Schadensfälle präzise erfassen und bewerten

Zentrales Element des OR-Managements in Kreditinstituten ist neben der Identifikation, der Überwachung und der Bekämpfung von Risiken auch das Sammeln und Analysieren von Schadensfällen. Traditionell geschieht dies – zumindest bei größeren Schadensfällen – entweder eigenständig durch den betroffenen organisatorischen Bereich oder durch die Revision des jeweiligen Instituts. In besonders gravierenden Fällen kann dies auch durch externe Prüfer oder die Aufsichtsbehörden erfolgen. Die Analyse dieser Schadensfälle führt zur Einleitung entsprechender Maßnahmen, um dem jeweiligen speziellen Vorfall Rechnung zu tragen.

Aspekte der Schadensfallidentifikation

In der Praxis reicht diese Vorgehensweise sowohl unter regulatorischen als auch unter ökonomischen Gesichtspunkten nicht aus, um wesentlichen Operationellen Risiken auf einer systematischen Grundlage zu begegnen. Zur angemessenen Analyse und Steuerung müssen große und kleine Schadensfälle auf einer langfristigen Basis schon aus ökonomischen Gründen zentral gesammelt werden, um diese Ereignisse konsequent zu verhindern und aus ihnen zu lernen.

Diese Notwendigkeit wurde auch von den Regulatoren erkannt und entsprechend innerhalb von Basel II als Pflicht zur Sammlung und Analyse von Schadensfällen umgesetzt – reflektiert im nationalen Recht in der Solvabilitätsverordnung und in den Mindestanforderungen für das Risikomanagement.¹ Die Anforderungen, die mit den verschiedenen regulatorischen Ansätzen verbunden sind, steigen dabei auf der qualitativen Ebene (in der Regel gleichzusetzen mit der Säule II innerhalb von Basel II bzw. deren deutsche Ausformulierung innerhalb der SolvV und den MaRisk) sehr schnell / stark an.

Explizit wird innerhalb der Solvabilitätsverordnung erst ab dem Standardansatz (vgl. § 276 SolvV) eine Schadensfallsammlung gefordert. Jedoch ist auch für Institute, die den Basisindikatoransatz verwenden, verpflichtend für wesentliche Schadensfälle eine Analyse und damit implizit eine Sammlung/Dokumentation derselben vorzunehmen (MaRisk BTR 4 Operationelle Risiken, Punkt 3 f.). Dabei unterliegt die Umsetzung der verschiedenen Elemente des Controllings Operationeller Risiken – unter anderem auch der Art und Weise der Schadensfallsammlung – stets dem Prinzip der doppelten Proportionalität. Dies besagt, dass die verwendeten Methoden sowohl der Institutsgröße wie auch dem Risikoprofil des Instituts angemessen sein sollen.

Auf der Basis des jeweiligen Geschäftsfeldes, des Risikoprofils und der Größe des Institutes werden also Schadensfälle aus den unterschiedlichsten Gründen gesammelt. In der Regel wird dabei ein Mix aus qualitativen und quantitativen Analyseansätzen verfolgt. Ziel ist hierbei unter anderem die Untersuchung von

- einzelnen, exemplarischen Schadensfällen, um so für schwerwiegende Ereignisse vorbereitet zu sein (Notfälle etc.).
- Häufigkeiten und Schadenshöhen für gravierende Schadensfälle, um Schadensfallcluster zu identifizieren und für diese
Cluster effektive Lösungsstrategien (Übernehmen, Vermindern, Versichern/Outsourcen oder Vermeiden) zu ermitteln.²
- Häufigkeiten und Schadenshöhen für alle Schadensfälle, um so aufgrund konsequenter fortwährender Analysen Prozessverbesserung und Schadensprävention zu betreiben.
- Häufigkeiten, Schadenshöhen etc. als Basis für die Berechnung/Validierung hausinterner Risikomodelle.
- Häufigkeiten und Schadenshöhen – sowohl eigener Schadensfälle als auch solcher aus Datenkonsortien – als Basis für die Berechnung/Validierung eines Operational Value at Risk für regulatorische Risikomodelle. ³

