Inhaltsverzeichnis II

Inhaltsverzeichnis   

Inhaltsverzeichnis.   II

Darstellungsverzeichnis   V

Abk  ürzungsverzeichnis  VII

Symbolverzeichnis   VIII

1  Einleitung  1

1.1  Hinführung zum Thema  1

1.2  Zielsetzung der Arbeit.  2

1.3  Aufbau der Arbeit.  3

2  Systematisierung und Abgrenzung operationeller Risiken.  5

2.1  Risikobegriff  5

2.2  Risiken im Bankbetrieb  8

2.3  Definition operationeller Risiken  11

2.4  Kategorisierung operationeller Risiken  14

2.4.1  Personalrisiken  15

2.4.2  Struktur- und Prozessrisiken.  16

2.4.3  Technologie- und Systemrisiken.  17

2.4.4  Externe Risiken.  18

2.5  Die Motivation der Kreditinstitute  18

2.5.1  Betriebswirtschaftliche Motive  19

2.5.2  Gesetzliche Rahmenbedingungen.  20

2.5.3  Regulatorische Anforderungen  21

2.5.4  Operationelle Risiken im Kontext von Basel II.  22

2.6  Risikomanagementprozess  24

3  Identifikation von operationellen Risiken.  27

3.1  Schadensfalldatenbanken  27

3.1.1  Interne Schadensfalldatenbanken  28

3.1.2  Externe Schadensfalldatenbanken  31

3.2  Risikoinventur  33

3.2.1  Prinzip der Risikoinventur  33

3.2.2  Durchführung der Risikoinventur  35

3.2.3  Methoden der Datenerhebung.  37

3.2.3.1  Kollektionsmethoden.  37

3.2.3.2  Suchmethoden.  38

3.2.3.3  Risikoindikatoren  39

Inhaltsverzeichnis III

3.2.4  Auswertung der Risikoinventur  41

3.3  Qualitative Methoden der Risikoidentifikation.  42

3.3.1  Prozessrisikoanalyse  43

3.3.1.1  Baumanalysen  43

3.3.1.2  Fehlermöglichkeits- und Einflussanalyse (FMEA)  45

3.3.2  Simulationsansätze.  47

3.3.2.1  Szenarioanalyse  47

3.3.2.2  Ursache- / Wirkungsdiagramm  50

4  Quantifizierung von operationellen Risiken.  52

4.1  Quantifizierungsmodelle im Überblick  53

4.1.1  Top-Down-Ansätze  53

4.1.2  Bottom-Up-Ansätze  56

4.2  Zum Begriff Value at Risk  57

4.2.1  Definition Value at Risk.  57

4.2.2  Erwarteter und unerwarteter Verlust.  58

4.2.3  VaR-Berechnungsmethoden im Überblick.  59

4.3  Statistisch-versicherungsmathematischer Ansatz  60

4.3.1  Datenbasis.  61

4.3.2  Modellierung der Schadenshäufigkeitsverteilung  62

4.3.3  Modellierung der Schadenshöhenverteilung  65

4.3.4  Extremwerttheorie.  67

4.3.5  Ermittlung der Gesamtverlustverteilung.  68

4.3.6  Berechnung OpVaR.  74

5  Fallstudie: Messung von operationellen Risiken  77

5.1  Aufgabenstellung  77

5.2  Ausgangslage  77

5.3  Modellieren der Schadenshäufigkeitsverteilung  80

5.4  Modellieren der Schadenshöhenverteilung  82

5.5  Ermittlung des OpVaR  85

5.6  Evaluierung der Ergebnisse.  88

6  Kritische Würdigung und Ausblick.  89

Anhang 94   

Anhang 1:  Der Fall Schneider.  94

Anhang 2:  Der Fall Barings Bank  94

Anhang 3:  Der Fall Metallgesellschaft  95

Inhaltsverzeichnis IV

Anhang 4:  Auszug Studie Cap Gemini Ernst Young (2002)  96

Anhang 5:  Cholesky-Faktorisierung.  97

Anhang 6:  Häufigkeitstabelle der Urliste für RK 1  99

Anhang 7:  Häufigkeitstabelle der Urliste für RK 2  100

Anhang 8:  Häufigkeitstabelle der Urliste für RK 3  101

Anhang 9:  Anpassungstest auf eine Normalverteilung.  101

Anhang 10:  Anpassungstest auf eine Poissonverteilung.  101

Quellenverzeichnis   102

Darstellungsverzeichnis   

Darstellungsverzeichnis   

Abbildung  1: Aufbau der Arbeit  

Abbildung  2: Ursachenbezogene Interpretation des Risikobegriffs.  

Abbildung  3: Wirkungsbezogene Interpretation des Risikos  

Abbildung  4: Risiken im Bankbetrieb.  

Abbildung  5: Ursachen operationeller Risiken  

Abbildung  6: Operationelle Risikokategorien  

Abbildung  7: Grundkonzept von Basel II  

Abbildung  8: Risikomanagementprozess  

Abbildung  9: Dreidimensionaler Aufbau einer Schadensfalldatenbank.  

Abbildung  10: Komponenten eines operationellen Risikos  

Abbildung  11: Phasen der Risikoinventur  

Abbildung  12: Grundschema einer Risk Map.  

Abbildung  13: Grundprinzip FTA und ETA  

Abbildung  14: Verlauf möglicher Szenarien im Szenariotrichter  

Abbildung  15: Grundprinzip eines Ursache- / Wirkungsdiagramms  

Abbildung  16: Zusammenhang zwischen Messung, Reporting und Management  

Abbildung  17: Top-Down-Ansätze und Bottom-Up-Ansätze im Vergleich  

Abbildung  18: Erwarteter und unerwarteter Verlust  

Abbildung  19: VaR-Berechnungsmethoden im Überblick  

Abbildung  20: Ablauf der Quantifizierung.  

Abbildung  21: Poissonverteilung P Po(2,4)  

Abbildung  22: Empirische und modellierte Verteilung der Schadenshöhe.  

Abbildung  23: POT-Methode bei Verwendung einer Exponentialverteilung  

Abbildung  24: Zweistufige Monte Carlo Simulation.  

