Risikomanagement-Funktion auslagern: Aufbau und Co-Sourcing

MiCAR verlangt interne Kontrollmechanismen, Risikobewertung und deren regelmäßige Evaluierung (Art. 62 Abs. 2 lit. i, Art. 68 Abs. 6 und 8). Eine eigene Abteilung schreibt MiCAR nicht vor. Erwartet wird, dass wesentliche Risiken unabhängig von den risikonehmenden Bereichen erkannt, bewertet und berichtet werden. Umfang und Tiefe richten sich nach Größe und Komplexität. Bei kleinen CASPs ist Co-Sourcing verbreitet.

Bei kleinen Instituten meist ja, wenn Interessenkonflikte ausgeschlossen sind, Zeit und Qualifikation reichen und beide Funktionen von den operativen Bereichen unabhängig bleiben. Mit der Internen Revision geht das nicht, denn die dritte Verteidigungslinie prüft die zweite. Begründen und dokumentieren Sie die Entscheidung.

Ein regelmäßiger Risikobericht an Geschäftsleitung und Aufsichtsorgan. Er zeigt die wesentlichen Risiken, die Auslastung des Risikoappetits, Limitüberschreitungen, die Eigenmittel und eingeleitete Maßnahmen. Bei kleinen Instituten ist ein Quartalsbericht üblich.

Das Risikoinventar ist die vollständige, aktuelle Liste der Risiken eines Instituts, mit Wahrscheinlichkeit, Auswirkung, Kontrollen und Verantwortlichen. Risikostrategie, Limite, Eigenmittelplanung und der Prüfplan der Internen Revision bauen darauf auf.

Ein ICAAP im engeren Sinn ist für Kreditinstitute vorgeschrieben. Wertpapierfirmen haben nach Art. 24 IFD eine vergleichbare Kapitalbeurteilung, ausgenommen kleine und nicht verflochtene Firmen. Für andere kleine Institute lohnt sich die Logik in schlanker Form: Risiken beziffern, dem Kapital gegenüberstellen, Puffer planen.

Das Risikomanagement ist die zweite Linie. Es erfasst, bewertet und begrenzt Risiken laufend. Die Interne Revision ist die dritte Linie und prüft unabhängig, auch das Risikomanagement. Wir bieten beide an, aber nie für dasselbe Institut. Eine Funktion, die wir aufgebaut haben, prüfen wir nicht selbst.