MiFID-II-Audit: die Prüfung, die Sie vornehmen, bevor die CNMV es tut

Wir prüfen Ihre tatsächliche Praxis – Kundenakten, Aufzeichnungen, Verträge und Reportings – anhand der Anforderungen von MiFID II. Sie erhalten priorisierte Feststellungen, die fehlenden Nachweise und einen Maßnahmenplan mit Verantwortlichen und Fristen.

Möchten Sie ein unabhängiges MiFID-II-Audit?

Sagen Sie uns, welche Art von Institut Sie sind und welche Dienstleistungen Sie erbringen. Wir schlagen Ihnen unverbindlich Umfang, Stichprobe und Zeitplan vor.

  • Über 50 beratene Unternehmen
  • Antwort innerhalb von 24 Std.
  • Unverbindlich
Aufbewahrung von Aufzeichnungen
5 Jahre
Geeignetheitsprüfung
Art. 25
Aufzeichnungspflicht
Art. 16(7)
Maßgebliches spanisches Gesetz
Gesetz 6/2023

Wer uns mit einem Audit nach MiFID II beauftragt

Vier Situationen, die immer wieder vorkommen. In keiner läuft ein Sanktionsverfahren – in allen gibt es jemanden, der es lieber vorher wissen will.

EAF

Das Institut, das schneller gewachsen ist als seine Richtlinien

„Wir wurden vor Jahren zugelassen und haben seitdem die Zahl unserer Kunden verdoppelt und das Angebot erweitert. Die Handbücher sind noch die aus dem ursprünglichen Zulassungsantrag, und niemand hat geprüft, ob sie überhaupt jemand anwendet.“

Agencia de Valores (Wertpapiermakler)

Der neue Compliance-Verantwortliche

„Ich habe gerade die Compliance-Funktion übernommen. Bevor ich meinen ersten Bericht an das Leitungsorgan unterschreibe, will ich genau wissen, was ich da übernehme – und das soll mir jemand von außen sagen.“

Verwaltungsgesellschaft

Die Verwaltungsgesellschaft, die an Privatkunden vertreibt

„Wir vertreiben unsere Produkte an Privatkunden, und der Zielmarkt wurde vor längerer Zeit festgelegt. Ich muss wissen, ob unsere Produktüberwachung einer externen Prüfung standhält.“

Internationale Gruppe

Die Muttergesellschaft, die ihre spanische Tochter prüft

„Die Gruppe verlangt eine unabhängige lokale Prüfung nach spanischem Recht. Wir wollen einen Bericht mit Feststellungen, Schweregrad und Maßnahmenplan, den die Konzernzentrale lesen und nachverfolgen kann.“

Die drei Feststellungen, die sich am häufigsten wiederholen

Wenn wir bereits zugelassene Institute prüfen, tauchen fast immer dieselben drei auf. Keine davon erkennt man beim Lesen des Handbuchs – man erkennt sie, wenn man eine beliebige Kundenakte öffnet.

Die Richtlinie existiert, aber niemand wendet sie an: tadellose Handbücher aus dem Zulassungsantrag, die kein Kundenbetreuer gelesen hat. Bei einem Auskunftsersuchen wird nicht das Inhaltsverzeichnis des Handbuchs geprüft, sondern die Kundenakte.

Veraltete Geeignetheitsprüfung: vor Jahren unterschriebene Tests, Portfolios, die nicht mehr zum angegebenen Profil passen, und Nachhaltigkeitspräferenzen, nach denen nie gefragt wurde. Diese Feststellung lässt sich rückwirkend am teuersten beheben.

Verstreute Nachweise: Die Informationen sind vorhanden, aber verteilt auf das CRM, das E-Mail-Postfach eines Kundenbetreuers und einen gemeinsamen Ordner. Wenn Sie einen konkreten Fall nicht innerhalb von Stunden rekonstruieren können, haben Sie diese Informationen praktisch nicht.

