Non-Financial Risk Management in Fintechs, Neobanken und Zahlungsdienstleistern: Vom Startup-Spirit zur regulatorischen Reife

So reflektierte der Mitgründer von N26, Valentin Stalf, in einem Handelsblatt Interview, nachdem er seinen Vorstandsposten abgegeben hatte.

FinTechs und Neobanken haben die Finanzbranche revolutioniert. Mit schlanken Strukturen, cloudbasierten Plattformen und nutzerzentrierten Produkten setzen sie neue Standards in Sachen Geschwindigkeit und Innovation. Kundenzuwachs, Investoreninteresse und regulatorische Aufmerksamkeit steigen gleichermaßen.

Doch mit dem Erfolg wächst auch die Komplexität: Prozesse werden vielschichtiger, regulatorische Anforderungen strenger und die Abhängigkeit von Technologie nimmt zu. Risiken entstehen nicht mehr nur durch Marktbewegungen oder Kreditvergabe, sondern auch durch Systemausfälle, Cyberangriffe, Compliance-Verstöße und operative Fehler. Prominente Beispiele von Sonderprüfungen bei namhaften Fintechs, Neobanken und Zahlungsdienstleistern zeigen, dass fehlende Strukturen sowohl im Risikomanagement als auch im Bereich von IT-Prozessen schnell zu massiven Auflagen, z.B. dem Verbot von Neue-Produkte-Prozessen, dem Einsatz eines Sonderprüfers und nicht selten der Ablösung einzelner Personen aus der Geschäftsleitung führen können.

Während etablierte Banken oft über ausgereifte Dokumentationen, Risikomanagementprozesse und mehrfach geprüfter und kontinuierlich verbesserter IT-Prozesse verfügen, ist das NFR-Management bei FinTechs häufig noch in den Kinderschuhen und fragmentiert: verschiedene Methodiken, verschiedene Modelle in Excel-Listen, manuelle Prozesse und Kontrollen sowie fehlende systematische oder gar uneinheitliche Erfassung dominieren.

Dabei sind gerade FinTechs aufgrund ihrer digitalen Infrastruktur und regulatorischen Anforderungen besonders gefordert. Die Erfahrungen aus der Branche sprechen eine klare Sprache: Sonderprüfungen dauern oft Monate, manchmal sogar Jahre, um die Abarbeitung der notwendigen Maßnahmen zur Schließung der Feststellungen strukturiert und nachweislich zu koordinieren. Dabei kosten diese Projekte schnell sechs- bis siebenstellige Beträge und führen nicht selten zu Wachstumsstopps.

Vom Reagieren zum Steuern – wie Finanzunternehmen NFR professionell managen können

Die gute Nachricht: Auch FinTechs, Neobanken und Zahlungsdienstleister können ein belastbares, regulatorisch konformes und gleichzeitig agiles Non-Financial Risk Management etablieren, wenn sie frühzeitig die richtigen Weichen stellen.

Ein integrierter Ansatz, zugeschnitten auf die besonderen Herausforderungen von FinTechs, Neobanken und Zahlungsdienstleistern, umfasst:

Regulatorik mit Augenmaß: Vereinfachte Anforderungen für junge Unternehmen

Neben dem Aufbau eines belastbaren NFR-Frameworks können junge Finanzunternehmen bei der Umsetzung regulatorischer Vorgaben auch auf abgestufte Anforderungen zurückgreifen.

Bei der Gründung von FinTechs, Neobanken und Zahlungsdienstleistern ist zunächst die Erstellung verschiedener Dokumente für den Lizenzantrag bei der jeweiligen nationalen Aufsichtsbehörde erforderlich. In Deutschland ist dies die BaFin. Der Geschäftsbetrieb darf erst nach Erteilung der Lizenz aufgenommen werden. Nach Einreichung der Antragsunterlagen bei der Aufsichtsbehörde ist ein durchdachter und strukturierter Ansatz für den Aufbau einer angemessenen Compliance im Geschäfts- und IT-Umfeld bis zum Tag der Geschäftsaufnahme zu etablieren.

