24 firm Frankfurter
24 firm Frankfurter Institut für Risikomanagement und Regulierung Veränderte Risikolandschaft braucht Stärkung der Corporate Governance Jahrhundertelang bestimmte das mehr oder weniger professionelle Managen von Kredit-Ausfallrisiken das Wohl und Weh der Banken. Dagegen hat sich in den letzten 40 Jahren die Risikolandschaft der Banken dramatisch verändert. Einen wesentlichen Beitrag hierzu leistete der Regulator selbst. Mit der regulatorischen Zulassung interner Marktrisikomodelle für die Kapitalunterlegung durch den Baseler Ausschuss für Bankenaufsicht begann Mitte der 80er Jahre der Siegeszug des Investments Bankings. Handelsrisiken dominierten von nun an den Geschäftserfolg. Aber erst im Rahmen der globalen Finanzmarktkrise 2008 wurde offenkundig, dass Kredit- und Handelsrisiken zwei Seiten der gleichen Medaille sind. Nicht die Verbuchung im Bank- oder Handelsbuch, sondern allein die Liquidität der Position bestimmt, ob die Position als Markt- oder als Kreditrisiko ausschlagend wird. Der Vertrauensverlust der großen internationalen Banken untereinander bewirkte einen Wegfall der Liquidität. In diesem Zuge verwandelte die Finanzmarktkrise quasi über Nacht Marktrisiken in 100-fach größere Kreditrisiken. Vom Lehman-Crash zu schärferen Regularien Die globale Vermarktung von US-amerikanischen Subprime-Asset Backed Securities (ABS) brachte viele europäische Institute an den Rand des Abgrunds. Dies betraf vor allem die Institute, die sich auf das externe Investment Grade Rating der Papiere blind verließen. Selbst AAA geratete Subprime-CDOs erlitten einen Totalausfall. Die Folge war, dass auch Ratings der großen drei internationalen Rating-Agenturen für andere strukturierte Finanzierungen nicht mehr vertraut wurde. Dies verstopfte bei Management Buy Outs und Leverage-Finanzierungen die Vertriebskanäle, wodurch große Originator-Institute auf den Klumpenrisiken sitzen blieben. Ohne die mutige, vom Financial Stability Board koordinierte, staatliche Rettungsaktion nach dem Lehman-Crash im Herbst 2008, wäre das internationale Bankensystem wohl zusammengebrochen. In diesem Zuge wurde das internationale Bankensystem ständigen Wellen regulatorischer Nachschärfungen durch den Baseler Ausschuss unterworfen. Und das unter anderem mit der Schaffung von Bonus-Malus-Systemen bei der Managervergütung, der Neueinführung von zwei Liquiditätsratios und dem Leverage Ratio, höheren Kapitalanforderungen sowie der Begrenzung der Kapitalerleichterung durch die Verwendung interner Modelle. Nie wieder wollte sich die internationale Staatengemeinschaft in der Breite einem solch dramatischen „moral hazard“-Risiko gegenübersehen. Ob diese regulatorischen Verschärfungen die Systemstabilität tatsächlich erhöht haben, werden wir erst in der nächsten Krise erfahren. Nach der längsten Niedrigzinsphase, die die Industrienationen weltweit je gesehen haben, dürfte ein Wiederanstieg der Zinsen – insbesondere, wenn dieser steil verläuft – die Asset-Blase
25 Ausgabe 06/2018 zum Platzen bringen und die Volatilität von „hot money flows“ erhöhen. Losgelöst von den vielen Einzelinvestments, die sich auf Basis höherer Zinsen und im Zuge technologischer Umbrüche dann nicht mehr rechnen werden. Dabei sollten wir eines nicht vergessen: In der Finanzindustrie sind die Banken die mit Abstand am stärksten „geleveragden“ Adressen. Compliance und Cybercrime In den letzten Jahren spielen internationale Compliance-Risiken eine immer größere Rolle. Auch die beiden größten deutschen Banken wurden durch zurückliegende internationale Rechtsverstöße und die sich hieraus ergebenden Strafzahlungen in Milliardenhöhe massiv betroffen. Wer in US-Dollar internationale Geschäfte betreibt, hat amerikanisches Recht zu beachten und zu fürchten – auch wenn die USA nicht unmittelbar tangiert sind. Compliance-Risiken sind heutzutage die wahren Monster von Finanzgeschäften und verhalten sich wie die Hydra der griechischen Mythologie. Schlägt man einen Kopf ab, wachsen zwei neue nach. Zunächst war es nur der Insider-Handel. Dann kamen Geldwäsche, Korruption, Terror-Finanzierung, Steuer-Betrug, Kreditbetrug und Marktmanipulation hinzu. Das aktuelle Thema heißt Cybercrime. Wieso gehört Cybercrime zu den Compliance-Risiken? Der Schutz der Daten und die Sicherheit der Kunden sind entweder gesetzlich vorgeschrieben, oder sie gehören zum Moralkodex eines jeden Unternehmens. Fortschritt hat eben stets zwei Seiten – die Chance und das Risiko. Durch die zunehmende Überführung aller Bank- und Kundendaten auf IT-Plattformen (Stichwort: Digitalisierung) schaffte man die Voraussetzung für die moderne Banksteuerung nach Basel II und III. Interne sowie externe