Letzte Aktualisierung: 4. August 2026
MiFID-II-Audit: Umfang, Methodik und Ergebnisse
Ein MiFID-II-Audit erklärt nicht die Vorschriften, sondern gleicht sie mit Ihrer Praxis ab. Der Referenzrahmen sind die Richtlinie 2014/65/EU (MiFID II), die Verordnung (EU) Nr. 600/2014 (MiFIR) und die Delegierte Verordnung (EU) 2017/565, die in Spanien über das Gesetz 6/2023 und das Königliche Dekret 813/2023 angewandt werden. Die Prüfung misst nur eines: ob jede Wohlverhaltenspflicht eine dokumentarische Spur hinterlässt, die Sie der CNMV vorlegen können, ohne etwas zu rekonstruieren. Wir arbeiten mit echten Kundenakten, sprechen mit den Personen, die die Kunden betreuen, und liefern priorisierte Feststellungen mit einem umsetzbaren Maßnahmenplan.
Welche Bereiche geprüft werden
Der Prüfungsumfang ist der gesamte Kundenzyklus. Er beginnt bei der Einstufung – Privatkunde, professioneller Kunde oder geeignete Gegenpartei gemäß Anhang II MiFID II –, denn davon hängen die geschuldeten Schutzmechanismen und die erforderlichen Warnhinweise ab. Es folgt die vorherige Beurteilung: die Geeignetheitsprüfung bei Anlageberatung oder Portfolioverwaltung (Art. 25 MiFID II), mit den Nachhaltigkeitspräferenzen, die durch die 2023 aktualisierten ESMA-Leitlinien zur Geeignetheit aufgenommen wurden, und die Angemessenheitsprüfung bei Dienstleistungen ohne Beratung über komplexe Produkte, mit ihrem System von Warnhinweisen und der Execution-only-Ausnahme. Weiter geht es mit der wirtschaftlichen Transparenz: Informationen über Kosten und Nebenkosten ex ante und jährlich ex post, aggregiert, mit Aufschlüsselung auf Anfrage und kumulativer Wirkung auf die Rendite (Art. 24(4) MiFID II und Art. 50 der Delegierten Verordnung (EU) 2017/565), sowie mit dem Regime der Zuwendungen nach Art. 24, die bei unabhängiger Anlageberatung und diskretionärer Portfolioverwaltung verboten sind. Den Abschluss bilden die Aufzeichnung der Kommunikation nach Art. 16(7), die Produktüberwachung nach Art. 16(3) und 24(2) mit positivem und negativem Zielmarkt, die bestmögliche Ausführung nach Art. 27 und der Umgang mit Interessenkonflikten.
Wie es abläuft: Stichprobe, Gespräche und Arbeitspapiere
Die Methodik ist bewusst unbequem, weil sie die Logik der Aufsicht nachbildet. Zuerst wird der Prüfungsumfang schriftlich festgelegt: Bereiche, Prüfungszeitraum und beteiligte Einheiten. Danach wird die Stichprobe ausgewählt – und zwar vom Prüfer, nicht vom geprüften Institut: Kundenakten nach Produkt, nach Kundenbetreuer und nach Grenzfällen, etwa umgestufte Kunden, komplexe Produkte, Geschäfte auf Veranlassung des Kunden oder alte Verträge, die sich niemand mehr angesehen hat. Anhand dieser Stichprobe geschieht zweierlei. Erstens die Dokumentenprüfung: Es wird geprüft, ob das Dokument existiert, unterschrieben und gültig ist und zum nächsten Glied der Kette passt. Zweitens Tests der Nachvollziehbarkeit: Ein konkreter Fall wird angefordert, und es wird gemessen, wie lange das Institut braucht, um ihn vollständig zusammenzustellen – denn ein Nachweis, der erst nach Wochen auftaucht, taugt nicht zur Beantwortung eines Auskunftsersuchens. Hinzu kommen kurze Gespräche mit den Personen, die die Kunden betreuen, mit denjenigen, die die Kosteninformation erstellen, und mit der Compliance-Funktion. Alles wird in Arbeitspapieren dokumentiert, mit denen sich die Prüfung noch Jahre später rekonstruieren lässt.
Das Ergebnis: Feststellungen, Schweregrad und Maßnahmenplan
Der Bericht ist keine Liste von Vorwürfen. Jede Feststellung wird mit vier Elementen dokumentiert: der konkreten regulatorischen Anforderung, dem geprüften Nachweis, der beobachteten Abweichung und der praktischen Empfehlung. Jeder Feststellung wird ein Schweregrad zugewiesen, der die Arbeit ordnet: zuerst das, was den Kundenschutz betrifft oder das Institut ohne Nachweis dastehen lässt, danach das Strukturelle. Daraus ergibt sich der Maßnahmenplan, der Teil, mit dem tatsächlich gearbeitet wird: eine Tabelle mit Maßnahme, internem Verantwortlichen und Abschlussdatum, die dem Leitungsorgan vorgelegt und im Protokoll genehmigt werden soll. Zum Abschluss übergeben wir den Nachweisordner, nach Themen geordnet, damit das Institut beim nächsten Mal nicht wieder dieselben Dokumente suchen muss. Falls beauftragt, verifizieren wir nach einiger Zeit den Abschluss und halten fest, welche Feststellungen behoben wurden und welche – mit Begründung – noch offen sind. Diese Spur aus Selbstbewertung, genehmigtem Plan und Nachverfolgung ist genau das, was zeigt, dass sich das Institut selbst kontrolliert.
Wann ein Audit sinnvoll ist und was auf dem Spiel steht
Es gibt vier natürliche Zeitpunkte: wenn sich das Geschäftsmodell oder die Produktpalette ändert, wenn ein neuer Compliance-Verantwortlicher anfängt, wenn eine Beschwerde eine konkrete Empfehlung infrage stellt und wenn die Aufsicht aktiv wird. Die CNMV beaufsichtigt laufend aus der Ferne und auch vor Ort, und ihr Ansatz ist immer derselbe: Sie fragt nicht, was in Ihrem Handbuch steht, sondern verlangt, dass Sie ihr den Fall zeigen. Mehr dazu unter Aufsicht und Prüfungen durch die CNMV. Das Wertpapiermarktrecht unterscheidet leichte, schwere und sehr schwere Verstöße, und die möglichen Folgen reichen von der Geldbuße über die öffentliche Verwarnung bis zum Entzug der Zulassung oder zum Verbot, Leitungsfunktionen auszuüben. Einzelheiten finden Sie unter CNMV-Sanktionen. Demgegenüber macht eine datierte unabhängige Prüfung mit genehmigtem Plan und Nachverfolgung den Unterschied zwischen einem Institut, das korrigiert, und einem Institut, das erst entdeckt. Wenn es um eine bereits zugelassene EAF geht, ordnen Sie das Audit in den Kalender der laufenden Pflichten ein.
Dieser Inhalt dient der allgemeinen Information und stellt keine Rechtsberatung dar. Die zitierten Vorschriften können nach dem angegebenen Aktualisierungsdatum geändert worden sein: Prüfen Sie stets die geltende Fassung oder kontaktieren Sie uns, damit wir Ihren konkreten Fall analysieren.
MiFID II
Geeignetheit
Zuwendungen
Kosten und Nebenkosten
Aufzeichnung
Produktüberwachung
CNMV
Verordnung 2017/565