Methoden zur Identifikation und Messung operationeller Risiken

Inhaltsverzeichnis

Kurzfassung

Abkürzungsverzeichnis

Anhangsverzeichnis

1 Einleitung

2 Grundlagen operationeller Risiken
2.1 Definition und inhaltliche Abgrenzung operationeller Risiken
2.2 Aufsichtsrechtliche Einordnung operationeller Risiken

3 Instrumente zur Identifikation operationeller Risiken
3.1 Risikoinventur
3.2 Risikolandkarte
3.3 Risikoindikatoren
3.4 Schadensfalldatenbank

4 Instrumente zur Quantifizierung operationeller Risiken
4.1 Aufsichtsrechtliche Verfahren
4.2 Ökonomische Verfahren

5 Fazit und Ausblick

Abkürzungsverzeichnis

Abbildung in dieser Leseprobe nicht enthalten

Kurzfassung

„Nick Leeson, Elbeflut, Computervirus Sasser.“

Auf den ersten Blick besteht zwischen ihnen keinerlei Zusammenhang. Beschäftigt man sich doch genauer mit ihren Auswirkungen, kann festgestellt werden, dass sie alle gewaltige Ver-luste bei Banken auslösten. Nick Leeson verursachte durch seine Termingeschäfte an der To-kioter Börse die Insolvenz der britischen Barings Bank im Jahr 1995. Die Elbeflut im August 2002 sorgte bei einigen Banken für beträchtliche Schäden an ihren Gebäuden. Und der Com-putervirus Sasser richtete erheblichen Störungen an den EDV-Systemen einiger Banken an. Dies sind nur drei von vielen Beispielen für ein operationelles Risiko, das im schlimmsten Fall sogar in die Insolvenz führen könnte. Der Zusammenbruch der Barings Bank war Auslö-ser für eine aufsichtsrechtliche Diskussion, bei der sich die Meinung durchsetzt hat, neben Marktpreis- und Kreditrisiken auch operationelle Risiken durch angemessenes Eigenkapital zu unterlegen. Durch diese aufsichtsrechtliche Entscheidung sind die Banken nun gezwunge-nen, ihre operationellen Risiken aktiv zu steuern. Im Rahmen der Managements operationeller Risiken müssen diese zu erst identifiziert werden. Anschließend werden sie mittels verschie-dener Methoden quantifiziert, um die geforderte Eigenkapitalunterlegung zu bestimmen. Im letzten Schritt können daraus Maßnahmen zu ihrer Steuerung abgeleitet werden.

1 Einleitung

Mit der aufsichtsrechtlichen Entscheidung, operationelle Risiken mit Eigenkapital zu unterle-gen, sind die Banken nun gezwungenen, ihre operationellen Risiken aktiv zu steuern. Die Se-minararbeit setzt sich mit den Methoden zur Identifikation und Quantifizierung operationeller Risiken auseinander. Zu Beginn dieser Arbeit werden der Charakter der operationellen Risi-ken und deren aufsichtsrechtliche Einordnung dargestellt. Das dritte Kapitel betrachtet die in der Sparkassenfinanzgruppe verwendeten Instrumente zur Identifikation. Anschließend wird auf Methoden zur Quantifizierung und damit zur Bestimmung der Eigenkapitalunterlegung eingegangen. Ein Ausblick sowie Möglichkeiten zur Risikosteuerung runden die Arbeit ab.

2 Grundlagen operationeller Risiken

2.1 Definition und inhaltliche Abgrenzung operationeller Risiken

Im Gegensatz zu Kredit- und Marktpreisrisiken waren operationelle Risiken lange Zeit keine eigene Risikokategorie und wurden zu den sonstigen Risiken gerechnet. Erst im Rahmen sei-nes zweiten Konsultationspapiers im Jahre 2001 definierte der Baseler Ausschuss für Banken-aufsicht operationelle Risiken als die Gefahr von Verlusten, die in Folge der Unangemessen-heit oder des Versagens von internen Verfahren, Menschen und Systemen oder von externen Ereignissen eintreten.¹ Diese Definition beinhaltet Rechtsrisiken, jedoch nicht strategische Risiken oder Geschäftsrisiken, durch die wesentliche Risikoelemente außer Acht gelassen werden. Selbst Reputationsrisiken sind als Folgerisiko, wenn sie auf operationelle Risiken zurückzuführen sind, mit eingeschlossen, jedoch können sie selten quantifiziert werden.² Die Besonderheit operationeller Risiken besteht darin, dass diese im Gegensatz wie zum Beispiel Kredit- und Marktpreisrisiken unbegrenzt hoch sein und auf Grund ihrer Komplexität in den wenigsten Fällen genau beziffert werden können. Operationelle Risiken treten diskontinuier-lich auf und können deshalb im Gegensatz zu Kreditrisiken nicht aus Kreditportfolios abgelei-tet werden. Sie entstehen in allen Unternehmensbereichen durch interne und/oder externe Einflußfaktoren. Es werden zwei Grundtypen operationeller Risiken unterschieden: Risiken, die zum einen mit einer geringen Wahrscheinlichkeit zu einem hohen Schaden (LFHS) und zum anderen Risiken, die mit einer hohen Wahrscheinlichkeit eintreten und zu einem gerin-gen Schaden (HFLS) führen.³ Operationelle Risiken lassen sich grundsätzlich ereignisbasiert („was ist passiert?“) und ursachenbasiert („warum ist etwas passiert?“) kategorisieren.⁴ Dar-auf aufbauend erfolgt in der Sparkassenorganisation eine Unterteilung in sieben Ergebniska- tegorien und vier Ursachenkategorien.⁵ Diese Kategorisierungen sind notwendig, um operati- onelle Risiken, die auf Grund der Arbeitssituationen aus denen sie entstehen sehr komplex sind, besser zu strukturieren.

