Non-Financial Risk Management​ E-Book

Kai Gammelin

• Herausgeber: Schäffer Poeschel
• Kategorie: Fachliteratur
• Sprache: Deutsch

Seitenzahl: 667

Veröffentlichungsjahr: 2023

Beschreibung

Voraussetzung für ein erfolgreiches Risikomanagement ist dessen Ausrichtung an den Unternehmenszielen ebenso wie das Verzahnen der risikorelevanten Unternehmensbereiche untereinander. Nur so kann ein resilientes und effizientes Framework entstehen, das Märkte, Branchen, Unternehmen und Mitarbeitende schützt. Im Kontext der Einbettung des Risikomanagements in Unternehmensziele und -strategie stellt der Autor umfassend Organisation, Prozesse und Werkzeuge der Risikosteuerung dar. Er erläutert den Nutzen von Sollabweichungen und gibt Hinweise zum Projektmanagement. Das Buch enthält Kapitel zu Fraud, Third-Party Risk und Business Continuity Management. Ein weiteres Kapitel zu neuen Risiko- und Chancenprofilen wie geopolitische Risiken, ESG-Faktoren und Cyberrisiken rundet die Ausführungen ab. Mit dieser Ausrichtung bietet das Buch einen umfassenden Überblick, stellt themenspezifische Voraussetzungen dar und liefert Implementierungsansätze. Es richtet sich sowohl an Fach- als auch an Führungskräfte in der Finanzwirtschaft. ​

Leseprobe

[15]Inhaltsverzeichnis

Hinweis zum UrheberrechtImpressumVorwortGeleitworteAbbildungsverzeichnisTabellenverzeichnis1 Einleitung2 Unternehmensziele bis zur Einbettung des Risikomanagements2.1 Unternehmensziele2.2 Unternehmensstrategie2.3 Unternehmenspolitik2.4 Bestimmung der Steuerungselemente2.5 Ableiten der Risikostrategie2.6 Unternehmenskultur2.6.1 Risikomanagementkultur2.6.2 Tone-at-the-Top2.6.3 Ziele vereinbaren – aber richtig2.6.3.1 Allgemeine Fehlsteuerungen2.6.3.2 Konkrete Beispiele2.6.4 Routinisierung, Standardisierung und Modularisierung2.6.5 Auswirkungen einer starken Unternehmenskultur2.6.5.1 Positive Wirkungen2.6.5.2 Negative Wirkungen2.6.6 Changemanagement2.6.6.1 Wirkfaktoren2.6.6.2 Veränderungsprozess2.6.7 Die Rolle der Risk-und-Compliance-Officer2.7 Wesentliche Vorüberlegungen2.7.1 Proportionalitätsprinzip2.7.2 Ein zweiter Blick auf die Risiken2.7.3 Risiken der zweiten und dritten Ordnung2.7.4 Risikodaten und Medienberichte2.7.5 Psychische Effekte und Einstellungen2.7.5.1 Selektive Wahrnehmung2.7.5.2 Die moderne Informationssituation2.7.5.3 Geringster Widerstand und Verdrängung2.7.5.4 Kognitive Tiefenursachen: Bias2.7.5.5 Priming und Framing2.7.6 Schwarze Schwäne, ihr Nachwuchs und selbst gelegte Eier2.7.6.1 Es beginnt meist ganz oben2.7.6.2 Sich daraus entwickelnde schwarze Schwäne …2.7.6.3 … deren Nachwuchs …2.7.6.4 … und weitere selbst gelegte Eier2.7.7 Top-down und bottom-up2.7.7.1 Top-down2.7.7.2 Bottom-up2.8 Umgang mit Ressourcen2.8.1 Die wichtigste Ressource »Mensch« …2.8.1.1 Das Team2.8.1.2 Agilität2.8.2 Risikocontrolling und Compliance als Wettbewerbsfaktor2.8.2.1 Unternehmensschutz und Regulierung2.8.2.2 Haftungsschutz2.8.2.3 Erschließung von Märkten und Lizenzerweiterungen2.8.2.4 Pitch-Perfect und Ausschreibungen2.8.2.5 Rating2.8.2.6 Lenkung von und Umgang mit Ressourcen2.8.2.7 Prävention sonstiger strafbarer Handlungen2.8.2.8 Third-Party Risk Management2.8.2.9 Prozessdesign, -effizienz und Digitalisierung2.8.2.10 Werbewirksamkeit2.8.2.11 Versicherungen2.8.2.12 Risikoportfolio als Einstieg für neue Mitarbeitende2.8.3 Organisationen als Human-Sammler2.8.4 Desinvestition – aber mit Augenmaß und -kontakt2.8.5 Daten als wertvolle Basis2.8.5.1 Daten externer Parteien2.8.5.2 Intern entstehende Daten2.8.5.3 Analytische Anforderungen und Einschränkungen2.8.5.4 Big Data2.8.6 Glaubwürdigkeitspunkte als Indikator2.8.6.1 Organisatorische Verortung eines Bereichs2.8.6.2 Zuhören und Aussagen prüfen2.8.6.3 Verhaltensweisen analysieren2.8.6.4 Entwicklungsstand einer Abteilung2.8.6.5 Motivationen feststellen2.8.7 Drill Down3 Risiko, Regulierung und effiziente Verankerung im Unternehmen3.1 Begriffseingrenzung »operationelle Risiken«3.1.1 Aufbau- und Ablauforganisation sowie Prozesse3.1.2 Menschliches Versagen3.1.2.1 Allgemeine Risiken3.1.2.2 Spezielle Risiken3.1.3 Systemrisiken (IT)3.1.3.1 Allgemeine Risiken3.1.3.2 Regulatorische Anforderungen und Risiken3.1.4 Rechtsrisiken3.1.5 Externe Risiken3.2 Übergeordnete Risikosteuerung3.2.1 Risikosteuerung3.2.1.1 Präventiv3.2.1.2 Detektiv3.2.1.3 Korrektiv3.2.2 Risk Committee3.2.3 Risk Appetite3.3 Effiziente und effektive Regulierungsarchitektur3.3.1 Zusammenfassung von Anforderungen3.3.2 Nutzenstiftende Erweiterungen3.3.3 Digitalisierte Umsetzung3.4 Überwachung und Verankerung3.4.1 Prüf- und Überwachungsfunktionen3.4.1.1 Unternehmenszugehörige Überwachungsfunktionen3.4.1.2 Unternehmensexterne Prüf- und Aufsichtsinstanzen3.4.2 Kodifizierung und Verankerung3.4.2.1 Weisungswesen3.4.2.2 Handbücher und Prozessbeschreibungen3.4.2.3 Checklisten3.4.2.4 Evidenz3.4.2.5 Schulungen und Trainings3.4.2.6 Fokus auf Ausbildungstechnik und Themenstellungen4 Der Risikomanagementprozess bzw. das Risk Assessment4.1 Identifikation4.1.1 Erfassung aller Risiken4.1.2 Wirkfaktoren und Informationen4.1.2.1 Extern4.1.2.2 Intern4.2 Beurteilung und Bewertung4.2.1 Kritische Würdigung einiger Bewertungs- und Beurteilungsansätze4.2.1.1 Peer-Vergleiche4.2.1.2 Statistische Methoden4.2.1.3 CAPM-Ansatz4.2.1.4 Scoring-Verfahren4.2.1.5 Earnings Volatility4.2.1.6 Organisations- und Unterlagenanalyse4.2.1.7 Prozessorientierter Ansatz4.2.1.8 Subjektivität von Beurteilungen4.2.2 Beurteilung durch Experten4.2.3 Die Beurteilung und Bewertung des Brutto- (Inherent) und Nettorisikos (Residual)4.3 Priorisierung4.3.1 Kontinuierliche Bewertung von Risiken4.3.2 Verzerrungen und Abhängigkeiten4.3.2.1 Persönliche subjektive Sichtweisen4.3.2.2 Eintritt von Risiken4.3.2.3 Korrelationen4.3.2.4 Reihung von Risiken4.4 Risikomanagement4.4.1 Akzeptanz4.4.2 Übertragen und Transferieren4.4.3 Vermeidung4.4.4 Verminderung4.4.5 Kompensation4.4.6 Wirtschaftlichkeit der Maßnahmen4.4.6.1 Soll-Abweichungskosten4.4.6.2 Maßnahmenkosten4.4.6.3 Entscheidungsfindung4.5 Datenzuweisung4.6 Rückmeldung4.7 Auswertung und Datennutzung4.7.1 Qualität der Daten4.7.2 Auswertung, Entwickeln, Monitoring und Berichtswesen4.7.2.1 Maßnahmenentwicklung4.7.2.2 Monitoring4.7.2.3 Zielgruppenorientierte Information4.7.2.4 Datennutzung und Entscheidungen5 Wertvolle Soll-Abweichungen5.1 Voraussetzungen5.1.1 Soll-Abweichungsdatenbanken5.1.2 Datenqualität5.2 Soll-Abweichungen (Gain, Neutral und Loss)5.2.1 Ursachenanalyse (Root Cause)5.2.2 Weitere Zuordnungen der Soll-Abweichungen5.2.3 Wesentliche Daten und deren Interpretation5.2.3.1 Tag der Soll-Abweichung5.2.3.2 Tag der Identifikation5.2.3.3 Tag der taktischen Behebung5.2.3.4 Tag der nachhaltigen Lösungsentwicklung5.2.4 Soll-Abweichungen ohne finanzielle Auswirkungen5.2.4.1 Beinaheverluste (Near Misses)5.2.4.2 Null-Ereignisse (Zero-Events)5.3 Maßnahmenentwicklung5.3.1 Taktische Maßnahmen5.3.2 Nachhaltige Maßnahmen5.4 Analyse und Quantifizierung5.4.1 Periodisierung5.4.1.1 Schätzung von Erwartungswerten5.4.1.2 Nutzung von Erfahrungswerten5.4.2 Faltung5.5 Risikoaggregation5.5.1 Risikoportfolio5.5.2 Berechnungsansätze5.5.2.1 Risk-Adjusted Return on Capital (RAROC), Return on Risk-Adjusted Capital (RORAC)5.5.2.2 Monte-Carlo-Simulation6 Werkzeuge des Risikomanagements6.1 (Key) Procedure Controls (KPC)6.1.1 Aufbau eines Kontrollframeworks6.1.2 Kontrolldokumentation6.1.2.1 Kontrollziel6.1.2.2 Kontrollbeschreibung6.1.3 Kontrolltest6.1.3.1 Design-Effektivität6.1.3.2 Operating-Effektivität6.1.3.3 Klassifikation eines Testergebnisses6.2 (Key) Risk Indicators (KRI)6.2.1 Entwicklungskriterien6.2.2 Review und Überprüfung6.2.3 Eskalationslevel (RAG-Status)6.3 (Key) Performance Indicators (KPI)6.3.1 Entwicklungskriterien6.3.2 Eskalationslevel (RAG-Status)7 Self-Identified-Issue-Konzept (SII)7.1 Vorteile des Konzepts7.2 Ein klarer Rahmen determiniert den Erfolg7.2.1 Definition der Eingangsvoraussetzungen7.2.2 Ablauf des Prozesses8 »Neu-Produkt und wesentliche Änderungen«-Prozess (NPP)8.1 Neue und bestehende Produkte8.1.1 Produktentwicklung für Kunden8.1.2 Bestehende Produkte8.2 Regulierungsanforderungen8.3 Neue Märkte8.4 Wesentliche Prozessänderungen9 Projektmanagement9.1 Interdisziplinarität9.1.1 Weisung9.1.2 Team9.2 Steuerung9.2.1 Planung9.2.2 Bericht9.3 Rahmenbedingungen mit Risiken9.3.1 Zeit9.3.2 Qualität9.3.3 Auftrag9.3.4 Ressourcen10 Sonstige strafbare Handlungen10.1 Motivationsfaktoren und Denkweisen10.1.1 Schwachstellen in der Aufbau- und Ablauforganisation10.1.2 Personenebene10.1.3 Sicht- und Denkweise eines Straftäters10.1.4 White-Collar-Crime-Profil10.2 Umgang mit Vorfällen10.3 Wirkrichtungen auf das Unternehmen10.3.1 Externe strafbare Handlungen10.3.2 Interne strafbare Handlungen10.4 Gefährdungsanalyse10.4.1 Typologien und Beispiele10.4.1.1 Externe Angreifer10.4.1.2 Kombinationen von internen und externen Angreifern10.4.1.3 Interne Angreifer10.4.2 Bestandsaufnahme der Gefährdungen10.4.3 Management der Gefährdungen10.4.3.1 Sprengung Geldausgabeautomat (GAA)10.4.3.2 Preismanipulation von Wertpapieren10.4.3.3 Provisionsbetrug durch Involvierung eines Maklers10.4.4 Nettorisiko-Betrachtung und Risikoappetit10.4.5 Jährliche Analyse und Ad-hoc-Aktualisierung10.5 Reverse Testing11 Risikomodelle, Kalkulationsschemen und Ratingsysteme11.1 Governance11.2 Quellen der Soll-Abweichungen11.2.1 Inputdaten11.2.2 Implementierung11.2.3 Nutzung11.2.3.1 Funktionalität11.2.3.2 Bedienung11.2.4 Ergebnisse11.2.5 Berichtswesen12 Third-Party Risk Management12.1 Auslagerung/Outsourcing12.1.1 Vorüberlegungen, Analyse und Abgrenzung12.1.1.1 Lokale und grenzüberschreitende Auslagerungen12.1.1.2 Bestimmung der Wesentlichkeit12.1.1.3 Abhängigkeit vom Servicedienstleister12.1.1.4 Besondere Anforderungen an IT und Cloud12.1.2 Auswahl eines geeigneten Partners12.1.2.1 Rahmenbedingungen12.1.2.2 Servicedienstleister als langfristiger Partner12.1.2.3 Fachliche Anforderungen12.1.2.4 Finanzielle Anforderungen12.1.2.5 Technische Anforderungen12.1.2.6 Entwicklung eines Alternativplans12.1.3 Vertragserstellung12.1.4 Fortlaufendes Monitoring12.1.5 Auflösung der Geschäftsbeziehung12.2 Übernahme von wesentlichen Aufgaben12.3 Zertifizierungen durch unabhängige Dritte12.3.1 ISAE-3402-Bericht12.3.2 Zertifizierungsmöglichkeiten nach ISO12.3.2.1 ISO 37000 – Good Governance12.3.2.2 ISO 31000 – Risikomanagement12.3.2.3 ISO 37301 – Compliance-Management-System (CMS)12.3.2.4 ISO 27001/2 – Informationssicherheit12.3.2.5 ISO 14001 – Umweltmanagement13 Finanztechnologie und Services (FinTech)13.1 Allgemeine Vorüberlegungen13.1.1 Digitalisierungspotenziale13.1.1.1 Einheitlichkeit von Sprache und Daten13.1.1.2 Interne Potenziale13.1.2 Transformative Strategien13.1.2.1 Globale Kurzdiskussion13.1.2.2 Unternehmen13.1.3 Menschen, Interessen, Ethik und Nachhaltigkeit13.1.3.1 Neudenken auf Führungsebene13.1.3.2 Neudenken auf Ebene der MitarbeiterInnen13.2 Robotic Process Automation (RPA)13.2.1 Einsatzgebiete13.2.2 Erfahrung, Risiken und Regulierung13.2.3 Aus- und Belastungsgrenzen13.2.4 Kosten-Nutzen-Assessment13.3 First Level Automatic Response Systems13.3.1 Vorüberlegungen13.3.2 Einsatzgebiete für Response Systeme13.4 Maintenance Systems13.5 Artificial Intelligence (AI)13.5.1 Machine Learning (ML)13.5.2 Anwendungsbeispiel Cross-Border Compliance13.5.3 Regulierungstechnologie (RegTech)13.6 Risikodatenmanagement und -verwendung13.6.1 Speisung des Data Lakes13.6.2 Erkenntnisgewinnung und Berichtswesen13.6.3 Heat-Maps und Dashboards als Übersichtsinstanz13.6.4 Metaverse/Web 314 Business Continuity und Resumption Management (BCM)14.1 Business Continuity Planning (BCP)14.1.1 Analyse des Unternehmensumfelds14.1.2 Analyse des Unternehmens14.1.2.1 Festlegung von Zeiten und Datensicherung14.1.2.2 Beurteilung der Wiederherstellungszeit14.1.3 Risk Assessment14.1.4 Systematisierung der Risiken und deren Beeinflussbarkeit14.1.4.1 Interne Ursachen14.1.4.2 Externe Ursachen14.1.5 Entwicklung des Business Continuity Plans (BCP)14.1.6 Test und Wartung14.1.7 Geeigneter Evakuierungsplan und -standort14.1.8 Planung und Routinisierung von Krisenszenarien14.1.8.1 Evakuierung14.1.8.2 Überfall14.1.8.3 Notfallpläne für Reparaturbedarf14.1.9 Faktor Mensch14.1.10 Faktor IT14.2 Incident Response (IR)14.3 Disaster Recovery15 Neue Risiko- und Chancenprofile sowie Wirkfaktoren15.1 Geopolitische Risiken15.1.1 Allgemeine Beispiele15.1.1.1 Ukrainekrieg15.1.1.2 COVID-19-Pandemie15.1.1.3 Volksrepublik China15.1.2 Territoriale Beispiele mit Ausstrahlungswirkungen15.1.2.1 Handelsstreit USA und China15.1.2.2 Brexit15.2 Cyberrisiken15.2.1 Physische Angriffe und Vorbereitung15.2.2 Virtuelle Angriffe15.2.2.1 Erpressung und Data Leaks15.2.2.2 Viren und Ransomware15.2.2.3 Initial Access Brokers (IAB)15.2.3 Cyberrisiken-Prävention und TIBER15.2.3.1 TIBER-EU15.2.3.2 Risiken im Zusammenhang mit TIBER-Tests15.2.4 Berichtswesen15.3 Environmental, Social, Governance (ESG)15.3.1 EU Sustainable Finance Taxonomy15.3.2 Theorie of Change15.3.3 Betroffene Bereiche des Finanzdienstleisters15.3.3.1 Governance unter Nachhaltigkeitsaspekten15.3.3.2 Betroffene Finanzdienstleistungsprozesse15.4 Datenschutz und DSGVO15.4.1 Datenschutz im internationalen Kontext15.4.2 Daten in der digitalen Ökonomie15.4.2.1 Umgang mit Daten15.4.2.2 Digitale Marktplätze16 Epilog und FazitAnhängeAnhang 1 – Risikomanagement für StudentInnenBachelor- und MasterarbeitenPlagiatsprüfungBewerbungenAnhang 2 – Beispiel: Reduktion des KlimawandelsStichwortverzeichnisDanksagungenDer AutorDigitale Extras