Die verwendeten Methoden, in denen die Schadensfalldaten zur Anwendung kommen, werden in der Regel von der jeweiligen Institutsgröße und vom Standardisierungsgrad der Prozesse stark mitbestimmt. So wird etwa eine Transaktionsbank aufgrund des wesentlich höheren Standardisierungsgrades der Prozesse leichter einen OpVaR ermitteln können, als dies für einen stark auf Einzellösungen orientierten Anbieter (beispielsweise die Finanzierung von Großprojekten) bei gleicher Institutsgröße der Fall ist -> 1. Die genannten Methoden bauen aufeinander auf und schließen sich nicht gegenseitig aus. So ist es für Großbanken sinnvoll, auf der Gesamtbankebene eher quantitativ orientierte Methoden anzuwenden. Das Management eines Geschäftsbereiches vor Ort kann wiederum mit dem Ziel der Feinsteuerung auf qualitative Elemente des Gesamtbaukastens an Operational-Risk- Methoden zurückgreifen.

Anforderungen an die Bewertung

Schadensfälle sind mit den wesentlichen Kerninformationen (Art des Ereignisses, Schadensauswirkung, betroffene Businessline etc.) zu dokumentieren. Neben den qualitativen Informationen bezüglich der Umstände eines Schadensfalles sind auch die entsprechenden quantitativen Elemente zu bestimmen. Für jeden einzelnen Schadensfall gilt, dass er klar darzustellen ist – dies betrifft zum einen die Gesamtheit aller Schadenskomponenten und zum anderen die Entwicklung über den Zeitablauf hinweg. Nur so kann jeder einzelne Fall revisionssicher (also auch für einen sachverständigen Dritten nachvollziehbar) dokumentiert werden.

Hintergrund dieser Forderung einer Nachvollziehbarkeit ist nicht nur der regulatorische Aspekt, sondern auch die Notwendigkeit einer ökonomischen Betrachtungsweise. Gerade bei großen Schadensfällen ist eine ausreichende Informationsgrundlage für die Behebung/ Beseitigung der Schadensursachen jetzt und für die Zukunft – am besten im Rahmen eines methodischen Vorgehens – zur Verfügung zu stellen.

Nachvollziehbarkeit beinhaltet – zumindest – einen methodischen und einen technischen Aspekt. Unter methodischen Gesichtspunkten darf keine „Brutto = Netto- Sichtweise“ eingenommen werden. Ein einfacher Ausweis eines Schadens nach Abzug einer Versicherung würde somit nicht ausreichen. Technisch kann eine Nachvollziehbarkeit über eine Historisierung der Änderungen der Datensätze erreicht werden. Dies hat zur Folge, dass innerhalb der Datenbank jede Änderung des originären Datensatzes in Form einer neuen Kopie dokumentiert wird. Somit kann über die Erfassungshistorie die Entwicklung des einzelnen Falles über den Zeitverlauf hinweg nachvollzogen werden.

Die Aufsicht hat es den jeweiligen einzelnen Instituten überlassen, den Begriff des (Brutto-)Verlustes in der SolvV definitorisch auszufüllen. Dabei hat die Praxis gezeigt, dass hier eine erhebliche Unschärfe im Rahmen der Schadensfallerfassung existiert. Unter regulatorischen Gesichtspunkten ist die Aufnahme eines Schadensfalles in die Datenbank des Kreditinstitutes dann erforderlich, wenn sich eine Auswirkung auf die Gewinn- und Verlustrechnung des Instituts ergibt.⁴ In der engen Auslegung kann davon ausgegangen werden, dass die G+V eines Unternehmens allerdings nur durch einen ORSchadensfall betroffen ist, wenn hierdurch ein entsprechender Buchungsvorgang ausgelöst wird. Entsprechend wäre dies auch nur dann in der Schadensfallerfassung zu berücksichtigen.

Unter ökonomischen Aspekten berücksichtigt diese Sichtweise die Auswirkungen eines Schadensfalles jedoch nicht im ausreichenden Maße. Eine Beschränkung auf die rein buchhalterische Ebene würde nicht den realen Sachverhalt/die realen Auswirkungen eines OR-Ereignisses abbilden.