Abbildung  25: Generierung von poissonverteilten Zufallszahlen  

Abbildung  26: Generierung von normalverteilten Zufallszahlen  

Abbildung  27: Anzahl Schäden nach Risikokategorie.  

Abbildung  28: Schadensvolumen nach Risikokategorie  

Abbildung  29: Empirische Häufigkeitsverteilung Anzahl der Schäden  

Abbildung  30: Empirische und parametrische Verteilungen der Zufallsvariablen  

Abbildung  31: Konzentrationsanalyse der Schadenshöhe.  

Abbildung  32: Comparison Chart für RK 2  

Abbildung  33: Ablauf der Monte Carlo Simulation.  

Abbildung  34: Wahrscheinlichkeitsverteilung Gesamtverlust (brutto und netto)  

Darstellungsverzeichnis   VI

Tabelle 1:  Strukturelle Unterschiede zwischen den Risikoarten  13

Tabelle 2:  Datenbanken operationeller Verluste  32

Tabelle 3:  Skalierung von Daten aus der Risikoinventur.  34

Tabelle 4:  Ergebnismatrix der OpVaR-Berechnung  75

Tabelle 5:  Ergebnis der Monte Carlo Simulation  87

Abkürzungsverzeichnis VII

Abkürzungsverzeichnis

AktG Aktiengesetz AMA Advanced Measurement Approaches BaFin Bundesanstalt für Finanzdienstleistungsaufsicht BI Basisindikatoransatz CAPM Capital Asset Pricing Model EK Eigenkapital ETA Event Tree Analysis f. folgende (Seite) ff. folgende (Seiten) FMEA Fehlermöglichkeits- und Einflussanalyse FTA Fault Tree Analysis FX foreign exchange GmbH Gesellschaft mit beschränkter Haftung HGB Handelsgesetzbuch i. A. in Anlehnung KWG Kreditwesengesetz MaH Mindestanforderungen an das Betreiben von Handelsgeschäften MaIR Mindestanforderungen an die interne Revision MaK Mindestanforderungen an das Kreditgeschäft MaRisk Mindestanforderungen an das Risikomanagement OpRisk operational risk, operationelles Risiko, operationelle Risiken OpVaR Operational Value at Risk RPZ Risikoprioritätskennzahl STA Standardansatz VaR Value at Risk

Symbolverzeichnis VIII

Symbolverzeichnis

α Signifikanzniveau λ Parameter der Poissonverteilung μ Erwartungswert σ, σ² Standardabweichung, Varianz Γ Grundgesamtheit ∑ Summenzeichen Ω Ergebnisraum c durchschnittlicher Selbstbehalt C Cholesky-Matrix C ^T Transponierte von C d durchschnittliche Versicherungssumme f x (l) Wahrscheinlichkeits- bzw. Dichtefunktion der Zufallsvariablen l F(N) empirische Verteilungsfunktion des Merkmals N F ^-1 (N) Inverse der Verteilungsfunktion F(N) fn absolute Häufigkeit iid independently identical distributed L Zufallsvariable Schadenshöhe N Zufallsvariable Anzahl der Schäden je Periode Normalverteilung mit den Parametern μ und σ N(μ;σ) p Wahrscheinlichkeitswert P(A) Wahrscheinlichkeit von Ereignis A P(A ∪ B) Wahrscheinlichkeit, dass Ereignis A oder B eintritt P(A ∩ B) Wahrscheinlichkeit, dass Ereignis A und B eintreten Poissonverteilung mit dem Parameter λ Po(λ) S Gesamtverlustverteilung x arithmetisches Mittel, Stichprobenmittelwert zz gleichverteilte Zufallszahl

Einleitung 1

1 Einleitung

1.1 Hinführung zum Thema

Es gehört zum Geschäft von Kreditinstituten, Risiken einzugehen und daraus Erträge zu generieren. Diese Tatsache ist für den Bereich der Kredit- und Marktpreisrisiken selbstverständlich. Für beide Risikoarten wurden in den vergangenen Jahrzehnten aufwendige Verfahren entwickelt, die ein aktives und proaktives Management ermöglichen. Auch wenn die Entwicklung der Methoden stetig voranschreitet, so besteht zumindest über grundlegende Definitions- und Abgrenzungsfragen sowie Quantifizierungsverfahren weitgehend Konsens.

Zunehmend rückt mit operationellen Risiken eine dritte wesentliche Risikoart in den Fokus der Bankhäuser. Zu dieser Entwicklung haben einige spektakuläre Verlustereignisse mit einem teilweise beachtlichen Ausmaß beigetragen. Es wurde eindrucksvoll bewiesen, dass operationelle Risiken auf keinen Fall zu unterschätzen sind und mitunter existenzgefährdenden Charakter annehmen können. Einige ausgewählte Fälle operationeller Verluste seien nachfolgend kurz genannt ¹ :

wurde 1993 die Metallgesellschaft insolvent, nachdem ihr

Tochterunternehmen MG Refining & Marketing (MGRM) durch Öl-Termingeschäfte einen Verlust von 1,5 Mrd. USD erlitt. ² Die Insolvenz Jürgen Schneiders, der sich mit gefälschten Unterlagen Kredite bei diversen Bankhäusern erschlich, hinterließ 1994 einen Schaden von 2,7 Mrd. EUR bei über 50 Banken. 3

Durch unautorisierte Geschäfte verantwortete der Händler Nick Leeson 1995 einen Verlust von über 1,4 Mrd. USD und damit die Insolvenz der Barings Bank. 4

Von der Flutkatastrophe 2002 in Deutschland waren allein 160 Genossenschaftsbanken ⁵ mit einem Kreditvolumen von über 2 Mrd. EUR betroffen. 6

¹ Die Fälle Schneider, Barings Bank und Metallgesellschaft sind im Anhang 1-3 ausführlich dargestellt.

² Für die Banken resultierte der Schaden aus ausgefallenen Krediten. Die Zuordnung erfolgt nicht zu Kreditrisiken, sondern zu operationellen Risiken. Vgl. dazu Anhang 3.

