Operationelle Risiken bei Kreditinstituten

Transkript

1 Global Financial Services Operationelle Risiken bei Kreditinstituten Trends & Best Practice November 2002

2

3 Inhaltsverzeichnis 1 Management Summary 4 2 Informationen zur Studie 7 3 Auswertung Nutzen und Motivation beim Management operationeller Risiken Umsetzung aufsichtsrechtlicher Anforderungen Organisation und Prozesse beim Management operationeller Risiken Methoden zur Identifikation und Messung operationeller Risiken 18 4 Kernaussagen und Schlussfolgerungen 27 5 Glossar 30 6 Über Cap Gemini Ernst & Young 33

4 1. Management Summary

5 Management Summary Operationelle Risiken bei Kreditinstituten Operationelle Risiken sind als Thema bei Kreditinstituten in den letzten Jahren zunehmend in den Mittelpunkt des Bewusstseins gerückt. Die Gründe dafür liegen, neben den verstärkten aufsichtsrechtlichen Anforderungen aus Basel II, vor allem in dem Bestreben der Institute, durch ein besseres Management und Controlling operationeller Risiken (OR-Managementprozess) den eigenen Unternehmenswert zu steigern. Aufgrund des ständigen Fortschritts in dem noch jungen Thema ist Transparenz über den Status Quo des Entwicklungsstands bei den Kreditinstituten für alle Marktteilnehmer hilfreich und sinnvoll. Um den Instituten einen Überblick über den Stand der Entwicklungen und die aktuellen Trends im Thema zu verschaffen, wurde die vorliegende Studie Operationelle Risiken bei Kreditinstituten Trends und Best Practice von Cap Gemini Ernst & Young in Zusammenarbeit mit dem Seminar für Kapitalmarktforschung und Finanzierung der Ludwig-Maximilians-Universität München (Prof. Dr. Bernd Rudolph) durchgeführt. Die Studie basiert auf einer schriftlichen Befragung bei 60 teilnehmenden Kreditinstituten aus Deutschland, Österreich und der Schweiz. Die Datenerhebung erfolgte von Mai 2002 bis September 2002 anhand von mehr als 100 Fragen je Teilnehmer. Ziele der Studie Die Studie gibt einen umfassenden Überblick über den Status Quo des OR-Managementprozesses bei führenden Banken in Deutschland, Österreich und der Schweiz. Der Schwerpunkt der Untersuchung lag dabei in der konkreten Ausgestaltung des OR-Managementprozesses und den Erfahrungen, die die Teilnehmer mit den verwendeten Methoden gesammelt haben. Aufgrund der erfreulich hohen Teilnehmerzahl bietet die Studie ein umfassendes Bild der Standards und Trends, die sich am Markt derzeit herausgebildet haben bzw. derzeit abzeichnen. Wesentliche Ergebnisse der Studie Während der Leser in Kapitel 3 eine detaillierte Auswertung der einzelnen Fragen erhält, werden hier zunächst die wesentlichen Ergebnisse zusammengefasst und die daraus erkennbaren Trends benannt. Weiche Faktoren wie die in einem Institut vorherrschende Risikokultur und der Support der Führungsebene sind für einen erfolgreichen OR-Managementprozess die wichtigsten Erfolgsfaktoren. Nach Einschätzung der Teilnehmer sind es vor allem die weichen Faktoren, wie die Unterstützung des vorgesehenen OR-Managementprozesses durch die Geschäftsführung und die Etablierung einer offenen Risikokultur, die den Erfolg der eingesetzten OR-Methoden sicherstellen. Der Ausstattung des OR-Controllings (zentral und dezentral) mit Mitarbeitern und finanziellen Ressourcen wurde dabei eine weitaus geringere Bedeutung für den Erfolg beigemessen. Zu erklären ist dieses Ergebnis unter anderem damit, dass die von den Teilnehmern der Studie überwiegend eingesetzten OR-Methoden (z. B. Self Assessment, Schadensfalldatenbank) nur in einer offenen Risikokultur sinnvoll eingesetzt werden können. Das Fehlen dieser wichtigen Rahmenbedingung kann nicht durch einen erhöhten Personal- oder Ressourceneinsatz kompensiert werden. Hinsichtlich der Wahl des Eigenkapitalansatzes (Basel II) herrscht in vielen Instituten noch Unsicherheit. Die drei den Instituten zur Verfügung stehenden Eigenkapitalansätze (Basisindikatoransatz, Standardansatz undama AdvancedMeasurement Approaches) haben im Rahmen der Konsultationsphasen hinsichtlich ihrer Ausgestaltung, aber auch hinsichtlich der Anwendbarkeit, zahlreiche Änderungen erfahren. Hier wird von den Studienteilnehmern mehrheitlich Handlungsbedarf seitens der Risk Management Group (RMG) des Baseler Komitees gesehen. Als wichtigste Punkte werden die konkrete Ausgestaltung der Eigenkapitalansätze, die Auswahl der Exposure Indikatoren sowie die Kriterien für die Anrechenbarkeit von Versicherungen genannt. Die abschließende Klärung dieser Punkte ist für viele Institute eine wichtige Voraussetzung, um die Entscheidung für einen der Eigenkapitalansätze treffen zu können. Das OR-Controlling liegt bei vielen Instituten in der Verantwortung einer zentralen Organisationseinheit. Entsprechend der anderen Risikoarten (Kreditund Marktpreisrisiken) ist mittlerweile eine zentrale Organisationseinheit, die das OR- Controlling verantwortet, weit verbreitet. Diese Einheit wiederum ist in den meisten Unternehmen im Bereich Risikocontrolling angesiedelt. Die vor einigen Jahren, insbesondere in kleineren Instituten, noch übliche Praxis, die Verantwortung für operationelle Risiken im Bereich der internen Revision anzusiedeln, ist heute kaum noch zu beobachten. Dies entspricht auch den mittlerweile klaren Vorgaben der RMG (Sound Practices Juli 2002), die eine unabhängige, den OR-Prozess prüfende Revision fordern. Die wesentlichen Aufgaben des zentralen OR- Controllings liegen in der Auswahl geeigneter OR-Management- und Controllingmethoden, der Konzentration des methodischen Fachwissens (Methodenhoheit), der Entwicklung eines OR- Rahmenwerks sowie der zentralen Sammlung von OR-Daten, die dem Management in Form von Reports zugänglich gemacht werden. 5

6 Operationelle Risiken bei Kreditinstituten Management Summary Self Assessment und Schadensfalldatenbank haben sich als Methoden zum Marktstandard entwickelt. Die Nutzung von Risikoindikatoren wird von vielen Instituten angestrebt, diese liefern jedoch nur selten zufriedenstellende Ergebnisse. Schadensfalldatenbank Vor dem Hintergrund der aufsichtsrechtlichen Anforderungen, die eine strukturierte Erfassung von Schadensfällen als Voraussetzung bereits für den Standardansatz fordern, ist der große Anteil von Instituten, die entweder eine Schadensfalldatenbank implementiert haben oder dies für die Zukunft planen, nicht überraschend. Darüber hinaus bieten die Daten der Schadensfalldatenbank den Instituten die Möglichkeit, die Ergebnisse anderer OR-Methoden (Risikoindikatoren, Self Assessment, Szenarioanalyse) zu verifizieren und somit Erkenntnisse über Validität und Qualität der eingesetzten OR-Methoden zu bekommen. Größtes Problem bei der Schadensfalldatenbank scheint die Qualität der Datensammlung zu sein. Dies ist möglicherweise auch auf fehlende Anreize für die Meldung von Schadensfällen in den meisten Instituten zurückzuführen. Die im eigenen Institut gesetzten Anreize werden nur von einer Minderheit der Teilnehmer als geeignet oder sehr geeignet angesehen. Self Assessment Neben der Schadensfalldatenbank ist das Self Assessment die am weitesten verbreitete Methode. Über 75% der Institute setzen diese Methode bereits ein oder planen ihren Einsatz. Die Ausgestaltung des Self Assessments variiert dabei stark. Die Mehrheit der Teilnehmer vertraut dem Einsatz standardisierter Fragebögen, in Einzelfällen werden allerdings auch aufwendigere Self Assessments betrieben, die persönliche Interviews oder Workshops vorsehen. Die Präferenz der meisten Institute für eine einfachere Lösung zeigt, dass in den Instituten an dieser Stelle Pragmatismus vor Komplexität gesetzt wird. Der damit teilweise verbundeneverlust an Aussagefähigkeit und Analysemöglichkeiten wird dabei von den Teilnehmern in Kauf genommen. Risikoindikatoren Die Funktion eines Frühwarnsystems, wie im jüngsten Sound Practices Papier von der RMG gefordert, soll in vielen Instituten durch Risikoindikatoren wahrgenommen werden. Während bislang nur 20% der teilnehmenden Institute Risikoindikatoren implementiert haben, erklärten weitere 40% der Institute, dass der Einsatz von Risikoindikatoren zukünftig angestrebt wird. Auffällig ist jedoch, dass eine Mehrheit der Institute, die Risikoindikatoren bereits verwenden, sich mit diesen weniger zufrieden zeigt. Dies steht im Gegensatz zu den Methoden Schadensfalldatenbank und Self Assessment, mit denen die Mehrheit der Institute zufrieden ist. Nutzen der Studie Die Auswertung der Studiendaten ermöglicht den Teilnehmern, einen Überblick über Trends & Best Practice im Management und Controlling operationeller Risiken zu gewinnen. Da die mit diesem jungen Thema verbundenen Aufgabenstellungen vielfach neu sind und sich die Probleme und ihre Lösungen häufig erst in der konkreten Umsetzung ergeben, ist der Austausch von Informationen für alle Beteiligten wichtig und hilfreich. Die Studie soll in diesem Zusammenhang einen Beitrag leisten, den Informationsaustausch zu fördern und den Teilnehmern somit die Möglichkeit geben, die Situation des eigenen Instituts im Kontext des Marktes zu sehen und aus den Erfahrungen anderer Institute lernen zu können. 6

