Am 27. November 2019 wurden die Richtlinie (EU) 2019/2034 (IFD) sowie die IFR auf europäischer Ebene beschlossen. Die IFD wurde mit dem WpIG in nationales Recht umgesetzt. Seitdem bilden die IFR und das WpIG in Kombination ein neues Aufsichtsregime für Wertpapierinstitute.
Durch das neue Aufsichtsregime ändern sich für Wertpapierinstitute insbesondere die als wesentlich definierten Risiken. Diese gehen aus § 45 Abs. 1 WpIG hervor. Darüber hinaus sind insbesondere die Risikointegration, die -steuerung und das -controlling anzupassen bzw. gänzlich neu zu definieren. Wertpapierinstitute dürften gezwungen sein, die neuen Risikoarten für sich zu definieren und die Risikofeststellung dergestalt zu erweitern, so dass die definierten sowie mögliche weitere Risiken zu analysieren, denen das Wertpapierinstitut ausgesetzt ist oder die das Wertpapierinstitut für andere darstellt.
Im Rahmen des Risikomanagements ist zunächst eine Risikoidentifizierung vorzunehmen. Nachgehend werden daher einige einschlägige Risiken praxisrelevanter Geschäftsmodelle von Wertpapierinstituten dargestellt.
Vielmals erbringen Wertpapierinstitute die Dienstleistung des Anschaffens oder Veräußerns von Finanzinstrumenten im eigenen Namen für fremde Rechnung und somit das sog. Finanzkommissionsgeschäft. Da das Institut hierbei in der Wahl des Dritten zur Erfüllung des Kommissionsgeschäfts frei ist und das Erfüllungsrisiko nicht alleinig trägt, ist im Wesentlichen der Kunde Träger des Geschäftsrisikos.
Im Rahmen der sog. Abschlussvermittlung wird ein Vertrag über die Anschaffung oder Veräußerung von Finanzinstrumenten geschlossen. Hierbei tritt das Institut als Vermittler auf, welcher in fremdem Namen und für fremde Rechnung Finanzinstrumente kauft oder verkauft. Dabei kann dem Institut ein gewisser Entscheidungsspielraum eingeräumt werden. Damit geht allerdings zum einen das Risiko der nicht regulatorischen Compliance einher. Gleichzeitig rückt das Geschäft unter das Risikoprofil der Finanzportfolioverwaltung. Darüber hinaus können dem Kunden durch Fehler in der Vermittlung oder betrügerisches Handeln Verluste entstehen.
Beim Eigenhandel kauft das Wertpapierinstitut zur sachgerechten Erbringung seiner Dienstleistungen oder aus eigenen Ertragsgenerierungsgedanken Finanzinstrumente im eigenen Namen und auf eigene Rechnung. Der Handel für eigene Rechnung unterliegt keinem direkten Risiko für den Kunden. Die Risiken ergeben sich hauptsächlich für das Institut, da das Preis- und das Erfüllungsrisiko vollständig bei selbigem liegen. Sie können sich durch mögliche Fehler bei Personen, Prozessen oder Systemen bei der Ausführung des Eigenhandels ergeben.
Durch den Gesetzgeber wurden gem. § 45 Abs. 1 S. 3 Nr. 1–3 WpIG (bzw. Art. 29 Abs. 1 IFD; Art. 15 Abs. 1 IFR) die „neuen“ Risikoarten als „wesentlich“ bestimmt:
Aus Gesichtspunkten der Säule-1-Anforderungen normiert und definiert der Gesetzgeber in Teil 3 Titel II Kapitel 1–3 IFR und Teil 4 Art. 35–42 IFR die wesentlichen Risikoarten des neuen Aufsichtsregimes. Etwaige Konzentrationsrisiken wurden in ihrem Risikogehalt innerhalb der Säule 1 ebenfalls normiert und sind notwendigerweise als verbindende Risikogrößen im Risikomanagement zu berücksichtigen. Die nachfolgende Übersicht stellt die „wesentlichen“ Risiken für Wertpapierinstitute dar.
