Neue Erwartungen an Ihr IKS Unser IKS-Fitness-Check minimiert Risiken und gibt Ihnen einen Überblick

Transkript

1 Neue Erwartungen an Ihr IKS Unser IKS-Fitness-Check minimiert Risiken und gibt Ihnen einen Überblick

2 Status quo verpasste Chancen durch ein ineffizientes internes Kontrollsystem Kreditinstitute sehen sich einer Flut an regulatorischen Anforderungen gegenüber. Jüngste Neuerungen wie die SREP-Richtlinie und der Konsultationsentwurf für eine MaRisk-Novelle 2016 zeigen, dass ein Ende vorerst nicht abzusehen ist. Hierbei waren und sind Kreditinstitute bestrebt, neue Anforderungen unter hohem Zeitdruck umzusetzen oftmals ohne die wechselseitigen Auswirkungen auf die Aufbau- und Ablauforganisation zu berücksichtigen. Nicht selten führt dies zu Ineffizienzen, welche auch die Abläufe im internen Kontrollsystem (IKS) der Kreditinstitute an die Grenzen der Belastbarkeit bringen. Häufig wird das einmal aufgesetzte IKS im Zeitablauf nicht weiterentwickelt und optimiert. Auch beobachten wir, dass einzelne Elemente eines IKS gemäß MaRisk eingeführt wurden, allerdings die Verzahnung der einzelnen Bestandteile fehlt und das IKS nicht adäquat in das Risikomanagement eingebettet wurde. Dadurch werden Chancen eines optimal aufgesetzten IKS verpasst, welches sich bspw. durch folgende Merkmale hervorhebt: Effiziente Steuerung von Risiken Reduktion von Schnittstellenrisiken und Schaffung von Synergien durch eine bereichs- und unternehmensübergreifende End-to-end-Prozessbetrachtung Qualitäts- und Effizienzsteigerung durch klar definierte Aufgaben, Kompetenzen und Verantwortlichkeiten Die SREP-Richtlinie rückt die Notwendigkeit einer Überprüfung und Weiterentwicklung des IKS erneut in den Fokus. Denn künftig werden die Kreditinstitute an einem gruppenweit konsistenten IKS gemessen. Mängel hierbei können zu zusätzlichen Kapitalanforderungen führen. Diese Änderungen treten sukzessive 2016 in Kraft und betreffen zunächst nur die direkt von der EZB beaufsichtigten G-SIBs. Es wird erwartet, dass die nationale Aufsicht diese Anforderungen jedoch auf alle Kreditinstitute ausweitet. Exkurs: SREP Beurteilung der internen Führungsstrukturen und des unternehmensweiten internen Kontrollsystems (IKS) Am 7. Juli 2014 veröffentlichte die European Banking Authority (EBA) ein Konsultationspapier für den regulatorischen Überprüfungs- und Bewertungsprozess (Supervisory Review and Evaluation Process, kurz: SREP). Das Konsultationspapier unterteilt den künftigen SREP in verschiedene Elemente: Neben der Kategorisierung der Institute und der Überwachung der Schlüsselindikatoren ist eine Analyse des jeweiligen Geschäftsmodells vorgesehen. Dazu kommen die Bewertung der internen Führungsstrukturen ( internal governance ) und der institutsinternen Kontrollen ( internal controls ) sowie der Risiken (Eigenkapitalausstattung, Liquiditätsausstattung). Weitere Elemente sind die Gesamtbewertung ( overall SREP assessment ) und die daraus folgenden Maßnahmen der Aufsichtsbehörden einschließlich eines frühzeitigen Eingreifens sowie die Kommunikations- und Berichtswege der Ergebnisse des durchgeführten Bewertungsprozesses. Hieraus ergibt sich für Kreditinstitute ein konkreter Handlungsbedarf. Neben turnusmäßigen Prüfungen der SREP-Elemente alle ein bis drei Jahre beabsichtigt die Aufsicht auch eine vierteljährliche Überwachung und Meldung der wesentlichen finanziellen und nicht-finanziellen Schlüsselindikatoren. Hiermit soll hauptsächlich untersucht werden, inwieweit die internen Führungsstrukturen und die umgesetzten unternehmensweiten Kontrollen zum Risikoprofil, zum Geschäftsmodell und auch hinsichtlich Größe und Komplexität zum Finanzinstitut passen und ob diese ausreichend ausgestaltet sind. 2