2.2 Aufsichtsrechtliche Einordnung operationeller Risiken

Die gesetzliche Grundlage im Umgang mit Risiken wurde schon im Jahr 1998 durch die Neu-fassung des § 25a KWG geschaffen. Diese verpflichtet alle Institute nach § 1 Abs. 2 Satz 1 KWG ein angemessenes Risikomanagement einzurichten. Hierunter fallen alle Prozesse zur Identifizierung, Beurteilung, Steuerung sowie Überwachung und Kommunikation der Risi-ken. Durch diese Neufassung wurde die MaRisk als Richtlinie sowie die SolvV und Gro-MiKV als Verordnungen gesetzlich verankert. Die SolvV setzt unter anderem die Säule 1 von Basel um, welche eine Eigenkapitalunterlegung der Institute für operationelle Risiken for-dert. Die Unterlegung kann mittels einfacher Indikatorenansätze oder mittels ambitionierter Messansätze quantifiziert werden. Auf die genauen Inhalte und die Anforderungen der Ansät-ze zur Quantifizierung, die dabei an die Institute gestellt werden, wird auf Abschnitt 4.1 ver-wiesen. Die Institute sind durch die MaRisk, welche die Säule 2 von Basel umsetzt, unab-hängig vom gewählten Ansatz zur Eigenkapitalunterlegung dazu verpflichtet, qualitative An-forderungen an das Management und Controlling operationeller Risiken zu erfüllen und nach-zuweisen. Die Aufsichtsbehörde überwacht in den Instituten, dass Umfang und Komplexität der Verfahren der Größe eines Instituts und seinen Risiken angemessen sind.⁶ Ebenso wie Säule 1 wird auch die Säule 3 hinsichtlich der Transparenz und Offenlegungsvorschriften bei den operationellen Risiken in der SolvV konkretisiert.

3 Instrumente zur Identifikation operationeller Risiken

Nach einer Vorstellung des Charakters operationeller Risiken im ersten Schritt, wird in einem zweiten Schritt im Rahmen des Risikomanagements die Identifikation dieser Risiken vorge-nommen. Im folgenden Abschnitt werden hierzu die bekanntesten Methoden zur Identifikati-on von operationellen Risiken in der Sparkassenfinanzgruppe exemplarisch dargestellt.

3.1 Risikoinventur

Bei der Risikoinventur, auch als Self-Assessment bezeichnet, handelt es sich um eine Risiko-einschätzung von Führungskräften der zweiten und dritten Ebene mittels Fragebögen und strukturierten Interviews. Hier werden vor allem qualitative und quantitative Fragen zum Bei- spiel in Bezug auf Kontrollen, Prozesse und den daraus resultierenden Schadenswahrschein- lichkeiten und Auswirkungen berücksichtigt. Es soll zum einen die qualitative Bewertung von Kontrollen und Prozessen sowie Gewichtung der jeweiligen Relevanz ermöglichen und zum anderen die Einschätzung über die Häufigkeit und die finanziellen Auswirkungen eines Schadeneintritts durch die Mitarbeiter erfolgen.⁷

Das wesentliche Ziel besteht darin, die Risiken, die schlagend werden können, oder Schwächen in risikotragenden Prozessen, die zu Schäden führen können, zu erkennen. Zusätzlich sollen die Mitarbeiter durch das Aufzeigen der Risiken für diese sensibilisiert werden. Durch die Ideengebung der Mitarbeiter können weitere Maßnahmen zur Risikosteuerung abgeleitet und Verbesserungspotentiale aufzeigt werden. Die subjektive Einschätzung dieser Ex-ante-Methode wird bewusst in Kauf genommen, da es für zukünftige Risiken kein objektives Maß gibt. Jedoch läßt sich die Qualität der Schätzungen durch einen regelmäßigen Abgleich mit den eingetretenen Schäden steigern.⁸ Die Risikoinventur kann individuell frei gestaltet werden und unterliegt keinerlei aufsichtsrechtlichen Anforderungen.

