2. Gegenwart des Non-Financial Risk Management – Rahmenwerk

Das zweite Kapitel des Buchs beschäftigt sich mit Gegenwart des Non-Financial Risk Management – Rahmenwerk. Die Risikokultur sollte eine Art „Unternehmens-DNA“ darstellen, die zwar nicht ausschließlich für Non-Financial Risks relevant ist, jedoch in besonderem Maße für diese. Nur wenn risikobewusstes Verhalten internalisiert wird, kann von einem effektiven Risikomanagement ausgegangen werden. Risikostrategie und -appetit sollten die Marschrichtung für NFR vorgeben. Auch dieser Themenkomplex ist risikoartenübergreifend. Da Non-Financial Risks jedoch eher schwer mit quantitativen Metriken beherrschbar sind, ist dieses Thema besonders herausfordernd. Es müssen teilweise qualitative, jedoch trotzdem hinreichend greifbare und überprüfbare Vorgaben gemacht werden. Non-Financial Risk besteht – wie bereits erwähnt und im dritten Kapitel ausführlicher dargestellt – aus vielen Einzeldisziplinen. Diese haben oft ihre eigene Terminologie und Verfahrensweisen. Eine klare Sprachregelung, also insbesondere eine Taxonomie der NFR, ist wesentlich, um Konsistenz zu erreichen. Das erfolgreiche Management der Non-Financial Risk erfordert ein gutes Zusammenspiel zahlreicher Bereiche, Abteilungen, Beauftragten etc. Definierte Verantwortlichkeiten durch klare NFR-Risikogovernance ist daher wesentlich. Wie bereits erwähnt ist die Qualitative Identifikation und Bewertung der NFR besonders wichtig. Dies startet mit der Risikoinventur und umfasst verschiedene Spielarten von Self-Assessments (tw. Risk & Control Self Assessment, RCSA genannt). Für Einzeldisziplinen gibt es oft eigenständige Bedrohungs-, Gefährdungs- und Risiko-Analysen. Daneben gibt es auch eine Quantitative Identifikation und Bewertung der NFR. Hierzu zählen die (meist semi-quantitative) Szenarioanalyse, Modelle – bis zur Abschaffung des fortgeschrittenen Messansatzes (AMA) für regulatorisches Kapital, auch darüber hinaus für ökonomisches Kapital) – sowie verschiedene Spielarten des Stresstestings. Für systematische Analysen und Modelle sind Datenbanken und andere IT-Unterstützung für den Risikomanagement-Prozess wesentlich. Die Vielzahl an Datenquellen und die oft manuelle Erhebung derselben stellen weiterhin eine große Herausforderung dar. Risikoreporting und -steuerung der NFR stellt die eigentliche Königsdisziplin dar. Daten zu erheben und Berechnungen anzustellen sollte kein Selbstzweck (und auch nicht eine aufsichtsrechtliche Pflichtübung) sein, sondern das aktive Management der Risiken unterstützen. Daher sollte das Risikoreporting auch der Steuerung dienen und nicht als Tätigkeitsbericht verschiedener Risikocontrolling-Einheiten missverstanden werden. Die meisten Non-Financial Risks ändern sich fortlaufend und die Effektivität von Steuerungsmaßnahmen ist nicht immer im Vorhinein genau abschätzbar. Daher ist die regelmäßige Risikoüberwachung der NFR wichtig. Neben der Überwachung des Verlustprofils gehören insbesondere Risikoindikatoren zum klassischen Instrumentarium hierfür.