ESMA verhängt Geldbuße von 2,145 Mio. Euro gegen Moody's Deutschland wegen Verstößen bei CRA-Meldungen

Die Europäische Wertpapier- und Marktaufsichtsbehörde hat gegen die Moody's Deutschland GmbH eine Geldbuße in Höhe von 2.145.000 Euro verhängt und vier separate Verstöße gegen die EU-Verordnung über Ratingagenturen festgestellt. Die Maßnahme betrifft die Qualität und Vollständigkeit der an die zentrale Plattform der ESMA übermittelten Daten, nicht Fehler bei veröffentlichten Kreditratings. Für Compliance-Beauftragte und Berichtsteams bei EU-regulierten Unternehmen ist die Entscheidung ein klares Signal, dass regulatorische Datenpipelines und die sie umgebenden Kontrollen ein Durchsetzungsschwerpunkt sind.

Was die ESMA festgestellt hat

Vier Verstöße gegen die CRA-Verordnung

Der Rat der Aufseher der ESMA stellte fest, dass Moody's Deutschland vier separate Verstöße gegen die Verordnung über Ratingagenturen begangen hat. Der Kern des Problems war die Übermittlung unvollständiger, ungenauer oder nicht aktualisierter Daten an die ESMA. Diese Verpflichtung galt sowohl für Daten, die Moody's Deutschland für sich selbst übermittelte, als auch für Daten, die es im Namen anderer Unternehmen seines Konzerns übermittelte, die alle in die zentrale Veröffentlichungsplattform der ESMA einfließen.

Die ESMA stellte ausdrücklich klar, dass die Fehler keinen Einfluss auf die von Moody's Deutschland extern veröffentlichten Kreditratings hatten. Das Problem beschränkte sich auf den Meldeweg für Aufsichtszwecke, insbesondere auf die Daten, auf die die ESMA zur Erfüllung ihres Aufsichtsmandats, zum Schutz von Anlegern und zur Unterstützung des ordnungsgemäßen Funktionierens der EU-Finanzmärkte angewiesen ist.

Interne Kontrollen ebenfalls mangelhaft

Über die Datenfehler hinaus stellte die ESMA Schwächen im Melderahmen von Moody's Deutschland fest: Richtlinien, Verfahren und interne Kontrollmechanismen entsprachen nicht den Anforderungen der CRA-Verordnung. Die ESMA bezeichnete die Verstöße als fahrlässig und nicht als vorsätzlich, eine Unterscheidung, die die Berechnung der Geldbuße beeinflusste, aber eine erhebliche Geldbuße nicht verhinderte.

Wie die Geldbuße berechnet wurde

Erschwerende und mildernde Umstände

Die CRA-Verordnung legt eine strukturierte Methodik für die Festsetzung von Sanktionen fest. Die ESMA bestätigte, dass sie sowohl erschwerende als auch mildernde Umstände des spezifischen Falls abgewogen hat, bevor sie den Betrag von 2.145.000 Euro festlegte. Die Aufsichtsbehörde hat in ihrer öffentlichen Bekanntmachung keine detaillierte Aufschlüsselung dieser Faktoren veröffentlicht, aber die Einstufung der Fahrlässigkeit als Grundlage des Verstoßes deutet darauf hin, dass das Fehlen von Vorsatz auf der mildernden Seite berücksichtigt wurde.

Die Geldbuße geht mit einer öffentlichen Bekanntmachung einher, die im regulierten Finanzdienstleistungssektor ein eigenes Reputationsgewicht hat. Zusammen bilden die Geldbuße und die öffentliche Bekanntmachung eine zweiteilige Aufsichtsmaßnahme im Rahmen der Entscheidung des Rates der Aufseher.

Warum dies über Ratingagenturen hinaus relevant ist

Meldepflicht als eigenständige Verpflichtung

Die Maßnahme gegen Moody's Deutschland unterstreicht etwas, das Aufsichtsbehörden in verschiedenen Rahmenwerken signalisieren: Die Genauigkeit der an eine Aufsichtsbehörde übermittelten Daten ist eine separate rechtliche Verpflichtung und keine Ermessensaufgabe. Fehler, die nie einen Endanleger erreichen, nie ein veröffentlichtes Rating oder eine offengelegte Position verzerren, können dennoch zu erheblichen Sanktionen führen, wenn sie die eigene Informationsbasis der Aufsichtsbehörde beeinträchtigen.

Diese Logik gilt weit über Ratingagenturen hinaus. Unternehmen, die unter MiCA, EMIR, SFDR oder einem anderen EU-Rahmenwerk mit periodischen oder transaktionsbezogenen Meldepflichten tätig sind, sind einem ähnlichen Risiko ausgesetzt. Die ESMA hat stets die Datenqualität als Grundlage für ihre Fähigkeit zur Erkennung systemischer Risiken positioniert, und diese Durchsetzungsmaßnahme verleiht dieser Position finanzielle Durchschlagskraft. Für den Kontext, wie die ESMA parallel ihre Aufsichtsinstrumente entwickelt hat, zeigt die jüngste Leitlinie der Behörde dazu, wie die ESMA die MiCA-Ausnahme für Kryptowerte-Whitepaper bei Nicht-ART/EMT-Angeboten klargestellt hat, die Breite ihrer aktuellen Regelsetzungstätigkeit.

