MaRisk Ausgangspunkt für eine erfolgreiche Gesamtbanksteuerung Im Dezember 2005 hat die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) die Mindestanforderungen an das Risikomanagement (MaRisk) veröffentlicht. Mit der Umsetzung MaRisk werden von der BaFin die Basel II-Anforderungen zur Umsetzung der Säule II Aufsichtsrechtlicher Überprüfungsprozess konkretisiert und die Grundlage für eine integrierte Risikosteuerung gelegt. Vorliegender Artikel gibt einen Überblick über die wesentlichen Anwendungsbereiche der MaRisk, ihren konkreten Folgen für die Banken sowie gibt einen Ausblick auf künftige Handlungsfelder im Rahmen der flexiblen Grundausrichtung der MaRisk. Zentraler Baustein für die nationale Ausgestaltung der qualitativen Bankenaufsicht Die MaRisk sind die Grundlage des Supervisory Review Process (SRP) der Säule II von Basel II. Wesentlich für dessen Ausgestaltung ist das Prinzip der doppelten Proportionalität. Es besagt, daß sich einerseits die Kapitalausstattung des Instituts inklusive der zugehörigen Prozesse 1 und andererseits deren Prüfung durch die Aufsicht an der Größe, dem Geschäftsvolumen und dem Risikoprofil orientieren soll. Basel II Säule II: Prinzip der doppelten Proportionalität ICAAP (Internal Capital Adequacy Assessment Process) Soll proportional zur Komplexität und Risikogehalt des Geschäfts sein. Grundsätze I: Bankinterner Einschätzungsprozess III: Flexible Kapitalanforderungen SREP (Supervisory Review Evaluation Process) Soll proportional zu den Risiken des Instituts sein. Grundsätze II: Aufsichtlicher Prüfungsprozess IV: Frühe Intervention der Aufsicht Abbildung 1: Prinzip der doppelten Proportionalität Für das Wie der Umsetzung enthalten die MaRisk Leitlinien statt fester Regeln. Neben der internen Beurteilung der Inanspruchnahme vielfältiger Gestaltungsspielräume und Öffnungsklauseln muß auch die Bedeutung unbestimmter Begriffe geklärt werden. Ausschlaggebend für die Entscheidung sind regelmäßig Größe, Geschäftsvolumen und Risikoprofil des Instituts. Zu beachten ist, daß es sich um Mindestanforderungen handelt, d.h. im Einzelfall kann aus Risikooder betriebswirtschaftlicher Sicht auch eine Überschreitung der Regeln angebracht sein. Die Folgen sind: Die MaRisk bergen ein Mehr an Eigenverantwortung für die Institute und Geschäftsleiter, dafür jedoch auch ein Mehr an Auslegungsregeln. Die Inanspruchnahme der Gestaltungsspielräume und Nutzung von Öffnungsklauseln ist individuell zu beantworten. Die Leitlinien der Säule II / der MaRisk sind durch das Institut zu konkretisieren. Die Herausforderung liegt im Finden des Best Fit für das Institut und erfordert ein solides fachund technisches Know-how der beteiligten Projektmitarbeiter. Die wesentlichen Neuerungen der MaRisk und ihre Auswirkungen auf die Institute sind nachfolgend kurz dargestellt. 1 Dies umfasst neben den Risikocontrolling- und Risikomanagementprozessen auch die Planungs- und Kapitalsteuerungsprozesse. Seite 1 von 7
Konsolidierung der bisherigen Mindestanforderungen und Ausdehnung auf weitere Risikoarten Während die MaIR weitgehend unverändert in die MaRisk eingeflossen sind, stehen Konkretisierungen und Erleichterungen der MaK und MaH eine Ausdehnung auf weitere Risikoarten gegenüber. Mit den MaRisk liegen nun auch Mindestanforderungen an das Management der Liquiditätsrisiken, der operativen Risiken und der Zinsänderungsrisiken im Bankbuch vor. Kurzgefaßt enthalten sie inhaltlich folgende Neuerungen. Liquiditätsrisiko Diversifikation des Funding, Durchführung regelmäßiger Liquiditäts-Gap-Analysen, Überwachung kurzfristiger Liquiditätsrisiken und deren Abdeckung, Dokumentation der zu Grunde liegenden Modellannahmen und Notfallplanung im Falle eines Liquidationsengpasses, regelmäßige Berichterstattung an die Geschäftsleitung. Operationelle Risiken Mindestens jährliche Beurteilung, wobei bedeutende