Beinaheverluste und „Boundary Events“

Berücksichtigung neuer aufsichtlicher Anforderungen an das Management operationeller Risiken

ehem. Abteilungsleiter Beauftragtenwesen in einer Genossenschaftsbank

Geringfügige sprachliche Veränderung mit Potenzial in der Praxisumsetzung

Die in BTR 4 der MaRisk dokumentierten Anforderungen zum Management operationeller Risiken wurden durch die Novellierung verändert. Im Wesentlichen wurden zwei Sachverhalte ergänzt. Neu in der Verordnung hinzugefügt wurde der Hinweis, dass der angemessene Umgang mit Schadenfällen sicherzustellen ist. Darüber hinaus ist eine institutsweit zu beachtende Definition und Abgrenzung der operationellen Risiken erforderlich. Art und Umfang der Veränderung sind eher klarstellend und deklaratorisch; dennoch im Detail nicht so trivial, wie auf den ersten Blick zu vermuten ist.

Aus den vorgenannten Anforderungen wird für größere Institute nun verpflichtend eine Ereignisdatenbank erforderlich sein. Insbesondere vor dem Hintergrund der künftigen Systematik zur Bemessung der Eigenkapitalanforderungen für operationelle Risiken ist dieses nur konsistent, da auch Schadenfälle mit in die Berechnung einfließen. Selbstverständlich erleichtert eine Ereignisdatenbank auch kleineren Instituten das Management operationeller Risiken erheblich. Es dürfte daher zu beobachten sein, dass diese Anforderung nahezu in jedem Institut umgesetzt werden wird.

Darüber hinaus ist die Festlegung und Abgrenzung der operationellen Risiken von entscheidender Bedeutung. Im Rahmen der MaRisk-Umsetzung sollte geprüft werden, ob die bisherige Definition der operationellen Risiken den aufsichtsrechtlichen Anforderungen entspricht. In der Bankpraxis werden häufig die Vorgaben der Art. 317 und 324 der CRR missachtet. Ursächlich sind hierfür traditionell verwendete Schadenereigniskategorien. Als Lösung bietet sich – sofern man an bisherigen Verfahren festhalten möchte – eine Überleitungsmatrix zur Erfüllung der aufsichtlichen Vorgaben an. Gleiches gilt, sofern die in den vorgenannten Artikeln genannten Kategorien nicht vollumfänglich für das Institut zur Steuerung der operationellen Risiken geeignet erscheinen.

Von der Aufsicht wird ebenfalls eine Berücksichtigung von Beinaheverlusten und sogenannten „Boundary Events“ im Management der operationellen Risiken gewünscht.

Beinaheverluste

Beinaheverluste stellen einen Scheideweg zwischen Glück und Können dar. Zu den vorgenannten Verlusten zählen sämtliche durch Mängel oder Fehler entstandene Ereignisse, die zu keinem Schaden führten. Beispielhaft sei hier ein vom Mitarbeiter fehlerhaft eingegebener Wertpapierverkaufsauftrag genannt, der glücklicherweise mangels Nachfrage nicht zur Ausführung an der Wertpapierbörse gelangt ist. Auch wenn kein Schaden entstanden ist, so ist der fehlende Schadeneintritt nicht auf wirksame Verfahren des Instituts zurückzuführen.

Gerade die Verknüpfung der Beschwerde- und Ereignisdatenbank wird Erkenntnisgewinne in diesem Bereich bringen. Die Berücksichtigung derartiger Sachverhalte im Risikomanagement ermöglicht einen erweiterten Blickwinkel auf die Risikoquellen und Bedrohungen eines Instituts. Je nach Wesentlichkeit des Beinaheverlustes bietet sich die Optimierung des Internen Kontroll-Systems an. Hierdurch werden gleichartige Folgeschäden verhindert.

Boundary events

Selbst bei hinreichend konkreter Definition und Abgrenzung der operationellen Risiken sind Sachverhalte zu beobachten, die eine überschneidungsfreie Zuordnung von Schäden zu einer Risikoart verhindern. Unter den „boundary events“ sind derartige Fälle zu subsumieren, die zwar ihre Wirkungen in anderen Risikoarten entfalten, deren Ursache jedoch operationellen Ursprungs sind. Hierbei sind nicht nur mangelhafte Prozesse oder unzureichende Kontrollhandlungen als Ursache relevant, sondern alle vom Institut definierten Ursachen bzw. Bedrohungen des operationellen Risikos.

 SEMINARTIPPS

Neue ganzheitliche Risikoinventur nach MaRisk, 25.03.2019, Frankfurt/M.

Prüfung neue Forbearance-Prozesse & Engagement-Maßnahmen, 08.04.2019, Frankfurt/M.

OpRisk: MaRisk-Vorgaben und neuer Standardansatz, 25.09.2019, Frankfurt/M.

Hier wird die bereits aus den Erwägungsgründen zur Implementierung der Risikokultur bekannte Verhinderung der „Silodenkweise“ aufgegriffen. Mangelhafte IKS- bzw. Risikosteuerung soll transparent gemacht werden und nicht zum Beispiel in der großen Masse der Adressausfallrisiken untergehen.

Fazit

Eine intensivere Befassung mit der Risikoursache und der Schadenauswirkung wird die Folge sein müssen. Die Herausforderung wird insbesondere in der Transparenzschaffung der Beinaheverluste sowie in der Datenqualität der Dokumentation von Beschwerden und Schadenfällen liegen. Insbesondere der künftige Standardansatz erfordert in hohem Maße eine verlässliche Datenbasis. Darüber hinaus sollte die Situation genutzt werden, bestehende Prozesse und Verfahren im Management operationeller Risiken auf den Prüfstand zu stellen und die bestehenden Teilstücke zu einem effizienten Gesamtkonstrukt zusammenzuführen.

PRAXISTIPPS

• Schärfung der Definition von operationellen Risiken.
• Schaffung zweifelsfreier Abgrenzung zu anderen Risikoarten.
• Einbeziehung von Reputationsschäden in das Management operationeller Risiken.
• Anpassungen in BTR 4 bei der Implementierung der Risikokultur berücksichtigen.
• Überprüfung des Managements der operationellen Risiken auf aufsichtliche Vorgaben, insbesondere Einhaltung der Art. 317 und 324 der CRR.
• Regelmäßige Sensibilisierung von Mitarbeitern zur Schadenverhinderung bzw. Dokumentation von potenziellen und eingetretenen Schäden in der Ereignisdatenbank