Die Dimension der internen Kontrollen

Compliance-Teams sollten besonders auf die Feststellung von Mängeln auf Rahmenebene durch die ESMA achten. Fehler in übermittelten Daten zu finden, ist eine Sache; zu finden, dass die Richtlinien und Verfahren, die diese Fehler hätten abfangen sollen, selbst unzureichend waren, ist ein schwerwiegenderer struktureller Befund. Er deutet darauf hin, dass die Überprüfung der ESMA über Stichproben von Ergebnissen hinausging und die Governance-Architektur hinter dem Meldeprozess untersuchte.

Für jedes Unternehmen, das automatisierte Systeme zur Erstellung von Meldungen an Aufsichtsbehörden verwendet, ist dies ein direkter Anstoß, nicht nur die Datenausgaben, sondern auch die Validierungslogik, Eskalationsverfahren und die Freigabeprozesse durch Führungskräfte zu prüfen, die diese Systeme umgeben. Unternehmen, die prüfen, ob ihre Krypto-Buchhaltungssoftware oder Digital Asset Accounting Software aufsichtsreife Ergebnisse liefert, sollten diese Entscheidung als Rahmen für die zu stellenden Fragen behandeln: Sind die Daten zum Zeitpunkt der Übermittlung vollständig, genau und aktuell, und können Sie die Kontrollen nachweisen, die dies sicherstellen?

Ein vergleichbares Muster der regulatorischen Eskalation aufgrund systemischer Kontrollversagen, anstatt isolierter Fehler, zeigte sich bei den AMF-Sanktionen wegen Marktmanipulation am Euronext Access, wo Verfahrenslücken den zugrunde liegenden Verstoß verstärkten.

Praktische Maßnahmen für Compliance- und Berichtsteams

Unmittelbar zu erwägende Maßnahmen

Die ESMA-Entscheidung schafft kein neues Recht, aber sie kristallisiert bestehende Erwartungen in einen Durchsetzungsdatensatz. Unternehmen mit Meldepflichten gegenüber EU-Aufsichtsbehörden sollten Folgendes in Betracht ziehen:

• Überprüfung der Datenherkunft: Ordnen Sie jedes an eine Aufsichtsbehörde übermittelte Feld seinem Quellsystem zu. Identifizieren Sie, wo manuelle Eingriffe oder Transformationen stattfinden und ob diese Schritte durch dokumentierte Kontrollen geregelt sind.
• Überprüfung der Konzernmeldungen: Wenn ein Unternehmen im Namen anderer Unternehmen innerhalb eines Konzerns Meldungen einreicht, bestätigen Sie, dass die Datenqualitätsverpflichtungen das meldende Unternehmen in vollem Umfang betreffen, unabhängig davon, woher die zugrunde liegenden Daten stammen.
• Aktualität der Richtlinien: Richtlinien für Meldungen an Aufsichtsbehörden sollten die aktuelle Version des geltenden Rahmens widerspiegeln und mindestens jährlich oder nach jeder Änderung des Meldeschemas überprüft werden.
• Umfang der Innenrevision: Wenn Meldungen an Aufsichtsbehörden nicht bereits in den Prüfungsplan der Innenrevision fallen, liefert diese Entscheidung eine überzeugende Grundlage für deren Aufnahme.
• Verantwortung der Führungsebene: Eine Person auf Führungsebene sollte für die Richtigkeit der Meldungen an Aufsichtsbehörden verantwortlich sein. Wenn diese Verantwortung diffus oder informell ist, formalisieren Sie sie.

Häufig gestellte Fragen

Hatten die Meldefehler Auswirkungen auf die veröffentlichten Kreditratings von Moody's?

Nein. Die ESMA erklärte ausdrücklich, dass die Fehler auf die an ihre zentrale Plattform übermittelten Daten beschränkt waren. Die auf der eigenen Website von Moody's Deutschland veröffentlichten Kreditratings waren nicht betroffen.

Warum wurde die Geldbuße speziell auf 2.145.000 Euro festgesetzt?

Die ESMA wendete die in der CRA-Verordnung festgelegte Berechnungsmethodik an und wog sowohl erschwerende als auch mildernde Umstände ab. Die Aufsichtsbehörde stellte fest, dass die Verstöße auf Fahrlässigkeit und nicht auf vorsätzliches Handeln zurückzuführen waren. Die genaue Gewichtung der einzelnen Faktoren wurde nicht detailliert veröffentlicht.

Hat diese Entscheidung Auswirkungen auf Unternehmen außerhalb des Ratingsektors?

Ja. Der Grundsatz, dass unvollständige oder ungenaue Meldungen an Aufsichtsbehörden einen eigenständigen Verstoß darstellen, unabhängig von einem marktbezogenen Schaden, gilt in allen EU-Regulierungsrahmen, in denen ein Unternehmen einer Aufsichtsbehörde gegenüber eine regelmäßige oder dauerhafte Meldepflicht hat.

Was meint die ESMA mit Mängeln im Melderahmen?

Die ESMA stellte fest, dass die Richtlinien, Verfahren und internen Kontrollmechanismen für die Meldungen von Moody's Deutschland unzureichend waren. Dies geht über die Datenfehler selbst hinaus und deutet auf eine strukturelle Schwäche in der Governance des Meldeprozesses hin.

Wie unterscheidet sich eine öffentliche Bekanntmachung von der Geldbuße selbst?

Eine öffentliche Bekanntmachung ist eine separate Aufsichtsmaßnahme, die den Verstoß und die Sanktion dem Markt offenlegt. Sie hat über die Geldstrafe hinaus Reputationsfolgen und ist Teil der formellen Entscheidung des Rates der Aufseher und nicht ein sekundärer Kommentar dazu.

Quelle: Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA)