Diese und andere Fragen haben wir im Rahmen des "SAS RISK-UPDATE Round Table" an eine Gruppe von Experten aus Wissenschaft und Praxis gerichtet, die uns Rede und Antwort standen. Wir sprachen mit Dr. Lutz Cleemann, seit 1993 Geschäftsführer des Allianz Zentrum für Technik in Ismaning, mit Joachim Pfeifer, als Direktor das Operational Risk Controlling bei der Commerzbank AG verantwortlich sowie mit Professor Arnd Wiedemann, Inhaber des Lehrstuhls für Finanz- und Bankmanagement an der Universität Siegen.
SAS Risk-Update: Das systematische Management operationeller Risiken sowie eine adäquate Eigenkapitalunterlegung sind in den vergangenen Jahren stärker in den Mittelpunkt des Risikomanagements bei Banken gerückt. Nun sind operationelle Risiken ja keine wirklich neuen Risiken, sondern zählen vielmehr zu den ältesten Risiken überhaupt. Wieso diese späte Erkenntnis?
Joachim Pfeifer: Operational Risk oder kurz OpRisk hat durch Basel II sicherlich eine deutliche Steigerung in seiner Wahrnehmung erfahren – nicht zuletzt aufgrund der Tatsache, dass es auch Teil der Säule 1 also der regulatorischen Eigenkapitalunterlegung geworden ist. Dieser Punkt war in den Anfangsdiskussionen von Basel ja besonders heftig umstritten. Die qualitativen Anforderungen an OpRisk Management als Teil einer Umsetzung des "Standard-Ansatzes" oder des "Advanced Measurement Approaches (AMA)" greifen jedoch auch auf Punkte zurück, welche die Banken schon länger verfolgen. So verlangt beispielsweise § 4 der "Sound Practices for the Management and Supervision of operational Risk", dass vor der Einführung neuer Produkte eine OpRisk-Analyse erfolgt. Die Mindestanforderungen an das Betreiben von Handelsgeschäften (MaH) haben diese Anforderung in ähnlicher Weise für MaH-relevante Produkte bereits vor 10 Jahren festgelegt. So spät kommt die Erkenntnis also gar nicht.
SAS Risk-Update: In den letzten Jahren konnte man einen starken Wandel des Bewusstseins gegenüber Risiken und dem Thema Risikomanagement beobachten. Welche Ursachen sind für diese veränderte Sichtweise ausschlaggebend?
Lutz Cleemann: Natürlich war der 11. September 2001 ein wesentliches Ereignis, das uns die Risken, denen wir ausgesetzt sind, sehr stark ins Bewusstsein rief. Aber daneben gab es noch viele weitere Auslöser: SARS oder BSE waren ja auch Ereignisse, die zwar lokale Ursachen hatten, sich aber global auswirkten - vor allem auch auf Branchen, die direkt eigentlich gar nichts mit dieser Problematik zu tun hatten. Unternehmen sind verletzbarer geworden. Neben solchen Schadensfällen spielt natürlich auch die veränderte Gesetzgebung eine wesentliche Rolle. Nehmen Sie beispielsweise die Diskussion um KonTraG oder Basel II in Deutschland Auch die EU-Richtlinien zur Produkthaftung und -sicherheit oder der Sarbanes-Oxley-Act haben die Haftung der Unternehmen und ihrer Organe verschärft, da sie nun stärkere Vorkehrungen gegen Fehlverhalten treffen müssen.
SAS Risk-Update: Die quantitative Bewertung operationeller Risiken steckt immer noch in den Kinderschuhen. Die Qualität einer Bewertung hängt ja entscheidend von den zur Verfügung stehenden Daten ab - Verlustdaten, insbesondere bei Extremereignissen, stehen aber den wenigsten Banken zur Verfügung. Welche Entwicklung erwarten Sie bei der Entwicklung von Bewertungsmethoden in den nächsten Jahren - sowohl in der Praxis als auch in der Wissenschaft?
Arnd Wiedemann: Der aktuell von vielen Instituten eingeschlagene Weg erscheint mir richtig und sinnvoll. Auch das Thema "operationelle Risiken" gilt es systematisch zu leben. Da ist der erste Schritt die qualitative Einschätzung des Risikos und insbesondere die Identifizierung von Risikoindikatoren. Wenn parallel dazu eine Verlustdatenbank aufgebaut wird, sind die Voraussetzungen für eine Quantifizierung seitens der Praxis gelegt. Von der Wissenschaft werden parallel die Methoden zur Risikomessung weiter entwickelt. Hierbei werden die Schadenhäufigkeit und die Schadenhöhe getrennt gemessen und anschließend zu einer Gesamtverlustverteilung verdichtet. Einen guten Überblick über den aktuellen State of the Art gibt mein aktuelles Buch "Risikotriade - Zins-, Kredit- und operationelle Risiken".
SAS Risk-Update: Wie erfolgt typischerweise der Prozess der Risikoidentifikation und -bewertung sowie -steuerung von operationellen Risiken in der Commerzbank?
