16 Risikomanagementrahmen

Als Teil des gesamten internen Kontrollrahmens sollten die Wertpapierfirmen über einen ganzheitlichen unternehmensweiten Risikomanagementrahmen verfügen, der sich auf alle Geschäftsbereiche und internen Einheiten, einschließlich der internen Kontrollfunktionen erstreckt, wobei dem wirtschaftlichen Gehalt aller Risikopositionen voll und ganz Rechnung zu tragen ist, einschließlich der Risiken, die die Wertpapierfirma für sich selbst, ihre Kunden und die Märkte darstellt, sowie Liquiditätsrisiken, insbesondere derjenigen, die mit wesentlichen Auswirkungen auf die Höhe der verfügbaren Eigenmittel einhergehen können, oder solchen, durch die die verfügbaren Eigenmittel aufgebraucht werden könnten. Der Risikomanagementrahmen sollte die Wertpapierfirma in die Lage versetzen, fundierte Entscheidungen über das Eingehen von Risiken in Kenntnis der Sachlage zu treffen. Der Risikomanagementrahmen sollte alle Risiken sowie aktuelle und künftige Risiken, denen die Wertpapierfirma möglicherweise ausgesetzt ist, einschließen. Die Risiken sollten nach dem Bottom-up-Ansatz und dem Top-down-Ansatz, innerhalb der Geschäftsbereiche und geschäftsbereichsübergreifend beurteilt werden, wobei in der gesamten Wertpapierfirma sowie auf konsolidierter Ebene eine kohärente Terminologie und kompatible Methoden zugrunde gelegt werden sollten. Alle relevanten Risiken sollten im Risikomanagementrahmen berücksichtigt werden, wobei sowohl finanziellen als auch nichtfinanziellen Risiken ordnungsgemäß Rechnung getragen wird, einschließlich Marktrisiken, Liquiditätsrisiken, Konzentrationsrisiken, operationeller Risiken, IT-Risiken, Reputationsrisiken, rechtlicher Risiken, Wohlverhaltensrisiken, Compliance-Risiken hinsichtlich Geldwäsche/Terrorismusfinanzierung und Finanzkriminalität, ESG-Risiken und strategischer Risiken.

Der Risikomanagementrahmen einer Wertpapierfirma sollte Richtlinien, Verfahren, Risikolimite und Risikokontrollen enthalten, um so eine angemessene, zeitnahe und laufende Ermittlung, Messung oder Bewertung, Überwachung, Steuerung, Minderung und Berichterstattung über die Risiken auf Ebene der Geschäftsbereiche, der Wertpapierfirma sowie auf konsolidierter Ebene sicherzustellen.

Der Risikomanagementrahmen einer Wertpapierfirma sollte konkrete Orientierungshilfen für die Umsetzung der Strategien der Wertpapierfirma vorsehen. Mit diesen Orientierungshilfen sollten, soweit erforderlich, interne Grenzen festgelegt und aufrechterhalten werden, die mit dem Risikoappetit der Wertpapierfirma konsistent sind und mit dem ordnungsgemäßen Geschäftsbetrieb, der Ertragskraft, Eigenmittelausstattung und den strategischen Zielen in Einklang stehen. Das Risikoprofil einer Wertpapierfirma sollte sich innerhalb der festgelegten Limite bewegen. Der Risikomanagementrahmen sollte sicherstellen, dass im Fall der Verletzung der Risikolimite ein definierter Eskalationsprozess zur Adressierung dieser Verletzung im Rahmen eines angemessenen Mängelbeseitigungsverfahrens besteht.

Der Risikomanagementrahmen sollte einer unabhängigen internen Überprüfung unterzogen werden, beispielsweise durch die interne Revision, und regelmäßig im Hinblick auf den Risikoappetit der Wertpapierfirma unter Berücksichtigung von Informationen der Risikomanagementfunktion sowie, sofern eingerichtet, des Risikoausschusses überprüft werden. Dabei sollten unter anderem Faktoren wie interne und externe Entwicklungen, einschließlich Ertragsveränderungen, jegliche Steigerung der Komplexität der Geschäftstätigkeit der Wertpapierfirma, das Risikoprofil und die operative Struktur, eine geografische Expansion, Fusionen und Übernahmen sowie die Einführung neuer Produkte oder Geschäftsbereiche berücksichtigt werden.