Schadensfälle einer unverzüglichen Ursachenanalyse bedürfen. Mindestens jährliche Berichterstattung an die Geschäftsleitung der bedeutenden Schadensfälle, wesentlichen operativen Risiken und Maßnahmen, Überwachung der Maßnahmenumsetzung. Zinsänderungsrisiko Bankbuch Mindestens vierteljährliche Bewertung des Zinsänderungsrisikos im Bankbuch auf Gesamtbankebene und Berichterstattung an die Geschäftsleitung. Dies umfaßt die Ermittlung der Auswirkungen auf die Ertragslage und den Barwert. Falls noch kein Barwertansatz implementiert ist, muß eine angemessene Betrachtung der Ertragslage über den Bilanzstichtag hinaus erfolgen. Die in die MaRisk überführten Anforderungen sowie Erleichterungen zum bisherigen Status sind seit der Veröffentlichung gültig. Alle anderen, über die bisherigen Regeln hinausgehenden Anforderungen werden zum 1. Januar 2007 gültig. Die Folgen für das Institut sind: Organisatorische, prozessuale und technische Anpassung bzw. Erweiterung des bisherigen Risikomanagementsystems um die zusätzlich aufgenommenen Risikoarten. Erweiterung des Anwendungsbereichs Während der Fokus der bisherigen Mindestanforderungen auf der Einzelinstitutsbetrachtung lag, wurde die Verantwortung eines übergeordneten Unternehmens, einer Finanzholdinggruppe bzw. eines Finanzkonglomeratsunternehmens erheblich erweitert. Das übergeordnete Unternehmen trägt künftig die Verantwortung für die konkrete Ausgestaltung der Steuerungs- und Risikoüberwachungsprozesse. Dies bedeutet: Aufbau bzw. Anpassung der bestehenden Risikosteuerungssysteme und -prozesse zur Sicherstellung der Überwachung aller wesentlichen Risiken auf Gruppenebene. Bestimmung nicht wesentlicher Risiken eines nachgeordneten Unternehmens und damit Ausnahme von der Anwendung des Verfahrens auf Gruppenebene. Unterscheidung verschiedener Ebenen der Steuerungs- und Risikoüberwachungsverantwortung (einzelinstituts-, konsolidierte und subkonsolidierte Ebene). Finanzdienstleistungsinstitute fallen ebenfalls unter die Regelungen der MaRisk, jedoch besteht eine Öffnungsklausel. Sie müssen die MaRisk nicht anwenden, wenn aus Sicht ihrer Größe, der Art, des Umfangs, der Komplexität und des Risikogehaltes ihres Geschäftes dies nicht sinnvoll erscheint. Seite 2 von 7
Implementierung angemessener Risikomanagementprozesse und einer Risikotragfähigkeitsrechnung Der Anspruch der MaRisk ist die Implementierung angemessener Risikocontrolling- und Risikomanagementprozesse für alle wesentlichen Risiken. Das Risikomanagement im Sinne der MaRisk umfaßt die Festlegung angemessener Strategien sowie die Einrichtung angemessener interner Kontrollverfahren. Geschäftsstrategie Framework Risikostrategie Risikotragfähigkeit Risikolimitsystem Steuerung Aufbauorganisation Prozesse Anreizsysteme Identifikation Bewertung Abbildung 2: Der Risikocontrolling- und managementprozess Zur Sicherstellung der Vollständigkeit der wesentlichen Risiken muß sich das Institut zunächst einen Überblick über das Gesamtrisikoprofil verschaffen. Die Aufsicht geht davon aus, daß die Risikoarten Adressenausfall-, Marktpreis-, Liquiditäts- und Operationelle Risiken (mindestens) wesentliche Risiken darstellen. Für diese Risikoarten enthalten die MaRisk spezielle Anforderungen an deren Ausgestaltung der Risikosteuerungs- und Risikocontrollingprozesse. Werden weitere wesentliche Risikoarten identifiziert, z. B. Reputationsrisiken oder Immobilienrisiken, geben die MaRisk keine speziellen Anforderungen zum Umgang mit ihnen vor. Für den Umgang mit nicht wesentlichen Risiken werden keine besonderen Anforderungen vorgegeben. Es empfiehlt sich jedoch ein Nachweis zu führen, daß man sich mit ihnen auseinander gesetzt hat und sie einem regelmäßigen Überprüfungsprozeß unterliegen. Im Rahmen des ICAAP ist unter Einbeziehung des Proportionalitätsgedankens eine umfassende Risikotragfähigkeitsanalyse durchzuführen. Die Aufsicht erwartet, daß die Institute über eine höhere Eigenkapitalausstattung verfügen als dies regulatorisch für Markt-, Kredit- und Operationelle Risiken unter der Säule I (Mindesteigenkapitalanforderungen) gefordert wird. Auch für alle weiteren wesentlichen Risiken soll Eigenkapital vorhanden sein. Seite 3 von 7