Drei Bereiche, in denen sich die Feststellungen häufen: was nicht funktioniert und mit welchem Nachweis es sich beheben lässt
Geprüfter Bereich Typische Feststellung Nachweis zur Behebung
Eignung Test abgelaufen oder nicht stimmig mit dem empfohlenen Portfolio Gültiger Test, dem Kunden ausgehändigte Geeignetheitserklärung und Nachvollziehbarkeit jeder Empfehlung.
Zuwendungen Zahlungen von Dritten ohne Nachweis, dass sie die Qualität der Dienstleistung verbessern Übersicht der Zahlungsströme, Katalog nachgewiesener Verbesserungen sowie vorherige und regelmäßige Kundeninformation.
Aufzeichnung Aufträge und Weisungen, die über nicht erfasste Kanäle eingehen Genehmigter Kanalumfang, Abruftest pro Kunde und Aufbewahrung über 5 Jahre, auf Verlangen bis zu 7 Jahre.

Möchten Sie die Schwachstellen lieber selbst finden?

Wir prüfen Ihre MiFID-II-Compliance nach derselben Logik wie die Aufsicht: Stichprobe echter Kundenakten, Gespräche mit dem Team und Test der Nachvollziehbarkeit. Am Ende haben Sie einen Bericht mit priorisierten Feststellungen und einen Maßnahmenplan, den Sie umsetzen und vorzeigen können.

MiFID-II-Audit: häufige Fragen

Was genau ist ein MiFID-II-Audit?

Es ist eine unabhängige Prüfung, wie Sie die Wohlverhaltensregeln von MiFID II im Alltag anwenden: Kundeneinstufung, Geeignetheit und Angemessenheit, Kosteninformation, Zuwendungen, Aufzeichnung der Kommunikation, Produktüberwachung und bestmögliche Ausführung.

Es ist weder eine Schulung noch ein Bericht darüber, was die Richtlinie besagt. Es ist Prüfungsarbeit vor Ort: Wir ziehen eine Stichprobe Ihrer Kundenakten, sprechen mit den Personen, die die Kunden betreuen, und prüfen, ob sich das, was in Ihrem Handbuch steht, mit Dokumenten belegen lässt. Das Ergebnis ist eine Liste von Feststellungen mit Schweregrad und ein Plan, um sie zu beheben.

Worin unterscheidet es sich von Ihrer Leistung zur MiFID-II-Compliance?

Es sind zwei verschiedene Zeitpunkte. Bei der MiFID-II-Compliance bauen wir das System auf: Richtlinien, Vorlagen, Verträge und Verfahren. Beim Audit prüfen wir, ob dieses System – unseres oder das, das Sie bereits hatten – bei echten Kunden funktioniert.

Wenn Sie den Rahmen nie aufgebaut haben, beginnen Sie mit der Compliance-Leistung. Wenn Sie ihn schon länger haben und nicht wissen, in welchem Zustand er ist, beginnen Sie mit dem Audit: Die Diagnose zeigt Ihnen, wo sich eine Investition lohnt. Den vollständigen regulatorischen Kontext finden Sie unter MiFID II.

Welche Unterlagen müssen wir vorbereiten?

Zu Beginn senden wir Ihnen eine abschließende Anforderungsliste. Im Allgemeinen fordern wir an: geltende Richtlinien und Handbücher mit Genehmigungsdatum, Musterverträge für Kunden, Vorlagen für die Geeignetheits- und Angemessenheitsprüfung, Muster der Ex-ante- und Ex-post-Kosteninformation, den Produktkatalog mit dem jeweiligen Zielmarkt, Vereinbarungen mit Dritten, aus denen Zahlungen fließen, die Richtlinie zur bestmöglichen Ausführung, eine Übersicht der aufgezeichneten Kanäle und das Schulungsregister der Mitarbeitenden.

Danach wählen wir die Stichprobe konkreter Kundenakten aus. Dort zeigen sich die meisten Feststellungen.