3.2 Risikolandkarte

Eine weitere Ex-ante-Methode zur umfassenden Identifikation operationeller Risiken in der Sparkasse ist die Risikolandkarte. Hierbei erarbeiten die Führungskräfte aus allen Bereichen in einem moderierten Workshop ein grobes Risikoprofil der Sparkasse. In den Workshops sollen wesentliche Einzelrisiken und Risikohäufungen sowie Schnittstellenrisiken zwischen Abteilungen identifiziert werden. Die Führungskräfte sollen dabei für die operationellen Risi-ken und deren Steuerung sensibilisiert werden. Vorteil dieser Methode ist der im Vergleich zur Risikoinventur geringere Aufwand. Nachteilig wirken sich die mangelnde Informations-tiefe sowie die fehlende Berücksichtigung qualitativer Gesichtspunkte aus.⁹ Analog der Risi-koinventur unterliegt sie ebenfalls keinerlei regulatorischen Anforderungen.

3.3 Risikoindikatoren

Bei der Identifikation operationeller Risiken mit Hilfe eines indikatororientierten Frühwarn-systems werden Risikoindikatoren in Form von Kennzahlen mit einer Ausprägung für mög-lich auftretende Risikotreiber gesucht.¹⁰ Dieser Ex-ante-Information liegt eine vergangen-heitsbezogene Annahme über einen kausalen Zusammenhang zwischen Indikator und Scha-denseintritt zugrunde. Zentrale Anforderungen an die Risikoindikatoren sind deren Messbar- keit, Überwachbarkeit, Objektivität, Signifikanz und Verständlichkeit. Klassische Beispiele sind Fluktuation, Krankenstand, Fehlerquoten, Überstunden oder Anzahl von Fehlbuchungen. Dabei unterscheidet man zwischen Früh- oder Spätindikatoren und objektiven oder subjekti-ven Indikatoren. Ziel der Kontrolle dieser Indikatoren ist es, eine Veränderung des Gefahren-potentials für die Sparkasse frühzeitig zu erkennen, um eine Verlängerung der Reaktionszei-ten und eine Antizipation zukünftiger Risiken zu ermöglichen.¹¹ Ein Schwachpunkt dieser Methode ist die fehlende Möglichkeit der Ableitung der Höhe des operationellen Risikos. Schwierig gestaltet sich die Suche nach den geeigneten Indikatoren bzw. Schwellenwerten. Alle Risiken über die Risikolandkarte abzubilden ist derzeit noch nicht möglich.

3.4 Schadensfalldatenbank

Die Schadensfalldatenbank ist die zentrale Sammelstelle, in der alle Verluste, die durch ope-rationelle Risiken entstanden sind, ex-post strukturiert, erfasst und ausgewertet werden. Die aufgetretenen Schadensfälle werden dabei hinsichtlich der Ursache, des betroffenen Ge-schäftsfeldes, der Schadenshöhe und des Zeitpunktes des Schadeneintritts mit einer Beschrei-bung des Ereignisses erfasst. Durch die Analyse der eingetretenen Schadensereignisse können nun Verlustschwerpunkte identifiziert und die entstandenen Verluste für das Unternehmen transparent gemacht werden. Das Risikobewusstsein bei den Mitarbeitern wird gesteigert und ist Grundlage für die Ableitung von zukünftigen Steuerungsmaßnahmen. Probleme ergeben sich jedoch, wenn ein Schadensfall nicht, fehlerhaft oder zu spät gemeldet wird und keinem Geschäftsfeld eindeutig zuordenbar ist. Ein weiteres Problem entsteht, wenn die monetäre Schadenshöhe nicht oder schwer messbar ist.¹² Im Gegensatz zur Risikoinventur und zur Ri-sikolandkarte unterliegt die Schadensfalldatenbank aufsichtsrechtlichen Anforderungen, da sie Grundvoraussetzung für die Anwendung des ambitionierten Messansatzes ist. Bei Letzte-rem ist eine 5-jährige bzw. eine 3-jährige Datenhistorie bei der erstmaligen Zulassung not-wendig.¹³ Vorraussetzung dafür ist eine klare und vollständige Einordnung des Schadensfalles in die vorgegebenen acht Geschäftsfelder und die sieben Ereigniskategorien.¹⁴ Zur Ergänzung der eigenen Datenbank müssen beim AMA Daten aus externen Verlustdatenbanken herange-zogen werden. Diese können entweder von kommerziellen Anbietern gekauft oder aus Daten-pools innerhalb einer Institutsgruppe gewonnen werden. Eine wesentliche Informationsquelle für Sparkassen ist hier der seit Anfang 2006 bestehende Datenpool „Schadensfälle“ des DSGV. Dieser beinhaltet eine detaillierte Beschreibung aller relevanten Schadensfälle hin- sichtlich Ursache, Funktion, Basel-II-Relevanz und Schadenshöhe der teilnehmenden Spar- kassen in anonymisierter Form. Zudem werden Informationen, die eine Einordnung des Insti-tuts bezüglich seiner Größe oder regionalen Struktur ermöglichen, mitgeliefert. Neben der Möglichkeit des Erfahrungsaustausches besteht der Nutzen der Institute in der Gesamtheit der durch die Sparkassenfinanzgruppe zur Verfügung stehenden Datenbasis. So erhalten sie so-wohl skalierte Informationen über die Risiken des eigenen Instituts als auch Daten über sehr selten auftretende Großschäden. Diese Ergänzungen eröffnen den Instituten die Möglichkeit, auf Basis dieser Datengrundlage fortgeschrittene aufsichtsrechtliche Ansätze anzuwenden.¹⁵

