To Author's Page
Die fünfte MaRisk-Novelle – MaRisk 2017 – ist veröffentlicht! Mit diesem Blog geben Ihnen die Autoren Henning Heuter und Dr. Markus Rose in drei Teilen einen Überblick über die umfangreichen Neuerungen, Ergänzungen und Klarstellungen der jüngsten Überarbeitung der MaRisk. Dabei fokussieren sie sich auf das Risikomanagement. In Teil 1 dieses Blogs haben wir uns mit der Umsetzungsphase und dem Reporting und Datenaggregation beschäftigt. Nun schauen wir uns die Risikotragfähigkeit und die Risikoarten des BTR an.
Bis auf einzelne Aspekte zur Risikotragfähigkeitsberechnung (RTF) finden sich in den MaRisk 2017 im Wesentlichen Klarstellungen bzw. Präzisierungen zu bisherigen Anforderungen aus den MaRisk. Damit sind Anforderungen gemeint, die bisher bereits gefordert oder auch gängige Praxis waren:
Wie bisher sind auch weiterhin beide Ansätze der Risikotragfähigkeitsberechnung zu betrachten: Going Concern und Gone Concern. Die eine ist die Hauptperspektive, der anderen ist ergänzend durch entsprechende Adjustierungen Rechnung zu tragen. Tendenziell wird von der Aufsicht ein umfassendes Limitsystem auch für die ergänzende Perspektive gefordert.
Die Aufsicht hat den Leitfaden zur aufsichtlichen Beurteilung bankinterner Risikotragfähigkeitskonzepte in diesem Jahr überarbeitet und bereits veröffentlicht. Damit sind neben der grundlegenden Weiterentwicklung der RTF-Verfahren die Entwicklungen der europäischen Regulierung umgesetzt, etwa hinsichtlich der Regelungen aus den SREP-Guidelines der EBA oder konkreten Anforderungen bzw. Erwartungen der EZB an den ICAAP. Tendenziell werden sich die RTF-Verfahren in stärker integrierte Verfahren zwischen Säule 1 und Säule 2 entwickeln.
Die MaRisk fordern neu, eine angemessene Unabhängigkeit zwischen Validierung und Modellentwicklung einzuhalten. Erste Entwicklungen in der Praxis zeigen eine große Spannbreite von einer vollständigen funktionalen Trennung bis hin zu einem Cross Check innerhalb einer Methodenabteilung. Die angemessene Unabhängigkeit beschränkt zwar die prozessuale Umgebung im Methodenbereich, öffnet jedoch wiederum neue Spielräume in der fachlichen und organisatorischen Ausgestaltung der Fachabteilungen. Hier ist zu erkennen, dass die Anforderungen an KSA-Institute immer weiter verschärft werden und sich jenen, die an IRBA-Institute gerichtet sind, annähern. Die strengen Anforderungen, die bislang bei der Nutzung von externen Daten für die Diversifikationseffekte in der Risikotragfähigkeitsrechnung herangezogen wurden, gelten nun für alle relevanten Parameter.
Die besonderen Anforderungen an die Risikosteuerungs- und -controllingprozesse im BTR der MaRisk 2017 beziehen sich weiterhin auf Adressenausfallrisiken, Marktpreisrisiken, Liquiditätsrisiken und operationelle Risiken.
Im „BTR 1 Adressenausfallrisiken“ wird nun explizit eine angemessene Erlösquotensammlung verlangt. Erkenntnisse daraus sind bei der Steuerung zu berücksichtigen. Dies stellt insbesondere kleinere Institute vor organisatorische und datenspezifische Herausforderungen.
BTR 2 geht wie bisher auf Anforderungen an die Steuerung von Marktpreisrisiken ein. Hervorzuheben sind hierbei Aspekte zu den zunehmend im Fokus stehenden Zinsänderungsrisiken. BTR 2.3 Tz. 6 schreibt vor, dass eine Messung, Limitierung und Beurteilung der RTF für den primären und sekundären Steuerungskreis erforderlich ist. Die Mehrzahl der Banken steuert auf Basis der GuV-/Bilanz-Sicht, hier werden Zinsänderungsrisiken nur im Umlaufvermögen und damit gegebenenfalls unzureichend berücksichtigt. Im Gone-Concern-Gedanken müssen diese dann umfassend betrachtet werden (u.a. Ermittlung der Marktpreise und der stillen Lasten für alle Wertpapiere).
Die weitreichendsten Neuerungen in den Anforderungen des BTR finden sich im BTR 3 zu den Liquiditätsrisiken:
BTR 4 bzgl. operationeller Risiken wurde durch spezifische Anforderungen an den Umgang mit Schadensfällen und die Erstellung einer Schadensfalldatenbank ergänzt. Diese ist nach unseren Erfahrungen bereits gängige Praxis in deutschen Instituten.
Im AT 7.2 werden IT-Risiken herausgehoben, für die ebenfalls „angemessene Überwachungs- und Steuerungsprozesse“ gefordert werden. Auch wenn die IT-Risiken derzeit nicht als eine der mindestens wesentlichen Risikoarten gelten, wird ihnen eine größere Bedeutung zugerechnet. Dieser Umstand sollte unserer Auffassung nach auch bei der Weiterentwicklung des gesamten Risikomanagementsystems berücksichtigt werden.
Teil 1 – Umsetzungsphase, Reporting und Datenaggregation
Teil 3 – Auslagerung, Risikokultur und Revision
Henning Heuter ist geschäftsführender Partner der 1 PLUS i GmbH, einem spezialisierten Beratungsunternehmen und berät Kreditinstitute im In- und Ausland. Er beschäftigt sich mit Fragen des Risikomanagements, dessen aufsichtsrechtlicher Behandlung und anderer Risikostrategien. Seit vielen Jahren ist er als Dozent für die FS tätig.
Frankfurt School gGmbH
Adickesallee 32-34
60322 Frankfurt am Main
