die bank 04 // 2016

ó FINANZMARKT Alles neu

ó FINANZMARKT Alles neu macht der Mai MARISK 2016 Am 18. Februar 2016 hat die BaFin allen Verbänden der Kreditwirtschaft den Konsultationsentwurf der MaRisk-Novelle 2016 zur Verfügung gestellt und um schriftliche Stellungnahmen bis zum 7. April 2016 gebeten. Die Finanzindustrie hat auf den Konsultationsentwurf bereits seit einigen Monaten gewartet und zuletzt mit einer Rechtsverordnung gerechnet. Nun kommen die Mindestanforderungen an das Risikomanagement doch wieder in Form eines Rundschreibens, d. h. als Verwaltungsvorschrift, daher. Im Mai ist dann im Ergebnis mit den neuen Ma- Risk zu rechnen. Niels Angermüller |Thomas Ramke Keywords: Risikomanagement, Regulierung, Outsourcing Die letzte Fassung der MaRisk wurde im Jahr 2012 veröffentlicht und stellte den Kapitalplanungsprozess, die Risikocontrolling- und Compliance-Funktion sowie das Verrechnungssystem für Liquiditätskosten in den Vordergrund. Das Risikomanagement hat sich allerdings seitdem in wichtigen Bereichen weiterentwickelt. Der Basler Ausschuss für Bankenaufsicht (BCBS) hat mit seinen Prinzipien zur Risikodatenaggregation und Risikoberichterstattung (BCBS 239) einen wichtigen neuen Standard gesetzt, der nun eine Ergänzung der MaRisk erforderlich gemacht hat. Einen ähnlichen Hintergrund hat das zweite wichtige Thema des MaRisk-Entwurfs 2016: das Erfordernis einer angemessenen Risikokultur, die in einem Institut etabliert sein sollte. Hier ist das grundlegende Papier „Guidance on Supervisory Interaction with financial institutions on Risk Culture“ des Financial Stability Board (FSB) die Grundlage für die MaRisk Ergänzung. Wie erwartet, werden darüber hinaus relevante Ergänzungen im MaRisk-Modul hinsichtlich der Auslagerungen erfolgen. Die anstehende Novellierung bietet die Gelegenheit, durch die Aufsichtspraxis erkannte Risikomanagementaspekte hervorzuheben und redaktionelle Ergänzungen vorzunehmen ” 1. Risikoaggregation Im Rahmen krisenhafter Entwicklungen hat sich aus Sicht der Aufsicht gezeigt, dass insbesondere große, systemrelevante Institute nicht in angemessener Zeit in der Lage waren, ihre Gesamtrisikopositionen gegenüber bestimmten Kontrahenten oder in bestimmten Produkten innerhalb einer angemessenen Zeit zu ermitteln. Daraus ergibt sich die Problematik, dass nicht angemessen auf kritische Entwicklungen reagiert werden konnte. Zudem konstatierte die Aufsicht vielfach Schwachstellen hinsichtlich der Datenqualität. Dies stellt die Institute teilweise vor erhebliche Herausforderungen, insbesondere hinsichtlich der Datenarchitektur und IT-Infrastruktur. Dieser aus den BCBS-239-Prinzipien übernommene Teil wird in dem neuen AT 4.3.4 MaRisk (Datenmanagement, Datenqualität und Aggregation von Risikodaten) aufgegriffen. Er richtet sich – entsprechend dem Proportionalitätsgedanken – an große, komplexe Institute, d. h. solche mit über 30 Mrd. € Bilanzsumme. Allerdings werden auch kleinere Institute aufgefordert, Verbesserungsmöglichkeiten ihrer Datenaggregation zu realisieren. Der Begriff der Aggregation von Risikodaten wird hier recht weit gefasst: „Unter der Aggregation von Risikodaten ist die gesamte Verfahrens- und Prozesskette von der Erhebung und Erfassung von Daten über die Verarbeitung bis hin zur Auswertung nach bestimmten Kriterien und zur Berichterstattung von Risikodaten zu verstehen.“ 1 Insbesondere wird in Tz 2 und 3 gefordert, dass Daten eindeutig identifizierbar sein müssen. Dies trägt der Tatsache Rechnung, dass gerade bei der Nutzung sogenannter „gewachsener“ IT-Strukturen mit Systemen aus unterschiedlichen Zeiträumen oder nach Zusammenschlüssen oftmals Schwierigkeiten auftreten. Sollte keine durchgängig einheitliche Datenhaltung gelingen, so müssen die Daten zumindest automatisiert ineinander überleitbar sein. Es wird des Weiteren eine automatisierte Aggregationsmöglichkeit gefordert, bei der manuelle Eingriffsmöglichkeiten (falls vorhanden dokumentiert und begründet) auf ein Mindestmaß beschränkt werden. Dadurch sollen die Zeitnähe sowie Fehlerfreiheit der Risikoanalyse und -berichterstattung sichergestellt werden. Die Auswertbarkeit muss nach unterschiedlichen Risikokategorien und -unterkategorien (z. B. Geschäftsfelder, Konzerngesellschaft, Branche, Region) sowie mehrdimensional (Kombination von Kriterien) möglich sein. In diesem Zusammenhang wird eine Überwachung der Datenqualität und -vollständigkeit auf Basis von durch das Institut formulierten internen Anforderungen gefordert. Auch ad hoc müssen 20 diebank 04.2016

