Die Brüder & Schwestern des OpRisk

Transkript

1 Die Brüder & Schwestern des OpRisk Nutzung potentieller Synergien zwischen den jeweiligen Ebenen des Risikomanagements aus aufsichtlicher Perspektive

2 Ausschlussklausel Die hier geäußerten Ansichten stellen nicht zwangsläufig die Meinung der BaFin dar, sondern sind lediglich als private Aussagen von Michael Schöppe anzusehen.

3 The most important thing that hasn t been emphasised enough is that OpRisk must be fully integrated. It s not a seperate risk category it s everywhere Mitsutoshi Adachi, Bank of Japan, regulator of the year 2012 in Operational Risk and Regulation

4 Gliederung Grundlagen Operationelles Risiko (OpRisk) aktuell und im historischen Kontext Einordnung des OpRisk in die Risikolandschaft von Instituten Anforderungen an das OpRisk-Management lt. MaRisk Anforderungen an das OpRisk-Management lt. SolvV Bestehende (Risiko)-Prozesse und mögliche Synergien mit dem OpRisk Compliance & Rechtsrisiko Business Resiliency & Continuity IT- & Outsourcing-Risiken New Product Process Reputationsrisiko Strategisches & Geschäftsrisiko potent. OpRisk- Relevanz

5 Grundlagen

6 Gliederung Operationelles Risiko (OpRisk) aktuell und im historischen Kontext

7 OpRisk aktuell und im historischen Kontext Historisch: Negativdefinition des OpRisk als : Alle Risiken, welche nicht Markt-, Kredit-, Liquiditäts-, Rechtsrisiko darstellen Reputations- & Geschäftsrisiko + andere Risiken Teil des OpRisk Aktuell: Nach 269 (1) SolvV Positivdefinition des OpRisk als: Gefahr von Verlusten, die infolge der Unangemessenheit oder des Versagens von Internen Verfahren und Systemen, Menschen oder infolge externer Ereignisse eintreten. Diese Definition schließt das Rechtsrisiko ein.

8 Gliederung Einordnung des OpRisk in die Risikolandschaft von Instituten

9 Einordnung des Operationellen Risikos in die Risikolandschaft von Instituten Institutsumwelt Liquiditätsrisiko Kreditrisiko OpRisk tritt selten allein auf Compliance & Rechtsrisiko Operationelles Risiko Reputations- Risiko Marktrisiko Out- Sourcing & IT- Risiko Strategisches & Geschäfts Risiko

10 Einordnung des Operationellen Risikos in die Risikolandschaft von Instituten Abgrenzung zu anderen Risikoarten schwierig Marktrisiko: z.b. Verluste aus Eigenhandel Ursache? (Limitüberschreitung oder Modellierungsfehler? OpR) Kreditrisiko: Kreditausfall oder Bearbeitungsfehler? Compliance und Rechtsrisiko: z.b. Insiderhandel Reputationsrisiko: z.b. Leo Kirch bzw. Peanuts Outsourcing-Risiko: z.b. Insolvenz eines Servicedienstleisters Risiken treten meist gemeinsam mit anderen Risiken auf Frage: In welchem Maße soll OpRisk mit anderen Risikomanagementbereichen zusammenarbeiten? Machen strikte Trennungen überhaupt Sinn?

11 Gliederung Anforderungen an das OpRisk-Management lt. MaRisk

12 Anforderungen an das OpRisk-Management lt. MaRisk AT 4: Allg. Anforderungen an das Risikomanagementsystem (Risikotragfähigkeit, IKS und hier insb. der Risikocontrollingprozess, Interne Revision) AT 5: Organisationsrichtlinien AT 7.2: technisch-organisatorische Ausstattung AT 7.3: Notfallkonzept AT 8: Neue Produkte & Neue Märkte (NPP) AT 9: Outsourcing BT 1: besondere Anforderungen an das IKS (BTO [Kredit & Handel] & BTR [Adress-, Markt-, Liquiditäts-, Op-Risiken]) BT 2: Interne Revision

13 Gliederung Anforderungen an das OpRisk-Management lt. SolvV

14 Anforderungen an das OpRisk-Management lt. SolvV Basisindikator = MaRisk Standardansatz: zusätzlich zu den Anforderungen der MaRisk müssen die Anforderungen des 276 SolvV erfüllt werden: Muss OpRisk-Controlling betreiben und relevante Daten zu OpRisk sammeln; Interne Revision muss dies prüfen Ergebnisse des OpRisk-Controlling müssen genutzt werden OpRisk muss in Risikomanagementprozess eingebunden sein Angemessenes Berichtswesen und klare Verantwortungs- und Entscheidungsstrukturen