[1]

Hinweis zum Urheberrecht:

Alle Inhalte dieses eBooks sind urheberrechtlich geschützt.

Bitte respektieren Sie die Rechte der Autorinnen und Autoren, indem Sie keine ungenehmigten Kopien in Umlauf bringen.

Dafür vielen Dank!

Schäffer-Poeschel Verlag für Wirtschaft - Steuern - Recht GmbH

[6]Bibliografische Information der Deutschen Nationalbibliothek

Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über http://dnb.dnb.de/ abrufbar.

Print:

ISBN 978-3-7910-5635-7

Bestell-Nr. 11475-0001

ePub:

ISBN 978-3-7910-5844-3

Bestell-Nr. 11475-0101

ePDF:

ISBN 978-3-7910-5845-0

Bestell-Nr. 11475-0151

Kai Gammelin

Non-Financial Risk Management

1. Auflage, April 2023

© 2023 Schäffer-Poeschel Verlag für Wirtschaft · Steuern · Recht GmbH

www.schaeffer-poeschel.de

[email protected]

Produktmanagement: Ruth Kuonath

Lektorat: Heike Münzenmaier

Dieses Werk einschließlich aller seiner Teile ist urheberrechtlich geschützt. Alle Rechte, insbesondere die der Vervielfältigung, des auszugsweisen Nachdrucks, der Übersetzung und der Einspeicherung und Verarbeitung in elektronischen Systemen, vorbehalten. Alle Angaben/Daten nach bestem Wissen, jedoch ohne Gewähr für Vollständigkeit und Richtigkeit.

Schäffer-Poeschel Verlag Stuttgart

Ein Unternehmen der Haufe Group SE

Sofern diese Publikation ein ergänzendes Online-Angebot beinhaltet, stehen die Inhalte für 12 Monate nach Einstellen bzw. Abverkauf des Buches, mindestens aber für zwei Jahre nach Erscheinen des Buches, online zur Verfügung. Ein Anspruch auf Nutzung darüber hinaus besteht nicht.

Sollte dieses Buch bzw. das Online-Angebot Links auf Webseiten Dritter enthalten, so übernehmen wir für deren Inhalte und die Verfügbarkeit keine Haftung. Wir machen uns diese Inhalte nicht zu eigen und verweisen lediglich auf deren Stand zum Zeitpunkt der Erstveröffentlichung.

[7]Vorwort

Dieses Buch behandelt sehr viele Themenstellungen rund um das Non-Financial Risk Management. Über jedes einzelne Thema lässt sich gewiss mindestens ein Buch schreiben. Das Ziel dieses Buches ist jedoch nicht, jedes Thema bis ins kleinste Detail auszureizen, sondern soll den hier angesprochenen Zielgruppen die Gesamtzusammenhänge des Non-Financial Risk Managements und die damit einhergehende effiziente Resilienz näherbringen. Die Implementierungsbedarfe sind nämlich so unterschiedlich wie die Geschäftsprofile der Finanzdienstleister oder ihre Produkte und Prozesse selbst.

Die Zielgruppen sollen ManagerInnen, ExpertInnen, SpezialistInnen und auch StudentInnen sein. Eben Personen, die sich Tag für Tag mit vielen und einer zunehmenden Anzahl von Informationen beschäftigen müssen. Ein weiteres wichtiges Ziel ist deshalb der hier angestrebte Temporeichtum. Das Erinnern an bestimmte Themenstellungen und in der Endausbaustufe ein Risikomanagementsystem, das selbstwartend ist, sowie eine effektive und gleichermaßen effiziente Regulierungsarchitektur aufweist. Dies nicht nur zum Schutz der Kunden, von Finanzdienstleistern, dem Finanzstandort und der Haftungsbegrenzung von Organen und regulierten Funktionen, sondern auch um die Wettbewerbsfähigkeit des Standorts und der Unternehmen zu steigern.

Zudem soll die Lektüre vielleicht die eine oder andere Erfahrung transportieren und die Zahnräder verdeutlichen, die innerhalb eines gesunden Unternehmens wirkungsvoll ineinandergreifen. Deshalb berücksichtigt es traditionelle Themenstellen, aber auch neu hinzugekommene.

Wichtig ist es, die richtige Unternehmenskultur als Bestandteil eines funktionierenden sozio-ökonomischen Gebildes zu verstehen, um eine möglichst reibungsfreie und nachhaltige Implementierung eines Risikomanagementsystems zu erzielen. Psychologische Effekte und Eigeninteressen sind hochgradige Einflüsse, zu denen ein Bewusstsein bestehen sollte. Ihnen ist ebenfalls viel Aufmerksamkeit zu widmen. Sie können signifikante negative Auswirkungen ebenso hervorrufen, wie auch mangelhafte Führungseigenschaften, fehlende oder unzureichende Trainings.