Risikoart Anforderung Quantifizierung Marktrisiko Kreditrisiko Operationelles Risiko MaRisk / Basel II S. II: ICAAP - Sichtweise ökonomisches Eigenkapital (Grundsatz der Wesentlichkeit) Regulatorisches Kapital / SolvV E2 Zinsänderungsrisiko Bankbuch Liquiditätsrisiko Geschäftsrisiko Sonstige Risiken Strategisches Risiko Reputationsrisiko Eigenkapitalrisiko STA Interne Modelle STA IRBA (Kreditrisikomodelle) BIA STA AMA Standardansatz VaR-Ansatz Ausnahme ICAAP möglich Puffer oder Ermittlung Volatilität Erträge und Kosten Puffer Aggregation / Berücksichtigung Risikoverbundeffekte Ermittlung Gesamtrisikoposition Ermittlung Risikotragfähigkeit. Bedingung: Deckungsmasse zu jeder Zeit > Gesamtbankrisiko Ermittlung Risikodeckungsmasse Deckungsmasse Bilanzorientiertes Konzept GuV-orientiertes Konzept Barwertorientiertes Konzept Abbildung 3: Risikotragfähigkeit und Risikodeckungsmasse. In der Risikotragfähigkeitsrechnung werden die (wesentlichen) Risiken zu einer Gesamtrisikoposition zusammengefasst und der Risikodeckungsmasse gegenübergestellt. Die Risikotragfähigkeit ist gegeben, wenn alle (wesentlichen) Risiken laufend durch das Risikodeckungspotenzial abgedeckt werden. Eine Berücksichtigung in der Risikotragfähigkeitsrechnung setzt voraus, daß die Risiken quantifiziert werden können. Nicht in allen Instituten ist dies aus methodischer Sicht der Fall bzw. aus betriebswirtschaftlicher Sicht sinnvoll. Die MaRisk lassen daher zu, daß nicht alle wesentlichen Risikoarten im Risikotragfähigkeitskonzept Berücksichtigung finden müssen (z. B. das Liquiditätsrisiko). Es muß jedoch nachvollziehbar begründet werden, wieso dies der Fall ist. Zur Ermittlung der geeigneten Risikodeckungsmasse ist das Eigenkapital aus unterschiedlichen Blickwinkeln zu betrachten: Bilanziell, aufsichtsrechtlich und/oder ökonomisch. Die Folgen für die Institute sind: Ermittlung der wesentlichen und nicht wesentlichen Risiken und Implementierung eines regelmäßigen Überprüfungs-/Beurteilungsprozesses. Implementierung angemessener Risikosteuerungs- und Risikocontrollingprozesse für alle wesentlichen Risiken. Ermittlung der geeigneten Risikodeckungsmasse (Bilanz-, GuV- oder Barwertorientiertes Konzept). Aufbau einer Risikotragfähigkeitsrechnung. Mit dem Aufbau angemessener Risikosteuerungs- und Risikocontrollingprozesse und der Implementierung einer Risikotragfähigkeits- und -deckungspotentialrechnung werden die Grundlagen für eine integrierte Gesamtbankrisikosteuerung gelegt. Eine integrierte Gesamtbankrisikosteuerung sollte in der Lage sein, u.a. bilanzielle, aufsichtsrechtliche und interne Risiko-Ertrags-Kennzahlen abzugleichen und Ergebnisgrößen in den strategischen und operativen Planungsprozess (z.b. Verteilung von Limiten pro Risikoart) zu überführen. Mit der operativen Planung der Ergebnisbeiträge können anhand vorhandener Steuerungssysteme (z.b. Limitsystem, internes Kontrollsystem, Annreizsystem) die vorhandenen Risiken, das Eigenkapital und risikoadjustiert die Erträge gesteuert werden. Seite 4 von 7
