Die Geschäftsleitung muss eine tragfähige Geschäftsstrategie festlegen, in der die Ziele des Instituts für die wesentlichen Geschäftsaktivitäten sowie die Maßnahmen zur Errei- chung dieser Ziele dargestellt werden. Diese Strategieentwicklung setzt eine zukunfts- gerichtete Analyse des Geschäftsmodells voraus. Die Geschäftsmodellanalyse kann in Abhängigkeit von Komplexität und Risikogehalt der Aktivitäten erfolgen. Bei der Ent- wicklung der Geschäftsstrategie sind sowohl externe als auch interne Einflussfaktoren zu berücksichtigen. Hinsichtlich der zeitlichen Entwicklung wesentlicher Einflussfakto- ren sind plausible Annahmen zu treffen, die regelmäßig und ggf. anlassbezogen zu überprüfen sind; erforderlichenfalls ist die Geschäftsstrategie anzupassen. Prüfungshandlungen durch Jahresabschlussprüfer oder die Interne Revision Der Inhalt der Geschäftsstrategie liegt allein in der Verantwortung der Geschäftsleitung und ist nicht Gegenstand der Prüfung durch Jahresabschlussprüfer oder die Interne Re- vision. Bei der Überprüfung der Risikostrategie ist die Geschäftsstrategie heranzuziehen, um die Konsistenz zwischen beiden Strategien nachvollziehen zu können. Strategische Ziele sowie Maßnahmen zu deren Erreichung Die Darstellung der strategischen Ziele sowie der Maßnahmen zur Erreichung dieser Ziele müssen hinreichend konkret formuliert sein, um plausibel in die operative Unter- nehmensplanung überführt werden zu können. Besondere strategische Aspekte Im Falle umfangreicher Auslagerungen müssen in der Geschäftsstrategie auch hierzu entsprechende Ausführungen gemacht werden. Institute mit einem Portfolio an gehebelten Transaktionen haben diese Geschäftsaktivi- täten bei der Festlegung ihrer Strategie zu berücksichtigen. Dazu gehören z.B. die Defini- tion von gehebelten Transaktionen und deren Rahmenbedingungen sowie der Risikoap- petit.
Die Geschäftsleitung muss eine mit der Geschäftsstrategie und den daraus resultieren- den Risiken konsistente Risikostrategie festlegen. Die Risikostrategie muss – ggf. unter- teilt in Teilstrategien für die wesentlichen Risiken - die Ziele der Risikosteuerung der wesentlichen Geschäftsaktivitäten sowie die Maßnahmen zur Erreichung dieser Ziele umfassen. Insbesondere ist für alle wesentlichen Risiken der Risikoappetit des Instituts festzulegen; Risikokonzentrationen sind hierbei, auch mit Blick auf die Ertragssituation des Instituts, zu berücksichtigen. Die Geschäftsleitung muss eine mit der Geschäftsstrategie konsistente und nachhaltige IKT-Strategie festlegen. Ist ein Institut verpflichtet, eine DOR-Strategie (Strategie für die digitale operationale Resilienz) zu verfassen, können abhängig von Größe und Gesam- trisikoprofil des Instituts die IKT-Strategie und die DOR-Strategie auch in einem gemein- samen Dokument verfasst sein. Gleiches gilt für die IKT-Strategie und die Geschäftsstra- tegie. Risikoappetit Mit der Festlegung des Risikoappetits trifft die Geschäftsleitung eine bewusste Ent- scheidung darüber, in welchem Umfang sie bereit ist, Risiken einzugehen. Der Risikoap- petit kann in vielfacher Weise zum Ausdruck gebracht werden. Neben rein quantitati- ven Vorgaben (z. B. Strenge der Risikomessung, Globallimite, Festlegung von Puffern für bestimmte Stressszenarien) kann der Risikoappetit auch in der Festlegung von qualitati- ven Vorgaben zur Geltung kommen (z. B. Anforderung an die Besicherung von Krediten, Vermeidung bestimmter Geschäfte).
Institute mit hohem NPL-Bestand müssen für notleidende Risikopositionen eine Strate- gie entwickeln, wie die daraus folgenden Risiken über einen realistischen Zeithorizont reduziert werden können. Hierfür sind die Ursachen für notleidende Risikopositionen zu beurteilen und auf dieser Basis kurz-, mittel- und langfristige Abbauziele festzulegen und ein Implementierungsplan zu erstellen. Zentrale Bausteine für die Entwicklung und Umsetzung dieser Strategie sind: - Beurteilung des operativen Geschäftsumfelds und der externen Bedingungen an- hand einer jährlichen Selbsteinschätzung, Auswirkungen auf das Kapital sind da- bei zu berücksichtigen; - Entwicklung einer Strategie mit kurz-, mittel- und langfristigen Zielen und - Umsetzung des Implementierungsplans. Fortschritte bei der Umsetzung des Plans sind vierteljährlich anhand festzulegender NPE-bezogener Leistungsindikatoren (Key Performance Indicators - KPI) zu überprüfen. Wesentliche Abweichungen vom Implementierungsplan sind zeitnah der Geschäftslei- tung zu übermitteln; außerdem sind geeignete Abhilfemaßnahmen zu ergreifen. Die Bafin lässt sich wesentliche Abweichungen vom Implementierungsplan sowie geeig- nete Abhilfemaßnahmen berichten.
Der Detaillierungsgrad der Strategien ist abhängig von Umfang, Komplexität und Risi- kogehalt der geplanten Geschäftsaktivitäten. Es bleibt dem Institut überlassen, die Risi- kostrategie und die IKT/DOR-Strategie in die Geschäftsstrategie zu integrieren.
Für die Zwecke der Beurteilung sind die in den Strategien niedergelegten Ziele so zu for- mulieren, dass eine sinnvolle Überprüfung der Zielerreichung möglich ist. Kleine Insti- tute dürfen sich darauf beschränken, die Strategie und Kapitalplanung nur jährlich zu überwachen, wenn sie zusätzlich zu der aufsichtlich vorgeschriebenen und empfohle- nen Kapitalausstattung einen weiteren Puffer von mindestens zwei Prozentpunkten an hartem Kernkapital vorhalten.
Die Inhalte sowie Änderungen der Strategien sind innerhalb des Instituts in geeigneter Weise zu kommunizieren.