Von Risikotransparenz zu risikoadjustierten Geschäftsentscheidungen

Was wäre, wenn Risiko so kontinuierlich gemessen werden könnte wie Umsatz — und in der Wirtschaftlichkeit jedes Produkts und jeder Dienstleistung abgebildet würde?

Die meisten Rahmenwerke für operationelle Risiken sagen Ihnen, was bereits schiefgegangen ist. Vorfälle werden erfasst, Verluste gebucht, Risikoindikatoren im Turnus überprüft, Szenarien periodisch aktualisiert, und das Gremium erhält ein aggregiertes Bild einige Wochen nach dem Zeitraum, den es beschreibt. All das ist notwendig. Nur sehr wenig davon ist aktuell.

Die Alternative besteht nicht darin, diese Rahmenwerke zu verwerfen, sondern eine zweite Sicht hinzuzufügen: Risiko gemessen nahe dort, wo es tatsächlich entsteht — je Produkt, je Dienstleistung, je Transaktionsvolumen und je operativem Umfeld, das es trägt — und so häufig aktualisiert, dass es Entscheidungen beeinflussen kann, solange diese noch offen sind.

Das ist die Prämisse des Risk Accounting, einer vom Risk Accounting Standards Board entwickelten und veröffentlichten Methodik. VODIS arbeitet auf der Umsetzungsseite: die Methode in ein Betriebsmodell übersetzen, die Daten erschließen, die Managementsicht aufbauen und — als eigenständiger Schritt, der VODIS und nicht dem Standard gehört — untersuchen, was gemessenes Risiko für die Wirtschaftlichkeit eines Produkts bedeutet.

Warum eine rückblickende Sicht nicht genügt

Ein vierteljährlicher Risikobericht beantwortet die Frage „Was ist passiert?" gut. Die Frage „Was baut sich gerade auf, und in welchem Produkt?" beantwortet er schlecht, und „Was würde diese Entscheidung mit unserem Risiko machen?" praktisch gar nicht.

Die praktischen Folgen sind den meisten Risiko- und Finanzfunktionen vertraut:

  • Wachstum wird genehmigt, bevor jemand geprüft hat, ob die Kontrollen mitskalieren.
  • Zwei Produkte werden über die Marge verglichen, ohne vergleichbares Maß für das jeweils getragene Risiko.
  • Kontrollschwächen sind in der ersten Linie längst bekannt, bevor sie in einer Gremienvorlage auftauchen.
  • Maßnahmen werden nach Prüfungsfeststellung oder Durchsetzungskraft priorisiert statt nach Exposure.
  • Auslagerungsentscheidungen fallen nach Kosten, die Risikofolge wird nur qualitativ beschrieben.

Risiko dort messen, wo es entsteht

Der Wechsel führt davon weg, Risiko nach seiner Materialisierung zu messen, und hin dazu, das Exposure einer Aktivität zu messen, während sie ausgeübt wird. Drei Dinge treiben dieses Exposure: was das Produkt oder die Dienstleistung strukturell ist, wie viel davon getan wird, und wie gut das Kontrollumfeld darum herum tatsächlich funktioniert.

So ausgedrückt wird Risiko über ein Portfolio hinweg vergleichbar, statt für jeden Teil gesondert beschrieben zu werden.

Risk Accounting und die Risk Unit

Risk Accounting wird vom Risk Accounting Standards Board (RASB) entwickelt und veröffentlicht, das sich selbst als unabhängiger, akademisch und praxisgetragener Standardsetzer beschreibt, angesiedelt an der Durham University Business School. Die folgenden Definitionen stammen vom RASB.

