Modernes Risikoreporting: Klasse statt Masse

Status quo im Risikoreporting

Aufgrund der Vielzahl an Anpassungen, kapazitätsbedingter Engpässe oder anderweitiger Prioritäten wurden oftmals ad hoc zusätzliche Spezialreports geschaffen, um die Einhaltung regulatorischer Anforderungen sicherzustellen, statt die bestehende Berichtslandschaft strukturiert zu überarbeiten. Dies beansprucht die ohnehin knappen Kapazitäten des Managements als zentrale Berichtsadressaten. Durch den beschriebenen „Wildwuchs“ ist die Berichtslandschaft häufig unübersichtlich geworden und somit nur noch schwer zu handhaben (Abbildung 1).

Abbildung 1: Beispielhafte Darstellung für den Wildwuchs in der Berichtslandschaft

Neben der großen Anzahl häufig kleinteiliger Reports ist vielerorts vor allem die fehlende Orientierung beim Berichtsadressaten ein Problem. Bei der Berichterstellung wird zu hoher Wert auf die vollständige Darstellung aller regulatorisch geforderten Kennzahlen und Analyseergebnisse im Sinne einer Entlastungsfunktion gelegt. Auf eine entscheidungsgerechte Aufbereitung mit entsprechender Auswahl der zentralen steuerungsrelevanten Informationen wird oftmals leider verzichtet.

Die Berichtslandschaften verfügen nur selten über einen klar strukturierten und über alle Berichte einheitlichen Aufbau, der den Wiedererkennungswert für die Berichtsadressaten deutlich vereinfachen würde. Die Voraussetzungen für eine effiziente Informationsaufnahme werden somit zunehmend erschwert. Da ein effektives Risikomanagement mit wirkungsvollen Steuerungsimpulsen ein kritischer Erfolgsfaktor für Institute sein kann, kommt diesen Umständen eine schwerwiegende Bedeutung zu.

Anforderungen an das Risikoreporting

Risikoreporting muss zwar vor allem auf die Bedürfnisse der internen Stakeholder zugeschnitten sein, jedoch selbstverständlich auch den regulatorischen Anforderungen gerecht werden. Die Anforderungen bspw. aus den MaRisk, dem ICAAP-Leitfaden der EZB, dem „ECB guide to internal models“ oder den „RTS on assessment methodology for IRB“ geben einerseits Prinzipien für die Risikoberichterstattung vor (z. B. Nachvollziehbarkeit und Zukunftsorientierung), fordern aber auch konkrete Einzelberichte (u. a. Gesamtrisikobericht, Kreditrisikobericht oder Liquiditätsrisikobericht) und Mindestinhalte (u. a. Portfolioüberblick und -entwicklungen, Limitauslastungen oder ganz konkrete Details, bspw. zur Funktionsweise von Ratingsystemen), welche zwingend im Zielbild zu berücksichtigen sind.

Die praktische Umsetzung insbesondere der neuen Anforderungen erfolgt bei vielen Instituten jedoch nicht unter der Maßgabe einer optimalen Integration in das bestehende Reporting-Framework, sondern häufig durch separate und kaum steuerungswirksame Berichte.

Klar ist, dass bestimmte Berichtsinhalte schlicht aufgrund regulatorischer Anforderungen erzeugt werden müssen, aus interner Perspektive sollten Risikoberichte allerdings vor allem einem Zweck dienen: Das Management braucht die richtigen Informationen, um sinnvolle Entscheidungen treffen zu können. Die Qualität von Managemententscheidungen hängt in beträchtlichem Maße von der Wertigkeit der Informationsgrundlage ab – regulatorische Compliance und Managementorientierung müssen hierbei keinen Widerspruch darstellen.

Erfolgsfaktoren für ein modernes Risikoreporting

Aus unserer Sicht hat ein Umdenken in der Berichterstattung zu erfolgen: Managementgerechtes Reporting sollte nicht als die „Extra-Meile“, sondern als essenzieller Grundbaustein einer wirkungsvollen Unternehmenssteuerung wahrgenommen werden. Bestehende Ineffizienzen, die heutzutage in jeder (Risiko-)Berichterstattung stecken, sind abzubauen. Frei werdende Kapazitäten, die aktuell durch repetitive oder unnötige Aufgaben gebunden sind, können dann für nutzenstiftende Aufgaben verwendet werden – gemäß unserer Erfahrung sprechen wir hierbei von möglichen Einsparungen von bis zu 40–50 % der aktuellen Aufwände.

