wichtig die Weiterqualifizierung von Beschäftigten und Leitungsorganen ist. Auch bei der Budgetierung und Finanzplanung wurden Unzulänglichkeiten festgestellt, da die Banken die finanziellen Auswirkungen ihrer Maßnahmen im Bereich der digitalen Transformation nur schwer überwachen können. Die Ergebnisse dieser Aktivitäten flossen während des SREP-Zyklus 2023 in die aufsichtliche Bewertung der Geschäftsmodelle der Banken ein. Auch in Zukunft wird die EZB-Bankenaufsicht den Fokus weiterhin auf die digitale Transformation richten und gezielte Überprüfungen mit speziellen Vor-Ort-Prüfungen kombinieren. Die EZB-Bankenaufsicht wird ihre aufsichtlichen Erwartungen hinsichtlich der digitalen Transformation von Banken veröffentlichen.^[23] Die überarbeiteten Erwartungen werden zur Weiterentwicklung der aufsichtlichen Bewertungsmethodik beitragen.

Wichtigste Aktivitäten im Rahmen des Arbeitsprogramms zu den Aufsichtsprioritäten

• Gezielte Überprüfungen mit Schwerpunkt auf den Auswirkungen, die die digitale Transformation der Banken auf deren Geschäftsmodell/Strategie, Governance und Risikoidentifikation/Risikomanagement hat, ergänzt durch Folgemaßnahmen der JSTs bei Banken, bei denen wesentliche Mängel festgestellt werden
• Gezielte Vor-Ort-Prüfungen zur digitalen Transformation, wobei das Geschäftsmodell der Bank zusammen mit dem IT-Aspekt der jeweiligen Strategie für die digitale Transformation betrachtet wird
• Veröffentlichung aufsichtlicher Erwartungen und Austausch von bewährten Verfahren in Bezug auf Strategien für den digitalen Wandel

Priorisierte Schwachstelle: Mängel in den Rahmen für die operative Widerstandsfähigkeit, d. h. für IT-Auslagerungs- und IT-Sicherheits-/Cyberrisiken

Strategisches Ziel: Die Banken sollten über solide Regelungen für ihre Auslagerungsrisiken sowie Rahmen für ihre IT-Sicherheit und Cyberresilienz verfügen, um ungeminderten Risiken, die zu einer wesentlichen Störung kritischer Tätigkeiten/Dienstleistungen führen könnten, proaktiv entgegenzuwirken und gleichzeitig sicherzustellen, dass die einschlägigen aufsichtsrechtlichen Anforderungen und aufsichtlichen Erwartungen erfüllt werden.

Cyberrisiken und Datensicherheit tragen nach wie vor in hohem Maße zum operationellen Risiko der Banken bei. Die Anzahl der Cybervorfälle, die der EZB-Bankenaufsicht von beaufsichtigten Instituten gemeldet wurden, ist in der ersten Jahreshälfte 2023 sprunghaft angestiegen, da der Bankensektor unter anderem wegen des Kriegs Russlands in der Ukraine und erhöhter geopolitischer Spannungen in erheblichem Umfang immer neuen Cyberbedrohungen ausgesetzt war. Zerstörerische Angriffe sind zu einer wichtigen Komponente der Operationen staatlicher Akteure geworden. Auch Finanzinstitute sind wegen ihrer Rolle in kritischen Infrastrukturen geeignete Ziele.^[24] Insbesondere Angriffe mit Ransomware nehmen zu, wobei Cyberkriminelle immer ausgeklügelter vorgehen und Banken zunehmend Opfer immer neuer Erpressungstechniken werden.

Unzulänglichkeiten bei den IT-Auslagerungsvereinbarungen stellen eine weitere wesentliche Schwachstelle dar, da die Banken in zunehmendem Maße von externen Anbietern abhängig sind. Immer längere Lieferketten und deren zunehmende Komplexität erfordern, dass die Banken einen besseren Überblick über ihre Lieferantenbeziehungen und (wechselseitigen) Abhängigkeiten haben, um potenziellen Konzentrationsrisiken proaktiv entgegenzuwirken. Ein solides Bestands- und Lieferantenmanagement ist daher für Banken von entscheidender Bedeutung, damit sie in der Lage sind, in einem zunehmend wettbewerbsorientierten Umfeld Kundenanforderungen zu erfüllen und die eigene Effizienz zu steigern sowie parallel dazu ein angemessenes Risikomanagement für ihre Auslagerungsvereinbarungen und die Einführung von Cloud-Lösungen zu gewährleisten. Auch das Ergebnis der SREP-Bewertung 2023 hat bestätigt, dass die Mängel, die die Banken in Bezug auf das Management von IT-Auslagerungen und IT-Sicherheits-/Cyberrisiken aufweisen, besonders hervorstechen, denn das operationelle Risiko ist nach wie vor das SREP-Element mit den schlechtesten Scorewerten.^[25]

Vor diesem Hintergrund hat die EZB-Bankenaufsicht jährliche Datenerhebungen zu den Auslagerungsregistern der beaufsichtigten Institute eingeführt. Die bisherigen Analysen haben verschiedene Schwachstellen ergeben, darunter eine hohe Abhängigkeit von einigen nichteuropäischen externen Anbietern und eine erhebliche Anzahl von Auslagerungsverträgen. Die angemessene Steuerung der von externen Anbietern ausgehenden Risiken, die auch Auslagerungen an Cloud-Diensteanbieter umfasst, ist nach wie vor ein zentrales Aufsichtsthema und wird im Rahmen der laufenden Aktivitäten eingehender geprüft werden.

Die EZB-Bankenaufsicht wird neben der horizontalen Analyse der Auslagerungsvereinbarungen der Banken und der Analyse des Konzentrationsrisikos künftig auch weiterhin gezielte Überprüfungen in Bezug auf die Auslagerungsvereinbarungen und die Cyberresilienz durchführen. Ziel ist es, einen besseren Einblick in die Art und das Ausmaß der Risiken sowie die entsprechenden Risikominderungsmaßnahmen der Banken zu erhalten. Ergänzend zu den gezielten Überprüfungen werden auch Vor-Ort-Prüfungen stattfinden, um Mängel auf Ebene der einzelnen Banken zu identifizieren und zu bewerten. Angesichts der sprunghaften Zunahme von Cyberangriffen und der Tragweite dieses Themas im aktuellen geopolitischen Umfeld wird die EZB-Bankenaufsicht im kommenden Jahr zusätzlich einen thematischen Stresstest zur Cyberresilienz durchführen. So soll überprüft werden, inwieweit Banken in der Lage sind, auf einen erfolgreichen Cyberangriff zu reagieren und sich davon zu erholen.^[26]

Wichtigste Aktivitäten im Rahmen des Arbeitsprogramms zu den Aufsichtsprioritäten

• Erhebung von Daten und horizontale Analysen von Auslagerungsregistern zur Ermittlung von Verflechtungen zwischen beaufsichtigten Instituten und externen Anbietern sowie potenziellen Risikokonzentrationen bei bestimmten Anbietern
• Gezielte Überprüfungen in Bezug auf Auslagerungsvereinbarungen und die Cyberresilienz
• Gezielte Vor-Ort-Prüfungen in Bezug auf Auslagerungs- und Cybersicherheitsmanagement
• Im Jahr 2024 systemweiter Stresstest zur Cyberresilienz mit Schwerpunkt auf den Reaktions- und Wiederherstellungskapazitäten der Banken nach einem Cyber-Sicherheitsvorfall sowie deren Fähigkeit, die Auswirkungen einzudämmen und die Dienste zeitnah wiederherzustellen