Die Methode drückt nichtfinanzielles Risiko in einer gemeinsamen Denomination aus, sodass unterschiedliche Exposures addiert und verglichen werden können:

  • Risk Unit (RU) — das Standardmaß des RASB, das nichtfinanzielles Exposure in einer gemeinsamen Messdenomination darstellt.
  • Inherent Risk (inhärentes Risiko) — das Brutto-Exposure, bevor Kontrollen und Mitigation berücksichtigt werden.
  • Exposure Uncertainty Factor (EUF) — bildet die strukturellen Risikomerkmale und die Unsicherheit der definierten Aktivität, des Produkts, der Dienstleistung oder des Prozesses ab, etwa Komplexität, operative Abhängigkeiten und Stabilität des Umfelds.
  • Value-Based Weighting — der beobachtbare Durchsatz beziehungsweise die Transaktionsgröße informiert die relative Gewichtung der Einheit. Das RASB stellt ausdrücklich klar, dass damit keine mechanische, proportionale oder prädiktive Kausalität zu letztlichen Verlusten behauptet wird.
  • Risk Mitigation Index (RMI) — ein empirischer, dynamischer und prüfbarer Index der Kontrollwirksamkeit, ausgedrückt von 0 bis 100 %.
  • Residual Risk (Restrisiko) — das nach Mitigation verbleibende Netto-Exposure, ebenfalls in Risk Units ausgedrückt.

Die veröffentlichte Logik verläuft in dieser Reihenfolge: strukturelles Exposure, verbunden mit Geschäftsaktivität und deren Gewichtung, ergibt inhärentes Risiko in Risk Units; die Anwendung des Kontrollwirksamkeitsindex ergibt das Restrisiko in derselben Einheit.

Zwei Genauigkeitspunkte sind hier wichtig, und VODIS benennt sie, statt sie zu überspielen. Das RASB veröffentlicht die Struktur der Methode, nicht aber ihre detaillierten Skalen und Formulierungen in den öffentlichen Materialien; diese Seite gibt deshalb keine Zahlen wieder, die sie nicht belegen kann. Und das RASB ist eindeutig: Messung, monetäre Bewertung und bilanzielle Erfassung sind verwandte, aber unterschiedliche Fragen — eine Risk Unit ist ein Maß für Exposure, kein Geldbetrag.

Eine fortlaufend aktualisierte Managementsicht

Sobald Exposure in einer einheitlichen Einheit ausgedrückt wird und die Eingangsdaten aus Systemen statt aus einem periodischen Fragebogen stammen, kann die Messung weit häufiger aktualisiert werden, als es ein Berichtszyklus zulässt — in Echtzeit oder nahezu in Echtzeit, sofern die zugrundeliegenden Daten und die Umsetzungsarchitektur dies wirklich tragen. Diese Einschränkung ist bewusst gesetzt: in den meisten Organisationen sind einige Eingaben automatisiert und andere nicht, und die ehrliche Antwort lautet, dass die Aktualisierungsfrequenz den Daten folgt.

Wo es funktioniert, verändern sich die Fragen, die das Management stellen kann:

  • Wo wächst das Exposure schneller als die Kontrollen darum herum?
  • Welche Produkte und Dienstleistungen tragen das meiste Restrisiko, gleich gemessen?
  • Erhöht das Wachstum dieser Linie das Exposure schneller als den Ertrag?
  • Hat sich das Restrisiko seit dem Vormonat verschlechtert, und in welchem Kontrollbereich?
  • Welche Kontrollen sind nachweislich wirksam und welche existieren nur in einer Richtlinie?
  • Welche Maßnahme würde mit dem geringsten Aufwand das meiste Exposure beseitigen?
  • Sollten Volumina oder Limite dieser Aktivität jetzt angepasst werden statt bei der nächsten Überprüfung?

Von Risk Units zur Ökonomie des Risikos

Dieser Abschnitt beschreibt eine Umsetzungshypothese von VODIS. Sie ist nicht Teil des RASB-Standards, und nichts darin ist als Position des RASB zu lesen.