7 2. Informationen zur Studie

8 Operationelle Risiken bei Kreditinstituten Informationen zur Studie Zielsetzung Um den Marktteilnehmern einen Überblick über den Stand der Entwicklungen und die aktuellen Trends im Thema OR zu verschaffen, hat Cap Gemini Ernst & Young in Deutschland, Österreich und der Schweiz die Studie Operationelle Risiken bei Kreditinstituten - Trends & Best Practice durchgeführt. Die Studie wurde vom Seminar für Kapitalmarktforschung und Finanzierung der Ludwig-Maximilians-Universität München (Prof. Dr. Bernd Rudolph) im Rahmen einer wissenschaftlichen Arbeit begleitet. Teilnehmer Die Studie basiert auf einer Befragung von Kreditinstituten aus Deutschland, Österreich und der Schweiz. Angeschrieben wurden die Top 100-Institute nach Bilanzsumme in Deutschland und jeweils die Top 15-Institute nach Bilanzsumme in Österreich und in der Schweiz, wobei die Bilanzsummenspannweite von 64 Mio. bis 929 Mrd. reichte. Der zugrunde liegende Fragebogen wurde im April 2002 an 129 Kreditinstitute gesendet, von denen sich 60 aktiv an der Studie beteiligten. Dies entspricht einer Beteiligungsquote von 47% und gestattet die Ableitung fundierter Aussagen auf der Basis des vorliegenden Datenmaterials. An dieser Stelle sei den Teilnehmern der Studie herzlich gedankt. Die Sorgfalt bei der Beantwortung der Fragen sowie die rege Nutzung der Kommentarbereiche haben entscheidend zur Vielfalt der abgeleiteten Zusammenhänge beigetragen. Zu den häufigsten Gründen für eine Nicht-Teilnahme zählten Umstrukturierungsmaßnahmen im Hause, mangelnde Kapazitäten für das Ausfüllen des umfangreichen Fragebogens oder eine bislang zu geringe Auseinandersetzung mit dem Thema Operationelle Risiken. Aus Gründen der besseren Vergleichbarkeit werden einige Ergebnisse Peer Group-spezifisch dargestellt, um so der Bilanzsummenspannweite in der Stichprobe Rechnung zu tragen. Dabei wurden folgende vier Peer Groups gebildet: Peer Group 1 (PG 1) - Banken mit einer Bilanzsumme x 250 Mrd. (8 Institute) Peer Group 2 (PG 2) - Banken mit einer Bilanzsumme 250 Mrd. > x 25 Mrd. (14 Institute) Peer Group 3 (PG 3) - Banken mit einer Bilanzsumme 25 Mrd. > x 10 Mrd. (12 Institute) Peer Group 4 (PG 4) - Banken mit einer Bilanzsumme x < 10 Mrd. (26 Institute) Aufbau Die Studie ist in zwei wesentliche inhaltliche Abschnitte gegliedert. Kapitel 3 konzentriert sich auf die Auswertung des zugrunde liegenden Fragebogens. Die Analyse bezieht die Antworten jeder Frage ein, verzichtet jedoch auf die strikte Einhaltung der Reihenfolge im Fragebogen und stellt zudem wichtige Zusammenhänge zwischen verwandten Themengebieten her. Das Vorgehen folgt der Gliederung Nutzen und Motivation beim Management operationeller Risiken Umsetzung aufsichtsrechtlicher Anforderungen Organisation und Prozesse beim Management operationeller Risiken Methoden zur Identifikation und Messung operationeller Risiken Kapitel 4 beschäftigt sich mit der Untersuchung ausgewählter Kernaussagen, die sich über die einzelnen Fragenblöcke hinweg identifizieren lassen. Die Analyse erarbeitet wichtige Muster und logische Querverbindungen, die bei der Fokussierung auf einzelne Fragen weniger zum Vorschein treten. In Kapitel 5 erhält der Leser einen Überblick über wesentliche Definitionen der aktuellen Terminologie im Thema Operationelle Risiken. Erklärung Die Durchführung der Studie erfolgte mit äußerster Sorgfalt. Es ist jedoch nicht auszuschließen, dass einige Antworten infolge unterschiedlich verwendeter Begriffe nicht direkt vergleichbar sind. Bei der Erfassung der Daten wurde großer Wert auf die Erkennung und Vermeidung von Inkonsistenzen gelegt. Dennoch kann es vorkommen, dass die Ergebnisse im Einzelfall die Erfahrungen eines Teilnehmers nicht widerspiegeln. Im Interesse einer kompakten Darstellung enthält die Analyse zudem nur die als wesentlich eingestuften Resultate. Autoren Markus Quick Markus.Quick@cgey.com Lars Kruse Lars.Kruse@cgey.com Andreas Duldinger adulding@cip.bwl.uni-muenchen.de Kontakt Für Rückfragen und weitere ausführliche Informationen wenden Sie sich bitte an: Markus Quick Am Limespark 2 D Sulzbach/ Taunus Tel: + 49 (0) 6196/999-0 Mobil: + 49 (0) 160/ Markus.Quick@cgey.com Dr. Ulrich von Zanthier Karl-Hammerschmidt-Str. 32 D Dornach bei München Tel: + 49 (0) 89/ Mobil: + 49 (0) 160/ Ulrich.Zanthier@cgey.com 8

9 3. Auswertung

10 Operationelle Risiken bei Kreditinstituten 3.1 Nutzen und Motivation beim Management operationeller Risiken 3.1 Nutzen und Motivation beim Management operationeller Risiken Gerade in letzter Zeit aufgetretene Verlustfälle, die auf operationelle Risiken (OR) zurückzuführen waren, zeigen, dass das Management dieser Risiken nicht nur aufgrund der regulatorischen Vorgaben aus Basel betrieben werden sollte, sondern dass das Thema per se zu einer erhöhten Sensibilität in der Finanzdienstleistungsindustrie führen muss. Die Antworten der Institute auf die Frage, welche Motivation zum Aufbau eines OR-Controllings im Rahmen des OR- Managementprozesses geführt habe, bestätigen diese Einschätzung. Dazu sollten die Studienteilnehmer für eine Reihe von vorgegebenen Motivationen einen Wert von 1 (höchste Gewichtung) bis 9 (niedrigste Gewichtung) vergeben. Welche Motivation führte in Ihrem Institut zum Aufbau eines OR-Controllings? Abb.1: Motivation zum Aufbau eines OR-Controllings regulatorische Anforderungen betriebswirtschaftlicher Nutzen Umsetzung imrahmenderrisikostrategie Senior Management Vorgabe Vor dem Hintergrund der oft bedeutsamen Auswirkungen operationeller Verlustfälle ist davon auszugehen, dass etwaige Nachteile aus dem Management operationeller Risiken, die beispielsweise aus den Kosten für Aufbau und Unterhalt eines OR-Managementsystems resultieren, durch das Erzielen entsprechender Vorteile kompensiert werden können. Welchen kurz- und langfristigen Nutzen identifizieren Sie für Ihr Unternehmen durch das Management und Controlling operationeller Risiken? Abbildung 2 schlüsselt den von den Banken genannten Nutzen bzw. die Vorteile nach Häufigkeit der Nennung auf. Zentrale Erkenntnis ist, dass fast alle Institute den Hauptvorteil des Managements und Controllings operationeller Risiken in weichen Faktoren, wie Schaffung von Bewusstsein für operationelle Risiken (93%), Etablierung einer Risikokultur (85%) oder Verbesserung der Prozessqualität (85%) sehen. Erst an vierter Stelle kommt mit 81% die konkrete Reduktion von Verlusten durch operationelles Risikomanagement. Da die Vorteile aus weichen Faktoren meist nur langfristig generiert werden können, sehen auch nur 41% der befragten Banken Möglichkeiten, sehr kurzfristigen Nutzen durch den OR-Managementprozess zu erzielen. Dabei bejahen Banken, die auf die Frage nach dem Nutzen des OR-Managementprozesses die Verlustreduktion einen also durchaus schon kurzfristiger zu erzielenden Vorteil angeben, tendenziell auch die Frage, ob sie Potenziale für sehr kurzfristige Gewinne sehen 1. Zudem lässt sich zeigen, dass größere Institute (gemessen an der Bilanzsumme) dazu tendieren, sehr kurzfristige Gewinne durch den OR-Managementprozess als realisierbar zu erachten 2. Dies kann bereits als ein Indiz dafür gewertet werden, dass größere Institute im OR-Controlling tendenziell fortgeschrittener sind und sich das höhere Entwicklungsniveau bereits in ersten Erfolgen niederschlägt. Konkrete finanzielle Erfolge lassen sich allerdings bisher nur sehr schwer dem Management operationeller Risiken zurechnen. Daher stimmen auch 93% der befragten Banken überein, keine monetären Ziele für Kosteneinsparungen durch den OR-Managementprozess zu definieren. Anforderungen des Marktes interne Verlustereignisse externe Verlustereignisse Thought Leadership im Bereich OR Welches sind für Sie die kritischen Erfolgsfaktoren bei der Implementierung des OR-Managementprozesses? Sonstige Punkte (1 = 9 Punkte, 2 = 8 Punkte etc.; Maximalzahl = 540 Punkte) In den vergangenen Jahren konnten im OR- Controlling viele neue Erkenntnisse gewonnen und deutliche Fortschritte gemacht werden. Wie aus Abbildung1hervorgeht, sehen sich die befragten Banken zwar hauptsächlich durch die regulatorischen Vorgaben dazu veranlasst, dem OR-Managementprozess mehr Bedeutung in ihrem Unternehmen beizumessen, jedoch kommt bereits an zweiter Stelle der Motivationsgründe für die meisten Institute der betriebswirtschaftliche Nutzen. Auch die im Rahmen einer integrierten Risikostrategie erforderliche Umsetzung eines OR- Managementprozesses oder die Vorgabe durch das Senior Management sind wichtige Gründe für die Umsetzung von OR-Managementprojekten. 1 Spearman-Rho = 0,226. Die Korrelation ist auf 95%-Niveau signifikant. 2 Spearman-Rho = 0,226. Die Korrelation ist auf 95%-Niveau signifikant. Abb. 2: Kurz- und langfristiger Nutzen des Managements und Controllings operationeller Risiken Schaffung von Bewusstsein für OR Etablierung einer Risikokultur verbesserte Prozessqualität Verlustreduktion Risikosteuerungsinstrument Unterstützung der Managementfunktion Reputation im Markt Steigerung des Unternehmenswertes Sonstige (Mehrfachantworten waren möglich) 20% 40% 60% 80% 100% 10

11 3.2 Umsetzung aufsichtsrechtlicher Anforderungen Operationelle Risiken bei Kreditinstituten Abb. 3: Kritische Erfolgsfaktoren bei der Implementierung des OR-Managementprozesses in der Meinung wider, dass pragmatische qualitative Methoden den oft komplexeren quantitativen Ansätzen vorzuziehen seien. Etablierung einer offenen Risikokultur Akzeptanz durchden Vorstand/die Geschäftsführung Kommunikation des Themas im Unternehmen Einbezug aller Einheiten im Unternehmen ausreichende Ressourcen Qualifikation des Personals Buy-in der Bereichs-/Abteilungsleitungen zentrales OR-Controlling/OR-Management klares Kosten-Nutzen-Verhältnis Sonstige Dennoch ist die Entwicklung auf diesem Gebiet nicht beendet. Einige zentrale Punkte bedürfen nach wie vor der Klärung. So sehen sich die Banken verschiedenen Schwierigkeiten gegenüber, die im Rahmen eines gegenseitigen Erfahrungsaustausches zu lösen sind. Die größten Schwierigkeiten sehen die Studienteilnehmer auf folgenden Gebieten: Akzeptanz des OR-Controllings seitens des Vorstandes und der Mitarbeiter Etablierung einer Risikokultur Unvollständige Datenbasis und daraus folgende Probleme bei der Quantifizierung operationeller Risiken Reifegrad der Methoden zur Identifizierung und Messung von OR Anreizproblematik bei der Meldung von Schäden Abgrenzung operationeller Risiken Obige Ergebnisse spiegeln sich auch in den Antworten auf die Frage nach den kritischen Erfolgsfaktoren bei der Implementierung eines OR-Managementprozesses wider. Abbildung 3 illustriert, dass mit jeweils 82% der Antworten die Etablierung einer offenen Risikokultur und die Akzeptanz des Themas OR seitens Vorstand und Geschäftsführung die zentralen Erfolgsfaktoren beim Aufbau und bei der Etablierung eines OR-Managementprozesses sind. Erst mit deutlichem Abstand folgen weitere Faktoren wie Kommunikation des Themas im Unternehmen, der Einbezug aller Einheiten im Unternehmen oder ausreichende personelle Ressourcen. Da die 3 Die Säule I des Baseler Konsultationspapiers beschreibt die Eigenkapitalunterlegung operationeller Risiken. Dazu stehen drei Ansätze zur Wahl: der Basisindikatoransatz, der Standardansatz und die Advanced Measurement Approaches (AMA). (Mehrfachantworten waren möglich) 10% 20% 30% 40% 50% 60% 70% 80% 90% 100% Studienteilnehmer die beiden am häufigsten genannten Faktoren auch zugleich als die zentralen Schwierigkeiten im OR-Managementprozess ansehen, gilt es hier im Besonderen, entsprechende Verbesserungsmaßnahmen einzuleiten. Einen interessanten Blickwinkel verschafft die Frage nach Trends, die sich von den Ansprechpartnern der befragten Banken im OR-Bereich identifizieren lassen. 23 Studienteilnehmer äußerten sich über zukünftige Entwicklungen und Problemfelder, die sie in diesem Bereich erkennen. Die meisten Institute stimmen überein, dass besonders aufgrund der regulatorischen Vorgaben das Thema OR generell an Bedeutung gewinnen wird. Allerdings erkennt ein Großteil der Banken die Notwendigkeit, OR-Controlling unter Beachtung einer ausgewogenen Kosten-Nutzen- Relation zu betreiben. Pragmatismus sollte vor Komplexität kommen, auf 100%-Lösungen sollte verzichtet werden. Dies spiegelt sich auch Abb. 4: Geplante Verwendung von Basel-II-Ansätzen 100% 80% 60% 40% 20% 3.2 Umsetzung aufsichtsrechtlicher Anforderungen Wahl des Eigenkapitalansatzes Die Konsultationspapiere, das Working Paper und die Sound Practices des Baseler Ausschusses geben bisher nur teilweise detaillierte Vorgaben in Bezug auf die Eigenkapitalunterlegung und die qualitativen Voraussetzungen des Managements operationeller Risiken. Dabei stehen den Banken im Rahmen der Säule I des Baseler Konsultationspapiers drei Ansätze zur Ermittlung der Eigenkapitalunterlegung zur Wahl 3. Zudem ist ein so genannter Partial Use, das heißt die Verwendung eines Advanced Measurement Approaches (AMA) zusammen mit einem anderen Ansatz, erlaubt. Welchen Basel II-Ansatz planen Sie zu verwenden? Abbildung 4 stellt die Häufigkeiten der von den Studienteilnehmern geplanten Ansätze gesamt und aufgeteilt in vier Peer Groups dar. Das Ergebnis liegt im Rahmen der Erwartung: Große Banken werden tendenziell einen der AMA-Ansätze verwenden, wohingegen kleinere Institute beabsichtigen, den Standardansatz oder den Basisindikatoransatz zu wählen. Fast 14% der Banken haben sich bis zum jetzigen Zeitpunkt noch nicht für einen der Ansätze Basisindikatoransatz Standardansatz AMA Partial Use offen = Peer Group 1 0,0 25,0 62,5 12,5 0,0 =Peer Group 2 0,0 61,5 38,5 0,0 0,0 =Peer Group 3 0,0 41,7 41,7 0,0 16,6 =Peer Group 4 28,0 36,0 12,0 0,0 24,0 = Gesamt 12,1 41,4 31,0 1,7 13,8 11

12 Operationelle Risiken bei Kreditinstituten 3.2 Umsetzung aufsichtsrechtlicher Anforderungen entschieden. Meist beabsichtigen letztere, diesbezüglich weitere Vorgaben und Details seitens des Baseler Komitees abzuwarten. Im Rahmen der Verwendung des Standardansatzes oder eines Partial Use verlangt Basel II von den Banken, ihre realen Geschäftsfelder auf die von Basel vorgegebenen abzubilden (zu mappen ). Die Studie zeigt, dass bisher nur 50% der befragten Institute, die mindestens den Standardansatz zu verwenden beabsichtigen, ihre Geschäftsfelder auf die vom Baseler Komitee vorgegebenen gemappt haben. Abb. 5: Handlungsbedarf seitens der Aufsichtsbehörden nach Themen Ausgestaltung der Eigenkapitalunterlegungsansätze Auswahl der Exposure-Indikatoren Kriterien zur Anerkennung von Versicherungen Risikokategorisierung Sound Practices Definition Bruttoertrag Risikodefinition Sonstige (Mehrfachantworten waren möglich) 20% 40% 60% 80% 100% Zufriedenheit mit den Konsultationspapieren Bereits die Quantitative Impact Studies (QIS) haben gezeigt, dass die Vorgaben aus den Baseler Konsultationspapieren in vielen Punkten konkretisiert werden müssen und weitere Diskussionen vor allem mit Vertretern aus der Industrie notwendig sind. Ein ähnliches Bild ergeben auch die Antworten der Banken auf die Frage, wie zufrieden sie mit den bisherigen Konsultationspapieren seien. Auf einer Skala von 1 (unzufrieden) bis 4 (sehr zufrieden) geben 66% der befragten Institute den Wert 2 (teilweise zufrieden) an. Nur rund 5% der Studienteilnehmer sind mit den Baseler Papieren zufrieden (Wert 3), wohingegen 29% antworten, dass sie damit unzufrieden seien. Im Mittel liegt der Zufriedenheitsgrad der Studienteilnehmer bei einem Wert von 1,77. Dabei zeigen die Ergebnisse, dass die Zufriedenheit mit den Baseler Papieren mit der Verwendung von fortgeschritteneren Ansätzen positiv korreliert 4. Das heißt, dass Institute, die beabsichtigen, einen fortgeschritteneren Ansatz zu verwenden, dazu tendieren, mit den Baseler Konsultationspapieren zufriedener zu sein. Aufsichtsbehörden besteht. Nur einer der 60 Studienteilnehmer sieht keinen Handlungsbedarf. Zentrale Punkte sind die weitere Ausgestaltung der Eigenkapitalunterlegungsansätze, die Auswahl der Exposure-Indikatoren für die verschiedenen Ansätze und genauere Kriterien zur Anerkennung von Versicherungen im Rahmen der Risk-Mitigation. Auch auf dem Gebiet der Risikokategorisierung sehen viele Banken weiteren Handlungsbedarf. Unter sonstigem Handlungsbedarf werden vor allem die Richtlinien beim Mapping, die Ausgestaltung des Partial Use und die Abgrenzung von Markt-, Kredit- und operationellen Risiken als Problemfelder hervorgehoben Definition und Kategorisierung operationeller Risiken Ein großer Schritt nach vorne wurde in den letzten Jahren bei der Definition operationeller Risiken gemacht. Mit 71,7% stellen diejenigen Studienteilnehmer, die bereits eine Definition in ihrem Unternehmen haben, die deutliche Mehrheit. Weitere fast 21,6% planen, in nächster Zeit eine Definition einzuführen. Vier Institute (6,7%) haben keine Definition operationeller Risiken in ihrem Unternehmen festgelegt und planen auch nicht, diese zu einem späteren Zeitpunkt zu implementieren. Nur ein Studienteilnehmer verwendet, wie vor einigen Jahren durchaus noch üblich, eine negative Definition operationeller Risiken. Dabei lässt sich ein positiver Zusammenhang zwischen der Verwendung einer OR-Definition im Unternehmen und der Größe (gemessen an der Bilanzsumme) der Bank feststellen: Größere Institute sind tendenziell auf diesem Gebiet fortgeschrittener und verwenden bereits eine Definition 5. Besteht in Ihrem Unternehmen eine Definition für operationelle Risiken? Wenn ja, welche? Abbildung 6 verschafft einen Überblick über die Arten an Definitionen, welche die Banken verwenden bzw. planen. Rund 52% aller Studienteilnehmer 6 verwenden die Definition nach Basel II oder planen diese zu verwenden. Untersucht man die beiden Gruppen Definition wird bereits verwendet/ Definition ist geplant, so stellt man fest, dass vor allem in der Gruppe der Banken, die bereits eine Definition eingeführt haben, ein hoher Anteil (46,5%) eine sonstige Definition 7 nutzt. Meist handelt es sich Bei welchen Themen sehen Sie weiteren Handlungsbedarf seitens der Aufsichtsbehörden? Abb. 6: Anteil der Kreditinstitute mit einer Definition operationeller Risiken 100% 80% Abbildung 5 stellt die von den Studienteilnehmern am häufigsten genannten Themen dar, bei denen weiterer Handlungsbedarf seitens der 4 Spearman-Rho = 0,339. Die Korrelation ist auf 99%-Niveau signifikant. 5 Spearman-Rho = 0,480. Die Korrelation ist auf 99%-Niveau signifikant. 6 Ohne diejenigen Banken, die keine Definition eingeführt haben. 7 Unter Sonstige Definition wurden die ursprünglich im Fragebogen vorgegebenen Antwortalternativen eigen entwickelte Definition und sonstige Definition subsumiert. 60% 40% 20% 53,5 51,8 46,2 46,5 41,1 30,7 23,1 0,0 Basel-II-Definition Sonstige Definition offen = ja = geplant = gesamt 7,1 12

13 3.2 Umsetzung aufsichtsrechtlicher Anforderungen Operationelle Risiken bei Kreditinstituten Abb. 7: Verwendung einer OR-Kategorisierung 100% 80% 60% 71,4 57,5 40% 20% ,5 2,5 17,9 8,9 1,8 ja geplant nein Entscheidung offen (E.o.) = total = davon Basel II: verwendet = davon Basel II: geplant = davon Basel II: E.o. Größe der Bank lässt sich die Aussage treffen, dass kleinere Banken tendenziell noch keine OR-Kategorisierung festgelegt haben 9. Banken, die sich diesbezüglich nicht nach Basel richten, müssen die von ihnen gewählte Kategorisierung auf die von Basel mappen. Auf einer Skala von 1 (nicht problematisch) bis 4 (sehr problematisch) stufen die Institute das Mapping im Mittel mit teilweise problematisch (Wert 2) ein 10. Wie nehmen Sie Ihre OR-Kategorisierung vor? dabei entweder um die Definition des Bundesverbandes Öffentlicher Banken (VÖB) oder um eine modifizierte Variante der Basel-II-Definition. Betrachtet man die Gruppe der Institute mit sonstiger Definition genauer, so stellt man fest, dass 87% der Institute analog zu Basel II Rechtsrisiken mit einschließen. 52% dieser Institute beziehen allerdings auch Reputationsrisiken, die in Basel II klar ausgeschlossen werden, in ihre Definition mit ein. Überraschend ist allerdings, dass einige Institute, die angeben, die Basel-II-Definition zu verwenden, Rechtsrisiken darin ausschließen (4 Banken) bzw. Reputationsrisiken mit einbeziehen (6 Banken). Beim Einbezug von Reputationsrisiken in die OR-Definition lässt sich ein überraschender Zusammenhang zur Bilanzsumme der Institute erkennen: So beziehen kleinere Institute tendenziell Reputationsrisiken in ihre Definition operationeller Risiken mit ein 8. Ein weiterer Punkt, der bei der Erfassung von operationellen Risiken von zentraler Bedeutung ist, ist die Abgrenzung dieser Risikoart zu Kreditrisiken. Nur rund 53% der Banken, die eine Definition verwenden oder planen, haben diese Abgrenzung bisher getätigt. Ein Ergebnis, das die Tatsache unterstreicht, dass die Studienteilnehmer auf diesem Gebiet weiteren Handlungsbedarf seitens der Aufsichtsbehörden sehen. Ist in Ihrem Unternehmen eine OR-Kategorisierung vorhanden? Verwenden Sie dabei die Kategorisierung nach Basel II? Neben der Definition operationeller Risiken gibt Basel OR-Kategorien vor, auf die die etwaig abweichenden Kategorisierungen im Unternehmen gemappt werden müssen. Aus Abbildung 7 geht hervor, dass lediglich 5 Studienteilnehmer (8,9%), die eine Definition operationeller Risiken einsetzen oder planen, noch keine OR-Kategorisierung haben. 71,4% der befragten Banken mit bestehender oder geplanter OR-Definition haben eine Kategorisierung festgelegt. In dieser Gruppe folgen 57,5% den Vorgaben aus Basel, 7,5% planen in nächster Zeit, ihre bestehende Kategorisierung auf die Baseler Vorgaben umzustellen. In der Gruppe der Banken, die eine Kategorisierung plant (17,9%), wollen 50% gemäß Basel II vorgehen. Bei weiteren 50% steht eine Entscheidung noch aus. Analog dem Zusammenhang zwischen Existenz einer OR-Definition und der Abbildung 8 zeigt, wie die Studienteilnehmer ihre OR-Kategorisierung vornehmen bzw. planen. Rund 36% gehen dabei allein ursachenbasiert vor. 19% verwenden alle drei Arten der Risikokategorisierung. 17% hingegen verwenden eine rein ereignisbasierte Kategorisierung OR-Rahmenwerk und Strategie Die im Baseler Konsultationspapier verankerte Säule II 11 fordert von den Banken unter anderem die Einrichtung eines Systems zur Identifizierung, Bewertung, Überwachung, Steuerung und Minderung operationeller Risiken. Ein OR- Rahmenwerk, mit OR-Definition und OR- Kategorisierung, soll dabei die Etablierung einer unternehmenseinheitlichen OR-Sprache unterstützen. Abb. 9: Tatsächlicher und geplanter Einsatz eines OR-Rahmenwerks 6,7% 15,0% 40,2% Abb. 8: Arten der OR-Kategorisierung in den Kreditinstituten 38,1% ursachenbasiert (cause) cause, effect & event ereignisbasiert (event) noch offen cause & event cause & effect = ja = geplant = Entscheidung offen = nein effect & event auswirkungsbasiert (effect) 10% 20% 30% 40% 50% 8 Spearman-Rho = 0,403. Die Korrelation ist auf 99%-Niveau signifikant. 9 Spearman-Rho = 0,480. Die Korrelation ist auf 99%-Niveau signifikant. 10 Standardabweichung = 0, Die Säule II der Baseler Konsultationspapiere beschreibt Anforderungen im Rahmen des aufsichtsrechtlichen Überprüfungsverfahrens. Darin werden von den Banken Maßnahmen im Umgang mit Risiken gefordert, wie z. B. die Implementierung eines Risikomanagementsystems. 13

