Eine EAF (Finanzberatungsgesellschaft) muss über eine dauerhafte, wirksame und unabhängige Compliance-Funktion verfügen, außerdem über ein Risikomanagement und, wenn verhältnismäßig, eine Interne Revision. Sie kann diese Funktionen an einen Dritten auslagern, bleibt aber verantwortlich: Die Delegierte Verordnung (EU) 2017/565 und das Rundschreiben 1/2014 der CNMV legen fest, wie. Wir organisieren das gemeinsam mit Ihnen.
Kann Ihre EAF die Compliance auslagern? Kostenlose Ersteinschätzung
Sagen Sie uns, welche Dienstleistungen Ihre EAF erbringt, wie groß sie ist und welche Funktionen Sie auslagern möchten.
Die EAF kann sich bei ihren Kontrollfunktionen auf einen Dritten stützen, aber die Verantwortung bleibt im Haus. Wir helfen Ihnen zu entscheiden, was Sie auslagern, an wen und wie Sie es überwachen.
Wir analysieren Ihre Dienstleistungen und Ihre Größe, um zu entscheiden, ob eine einzige Einheit für Compliance und Risikomanagement genügt und ob Sie eine Interne Revision brauchen – gemäß Norm 4 des Rundschreibens 1/2014.
Wir prüfen Kompetenz, Ressourcen und Interessenkonflikte des Anbieters und – wenn Sie ihm die Interne Revision übertragen –, dass er nicht Ihren Jahresabschluss prüft.
Wir entwerfen die schriftliche Vereinbarung: Umfang, Berichte, Zugang der CNMV und Ihrer Prüfer, Unterauslagerung nur mit Ihrer Zustimmung, Kontinuität und Ausstieg.
Wir bilden die Auslagerung in Ihrem Geschäftsplan und Ihren Verfahren ab und prüfen mit Ihnen, ob die Änderung der CNMV mitgeteilt werden muss.
Wir benennen die Person, die die ausgelagerte Funktion überwacht, legen Kennzahlen und einen Berichtskalender fest und bereiten die Nachverfolgung durch das Leitungsorgan vor.
Wir ordnen den jährlichen Compliance-Plan, die mindestens jährlichen Berichte an das Leitungsorgan und die Unterlagen, die die CNMV bei einer Prüfung anfordern wird.
In einer kleinen EAF ist die Auslagerung der Kontrollfunktionen oft der Weg, Unabhängigkeit zu gewährleisten, ohne Personal aufzustocken. Das sind die typischen Situationen.
Im Zulassungsantrag fragt die CNMV, wie Sie die Kontrollfunktionen abdecken und ob Sie sie auslagern: Am besten kommen Sie mit einem bereits ausgewählten Anbieter und einem vorbereiteten Vertrag.
Wer die Beratung erbringt, sollte seine eigene Arbeit nicht überwachen; wenn Ihr Team klein ist, hilft die Auslagerung der Funktion, die Unabhängigkeit zu gewährleisten.
Eine Änderung der Kontrollfunktion betrifft Ihre Organisation: Kontinuität, Übergabe der Unterlagen und Information der CNMV müssen sichergestellt sein.
Sie müssen nachweisen, dass Sie den Anbieter überwachen, dass seine Berichte das Leitungsorgan erreichen und dass Sie auf seine Empfehlungen reagieren.
Daten aus der Delegierten Verordnung (EU) 2017/565, dem Königlichen Dekret 813/2023 und dem Rundschreiben 1/2014 der CNMV.
Die Compliance-Funktion muss dauerhaft, wirksam und unabhängig sein.
Compliance und Risikomanagement können in einer einzigen unabhängigen Einheit angesiedelt sein, wenn die Aufgaben jeder Funktion gewährleistet sind.
Eine Einheit für die Interne Revision ist nicht vorgeschrieben, wenn Sie nur beraten oder Aufträge ohne Verfügungsbefugnis übermitteln und dies verhältnismäßig ist.
Die Interne Revision darf weder an den Abschlussprüfer noch – außer im vorgenannten Fall – an denjenigen ausgelagert werden, der Compliance oder Risikomanagement übernimmt.
Die EAF bleibt für alle ihre Pflichten voll verantwortlich, auch wenn sie Funktionen auslagert.
Die Auslagerung darf die interne Kontrolle und die Aufsichtsmöglichkeiten der CNMV nicht wesentlich beeinträchtigen.
Wir prüfen Ihren Vertrag, Ihre Berichte und die Art, wie Sie die ausgelagerten Funktionen überwachen, und geben Ihnen eine nach Dringlichkeit geordnete Liste der nötigen Änderungen.
Ja. Art. 30 und 31 der Delegierten Verordnung (EU) 2017/565, die Art. 83 des Königlichen Dekrets 813/2023 auf Wertpapierinstitute (ESI) und EAFN (EAF als natürliche Personen) anwendet, erlauben es, kritische oder wesentliche Funktionen wie die Compliance unter bestimmten Bedingungen auszulagern. Das Rundschreiben 1/2014 der CNMV unterwirft die Auslagerung der Kontrollfunktionen den Anforderungen an Auslagerungen und verlangt, die ausgelagerten Funktionen wirksam zu überwachen (Norm 8).
