RoRisk

Herausforderungen und Lösungsansätze beim Umgang mit operativen Risiken (OpRisk)

Eine zuverlässige Quantifizierung des operativen Risikos ist nur mit Hilfe einer internen sowie einer externen Verlustdatenbank möglich und daher immer aufwendig. Stattdessen kann zur Beurteilung des operativen Risikos im ORSA (bzw. FLAOR) ein qualitatives Verfahren angewendet werden. Dabei wird davon ausgegangen, dass sich operative Risiken wirksamer durch Maßnahmen begrenzen als durch Geld kompensieren lassen.

Bei dem Thema OpRisk stehen Aufsicht und Branche noch am Anfang ihres Lernprozesses. Hier wird die Entwicklung der Bankbranche nachvollzogen. Daher ist es sinnvoll, von den Banken lernen, was den quantitativen Umgang mit operativen Risiken betrifft. Das Thema OpRisk wird aber immer im Grenzbereich der Statistik liegen. Deshalb ist es auch wichtig ein Verständnis dafür zu haben, welches Verfahren einen tatsächlichen Mehrwert bringt, und welches zu einem unnötigen Mehraufwand führt.

Verlustdatensammlung

Herausforderungen

Die Unternehmen müssen die Verlustereignisse aus operationellen Risiken sammeln. Die Sammlung muss aber nicht zwingend in einer Datenbank erfolgen. Dagegen wird die Ausdehnung der Sammlung auf Nahezu-Verlustereignisse empfohlen.

Ohne verbindliche Vorgaben zur Meldung von Verlustereignissen bzw. ohne einen wirksamen Mechanismus zur Identifizierung von Verlustereignissen wird die Verlustdatensammlung sehr spärlich ausfallen. In dem Dialog mit den Unternehmen wird aber die Aufsicht sehr wahrscheinlich ein wirklichkeitsnäheres Bild der operativen Risiken einfordern und deshalb einen wirksamen Mechanismus zur Erfassung von Verlustereignissen verlangen. Ein wirksamer Erfassungsmechanismus setzt jedoch strenge Vorschriften und umfangreiche Kontrollen voraus, die – außer zur Quantifizierung des operativen Risikos – für Solvency II-Zwecke keinen Nutzen bringen.

Lösungsansätze

Auf jeden Fall lohnt sich die Sammlung von Verlustdaten zur Verbesserung der Prozesse. Deshalb ist die Datensammlung in das interne Steuerungs- und Kontrollsystem (IKS) bzgl. der Prozesse einzubetten. Technisch gesehen, kann die Datensammlung in ein Governance, Risk and Compliance-System (GRC-System) integriert werden, welches das zentrale Informationssystem des IKS bildet. Dennoch bleibt die Verlustdatensammlung ein sensibles Thema. Deshalb sollte der Umgang mit den Daten besonderen interner Richtlinien unterliegen.

Quantifizierung des operativen Risikos

Herausforderungen

In der Säule 1 von Solvency II wird das operative Risiko nach einem einfachen Formalismus berechnet. Der Formalismus kann jedoch durch ein internes Modell ersetzt werden. Außerdem ist im ORSA das operative Risiko bei der Beurteilung des Gesamtsolvabilitätsbedarfes mit zu berücksichtigen. Hinsichtlich der Beurteilung des Solvabilitätsbedarfes ist es naheliegend, das operative Risiko auf eigenem Weg zu quantifizieren.

Für eine nachprüfbare Quantifizierung des operativen Risikos ist jedoch eine empirische Datenbasis in Form von Verlustdaten notwendig. Da aber bei den meisten Unternehmen die Verlustdatensammlung nicht den statistisch notwendigen Umfang erreicht, ist i.d.R. die Einbeziehung einer externen Verlustdatensammlung zusätzlich notwendig. Somit beinhaltet die eigene Quantifizierung des operativen Risikos einen erheblichen Aufwand.

Lösungsansätze

Für den ORSA kann eine eigene Quantifizierung des operativen Risikos durch ein zweistufiges Verfahren vermieden werden. Dabei wird davon ausgegangen, dass das größte operative Risiko in dem Versagen von Vorkehrungen und Kontrollen – also in präventiven Maßnahmen – liegt.

• In einem ersten Schritt wird anhand von Szenario-Betrachtungen die Wirksamkeit von reaktiven Maßnahmen (Business Continuity Management, Notfallpläne, Recovery-Pläne) im Fall des Versagens von Vorkehrungen und Kontrollen geprüft.
• In einem zweiten Schritt wird beurteilt, ob das verbleibende finanzielle Risiko durch den Formalismus der Säule 1 angemessen abgebildet ist.

Erst durch die qualitative Betrachtung von operativen Risiken wird das ORSA zu einem ganzheitlichen Instrument der Risikosteuerung.

Wird dennoch für den ORSA oder die Säule 1 eine eigene Quantifizierung gewählt, dann stehen aus der Bankbranche etablierte Messansätze (Standardansatz (nicht zu verwechseln mit Standardansatz in Solvency II), Fortgeschrittener Messansatz (AMA)) zur Verfügung.