Den Positionen eines Risk-und-Compliance-Officers kommt dabei eine vom Regulator noch nicht ganz ausgereifte zwiespältige Bedeutung zu. Wichtige und determinierende Grundvoraussetzung ist eine funktionstüchtige Unternehmenskultur, die aber vom Management beeinflusst wird. Bei positivem Wissen muss der Officer handeln. Was ist aber mit dem Management, an welches der Officer berichtet und welches seinen Fortbestand im Unternehmen, seine Entwicklungsmöglichkeiten und Bezahlung bestimmt? Wie ist damit umzugehen, wenn die eignen Interessen einzelner Personen vor die Interessen des gesamten Unternehmens gestellt werden? Gar nicht! Sie schaden dem Unternehmen nachhaltig, insb. wenn sie Schlüsselpositionen bekleiden!

[8]Bestandteil des Buches sind nicht die Meldeverfahren an regulatorische Instanzen oder mathematische Ansätze, da diese von Jurisdiktion zu Jurisdiktion und unternehmensspezifisch unterschiedlich sein können.

Ich wünsche Ihnen viel Freude beim Lesen dieses Buchs und hoffentlich den einen oder anderen hilfreichen Hinweis.

Kai Gammelin, Bludenz, Februar 2023

[9]Geleitworte

Geleitwort von Dr. Christine Bernhofer

Wie in der Einleitung versprochen, besticht das Buch durch Temporeichtum. Herr Gammelin stellt die Verzahnungen zwischen den einzelnen Komponenten des Non-Financial Risk Managements sehr anschaulich dar. Dies als Grundvoraussetzung für ein resilientes Framework. Für das Management eine sehr geschätzte Referenzschrift, um die Vollständigkeit des eigenen Ansatzes abzugleichen.

Das sich rasch verändernde Umfeld stellt hohe Anforderungen an Finanzdienstleister hinsichtlich ihrer Reaktionsfähigkeit. Eigene Veränderungsbedarfe gehen mit diesen einher. Der Einbezug und die Abstimmung beider Wirkrichtungen wird erforderlich. Chancen müssen bei gleichzeitigem Management möglicher Schadenpotenziale genutzt werden. Zügige risikobewusste Entscheidungen werden erforderlich, um für Kunden und Unternehmen das bestmögliche Ergebnis zu erzielen. Bei wachsendem Kostendruck ist es relevant, Transparenz für das Management sicherzustellen und die vorhandenen Ressourcen auf die wesentlichen Themenstellungen zu lenken, ohne die aktuell als geringfügiger erachteten Schadenpotenziale aus dem Blick zu verlieren. Ressourcenthematik und Komplexität erfordern Digitalisierung.

Die durch Herrn Gammelin auf unterschiedlichen Fach- und Managementebenen ausgeübten Tätigkeiten werden in diesem Buch hervorragend zusammengeführt. Wesentliche, sonst in diesem Kontext vernachlässigte Grundvoraussetzungen, wie die essenzielle Rolle des Managements, das betriebliches Reaktionsvermögen sowie menschliche Wirkfaktoren sind auf den Punkt gebracht.

Dr. Christine Bernhofer

COO Swiss Life Asset Managers Deutschland

CEO Swiss Life Kapitalverwaltungsgesellschaft mbH

[10]Geleitwort von Dr. Erich Walter Farkas

Die Realität ist viel komplexer als Risikomodelle es jemals sein können: Unternehmensumfeld, -gegenstand und -kultur sind dabei zentrale Determinanten. In international tätigen Unternehmensgruppen sind ebenso übergreifende Initiativen zur Prävention von Schäden erforderlich, wie auch bei der Bewirtschaftung eines einzelnen Unternehmens. Herr Gammelin arbeitet diesen holistischen Grundstein im Bereich des Non-Financial Risk Managements treffend heraus und bringt seine langjährige und vielfältige Praxis- und Forschungserfahrung ein.

Die Ansätze der Regulatoren der Europäischen Union und der Schweiz differieren zwar, arbeiten aber in dieselbe Zielrichtung – Schutz von Kunden, weiteren Stakeholdern, Finanzdienstleistern und des Wirtschaftsstandorts. Die Regulierungsanforderungen transportieren viele Erfahrungen aus Vorkommnissen der Vergangenheit, müssen aber auch konzertiert und risikoadjustiert zu einem System zusammengefasst werden. Dieses Buch kreiert einen ganzheitlichen, grenzüberschreitend anwendbaren Bauplan für ein effektives und effizientes Non-Financial Risk Management. Herausgearbeitet werden zudem wichtige flankierende Themenstellungen, wie bspw. die Fehlerprävention im Zusammenhang mit quantitativen Messverfahren oder der Bedarf eines stringenten Projektmanagements.

Dieser Flankierungsbedarf wird repetitiv auch bei neuen und sich entwickelnden Themenstellungen relevant. So werden im Bereich des Nachhaltigkeitsmanagements solide Datenbasen und Berechnungsmodelle benötigt. Gleichzeitig kann die wettbewerbsnotwendige Digitalisierung von Geschäftsprozessen und die zunehmende Inanspruchnahme von Off-Premises Cloud-Architekturen Abhängigkeiten bzw. die Angriffsfläche eines Unternehmens erhöhen.

Ein sehr gelungenes Buch, das zum (Vor-)Denken und zur Berücksichtigung von Wirkzusammenhängen anregt.

Viel Spaß beim Lesen und Nachdenken!

Prof. Dr. Erich Walter Farkas

Professor für Quantitative Finance am Institut für Banking und Finance an der Universität Zürich (UZH), assoziertes Fakultätsmitglied am Departement Mathematik der Eidgenössischen Technischen Hochschule (ETH) Zürich, Mitglied des Swiss Finance Institute (SFI)

Programmdirektor des spezialisierten Master of Science in Quantitative Finance, joint degree der Universität Zürich und ETH Zürich

Vorstandsmitglied der Swiss Risk Association (Gründer und ehemaliger Co-Präsident 2013-2021)

[11]Geleitwort von Dr. Stefan Hirschmann

Liebe Leserinnen und Leser,

die Steuerung, das Controlling und das Management von nicht-finanziellen Risiken (Non-Financial Risks, NFR) spielt aufgrund der stetig steigenden aufsichtsrechtlichen Anforderungen sowie zunehmender prozessualer Notwendigkeiten und Bedrohungen eine immer größere Rolle bei Banken, Versicherungen und anderen Unternehmen. Hierbei gilt es, die Balance zwischen Risikovermeidung und -beherrschung auf der einen Seite und betriebswirtschaftlichem Handeln auf der anderen Seite zu bewahren.

Steigende Inflation, hohe Regulierungsintensität, wachsender Wettbewerb sowie zunehmender Druck auf die Geschäftsmodelle durch die digitale Transformation sind nach wie vor wichtige Herausforderungen. Und mehr noch: unsere Wirtschaft und Gesellschaft wird innerhalb weniger Jahre einige epochale Aufgaben angehen müssen. Erstens gilt es, die Folgen des russischen Angriffskriegs in der Ukraine aufzufangen und vor allem den Menschen zu helfen, die durch diese Katastrophe unsagbares Leid erfahren. Zweitens ist die Wirtschaft nach der Corona-Krise zu revitalisieren sowie der digitale Transformationsprozess zu bewältigen. Schließlich muss der CO2-Ausstoß und Naturverlust auf Netto-Null reduziert werden. Letzteres ist eine gewaltige Herausforderung, es ist für uns alle das entscheidende Thema der nächsten Jahre. Das Drama in der Ukraine hat die Notwendigkeit eines raschen Wandels – auch und vor allem in der Energiepolitik – noch einmal umso deutlicher gemacht.

Um es unmissverständlich zu sagen: Die Gesamtwirtschaft, die Gesellschaft und die Finanzindustrie stehen vor einem maximalen Transformationsprozess, der viel Geld kosten wird und in den Unternehmen das Personal, das Risikomanagement, die IT und die gesamte Unternehmensorganisation massiv fordern wird. So sind die nachhaltige und digitale Transformation, das Risikomanagement und die Business-Resilienz die Megathemen der nächsten Jahre. Ohne ein funktionsfähiges Risiko- und Notfallmanagement zu betreiben und entsprechende Risikoszenarien zu modellieren, werden die Aufgaben kaum zu bewerkstelligen sein. Durch eine kurze Aneinandereihung mehrerer Krisen in den letzten Jahren sind Gesellschaft und Märkte mehrfach aus der Spur gekommen. Jetzt geht es darum, die Zukunft zu sichern sowie den nachhaltigen Umbau zu organisieren und zu finanzieren. Es steht viel auf dem Spiel. Dabei sind eine weitgreifende Übersicht und die professionelle Steuerung der wesentlichen Themen wie Risiko, Nachhaltigkeit, Sicherheit, Regulierung, Personal und Technologie essenziell.

[12]In der Praxis dürfte davon vieles ineinandergreifen, denn letztlich ist die Adaption von Chancen und Risiken ein steter Balanceakt zwischen Flexibilisierung und Standardisierung. Ein weiterer Aspekt ist, dass diverse Transformationsprozesse parallel verlaufen und Interdependenzen von größerer Bedeutung sein können. Für Akteure im Unternehmen ist daher ein Grundverständnis für das gesamte Risikouniversum unerlässlich.

Dieser Mammutaufgabe hat sich Kai Gammelin mit diesem Buch angenommen und auf fast 500 Druckseiten das breite Feld der nicht-finanziellen Risiken intensiv beackert. Für diese Leistung spreche ich meinen größten Respekt aus und wünsche dem Werk eine bestmögliche Aufnahme und gute Verbreitung. Autor und Thema haben es jedenfalls verdient.

Düsseldorf, im November 2022

Dr. Stefan Hirschmann

Vertreter des Bundesverbands Öffentlicher Banken Deutschlands, VÖB

[13]Geleitwort von Prof. Dr. Markus Ilg und Prof. Dr. Martin Hebertinger

Risikomanagement bei Banken und anderen Finanzdienstleistern fokussierte lange Zeit und viel zu oft auf quantitative Modelle, bspw. im Versuch, möglichst präzise einen Value at Risk zu berechnen. Während bankinterne Modelle zur Bemessung von Adressausfall- und Marktrisiken entwickelt und perfektionistisch verfeinert wurden, wurden Operationelle Risiken weiterhin oft mit dem Standardansatz bemessen. Dabei zeigt ein Blick in die jüngere Wirtschaftsgeschichte, dass Schadensfälle und Strafzahlungen in der Finanzindustrie vermehrt auf Risiken aus dem Bereich der Non-Financial Risks zurückgehen. Dolos oder fahrlässig fehlerhafte Beratung, gezielte Marktmanipulationen, Betrugsfälle – allein die Aufzählung dieser Tatbestände bringt die Namen einiger schillernder Unternehmensnamen ins Kopfkino.

Es wirkt so, als ob die Ansätze des Operational-Risk-Managements mehr auf die Abdeckung regulatorischer Kapitalanforderungen fokussierten als auch (und vor allem) der strukturierten Kartografie der nicht-finanziellen Risiken. Non-Financial Risk Management steht für den Trend, eben jene schwer quantifizierbaren, eher weichen und verborgenen Risikofelder ebenbürtig zu Kredit- und Preisrisiken zu erfassen, zu systematisieren, ihre Interdependenzen abzuschätzen und schließlich zu managen. Perspektivisch senkt das auch die Eigenkapitalanforderungen. Im Idealfall vermeidet es Verlustereignisse, die die Haftungsbasis stärker reduzieren als jedes noch so fein austarierte Rechenmodell es kompensieren könnte.