Risk Accounting erzeugt ein Maß für Exposure. Managemententscheidungen werden jedoch meist in Geld getroffen. Die Brücke, die VODIS bauen möchte, ist eine bewusste und klar gekennzeichnete Übersetzungsschicht: konsistent gemessenes inhärentes und Restrisiko zu nehmen und es — mithilfe validierter Annahmen, der eigenen Verlusthistorie der Organisation und vorausschauender Einschätzung — auf geschätzte wirtschaftliche Kosten des Tragens dieses Risikos abzubilden.

Wo diese Übersetzung trägt, kann Risiko unmittelbar in die Produktökonomie eingehen, statt daneben zu stehen:

  • Betriebskosten
  • Refinanzierungs- und Kapitalkosten, soweit einschlägig
  • Vertriebs- und Servicekosten
  • geschätzte wirtschaftliche Risikokosten
  • Zielmarge

Dies ist ein Managementmodell, kein Rechnungslegungsstandard und keine Verlustprognose. Die Schätzung ist nur so gut wie die Annahmen dahinter, und diese Annahmen gehören offengelegt, damit sie hinterfragt, versioniert und gegen die Realität geprüft werden können. VODIS würde ein solches Modell als etwas behandeln, das gemeinsam mit den Risiko- und Finanzfunktionen zu validieren ist, nicht als Blackbox-Umsetzung.

Risikoadjustierte Bepreisung und Profitabilität

Sobald Risikokosten je Produkt geschätzt werden können, werden mehrere üblicherweise qualitativ geführte Entscheidungen vergleichbar:

  • Risikoadjustierte Produktprofitabilität statt Marge vor Risiko.
  • Bepreisung, die das tatsächlich getragene Risiko eines Produkts widerspiegelt.
  • Vergleich über Kunden, Segmente und Kanäle hinweg, soweit die Daten es tragen.
  • Portfolioentscheidungen darüber, welche Produkte wachsen, neu bepreist, umgestaltet oder eingestellt werden.
  • Volumen- und Limitsetzung auf Basis von Exposure statt allein auf Basis von Risikoappetit.
  • Investitionen in Kontrollen gemessen am Exposure, das sie beseitigen würden.
  • Auslagerungs- und Lieferantenentscheidungen mit eingepreister Risikofolge.
  • Prozessredesign dort, wo es das meiste Exposure reduziert.

Das Muster, das dabei häufig sichtbar wird, ist bekannt und wird hier qualitativ beschrieben, weil die realen Zahlen organisationsspezifisch sind. Ein Produkt kann vor Risiko stark profitabel wirken und deutlich weniger, sobald die Kosten seines Restrisikos getragen werden. Dieselbe Logik gilt umgekehrt: eine Investition in Kontrollen, die das Restrisiko senkt, kann den risikoadjustierten Beitrag eines Produkts verbessern und mitunter Spielraum schaffen, wettbewerbsfähiger statt teurer zu bepreisen.

Bestehendes und potenzielles Risiko

Ein Messrahmen ist nützlicher, wenn er vorwärts wie rückwärts gerechnet werden kann. Vier Dinge sind sauber zu trennen:

  • Aktuell beobachtetes Exposure — was das Geschäft heute trägt.
  • Inhärentes Risiko — Brutto-Exposure, bevor Kontrollen berücksichtigt werden.
  • Restrisiko — was nach Mitigation verbleibt.
  • Potenzielles Risiko — was das Exposure bei veränderten Volumina, neuen Produkten, veränderten Kontrollen, anderen Auslagerungen oder in einem definierten Szenario würde.

Die letzte Kategorie verschafft der Methode ihren Platz im Managementgespräch. Sie stützt Fragen wie: Was passiert mit unserer risikoadjustierten Ökonomie, wenn sich die Transaktionsvolumina verdoppeln? Welche Wirkung hat eine nachlassende Kontrollwirksamkeit in diesem Bereich? Ist die Marge dieses Produkts ausreichend für das Risiko, das wir akzeptieren? Würde die Verbesserung dieser Kontrolle weniger kosten, als das Restrisiko weiter zu tragen? Das sind Fragen zur Entscheidungsunterstützung. Es sind keine garantierten Prognosen und sie sollten einem Gremium nicht als solche präsentiert werden.

