die bank 04 // 2016

ó IT & KOMMUNIKATION

ó IT & KOMMUNIKATION Data Governance im Regulierungskontext PRAXISEMPFEHLUNGEN Seit Veröffentlichung der Baseler Grundsätze für die effektive Aggregation von Risikodaten und die Risikoberichterstattung (BCBS 239) sowie der finalen Guideline zum Supervisory Review and Evaluation Process (SREP) befassen sich Finanzinstitute verstärkt mit dem Aufbau von Data-Governance- Strukturen. Grund hierfür ist die zunehmende Verschärfung der Anforderungen an bankinterne Mechanismen zur Überwachung und Beurteilung der Qualität von Risikodaten, die zur Vorstandsaufgabe erhoben wurde. Stefanie Kampmann | Peter Bruhns | Simon Sulzbach | Tymon Gregorowicz Keywords: Regulierung, Datenaggregation, Risikoberichterstattung, SREP Data Governance bezeichnet das Regelwerk, das die Verantwortung von Mitarbeitern eines Unternehmens für Daten und Datenverarbeitungsprozesse mithilfe von Richtlinien, Rollen und Prozessen ordnet und die Voraussetzungen für die Überwachung und Steuerung der Qualität von Unternehmensdaten schafft. Die Ziele von Data Governance sind i. d. R. die Vollständigkeit, Richtigkeit, Verlässlichkeit und Aktualität von Daten, die Grundlage von Geschäftsentscheidungen und der Risikoüberwachung sind. Die Forderung nach einer hohen Datenqualität ist für Banken nicht neu. Schon lange vor der Finanzkrise sahen dies bereits Rechtsvorschriften (z. B. MaRisk, GoBD) sowie die Aufsichts- und Prüfungspraxis (CEBS-Guidelines, IDW-Standards) vor. Das Inkrafttreten der BCBS 239- Grundsätze zur Risikodatenaggregation und Risikoberichterstattung verschärft den Handlungsdruck bei den betroffenen Instituten. Im Hinblick auf die Übernahme der europäischen Aufsichtsrolle hat zudem die EZB im Januar 2016 Prüfungsschwerpunkte veröffentlicht, in denen die Themen Risikodatenaggregation und Datenqualität einen Schwerpunkt bilden. 1 In der Praxis haben viele Institute zwar punktuelle Maßnahmen für das Datenqualitätsmanagement umgesetzt, oftmals mangelt es jedoch bislang an Data-Governance-Konzepten mit konzernweiter und bereichsübergreifender Gültigkeit. Diese sollen Verantwortlichkeiten für Daten und deren Qualität über Fachbereiche hinweg verbindlich regeln. BCBS 239-Vorstudien und Erkenntnisse aus dem Asset Quality Review oder dem EBA-Stresstest haben zum Teil erhebliche Schwachstellen aufgedeckt. Rückhalt des Top-Managements entscheidend Versuche zur Einführung von Data Governance oder bereichsübergreifender Datenqualitätsvorgaben in Banken waren in der Vergangenheit nur selten nachhaltig wirksam. Aufgrund von Vorbehalten in den adressierten Unternehmensbereichen konnten notwendige Verantwortlichkeiten und Pflichten in Bezug auf die von ihnen verarbeiteten Daten nicht durchgesetzt werden. Die Ursache hierfür war zum Teil auch fehlender Rückhalt durch das Top-Management. Hier hatte das Thema Data Governance (DG) neben zahlreichen anderen aufsichtsrechtlichen Verpflichtungen bislang nur eine untergeordnete Priorität. Dabei ist die Förderung durch das Management erfolgskritisch für eine wirksame und nachhaltige Einführung von DG. Klare Vorgaben der Geschäftsleitung und eine ausreichende Kapazitätsausstattung der DG-Organisation sind die wichtigsten Grundvoraussetzungen für die Wirksamkeit von DG-Maßnahmen. Um dem Thema Datenqualität entsprechendes Gewicht zu geben, haben erste Banken in Deutschland einen Chief Data Officer installiert. Vergleichbare Positionen auf erster oder zweiter Führungsebene sind international bereits deutlich häufiger vorzufinden. Bei der Einführung von Data-Governance-Strukturen führt kein Weg an der Verankerung einer übergeordneten DG- Funktion vorbei. Diese bündelt Kompetenzen, Koordinations- und Steuerungsaufgaben an zentraler Stelle in der Organisation und bindet dezentrale Wissensträger in Fach- und IT-Bereichen auf ressourcenschonende Weise ein. Frühzeitige Einbeziehung und fortlaufende Kommunikation Um die betroffenen Unternehmensbereiche einzubinden und deren Akzeptanz nachhaltig zu sichern, müssen diese an der organisatorischen Ausgestaltung von 70 diebank 04.2016