4 Methoden zur Quantifizierung operationeller Risiken

Während es die Aufgabe der Risikoidentifikation ist, Risiken zu erkennen und zu erfassen, versucht die Quantifizierung der operationellen Risiken, die mögliche Schadenshöhe in abso-luten Größen darzustellen. Die Quantifizierung ist Grundvoraussetzung, um die in der SolvV geforderte Eigenkapitalunterlegung der operationellen Risiken mittels des AMA adäquat zu erfüllen.

4.1 Aufsichtsrechtliche Verfahren

Für alle aufsichtsrechtlichen Verfahren haben die Institute unabhängig vom gewählten Ansatz die Anforderungen der MaRisk zu erfüllen.

Beim Basisindikatoransatz wird die Eigenkapitalunterlegung (K) durch einen einzigen Indi-kator anhand des Faktors Alpha (α), der mit dem durchschnittlichen Bruttoertrag (B) der ver-gangen 3 Jahre multipliziert wird, ermittelt. Der Bruttoertrag setzt sich wiederum aus dem Provisionsüberschuss, dem Handelsergebnis, Finanzanlageergebnis und dem sonstigen or-dentlichen betrieblichen Ergebnis zusammen. Der Faktor beträgt gegenwärtig 15 Prozent.¹⁶

Abbildung in dieser Leseprobe nicht enthalten

Vorteil dieses Top-down-Verfahrens, das sich über das gesamte Unternehmen erstreckt, be-steht in der einfachen Berechnung der Eigenkapitalunterlegung und dem vergleichsweisen geringem Umsetzungsaufwand. Gleichwohl ist beim BIA vergleichsweise mit einer höheren Eigenkapitalunterlegung zu rechnen.¹⁷ Negativ zu werten sind die fehlenden Impulse für die Risikosteuerung, da die Eigenkapitalunterlegung von den Erträgen der Kreditinstitute abhän-gig ist. So müssen ertragsstarke Institute operationelle Risiken mit verhältnismäßig viel Ei-genkapital unterlegen, während Gewinnrückgänge zu Entlastungen führen. Dieser Zusam-

[...]

¹ Vgl. Fieseler; Goebel (2006), S.194

² Vgl. Daferner; Quick; Voit (2006), S.198

³ Vgl. Fieseler; Goebel (2006), S.194

⁴ Vgl. Daferner; Quick; Voit (2006), S.198

⁵ Vgl. Anhang 1 und 2

⁶ Vgl. Daferner; Quick; Voit (2006), S.202

⁷ Vgl. Daferner; Quick; Voit (2006), S.200

⁸ Vgl. Daferner; Quick; Voit (2006), S.200

⁹ Vgl. Daferner; Quick; Voit (2006), S.200

¹⁰ Vgl. Kunzelmann; Daferner (2006), S.4

¹¹ Vgl. Petry; Bohlender; Kruse; Kunzelmann (2006), S.25

¹² Vgl. Schäl (2003), S.7

¹³ Vgl. SolvV § 286

¹⁴ Vgl. Anhang 2 und 3

¹⁵ Vgl. Daferner; Quick; Voit (2006), S.201

¹⁶ Vgl. SolvV § 270

¹⁷ Vgl. Faisst; Kovacs (2003), S.345