Ein kontinuierlicher Managementkreislauf

Richtig eingesetzt ist dies keine Berichtsübung, sondern ein Kreislauf, der weiterläuft:

  • Messen — Exposure über Produkte und Dienstleistungen hinweg einheitlich ausdrücken.
  • Quantifizieren — inhärentes und Restrisiko in einer gemeinsamen Einheit erzeugen.
  • Vergleichen — über das Portfolio hinweg ordnen und gegenüberstellen.
  • Übersetzen — die wirtschaftliche Wirkung schätzen, mit offengelegten Annahmen.
  • Entscheiden — auf der Ebene, auf der die Entscheidung tatsächlich liegt.
  • Handeln — mitigieren, neu bepreisen, umgestalten oder begrenzen.
  • Erneut messen — und prüfen, ob die Maßnahme die Zahl bewegt hat.

Der letzte Schritt wird am häufigsten ausgelassen und macht den Rest glaubwürdig: Wenn eine Kontrollinvestition das Restrisiko nicht bewegt, ist das eine wichtige Erkenntnis.

Risk Accounting Standards Board

Die Methodik des Risk Accounting, ihre Terminologie und ihre Standardsetzung werden vom Risk Accounting Standards Board entwickelt und veröffentlicht. Das RASB ist die maßgebliche Quelle für die Methode selbst, und seine Website sowie seine Whitepaper sind die Referenz, mit der VODIS arbeitet — einschließlich der Veröffentlichungen zur Messung operationeller Risiken, bevor sie zu Verlusten werden, und der Vorschläge zur bilanziellen Behandlung von Risk Units.

VODIS ist eine Umsetzungs- und Integrationspraxis. VODIS hat Risk Accounting nicht erfunden, besitzt die Methodik nicht und beansprucht nicht, ein akkreditierter RASB-Implementierungspartner zu sein.

Risk Accounting beim RASB entdecken — rasb.org

Wo VODIS beiträgt

Die Methodik ist der Ausgangspunkt, nicht das Ergebnis. Sie in einer realen Organisation zum Laufen zu bringen, ist ein Umsetzungs- und Integrationsprogramm — und genau diesen Teil übernimmt VODIS:

  • Die Methodik in ein tragfähiges Betriebsmodell und eine Governance-Struktur übersetzen.
  • Das Produkt- und Dienstleistungsinventar aufbauen, auf dem die Messung beruht.
  • Datenerschließung und -integration, einschließlich Anbindung an Transaktionssysteme.
  • Entwurf von Risikotaxonomie und Datenmodell.
  • Prozess- und Kontrollmapping sowie die Nachweise zur Kontrollwirksamkeit.
  • Technologiearchitektur, Automatisierung und der Weg zur Aktualisierungsfrequenz.
  • Dashboards und Managementberichte, die ein Gremium tatsächlich nutzt.
  • Integration mit bestehendem Risiko-, Finanz- und Managementberichtswesen statt daneben.
  • Risikoadjustierte Produktökonomie, gebaut als explizites und hinterfragbares Modell.
  • Eine Pilotumsetzung in abgegrenztem Umfang vor jeder unternehmensweiten Festlegung.
  • Das Veränderungsprogramm und die Governance um das Ganze herum.

Ein sinnvoller Ausgangspunkt

Das nützlichste erste Gespräch ist eng geführt: eine Produktlinie oder ein operativer Bereich, die dafür bereits vorhandenen Daten, und die Entscheidungen, die das Management anders treffen würde, wenn Exposure einheitlich gemessen und häufiger aktualisiert würde.

Von dort lässt sich meist rasch sagen, ob ein abgegrenzter Pilot lohnt, welche Datenarbeit er erfordert und was nötig wäre, um das Ergebnis mit der Ökonomie zu verbinden, die das Unternehmen ohnehin steuert.

Sprechen wir über die Messung operationeller Risiken