Kai Gammelin legt ein umfassendes Werk vor, in dem er die Bedeutung von Risikomanagement im Allgemeinen aufzeigt, Operationelle Risiken systematisiert, geeignete Prozesse zum Erfassen, zum Evaluieren und zum Mitigieren von Risiken aus dem nicht-finanziellen Bereich beschreibt und mit Anwendungsbeispielen untermauert. Es ist dabei kein ermüdendes Fachbuch, sondern eine erfrischend mitnehmende Lektüre als Ganzes und ein zuverlässiges Nachschlagewerk für Details entstanden. Wir kennen und schätzen den Autor als engagierten Dozenten an unserer Hochschule und als Betreuer akademischer Abschlussarbeiten. Seine Studierenden schätzen den Praxisbezug und die solide Einordnung des Stoffes im Big Picture der Betriebswirtschaft und der Nachbardisziplinen.

Den Leserinnen und Lesern dieses Buchs wünschen wir Erkenntnisgewinn und Freude beim Lesen – wir hatten dies jedenfalls.

University of Applied Sciences Vorarlberg, Dornbirn, November 2022

Prof. (FH) Dr. Markus Ilg

Fachbereich Wirtschaft

Fachbereichsleiter, Hochschullehrer

Prof. (FH) Dr. Martin Hebertinger

Hochschullehrer, Studiengangsleiter Internationale Betriebswirtschaft

Department of Management and Business Administration

[14]Geleitwort von Roman Lorenc

Seit Menschen Werte schaffen, beschäftigen sie sich mit der Sicherung ihrer Errungenschaften und dem Thema Risikomanagement in seiner ganzen Vielfältigkeit. Das Bedürfnis nach Schutz vor äußeren, aber auch inneren Risiken ist demnach so alt wie die Menschheit selbst und die Geschichte hat oft gezeigt, dass starke innere Strukturen eine außergewöhnliche Resilienz vor verderblichen äußeren Einflüssen schaffen und zugleich eine organisierte Weiterentwicklung ermöglichen, die auch in der Zukunft bestehen kann.

Der Autor hat in diesem Buch eine Fülle an Themen dargestellt, die einen wertvollen und übersichtlichen Einblick darüber geben, welche komplexen Risiken die Finanzdienstleister am Anfang des 21. Jahrhunderts beschäftigen und – viel wichtiger – mit welchen Lösungsansätzen starke innere Strukturen geschaffen werden, die zur nachhaltigen Minderung dieser Risiken beitragen und insgesamt zu eben jener Resilienz führen, die den entscheidenden Unterschied im Bestehen des Wettbewerbs ausmacht.

Die Kompaktheit dieses Werks gepaart mit der Reichhaltigkeit an relevanten Themen von Kontrollkonzepten über Human-Risiken bis zu Finanztechnologie, machen dieses Buch zu einer spannenden und immer wieder gerne konsultierten Bildungslektüre für jede und jeden, die den errungenen Wettbewerbsvorteil ihres Unternehmens sichern und weiterentwickeln wollen oder es sich zum Ziel gesetzt haben, ihr Unternehmen in diese hohe Liga zu lenken.

Roman Lorenc

Head Compliance Credit Suisse Asset Management Europe

[25]Abbildungsverzeichnis

Abbildung 1:Ableitung der RisikostrategieAbbildung 2:Vom Mission-Statement bis zur Feinsteuerung und RückkoppelungenAbbildung 3:Porter’s Five ForcesAbbildung 4:UnternehmenszieleAbbildung 5:Strategische UnternehmensausrichtungAbbildung 6:Zirkuläre Logik von lokalen Theorien und StrukturentwicklungAbbildung 7:Änderungen der Aufgaben und Anforderungen nach Führungs- und SenioritätslevelAbbildung 8:Schaffung einer komplizierten WeltAbbildung 9:Wirkfaktoren auf und in UnternehmenAbbildung 10:Phasen des Veränderungsprozesses nach William Bridges »Managing Transitions«Abbildung 12:Vor- und Nachteile einer (zu) schnellen Umsetzung eines ChangesAbbildung 11:Vgl. John Kotter’s 8 Step Change ModelAbbildung 13:Aus der Komfortzone treten, um Dinge anzugehen oder zu verändernAbbildung 14:Klassifikation von Einflussbereichen zwecks HandlungsfokussierungAbbildung 15:Profil agiler ManagerAbbildung 16:Datenentstehungsarten, -qualifizierung und NutzungAbbildung 17:JOHARI-FensterAbbildung 18:The first Four V’s of Big DataAbbildung 19:Die später hinzugekommenen 3 V’s of Big DataAbbildung 20:Definition des operationellen Risikos gem. KapitaladäquanzverordnungAbbildung 21:Systematisierung von Prozessen und deren RisikenAbbildung 22:Systematisierung des menschlichen VersagensAbbildung 23:Wesentliche Mängel aus IT-Prüfungen der letzten 10 JahreAbbildung 24:Elemente des IKT-RisikomanagementsAbbildung 25:Integriertes resilientes RisikomodellAbbildung 26:Struktur eines Risk CommitteesAbbildung 27:Regulierungen aus unterschiedlichen Perspektiven auf das RisikomanagementAbbildung 28:Regulierungen auf unterschiedlichen EbenenAbbildung 29:Die Kontrollinstanzen eines FinanzdienstleistersAbbildung 30:Zielbild einer KontrollfunktionAbbildung 31:Fachwerkstruktur des WeisungswesensAbbildung 32:Autoren- und DokumentenmanagementsystemAbbildung 33:Lernende Risiko- und WissensorganisationAbbildung 34:Mikroregelkreis des RisikocontrollingsAbbildung 35:Vorhandene und neue interne Informationen[26]Abbildung 36:Risikobeurteilungen und -bewertungen top-down und bottom-upAbbildung 37:Prozessdokumentation zum Risikomanagement und zur FehlersucheAbbildung 38:Ermittlung des GesamtrisikosAbbildung 39:Q-Q-Plot mit EUR-1-Mio.-Kurve aus Schadenhöhe und EintrittswahrscheinlichkeitAbbildung 40:Menschliche Einflussfaktoren im Rahmen der RisikobeurteilungAbbildung 41:COSO-Würfel – Enterprise Risk Management FrameworkAbbildung 42:Beispiel Risikomanagement COSO-AnsatzAbbildung 43:Mehrfacherhebung eines Risikos und Übergewichtung des GesamtrisikosAbbildung 44:Risikodefinition ggf. mit hoher Granularität und AuswirkungenAbbildung 45:Ursachen, Risiko, Wirkungen und weitere Konsequenzen eines ServerausfallsAbbildung 46:Ursachen und MaßnahmenAbbildung 47:Einfacherhebung eines Risikos und realistische Darstellung des Gesamtrisikos (ORX)Abbildung 48:Wirk- und ursachenbezogenes Management von RisikenAbbildung 49:Schweizer-Käse-Modell-AnalogieAbbildung 50:Berichtswesen, Monitoring und UnternehmenssteuerungAbbildung 51:Determinanten im Rahmen der MaßnahmenentwicklungAbbildung 52:Mögliche weitere Zuordnungen von Soll-AbweichungenAbbildung 53:WahrscheinlichkeitsverteilungAbbildung 54:Beispiel einer Poisson-VerteilungAbbildung 55:Verlusthöhenverteilung als gestutzte Log-NormalverteilungAbbildung 56:Systematisierung von KontrollenAbbildung 57:Abgestimmtes Kontrollframework zwischen erster und zweiter VerteidigungslinieAbbildung 58:Messung und Visualisierung von Key Risk IndicatorsAbbildung 59:Ablauf des Self-Identified-Issue-ProzessesAbbildung 60:Von der Produktentwicklung bis zum Relaunch oder EinstellungAbbildung 61:Themenstellungen für ein strukturiertes ProjektmanagementAbbildung 62:Systematisierung der ProjektmanagementrisikenAbbildung 63:ProjektlebenszyklusAbbildung 64:Geldwäschevortaten in All-Crime-JurisdiktionenAbbildung 65:Betrugsdreieck mit organisatorischen und PersonenebenenAbbildung 66:The Dark TriadAbbildung 67:AngriffskombinationenAbbildung 68:Ablauf Social EngineeringAbbildung 69:Zwischenschaltung von Maklern durch MitarbeiterInAbbildung 70:Definierter Kanal zu Prüfung der MarktgerechtigkeitAbbildung 71:Händler-Broker-Übereinkunft, Beispiel VerkaufAbbildung 72:Russian Laundromat[27]Abbildung 73:Bestandsaufnahme der Gefährdungen je Abteilung als BruttorisikenAbbildung 74:Definitionen von Delikten und unterschiedlichen TypologienAbbildung 75:Bestandsaufnahme der Gefährdungen je Abteilung als NettorisikenAbbildung 76:Risikoquellen von Risikomodellen und KalkulationsschemenAbbildung 77:Ausprägungen von Outsourcing und InsourcingAbbildung 78:Outsourcing-BeziehungenAbbildung 79:Vorgehensweise Outsourcing-ProzessAbbildung 80:Klassifizierung von Auslagerungen in unwesentlich und wesentlichAbbildung 81:Risiko aus Sicht des Outsourcing-GebersAbbildung 82:Abhängigkeit vom RechenzentrumAbbildung 83:Systematisierung der Cloud-NutzungsmöglichkeitenAbbildung 84:Prüfung der Outsourcing-Nehmer gegen SanktionslistenAbbildung 85:Risikodarstellung aus Sicht des Outsourcing-GebersAbbildung 86:Automatisierungspotenziale (eine Schätzung)Abbildung 87:Vergleich zwischen Arbeitskraft Mensch, RPA sowie Applikationen und SoftwareAbbildung 88:Beispiele für mögliche Einsatzgebiete von Robotic Process Automation (RPA)Abbildung 89:First Level Automatic Response SystemsAbbildung 90:Regulierungs-, Dokumentations- und AuditsystemeAbbildung 91:Unterteilungen schwacher und starker Künstlicher IntelligenzAbbildung 92:Datenarchitektur zur Überwachung von AbweichungenAbbildung 93:Überwachtes (supervised) Machine LearningAbbildung 94:Multiple Kombinatorik im grenzüberschreitenden VertriebAbbildung 95:Data Lake, Datensammlung und -verwendungAbbildung 96:Verlässliches Reporting und TransparenzAbbildung 97:Einordnung des Business Continuity Managements (BCM)Abbildung 98:Optimale Balance zwischen Unterbrechungs- und WiederherstellungskostenAbbildung 99:Ursacheneinordnungen im Business Continuity Management (BCM)Abbildung 100:Business Continuity Management (BCM) – PhasenAbbildung 101:Beurteilung und Bewertung des BCM-BruttorisikosAbbildung 102:Beurteilung und Bewertung des NettorisikosAbbildung 103:Beispiel eines IT-Plans mit UmschaltszenarienAbbildung 104:Phasen- und Maßnahmenkonzept gegen virtuelle AngriffeAbbildung 105:Kybernetischer Regelkreis zur Reduktion der AngriffsflächeAbbildung 106:Investitionsviereck und seine SpannungsverhältnisseAbbildung 107:Energy and mitigating climate changeAbbildung 108:Sustainable Development GoalsAbbildung 109:OECD (2022) average distance from achieving the SDG Targets[28]Abbildung 110:Wirtschaftssektoren im Fokus der EU-TaxonomyAbbildung 111:Fünf Schritte zur Berechnung des Taxonomy ExposuresAbbildung 112:ESG-RelevanzanalyseAbbildung 113:Multidimensionalität der Anlagegrenzprüfung von regulierten SondervermögenAbbildung 114:Anwendung der EU-Taxonomy auf ein Portfolio