In erster Linie geht es nicht um eine langwierige IT-Neustrukturierung, welche mit hohen Umsetzungsrisiken verbunden ist. Diese kann zwar die Datenbereitstellung vereinfachen und Datenkonsistenz erhöhen, jedoch stellen selbst ganzheitlich integrierte Datenhaushalte und effiziente Lieferstrecken kein Allheilmittel für konzeptionelle Schwächen im Reporting dar.

Stattdessen sollte die bestehende Berichtslandschaft anhand der folgenden fünf einfachen Prinzipien (re-)organisiert werden:

1. Adressatenorientierung
2. Komplexitätsminimierung und Automatisierung
3. Berichtsdesign
4. Modularer Aufbau
5. Zukunftsorientierung

A) Adressatenorientierung

Den wahrscheinlich wesentlichsten Faktor für ein effektives Risikoreporting stellt das Prinzip der „Adressatenorientierung“ dar. Dieses ist innerhalb der hier genannten Prinzipien nicht isoliert zu betrachten, sondern eher als „roter Faden“ durch sämtliche Lösungsansätze zu verstehen. Jede Maßnahme sollte dahingehend diskutiert werden, ob sie dazu beiträgt, den Bedürfnissen der Berichtsempfänger besser gerecht zu werden.

Ein Beispiel: Häufig wird vernachlässigt, dass die zentrale Wertstiftung des Risikoreportings vor allem in Kommentierungen und Einordnungen in den gesamt- und bankspezifischen Kontext liegt. Individuell zugeschnittene Kommentierungen als Interpretations- und Fokussierungshilfe, bspw. für berichtete KPIs, erhöhen die Adressatenorientierung und stellen ein wichtiges Instrument für die Entscheidungsfindung dar, welches stärker genutzt werden sollte.

Eine ebenfalls effektive Maßnahme stellt die Festlegung übergeordneter Systematiken in den Reports als zusätzliche Orientierungshilfe dar. Zu diesen Systematiken gehört besonders die konsistente und nachvollziehbare Verwendung einer Einwertungslogik (z. B. mittels Ampeln) zur Analyse von Risikosituationen. Überkomplexe Metriken und Methodenwechsel sollten vermieden werden, damit sich das Management auf das Wesentliche fokussieren kann und Handlungs- und Entscheidungsbedarfe schnell ersichtlich werden. Über eine einheitliche Einwertungslogik werden die Ergebnisse über die Berichte hinweg vergleichbar gemacht, wodurch auch konsequent die aufsichtlich geforderte Nachvollziehbarkeit und Objektivität von Ergebnissen erhöht wird.

B) Komplexitätsminimierung und Automatisierung

Die Reduktion der Komplexität der Berichtslandschaft stellt in nahezu jedem Institut einen großen Optimierungshebel dar. Der häufig beobachtete „Flickenteppich“ bedeutet in der Regel auch eine Vielzahl redundanter Inhalte. Eine Doppelberichterstattung ist nicht nur ineffizient, sondern erhöht auch das Potenzial von Inkonsistenzen zwischen den einzelnen Berichten. Die aktuelle Menge der einzelnen Reports lässt eine sinnvolle Verarbeitung der Berichtsinhalte in der Regel nicht zu. Harmonisierungen sind unerlässlich.

Das Problem kann nur durch eine konsequente Neustrukturierung der Berichtslandschaft behoben werden. Hierfür bedarf es der Definition eines effektiven Zielbilds, welches nicht nur auf die regulatorisch geforderten Inhalten (externe Dimension), sondern – und vor allem – auf die individuell von den Adressaten benötigten Inhalte (interne Dimension) abgestimmt ist und diese sinnvoll miteinander vereint. Relevante Inhalte sind demnach in enger Abstimmung mit den Adressaten zu definieren. Eine gute Zielstruktur enthält so wenige Berichte wie möglich mit so vielen Inhalten wie nötig.

