MaRisk
MaRisk fixe les exigences minimales de gestion des risques pour les établissements couverts par le cadre allemand de surveillance bancaire. La circulaire traduit des obligations légales en principes pour identifier, mesurer, piloter et surveiller les risques. La direction de la banque, le contrôle des risques, la conformité et l'audit interne s'appuient sur ces exigences pour organiser les contrôles et attribuer les responsabilités.
La BaFin publie MaRisk sur le fondement de la loi bancaire allemande, pour des sujets comme la capacité à porter les risques, l'externalisation et la gestion des situations d'urgence. Les exigences donnent aux banques un cadre pour documenter l'adéquation de leurs contrôles à leurs activités et à leurs risques. La neuvième révision, la circulaire 06/2026 (BA), est la version actuelle de ce cadre.
Ce qu'est MaRisk et qui l'applique
MaRisk est une règle administrative qui interprète la loi, et elle est de fait contraignante pour les établissements auxquels elle s'adresse. Le premier module de MaRisk cite l'article 25a, paragraphe 1, du KWG comme fondement et précise qu'il concrétise aussi l'article 25b sur l'externalisation et l'article 26c sur les risques ESG.
La circulaire s'applique à tous les établissements soumis au KWG, sauf s'ils sont des établissements importants au sens du règlement MSU, que la Banque centrale européenne surveille directement. Les établissements de services financiers et les grandes entreprises d'investissement l'appliquent dans la mesure où leur taille et leurs activités l'exigent. Par MaRisk, la BaFin transpose aussi des orientations de l'EBA, notamment sur la gouvernance interne, l'externalisation, l'octroi et le suivi des prêts, et la gestion des risques ESG.
Structure de la circulaire
La partie générale, le module AT, contient les règles pour chaque établissement: champ d'application, responsabilité du directoire et du conseil de surveillance, capacité à porter les risques, stratégies, système de contrôle interne avec tests de résistance et usage de modèles, et trois fonctions spéciales pour le contrôle des risques, la conformité et l'audit interne. La partie générale se poursuit avec la documentation, le personnel et l'équipement technique, la gestion des situations d'urgence en AT 7.3, le processus de nouveaux produits et l'externalisation en AT 9.
La partie spéciale couvre l'activité de crédit en BTO 1, le trading en BTO 2 et l'activité immobilière en BTO 3. BTR 1 à BTR 5 fixent les processus de contrôle des risques de contrepartie, de prix de marché, de liquidité, opérationnels et de spread de crédit, et BT 2 fixe les exigences des rapports sur les risques. Les pages sur le risque opérationnel des banques et la gestion de la continuité d'activité détaillent BTR 4 et AT 7.3.
Ce qu'a changé la neuvième révision
La BaFin a publié la neuvième révision le 30 juin 2026 et la décrit comme plus fondée sur des principes, avec plus de marge pour une application proportionnée et de nouveaux allègements pour les petits et très petits établissements. Selon le résumé du Genoverband, l'obligation d'utiliser plusieurs méthodes pour identifier les risques ESG disparaît, tout comme la forme écrite des contrats d'externalisation importants. Les plans d'urgence doivent désormais couvrir toutes les fonctions critiques ou importantes, sans l'accent mis auparavant sur l'urgence temporelle, et l'audit interne obtient un accès plus clair aux grands projets.
Les petits établissements disposant de coussins de fonds propres suffisants peuvent continuer à revoir leur stratégie et leur planification des fonds propres une fois par an. La circulaire s'applique dès sa publication, et les exigences nouvelles ou plus strictes doivent être en place au 1er janvier 2027. La BaFin précise qu'un texte plus fondé sur des principes n'abaisse pas le niveau d'exigence: les risques doivent toujours être identifiés, mesurés, pilotés et surveillés.
Événements à venir sur le risque et la conformité
MaRisk s'applique-t-elle aux banques surveillées par la BCE?
Non. Selon le module AT 2.1 de la circulaire actuelle, MaRisk s'adresse aux établissements qui ne sont pas classés comme importants au sens du règlement MSU. Les établissements importants, que la BCE surveille directement dans son SREP, suivent les guides propres de la BCE. Les succursales d'établissements allemands à l'étranger appliquent MaRisk; les succursales en Allemagne d'entreprises d'autres États de l'EEE ne l'appliquent pas.
Quel lien entre MaRisk et DORA?
La circulaire indique que les services TIC externalisés ou achetés qui relèvent des règles de DORA sur le risque lié aux tiers prestataires de TIC, articles 28 à 30, sont hors du champ d'AT 9. Pour ceux-ci, les règles DORA sur les tiers s'appliquent, tandis qu'AT 9 garde l'externalisation des autres activités et processus. Les exigences informatiques que la BaFin avait fixées dans les BAIT sont remplacées par DORA.
Qu'exige MaRisk AT 7.3?
AT 7.3 exige un concept d'urgence pour les activités et processus qui sont des fonctions critiques ou importantes. Le concept d'urgence repose sur des analyses d'impact sur l'activité et contient des plans de continuité d'activité et de reprise. Le concept est mis à jour chaque année et dès qu'un motif le justifie, la direction reçoit au moins chaque trimestre un rapport écrit sur la gestion des situations d'urgence, et les plans des fonctions critiques ou importantes sont testés chaque année.
MaRisk et Finance Loop
Finance Loop est le lieu de rencontre des contrôleurs des risques, responsables de la conformité et auditeurs internes qui traduisent MaRisk en processus et en outils dans les banques allemandes. Finance Loop a coorganisé le Frankfurt Quantum Finance Forum à la Frankfurt School avec la Deutsche Bundesbank et IBM, où la modélisation des risques était au programme, et travaille avec le cabinet de conseil francfortois d-fine comme partenaire d'événements et de réseau.
Finance Loop est un réseau professionnel qui favorise l'usage institutionnel des technologies émergentes en finance, comme l'IA, les paiements numériques, le cloud et les solutions blockchain. Finance Loop aide ses membres à développer des compétences et des réseaux personnels dans ces domaines: Investissement & actifs numériques, Paiements & monnaie numérique, Infrastructure numérique & souveraineté et Risque & conformité.