³ Vgl. Utz, E. R. (2002), S. 105 f.

⁴ Vgl. Rünger, P. / Walther U. (2004), S. 3.

⁵ Vgl. BVR (2002).

⁶ Vgl. o. V. (2002), S. 24.

Einleitung 2

Risiken aktiv zu managen kann als Erfolgs- und Wettbewerbsfaktor aufgefasst werden. Das gilt umso mehr für operationelle Risiken, da diese i. d. R. eingegangen werden, ohne dass ihnen dafür ein adäquater Ertrag gegenüber steht. ⁷ Ökonomische Gesichtspunkte mögen damit einen Treiber bilden, sich der Thematik operationeller Risiken anzunehmen. Das Bestreben der Bankenaufsicht, operationelle Risiken im Zuge von Basel II mit Eigenkapital zu unterlegen, hat die Problematik stärker in das Bewusstsein der Banken gerückt.

Über operationelle Risiken ist viel Literatur, gerade vor dem Hintergrund von Basel II, veröffentlicht worden. Es ist damit umso erstaunlicher, dass bisweilen keine einheitliche Definition und damit einhergehend keine klare Abgrenzung und Untergliederung von operationellen Risiken existiert.

Aufgrund ihrer Komplexität sind operationelle Risken weitaus schwieriger zu identifizieren als andere Risikoarten. So machten die Ereignisse des 11. September 2001, die zweifelsohne in diese Risikoart eingeordnet werden können, deutlich, dass unbekannte Risiken existieren, die enorme Konsequenzen nach sich ziehen. Analog zu den Kredit- und Marktpreisrisiken wird versucht, auch für operationelle Risiken eine Risikokennzahl, beispielsweise den Value at Risk, zu ermitteln. Damit soll ein einheitliches Risikoreporting auf Gesamtbankebene erreicht und operationelle Risiken in den Risikomanagementprozess mit einbezogen werden. Die Messverfahren sind vielfältig, aber oft noch nicht ausgereift.

1.2 Zielsetzung der Arbeit

Ziel der Arbeit ist es einerseits, aktuelle Verfahren aufzuzeigen, die es ermöglichen, operationelle Risiken in Banken zu identifizieren, zu messen und daraus die Risikomesszahl Operational Value at Risk (OpVaR) abzuleiten. Die Methoden sollen dabei nicht nur dargestellt, sondern auch kritisch bezüglich ihrer Anwendbarkeit in der Praxis gewürdigt werden. In diesem Zusammenhang sollen operationelle Risiken zudem definiert, kategorisiert und von anderen Risikoarten abgegrenzt sowie die Notwendigkeit, sich dieser Problematik anzunehmen, erörtert und der Prozess des Managements operationeller Risiken charakterisiert werden.

⁷ Vgl. Einhaus, C. (2002), S. 488.

Einleitung 3

Anderseits sollen die theoretischen Grundlagen mithilfe einer komplexen Fallstudie in die Praxis überführt und dadurch konzeptionelle Probleme, die sich bei der Risikoquantifizierung ergeben, aufgezeigt werden.

1.3 Aufbau der Arbeit

Die Arbeit gliedert sich in sechs Kapitel. Die nachfolgende Abbildung veranschaulicht den Gang der Untersuchung schematisch:

Abbildung 1: Aufbau der Arbeit

Das erste Kapitel befasst sich mit der Einführung in die Thematik der operationellen Risiken. Im Zweiten werden operationelle Risiken von anderen bankbetrieblichen Risiken abgegrenzt, definiert und kategorisiert. Zum besseren Verständnis wird der Risikobegriff zunächst erläutert und in Bezug zu operationellen Risiken gesetzt. Im Anschluss wird die Motivation der Kreditinstitute näher beleuchtet. Da hier vielfach regulatorische Anforderungen als Treiber wirken, erfolgt hierzu eine Einordnung dieser Risiken im Rahmen von Basel II. Mit der Beschreibung des Risikomanagementprozesses wird das zweite Kapitel abgeschlossen. Die

Einleitung 4

Identifikation und die Quantifizierung als Bestandteile dieses Prozesses sind Gegenstand der Kapitel drei und vier.

Im Kern des dritten Kapitels werden Methoden zur Erkennung von operationellen Risiken behandelt. Es wird speziell auf Schadensfalldatenbanken sowie auf die Risikoinventur eingegangen. Ausgewählte qualitative Verfahren komplettieren die Methoden zur Identifikation operationeller Risiken.

Nachdem umfassend erörtert wurde, wie Risiken erkannt werden, sollen operationelle Risiken im vierten Abschnitt dieser Arbeit mit dem OpVaR gemessen werden. Wesentliche Quantifizierungsverfahren, nach Top-Down- und Bottom-Up-Ansätzen untergliedert, werden kurz dargestellt und der Value at Risk (VaR) wird definiert. Im Besonderen soll der statistisch-versicherungsmathematische Ansatz beschrieben werden.

Aufbauend auf den entwickelten Grundlagen der Kapitel drei und vier verbindet eine Fallstudie die Theorie mit der Praxis im fünften Teil. Die Messung der operationellen Risiken erfolgt in dieser Fallstudie mit dem statistisch-versicherungsmathematischen Ansatz.

Im abschließenden sechsten Kapitel werden die gewonnenen Ergebnisse zusammengefasst und gewürdigt. Ferner wird ein Ausblick auf zukünftige Entwicklungen im Bereich der Identifikation und Quantifizierung von operationellen Risiken gegeben.

Systematisierung und Abgrenzung operationeller Risiken 5

2 Systematisierung und Abgrenzung operationeller Risiken

Bei der Behandlung operationeller Risiken ist es sinnvoll, zunächst zu erörtern, was unter Risiko zu verstehen ist. Im Anschluss können Risiken im Bankbetrieb herausgearbeitet und operationelle Risiken von anderen bankbetrieblichen Risiken abgegrenzt werden. Dies beinhaltet ferner die Frage nach der Definition und Unterteilung operationeller Risiken.

In diesem Zusammenhang muss der Nutzen für Banken erläutert werden, sich mit operationellen Risiken zu befassen sowie eine Beschreibung des

Risikomanagementprozesses erfolgen.

