Dokumentenflüsse steuern in Frankfurt am Main bei Banken und Regulatorik

Das Wichtigste auf einen Blick

Warum der Finanzplatz Frankfurt besondere Anforderungen stellt

Frankfurt am Main ist Sitz der Europäischen Zentralbank, der BaFin und zahlreicher Großbanken. Diese Dichte an Aufsicht und Instituten erzeugt einen kurzen Draht zwischen Prüfern und Geprüften. Ein Dokumentenfluss, der in anderen Branchen als ordentlich gilt, kann hier als unzureichend eingestuft werden. Die Institute müssen damit rechnen, dass Unterlagen kurzfristig angefordert werden.

Die BaFin als Aufsichtsquelle veröffentlicht Rundschreiben, Merkblätter und Meldungen, die auch Dokumentationspflichten betreffen – etwa das Rundschreiben 10/2018 (BA) zu den MaRisk und das Rundschreiben 10/2017 (BA) zu den bankaufsichtlichen Anforderungen an die IT. Wer diese Vorgaben nicht in seine Prozesse einbaut, riskiert Nachfragen.

Hinzu kommt der Wettbewerb um Fachkräfte. Compliance-Mitarbeiter wechseln zwischen Instituten und Aufsicht. Ein Dokumentenfluss, der nur implizit funktioniert, überlebt solche Wechsel nicht.

Die Stadt selbst ist kein eigener Rechtsrahmen, aber die Aufsicht ist vor Ort präsent: Die BaFin unterhält neben Bonn einen Standort in Frankfurt am Main, die Europäische Zentralbank führt von hier aus die Bankenaufsicht im einheitlichen Aufsichtsmechanismus (SSM), und die Hauptverwaltung in Hessen der Deutschen Bundesbank begleitet die Institute der Region. Wer in Frankfurt eine Bank betreibt, hat es deshalb mit einer dichten Prüfungslandschaft zu tun.

Regulatorik als Standortfaktor

Für viele Institute ist die Nähe zur Aufsicht ein Vorteil: kurze Wege, direkte Ansprechpartner. Gleichzeitig steigt der Druck, Prozesse zu dokumentieren. Wer die News und Warnungen der BaFin verfolgt, erkennt früh, welche Nachweise künftig verlangt werden.

Revisionssichere Freigabe- und Dokumentenflüsse aufbauen

Revisionssichere Freigabe bedeutet, dass jede Freigabe eindeutig einer Person, einem Zeitpunkt und einer Version zugeordnet werden kann. Änderungen nach der Freigabe müssen als neue Version sichtbar sein. Das klingt selbstverständlich, scheitert in der Praxis aber oft an E-Mail-Freigaben und Dateiablagen.

Ein tragfähiger Prozess beginnt mit einer klaren Rollendefinition. Wer darf einen Entwurf erstellen, wer prüfen, wer freigeben? Diese Rollen müssen sich in der Berechtigungsstruktur des Systems wiederfinden. Sonst ist die Freigabe nicht belastbar.

Der zweite Schritt ist die Versionierung. Jede Änderung erzeugt eine neue Version, die alte bleibt erhalten. Das ermöglicht es, im Nachhinein zu rekonstruieren, welche Fassung wann gültig war.

Der dritte Schritt ist die Zeitstempelung. Eine Freigabe ohne belastbaren Zeitstempel ist im Prüfungsfall angreifbar. Viele Systeme bieten hier kryptografische Verfahren an.

Systeme und Automatisierung im Dokumentenfluss

Im Markt verbreitete Systeme für Dokumentenmanagement und Workflows sind ELO ECM, d.velop documents, Doxis, OpenText, DocuWare oder Microsoft SharePoint. Sie bilden die Ablage-, Berechtigungs- und Protokollierungsschicht, auf der ein revisionssicherer Dokumentenfluss aufsetzt.