3 Nationale Aufsichtsbehörden sollen außerdem die Angemessenheit des Risikomanagementrahmens und der Risikomanagementprozesse beurteilen. Dies schließt die Überprüfung der grundsätzlichen Risikobereitschaft, des Internal Capital Adequacy Assessment Process (ICAAP) und des Internal Liquidity Adequacy Assessment Process (ILAAP) sowie Stresstests im Hinblick auf Zuverlässigkeit, Effektivität und Verständlichkeit ein. Was kommt für das IKS im Wesentlichen neu auf Sie zu? Ein top-down umgesetztes gesamthaftes Kontrollrahmenwerk Gruppenübergreifende Betrachtung von Risiken und Kontrollen Gruppenweit konsistente Kontrollen inklusive Dokumentation Abb. 1 Anforderungen an die internen Führungsstrukturen ( internal governance ) und institutsinternen Kontrollen ( internal controls ) SREP (Supervisory Review and Evaluation Process) Beurteilung der internen Führungsstrukturen und des unternehmensweiten IKS 91 Abs. 2 AktG: Überwachungssystem zur frühzeitigen Erkennung einer gefährdenden Entwicklung für das Unternehmen 315 Abs. 2 Nr. 5 HGB: Beschreibung wesentlicher Merkmale des IKS und des Risikomanagementsystems bezüglich des Konzernrechnungslegungsprozesses 25c Abs. 4a i.v.m. 25a Abs. 1 KWG: Geschäftsleiterverantwortung zu internen Kontrollen i.v.m. wesentlichen Elementen eines IKS für Kredit- und Finanzdienstleistungsinstitute Interne Führungsstrukturen & IKS GoBD: Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff MaRisk AT 4.3: Vorgaben zum internen Kontrollsystem Solvency-II-Richtlinie: Forderung in Artikel 46 nach einem internen Kontrollsystem Was kommt neu hinzu? (1) Top-down-Herangehensweise des Kontrollrahmenwerks (2) Gruppenübergreifende Betrachtung von Risiken und Kontrollen (3) Gruppenweit konsistente Kontrollen inkl. Dokumentation 3

4 Die neue Herausforderung bei Kreditinstituten liegt zum einen in der Umsetzung der Anforderungen der einzelnen Bestandteile, aber auch insbesondere in der Verzahnung der einzelnen Elemente top-down getrieben sowie in der Darstellung, wie diese instituts- und gruppenweit zusammenspielen. Wir empfehlen daher eine zeitnahe Bestandsaufnahme und ein Adressieren des möglichen Anpassungsbedarfs. Hierfür bieten wir Ihnen einen Fitness-Check an, damit Sie zügig die wesentlichen Handlungsfelder identifizieren können. Herausforderungen begegnen wir unterstützen Sie bei Aufbau und Optimierung eines konsistenten und effizienten IKS im Rahmen eines Fitness-Checks Wir helfen Ihnen, Ihr IKS effizient, konsistent und risikoorientiert aufzustellen. Sie können zum einen Chancen aus einer effizienten Risikosteuerung ziehen und sind damit zum anderen den zukünftigen regulatorischen Anforderungen, wie bspw. der Implementierung von BCBS 239, IFRS 9 und insbesondere SREP, gewachsen. Mit unserem Ansatz unterstützen wir Sie in sieben Schritten mit einer ersten Analyse Ihres Hauses hinsichtlich potenzieller Handlungsfelder und ermöglichen Ihnen so eine Indikation Ihrer Chancen mit geringem Aufwand: 1. Abstimmung des Leistungsumfangs Zu Beginn legen wir mit Ihnen gemeinsam den Rahmen fest. Sie bestimmen den Umfang, die Granularität und damit den Aufwand des IKS-Fitness-Checks. 2. Definition Ihres Zielbildes auf Basis Ihrer individuellen Präferenzen Gemeinsam mit Ihnen definieren wir das künftige Zielbild hinsichtlich eines effizienten und risikoorientierten IKS. 3. Diagnose und Ermittlung des Status quo mittels Diagnose-Tool Nach der Definition des künftigen Zielbildes ermitteln wir anhand eines Diagnose-Tools den Status quo, gegebenenfalls unter Verwendung eines Umfragebogens an die beteiligten Einheiten in Ihrer Organisation. 4. Gemeinsame Validierung im Workshop Der Status quo wird in einem gemeinsamen Workshop mit Ihnen validiert und bei Bedarf angepasst. Hier werden Handlungsstränge priorisiert und der Fokus für die Einzelinterviews gelegt. 5. Weiterführende Einzelinterviews Anschließend erfolgt die Durchführung einer interviewbasierten detaillierteren Analyse des derzeitigen IKS-Rahmenwerks auf Basis strukturierter Fragebögen, um insbesondere die Soll-/Ist-Abweichung abzuleiten sowie erste Handlungsfelder zu benennen. 6. Gap-Analyse und Festlegung von notwendigen Handlungsfeldern Auf Basis der Erkenntnisse aus dem Workshop und den Einzelinterviews erfolgen die Identifikation von Abweichungen und möglichen Risiken sowie die Detaillierung im Rahmen einer Heat Map vor dem Hintergrund der priorisierten Handlungsfelder. 7. Ergebnispräsentation im Rahmen eines gemeinsamen Workshops In einem gemeinsamen Workshop stellen wir Ihnen die Analyseergebnisse vor, welche die bestehenden Abweichungen zum Zielbild als auch mögliche Potenziale enthalten. Den Abschluss des Workshops bilden Empfehlungen zu den identifizierten Handlungsfeldern. 4