2.1 Risikobegriff

Der Begriff des Risikos ⁸ etablierte sich im europäischen Raum etwa im 16. Jahrhundert. ⁹ Kaufleute bezeichneten mit Risiko die Gefahr, dass sich ein Handelsgeschäft entgegen den Erwartungen entwickelt und ihnen dadurch ein Schaden entsteht. Auch der Ausdruck Wagnis wurde mit dem Risikobegriff verbunden. 10

In der Betriebswirtschaftslehre ist der Begriff des Risikos weit verbreitet, wird jedoch mit unterschiedlichen Bedeutungen belegt. Zumeist wird ihm eine negative Eigenschaft zugesprochen. Risiko ist ein Zustand, der unerwünscht ist und den es zu meiden gilt. 11

In der Literatur wird häufig zwischen einer ursachenbezogenen und wirkungsbezogenen Betrachtungsweise des Risikos unterschieden. ¹² Es wird unterstellt, dass die in einem Unternehmen zu treffenden Entscheidungen in die Zukunft gerichtet und mit Unsicherheit behaftet sind. Die in der Zukunft möglichen Realisationen können dabei mit einer bestimmten Wahrscheinlichkeit eintreten. ¹³ Formal lässt sich das Risiko so durch eine Wahrscheinlichkeitsverteilung beschreiben. 14

⁸ Risiko wird vom lateinischen riscare abgeleitet und kann mit Klippe übersetzt werden. Schiffer, die für kürzere Wege den Klippen zu Nahe kamen, gingen ein Risiko ein. Vgl. Hager, P. (2004), S. 9.

⁹ Zuvor wurde Risiko als Angst oder Abenteuer (ab dem 12. Jahrhundert) betrachtet. Vgl. Keller, H. E. (2004), S. 62.

¹⁰ In der Alltagssprache setzte sich der Risikobegriff erst im 19. Jahrhundert im Zusammenhang mit den Gefahren der Seefahrt durch. Vgl. Keller, H. E. (2004), S. 62 f.

¹¹ Vgl. Piaz, J.-M. (2002), S. 10.

¹² Vgl. Kaninke, M. (2004), S. 3.

¹³ Vgl. Kremers, M. (2002), S. 35.

¹⁴ Vgl. Büschgen, H. E. (1998), S. 865 f.

Systematisierung und Abgrenzung operationeller Risiken 6

Wie Abb. 2 verdeutlicht, wird eine Entscheidung durch den Informationsstand einerseits und durch die individuelle Risikotoleranz andererseits determiniert. Die individuelle Risikotoleranz bestimmt sich danach, ob der Entscheidungsträger risikoavers, risikoneutral oder risikofreudig ist. ¹⁵ Liegen Informationen nur unvollständig vor, erfolgt die Entscheidung unter Unsicherheit. In der Praxis werfen Entscheidungen unter absoluter Sicherheit i. d. R. keine Entscheidungsprobleme auf, weswegen diese kein Risiko darstellen. 16

Situationen der Unsicherheit sind ferner in Risikosituationen und

Ungewissheitssituationen zu unterteilen.

Im ersten Fall lassen sich die Eintrittswahrscheinlichkeiten objektiv, resultierend auf historischen Daten bzw. durch das hinreichende Wiederholen eines Zufallsexperimentes oder subjektiv, durch die Intuition der Entscheidungsträger, messen. ¹⁸ Dagegen sind Eintrittswahrscheinlichkeiten bei Ungewissheit unbekannt. Die Zuordnung zu Ungewissheit oder Risiko wird stark subjektiv bewertetet. Zwar können objektive Wahrscheinlichkeiten mithilfe statistischer Verfahren hergestellt werden, dennoch projizieren sie nur vergangenheitsbezogene Daten in die Zukunft und können die exakte Realisation der möglichen Ereignisse nicht mit Sicherheit vorhersagen. Letztendlich können jedoch immer subjektive Aussagen über die

¹⁵ Vgl. Piaz, J.-M. (2002), S. 10.

¹⁶ Vgl. Kaninke, M. (2004), S. 3 f.

¹⁷ Quelle: eigene Darstellung i. A. an Kaninke, M. (2004), S. 4 und Piaz, J.-M. (2002), S. 13.

¹⁸ Vgl. Piaz, J.-M. (2002), S. 10 f.; Büschgen, H. E. (1998), S. 865 f.

Systematisierung und Abgrenzung operationeller Risiken 7

Verteilung der Wahrscheinlichkeiten getroffen werden, so dass der Zustand der Ungewissheit eigentlich nicht existiert. 19

Die wirkungsbezogene Betrachtungsweise rückt die Folgen einer Entscheidung in den Mittelpunkt. Risiko wird als die Gefahr verstanden, dass ein gewünschtes Ziel verfehlt wird bzw. dass Erwartungen nicht erfüllt werden. Zielverfehlungen können sowohl positiv als auch negativ sein. ²⁰ Positive Abweichungen charakterisieren eine Chance, negative Abweichungen das Risiko i. e. S. ²¹ Dieser Zusammenhang wird in Abb. 3 deutlich. Die Betrachtung ausschließlich negativer Abweichungen wird in der Literatur als asymmetrisches, einseitiges Risiko bzw. Risiko i. e. S. bezeichnet. Werden positive und negative Abweichungen gleichermaßen analysiert, handelt es sich um zweitseitiges, symmetrisches Risiko bzw. Risiko i. w. S. 22

Abbildung 3: Wirkungsbezogene Interpretation des Risikos 23

Die Einteilung in einseitige und zweiseitige Risiken ist wiederum subjektiv. Prinzipiell können alle Risiken als symmetrische Risiken betrachtet werden. ²⁴ Operationelle Risiken können in Abhängigkeit der Zielformulierung sowohl in die eine als auch in die andere Kategorie eingeordnet werden. Besteht die Erwartung, dass kein Schaden eintritt, so stellt z. B. der Eintritt eines Schadens bereits eine Zielverfehlung dar. Folglich handelt es sich um asymmetrisches Risiko. Werden jedoch beispielsweise fünf Schäden pro Monat erwartet, erfolgt eine symmetrische

¹⁹ Vgl. Kaninke, M. (2004) S. 6.

