Gruber / Schöche / Rose Prüfungsleitfaden Interne Revision

Praxishandbuch für die Finanzbranche
2., aktualisierte und erweiterte Auflage 2022
ISBN: 978-3-95647-209-1
Verlag: Frankfurt School Verlag
Format: EPUB
Kopierschutz: 6 - ePub Watermark

E-Book, Deutsch, 492 Seiten

Seit der ersten Auflage des Handbuchs 'Prüfungsleitfaden Interne Revision' haben sich die Anforderungen und Rahmenbedingungen im Bankenumfeld spürbar verändert. Einerseits wurden die Vorgaben der Aufsichtsbehörden deutlich verschärft, so etwa durch die fünfte und sechste MaRisk-Novelle sowie die Anforderungen rund um IT-Prozesse (BAIT) und Auslagerungen. Andererseits haben neue Anlageklassen wie Alternative Investments und Finanzprodukte, die als nachhaltig angesehen werden, das Marktumfeld deutlich erweitert. Der Internen, aber auch der externen Revision stellt sich die Aufgabe, mit diesem signifikanten Wandel des Marktumfelds und der Regulatorik Schritt zu halten. Das komplett überarbeitete und erweiterte Handbuch bietet Revisorinnen und Revisoren fundierte Hilfe bei der Bewältigung dieses Transformationsprozesses. Die Darstellung traditioneller Gesamtbanksteuerungskomplexe, wie etwa ökonomische und normative Risikotragfähigkeit, Messung der verschiedenen wesentlichen Risikoarten, Validierung und Modellrisiko, wurde an die aktuellen Anforderungen angepasst. Neuartige Revisionsgebiete wie Nachhaltigkeit und Auslagerungsmanagement wurden zusätzlich aufgenommen. Geblieben ist die bewährte Gliederung aller Beiträge. Zunächst werden der jeweilige Prüfungskomplex und die geltenden aufsichtlichen Anforderungen beschrieben. Hierauf aufbauend werden konkrete Prüfungslisten in Form exemplarischer Fragenkataloge für die tägliche Revisionspraxis zur Verfügung gestellt. Alle derzeitigen Schwerpunktthemen der Revision werden mit dieser Neuauflage abgedeckt. Damit schließt das Handbuch die Lücke zwischen regulatorischer Anforderung und praktischer Revisionsarbeit. Hierfür garantiert nicht nur die praxistaugliche Aufarbeitung der vielschichtigen Inhalte, sondern auch die weitreichende Prüfungs- und Beratungsexpertise der Autoren.

