Neuer Standardansatz für operationelle Risiken gem. CRR III

Markku Lindstedt, Inhaber/Management Consultant, Regulatory Reporting, M. Lindstedt Unternehmensberatung

I. Einleitung

Der neue Standardansatz für das operationelle Risiko (SA) zur Ermittlung der bankaufsichtlichen Eigenmittelanforderungen ist eine der wesentlichen Neuerungen im sogenannten EU-Bankenpaket II. Das operationelle Risiko (OpRisk) wird als die Gefahr von direkten oder indirekten Verlusten definiert, die infolge der Unangemessenheit oder des Versagens von internen Prozessen, Menschen und Systemen sowie durch externe Ereignisse eintreten.^[1] Von der Definition nicht erfasst werden hingegen das generelle Geschäftsrisiko sowie das Reputationsrisiko. Die Aufsicht beurteilt mit ihren Ansätzen, ob die Eigenmittel der Institute im Hinblick auf die geschätzten operationellen Risiken angemessen sind.

Der neue Standardansatz soll künftig alle bestehenden CRR-Ansätze zur Bestimmung der OpRisk-Eigenmittelanforderung (Basisindikatoransatz, Standardansatz, alternativer Standardansatz und fortgeschrittener Messansatz) ersetzen und für alle Institute gelten.^[2]

Nach den CRR-III-Vorschlägen wird künftig für alle Banken in der EU ein einheitlicher Ansatz gelten, der ab dem 01.01.2025 erstmals angewendet werden soll.

Die EU-Kommission übernimmt in der CRR III im Wesentlichen die Baseler Empfehlungen zum SA (BCBS 424).

Der vorliegende Beitrag erläutert die CRR-III-Regelungen der OpRisk-Verfahren zur Bestimmung der Mindesteigenmittelanforderung der Institute und zeigt Abweichungen zu den Baseler Empfehlungen auf. 

II. Allgemeine und definitorische Änderungen

Die bestehende Definition des operationellen Risikos wird durch Art. 4 Abs. 1 Nr. 52 CRR-III-E überarbeitet. Danach versteht man unter operationelles Risiko das Risiko von Verlusten, die durch die Unangemessenheit oder das Versagen von internen Verfahren, Menschen und Systemen oder durch externe Ereignisse, wie Rechtsrisiko, Modellrisiko oder Informations- und Kommunikationstechnologierisiko (IKT-Risiko) verursacht werden. Das strategische Risiko und das Reputationsrisiko werden nicht in die Definition einbezogen.^[3]

1. Rechtsrisiko gem. Art. 4 Abs. 1 Nr. 52a CRR-III-E

Das neu im Art. 4 Abs. 1 Nr. 52a definierte Rechtsrisiko umfasst Verluste, einschließlich Aufwendungen, Geldbußen, Strafen oder Zuschläge mit Strafcharakter, die durch Ereignisse verursacht werden, die zu Gerichtsverfahren führen.^[4]

2. Modellrisiko gem. Art. 4 Abs. 1 Nr. 52b CRR-III-E

Das neu im Art. 4 Abs. 1 Nr. 52b definierte Modellrisiko umfasst den Verlust, der einem Institut als Folge von Entscheidungen entstehen kann, die sich grundsätzlich auf das Ergebnis interner Modelle stützen könnten, wenn diese Modelle Fehler bei der Konzeption, Ausführung oder Nutzung aufweisen.^[5]

3. IKT-Risiko gem. Art. 4 Abs. 1 Nr. 52c CRR-III-E

Das neu im Art. 4 Abs. 1 Nr. 52c definierte IKT-Risiko umfasst das Risiko von Verlusten oder potenziellen Verlusten, die mit der Nutzung von Netz- und Informationssystemen oder von Kommunikationstechnologie zusammenhängen, einschließlich der Verletzung der Vertraulichkeit, des Ausfalls von Systemen, der Nichtverfügbarkeit oder der mangelnden Integrität von Daten und Systemen sowie des Cyberrisikos.^[6]

III. Neuer Geschäftsindikator

Der neue Geschäftsindikator (Business Indicator, BI) wird gem. Art. 314 CRR-III-E als Messgröße des Geschäftsvolumens einer Bank definiert und als Hilfsmittel bei der Schätzung des operationellen Risikos genutzt.

