Operational Risk
Herkömmliche Strategien zur Risikomessung mit statistischen Methoden stoßen bei der Betrachtung von operationellen Risiken auf Grenzen.
Operationelle Risiken über eine unternehmensübergreifende Statistik erfassen zu wollen ist trügerisch, da diese Risiken sehr individuell ausgeprägt sind.
Operationelle Risiken über eine historische Betrachtung zu erfassen (loss database) ist wenig sinnvoll:
- Die Statistik ist dünn (keine angemessene Betrachtung „seltener“ Risiken),
- externe Daten sind kaum verwendbar,
- die ständige Veränderung der Betriebslandschaft erfordert aktuelle Adjustierungen,
- eine rückwärtsgewandte Betrachtung führt nicht zur Schaffung von Anreizen zur Risikominderung,
- In der Risikoverteilung finden sich einige operationelle Risiken bei den selten auftretenden Ereignissen, die aber teilweise (extrem) hohe Kosten verursachen können.
Eine Messung der Risiken in absoluten Zahlen (Geldmengen) ist aufgrund der oben genannten Einflussfaktoren mit erheblicher Unsicherheit behaftet. Die Manifestierung von operationellen Risiken fällt grundsätzlich eher in die Kategorie der unerwarteten Verluste, diese Risiken sind damit besonders Eigenkapitalrelevant, da sie im Regelfall nicht in die Produktpreise eingerechnet werden können.
Basis:
- Systemkern mit zentraler Auswertungs- und Reporting Funktion, aber dezentraler Datenbefüllung; Lösung als Webserver mit diversen Input-Schnittstellen (Systemprotokoll, Filetransfer, Eingabeschnittstelle für manuelles Reporting der aktuellen Kennziffer durch den dezentral für diese Kennziffer Verantwortlichen)
Rollen:
- Risikomanager
- Verantwortlicher für Einzelrisiken
- Verantwortlicher für Einzelindikator
Workflow:
- Die Veränderung einzelner Risikoindikatoren wird periodisch erfasst.
- Einzelne Risiken werden anhand der auf sie wirkenden verschiedenen Indikatoren bewertet.
- Aus den einzelnen Risiken wird ein Gesamtrisikoindex für die IT gebildet.
- Der IT-Risikoindex kann in das Management des übergreifenden Operational Risk eingebunden werden.
Integration:
- Der von p³Prometheus gelieferte Risikoindex ist über den Normierungsfaktor flexibel in bereits bestehende Risikomanagement Systeme integrierbar. Dies ist besonders hilfreich bei der Integration von IT Risiken in die Gesamtrisikobetrachtung.