Operationales Risiko

Unter dem Begriff operationelles Risiko (auch operationales Risiko genannt) werden sämtliche betriebliche Risiken verstanden, die in einem Unternehmen einen Schaden verursachen können. Von speziellem Interesse ist dieser Begriff allerdings im Bankenwesen, wo er in den letzten Jahren aufgrund der Eigenkapitalrichtlinien Basel II an Bedeutung gewonnen hat.

Im Rahmen von Basel II wird erstmals neben dem Kreditrisiko und dem Marktrisiko auch das operationelle Risiko zur Berechnung des erforderlichen Eigenkapitals herangezogen.

Definition von operationellen Risiken

Frühe Definitionen beschreiben (negativ) was operationelle Risiken nicht sind. Dabei werden bereits bekannte Risiken summiert und die nicht erklärbare Differenz als operationelles Risiko bezeichnet.

GESAMTRISIKO

• Marktrisiko
• Kreditrisiko
• Liquiditätsrisiko
• Rechtsrisiko
• operationelles Risiko

Die Residualgröße entspricht dem operationellen Risiko. Diese Definition gilt mittlerweile als überholt, da die Residualgröße auch andere Risikokomponenten umfassen kann (v.a. allgemeines Geschäftsrisiko, Reputationsrisiko).

Getrieben durch die Diskussion um Basel II hat sich eine andere (positive) Definition durchsetzen können. Der Basler Ausschuss für Bankenaufsicht definiert das operationelle Risiko als „die Gefahr von Verlusten, die in Folge der Unangemessenheit oder des Versagens von internen Verfahren, Menschen und Systemen oder in Folge von externen Ereignissen eintreten. Diese Definition schließt Rechtsrisiken ein, beinhaltet aber nicht strategische Risiken oder Reputationsrisiken.“

Verluste der Kategorie "Menschen" sind Schäden, die von Mitarbeitern eines Unternehmens vorsätzlich verursacht werden (darunter fallen sämtliche Betrugsfälle). Verluste von Mitarbeitern, die nicht vorsätzlich zugefügt werden, sind der Kategorie "interne Verfahren", auch "Prozesse" genannt, zugeordnet. Beispiele dafür sind Transaktionsfehler und Fehler verursacht durch Missverständnisse. Unter "externe Ereignisse" sind Versagen der Infrastruktur, Naturkatastrophen und Betrug durch externe Personen (z.B. Raubüberfälle) zusammengefasst.

Es ist unter operationellem Risiko eine genau definierbare negative Abweichung des tatsächlich realisierten Betriebsergebnisses im Vergleich zu dem zu erwartenden Betriebsergebnis zu verstehen.

Wichtig ist die Kenntnis des Risikoträgers über das schädigende Ereignis^[1].

Beispiele

Einer der spektakulärsten Fälle von operationellem Risiko ist der Fall Nick Leeson, der als Händler für die Barings Bank tätig war. Einer der Hauptgründe für den extrem hohen Schaden von 1.2 Mrd. EUR war der Umstand, dass Nick Leeson sowohl für den Handel von Wertpapiergeschäften als auch das Backoffice zuständig war. Durch seine anfänglichen großen Erfolge wurden ihm von der Geschäftsleitung umfassende Freiheiten gewährt und wurde auf eine genauere Prüfung der Vorgänge in seinem Geschäftsumfeld auch nach den ersten Hinweisen auf Verluste, verzichtet.

Abgrenzung zum Kreditrisiko

Die Abgrenzung zu anderen Risikoarten kann sehr herausfordernd sein. Die am häufigsten vorkommende Überschneidung betrifft operationelle Risiken im Kreditrisiko. Das bedeutet, dass durch ein operationelles Risiko ein Kreditausfall zustande gekommen ist. Dies kann auf interne aber auch externe Ursachen zurückzuführen sein. Einige Beispiele:

• Mitarbeiterfehler: ... bei der Dokumentation, Pouvoirüberschreitungen, Vergabe von Krediten an nicht existente Kunden zum eigenen Vorteil
• Systemfehler: Unausgereiftes Tool zur Verwaltung von Sicherheiten
• interne Abläufe: mangelhafte Schnittstellen im Kreditvergabeprozess,
• Externe Ursachen: Vorlage von gefälschten Gehaltsbestätigungen / Bilanzen (Kreditbetrug)

In der Praxis ist operationelles Risiko mit Kreditbezug schwer von "klassischem" Kreditrisiko zu trennen, da sich beide in einem (zumindest teilweisen) Kreditausfall auswirken. Eine sehr genaue Ursachenforschung ist hier notwendig. Die wichtigste dabei zu stellende Frage lautet: Ist der Kreditausfall auf eine Bonitätsverschlechterung zurückzuführen (Kreditrisiko) oder nicht (operationelles Risiko).

Methoden des operationellen Risikomanagements

Der Basler Ausschuss für Bankenaufsicht gibt die eher allgemeine Forderung vor: „Die Bankenaufsichtsbehörden müssen sich überzeugen, dass die Banken über interne Kontrollen verfügen, die der Art und Umfang ihres Geschäfts angemessen sind. Dazu gehören genaue Regelungen für das Delegieren von Befugnissen und Zuständigkeiten, die Trennung der Funktionen, die das Eingehen von Verpflichtungen für die Bank, das Verfügen über Gelder und die Rechenschaftslegung über ihre Aktiva und Passiva betreffen, die Abstimmung dieser Funktionen, die Sicherung der Aktiva sowie angemessene unabhängige interne und externe Revisions- und Compliance- Funktionen zur Prüfung dieser Vorschriften….“ (1)

