Am 17. April 2026 veröffentlichten die FDIC, das Office of the Comptroller of the Currency und der Gouverneursrat des Federal Reserve Systems gemeinsam überarbeitete Leitlinien zum Modellrisikomanagement – die bedeutendste Aktualisierung in diesem Bereich der Bankenaufsicht seit SR 11-7 im Jahr 2011. Mit diesen Leitlinien wurden zwei frühere Schreiben an Finanzinstitute (FIL-22-2017 und FIL-27-2021) aufgehoben und durch ein modernisiertes, prinzipienbasiertes Rahmenwerk ersetzt, das auf die heutige Modelllandschaft zugeschnitten ist.
Für Führungskräfte im Bereich Risiko und Compliance im Bankwesen lautet die zentrale Frage nicht nur, was sich geändert hat, sondern auch, ob Ihr derzeitiges Governance-Programm so konzipiert ist, dass es den Anforderungen an Strenge und Kontinuität gerecht wird, die in diesen Leitlinien erwartet werden.
Was die Behörden sagten – und was sie nicht sagten
Die überarbeiteten Leitlinien sind bewusst prinzipienorientiert und nicht präskriptiv. Die Behörden stellen klar, dass sie keine durchsetzbaren Standards festlegen und dass eine Nichteinhaltung an sich nicht zu einer Beanstandung durch die Aufsichtsbehörden führt. Verwechseln Sie Flexibilität jedoch nicht mit geringen Erwartungen. Die Leitlinien beschreiben, wie „bewährte Praxis“ aussieht – und die Aufsichtsbehörden werden diesen Maßstab bei ihren Prüfungen anlegen.
Hauptzielgruppe: Bankinstitute mit einer Bilanzsumme von über 30 Milliarden US-Dollar. Die Leitlinien gelten jedoch ausdrücklich auch für kleinere Institute, die „aufgrund der Verbreitung und Komplexität ihrer Modelle einem erheblichen Modellrisiko ausgesetzt sind“.
Was versteht man im Sinne dieser Leitlinien unter einem „Modell“? Ein komplexes quantitatives Verfahren, System oder Konzept, bei dem statistische, ökonomische oder finanzwirtschaftliche Theorien angewendet werden, um Eingabedaten in quantitative Schätzungen umzuwandeln. Einfache arithmetische Berechnungen, deterministische, regelbasierte Prozesse und einfache Software sind davon ausgenommen.
Was NICHT unter den Geltungsbereich fällt: Generative KI- und agentische KI-Modelle werden in Fußnote 3 ausdrücklich ausgeschlossen. Allerdings weisen die Aufsichtsbehörden auch darauf hin, dass „die Risikomanagement- und Governance-Praktiken einer Bank als Leitlinie für die Festlegung geeigneter Governance- und Kontrollmaßnahmen“ für diese Tools dienen sollten. Die Botschaft lautet: Auch generative KI muss irgendwo geregelt werden.
Fünf Schlussfolgerungen für Risikomanagement- und Compliance-Teams im Bankensektor
1. Der Modellbestand ist mittlerweile eine Grundvoraussetzung
In den Leitlinien wird die Führung eines umfassenden Modellbestands als „gängige Branchenpraxis“ bezeichnet – eine Formulierung, die die Erwartungen der Prüfer verdeutlicht. Ihr Bestand muss ausreichende Informationen enthalten, um die Modellrisiken auf individueller und aggregierter Ebene zu erfassen, einschließlich der Abhängigkeiten zwischen den Modellen, gemeinsamer Datenquellen und gemeinsamer Annahmen.
Das bedeutet, dass die Modellbestandsverwaltung über Tabellenkalkulationen hinausgehen muss. Ein geregeltes, zentralisiertes Repository, das durchsuchbar und aktuell ist und mit Validierungsstatus und Kontrollmechanismen verknüpft ist, bildet die Grundlage für ein fundiertes Modellrisikoprogramm.