Abb. 1: K-Faktoren für die neuen Risikoarten
Unter Berücksichtigung aller wesentlichen internen und externen Einflussfaktoren sind durch das Institut eine schriftlich fixierte Geschäftsstrategie und eine dazu konsistente Risikostrategie zu erstellen. Das übergeordnete Ziel sollte sein, zwei steuerungsrelevante, strategische Rahmenwerke mit Blick auf die zu erbringenden Dienstleistungen zu fixieren. Darüber hinaus soll eine Operationalisierung der fixierten Strategien im Hinblick auf die Gradmessung der Zielerreichung sowie die Maßnahmen zur Umsetzung strategischer Ziele erfolgen.
Innerhalb des Risikomanagements für Wertpapierinstitute spielen die operationellen Risiken eine zentrale Rolle. Hierbei kommt insbesondere denen für den Kunden und denen für den Markt eine besondere Bedeutung zu. „Mittlere“ Institute sollten sich an den Verfahren der CRR zur Quantifizierung und zu den aufsichtsrechtlichen Kapitalanforderungen in Bezug auf operationelle Risiken orientieren. Zudem sollte je nach Institutsgröße das Papier des Basler Ausschusses zur Präzisierung im Umgang mit operationellen Risiken Beachtung finden. § 45 WpIG fordert einen Strategieansatz für alle wesentlichen Risiken und damit verbundenen Risikokonzentrationen. Bei „kleinen“ Wertpapierinstituten müssten somit die Risiken für Kunden sowie die Liquiditätsrisiken im Risikostrategieprozess Berücksichtigung finden. Im Rahmen der Geschäftsstrategie kann ein „kleines“ Institut auf die für es zutreffenden Geschäftsarten Bezug nehmen. Darüber hinaus müssen die Strategien einer regelmäßigen Prüfung durch die Institute unterzogen werden.
Hinsichtlich der zeitlichen Dimension wäre bei „kleinen“ Wertpapierinstituten eine anlassbezogene Aktualisierung, jedoch mindestens alle anderthalb Jahre, empfehlenswert. Da es bei diesen schnell dazu kommen kann, dass sie durch eine Anpassung der Geschäftsaktivitäten oder des Risikoprofils zu einem „mittleren“ Institut werden, ist die anlassbezogene Neubewertung der Strategien unverzüglich umzusetzen. Bei „mittleren“ Instituten hingegen sollte die Überprüfung der Strategien mindestens jährlich stattfinden. Darüber hinaus reicht bei diesen eine zeitnahe Umsetzung der Anforderungen aus.
Zudem sollten die Institute feste Schwellenwerte definieren, ab welchen man sich mit den Herausforderungen der nächsthöheren Größenklasse auseinandersetzt. So sollten „kleine“ Institute ihren Risikoappetit quantitativ auf Institutsebene über alle Risikoarten hinweg definieren. Als Negativausschluss sollte der Risikoappetit bei Geschäftsaktivitäten, welche aufgrund der Größenklassifizierung ausgeschlossen sind, gleich null betragen.
Nach der Definition der Geschäfts- und der Risikostrategie durch das Institut müssen diese in wirksame Verfahren zur Identifizierung, Beurteilung, Steuerung sowie Überwachung und Kommunikation der Risiken gem. § 41 WpIG überführt werden. Die Regelungen der Risikosteuerung orientieren sich an § 45 WpIG, welcher weitestgehend die Anforderungen an das interne Kontrollsystem nach §25a KWG parallelisiert, jedoch keine konkrete wörtliche Entsprechung der Etablierung interner Kontrollsysteme beinhaltet.
„Kleine“ als auch „mittlere“ Wertpapierinstitute müssen Verfahren zur Risikoidentifikation, -beurteilung, -steuerung und -überwachung etablieren. Dabei sollten ihre Kanäle zur Risikoidentifikation diversifiziert sein. Ein Kanal ist die sog. „Risikoinventur“ als Identifikationswerkzeug. Gleichwohl erstreckt sich die Risikoidentifikation auch auf die Etablierung von Hinweisgebersystemen.
„Mittlere“ Institute müssen die Höhe, die Art und die Verteilung des internen Kapitals und der liquiden Aktiva analysieren. Diese sind gemäß Art. 24 Abs. 1 IFD i.V.m. § 39 WpIG den qualitativ und quantitativ abzusichernden Risiken, welchen das Institut ausgesetzt ist oder welche dieses für andere darstellt, gegenüberzustellen und in ihrer Angemessenheit zu beurteilen. „Kleine“ Institute hingegen unterliegen sowohl bei der Betrachtung des internen Kapitals und der Liquidität als auch bei der Quantifizierung der Risiken Erleichterungen bzw. Freistellungsmöglichkeiten.
