Organisation des Risikomanagements
Die Gesamtverantwortung für das RMS trägt der Vorstand. Er wird regelmäßig und anlassbezogen über die Risikosituation informiert.
Der Verwaltungsrat wird im Rahmen seiner turnusmäßigen Sitzungen vom Vorstand über die Risikosituation informiert; bei Eintritt wesentlicher risikorelevanter Ereignisse erfolgt eine Ad-hoc-Information.
Zu spezifischen Themen hat der Verwaltungsrat verschiedene Ausschüsse gebildet. Im Risikoausschuss berichtet der Vorstand über die Risikosituation. Neben der Erörterung der Risikosituation werden im Risikoausschuss die Risikostrategie sowie wesentliche risikorelevante Fragestellungen behandelt. Der Prüfungsausschuss befasst sich insbesondere mit dem Prüfungsbericht sowie mit dem Jahresabschluss. Beide Ausschüsse sowie die zuständigen Aufsichtsbehörden erhalten den Risikobericht quartalsweise.
Die Rentenbank hat verschiedene Gremien zur Geschäfts- und Risikosteuerung etabliert. Das für das Risikomanagement zentrale Gremium ist das mindestens vierteljährlich tagende Risikokomitee. Es erörtert zentrale Fragen und Themen zum Risikomanagement und berät den Vorstand hierzu. Mitglieder sind neben dem Vorstand die Leitung der Abteilung Risikocontrolling und die Leitung der Abteilung Cyber Security & Non-Financial Risk sowie die Leitungen der Bereiche Kredit, Finanzen, Treasury und Fördergeschäft. Im Finanzkomitee wird die finanzielle Lage der Bank behandelt und im Marktausschuss die Förderthemen und Treasury-Themen. Das Sustainability Board befasst sich mit den Anforderungen sowie den operativen und strategischen Implikationen zum Thema Nachhaltigkeit für die Rentenbank.
Für ein robustes RMS hat die Rentenbank ihr Internes Kontrollsystem (IKS) in einer klaren Three-Lines-of-Defence-Struktur organisiert. Die erste Verteidigungslinie bilden Primär- und Schlüsselkontrollen in den operativen Einheiten. Die zweite Verteidigungslinie umfasst den Arbeitskreis Regulatorische Themen (ART), die besonderen MaRisk-Funktionen Risikocontrolling und Compliance, die IKT-Risikokontrollfunktion gemäß Digital Operational Resilient Act (DORA), den Chief Information Security Officer (CISO), den Zentralen Auslagerungsbeauftragten, die Beauftragten für Geldwäsche und sonstige strafbare Handlungen sowie für Datenschutz. Die Interne Revision bildet die dritte Verteidigungslinie.
Die Leitung der Risikocontrolling-Funktion gemäß MaRisk liegt beim CRO. Die Abteilung Risikocontrolling nimmt wesentliche Aufgaben der Risikocontrolling-Funktion wahr. Diese umfassen die Unterstützung der Geschäftsleitung in allen risikopolitischen Fragen, insbesondere bei der Entwicklung und Umsetzung der Risikostrategie, die regelmäßige Überwachung der Limite innerhalb der Risikotragfähigkeit, die Risikoberichterstattung, die tägliche Bewertung der Finanzinstrumente und Marktgerechtigkeitskontrolle sowie die Risikobeurteilung im „Neue-Produkte-Prozess“ (NPP). Die seit 2025 neu etablierte Abteilung Cyber Security & Non-Financial Risks (CNR) übernimmt hierbei einen wesentlichen Teil hinsichtlich der Non-Financial Risks.
Entsprechend den Vorgaben der MaRisk erfolgt die Überwachung und Berichterstattung der Risiken unabhängig von den Marktbereichen Fördergeschäft und Treasury.
Die Marktfolge-Funktion wird vom Bereich Kredit wahrgenommen, der das marktunabhängige Zweitvotum für Kreditentscheidungen abgibt. Dieser Bereich überwacht darüber hinaus die Einhaltung der adressrisikobezogenen Limite im Rahmen des Kreditportfoliomanagements.
Die Compliance-Funktion der Rentenbank ist dem Vorstand unmittelbar unterstellt und berichtet ihm direkt. Daneben ist eine zentrale Stelle für die Prävention von Geldwäsche, Terrorismusfinanzierung und sonstigen strafbaren Handlungen eingerichtet. Die Geldwäsche-Beauftragte ist organisatorisch direkt dem Vorstand unterstellt und berichtet unmittelbar an ihn.
Die Abteilung CNR trägt auch die Verantwortung für die Wahrnehmung und Sicherstellung aller Belange der Informationssicherheit. Die Leitung der Abteilung CNR führt die Rollen der IKT-Risikokontrollfunktion, des Zentralen Auslagerungsbeauftragten und des Chief Information Security Officers aus.
Die Interne Revision prüft und beurteilt risikoorientiert und prozessunabhängig die Ordnungsmäßigkeit der Aktivitäten und Prozesse sowie die Angemessenheit und Wirksamkeit des RMS sowie des IKS. Sie ist dem Vorstand unmittelbar unterstellt und nimmt ihre Aufgaben selbstständig und unabhängig wahr.