Geschichte

Zwischen 1994 und 1999 sind Kreditinstituten Verluste von schätzungsweise 12 Milliarden US-Dollar allein aufgrund interner Fehler entstanden. Der Anteil der operationellen Risiken am Gesamtrisiko von Banken wird allgemein zwischen 25 % und 35 % geschätzt, deutsche Großbanken gingen in ihren Geschäftsberichten für das Jahr 2005 zwischen 10 % (WestLB AG) und 18,5 % (Deutsche Bank) aus.

Einige medienwirksame, spektakuläre Fälle sind den operationellen Risiken zuzuordnen:

• Jürgen Schneider: Ab April 1994 wurde öffentlich, dass seine Hausbank Deutsche Bank und andere Institute im Rahmen der Immobilienfinanzierung (teilweise gefälschte) Kreditunterlagen einer unzureichenden Kreditwürdigkeitsprüfung unterzogen hatten, wodurch den Banken Schäden in Höhe von 5,3 Milliarden DM (davon allein 1,3 Milliarden DM bei der Deutschen Bank) entstanden (Kreditbetrug).
• FlowTex: Der Horizontalbohrmaschinenhersteller betrog etwa 120 Banken und Leasinggesellschaften ab Oktober 1994 in Höhe von 2,9 Milliarden DM im Rahmen des Sale-Lease-Back durch gefälschte Rechnungen über – in Wirklichkeit nicht verkaufte – Bohrmaschinen.
• Barings Bank: Die Verluste der Bank im Februar 1995 in Höhe von 1,4 Milliarden GBP könnten vordergründig als Marktrisiko eingestuft werden, da die Zins- und Indexspekulationen ihres Traders Nick Leeson auf der falschen Einschätzung von Marktentwicklungen beruhten. Doch Leeson hatte seine Aktivitäten in betrügerischer Absicht verschleiert und die Kontrollmechanismen der Bank ausgeschaltet, was als menschliches und Versagen von internen Verfahren einzustufen ist.
• Société Générale: Im Januar 2008 gab die Bank einen Verlust von 4,8 Milliarden Euro durch nicht genehmigte, betrügerische Spekulationsgeschäfte ihres Traders Jérôme Kerviel bekannt, der gegen bankinterne Vorschriften verstoßen und Kontrollsysteme umgangen hatte.

Die Entwicklungen bei Herstatt-Bank, Barings Bank und Société Générale haben gezeigt, dass Verluste im Eigenhandel durch unerwartete, negative Marktbewegungen hervorgerufen wurden, die von den verantwortlichen Tradern nicht den zuständigen Organen der Bank berichtet, sondern kaschiert wurden. Das ist im Kern menschliches Versagen durch Fehlverhalten, weil Arbeitsanweisungen die Eskalation von bedeutenden Informationen an übergeordnete Hierarchieebenen verlangen. Zudem lag in diesen Fällen auch Kompetenzüberschreitung vor, weil vorhandene Händlerlimite nicht eingehalten wurden.

Gesetzliche Regelung

Basel II griff diese operationellen Risiken erstmals im Februar 2003 auf und sorgte weltweit in beteiligten Ländern für eine gesetzliche Umsetzung. Diese erfolgte in Deutschland im Januar 2007 zunächst durch § 269 Abs. 1 SolvV a. F. Da seit Januar 2014 die Kapitaladäquanzverordnung (CRR) diese regulatorischen Vorschriften übernommen hat, gibt es nunmehr die Legaldefinition des operationellen Risikos in Art. 4 Abs. 1 Nr. 52 CRR. Operationelles Risiko ist demnach das „Risiko von Verlusten, die durch die Unangemessenheit oder das Versagen von internen Verfahren, Menschen und Systemen oder durch externe Ereignisse verursacht werden, einschließlich Rechtsrisiken“.

Der synoptische Vergleich zur ehemaligen SolvV zeigt, dass beide Vorschriften nicht vollständig übereinstimmen. In der Kapitaladäquanzverordnung werden gegenüber der SolvV die strategischen und Reputationsrisiken nicht mehr erwähnt.

