Unterschätzte Gefahr: Non-Financial Risks in der Finanzbranche

Klima-Krise, Hacker-Angriffe, geopolitische Spannungen, womöglich sogar Blackouts: Die Zahl und Bedeutung der Non-Financial Risks (NFR) nimmt zu. Darunter verstehen wir Risiken, die z.B. auf den Einsatz von IT-Systemen oder die Bearbeitung von Aufgaben durch Menschen zurückzuführen sind.

Im von Unsicherheiten geprägten Umfeld wächst die Bedeutung eines flexiblen und robusten Risikomanagements, das auch NFR berücksichtigt. Doch wie relevant sind die unterschiedlichen nicht-finanziellen Risiken für die Finanzindustrie wirklich – und wie gut ist die Branche vorbereitet?

Um einen tieferen Einblick in das NFR-Management zu bekommen, haben wir die führenden deutschen Finanzinstitute nach ihrer Einschätzung gefragt. An der Studie haben die Top 10 und 80 Prozent der Top-20-Institute in Deutschland teilgenommen.

Eine Vielzahl von Risiken wurden von den Befragten nach Relevanz beurteilt. Aus den Umfrageergebnissen zeigt sich, dass neben dem Geschäftsrisiko (Business Risk), das 82 Prozent der Teilnehmenden für wesentlich halten, auch das Reputationsrisiko (64 Prozent) wesentlich ist.

Mit Blick auf die vorherigen Studien aus 2017 und 2019 sehen wir zunehmende Bedeutung auch in Cyber- und IT-Risiken, was der größeren Bedeutung von Technologie in der Finanzbranche geschuldet ist.

Aus der Umfrage geht hervor, dass drei von vier Banken, unabhängig von ihrer Größe, bereits eine zuständige Funktion implementiert haben, die die NFR-Integration verantwortet und vorantreibt. Sie soll die Kompetenz für die Überwachung der Risiken bündeln und im besten Fall die Erkenntnisse in eine aktive Risikosteuerung fließen lassen. Das Problem hierbei: Oft mangelt es noch an der notwendigen Verzahnung und Abgrenzung verschiedener Risk Frameworks. So beginnen die Herausforderungen bereits bei der Definition von Risikoarten und dem Versuch, diese voneinander abzugrenzen und überschneidungsfrei zu gestalten.

Mindeststandards beim Reporting können die Verzahnung und Abgrenzung neuer Risikoarten erleichtern und stellen im laufenden Betrieb ein Mindestmaß an Vergleichbarkeit, Konsistenz und Vollständigkeit sicher.

Standards fehlen auch bei der technischen Umsetzung des Risikomanagements. Der Markt für IT-Lösungen ist fragmentiert, für Infrastrukturprojekte werden daher mitunter mehrere Systeme kombiniert. Das heißt wiederum: Datenschutz, IT-Resilienz oder aufsichtsrechtliche Fragen verantworten die Finanzinstitute selbst. Der Einsatz von GRC-Software (Governance Risk & Compliance), die Prozesse zur Risikobewertung und Einhaltung von Vorschriften optimiert, kann hier unterstützen. Und es zeigt sich ein weiterer Trend, mit dem sich die Institute zunehmend beschäftigen werden: Der Einsatz von künstlicher Intelligenz und maschinellem Lernen im NFR-Umfeld. Das Potenzial scheint groß, auch wenn die Technologien heute noch selten zum Einsatz kommen.