DORA- und MiCA-Compliance: Warum die mentale Fitness der Beschäftigten ein operationelles Risiko ist
Kurz gesagt: EU-Vorschriften wie DORA und MiCA verlangen robuste operative Kontrollen, Incident-Management, Governance und Geschäftskontinuität. Sie schreiben keine Programme zur psychischen Gesundheit von Beschäftigten vor, doch Müdigkeit und anhaltender Stress können zu jenen menschlichen Fehlern beitragen, die diese Kontrollen verhindern sollen. Risikoverantwortliche sollten daher kognitive Arbeitsbelastung und Erholung als Bestandteil der operationellen Resilienz betrachten.
Finanzinstitute und Anbieter von Kryptowerte-Dienstleistungen (CASPs, englisch Crypto-Asset Service Providers), die in der Europäischen Union tätig sind, unterliegen umfangreichen operativen und Governance-Anforderungen. Der Digital Operational Resilience Act (DORA) und die Markets in Crypto-Assets Regulation (MiCA) gehen über klassische Finanzprüfungen hinaus und legen Anforderungen an Technologierisiken, Incident-Reaktion, Governance, Marktintegrität und Kontinuität fest.
Führungsteams, die sich auf regulatorische Prüfungen vorbereiten, investieren stark in Cybersicherheit, Back-up-Systeme und automatisierte Überwachung. Doch operationelle Resilienz hängt auch von den Menschen ab, die Warnmeldungen auswerten, Entscheidungen treffen und Vorfälle eskalieren.
Wenn Compliance- und Betriebsteams unter anhaltendem, ungelöstem Druck arbeiten, kann Müdigkeit die Aufmerksamkeit verringern und Entscheidungen verlangsamen. Eine erschöpfte Fachkraft könnte eine AML-/KYC- oder MiCA-bezogene Überwachungswarnung falsch einordnen, während ein überlasteter IKT-Mitarbeiter eine DORA-Meldefrist übersehen könnte. Stress stellt für sich genommen keinen regulatorischen Verstoß dar, kann jedoch zu Kontrollversagen mit schwerwiegenden operativen und aufsichtsrechtlichen Folgen beitragen.
Der regulatorische Rahmen: Rollen mit hohem Druck als operative Schwachstellen
Eine hohe Arbeitslast und unzureichende Erholung können zwei kritische Bereiche beeinträchtigen: das IKT-Incident-Management und den Betrieb mit Kryptowerten.
1. DORA: digitale operationelle Resilienz
DORA verpflichtet betroffene Finanzunternehmen dazu, Vorkehrungen für das IKT-Risikomanagement aufrechtzuerhalten, Vorfälle zu erkennen und einzustufen, schwerwiegende IKT-bezogene Vorfälle zu melden sowie Pläne für Geschäftskontinuität und Wiederherstellung zu testen. Die Fristen für eine erste Meldung können kurz sein: In der Regel muss sie innerhalb von vier Stunden nach Einstufung eines Vorfalls als schwerwiegend und spätestens 24 Stunden nach seiner Entdeckung erfolgen.
Sind Compliance- und IKT-Betriebsteams erschöpft, können Aufmerksamkeit und Entscheidungsgeschwindigkeit nachlassen. Dadurch steigt das Risiko einer verspäteten Einstufung, Eskalation oder Meldung. Verstöße können Unternehmen aufsichtsrechtlichen Maßnahmen und Sanktionen nach den jeweils geltenden nationalen Vorschriften aussetzen. Die Aufsicht sanktioniert das Kontrollversagen, nicht die Müdigkeit der Beschäftigten an sich.
2. MiCA: Märkte für Kryptowerte
MiCA verlangt von betroffenen CASPs solide Governance, angemessen qualifiziertes Personal, interne Kontrollen, widerstandsfähige IKT-Vorkehrungen und Richtlinien zur Geschäftskontinuität. Zudem legt die Verordnung Regeln zur Verhinderung und Erkennung von Marktmissbrauch bei Kryptowerten fest.
Da Kryptomärkte ununterbrochen geöffnet und sehr volatil sein können, stehen CASPs und Personen, die gewerbsmäßig Transaktionen mit Kryptowerten vermitteln oder ausführen, möglicherweise unter erheblichem Zeitdruck. Müdigkeit kann das Risiko von Ausführungsfehlern, übersehenen verdächtigen Mustern oder verspäteter Eskalation erhöhen. Die genaue rechtliche Verpflichtung hängt von der Rolle des Unternehmens und der jeweiligen Tätigkeit ab.
Wie Stress in Handel und Compliance zu Kontrollversagen beitragen kann
1. Alarmmüdigkeit im Compliance-Betrieb
Compliance-Teams prüfen möglicherweise große Mengen an Transaktionswarnungen, Know-Your-Customer-Prüfungen (KYC, also Identitätsprüfungen von Kunden) und Risikomeldungen. Die wiederholte Konfrontation mit einer hohen Zahl von Warnungen kann zu Alarmmüdigkeit führen und es erschweren, wichtige Signale vom alltäglichen Grundrauschen zu unterscheiden. Unter dem Druck, einen Rückstand abzuarbeiten, könnte ein Beschäftigter eine risikoreiche Transaktion freigeben oder ein Muster übersehen, das untersucht werden müsste.