Der Business Indicator ist im neuen Standardansatz gem. folgender Formel aus den Accounting-Daten des Instituts zu bestimmen:            

BI = ILDC + SC + FC

Hierbei stehen die einzelnen Summanden für:

• Interest, Lease and Dividend Component (ILDC), enthält u. a.
  • Zinsüberschuss,
  • Beteiligungserträge
• Service Component (SC), enthält u. a.
  • Provisionsergebnis,
  • sonstiges betriebliches Ergebnis
• Financial Component (FC), enthält
  • Nettoergebnis aus Handels- und Bankbuch

Im Gegensatz zu den aktuellen Berechnungsmethoden für die Kapitalunterlegung des OpRisk ist bei der Berechnung des Business Indicators nicht mehr nur der Bruttoertrag zu berücksichtigen, sondern es wird nun eine detailliertere Betrachtung der Ergebniskomponenten des Instituts gefordert.

Weiterhin müssen zur Berechnung historische Daten der vorangegangenen drei Jahre vorliegen, um entsprechende Durchschnittsgrößen bestimmen zu können. Der Dreijahresdurchschnitt wird aus den letzten drei Zwölfmonatsbeobachtungen zum Abschluss des Geschäftsjahrs errechnet.

Der Wert für die ILDC ergibt sich gem. Art. 314 Abs. 2 CRR-III-E aus der Summe der Dividendenerträge und des Zinsergebnisses, d. h. der Betrag der Summe aus Zinserträgen und Zinsaufwendungen. Dabei wird als Obergrenze für den Zinserfolg ein Zins von 2,25 % auf alle zinstragenden Aktiva vorgegeben.^[7]

Die Dienstleistungskomponente (Service Component, SC) ergibt sich gem. Art. 314 Abs. 3 CRR III-E als Summe aus den jeweils größeren Durchschnittsbeträgen aus Provisionserträgen und -aufwänden bzw. sonstigen betrieblichen Erträgen und Aufwänden.^[8]

Die Finanzkomponente (Financial Component, FC) bestimmt sich gem. Art. 314 Abs. 4 CRR-III-E mit der Gleichung FC = TC + BC und erfasst das Finanzergebnis sowohl aus dem Handelsbuch (Trading Book Component, TC) als auch aus dem Bankbuch (Banking Book Component, BC). Die Berücksichtigung des Anlagebuchs ist im Vergleich zur derzeitigen Regelung neu.^[9]

Art. 314 Abs. 5 CRR-III-E stellt klar, welche Elemente in keinen der oben genannten Komponenten berücksichtigt werden dürfen. Darüber hinaus wird in Art. 314 Abs. 6 CRR-III-E die EBA beauftragt, technische Regulierungsstandards zur Präzisierung der einzelnen Komponenten des Business Indicators sowie der vom Business Indicator ausgeschlossenen Komponenten zu erarbeiten. Ferner sollen darüber hinaus Entwürfe zum Meldeschemata von der EBA ausgearbeitet werden. Der EBA wird hierzu eine Frist von 24 Monaten nach Inkrafttreten der CRR III gesetzt.

In Art. 315 CRR-III-E werden Möglichkeiten für Anpassungen am Geschäftsindikator im Fall von fusionierten oder erworbenen Unternehmen oder Geschäftsbereichen geregelt. Zudem können Institute bei veräußerten Unternehmen oder Geschäftsbereichen eine Erlaubnis bei der Aufsicht beantragen, bestimmte Positionen aus der Business Indicator-Berechnung herauszunehmen. Das genaue Vorgehen soll gem. Art. 315 Abs. 3 CRR-III-E von der EBA durch technische Regulierungsstandards bis spätestens 18 Monate nach Inkrafttreten der CRR III präzisiert werden.  

IV. Eigenmittelanforderung und Buckets

Gem. den neuen Art. 312 bis 315 im Titel III Kapitel 1 CRR-III-E ergibt sich die Mindesteigenmittelanforderung für operationelle Risiken im Standardansatz durch die Berechnung der sogenannten Geschäftsindikatorkomponente (Business Indicator Component, BIC) auf der Grundlage der Höhe des Business Indicator-Werts des Instituts und drei Größenklassen (Bucket 1, 2 und 3).

Business Indicator-Werte bis zu einer Größe von 1 Mrd. € werden im Bucket 1, größer als 1 Mrd. € bis zu 30 Mrd. € im Bucket 2 und größer als 30 Mrd. € im Bucket 3 berücksichtigt. Je mehr der Business Indicator Wert den Wert von 1 Mrd. € übersteigt, desto größer ist Business Indicator Component und damit auch die Eigenmittelanforderung für das operationelle Risiko.

Bei der CRR-III-Umsetzung wird überraschend der vom Baseler Ausschuss empfohlene bankinterne Verlustmultiplikator (Internal Loss Multiplier, ILM) vollständig außer Acht gelassen. Der ILM sollte zur Erhöhung der Risikosensitivität des Standardansatzes im Bucket 2 und 3 beitragen.