²⁰ Vgl. Kremers, M. (2002), S. 36.

²¹ Vgl. Büschgen, H. E. (1998), S. 865 f.

²² Vgl. Kaninke, M. (2004), S. 7 f.

²³ Quelle: eigene Darstellung i. A. an Kaninke, M. (2004), S. 10 und Piaz, J.-M. (2002), S. 13.

²⁴ Vgl. Kaninke, M. (2004) S. 9.

Systematisierung und Abgrenzung operationeller Risiken 8

Betrachtung des Risikos. Mehr als fünf Schäden stellen in diesem Fall das Risiko i. e. S., weniger als fünf Schäden die Chance dar.

Zusammenfassend lässt sich festhalten, dass Risiko als die Gefahr einer negativen Abweichung von einem erwarteten Ergebnis verstanden werden kann. Dieses Ergebnis ist das Resultat einer zuvor getroffenen Entscheidung. Der mangelhafte Informationsstand stellt den ursächlichen Teil des Risikos, die Bewertung der Zielverfehlung den wirkungsbezogenen Teil des Risikos dar. ²⁵ Als Maß für das Risiko dienen die Eintrittswahrscheinlichkeit und die Tragweite des Risikos, repräsentiert durch die Höhe der negativen Abweichung. ²⁶ Liegt die Eintrittswahrscheinlichkeit ²⁷ bei 1 bzw. 0 herrscht kein Risiko, da keine Unsicherheit bezüglich des Eintritts bzw. Nichteintritts des Ereignisses besteht. 28

2.2 Risiken im Bankbetrieb

Für die Einteilung von Bankrisiken existieren unterschiedlichste Einteilungsmuster, deren Kriterien stark variieren. ²⁹ Denkbar ist die Abgrenzung durch die Bildung dichotomer Begriffspaare, wie sie nachfolgend aufgeführt sind: Finanzrisiken vs. operationelle Risiken Transaktionsrisiken vs. Positionsrisiken Erfolgsrisiken vs. Liquiditätsrisiken Gegenparteirisiken vs. Marktrisiken

einzelgeschäftsbezogene Risiken vs. geschäftsstrukturbezogene Risiken unsystematisches vs. systematisches Risiko ³⁰ messbare vs. nicht messbare Risiken versicherbare vs. nicht versicherbare Risiken Einzelrisiken vs. aggregierte Risiken interne vs. externe Risiken 31

Diese Liste, die keinen Anspruch auf Vollständigkeit erhebt, scheint für die Einordnung von operationellen Risiken in die bankbetrieblichen Risiken nur bedingt

²⁵ Vgl. Kremers, M. (2002), S. 36.

²⁶ Vgl. Piaz, J.-M. (2002) S. 13 f.

²⁷ Die Eintrittswahrscheinlichkeit ist als reelle Zahl im Intervall [0..1] definiert. Eine Wahrscheinlichkeit von 1 entspricht einem sicheren Ereignis, das in 100% der Fälle eintreten wird.

²⁸ Vgl. Kremers, M. (2002), S. 40.

²⁹ Vgl. Piaz, J.-M. (2002) S. 14.

³⁰ Vgl. Schierenbeck, H. (2001), S. 4 f.

³¹ Vgl. Kremers, M. (2002), S. 45-47.

Systematisierung und Abgrenzung operationeller Risiken 9

geeignet. Es gilt eine Einteilung zu finden, der eine zielorientierte Betrachtungsweise zugrunde liegt und deren Begrifflichkeiten weitgehend akzeptiert und verstanden werden. 32

In der Literatur weit verbreitet ist die Kategorisierung der Bankrisiken in Adressenausfall-, Marktpreis- und operationelle Risiken. ³³ Besonders vor dem Hintergrund der eindeutigen Zuordnung von Ereignissen zu einer Risikoart empfiehlt sich eine differenzierte Unterteilung, wie sie exemplarisch in Abb. 4 zu sehen ist.

Abbildung 4: Risiken im Bankbetrieb 34

Finanzielle Erfolgsrisiken stehen bei Banken im Mittelpunkt der Betrachtung. Sie werden i. d. R. bewusst eingegangen und ihnen steht dafür ein adäquater Ertrag gegenüber. Da sie in direkter Verbindung mit der geschäftlichen Tätigkeit des Kreditinstituts stehen, werden sie auch als Geschäftsrisiken bezeichnet. ³⁵ Sie lassen sich in Kreditrisiken und Marktpreisrisiken unterteilen. Kreditrisiken, früher als Adressenausfallrisiken bezeichnet, kennzeichnen die Gefahr, dass ein Vertragspartner seine vertraglichen Pflichten nicht erfüllen kann bzw. erfüllen will. 36

Damit eng verknüpft ist das Bonitätsrisiko, d.h. die Gefahr, dass sich die Bonität der Gegenpartei verschlechtert. In diesem Zusammenhang können unter Kreditrisiken auch Aktienkurs- und Zinsänderungsrisiken subsumiert werden. Die Bonität eines

³² Vgl. Piaz, J.-M. (2002), S. 14.

³³ Vgl. Münchbach (2001), S. 13 f.

³⁴ Quelle: eigene Darstellung i. A. an Röckle, S. A. (2002), S. 21; Romeike, F. (2003a), S. 169 sowie Schierenbeck, H. (2001), S. 6 ff. und Kaiser T. / Köhne M. F. (2004), S. 28.

³⁵ Vgl. Piaz, J.-M. (2002), S. 15.

³⁶ Vgl. Röckle, S. A. (2002), S. 21.

