Risikomanagement bei Wertpapierinstituten im Rahmen des neuen Aufsichtsregimes

2. Wertpapierdienstleistungen und ihre Risiken

Im Rahmen des Risikomanagements ist zunächst eine Risikoidentifizierung vorzunehmen. Nachgehend werden daher einige einschlägige Risiken praxisrelevanter Geschäftsmodelle von Wertpapierinstituten dargestellt. 

Vielmals erbringen Wertpapierinstitute die Dienstleistung des Anschaffens oder Veräußerns von Finanzinstrumenten im eigenen Namen für fremde Rechnung und somit das sog. Finanzkommissionsgeschäft. Da das Institut hierbei in der Wahl des Dritten zur Erfüllung des Kommissionsgeschäfts frei ist und das Erfüllungsrisiko nicht alleinig trägt, ist im Wesentlichen der Kunde Träger des Geschäftsrisikos. 

Im Rahmen der sog. Abschlussvermittlung wird ein Vertrag über die Anschaffung oder Veräußerung von Finanzinstrumenten geschlossen. Hierbei tritt das Institut als Vermittler auf, welcher in fremdem Namen und für fremde Rechnung Finanzinstrumente kauft oder verkauft. Dabei kann dem Institut ein gewisser Entscheidungsspielraum eingeräumt werden. Damit geht allerdings zum einen das Risiko der nicht regulatorischen Compliance einher. Gleichzeitig rückt das Geschäft unter das Risikoprofil der Finanzportfolioverwaltung. Darüber hinaus können dem Kunden durch Fehler in der Vermittlung oder betrügerisches Handeln Verluste entstehen. 

Beim Eigenhandel kauft das Wertpapierinstitut zur sachgerechten Erbringung seiner Dienstleistungen oder aus eigenen Ertragsgenerierungsgedanken Finanzinstrumente im eigenen Namen und auf eigene Rechnung. Der Handel für eigene Rechnung unterliegt keinem direkten Risiko für den Kunden. Die Risiken ergeben sich hauptsächlich für das Institut, da das Preis- und das Erfüllungsrisiko vollständig bei selbigem liegen. Sie können sich durch mögliche Fehler bei Personen, Prozessen oder Systemen bei der Ausführung des Eigenhandels ergeben. 

3. Risikobetrachtung und Risikoarten im Rahmen des Wertpapierinstitutsgesetzes - Allgemeine Risikobetrachtung

Durch den Gesetzgeber wurden gem. § 45 Abs. 1 S. 3 Nr. 1–3 WpIG (bzw. Art. 29 Abs. 1 IFD; Art. 15 Abs. 1 IFR) die „neuen“ Risikoarten als „wesentlich“ bestimmt:

• Risiken für die Kunden (RtC)
• Risiken für den Markt (RtM) 
• Risiken für das Institut (RtF) 

Aus Gesichtspunkten der Säule-1-Anforderungen normiert und definiert der Gesetzgeber in Teil 3 Titel II Kapitel 1–3 IFR und Teil 4 Art. 35–42 IFR die wesentlichen Risikoarten des neuen Aufsichtsregimes. Etwaige Konzentrationsrisiken wurden in ihrem Risikogehalt innerhalb der Säule 1 ebenfalls normiert und sind notwendigerweise als verbindende Risikogrößen im Risikomanagement zu berücksichtigen. Die nachfolgende Übersicht stellt die „wesentlichen“ Risiken für Wertpapierinstitute dar.

4. Umgang und Herausforderungen mit Anforderungen des Risikomanagements an Wertpapierinstituten

Risiko- und Geschäftsstrategie

Unter Berücksichtigung aller wesentlichen internen und externen Einflussfaktoren sind durch das Institut eine schriftlich fixierte Geschäftsstrategie und eine dazu konsistente Risikostrategie zu erstellen. Das übergeordnete Ziel sollte sein, zwei steuerungsrelevante, strategische Rahmenwerke mit Blick auf die zu erbringenden Dienstleistungen zu fixieren. Darüber hinaus soll eine Operationalisierung der fixierten Strategien im Hinblick auf die Gradmessung der Zielerreichung sowie die Maßnahmen zur Umsetzung strategischer Ziele erfolgen.