Tabellenverzeichnis

Tabelle 1:Steuerungselemente im RisikomanagementTabelle 2:Vor- und Nachteile der RoutinisierungTabelle 3:Themenkomplexe der agilen Organisationsentwicklung »Pioneers-Trafo-Modell«Tabelle 4:Vor- und Nachteile des agilen ArbeitensTabelle 5:Übergreifende Aufgabenabgrenzung zwischen Compliance und RisikocontrollingTabelle 6:Systematisierung von ErfassungsinstrumentenTabelle 7:PESTEL-AnalyseTabelle 8:Skalierung der SchadenhöheTabelle 9:Skalierung der EintrittswahrscheinlichkeitTabelle 10:Die 17 COSO-Prinzipien (2013)Tabelle 12:Gegenüberstellung von Soll-Abweichungs- und MaßnahmenkostenTabelle 13:Untersuchung von VermeidungsstrategienTabelle 14:Annualisierte Soll-AbweichungTabelle 15:Beurteilungskriterien für die KontrolleffektivitätTabelle 16:BCM-Risiken, -Ursachen und -MaßnahmenTabelle 17:Beispiele für Environmental, Social und Governance (ESG)Tabelle 18:Unterscheidung in drei Unternehmensaktivitätstypen des KlimawandelsTabelle 19:Berücksichtigung von Nachhaltigkeitskriterien entlang des InvestmentprozessesTabelle 20:Beispiele für nachhaltige ProjektfinanzierungenTabelle 21:Risikomanagement bei wissenschaftlichen ArbeitenTabelle 22:Beispiel Klimawandelreduktion. Quelle: EU Technical Expert Group on Sustainable Finance

[29]1Einleitung

Ich habe mir lange überlegt, ob ich dieses Buch schreiben sollte. Schlussendlich habe ich mich aber dafür entschieden, da die am Markt erhältliche Literatur in erster Linie auf gesetzlichen und regulatorischen Themen aufbaut und wenig Praxis transportiert oder veraltet ist. Die Suche nach geeigneten Veröffentlichungen für den Risikocontrolling-Nachwuchs und die StudentInnen verlief ebenfalls wenig erfolgreich – ganz gleich, ob für Praxis oder Theorie. Einen Schubs erhielt ich dann noch von Dr. Stefan Hirschmann – Mitglied der Geschäftsleitung der VÖB-Service GmbH, Gesellschaft des Bundesverbands Öffentlicher Banken Deutschlands, VÖB – und von Alexander Kühn, Programmbereich Finance, ABWL & VWL des Schäffer-Poeschel Verlags. Vielen Dank, das Projekt hat sehr viel Spaß gemacht.

Nachdem ich das Thema ganzheitliche Risikoprävention nun seit 1999 aus der Perspektive eines Mitglieds von Aufsichtsräten, (erweiterten) Geschäftsleitungen, als Leiter und Spezialist international verfolgen bzw. umsetzen durfte, ergaben sich viele Erlebnisse und nutzenbringende Praxishinweise und Systematisierungen, die ich hiermit auch gern weitergeben möchte. Auch eignete ich mir an, die besten und zumeist auch effizientesten Lösungen aus den unterschiedlichen Bereichen zu nutzen – in den Finanzdienstleistungsbereichen der Universalbanken, des Asset Managements und der Rating-Branche sowie in der ganzheitlichen Prävention von Risiken und der Compliance insbesondere in Europe, Middle East & Africa und ohne Zwischenfälle in meinen Verantwortungsbereichen.

Als Gastdozent unterrichte ich an verschiedenen Bildungseinrichtungen zu den Themen Compliance, Risikocontrolling, Governance, Finanztechnologie und Nachhaltigkeit. Die Zusammenarbeit mit jungen Menschen wurde eine meiner großen Leidenschaften. Dabei fiel mir auf, dass das Thema Risikocontrolling von operationellen Risiken teilweise gar nicht gelehrt oder schlichtweg unterschätzt wird. Bankentaugliche Bücher sind ebenfalls in der Uni-Bibliothek eine Seltenheit, dabei sind Risiko- und Präventionsüberlegungen bereits bei der erfolgreichen Umsetzung von Bachelor- und Masterarbeiten erforderlich. Die Betreuung der Arbeiten und die zu erforschenden neuen Themen haben schon immer mein hohes Interesse geweckt – auch beruflich.

Dieses Buch richtet sich an alle Ebenen der Finanzdienstleistungsbranche sowie an Studierende, die sich mit diesem Thema auseinandersetzen wollen. Es soll kritische Themen genauso aufzeigen, wie das Verständnis füreinander – »in den Schuhen des anderen gehen« – und die gemeinsame Erreichung von Zielen sicherstellen. Nur so kann ein resilientes sowie effizientes Framework entstehen, das Märkte, Branchen, Unternehmen und Mitarbeitende schützt.

Es stand für mich bereits zu Beginn fest, dass ich meine elektrotechnische Ausbildung nur zum Ende bringen wollte. Dass diese Ausbildung doch wieder hilfreich sein würde, kristallisierte sich erst später heraus. Ich wollte unbedingt in die Bankenbranche. Obwohl zum damaligen Zeit[30]punkt eine Ausbildungsplatzknappheit am Markt bestand, kämpfte ich um einen zweiten Ausbildungsplatz zur Ausbildung zum Bankkaufmann und erhielt einen Vertrag vom Privatbankier Bankhaus Fischer & Co. In der Übergangszeit bis zum Ausbildungsbeginn erhielt ich auf Anfrage eine Überbrückungsanstellung in der Factoring-Abteilung. Eigentlich war meine Aufgabe einfach. Ich durfte Akten angekaufter Forderungen ergänzen und in einem damals schon halb automatisierten Verfahren Briefe mit meinen Anforderungen an die Leasinggesellschaften versenden. Dabei fiel mir eine Leasinggesellschaft durch den verhältnismäßig hohen Ankaufbetrag besonders auf. Es handelte sich um »HLS in Filderstadt bei Stuttgart«. Ich freute mich auf meinen Ausbildungsbeginn. In den Sommerurlaub 1995 mit meinen Eltern flog ich mit gemischten Gefühlen. Ich berichtete meinem Vater – der mich am liebsten im Elektronikbereich gesehen hätte – von meinen Erlebnissen und dieser erwiderte nur, dass ich das gar nicht beurteilen könnte, ich hätte ja noch nicht mal eine Ausbildung. Mal sehen, ob die Bank nach unserer Rückkehr noch existiert, entgegnete ich. Nach dem Urlaub mit meinen Eltern stand Berufsschule auf dem Plan. Ich kann mich daran erinnern, als wäre es gestern gewesen. Die Schulsekretärin kam im November 1995 um ca. 11:00 Uhr während des Wirtschaftsenglischunterrichts in die Schulklasse und heftete einen gelben Klebezettel an die Tafel. Meine beiden Mitauszubildenden und ich sollten uns bei unserem Ausbilder melden. Ich telefonierte mit unserem Ausbilder. Dieser teilte uns mit, dass das Bundesaufsichtsamt für das Kreditwesen (BAKred)1 über das Bankhaus ein Moratorium2 verhängt hatte und nun keine Auszubildenden mehr beschäftigen dürfe. Wir sollen unsere Unterlagen doch bitte innerhalb der nächsten drei Tage abholen. Das Exposure des in die Zahlungsunfähigkeit gerutschten Großkunden HLS Leasing war zu hoch, um das Bankhaus weiterhin seine Geschäfte betreiben lassen zu dürfen. Der Dominoeffekt war fatal. Geschäfts- und Privatkunden kamen nicht mehr an ihre Gelder. Zu einem folgenden Zeitpunkt wurde das Bankhaus abgewickelt. Für mich brach eine Welt zusammen und der Kampf um einen Ausbildungsplatz begann von Neuem. Schließlich hatte ich ein sehr gutes Gespräch mit zwei Ausbilderinnen der Vereins- und Westbank AG in Hamburg, die nach unserem Gespräch sofort entscheidungsfähig waren und mir die Möglichkeit gaben, meine Ausbildung in dieser international tätigen Bank fortzusetzen. Hier lernte ich, dass es sich immer lohnt, für seine Ziele zu kämpfen und nach so einem Erlebnis meistens etwas Besseres nachkommt. Die Ausbildung jedenfalls ermöglichte mir wesentlich mehr, als die, die ich beim Bankhaus Fischer hätte erhalten können. Auch erlebte ich eine sehr gute Förderbereitschaft der Ausbildungs- und Fachabteilung, die mein außerordentliches Interesse für die Materie unterstützte. Auch wenn ich während des unsicheren Schwebezustands meine einzige 5 im wichtigsten Fach – Bankbetriebslehre – schrieb, absolvierte ich einen der besseren Abschlüsse und dufte mir einen zur Auswahl stehenden Platz aussuchen. Ich entschied mich für die Firmenkundensteuerung und [31]das Online-Banking. Den Militärdienst hatte ich zu diesem Zeitpunkt noch nicht absolviert und besaß auch kein besonderes Interesse daran. Mich verband eine große Leidenschaft mit dem Finanzsektor. Die Bank verlängerte aufgrund von Projekten meine Zeit. Dann entschied ich mich, keine Verlängerung mehr anzunehmen und erhielt für die Rückkehr nach dem Militärdienst einen Anschlussvertrag – eine Bank, die erstklassig für ihre MitarbeiterInnen agierte.

Den Militärdienst bei der Luftwaffe auf den Grundwehrdienst zu beschränken, war von Beginn an mein Ziel, um anschließend wieder in die Wirtschaft zurückzukehren. Die Grundausbildung absolvierte ich in Holzdorf sowie Goslar und wurde als Luftwaffensicherungssoldat ausgebildet. Im Anschluss gehörte ich zum Stammpersonal der Unteroffiziersschule der Luftwaffe in Pinneberg und arbeitete für den S3. Ich organisierte u. a. Kommandeur- und Inspekteur-Tagungen und durfte – bis auf einige internationale Gespräche – immer dabei sein und Gäste aus den USA und Spanien begrüßen. Den Militärdienst absolvierte ich – bis auf ein »Versehen« bei einer Übung sehr diszipliniert, erlebte sehr viel und durfte weitere hoch interessante Aufgaben3 übernehmen. Zeitgleich begann ich eine betriebswirtschaftliche Fernweiterbildung mit Schwerpunkt Finanzen. Am Ende meiner Wehrdienstzeit wurde mir eine Offizierslaufbahn angeboten, ich erhielt im Namen der Bundesrepublik Deutschland die Ehrenmedaille und Urkunde der Bundeswehr von Rudolf Scharping4 sowie eine förmliche Anerkennung des Kasernengenerals Josef Priller5. Natürlich musste ich mir als Hamburger ein Verhör gefallen lassen, das die Annahme eines Ordens6 zum Gegenstand hatte. Ich erwiderte, dass es eine unheimlich spannende Zeit voller Kameradschaft, extrem guter Führung7, in der Zusammenarbeit ausgesetzte Hierarchien und Vertrauen war und die Insignien und Urkunden eine wertvolle Erinnerung seien. Sie stehen heute in meiner Bibliothek, ich denke gern an diese Zeit zurück und häufig musste ich während meiner weiteren Laufbahn feststellen, dass ein wenig mehr Führungskompetenz in der Privatwirtschaft guttäte. Aber auch hier sollten mich noch einige sehr positive Beispiele begleiten. Aus der Militärzeit war mir auch erstmalig der Begriff VUCA8 bekannt geworden. Später tauchte das Akronym auch in der strategischen Führungstheorie auf. Es steht für die englischen Begriffe Volatility (Unbeständigkeit), Uncertainty (Unsicherheit), Complexity (Komplexität) und Ambiguity (Mehrdeutigkeit). Der Umgang mit diesen Wirkfaktoren setzt sich ebenfalls aus den vier Buchstaben zusammen Vision (Vision), Understanding (Verstehen), Clarity (Klarheit) und Agility (Agilität). VUCA habe ich ebenfalls versucht, in diesem Buch einzuarbeiten.