Systematisierung und Abgrenzung operationeller Risiken 10

Kontrahenten hat direkten Einfluss auf Aktien- und Rentenkurse sowie auf Zinspositionen. 37

Marktpreisrisiken sind die Folge von Marktpreisvolatilitäten ³⁸ und stellen die Gefahr sich ändernder Preise auf Wertpapier-, Devisen-, Rohstoff- und Immobilienmärkten dar. Zu ihnen zählen das Aktienkurs-, Zinsänderungs-, Währungs-, Rohstoffpreis-und Immobilienpreisrisiko. ³⁹ Piaz erwähnt in diesem Zusammenhang zusätzlich das Korrelationsrisiko. 40

Die verbleibenden Risikoarten sind nur indirekt mit der Geschäftstätigkeit der Bank verbunden und daher vielmehr als eine Folge der Geschäftsrisiken zu verstehen. ⁴¹ Liquiditätsrisiken unterteilen sich in Anspannungs-, Termin- und Abrufrisiken. ⁴² Anspannungsrisiken ergeben sich aufgrund von Liquiditätsengpässen auf Märkten und führen dazu, dass Verkäufe von Vermögen nicht durchgeführt werden können. Wird Kapital länger als geplant gebunden, weil z. B. ein Kreditnehmer nicht wie vereinbart Zahlungen leistet, handelt es sich um Terminrisiken. Abrufrisiken wiederum resultieren aus der Gefahr, dass Einlagen unerwartet abgerufen oder Kreditzusagen unerwartet erfüllt werden müssen. 43, 44

Operationelle Risiken i. w. S. lassen sich in operationelle Risiken i. e. S. ⁴⁵ und strategische Risiken untergliedern. Strategische Risiken bergen die Gefahr, dass eine verfolgte Geschäftsstrategie nicht den gewünschten Erfolg in Bezug auf das eingesetzte Kapital erzielt. ⁴⁶ Operationelle Risiken i. e. S. bilden den Kern dieser Arbeit und werden in den folgenden Kapiteln genauer definiert und abgegrenzt. Der Begriff operationelles Risiko wird im Folgenden synonym für operationelle Risiken i. e. S. verwendet.

³⁷ Vgl. Schierenbeck, H. (2001), S. 6.

³⁸ Vgl. Röckle, S. A. (2002), S. 20.

³⁹ Vgl. Schierenbeck, H. (2001), S. 6.

⁴⁰ Vgl. Piaz, J.-M. (2002), S. 16.

⁴¹ Vgl. Piaz, J.-M. (2002), S. 15.

⁴² Vgl. Becker, H. P. / Peppmeier, A. (2006), S. 390. Diese Unterteilung ist auch bei Schierenbeck, H. (2001), S. 8 zu finden. ⁴³ Vgl. Schierenbeck, H. (2001), S. 7.

⁴⁴ Nach Schierenbeck, H. (2001) resultieren Abruf- und Terminrisiken aus Gegenparteirisiken. Marktrisiken beeinflussen wiederum Anspannungsrisiken als auch Terminrisiken.

⁴⁵ Romeike, F. (2003a) verwendet hiefür den Begriff operative Risiken.

⁴⁶ Vgl. Romeike, F. (2003a), S. 169.

Systematisierung und Abgrenzung operationeller Risiken 11

Alle bisher aufgeführten Risikoarten können Ursache für Reputationsrisiken sein. ⁴⁷ Sie entstehen durch einen Vertrauensverlust der Stakeholder in die geschäftlichen Aktivitäten der Unternehmung. Eine Schädigung des Rufs hat in der Regel weit reichende finanzielle Folgen und kann nur mit erheblichem Aufwand wiederhergesellt werden. Dies betrifft auch Rufschädigungen, die ungerechtfertigt sind. 48

2.3 Definition operationeller Risiken

Um ein besseres Verständnis für den Begriff der operationellen Risiken zu erlangen, ist es hilfreich, sich über die Ursachen dieser Risiken bewusst zu werden. Wie in Abb. 5 ersichtlich, existieren für das Zustandekommen operationeller Risiken unterschiedliche Ursachen, die sowohl auf interne als auch auf externe Einflüsse zurückgehen.

Auf diesen Ursachen aufbauend, kann eine Definition für operationeller Risiken abgeleitet werden. Diese ist Grundvoraussetzung für die Identifikation, Quantifizierung und Steuerung operationeller Risiken. 49

Abbildung 5: Ursachen operationeller Risiken 50

Operationelle Risiken werden allgemein als Betriebsrisiken bezeichnet, d. h. sie können zwangsläufig in jedem Unternehmen auftreten. ⁵¹ Sie zählen zusammen mit

⁴⁷ Vgl. Kaiser T. / Köhne M. F. (2004), S. 26 ff.

⁴⁸ Vgl. Piaz, J.-M. (2002), S. 19.

⁴⁹ Vgl. Hoffmann, D. G. (2002), S. 30.

⁵⁰ Quelle: Wiedemann, A. (2004), S. 232.

Systematisierung und Abgrenzung operationeller Risiken 12

den Kreditrisiken zu den ältesten Risiken bei Banken. ⁵² Synonym werden operationelle Risiken auch als operational risk oder operative Risiken bezeichnet. ⁵³ In der Literatur gibt es bisweilen keine allgemein gültige Definition. Im Vergleich zur Residualdefinition, operationelle Risiken als diejenigen Risiken zu bezeichnen, die weder Kredit- noch Marktpreisrisiken sind, tendieren viele Kreditinstitute zu einer Positivdefinition. Dabei wird genau definiert, welche Kriterien operationelle Risiken erfüllen müssen. Damit können Doppelerfassungen vermieden werden. Zudem führt es bei Entscheidungsträgern zu einem verbesserten Verständnis von operationellen Risiken. ⁵⁴ Die Verwendung der Residualdefinition birgt die Gefahr, dass zum einen Kredit- und Marktrisiken zunehmend enger definiert und damit der Anteil operationeller Risiken erhöht wird. Zum anderen erfolgt keine Motivation, operationelle Risiken aktiv zu analysieren und systematisch zu steuern. 55