• Strategisches Risiko ist die Gefahr, dass langfristige Erfolgspotenziale falsch eingeschätzt, nicht weiterentwickelt oder nicht neu erschlossen werden. Hierzu gehören das Know-how oder die Motivation der Mitarbeiter, IT-Kompetenz, Problemlösungen oder Produktentwicklungen, aber auch etwa der Verlust ertragbringender Bankkunden oder der Verstoß gegen das Kartellrecht. Strategische Risiken sind mit einer hohen Unsicherheit behaftet und nur schwer quantifizierbar. Das war der Grund für ihre Weglassung.
• Aus allen Risikoarten können Reputationsrisiken entstehen. Unter einem Reputationsrisiko versteht man die Gefahr, dass eine Bank ihre Reputation infolge einer negativen Wahrnehmung in der Öffentlichkeit beschädigt. So kann ein bedeutender Kreditausfall, der zu den banktypischen Kreditrisiken gehört (beispielsweise die Großkredite der SMH-Bank an die IBH-Holding), auch den Ruf der Bank schädigen. Auch Reputationsrisiken sind wegen ihrer Zeitferne schwer quantifizierbar und wurden durch die Kapitaladäquanzverordnung nicht mehr ins operationelle Risiko übernommen.

Der Basler Ausschuss für Bankenaufsicht gibt die eher allgemeine Forderung vor:

„Die Bankenaufsichtsbehörden müssen sich überzeugen, dass die Banken über interne Kontrollen verfügen, die der Art und Umfang ihres Geschäfts angemessen sind. Dazu gehören genaue Regelungen für das Delegieren von Befugnissen und Zuständigkeiten, die Trennung der Funktionen, die das Eingehen von Verpflichtungen für die Bank, das Verfügen über Gelder und die Rechenschaftslegung über ihre Aktiva und Passiva betreffen, die Abstimmung dieser Funktionen, die Sicherung der Aktiva sowie angemessene unabhängige interne und externe Revisions- und Compliance-Funktionen zur Prüfung dieser Vorschriften….“

Spezieller wird diese Vorgabe in dem Satz gefasst: „Die Aufsichtsbehörden sollten darauf achten, dass die Geschäftsleitung für wirksame interne Kontroll- und Revisionsverfahren sorgt. Außerdem sollten geschäftspolitische Grundsätze für die Handhabung oder Minderung des Betriebsrisikos aufgestellt werden. Die Bankenaufsichtsbehörden sollten sich vergewissern, dass die Banken über adäquate und wohlerprobte Pläne für die Wiederaufnahme des Betriebs aller wichtigen EDV-Systeme verfügen, mit Ausweichmöglichkeiten an einem anderen Ort, um gegen Betriebsstörungen gewappnet zu sein.“

Inhalt

Aus der Legaldefinition lassen sich die operationellen Teilrisiken wie folgt systematisieren:

• Bankintern: Personalrisiken, Prozess- und Strukturrisiken sowie System- und Technologierisiken. Zu den Personalrisiken gehören fehlerhafte Verhaltensweisen des Bankpersonals durch fahrlässige oder vorsätzliche Nichtbeachtung interner und/oder externer Vorschriften (arglistige Täuschung, Urkundenfälschung, Betrug, Unterschlagung, Untreue). Verluste, welche von Mitarbeitern nicht vorsätzlich zugefügt werden, sind der Kategorie „interne Verfahren“ (auch „Prozesse“ genannt) zugeordnet. Hierzu gehören Transaktionsfehler und Fehler verursacht durch Missverständnisse. Auch eine zu große Arbeitsverdichtung kann ein Personalrisiko sein. Die übrigen Risiken entstehen durch unangemessene oder nicht funktionierende Prozesse oder Systeme und Infrastrukturen. Das technische Risiko bezieht sich auf mögliche Verluste, die auf Probleme mit technischen Anlagen zurückzuführen sind (Ausfall der EDV oder der Telefonanlage). Das Organisationsrisiko besteht in der Gefahr, dass unerwartete Verluste aufgrund der betrieblichen Ablauf- und Aufbauorganisation entstehen können.
• externe Ereignisse: Diese müssen sich auf die Bank auswirken und dort zu schädigenden Störungen des betrieblichen Ablaufs führen. Die Ereignisarten reichen vom Stromausfall über Bankraub und Geiselnahme, Terroranschläge bis zu Naturkatastrophen.
• Rechtsrisiken: Rechtsrisiken haben zwar in der Regel interne Ursachen (Prozess-Risiken), Schäden werden aber ausgelöst durch externe Ereignisse (Widersprüche, Klagen). Sie können entstehen durch fehlerhafte oder unpräzise Anlageberatung, anfechtbare oder nichtige Vertragsgestaltung oder fehlendem oder fehlerhaftem Haftungsausschluss. Diese Rechtsmängel müssen sich durch Rechtsstreit mit den betroffenen Vertragspartnern durch Schäden materialisieren.

Abgrenzung zum Kreditrisiko

Die Abgrenzung zu anderen Risikoarten kann im Einzelfall Schwierigkeiten bereiten. Die am häufigsten vorkommende Überschneidung betrifft operationelle Risiken innerhalb des Kreditrisikos. Das bedeutet, dass ein Kreditausfall nicht durch das eigentliche Kreditrisiko, sondern vielmehr durch ein operationelles Risiko entstanden ist. Dieses kann auf interne oder externe Ursachen zurückzuführen sein.