Joachim Pfeifer: Die Commerzbank setzt im Rahmen ihres Basel-II-Projekts für OpRisk einen eigenentwickelten AMA-Messansatz um. Zu diesem Zweck haben wir frühzeitig mit der Sammlung interner wie externer Verlustdaten begonnen, u. a. als Gründungsmitglied der "Operational Riskdata eXchange" (ORX). Hieraus gewinnen wir sowohl Anhaltspunkte für Prozessverbesserungen und "lessons learnt" als auch die statistische Datenbasis für die Modellierung des Kapitalbedarfs. Strukturierte Prozessanalysen und Szenariobetrachtungen sollen insbesondere solche Schwachstellen aufzeigen, die das Potenzial für größere Verluste haben, so genannte "fat-tail-Risiken". OpRisk-Manager in den jeweiligen Abteilungen und Konzerneinheiten greifen auf zentral entwickelte und bereitgestellte DV-Anwendungen des OpRisk-Controllings zu. Die Erkenntnisse werden in OpRisk-Reports zusammengefasst und in dem OpRisk Committee der Bank erörtert.
SAS Risk-Update: Was können denn Unternehmen tun, um sich auf solche Extremereignisse vorzubereiten? Welche Methoden und Instrumenten sind hier nötig?
Lutz Cleemann: Das allernötigste ist zweifellos viel Fantasie. Viele Unternehmen und Risikomanager können sich gar nicht vorstellen, was alles passieren kann und woher Bedrohungen kommen können. Das wichtigste sind Konzepte für eine geeignete "Business Continuity"-Strategie.. Die Aufgabe besteht darin, herauszufinden, welche Voraussetzungen für den Betrieb unbedingt erforderlich sind und wodurch diese bedroht werden. In diesem Zusammenhang spielt übrigens die Eintrittswahrscheinlichkeit nur eine untergeordnete Rolle. Wenn ein Ereignis wirklich kritisch ist - also verheerende Wirkungen für das Unternehmen hat, aber nur relativ selten vorkommt - nützt es in aller Regel nichts, die ohnehin schon sehr geringe Eintrittswahrscheinlichkeit noch weiter zu verringern. Damit kann schließlich nicht verhindert werden, dass es morgen dann doch eintritt. Neben Eintrittswahrscheinlichkeit und Schadensausmaß muss man sich in diesen Fällen vor allem Gedanken über die Verletzbarkeit gegenüber bestimmten Ereignissen an sich machen. Auch die Versicherer haben diese Problemlage erkannt und entwickeln mit ihren Kunden zunehmend spezielle Risikotransferprodukte, die auch der Problematik schwieriger Kalkulierbarkeit dieser Risiken Rechnung tragen.
SAS Risk-Update: Ist nicht der Reputationsverlust das eigentliche Risiko für eine Bank, weil die Kunden kein Vertrauen mehr in die Bank haben?
Arnd Wiedemann: Das Risikomanagement der Kreditinstitute befindet sich in einem permanenten Entwicklungsprozess. Dies gilt sowohl für die Weiterentwicklung einzelner Risikoarten als auch für die Auseinandersetzung mit noch nicht oder nur rudimentär erfassten Risikoarten. Bei den von Ihnen angesprochenen Risiken, dem Reputations- und Markenrisiko, handelt es sich um strategische Risiken. Marktpreis-, Adressenausfall- und operationelle Risiken gehören dagegen zu den operativen Risiken einer Bank. Der zu betrachtende Zeithorizont ist bei strategischen Risiken erheblich länger. Damit steigt zwangsläufig auch die Unschärfe in der Abbildung dieser Risiken. Trotz dieser Schwierigkeiten glaube ich, dass sich Kreditinstitute in Zukunft verstärkt auch mit strategischen Risiken auseinandersetzen müssen.
SAS Risk-Update: Risiko-Management findet nicht selten eher isoliert in verschiedenen Risiko-Silos statt. Die Erfahrung hat jedoch gezeigt, dass Risiken hochgradig komplex miteinander verknüpft sind und sich durch positive und negative Rückkoppelungen gegenseitig beeinflussen. Muss das Risiko-Management einer Bank diese Tatsache nicht durch eine viel engere Verzahnung der einzelnen Silos berücksichtigen?
Joachim Pfeifer: Die Commerzbank aggregiert alle quantifizierbaren Risikoarten, und damit auch OpRisk zu einem ökonomischen Eigenkapitalbedarf des Konzerns respektive der operativen Einheiten. Hierdurch wird der Risikotragfähigkeit der Bank dem ökonomischen Kapital gegenübergestellt, das die eigene Risikoneigung widerspiegelt und somit die wesentlichen Risikoarten (Kredit-, Markt-, OpRisk und Business-Risk) statistisch zusammengefasst.