Zu den Herausgebern: Dr. Walter Gruber, Diplom-Wirtschaftsmathematiker, ist geschäftsführender Partner bei 1 PLUS i. Zuvor arbeitete er für eine Investmentbank im Bereich Treasury und ALCO-Management. Anschließend war Herr Dr. Gruber als Gruppenleiter bei der Bankenaufsicht im Direktorium der Deutschen Bundesbank für den Bereich Research / Grundsatzfragen in internen Risikomodellen und Standardverfahren verantwortlich, wo er die Bundesbank auch in den verschiedenen internationalen Gremien vertrat (verschiedene Baseler Arbeitskreise, IOSCO). Danach war er als Geschäftsführer bei einer Beratungsgesellschaft für die Bereiche Bankenaufsicht, Risikomanagement und Produktbewertungsverfahren als Berater und Trainer tätig. Herr Dr. Gruber ist Verfasser zahlreicher Veröffentlichungen vor allem in den Bereichen Bankenaufsicht (Basel/CRR/MaRisk), Markt- und Kreditrisikomodelle und derivative Finanzprodukte. Auf diesen Gebieten trat er auch als Herausgeber vieler Standardwerke in Erscheinung. Dr. Markus Rose, Diplom-Ökonom, ist Partner bei 1 PLUS i. Fragestellungen im Bereich des Risikomanagements und deren aufsichtsrechtliche Behandlung bilden die thematischen Schwerpunkte seiner mehrjährigen Beratertätigkeit. In den genannten Themenfeldern ist er zusätzlich als Seminartrainer und Autor aktiv. Darüber hinaus begleitet er die Innenrevision in methodischen Fragestellungen bei ihrer vom Regulator geforderten Prüfung interner Ratingsysteme. Schon vor seinem Wechsel zu 1 PLUS i befasste sich Herr Dr. Rose als Leiter Risikocontrolling einer Hypothekenbank mit der permanenten Weiterentwicklung der internen Risikosysteme. Linda Schöche, Diplom-Betriebswirtin (BA), ist Partnerin bei 1 PLUS i. Frau Schöche begleitete zahlreiche Kunden von 1 PLUS i bei Projekten rund um die Spezifikation von Schnittstellen für Risikosysteme, die Behandlung von Adressenrisiken sowie die Anbindung des Geschäftes mit zentralen Kontrahenten. Dabei erwarb sie weitreichende Kenntnisse in der prototypischen Implementierung von Fachanforderungen sowie der Analyse und Konzeption von Datenflüssen in komplexen Infrastrukturen. Neben der Mitwirkung an vielfältigen Umsetzungsprojekten verfügt Frau Schöche über jahrelange Erfahrung mit der Unterstützung von Revisionsprüfungen. Diese umfassten sowohl die Methoden- als auch die Prozessprüfungen der Internen Revision zur angemessenen Umsetzung aufsichtsrechtlicher Vorgaben.

Autoren/Hrsg.

