MaRisk 2026

MaRisk Evidence Pack

Auditable evidence from MaRisk operationalization — structured by evidence categories with documentation requirements, owner roles and review cycles.

Note: The Evidence Pack structures the evidence management but does not replace review by Internal Audit or the external auditor.

Evidence Categories

Annual Review

Quarterly Review

Required Documents

Evidence Categories

ID	Category	Description	Required Documents	Owner	Audit Relevance	Review Cycle
EVI-01	Proportionalitätsentscheidung	Dokumentierte Entscheidung über die Nutzung von Proportionalitätsklauseln und Erleichterungen gemäß AT 2.1.	→Proportionalitätsprüfung →Entscheidungsvorlage →Risikoakzeptanz →Managementbeschluss	Risikocontrolling	Hoch – IDW PS 951 Prüfungsschwerpunkt	Jährlich
EVI-02	Institutsklassifizierung	Nachweis der korrekten Zuordnung des Instituts zu einer Größenklasse als Grundlage der Proportionalitätsanwendung.	→Bilanzsumme →SNCI-Status →Geschäftsmodell-Beschreibung →Klassifizierungsentscheidung	Risikocontrolling	Hoch – Grundlage der Proportionalitätsprüfung	Jährlich
EVI-03	Strategieabgleich	Nachweis der Konsistenz zwischen Geschäfts-, Risiko-, IKT- und DOR-Strategie.	→Strategiedokumente →Abgleichsmatrix →Strategiebeschluss	Vorstand	Hoch – AT 4.3.1 Prüfungsschwerpunkt	Jährlich
EVI-04	IKT/DOR-Strategie	Dokumentation der IKT-Strategie und der Digital Operational Resilience Strategy gemäß DORA Art. 6 (i).	→IKT-Strategie →DOR-Strategie →Strategieabgleich →Umsetzungsplan	IKT-Leitung / DOR-Beauftragter	Hoch – DORA-Prüfungsschwerpunkt	Jährlich
EVI-05	Risikoinventar	Vollständiges Risikoinventar mit Integration von IKT-, DORA-, ESG- und Konzentrationsrisiken.	→Risikoinventar →Risikokategorisierung →Wesentlichkeitsbewertung →Führungsinformationssystem	Risikocontrolling	Hoch – Kernstück der MaRisk-Prüfung	Quartalsweise
EVI-06	IKT-Risikobewertung	Bewertung der IKT-Risiken gemäß DORA Art. 7 mit Klassifizierung und Wesentlichkeitsbewertung.	→IKT-Risikoinventar →Risikobewertung →Klassifizierung →Behandlungskonzept	IKT-Risikomanager	Hoch – DORA Art. 7 Prüfung	Jährlich
EVI-07	AT 9/DORA-Abgrenzung	Dokumentierte Entscheidung über die Anwendung von AT 9 oder DORA für jede ausgelagerte Dienstleistung.	→Dienstleistungskatalog →Abgrenzungsmatrix →Klassifizierungsentscheidung →Registerzuordnung	Auslagerungsmanagement	Hoch – AT 9 und DORA Prüfungsschwerpunkt	Jährlich
EVI-08	Auslagerungsrisikoanalyse	Risikoanalyse für jede Auslagerung mit Bewertung der Wesentlichkeit und Kritikalität.	→Risikoanalyse →Kritikalitätsbewertung →Vertragsdokumentation →SLA-Nachweis	Auslagerungsmanagement	Hoch – AT 9 und DORA Prüfung	Jährlich
EVI-09	Resilienzanalyse	Systematische Analyse der Widerstandsfähigkeit gegenüber adversen Szenarien gemäß AT 4.3.3.	→Szenarioanalyse →Wirkungsabschätzung →Handlungsoptionen →Steuerungsimpulse	Risikomanagement / BCM-Beauftragter	Mittel bis Hoch – AT 4.3.3 Prüfung	Jährlich
EVI-10	Modell-Governance	Governance-Framework für Modelle einschließlich Validierung, Überwachung und Dokumentation.	→Modellinventar →Validierungsberichte →Governance-Richtlinie →Modellperformance-Nachweise	Modellrisikomanager	Hoch – AT 4.3.2 und AI Act Prüfung	Jährlich
EVI-11	KI-Erklärbarkeit	Nachweis der Erklärbarkeit von KI-Modellen gemäß AI Act (Hochrisiko-KI) und MaRisk AT 4.3.2.	→KI-Anwendungsverzeichnis →Erklärbarkeitsanalyse →Risikobewertung →Override-Regeln	KI-Beauftragter	Hoch – AI Act und MaRisk Prüfung	Jährlich
EVI-12	Berichtswesen	Nachweis der Berichtsstruktur, Wesentlichkeitsschwellen und Berichtsfähigkeit gemäß AT 4.3.4.	→Berichtskonzept →Wesentlichkeitsschwellen →Berichtsnachweise →Berichtsvorlagen	Risikocontrolling	Hoch – AT 4.3.4 Prüfungsschwerpunkt	Jährlich
EVI-13	Managemententscheidung	Dokumentierte Entscheidungen des Vorstands zu Risiko-, Strategie-, Proportionalitäts- und organisatorischen Fragen.	→Entscheidungsvorlage →Beschluss →Risikoakzeptanz →Verantwortungszuordnung	Vorstand	Hoch – Nachweispflicht für alle Managemententscheidungen	Nach Bedarf
EVI-14	Interne Revision / Prüfungsreadiness	Vollständige Prüfungsnachweise für Interne Revision und Wirtschaftsprüfer basierend auf IDW PS 951.	→Zentrales Evidence Pack →Prüfungspfad →Kontrollnachweise →Lückenanalyse	Interne Revision / Compliance	Hoch – Prüfungsreadiness für Revision und WP	Jährlich

Evidence Lifecycle

1 Collection

Identify and gather all relevant evidence from business units.

2 Categorization

Map evidence to categories, audit requirements and responsibilities.

3 Review & Approval

Quality assurance, validation and sign-off by responsible owner.

4 Audit & Archive

Provide for audits, long-term archiving and regular updates.

Responsibilities by Evidence Category

Risikocontrolling

→Proportionalitätsentscheidung
→Institutsklassifizierung
→Risikoinventar
→Berichtswesen

Vorstand

→Strategieabgleich
→Managemententscheidung

IKT-Leitung / DOR-Beauftragter

→IKT/DOR-Strategie

IKT-Risikomanager

→IKT-Risikobewertung

Auslagerungsmanagement

→AT 9/DORA-Abgrenzung
→Auslagerungsrisikoanalyse

Risikomanagement / BCM-Beauftragter

→Resilienzanalyse

Modellrisikomanager

→Modell-Governance

KI-Beauftragter

→KI-Erklärbarkeit

Interne Revision / Compliance

→Interne Revision / Prüfungsreadiness