Die Invasion der Cyberkriminellen – für Finanzdienstleister ist sie nicht erst seit der Ukraine-Krise eine reale Bedrohung. Schon 2021 hat die Branche unter einer Flut von Angriffen aus dem Netz gelitten. Doch seit dem Ausbruch des Krieges in der Ukraine hat die Schlagzahl der An­griffe noch einmal stark zugenommen. Dabei stellt die Cybergefahr bei weitem nicht das einzige Risiko dar, dem sich Finanzdienstleister derzeit ausgesetzt sehen.

Ob geopolitische Unruhen oder der Klimawandel – die Gefahren für das Geschäftsmodell von Banken werden immer vielfältiger und stammen nicht mehr nur noch aus dem finanziellen, sondern auch aus dem nichtfinanziellen Bereich. Für Chief Risk Officer eine schwierige Situation, denn die neuen Gefahren haben eine Regulierungswelle in Gang gesetzt, die sich von den Instituten nur schwer bewältigen lässt. Das Resultat: ein enormer Umsetzungsdruck, der Chief Risk Officer dazu zwingt, auf Effektivität statt Effizienz zu setzen. Dabei leidet das Risikomanagement vieler Finanzdienstleister schon seit längerem unter aufgeblähten Prozessen und einer zunehmenden Ineffizienz. Wie können Chief Risk Officer am besten mit dieser Situation umgehen?

Um Finanzdienstleister auf diese Herausforderungen vorzubereiten, hat KPMG eine Benchmark-Analyse unter weltweit mehr als 50 Banken durchgeführt. Der Schwerpunkt der Studie liegt dabei auf den Bereichen der Ressourcenausstattung, Aufbauorganisation und Effizienz. Vor allem Letztere spielt für die Geldhäuser eine herausragende Rolle, da nicht nur die Regulierungswelle im Bereich nichtfinanzieller Risiken zu einer geringeren Wirksamkeit bei vielen Prozessen geführt hat. Ähnlich gestaltet sich die Situation auch im Bereich der finanziellen Risiken, die seit der Finanzkrise einen immer höheren Entwicklungsstand herausgebildet haben. In vielen Fällen hat das zu einer starken Verkrustung und Starrheit geführt. Das Problem: Gleichzeitig zu dem Abbau dieser Ineffizienzen müssen Finanzinstitute auch auf den flexiblen Umgang mit nichtfinanziellen Risiken achten – vor allem im hochdynamischen Bereich der ESG-Risiken.

Bei der Bewältigung dieser He­rausforderung soll unsere Studie helfen. Ihre Resultate: neun Ansatzpunkte, die Chief Risk Officer jetzt angehen müssen, um sich für die Zu­kunft zu wappnen. Dabei geht es vor allem um die Harmonisierung und Zentralisierung des Risikomanagements über einzelne Risikoarten hinweg sowie eine klare Rollenverteilung, mehr Agilität und die systematische Integration von ESG-Risiken.

Ineffizienzen abbauen und Flexibilität erhöhen – ein Schlüssel zur Er­reichung dieser zwei Ziele ist das Heben von Synergien. Eine einfache Möglichkeit: Die Verzahnung von Ri­si­koarten durch ein übergreifendes Rahmenwerk, das durch das Enterprise Risk Management (ERM) verantwortet wird. Auch agile Arbeitsmethoden, die bei den meisten Banken bereits erfolgreich in Projekten eingesetzt werden, erhöhen die Flexibilität. Bei der Überführung in den Betrieb entstehen allerdings oftmals noch Reibungsverluste, die durch ge­zielte Maßnahmen vermieden werden können. Ein erfolgskritischer Faktor dafür ist die klare Zuweisung von Rollen und Verantwortlichkeiten.

 Ein weiterer wichtiger Befund der Studie: Geht es um die Weiterentwicklung der CRO-Funktion, sollten Chief Risk Officer stets auf den Entwicklungsstand eines entsprechenden Themas achten. Denn je nachdem, wie stark die regulatorischen Anforderungen erfüllt werden und die Integration in die Run-Organisation fortgeschritten ist, gilt es hier zwischen zwei verschiedenen Ansätzen zu unterscheiden. So wird die Weiterentwicklung bei einem hohen Entwicklungsstand vor allem durch Konsolidierung und Verschlankung bestehender Prozesse und Abläufe bestimmt. Ist der Entwicklungsstand dagegen niedrig, so sollte die zielgerichtete Umsetzung der regulatorischen Anforderungen im Fokus stehen – oftmals unter Einsatz externer Fachkräfte. Diese Zweiteilung spiegelt sich auch darin wider, wie die knappe Ressource der Mitarbeiter eingesetzt wird. Denn während bei einem höheren Entwicklungsstand vor allem die Weiterentwicklung der Mitarbeiter im Fokus steht, geht es bei einem niedrigen Entwicklungsstand zu­meist eher noch um den Aufbau eines geeigneten Teams.

 Jenseits von Rollenverteilung und Aufbauorganisation hat die KPMG-Studie auch die Aufstellung der Mo­dellentwicklung untersucht. Das Er­gebnis zeigt: Die Entwicklung und Pflege von Modellen bei vielen Kreditinstituten erfolgt noch immer stark dezentralisiert und fragmentiert. Und das, obwohl eine zentrale Modellentwicklung nach heutigem Stand deutlich besser geeignet wäre, um Redundanzen abzubauen und die Effizienz von ausgewählten Aktivitäten zu steigern. Gleiches gilt für den Aufbau eines zentralen Datenhaushalts, von dem die Konsolidierung des Risiko-Reportings ebenfalls profitiert. Allerdings ist bei diesem Schritt oftmals mit einem längeren Umsetzungszeitraum zu rechnen, da hier eine signifikante technische Weiterentwicklung nötig ist.

Weiterentwicklungen spielen auch im Bereich der ESG-Risiken eine zentrale Rolle – das derzeit wohl aktuellste Thema für Chief Risk Officer. Entsprechend hoch sind hier auch die Dynamik und die Anforderungen, was in der Change-Organisation vieler Banken bereits dazu ge­führt hat, dass vermehrt externe Fachkräfte für ESG-Angelegenheiten zum Einsatz kommen. Für Finanzdienstleister sollte angesichts der hohen Taktzahl an ESG-Veränderungen klar sein, dass sich ein hoher Reifegrad und eine fortgeschrittene Integration in die Run-Organisation nur langfristig einstellen werden.

Für Chief Risk Officer bleibt die Arbeit also weiterhin spannend. Und auch wenn der Weg noch weit ist, können Finanzinstitute die Transformation schon heute voranbringen, indem sie rechtzeitig die richtigen Weichen stellen und entsprechend priorisieren. Frühzeitige Investitionen zahlen sich hier aus.