Beispiele:

• Mitarbeiterfehler: etwa bei der Dokumentation, Kompetenzüberschreitungen, Vergabe von Krediten an nicht existente Kunden zum eigenen Vorteil;
• Systemfehler: Unausgereifte oder unvollständige Tools zur Überwachung von Risiken oder Verwaltung von Sicherheiten;
• interne Abläufe: mangelhafte Schnittstellen im Kreditvergabeprozess;
• externe Ursachen: Vorlage von gefälschten Kreditwürdigkeitsunterlagen (Gehaltsabrechnungen/Bilanzen)

In der Praxis lässt sich letztlich das operationelle Risiko mit Kreditbezug vom klassischen Kreditrisiko dadurch abgrenzen, ob man den Kreditausfall auf eine Bonitätsverschlechterung zurückführen kann (Kreditrisiko) oder nicht (operationelles Risiko).

Messansätze im Bereich operationeller Risiken

Operationelle Risiken sind bei Kreditinstituten wie das Kreditportfolio durch Eigenmittel zu unterlegen. Sie können bei der Berechnung des Eigenmittelbedarfs für operationelle Risiken auf drei Ansätze zurückgreifen. Die verschiedenen Messansätze für das operationelle Risiko steigen in ihrer Fortschrittlichkeit und Komplexität in Nennreihenfolge an: Basisindikatoransatz, Standardansatz und fortgeschrittener Messansatz (englisch advanced measurement approach, kurz AMA: Interner Bemessungsansatz, Verlustverteilungsansatz, Scorecardansatz). Während für den Basisindikatoransatz eine Zahl für den Gesamtkonzern bestimmt wird, lässt sich bei dem Standardansatz immerhin schon nach verschiedenen Geschäftsbereichen und entsprechend angepassten Risikogewichten unterscheiden. Für beide Ansätze sind in der Basler Eigenkapitalvereinbarung bereits Berechnungsformeln vorgegeben. Der AMA hingegen lässt den Kreditinstituten einen großen Spielraum, ihre operationellen Risiken anhand eigener Messverfahren zu ermitteln. Weiterhin ist es möglich, den Standardansatz mit dem AMA zu kombinieren. Sowohl für den Standardansatz als auch für den AMA gibt es aufgrund der Flexibilität beider Messansätze jeweils einen Anforderungskatalog, dessen Anforderungen mindestens umgesetzt werden müssen, um den jeweiligen Messansatz verwenden zu dürfen.

Generell gilt, dass bei den ambitionierteren Ansätzen zwar die Komplexität und die Risikosensitivität steigt und die quantitativen und qualitativen Anforderungen höher sind. Auf der anderen Seite mindern diese Ansätze die Höhe der Eigenkapitalunterlegungspflicht gegenüber den einfachen Ansätzen.

Ein großes Problem bei der praktischen Umsetzung von ambitionierten Ansätzen stellt die Datenbasis dar. In nahezu keiner Bank ist eine ausreichend lange Datenhistorie vorhanden, die es erlauben würde, allein damit eine Messung operationeller Risiken durchzuführen. Basel II fordert daher von Banken explizit, auf externe Daten zurückzugreifen. Solche externen Datenbanken können einerseits von kommerziellen Anbietern gekauft werden, die Daten professionell aus Presseberichten etc. sammeln. Zum anderen schließen sich Institute zu Datenkonsortien zusammen, in denen sie Schadenfalldaten miteinander austauschen.

Die Anforderungen hierfür geben die Verordnung (EU) Nr. 575/2013 (Kapitaladäquanzverordnung) (Teil 3, Titel III) und die Richtlinie 2013/36/EU (Eigenkapitalrichtlinie) vor; erstere ist gemeinsam mit dem Kreditwesengesetz in Deutschland unmittelbar geltendes Recht.

• Die beiden Standardansätze greifen auf Positionen der Gewinn- und Verlustrechnung zurück. Dabei ist der einfache Standardansatz nur anzeigepflichtig, während der alternative Standardansatz zustimmungspflichtig ist.
• Der fortgeschrittene Messansatz bedarf der Zulassung durch die BaFin.

Mit Basel III wird für Banken ab 2023 – wegen der Corona-Krise wurde das Datum von 2022 verschoben – der Standardized Measurement Approach (SMA) obligatorisch. Im Standardized Measurement Approach wird die eigene Verlust-Historie (letzte 10 Jahre) stark gewichtet. Kreditrisiko, Marktrisiko und operationelles Risiko müssen vollständig durch ökonomisches Kapital abgedeckt sein.