5 Abb. 2 Die sieben Schritte des IKS-Fitness-Checks 1. Abstimmung Leistungsumfang Definition Zielbild im Hinblick auf individuelle Präferenzen: Konsistentes Reporting/ Monitoring 2. Zielbild Dimensionen eines effizienten IKS Effektives Internal Audit Zuverlässige Kontrollen Effiziente Prozesse & Governance Gesetzliche Anforderungen an das IKS Darstellung und Diskussion der Umfrageergebnisse Potenzielle Qualitätskriterien für Diagnose: Automatisierungspotenzial Kontrolldurchführung 4. Validierungsworkshop Vorgaben Business Regelmäßige Weiterentwicklung Gruppenweites Rahmenwerk Verantwortlichkeiten Rolle der Revision Dokumentation Schulungsbedarf Reporting Evaluierung des Status quo mittels Diagnose-Tool, ggf. Einsatz von Online-Survey Dokumentation Reporting Automatisierungspotenzial 3. Diagnose Verantwortlichkeiten Kontrolldurchführung Vorgaben Rolle der Revision Schulungsbedarf Ist-Ausprägung Angestrebter Status Branchenbenchmark 5. Einzelinterviews Interview-basierte detaillierte Analyse des derzeitigen Rahmenwerks auf Basis strukturierter Fragebögen Verantwortlichkeiten 7. Ergebnisworkshop Darstellung und Abstimmung von Analyseergebnissen, Abweichungen und Potenzialen Empfehlung von Maßnahmen und Handlungsfeldern 6. Gap-Analyse und Handlungsfelder Identifizierung und Priorisierung von Handlungsfeldern Bewertung & Priorisierung der Handlungsfelder hoch Handlungsfeld 5 Handlungsfeld 1 Quick Wins Dokumentation Reporting Vorgaben Rolle der Revision Einsparungspotenzial Handlungsfeld 2 Handlungsfeld 4 Handlungsfeld 6 Handlungsfeld 8 In Angriff zu nehmende optimierungen Automatisierungspotenzial Kontrolldurchführung Schulungsbedarf niedrig Handlungsfeld 7 Handlungsfeld 3 hoch niedrig Umsetzungsaufwand Nachgelagert anzugehende Optimierungen 5

6 Unser IKS-Fitness-Check Ihre Vorteile! Mit geringem Aufwand lassen sich verschiedene Potenziale eines effizienten, risikoorientierten und konsistenten IKS ableiten: Eine höhere Verlässlichkeit Ihres IKS Die Reduzierung von Kernprozessen und Kontrollen sowie nachhaltige Kostenreduktion Eine verbesserte Risikoüberwachung, -steuerung und -minimierung Effiziente und schlanke Geschäftsprozesse ( End-to-end ) Klare Rollen und Verantwortlichkeiten Kontinuierliche Verbesserung und ganzheitliche Betrachtungsweise ( Top-down -Ansatz) Profitieren Sie von unserer Zusammenarbeit: 1. Zügige Resultate durch unseren IKS- Fitness-Check 2. Individuelle Anpassung an Ihre Fragestellung 3. Moderation durch Finanz-, Risikound IKS-Experten 4. Effiziente Erfüllung regulatorischer Anforderungen 5. Schnellere Reaktions- und Entscheidungs fähigkeit 6. Einbindung aller relevanten Beteiligten durch Umfragen und Interviews 7. Erhöhung des Risikobewusstseins Ihrer Mitarbeiter 6