15 Anforderungen an das OpRisk-Management lt. SolvV zusätzliche Anforderungen an das qualitative OpRisk-Management bei AMA-Instituten 279, 280 SolvV: eigene und unabhängige OpRisk-Einheit mit eigenem Risikomanagementsystem, Rahmenwerk und adäquater Ressourcenausstattung 281, 282, 283 SolvV: Integration, Dokumentation, Einhaltung und Prüfung des OpRisk-Managementsystems

16 Bestehende (Risiko)-Prozesse und mögliche Synergien mit dem OpRisk

17 Gliederung Compliance & Rechtsrisiko

18 Rechtsrisiko Rechtsrisiko ist das Risiko wirtschaftliche Nachteile durch das Nichteinhalten oder sich ändernder rechtlicher Vorschriften zu erhalten. Potentielle Ursachen von Rechtsrisiken: Systeme (Z.B. fehlerhafte Produkte Schadenersatz) interne Verfahren/Prozesse (z.b. kein 4-Augen-Prinzip) Menschen (z.b. Rogue Trading) externe Ereignisse (Rechtsänderung - z.b. Rechtssprechung bei Schrottimmobilien) entstehen! Rechtsabteilung und OpRisk-Abteilung = natürliche Partner viele OpRisk-Event auch Rechtsfallevent und umgekehrt

19 Compliance Compliance im weiteren Sinne subsummiert alle Handlungen zur Vermeidung von Rechts- und internen Regelverstößen: Geldwäsche, Terrorfinanzierung usw. Insiderhandel ( 31 WpHG & MaComp der BaFin) Korruption (Bestechung und Bestechlichkeit) und sonstige Wirtschaftskriminalität Compliance im engeren Sinne beinhaltet zudem ethische Komponenten (vgl. ERGO-Versicherung) Compliance-Event im weiteren Sinne stellt ein Versagen einer Organisation, Systems oder von Menschen dar und hat somit einen engen Bezug zum OpRisk Compliance stark verlinkt zum Rechtsrisiko?

20 Compliance und Rechtsrisiko aus aufsichtlicher Perspektive Das OpRisiko deckt in weiten Teilen das Aufgabenspektrum von Compliance und Recht ab koordiniertes Management erstrebenswert. Hierzu folgende Anregungen: Gemeinsames Führen von Datenbanken (vgl. FG-Empfehlung, wonach gemeinsam geführte Datenbanken möglich.) Regelmäßige gemeinsame Workshops OpRisk könnte weitreichende Befugnisse im Bereich Compliance und Recht eingeräumt werden; besser noch dem OpRisk-Managementprozess angegliedert sein Wenn nicht, dann einen koordinierungsverantwortlichen Mitarbeiter Bei kleinen Basisindikatorinstituten ohne spezialisierte Abteilung Bündelung der Kompetenzen beim jeweiligen OpRisk-Verantwortlichen Potentielle Vorteile: Ideengeber für Szenarien & Szenarioanalysen Frühzeitiges Erkennen von Gefahren Erkenntnissynergien zur Steuerung ausnutzen (bes. zum Vermeiden und Mindern)

21 Gliederung Business Resiliency & Continuity

22 Business Resiliency & Continuity aus aufsichtlicher Perspektive Institute müssen jederzeit auf vorhersehbare und unvorhersehbare Notsituationen reagieren können MaRisk AT 7.3: Notfallkonzept zur Verhinderung/Reduktion von Schäden Notfallkonzept muss Geschäftsfortführungs- und Wiederanlaufpläne beinhalten Versagen bzw. Unangemessenheit bzw. externe Ereignisse sind ursächlich für Notfallevent stellt Teil von OpRisk-Steuerungsinstrumenten dar sollte mit dem OpRisk sehr eng kooperieren mögliche Vorteile: Bessere Notfallpläne, da OpRisk hier Kernkompetenzen ausspielen kann Ideengeber für Szenarien Abgestimmtes und besseres Risikomanagement