2. Die Wesentlichkeit bestimmt die Governance-Ebene
In den Leitlinien wird die Wesentlichkeit als primärer Maßstab für die Stringenz der Unternehmensführung eingeführt. Die modellhafte Wesentlichkeit hängt von zwei Faktoren ab:
- Modellrisiko – die Bedeutung der Modellergebnisse für unternehmerische Entscheidungen, messbar anhand der Portfoliogröße oder der geschäftlichen Auswirkungen
- Zweck des Modells – ob das Modell regulatorische Anforderungen oder das finanzielle Risikomanagement (höheres Risiko) unterstützt oder für andere Zwecke genutzt wird
Modelle mit hoher Wesentlichkeit erfordern eine „umfassende und strenge Aufsicht“. Modelle mit geringerer Wesentlichkeit können identifiziert und mit weniger intensiven Maßnahmen überwacht werden. Die Verantwortlichen für Risiko und Compliance müssen diese Abstufung sowohl in den Richtlinien als auch in den Systemen umsetzen – und dokumentieren, wie die Einstufung der Wesentlichkeit erfolgt und überprüft wird.
3. „Effektives Hinterfragen“ erfordert mehr als nur fachliches Know-how
Eine „wirksame Kritik“ muss von Personen geäußert werden, die drei Eigenschaften aufweisen: entsprechende Fachkenntnisse, ausreichende Unabhängigkeit sowie eine Stellung und den Einfluss innerhalb der Organisation, um Veränderungen herbeizuführen. Gerade bei diesem dritten Element bleiben Banken oft hinter den Erwartungen zurück.
Die Rolle der internen Revision wird klargestellt: Sie soll bewerten, ob die Verfahren zum Modellrisikomanagement streng und wirksam sind, und darf Entwicklungs- oder Validierungsaktivitäten nicht doppelt durchführen. Banken, die externe Ressourcen nutzen, müssen eine angemessene Aufsicht gewährleisten und diese Arbeit in das übergeordnete Programm integrieren.
4. Bei der laufenden Überwachung müssen sich ändernde Bedingungen erfasst werden
Die Leitlinien verknüpfen die laufende Überwachung ausdrücklich mit sich ändernden Rahmenbedingungen: Produkte, Risiken, Kunden, Datenrelevanz und Marktdynamik. Ein Modell, das zum Zeitpunkt seiner Entwicklung gute Ergebnisse lieferte, ist unter anderen Zinsbedingungen oder nach einer Umschichtung des Portfolios möglicherweise nicht mehr zweckmäßig.
Dies ist ein deutlicher Schritt in Richtung einer kontinuierlichen Überwachung anstelle von kalenderbasierten Überprüfungszyklen. Banken mit jährlichen oder halbjährlichen Überprüfungsprogrammen sollten prüfen, ob diese Häufigkeit angesichts des Wesentlichkeitsprofils ihrer Modelle vertretbar ist – und ob ihre Überwachungsinfrastruktur eine Verschlechterung der Leistung nahezu in Echtzeit erkennen kann.
5. Die Validierung des Lieferantenmodells ist eine vorrangige Verpflichtung
In den Leitlinien ist ein ganzer Abschnitt den Modellen von Anbietern und Dritten gewidmet. Selbst wenn der zugrunde liegende Code, die Daten oder die Methodik urheberrechtlich geschützt sind, gelten die Grundsätze des Modellrisikomanagements. Banken müssen:
- Ein Verständnis für die konzeptionelle Fundiertheit, den Entwurf und die Entwicklungsdaten des Anbietermodells entwickeln
- Führen Sie eine kontinuierliche Überwachung und Ergebnisanalyse durch, um zu beurteilen, ob die Anbieter-Modelle weiterhin zweckmäßig sind
- Die zur Anpassung der Lieferantenmodelle vorgenommenen Änderungen dokumentieren, begründen und bewerten
Für die meisten Bankinstitute stellt das Risiko im Zusammenhang mit Anbietermodellen eine erhebliche und zunehmende Lücke dar. Die rasante Zunahme von Fintech-Partnerschaften, KI-gestützten Kredit- und Betrugsmodellen sowie BSA/AML-Systemen von Drittanbietern führt zu einer immer umfangreicheren Sammlung von Modellen, für die letztlich die Banken die Verantwortung tragen – selbst wenn der Anbieter das zugrunde liegende geistige Eigentum behält.