7 In Zusammenarbeit mit Deloitte greifen Sie nicht nur auf eine umfassende Compliance-Expertise und auf eine Vielzahl an erfolgreich abgeschlossenen IKS-Projekten zurück, sondern auch auf unsere Prozessexpertise dank einer Vielzahl an Prozessoptimierungs- und Transformationsprojekten. Gemäß Situation und Präferenzen Ihres Unternehmens können wir anhand verschiedener bewährter Modelle wie z.b. CMMI, COSO, COBIT oder auch mittels eigener individueller Ansätze vorgehen. Ihre Ansprechpartner Stephan Erb Partner Tel: Jörg Schwanhäuser Director Tel: Wir optimieren Ihr IKS somit top-down getrieben und bringen hierzu alle erforderlichen Kompetenzen und eine praxiserprobte Umsetzungsmethodik aus einer Hand mit. 7

8 Die Deloitte GmbH Wirtschaftsprüfungsgesellschaft ( Deloitte ) als verantwortliche Stelle i.s.d. BDSG und, soweit gesetzlich zulässig, die mit ihr verbundenen Unternehmen und ihre Rechtsberatungspraxis (Deloitte Legal Rechtsanwaltsgesellschaft mbh) nutzen Ihre Daten im Rahmen individueller Vertragsbeziehungen sowie für eigene Marketingzwecke. Sie können der Verwendung Ihrer Daten für Marketingzwecke jederzeit durch entsprechende Mitteilung an Deloitte, Business Development, Kurfürstendamm 23, Berlin, oder kontakt@deloitte.de widersprechen, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen. Deloitte bezieht sich auf Deloitte Touche Tohmatsu Limited ( DTTL ), eine private company limited by guarantee (Gesellschaft mit beschränkter Haftung nach britischem Recht), ihr Netzwerk von Mitgliedsunternehmen und ihre verbundenen Unternehmen. DTTL und jedes ihrer Mitgliedsunternehmen sind rechtlich selbstständig und unabhängig. DTTL (auch Deloitte Global genannt) erbringt selbst keine Leistungen gegenüber Mandanten. Eine detailliertere Beschreibung von DTTL und ihren Mitgliedsunternehmen finden Sie auf Deloitte erbringt Dienstleistungen in den Bereichen Wirtschaftsprüfung, Risk Advisory, Steuerberatung, Financial Advisory und Consulting für Unternehmen und Institutionen aus allen Wirtschaftszweigen; Rechtsberatung wird in Deutschland von Deloitte Legal erbracht. Mit einem weltweiten Netzwerk von Mitgliedsgesellschaften in mehr als 150 Ländern verbindet Deloitte herausragende Kompetenz mit erstklassigen Leistungen und unterstützt Kunden bei der Lösung ihrer komplexen unternehmerischen Herausforderungen. Making an impact that matters für mehr als Mitarbeiter von Deloitte ist dies gemeinsames Leitbild und individueller Anspruch zugleich. Diese Veröffentlichung enthält ausschließlich allgemeine Informationen, die nicht geeignet sind, den besonderen Umständen des Einzelfalls gerecht zu werden und ist nicht dazu bestimmt, Grundlage für wirtschaftliche oder sonstige Entscheidungen zu sein. Weder die Deloitte GmbH Wirtschaftsprüfungsgesellschaft noch Deloitte Touche Tohmatsu Limited, noch ihre Mitgliedsunternehmen oder deren verbundene Unternehmen (insgesamt das Deloitte Netzwerk ) erbringen mittels dieser Veröffentlichung professionelle Beratungs- oder Dienstleistungen. Keines der Mitgliedsunternehmen des Deloitte Netzwerks ist verantwortlich für Verluste jedweder Art, die irgendjemand im Vertrauen auf diese Veröffentlichung erlitten hat. Stand 10/2016