Glossar
Aktualisiert
Was hat SR 11-7 ersetzt?
SR 26-2, Revised Guidance on Model Risk Management, wurde am 17. April 2026 gemeinsam von der Federal Reserve, dem OCC und der FDIC herausgegeben. Sie ersetzt SR 11-7 vom April 2011 und SR 21-8 vom April 2021. Auf Seiten des OCC hebt das Bulletin 2026-13 die früheren OCC-Veröffentlichungen sowie das Booklet zum Modellrisikomanagement im Comptroller's Handbook auf. Unterlagen, die SR 11-7 weiterhin als aktuelle Richtlinie beschreiben, sind veraltet. Dies betrifft auch eine Vielzahl von Publikationen von Anbietern und Beratungsunternehmen, die vor dem Frühjahr 2026 veröffentlicht wurden.
Für welche Institute gilt SR 26-2?
Die Behörden weisen darauf hin, dass die Richtlinie in erster Linie für Bankenorganisationen mit einer Gesamtbilanzsumme von mehr als 30 Milliarden US-Dollar relevant ist. Kleinere Institute sind nicht verpflichtet, diese vollumfänglich anzuwenden. Die Richtlinie stellt explizit klar, dass die Praktiken proportional zur Größe, Komplexität und dem Modellrisikoprofil des jeweiligen Unternehmens skaliert werden sollten. Dies stellt eine Akzentverschiebung gegenüber SR 11-7 dar, die oft als einheitlicher Standard interpretiert wurde und zu erheblichen Diskussionen über die Verhältnismäßigkeit zwischen Banken und Prüfern führte.
Deckt SR 26-2 generative und agentische KI ab?
Nein, und dies ist das wesentlichste Detail für alle, die für die Governance moderner KI verantwortlich sind. Die Behörden erklären, dass generative KI und agentische KI-Modelle neuartig sind, sich rasant entwickeln und daher nicht in den Anwendungsbereich dieser Richtlinie fallen. Eine Bank, die ein Large Language Model oder einen autonomen Agenten einsetzt, kann sich nicht auf SR 26-2 als maßgeblichen Standard berufen und nicht davon ausgehen, dass ihr bestehendes Modellrisiko-Framework diese Systeme abdeckt. Diese Lücke muss anderweitig geschlossen werden, in der Regel durch das NIST AI Risk Management Framework, ISO/IEC 42001, branchenspezifische Leitlinien sowie die internen Richtlinien des Unternehmens.
Was sind die Kernkomponenten?
Die Richtlinie behält die Struktur bei, die Aufsichtsbehörden seit fünfzehn Jahren nutzen. Unternehmen führen ein Inventar von Modellen inklusive Verantwortlichkeiten und Risikoklassifizierungen. Entwicklung und Implementierung werden so dokumentiert, dass Dritte die Designentscheidungen, Daten und Einschränkungen nachvollziehen können. Die Validierung erfolgt unabhängig von den Entwicklern und umfasst die konzeptionelle Angemessenheit, die laufende Überwachung sowie die Analyse der Ergebnisse. Die Governance bildet den Rahmen für alle Prozesse, gestützt durch vom Vorstand genehmigte Richtlinien, definierte Rollen und ein Berichtswesen, das bis zur Geschäftsleitung reicht. SR 26-2 ergänzt dies um eine stärkere risikobasierte Einordnung, in welchem Umfang diese Maßnahmen auf ein bestimmtes Modell anzuwenden sind.
In welcher Beziehung steht dies zur KI-Governance?
Modellrisikomanagement und KI-Governance überschneiden sich, sind jedoch nicht identisch. Das Modellrisikomanagement hinterfragt, ob ein Modell für seinen Einsatzzweck geeignet ist und ob das Unternehmen dies fundiert begründen kann. Die KI-Governance deckt einen wesentlich breiteren Bereich ab: die Erfassung und Genehmigung neuer Anwendungsfälle, KI von Drittanbietern, Berechtigungen und Aktionskontrollen für Agenten, die regulatorische Zuordnung über mehrere Regelwerke hinweg sowie die Wiederverwendbarkeit von Nachweisen in verschiedenen Frameworks. Unternehmen mit etablierten Modellrisikofunktionen verfügen meist über eine starke Validierungskompetenz, weisen jedoch Lücken in der Vollständigkeit ihres Inventars auf, da Schatten-KI und in Drittsoftware integrierte KI oft nicht im Modellinventar erfasst wurden.
Beispiel
Eine US-amerikanische Bank mit einer Bilanzsumme von 60 Milliarden Dollar führt 400 Modelle in ihrem Bestand. Gemäß SR 26-2 stuft sie diese nach Risiko ein, wendet eine vollständige unabhängige Validierung auf die für Kredit und Kapital verwendeten Tier-1-Modelle an und unterzieht die übrigen einer verhältnismäßigen Prüfung. Anschließend identifiziert sie 30 neuere Systeme, die große Sprachmodelle (LLMs) für die Zusammenfassung von Dokumenten und die Kundenkorrespondenz nutzen. Da SR 26-2 generative KI nicht abdeckt, können diese nicht einfach in den Modellbestand aufgenommen und auf dieselbe Weise validiert werden. Die Bank steuert diese über eine separate KI-Richtlinie, die auf dem NIST AI RMF basiert, mit eigenem Erfassungs-, Bewertungs- und Überwachungsprozess, während beide Datensätze in einem einzigen System geführt werden, damit die Prüfer die gesamte Systemlandschaft einsehen können.