Die „Wildcard“ bei der KI-Governance
Der ausdrückliche Ausschluss von generativer KI und agentischer KI aus dem Geltungsbereich dieser Leitlinien mag wie eine Atempause erscheinen. Das ist er jedoch nicht.
Die Aufsichtsbehörden erkennen an, dass diese Technologien „neuartig sind und sich rasch weiterentwickeln“ und dass weiterhin Governance- und Kontrollmechanismen bestehen sollten, die sich nach den bankeneigenen Risikomanagementpraktiken richten. Wenn Ihre Bank große Sprachmodelle, KI-Agenten oder generative KI-Tools in einem Geschäftsprozess einsetzt, benötigen Sie ein spezielles KI-Governance-Rahmenwerk, das Ihr Modellrisikoprogramm ergänzt und in dieses integriert ist.
Dieser Rahmen muss folgende Aspekte abdecken: KI-Bestandsmanagement, Bewertungen hinsichtlich Voreingenommenheit und Fairness, Transparenz bei KI-Entscheidungsprozessen, die Abbildung der Einhaltung gesetzlicher Vorschriften (einschließlich des in Vorbereitung befindlichen EU-KI-Gesetzes und nationaler Rahmenwerke) sowie die Nachvollziehbarkeit für Aufsichtsbehörden und Kunden gleichermaßen.
Genau in der Lücke zwischen „KI ist von den Leitlinien zum Modellrisiko ausgenommen“ und „KI unterliegt keiner Regulierung“ liegt das regulatorische Risiko.
Wie Archer Bankunternehmen dabei unterstützt, diesen Standard zu erfüllen
Archer AI Governance bietet einen unternehmensweiten Ansatz für ein Rahmenwerk zum Modellrisikomanagement mit zentraler KI-Bestandsverwaltung – ein umfassendes, nach Kategorien gegliedertes Repository von KI-Assets, die nach Risikostufe und Anwendungsbereich nachverfolgt werden. Vorgefertigte und anpassbare Bewertungen helfen Banken dabei, KI-Modelle anhand regulatorischer Anforderungen zu bewerten. Eine sofort einsatzbereite Kontrollbibliothek fördert ethische KI-Praktiken, und Transparenz-Tools bieten eine klare Dokumentation der KI-Entscheidungsprozesse für Aufsichtsbehörden und Interessengruppen. Im Einklang mit dem EU-KI-Gesetz bietet Archer AI Governance zudem Flexibilität, um sich an weiterentwickelnde nationale KI-Rahmenwerke anzupassen.
Der AI-Governance-Ansatz umfasst spezifische Funktionen zur Bewertung der besonderen regulatorischen Anforderungen und Risiken im Zusammenhang mit KI und statistischen Modellen. Der Compliance-Bewertungsprozess ermöglicht den Abgleich von Modellen mit bestehenden regulatorischen Anforderungen und bietet umfassende Prüfprotokolle sowie detaillierte Compliance-Berichte. Funktionen zur Daten-Governance gewährleisten eine hohe Datenqualität und -integrität – eine direkte Antwort auf die in den Leitlinien hervorgehobene Bedeutung der Datenqualität bei der Modellentwicklung.
