Group Compliance Officer

Montag, 8:30. Wochenbesprechung mit den Compliance-Heads der Tochterunternehmen. Sie haben über das Wochenende drei EUR-Lex-Publikationen, zwei ESMA-Q&As und vier nationale Aufsichts­schreiben verpasst — wenn sie überhaupt in Ihrem Postfach gelandet sind. Die Wochenliste, die Sie der Geschäfts­leitung präsentieren, beruht auf dem, was Ihre Teams Ihnen freitags geschickt haben. Nicht auf dem, was die Aufseher tatsächlich veröffentlicht haben.

Dienstag — Donnerstag. Drei Inspektions­vorbereitungen parallel: BaFin-DORA-Inspektion in der Konzernmutter (Q3 2026), AMF-MiCA-Genehmigungs­dialog für die französische Tochter, EIOPA-Themed-Review zu AI-Anwendungen im Underwriting. Jedes Thema verlangt eine andere Wissens­basis, ein anderes Datum-Bewusstsein, eine andere interne Koordination.

Freitag, 16:00. Sie schreiben den Wochenbericht für den Vorstand. Die Kennzahl, die Sie nennen, ist: „X Findings diese Woche, davon Y kritisch, Z eskaliert.“ Was sie nicht nennen können, weil Sie es nicht wissen: Wie viele Findings hat das System diese Woche tatsächlich produziert — und wie viele haben Sie übersehen?

Drei strukturelle Verschiebungen treffen Sie in 2026 gleichzeitig.

Erstens: DORA-Inspektionen verlassen den Setup-Modus. Achtzehn Monate nach Anwendungsbeginn prüfen ESAs und NCAs nicht mehr, ob ein Register existiert, sondern ob es vollständig ist — Sub-Outsourcing-Kette, Konsistenz mit Incident-Reports, Vorstands­briefing-Spur [1]. Das ist die Klasse von Findings, die in der einen Inspektion landen, die Sie nicht voraussehen können.

Zweitens: Hochrisiko-KI wird verbindlich am 02.08.2026. Falls Sie Underwriting- oder Pricing-Systeme einsetzen, die unter Annex III Nr. 5 fallen, müssen FRIA, Datenbank-Eintrag, DSGVO-Art.-22-Konsistenz und DORA-Drittpartei-Verzeichnis bis dahin stehen [2].

Drittens: MiCA-Grandfathering läuft bis 01.07.2026 aus. Falls Ihr Konzern eine CASP-Tochter oder eine Krypto-affine Asset-Manager-Tochter hat, müssen die nationalen Übergangs­regeln durch eine vollständige MiCA-Lizenz ersetzt sein [3]. In Spanien, Italien, Malta und Zypern sind die Fristen bereits abgelaufen.

Jede dieser drei Verschiebungen ist für sich machbar. Zusammen — plus AMLA, CSRD, TFR und NIS2 als Hintergrund­rauschen — übersteigen sie die Kapazität jedes manuellen Trackings, das auf Postfach-Sortierung und Spreadsheet-Disziplin beruht.

McKinsey hat in ihrer Compliance-Funktion-Untersuchung 2024 zwei Vorstands-Erwartungen heraus­destilliert, die die Rolle des Group Compliance Officer in der nächsten Dekade definieren: (a) Quantifizierbare Risiko­reduktion, nicht Aktivitäts­berichte — wie viele Findings hat das System produziert, wie viele wurden korrekt klassifiziert, wie ist die Fehler­quote im Vergleich zur Wettbewerbs­bench? (b) Skalierbarkeit ohne Personal­wachstum — die Compliance-Funktion hat einen FTE-Peak erreicht; weitere Skalierung muss aus Technologie kommen [4].

Beide Erwartungen lassen sich nicht erfüllen, wenn die Detection-Schicht — das, was die Findings überhaupt erst sichtbar macht — manuell ist. Sie können nicht messen, was Sie nicht erfassen; Sie können nicht skalieren ohne Personal, wenn jeder neue Framework drei FTE in der Compliance-Operations­leitung verlangt.