Beeinträchtigt es die Arbeit des Vertriebsteams?

Kaum. Der Großteil ist Dokumentenprüfung, die wir mit den Informationen durchführen, die Sie uns zur Verfügung stellen. Wir brauchen allerdings kurze Gespräche mit den Schlüsselpersonen: wer die Kunden betreut, wer die Kosteninformation erstellt, wer die Systeme verwaltet und wer die Compliance-Funktion ausübt.

Diese Gespräche sind unverzichtbar, weil die typische Feststellung nicht „ein Dokument fehlt“ lautet, sondern „das Dokument existiert, aber der Kundenbetreuer macht etwas anderes“. Die Gesamtdauer hängt von der Größe des Instituts, der Zahl der Dienstleistungen und der Menge der Kundenakten in der Stichprobe ab.

Was erhalten wir am Ende?

Drei Bestandteile. Erstens: den Auditbericht mit der Beschreibung jeder Feststellung, dem regulatorischen Maßstab, an dem sie gemessen wird, dem geprüften Nachweis, dem damit verbundenen Risiko und der konkreten Empfehlung. Zweitens: den Maßnahmenplan mit Maßnahme, internem Verantwortlichen und Abschlussdatum für jeden Punkt. Drittens: den Nachweisordner, nach Themen geordnet, damit Sie ein Auskunftsersuchen beantworten können, ohne etwas rekonstruieren zu müssen.

Auf Wunsch ergänzen wir eine Präsentation vor dem Leitungsorgan: Die Genehmigung des Plans muss dokumentiert sein.

Und was machen wir danach mit den Feststellungen?

Sie werden priorisiert und behoben. Feststellungen mit hohem Schweregrad – solche, die den Kundenschutz betreffen oder das Institut ohne Nachweis dastehen lassen – werden zuerst angegangen, meist mit schnellen Maßnahmen: Vorlagen aktualisieren, abgelaufene Tests erneuern, nicht erfasste Kommunikationskanäle schließen.

Die strukturellen Feststellungen erfordern ein Projekt: den Kostenprozess neu gestalten, die Produktüberwachung überarbeiten oder die Ablage neu organisieren. Wir können die Behebung gemeinsam mit Ihnen umsetzen oder uns darauf beschränken, den Fortschritt zu überwachen und den Abschluss zu verifizieren. Entscheidend ist, dass der Plan Fristen hat und dass jemand für jede einzelne verantwortlich ist.

Hilft es auch, wenn die CNMV uns bereits ein Auskunftsersuchen geschickt hat?

Ja, aber die Reihenfolge der Arbeit ändert sich. Liegt ein Auskunftsersuchen auf dem Tisch, geht es zuerst darum, eine vollständige, stimmige und fristgerechte Antwort vorzubereiten. Die allgemeine Prüfung folgt danach, damit die nächste Frage Sie nicht im selben Zustand antrifft.

Was nicht funktioniert, ist Improvisation: Widersprüchliche Antworten verschiedener Abteilungen und Nachweise, die nur bruchstückhaft auftauchen, machen aus einer Aufsichtsmaßnahme etwas Ernsteres. Wie eine solche Maßnahme abläuft und wie man darauf antwortet, erklären wir unter Aufsicht und Prüfungen durch die CNMV.

Sind wir verpflichtet, ein MiFID-II-Audit durchzuführen?

Die Vorschriften verlangen, dass Sie eine Compliance-Funktion haben, die die Angemessenheit und Wirksamkeit Ihrer Richtlinien und Verfahren regelmäßig überprüft und bewertet und ihre Ergebnisse dem Leitungsorgan berichtet. Wie diese Überprüfung umgesetzt wird, entscheiden Sie.

Eine externe Prüfung bietet zwei Dinge, die eine interne nicht immer leisten kann: echte Unabhängigkeit und Vergleichserfahrung mit anderen Instituten. Außerdem hinterlässt sie ein datiertes Dokument, das belegt, dass sich das Institut selbst bewertet – ein Pluspunkt, wenn eine Aufsichtsmaßnahme ansteht. Bei EAF fügt sie sich zudem in die übrigen Pflichten nach der Zulassung ein.

