Regulatory Change Management: neue Vorschriften zuverlässig umsetzen

Kurzantwort: Ein Regulatory-Change-Management-Prozess sorgt dafür, dass neue Vorschriften rechtzeitig erkannt, auf Relevanz geprüft, in einer Gap-Analyse bewertet und als Projekt umgesetzt werden, mit klarer Verantwortung für jeden Schritt. Er besteht aus sechs Schritten: Radar, Triage, Gap-Analyse, Umsetzungsplanung, Umsetzung und Abnahme mit Nachweis. Für deutsche Kreditinstitute verlangen die MaRisk (AT 4.4.2), dass die Compliance-Funktion die wesentlichen rechtlichen Regelungen in regelmässigen Abständen identifiziert.

Dieser Ratgeber richtet sich an Heads of Compliance, General Counsel und Verantwortliche für Regulatory Affairs in Banken, Versicherungen und anderen Unternehmen in der Schweiz und in Deutschland. Er zeigt den Prozess von der Beobachtung bis zum Nachweis, die Rollen und den Kapazitätsbedarf in Spitzenzeiten.

Der Prozess im Überblick

Regulatory Change Management folgt in Banken und Unternehmen einem wiederkehrenden Ablauf in sechs Schritten. Jeder Schritt hat ein dokumentiertes Ergebnis und eine verantwortliche Rolle.

Ein zentrales Register aller Vorhaben verbindet die Schritte: Es zeigt für jede Vorschrift Status, Verantwortliche, Anwendungsbeginn und offene Lücken.

Radar und Triage: neue Regeln erkennen und einordnen

Das Radar erfasst neue Vorschriften so früh, dass für die Umsetzung genug Zeit bleibt, und die Triage trennt Relevantes von Unwesentlichem. Bei deutschen Kreditinstituten ist das ausdrücklich Aufgabe der Compliance-Funktion: Nach MaRisk AT 4.4.2 identifiziert sie die wesentlichen rechtlichen Regelungen unter Risikogesichtspunkten in regelmässigen Abständen, und ihre Mitarbeitenden sind über wesentliche Änderungen rechtzeitig zu informieren. In Schweizer Banken gehört die jährliche Einschätzung des Compliance-Risikos mit einem risikoorientierten Tätigkeitsplan, den die Geschäftsleitung genehmigt, zu den Mindestaufgaben der Compliance-Funktion (FINMA-RS 2017/1, Rz 78).

Quellen für das Radar

• Amtsblatt der EU und nationale Gesetzblätter, in der Schweiz die Systematische Rechtssammlung und Vernehmlassungen;
• Rundschreiben, Mitteilungen und Konsultationen von FINMA, BaFin und europäischen Aufsichtsbehörden;
• Branchenverbände und Fachinformationsdienste;
• Feststellungen aus Prüfungen, die auf geänderte Erwartungen der Aufsicht hinweisen.

Kriterien für die Triage

• Gilt die Regel für unsere Rechtsform, Lizenz, Produkte und Länder?
• Ab wann gilt sie, und gibt es Übergangsfristen?
• Welche Fachbereiche und Systeme sind betroffen?
• Wie gross ist die Änderung gegenüber heute: Klarstellung, Anpassung oder neues Thema?

Für Unternehmen mit Geschäft in der Schweiz und in der EU gilt oft beides: Schweizer Recht für die Schweizer Gesellschaft und EU-Recht für Tochtergesellschaften oder Kunden in der EU. Die Triage sollte das je Gesellschaft festhalten. Eine Übersicht über anstehende Stichtage bietet der Regulatorik-Kalender Legal & Compliance.