IT & KOMMUNIKATION ó Rollenkonzepten beteiligt und in die Festlegung von Verantwortlichkeiten und Aufgaben einbezogen werden. Die Definition zentraler und dezentraler DG-Rollen und -Aufgaben sowie die damit einhergehende Neuordnung von Datenverantwortlichkeiten und die systematische Qualitätsüberwachung der Datenprozesse haben weitreichende Konsequenzen für alle betroffenen Mitarbeiter. Daher müssen alle aufbau- und ablauforganisatorischen Aspekte eindeutig festgelegt und auf die Gegebenheiten in den betroffenen Bereichen abgestimmt sein. Vorbehalten und Widerständen betroffener Mitarbeiter gegenüber Veränderungen ist mit adressatengerechten Kommunikationsmaßnahmen zu begegnen, die die Konzepte und deren Zielsetzung erläutern. Dabei sollten die Botschaften klaren Leitlinien des Vorstands folgen und in die Ziele aller Führungsebenen einbezogen werden. Durch Nutzung der Informationskaskade vom Vorstand über die einzelnen Führungsebenen bis zu den Mitarbeitern lässt sich das Risiko fehlender Akzeptanz oder gar einer Ablehnung durch die Mitarbeiter effektiv reduzieren. Führungskräfte spielen für die Akzeptanz der Mitarbeiter und die Durchsetzbarkeit von DG-Verantwortlichkeiten eine wesentliche Rolle und sollten frühzeitig eingebunden und von den entwickelten Konzepten überzeugt werden. Nur wenn Zweifel oder Vorbehalte des Managements thematisiert und ausgeräumt werden können, lassen sich diese auch nachhaltig auf der Mitarbeiterebene vermeiden. Ein Kommunikationsplan legt fest, wann und wie die unterschiedlichen Ebenen mit gezielten Botschaften erreicht werden sollen. Sehr häufig ist beispielsweise in den datenerfassenden Bereichen gar nicht bekannt, welche Probleme am Ende der Prozesskette Fehleingaben in den Eingabesystemen verursachen ” 1. Der Kommunikationsplan sollte zudem auf die bankspezifischen Informations- und Weisungsstrukturen abgestimmt sein. Neben der Zustimmung der Mitarbeiter sind für Banken die Umsetzungsdauer und der entstehende Umsetzungsaufwand wesentliche Herausforderungen bei der Einführung von Data Governance. Das Risiko bei der Einführung von DG zu scheitern, steigt mit dem Umfang der gewählten Datenbasis. Da für Kontrahenten, Kredit-, Handels-, und Sicherungsgeschäfte oft mehrere hundert Betragsgrößen und Merkmale erfasst werden, sind für die Ertrags- und Risikosteuerung in der Praxis oft mehr als tausend Einzelinformationen zu verdichten. Fokussierung auf wesentliche Kenngrößen ist richtungsweisend Die Neueinführung von Data Governance dauert – abhängig von der Ausgangssituation – oft zwei oder mehr Jahre, bevor ein 1 Beispielhafter Kommunikationsplan Konzeption Implementierung Verankerung Organisatorische Maßnahmen Entwurf Data-Governance-Zielbild in Abstimmung mit dem Vorstand Entwicklung Organisationskonzept und Rollenmodell sowie Abstimmung auf bestehende Aufbau- und Ablauforganisation Etablierung von Data-Governance- Strukturen (zentral und dezentral) Ermittlung, Beschaffung und Schulung von Personalkapazitäten Festlegung Verantwortlichkeiten für Daten gemäß Rollenmodell Erweiterung bestehender OHB-Dokumente um Data- Governance-spezifische Vorgaben Aufnahme von Data-Governance- Zielen in Zielvereinbarungen von Führungskräften und Mitarbeitern Begleitende Kommunikationsmaßnahmen Entwurf und Kommunikation von Vorstandsleitlinien zu Data Governance Stakeholder-Analyse und Kommunikationsplanung Ggf. Lessons Learned in Bezug auf vorangegangene Data- Governance-Initiativen Stakeholder-Workshops zur Validierung des Data- Governance-Konzepts Auflösung von Vorbehalten wesentlicher Stakeholder in Einzelgesprächen Start der Kommunikation des Vorhabens an alle Mitarbeiter Vorstellung der Data-Governance- Organisation über geeignete Kommunikationskanäle (Intranet- Auftritt, Newsletter, Mitarbeiterbrief) Aktivierung von Schlüsselpersonen in betroffenen Bereichen als Multiplikatoren für die Einführung Durchführung von Informationsveranstaltungen mit betroffenen Bereichen Kommunikation zur Veröffentlichung des Data-Governance-Konzepts im Organisationshandbuch (OHB) Ggf. Aufbereitung und Kommunikation ausgewählter Inhalte von Data Governance Kickoff-Veranstaltung zum Inkrafttreten von Data Governance für alle Mitarbeiter Regelmäßige Kommunikation von Beobachtungen, „Success Stories” oder Erfahrungsberichten bzgl. Data Governance im Intranet oder über Newsletter Rückkopplung von häufigen Fragen und Problemstellungen der Mitarbeiter über geeignete Kanäle (Kontaktportal, FAQ, „Sounding Boards”) Ggf. Anpassung bzw. Weiterentwicklung des Data-Governance-Konzepts Informationen zu Data-Governancespezifischen Neuerungen Regelmäßige Mitarbeiterinformation über den Umsetzungsstand 04.2016 diebank 71