[32]Eigentlich wollte ich Firmenkundenberater werden. Als ich zur Vereins- und Westbank AG zurückkehrte, wurde ich herzlich empfangen und erhielt interessante Perspektiven im Wertpapierhandel oder Risikocontrolling. Ich entschied mich für das Risikocontrolling. So bin ich irgendwie in die Compliance- und Risikoschiene geraten. Zum damaligen Zeitpunkt gab es auch noch keine wirkliche Trennung zwischen beiden Themengebieten. Für mich war es ein Vorteil, gleich die beiden unterschiedlichen Risiko- und Compliance-Sichtweisen auf die Sachverhalte im Zusammenhang mit diversen Wertpapierspezialisierungen und Gesamtbanksteuerung zu erlernen.

Als junger Mensch sind Weiterentwicklung, Karriere und Interesse für Neues definierend. Über eine Station als Nachwuchsführungskraft und angehender Prokurist bei einer Treuhandgesellschaft in Hamburg führte mich mein Weg über einen Kontakt des Bankhaus Fischer & Co. als Risikocontroller eines Asset Managers der MunichRe nach München. Unter der dortigen Leitung erhielt ich ein Potpourri an festen und Projektaufgaben sowie wieder viel Vertrauen. U. a. nationales und internationales Meldewesen, Aufbau eines Risikomanagementsystems über mehrere vertikal angeordneter Berichtswege, Risikokennziffernberechnung und Unterstützung bei der Programmierung eines mandantenfähigen Performanceaggregations- und Berichtssystems. Nach drei Jahren wurde die Abteilung leider aufgelöst, aber mir wurde eine Alternative im institutionellen Vertrieb angeboten. Im nächsten Schritt wurde ich jedoch Leiter Managementinformation bei einer aufzubauenden Ratingagentur in Hamburg. Ein ganzes Unternehmen und dessen Strukturen zu entwickeln und aufzubauen, war äußerst interessant. Auch an der Entwicklung einer Ratingsoftware, die die Hard-, Soft- und Techfacts bewertete bzw. beurteilte, arbeitete ich intensiv mit. Kurzum, mir war es schon immer wichtig, die Dinge mit dem notwenigen Einsatz anzugehen und dabei trotz ihrer Vielfältigkeit nicht in ein Multitasking zu verfallen.

Mit diesem zunehmenden Risiko-one-Stop-Shop-Rüstzeug gelangte ich in verhältnismäßig jungem Alter zur UBS und auf eine Förderschiene. Zunächst als Risk-und-Compliance-Officer des kontinentaleuropäischen Real-Estate-Haupthubs entwickelte ich mich weiter in der Region Europe, Middle East and Africa (EMEA). Im Verlauf traten sämtliche vorhandene Assetklassen in meinen Verantwortungsbereich und auch Teams mit Tätigkeiten im Investmentbanking und Wealth Management. Bis ich schließlich als »Head of« verantwortlich zeichnete und zum Senior-Managementteam Compliance & Risk Control der UBS gehörte. Auf diesem Weg durfte ich diverse internationale Projekte planen und leitend umsetzen. Meine »Aufräummentalität« und mein Hang zur effizienten und effektiven Regulierungsarchitektur sprachen sich innerhalb Europas herum und ich wurde gefragt, ob ich Mitglied in unterschiedlichen Verwaltungsräten werden wollte. Kurze Zeit später war ich seitens der Regulierungsbehörden zugelassenes Mitglied in zwölf Boards von international agierenden Unternehmensstrukturen. Im nächsten Schritt entwickelte ich mich zur rechten Hand des Chief-Risk-Officers innerhalb der weltweit tätigen Division Global Asset Management. Meine Karriere gipfelte somit auf globaler Ebene als Senior Manager Risk in einem Vorstellungsgespräch bei Verwaltungsratspräsident Prof. Dr. Axel Weber. Hierbei handelte es sich ebenfalls um eine Position, für die ich empfohlen wurde. Im Übrigen war es mir immer wichtig, meine Karriere »ohne Ellenbogen« zu entwickeln.

[33]Aus privaten Gründen ging es dann aber in die Region Vorarlberg/Österreich, in der ich noch die eine oder andere Aufgabe als Geschäftsleitungsmitglied und Head Risk Control & Security bei kleineren Finanzdienstleistern wahrnahm. Zusammenfassend lässt sich sagen, dass über die gesamte Zeit meiner Tätigkeit in dem von mir verantworteten Bereichen keine wesentlichen Feststellungen durch Regulatoren und Revisionen getroffen wurden. Über fast die gesamte Zeit bestanden makellose Prüfberichte, die auch von den Kunden des jeweiligen Unternehmens goutiert wurden. Ein neuer Abschnitt, in dem ich mich mehr auf Publikationen, Beratung und Lehre konzentriere, folgt jetzt. In der Phase zur Fertigstellung dieses Buchs machte ich mich selbstständig, da ich nach einer neuen Herausforderung suchte und es der nächste logische Schritt war. Ich ließ meine Voraussetzungen durch die Wirtschaftskammer Österreich prüfen und gründete DigiChance Next Consulting. Ich bin gespannt, welche weiteren Erfahrungen, Forschungsarbeiten und Erlebnisse auf mich warten – genug zu tun gibt es jedenfalls.

Mit interessierten sowie geschätzten Berufskollegen zusammen gründete ich im Verlauf meiner Karriere einen Risikomanagement-Verein in München, nahm Einsitz in einen Fachbeirat für Accounting und Risikomanagement eines großen Unternehmens und war über Jahre handverlesener Director Deutschland der Global Association of Risk Professionals (GARP), New Jersey/ London. Hierdurch baute ich ein internationales Netzwerk auf und verschrieb mich noch einmal mehr dieser Thematik, und engagierte mich in weiteren Initiativen rund um dieses Thema.

Durch meine vergleichsweise vielseitigen Tätigkeiten im rechtslastigen Compliance, Risikocontrolling, Prozessmanagement sowie im IT- und Digitalisierungsbereich sowie in unterschiedlichen Finanzbereichen, vermischte sich meine Sprache. Ein von mir sehr geschätzter Jurist aus München würde sie vielleicht als etwas »untechnisch« bezeichnen. Wie auch immer, versuche ich mir die Digitalisierungsmöglichkeiten meines Umfelds zunutze zu machen und in meine Tätigkeiten zu integrieren.

In meiner Laufbahn habe ich viele Fälle von Ignoranz und Nachlässigkeiten erlebt – auf allen Ebenen und mit entsprechenden Auswirkungen, ganz gleich, ob es sich um prozessuale, regulatorische, IT, externe Wirkfaktoren oder – häufigste Ursache – menschliches Versagen handelt. Die Konsequenzrisiken (s. Kap. 2.7.3) können hohe finanzielle Soll-Abweichungen, Sanktionen eines Regulators oder Reputationsschäden sein, die ein Unternehmen nachhaltig schädigen oder sogar zugrunde richten.

Finanzdienstleister haben ein Problem. Sie haben viel von dem, was andere gern hätten – Geld. So war meine Laufbahn auch geprägt von Beobachtungen und Erlebnissen sowie selbst durchgeführten investigativen Maßnahmen rund um sonstige strafbare Handlungen. Die Ergebnisse waren nicht selten durch menschliche Enttäuschungen und erstaunliche Ergebnisse geprägt. Letztere reichten von Naivität bis hin zu einem hohen Maß an Kreativität. Nach erfolgten Abklärungen ließ sich in über 90 % der Fälle ein Ansatz finden und eine zufriedenstellende Aufklärung mit entsprechenden Konsequenzen herbeiführen. Aber häufig eben erst korrektiv.

[34]Die Compliance- und Risikofunktionen sind mittlerweile sehr stark reguliert und haben insbesondere behördliche Aufträge umzusetzen. Eingebrannt haben sich bei mir auch Situationen, in denen ich mich gegenüber Personen auf höherer Ebene durchsetzen musste, um nicht selbst in Schwierigkeiten zu geraten. Die mögliche Konsequenz eines Jobverlusts diskutierte ich zuvor immer mit meiner Frau. Im Nachgang verschaffte mir meine teilweise mit viel Mut umgesetzte Geradlinigkeit und Verlässlichkeit eine sehr gute Karriere und einige Jobangebote sowie die Möglichkeit, auch am nächsten Tag noch in den Spiegel zu schauen. Meine Devise war immer: »Wenn ich einen Job verliere, dann weil ich meinen Job gut gemacht habe.« Diese Einstellung reduzierte auch meine emotionale Bindung an ein Unternehmen, gab mir eine klare Linie, ermöglichte es mir aber, mit äußerster Loyalität für das Unternehmen meinen Aufgaben nachzugehen. So kam es auch vor, dass ich in einem Fall während der Probezeit meinerseits kündigte. Grund hierfür war eine kulturelle Missbildung, die ich in meiner Position nicht hätte beeinflussen können.

Im Rahmen einer Post-Merger-Integration – bei der der Erwerb von Compliance und Risikocontrolling »vergessen« wurde – durfte ich erstmals erleben, wie es sich anfühlt, wenn ein Regulator ein Ultimatum setzt. Schnelle Lösungen waren gefragt. Die grenzüberschreitende erfolgreiche Verschiebung eines Operations-Centers oder eines komplexen Produkts sind mir ebenfalls in besonderer Erinnerung geblieben. Ich nahm an erfolgreichen Sales Pitches bei DAX-40-Unternehmen teil und stellte die Risiko- und Compliance-Organisation vor. Wichtig war es mir jedoch immer, dass ich die Themenbereiche gern verkaufte und hinter ihnen stehen konnte. Der vorausschauende und sehr gute Umgang mit dem Geld unserer Kunden war mir äußerst wichtig, denn mir wurde bereits sehr früh klar, dass der häufig angestellte Machtvergleich, z. B. Asset und Management oder Marktanteil, – wenn überhaupt – nur ein Indikator für geliehene sowie anvertraute Visibilität und Macht ist. Wie schnell und umfangreich Macht abfließen kann, beobachtete ich im Jahre 2008, als sich die Subprime-Krise manifestierte. Auch in anderen Zusammenhängen lernte ich ein gutes Risikocontrolling und Compliance als Wettbewerbsfaktor kennen und konnte zum Unternehmenserfolg beitragen.

Ich durfte während meiner anfänglich jungen und intensiven Laufbahn viele charismatische Führungskräfte und Wirtschaftslenker kennenlernen, die zum Teil für mich Mentoren waren. Die Vorbilder hatten alle etwas gemeinsam – sie waren vorausschauend, geradlinig, stellten die Interessen des Unternehmens vor ihre eigenen, hatten ein ausgewogenes Geschäfts- sowie Risikoverständnis und förderten ihre Mitarbeitenden. Genauso haben mich junge Menschen fasziniert, die eigene Wege sowie Umsetzungsstärke bewiesen und denen ich ein Mentor sein durfte.

Auch bei mir verlief privat wie geschäftlich nicht alles reibungslos. Meine Entschlossenheit half mir, immer wieder weiterzumachen und mich weiterzuentwickeln. Entscheidungen versuchte ich immer schnell und auf einer ausreichend fundierten und unabhängigen Basis zu treffen, sodass für Bildungseinrichtungen und Unternehmen der beste Weg bereitet wurde. Das bedeutete jeweils auch die Aufbereitung einer Informationsbasis und eines Verständnisses. Die[35]se Vorgehensweise trug im Hinblick auf die persönlichen Beweggründe einzelner beteiligter Personen nicht immer zur überschwänglichen Freude bei. Ich aß die Frösche, hielt mich an die Agenda und erledigte die dringlichen Themen zuerst.

