Risk Governance als Ansatzpunkt für (Nicht-)Digitalisierungsrisiken

Die Digitalisierung führt zu einer Veränderung von Geschäftsmodellen und wirkt sich auf zahlreiche Prozesse innerhalb von Unternehmen aus. Neben etwaigen Chancen, die mit der fortschreitenden Digitalisierung einhergehen, birgt diese auch Risiken, die es im Blick zu behalten gilt.

Im Zuge der Digitalisierung steigt die Bedeutung des Geschäftsmodells aus Sicht der Ban-kenaufsicht.

Partner des Bank Blogs

Die Digitalisierung von Geschäftsmodellen spielt gerade auch für Banken eine besondere Rolle. Nicht zuletzt durch die Neuausrichtung des aufsichtlichen Überwachungsprozesses in Form des Supervisory Review and Evaluation Process (SREP) hat die kritische Auseinandersetzung mit dem Geschäftsmodell von Banken erheblich an Bedeutung gewonnen. Die Beurteilung des Geschäftsmodells durch die Aufsicht hat für Institute, denen die Aufsicht ein „anfälliges“ und nicht oder nur wenig zukunftsgerichtetes Geschäftsmodell attestiert, zur Folge, dass sie einen zusätzlichen Kapitalpuffer vorhalten müssen. Diese aufsichtsrechtliche Vorgabe schließt auch das Risiko der Nicht-Digitalisierung des Geschäftsmodells mit ein. Darüber hinaus liegt der Fokus der Aufsicht aktuell vermehrt auf der Unternehmens- und Risikokultur und der Beurteilung der internen Governance von.

Risiken der (Nicht-)Digitalisierung für das Geschäftsmodell und die Stakeholder

Ausgehend von dem Kernthema Geschäftsmodell strahlt die Digitalisierung flächendeckend auf alle Stakeholder (Anspruchsgruppen) der Kreditwirtschaft aus. Zu diskutieren sind insbesondere die Auswirkungen auf die Kunden, für die digitale Leistungen angeboten werden, die Mitarbeiter, die das (digitalisierte) Geschäftsmodell der Bank nachhaltig umsetzen sollen, aber auch die Öffentlichkeit und den Staat.

Aus der Kundenperspektive wird die Digitalisierung des Bankgeschäfts zunehmend als selbstverständlich vorausgesetzt, was den klassischen Filialbesuch lediglich zu einer Option unter vielen werden lässt. Im Jahr 2016 wurden weltweit bereits mehr als die Hälfte aller Interaktionen zwischen Kunde und Bank digital abgewickelt. Entsprechend erwarten die Kunden heutzutage die zeitlich und räumlich unbegrenzte Verfügbarkeit von Bankdienstleistungen. Dabei ergibt sich gerade für regional tätige Kreditinstitute die besondere Herausforderung, den demografisch sehr heterogenen Gesamtmarkt adäquat in homogene Teilmärkte aufzuteilen, um eine zielgruppenadäquate Beratung möglich zu machen.. Auch führt der demografische Wandel dazu, dass die Kundenbedürfnisse stark divergieren. Neben den deutlichen Unterschieden in der Technikaffinität der Kunden entsteht zunehmend auch ein Ungleichgewicht aufgrund der Urbanisierung in Ballungsräumen und dem Bevölkerungsrückgang im ländlichen Raum. Dieses breite Spektrum an Kundenbedürfnissen muss über das Geschäftsmodell abgebildet werden.

Aus der Perspektive der Mitarbeiter stellt die (Nicht-)Digitalisierung ebenfalls eine Herausforderung dar. Denn letztendlich sind es die Mitarbeiter, die das (digitalisierte) Geschäftsmodell umsetzen und es nachhaltig erfolgreich machen müssen. Dies führt auch zu neuen oder geänderten Anforderungen an die Qualifikation. Besonders sichtbar wurde dieser Wandel in der Ankündigung der Commerzbank, neben einem Stellenabbau von knapp 10.000 Beschäftigten im gleichen Zeitraum fast 2.500 Stellen neu aufzubauen, um den Anforderungen an die Digitalisierung Rechnung zu tragen.

Weitere Chancen und Risiken birgt die Digitalisierung in den internen Prozessen in Form der Automatisierung. Eng damit verbunden ist auch die steigende Bedeutung künstlicher Intelligenz und die hieraus erwachsenden Risiken. Exemplarisch sei die Black-Box Problematik beim Machine Learning und insbesondere bei den Deep Learning Systemen genannt. Die dafür benötigten künstlichen neuronalen Netze sind sehr komplex. Da jede Verbindung unter den künstlichen Neuronen einen Teil zur endgültigen Entscheidung beiträgt, können Prognosen nicht zweifelsfrei nachvollzogen und erklärt werden. Es lässt sich daher nicht sicherstellen, dass das System immer funktioniert, insbesondere in Situationen, die durch die Trainingsdaten nicht repräsentiert werden. Auch fällt es bei diesen autonomen Systemen schwer, den Ursprung von Systemfehlern festzustellen und zu beheben. Somit ist die Validierung und Verifizierung solcher Systeme respektive Modelle und deren Überprüfung auf Modellrisiken schwierig. Gleiches gilt für die Klärung der Verantwortlichkeiten aus der Perspektive der Governance.