23 Gliederung IT- & Outsourcing-Risiken

24 IT- & Outsourcing-Risiken IT-Risiken (vgl. AT 7.2): IT-Prozesse & -Systeme müssen gängigen Sicherheitsstandards entsprechen (Eigenentwicklungen möglich) Outsourcing (vgl. AT 9): Theoretisch fast jeder Prozess kann outgesourct werden Institut muss veränderte Risikosituation analysieren und managen Institut muss jederzeit in der Lage sein, die outgesourcten Prozesse wieder einzugliedern

25 IT- & Outsourcing-Risiken aus aufsichtlicher Perspektive IT & Outsourcing-Prozesse haben nur bei Versagen direkt mit den operationellen Risiken zu tun Bei Ermittlung und Management potentieller Risiken hoher OpRisk-Bezug Enge Zusammenarbeit: Bei jedem Risikoevent sollte das OpRisk, auch unter dem Gesichtspunkt des Notfallkonzepts, mit einbezogen werden OpRisk beratend in die Entwicklung von Arbeitsprozessen Gemeinsame Workshops Potentielle Vorteile: Ideenaustausch Risikoawareness (z.b. nach Outsourcing) bleibt erhalten

26 Gliederung New Product Process

27 NPP Neuer Produkte Prozess aus aufsichtlicher Perspektive Mit der Einführung neuer Produkte (dem Betreten neuer Märkte) geht ein Institut aufgrund mangelnder Erfahrung bedeutende bzw. unbekannte Risiken ein MaRisk AT 8 Analyse des Risikogehalts neuer Produkte Wirkung auf das Gesamtrisikoprofil Nutzung erst nach erfolgreicher Testphase

28 NPP Neuer Produkte Prozess aus aufsichtlicher Perspektive Im NPP ist die Wahrscheinlichkeit eines Versagens bzw. die Unangemessenheit von Systemen bzw. Prozessen stark erhöht. Einbeziehung des OpRisk in den gesamten NPP wünschenswert OpRisk eher beratende Funktionen Im Bereich der Ermittlung und Beurteilung inhärenter operationeller Risiken Gestaltungsbefugnisse denkbar Mögliche Vorteile: OpRisk als Ideengeber zur Produktverbesserung und Schärfung des Risikobewusstseins Erkenntnisse des NPP können wiederrum Rückschlüsse auf Mängel bestehender Prozesse/Systeme liefern

29 Gliederung Reputationsrisiko

30 Reputationsrisiken Reputationsrisiko ist das Risiko (zukünftiger) wirtschaftlicher Nachteile aufgrund der Schädigung des guten Rufes. Dies kann geschehen durch: Rechtsverstöße (!) fragwürdiges moralisches Verhalten schlechte Presse Arbeitsbedingungen (!) Umwelt Kunden und Stakeholder

31 Reputationsrisiko aus aufsichtlicher Perspektive Viele Reputationsrisikoevents tangieren neben dem Rechts- auch das Op- Risiko, so dass eine Zusammenarbeit sinnvoll & wünschenswert ist Interne Richtlinien zu Reputationsrisikoevents, welche regeln, wann ein OpRisk-Verantwortlicher einbezogen werden muss/sollte/kann/nicht muss Regelmäßige gemeinsame Workshops Potentielle Vorteile: Ideengeber für Szenarioanalysen Frühzeitiges Erkennen potentieller OpRisk-Events (Bsp.: Kundenbeschwerden als Indikator) Aber: Nicht jedes Reputationsrisikoevent ist OpRisk-relevant (Beispiel Brent Spar) Zusammenarbeit sinnvoll gemeinsamer Managementprozess weniger sinnvoll

32 Gliederung Strategisches & Geschäftsrisiko

33 Strategisches Risiko & Geschäftsrisiko aus aufsichtlicher Perspektive Das strategische Risiko bzw. Geschäftsrisiko ist das Risiko langfristig Verluste aufgrund heutiger Fehleinschätzungen und darauf getroffener Entscheidungen zu erleiden. Beispiele: Kauf der Dresdner Bank durch Allianz Fusion Daimler mit Chrysler OpRisk ist bei der Beurteilung des Geschäftsrisikos falscher Ansprechpartner Aber: OpRisk von diesen Entscheidungen indirekt betroffen OpRisk kann zusätzliche Entscheidungsargumente liefern reger Austausch der Erfahrungen sinnvoll

34 Vielen Dank für Ihre Aufmerksamkeit Für Rückfragen: Michael Schöppe, BaFin, Referat BA 55, Frank Corleis, BaFin, Referat BA 55,