Textprobe:
Kapitel 7 Risiko-/Gefährdungsanalyse für das Cash-Monitoring
7.1 Definition des Untersuchungsgegenstandes
Im Rahmen der Beschreibung zur Prozesslandschaft (vgl. Anlage 8) wurde herausgearbeitet, dass das Cash-Monitoring einen Kernprozess bezüglich der Kontroll- und Überwachungsaufgaben einer Verwahrstelle darstellt.
Gemäß der Unternehmensorganisation hat auch die Verwahrstelle im Rahmen des internen Kontrollsystems eine Risiko- und Gefährdungsanalyse auf dem Level "IKS 1. Grades" durchzuführen (vgl. Anlage 9).
In dieser Studie wird speziell der Prozess des Cash-Monitorings betrachtet, da dort zahlreiche interne und externe operationelle Risiken liegen, welche im Rahmen des operativen Risikomanagements systematisch zu analysieren sind.
Deshalb bezieht sich die hier durchgeführte Risiko- und Gefährdungsanalyse unmittelbar auf die risikorelevanten Teilprozesse der gesetzlich und aufsichtsrechtlich geforderten Überwachung von Zahlungsströmen. Die Details sind in der Anlage 10 zusammengefasst.
Diese Analyse verfolgt das Ziel, den Cash-Monitoring-Prozess im Hinblick auf die Erfüllung der Kontrollpflichten durch Ableitung geeigneter Maßnahmen deutlich zu verbessern und weiterzuentwickeln.
Nach Scherer müssen u. a. die Dienstleistungen und Prozessabläufe eines Unternehmens, die sich durch einen hohen Reife- und Pflichterfüllungsgrad auszeichnen, folgende Anforderungen erfüllen: [.]
Scherer und Fruth stellen dazu sogar weiterführend fest, dass der Überwachungsaufwand im Rahmen von Governance-, Risiko- und Compliancemanagement mit zunehmendem Reifegrad sinkt, d. h. beispielsweise, wenn das erforderliche Verhalten seitens der Organisationsmitglieder als Selbstverständlichkeit verstanden wird.
Schließlich sei noch erwähnt, dass sich diese Analyse jedoch nur auf einen kleinen Ausschnitt des Aufgabenspektrums der betrachteten AIF-Verwahrstelle bezieht, weshalb sie später noch in das Risikoprofil des gesamten Unternehmens eingebunden werden muss. Dies ist jedoch nicht mehr Gegenstand dieses Buches.
7.2 Beschreibung der angewandten Methode
Zur Identifikation, Analyse und Beurteilung von Risiken können in der Praxis verschiedene Techniken (Methoden) angewendet werden, die hinsichtlich ihrer Eignung für den zu bewertenden Sachverhalt auszuwählen sind.
Für das Cash-Monitoring wird die Szenario-Analyse auf Basis von Worst-Case-Betrachtungen ausgewählt. Diese Methode ist sowohl zur Risikoerkennung, -analyse und -beurteilung als auch zur IT-Anwendung geeignet.
Das Autorenteam Heese/Funk/Haufe u. a. beschreiben die gewählte, bereits in der ISO 31010 gelistete Analysemethode wie folgt:
"Die Szenario-Analyse ist eine sehr variable Methode ohne feste Strukturvorgaben. Bestimmte Szenarien werden beschrieben und in Bezug auf eine Worst-Case/Best-Case-Entwicklung hin diskutiert. In der bewusst nicht festgelegten Ausführung dieser Technik liegt die Stärke der breiten und flexiblen Anwendbarkeit. Ein Nachteil [.] ist die Möglichkeit, völlig unzutreffende Szenarien zu konstruieren, deren Fortentwicklung an den falschen Stellen Aufwand verursacht, während andere relevante Risikosituationen zu wenig beachtet werden. [.]"
Auf die Notwendigkeit der Durchführung von Kosten-Nutzen-Abwägungen wurde bereits in Kapitel 2.3 hingewiesen.
7.3 Ermittlung der Gefährdungen
Die Identifikation potentieller Gefährdungen ist die Basis der Risiko- und Gefährdungsanalyse und soll die auf den hier betrachteten Prozess (Cash-Monitoring) einwirkenden haftungsrelevanten Risiken aufzeigen.
