Glossar
Aktualisiert
Was ist SR 26-2 und was hat es ersetzt?
SR 26-2 ist die Richtlinie zur Modellrisikomanagement-Aufsicht (Supervisory Guidance on Model Risk Management), die am 17. April 2026 gemeinsam vom Board of Governors des Federal Reserve Systems, dem Office of the Comptroller of the Currency und der Federal Deposit Insurance Corporation herausgegeben wurde. Sie hebt SR 11-7, Guidance on Model Risk Management (4. April 2011), sowie SR 21-8, die behördenübergreifende Erklärung zum Modellrisikomanagement für Banksysteme zur Unterstützung des Bankgeheimnisgesetzes (Bank Secrecy Act) und zur Bekämpfung von Geldwäsche (9. April 2021), auf und ersetzt diese. Am selben Tag hob das OCC Bulletin 2026-13 die OCC Bulletins 2011-12, 1997-24 und 2021-19 sowie das Handbuch zum Modellrisikomanagement des Comptroller's Handbook auf. Die Behörden begründen die Überarbeitung mit den in den letzten fünfzehn Jahren gesammelten Aufsichtserfahrungen und Rückmeldungen aus der Branche.
Für wen gilt SR 26-2?
Es wird erwartet, dass die Richtlinie vor allem für Bankenorganisationen mit einer Gesamtbilanzsumme von mehr als 30 Milliarden US-Dollar relevant ist. Organisationen an oder unter dieser Schwelle sind im Allgemeinen ausgeschlossen. Die Behörden bezeichnen dies als konsistent mit einem maßgeschneiderten Aufsichtsansatz, da deren Modelle in der Regel durch ein internes Risikomanagement abgedeckt sind, das ihrer Größe und ihrem Risikoprofil entspricht. Dieser Ausschluss ist jedoch nicht absolut. Die Richtlinie kann dennoch für eine kleinere Organisation mit erheblichem Modellrisiko relevant sein, sei es aufgrund der Verbreitung und Komplexität ihrer Modelle oder aufgrund von Aktivitäten außerhalb des traditionellen Community-Banking-Bereichs.
Was gilt gemäß SR 26-2 als Modell?
Die Richtlinie definiert ein Modell als eine komplexe quantitative Methode, ein System oder einen Ansatz, das statistische, ökonomische oder finanzielle Theorien anwendet, um Eingangsdaten in quantitative Schätzungen umzuwandeln. Diese Definition enthält drei ausdrückliche Ausnahmen: einfache arithmetische Berechnungen, wie sie in Tabellenkalkulationen vorkommen, deterministische regelbasierte Prozesse sowie Software, bei der dem Design oder der Nutzung keine statistische, ökonomische oder finanzielle Theorie zugrunde liegt. Banken, die ihre Bestände neu bewerten, stellen häufig fest, dass sich der Umfang verringert und Werkzeuge, die unter SR 11-7 im Modellbestand erfasst waren, nun nicht mehr darunter fallen.
Deckt SR 26-2 KI-Modelle ab?
Teilweise. In der Richtlinie wird dargelegt, dass generative und agentische KI-Modelle „neuartig sind und sich schnell weiterentwickeln“ und „nicht in den Anwendungsbereich dieser Richtlinie fallen“, während gleichzeitig bestätigt wird, dass ihre Grundsätze für traditionelle statistische und quantitative Modelle sowie für nicht-generative, nicht-agentische KI-Modelle gelten. Der Ausschluss bedeutet jedoch nicht, dass diese Systeme unreguliert bleiben dürfen. Die Behörden fügen hinzu, dass die Risikomanagement- und Governance-Praktiken einer Bankenorganisation weiterhin die Kontrollen leiten sollten, die auf alle Werkzeuge, Prozesse oder Systeme angewendet werden, die in diesem Dokument nicht behandelt werden. Dies führt dazu, dass generative und agentische KI in ein separates Framework überführt werden, in der Regel in das FS AI RMF oder das NIST AI RMF, unterstützt durch ein KI-Inventar, das beide Gruppen abdeckt.
Ist SR 26-2 rechtlich durchsetzbar?
Nein. In der Richtlinie wird klargestellt, dass sie keine einklagbaren Standards oder präskriptiven Anforderungen festlegt und dass eine Nichteinhaltung für sich genommen nicht zu einer Beanstandung der Bankenorganisation durch die Aufsichtsbehörden führt. Dies stellt eine bemerkenswerte Abweichung von der Praxis dar, mit der SR 11-7 im Laufe der Zeit behandelt wurde. Die Einschränkung ist jedoch ebenso gewichtig: Aufsichtsrechtliche Maßnahmen können sich nach wie vor aus Gesetzesverstößen oder aus unsicheren oder ungesunden Praktiken ergeben, die auf ein unzureichendes Management des Modellrisikos zurückzuführen sind. Den Unternehmen wird mehr Flexibilität bei der Nachweiserbringung des Modellrisikomanagements eingeräumt, nicht jedoch eine Befreiung von der grundlegenden Pflicht, dieses zu steuern.
Beispiel
Eine US-Bank mit einem Vermögen von 60 Milliarden US-Dollar bewertet ihr Modellinventar im Hinblick auf SR 26-2 neu. Ein deterministischer, regelbasierter Gebührenrechner fällt unter der engeren Modelldefinition aus dem Anwendungsbereich heraus. Daher stellt die Bank den Validierungsplan für dieses Tool ein und dokumentiert die Begründung. Ihr ML-Kreditbewertungsmodell bleibt als nicht-generatives KI-Modell im Anwendungsbereich und behält die vollständige Validierung. Ihr generativer KI-Assistent fällt gänzlich außerhalb der Richtlinie, weshalb die Bank ihn im Rahmen eines separaten KI-Frameworks steuert und diese Entscheidung dokumentiert. Grundlage dafür ist, dass die Behörden weiterhin angemessene Kontrollen für Systeme erwarten, die nicht von der Richtlinie abgedeckt sind.