14 Operationelle Risiken bei Kreditinstituten 3.3 Organisation und Prozesse beim Management operationeller Risiken Ist in Ihrem Unternehmen ein Rahmenwerk/ eine Richtlinie für OR vorhanden? Abbildung 9 verdeutlicht den Verwendungsgrad eines OR-Rahmenwerks unter den befragten Banken. Eine deutliche Mehrheit der Institute hat bereits ein Rahmenwerk für operationelle Risiken im Unternehmen etabliert (40,2%) bzw. plant, derartige Richtlinien auszuarbeiten (38,1%). Dabei besteht in größeren Banken tendenziell eher ein OR-Rahmenwerk als in kleineren Instituten 12. Dies lässt einerseits den Schluss zu, dass größere Banken mit meist komplexeren Organisationsformen zur unternehmenseinheitlichen Vorgehensweise im Thema OR klare Richtlinien benötigen. Da größere Banken auf dem Gebiet der operationellen Risiken tendenziell fortgeschrittener sind was die Ergebnisse dieser Studie bestätigen, kann man andererseits daraus schließen, dass einem OR- Rahmenwerk eine wichtige Rolle im OR- Managementprozess zukommt. Dies unterstreicht auch das Ergebnis der Analyse des Bedeutungsgrades, den die Studienteilnehmer einem OR-Rahmenwerk beimessen. Auf einer Skala von 1 (keine Priorität) bis 4 (hohe Priorität) erhält ein OR-Rahmenwerk im Mittel den Wert 3, Dabei messen gut 59% der Studienteilnehmer einem Rahmenwerk eine hohe Bedeutung bei. Bei genauerer Untersuchung dieses Ergebnisses lässt sich analog zum vorhergehenden Zusammenhang beobachten, dass größere Banken ein OR-Rahmenwerk tendenziell für dringender erachten als kleinere Institute 14. Existiert in Ihrem Unternehmen eine OR-Strategie? Die Implementierung einer OR-Strategie ist ein weiterer Baustein des Managements operationeller Risiken, der gemäß der Sound Practices vom Dezember 2001 ebenso wie das Rahmenwerk innerhalb der Säule II von Basel gefordert wurde. In der Veröffentlichung der Sound Practices vom Juli 2002 wird die Bedeutung des Aufbaus eines Rahmenwerks weiterhin hervorgehoben, die Entwicklung einer OR-Strategie wird jedoch nicht mehr explizit verlangt. Abbildung 10 verschafft einen Überblick über den Verwendungsgrad einer OR-Strategie bei den Teilnehmern der Studie. Lediglich knapp ein Drittel der Banken verwendet bereits eine 14 Abb. 10: Vorhandensein einer OR- Strategie 5,0% = ja 20,0% 43,3% 31,7% = geplant = Entscheidung offen = nein OR-Strategie. Immerhin ist bei rund 43% der befragten Institute selbige bereits in Planung. Lediglich vier Studienteilnehmer haben im Rahmen dieser OR-Strategie einen Risikotoleranzlevel zur Eingrenzung des Risikoappetits des Unternehmens definiert. Weitere 14 Institute planen die Implementierung eines entsprechenden Limits. 3.3 Organisation und Prozesse beim Management operationeller Risiken Dass dem Thema operationelle Risiken mehr und mehr Bedeutung zukommt und das Management operationeller Risiken neben dem Management von Markt- und Kreditrisiken als eigenständige Disziplin mit eigener organisatorischer Struktur verstanden wird, äußert sich deutlich darin, dass bereits fast 52% der befragten Banken eine eigenständige OR-Aufbauorganisation mit entsprechender Festlegung von Rollen und Verantwortlichkeiten im OR- Managementprozess etabliert haben. Weitere gut 26% der Studienteilnehmer beabsichtigen derartige Strukturen in ihrem Unternehmen einzurichten. Besteht eine zentrale OR-Controllingeinheit? Das Management operationeller Risiken findet auf verschiedenen Ebenen statt. Neben dem originären Management operationeller Risiken auf Abteilungs- oder Bereichsebene durch das jeweils verantwortliche Management haben die meisten Banken, analog zu anderen Risikoarten, eine zentrale OR-Controllingeinheit, welche die Abteilungen in Fragen operationeller Risiken Abb. 11: Vorhandensein einer zentralen OR-Controllingeinheit 13,3% 8,3% = ja 13,4% 65,0% = geplant = Entscheidung offen = nein unterstützt. Abbildung 11 zeigt die Bedeutung der zentralen OR-Controllingeinheit. 65% der befragten Banken haben eine zentrale Einheit etabliert, die meist als Teileinheit des Risikocontrollings zentrale OR-Funktionen übernimmt und in fast 65% der Fälle von einem verantwortlichen Leiter, dem Head of Operational Risk (HoOR), geführt wird. 8,3% der Institute beabsichtigen, eine zentrale OR-Controllingeinheit einzurichten. Über die verbleibenden acht Studienteilnehmer, die weder eine zentrale OR- Controllingeinheit haben noch planen, lassen sich folgende Aussagen machen: Bei einem Institut übernimmt das Risikocontrolling der Konzernmutter die originären Aufgaben einer zentralen OR-Controllingeinheit. Zwei Banken betrauen damit ein spezielles OR-Komitee. Vier Banken machen dazu keine näheren Angaben. Nur eine Bank hat bisher kein zentrales OR-Controlling. Aus den obigen Ergebnissen lässt sich klar erkennen, dass die zentrale OR-Controllingeinheit für die Mehrzahl der Banken ein wichtiger Baustein im Management operationeller Risiken ist. Wie viele Mitarbeiter-Kapazitäten sind in der zentralen OR-Controllingeinheit beschäftigt? Abbildung 12 veranschaulicht, jeweils unterteilt in vier Peer Groups, die durchschnittliche Anzahl, das Minimum und das Maximum an 12 Spearman-Rho = 0,407. Die Korrelation ist auf 99%-Niveau signifikant. 13 Standardabweichung = 0, Spearman-Rho = 0,324. Die Korrelation Bilanzsumme und Bedeutungsgrad ist auf 99%-Niveau signifikant.

15 3.3 Organisation und Prozesse beim Management operationeller Risiken Operationelle Risiken bei Kreditinstituten Abb. 12: Anzahl MAK in den zentralen OR-Controllingeinheiten nach Peer Groups MAK 16 14, ,9 6, ,9 2,0 2,0 2,0 2 0,8 0,7 0,3 0,0 0,1 0 Mittelwert Minimum Maximum = Peer Group 1 = Peer Group 2 = Peer Group 3 = Peer Group 4 OR-Richtlinien. Andererseits liegen die Schwerpunkte der Tätigkeiten in der zentralen Sammlung und Auswertung von meist aus den dezentralen Einheiten zugelieferten Daten und OR-relevanten Informationen. Zudem hat das zentrale OR-Controlling die Aufgabe, für ein unternehmenseinheitliches Vorgehen in Sachen OR zu sorgen und die Verantwortlichen des dezentralen OR-Managements bei wichtigen Fragen und Problemen zu beraten und zu unterstützen. Neben den oben genannten Aufgaben ist der Einbezug der Unternehmensführung in die OR-spezifischen Vorgänge im Unternehmen ein weiterer wichtiger Baustein innerhalb Mitarbeiterkapazitäten (MAK), die in der zentralen OR-Controllingeinheit mit operationellem Risikomanagement beschäftigt sind. Das Minimum von null MAK in Peer Group 3 wurde von der betreffenden Bank damit begründet, dass ihr OR-Controlling derzeit kaum Aufwand verursache und daher kaum zusätzliche MAK gebunden werden. Wie viele Mitarbeiter-Kapazitäten sind in der zentralen OR-Controllingeinheit für die nächsten drei bis fünf Jahre geplant (gesamt)? Die Ergebnisse aus Abbildung 13 bestätigen, dass die Entwicklung des zentralen Controllings operationeller Risiken keineswegs abgeschlossen ist, sondern dieser Bereich in Zukunft weiter an Bedeutung gewinnen wird. Bemerkenswert ist, dass in allen vier Vergleichsgruppen über 50% der befragten Banken mit zentraler OR-Controllingeinheit beabsichtigen, in den nächsten drei bis fünf Jahren weitere MAK für das zentrale OR-Controlling bereitzustellen. Welche Aufgaben werden durch das OR-Controlling/den Head of Operational Risk wahrgenommen? Werden operationelle Risiken zentral gemanagt, so hat die zentrale OR-Controllingeinheit gemäß den Ergebnissen unserer Umfrage hauptsächlich drei Kompetenzbereiche (vgl. Abbildung 14). Abb.13: Geplanter Ausbau der MAK in den zentralen OR-Controllingeinheiten 100% 80% 60% 40% 20% 69,2 62,4 54,5 50,1 37,4 30,8 31,3 36,4 12,5 9,1 0,0 Ja Nein Unklar = Peer Group 1 = Peer Group 2 = Peer Group 3 = Peer Group 4 Abb. 14: Hauptaufgaben der zentralen OR-Controllingeinheit Entwicklung von OR-Managementmethoden Auswertung von Daten und Informationen Sammlung von Daten und Informationen Erstellung von Reports Entwicklung des OR-Rahmenwerks Entwicklung von Definitionen Methodenhoheit: Sicherstellung eines unternehmenseinheitlichen Vorgehens Beratende und unterstützende Tätigkeit gegenüber den Abteilungen Entwicklung von OR-Richtlinien Entwicklung von Quantifizierungsmethoden Entwicklung/Bereitstellung von technischen Lösungen, z. B. Software Verbindung zu Markt- & Kreditrisiken herstellen Überwachung des unternehmensübergreifenden OR-Managements OR-Management-Training, Schulung von Mitarbeitern im Thema OR Roll-out von OR-Managementmethoden Backtesting von OR-Managementmethoden (nächste 3-5 Jahre) 6,3 Einerseits treibt das zentrale OR-Controlling die Entwicklung im OR-Bereich voran, das heißt, es entwickelt OR-Managementmethoden, wie zum Beispiel Self Assessments oder Risikoindikatoren sowie OR-Definitionen, OR-Rahmenwerk oder Risikokapitalbudgetierung Bewertung von Kosten und Erträgen des OR-Managements Sonstige (Mehrfachantworten waren möglich) 10% 20% 30% 40% 50% 60% 70% 80% 90% 100% 15