Gesamtökonomische Analyse

Für eine umfassende gesamtökonomische Analyse des Schadensfalles sind neben den Buchungsvorgängen auch kostenrechnungsbezogene/ kalkulatorische Elemente mit einzubeziehen. Als Leitlinie zur Bestimmung von Schadensfallkomponenten können hier die Empfehlungen des Fachgremiums OpR zur Datensammlung im AMA dienen:

„Ein zu bestimmender (Brutto-)Verlust muss nicht in jedem Fall durch seine Auswirkung auf die G+V bestimmt sein, das heißt, der Begriff des Verlusts ist nicht allein aus Rechnungslegungssicht zu verstehen. Beispielsweise sollten bei Schäden an Immobilien oder Sachgegenständen, deren Buchwert erheblich vom beizumessenden Wert abweichen kann, grundsätzlich alle Kosten und Aufwendungen zur Wiederherstellung der Ausgangssituation und nicht ausschließlich der Buchverlust erfasst werden.“⁵

Auch wenn die vorstehende Aussage originär mit Zielsetzung auf AMA-Institute getroffen wurde, kann davon ausgegangen werden, dass zumindest für den Standardansatz diese Empfehlung (unter anderem auch für Wirtschaftsprüfer und Aufsicht) im Sinne einer Leitlinie relevant ist. Im Rahmen der Entwicklung einer Erfassungsmethodik für Schadensfälle folgt hieraus, dass eine fortschreitende Präzisierung erforderlich ist. Dies beginnt mit der möglichst genauen Eingrenzung der OR-relevanten Ereignisse in Anlehnung an die SolvV. Dann erfolgt die Unterscheidung in quantitative und qualitative Schadensfälle sowie etwaiger Mischformen.

Die qualitativen Bestandteile gliedern sich in zwei Kategorien: Regelverstöße und Gefahrensituationen. Weiterhin sind quantitative Bestandteile der Schadensfälle zu berücksichtigen. Diese wiederum erfordern eine stärkere Präzisierung innerhalb der Methodik. Nebenbedingung ist hierbei, dass die Nachvollziehbarkeit der Schadensfallentwicklung gewahrt bleibt. Die gesamte Systematik ist durch entsprechende Bewertungs- und Buchungsregeln zu flankieren, die im Rahmen der Schadensfallerfassung in der Datenbank universell anwendbar sind -> 2.

Wie bereits im Vorfeld erwähnt, erfordert eine regelbasierte, methodisch sichere und nachvollziehbare Schadensfallerfassung die Bestimmung institutsindividuelle Prioritäten unter Berücksichtigung der doppelten Proportionalität (Angemessenheit bezüglich des Gefährdungsgrades und der Größe des jeweiligen Institutes) hinsichtlich der Detailtiefe.

Definition der Melderegeln

Es sind sowohl qualitative als auch quantitative Melderegeln erforderlich, um ein Gesamtbild der Risikosituation eines Instituts zu zeichnen. Als ein erster Rahmen für die Definition von Melderegeln kann der § 287 Abs. 3 bzw. Anlage 1 Tabelle 30 der SolvV dienen. In diesem Abschnitt werden Verlustereigniskategorien angesprochen, die eine regulatorische Berücksichtigung erfordern.

Qualitative Aspekte, die in die Melderegeln Eingang finden, wären beispielsweise Regelverstöße (Kompetenzüberschreitungen, Betrugsversuche, Verstöße gegen regulatorische Vorgaben wie Geldwäsche-, Compliance-, Insiderregeln aber auch gravierende Verstöße gegen den Geschäftszweck) und extreme Gefahrensituationen (zum Beispiel versuchter Bankraub, Notfälle, gravierende technische Störungen). Beide Gebiete sind relevant für das OR-Management und können finanzielle Folgen nach sich ziehen, ohne das dies jedoch unbedingt der Fall sein muss.

Unter quantitativen Aspekten greift man in der praktischen Umsetzung auf sogenannte Meldelimite zurück, die normalerweise für das Gesamtunternehmen gelten. Es kann bei stark differenzierten Geschäftsaktivitäten, beispielsweise Retail und Großkreditgeschäft, sinnvoll sein, mehrere Meldelimite einzuführen. Hierdurch kann die institutsspezifische Bedeutung einzelner Geschäftsaktivitäten entsprechend berücksichtigt werden.

Durch ein solches Vorgehen wird ein unnötiger Erfassungsaufwand auf der einen bzw. ein völlig überhöhtes Erfassungslimit auf der anderen Seite vermieden. ⁶ Darüber hinaus kommen hier auch die schon früher geäußerten Überlegungen zur Abgrenzung zwischen G+V- und Nicht-G+V-relevanten Elementen zum Tragen. Auf diesen Aspekt wird weiter unten noch detaillierter eingegangen.