Verstanden habe ich nie, weshalb die Regulierung nicht flächendeckende, widerspruchs- und überschneidungsfreie Lösungen für Finanzdienstleister schafft und diese weiterentwickelt. In diesem Rahmen und im Hinblick auf die Entwicklung von Strukturen war es mir immer wichtig, den Sachverhalt nur einmal »anfassen« zu müssen, denn die nächste Novellierung oder die nächste Umstrukturierung kamen bestimmt. Ausnahmen ließ ich nur zu, wenn nichts oder wenig vorhanden war. Dann wurde zuerst einmal flächendeckend gearbeitet, sodass in allen Themenkomplexen zuerst etwas entstand und vorzuweisen war, denn die nächste Wirtschaftsprüfung kam bestimmt und ein teilhaftes Fehlen eines Themenkomplexes ist eher verkraftbar als eine aus regulatorischer oder risikogetriebener Sicht größere Schwachstelle. Aber in solchen Fällen musste nachgearbeitet werden, denn von einem anzustrebenden integrativen System war das Unternehmen dann noch weit entfernt.

Auch ist mir bis heute unklar, weshalb bei Unternehmensschieflagen, wie bei Bankhaus Fischer & Co., Wirecard, Commerzialbank Mattersburg usw. das Fingerpoiting stark Richtung Wirtschaftsprüfung und Regulierungsbehörde zeigt. Umgekehrt rücken verantwortliche Unternehmen mit ihren sehr gut bezahlten verantwortlichen ManagerInnen sowie den drei Verteidigungslinien in den meisten Fällen nicht so sehr in den Fokus und kommen zumeist verhältnismäßig ungestraft davon. Schließlich operieren die beiden externen Kontrollinstanzen nur mit einer externen Sichtweise und die Wirtschaftsprüfer werden vom geprüften Unternehmen (wieder-)bestellt sowie bezahlt. Interessenkonflikte sind per Regulierungsanforderungen zu vermeiden oder zumindest zu reduzieren. Auch werden regulierungsseitig mittlerweile Vorgaben zu quantitativen und qualitativen Zielen gegeben. Wie wird jedoch sichergestellt, dass die Funktionalität der ersten Verteidigungslinie aufrechterhalten und die übliche Reibung zwischen der ersten und zweiten Verteidigungslinie reduziert wird sowie die dabei entstandene Wärme (Ressourcen) für wesentliche Risiken zur Verfügung stehen? Die Liste ließe sich beliebig fortsetzen.

Vergessen sollten wir niemals, dass Aufforderungen oder Situationen zum unverzüglichen Handeln sowie Ängste an unseren Instinkt zur Dringlichkeit appellieren. Diese Umstände verleiten uns zum Handeln, führen zu weniger kritischem Denken, Hinterfragen von Fakten und Fehlern. Ängste können uns sogar den Zugriff auf erlernte und sonst verfügbare Informationen nehmen. Deshalb ist es wichtig, sich mit Risiken, Gefahren und Daten präventiv auseinanderzusetzen und Notfälle vorzubereiten und ggf. zu proben. Jedenfalls möchte ich jeden ermutigen, frühzeitig auf neue Daten, Risiken und Chancen zuzugehen und sich mit ihnen kritisch auseinanderzusetzen. Gerade einseitige Daten oder Informationen von Personen, die versuchen, ihre persönlichen Ziele zu erreichen, sind toxisch und führen zu Fehlsteuerungen.

Als junger Mensch konnte ich nur sehr wenig mit Geschichte anfangen. Für mich war sie nicht von hohem Interesse und ich tat mir sehr schwer mit dem Auswendiglernen der Daten. Im [36]Unterricht wurden zudem sehr viele eher problematische Vergangenheiten tabuisiert. Im Rahmen meiner heutigen erfahreneren Vorgehensweise ist mir klar, dass die Vergangenheit relevante Informationen bereithält und der Mensch dazu geneigt ist, nur bedingt aus ihr zu lernen und sogar gleiche oder ähnliche Fehler nicht nur einmal begeht, wenn die Vergangenheit verblasst oder er nicht in der Lage ist, aus ihr zu lernen. Die Schadenbeträge der Soll-Abweichungen werden meist größer und haben eine schädigende Ausstrahlung auf das Vertrauen in das Unternehmen und den Wirtschaftsstandort. Das Wissen aus den Soll-Abweichungen der Vergangenheit sollte daher genutzt und eingesetzt werden, um das Soll-Abweichungspotenzial zu verringern. Die Menschen werden bei zunehmender Informationsflut genügend neuen Potenzialen für Soll-Abweichungen begegnen, deren Schadenhöhen und Eintrittswahrscheinlichkeiten es idealerweise präventiv zu managen gilt.

Wieso schreibe ich diese Zeilen? Der Verlag hat vorgeschlagen, zu zeigen, welcher Typ Mensch in einer Risiko- oder Compliance-Funktion arbeiten kann und wer hinter diesem Buch steckt. Es ist kein einfacher Beruf und es wird viel Widerstandskraft und die Fähigkeit, »Nein« zu sagen, benötigt. Auf der anderen Seite möchte ich gerne zeigen, dass die Entwicklung eines Menschen auch sehr stark von seinem Umfeld determiniert wird. Hierfür bin ich meinen Ausbildern, Mentoren, Begleitern und Förderern sehr dankbar. Im Anhang werden ein paar Personen genannt, bei denen ich mich besonders bedanke. Ohne diese Personen als Vorbilder hätte ich mich nicht entwickeln können und ohne die mir daraus entstandenen Möglichkeiten wäre dieses Buch vielleicht auch nicht entstanden.

Dieses Buch soll einen umfassenden Überblick, aber auch themenspezifische Voraussetzungen und Implementierungsansätze liefern. Es soll auch klargestellt werden, wie determinierend eine geeignete Risikokultur als Grundvoraussetzung ist. Ebenso behandelt es alle Determinanten, die für einen Umsetzungserfolg zwingend erforderlich sind. Die Verwobenheit dieser Themenstellungen wird häufig außer Acht gelassen, dabei ist der Faktor »Time-to-Market« in der heutigen sich schnell weiterentwickelnden Zeit sehr viel wichtiger geworden. Gleichzeitig soll es auch die Vorteile eines resilienten Risikomanagements und vielleicht auch dem einen oder anderen Manager dieses Thema noch näherbringen. Dies steht nicht nur im Zusammenhang mit den eigentlichen Fachthemen, sondern auch im Zusammenhang mit nicht zu unterschätzenden Rahmenbedingungen, Haftungspotenzialen und möglichen Reputationsverlusten.

Jede Krise fördert Unregelmäßigkeiten zutage, sei es der Zusammenbruch eines Schneeballsystems im Großen oder die krankheitsbedingte Abwesenheit internen Personals, durch die ein Betrugskonstrukt nicht mehr aufrechterhalten werden kann. Auf der anderen Seite reagieren die Gesetzgeber und Regulierungsbehörden mit Anpassungen und neuen Regelwerken. Wichtig ist es vorzuarbeiten, schon um Haftung und Öffentlichkeit zu vermeiden. Im Buch sollen durch entsprechende Verknüpfungen zwischen den einzelnen Themenkomplexen Korrelationen dargestellt werden, die letztlich zu einem resilienten Framework zum präventiven Aufspüren operationeller Risiken führen. Der Einsatz moderner Technologien, wie bspw. Algorithmen, kann auch beim Aufspüren vergangenheitsbezogener Soll-Abweichungen unterstützen. Die [37]zielgerichtete Verzahnung der einzelnen Themenfelder führt am Ende zu einer hohen Effizienz und Effektivität sowie einer (präventiven) Produktionsanlage für Soll-Abweichungsfeststellungen. Bei der Ersteinführung eines solchen Systems und Abtastung der Vergangenheit können die erworbenen Erkenntnisse auch schmerzhaft sein. Prävention ist immer die beste Lösung, eine verspätete Identifikation und Eigenreparatur nur die zweitbeste. Problematisch wird es, wenn externe Stakeholder die Abweichung zuerst identifizieren.

Sollten Sie das Buch aufgrund eines dringlichen betrieblichen Bedarfs erworben oder sogar geschenkt bekommen haben, lesen Sie es besser gleich. Wie bei allen operationellen Risiken werden die Schwierigkeiten im Zeitverlauf eher größer, mehr und erledigen sich meistens nicht von selbst. Die Funktionen von operationellen Risiken verlaufen meistens exponentiell und sind konvex. Krankheiten wie Aufschieberitis, Vergesseritis, Defiziteritis, und Ingnoritis sind selten gute Ratgeber und sollten schnellstmöglich auskuriert werden. Auch diese Phänomene möchte ich nachfolgend gern erklären und ihnen einen Namen geben.

1 Ehemalige Bundesoberbehörde im Geschäftsbereich des Bundesministers der Finanzen (BMF) mit Sitz in Bonn zur Um- und Durchsetzung des Kreditwesengesetzes (KWG). Aufgegangen zum 01.05.2002 in der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin).

2 Im Zusammenhang mit Instituten beinhaltet ein Moratorium ein Maßnahmenpaket, welches das Kreditwesengesetz (KWG) in Deutschland bei (Insolvenz-)Gefahr über Institute verhängt. Hierzu gehört bspw. das Verbot von Zahlungsleistungen (Einlagen, Kredite, Veräußerung von Vermögensgegenständen, Entgegennahme von Zahlungen); ausgen. es handelt es sich um Tilgungen von Schulden ggü. dem betroffenen Institut (46 Abs. 1 Satz 2 Nr. 4 bis 6 KWG).

3 Hierüber darf ich aus Gründen der Professionalität nicht mehr schreiben.

4 Vom 27.10.1998 bis zum 18.07.2002 Bundesminister der Verteidigung. Im Übrigen der erste, unter dessen Führung die Bundeswehr an einem Krieg im Kosovo teilnahm.

5 Zu meiner Zeit Brigadegeneral der Marseille-Kaserne in Appen, Pinneberg und später Generalmajor.

6 Es gibt einige Vorgaben für Hamburger: z. B. keine Orden annehmen, nicht niederknien (hat meine Frau beim Heiratsantrag auch nicht von mir verlangt) und die berühmte Handschlagqualität.

7 Die »Top-Führungskräfte« der Bundeswehr, mit denen ich Kontakt hatte, werden alle an der Führungsakademie der Bundeswehr (FüAkBw) ausgebildet.

8 Der Begriff entstand in den 1990er-Jahren am United States Army War College (USAWC) und diente zunächst dazu, die multilaterale Welt nach dem Ende des Kalten Krieges zu beschreiben.

[39]2Unternehmensziele bis zur Einbettung des Risikomanagements

Die Unternehmensplanung wird umrahmt von einem Leitbild und beginnt mit den Unternehmenszielen. Aus ihnen wird eine Strategie abgeleitet, auf der wiederum die Unternehmenspolitik basiert (s. Abbildung 1).

Abbildung 1: Ableitung der Risikostrategie

Gründend auf der Unternehmensstrategie und -politik werden die Risikostrategie und Steuerungselemente bestimmt. Das gesamte Planungsgebilde ist eher mittelfristig ausgerichtet. In der heutigen Zeit wirken jedoch derart viele Einflüsse auf ein Unternehmen ein, dass das Konvolut an Planungsstufen flexibler gehalten und häufiger überarbeitet werden muss.