Wie das Audit abläuft, Phase für Phase

Auditieren heißt nicht, Handbücher noch einmal zu lesen, sondern zu prüfen, ob Ihre Praxis Spuren hinterlässt. So gehen wir vor – vom Prüfungsumfang bis zur Behebung der Feststellungen.

Phase 1

Umfang und Stichprobe

Wir klären, welche Dienstleistungen Sie tatsächlich erbringen und für welche Kunden, vereinbaren die zu prüfenden Bereiche und wählen die Stichprobe der Kundenakten aus: nach Produkt, nach Kundenbetreuer und nach Grenzfällen. Ohne schriftlich festgelegten Umfang verwässert das Audit.

Phase 2

Prüfungsarbeit vor Ort

Dokumentenprüfung, Gespräche mit den Personen, die die Kunden betreuen, und Tests der Nachvollziehbarkeit: Wir fordern eine konkrete Kundenakte an und messen, wie lange Sie brauchen, um sie vollständig zusammenzustellen. Alles wird in Arbeitspapieren dokumentiert.

Phase 3

Bericht und Behebung

Nach Schweregrad priorisierte Feststellungen, Maßnahmenplan mit Verantwortlichen und Fristen, Präsentation vor dem Leitungsorgan und – falls beauftragt – Verifizierung des Abschlusses nach einiger Zeit. Das Audit endet, wenn die Feststellungen behoben sind, nicht wenn das PDF übergeben wird.

MiFID-II-Audit in 10 Schritten

  1. Dienstleistungsumfang: Legen Sie fest, welche Wertpapierdienstleistungen Sie heute erbringen und für welche Kundentypen. Das ist die Landkarte, an der alles andere gemessen wird.
  2. Dokumentenbestand: Stellen Sie Richtlinien, Handbücher, Musterverträge und Vorlagen in der geltenden Fassung zusammen, mit Genehmigungsdatum und benanntem Verantwortlichen.
  3. Auswahl der Stichprobe: Kundenakten nach Kundentyp, Produkt und Kundenbetreuer, einschließlich Grenzfällen: umgestufte Kunden, komplexe Produkte und Geschäfte auf Veranlassung des Kunden.
  4. Kundeneinstufung: Prüfen Sie die zugewiesene Kategorie – Privatkunde, professioneller Kunde oder geeignete Gegenpartei – und ob Anträge auf Änderung der Kategorie dokumentiert sind.
  5. Geeignetheit und Angemessenheit: Gültigkeit des Tests, Übereinstimmung mit der Empfehlung, Nachhaltigkeitspräferenzen und ausgehändigte Geeignetheitserklärung; bei Dienstleistungen ohne Beratung Angemessenheit und Warnhinweise.
  6. Kosten und Nebenkosten: Abgleich zwischen der ausgehändigten Ex-ante-Information und dem jährlichen Ex-post-Bericht, mit der kumulativen Wirkung auf die Rendite.
  7. Zuwendungen: Übersicht der Zahlungen von und an Dritte, Vereinbarkeit mit der Art der erbrachten Dienstleistung und dokumentarischer Nachweis der Qualitätsverbesserung.
  8. Aufzeichnung der Kommunikation: erfasste Kanäle, Kontrolle nicht dienstlicher Messenger, Abruf einer konkreten Kommunikation und Aufbewahrungsfristen.
  9. Produkt und Ausführung: positiver und negativer Zielmarkt, Rückmeldung an den Konzepteur und Richtlinie zur bestmöglichen Ausführung mit ihrer regelmäßigen Überprüfung.
  10. Bericht und Behebung: priorisierte Feststellungen, Verantwortlicher und Frist pro Maßnahme und ein Nachweisordner, mit dem Sie ein Auskunftsersuchen sofort beantworten können.

