MaRisk 2026

MaRisk 2026 Evidence Pack

Strukturierter Arbeitsbereich zur Kategorisierung und Zusammenstellung von Nachweisen, Prüfungsdokumenten und Managemententscheidungen für die Audit Readiness.

Hinweis: Diese Inhalte sind generische Umsetzungshilfen und ersetzen keine Rechtsberatung, keine aufsichtsrechtliche Auslegung und keine institutsspezifische Prüfung. Maßgeblich sind die finalen MaRisk 2026, DORA, KWG, offizielle Aufsichtsdokumente sowie die individuelle Bewertung des jeweiligen Instituts.

Evidence-Kategorien

Jährliche Prüfung

Quartalsweise

Geforderte Dokumente

Evidence-Kategorien im Detail

ID	Kategorie	Beschreibung	Erforderliche Dokumente	Verantwortlich	Prüfungsrelevanz	Zyklus
EVI-01	Proportionalitätsentscheidung	Dokumentierte Entscheidung über die Nutzung von Proportionalitätsklauseln und Erleichterungen gemäß AT 2.1.	→Proportionalitätsprüfung →Entscheidungsvorlage →Risikoakzeptanz →Managementbeschluss	Risikocontrolling	Hoch – IDW PS 951 Prüfungsschwerpunkt	Jährlich
EVI-02	Institutsklassifizierung	Nachweis der korrekten Zuordnung des Instituts zu einer Größenklasse als Grundlage der Proportionalitätsanwendung.	→Bilanzsumme →SNCI-Status →Geschäftsmodell-Beschreibung →Klassifizierungsentscheidung	Risikocontrolling	Hoch – Grundlage der Proportionalitätsprüfung	Jährlich
EVI-03	Strategieabgleich	Nachweis der Konsistenz zwischen Geschäfts-, Risiko-, IKT- und DOR-Strategie.	→Strategiedokumente →Abgleichsmatrix →Strategiebeschluss	Vorstand	Hoch – AT 4.3.1 Prüfungsschwerpunkt	Jährlich
EVI-04	IKT/DOR-Strategie	Dokumentation der IKT-Strategie und der Digital Operational Resilience Strategy gemäß DORA Art. 6 (i).	→IKT-Strategie →DOR-Strategie →Strategieabgleich →Umsetzungsplan	IKT-Leitung / DOR-Beauftragter	Hoch – DORA-Prüfungsschwerpunkt	Jährlich
EVI-05	Risikoinventar	Vollständiges Risikoinventar mit Integration von IKT-, DORA-, ESG- und Konzentrationsrisiken.	→Risikoinventar →Risikokategorisierung →Wesentlichkeitsbewertung →Führungsinformationssystem	Risikocontrolling	Hoch – Kernstück der MaRisk-Prüfung	Quartalsweise
EVI-06	IKT-Risikobewertung	Bewertung der IKT-Risiken gemäß DORA Art. 7 mit Klassifizierung und Wesentlichkeitsbewertung.	→IKT-Risikoinventar →Risikobewertung →Klassifizierung →Behandlungskonzept	IKT-Risikomanager	Hoch – DORA Art. 7 Prüfung	Jährlich
EVI-07	AT 9/DORA-Abgrenzung	Dokumentierte Entscheidung über die Anwendung von AT 9 oder DORA für jede ausgelagerte Dienstleistung.	→Dienstleistungskatalog →Abgrenzungsmatrix →Klassifizierungsentscheidung →Registerzuordnung	Auslagerungsmanagement	Hoch – AT 9 und DORA Prüfungsschwerpunkt	Jährlich
EVI-08	Auslagerungsrisikoanalyse	Risikoanalyse für jede Auslagerung mit Bewertung der Wesentlichkeit und Kritikalität.	→Risikoanalyse →Kritikalitätsbewertung →Vertragsdokumentation →SLA-Nachweis	Auslagerungsmanagement	Hoch – AT 9 und DORA Prüfung	Jährlich
EVI-09	Resilienzanalyse	Systematische Analyse der Widerstandsfähigkeit gegenüber adversen Szenarien gemäß AT 4.3.3.	→Szenarioanalyse →Wirkungsabschätzung →Handlungsoptionen →Steuerungsimpulse	Risikomanagement / BCM-Beauftragter	Mittel bis Hoch – AT 4.3.3 Prüfung	Jährlich
EVI-10	Modell-Governance	Governance-Framework für Modelle einschließlich Validierung, Überwachung und Dokumentation.	→Modellinventar →Validierungsberichte →Governance-Richtlinie →Modellperformance-Nachweise	Modellrisikomanager	Hoch – AT 4.3.2 und AI Act Prüfung	Jährlich
EVI-11	KI-Erklärbarkeit	Nachweis der Erklärbarkeit von KI-Modellen gemäß AI Act (Hochrisiko-KI) und MaRisk AT 4.3.2.	→KI-Anwendungsverzeichnis →Erklärbarkeitsanalyse →Risikobewertung →Override-Regeln	KI-Beauftragter	Hoch – AI Act und MaRisk Prüfung	Jährlich
EVI-12	Berichtswesen	Nachweis der Berichtsstruktur, Wesentlichkeitsschwellen und Berichtsfähigkeit gemäß AT 4.3.4.	→Berichtskonzept →Wesentlichkeitsschwellen →Berichtsnachweise →Berichtsvorlagen	Risikocontrolling	Hoch – AT 4.3.4 Prüfungsschwerpunkt	Jährlich
EVI-13	Managemententscheidung	Dokumentierte Entscheidungen des Vorstands zu Risiko-, Strategie-, Proportionalitäts- und organisatorischen Fragen.	→Entscheidungsvorlage →Beschluss →Risikoakzeptanz →Verantwortungszuordnung	Vorstand	Hoch – Nachweispflicht für alle Managemententscheidungen	Nach Bedarf
EVI-14	Interne Revision / Prüfungsreadiness	Vollständige Prüfungsnachweise für Interne Revision und Wirtschaftsprüfer basierend auf IDW PS 951.	→Zentrales Evidence Pack →Prüfungspfad →Kontrollnachweise →Lückenanalyse	Interne Revision / Compliance	Hoch – Prüfungsreadiness für Revision und WP	Jährlich