Gap-Analyse: Anforderungen gegen den Ist-Zustand prüfen

Die Gap-Analyse zerlegt eine Vorschrift in einzelne Anforderungen und prüft für jede, ob das Unternehmen sie heute schon erfüllt. Sie ist die Grundlage für Budget und Zeitplan. Ein bewährtes Vorgehen:

1. Die Vorschrift in einzelne, prüfbare Anforderungen gliedern (Anforderungskatalog).
2. Jede Anforderung einem verantwortlichen Fachbereich zuordnen.
3. Den Ist-Zustand mit Belegen erheben: Richtlinien, Prozesse, Systeme, Verträge.
4. Lücken bewerten: erfüllt, teilweise erfüllt, nicht erfüllt.
5. Aufwand und Abhängigkeiten je Lücke grob schätzen.
6. Ergebnis und Empfehlung der Geschäftsleitung zur Entscheidung vorlegen.

Halten Sie Auslegungsfragen fest und lassen Sie sie von der Rechtsabteilung oder externen Beratern entscheiden. Eine Gap-Analyse ohne dokumentierte Auslegung lässt sich später schwer verteidigen.

Umsetzungsprojekt: von der Lücke zum Nachweis

Das Umsetzungsprojekt schliesst die Lücken bis zum Anwendungsbeginn und belegt das mit Nachweisen. Planen Sie rückwärts vom Stichtag und reservieren Sie Zeit für Tests und Abnahme. Zwei Beispiele für Stichtage, die Umsetzungsprojekte auslösen:

• DORA: Finanzunternehmen in der EU müssen den Digital Operational Resilience Act seit dem 17. Januar 2025 anwenden (Art. 64 DORA). Wer noch Lücken hat, setzt sie als Remediation um. Mehr dazu im Ratgeber DORA: juristische und Compliance-Arbeitspakete.
• AMLR: Die EU-Geldwäscheverordnung (Verordnung (EU) 2024/1624) gilt ab dem 10. Juli 2027 unmittelbar (Art. 90 AMLR). Für betroffene Unternehmen in der EU ist jetzt die Zeit für Gap-Analyse und Umsetzungsplanung. Einen Überblick gibt der Ratgeber AMLR und AMLA.

Typische Arbeitspakete im Umsetzungsprojekt sind Richtlinien und Weisungen anpassen, Prozesse und Kontrollen ändern, Systeme konfigurieren, Verträge mit Dienstleistern nachverhandeln und Mitarbeitende schulen. Am Ende steht eine Abnahme durch Compliance und die Übergabe in den Regelbetrieb.

Rollen und Kapazität

Regulatory Change Management braucht eine klare Gesamtverantwortung und flexible Kapazität, weil grosse Vorhaben in Wellen kommen. Typische Rollen:

• Gesamtverantwortung: Geschäftsleitung; operativ meist Head of Compliance oder Regulatory Affairs.
• Regulatory-Change-Verantwortliche: führen Radar und Register, moderieren die Triage, berichten an die Geschäftsleitung.
• Legal Counsel: legen Vorschriften aus und passen Verträge und Dokumente an.
• Fachverantwortliche: setzen in ihrem Bereich um und bestätigen die Umsetzung.
• Projektleitung: steuert grosse Vorhaben mit Termin, Budget und Abhängigkeiten.
• Interne Revision: prüft unabhängig, ob der Prozess funktioniert und Nachweise tragen.

Laufendes Radar und Triage lassen sich meist mit internem Personal abdecken. Gap-Analysen und Umsetzungsprojekte vor einem Stichtag binden dagegen für einige Monate deutlich mehr Kapazität. Alpinum Solutions stellt dafür Compliance- und Legal-Fachkräfte über Staff Leasing oder Freelancing bereit, in Teilzeit oder Vollzeit, als Einzelperson oder Projektteam, vom Junior- bis zum Senior-Level. Im Staff Leasing gibt das Unternehmen die fachlichen Weisungen; im Freelancing arbeitet die Fachkraft eigenverantwortlich im Rahmen des vereinbarten Mandats. Wie Regulatory Change in ein Compliance-Management-System eingebettet wird, zeigt der Ratgeber Compliance-Management-System aufbauen.