Spezieller wird diese Vorgabe in dem Satz gefasst: „Die Aufsichtsbehörden sollten darauf achten, dass die Geschäftsleitung für wirksame interne Kontroll- und Revisionsverfahren sorgt. Außerdem sollten geschäftspolitische Grundsätze für die Handhabung oder Minderung des Betriebsrisikos aufgestellt werden. Die Bankenaufsichtsbehörden sollten sich vergewissern, dass die Banken über adäquate und wohlerprobte Pläne für die Wiederaufnahme des Betriebs aller wichtigen EDV-Systeme verfügen, mit Ausweichmöglichkeiten an einem anderen Ort, um gegen Betriebsstörungen gewappnet zu sein.“(2)

Versicherungsprodukte

Beim Risikomanagement kann auf institutionelle Produkte zur Absicherung gegenüber operationellen Risiken zurückgegriffen werden. Sie bieten Absicherung gegen:

• Fidelity/Bankers Blanket Bond (Betriebstreuhandversicherung)
• Electronic Computer Crime
• Professional Indemnity (Berufshaftpflichtversicherung)
• Employment Practices Liability
• Unauthorized Trading

Messansätze für Operationelles Risiko (nach Basel II)

Letztendlich spiegelt sich das Operationelle Risiko nach Basel II bei der Berechnung der Mindestkapitalanforderungen in einer Zahl wider, die möglichst genau das Verhältnis von Gewinn und Risiko darlegt. Zur Ermittlung dieser Zahl gibt es verschiedene Messansätze, die durch Basel II weitestgehend definiert werden.
Die verschiedenen Messansätze für das operationelle Risiko steigen in ihrer Fortschrittlichkeit und Komplexität in Nennreihenfolge an: Basisindikatoransatz , Standardansatz und fortgeschrittener Messansatz (Advanced Measurement Approach {AMA}: Interner Bemessungsansatz, Verlustverteilungsansatz, Scorecardansatz) . Während für den Basisindikatoransatz eine Zahl für den Gesamtkonzern bestimmt wird, lässt sich bei dem Standardansatz immerhin schon nach verschiedenen Geschäftsbereichen und entsprechend angepassten Risikogewichten unterscheiden. Für beide Ansätze sind in der Basler Eigenkapitalvereinbarung bereits Berechnungsformeln vorgegeben. Der AMA hingegen lässt den Kreditinstituten einen großen Spielraum, ihre operationellen Risiken anhand eigener Messverfahren zu ermitteln. Weiterhin ist es möglich, den Standardansatz mit dem AMA zu kombinieren. Sowohl für den Standardansatz als auch für den AMA gibt es aufgrund der Flexibilität beider Messansätze jeweils einen Anforderungskatalog, dessen Anforderungen mindestens umgesetzt werden müssen, um den jeweiligen Messansatz verwenden zu dürfen.

Generell gilt, dass bei den ambitionierteren Ansätzen zwar die Komplexität und die Risikosensititvität steigt und die quantitativen und qualitativen Anforderungen höher sind. Auf der anderen Seite mindern diese Ansätze die Höhe der Eigenkapitalunterlegungspflicht bei gleich bleibendem Exposure an operationellen Risiken.

Ein großes Problem bei der praktischen Umsetzung von ambitionierten Ansätzen stellt die Datenbasis dar. In nahezu keiner Bank ist eine ausreichend lange Datenhistorie vorhanden, die es erlauben würde, allein damit eine Messung operationeller Risiken durchzuführen. Basel II fordert daher von Banken explizit, auf externe Daten zurückzugreifen. Solche externen Datenbanken können einerseits von kommerziellen Anbietern gekauft werden, die Daten professionell aus Presseberichten etc. sammeln. Zum anderen schließen sich Institute zu Datenkonsortien zusammen, in denen sie Schadenfalldaten miteinander austauschen.

Einzelnachweise

1. ↑ European Financial Institutions Risk Managers Forum: Typology of Operational Risk (in englischer Sprache)

Literatur

• Basler Ausschuss für Bankenaufsicht: Sound Practices for the Management and Supervision of Operational Risk (dt.: Management operationeller Risiken - Praxisempfehlungen für Banken und Bankenaufsicht, 2003
• Kerstin Klein: "Basel II - Messung operationeller Risiken", 1. Auflage, Firstmex Edition Betriebswirtschaft, Köln 2008, ISBN 978-3-8370-6285-4
• Christian Einhaus: Operationelle Risiken - Grundlagen der aktuellen Diskussion, in: Die Sparkasse, 119 Jg., Heft 11, November 2002, S. 488 - 490.
• Marc D. Grüter: Management des Operationallen Risikos in Banken, Schriftenreihe des Zentrums für Ertragsorientiertes Bankmanagement, 2006, ISBN 3-8314-0790-8
• Oesterreichische Nationalbank/Finanzmarktaufsicht (2005): Management des operationellen Risikos
• H. Schierenbeck: Ertragsorientiertes Bankmanagement Band 2: Risiko Controlling und integrierte Rendite-/Risikosteuerung, 7. Auflage, 2001, Wiesbaden
• Carsten Steinhoff, Sanjay Merchant: Exchanging Times, in: Operational Risk & Compliance, Heft 5/2006, Seite 42-43.
• Norbert Hofman, Bernd Malakowski: Ansätze zur praxisorientierten Identifikation und Bewertung Operationeller Risiken, in: Risiko Manager, Heft 21/2007, Seite 12-17.
• Hinterhuber, Hans/ Sauerwein, Elmar/ Fohler-Norek, Christine: Betriebliches Risikomanagement, Wien, 1998

Weblinks

• Management von operationellen Risiken im Groß- und Einzelhandel der Komsumgüterbranche
• Zur abweichenden Definition im europäischen Bankenbereich siehe [1]