Gruber, Walter

Schöche, Linda

Rose, Markus

Leseproben

1  Risikotragfähigkeit
Henning Heuter 1.1  Einführung
Die Sicherstellung der Risikotragfähigkeit ist eine zentrale Fragestellung im Risikomanagement der Institute. Da diese Grundidee und die übergreifenden aufsichtsrechtlichen Anforderungen bereits beschrieben wurden,[1] setzt sich dieses Kapitel schwerpunktmäßig mit den konkreten Umsetzungen auseinander, die man typischerweise in normativen und ökonomischen Ansätzen vorfindet. Hinsichtlich der Fragestellungen zu Modellen und zur Parametrisierung ergeben sich naturgemäß Überschneidungen zu anderen Abschnitten dieses Handbuches. Zunächst werden wichtige Begriffe im Risikotragfähigkeitsprozess motiviert und die aufsichtsrechtlichen Anforderungen zusammengefasst. Den Hauptteil dieses Abschnitts stellen die Prüfungsfragen zu übergreifenden Themen, zum Deckungspotenzial in der ökonomischen und der normativen Perspektive sowie zu den Methoden und Parametern in beiden Sichtweisen dar. Vereinfacht dargestellt ist die Risikotragfähigkeit gegeben, wenn das Risikodeckungspotenzial die wesentlichen Risiken des Instituts unter Berücksichtigung von Risikokonzentrationen laufend abdeckt.[2] In der Praxis sind hierzu Prozesse zu schaffen, die dies laufend und dauerhaft sicherstellen. Unter diesem Risikotragfähigkeitsprozess wird dazu ein Prozess verstanden, der die Angemessenheit des internen Kapitals zur Abdeckung der Risiken betrachtet. Ob das interne Kapital angemessen ist, wird dabei aus Richtung der Risikomessung und aus Richtung des Risikodeckungspotenzials bestimmt.[3] Aus Richtung der Risikomessung ist sicherzustellen, dass alle Risiken erkannt und hinsichtlich ihrer Wesentlichkeit korrekt eingeschätzt werden. Für die im Ergebnis der Risikoinventur wesentlichen Risiken müssen hinreichend genaue Risikomessmethoden entwickelt werden. Für die nicht wesentlichen Risiken sind darüber hinaus Vorkehrungen zu treffen. Aus Richtung des Risikodeckungspotenzials ist sicherzustellen, dass geeignete Kapital- und Ergebnisbestandteile sowie Reserven dazu eingesetzt werden können, die möglichen Verluste aufzufangen, wenn Risiken schlagend werden. Das Risikodeckungspotenzial muss dafür für die Haltedauer der ökonomischen Sicht und für den Betrachtungshorizont der normativen Perspektive bereitstehen. Dieses Risikodeckungspotenzial wird den Risiken gegenübergestellt. Durch die laufende Gegenüberstellung der Ergebnisse aus der Risikomessung und dem Risikodeckungspotenzial wird die Frage beantwortet, ob die Risikotragfähigkeit gegeben ist. Die Frage nach der Angemessenheit der Risikotragfähigkeitsrechnung kann dabei aber nicht allein durch die Subtraktion der Risiken vom Risikodeckungspotenzial beantwortet werden. Daher wird im Fragenkatalog dieses Abschnitts auch die methodische Konsistenz bei der Ermittlung beider Größen behandelt. Für ein konsistentes Vorgehen sind dafür die Begriffe normative oder ökonomische Sicht sowie barwertige oder ergebnisorientierte Risikomessung zu betrachten. Tabelle 1: Deckungspotenzial und Risikomessung Grundkonzept und Ableitung Deckungspotenzial Normativ Ökonomisch Methoden und Parameter der Risikomessung Ergebnisorientiert barwertig In der normativen Perspektive werden Risiken nur in dem Umfang eingegangen, dass die regulatorischen Mindestanforderungen aus der Säule 1 nach Capital Requirements Regulation (CRR) noch erfüllt werden können. Hierzu ist eine Zeitraumbetrachtung umzusetzen, d.h. die Erfüllung der regulatorischen Mindestanforderungen ist für mindestens drei Jahre sicherzustellen. Üblicherweise werden intern teils deutlich über den CRR-Vorgaben liegende Werte festgelegt. In der ökonomischen Sicht wird kein Eigenkapital für die Erfüllung der Säule 1 nach der CRR reserviert; dieses steht voll zur Deckung der Risiken zur Verfügung. Risiken werden mit einem vergleichsweise sehr hohen Konfidenzniveau berechnet; dieses liegt i.d.R. bei 99,9%. Vereinzelt erfolgt die Ableitung des Konfidenzniveaus konsistent zum Zielrating, das aus 100% - PDZielrating (Probability of Default) ermittelt wird. Neben den Grundsatzfragen zur normativen und ökonomischen Perspektive sind die Methoden und die Parametrisierung der Risikomessung zu betrachten. Hierbei wird zwischen ergebnisorientierten und barwertigen Ansätzen unterschieden. Barwertige Ansätze betrachten die ökonomischen Wertänderungen eines