Der Standard Nr. 239 des Basler Ausschusses für Bankenaufsicht, „Principles for effective risk data aggregation and risk reporting“, veröffentlicht im Januar 2013. Seine 14 Grundsätze betreffen Governance, Datenarchitektur, Aggregationsfähigkeit, Risikoberichterstattung und aufsichtliche Überprüfung.

Gilt BCBS 239 für Banken in Luxemburg?

BCBS 239 ist kein EU-Recht, dient der Aufsicht aber als Maßstab. Die EZB wendet ihn über ihren Leitfaden vom Mai 2024 auf bedeutende Institute an, und das Rundschreiben CSSF 12/552 verweist für die Risikoberichterstattung der von der CSSF beaufsichtigten Kreditinstitute darauf.

RDARR (risk data aggregation and risk reporting) ist der Begriff der EZB für die in BCBS 239 beschriebenen Fähigkeiten zur Risikodatenaggregation und Risikoberichterstattung.

Welche Erstellungsdauer hält die EZB für zu lang?

Nach dem EZB-Leitfaden kann ein Institut in normalen Situationen in der Regel nicht rechtzeitig reagieren, wenn die Erstellung eines monatlichen oder vierteljährlichen Risikoberichts mehr als 20 Arbeitstage dauert.

Ist der RDARR-Leitfaden der EZB verbindlich?

Der Leitfaden schafft keine neuen Anforderungen, sondern legt dar, wie die EZB das auf der CRD beruhende nationale Recht anwendet. Wo Banken Mängel nicht rechtzeitig behoben, setzte die EZB jedoch verbindliche Aufsichtsmaßnahmen nach Artikel 16 der SSM-Verordnung ein.

BCBS 239 für Banken in Luxemburg erklärt: Risikodatenaggregation, EZB-Leitfaden und CSSF

BCBS 239 legt 14 Grundsätze für die Aggregation von Risikodaten und die Risikoberichterstattung fest; in Luxemburg konkretisieren EZB-Leitfaden und CSSF 12/552 sie.

BCBS 239 bezeichnet die 14 Grundsätze, die der Basler Ausschuss für Bankenaufsicht im Januar 2013 veröffentlicht hat: Banken sollen ihre Risikodaten so aggregieren und an die Geschäftsleitung berichten, dass die Zahlen korrekt, vollständig und rechtzeitig genug für Entscheidungen sind. Für Banken in Luxemburg ist das in zweifacher Hinsicht relevant: Bedeutende Institute werden am EZB-Leitfaden zur wirksamen Risikodatenaggregation und Risikoberichterstattung vom 3. Mai 2024 gemessen, und das Rundschreiben CSSF 12/552 verweist für die Risikoberichterstattung der direkt von der CSSF beaufsichtigten Kreditinstitute auf BCBS 239.

Woher BCBS 239 kommt

Der Basler Ausschuss formulierte die Grundsätze nach der Krise von 2007 bis 2009, als viele Banken, darunter global systemrelevante Institute (G-SIBs), ihre Risikopositionen nicht vollständig, schnell und korrekt aggregieren und Konzentrationen erkennen konnten. G-SIBs, die bis November 2012 eingestuft waren, sollten ab dem 1. Januar 2016 konform sein; später eingestufte Banken haben drei Jahre ab ihrer Einstufung. Den Aufsichtsbehörden wurde zudem empfohlen, die Grundsätze drei Jahre nach der Einstufung auch auf national systemrelevante Banken anzuwenden.

Die Umsetzung hinkt seither hinterher. Die thematische Prüfung der EZB bei 25 bedeutenden Instituten, veröffentlicht im Mai 2018, fand kein einziges Institut, das die Grundsätze vollständig umgesetzt hatte. In seinem Fortschrittsbericht vom 28. November 2023 stellte der Basler Ausschuss fest, dass nur zwei von 31 G-SIBs alle Grundsätze vollständig erfüllten.

Die 14 Grundsätze im Überblick

Bereich	Grundsätze
I. Übergreifende Governance und Infrastruktur	1 Governance · 2 Datenarchitektur und IT-Infrastruktur
II. Fähigkeit zur Risikodatenaggregation	3 Genauigkeit und Integrität · 4 Vollständigkeit · 5 Aktualität · 6 Anpassungsfähigkeit
III. Risikoberichterstattung	7 Genauigkeit · 8 Umfassender Charakter · 9 Klarheit und Nützlichkeit · 10 Häufigkeit · 11 Verteilung
IV. Aufsichtliche Überprüfung, Instrumente und Zusammenarbeit	12 Überprüfung · 13 Abhilfe- und Aufsichtsmaßnahmen · 14 Zusammenarbeit zwischen Herkunfts- und Aufnahmestaat

Die Grundsätze 1 bis 11 richten sich an Banken, 12 bis 14 an die Aufsicht. Die Logik ist eine Kette: Ohne Governance und integrierte Datenarchitektur (I) keine verlässliche Aggregation (II), ohne verlässliche Aggregation keine korrekten und rechtzeitigen Berichte an das Leitungsorgan (III).

Der RDARR-Leitfaden der EZB von 2024

Die EZB spricht von RDARR (risk data aggregation and risk reporting). Ihr Leitfaden vom Mai 2024 schafft keine neuen Regeln, sondern beschreibt „aufsichtliche Mindesterwartungen“, die mit den nationalen Aufsichtsbehörden abgestimmt sind, zur Anwendung des bestehenden, auf der Eigenkapitalrichtlinie (CRD) beruhenden Rechts. BCBS 239 dient der EZB als Maßstab guter Praxis; sie wendet den Grundsatz der Verhältnismäßigkeit an.