Bei der Umsetzung können nach Risiko, Größe und Komplexität des Unternehmens Vereinfachungen bei der Anwendung der geltenden Regulatorik vorgenommen werden. Für sogenannte Kleinstunternehmen (z. B. mit wenigen Mitarbeitenden oder geringem Transaktionsvolumen) gelten daher abgestufte Anforderungen. Das Unternehmen führt eine Analyse durch und ermittelt, ob der vereinfachte Risikomanagementrahmen, gemäß Art. 16 DORA und dem RTS RMF, angewendet werden kann. Zu den Vereinfachungen zählen: Keine Strategie zur digitalen Resilienz, keine Zuweisung der Verantwortung an eine Kontrollfunktion, keine jährliche Pflicht zur Dokumentation und Überprüfung, keine IKT-Geschäftsfortführungsleitlinie, keine Pflicht zu redundanten IKT-Kapazitäten. Weitere Erleichterungen betreffen flexiblere Dokumentationspflichten, keine festen Berichtsintervalle, vereinfachte Anforderungen im Drittparteienmanagement (z. B. keine eigene Strategie oder zentrale Stabsstelle erforderlich).

Auch im Rahmen der Jahresabschlussprüfungen werden Vereinfachungen diskutiert. Die BaFin hat angekündigt, dass es bei der erstmaligen Prüfung von DORA-Anforderungen Übergangsregelungen geben wird. Beispielsweise keine detaillierte Berichtspflicht für unterjährig behobene Mängel und eine verkürzte Wirksamkeitsprüfung im ersten Jahr.

Trotz diverser Erleichterungen bleibt die Pflicht zur Umsetzung der DORA-Anforderungen bestehen, allerdings mit vereinfachten Mitteln. Das IKT-Risikomanagement und die Auswahl von IT-Dienstleistern bleiben im Hauptfokus der Aufsicht, und die Verträge mit Drittanbietern müssen DORA-konform gestaltet werden (z. B. mit klaren Sicherheits- und Meldepflichten).

Für junge Unternehmen lohnt sich deshalb die Zusammenarbeit mit spezialisierten Beratern, um die Anforderungen von Anfang an strukturiert und ressourcenschonend umzusetzen – ohne unnötige Bürokratie.

Wachstum mit eingebauter Compliance: Regulatorik pragmatisch mitskalieren lassen

Gerade in der Gründungs- und frühen Skalierungsphase zählt Tempo: Produktentwicklung, Kundengewinnung und Funding geben den Takt vor. Dass Governance- und Compliance-Strukturen zunächst schlank gehalten sind, ist normal – entscheidend ist jedoch, diese gezielt und nachweisbar mitwachsen zu lassen. So entsteht aus dem Startup-Spirit schrittweise regulatorische Reife, ohne die Organisation zu überfrachten.

Anstatt „alles auf einmal“ zu bauen, starten FinTechs mit einem schlanken Kontroll-Set und erweitern es entlang von Produkt- und Volumenmeilensteinen. In der Realität kann der Ausbau oftmals nicht mit dem Wachstum mithalten – mit steigendem Geschäftsvolumen wächst auch der Prüfungs- und Dokumentationsbedarf. Ein strukturiertes, aber leichtgewichtiges NFR-Setup verhindert unnötige Nacharbeiten in Prüfungen und erleichtert den konstruktiven Aufsichtsdialog – ohne den Fokus vom Kerngeschäft zu nehmen.

Modulare Expertenunterstützung als Beschleuniger – bis das eigene Team steht

Eine praktische Lösung besteht darin, zentrale regulatorische Funktionen in der Übergangszeit modular und temporär durch erfahrene externe Fachkräfte übernehmen zu lassen. Je nach Bedarf können Aufgaben in Risikomanagement, Compliance, Auslagerungsmanagement, Informationssicherheit oder weiteren Control Functions abgedeckt werden. Die Einbindung erfolgt direkt in den bestehenden Systemen und Prozessen, wodurch sofortige Wirksamkeit erzielt und parallel internes Know-how aufgebaut wird.

Charakteristisch für dieses Vorgehen ist die vollständige Integration (keine Black-Box-Auslagerung), die zeitliche Befristung sowie die konsequente Ausrichtung auf eine strukturierte Übergabe an das entstehende Inhouse-Team. Operative Entlastung in der Start- und Scale-Phase, begleitendes Coaching, prüfungsfeste Dokumentation und eine klare Übergabestruktur stehen im Vordergrund.

Regulatorik meistern, Wachstum ermöglichen

Es schafft Vertrauen bei Investoren, Kunden und der Aufsicht, reduziert operative Risiken und ermöglicht nachhaltiges Wachstum. Wer frühzeitig investiert, spart später Zeit, Geld und Nerven.