6
6 RISIKO MANAGER 05|2016 Prozessen bezüglich operationeller Risiken aufzeigen, wesentliche Risiken aufdecken und zugleich Vorschläge für risikoreduzierende Maßnahmen liefern. Dabei wird für jeden wesentlichen Prozess ein Bewertungsobjekt definiert und analysiert. Vergleicht man die Risikobewertungen im Zeitverlauf, fällt auf, dass auch bei verringerter Anzahl der Bewertungsobjekte die Risikoeinschätzungen prozentual vergleichbar sind. Der überwiegende Anteil der Bewertungen liegt im unteren und mittleren Risikobereich. Dabei betrifft die am wenigsten kritisch bewertete Kategorie die Technologie. Die Kategorie Prozesse findet sich im mittleren Risikobereich. Die Kategorie Personal zeigt eine im Vergleich zu den anderen Kategorien besonders kritische Bewertung, was aufgrund der tiefgreifenden Veränderungen des Unternehmens nachvollziehbar ist Risk Self Assessment zu wesentlichen Projekten Potenzielle operationelle Risiken wesentlicher Projekte und Aktivitäten sind grundsätzlich zu analysieren und zu überwachen; die Analysebegleitung erfolgt ebenfalls nach der etablierten Vorgehensweise des Risk Self Assessments. Dabei werden die Risiken quartalsweise durch die jeweilige Projektleitung bewertet. Bei der Auswahl der zu analysierenden Projekte werden Größe, Komplexität und Restlaufzeit entsprechend berücksichtigt. Tab. 01 zeigt beispielhaft eine Risikolandkarte für wesentliche Projekte. Tab. 01 Lokation Beispiel einer Risikolandkarte zu wesentlichen Projekten Risikofaktor Risk Self Assessment der wesentlichen Auslagerungen Das RSA der wesentlichen Outsourcings erfüllt die grundlegenden Anforderungen an eine ordnungsgemäße Geschäftsorganisation für die ausgelagerten Aktivitäten und Prozesse nach § 25b KWG, die auch in den MaRisk (Mindestanforderungen an das Risikomanagement) der BaFin präzisiert werden. Zudem verlangt MaRisk AT 9 für wesentliche Auslagerungen, dass für Fälle unbeabsichtigter oder ungeplanter Beendigung, die die Geschäftstätigkeit erheblich beeinträchtigen, etwaige Handlungsoptionen auf Durchführbarkeit zu prüfen sind. Eine derartige Beeinträchtigung könnte beispielsweise der Ausfall eines IT-Providers sein. Dieses Risk Self Assessment wird jährlich für alle als we- Personal Prozesse Technologie Externe Ereignisse Andere Risiken Projekt 1 niedrig mittel niedrig niedrig mittel Projekt 2 mittel hoch niedrig niedrig mittel Projekt 3 hoch mittel niedrig niedrig mittel … … … … … … Risikoentwicklung im Vergleich zum Reporting im Vorquartal: Erhöhung Risiko Reduzierung Risiko Tab. 02 Beispiel einer Risikolandkarte zu wesentlichen Outsourcings Auslagerung Ergebnisse Outsourcing Review 2015: Höchster Risk Score Geschäftstätigkeit bei Ausfall erheblich beeinträchtigt? Ja Vorübergehend (in Schließung, Rückverlagerung oder in Ablösung) Nein Handlungsoptionen Vorhanden, Durchführbarkeit geprüft Besondere Exit-Regelungen im Vertrag Falls keine Handlungsoptionen Provider mit starker Marktposition Provider regulatorisch beaufsichtigt Kommentar Auslagerung 1 9 X X Eigenerstellung der Leistung möglich Auslagerung 2 16 X X Mandatierung Dritter für benötigte Services Auslagerung 3 20 X X Handlungsoptionen offen/ in Prüfung … Legende: OS = Operations & Services, RS = Risk Services, CT = Finance, Controlling & Steuern.
OpRisk 7 sentlich definierten Auslagerungen des Unternehmens durchgeführt; die Wesentlichkeitseinschätzung erfolgt vor jeder Assessment-Runde. Das Risk Self Assessment für Auslagerungen gewinnt mit zunehmender Verkleinerung der PAG, die mit der Reduktion der Mitarbeiteranzahl auch eine Verkleinerung des Expertenwissens und damit auch eine höhere Anzahl an auszulagernden Tätigkeiten mit sich bringt, an Bedeutung. Die tatsächliche Einschätzung der Risikosituation einzelner Outsourcings ist unabhängig von Größe oder Entwicklung des auslagernden Unternehmens – lediglich die jederzeitige Steuerung des und Kontrolle über das Outsourcing durch die zuständige Fachabteilung muss gewährleistet sein. Tab. 02 skizziert eine Risikolandkarte für wesentliche Outsourcings. Analyse der Personalrisiken Um den vor dem Hintergrund der Veränderungen des Unternehmens kritischen Bewertungen in der Risikokategorie Personal Rechnung zu tragen, hat die PAG die sogenannte ‚HR-Risk Map‘ genutzt. Mithilfe dieses Instruments werden in einem Ampelverfahren auf Basis der in der Bank auswertbaren Daten mögliche Indikatoren zur Risikoüberwachung (wie VAK-Plan-Ist-Vergleich oder Eigenkündigungsquote) zusammengestellt und analysiert ( Tab. 03). Tab. 03 Beispiel einer HR-Risk Map GB-Score Personal-Risiken Zusammenfassung und Ausblick Geänderte Rahmenbedingungen erfordern ein Umdenken in Bezug auf Strukturen und Organisation von Unternehmensteilen. Insbesondere in der Risikoorganisation müssen Qualitätsstandards und der Überblick über mögliche Risiken jederzeit gewahrt werden. Das Management operationeller Risiken wird in der PAG in einer angepassten Organisationsform durchgeführt. Während quantitative Maßnahmen an Bedeutung verlieren, wird durch ausgewählte qualitative OpRisk-Instrumente und die direkte Kommunikation auf Expertenebene weiterhin ein adäquates und hochwertiges Management operationeller Risiken sichergestellt. Eine Auswertung der Risikoereignisse zeigt, dass sich das Schadenvolumen nicht proportional zur Schadenanzahl verringert. Die Risk Self Assessments werden weiterhin durchgeführt und zeigen vergleichbare Risikolandkarten. Die Verschlankung des Managements operationeller Risiken ist ohne Qualitätseinbußen gelungen. Autoren Dr. Peter Stemper, Vorstandsvorsitzender, Portigon AG. Sabine Hauschildt, Leiterin Operational Risk Controlling, Portigon AG. VAK-Plan- Ist-Vergleich Eigenkündigungs-Quote Krankheitsquote Mehrarbeit Information & Anmeldung: Stefan Lödorf | Bank-Verlag GmbH Telefon: 0221/5490-133 | events@bank-verlag.de Jetzt anmelden Gewichtung der Indikatoren 100 % 25 % 25 % 25 % 25 % GB 1 2,25 -13,2 % 7,5 % 3,0 % 9,5 % GB 2 2,00 -16,5 % 9,5 % 1,8 % 0,0 % GB 3 1,75 -7,0 % 0,0 % 8,4 % 1,3 % GB 4 1,75 -18,8 % 4,0 % 1,8 % 0,0 % www.opriskforum.de Sponsor …