Automatisiert werden die Abläufe über Workflow-Engines, deren Prozesse in BPMN 2.0 modelliert und versioniert werden. Papierbelege erfasst OCR, Routineübertragungen zwischen Systemen übernimmt RPA, und Freigaben werden mit qualifizierten elektronischen Signaturen und Zeitstempeln nach der eIDAS-Verordnung versehen. Jeder Schritt erzeugt automatisch den Protokolleintrag, der die Freigabe belegt.

Beispiel: Freigabe eines Kreditvertrags

Eine mittelgroße Bank in Frankfurt gibt einen Kreditvertrag frei. Der Prozess läuft über ein Workflow-System. Der Sachbearbeiter erstellt den Entwurf, die Rechtsabteilung prüft, der Bereichsleiter gibt frei. Jede Station erzeugt einen Eintrag mit Zeitstempel und Benutzerkennung.

Nach der Freigabe wird das Dokument schreibgeschützt abgelegt. Wird später eine Änderung nötig, entsteht eine neue Version mit eigenem Freigabeprozess. Der Prüfer kann jederzeit nachvollziehen, wer wann welche Fassung freigegeben hat.

Checkliste für revisionssichere Freigaben

Welche Prüffragen die BaFin an Banken richtet

Die BaFin prüft nicht jeden Dokumentenfluss einzeln, sondern fragt nach dem Rahmen. Typische Prüffragen lauten: Wie stellen Sie sicher, dass freigegebene Dokumente nicht nachträglich verändert werden? Wer hat Zugriff auf welche Dokumente? Wie lange werden sie aufbewahrt? Wie wird die Vollständigkeit sichergestellt?

Diese Fragen zielen auf die Ordnungsmäßigkeit der Geschäftsorganisation nach § 25a KWG. Wer sie nicht beantworten kann, riskiert Feststellungen im Prüfungsbericht; die Prüfungsberichtsverordnung (PrüfbV) gibt vor, worüber die Prüfer berichten müssen.

Ein häufiger Kritikpunkt ist die Vermischung von Entwurf und Freigabe. Wenn nicht klar ist, welche Fassung eines Dokuments die verbindliche ist, fehlt die Grundlage für eine Prüfung.

Ein weiterer Punkt ist die Nachvollziehbarkeit von Änderungen. Wer hat wann was geändert und warum? Ohne Protokollierung ist diese Frage nicht zu beantworten.

Prüffragen im Überblick

Typische Fragen aus einem Prüfungsgespräch lauten:

Dokumentenflüsse steuern unter KWG und Meldewesen

Das Kreditwesengesetz (KWG) verlangt in § 25a Abs. 1 eine ordnungsgemäße Geschäftsorganisation mit angemessenem Risikomanagement und belastbaren Prozessen; § 25b KWG regelt die Auslagerung von Aktivitäten und Prozessen, § 24 KWG die Anzeigen und die Vorlage von Unterlagen. Konkretisiert werden diese Vorgaben durch die Mindestanforderungen an das Risikomanagement (MaRisk), die die BaFin als Rundschreiben 10/2018 (BA) veröffentlicht hat; AT 4.3 behandelt Dokumentations- und Aufbewahrungspflichten. Die Teilliste K der Gesetze im Internet führt das KWG und verwandte Vorschriften auf.

Für den Dokumentenfluss bedeutet das: Jedes Geschäft muss von der Initiierung bis zum Abschluss nachvollziehbar sein. Das betrifft nicht nur Verträge, sondern auch interne Weisungen, Sitzungsprotokolle und Meldungen an die Aufsicht.

Die Meldevorschriften verlangen, dass Daten aus den zugrunde liegenden Dokumenten konsistent sind. Wenn ein Kreditvertrag im System anders erfasst ist als im Dokument, entsteht ein Widerspruch, der bei der Prüfung auffällt.

Deshalb sollten Dokumentenfluss und Meldewesen aus derselben Datenbasis gespeist werden. Manuelle Übertragungen sind Fehlerquellen.