FINANZMARKT ó recht weitreichende Informationen erstellt werden können (Tz 6). Des Weiteren wird eine Plausibilisierung der Risikodaten mit anderen im Institut vorhandenen Informationen gefordert (Tz 4). Dies können z. B. Daten aus dem Rechnungs- oder Meldewesen sein. So können beispielsweise interne Ratingdaten mit im Rechnungswesen bekannten Zahlungsverzögerungen von Kreditnehmern plausibilisiert werden oder selbst ermittelte Maße für Marktpreisrisiken mit solchen aus Marktinformationssystemen. Durch die Erfahrungswerte der Aufsicht bedingt, wurden in Tz 5 für Stressphasen klare Vorgaben gemacht. Die Datenaggregationskapazitäten müssen auch in solchen Phasen so bemessen sein, dass relevante Informationen zeitnah zur Verfügung stehen. Der zeitliche Rahmen ist zwar durch das Institut selbst zu definieren und hängt von der sonstigen Häufigkeit der Risikoberichterstattung ab. Die durch die Aufsicht geforderten Zeiträume dürften sich hier jedoch eher im Bereich weniger Tage und darunter bewegen. Dabei werden vor allem Informationen zu den wesentlichen Risikoarten der MaRisk explizit gefordert: ó Adressenausfallrisiko ó Exposure gegenüber großen Unternehmensschuldnern ó Kontrahentenrisiken (auch aus Derivaten) ó Marktpreisrisiken, Handelspositionen und -limite ó Liquiditätsrisiken ó Operationelle Risiken Die Tz 7 fordert klare Verantwortlichkeiten für alle Prozessschritte und prozessabhängige Kontrollen. Eine prozessunabhängige Einheit (i. d. R. die Interne Revision) hat die Einhaltung der institutsinternen Regelungen regelmäßig zu prüfen. Hierbei wird – AT 7.1 MaRisk zu personellen Ressourcen verstärkend – explizit darauf hingewiesen, dass die mit der Überprüfung betrauten Mitarbeiter möglichst über hinreichende Kenntnisse der IT-Systeme und des Berichtswesens verfügen sollten. Risikoberichterstattung In den neuen MaRisk werden deutlich erweiterte Anforderungen an die Aggregation von Risikodaten gestellt. Ziel ist es, dass zumindest die großen Institute „auf Knopfdruck“ jederzeit einen Risikobericht erstellen können. Auch wurden die in den bisherigen MaRisk über diverse Teile verteilten Anforderungen an die Risikoberichterstattung im neuen Modul BT 3 zusammengeführt. Dies gilt für alle Institute und unterliegt wie bisher dem Proportionalitätsprinzip. Die grundsätzlichen Berichtsturnusse (quartalsweise/ jährlich) werden nicht verändert. Die BaFin weist jedoch darauf hin, dass hier künftig erhöhte Anforderungen an die Zeitnähe gemacht werden. 04.2016 diebank 21