16 Operationelle Risiken bei Kreditinstituten 3.3 Organisation und Prozesse beim Management operationeller Risiken der Arbeit der zentralen OR-Controllingeinheit. Um diesem Erfordernis zu entsprechen, ist eine weitere Kernaufgabe des zentralen OR- Controllings, von ihm erarbeitete wichtige Ergebnisse an die entsprechenden Stellen zu berichten. Sofern das zentrale OR-Controlling von einer separaten Einheit wahrgenommen wird, sind die Hauptempfänger der OR-Reports der Vorstand bzw. die Geschäftsführung der jeweiligen Bank (78,8% der Antworten) und der Leiter der Risikocontrollingabteilung (66,7%). Insbesondere Reports an Vorstand und Geschäftsführung haben die wichtige Funktion, diese Gremien aktiv in den OR-Managementprozess einzubeziehen. Dies ist die Voraussetzung für eine erfolgreiche Umsetzung des Themas im Institut. Die vorliegende Studie zeigt, dass 80% der befragten Banken neben einer zentralen OR- Controllingeinheit weiteres Personal auf Bereichsbzw. Abteilungsebene für das dezentrale Management operationeller Risiken einsetzen. Weitere 5% planen entsprechende Projekte zur Implementierung dezentraler OR-Managementstrukturen. Nur 15% der befragten Institute haben kein Personal für den OR-Managementprozess auf Bereichs-/ Abteilungsebene bereitgestellt. Das Ergebnis zeigt, dass der OR-Managementprozess nicht nur zentral gesteuert wird, sondern dass entsprechendes OR-Personal dezentral in den Bereichen bzw. Abteilungen für die unternehmenseinheitliche Umsetzung der Aktivitäten sorgen muss. Wie viele Mitarbeiter-Kapazitäten sind in den Abteilungen dezentral für OR in den nächsten drei bis fünf Jahren geplant (gesamt)? Wie aus Abbildung 15 ersichtlich wird, zielen 50% der Banken, die operationelle Risiken 16 Abb. 16: Hauptaufgaben des dezentralen OR-Managements Sammlung von Daten und Informationen Anwendung von OR-Methoden in den Abteilungen (z.b. Self / Risk Assessment) Beratung bei der Durchführung risikomindernder Maßnahmen in den Abteilungen Erstellung von Abteilungs-/Bereichsreports Schulung von Mitarbeitern im Thema OR Bewertung von Kosten und Erträgen des OR-Managements Erstellung von bankweiten (Vorstands-) Reports Sonstige bereits dezentral steuern, auf eine Ausweitung ihrer Mitarbeiterkapazitäten. Rund 78% dieser Institute beabsichtigen sogar, ihre Kapazitäten um mehr als 50% aufzustocken. In Peer Group 4 liegt der Anteil derer, die in den nächsten drei bis fünf Jahren ihre dezentralen OR- Managementkapazitäten ausweiten wollen, immerhin bei 63%. Dies deutet an, dass sich gerade bei kleineren Instituten das Management operationeller Risiken noch im Anfangsstadium befindet und dementsprechend weitere MAK aufgebaut werden müssen. Insgesamt beabsichtigen, nur 27% der Banken auf diesem Gebiet nicht zu expandieren. Diese Entwicklung trägt sicherlich der ab 2007 in Kraft tretenden Eigenkapitalvereinbarung des Baseler Ausschusses und den darin geforderten qualitativen Voraussetzungen für ein Risikomanagementsystem Rechnung, die nur mit entsprechendem Ausbau von OR-Ressourcen zu erfüllen sind. Die Zusammenarbeit des OR- Managements auf Abteilungsebene mit der zentralen OR-Controllingeinheit bedarf eines funktionierenden Schnittstellenmanagements. Abb. 15: Geplanter Ausbau der MAK im dezentralen OR-Management 100% 80% 60% 40% 20% (nächste 3-5 Jahre) Ja Nein Unklar = Peer Group 1 = Peer Group 2 = Peer Group 3 = Peer Group 4 = Gesamt 23 (Mehrfachantworten waren möglich) 10% 20% 30% 40% 50% 60% 70% 80% 90% 100% Dazu haben 64% der an der Umfrage beteiligten Banken mit dezentralem OR-Management die Funktion eines OR-Beauftragten geschaffen oder geplant. Der OR-Beauftragte fungiert als zentraler Ansprechpartner für die Abteilungs- / Bereichsmitarbeiter und für die zentrale OR- Controllingeinheit. Welche Aufgaben nehmen das OR-Personal in den Abteilungen bzw. der OR-Beauftragte wahr? Abbildung 16 verdeutlicht die Hauptaufgaben eines dezentralen OR-Managements. Dabei wird deutlich, dass das dezentrale OR-Personal vorwiegend die Aufgabe hat, OR-relevante Daten und Informationen zu sammeln und die in der zentralen OR-Controllingeinheit ausgearbeiteten OR-Methoden, wie zum Beispiel das Self Assessment, auf Abteilungs- bzw. Bereichsebene umzusetzen. Auch eine beratende Tätigkeit bei der Durchführung der auf die Identifikation von OR-sensitiven Bereichen folgenden risikomindernden Maßnahmen sehen gut 55% der Banken mit dezentraler OR-Managementstruktur als eine der Kompetenzen des OR-Personals. Im Rahmen des Reportings der Ergebnisse aus dem dezentralen OR-Management melden 64% aller Institute die erhobenen Daten mittels Abteilungs-/ Bereichsreports an die Abteilungs-/ Bereichsleitung. Des Weiteren melden fast 76% der Banken, die sowohl dezentrales als auch zentrales OR-Controlling etabliert haben, ihre dezentral erhobenen OR-Daten an die zentrale OR-Controllingeinheit (OR-Controlling und/oder HoOR und/oder Leiter Risikocontrolling). Bemerkenswert ist, dass nur gut 48% der Institute,

17 3.3 Organisation und Prozesse beim Management operationeller Risiken Operationelle Risiken bei Kreditinstituten die oben erwähnter Gruppe angehören, sowohl an die Abteilungs-/ Bereichsleitung als auch an die zentrale OR-Controllingeinheit melden. Welche weiteren Einheiten des Unternehmens werden in den OR-Managementprozess mit einbezogen? Neben den bereits angesprochenen OR-Einheiten sind oftmals weitere Gremien in den OR- Managementprozess eingebunden. 45% aller befragten Banken haben oder planen derartige Einheiten. Überwiegend handelt es sich dabei entweder um allgemeine Risikokomitees, die sich mit mehreren Risikoarten befassen, oder aber um spezielle OR-Komitees, deren Aufgabenspektrum von beratenden und unterstützenden Tätigkeiten bis zur Übernahme der Aufgaben einer zentralen OR-Controllingeinheit reicht. Meist fungiert das OR-Komitee jedoch als Lenkungsausschuss, der zentrale Punkte des OR-Managementprozesses vorantreibt und ein unternehmensweit einheitliches Vorgehen sicherstellen soll. Überdies beziehen die Studienteilnehmer weitere Einheiten im Unternehmen in den OR- Managementprozess mit ein (vgl. Abb. 17). Von allen befragten Banken involvieren nur zwei Institute keine weiteren Unternehmenseinheiten in diesen Prozess. Am häufigsten werden die Kenntnisse der Revision (90,9%), Rechtsabteilung (72,7%) und IT-Abteilung (69,1%) in diesem Zusammenhang genutzt. Das Ergebnis dürfte kaum überraschen, da die Auditfunktion zentrale Bedeutung bei der Überprüfung des Risikomanagementprozesses hat, Definitionen und Auswirkungen operationeller Risiken stark rechtlich getrieben sind sowie Instrumente und Methoden des operationellen Risikomanagements mit Hilfe der entsprechenden Umsetzung in IT-Strukturen angewandt werden. Meist haben diese Einheiten ausschließlich beratende oder unterstützende Funktionen. Welche Rolle spielt die Revision im OR-Managementprozess? Aus Abbildung 18 ist ersichtlich, wie die Studienteilnehmer auf einer Skala von 1 (unabhängiges Prüfungsorgan) bis 5 (Revision übernimmt den OR-Managementprozess) die Funktion der Revision in ihrem Haus einordnen. In 83% aller Abb. 17: Weitere in den OR-Managementprozess einbezogene Einheiten Revision Rechtsabteilung IT-Abteilung Organisationsabteilung Personalabteilung Sonstige Betriebsrat 15 Standardabweichung = 0, Mehrfachantworten waren möglich. 17 Mehrfachantworten waren möglich. (Mehrfachantworten waren möglich) 20% 40% 60% 80% 100% Fälle wird der Revision eine eher prüfende Funktion zugebilligt, das heißt, die Rolle der Revision wird mit 1 oder 2 bewertet. Im Mittel liegt die Bewertung bei 1,81 15, was die These bestätigt, dass auch der Revision tendenziell eher beratende oder bestenfalls unterstützende Aufgaben im OR-Managementprozess zukommen. Die Aufschlüsselung nach Peer Groups zeigt, dass eine aktivere Rolle der Revision (Bewertung 3 oder 4) nur bei Instituten aus Peer Group 3 oder 4 anzutreffen ist. Abb. 18: Rolle der Revision im OR-Managementprozess 100% 80% Diese Ergebnisse sind ein weiteres Indiz dafür, dass die organisatorische Umsetzung des OR- Managementprozesses in größeren Instituten tendenziell weiter entwickelt ist, so dass sich bei diesen Instituten die Revision vollständig auf ihre originäre Prüfungsaufgabe konzentrieren kann. Eine große Bedeutung für die Etablierung und das Leben einer Risikokultur seitens der Mitarbeiter hat die Informationspolitik über OR im Unternehmen. 90% aller befragten Banken sind sich darüber einig, dass ein aktiver Einbezug des Personals durch entsprechende Informationspolitik Mitarbeiter feinfühliger in Bezug auf operationelle Risiken machen kann. Zentrale Maßnahmen sind die Durchführung von OR- Workshops (57,4%), die Information der Mitarbeiter durch Vorgesetzte (53,7%) sowie regelmäßige Informationen über das Thema OR mittels Infobriefen oder (48,1%) 16. Dabei fungiert das OR-Personal auf Abteilungs-/Bereichsebene oftmals als Multiplikator. Nach Identifikation OR-sensitiver Bereiche müssen geeignete Maßnahmen zur Risikominderung umgesetzt werden. Über 90% der befragten Institute sehen die Entscheidungskompetenz hierfür bei Vorstand bzw. Geschäftsführung % der Studienteilnehmer sehen in dieser Hinsicht die Abteilungs- bzw. Bereichsleitung als Entscheidungsträger. Fast 68% der Banken legen die Entscheidungsbefugnis für risikomindernde Maßnahmen in die Hand beider Leitungsorgane. Sofern Studienteilnehmer ein Gremium (zum Beispiel Risiko- oder OR-Komitee) in den OR-Managementprozess einbeziehen, hat dieses Gremium bei 61,1% der Institute die Kompetenz, über risikomindernde Maßnahmen zu entscheiden. Eine risikomindernde Handlungsmöglichkeit, die zudem unter bestimmten Voraussetzungen 60% 63 40% % (Prüfungsorgan) (OR-Management) = Peer Group 1 = Peer Group 2 = Peer Group 3 = Peer Group 4 = Gesamt 17