Wenn Sie den Rahmen von Grund auf aufbauen müssen, beginnen Sie mit unserer Leistung zur MiFID-II-Compliance. Wenn Sie bereits zugelassen sind, prüfen Sie auch den Kalender der laufenden Pflichten.

Kostenlose Ressource · PDF

MiFID-II-Checkliste herunterladen

Die 10 Kontrollen zu den Wohlverhaltensregeln, die die CNMV in einer EAF oder einem Wertpapierinstitut (ESI) im laufenden Betrieb sehen will, jeweils mit dem typischen Nachweis. Ideal als vierteljährliche Selbstprüfung mit Ihrem Team.

  • Die 10 wesentlichen Wohlverhaltenskontrollen
  • Die erwarteten Nachweise für jede Kontrolle
  • 5 Anzeichen, dass eine Kontrolle nur auf dem Papier existiert
  • Professionelles PDF · 5 Seiten · 11 KB

Kein Spam. Ihre E-Mail-Adresse wird nur verwendet, um Ihnen diese Checkliste und gelegentlich relevante regulatorische Neuigkeiten zu senden.

Ihr Download hat begonnen

Die Checkliste wird gerade heruntergeladen. Falls der Download nicht automatisch startet, klicken Sie hier.

Brauchen Sie nach der Lektüre Unterstützung bei der Umsetzung einzelner Schritte? Schreiben Sie uns direkt:

Praxisglossar

Das Vokabular des Audits

Begriffe, die Ihnen im Angebot, im Bericht und im Gespräch mit Ihrem Leitungsorgan begegnen. Sie sollten für alle dasselbe bedeuten.

MiFID-II-AuditLeistung

Unabhängige Prüfung der Wohlverhaltensregeln

Abgleich zwischen den Anforderungen der MiFID-II-Wohlverhaltensregeln und dem, was Ihre tatsächliche Kunden- und Geschäftsdokumentation belegt.

Sie wird von jemandem durchgeführt, der den Prozess nicht selbst entworfen hat.
PrüfungsumfangMethode

Was dazugehört und was nicht

Einleitendes Dokument, das geprüfte Bereiche, Prüfungszeitraum, beteiligte Einheiten und Grenzen der Arbeit festlegt. Es wird vor Beginn vereinbart.

Ohne schriftlich festgelegten Umfang lässt sich kein Bericht interpretieren.
StichprobeMethode

Echte Kundenakten, keine Vorlagen

Auswahl konkreter Fälle nach Produkt, Kundenbetreuer und Kundentyp, einschließlich der Grenzfälle, an denen der Prozess meist scheitert.

Die Stichprobe wählen wir aus, nicht das geprüfte Institut.
FeststellungBericht

Dokumentierte Abweichung

Belegter Unterschied zwischen regulatorischer Anforderung und beobachteter Praxis, mit dem geprüften Nachweis und dem daraus entstehenden Risiko.

Eine Feststellung ohne Nachweis ist nur eine Meinung.
SchweregradBericht

Die Reihenfolge der Behebung

Einstufung der Feststellung nach ihren Auswirkungen auf den Kunden, ihrer Häufigkeit und der Fähigkeit des Instituts, das Gegenteil zu beweisen.

Entscheidet, was diese Woche und was dieses Jahr behoben wird.
MaßnahmenplanErgebnis

Maßnahme, Verantwortlicher und Frist

Übersetzung jeder Feststellung in eine konkrete Aufgabe mit internem Verantwortlichen und Abschlussfrist, genehmigt vom Leitungsorgan.

Ein Plan ohne Namen und Fristen wird nicht umgesetzt.
Compliance-FunktionGovernance

Wer von innen überwacht

Bereich, der die Angemessenheit und Wirksamkeit der Richtlinien und Verfahren regelmäßig überprüft und bewertet und dem Leitungsorgan berichtet.