Für die korrekte Zuordnung von Verlustereignissen ist eine klare Abgrenzung operationeller Risiken von den anderen Risikoarten zwingend notwenig. Dies wird besonders deutlich, wenn es zu Überschneidungen kommen kann. Der Ausfall eines Kredites rechtfertigt auf den ersten Blick die Zuordnung in die Kategorie Kreditrisiko. Traten jedoch bei der Verwahrung der Sicherheiten Mängel auf, sollte das Schadensereignis in die Risikoart operationelle Risiken aufgenommen werden. ⁵⁶ Ähnlich kann eine Zuordnung von Verlusten aus Wertpapiergeschäften erfolgen, für die ein Händler keine Autorisierung hatte. Ein etwaig realisierter Kursverlust kann Marktpreisrisiken zugeschrieben werden. Sinnvoller ist jedoch, das Fehlverhalten des Händlers als operationelles Risiko zu erfassen. 57

Operationelle Risiken führen nicht nur zu Verlusten aus operationellen Risiken, sondern wirken auf alle anderen Risikoarten. Es kommt hier regelmäßig zu Überlappungen. ⁵⁸ Im Vergleich zu den Kredit- und Marktpreisrisiken zeigen operationelle Risiken entscheidende Unterschiede auf: 59

⁵¹ Vgl. Einhaus, C. (2002), S. 488.

⁵² Vgl. van den Brink, G. J. (2004), S. 19.

⁵³ Vgl. Minz, K.-A. (2004), S. 13.

⁵⁴ Vgl. Jörg, M. (2003), S. 5.

⁵⁵ Vgl. Rünger, P. / Walther, U. (2004), S. 9.

⁵⁶ Vgl. Beeck, H / Kaiser, T. (2000), S. 638.

⁵⁷ Vgl. Kaiser T. / Köhne M. F. (2004), S. 26.

⁵⁸ Vgl. Kaiser T. / Köhne M. F. (2004), S. 26.

⁵⁹ Vgl. Österreichische Nationalbank (2005), S. 12.

Systematisierung und Abgrenzung operationeller Risiken 13

Es existiert kein Zusammenhang zwischen Risiko und Ertrag. Das Eingehen von operationellen Risiken führt nicht zu einer Steigerung des Ertrages. ⁶⁰ Das Vorhandensein von operationellen Risiken wird oft aus Gründen des Wettbewerbs nicht an Dritte kommuniziert.

Operationelle Risiken differieren je nach Geschäftstätigkeit, internen Abläufen etc. der Kreditinstitute.

Die Erfassung operationeller Risiken ist schwieriger. Bei Kredit- und Marktpreisrisiken sind die Risikofaktoren bereits identifiziert. Existenzbedrohende Schäden sind äußerst selten. Gerade die Kenntnis dieser ist für das Risikomanagement besonders interessant.

Weitere Abgrenzungskriterien werden in Tabelle 1 ersichtlich. Auffällig ist, dass sich der maximale Gesamtverlust bei operationellen Risiken auf die Höhe des Liquidationswertes des Kreditinstitutes beläuft. Bei den beiden anderen Risikoarten existiert zumindest eine Obergrenze in Höhe des Kreditvolumens bzw. Marktwertes.

Tabelle 1: Strukturelle Unterschiede zwischen den Risikoarten 61

Viele Kreditinstitute stützen sich bei der Definition von operationellen Risiken auf die vom Baseler Ausschuss ⁶² vorgeschlagene Definition:

„Operational risk is defined as the risk of loss resulting from inadequate or failed internal processes, people and systems or from external events. This definition includes legal risk, but excludes strategic and reputational risk.“ ⁶³ Die Ausnahme von strategischen und Reputationsrisiken wird in der Literatur kritisch betrachtet. Halten sich Banken nur an die Vorgaben von Basel II, kann es zu einer Vernachlässigung dieser Risiken kommen. ⁶⁴ Reputationsrisiken in der Definition

⁶⁰ Vgl. dazu auch Einhaus, C. (2002), S. 488.

⁶¹ Quelle: KPMG (2003), S. 6.

⁶² Auf Basel II wird im Abschnitt 2.5.4 näher eingegangen.

⁶³ BIS (2005), S. 140.

⁶⁴ Vgl. Hoffmann, D. G. (2002), S. 30.

Systematisierung und Abgrenzung operationeller Risiken 14

operationeller Risiken nicht zu erfassen, wird zumeist damit begründet, dass es sich hierbei um allgemeine unternehmerische Risiken handelt, die nur sehr schwer zu quantifizieren sind. Vor allem drängen sich Fragen nach der Genauigkeit und der Abgrenzbarkeit dieser Risikoart auf. Im Zuge der vollständigen Erfassung aller Risiken sollten Reputationsrisiken jedoch mit erfasst werden. ⁶⁵ Für die vorliegende Arbeit wird die Definition des Baseler Ausschusses übernommen, d. h. Reputationsrisiken und strategische Risiken sind nicht Gegenstand der Betrachtung.

Mithilfe der Definition können Verlustereignisse in die Risikoart operationelles Risiko eingeordnet werden. Im nächsten Schritt erfolgt eine Untergliederung in einzelne Risikokategorien.

2.4 Kategorisierung operationeller Risiken

In Bezug auf die Definition operationeller Risiken herrscht bei den Banken weitestgehende Übereinstimmung. Jedoch mangelt es derzeit an einer einheitlichen Kategorisierung von operationellen Risiken. 66

Abb. 6 zeigt eine mögliche Unterteilung in interne und externe Risiken auf. Interne Risiken werden dabei auf Auslöser innerhalb der Bank, externe auf Ereignisse außerhalb zurückgeführt.

Abbildung 6: Operationelle Risikokategorien 67

Die Untergliederung der Einzelrisiken muss institutspezifisch separat festgelegt werden. ⁶⁸ Dabei spielen die Geschäftsfelder, sowie die individuellen Rahmendaten des Kreditinstitutes eine entscheidende Rolle.

⁶⁵ Vgl. Wiedemann, A. (2004), S. 233.

⁶⁶ Vgl. Wiedemann, A. (2004), S. 233.

⁶⁷ Quelle: eigene Darstellung i. A. an Schierenbeck, H. (2001), S. 337 und Romeike, F. (2003a), S. 326.

Systematisierung und Abgrenzung operationeller Risiken 15

Die in Abb. 6 genannten Risikokategorien werden in den nachfolgenden Kapiteln näher charakterisiert.