Die EU-Kommission begründet ihr Vorgehen damit, dass man innerhalb der EU gleiche Ausgangsbedingungen gewährleisten und die Wettbewerbsgleichheit sicherstellen möchte sowie darüber hinaus die Berechnung der Eigenmittel erleichtern will. Der ILM wird damit gleich eins gesetzt.^[10]

Der marginale Anstieg im BIC-Wert und damit in der Eigenmittelanforderung durch eine Erhöhung des Business Indicator-Werts um eine Einheit wird mit dem „Alpha-Wert“ ausgedrückt. Die Werte für den jeweiligen „Business Indicator Marginal Coefficient Alpha“ wurden aus dem BCBS 424 übernommen. Alpha ist 12 % in Bucket 1, 15 % in Bucket 2 und 18 % in Bucket 3.

Der Alpha-Wert ist ein Näherungswert für das branchenweite Verhältnis zwischen einem dem operationellen Risiko zuzuordnenden Schadensverlauf in der Größenklasse und dem relevanten Indikator.

Abbildung: Effektive Alphafaktoren gem. Art. 313 CRR-III-E (eigene Darstellung)

Vergleicht man das Vorgehen im neuen Standardansatz mit den derzeitigen standardisierten Verfahren, sind gewisse Ähnlichkeiten festzustellen. So bezieht sich der marginale Alphawert wie beim Basisindikatorverfahren nur auf einen – wenn auch neuen – Indikator. Der anzuwendende Alphafaktor ist wie beim derzeitigen Standardverfahren gestaffelt nach Buckets (anstatt Geschäftsfeldern). Durch die Buckets wird die nachgewiesene positive Relation zwischen operationellen Verlusten, gemessen als BIC, und dem Geschäftsvolumen auf sehr einfache Weise erfasst. 

V. Datenerhebung und -verwaltung

Gem. CRR III-E wird ein neues Kapitel 2 mit den Art. 316 bis 323 mit Vorschriften zur Erhebung von Verlustdaten und deren Verwaltung ergänzt.

Da Verlustdaten kein Bestandteil des neuen Standardansatzes sind, werden die Vorschriften unter Wahrung des Proportionalitätsprinzips der EU in Anforderungen aufgeteilt, die für alle Institute gelten (Art. 323) und solche, die aufgrund ihrer Größe unter die Offenlegung von Verlustdaten (Art. 446) fallen und aus diesem Grund eine Datensammlung zu Verlusten (Art. 317) sicherstellen müssen.

Unter Berücksichtigung der EBA-Antwort (EBA/OP/2019/09b) auf die von der Kommission ersuchte Stellungnahme ist gem. Art. 316 CRR-III-E vorgesehen, dass in der EU alle Institute mit einem Geschäftsindikator in Höhe von 750 Mio. € oder mehr verpflichtet werden, einen internen Verlustdatensatz zu führen. Die qualitativen Anforderungen für diesen Datensatz werden durch Art. 317 spezifiziert. Zudem müssen die entsprechenden Institute ihre jährlichen OpRisk-Verluste für Offenlegungszwecke berechnen. Zur Wahrung einer gewissen Stabilität im Zeitverlauf ist vorgesehen, dass der höchste in den letzten zwei Jahren ausgewiesene Business Indicator-Wert zugrunde gelegt werden soll. Sofern diese Zeitspanne noch nicht vorliegt (wie im Erstmeldezeitraum), gilt der letzte gemeldete Business Indicator-Wert.

Institute mit einem Business Indicator-Wert kleiner als 1 Mrd. € wird ebenfalls aus Proportionalitätsgründen eine Befreiung von der Verlustdatensatzanforderung eröffnet. Voraussetzung zur Nutzung dieser Befreiung ist gem. Art. 316 Abs. 1 Satz 2 CRR-III-E der Nachweis, dass die Anforderung für das Institut mit „ungebührlich hohem Aufwand“ einhergeht. Was dies genau bedeutet, soll die EBA bis 18 Monate nach Inkrafttreten der CRR III durch einen technischen Regulierungsstandard ausarbeiten.

In den Art. 318 bis 321 CRR-III-E werden Ausführungen zu der Berechnung der jährlichen Verluste im Rahmen der operationellen Risiken gemacht. Die Ermittlung des „Bruttoverlusts“ und des „Nettoverlusts“ findet sich im Art. 318. Zudem nennt Art. 319 die für die Verlustdaten geltenden Schwellenwerte von 20.000 € bzw. 100.000 €. Im Art. 320 werden die Anforderungen für den Ausschluss von OpRisk-Verlusten aufgrund außergewöhnlicher Ereignisse geregelt. Für den Ausschluss wird eine Erlaubnis der Aufsicht benötigt. Schließlich regelt Art. 321 die Sachverhalte, welche zu zusätzlichen berücksichtigungsfähigen OpRisk-Verlusten führen.