Das externe Audit stärkt sie, ersetzt sie aber nicht.
ArbeitspapierNachweis

Die Nachvollziehbarkeit des Prüfers

Interne Dokumentation jeder Prüfungshandlung: was geprüft wurde, anhand welchen Dokuments, an welchem Datum und mit welchem Ergebnis.

Ermöglicht es, die Arbeit noch Jahre später zu rekonstruieren.
AufsichtsordnerNachweis

Was Sie vorlegen, wenn die Aufsicht anruft

Nach Themen geordnete Ablage mit geltenden Richtlinien, Nachweisen und Aufzeichnungen, vorbereitet, um ein Auskunftsersuchen ohne Improvisation zu beantworten.

Er wird laufend aktualisiert – und nicht erst an dem Tag angelegt, an dem das Schreiben eintrifft.
Prüfungs-Playbook

Was wir in jedem Bereich prüfen und mit welchem Nachweis

MiFID-II-Bereich
Was geprüft wird
Angeforderter Nachweis

Kundeneinstufung

Zugewiesene Kategorie gemäß Anhang II MiFID II, dem Kunden mitgeteilt, mit begründeten und dokumentierten Kategoriewechseln.

Kundenstammblatt mit Kategorie und Datum, Mitteilung an den Kunden, Anträge auf Umstufung und die zugrunde liegende Analyse.

Geeignetheit und Angemessenheit

Gültige Geeignetheitsprüfung vor jeder Empfehlung (Art. 25 MiFID II) und Angemessenheitsprüfung bei Dienstleistungen ohne Beratung über komplexe Produkte.

Ausgefüllte und datierte Fragebögen, ausgehändigte Geeignetheitserklärung, Warnhinweise bei negativem Ergebnis und Dokumentation der Execution-only-Ausnahme.

Zuwendungen und Kosten

Zahlungen von Dritten nur, wo Art. 24 MiFID II sie zulässt, mit nachgewiesener Qualitätsverbesserung, sowie Ex-ante- und jährliche Ex-post-Kosteninformation.

Verträge mit Dritten, Übersicht der Zahlungsströme, Katalog nachgewiesener Verbesserungen und Stichprobe ausgehändigter und abgeglichener Kostenberichte.

Aufzeichnung der Kommunikation

Aufzeichnung der Gespräche und Kommunikation, die zu Geschäften führen können (Art. 16(7) MiFID II), auch wenn das Geschäft nicht ausgeführt wird.

Kanalinventar, Geräterichtlinie, Abruftest einer konkreten Kommunikation und Aufbewahrung über 5 Jahre, auf Verlangen bis zu 7 Jahre.

Produkt und Ausführung

Positiver und negativer Zielmarkt festgelegt und angewandt (Art. 16(3) und 24(2) MiFID II) sowie überprüfte Richtlinie zur bestmöglichen Ausführung nach Art. 27.

Produktüberwachungsblatt je Instrument, Rückmeldung an den Konzepteur, Ausführungsrichtlinie und Protokolle ihrer Überprüfung.

Anzeichen, dass das Audit nicht warten kann

Wenn Sie zwei oder mehr davon wiedererkennen, liegt Ihr Risiko nicht im Handbuch, sondern in der Kundenakte, die jemand von Ihnen anfordern wird.

  • Sie haben Ihre Produktpalette oder Ihr Ertragsmodell geändert, und die Richtlinien sind noch die, die Sie mit dem Zulassungsantrag eingereicht haben.
  • Niemand kann ohne Suchen sagen, wo die Geeignetheitsprüfung eines bestimmten Kunden von vor zwei Jahren liegt.
  • Ihre Kundenbetreuer schließen Gespräche mit Kunden über das private Handy oder Instant Messenger ab, weil „der Kunde es so bevorzugt“.
  • Sie erhalten Zahlungen von Verwaltungsgesellschaften, Emittenten oder Plattformen und haben nicht dokumentiert, welche konkrete Verbesserung der Kunde dafür erhält.
  • Ein neuer Compliance-Verantwortlicher hat angefangen, oder ein Kunde hat sich beschwert und die Empfehlung infrage gestellt, die Sie ihm gegeben haben.