Klar ist: Jeder einzelne Bericht bindet dringend benötigte Ressourcen. Unsere Projekterfahrungen zeigen, dass für die Ableitung von Handlungsoptionen aktuell lediglich ca. 10 % der Kapazitäten in den Reportingprozessen aufgewendet werden – für den eigentlichen Mehrwert fehlt es an Zeit.

Die größtenteils immer noch manuell durchgeführten Prozessschritte zur Datensammlung und ‑aufbereitung binden ca. 20 % der Aufwände, ebenso die Abstimmung der Datenbasis. Eintrittswahrscheinlichkeiten für operationelle Risiken sind aufgrund der manuellen Prägung somit entsprechend hoch und zeitliche Verzögerungen eher die Regel als Ausnahmen. Helfen kann die Automatisierung manueller und somit fehleranfälliger Prozessschritte in Form von robotergestützter Prozessautomatisierung (RPA), die bereits seit Jahren in Banken eingesetzt wird und sich als wesentlicher kurzfristiger Hebel von Effizienzgewinnen bewährt hat.^[2] RPA-Lösungen bestehen ohne komplexe Systemintegration neben der existierenden IT-Infrastruktur und werden in Zusammenarbeit von IT und Fachbereich administriert. RPA lässt sich – eine gewisse Erfahrung mit Prozessautomatisierung vorausgesetzt – meist relativ leicht und schnell umsetzen, sodass sich entsprechende Investitionen nach zeb-Expertenschätzung oft bereits nach einem Jahr amortisiert haben.

C) Berichtsdesign

Damit Berichtsadressaten die Reports effizient erfassen können, ist ein ansprechendes Format dieser mit hohem Wiedererkennungswert essenziell. Ziel ist es, dass der Adressat die Berichte als wichtiges und nützliches Unterstützungsmedium begreifen kann und nicht allein durch die Darstellungsform zusätzliche Irritationen entstehen. Die Berichte sollten daher einheitlichen und übersichtlichen Darstellungslogiken folgen, um eine intuitive Orientierung des Adressaten weiter zu fördern. Dies lässt sich meist mit wenigen, aber effektiven Stellschrauben erreichen.

Hierzu zählt, dass sämtliche Risikoberichte grundsätzlich einem einheitlichen Muster folgen sollten – im Idealfall existiert hier ein übergreifendes Reportingformat mit „Templates“. So kann sichergestellt werden, dass Risikoberichte nicht nur „wie aus einem Guss“ wirken (hoher Wiedererkennungswert), sondern sich das Risikoreporting auch strukturell in das unternehmensweite Reporting-Framework einbetten lässt.

Risikoberichte sollten zudem nicht als Sammelbecken für sämtliche Risikozahlen verstanden werden. Sie sollten den Adressaten auch optisch mit einer aufgeräumten Darstellung durch die sinnvolle Kombination von Kennzahlen, Grafiken und Kommentaren – insbesondere in Form zukunftsgerichteter Handlungsempfehlungen – ansprechen.

Weiterhin sollte das Reporting auch den durch Möglichkeiten der technologischen Entwicklung veränderten Bedürfnissen der Adressaten gerecht werden. Modernes Reporting ist interaktiv und mobil. Die Möglichkeit, Berichte unterwegs unkompliziert auf dem Tablet oder Smartphone lesen und individuell anpassen zu können, sollte in Konzeption und technischer Umsetzung stets diskutiert werden. Durch die zusätzliche Einbindung von „Flash-Reports“^[3] lässt sich so ein flexibles Reporting strukturieren, welches zu jeder Zeit und an jedem Ort einen Blick in (vorläufige) Kennzahlen und Portfolios ermöglicht.

D) Modularer Aufbau

Bezüglich des strukturellen Aufbaus ist ein modulares und pyramidales Reporting anzustreben (siehe Abbildung 2), bei welchem vom aggregierten Gesamtüberblick (Management-Summary) ausgehend individuell in die gewünschte Detailtiefe eingetaucht werden kann („Drill-down“). Das interaktive Bewegen durch den Bericht kann dabei sowohl horizontal als auch vertikal verstanden werden. Je nach Wunsch können ganze Portfolios bis auf Einzelgeschäftsebene heruntergebrochen werden, oder die Risikosituation bestimmter (paralleler) Segmente, Märkte oder Produkte kann fokussiert betrachtet werden.

