(1) Ein Institut muss über eine ordnungsgemäße Geschäftsorganisation verfügen, die die Einhaltung der vom Institut zu beachtenden gesetzlichen Bestimmungen und der betriebswirtschaftlichen Notwendigkeiten gewährleistet. Die Geschäftsleiter sind für die ordnungsgemäße Geschäftsorganisation des Instituts verantwortlich; sie haben die erforderlichen Maßnahmen für die Ausarbeitung der entsprechenden institutsinternen Vorgaben zu ergreifen, sofern nicht das Verwaltungs- oder Aufsichtsorgan entscheidet. Dies umfasst insbesondere wirksame Verfahren zur Ermittlung, Steuerung, Überwachung und Meldung der Risiken, denen das Institut ausgesetzt ist oder sein könnte, einschließlich kurz-, mittel- und langfristiger Umwelt-, Sozial- und Unternehmensführungsrisiken sowie des Konzentrationsrisikos, das aus Risikopositionen gegenüber zentralen Gegenparteien erwächst, unter Berücksichtigung der in Artikel 7a der Verordnung (EU) Nr. 648/2012 festgelegten Bedingungen. Eine ordnungsgemäße Geschäftsorganisation muss insbesondere eine solide Unternehmensführung sowie ein angemessenes und wirksames Risikomanagement umfassen, auf dessen Basis ein Institut die Risikotragfähigkeit laufend sicherzustellen hat; das Risikomanagement umfasst insbesondere

1. 1. die Festlegung von Strategien, insbesondere die Festlegung einer auf die nachhaltige Entwicklung des Instituts gerichteten Geschäftsstrategie und einer damit konsistenten Risikostrategie, sowie die Einrichtung von Prozessen zur Planung, Umsetzung, Beurteilung und Anpassung der Strategien, wobei die Strategien und die hierfür eingerichteten Prozesse von kleinen und nicht komplexen Instituten im Sinne des Artikels 4 Absatz 1 Unterabsatz 1 Nummer 145 der Verordnung (EU) Nr. 575/2013 alle zwei Jahre und von den übrigen Instituten in Abhängigkeit von Art, Umfang, Komplexität und Risikogehalt der Geschäftstätigkeit regelmäßig, mindestens aber alle zwei Jahre zu überprüfen und soweit erforderlich anzupassen sind;
2. 2. Verfahren zur Ermittlung und Sicherstellung der Risikotragfähigkeit, wobei eine vorsichtige Ermittlung der Risiken, der potentiellen Verluste, die sich auf Grund von Stressszenarien ergeben, einschließlich derjenigen, die nach dem aufsichtlichen Stresstest nach § 6b Absatz 3 ermittelt werden, und des zu ihrer Abdeckung verfügbaren Risikodeckungspotenzials zugrunde zu legen ist;
3. 3. die Einrichtung interner Kontrollverfahren mit einem internen Kontrollsystem und einer unabhängigen Internen Revision, wobei das interne Kontrollsystem insbesondere Folgendes umfasst:
   1. a) aufbau- und ablauforganisatorische Regelungen mit klarer Abgrenzung der Verantwortungsbereiche,
   2. b) Prozesse zur Identifizierung, Beurteilung, Steuerung sowie Überwachung und Kommunikation der Risiken entsprechend den in Titel VII Kapitel 2 Abschnitt 2 Unterabschnitt II der Richtlinie 2013/36/EU in der Fassung vom 27. November 2024 niedergelegten Kriterien und
   3. c) eine unabhängige Risikocontrolling-Funktion und eine unabhängige Compliance-Funktion;
   die Interne Revision darf nicht mit anderen Geschäftsbereichen oder Kontrollfunktionen des Instituts kombiniert werden;
4. 4. eine angemessene personelle und technischorganisatorische Ausstattung des Instituts;
5. 4a. angemessene Kapazitäten für das Datenmanagement sowie effektive Prozesse zur Sicherstellung der Datenqualität;
6. 5. die Festlegung eines angemessenen Notfallmanagements, insbesondere für IT-Systeme, und
7. 6. angemessene, transparente und auf eine nachhaltige Entwicklung des Instituts ausgerichtete Vergütungssysteme für Geschäftsleiter und Mitarbeiter unter Berücksichtigung von Absatz 5; dies gilt mit Ausnahme der Pflicht zur Offenlegung vergütungsbezogener Informationen nicht, soweit die Vergütung durch Tarifvertrag oder in seinem Geltungsbereich durch Vereinbarung der Arbeitsvertragsparteien über die Anwendung der tarifvertraglichen Regelungen oder auf Grund eines Tarifvertrags in einer Betriebs- oder Dienstvereinbarung vereinbart ist.