Wie in Abbildung 2 dargestellt, beginnt alles mit der Formulierung eines Leitbildes. Dieses kann aus mehreren Teilaspekten bestehen. Sie definieren übergreifend, welche Ziele ein Unternehmen in ggf. welcher Region erreichen möchte. Die strategischen und unternehmenspolitischen Ziele sowie die Bestimmung der Steuerungselemente führen letztlich zu detaillierten Maßnahmen, die in eine betriebsübergreifende Feinsteuerung und Flankierung durch ein Risikomanagement überführt werden.

[40]

Abbildung 2: Vom Mission-Statement bis zur Feinsteuerung und Rückkoppelungen1

Aus den verschiedenen Komponenten der Feinsteuerung erfolgt eine Rückkopplung sowie ein fortwährender Soll-/Ist-Abgleich, ergänzt um einen geeigneten Maßnahmen-, Berichts- und Eskalationsprozess.

2.1Unternehmensziele

In diesem Buch sollen die Unternehmensziele als Vorbereitung einer ganzheitlichen Unternehmensstrategie sowie diese als Basis für die Ableitung einer Risikostrategie verstanden werden. Sie dienen der zukunftsgerichteten Planung und ganzheitlichen Ausrichtung des Betriebs sowie seines Zwecks und definieren den Sollzustand.

Da ein Finanzdienstleistungsunternehmen kein Monolith und von einigen in Abbildung 3 dargestellten Umwelteinflüssen abhängig ist, gilt es, die für das Unternehmen relevanten Umweltaspekte in die Zielsetzungen und die spätere Umsetzung durch Maßnahmen mit einzubeziehen und risikoorientiert abzustimmen.

[41]

Abbildung 3: Porter’s Five Forces2

Die bekannten Porter’s Five Forces beinhalten die Einbeziehung und Zusammenführung des Wettbewerbs, der Lieferanten (s. Kap. 12.1), möglicher Ersatzprodukte und der Abnehmer. Um den für Finanzdienstleister im Kontext dieses Buches zusätzlichen Themenstellungen mehr Gewicht zu verleihen, wurden die Five Forces um vier signifikante Themenblöcke ergänzt, nämlich um:

Strategie und zugehörige Schritte (s. Kap. 2.2),Gesetze und Regularien (s. Kap. 3.3),Marktumfeld im Sinne von neuen Einflüssen, Ansprüchen und Risikocharakteristika, geopolitische Einflüsse (s. Kap. 15.1),Cyberrisiken (s. Kap. 15.2),Nachhaltigkeitsthemenkomplexe (s. Kap. 15.3),Zinsumfeld,Altlasten,kritischere Kundenfragen durch höhere Informationstransparenz, Krisen generationsimplizite ändernde Anforderungen,neue und höhere Kapitalanforderungen,Digitalisierung (s. Kap. 13).

[42]Finanzdienstleister haben sich gerade im Wettbewerbsumfeld mit zusätzlichen transformativen (s. Kap. 2.6.6) Herausforderungen auseinanderzusetzen. Hierzu zählen Konsolidierungen, geringere Risikomargen, neue Mitbewerber aus aufstrebenden Ländern, erhöhte Anforderungen im grenzüberschreitenden Geschäftsverkehr sowie die kosteneffiziente Spezialisierung ggf. durch Outsourcing (s. Kap. 12.1) und Modularisierung von Spezialbanken, Nicht-Banken und Finanztechnologieunternehmen sowie das Einpassen der Dienstleistungen in ein digitales Umfeld (s. Kap. 13).3

Letztlich können alle Themenstellungen sämtliche Kategorien von operationellen Risiken (s. Kap. 3.1) tangieren – und wenn es menschliches Versagen (s. Kap. 3.1.2) durch bspw. mangelhaft generierte Informationen (s. Kap. 2.8.5), psychologische Effekte (2.7.5) oder grundsätzliche Fehlentscheidungen (s. Kap. 2.7.6) betrifft.

Abbildung 4: Unternehmensziele

Abbildung 4 enthält einige konkretisierte Beispiele für mögliche unter Einbeziehung des Umfelds und für das Unternehmen abgeleitete Ziele, die den Sollzustand des Unternehmens im Zusammenhang mit Inhalt und Ausprägung beschreiben. Hier besteht eine hohe grundsätzliche Übereinstimmung mit den Environmental-, Social- und Governance-Themenstellungen (s. Kap. 15.3), erweitert um ökonomische Zielsetzungen. Diese Darstellung ließe sich hinsichtlich übergeordneter und granularer Ziele beliebig erweitern. Schwierig ist es auch, die Ziele einzelnen Kategorien zuzuordnen, da diese miteinander verwoben sind. So haben bspw. monetäre Ziele oder der Ausschluss bestimmter Produkte aufgrund von ökologischen Erwägungen Einfluss auf die Ökonomie des Unternehmens. Eine Entscheidung zur Digitalisierung (s. Kap. 13) wiederum kann Einfluss auf die sozialen und finanziellen Aspekte eines Unternehmens haben usw. So bestehen Korrelationen und es können widerstreitende Ziele entstehen. In derartigen Fällen sind Kompromisse oder Priorisierungen notwendig. Compliance ist hier als Baseline und [43]nicht-monetäres Ziel kategorisiert, während der Risikoappetit (s. Kap. 3.2.3) wiederum als monetäres Ziel zu werten ist, da das Eingehen von Risiken sowie das Ergreifen von Maßnahmen (s. Kap. 4.4) zum Schutz des Unternehmens Kostenabwägungen (s. Kap. 4.4.6) beinhaltet. Beide Säulen dienen dem späteren Austarieren bspw. vertriebsorientierter Ziele.

Unternehmenspsychologisch ist es bei der Erarbeitung der Ziele und der darauffolgenden Schritte dringend zu empfehlen, dass die Ziele die üblichen SMART-Kriterien erfüllen, aber auch mit klarem Bezug zum Unternehmen und unter Einbeziehung von Führungskräften erarbeitet werden. Diese sind näher am täglichen Geschäft und den verbundenen Prozessen beteiligt und es bestehen ggf. Kenntnisse über mögliche Potenziale. Die Ziele sind durch einen geeigneten Toneat the Top (s. Kap. 2.6.2) gegenüber den MitarbeiterInnen klar, glaubwürdig und transparent zu kommunizieren. Gleichwohl müssen die Ziele motivierend und richtungsweisend sein, um alle MitarbeiterInnen »einzunehmen«.

2.2Unternehmensstrategie

Die Unternehmensstrategie beinhaltet und zeigt das mittel- bis langfristige Marktverhalten sowie Maßnahmen eines Unternehmens zur Umsetzung der definierten Unternehmensziele (s. Kap. 2.1).

Es gibt unterschiedliche Strategiemodelle und mit dem Thema können ebenfalls ganze Bücher gefüllt werden. Wie in Abbildung 5 dargestellt, ist jedoch zu beachten, dass das gesamte Unternehmen gesamtheitlich in eine einheitliche Richtung entwickelt wird. Für das Management bedeutet die Strategieentwicklung, dass Grundsatzentscheidungen zu treffen sind, die alle Unternehmensbereiche betreffen und mit deren Hilfe unternehmerische Ziele in die Realität umgesetzt werden.4 Ideal ist es, wenn bei größeren Änderungsbedarfen die Regeln des Changemanagements (s. Kap. 2.6.2) Beachtung finden und die Risikostrategie (s. Kap. 2.5) mitgeführt wird.

Abbildung 5: Strategische Unternehmensausrichtung

[44]Zusammen mit den zuvor definierten Zielen und künftigen Erwartungswerten lässt sich ein strategisches Profil des Unternehmens erstellen. Dieses sollte auch eine SWOT-Analyse5 inkl. Ressourcenbestimmungen beinhalten. Die strategische Ausrichtung erfolgt durch Formulierung und Implementierung sowie Berücksichtigung von Handlungsoptionen. Dies erfolgt unter Einbeziehung der einzelnen Geschäftsbereiche und zur Zielerreichung (s. Kap. 2.6.3) benötigten Funktionen. Betroffen können u. a. sein: Organisationsstruktur, Vertriebs-, Risikomanagement-, Personal-, Produkt-, IT- und Marketingstrategie.

Um die nächsten Schritte gehen zu können, ist es zunächst wichtig, die Herausforderungen der traditionellen Finanzdienstleister näher zu betrachten, um sich strategisch positionieren zu können. Diese sind – aber nicht abschließend:

Festhalten an alten Strukturen, Führungsspannen und -mustern,vergleichbar langsame Umsetzung von Industriestandards (s. Kap. 2.8.1.2),geringe Transformationsbereitschaft (s. Kap. 2.6.6),wenig differenzierende Marketingkonzepte,vergleichsweise hohe Zinskosten,sich ändernde Kundenstruktur und deren Anforderungen (z. B. höhere Wechselbereitschaft, Digitalanforderungen, Do-it-yourself-Mentalität, zunehmender Fokus auf Nachhaltigkeit, höherer Informiertheitsgrad),sich ändernde Struktur der MitarbeiterInnen und deren Anforderungen (z. B. Teilzeit, Lebensphasenabschnittskonzepte, Homeoffice),Erkenntnis des Datenwerts (s. Kap. 2.8.5).

2.3Unternehmenspolitik

Die Unternehmenspolitik beinhaltet bereits Maßnahmen und Entscheidungen auf einer Meta-Ebene, die die strategischen Erwägungen unter Einbeziehung von Unternehmensphilosophie, Werten und Visionen sowie aller für die Umsetzung relevanten Unternehmensfunktionen weiter ausführen. Die unternehmenspolitischen Maßnahmen sind eher kurz- bis mittelfristig geprägt und sind auf die Umsetzung der längerfristigen strategischen (s. Kap. 2.2) Ziele ausgerichtet. Leitfragen der Unternehmenspolitik sind daher u. a.:

Wer sind wir und welcher Nutzen wird gestiftet?Wohin wollen wir?Wie erreichen wir das Zielbild?Was ist uns dabei wichtig und wie verhalten wir uns?

[45]Bestandteile der Maßnahmen können u. a. folgende Themenbereiche betreffen:

Außendarstellung und Marketingkonzepte,Kundenorientierung (»Kunde erhält eine wesentliche Box im eigenen Organigramm«),Produkte (Qualität, Vielfältigkeit, Modularisierung),Gesundes Wachstum und Wirtschaftlichkeit,Mitarbeiterorientierung,Arbeits- und Gesundheitsschutz,Geschäftspartnerqualität (s. Kap. 12.1),Präventive Risikobetrachtungen (s. Kap. 4),Nachhaltigkeits- und soziale Themenstellungen (s. Kap. 15.3),Flexibilität und Wirksamkeit;Qualifikation (s. Kap. 2.8.1), Verfügbarkeit und Zufriedenheit der MitarbeiterInnen.

2.4Bestimmung der Steuerungselemente

»Leben ist Risiko. Was wir tun, ist riskant. Was wir nicht tun, ist es auch.«6

Etwas nicht zu tun, hat Einfluss auf das Wohl und Wehe eines Unternehmens. In diesem Fall würden Risiken, aber auch die Chancen vermieden werden. Unabhängig, ob es sich um die Erschließung neuer Geschäftsfelder, Produktänderungen, (s. Kap. 8) ein neues Image oder Digitalisierungen (s. Kap. 13) handelt, so sind Veränderungen gleichermaßen mit Chancen und Gefahren verbunden. Um die Chancen herauszuarbeiten und die Gefahren im Rahmen von neuen Themenkomplexen zu begrenzen, stehen einem Unternehmen unterschiedliche Steuerungselemente zur Verfügung, die im nächsten Schritt über alle relevanten Funktionen operationalisiert werden:

Steuerung durch Dokumentation von Weisungen, Handbüchern, Prozessen und Evidenz sowie Durchführung von Schulungen (s. Kap. 3.4.2),Zielvereinbarungen (s. Kap. 2.6.3),