Geschäfts i.d.R. anhand seiner Cashflows. Die Quelle der Cashflows ist dabei nicht erheblich, so werden Cashflows aus Krediten und Wertpapieren auf der Aktivseite gleichbehandelt. Auch auf der Passivseite wird nicht unterschieden, ob die Zahlungen aus einer Kapitalmarktemission oder einer Retail-Kundeneinlage resultieren. Ziel der Risikomessung ist es, die ökonomische Wertänderung zu messen, die mit einem bestimmten Konfidenzniveau nicht überschritten wird. Barwertige Ansätze sind für die normative Perspektive grundsätzlich nicht zielführend, da bspw. Spread-Verluste aus nicht bewertungspflichtigen Positionen bei einer Dauerhalteabsicht nicht ergebniswirksam werden oder bspw. Kredite nicht abgeschrieben werden, wenn im Falle von steigenden Zinsen Barwertverluste eintreten. Ergebnisorientierte Ansätze betrachten im Gegensatz dazu, welche Wirkung der Eintritt eines Risikos auf die Gewinn- und Verlust-Rechnung (GuV) hat. Dabei werden Positionen auch in Abhängigkeit davon behandelt, wie sie in der Bilanz verbucht sind. Steigen bspw. die Spreads, so führt das bei einer Position in der Liquiditätsreserve zu GuV-relevanten Verlusten. Dieselbe Position weist keine GuV-relevanten Verluste auf, wenn eine Dauerhalteabsicht besteht und das Institut die Verluste nicht als dauerhaft einschätzt. Normative Ansätze werden nicht zuletzt auch deshalb mit ergebnisorientierten Risikomessmethoden kombiniert, da das Risikodeckungspotenzial neben regulatorischen Kapitalbestandteilen insbesondere aus geplanten bzw. erwarteten Ergebnissen ermittelt wird. Neben dem Grundkonzept und der Ableitung des Deckungspotenzials sowie den Methoden und Parametern der Risikomessung ist darüber hinaus der Risikohorizont als Zeitraum von Bedeutung, über den das Risikodeckungspotenzial bereitstehen muss und für den die Risiken kalkuliert werden. Dieser beträgt mindestens drei Jahre. Barwertige Ansätze nutzen i.d.R. Value-at-Risk-Methoden (VaR) für die Risikomessung. Die Haltedauer etwa für Adressenrisiken und operationelle Risiken ergibt sich auch hier implizit aus den beobachteten Risikoparametern und beträgt modellbedingt ein Jahr. Bei Marktpreisrisiken ist hingegen die Haltedauer zunächst kürzer und liegt bei hoch liquiden Produkten teilweise bei ein bis zehn Tagen. Argumente für diese kurze Periode sind eine schnelle und einfache Absicherungsmöglichkeit oder die Möglichkeit des schnellen Verkaufs der Position. Kurze Haltedauern werden für den Ansatz in der Risikotragfähigkeit jedoch kritisch gesehen, so dass die Skalierung der Haltedauer des Marktrisiko-VaR auf hohe Werte wie 250 Tage erfolgt, etwa unter Zuhilfenahme der Wurzel-t-Regel. Mit der normativen Perspektive werden die etablierten Umsetzungen für den Kapitalplanungsprozess und die Going-Concern-Betrachtung zusammengeführt. Dabei wird typischerweise ein Zeitraum von drei bis fünf Jahren betrachtet. Ziel ist es zu gewährleisten, dass die Risikotragfähigkeit auch über einen längeren Zeitraum sichergestellt werden kann. Im Gegensatz dazu wird in der ökonomischen Perspektive ein Zeitpunkt betrachtet. 1.2  Bankaufsichtliche Anforderungen
Für den in diesem Kapitel verwendeten Risikotragfähigkeitsprozess wird häufig der Begriff Internal Capital Adequacy Assessment Process (ICAAP) verwendet. In diesem Abschnitt werden zunächst die diesbezüglichen internationalen bzw. europäischen Rahmenwerke kurz vorgestellt. Die für die Prüfung relevanten regulatorischen Anforderungen an den Risikotragfähigkeits- und Kapitalplanungsprozess aus den Mindestanforderungen an das Risikomanagement (MaRisk) und den Guidelines (Supervisory Review and Evaluation Process) der European Banking Authority (EBA)[4] werden ausführlicher dargestellt. Geprägt wurde der Begriff ICAAP durch den Basler Ausschuss und das Drei-Säulen-Modell. Neben der ersten Säule mit konkreten quantitativen Vorgaben für die Eigenmittelunterlegung des Kreditrisikos, des operationellen Risikos und der Marktpreisrisiken enthält die dritte Säule Anforderungen an die Offenlegung der Institute. Mit der zweiten Säule werden die Anforderungen an das aufsichtsrechtliche Überprüfungsverfahren in Form von Grundsätzen beschrieben. Ziel der Grundsätze ist es, über die Mindestkapitalnormen hinausgehende Anforderungen zu stellen: einerseits hinsichtlich der Risiken, deren Spektrum mit Bezug auf den Begriff „wesentlich“ gegenüber der Säule 1 nicht...