2.4.1 Personalrisiken

Dem Mitarbeiter wird in Banken eine zentrale Bedeutung zugesprochen, denn er beeinflusst maßgeblich den Erfolg des Unternehmens und ist zudem in fast allen Punkten des Geschäftsprozesses involviert. Demnach stellt er oft auch die Ursache der Risiken dar. ⁶⁹ Personalrisiken beziehen sich auf alle mit den Angestellten eines Kreditinstitutes in Verbindung stehenden Risiken. ⁷⁰ Insbesondere das Fehlverhalten des Einzelfaktors Personal steht hier im Mittelpunkt. Fehlverhalten wird als eines den Führungs- und Organisationsrichtlinien entgegenstehendes Verhalten definiert. Dieses kann bewusst oder unbewusst ausgeübt werden. ⁷¹ Während der menschliche Irrtum i. d. R. auf Fahrlässigkeit zurückzuführen ist, stellt Betrug eine Form bewussten Fehlverhaltens dar. Die Motive dafür sind vielfältig. Neben finanziellen Problemen der Mitarbeiter kann auch Spaß als Motiv gesehen werden. ⁷² Die Überschreitung von Kompetenzen stellt ein weiteres Risiko dar. Zu Kompetenzüberschreitungen kann es aufgrund Unwissenheit des Mitarbeiters oder durch bewusstes Handeln kommen. 73

Mangelnde Fachkompetenz sowie eine zunehmende Überlastung ⁷⁴ der Mitarbeiter im Zuge immer komplexerer Produkte zählen ebenso zu den Personalrisiken wie Probleme, die sich durch die Fluktuation von Mitarbeitern ergeben. In diesem Zusammenhang sei die Gefahr eines Know-how-Transfers bzw. Know-how-Verlustes genannt. ⁷⁵ Risiken entstehen ferner im Rahmen der Personalauswahl. Hier stellt sich die Frage nach der qualitativen und quantitativen Verfügbarkeit von Personal. ⁷⁶ Ist diese gegeben, können sich Risiken daraus ergeben, dass trotz vorhandenen Auswahlprozesses ungeeignetes Personal eingestellt wurde. ⁷⁷ Risiken resultieren auch aus Arbeitsschutz- und Sicherheitsvorschriften.

⁶⁸ Vgl. Wiedemann, A. (2004), S. 231.

⁶⁹ Vgl. Münchbach, D. (2001), S. 32.

⁷⁰ Vgl. Hoffmann, D. G. (2002), S. 41.

⁷¹ Vgl. Röckle, S. A. (2002), S. 25.

⁷² Vgl. van den Brink, G. J. (2001), S. 4 f.

⁷³ Vgl. Jörg, M. (2003), S. 21-23.

⁷⁴ Vgl. van den Brink, G. J. (2001), S. 4 f.

⁷⁵ Vgl. Röckle, S. A. (2002), S. 25.

⁷⁶ Vgl. Jörg, M. (2003), S. 21-23.

⁷⁷ Vgl. KPMG (2003), S. 3. und Hoffmann, D. G. (2002), S. 41.

Systematisierung und Abgrenzung operationeller Risiken 16

2.4.2 Struktur- und Prozessrisiken

In dieser Risikokategorie werden einerseits die Prozesse und andererseits die Organisation selbst betrachtet.

Prozesse bergen Risiken, wenn diese nicht richtig aufgestellt oder nicht korrekt ausgeführt werden bzw. komplett fehlen. Ein Beispiel dafür ist die funktionale Trennung bei der Eingabe von Stammdaten und Transaktionsdaten. Banken wollen damit vermeiden, dass Phantomkunden angelegt werden und so Verluste durch Betrug entstehen. Fehlen derartige Prozesse oder sind diese fehlerhaft, birgt das Gefahren, wie das Beispiel Barings Bank eindrucksvoll gezeigt hat. ⁷⁸ Daneben dient das so genannte Vier-Augen-Prinzip ebenfalls als Kontrollmechanismus. Festzustellen bleibt, dass die Kontrolle selbst einen Prozess darstellt, der fehlerbehaftet und folglich Ursache für operationelle Risiken sein kann. 79

Mit der Auslagerung von Prozessen entstehen völlig neue Risiken, wenn diese Fehler aufweisen. Teilweise können diese Risiken auch den externen Risiken zugeordnet werden. ⁸⁰ Gefahren aus der Organisation ergeben sich, wenn Entscheidungs- und Kompetenzordnungen unsauber definiert sind oder Schwachstellen im Informations- und Kommunikationssystem existieren. Auch der Verlust von Know-how kann Gründe in der Struktur der Organisation haben. 81

Die Unternehmenskultur selbst kann Ursache für Risiken sein, denn fehlende Sorgfalt, mangelndes Risikomanagement, unlautere Geschäftspraktiken, fehlende Geschäftsethik oder eine zu lockere Betriebsdisziplin führen nicht nur zu direkten Verlusten, sondern können auch Reputationsschäden nach sich ziehen. 82

Im Zusammenhang mit externen Ereignissen seien noch fehlende oder mangelnde Notfallpläne erwähnt. ⁸³ Die Ereignisse des 11. September 2001 haben gezeigt, dass Risiken teilweise eklatant unterschätzt wurden. 84

⁷⁸ Vgl. van den Brink, G. J. (2001), S. 7 ff.

⁷⁹ Vgl. Röckle, S. A. (2002), S. 26 f.

⁸⁰ Vgl. Jörg, M. (2003), S 11.

⁸¹ Vgl. Röckle, S. A. (2002), S. 26 f.

⁸² Vgl. Jörg, M. (2003), S. 9 f.

⁸³ Vgl. Münchbach, D. (2001), S. 32.

⁸⁴ Die Investmentbank Merrill Lynch besaß zwar einen Notfallplan, der den Umzug in ein Ersatzgebäude vorsah. Da sich dieses zu nahe am World Trade Center befand, musste die Handelsabteilung in ein anderes Gebäude ziehen, so dass es hier zu erheblichen Verzögerungen kam. Vgl. Peachey, A. (2002), S. 333.