KYC- und Pflichten zur Bekämpfung von Geldwäsche (AML, englisch Anti-Money Laundering) ergeben sich in erster Linie aus der Geldwäschegesetzgebung und nicht allein aus MiCA. In der Praxis betreiben regulierte Unternehmen jedoch häufig AML-/KYC-, MiCA- und weitere Überwachungskontrollen nebeneinander, sodass sich die Arbeitsbelastung über verschiedene Regelwerke hinweg summieren kann.
2. Ausführungsfehler unter hohem Druck
Bei volatilen Marktbedingungen verarbeiten Händler und Risikofachkräfte schnell große Informationsmengen. Anhaltende Müdigkeit kann Aufmerksamkeit, Urteilsvermögen und Emotionsregulation beeinträchtigen. Dadurch werden vermeidbare Ausführungsfehler oder verspätete Eskalationen wahrscheinlicher. Bei CASPs können solche menschlichen Fehler interne Kontrollen, die Überwachung von Marktmissbrauch oder Kontinuitätsvorkehrungen schwächen.
3. Abhängigkeit von Schlüsselpersonen und Personalfluktuation
Compliance-, Handels- und IKT-Teams sind häufig auf Personen mit spezialisiertem Wissen über das eigene Unternehmen angewiesen. Verlässt ein erschöpfter Compliance-Manager oder erfahrener Operator das Unternehmen während einer Prüfung oder eines Vorfalls, kann es Monate dauern, dieses Wissen zu ersetzen. Die verbleibenden Beschäftigten übernehmen die Aufgaben, wodurch Druck und operative Verwundbarkeit weiter steigen können.
Mentale Fitness in die Strategie für operationelle Risiken integrieren
Regulierte Unternehmen sollten das Wohlbefinden ihrer Belegschaft nicht lediglich als Lifestyle-Vergünstigung betrachten. DORA und MiCA verpflichten Arbeitgeber nicht dazu, Mental-Health-Programme anzubieten. Risikoverantwortliche können kognitive Überlastung und Müdigkeit jedoch zu Recht als mögliche Faktoren für menschliche Fehler behandeln.
Statt sich ausschließlich auf allgemeine, reaktive Beratungsprogramme zu verlassen, können Unternehmen vertrauliche Unterstützung anbieten, die auf Compliance-, Handels- und IKT-Rollen in verteilten europäischen Teams zugeschnitten ist. Der Erfolg sollte anhand einer Kombination aus Nutzung, Indikatoren für menschliche Fehler, Fehlzeiten, Burnout-Risiko und Fluktuation bewertet werden – nicht allein anhand der Registrierungen.
Praktische Schritte für Risiko- und HR-Verantwortliche
- Stressfaktoren bei der Bewertung operativer Abhängigkeiten erfassen. Berücksichtigen Sie Compliance-Beauftragte, Handelsmitarbeiter und IKT-Incident-Manager, wenn Sie kritische personelle Abhängigkeiten und Risiken durch Arbeitsbelastung ermitteln.
- Leicht zugängliche Mental-Health-Unterstützung anbieten. Ermöglichen Sie Beschäftigten schnellen Zugang zu qualifizierten Fachkräften ohne komplizierte betriebliche Aufnahmeverfahren.
- Mehrsprachige Unterstützung an europäischen Standorten bereitstellen. Hilfe in der bevorzugten Sprache eines Beschäftigten kann den Zugang und die Nutzung erleichtern.
- Psychosoziale Gefährdungsbeurteilungen durchführen. Arbeiten Sie mit einem vertrauenswürdigen Mental-Health-Partner zusammen, um Risiken zu erkennen und Erkenntnisse in praktische Maßnahmen umzusetzen. Bei Siffi stehen wir kurz vor der Einführung eines Tools zur psychosozialen Gefährdungsbeurteilung, das Unternehmen dabei unterstützen soll, ihrer Verantwortung nachzukommen und sinnvolle Hilfe anzubieten. Bleiben Sie gespannt.
Häufig gestellte Fragen
Prüfen DORA- oder MiCA-Aufsichtsbehörden gezielt den Stress von Beschäftigten?
Nein. Diese Verordnungen verlangen weder psychologische Tests noch schreiben sie ein Mental-Health-Programm für Beschäftigte vor. Aufsichtsbehörden prüfen, ob Unternehmen die geltenden Verpflichtungen in den Bereichen Governance, IKT, Meldewesen und Kontrollen erfüllen. Menschliche Fehler im Zusammenhang mit Müdigkeit können zu Kontrollversagen beitragen, doch aufsichtsrechtliche Maßnahmen betreffen den Verstoß oder die unzureichende Kontrolle – nicht den Stress an sich.
Warum können Compliance- und Handelsrollen anfällig für Burnout-bedingte operationelle Risiken sein?
Diese Rollen verbinden große Informationsmengen, kurze Entscheidungsfenster und schwerwiegende Folgen, wenn Signale übersehen werden. Ein kurzer Moment mangelnder Aufmerksamkeit kann finanzielle Verluste, eine verspätete Eskalation oder die Nichtbeachtung einer internen Kontrolle verursachen.
Wie kann proaktive Mental-Health-Unterstützung dazu beitragen, menschliche Fehler zu reduzieren?
Geeignete Unterstützung kann Beschäftigten helfen, ihre kognitive Belastung zu bewältigen, Erholungsgewohnheiten zu entwickeln und auf anhaltenden Druck zu reagieren. Sie ergänzt eine angemessene Personalbesetzung, klare Verfahren, Schulungen, Automatisierung und wirksame Aufsicht – ersetzt diese aber nicht.