Die Ausgestaltung des Risikomanagements hängt von Art, Umfang, Komplexität und Risikogehalt der Geschäftstätigkeit ab. Seine Angemessenheit und Wirksamkeit ist vom Institut regelmäßig zu überprüfen. Eine ordnungsgemäße Geschäftsorganisation umfasst darüber hinaus

1. 1. angemessene Regelungen, anhand derer sich die finanzielle Lage des Instituts jederzeit mit hinreichender Genauigkeit bestimmen lässt;
2. 2. eine vollständige Dokumentation der Geschäftstätigkeit, die eine lückenlose Überwachung durch die Bundesanstalt für ihren Zuständigkeitsbereich gewährleistet; erforderliche Aufzeichnungen sind mindestens fünf Jahre aufzubewahren; § 257 Absatz 4 des Handelsgesetzbuchs bleibt unberührt, § 257 Absatz 3 und 5 des Handelsgesetzbuchs gilt entsprechend, und
3. 3. einen Prozess, der es den Mitarbeitern unter Wahrung der Vertraulichkeit ihrer Identität ermöglicht, Verstöße gegen die Verordnung (EU) Nr. 575/2013, die Verordnung (EU) Nr. 596/2014 des Europäischen Parlaments und des Rates vom 16. April 2014 über Marktmissbrauch (Marktmissbrauchsverordnung) und zur Aufhebung der Richtlinie 2003/6/EG des Europäischen Parlaments und des Rates und der Richtlinien 2003/124/EG, 2003/125/EG und 2004/72/EG der Kommission (ABl. L 173 vom 12.6.2014, S. 1; L 287 vom 21.10.2016, S. 320; L 306 vom 15.11.2016, S. 43; L 348 vom 21.12.2016, S. 83), die zuletzt durch die Verordnung (EU) 2016/1033 (ABl. L 175 vom 30.6.2016, S. 1) geändert worden ist, die Verordnung (EU) Nr. 600/2014, die Verordnung (EU) Nr. 1286/2014 oder die Verordnung (EU) 2017/1129 des Europäischen Parlaments und des Rates vom 14. Juni 2017 über den Prospekt, der beim öffentlichen Angebot von Wertpapieren oder bei deren Zulassung zum Handel an einem geregelten Markt zu veröffentlichen ist und zur Aufhebung der Richtlinie 2003/71/EG (ABl. L 168 vom 30.6.2017, S. 12) oder gegen dieses Gesetz oder gegen die auf Grund dieses Gesetzes erlassenen Rechtsverordnungen oder gegen das Wertpapierhandelsgesetz oder gegen die auf Grund des Wertpapierhandelsgesetzes erlassenen Rechtsverordnungen sowie etwaige strafbare Handlungen innerhalb des Unternehmens an geeignete Stellen zu berichten.

(2) Die Bundesanstalt kann gegenüber einem Institut die Anwendung des standardisierten Ansatzes oder des vereinfachten standardisierten Ansatzes, jeweils gemäß der Delegierten Verordnung (EU) 2024/857 in der Fassung vom 1. Dezember 2023, für das Risikomanagement von Zinsänderungsrisiken aus den nicht unter das Handelsbuch fallenden Geschäften anordnen, falls die internen Verfahren und Methoden kein angemessenes und wirksames Risikomanagement in diesem Bereich gewährleisten. Die Bundesanstalt kann gegenüber einem Institut im Einzelfall Anordnungen treffen, die geeignet und erforderlich sind, die ordnungsgemäße Geschäftsorganisation im Sinne des Absatzes 1 Satz 3 und 6 sicherzustellen.