Grundsätzlich bietet sich ein Basisschema für die Schadensfallerfassung an, welches zumindest folgende wesentlichen Aspekte des Schadensfallverlaufes widerspiegeln sollte: ursprünglicher Bruttoschaden, Aufwendungen im Rahmen der Schadensbehebung, Reduktionen der Schadenshöhe und der Nettoschaden -> 3.

Die konsequente Anwendung dieses Schemas unterstützt ein quantitativ orientiertes Reporting in angemessener Art und Weise. Ein zusätzlicher Mehrwert kann sich durch die Verwendung der so strukturierten Daten im Rahmen eines ökonomischen und / oder regulatorischen Eigenkapitalmodells ergeben.

Schadenskomponenten und Bewertungsregeln

Die Praxis zeigt, dass die Hauptkategorien für die Schadensfallerfassung nicht ausreichend detailliert sind. Daher bietet sich in den jeweiligen Kategorien eine weitere Aufschlüsselung in verschiedene Schadenskomponenten an.

Grundsätzlich ist festzustellen, dass die Herausforderung in einer möglichst einfachen, strukturierten Abbildung der Schadenskomponenten liegt. Ziel ist eine eindeutige Zuordnung der Schadensbestandteile zu den jeweiligen Unterkategorien unter der Maßgabe einer effizienten und benutzerfreundlichen Erfassung. Aufgrund des fortschreitenden Erkenntnisgewinns innerhalb des OR-Controllings ist es angeraten, eine ausreichende Flexibilität innerhalb der Systematik einzubauen. Weiterhin sollten in diesem Zusammenhang – zumindest für Institute, die unter strategischen Gesichtspunkten einen AMA anstreben – auch die Erfassungsrichtlinien der Datenbankkonsortien beachtet werden.⁷

Die Schadenskomponenten sollten im Sinne der Trennbarkeit innerhalb der Erfassungsschemata entweder im engeren Sinne G+V oder ökonomisch relevant sein. Unter Reportingaspekten ist darauf zu achten, dass es nicht zu einer Vermischung der beiden Sichtweisen kommt. Die Effekte von OR-Schadensereignissen können vielfältiger Natur sein. Auf Grund dieser Heterogenität ist evident, dass nicht alle Schadenskomponenten eindeutig quantitativ bewertbar sind.

Das Ziel sollte jedoch immer eine möglichst starke Annäherung an eine realistische Bewertung der Schadenssituation sein.⁸ Grundsätzlich sollte jeder Komponente eine Bewertungsart zuordenbar sein. Dabei existiert ein ganzes Spektrum an Bewertungsoptionen für die verschiedenen Komponenten. Dieses reicht von genauen Beträgen bei direkten Buchungen über Einzelwertberichtigungen – von Natur aus Schätzungen – bis hin zur Berücksichtigung von Barwerten und Marktwertdifferenzen -> 4.

Buchungsregeln in der Datenbank
Da sich Schadensfälle über die Zeit hinweg verändern, müssen Kriterien festgelegt werden, um die Klarheit und Nachverfolgbarkeit der Schadensentwicklung zu gewährleisten. Dies setzt voraus, dass einzelne Posten aus der Liste der Schadenskomponenten separat erfasst werden. Daher dürfen innerhalb einer Hauptkategorie des Schemas (zum Beispiel Bruttoschadenshöhe) Verrechnungen nur im Rahmen der Änderungen von Bewertungen / Einschätzungen auftreten. Beispielsweise kann ein Eintrag in „3. EWB, Rückstellung“ in einen Eintrag in „6. Verbrauch EWB …“ umgewandelt werden.

Eine Saldierung zwischen den Hauptkategorien der Schadensfallerfassung ist nicht erlaubt. Ein Eintrag für einen Brandschaden (berücksichtigt in „1. Abschreibungen auf Sachwerte“) kann demnach nicht mit einem Eintrag aufgrund einer Versicherungsleistung („14. Eingehende Zahlungen von Versicherungen etc.“) innerhalb der Sparte „Bruttoschadenshöhe“ kompensiert werden. Dies würde eine unzulässige Verkürzung des Schadensfalles darstellen. Ein konkretes Beispiel findet sich in -> 5. Die hier dargestellte Vorgehensweise kann, wie auch die entsprechenden Vorarbeiten einzelner Institute und Verbände eine wichtige Grundlage für die Schadensfallerfassung/-bewertung sein. Letztendlich aber muss für eine erfolgreiche Umsetzung jedes Institut seine eigene ihm angemessene Variante entwickeln.