Evidence-Lifecycle

1 Erhebung

Identifikation und Sammlung aller relevanten Nachweise aus den Fachbereichen.

2 Kategorisierung

Zuordnung zu Evidence-Kategorien, Prüfungsanforderungen und Verantwortlichkeiten.

3 Prüfung & Freigabe

Qualitätssicherung, Validierung und Freigabe durch die verantwortliche Stelle.

4 Audit & Archivierung

Bereitstellung für Prüfungen, Langzeitarchivierung und turnusmäßige Aktualisierung.

Verantwortlichkeiten nach Evidence-Kategorie

Risikocontrolling

→Proportionalitätsentscheidung
→Institutsklassifizierung
→Risikoinventar
→Berichtswesen

Vorstand

→Strategieabgleich
→Managemententscheidung

IKT-Leitung / DOR-Beauftragter

→IKT/DOR-Strategie

IKT-Risikomanager

→IKT-Risikobewertung

Auslagerungsmanagement

→AT 9/DORA-Abgrenzung
→Auslagerungsrisikoanalyse

Risikomanagement / BCM-Beauftragter

→Resilienzanalyse

Modellrisikomanager

→Modell-Governance

KI-Beauftragter

→KI-Erklärbarkeit

Interne Revision / Compliance

→Interne Revision / Prüfungsreadiness

Audit Readiness erreichen?

14 Evidence-Kategorien, dokumentierte Nachweise und prüfungsfähige Managemententscheidungen in einem strukturierten Arbeitsraum. Pilotgespräch vereinbaren.

Pilotgespräch anfragen

Nachweise gesamt

Erhoben

Geprüft

Freigegeben

Fertigstellung

Fertigstellungsgrad

0% 50% 100%

Nachweis erfassen

Kategorie

Nachweisname

Status

Verantwortlicher

Datum

Erfasste Nachweise

Kategorie	Nachweisname	Status	Verantwortlich	Datum	Aktion