Mindestanforderungen an das Risikomanagement (MaRisk) - Ausgangspunkt für eine erfolgreiche Gesamtbanksteuerung

MaRisk – Ausgangspunkt für eine erfolgreiche Gesamtbanksteuerung Im Dezember 2005 hat die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) die Mindestanforderungen an das Risikomanagement (MaRisk) veröffentlicht. Mit der Umsetzung MaRisk werden von der BaFin die Basel II-Anforderungen zur Umsetzung der „Säule II – Aufsichtsrechtlicher Überprüfungsprozess“ konkretisiert und die Grundlage für eine integrierte Risikosteuerung gelegt. Vorliegender Artikel gibt einen Überblick über die wesentlichen Anwendungsbereiche der MaRisk, ihren konkreten Folgen für die Banken sowie gibt einen Ausblick auf künftige Handlungsfelder im Rahmen der flexiblen Grundausrichtung der MaRisk. Zentraler Baustein für die nationale Ausgestaltung der qualitativen Bankenaufsicht Die MaRisk sind die Grundlage des „Supervisory Review Process (SRP)“ der Säule II von Basel II. Wesentlich für dessen Ausgestaltung ist das „Prinzip der doppelten Proportionalität“. Es besagt, daß 1 sich einerseits die Kapitalausstattung des Instituts inklusive der zugehörigen Prozesse und andererseits deren Prüfung durch die Aufsicht an der Größe, dem Geschäftsvolumen und dem Risikoprofil orientieren soll. Basel II Säule II: Prinzip der doppelten Proportionalität ICAAP SREP (Internal Capital Adequacy Assessment (Supervisory Review Evaluation Process) Process) Soll proportional zur Komplexität Soll proportional zu den und Risikogehalt des Geschäfts sein. Risiken des Instituts sein. Grundsätze Grundsätze I: Bankinterner Einschätzungsprozess II: Aufsichtlicher Prüfungsprozess III: Flexible Kapitalanforderungen IV: Frühe Intervention der Aufsicht Abbildung 1: Prinzip der doppelten Proportionalität Für das „Wie“ der Umsetzung enthalten die MaRisk Leitlinien statt fester Regeln. Neben der internen Beurteilung der Inanspruchnahme vielfältiger Gestaltungsspielräume und Öffnungsklauseln muß auch die Bedeutung unbestimmter Begriffe geklärt werden. Ausschlaggebend für die Entscheidung sind regelmäßig „Größe, Geschäftsvolumen und Risikoprofil“ des Instituts. Zu beachten ist, daß es sich um „Mindestanforderungen“ handelt, d.h. im Einzelfall kann aus Risiko- oder betriebswirtschaftlicher Sicht auch eine Überschreitung der Regeln angebracht sein. Die Folgen sind: Die MaRisk bergen ein „Mehr“ an Eigenverantwortung für die Institute und Geschäftsleiter, dafür jedoch auch ein „Mehr“ an Auslegungsregeln. Die Inanspruchnahme der Gestaltungsspielräume und Nutzung von Öffnungsklauseln ist individuell zu beantworten. Die Leitlinien der Säule II / der MaRisk sind durch das Institut zu konkretisieren. Die Herausforderung liegt im Finden des „Best Fit“ für das Institut und erfordert ein solides fach- und technisches Know-how der beteiligten Projektmitarbeiter. Die wesentlichen Neuerungen der MaRisk und ihre Auswirkungen auf die Institute sind nachfolgend kurz dargestellt. 1 Dies umfasst neben den Risikocontrolling- und Risikomanagementprozessen auch die Planungs- und Kapitalsteuerungsprozesse. Seite 1 von 7 Konsolidierung der bisherigen Mindestanforderungen und Ausdehnung auf weitere Risikoarten Während die MaIR weitgehend unverändert in die MaRisk eingeflossen sind, stehen Konkretisierungen und Erleichterungen der MaK und MaH eine Ausdehnung auf weitere Risikoarten gegenüber. Mit den MaRisk liegen nun auch Mindestanforderungen an das Management der Liquiditätsrisiken, der operativen Risiken und der Zinsänderungsrisiken im Bankbuch vor. Kurzgefaßt enthalten sie inhaltlich folgende Neuerungen. Liquiditätsrisiko Diversifikation des Funding, Durchführung regelmäßiger Liquiditäts-Gap-Analysen, Überwachung kurzfristiger Liquiditätsrisiken und deren Abdeckung, Dokumentation der zu Grunde liegenden Modellannahmen und Notfallplanung im Falle eines Liquidationsengpasses, regelmäßige Berichterstattung an die Geschäftsleitung. Operationelle Risiken Mindestens jährliche Beurteilung, wobei bedeutende Schadensfälle einer unverzüglichen Ursachenanalyse bedürfen. Mindestens jährliche