Grenzen und Risiken

• Die Verantwortung für die Einhaltung neuer Vorschriften bleibt bei der Geschäftsleitung. Externe Fachkräfte analysieren und setzen um, entscheiden aber nicht über Auslegung und Risikoakzeptanz.
• Ein Radar ohne Triage erzeugt Listen ohne Konsequenz. Jede erfasste Vorschrift braucht einen Relevanzentscheid und eine verantwortliche Person.
• Fristen und Anwendungsbereiche ändern sich, etwa durch Verschiebungen oder Ausnahmen. Prüfen Sie Stichtage vor Projektentscheiden an der Primärquelle.
• Alpinum ist keine Kanzlei und erbringt keine Rechtsberatung.

Häufige Fragen zu Regulatory Change Management

Wer ist für Regulatory Change verantwortlich?

Die Gesamtverantwortung liegt bei der Geschäftsleitung. Operativ führt meist die Compliance-Funktion oder ein Regulatory-Affairs-Team den Prozess, bei deutschen Kreditinstituten mit der Pflicht nach MaRisk AT 4.4.2, wesentliche rechtliche Regelungen regelmässig zu identifizieren. Die Umsetzung verantworten die betroffenen Fachbereiche. Die Rechtsabteilung legt Vorschriften aus, die Interne Revision prüft unabhängig.

Wie früh sollte die Umsetzung starten?

Die Gap-Analyse sollte starten, sobald der Text einer Vorschrift weitgehend feststeht, nicht erst kurz vor dem Anwendungsbeginn. Planen Sie rückwärts vom Stichtag: Tests, Schulungen und Abnahme brauchen Zeit, IT-Änderungen oft am meisten. Bei grossen Vorhaben wie der AMLR, die ab dem 10. Juli 2027 gilt, sollte die Planung deshalb lange vor dem Stichtag beginnen.

Was ist eine regulatorische Gap-Analyse?

Eine regulatorische Gap-Analyse vergleicht die Anforderungen einer Vorschrift mit dem Ist-Zustand im Unternehmen. Die Vorschrift wird in einzelne Anforderungen gegliedert, jede wird einem Fachbereich zugeordnet und als erfüllt, teilweise erfüllt oder nicht erfüllt bewertet. Das Ergebnis ist eine Liste der Lücken mit Aufwandsschätzung, die Grundlage für Budget, Zeitplan und Umsetzungsprojekt.

Braucht es eine Software für Regulatory Change Management?

Nicht zwingend. Kleinere Unternehmen arbeiten oft mit einem strukturierten Register und klaren Zuständigkeiten. Software lohnt sich, wenn viele Vorschriften, Gesellschaften und Länder zu verfolgen sind oder wenn Nachweise für Prüfer zentral verfügbar sein sollen. Entscheidend sind in jedem Fall Triage, Verantwortliche und dokumentierte Entscheidungen, nicht das Werkzeug.

Kann eine Interim-Fachkraft eine Gap-Analyse durchführen?

Ja. Erfahrene Compliance Officers oder Legal Counsel mit Erfahrung im jeweiligen Regelwerk führen Gap-Analysen häufig als befristetes Projekt durch. Wichtig sind ein klarer Auftrag, Zugang zu den Fachbereichen und eine Person im Unternehmen, die Auslegungsfragen entscheidet. Das Ergebnis und die Umsetzungsentscheide bleiben beim Unternehmen.

Nächster Schritt

Beschreiben Sie Vorschrift, Stichtag und gesuchte Profile. Ausgewählte Profile liegen in der Regel innerhalb von 48 Stunden vor; den Einsatzbeginn stimmen Unternehmen und Alpinum gemeinsam ab.

• Regulatory Compliance und Regulatory Change
• Regulatorik-Kalender Legal & Compliance
• Interim Compliance
• Bedarf besprechen

Stand: 30. Oktober 2026.