5. Mai 2025 | Alexander Croonen, Dr. Mahir Alman, Christian Bergner
Die finalen Richtlinien der EZB ergänzen die Grundsätze des BCBS 239 Standards zur Verbesserung der Rahmenbedingungen für die Aggregation von Risikodaten sowie für die Risikoberichterstattung von Finanzinstitute.
Im Jahr 2013 führte der Basler Ausschuss für Bankenaufsicht (BCBS) die BCBS 239 Grundsätze für die Aggregation von Risikodarten sowie die Risikoberichterstattung ein, die ab 2016 eingehalten werden sollten. Diese 14 Prinzipien zielten darauf ab, die Qualität des Risikomanagements zu verbessern und eine fundierte Entscheidungsfindung von Finanzinstituten zu erleichtern. Doch spätestens der aufsichtliche Überprüfungs- und Bewertungsprozess (SREP) aus dem Jahr 2023 zeigte, dass die Bereiche der Risikodatenaggregation und -berichterstattung (RDARR) in den Finanzinstituten noch erhebliche Verbesserungen benötigen. Daher stehen die Finanzinstitute weiterhin vor der Herausforderung, die Umsetzung von BCBS 239 vollständig zu realisieren.
Vor diesem Hintergrund und im Einklang mit den Aufsichtsprioritäten des Einheitlichen Aufsichtsmechanismus (SSM) für den Zeitraum 2025-20271 hat die Europäische Zentralbank (EZB) im Mai 2024 einen weiteren Leitfaden zur effektiven Aggregation von Risikodaten und zur Risikoberichterstattung veröffentlicht. Dieser Leitfaden zielt darauf ab, eine robuste Governance und effektive Prozesse für die Identifizierung, Überwachung und Berichterstattung von Risiken auf der Grundlage der Regularien von BCBS 239 sicherzustellen.2 Dazu gehören alle risikorelevanten Daten, die für das strategische und für das operative Risikomanagement sowie zur Gewährleistung einer effektiven und effizienten Steuerung und Überwachung wesentlich sind.3
Die Veröffentlichung der neuen EZB-Richtlinien macht deutlich, dass von den Finanzinstituten erwartet wird, die Aggregation und Berichterstattung von Risikodaten signifikant zu verbessern.4 Dies bedeutet, dass ein koordiniertes Vorgehen entlang der Handlungsfelder unerlässlich ist und sowohl Verbesserungen in der Governance sowie der IT-Architektur, bei den Datenqualitätsrahmenwerken und im Risiko-Reporting erforderlich sind. Zur effizienten Einhaltung der Vorschriften, braucht es gezielte Maßnahmen, die regulatorische Anforderungen und Best Practices nahtlos in die bestehende Infrastruktur von Finanzinstituten integrieren. Gleichzeitig sollten der allgemeine Risikomanagement- und Datenmanagement-Rahmen gestärkt und Schwächen in der Datenqualität durch geeignete Kontrollen minimiert werden.
Auswirkungen der endgültigen Richtlinien der EZB zur Umsetzung von BCBS 239
Mit dem Final Guide 2024 on Effective Risk Data Aggregation and Risk Reporting5 verschärft die EZB die Anforderungen an die Unternehmensführung, die Risikodatenaggregation sowie die Risikoberichterstattung und definiert Mindeststandards für Best Practice-Ansätze, die sich wie folgt zusammenfassen lassen:
- Das Lenkungsorgan insbesondere für das Datenmanagement sollte Verantwortung übernehmen und in die Geschäftsführung eingebunden sein. Mitglieder des Gremiums sind für die Überwachung und Implementierung des Datenmanagement-Frameworks zuständig, priorisieren RDARR-Aufgaben und tragen Verantwortung für die Datenqualität.
- Das Rahmenwerk sollte in alle Geschäftsbereiche, Risikokategorien und Modelle integriert werden, um den gesamten Lebenszyklus der Daten abzudecken. Es sollte unternehmensweit zentral verankert sein und klare Rollen und Verantwortlichkeiten festlegen.
- Eine detaillierte Dokumentation der Datenquellen, Lieferstrecken, Taxonomien und Verantwortlichkeiten ist wichtig, um die Konsistenz der Datenqualität sicherzustellen.
Zentrale Herausforderungen der endgültigen RDARR-Richtlinien für Finanzinstitute
Die folgende Tabelle zeigt die wichtigsten Bereiche der finalen EZB RDARR-Richtlinien für Finanzinstitute und bietet mögliche Lösungsansätze:
Zukünftige Prioritäten der Aufsichtsbehörden
Die Aufsicht hat bereits gestartet spezielle On-Site Inspections (OSIs) hinsichtlich der Umsetzung und Einhaltung der BCBS 239 durchzuführen, um die aufsichtsrechtlichen Erwartungen an RDARR nicht nur im Rahmen des SREP, sondern auch durch OSIs oder interne Modellvalidierungen (IMIs) zu prüfen. Daneben wurden in der Vergangenheit auch aufsichtliche Prüfungen in Form von Benchmarks wie Datenherkunftsbewertungen und Stresstests (fire drills) vollzogen. Diese Form der Prüfungen werden auch in der Zukunft zu erwarten sein, wobei damit zu rechnen ist, dass entsprechend den Aufsichtsprioritäten die Ergebnisse der Finanzinstitute ein höheres Gewicht zur Festsetzung aufsichtsrechtlicher Maßnahmen haben werden, insbesondere im Rahmen von SREP.