Anruf buchen

Sagen Sie uns, welche Wertpapierdienstleistungen Sie erbringen und wo Ihre MiFID-II-Compliance steht. Wir sagen Ihnen, was Sie zuerst prüfen sollten und wie gründlich.

Letzte Aktualisierung: 4. August 2026

MiFID-II-Audit: Umfang, Methodik und Ergebnisse

Ein MiFID-II-Audit erklärt nicht die Vorschriften, sondern gleicht sie mit Ihrer Praxis ab. Der Referenzrahmen sind die Richtlinie 2014/65/EU (MiFID II), die Verordnung (EU) Nr. 600/2014 (MiFIR) und die Delegierte Verordnung (EU) 2017/565, die in Spanien über das Gesetz 6/2023 und das Königliche Dekret 813/2023 angewandt werden. Die Prüfung misst nur eines: ob jede Wohlverhaltenspflicht eine dokumentarische Spur hinterlässt, die Sie der CNMV vorlegen können, ohne etwas zu rekonstruieren. Wir arbeiten mit echten Kundenakten, sprechen mit den Personen, die die Kunden betreuen, und liefern priorisierte Feststellungen mit einem umsetzbaren Maßnahmenplan.

Welche Bereiche geprüft werden

Der Prüfungsumfang ist der gesamte Kundenzyklus. Er beginnt bei der Einstufung – Privatkunde, professioneller Kunde oder geeignete Gegenpartei gemäß Anhang II MiFID II –, denn davon hängen die geschuldeten Schutzmechanismen und die erforderlichen Warnhinweise ab. Es folgt die vorherige Beurteilung: die Geeignetheitsprüfung bei Anlageberatung oder Portfolioverwaltung (Art. 25 MiFID II), mit den Nachhaltigkeitspräferenzen, die durch die 2023 aktualisierten ESMA-Leitlinien zur Geeignetheit aufgenommen wurden, und die Angemessenheitsprüfung bei Dienstleistungen ohne Beratung über komplexe Produkte, mit ihrem System von Warnhinweisen und der Execution-only-Ausnahme. Weiter geht es mit der wirtschaftlichen Transparenz: Informationen über Kosten und Nebenkosten ex ante und jährlich ex post, aggregiert, mit Aufschlüsselung auf Anfrage und kumulativer Wirkung auf die Rendite (Art. 24(4) MiFID II und Art. 50 der Delegierten Verordnung (EU) 2017/565), sowie mit dem Regime der Zuwendungen nach Art. 24, die bei unabhängiger Anlageberatung und diskretionärer Portfolioverwaltung verboten sind. Den Abschluss bilden die Aufzeichnung der Kommunikation nach Art. 16(7), die Produktüberwachung nach Art. 16(3) und 24(2) mit positivem und negativem Zielmarkt, die bestmögliche Ausführung nach Art. 27 und der Umgang mit Interessenkonflikten.

Wie es abläuft: Stichprobe, Gespräche und Arbeitspapiere

Die Methodik ist bewusst unbequem, weil sie die Logik der Aufsicht nachbildet. Zuerst wird der Prüfungsumfang schriftlich festgelegt: Bereiche, Prüfungszeitraum und beteiligte Einheiten. Danach wird die Stichprobe ausgewählt – und zwar vom Prüfer, nicht vom geprüften Institut: Kundenakten nach Produkt, nach Kundenbetreuer und nach Grenzfällen, etwa umgestufte Kunden, komplexe Produkte, Geschäfte auf Veranlassung des Kunden oder alte Verträge, die sich niemand mehr angesehen hat. Anhand dieser Stichprobe geschieht zweierlei. Erstens die Dokumentenprüfung: Es wird geprüft, ob das Dokument existiert, unterschrieben und gültig ist und zum nächsten Glied der Kette passt. Zweitens Tests der Nachvollziehbarkeit: Ein konkreter Fall wird angefordert, und es wird gemessen, wie lange das Institut braucht, um ihn vollständig zusammenzustellen – denn ein Nachweis, der erst nach Wochen auftaucht, taugt nicht zur Beantwortung eines Auskunftsersuchens. Hinzu kommen kurze Gespräche mit den Personen, die die Kunden betreuen, mit denjenigen, die die Kosteninformation erstellen, und mit der Compliance-Funktion. Alles wird in Arbeitspapieren dokumentiert, mit denen sich die Prüfung noch Jahre später rekonstruieren lässt.

