Die MaRisk Lovelle - Teil 2: Muss das sein?

Nachdem mich einige Fragen zu meinem Tweet und Blogartikel erreicht haben, setze ich die MaRisk Lovelle fort und starte mit einer These: „Wenn man die Intention der einzelnen MaRisk-Änderungen und Neuerungen hinterfragt und annimmt, so ist ein wesentlicher Meilenstein für die Umsetzung bereits erreicht.“

Da ist es wieder: Hinterfragen. Und ich empfehle uneingeschränkt: Machen. Sie. Genau. Das.

Und zwar bevor große Projektpläne für die Umsetzung der Novelle geschrieben und verabschiedet werden, bevor die Köpfe über Formalien brüten, Regulierung mit Geld- und Zeitbudgets belegt werden und Gründe gefunden werden, warum andere wichtige(re) Dinge wie Innovation ausgesetzt werden.
Warum? Nun die Begründung fällt außenstehend betrachtet leicht. Nur wenn man die Intention, das Problem, die Sachlage hinter der Regelung, versteht, kann den MaRisk-Text mit dem richtigen Blickwinkel lesen und geeignete Lösungen ableiten. Klingt sehr abstrakt, daher ein Beispiel zur „Risikokultur“ nach AT 3 der MaRisk 2017: Herr Röseler schreibt in seinem Anschreiben an die Verbände der Kreditwirtschaft zur Risikokultur „Mir ist es wichtig, dass sich die Institute zukünftig stärker mit dieser Thematik auseinandersetzen und für sich definieren, welche Geschäfte, Verhaltensweisen und Praktiken als wünschenswert angesehen werden und welche nicht.“ So ein Satz macht nachdenklich. Denn was steht dahinter? Das Institute bisher eben genau dieses nicht gemacht haben! Zumindest haben sie es nicht so gemacht, dass die aufsichtsrechtlichen Prüfungen dieses erkennen konnten und für ausreichend befunden haben.

Wie kann denn überhaupt Risikomanagement funktionieren, wenn man nicht eine entsprechende Kultur verankert? Gar nicht! Und genau hier muss man genau hinlesen: GAR NICHT! Wer einfach nur die Mindestanforderungen an das Risikomanagement stumpf und formal umsetzt, vergisst in aller Regel, worum es eigentlich geht. Dadurch generiert man im Zweifel mehr Risiken, als zu mindern man eigentlich aufgefordert war. Ein Handeln über die Mindestanforderungen hinaus wird allein aus der menschlichen Natur „Regeln werden wie bestehend erfüllt“ hinfällig, wenn letztlich dieses Mindestmaß über meinen Erfolg aus aufsichtsrechtlicher Sicht entscheidend ist. Wer sich zur 100%-Erfüllung aller Regularien ohne Reflektion aufmacht, wird hierfür viel Geld aufwenden müssen. Dieses wird an anderer Stelle für Investitionen zur Sicherung des nachhaltigen Erfolges fehlen. Auch die Belastung der Mitarbeiter führt nicht dazu, dass sich Räume für kreatives und innovatives Handeln auftun. Im Gegenteil. Fehlt es zudem auch an Fehler- bzw. Lernkultur wird auch die Produktivität leiden. Nichts also, was eigentlich durch dieses Regelwerk angestrebt wurde, wird letztlich erreicht. Was werden wahrscheinliche Folgen sein? Es werden Ertragsquellen gesucht, die womöglich unerkannte Risiken (z.B. Lehman) bergen. Am Ende erzeugt man also kein risikobewusstes Handeln, sondern Umgehungsverhalten. Was aber tun?

Ein Perspektivenwechsel. Eine Bank ist in erster Linie ein Unternehmen, wie jedes andere, das es insbesondere nach betriebswirtschaftlichen Prinzipien zu führen gilt. Und jedes Unternehmen trägt unternehmerische Risiken und Chancen. Diese gilt es zu erkennen, zu bewerten, zu aggregieren und letztlich zu steuern. Risiken wie Chancen. Wieviel Risiko ein Unternehmen tragen kann und will, ist einer bewussten Entscheidung zu zuführen und in einem Risiko“appetit“ zu bündeln. Dabei fließen auch die Compliance-Risiken als ein Teil-Risiko in diesen Pool ein. Risikomanagement auf vermeintlich abstrakter Ebene. Analoges gilt für das Chancenmanagement. Diese bewusste Entscheidung über den Chancen- und Risiko“appetit“ ist nun mit Leben zu füllen. In einem 3 Personen-Unternehmen kann man leicht diese Ausrichtung kommunizieren, eine entsprechenden Spirit verbreiten und die gewählte Ausrichtung einhalten. Mit zunehmender Größe der Unternehmen wird dieses jedoch diffiziler. Und gerade deshalb ist spätestens jetzt die Kultur im Unternehmen, insbesondere die Chancen- und Risikokultur entscheidend. Aber was ist das eigentlich?
Die Kultur ist die DNA eines Unternehmens, der Nukleus, der sich aus gemeinsamen Werten und Zielen ergibt. Sie ist nichts, was sich durch schriftliche Leitlinien, Strategien oder Arbeitsanweisungen ergibt. Sie entsteht durch gelebte Werte und Handeln der Menschen, die dort arbeiten. Insbesondere wird sie geprägt durch die Menschen in Führungspositionen. Das heißt, wenn ein Chancen- und Risikoappetit bemessen wurde, kann er sich nur in der Kultur widerspiegeln, wenn auch konsequent so agiert wird. Es braucht mithin also auch eine entsprechende Konsequenzkultur. Dieses beginnt mit dem Kopf des Unternehmens.

Zurück zur Bank. Lässt sich dieses übertragen? Ja! Es ist mithin ein Muss! Denn „Bank“ ist auch nur ein Unternehmen. Die Risiken mögen vielfältiger und die Modelle komplexer erscheinen, am Ende bleiben es Risiken. Um eine Risikokultur als Basis für Risikostrategie und zielführendes Risikomanagement zu verankern, braucht es genau diese Form der Annäherung. Nur so entsteht der zwingend notwendige Raum für die gleichgewichtige Chancenkultur. Und auf die MaChance wartet hoffentlich keiner….

Nachwort: Eigentlich eine kaum vorstellbare Entwicklung, denn die MaRisk als Mindestanforderungen an das Risikomanagement gibt es nun in übergreifenden Fassung seit 2005. Vorgängerregelwerke wie MaH, MaK und GoK reichen noch weiter zurück. Im Bafin Journal 8.2015 hat die Aufsicht bereits explizit Risikokultur und Risikoappetit thematisiert. Es wird Zeit. Wenn dies eine Umsetzung nicht gelingt, werden weitere Anordnungen und Regelwerke folgen, die eigentlich niemand mehr möchte.