Konzeptionelle Erwägungen zur Bestimmung der Risikotragfähigkeit können sich an der regulatorischen, wertorientierten sowie der periodischen Sichtweise orientieren. Für „kleine“ Institute ist es empfehlenswert, die regulatorische Sichtweise anzunehmen. So sind durch das Institut die vorhandenen Eigenmittel den Säule-1-Anforderungen gegenüberzustellen und bei den normativ nicht vollständig abgedeckten Risiken ein Risikoaufschlag vorzunehmen. Um einen frühzeitigen Kapitalbedarf für die Risikodeckung zu identifizieren und gleichzeitig bei Geschäftswachstum eine friktionsfreie Überleitung auf ein „mittleres“ Institut sicherzustellen, dürfte es für „kleine“ ratsam sein, einen vereinfachten „Säule-1-Plus-Ansatz“ zu verfolgen.
Bei „mittleren“ Instituten hingegen bietet sich die wertorientierte Sichtweise an. So wäre bei der Risikotragfähigkeit das verbarwertete Vermögen der Betrachtung der verbarwerteten Risiken der einzelnen Risikokategorien gegenüberzustellen. Die Tragfähigkeit wäre dann gegeben, wenn das Vermögen die Risiken übersteigt. Da im Falle schlagender Risiken das Absicherungsziel die Fortführung des Instituts sein sollte, sind für „mittlere“ Wertpapierinstitute die Going-Concern-Sichtweisen empfehlenswert. Durch diesen Absicherungscharakter wird nicht nur den Risiken für die Kunden, sondern auch denen für den Markt und denen für das Wertpapierinstitut Rechnung getragen. „Kleine“ Institute hingegen sollten die Liquidationssichtweise anwenden und somit den Gläubiger- und Kundenschutz als Absicherungsziel anstreben. Diese Betrachtungsweise erlaubt bereits regulatorisch gebundene Eigenkapitalbestandteile als Risikodeckungspotenzial anzusehen.
Abb. 2: Umgang mit den Anforderungen des Risikomanagements bei Wertpapierinstituten
Für Wertpapierinstitute ändert sich nicht nur die gesamthafte Terminologie, sondern auch die als wesentlich definierten Risiken ändern sich. Da das entsprechende Risikopotenzial nicht bewusst aus der Ertragsgenerierung entstammt, sondern sich Risiken als unvermeidbare Nebenwirkungen von Geschäftsprozessen ergeben, sind auch die Risikointegration, -steuerung und das -controlling anzupassen bzw. gänzlich neu zu definieren. Zudem dürften insbesondere die Risikotragfähigkeit sowie die -identifizierung, -beurteilung, -steuerung und -überwachung den größten Anpassungsbedarf aufweisen. Weiterhin wird dies für jene Institute eine Herausforderung darstellen, die nicht auf ihre Instituts- und Risikostruktur angepasste MaRisk proportional zur Anwendung zu bringen.
Falls Sie einen Ansprechpartner zum Thema Aufsicht von Wertpapierinstituten benötigen, kommen Sie gerne jederzeit auf uns zu.
Im Rahmen der Anforderungen an das Risikomanagement begleiten wir Sie konkret bei der Identifizierung potenziellen Handlungsbedarfs sowie bei der Erstellung und Umsetzung eines entsprechenden Maßnahmenplans. Hierzu beraten wir bei der Implementierung und Etablierung von Prozessen zur Risikoidentifizierung, -beurteilung, -steuerung und -überwachung inklusive der Beratung hinsichtlich geeigneter Automatisierungen und gesamtheitlicher IT-Lösungen. Schlussendlich verfügt Deloitte bei der Analyse bestehender und bei der Erstellung neuer Dokumentationen – beispielsweise zur Risiko- und Geschäftsstrategie sowie zum dazugehörigen Unterlagenkatalog – über tiefgreifende Expertise und einschlägige Erfahrung aus der Beratung unterschiedlichster Institute.
Auf dieser Website halten wir Sie auf dem Laufenden über weitere Analysen zur IFR und zum WpIG sowie über die anstehenden Umsetzungsherausforderungen.
Tim Müsse
Senior Consultant | FSI Audit & Assurance
tmuesse@deloitte.de | +49 6975695 6583