Das Ergebnis: Feststellungen, Schweregrad und Maßnahmenplan

Der Bericht ist keine Liste von Vorwürfen. Jede Feststellung wird mit vier Elementen dokumentiert: der konkreten regulatorischen Anforderung, dem geprüften Nachweis, der beobachteten Abweichung und der praktischen Empfehlung. Jeder Feststellung wird ein Schweregrad zugewiesen, der die Arbeit ordnet: zuerst das, was den Kundenschutz betrifft oder das Institut ohne Nachweis dastehen lässt, danach das Strukturelle. Daraus ergibt sich der Maßnahmenplan, der Teil, mit dem tatsächlich gearbeitet wird: eine Tabelle mit Maßnahme, internem Verantwortlichen und Abschlussdatum, die dem Leitungsorgan vorgelegt und im Protokoll genehmigt werden soll. Zum Abschluss übergeben wir den Nachweisordner, nach Themen geordnet, damit das Institut beim nächsten Mal nicht wieder dieselben Dokumente suchen muss. Falls beauftragt, verifizieren wir nach einiger Zeit den Abschluss und halten fest, welche Feststellungen behoben wurden und welche – mit Begründung – noch offen sind. Diese Spur aus Selbstbewertung, genehmigtem Plan und Nachverfolgung ist genau das, was zeigt, dass sich das Institut selbst kontrolliert.

Wann ein Audit sinnvoll ist und was auf dem Spiel steht

Es gibt vier natürliche Zeitpunkte: wenn sich das Geschäftsmodell oder die Produktpalette ändert, wenn ein neuer Compliance-Verantwortlicher anfängt, wenn eine Beschwerde eine konkrete Empfehlung infrage stellt und wenn die Aufsicht aktiv wird. Die CNMV beaufsichtigt laufend aus der Ferne und auch vor Ort, und ihr Ansatz ist immer derselbe: Sie fragt nicht, was in Ihrem Handbuch steht, sondern verlangt, dass Sie ihr den Fall zeigen. Mehr dazu unter Aufsicht und Prüfungen durch die CNMV. Das Wertpapiermarktrecht unterscheidet leichte, schwere und sehr schwere Verstöße, und die möglichen Folgen reichen von der Geldbuße über die öffentliche Verwarnung bis zum Entzug der Zulassung oder zum Verbot, Leitungsfunktionen auszuüben. Einzelheiten finden Sie unter CNMV-Sanktionen. Demgegenüber macht eine datierte unabhängige Prüfung mit genehmigtem Plan und Nachverfolgung den Unterschied zwischen einem Institut, das korrigiert, und einem Institut, das erst entdeckt. Wenn es um eine bereits zugelassene EAF geht, ordnen Sie das Audit in den Kalender der laufenden Pflichten ein.

Dieser Inhalt dient der allgemeinen Information und stellt keine Rechtsberatung dar. Die zitierten Vorschriften können nach dem angegebenen Aktualisierungsdatum geändert worden sein: Prüfen Sie stets die geltende Fassung oder kontaktieren Sie uns, damit wir Ihren konkreten Fall analysieren.

MiFID II Geeignetheit Zuwendungen Kosten und Nebenkosten Aufzeichnung Produktüberwachung CNMV Verordnung 2017/565