(3) Die Absätze 1 und 2 gelten für Institutsgruppen, Finanzholding-Gruppen und gemischte Finanzholding-Gruppen sowie Unterkonsolidierungsgruppen nach Artikel 22 der Verordnung (EU) Nr. 575/2013 mit der Maßgabe entsprechend, dass die Geschäftsleiter des übergeordneten oder zur Unterkonsolidierung verpflichteten Unternehmens für die ordnungsgemäße Geschäftsorganisation einschließlich einer soliden Unternehmensführung sowie eines angemessenen und wirksamen Risikomanagements der Institutsgruppe, Finanzholding-Gruppe, gemischten Finanzholding-Gruppe oder der Unterkonsolidierungsgruppe verantwortlich sind. Zu einer Gruppe im Sinne von Satz 1 gehören auch Tochterunternehmen eines übergeordneten Unternehmens oder nachgeordneten Tochterunternehmens einer Institutsgruppe, Finanzholding-Gruppe oder gemischten Finanzholding-Gruppe, auf die weder die Verordnung (EU) Nr. 575/2013 noch § 1a zur Anwendung kommt. Die Regelungen, Verfahren und Mechanismen der gruppenangehörigen Unternehmen müssen dabei kohärent sein und ineinandergreifen. Die sich aus den Sätzen 1 und 3 ergebenden Pflichten müssen von Tochterunternehmen der Gruppe mit Sitz in einem Drittstaat nur insoweit beachtet werden, als diese Pflichten nicht dem geltenden Recht im Herkunftsstaat des Tochterunternehmens entgegenstehen.

(4) Das Bundesministerium der Finanzen wird ermächtigt, durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf, im Einvernehmen mit der Deutschen Bundesbank und nach Anhörung der Europäischen Zentralbank nähere Bestimmungen über die Ausgestaltung eines angemessenen und wirksamen Risikomanagements auf Einzelinstituts- und Gruppenebene gemäß Absatz 1 Satz 3 Nummer 1 bis 5 und Absatz 3 und der jeweils zugehörigen Tätigkeiten und Prozesse zu erlassen. Vor Erlass der Rechtsverordnung sind die Spitzenverbände der Institute zu hören.

(5) Die Institute haben angemessene Verhältnisse zwischen der variablen und fixen jährlichen Vergütung für Mitarbeiter und Geschäftsleiter festzulegen. Sie haben die variable Vergütung vorbehaltlich eines Beschlusses nach Satz 5 jeweils bei maximal 100 Prozent der fixen Vergütung für jeden einzelnen Mitarbeiter oder Geschäftsleiter zu halten. Hierbei kann für bis zu 25 Prozent der variablen Vergütung der zukünftige Wert auf den Zeitpunkt der Mitteilung an die jeweiligen Mitarbeiter oder Geschäftsleiter über die Höhe der variablen Vergütung für einen Bemessungszeitraum abgezinst werden, wenn dieser Teil der variablen Vergütung in Instrumenten gezahlt wird, die für die Dauer von mindestens fünf Jahren nach dieser Mitteilung zurückbehalten werden. Bei der Zurückbehaltung dürfen ein Anspruch und eine Anwartschaft auf diesen Teil der variablen Vergütung erst nach Ablauf des Zurückbehaltungszeitraums erwachsen und während des Zurückbehaltungszeitraums lediglich ein Anspruch auf fehlerfreie Ermittlung des noch nicht zu einer Anwartschaft oder einem Anspruch erwachsenen Teils dieses Teils der variablen Vergütung bestehen, nicht aber auf diesen Teil der variablen Vergütung selbst. Die Anteilseigner, die Eigentümer, die Mitglieder oder die Träger des Instituts können über die Billigung einer höheren variablen Vergütung als nach Satz 2, die 200 Prozent der fixen Vergütung für jeden einzelnen Mitarbeiter oder Geschäftsleiter nicht überschreiten darf, beschließen. Zur Billigung einer höheren variablen Vergütung als nach Satz 2 für Mitarbeiter haben die Geschäftsleitung und das Verwaltungs- oder Aufsichtsorgan, zur Billigung einer höheren variablen Vergütung als nach Satz 2 für Geschäftsleiter nur das Verwaltungs- oder Aufsichtsorgan, einen Vorschlag zur Beschlussfassung zu machen; der Vorschlag hat die Gründe für die erbetene Billigung einer höheren variablen Vergütung als nach Satz 2 und deren Umfang, einschließlich der Anzahl der betroffenen Mitarbeiter und Geschäftsleiter sowie ihrer Funktionen, und den erwarteten Einfluss einer höheren variablen Vergütung als nach Satz 2 auf die Anforderung, eine angemessene Eigenmittelausstattung vorzuhalten, darzulegen. Der Beschlussvorschlag ist so rechtzeitig vor der Beschlussfassung bekannt zu machen, dass sich die Anteilseigner, die Eigentümer, die Mitglieder oder die Träger des Instituts angemessen informieren können; üben die Anteilseigner, die Eigentümer, die Mitglieder oder die Träger ihre Rechte in einer Versammlung aus, ist der Beschlussvorschlag mit der Einberufung der Versammlung bekannt zu machen. Der Beschluss bedarf einer Mehrheit von mindestens 66 Prozent der abgegebenen Stimmen, sofern mindestens 50 Prozent der Stimmrechte bei der Beschlussfassung vertreten sind, oder von mindestens 75 Prozent der abgegebenen Stimmen. Anteilseigner, Eigentümer, Mitglieder oder Träger die als Mitarbeiter oder Geschäftsleiter von einer höheren variablen Vergütung als nach Satz 2 betroffen wären, dürfen ihr Stimmrecht weder unmittelbar noch mittelbar ausüben.