18 Operationelle Risiken bei Kreditinstituten 3.4 Methoden zur Identifikation und Messung operationeller Risiken Abb. 19: Durchschnittliche Bedeutung einer integrierten Steuerung Gesamt Verwendung ja oder geplant Verwendung nein Peer Group 1 Peer Group 2 Peer Group 3 Peer Group 4 zu einer verminderten Eigenkapitalunterlegung führen kann, stellt das Überwälzen von operationellen Risiken auf Versicherungen dar. Bereits 58% der Studienteilnehmer beziehen Versicherungen für den Transfer operationeller Risiken in den OR-Managementprozess ein oder planen einen entsprechenden Einbezug. Nur rund 16% der Institute nutzen keine Versicherungen für den Transfer operationeller Risiken. Verwenden Sie die Ergebnisse aus dem OR-Managementprozess zur integrierten risikoadjustierten Steuerung? Ein weiterführender Schritt im Management operationeller Risiken ist die Verwendung der Ergebnisse aus dem OR-Controlling zur integrierten risikoadjustierten Steuerung, das heißt zur internen Eigenkapitalallokation u. a. in Verbindung mit Markt- und Kreditrisiken. Bisher verwenden nur wenige Institute (13,6%) Ergebnisse aus ihrem OR-Managementprozess zur internen Eigenkapitalallokation. Abbildung 19 illustriert jedoch, dass die Studienteilnehmer trotz des niedrigen Nutzungsgrades der Verwendung von OR-Daten zur integrierten risikoadjustierten Steuerung durchschnittlich diesen eine mittlere Bedeutung beimessen. Institute, die OR-Daten zur integrierten Steuerung verwenden, erachten diese tendenziell für dringender. 18 Jedoch messen selbst Institute, 2,884 3,164 3,334 3,294 3,454 3,634 3,754 1,0 2,0 3,0 4,0 Bewertung auf einer Skala von 1 (keine Bedeutung) bis 4 (hohe Bedeutung). die keine Verwendung planen, dem Einbezug von OR-Daten durchschnittlich eine mittlere Bedeutung bei. In diesem Zusammenhang ist auch der Bedeutungsgrad in den einzelnen Peer Groups von Interesse. In Peer Group 1, in der 75% der Institute OR-Daten zur risikoadjustierten Steuerung heranziehen, liegt der durchschnittliche Bedeutungsgrad deutlich über dem Mittel aller Studienteilnehmer und dem Mittel der übrigen Peer Groups. Zusammenfassend kann festgestellt werden, dass größere Institute OR-Daten zur internen Eigenkapitalallokation heranziehen und dies tendenziell für dringender erachten. Dies wird durch die entsprechenden Korrelationen untermauert. 19 Der Zusammenhang überrascht nicht, da diese Institute tendenziell fortgeschrittener in der Quantifizierung operationeller Risiken sind, 20 was eine notwendige Bedingung für den Einbezug der OR-Ergebnisse in die interne Eigenkapitalallokation darstellt. 3.4 Methoden zur Identifikation und Messung operationeller Risiken Überblick über verwendete Methoden Welche OR-Managementmethoden kommen in Ihrem Unternehmen zum Einsatz? Zur Identifikation und Messung operationeller Risiken wurden und werden seitens Theorie und Praxis verschiedene qualitative und quantitative Ansätze entwickelt. Abbildung 20 verschafft einen Überblick über den Verwendungsgrad der in der Studie abgefragten OR- Managementmethoden. 21 Die Darstellung zeigt, welche Methoden sich bereits zum heutigen Zeitpunkt als Best Practice 22 identifizieren lassen bzw. welche Ansätze sich auf dem Weg zu einem Standardverfahren befinden. Am häufigsten verwenden die befragten Banken das Self / Risk Assessment (48%) und die Schadensfalldatenbank (43%) im Rahmen ihres OR- Managementprozesses. Zudem gewinnen diese Verfahren weiterhin an Bedeutung: Unter den Studienteilnehmern planen weitere rund 33%, eine Schadensfalldatenbank und weitere 30%, ein Self Assessment in nächster Zeit zu implementieren. Eine Methode, die bisher weniger verbreitet ist und aufgrund des hohen Planungsgrades jedoch mehr und mehr an Bedeutung gewinnen wird, sind Risikoindikatoren. Bisher von nur 18% der befragten Institute genutzt, planen fast 42% dieses Instrument zur Risikoidentifikation in ihrem OR-Managementprozess zukünftig einzusetzen. Dagegen sind Methoden wie Risikolandkarte, Szenarioanalysen oder sonstige Ansätze 23 Verfahren, die nur von einer Minderheit der Banken eingesetzt oder geplant werden. Abb. 20: Verwendungsgrad einzelner OR-Managementmethoden Self Assessment Schadensfalldatenbank Risikolandkarte Spearman-Rho = 0,449. Die Korrelation ist auf 99%-Niveau signifikant. 19 Korrelation Verwendung von OR-Daten zur internen Eigenkapitalallokation und Bilanzsumme: Spearman-Rho = 0,335 auf 95%-Niveau signifikant. Korrelation Bedeutungsgrad und Bilanzsumme: Spearman-Rho = 0,300 auf 95%-Niveau signifikant. 20 Vgl. dazu das folgende Kapitel. 21 Für genauere Erläuterungen zu den einzelnen Methoden siehe Kap In diesem Zusammenhang werden als best practice Methoden bezeichnet, die der Mehrheit der befragten Institute als zentrale Verfahren zur Identifizierung und Messung operationeller Risiken dienen. 23 Sonstige Ansätze bzw. sonstige Methoden wurden, sofern sie im Fragebogen als verwendet oder geplant angegeben wurden, von der Mehrheit der Banken nicht näher spezifiziert. Risikoindikatoren Quantitative Methoden Szenarioanalyse Sonstige Methoden % 40% 60% 80% 100% = ja = geplant = nein = Entscheidung offen 18

