die bank 10 // 2015

ó BETRIEBSWIRTSCHAFT

ó BETRIEBSWIRTSCHAFT Die Rechtsabteilung als Risikomanager? COMPLIANCE Die Anzahl der in der Finanzindustrie anhängigen Verfahren verdeutlicht die Relevanz von Rechtsrisiken für die Branche. Beispielhaft seien Verstöße gegen Wirtschaftssanktionen und Geldwäsche, Zinsmanipulation, die Beihilfe zur Steuerhinterziehung oder eine geänderte Rechtsauffassung der Gerichte mit Ausstrahlungswirkung auf das Bestandsgeschäft genannt. Der vorliegende Artikel beleuchtet die in diesem Zusammenhang beobachtete Veränderung der Rolle der Rechtsabteilung in den Instituten und zeigt die damit verbundenen Herausforderungen auf. Hartmut T. Renz | Martin Ruf Keywords: Risikomanagement, Organisation, Rechtsverfahren Aus der Perspektive des Aufsichtsrechts sind Rechtsrisiken ein Bestandteil des operationellen Risikos. 1 In der Praxis subsumieren viele Institute immer häufiger unter den Begriff der Rechtsrisiken nicht nur die bereits bewerteten passiven Rechtsrisiken (das Risiko, verklagt zu werden), sondern auch aktive Rechtsrisiken (bestehende Rechtspositionen nicht durchsetzen zu können). Ergänzend zur Abgrenzung des Rechtsrisikos hat der Baseler Ausschuss für Bankenaufsicht (BCBS) 2 2005 das Compliance-Risiko wie folgt definiert: „Compliance-Risiko umfasst das Risiko von rechtlichen oder regulatorischen Sanktionen, materiellen finanziellen Verlusten oder Reputationsverlust eines Instituts aufgrund der Nichteinhaltung von Gesetzen, Vorgaben, Regeln, selbstverpflichtenden Standards und Verhaltenscodizes“. Dieser Definition liegt ein weiter Compliance-Begriff zugrunde, der sich mittlerweile auch in der Praxis etabliert hat und in Deutschland durch die MaRisk-Compliance-Funktion auf die Evaluierung aller wesentlichen rechtlichen Vorgaben und der daraus resultierenden Risiken abstellt. Werden Rechtsrisiken aus Sicht der Institute als wesentliche Risikoart eingestuft, müssen die Institute angemessene Risikosteuerungs- und Risikocontrolling- Prozesse einrichten, die eine Identifizierung, Beurteilung, Steuerung sowie Überwachung und Kommunikation der Risiken gewährleisten. 3 Die Rechtsabteilung der Institute nimmt in diesem Fall eine zentrale Funktion wahr, wenngleich die Verantwortung für die Steuerung der Risiken weiterhin bei den betroffenen Geschäftsbereichen liegt. Im Rahmen des Konzepts der drei Verteidigungslinien des Internen Kontrollsystems (IKS) sollte das Rechtsrisikomanagement ein Teil der zweiten Verteidigungslinie sein. Die Verantwortung für die internen Prozesse und Verfahren liegt bei den Geschäftsbereichen (vgl. bspw. MaComp AT 6.2; erste Verteidigungslinie). Auf der zweiten Verteidigungslinie sind ohnehin die Compliance und das Risikocontrolling angesiedelt. Die dritte Verteidigungslinie – die Interne Revision – prüft dabei neutral und prozessunabhängig die Funktionsfähigkeit des IKS. Die geänderte Rolle der Rechtsabteilung Die starke Häufung von Streitfällen und Gerichtsprozessen mit Bankenbeteiligung in der jüngeren Vergangenheit und die zu beobachtende deutlich kritischere Rechtsprechung gegenüber Banken bedingen eine Veränderung der Rolle des Rechtsbereichs in den Instituten. 4 Wurde bislang vielfach ein bloßes Reagieren im Umgang mit Rechtsrisiken beobachtet, liegt der Fokus zukünftig verstärkt auf einem integrierten proaktiven Rechtsrisikomanagement ” 1. Der Grund für diese Entwicklung ist leicht nachzuvollziehen: Der reaktive – zumeist einzelfallorientierte – Ansatz hat bei vielen Instituten dazu geführt, dass das volle Ausmaß der bestehenden Rechtsrisiken erst mit zeitlicher Verzögerung aufgedeckt und somit der Handlungsspielraum für risikomindernde Maßnahmen (etwa in Form von außergerichtlichen Einigungen, Vertriebsstopps usw.) stark eingeschränkt wurde. In der Folge wurden viele dieser Fälle auf dem Gerichtsweg entschieden, was insbesondere unter Reputationsgesichtspunkten keine wünschenswerte Entwicklung darstellt. Der integrierte proaktive Ansatz zum Rechtsrisikomanagement wirkt dieser Entwicklung durch eine möglichst frühzeitige prozessuale Identifizierung von Rechtsrisiken und damit verbundener Risikokonzentrationen entgegen. Merkmale des integrierten proaktiven Rechtsrisikomanagementprozesses Der integrative Ansatz zielt auf die systematische Verzahnung der Rechtsabtei- 62 diebank 10.2015