Berichterstattung an die Geschäftsleitung der bedeutenden Schadensfälle, wesentlichen operativen Risiken und Maßnahmen, Überwachung der Maßnahmenumsetzung. Zinsänderungsrisiko Bankbuch Mindestens vierteljährliche Bewertung des Zinsänderungsrisikos im Bankbuch auf Gesamtbankebene und Berichterstattung an die Geschäftsleitung. Dies umfaßt die Ermittlung der Auswirkungen auf die Ertragslage und den Barwert. Falls noch kein Barwertansatz implementiert ist, muß eine angemessene Betrachtung der Ertragslage über den Bilanzstichtag hinaus erfolgen. Die in die MaRisk überführten Anforderungen sowie Erleichterungen zum bisherigen Status sind seit der Veröffentlichung gültig. Alle anderen, über die bisherigen Regeln hinausgehenden Anforderungen werden zum 1. Januar 2007 gültig. Die Folgen für das Institut sind: Organisatorische, prozessuale und technische Anpassung bzw. Erweiterung des bisherigen Risikomanagementsystems um die zusätzlich aufgenommenen Risikoarten. Erweiterung des Anwendungsbereichs Während der Fokus der bisherigen Mindestanforderungen auf der Einzelinstitutsbetrachtung lag, wurde die Verantwortung eines übergeordneten Unternehmens, einer Finanzholdinggruppe bzw. eines Finanzkonglomeratsunternehmens erheblich erweitert. Das übergeordnete Unternehmen trägt künftig die Verantwortung für die konkrete Ausgestaltung der Steuerungs- und Risikoüberwachungsprozesse. Dies bedeutet: Aufbau bzw. Anpassung der bestehenden Risikosteuerungssysteme und -prozesse zur Sicherstellung der Überwachung aller wesentlichen Risiken auf Gruppenebene. Bestimmung nicht wesentlicher Risiken eines nachgeordneten Unternehmens und damit Ausnahme von der Anwendung des Verfahrens auf Gruppenebene. Unterscheidung verschiedener Ebenen der Steuerungs- und Risikoüberwachungsverantwortung (einzelinstituts-, konsolidierte und subkonsolidierte Ebene). Finanzdienstleistungsinstitute fallen ebenfalls unter die Regelungen der MaRisk, jedoch besteht eine Öffnungsklausel. Sie müssen die MaRisk nicht anwenden, wenn aus Sicht ihrer Größe, der Art, des Umfangs, der Komplexität und des Risikogehaltes ihres Geschäftes dies nicht sinnvoll erscheint. Seite 2 von 7 Implementierung angemessener Risikomanagementprozesse und einer Risikotragfähigkeitsrechnung Der Anspruch der MaRisk ist die Implementierung angemessener Risikocontrolling- und Risikomanagementprozesse für alle wesentlichen Risiken. Das Risikomanagement im Sinne der MaRisk umfaßt die Festlegung angemessener Strategien sowie die Einrichtung angemessener interner Kontrollverfahren. Geschäftsstrategie Framework Risikostrategie Risikotragfähigkeit Risikolimitsystem Aufbauorganisation Steuerung Identifikation Prozesse Anreizsysteme Bewertung Abbildung 2: Der Risikocontrolling- und managementprozess Zur Sicherstellung der Vollständigkeit der wesentlichen Risiken muß sich das Institut zunächst einen Überblick über das Gesamtrisikoprofil verschaffen. Die Aufsicht geht davon aus, daß die Risikoarten Adressenausfall-, Marktpreis-, Liquiditäts- und Operationelle Risiken (mindestens) wesentliche Risiken darstellen. Für diese Risikoarten enthalten die MaRisk spezielle Anforderungen an deren Ausgestaltung der Risikosteuerungs- und Risikocontrollingprozesse. Werden weitere wesentliche Risikoarten identifiziert, z. B. Reputationsrisiken oder Immobilienrisiken, geben die MaRisk keine speziellen Anforderungen zum Umgang mit ihnen vor. Für den Umgang mit nicht wesentlichen Risiken werden keine besonderen Anforderungen vorgegeben. Es empfiehlt sich jedoch ein Nachweis zu führen, daß man sich mit ihnen auseinander gesetzt hat und sie einem regelmäßigen Überprüfungsprozeß unterliegen. Im Rahmen des ICAAP ist unter Einbeziehung des Proportionalitätsgedankens eine umfassende Risikotragfähigkeitsanalyse durchzuführen. Die Aufsicht erwartet, daß die Institute über eine höhere Eigenkapitalausstattung verfügen als dies regulatorisch für Markt-, Kredit- und Operationelle Risiken unter der Säule I (Mindesteigenkapitalanforderungen) gefordert wird. Auch für alle weiteren wesentlichen Risiken soll Eigenkapital vorhanden sein.