(5a) Auf Risikoträger und Risikoträgerinnen bedeutender Institute, deren jährliche fixe Vergütung das Dreifache der Beitragsbemessungsgrenze in der allgemeinen Rentenversicherung im Sinne des § 159 des Sechsten Buches Sozialgesetzbuch überschreitet und die keine Geschäftsführer, Betriebsleiter und ähnliche leitende Angestellte sind, die zur selbständigen Einstellung oder Entlassung von Arbeitnehmern berechtigt sind, findet § 9 Absatz 1 Satz 2 des Kündigungsschutzgesetzes mit der Maßgabe Anwendung, dass der Antrag des Arbeitgebers auf Auflösung des Arbeitsverhältnisses keiner Begründung bedarf. § 14 Absatz 1 des Kündigungsschutzgesetzes bleibt unberührt.

(5b) In einem CRR-Kreditinstitut sowie in einem Institut, das kein CRR-Kreditinstitut, aber bedeutend gemäß § 1 Absatz 3c ist, gelten die folgenden Personengruppen zwingend als Risikoträger:

1. 1. Mitarbeiter der unmittelbar der Geschäftsleitung nachgelagerten Führungsebene;
2. 2. Mitarbeiter mit Managementverantwortung für die Kontrollfunktionen oder die wesentlichen Geschäftsbereiche des Instituts;
3. 3. Mitarbeiter, die im oder für das vorhergehende Geschäftsjahr Anspruch auf eine Vergütung in Höhe von mindestens 500 000 Euro hatten, sofern
   1. a) diese Vergütung mindestens der durchschnittlichen Vergütung der Geschäftsleiter, der Mitglieder des Verwaltungs- oder Aufsichtsorgans sowie der Mitarbeiter der unmittelbar der Geschäftsleitung nachgelagerten Führungsebene des Instituts im Sinne von Nummer 1 entspricht, und
   2. b) die Mitarbeiter die berufliche Tätigkeit in einem wesentlichen Geschäftsbereich ausüben und sich diese Tätigkeit erheblich auf das Risikoprofil des betreffenden Geschäftsbereichs auswirkt.

Ein bedeutendes Institut hat darüber hinaus auf Grundlage einer Risikoanalyse eigenverantwortlich alle weiteren Risikoträger zu ermitteln. Dabei sind immer mindestens die Kriterien gemäß den Artikeln 5 und 6 der Delegierten Verordnung (EU) 2021/923 in der Fassung vom 25. März 2021 zugrunde zu legen. Das Institut teilt den betroffenen Mitarbeitern und Mitarbeiterinnen die Einstufung als Risikoträger unverzüglich mit. Die Risikoanalyse ist schriftlich oder elektronisch zu dokumentieren und regelmäßig zu aktualisieren. Ausnahmen nach Artikel 6 Absatz 2 der Delegierten Verordnung (EU) 2021/923 in der Fassung vom 25. März 2021 bedürfen der Zustimmung der Geschäftsleitung und der vorherigen Kenntnisnahme durch das Verwaltungs- oder Aufsichtsorgan. Für die Zwecke dieser Vorschrift gelten die Begriffsbestimmungen sowie die Berechnungsmethoden zur Höhe der maßgeblichen Vergütung nach der Delegierten Verordnung (EU) 2021/923 in der Fassung vom 25. März 2021.