Weitere spezifische Einflüsse durch Management-, Verbesserungs- und Unterstützungsprozesse (vgl. Anlage 8) werden nicht explizit betrachtet.
Zunächst wird der Prozess des Cash-Monitorings bezüglich seiner verschiedenen Teilprozesse skizziert (vgl. Anlage 10, S. 6).
Der Prozess beginnt mit der Information durch den Kunden, dass ein Konto für gemeinschaftliche Rechnung der Anleger eröffnet werden soll und die Verwahrstelle einwilligt, das zustimmungspflichtige Geschäft zu tätigen (Vertragswesen). Der Prozess endet damit, dass die Kontoauszugsdaten und die Prüfergebnisse der Kontoauszugsanalyse in die Anlagegrenzkontrolle einfließen. Somit sind Überschneidungen zu den Kernprozessen Vertragswesen und Anlagegrenzkontrolle unumgänglich.
Jeder einzelne Prozessschritt birgt bestimmte operationelle Risiken bzw. Gefährdungen für die AIF-Verwahrstelle (siehe Anlage 10, S. 7-8). Insgesamt konnten 29 Risiken identifiziert werden. Die Auflistung der Risiken stellt keine abschließende Aufstellung dar, denn weitere Risiken könnten sich beispielsweise aus der Spezifik neuer Geschäftsvorfälle ergeben. Aus diesem Grunde ist die Gefährdungsanalyse regelmäßig zu überarbeiten.
Nach der Identifikation von unternehmens-, prozess-, kunden- und fondsspezifischen Risiken, werden die damit verbundenen Ursachen und Wirkungen (Folgen) analysiert.
Die Identifikation und klare Abgrenzung der Ursachen, Risiken und Wirkungen ist wichtig für die nun folgende, möglichst realitätsnahe Risikobewertung. Erst danach ist eine Ableitung relevanter Maßnahmen zur Steuerung der Risiken des Cash-Monitoring-Prozesses möglich.
7.4 Bewertung der Gefährdungen
Zur Bewertung der identifizierten Gefährdungen sind zunächst die anzuwendenden Kriterien festzulegen [.].
Die Bewertung der Eintrittswahrscheinlichkeit erfolgt durch relative Häufigkeiten anhand der Stufen 1/sehr gering (0-5 %) bis 5/sehr hoch (76-99 %). Auf die Angabe absoluter Häufigkeiten wird verzichtet.
Bei der Beurteilung der Folgen wird zwischen finanziellen und nicht-finanziellen Auswirkungen unterschieden. Der Hintergrund für diesen zweigeteilten Ansatz ist die Tatsache, dass ein Risiko mit zunächst geringen finanziellen Auswirkungen zu hohen nicht-finanziellen Auswirkungen, wie z. B. Image- und Reputationsschäden führen kann.
Die Bewertung der finanziellen Auswirkungen bzw. des Schadensausmaßes erfolgt auf einer Skala von Stufe 1/unbedeutend (0-50.000 Euro) bis Stufe 5/katastrophal (> 4 Mio. Euro).
Bei wiederholtem Eintritt eines sogar finanziell unwesentlichen Risikos können letztendlich doch sehr hohe, finanziell schwer vorhersagbare Schäden entstehen, die beispielsweise darauf beruhen, dass Kunden aufgrund ihrer Unzufriedenheit mit den erbrachten Dienstleistungen bei Fondsneuauflagen andere Verwahrstellen bevorzugen oder mit ihrem gesamten Fondsbestand sogar die Verwahrstelle wechseln. Deshalb wird als weiteres Bewertungskriterium ein geschätzter Imageverlust herangezogen.
Bei der Beurteilung der finanziellen Auswirkungen handelt es sich um eine quantitative Betrachtung, bei der das vermutliche Schadensausmaß der einzelnen Risiken in Euro angegeben wird.
Bei der Bewertung der nicht-finanziellen Auswirkungen handelt es sich um eine qualitative Betrachtung. Da die Bewertung von Risiken auf Erfahrungs- und Schätzwerten beruht, stellt diese stets eine subjektive Einschätzung dar.
Bei den Risikobewertungen werden Abhängigkeiten von und Auswirkungen auf andere Prozesse und deren Risiken nicht betrachtet.
Die Bewertung der Risiken wurde als Basis für die Ableitung von Maßnahmen wie vorn erläutert vorgenommen [.].