Das Fazit
Die überarbeiteten behördenübergreifenden Leitlinien zum Modellrisiko signalisieren, dass die Aufsichtsbehörden von Bankorganisationen erwarten, dass sie ihre Modelle mit einem Rahmenwerk für das Modellrisikomanagement steuern, dessen Strenge dem Risiko angemessen ist, dessen Kontinuität der Wesentlichkeit entspricht und dessen Dokumentation ausreichend ist, um einer Prüfung standzuhalten. Dabei handelt es sich um ein fortlaufendes Programm, nicht um ein jährliches Projekt. Für Banken, die ihr Modellrisikomanagement noch immer mit Tabellenkalkulationen, manuellen Validierungsabläufen und periodischen Überprüfungsplänen betreiben, vergrößert sich die Kluft zwischen dem aktuellen Stand und den Erwartungen der Prüfer. Frühanwender von KI-basierten Lösungen erzielen eine Senkung der manuellen Compliance-Kosten um 40–60 % mit einer Amortisationszeit von unter drei Jahren. Die gute Nachricht: Dieses Problem lässt sich lösen. Zentralisierte Bestandsaufnahmen, risikobasierte Governance-Ebenen, automatisierte Überwachung und integrierte KI-Governance sind keine Zukunftsmusik – sie sind bereits heute Teil des Betriebs bei Archer-Kunden.
Häufig gestellte Fragen
Gilt die neue Leitlinie zu Risiken im Rahmen des behördenübergreifenden Modells auch für meine Bank, wenn unsere Bilanzsumme unter 30 Milliarden Dollar liegt?
Möglicherweise. Zwar richtet sich der Anwendungsbereich in erster Linie an Bankinstitute mit einer Bilanzsumme von über 30 Milliarden US-Dollar, doch erstrecken sich die Leitlinien ausdrücklich auch auf kleinere Institute, die aufgrund der Verbreitung und Komplexität ihrer Modelle einem erheblichen Modellrisiko ausgesetzt sind. Wenn Ihre Bank in den Bereichen Kreditwesen, Betrugsbekämpfung, BSA/AML oder anderen Funktionen in hohem Maße auf quantitative Modelle angewiesen ist, sollten Sie Ihr Risiko unabhängig von der Größe Ihrer Bilanzsumme bewerten.
Unsere Bank nutzt mehrere Modelle von Drittanbietern und Lieferanten. Sind wir dennoch für die Validierung dieser Modelle verantwortlich?
Ja – auf jeden Fall. Die Leitlinien machen die Validierung von Anbietermodellen zu einer vorrangigen Verpflichtung. Selbst wenn der zugrunde liegende Code, die Methodik oder die Daten urheberrechtlich geschützt sind, bleibt Ihre Bank dafür verantwortlich, die konzeptionelle Solidität zu prüfen, eine kontinuierliche Überwachung durchzuführen und etwaige Anpassungen zu dokumentieren. Angesichts der zunehmenden Zahl von Fintech-Partnerschaften und KI-gestützten Systemen von Drittanbietern ist dies heute eine der bedeutendsten und am häufigsten unterschätzten Schwachstellen für Bankinstitute.
Generative KI ist von diesen Leitlinien ausgenommen – bedeutet das, dass wir sie nicht regulieren müssen?
Nein. Die Ausnahmeregelung ist kein Freifahrtschein. Die Aufsichtsbehörden betonen ausdrücklich, dass die eigenen Risikomanagementpraktiken einer Bank ausschlaggebend für die Festlegung angemessener Governance-Strukturen und Kontrollmechanismen für generative KI- und agentische KI-Tools sein sollten. Wenn Ihre Bank große Sprachmodelle oder KI-Agenten in einem Geschäftsprozess einsetzt, benötigen Sie ein spezielles KI-Governance-Rahmenwerk, das parallel zu Ihrem Modellrisikoprogramm läuft – und das Bestandsmanagement, Bias-Bewertungen, Erklärbarkeit sowie die Abgleichung mit regulatorischen Anforderungen abdeckt. Genau in der Lücke zwischen „von den Modellrisikoleitlinien ausgenommen“ und „unreguliert“ liegt das regulatorische Risiko.