Die Wichtigkeit einer regelmäßigen Überprüfung der Qualität, Genauigkeit und Vollständigkeit der Verlustdaten wird in Art. 322 CRR-III-E unterstrichen. Dies soll auch durch die Aufsicht in regelmäßigen Abständen überprüft werden. 

Für Institute mit einem Business Indicator-Wert größer als 1 Mrd. € wird konkretisiert, dass die Prüfung mindestens alle drei Jahre durchgeführt wird.

Abschließend werden für alle Institute gem. Art. 323 qualitative Anforderungen an das Risikomanagement-System für operationelle Risiken konkretisiert. 

VI. Herausforderungen in der Praxis

Die Herausforderungen, vor denen alle Banken bei der Umstellung auf den Standardansatz stehen, gehen weit über die reine Berechnung des OpRisk-Kapitals hinaus. Durch die zusätzlichen Anforderungen an die Verlustdatensammlung für größere Banken wird zudem erwartet, dass der Prozess der Verlustdatensammlung, die Verlustdatenbank und alle sich anschließenden Prozesse zukünftig stärker in den Fokus der Aufsicht rücken. Ebenso ist mit einem erhöhten Fokus auf die Säule II-Quantifizierung zu rechnen, wenn durch die Nichtberücksichtigung der Verlustkomponente für die Kapitalanforderungen die einzige risikosensitive Komponente wegfällt. Daher wird die Qualität der Daten eine wichtige Rolle einnehmen. Dies erfordert eine frühzeitige Beschäftigung mit den eigenen Verlustdaten im Rahmen der neuen Anforderungen. Mit dem Aufbau einer ausreichend langen und qualitativ hochwertigen Verlusthistorie sollte daher bereits jetzt begonnen werden. Noch vor der regulatorischen Umstellung sollten Überlegungen für ein geeignetes Rahmenwerk vorangestellt werden. Ein passendes Datenmodell sowie eine adäquate Bestimmung der Datenbasis kann dabei zukünftige Aufwandstreiber vermeiden.

Bei der Berechnung des Business Indicators ist die Verfügbarkeit der benötigten Accounting-Daten durch das FinRep-Mapping der EBA in weiten Teilen für die Institute gewährleistet, sodass hier bei einer Umsetzung Detailfragen geklärt werden müssen, sofern diese nicht im Rahmen der Veröffentlichung des zugehörigen RTS klargestellt werden. 

Insbesondere ist zu prüfen, wann die Daten zu verschiedenen Stichtagen verfügbar sind und ob sich aus den neuen Anforderungen des SAs Anpassungen an den internen Prozessen zur Meldeerstellung ergeben.

Die Optimierung des Business Indicators zur Verringerung der Kapitalanforderungen stellt die Institute vor weitere Herausforderungen. Die Anforderungen der Aufsicht müssen auf Wahlrechte und Konsistenz in der Umsetzung geprüft werden, um eine angemessene Berücksichtigung der GuV-Zahlen aus dem Accounting zu gewährleisten. Die genaue Form der Umsetzung hängt von der verwendeten Meldewesenarchitektur und Meldewesensoftware bzw. der Granularität der Daten aus dem Accounting ab.

PRAXISTIPPS

• Bei der Umsetzung des OpRisk-Standardansatzes sollte durch die Institute darauf geachtet werden, dass die in den Business Indicator-Komponenten verwendeten Parameter konsistent aus den FinRep- und Accounting-Daten ermittelt werden und ggf. vorhandene Spielräume im Sinne der Optimierung des benötigten Eigenkapitals ausgenutzt werden.
• Es ist erforderlich, rechtzeitig die zeitliche und datentechnische Verfügbarkeit der Accounting- Informationen im Rahmen einer Ultimoverarbeitung zu klären.
• Erfahrungsgemäß kommt es im Meldewesen immer wieder zu Abstimmungsschwierigkeiten bei der Verbindung von Accounting-Informationen mit Risikodaten. Institute sollten daher frühzeitig in der Prozesserstellung für die OpRisk-Berechnung darauf achten, dass es im Rechnungswesen regelmäßig nach Ultimo zu Korrekturen und Nachbuchungen kommen kann, welche über den Business Indicator-Eingang in den Kapitalanforderungen zu finden sind.
• Darüber hinaus stellt sich die Frage nach der technischen Umsetzung. Hierzu müssen Institute prüfen, auf welcher Granularitätsebene die Accounting-Daten im Rahmen der FinRep-Meldung vorliegen. Ziel ist es, die Informationen auf Einzelgeschäftsebene bzw. auf Basis von Haupt- und Sachkonten zur Verfügung zu stellen.
• Außerdem ist eine rechtzeitige Anbindung aller beteiligten Organisationseinheiten innerhalb des Instituts sehr wichtig.