(5c) Die nach Artikel 6 Absatz 3 Satz 1 der Delegierten Verordnung (EU) 2021/923 in der Fassung vom 25. März 2021 an die Aufsichtsbehörde zu stellenden Anträge sind unverzüglich, spätestens jedoch sechs Monate nach Ablauf des Geschäftsjahres, zu stellen.

(6) Das Bundesministerium der Finanzen wird ermächtigt, durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf, im Benehmen mit der Deutschen Bundesbank nähere Bestimmungen zu erlassen über

1. 1. die Ausgestaltung der Vergütungssysteme nach Absatz 1 Satz 3 Nummer 6 einschließlich der Ausgestaltung
   1. a) der Entscheidungsprozesse und Verantwortlichkeiten,
   2. b) des Verhältnisses der variablen zur fixen Vergütung und der Vergütungsinstrumente für die variable Vergütung,
   3. c) positiver und negativer Vergütungsparameter, der Leistungszeiträume, Zurückbehaltungszeiträume und Rückforderungszeiträume einschließlich der Voraussetzungen und Parameter für einen vollständigen Verlust oder eine teilweise Reduzierung oder eine vollständige oder teilweise Rückforderung der variablen Vergütung sowie
   der Berücksichtigung der institutsspezifischen und gruppenweiten Geschäfts- und Vergütungsstrategie einschließlich deren Anwendung und Umsetzung in Unternehmen, die nach Artikel 18 der Verordnung (EU) Nr. 575/2013 zu konsolidieren sind oder freiwillig konsolidiert werden, der Ziele, der Werte und der langfristigen Interessen des Instituts,
2. 2. die Voraussetzungen und das Verfahren bei Billigung eines höheren Verhältnisses zwischen der variablen und fixen jährlichen Vergütung nach Absatz 5 Satz 2 bis 9,
3. 2a. die Berechnung des Verhältnisses der variablen zur fixen Vergütung nach Absatz 5 Satz 2 bis 5, insbesondere über die Diskontierungsfaktoren zur Ermittlung des zugrunde zu legenden Barwerts der variablen Vergütung,
4. 3. die Überwachung der Angemessenheit und der Transparenz der Vergütungssysteme durch das Institut und die Weiterentwicklung der Vergütungssysteme, auch unter Einbeziehung des Vergütungskontrollausschusses und eines Vergütungsbeauftragten,
5. 4. die Offenlegung der Ausgestaltung der Vergütungssysteme und der Zusammensetzung der Vergütung einschließlich des Gesamtbetrags der garantierten Bonuszahlungen und der einzelvertraglichen Abfindungszahlungen unter Angabe der höchsten geleisteten Abfindung und der Anzahl der Begünstigten, soweit nicht von Artikel 450 der Verordnung (EU) Nr. 575/2013 erfasst, das Offenlegungsmedium und die Häufigkeit der Offenlegung,
6. 5. die Ausgestaltung der Offenlegung gemäß Artikel 450 der Verordnung (EU) Nr. 575/2013 sowie
7. 6. die vollständige oder teilweise Herausnahme von Instituten, die keine CRR-Institute sind, aus dem Anwendungsbereich der Rechtsverordnung.

Die Regelungen haben sich insbesondere an Größe und Vergütungsstruktur des Instituts sowie Art, Umfang, Komplexität, Risikogehalt und Internationalität der Geschäftsaktivitäten zu orientieren. Im Rahmen der Bestimmungen nach Satz 1 Nummer 4 müssen die auf Offenlegung der Vergütung bezogenen handelsrechtlichen Bestimmungen nach § 340a Absatz 1 und 2 in Verbindung mit § 340l Absatz 1 Satz 1 des Handelsgesetzbuchs unberührt bleiben. Das Bundesministerium der Finanzen kann die Ermächtigung durch Rechtsverordnung auf die Bundesanstalt mit der Maßgabe übertragen, dass die Rechtsverordnung im Einvernehmen mit der Deutschen Bundesbank ergeht. Vor Erlass der Rechtsverordnung sind die Spitzenverbände der Institute zu hören.