BETRIEBSWIRTSCHAFT ó lung mit anderen Organisationseinheiten und Funktionen ab. Damit ist insbesondere ein enger und intensiver Austausch mit der Risikocontrolling-Funktion und der Compliance-Funktion verbunden. Über die bereits bestehenden OpRisk-Assessments der Risikocontrolling-Funktion können beispielsweise wichtige Informationen über potenzielle Rechtsrisiken generiert werden. Dies gilt auch für die Risiko- und Gefährdungsanalysen der Compliance-Funktionen. Die Praxis in den Instituten hat gezeigt, dass eine systematische, übergreifende Überwachung, Vernetzung und Bewertung von rechtsrisikorelevanten Informationen einen integrativen Prozess unter Einbindung aller relevanten Experten erfordert. Das derzeit noch vielfach zu beobachtende siloartige Vorgehen schafft hingegen kaum Mehrwert, sondern führt zu Inkonsistenzen in der Risikoidentifizierung und -bewertung und im ungünstigen Fall zu Fehlentscheidungen im Umgang mit Risiken. Die geforderte proaktive Ausrichtung der Rechtsabteilung zielt auf eine Abkehr vom bislang reaktiven (Einzel-)Fallmanagement ab. Damit ist sowohl eine institutsinterne als auch externe Perspektive verbunden: ó Institutsintern geht die Rechtsabteilung regelmäßig im Rahmen der Op- Risk-Assessments und anlassbezogen gemeinsam bzw. in Absprache mit der Risikocontrolling-Funktion auf die verantwortlichen Geschäftsbereiche zu und erörtert mit diesen potentielle Rechtsrisiken und die damit verbundenen Risikokonzentrationen. Hinsichtlich des methodischen Rahmens zur Identifizierung und Bewertung der Rechtsrisiken wird auf die Werkzeuge des OpRisk-Controllings zurückgegriffen. ó Extern erarbeitet die Rechtsabteilung auf Verbandsebene sowie mit den Rechtsabteilungen und den Compliance-Funktionen anderer Institute Best-Practice-Ansätze hinsichtlich aufgetretener Rechtsfälle, um daraus Rückschlüsse auf das eigene Haus ziehen zu können und ähnlich gelagerte Fälle frühzeitig identifizieren zu können. Mit der Etablierung eines spezifischen Rechtsrisikomanagementprozesses unter fachlicher Koordination der Rechtsabteilung auf Basis des Methodensets des Operationellen Risikomanagements wird die Operationalisierung der zuvor genannten Punkte sichergestellt. Bei der Ausgestaltung des Prozesses laufen zentral alle relevanten Informationen hinsichtlich potenzieller Rechtsrisiken beim Rechtsrisikokoordinator in der Rechtsabteilung zusammen, werden durch diesen aufbereitet und ausgewertet und an die verantwortlichen Stellen im Unternehmen in Form von Analysen und Berichten zur Entscheidungsfindung weitergeleitet. Eine mögliche organisatorische Ausgestaltung dieses Rechtsrisikomanagementprozesses ist in ” 2 dargestellt. Erfolgsfaktoren bei der Umsetzung Eine erfolgreiche Umsetzung des integrierten proaktiven Rechtsrisikomanagementprozesses ist von mehreren Faktoren abhängig. Als zentrale Grundlage sind sowohl eine Definition von Rechtsrisiken, bei der insbesondere der Umfang der Rechtsrisiken festgelegt wird, als auch eine organisatorisch verankerte und fl Eine systematische Überwachung rechtsrisikorelevanter Informationen erfordert einen integrativen Prozess unter Einbindung aller relevanten Experten. 1 Entwicklungsstufen im Umgang mit Rechtsrisiken Reaktives Fallmanagement Primär reaktive, fallorientierte Ausrichtung Koordination des Einsatzes von externen Anwälten steht im Vordergrund Information des Managements erfolgt einzelfallbezogen (kein etabliertes Rechtsrisikoreporting) von den Führungskräften einschließlich der Geschäftsleitung gelebte Risiko- und Compliancekultur erforderlich. Zur Vermeidung von Redundanzen in der operativen Ausgestaltung muss das Zusammenarbeitsmodell zwischen Rechtsabteilung, Risikocontrolling und Compliance festgelegt werden. Dabei ist vor allem zu klären, wie die Identifizierung, die Steuerung und das Reporting der Rechtsrisiken erfolgen sollen. Dabei ist insbesondere zu prüfen, inwiefern auf die bestehenden Methoden des OpRisk-Controllings zurückgegriffen werden kann. Mit dieser Vorgehensweise soll eine methodische Konsistenz zum operationellen Risiko ge- Integriertes proaktives Rechtsrisikomanagement Regelmäßige Rechtsrisiko-Assessments und aktive Ansprache von Geschäftsbereichen Identifikation von Rechtsrisiko-Konzentrationen (Produkte, Vertriebswege etc.) Systematische Verzahnung mit anderen Disziplinen (insbesondere OpRisk, Compliance und Rechnungswesen) Systematische Rückstellungsbildung Etablierung von Rechtsrisikofrühwarnsystemen Umfassendes Reporting über Rechtsrisiken ist etabliert 10.2015 diebank 63