19 3.4 Methoden zur Identifikation und Messung operationeller Risiken Operationelle Risiken bei Kreditinstituten Auch quantitative Methoden wenden die Studienteilnehmer seltener an: Nur wenig mehr als ein Drittel der Institute verwendet oder plant diesen Ansatz. Allerdings hält sich noch ein relativ großer Teil der Banken die Entscheidung bezüglich einer Verwendung dieser Verfahren offen. Betrachtet man die verwendeten und geplanten Verfahren, segmentiert nach den vier Peer Groups, so ergibt sich ein differenzierteres Bild. Abbildung 21 zeigt, dass der aggregierte Verwendungs- und Planungsgrad 24 der meisten Methoden mit der Bilanzsumme der Institute positiv korreliert. So werden quantitative Methoden signifikant häufiger genutzt, je größer (gemessen an der Bilanzsumme) das Institut ist. 25 Nicht überraschen dürfte auch die Erkenntnis, dass einerseits ein signifikant positiver Zusammenhang zwischen der Verwendung einer Schadensfalldatenbank und der Verwendung quantitativer Methoden existiert 26 und andererseits der Einsatz einer Schadensfalldatenbank mit der Größe einer Bank positiv korreliert. 27 So unterstreichen die Ergebnisse die These, dass größere Banken tendenziell fortgeschrittenere Strukturen beim Management operationeller Risiken nutzen und daher auch komplexere, quantitative Methoden verwenden, die zudem die Existenz einer Schadensfalldatenbank voraussetzen. Auch die Verwendung von Risikoindikatoren 28 und Szenarioanalyse 29, ebenfalls eher komplexere Methoden, korreliert signifikant positiv mit der Bilanzsumme. Bemerkenswert ist jedoch das Ergebnis, dass ein signifikant positiver Zusammenhang zwischen der Anwendung des Self Assessments und der Bilanzsumme besteht 30. Da diese Methode je nach Ausgestaltung ein relativ einfach zu handhabendes Verfahren sein kann, würde sich eine intensivere Verwendung gerade bei kleineren Banken anbieten. Für fast alle Studienteilnehmer gilt die Feststellung, dass eine Validierung (Backtesting) angewandter Verfahren, das heißt zum Beispiel beim Self Assessment der Vergleich der Ergebnisse mit tatsächlich eingetretenen Schadensfällen, noch kaum betrieben wird. Nur 5 Studienteilnehmer führen ein Backtesting durch, weitere 21 planen eine Anwendung. Da eine Validierung erst nach einem gewissen Entwicklungsstand der angewandten Methode sinnvoll ist, verwundert es nicht, dass größere Institute auch auf diesem Feld tendenziell weiter fortgeschritten sind. 31 Abb. 21: Verwendete und geplante OR-Managementmethoden klassifiziert nach Peer Groups 100% 80% 60% 40% 20% Peer Group 1 Peer Group 2 Peer Group 3 Peer Group 4 = RL 37,5 35,7 25,0 42,3 = SA 100,0 100,0 75,0 61,5 = RI 100,0 71,4 41,6 50,0 = SFDB 100,0 92,8 83,3 57,7 = SzA 87,5 14,2 8,3 11,5 = QM 75,0 50,0 45,5 19,2 = SM 37,5 0,0 8,3 7,6 RL=Risikolandkarte SA=Self Assessment RI=Risikoindikatoren SFDB=Schadensfalldatenbank SzA=Szenarioanalyse QM=Quantitative Methoden SM=Sonstige Methoden Zusammenfassend lassen sich aus Abbildung 21 folgende Aussagen ableiten: Banken aus Peer Group1 greifen mehrheitlich auf ein ausgefeilteres System von mehreren OR-Managementmethoden zurück und tendieren dazu, auch komplexere Methoden einzusetzen. In dieser Gruppe kann man das Self Assessment, die Verwendung von Risikoindikatoren und Szenarioanalyse, die Implementierung einer Schadensfalldatenbank und die Nutzung quantitativer Methoden als Best Practice bezeichnen. Banken aus Peer Group 2 verwenden oder planen alle das Self Assessment und verwenden häufig Risikoindikatoren. Auch eine Schadensfalldatenbank wird bei fast allen Instituten dieser Gruppe verwendet oder geplant. Quantitative Methoden hingegen haben nur bei der Hälfte dieser Gruppe Bedeutung. Auch in Banken aus Peer Group 3 kann die Verwendung oder Planung eines Self Assessments und einer Schadensfalldatenbank als Best Practice bezeichnet werden. Risikoindikatoren und quantitative Methoden verlieren im Vergleich zu Peer Group 1 und 2 an Bedeutung. In Banken aus Peer Group 4 kann nur noch das Self Assessment und die Schadensfalldatenbank zu den Best Practice-Methoden gezählt werden. Alle anderen Verfahren sind vergleichsweise unbedeutend. Peer Group-übergreifend zeigt sich, dass die Risikolandkarte und sonstige Methoden relativ wenig Bedeutung haben. Die Szenarioanalyse, die in Peer Group 1 als Best Practice- Methode angesehen werden kann, verliert in den übrigen Peer Groups völlig an Bedeutung. Obige Ausführungen bestätigen erneut die Hypothese, dass der Entwicklungsgrad des OR-Controllings mit der Größe der Bank steigt. Dies dürfte nicht nur auf aufsichtsrechtliche Vorgaben, welche die fortgeschrittenen OR- Methoden und daher hauptsächlich größere Banken betreffen, sondern auch der Tatsache entsprechen, dass sich kleinere Banken bisher tendenziell weniger mit dem Thema operationelle Risiken beschäftigt haben. Im folgenden Kapitel soll nun auf die konkrete Ausgestaltung der einzelnen Instrumente eingegangen werden. Methodenübergreifende Ergebnisse wie Reportingstrukturen, technische Lösungen der einzelnen Instrumente und Zufriedenheit, Akzeptanz und Bedeutung werden in den darauf folgenden Kapiteln erörtert. 24 Im Folgenden werden die Antworten ja und geplant zu einer Gruppe aggregiert. 25 Spearman-Rho = 0,345. Die Korrelation ist auf 99%-Niveau signifikant. 26 Spearman-Rho = 0,435. Die Korrelation ist auf 99%-Niveau signifikant. 27 Spearman-Rho = 0,341. Die Korrelation ist auf 99%-Niveau signifikant. 28 Spearman-Rho = 0,326. Die Korrelation ist auf 99%-Niveau signifikant. 29 Spearman-Rho = 0,398. Die Korrelation ist auf 99%-Niveau signifikant. 30 Spearman-Rho = 0,405. Die Korrelation ist auf 99%-Niveau signifikant. 31 Spearman-Rho = 0,284. Die Korrelation ist auf 95%-Niveau signifikant. 19

20 Operationelle Risiken bei Kreditinstituten 3.4 Methoden zur Identifikation und Messung operationeller Risiken Ausgestaltung ausgewählter Methoden in der Praxis Risikolandkarte 20% der Studienteilnehmer setzen zur Identifikation operationeller Risiken eine Risikolandkarte ein. Die Risikolandkarte ist ein relativ einfaches Modell, das eine erste Übersicht über die im Institut vorliegenden operationellen Risiken bietet. Dabei werden die operationellen Risiken des Unternehmens typischerweise in einem Top Down-Ansatz grob identifiziert und bewertet. Die Ergebnisse können dann in einer grafischen Darstellung (Landkarte) für das gesamte Unternehmen zusammengefasst werden. Abb. 23: Verwendete/geplante Arten an Self Assessments 7,2% 26,2% 7,2% = nur fachbereichspezifisch = fachbereich-/prozessspezifisch = generisch/fachbereichspezifisch = generisch/fachbereich-/prozessspezifisch 59,4% 35,6% 2,4% 4,8% 7,1% 9,5% = nur generisch (35,6%) = nur prozessspezifisch (9,5%) = generisch/prozessspezifisch (7,1%) = generisch/ fachbereich-/prozessspezifisch (4,8%) = sonstige (2,4%) Wie häufig werden Daten anhand der Methode Risikolandkarte erhoben? Die Datenerhebung anhand einer Risikolandkarte kann in verschiedenen zeitlichen Abständen erfolgen. Abbildung 22 zeigt, dass über 43% der Institute, die eine Risikolandkarte nutzen oder planen, die Daten jährlich erheben. Allerdings hat sich ein Großteil der Studienteilnehmer (30,4%) noch nicht auf eine konkrete Erhebungsfrequenz festgelegt. Vier der befragten Banken erheben Daten anhand der Risikolandkarte unter anderem kontinuierlich oder aber in zweijährigem Abstand ( sonstige Frequenz ). Eine halbjährliche Datenerhebung wird in keinem der befragten Institute durchgeführt. Abb. 22: Datenerhebungsfrequenz mit Hilfe einer Risikolandkarte 30,4% 17,4% 8,7% = quartalsweise = jährlich = sonstige Frequenz = Frequenz noch offen 43,5% 32 Mehrfachantworten waren möglich. 33 Bei 13% war die konkrete Datenerhebungstechnik noch offen. 34 Im Folgenden waren Mehrfachantworten möglich. 35 Ohne die Studienteilnehmer, die ein Self Assessment einsetzen oder planen, dessen Ausgestaltung aber noch offen ist. 36 Mehrfachantworten waren möglich. 20 Bei Auswertung der Frage, wie die Studienteilnehmer Informationen mit Hilfe einer Risikolandkarte erheben, kristallisierte sich die Durchführung von Risikoworkshops als die maßgebliche Vorgehensweise heraus. 32 Gut 52% der Studienteilnehmer 33, die eine Risikolandkarte einsetzen oder dies planen, nutzen Risikoworkshops. Je rund 41% aus dieser Gruppe führen Risikoworkshops allein bzw. in Kombination mit Fragebögen und Einzelgesprächen in den Abteilungen/ Geschäftseinheiten durch. Unter Beteiligung unterschiedlicher Hierarchiestufen und Ausnutzung gruppendynamischer Prozesse werden mit Hilfe derartiger Workshops im Unternehmen bestehende operationelle Risiken identifiziert. Die personelle Zusammensetzung innerhalb der Workshops variiert von Bank zu Bank % der Banken beziehen den Head of Operational Risk in Risikoworkshops ein, sofern diese Position in ihrem Unternehmen auch installiert wurde. 70% der Institute mit einer OR-Controllingabteilung beziehen Vertreter dieser Einheit mit ein. Ebenso nehmen mehrheitlich Abteilungs-/ Bereichsleitungen (75%) und Zentralabteilungen wie die Personal- oder Rechtsabteilung (67%) an Risikoworkshops teil. Überraschend ist, dass nur die Hälfte der Studienteilnehmer, die Risikoworkshops im Rahmen einer Risikolandkarte durchführen, die Mitarbeiter der Bereiche bzw. der Fachabteilungen oder die Revision in die Workshops einbeziehen Self/Risk Assessment Das Self oder Risk Assessment ist eine Selbsteinschätzung in Bezug auf bestehende operationelle Risiken und dient zu deren Identifikation und Bewertung. Self Assessments werden von den Abteilungen bzw. Geschäftsbereichen selbst durchgeführt. Unterstützend wird häufig auch die zentrale OR-Controllingeinheit (z. B. OR- Beauftragte) mit einbezogen. Auf welche Art wird das Self/Risk Assessment durchgeführt? Das Self Assessment kann sehr verschiedene Formen annehmen. Das generische Self Assessment deckt alle Bereiche des Instituts mit einem standardisierten übergreifenden Fragebogen ab. Der Umfang der Checkliste ist meist geringer als beim fachbereichs- oder prozessspezifischen Self Assessment. Letztere gehen spezifisch auf die operationellen Risiken der Bereiche oder Abteilungen ein. Abbildung 23 zeigt, dass das generische Self Assessment unter den Studienteilnehmern dominiert. Gut 59% der Studienteilnehmer, die ein Self Assessment durchführen oder planen 35, verwenden diese Art entweder allein oder in Kombination mit der fachbereichsspezifischen bzw. prozessspezifischen Variante. Das fachbereichsspezifische Self Assessment wird von der Hälfte der Institute allein oder in Kombination angewandt. Analog zur Risikolandkarte werden Informationen aus dem Self Assessment auf unterschiedliche Weise generiert. Studienteilnehmer, die ein Self Assessment nutzen oder dies planen und bereits konkrete Angaben darüber machen können, erheben Daten im Rahmen dieser Methode hauptsächlich über Fragebögen oder in Kombination mit Einzelgesprächen und/oder Risikoworkshops. 36