Die Vorschriften sehen keine spezielle Genehmigung der CNMV für die Auslagerung der Compliance eines Wertpapierinstituts vor. Die Auslagerung ist aber Teil Ihrer Organisation: Im Zulassungsantrag fragt die CNMV, wie Sie die Kontrollfunktionen abdecken, und die Auslagerung darf ihre Aufsichtsmöglichkeiten nicht schmälern (Art. 85 des Königlichen Dekrets 813/2023). Wenn Sie sie später ändern, sollten Sie vorab prüfen, ob Sie die CNMV informieren müssen.
Ja. Grundsätzlich erlaubt Norm 4 des Rundschreibens 1/2014 eine einzige unabhängige Einheit, die die Funktionen Compliance und Risikomanagement wahrnimmt, sofern die Verantwortlichkeiten und Aufgaben jeder Funktion gewährleistet sind. Rechtfertigen Art, Umfang und Komplexität Ihrer Tätigkeit es, brauchen Sie getrennte Einheiten.
Nicht immer. Norm 4 des Rundschreibens 1/2014 verlangt diese Einheit nicht, wenn die einzigen Dienstleistungen die Anlageberatung sowie die Annahme und Übermittlung von Aufträgen ohne Verfügungsbefugnis über Gelder oder Finanzinstrumente der Kunden sind und dies verhältnismäßig ist. In diesem Fall kann die Einheit für Compliance und Risikomanagement sie übernehmen, oder sie kann an dasselbe Unternehmen ausgelagert werden, das diese Funktionen wahrnimmt.
Nicht an das Unternehmen, das Ihren Jahresabschluss prüft, nicht – außer im vorgenannten Fall – an dasjenige, das Ihre Compliance oder Ihr Risikomanagement übernimmt, und an kein anderes mit Interessenkonflikten (Norm 9 des Rundschreibens 1/2014). Gehören Sie zu einer Gruppe, kann die Interne Revision der Gruppe sie übernehmen, unter Bedingungen, die Konflikte vermeiden.
Ihre EAF. Bei der Auslagerung kritischer oder wesentlicher Funktionen bleibt das Unternehmen für alle seine Pflichten voll verantwortlich (Art. 31 der Delegierten Verordnung). Deshalb brauchen Sie eine Due Diligence, einen schriftlichen Vertrag, der es Ihnen erlaubt, die Vereinbarung zu überwachen und bei Bedarf zu beenden, sowie den Zugang der CNMV zu den Informationen.
Eine schriftliche Vereinbarung, die Folgendes festlegt: die Rechte und Pflichten der Parteien, den Leistungsumfang und die Berichte, die Ressourcen des Anbieters, den Zugang Ihrer Prüfer und der CNMV zu Daten und Räumlichkeiten, die Vertraulichkeit, die Kontinuität der Leistung, die Unterauslagerung nur mit Ihrer Zustimmung und die Möglichkeit, die Vereinbarung zu beenden, ohne die Kontinuität oder die Qualität der Dienstleistungen für Ihre Kunden zu beeinträchtigen.
Die Leitlinien der ESMA zur MiFID-II-Compliance-Funktion (ESMA35-36-1952), die die CNMV anwendet, stellen klar, dass Aufgaben ausgelagert werden, nicht die Verantwortung. Sie verlangen eine Due Diligence des Anbieters, dass die Funktion dauerhaft bleibt und dass die Geschäftsleitung sie überwacht, und lassen bei kleinen Unternehmen Verhältnismäßigkeit zu.
Gut auszulagern heißt: den richtigen Anbieter wählen, einen Vertrag unterzeichnen, der Ihnen die Kontrolle lässt, und den Anbieter tatsächlich überwachen.
Ihre Dienstleistungen und Ihre Größe entscheiden, ob eine einzige Einheit genügt und ob Sie eine Interne Revision brauchen.
Umfang, Berichte, Zugang der CNMV, Unterauslagerung und Ausstieg – schriftlich.
Berichte an das Leitungsorgan, Nachverfolgung der Empfehlungen und regelmäßige Überprüfung des Anbieters.
Quelle: Delegierte Verordnung (EU) 2017/565 (Art. 22, 30 und 31), Königliches Dekret 813/2023 (Art. 83 und 85), Rundschreiben 1/2014 der CNMV (Normen 4, 8 und 9) und Leitlinien ESMA35-36-1952.
Diese Begriffe finden sich in der Delegierten Verordnung (EU) 2017/565, im Rundschreiben 1/2014 und in jeder Prüfung durch die CNMV.
Wertpapierinstitut mit Zulassung der CNMV für die Anlageberatung.