Innerhalb des Risikomanagements für Wertpapierinstitute spielen die operationellen Risiken eine zentrale Rolle. Hierbei kommt insbesondere denen für den Kunden und denen für den Markt eine besondere Bedeutung zu. „Mittlere“ Institute sollten sich an den Verfahren der CRR zur Quantifizierung und zu den aufsichtsrechtlichen Kapitalanforderungen in Bezug auf operationelle Risiken orientieren. Zudem sollte je nach Institutsgröße das Papier des Basler Ausschusses zur Präzisierung im Umgang mit operationellen Risiken Beachtung finden. § 45 WpIG fordert einen Strategieansatz für alle wesentlichen Risiken und damit verbundenen Risikokonzentrationen. Bei „kleinen“ Wertpapierinstituten müssten somit die Risiken für Kunden sowie die Liquiditätsrisiken im Risikostrategieprozess Berücksichtigung finden. Im Rahmen der Geschäftsstrategie kann ein „kleines“ Institut auf die für es zutreffenden Geschäftsarten Bezug nehmen. Darüber hinaus müssen die Strategien einer regelmäßigen Prüfung durch die Institute unterzogen werden. 

Hinsichtlich der zeitlichen Dimension wäre bei „kleinen“ Wertpapierinstituten eine anlassbezogene Aktualisierung, jedoch mindestens alle anderthalb Jahre, empfehlenswert. Da es bei diesen schnell dazu kommen kann, dass sie durch eine Anpassung der Geschäftsaktivitäten oder des Risikoprofils zu einem „mittleren“ Institut werden, ist die anlassbezogene Neubewertung der Strategien unverzüglich umzusetzen. Bei „mittleren“ Instituten hingegen sollte die Überprüfung der Strategien mindestens jährlich stattfinden. Darüber hinaus reicht bei diesen eine zeitnahe Umsetzung der Anforderungen aus. 

Zudem sollten die Institute feste Schwellenwerte definieren, ab welchen man sich mit den Herausforderungen der nächsthöheren Größenklasse auseinandersetzt. So sollten „kleine“ Institute ihren Risikoappetit quantitativ auf Institutsebene über alle Risikoarten hinweg definieren. Als Negativausschluss sollte der Risikoappetit bei Geschäftsaktivitäten, welche aufgrund der Größenklassifizierung ausgeschlossen sind, gleich null betragen. 

Risikoidentifizierung, -beurteilung, -steuerung und -überwachung

Nach der Definition der Geschäfts- und der Risikostrategie durch das Institut müssen diese in wirksame Verfahren zur Identifizierung, Beurteilung, Steuerung sowie Überwachung und Kommunikation der Risiken gem. § 41 WpIG überführt werden. Die Regelungen der Risikosteuerung orientieren sich an § 45 WpIG, welcher weitestgehend die Anforderungen an das interne Kontrollsystem nach §25a KWG parallelisiert, jedoch keine konkrete wörtliche Entsprechung der Etablierung interner Kontrollsysteme beinhaltet.

„Kleine“ als auch „mittlere“ Wertpapierinstitute müssen Verfahren zur Risikoidentifikation, -beurteilung, -steuerung und -überwachung etablieren. Dabei sollten ihre Kanäle zur Risikoidentifikation diversifiziert sein. Ein Kanal ist die sog. „Risikoinventur“ als Identifikationswerkzeug. Gleichwohl erstreckt sich die Risikoidentifikation auch auf die Etablierung von Hinweisgebersystemen. 

Risikotragfähigkeit

„Mittlere“ Institute müssen die Höhe, die Art und die Verteilung des internen Kapitals und der liquiden Aktiva analysieren. Diese sind gemäß Art. 24 Abs. 1 IFD i.V.m. § 39 WpIG den qualitativ und quantitativ abzusichernden Risiken, welchen das Institut ausgesetzt ist oder welche dieses für andere darstellt, gegenüberzustellen und in ihrer Angemessenheit zu beurteilen. „Kleine“ Institute hingegen unterliegen sowohl bei der Betrachtung des internen Kapitals und der Liquidität als auch bei der Quantifizierung der Risiken Erleichterungen bzw. Freistellungsmöglichkeiten. 