Erfordernis einer konsistenten Risikostrategie Die MaRisk fordern von der Geschäftsleitung die Umsetzung einer Risikostrategie, die in Konsistenz zur Geschäftsstrategie steht. Der Detaillierungsgrad bzw. die konkrete Ausgestaltung ist in den MaRisk flexibel formuliert. Die Risikotragsfähigkeitsbetrachtung stellt eine Grundlage der Risikostrategie dar. Dies bedeutet: Erstellung einer Risikostrategie, deren konkrete Ausgestaltung sich am Umfang, der Komplexität und dem Risikogehalt der gegenwärtigen und geplanten Geschäftsaktivitäten orientiert. Neben der Risikotragfähigkeit soll sie auch auf die personelle und technisch-organisatorische Ausgestaltung eingehen. Risikoorientierte Gestaltung von Organisationsrichtlinien Während die Risikostrategie auf einer komprimierten Ebene den Risikoappetit und die dazu gehörigen Rahmenbedingungen wie Geschäftstätigkeit, Ressourcen u.ä. widerspiegelt, beschreiben die Organisationsrichtlinien die operative Seite der Einhaltung der MaRisk. Nach dem Grundsatz der Wesentlichkeit ist der Detaillierungsgrad abhängig von Art, Umfang, Komplexität und Risikogehalt der Geschäftstätigkeiten. Wichtig ist eine nachvollziehbare, sachgerechte Darstellung. Für die Institute bedeutet dies: Überprüfung und gegebenenfalls Überarbeitung der Organisationsrichtlinien. Begründung der Inanspruchnahme von Öffnungsklauseln. Angemessene Dokumentation von Annahmen. Erweiterte Gestaltungsmöglichkeiten in der Auf- und Ablauforganisation Die Funktionstrennung zwischen Markt und Marktfolge ist weiterhin zu beachten. Die Vertretung kann nun aber von jedem geeigneten Entscheidungsträger unterhalb der Geschäftsleitungsebene wahrgenommen werden. Bei handelsintensiven Kreditinstituten muß das Rechnungswesen in einem vom Markt und Handel unabhängigen Bereich aufgehängt sein. Bisher reichte in einer vom Markt und Handel unabhängigen Stelle. Sofern nur geringes risikorelevantes Handelsgeschäft getätigt wird, ist die Trennung des Handels vom Risikocontrolling sowie der Abwicklung und Kontrolle bis einschließlich der Geschäftsleitungsebene nicht mehr zwingend notwendig. Unter den Voraussetzungen, daß das Kreditvolumen kleiner als 100 Mio. Euro, das Kreditgeschäft einfach strukturiert und nur zwei Geschäftsleiter sowie höchstens zwei qualifizierte Mitarbeiter im Bereich des risikorelevanten Kreditgeschäfts tätig sind, können sehr kleine Institute auch Erleichterungen im Kreditgeschäft in Anspruch nehmen. Folge: Zur Realisierung etwaiger Prozesseffizienzen ist eine Überprüfung und ggf. Anpassung der Aufund Ablauforganisation notwendig. Erhöhung der Anforderungen an das Personalmanagement Die quantitative und qualitative Personalausstattung hat sich an den Geschäftsaktivitäten, der Strategie und dem Risikoprofil zu orientieren. Im Vergleich zu den bisherigen Mindestanforderungen gelten die in den MaRisk genannten personellen Anforderungen nun für das Gesamtinstitut. Für das Institut bedeutet dies u.a.: Praktischer Nachweis der qualitativen und quantitativen Angemessenheit der Personalausstattung. Implementierung eines Personalentwicklungskonzeptes. Seite 5 von 7
IT-Infrastruktur und Notfallplanung Die MaRisk haben die bisherigen Anforderungen an die IT-Infrastruktur konkretisiert. Durch die Implementierung eines auf gängigen Standards basierenden IT-Sicherheitsmanagagements sollen die Integrität, die Verfügbarkeit, die Authentizität sowie die Vertraulichkeit der Daten gewährleistet und die IT-Infrastruktur bzw. IT-Prozesse gesteuert werden. Die Notfallpläne sollen künftig alle kritischen Prozesse und Aktivitäten abdecken. Folgen: Überprüfung und gfs. Anpassung der IT-Infrastruktur/-Prozesse und Notfallpläne. Erweiterung des Neue Produkte- bzw. Neue Märkte-Prozesses Die bereits bestehenden Regeln wurden erweitert auf die Aufnahme von allen neuen Produkten, Geschäftsarten oder neuen Märkten (einschließlich neuer Vertriebswege) in allen Geschäftsbereichen (Aktiv-, Passiv- und Dienstleistungsgeschäften). Bei Handelsgeschäften in neuen Produkten / neuen Märkten ist grundsätzlich eine Testphase durchzuführen. Erleichterungen sind möglich, wenn alle betroffenen Stellen das neue Produkt / den neuen Markt handhaben können und dies schriftlich dokumentieren. Die Folgen für die Institute sind u.a.: Standardisierte Erfassung aller relevanten Produktinformationen. Transparente Darstellung des