Abbildung 2: Integriertes Risikoreporting als Zielbild

Durch den modularen Aufbau wird vermieden, dass die Berichte lediglich „Zahlenfriedhöfe“ darstellen und kaum überschaubar sind. Jeder Adressat kann hier selbst entscheiden, wie tief er in die Berichte „eintauchen“ möchte.

E) Zukunftsorientierung

Um eine maximale Steuerungswirkung zu entfalten, ist eine vorwärtsgerichtete Sichtweise^[4] in der Berichterstattung unumgänglich. Deskriptive und vergangenheitsorientierte Analysen werden oftmals zwar regulatorisch gefordert (Validierungen, Backtestings), eignen sich aber isoliert betrachtet nicht immer für die Ableitung zukunftsgerichteter Maßnahmen. Das Einbeziehen von Forecasts und zukünftigen Szenarien kann die Nützlichkeit des (Risiko-)Reportings sinnvoll erweitern. So erhöht die Integration institutsspezifischer Szenarien die Interpretierbarkeit der Risikokennzahlen und ermöglicht es, flexibel und rechtzeitig auf adverse Entwicklungen zu reagieren. Die Ableitung von Handlungsempfehlungen kann so noch effektiver und nutzenstiftender erfolgen. Unterstützen können Szenariorechnungen zudem auch bei der Auswahl von Entscheidungsalternativen, da die konkreten, unmittelbaren Auswirkungen auf Kennzahlen simuliert werden. Zudem erwarten auch Bankenaufsicht und Stakeholder zunehmend die Berechnung von Stressszenarien (siehe u. a. MaRisk BT 3 Tz. 2), um die Überlebensfähigkeit der Institute zu evaluieren.

Unser Ansatzpunkt für ein modernes Risikoreporting

Unser Ansatz hin zu einem modernen Risikoreporting orientiert sich klar an den oben genannten fünf Prinzipien. Regulatorische Compliance wird hierbei zwar als zwingende Nebenbedingung berücksichtigt, der Fokus richtet sich jedoch klar auf die Bedürfnisse der internen Berichtsadressaten. Sie sind es, die auf Basis der Informationen aus dem Reporting wichtige Entscheidungen treffen müssen.

Daher gilt es, auf Basis der Anforderungen der Adressaten und unter Berücksichtigung der oben genannten Erfolgsfaktoren sowie Best-Practice-Lösungen ein individuelles Zielbild für die künftige Risikoberichterstattung zu gestalten. Hierbei werden konkrete Berichtsmodule und Inhalte je Modul festgelegt und so die Reportinglandkarte ganzheitlich neu definiert.

Erst im Anschluss sind die benötigten Informationen und Daten zu identifizieren und die Reportingprozesse aufzusetzen. Wichtig hierbei ist eine jederzeitige Orientierung am Zielbild und eine Loslösung von bestehenden Reportingstrukturen.

Fazit

Es gibt genügend Argumente für die Überarbeitung der Risikoberichterstattung. Diese ist oftmals historisch gewachsen und weist verschiedene Formen von Ineffizienzen auf. Eine gesteigerte Adressatenorientierung, die Minimierung von Komplexität, die Etablierung eines einheitlichen Berichtsdesigns mit modularem Aufbau sowie die Ergänzung zukunftsgerichteter Informationen sollten bei der Optimierung im Fokus stehen.

Der diskutierte moderne Reportingsansatz macht den (bisher häufig passiven) Berichtsadressaten zum aktiven Gestalter. Anstatt mit einer Vielzahl an Berichten und einer abstrakten Ansammlung von Risikokennzahlen überfrachtet zu werden, sollte es dem Adressaten möglich sein, die Risikosituation intuitiv zu verstehen, bedarfsorientiert zu detaillieren, vorwärtsgerichtet zu interpretieren und zielgerichtet zu steuern. Weniger ist oftmals mehr.

Insbesondere in Zeiten, in denen eine Fokussierung auf steuerungsrelevante Informationen zunehmend zum Wettbewerbsvorteil wird, sollte der Reportingfokus von einer regulatorischen Compliance hin zu einer effizienten und qualitativ hochwertigen Risikoberichterstattung unter Einsatz moderner Technologien gelenkt werden.