Attacken auf die Geschäftsaktivitäten der Banken wurden hierdurch ermöglicht. Das Cybercrime-Risiko ist somit der Wegbegleiter der Digitalisierung. Dabei befinden wir uns erst am Anfang. Ohne Verlinken über das Internet und die Digitalisierung der Bankprozesse ist ein modernes Bankgeschäft heutzutage nicht mehr möglich. Online-Dienste sind das Gebot der Stunde, für alle Unternehmen. Moderner Zahlungsverkehr macht den Zugriff auf Kundendaten sowohl international über Server, die in Drittstaaten stehen, als auch über das Darknet möglich. Das Mobile-Banking via Smartphone sowie Kreditkarten eröffnet weitere Zugriffsmöglichkeiten für Kriminelle. Für die kriminelle „Intelligentia“ ist Cybercrime die Spielwiese der Zukunft. Hat man als krimineller Hacker erst einmal genug Erfahrungen gesammelt, kann man auch die Seiten wechseln. Dann wird aus dem „Saulus“ ein „Paulus“. Das heißt, man geht in die Abwehr von Cybercrime, sprich zu Unternehmen oder zu Behörden. Sei es das Cyber-Abwehrzentrum NCAZ (Nationale Cyber-Abwehrzentrum) unter Leitung des Bundesamts für Sicherheit in der Informationstechnik (BSI) oder zur Cyber-Truppe der Bundeswehr, der inzwischen 13.000 Soldaten unterstehen sollen. Die potenziellen Gewinne von Kriminellen durch Cybercrime sind hoch. Das Gute daran ist, dass die handelnden Personen sich nicht mehr die Finger schmutzig machen müssen und auch nicht Leib und Leben Dritter gefährden. Im Ausland bleibt man häufig unerkannt, die Aufklärungsquote ist deshalb gering. Dass in Cybercrime auch Schurkenstaaten eine Spielwiese zum Geldverdienen oder der Schädigung von Gegnern sehen, liegt auf der Hand. Durch die Wahlmanipulation kann man gegnerische Staaten schwächen, ohne eine Kugel abzuschießen. Cybercrime ist somit das wahre Monster, der Leviathan, der die moderne Zivilisation bedroht. Hierbei befinden wir uns zweifellos erst am Anfang der Entwicklung, auch wenn die bekannten Schadensfälle sich jährlich bereits im Bereich von mehreren Milliarden Euro bewegen. Die Dunkelziffer ist hoch. Denn welches Unternehmen möchte zusätzlich seine Reputation dadurch ruinieren, dass es Cybercrime und damit Schadensfälle publik macht. Für mich ist es deshalb nur noch eine Frage der Zeit, bis eine große Bank ihre Geschäftstätigkeit durch Ausfälle im Zuge eines Cybercrime-Angriffes wird einstellen müssen. Das Buch „Black Out“ von Marc Elsberg liefert einige Szenarien, welche Konsequenzen der Zusammenbruch der Stromversorgung im Zuge eines Cyberangriffs haben kann. Nicht auszudenken, was passieren kann, sollte es dem internationalen Terror einmal gelingen, eine Atombombe zu starten und hiermit eine Großstadt auszulöschen. Denn hierzu muss man keine Rakete mehr stehlen, es reicht der anonyme Zugriff auf die Steuerungssoftware. Undenkbar ist das alles nicht mehr. Zurück vom Inferno der täglichen Bedrohung von Unternehmen. Die Abwehr von Cyberangriffen gehört bei Finanzdienstleistern und dem Geldtransfer von Unternehmen inzwischen zum Alltag; das gilt auch für den Mittelstand. Aber auch Privatpersonen rücken unmittelbar in den Focus. Durch gefälschte Webseiten werden Kontodaten erbeutet und in diesem Zuge die Konten der Privatpersonen geplündert. In ganz Europa gibt es heute frei zugängliches WLAN, das Cybercrime-Zugriffe stark vereinfacht. Gleiches gilt für Funk-Kreditkarten. Insofern ist es für mich kaum nachvollziehbar, dass auch heute noch in vielen Banken für das Cybercrime-Risiko völlig unzureichende Governance-Strukturen existieren. Dabei vertrauen Vorstände bei der Absicherung ihrer Systeme ihren IT-Spezialisten. Getreu dem Motto: Diese werden es schon richten. Und wenn nicht? Im Siemens Korruptionsskandal haben Gerichte die Verantwortung des Gesamtvorstands eines Unternehmens für die Schaffung einer leistungsfähigen Compliance-Organisation herausgestellt (Stichwort: Organ-Haftung). Es wurden hohe Geldbußen gegen Vorstandsmitglieder verhängt [vgl. hierzu vertiefend Hartmann/ Romeike 2015]. Cybercrime-Risiken gehören zu den Compliance-Risiken. Dadurch ist absehbar, dass eine nachweislich unzureichende Überwachung durch den Vorstand bzw. eine hierfür geschaffene leistungsfähige Organisation in schweren Schadensfällen zu hohen Geldstrafen oder sogar zur Ablösung von Vorständen führen kann. BJR: unzureichende Kenntnisse der Führungsebene Seit Jahren kritisiere ich, dass Vorstände und Aufsichtsräte der deutschen Finanzindustrie völlig unzureichende Kenntnisse von der internationalen Grundregel für unternehmerische Entscheidungen haben. Dabei geht es um umfassende Kenntnisse der Business Judgement Rule (BJR). Nur deren Einhaltung kann die erste Managementebene und das Aufsichtsorgan vor der straf- und der zi-