Dauerhafte Funktion, die überwacht, ob das Unternehmen seine Pflichten erfüllt, und das Leitungsorgan berät.
Funktion, die die Risiken des Unternehmens ermittelt, misst und meldet.
Funktion, die die Wirksamkeit der internen Systeme und Kontrollen bewertet.
Vereinbarung, nach der ein Dritter einen Prozess, eine Dienstleistung oder eine Tätigkeit ausführt, die sonst das Unternehmen selbst erbringen würde.
Funktion, deren Mängel die Einhaltung der Pflichten, die Ergebnisse oder die Kontinuität der Dienstleistungen beeinträchtigen würden.
Die organisatorischen Anforderungen richten sich nach Art, Umfang und Komplexität der Tätigkeit.
Prüfung der Kompetenz, der Ressourcen und der Zuverlässigkeit des Anbieters vor Vertragsabschluss.
Laufende Kontrolle der Tätigkeit des Anbieters durch das Unternehmen selbst.
Interne Funktion: liegt bei der EAF.
Ausgelagerte Funktion: bleibt bei der EAF (Art. 31 der Delegierten Verordnung).
Interne Funktion: schwer nachzuweisen, wenn das Team klein ist und selbst berät.
Ausgelagerte Funktion: leichter nachzuweisen, wenn der Anbieter keine Interessenkonflikte hat.
Interne Funktion: feste Struktur und eigene Schulung.
Ausgelagerte Funktion: Ressourcen des Anbieters und interne Überwachung.
Interne Funktion: interne Verfahren und Aufzeichnungen.
Ausgelagerte Funktion: zusätzlich schriftlicher Vertrag und Berichte des Anbieters.
Interne Funktion: direkt bei der EAF.
Ausgelagerte Funktion: Die CNMV muss auch auf die Informationen des Anbieters zugreifen können.
Diese Mängel fallen der CNMV auf, sobald sie eine ausgelagerte Funktion prüft.
Sagen Sie uns, welche Dienstleistungen Ihre EAF erbringt, wie Sie die Kontrollfunktionen heute abdecken und was Sie auslagern möchten – wir sagen Ihnen, wie Sie das rechtssicher umsetzen.
Aktualisiert am 15. Oktober 2026
EAF müssen als Wertpapierinstitute über Funktionen für Compliance, Risikomanagement und, wenn verhältnismäßig, Interne Revision verfügen. Das Königliche Dekret 813/2023 verweist auf Art. 21 bis 43 der Delegierten Verordnung (EU) 2017/565, die diese Funktionen und ihre Auslagerung regeln.
Art. 22 der Delegierten Verordnung verlangt eine dauerhafte, wirksame und unabhängige Funktion mit einem benannten Verantwortlichen, der nicht an den Dienstleistungen beteiligt ist, die er kontrolliert, sofern die Verhältnismäßigkeit nichts anderes rechtfertigt. Art. 83 des Königlichen Dekrets 813/2023 wendet diese Vorgaben auf Wertpapierinstitute und EAFN an. Für den Gesamtüberblick lesen Sie die Pflichten einer EAF.
Norm 4 erlaubt eine einzige Einheit für Compliance und Risikomanagement und befreit Unternehmen, die nur beraten oder Aufträge ohne Verfügungsbefugnis annehmen und übermitteln, von der Einheit für Interne Revision, wenn dies verhältnismäßig ist. Norm 8 unterwirft die Auslagerung von Kontrollfunktionen den Anforderungen an Auslagerungen und verlangt ihre Überwachung; Norm 9 schränkt ein, an wen die Interne Revision ausgelagert werden darf.
Art. 31 der Delegierten Verordnung verlangt, dass das Unternehmen die volle Verantwortung behält, eine Due Diligence des Anbieters durchführt, die Vereinbarung bei Bedarf ohne Nachteil für seine Kunden beenden kann, den Zugang der CNMV gewährleistet und alles schriftlich festhält. Art. 85 des Königlichen Dekrets 813/2023 ergänzt, dass die Auslagerung die interne Kontrolle nicht wesentlich beeinträchtigen darf. Bei Technologieanbietern prüfen Sie auch die Auslagerung kritischer Funktionen und DORA.
Die Leitlinien zu einigen Aspekten der MiFID-II-Anforderungen an die Compliance-Funktion (ESMA35-36-1952) widmen der Auslagerung eine eigene Leitlinie: Die Verantwortung wird nicht ausgelagert, die Funktion muss dauerhaft und wirksam bleiben, die Geschäftsleitung überwacht sie und ihre Kontinuität wird gewährleistet. Die CNMV wendet diese Leitlinien an.
Die Auslagerung der Compliance wird bereits im Zulassungsantrag zur Gründung einer EAF vorbereitet und bei der Risikokontrolle von Wertpapierinstituten überprüft. Für Verwaltungsgesellschaften gilt ein anderes Regime: Lesen Sie, wie Sie die Compliance einer Verwaltungsgesellschaft auslagern.