Konzeptionelle Erwägungen zur Bestimmung der Risikotragfähigkeit können sich an der regulatorischen, wertorientierten sowie der periodischen Sichtweise orientieren. Für „kleine“ Institute ist es empfehlenswert, die regulatorische Sichtweise anzunehmen. So sind durch das Institut die vorhandenen Eigenmittel den Säule-1-Anforderungen gegenüberzustellen und bei den normativ nicht vollständig abgedeckten Risiken ein Risikoaufschlag vorzunehmen. Um einen frühzeitigen Kapitalbedarf für die Risikodeckung zu identifizieren und gleichzeitig bei Geschäftswachstum eine friktionsfreie Überleitung auf ein „mittleres“ Institut sicherzustellen, dürfte es für „kleine“ ratsam sein, einen vereinfachten „Säule-1-Plus-Ansatz“ zu verfolgen. 

Bei „mittleren“ Instituten hingegen bietet sich die wertorientierte Sichtweise an. So wäre bei der Risikotragfähigkeit das verbarwertete Vermögen der Betrachtung der verbarwerteten Risiken der einzelnen Risikokategorien gegenüberzustellen. Die Tragfähigkeit wäre dann gegeben, wenn das Vermögen die Risiken übersteigt. Da im Falle schlagender Risiken das Absicherungsziel die Fortführung des Instituts sein sollte, sind für „mittlere“ Wertpapierinstitute die Going-Concern-Sichtweisen empfehlenswert. Durch diesen Absicherungscharakter wird nicht nur den Risiken für die Kunden, sondern auch denen für den Markt und denen für das Wertpapierinstitut Rechnung getragen. „Kleine“ Institute hingegen sollten die Liquidationssichtweise anwenden und somit den Gläubiger- und Kundenschutz als Absicherungsziel anstreben. Diese Betrachtungsweise erlaubt bereits regulatorisch gebundene Eigenkapitalbestandteile als Risikodeckungspotenzial anzusehen.

5. Unterstützung durch Deloitte

Für Wertpapierinstitute ändert sich nicht nur die gesamthafte Terminologie, sondern auch die als wesentlich definierten Risiken ändern sich. Da das entsprechende Risikopotenzial nicht bewusst aus der Ertragsgenerierung entstammt, sondern sich Risiken als unvermeidbare Nebenwirkungen von Geschäftsprozessen ergeben, sind auch die Risikointegration, -steuerung und das -controlling anzupassen bzw. gänzlich neu zu definieren. Zudem dürften insbesondere die Risikotragfähigkeit sowie die -identifizierung, -beurteilung,        -steuerung und -überwachung den größten Anpassungsbedarf aufweisen. Weiterhin wird dies für jene Institute eine Herausforderung darstellen, die nicht auf ihre Instituts- und Risikostruktur angepasste MaRisk proportional zur Anwendung zu bringen. 

Falls Sie einen Ansprechpartner zum Thema Aufsicht von Wertpapierinstituten benötigen, kommen Sie gerne jederzeit auf uns zu.

Im Rahmen der Anforderungen an das Risikomanagement begleiten wir Sie konkret bei der Identifizierung potenziellen Handlungsbedarfs sowie bei der Erstellung und Umsetzung eines entsprechenden Maßnahmenplans. Hierzu beraten wir bei der Implementierung und Etablierung von Prozessen zur Risikoidentifizierung, -beurteilung, -steuerung und -überwachung inklusive der Beratung hinsichtlich geeigneter Automatisierungen und gesamtheitlicher        IT-Lösungen. Schlussendlich verfügt Deloitte bei der Analyse bestehender und bei der Erstellung neuer Dokumentationen – beispielsweise zur Risiko- und Geschäftsstrategie sowie zum dazugehörigen Unterlagenkatalog – über tiefgreifende Expertise und einschlägige Erfahrung aus der Beratung unterschiedlichster Institute. 

Auf dieser Website halten wir Sie auf dem Laufenden über weitere Analysen zur IFR und zum WpIG sowie über die anstehenden Umsetzungsherausforderungen. 

Ihre Autoren und Ansprechpartner

Christophe Crnkovic
Partner FSI Audit & Assurance                                                              
ccrnkovic@deloitte.de | +49 69 75695 6565

Max Weltersbach 
Manager FSI Audit & Assurance                                                          mweltersbach@deloitte.de | +49 69 75695 7786

Tim Müsse
Senior Consultant | FSI Audit & Assurance                                                          tmuesse@deloitte.de | +49 6975695 6583