SAS Risk-Update: Die Ergebnisse des "Behavioral Finance" zeigen unmissverständlich, dass allen Marktteilnehmern immer wieder unterschiedliche systematische "Fehler" unterlaufen. Welche Rolle spielt dann eigentlich der Risikofaktor Mensch bei der Steuerung von Risiken?
Lutz Cleemann: Direkt oder indirekt ist der Mensch in unserer modernen Welt immer ein erheblicher Risikofaktor. Die Welt, in der wir leben, funktioniert ja nicht ohne den Menschen. Die Menschen handeln und entscheiden und den Menschen unterlaufen dabei aus unterschiedlichen Gründen auch Fehler. Das betrifft auch die Steuerung von Risiken, die ja ein gedankliches Konstrukt des Menschen sind und aus seiner Erfahrung heraus wahrgenommen werden. Es sind nicht primär die Systeme, welche die Qualität des Risikomanagements bestimmen, sondern der Mensch mit seiner Vorstellungskraft und Fähigkeit zur Abstraktion. Der Mensch ist also sowohl ein Risikofaktor als auch ein Erfolgsfaktor bei der Steuerung von Risiken.
SAS Risk-Update: Ein wichtiges Ziel der Aufsichtsbehörden ist die Schaffung ausreichender Kapitalpuffer für Verluste aus operationellen Risiken. Spektakuläre Pleiten wie etwa der Bankrott der Barings Bank (1995) oder der Kollaps der Bank of Credit and Commerce (1991) wären jedoch auch durch eine ausreichende Eigenkapitalunterlegung nicht verhindert worden. Was bringt dann eigentlich eine Eigenmittelunterlegung?
Arnd Wiedemann: Selbst wenn eine Eigenmittelunterlegung im konkreten Einzelfall nicht den Zusammenbruch eines Instituts verhindern kann, so leistet sie doch einen Beitrag zur Sensibilisierung des Managements für derartige Risiken und wirkt gleichzeitig disziplinierend. Wenn haftendes Eigenkapital eine knappe Ressource für eine Bank ist, muss sie sich im Rahmen ihrer Asset Allocation sehr intensiv mit der Verteilung auseinandersetzen. Wer beim operationellen Risiko Kapital sparen will, muss entsprechende Überlegungen zur Risikovermeidung oder -minderung anstellen. Auch dies ist ein richtiger Steuerungsimpuls und trägt zur Stabilisierung des gesamten Finanzsystems bei.
SAS Risk-Update: Lassen Sie uns noch einen Blick in die Kristallkugel werfen: Wie wird sich die Risikolandkarte der Unternehmen in den nächsten Jahren verändern?
Lutz Cleemann: Terrorismus wird mittelfristig aus meiner Sicht ein noch größeres Problem werden. Die systemischen Abhängigkeiten sind sehr groß und die allgemeine Verunsicherung wird weiter wachsen. Darauf müssen die Unternehmen reagieren und sich überlegen, wie empfindlich sie gegenüber solchen Entwicklungen sind.
Im Bereich der Technologieentwicklung dürften sich die Risiken eher reduzieren. Im Umgang mit der Technik und Innovation ist man in den letzten Jahren einfach erfahrener geworden. Das hat auch dazu geführt, dass neue Technologien dem gesellschaftlichen Diskurs viel offener und selbstkritischer ausgesetzt werden. Die Risiken durch Naturkatastrophen werden weiter steigen. Der Klimawandel führt zu neuen Wetterextremen, auch die Wertekonzentration wird nicht nachlassen, im Gegenteil.
Wenn man sich die Bereiche Gesundheit und Altersversorgung anschaut, dann gibt es zwei gegenläufige Trends. Einerseits die Reduzierung von Risiken, die im Wesentlichen auf den Fortschritten in Pharmazie, Gentechnik und Medizin beruht. Die Lebenserwartung stieg in den letzten Jahren enorm an und ein Abflachen dieser Entwicklung ist noch nicht in Sicht. Durch diese einerseits positive Entwicklung ergeben sich andererseits natürlich schwerwiegende Risiken für die Nachhaltigkeit der Sozialsysteme.
Erhebliche Gefahrenpotenziale ergeben sich schließlich aufgrund der wachsenden systemischen Risiken. Denken Sie an unsere Abhängigkeiten von der Infrastruktur, von Verkehrswegen, insbesondere von der Stromversorgung. Diese Abhängigkeiten sind im Laufe der Zeit unbemerkt immer stärker geworden und die hieraus entstehenden Risiken werden weiter wachsen. Heute denken wir doch gar nicht mehr darüber nach, wie abhängig wir beispielsweise von der Stromversorgung sind.
Mehr Informationen über die aktuellen Entwicklungen im Risikomanagement, Interviews sowie Tipps & Tricks für Ihren Business-Alltag finden Sie in der Print-Ausgabe der SAS Risk-Update. Solvency II, Basel II, operationelle Risiken – das sind nur einige der Themen.
Profitieren Sie vom kostenlosen Abonnement: SAS Risk-Update abonnieren