Die Nichteinhaltung der RDARR-Anforderungen wird im Rahmen der Prioritäten der Aufsichtsbehörden viel strenger geprüft, v.a. in Bezug auf Risikomanagement-Rahmenwerke wie den Internal Capital Adequacy Assessment Process (ICAAP) und den Internal Liquidity Adequacy Assessment Process (ILAAP) sowie auf Governance-Anforderungen, die Capital Requirements Regulation (CRR), den Digital Operational Resilience Act (DORA), die Digitalisierungsbemühungen und den potenziellen Einsatz von KI-Lösungen.6
Basierend auf den Prüfungen der Aufsichtsbehörden kann die Aufsicht Sanktionsmechanismen bis hin zusätzliche Eigenkapitalanforderungen fordern. Daher sind bestehende wie auch zukünftige Projekte unter den RDARR-Anforderungen zu bewerten, um die Abhängigkeiten festzustellen, die Einhaltung der regulatorischen Erwartungen sicherzustellen sowie insgesamt die Beiträge der Projekte für das Risikodatenmanagement und die Berichtsprozesse zu ermitteln.
Die EZB unterstreicht mit der Veröffentlichung der finalen EZB-Richtlinien für RDARR, dass über frühere Projekte hinaus in vielen Häusern noch erheblicher Handlungsbedarf besteht. Die Aufsicht betont die Notwendigkeit, nicht nur die BCBS 239-Grundsätze und die damit verbundenen Vorschriften in die Grundlagendaten zu integrieren, sondern auch bestehende Strukturen, Prozesse und Arbeitsabläufe an diese Grundsätze anzupassen. Dieser umfassende Ansatz stellt sicher, dass regulatorische Anforderungen auf allen Ebenen des Unternehmens effektiv zur Verbesserung des allgemeinen Risikomanagements und der Governance berücksichtigt werden.
Der Beitrag von Capco
Capco unterstützt Finanzinstitute maßgeblich bei der Anpassung an die RDARR-Richtlinien der EZB gemäß den BCBS 239 Grundsätzen. Dabei verfolgen wir aus fachlicher, prozessualer, methodischer und technischer Sicht eine von Ende-zu-Ende durchdachte Vorgehensweise für die Umsetzung der BCBS 239 Grundsäte unter z. B. Berücksichtigung der Anforderungen an die operationale Resilienz, die aus DORA folgen.
Unser Ansatz umfasst eine gründliche Evaluierung des aktuellen Governance-Frameworks für das Datenmanagement, die Identifizierung von Compliance-Lücken sowie die Verbesserung von Datenqualität und Berichtsmechanismen. Dazu nutzen wir einen etablierten Ansatz zur initialen Analyse basierend auf einem Maturity-Check-Vorgehen, um die kundenindividuellen priorisierten Maßnahmen entsprechend der EZB-Richtlinien abzuleiten. Wir implementieren robuste Datenherkunfts- und Governance-Praktiken, um die Genauigkeit, Aktualität und Effektivität von Risikodaten zu gewährleisten. Darüber hinaus bietet Capco eine strategische Roadmap für den Aufbau starker Governance-Frameworks und die Auswahl geeigneter (AI-)Datenmanagement-Tools, die Finanzinstitute dabei helfen, den regulatorischen Druck zu reduzieren und die Berichterstattung unter Berücksichtigung der Compliance-Anforderungen zu optimieren.
In einem zunehmend komplexen regulatorischen Umfeld ist Capco der vertrauenswürdige Partner, der Finanzinstitute bei der Bewältigung ihrer Herausforderungen unterstützt und den langfristigen Erfolg im Risikodatenmanagement sicherstellt. Wir begleiten unsere Kunden auf ihrem Weg in die digitale Zukunft. Dabei bieten wir Expertise und Erfahrungen in den Bereichen Datenstrategie, Datenmanagement und Data Science entlang der gesamten Datenwertschöpfungskette. Durch unser individuelles Upskilling, permanente Forschung und den Austausch mit Kunden sind unsere Methoden auf dem neuesten Stand und werden kontinuierlich basierend auf Best Practice Erfahrungen erweitert. Kontaktieren Sie uns gerne, um mehr darüber zu erfahren, wie wir Ihnen behilflich sein können.
1 https://www.bankingsupervision.europa.eu/framework/priorities/html/ssm.supervisory_priorities202412~6f69ad032f.de.html (aufgerufen am 20.02.2025)
2 Wichtige Entwicklungen in der EU-Bankenregulierung (der-bank-blog.de)
3 Guide on effective risk data aggregation and risk reporting (europa.eu)
4 Guide on effective risk data aggregation and risk reporting (europa.eu)
5 Guide on effective risk data aggregation and risk reporting (europa.eu)
6 Progress in adopting the Principles for effective risk data aggregation and risk reporting (bis.org)