RoRisk

Risikomanagement und Compliance im Licht der Informationsvielfalt

Risikomanagement und Compliance sind im Licht der Informationsvielfalt zu sehen. Aufgrund der neuen IT-technischen Möglichkeiten sind den verarbeitbaren Datenmengen keine Grenzen mehr gesetzt. Doch mit der Menge an verarbeiteten Daten wachsen auch der Aufwand in der Konsolidierung der Eingabedaten sowie die Komplexität in der Handhabung der Ergebnisse. Hier gilt es einen vernünftigen Umgang mit der Informationsvielfalt zu finden.

Im Zuge der gegenwärtigen aufsichtsrechtlichen Entwicklungen muss im Risikomanagement und in der Compliance eine stetig wachsende Informationsvielfalt bewältigt werden. Die Informationsvielfalt kommt im Wesentlichen dadurch zu Stande, dass im Risikomanagement immer mehr statistische Methoden eingeführt werden und in beiden Bereichen – Risikomanagement und Compliance – die Berichts- bzw. Informationspflichten zunehmen.

Statistische Methoden im Risikomanagement

Die Anwendung von Statistik bringt grundsätzlich eine erhebliche Informationsvielfalt mit sich: Aus einer Erwartung mit der man rechnen kann, wird eine Vielfalt von Szenarien die es zu berücksichtigen gilt. Neben der „mathematischen“ Herausforderung, die Szenarien zu generieren, gibt es die „betriebswirtschaftliche“ Herausforderung, auf Basis der Szenarien vernünftig zu entscheiden. Das trifft vor allem auf den ORSA (bzw. FLAOR) im Rahmen von Solvency II zu, wo Risiko und Steuerung in einer Planungssicht miteinander verbunden werden müssen. Hier führt die mehrjährige Sicht dazu, dass Risiko und Steuerung in einer gegenseitigen Abhängigkeit zu betrachten sind und sich die Szenarien dadurch vervielfältigen.

Aber nicht nur die Quantität der Szenarien stellt eine Herausforderung dar, sondern auch die Qualität. Je unwahrscheinlicher ein Szenario ist und je weiter es in der Zukunft liegt, desto vager ist es auch. Daher ist es nachvollziehbar, wenn eine Geschäftsleitung generell Bedenken hat, den ORSA umzusetzen und auf Basis einer Fülle vager Informationen zu steuern. Im ORSA kommt es deshalb darauf an, statistische Methoden und Steuerung zweckmäßig miteinander zu verbinden.

Hinsichtlich der Qualität von Informationen gibt es in Solvency II viele kritische Stellen. Das liegt u.a. daran, dass die statistischen Methoden auch dort angewendet werden, wo die entsprechende Datenbasis fraglich ist:

• Im Rahmen des ORSA müssen in einer mehrjährigen Planungssicht Stressszenarien gerechnet werden. Die Szenarien beschreiben u.a. ungünstige Veränderungen der Risikoparameter und sind – im Gegensatz zu den empirisch bestimmten Parametern – selbst nicht empirisch bestimmbar und somit spekulativ. Außerdem ist in den Richtlinien zum ORSA nicht festgelegt, wie weit die Unternehmen mit der Auswahl der Stressszenarien gehen sollen. Deshalb sind die Szenarien auch noch willkürlich dazu. Insgesamt ist das keine gesicherte Basis um eine Planung danach auszurichten.
• Des Weiteren ist im ORSA das operative Risiko eigenständig zu beurteilen. In diesem Zusammenhang ist es naheliegend, das operative Risiko auf eigenem Weg zu quantifizieren. Eine valide Quantifizierung braucht jedoch grundsätzlich eine empirische Datenbasis – hier in Form von Verlustdaten. Aufgrund der geringen Masse unternehmenseigener Verlustdaten muss dazu auf eine externe Verlustdatensammlung zurückgriffen werden. Wenn ein Unternehmen sein operatives Risiko also zuverlässig quantifizieren will, dann wird dies aufgrund der Verwendung einer externen Verlustdatensammlung aufwendig.
• Gleiches gilt auch hinsichtlich der Diskontierung der versicherungstechnischen Rückstellungen in der Säule 1 von Solvency II. Ausgangsbasis für die Diskontierung bilden die beobachteten Marktzinsen. Da aber für längerfristige Rückstellungen die entsprechenden Marktdaten fehlen, werden die Diskontierungsfaktoren mit einem Extrapolationsmodell geschätzt. Jedoch fehlen auch dem Modell die Marktdaten als empirische Datenbasis. Somit werden die Diskontierungsfaktoren mit einem Modell vorgegeben, das nicht validierbar ist.