Die Ausgangslage ist ernüchternd. RDARR war im SREP-Zyklus 2023 die am schlechtesten bewertete Unterkategorie der internen Governance, und die EZB beobachtete monatliche Risikoberichte mit einer Erstellungsdauer von 40 und mehr Arbeitstagen. Der Leitfaden umfasst sieben Bereiche:

#	Bereich	Erwartung der EZB, kurz gefasst
1	Verantwortung des Leitungsorgans	Verantwortung für Daten-Governance und Umsetzungszeitplan auf oberster Ebene
2	Ausreichender Anwendungsbereich	Alle wesentlichen Rechtseinheiten, Risiken und Geschäftsbereiche, einschließlich Finanz- und Aufsichtsmeldewesen, über den gesamten Datenlebenszyklus
3	Wirksamer Daten-Governance-Rahmen	Dateneigentümer für zentrale Risikoindikatoren, zentrale Daten-Governance-Funktion, unabhängige Validierungsfunktion und interne Revision
4	Integrierte Datenarchitektur	Gruppenweite Architektur mit Datenwörterbuch, Metadaten und vollständiger Data Lineage
5	Gruppenweites Datenqualitätsmanagement	Standards, Kontrollen und Behebung von Datenqualitätsmängeln in der gesamten Gruppe
6	Aktualität der internen Risikoberichterstattung	In der Regel höchstens 20 Arbeitstage für einen Monats- oder Quartalsbericht im Normalfall; Ad-hoc-Fähigkeit in Stresssituationen
7	Wirksame Umsetzungsprogramme	Finanzierte Programme mit Meilensteinen, Verantwortlichen und Fortschrittsberichten

Aufsichtlicher Fokus 2025 und 2026

Der Druck lässt nicht nach. In ihren Aufsichtsprioritäten 2026–2028 vom November 2025 hält die EZB fest, dass der SREP 2025 anhaltende RDARR-Mängel zeigte, ohne Verbesserung des durchschnittlichen Teilscores gegenüber dem Vorjahr. Genannt werden Schwächen bei der Daten-Governance (einschließlich der Einbindung der Leitungsorgane), bei Dateninfrastruktur und IT-Architektur sowie bei Genauigkeit und Integrität der Daten. Geplant sind systemweites Monitoring, gezielte Vor-Ort-Prüfungen und die Nachverfolgung schwerwiegender Feststellungen.

Der Jahresbericht 2025 der EZB-Bankenaufsicht ergänzt, dass die EZB dort, wo erste Maßnahmen nicht rechtzeitig wirkten, verbindliche Aufsichtsmaßnahmen nach Artikel 16 der SSM-Verordnung einsetzte.

Was das für Luxemburg bedeutet

Institutstyp	Aufsicht	Bezugspunkt für Risikodaten
Bedeutende Institute (SIs)	EZB, mit der CSSF in den gemeinsamen Aufsichtsteams	EZB-Leitfaden RDARR vom Mai 2024, BCBS 239, SREP-Feststellungen
Weniger bedeutende Institute (LSIs)	CSSF, unter Aufsicht der EZB	Rundschreiben CSSF 12/552 mit Verweis auf BCBS 239

Für weniger bedeutende Institute ist das maßgebliche Luxemburger Dokument das Rundschreiben CSSF 12/552 zu zentraler Verwaltung, interner Governance und Risikomanagement, in der eingesehenen konsolidierten Fassung zuletzt durch das Rundschreiben CSSF 24/860 geändert. Nach Punkt 132 muss die Leitung der Risikomanagementfunktion der Geschäftsleitung und dem Aufsichtsorgan eine unabhängige, umfassende, objektive und relevante Übersicht über die Risiken liefern; eine Fußnote stellt klar, dass dies BCBS 239 entspricht. Der Anhang des EZB-Leitfadens nennt genau diesen Punkt, zusammen mit Punkt 30 des Rundschreibens CSSF 11/506 zu Stresstests, als Luxemburger Umsetzung der einschlägigen CRD-Bestimmungen.

Der EZB-Leitfaden richtet sich formal an bedeutende Institute. Für ein LSI ist er keine CSSF-Vorgabe, aber die ausführlichste öffentliche Beschreibung dessen, was europäische Aufseher unter angemessenem RDARR verstehen, und er wurde gemeinsam mit den nationalen Behörden erarbeitet.

Was jetzt zu tun ist

Eine Lückenanalyse durchführen gegen die 14 Grundsätze und die sieben EZB-Bereiche und sie dem Leitungsorgan vorlegen.
Den Anwendungsbereich festlegen: wesentliche Rechtseinheiten, Risiken und Berichte, einschließlich Aufsichts- und Finanzmeldewesen.
Dateneigentümer benennen für kritische Datenelemente und ihnen die Hoheit über Definitionen und Qualitätsschwellen geben.
Data Lineage dokumentieren für die zentralen Risikoindikatoren, vom Quellsystem bis zum Bericht an das Leitungsorgan, und manuelle Anpassungen zählen.
Erstellungszeiten messen für Monats- und Quartalsrisikoberichte, gemessen an der 20-Arbeitstage-Referenz der EZB.
Ein Umsetzungsprogramm aufsetzen mit Budget, Meilensteinen und regelmäßiger Berichterstattung an das Leitungsorgan statt einer Reihe einzelner Korrekturen.