Ein weiteres Kernthema der Digitalisierung ist der Datenschutz resp. die Datensicherheit. Banken verfügen hier über einen Vertrauens- und Datenvorsprung, müssen aber, um diesen nutzen zu können, die datenschutzrechtlichen Vorgaben gemäß Bundesdatenschutzgesetz resp. der EU-Datenschutz-Grundverordnung einhalten und ihre Kunden entsprechend vorbereiten (Permission Marketing). Neben der Chance kosteneffizienter Beratung spielt gerade die Sicherheit der Daten eine entscheidende Rolle im Digitalisierungsprozess. Wie wichtig der vertrauensvolle Umgang mit sensiblen Daten heutzutage ist, hat jüngst Facebook erfahren müssen. Durch den Datenskandal verlor das Unternehmen  innerhalb von zwei Wochen nach Bekanntwerden rund 60 Milliarden US Dollar an Wert (Berechnung auf Basis der Tagesschlusskurse am 16.03. und 30.03.2018). Die Relevanz des Verbraucherschutzes wird im Zuge der Digitalisierung weiter zunehmen und Unternehmen dazu zwingen, diesen in die Unternehmens- und Risikokultur zu integrieren.

Risk Governance als Lösungskonzept für Risken der (Nicht)-Digitalisierung

Aufbauend auf dieser Diagnose stellt sich nun die Frage, wie Unternehmen und hier speziell Banken, systematisch sicherstellen können, dass keine blinden Flecken auf der Risikolandkarte entstehen. Gesucht wird ein Risikoradar, dass der Unternehmensleitung frühzeitig Signale sendet. Das übliche klassische operative Risikomanagement ist dazu nicht in der Lage. Gerade der Blick auf die Risiken der (Nicht-)Digitalisierung macht deutlich, dass diese aufgrund ihres stark qualitativen Charakters nicht adäquat von den bekannten operativen Risikomanagementsystemen erfasst und abgebildet werden können. Als Lösungsansatz bietet sich das Konzept der Risk Governance an. Die Risk Governance ergänzt die bestehende Corporate Governance und das operative Risikomanagement und zeichnet sich dadurch aus, dass das Unternehmen systematisch mit einer stakeholderorientierten Risikosteuerung durchdrungen wird.

Darstellung des Konzepts der Risk Governance mit seinen unterschiedlichen Ebenen. Ziel ist die systematische Durchdringung des Unternehmens mit einer stakeholderorientierten Risikosteuerung.

Das Konzept der Risk Governance bildet einen theoretischen Rahmen, der sich mit den folgenden vier Aufgaben konkretisieren lässt:

• Die erste Aufgabe ist das Design von Risikomodellen, die kontinuierlich die Umfeldbedingungen scannen und es ermöglichen, dass laufend die Art der Risikowahrnehmung, -priorisierung und -aggregation vor dem Hintergrund der spezifischen Stakeholderbedingungen überprüft wird. Damit liegt der Fokus auf einem proaktiv ausgerichteten Risikomodell, das dem Management die Chance gibt, neben aktuellen Risiken auch potenzielle Risiken besser und frühzeitig zu erkennen.
• Die zweite Aufgabe widmet sich der Bestimmung von Modellrisiken, die weder von der Corporate Governance noch vom klassischen operativen Risikomanagement systematisch beobachtet und erfasst werden. Mit Fokus auf Kreditinstitute definiert die EU-Richtlinie Capital Requirements Directive (CRD IV) Modellrisiken als „den potenziellen Verlust, der als Folge von Entscheidungen entsteht, die sich auf das Ergebnis interner Modelle stützen, wenn diese Modelle Fehler bei der Konzeption, Ausführung oder Nutzung aufweisen“.
• Besonders spannend gerade mit Blick auf Digitalisierung ist die dritte Aufgabe der Risk Governance, die sich explizit der Forschung und Entwicklung in Risikothemen widmet. Gerade die systematische Suche und Integration von inhaltlichen und methodischen Forschungsfortschritten aus Wissenschaft und Wirtschaft ist ein Treiber, um auch potenzielle zukünftige Risiken, in diesem Fall konkret der Digitalisierung, zu identifizieren.
• Die vierte Aufgabe stellt mit der Beratung der Unternehmensleitung sicher, dass die Erkenntnisse auch kommuniziert und weitergegeben werden und nicht auf der Ebene von Fachabteilungen hängen bleiben. Letztendlich befähigt gerade die vierte Aufgabe das Management, die dynamischen Entwicklungen an den Märkten wahrzunehmen und die vorhandenen Ressourcen unter Berücksichtigung der prognostizierten Risiken optimal zu lenken.

Risk Governance wirkt wertschöpfend

Mithilfe der kurz skizzierten vier Aufgaben gelingt es der Risk Governance, die Risikosteuerung eines Unternehmens und damit auch eines Kreditinstitutes systematisch auf das Geschäftsmodell auszurichten, die Unternehmensleitung in ihren Risikoentscheidungen kompetenter zu machen, eine nachhaltige Risikokultur – also Vorsicht, Transparenz und Verantwortlichkeit – zu gestalten und Risikoquellen gerade auch aus dem Bereich des Managementversagens zu vermindern. Damit ist die Risk Governance ein geeignetes Konzept, um mit den Risiken der (Nicht-) Digitalisierung umzugehen. Das eine Risk Governance wertschöpfend wirkt, zeigt auch eine 2016 durchgeführte Benchmarkstudie in regionaltätigen Kreditinstituten.

Julian Quast

Julian Quast ist Koautor des Beitrags und wissenschaftlicher Mitarbeiter des Lehrstuhls für Finanz- und Bankmanagement an der Universität Siegen.