KWG-Dokumentation in der Praxis

Die KWG-Dokumentation umfasst nicht nur die Aufbewahrung, sondern auch die Nachvollziehbarkeit von Entscheidungen. Wer hat wann welche Entscheidung getroffen und auf welcher Grundlage? Diese Fragen stellen Prüfer regelmäßig.

Bei den Aufbewahrungsfristen greifen Handels- und Steuerrecht: Nach § 257 HGB und § 147 AO sind Bücher, Abschlüsse und Inventare zehn Jahre aufzubewahren, Handelsbriefe und sonstige Unterlagen sechs Jahre. Diese Fristen gehören in den Dokumentenfluss – sie müssen im System hinterlegt und technisch durchgesetzt werden, damit weder zu früh gelöscht noch über die Frist hinaus aufbewahrt wird.

Schnittstellen zu Aufsichtsmeldungen und Prüfungsberichten

Prüfungsberichte fassen die Ergebnisse der Prüfung zusammen und gehen an die Aufsicht. Sie müssen aus den Dokumenten und Prozessen des Instituts abgeleitet werden können. Wenn die zugrunde liegenden Dokumentenflüsse nicht revisionssicher sind, leidet die Qualität des Berichts.

Die Schnittstelle zwischen internem Dokumentenfluss und externer Meldung ist oft unterschätzt. Meldungen an die BaFin müssen auf denselben Daten beruhen wie die interne Dokumentation. Abweichungen führen zu Rückfragen.

Für Anzeigen nach § 24 KWG gilt die Anzeigenverordnung (AnzV), für den Prüfungsbericht die Prüfungsberichtsverordnung (PrüfbV), die Inhalt und Aufbau vorgibt. Beide setzen voraus, dass die zugrunde liegenden Dokumente auffindbar und unverändert sind.

Ein weiterer Aspekt ist die Sicherheit der Übertragung. Der BSI IT-Grundschutz bietet Anforderungen für den sicheren Betrieb von IT-Systemen, die auch für Dokumentenflüsse gelten; für Banken konkretisiert die BaFin sie mit den Bankaufsichtlichen Anforderungen an die IT (BAIT).

Prüfungsberichte als Spiegel der Organisation

Ein Prüfungsbericht ist kein Selbstzweck. Er zeigt, ob die Organisation in der Lage ist, ihre Geschäfte ordnungsgemäß zu dokumentieren. Wer hier Schwächen zeigt, muss mit Auflagen rechnen.

Häufige Fragen

Was bedeutet revisionssichere Freigabe konkret?

Revisionssichere Freigabe bedeutet, dass jede Freigabe eindeutig einer Person, einem Zeitpunkt und einer Version zugeordnet werden kann und nachträglich nicht verändert werden darf. Alte Versionen bleiben erhalten.

Welche Prüffragen stellt die BaFin typischerweise?

Die BaFin fragt nach der Nachvollziehbarkeit von Freigaben, nach Berechtigungen, nach Aufbewahrungsfristen und nach der Vermeidung von Medienbrüchen. Antworten müssen dokumentiert sein.

Wie hängen KWG und Dokumentenfluss zusammen?

Das KWG verlangt eine ordnungsgemäße Geschäftsorganisation. Dazu gehört, dass Geschäfte dokumentiert und nachvollziehbar sind. Der Dokumentenfluss ist damit Teil der KWG-Pflichten.

Was ist bei Aufsichtsmeldungen zu beachten?

Meldungen müssen auf denselben Daten beruhen wie die interne Dokumentation. Abweichungen führen zu Rückfragen. Die BaFin veröffentlicht aktuelle Anforderungen.

Wie unterstützt der BSI IT-Grundschutz?

Der BSI IT-Grundschutz bietet Anforderungen für den sicheren Betrieb von IT-Systemen. Diese gelten auch für Dokumentenflüsse und deren Übertragung.

Welche Rolle spielt der Finanzplatz Frankfurt?

Die Nähe zu Aufsicht und Instituten erhöht die Prüfintensität. Wer in Frankfurt tätig ist, muss mit kurzfristigen Anforderungen rechnen.