Was ist Regulatory Monitoring?

Regulatory Monitoring bezeichnet die fortlaufende, wiederkehrende Praxis, mit der ein beaufsichtigtes Finanzinstitut den Strom regulatorischer Entwicklungen und Pflichten beobachtet, die für seine Tätigkeit relevant sind. Der Prozess lässt sich in vier Bewegungen zerlegen: erfassen (detect), bewerten (assess), an die zuständige Funktion routen (route) und nachweisbar dokumentieren (evidence). Anders als ein einmaliges Rechtsgutachten ist Monitoring per Definition kontinuierlich — es endet nicht mit der Umsetzung einer einzelnen Anforderung, sondern läuft als Dauerfunktion der Compliance-, Risk- und Legal-Organisation.

Der Scope umfasst sowohl bereits geltende als auch noch nicht bindende Vorgaben: verabschiedete Verordnungen und Richtlinien, technische Standards (RTS/ITS), Leitlinien, Q&As, Opinions und Aufsichtsschreiben, aber auch Konsultationspapiere und Entwürfe, die künftige Pflichten ankündigen. Entscheidend ist der Bezug zum eigenen Institut: Monitoring filtert das gesamte regulatorische Rauschen auf jene Signale, die die konkrete Lizenz, den Sektor und die Jurisdiktion des Instituts berühren.

Die drei Begriffe werden oft synonym verwendet, bezeichnen aber unterschiedliche Dinge. Regulatory Monitoring ist der Oberbegriff für die fortlaufende Überwachung des gesamten relevanten Regeluniversums — sowohl geltender Pflichten als auch neuer Entwicklungen. Horizon Scanning ist die vorausschauende Teilmenge davon: das gezielte Aufspüren emergierender, noch nicht bindender Signale — Entwürfe, Konsultationen, schwache Signale — bevor sie zu operativer Realität werden ^[1]. Jedes Horizon Scanning ist Monitoring; nicht jedes Monitoring ist Horizon Scanning, denn Monitoring verfolgt auch bereits geltende Anforderungen weiter.

Regulatory Change Management ist demgegenüber der nachgelagerte Umsetzungs-Workflow: sobald das Monitoring ein relevantes Item identifiziert und geroutet hat, übernimmt Change Management die Gap-Analyse, die Zuweisung von Maßnahmen, das Tracking bis zur Fristerfüllung und die Abnahme. Monitoring ist also die Sensorik am Anfang der Kette, Change Management die Ausführung am Ende. Und RegTech (Regulatory Technology) ist keine Praxis, sondern die Software-Kategorie, mit der beide automatisiert werden ^[2] — der Werkzeugkasten, nicht die Tätigkeit selbst.

Ein belastbares Monitoring-Programm definiert zuerst sein Quellen-Universum. Für ein EU/EWR-Institut umfasst das typischerweise EUR-Lex als Primärquelle des EU-Rechts, die drei Europäischen Aufsichtsbehörden (EBA, EIOPA, ESMA) sowie die nationalen Aufsichtsbehörden des EWR — rund 45 Stellen über die drei sektoralen Aufsichtsnetze hinweg, von BaFin, AMF und CSSF bis MFSA, IVASS und FMA. Aus diesen Quellen fließen sehr unterschiedliche Output-Typen: Verordnungen und Richtlinien, RTS und ITS, Leitlinien, Q&As, Opinions, Aufsichtsschreiben und Konsultationspapiere.

Der zweite Baustein ist die Klassifikation. Jedes eingehende Item wird gegen das eigene Institut bewertet — nach regulatorischer Wirkung, betroffenem Bereich und Fristkritikalität — und nur die relevanten Signale werden weitergegeben. Genau diese Filter- und Bewertungsleistung unterscheidet ein funktionierendes Monitoring von einem bloßen RSS-Abonnement: Die EBA benennt „regulatory horizon screening“ als RegTech-Use-Case und dokumentiert als Nutzen „besserer Überwachung, Sampling-Fähigkeit und reduzierten menschlichen Fehlern“ ^[2].

Regulatory Monitoring ist keine freiwillige Best Practice, sondern eine implizite aufsichtsrechtliche Erwartung. Ihre kanonische Grundlage ist der Basel-Standard „Compliance and the compliance function in banks“ (2005): Die Compliance-Funktion soll die Geschäftsleitung zu geltenden Gesetzen, Regeln und Standards beraten „including keeping them informed on developments in the area“ ^[3]. Diese Pflicht, über Entwicklungen auf dem Laufenden zu halten, ist der aufsichtsrechtliche Kern des Monitorings — man kann nicht informieren, worüber man nicht überwacht.

Die EU-Aufsichtsbehörden konkretisieren diese Erwartung sektorweise. EIOPA behandelt in ihrem „Supervisory Convergence Plan 2024“ digitale Transformation, KI-Nutzung durch Versicherer und die DORA-Umsetzung als kontinuierlich zu beobachtende Themen, nicht als periodische Reviews ^[4]. Der Druck steigt zudem durch das Volumen bindender Rahmenwerke: DORA (Verordnung (EU) 2022/2554) ist seit dem 17. Januar 2025 vollständig anwendbar ^[5], und MiCA (Verordnung (EU) 2023/1114) schafft einen harmonisierten Rahmen für Krypto-Dienstleister ^[6] — beide verlangen von den Instituten, laufende Anpassungen der technischen Standards mitzuverfolgen.

In der Inspektion zählt nicht, dass ein Institut überwacht — sondern dass es beweisen kann, wann es Kenntnis einer Anforderung erlangt und wie es reagiert hat. Damit wird der vierte Schritt der Praxis, evidence, zum entscheidenden. Ein belastbares Monitoring-Programm schreibt fortlaufend einen unveränderbaren, zeitgestempelten Audit-Trail: welches Signal wann erfasst, wie klassifiziert, an wen geroutet und mit welchem Ergebnis abgeschlossen wurde. Ein „auf Anfrage“ rekonstruierter Nachweis besteht diesen Test typischerweise nicht.

Damit schließt sich der Kreis zur aufsichtsrechtlichen Erwartung: Der Basel-Standard verlangt, die Geschäftsleitung über Entwicklungen informiert zu halten ^[3]; der praktische Beweis dieser Information ist der Audit-Trail. Nachweisbarkeit ist deshalb keine nachgelagerte Dokumentationspflicht, sondern das eigentliche Produkt eines Monitoring-Programms — der Punkt, an dem sich eine operative von einer nur aspirativen Funktion unterscheidet.