Bei der Ermittlung und Messung oder Beurteilung von Risiken sollte eine Wertpapierfirma geeignete Methoden und Verfahren entwickeln, die sowohl zukunfts- als auch vergangenheitsorientiert ausgestaltet sind. Die Instrumente sollten die Bewertung des tatsächlichen Risikoprofils im Verhältnis zum Risikoappetit der Wertpapierfirma sowie die Ermittlung und Bewertung potenzieller und angespannter Risikopositionen unter gestressten Bedingungen im Hinblick auf die Risikotragfähigkeit der Wertpapierfirma umfassen. Die Instrumente sollten Informationen über etwaige eventuell notwendige Anpassungen des Risikoprofils liefern. Die Wertpapierfirmen sollten angemessene konservative Annahmen bei der Konzeption von Stressszenarien zugrunde legen.

Die Wertpapierfirmen sollten bedenken, dass die Ergebnisse von quantitativen Bewertungsmethoden, einschließlich Stresstests, weitgehend von den Grenzen und Annahmen der verwendeten Modelle abhängen (einschließlich der Schwere und Dauer des Schocks und der zugrunde liegenden Risiken). Weisen beispielsweise Modelle eine sehr hohe ökonomische Kapitalrendite auf, ist dies möglicherweise auf Schwachstellen in den Modellen (z. B. Ausschluss bestimmter wesentlicher Risiken) selbst und nicht auf eine überlegene Strategie oder eine gelungene Umsetzung einer Strategie durch die Wertpapierfirma zurückzuführen. Die Bestimmung, in welcher Höhe Risiken eingegangen werden, sollte daher nicht nur auf quantitativen Informationen oder Ergebnissen von Modellen beruhen, sondern auch qualitative Aspekte einbeziehen (einschließlich Expertenschätzungen und kritischer Analysen). Zudem sollten relevante Veränderungen des wirtschaftlichen Umfelds betrachtet werden, um deren potenzielle Auswirkungen auf die Risikopositionen und Portfolios zu ermitteln.

Die Letztverantwortung für die Risikobeurteilung liegt einzig und allein bei der Wertpapierfirma, die ihre Risiken dementsprechend kritisch beurteilen und sich nicht ausschließlich auf externe Beurteilungen verlassen sollte.

Die Wertpapierfirmen sollten sich der Grenzen von Modellen und Metriken voll und ganz bewusst sein und nicht nur quantitative, sondern auch qualitative Risikobewertungsinstrumente verwenden (einschließlich Expertenschätzungen und kritischer Analysen).

Neben den eigenen Bewertungen der Wertpapierfirmen können die Wertpapierfirmen auch externe Risikobeurteilungen heranziehen (einschließlich externer Bonitätseinstufungen oder extern erworbener Risikomodelle). Den Wertpapierfirmen sollten der genaue Umfang solcher Bewertungen und ihre Grenzen vollständig bewusst sein.

Es sollten fortlaufende und transparente Prozesse für die Berichterstattung eingerichtet werden, damit dem Leitungsorgan, seinem Risikoausschuss, sofern eingerichtet, und allen relevanten Einheiten einer Wertpapierfirma zeitnahe, genaue, präzise, verständliche und aussagekräftige Berichte vorgelegt werden, die wesentliche Informationen über die Ermittlung, Messung oder Beurteilung sowie Überwachung und Steuerung von Risiken erhalten. Der Rahmen für die Berichterstattung sollte klar definiert und dokumentiert sein.

Eine effektive Kommunikation und Sensibilisierung hinsichtlich der Risiken und der Risikostrategie ist für den gesamten Risikomanagementprozess, einschließlich der Überprüfungs- und Entscheidungsprozesse, von entscheidender Bedeutung und hilft, Entscheidungen zu vermeiden, durch die unwissentlich das Risiko erhöht werden könnte. Eine effektive Risikoberichterstattung setzt eine umfassende interne Würdigung und Kommunikation der Risikostrategie sowie wichtiger Risikodaten (z. B. Risikopositionen und Risikokennzahlen) voraus, sowohl horizontal in den gesamten Wertpapierfirmen als auch nach oben und unten entlang der gesamten Kette der Unternehmensführung.