Produktportfolios. Gfls. Implementierung einer Produktdatenbank. Fazit Die in den MaRisk kodifizierte höhere Eigenverantwortung der Institute im Allgemeinen und der Geschäftsführung im Besonderen fordert eine aktivere Auseinandersetzung mit den bestehenden Risiken (und auch Chancen) als dies bisher der Fall ist. Die MaRisk sind komprimiert und abstrakt. Eine angemessene Umsetzung sowohl aus aufsichtsrecht- aber auch betriebswirtschaftlicher Sicht erfordert ihre gute Kenntnis und deren Auslegung im Markt und durch die Aufsicht. Abbildung 4: Auswirkungen der MaRisk auf das strategische und operative Bankmanagement Seite 6 von 7
Die MaRisk wirken in nahezu alle strategischen und operativen Themenstellungen des Instituts hinein, wobei der individuelle Implementierungsaufwand abhängig vom Umsetzungsstand der bisher geltenden Regeln ist. Die Erfahrungen aus Prüfungen zeigen jedoch, daß hier zum Teil noch starke Schwachstellen bestehen. Und es ist zu erwarten, daß sich der Dialog mit der Aufsicht intensivieren wird, auch durch eine stärkere Vor-Ort-Präsenz. Der Schwerpunkt der MaRisk bzw. des ICAAP liegt auf der Sicherstellung der Risikotragfähigkeit. Die vollständige Risiko-/Ertragssteuerung stellt die nächste Herausforderung dar. Zusammenfassung und Ausblick Die MaRisk stellen einen weiteren Schritt der Aufsicht hin zu einem qualitativen bankaufsichtlichen Regelwerk und einem damit verbundenen Prüfungsprozess dar. Die MaRisk setzen die qualitativen Anforderungen der Säule 2 von Basel II in nationales Recht um. Als gesetzlicher Anknüpfungspunkt fungiert der 25a KWG. Mit den MaRisk werden (allgemeine und besondere) Anforderungen an die ordnungsgemäße Geschäftsorganisation, übergreifende Anforderungen an die Aufbauorganisation und die Ressourcen (u.a. Notfallplanung), an die Prozesse, insbesondere Kredit- und Handelsgeschäfte, Anforderungen an die Risikosteuerung und das controlling sowie Anforderungen an die Ausgestaltung der internen Revision eines Bankhauses formuliert. Die MaRisk beherbergen eine Reihe an Öffnungsklauseln, die abhängig von der Größe der Kreditinstitute, den Geschäftsschwerpunkten und der Risikosituation eine vereinfachte Umsetzung ermöglichen. Diese flexible Grundausrichtung der MaRisk soll dem risikoorientierten Prüfungsansatz der Aufsicht Rechnung tragen, sich an institutsspezifische Gegebenheiten wie der Größe des Institutes, dem Geschäftsumfang, der Komplexität der betriebenen Geschäfte und dem Risikoprofil orientieren. Mit der Implementierung angemessener Risikosteuerungs- und Risikocontrollingverfahren /-systeme verlangen die MaRisk zwar keine integrierte Gesamtbanksteuerung, doch stellt das Risikotragfähigkeitskonzept einen ersten wesentlichen Schritt in Richtung Gesamtbanksteuerung dar. Die MaRisk fordern noch kein vollständiges System einer integrierten Risikosteuerung, beispielsweise durch die Forderung nach einem integrierten Limitsystem für alle Risikoarten. Da die flexible Grundausrichtung der MaRisk die Aufnahme weiterer Anforderungen in Zukunft explizit zulässt, ist insbesondere mit Bezug auf die Integration der Risiken in die Gesamtbanksteuerung von einer Erweiterung der MaRisk auszugehen. Damit einhergehend werden die Banken ihr Risikomanagement weiter ausbauen müssen. Neben der Vereinheitlichung von Methoden und Instrumenten zur Quantifizierung von Risiken, werden künftig die Banken mit dem Ausbau ihrer (internen) Kennzahlensysteme und der Integration von Ergebnissen in den strategischen und operativen Planungsprozess zu tun haben. Inwiefern hier der Gesetzgeber hier neue Anforderungen konkretisiert hängt auch u.a. von der Umsetzungsqualität der Banken hinsichtlich der MaRisk und der Anforderungen weiterer Gesetzesgrundlagen im Zusammenhang mit Basel II ab. Autoren: Torsten Lammers Steria Mummert Consulting Oliver Tiebing Steria Mummert Consulting Seite 7 von 7