banking & insurance
Lessons Learned aus der Finanzkrise
Auslöser neuer IT-Initiativen Marco Rüstmann*
Die Finanzkrise hat Schwachstellen im Risikomanagement vieler Banken aufgezeigt. Allerdings basierten diese eher auf fehlenden bzw. fehlerhaften Inputs in die Risikomanagement-Systeme als auf Schwächen der vorhandenen IT-Systeme. Trotzdem werden die verschiedenen Vorstösse für eine Verbesserung der Regulierung von Banken eine Vielzahl von IT-Initiativen bei den Banken auslösen. Regulierungen wie Basel II und der Sarbanes-Oxley-Act haben bereits vor der aktuellen Finanzkrise immer aufwendigere Mindeststandards für das Risikomanagement verlangt. Basierend auf dem Valueat-Risk-Ansatz (VaR) wurden immer weitere Risikoarten – erst Kreditrisiken, dann Marktrisiken und schliesslich sogar operationelle Risiken – innerhalb der Banken systematisch identifiziert. Komplexe ITSysteme sorgten mit spezialisierter Risikomanagement-Software dafür, dass die als relevant identifizierten Risiken quantifiziert, aggregiert und mit dem notwendigen Risikokapital unterlegt wurden. Trotzdem haben bei vielen Banken die Risikomanagementsysteme in der Finanzkrise versagt und gerade die Grossbanken mussten Verluste verkraften, die weit über den maximalen Erwartungen für ein WorstCase-Szenario lagen. Lag die Ursache für dieses Versagen bei den verwendeten ITSystemen, die nun angepasst werden müssen, oder gibt es andere Gründe? Dazu wird nachfolgend der Risikomanagementprozess skizziert und die Rolle der IT in diesem Prozess analysiert. Der Risikomanagement prozess bei Banken Damit das Risikomanagement effektiv funktioniert, müssen die folgenden Prozessphasen sorgfältig aufeinander abgestimmt sein:
• Risikoerfassung: Es müssen zunächst sämtliche Risiken ermittelt werden, aus denen aufgrund der jeweiligen Aktivitäten der Bank potenzielle Verluste entstehen können. • Risikomessung: Für alle in der ersten Phase als relevant identifizierten Risiken müssen geeignete Messverfahren entwickelt werden, um die Wahrscheinlichkeit und das finanzielle Ausmass potenzieller Verluste zu ermitteln. • Risikoaggregation: Die dritte Phase zielt darauf ab, dass gesamte Verlustpotenzial aller Risikokategorien für die Bank zu bestimmen. Hier kann es je nach Wechselwirkung zwischen den einzelnen Risikoarten dazu kommen, dass sich bestimmte Risiken gegenseitig neutralisieren, so dass das gesamte Verlustpotenzial der Bank in der Regel tiefer ist als die Summe der Verlustpotenziale der Einzelrisiken. • Risikoplanung und -steuerung: Die Unternehmensleitung muss anhand der bisherigen Ergebnisse nun festlegen, welches Risikoniveau die Bank eingehen darf. Dabei stehen die Verantwortlichen vor dem Zielkonflikt einerseits die Risiken minimieren und andererseits die Rendite maximieren zu wollen. • Risikoüberwachung: Im Risikocontrolling wird laufend geprüft, ob sich die tatsächlich eingegangenen Risiken im Rahmen der vorgegebenen Limite be-
26 ict in finance I nr. 3 I September 2010
wegt haben und ob die einzelnen Phasen des Risikomanagements den Anforderungen genügen. Ist dies wie in der Finanzmarktkrise nicht der Fall, gilt es herauszufinden woran es lag und wie die betroffenen Phasen verbessert werden können. Aufgaben der IT im Risiko managementprozess Die IT hat nun die Aufgabe die Systeme bereitzustellen mit denen die Risiken innerhalb der Bank nach einheitlichen Standards erfasst, gemessen und aggregiert werden können. Ferner liefert die IT die Risikoinformationen als Basis für die Risikoüberwachung und damit für steuernde Eingriffe durch die Verantwortlichen im Risikomanagements und – in letzter Instanz – durch den Verwaltungsrat der Banken. Bereits die Struktur des Risikomana gementprozesses zeigt aber auf, dass die erste Phase der Risikoerfassung entschei dend für die Qualität des gesamten Risiko management ist. Im Untersuchungsbericht der EBK zur UBS wurde sehr deutlich, dass gerade hier die entscheidenden Probleme aufgetreten sind. Konkret fehlte es bei der UBS an einer systematischen und detaillierten Erfassung aller relevanten Risikomerkmale bei den einzelnen Produk ten. Bei den letztendlich verhängnisvollen Investments in amerikanische Subprime-