Jedoch kann ein wirkungsvolles Risikomanagement nur in einer vorausschauenden Sicht funktionieren. Die Statistik ist das Werkzeug erster Wahl dafür, sofern die Grundlagen dazu gegeben sind. Falls die Grundlagen nicht gegeben sind, müssen sie entweder geschaffen, oder auf eine andere Methode ausgewichen, oder ganz auf Statistik verzichtet werden. Deshalb kommt es bei der Umsetzung von Solvency II darauf an, die Grenzen der Statistik zu kennen und deren Nutzen richtig einschätzen zu können.

Berichts- und Informationspflichten in Risikomanagement und Compliance

Die Berichts- und Informationspflichten können zu dem Thema Big Data gezählt werden. Auslöser des Themas Big Data sind die neuen IT-technischen Möglichkeiten, mit denen immer mehr Daten verarbeitet werden können. Vor allem wachsen die Einzugsbereiche, innerhalb derer die Daten zusammengeführt und daraus neue Erkenntnisse gewonnen werden können. Mit dem Einzugsbereich wächst jedoch auch der fachliche Aufwand, der hauptsächlich in der Konsolidierung der Daten besteht. Dabei muss die Komplexität wieder abgebaut werden, die im Laufe der Zeit durch unterschiedliche Abgrenzungen und Bewertungen intern erzeugt wurde. Das trifft vor allem auf Versicherer zu, deren Bestände viele Umbrüche vorweisen.

Gegenwärtig sind es die quantitativen Berichtspflichten unter Solvency II, die zu einem hohen Aufwand führen. Dabei sind sehr viele Daten aus unterschiedlichen Unternehmensbereichen und –Einheiten zusammenzuführen und entsprechend ist der Konsolidierungsaufwand groß. Darüber hinaus kommen für systemrelevante Versicherungsgesellschaften und Finanzkonglomerate noch weitere Berichtspflichten und damit weiterer Konsolidierungsaufwand hinzu.

Gleiches gilt für die Informationspflichten gegenüber den Kunden im Bereich Compliance, die zukünftig noch mehr werden (bspw. PRIIP¹ und IDD²). Hier kommt die Komplexität von außen, über die unterschiedlichen Anforderungen welche die verschiedenen Aufsichtsregime an die Unternehmen stellen. Bereits jetzt müssen international agierende Unternehmen unterschiedliche Compliance-Anforderungen unter einen Hut bringen. Andererseits werden durch den Datenschutz die Möglichkeiten der Auswertung personenbezogener Daten immer weiter eingeschränkt. Das führt wiederum dazu, dass die Erfüllung der Informationspflichten immer komplizierter und aufwendiger wird.

Hinsichtlich Big Data sollte man sich daher von IT-technischen Möglichkeiten nicht über den damit verbundenen fachlichen Aufwand in der Datenkonsolidierung hinwegtäuschen lassen. Der Erkenntnisgewinn sollte in einer vernünftigen Relation zu dem damit verbundenen Aufwand stehen. Dabei kann eine „Messungenauigkeit“ bewusst in Kauf genommen werden. So sind beispielsweise die quantitativen Berichtspflichten unter Solvency II zu erfüllen. In deren Rahmen kann aber bei der Erstellung einer quartalsweisen Solvency II-Bilanz mit Schätzverfahren und entsprechenden Messungenauigkeiten gearbeitet werden.

Da der Konsolidierungsaufwand im Wesentlichen auf die im Unternehmen gewachsenen Strukturen zurückgeht, sollte auf jeden Fall bei der Weiterentwicklung der Dateninfrastruktur darauf geachtet werden. Dazu müssen u.a. die organisatorischen Rahmenbedingungen geschaffen werden, in dem ein zentrales Datenmanagement eingerichtet und außerdem die Compliance-Funktion mit eingebunden wird. So können u.a. Konsolidierungsaufwände vermeiden werden, die bei der Umsetzung zukünftiger Informationspflichten in Compliance entstehen würden.