Leitfaden zur Risikodatenaggregation und Risk Reporting (RDARR) – Detaillierte Anforderungen der EZB

Erika Leitgeb
2. Juni 2024
16 Min. Lesezeit

Aktualisiert: 10. Juni

Der Leitfaden zur Risikodatenaggregation und zum Risikoreporting (RDARR), der im Mai 2024 veröffentlicht wurde, dient als zentrale Orientierungshilfe für Banken, um eine effektive Datenverarbeitung zur Risikosteuerung sicherzustellen. Hohe Datenqualität ist die Grundlage für fundierte Entscheidungen, die strategische Steuerung der Bank und eine starke Risikogovernance. In diesem Zusammenhang hat die Europäische Zentralbank (EZB) sieben zentrale Handlungsfelder definiert, auf die sich Banken fokussieren müssen, um die Anforderungen an eine solide Risikodatenaggregation und Berichterstattung zu erfüllen.

Anwendungsbereich

Der Leitfaden zur Risikodatenaggregation und zum Risikoreporting (RDARR) muss von allen Banken innerhalb des Zuständigkeitsbereichs der Europäischen Zentralbank (EZB) eingehalten werden, insbesondere von systemrelevanten Instituten und anderen Banken, die der direkten Aufsicht der EZB unterliegen.

Durch den Leitfaden werden keine neuen Anforderungen eingeführt. Er beschreibt Praktiken, die aus Sicht der EZB für effektive Prozesse zur Identifizierung, Verwaltung, Überwachung und Meldung von Risiken notwendig sind und bereits in den bestehenden Rechtsnormen verankert sind. Aus diesem Grund ist der Leitfaden auch für nicht direkt beauftragte Banken von bestimmter Relevanz.

Handlungsfelder

1. Verantwortung des Leitungsorgans

Das Leitungsorgan trägt die volle Verantwortung für die Datenqualität und Daten-Governance. Die Verantwortung umfasst:

Verankerung von RDARR als zentrale Priorität: Die Bankleitung muss RDARR als strategische Priorität festlegen und sicherstellen, dass ausreichende Ressourcen (finanziell, personell und technologisch) zur Verfügung stehen. Dazu gehört die Entwicklung einer klaren Strategie, die RDARR in die Gesamtstrategie der Bank integriert. Diese Strategie sollte regelmäßig überprüft und an geänderte Rahmenbedingungen angepasst werden.
Datenqualitätsstandards: Die Entwicklung detaillierter Anforderungen für Datenqualität in Bezug auf Genauigkeit, Vollständigkeit und Aktualität sowie die Implementierung von Indikatoren zur Überwachung der Datenqualität sind essenziell. Die Bank muss spezifische Qualitätsziele für die verschiedenen Datenarten definieren und sicherstellen, dass diese durch geeignete Kontrollen und Prozesse erreicht werden. Dazu zählt auch die Definition von Eskalationsprozessen, falls die Datenqualität unter festgelegte Schwellenwerte fällt.
Transparenz der Zuständigkeiten: Mindestens ein Mitglied des Leitungsorgans sollte die Verantwortung für die Implementierung des Daten-Governance-Rahmenwerks übernehmen. Diese Person muss sicherstellen, dass alle Prozesse zur Aggregation und Berichterstattung von Risikodaten effektiv funktionieren. Dies beinhaltet die regelmäßige Überprüfung der Effektivität dieser Prozesse sowie die Einleitung von Verbesserungsmaßnahmen, falls notwendig. Eine klare Zuordnung von Verantwortlichkeiten sorgt dafür, dass die Datenqualität auf allen Ebenen der Organisation verankert ist. Die Verantwortlichen sollten regelmäßig geschult werden, um sicherzustellen, dass sie mit den neuesten Anforderungen und Technologien vertraut sind.
Einbindung des Risikomanagements: Das Risikomanagement sollte eng in die Prozesse der Datenaggregation eingebunden sein, um sicherzustellen, dass alle risikorelevanten Informationen konsistent und rechtzeitig bereitgestellt werden. Das Leitungsorgan muss sicherstellen, dass das Risikomanagement sowohl in die Entwicklung als auch in die Überwachung der RDARR-Prozesse aktiv eingebunden wird, um eine ganzheitliche Betrachtung der Risiken zu ermöglichen.
Monitoring und Reporting: Das Leitungsorgan sollte regelmäßig über den Stand der Datenqualität informiert werden. Dazu gehört die Erstellung von Berichten über Datenqualitätsmetriken, identifizierte Schwächen und eingeleitete Verbesserungsmaßnahmen. Diese Berichte sollten in einer Form erstellt werden, die eine fundierte Entscheidungsfindung ermöglicht. Zudem sollte das Leitungsorgan sicherstellen, dass angemessene KPIs (Key Performance Indicators) entwickelt werden, um die Fortschritte im Bereich der Datenqualität messbar zu machen.

2. Angemessener Anwendungsbereich (Scope of Application)

Das Daten-Governance-Rahmenwerk muss alle relevanten rechtlichen Einheiten, Risiken und Geschäftsfelder der Bank abdecken. Der Anwendungsbereich sollte klar definiert und dokumentiert werden, um sicherzustellen, dass die Daten-Governance in allen Bereichen der Organisation umfassend und effektiv implementiert wird. Dazu gehört:

Interne Risikoberichte: Alle Risikoberichte, die zur Entscheidungsfindung und Steuerung verwendet werden, müssen im Anwendungsbereich des Rahmenwerks enthalten sein. Dazu zählen auch Berichte, die auf operativer Ebene genutzt werden, um tägliche Geschäftsentscheidungen zu treffen. Diese Berichte müssen konsistent und aktuell sein, damit die Entscheidungsträger auf allen Ebenen mit den richtigen Informationen arbeiten können.
Finanz- und Aufsichtsberichte: Dazu zählen sowohl die extern veröffentlichten Finanzberichte (z. B. Jahresabschlüsse), die für Investoren und andere Stakeholder von Bedeutung sind, als auch die Berichte, die an die Aufsichtsbehörden übermittelt werden. Diese Berichte müssen nicht nur den gesetzlichen Vorgaben entsprechen, sondern auch sicherstellen, dass die Daten in einem Format bereitgestellt werden, das leicht zu verstehen und zu analysieren ist. Banken sollten sicherstellen, dass ihre Finanz- und Aufsichtsberichte die Anforderungen der jeweiligen Aufsichtsbehörden erfüllen und alle relevanten Risikodaten in die Berichterstattung integriert sind.
Modelle und Risikokennzahlen: Wichtige interne Risikomodelle (z. B. Kreditrisikomodelle nach IRB-Ansatz) und alle Schlüsselrisikoindikatoren müssen erfasst werden. Die Modelle sollten alle Arten von Risiken umfassen, wie Kredit-, Markt- und operationelle Risiken. Die Daten, die als Grundlage für die Berechnung dieser Risikokennzahlen dienen, müssen ebenfalls den Anforderungen des Rahmenwerks entsprechen. Diese Daten müssen häufig aktualisiert und auf Konsistenz geprüft werden, um sicherzustellen, dass die Ergebnisse der Modelle valide sind. Weiterhin sollten alle verwendeten Modelle regelmäßig einer unabhängigen Überprüfung unterzogen werden, um deren Effektivität und Genauigkeit zu gewährleisten.
Erweiterte Berichterstattung und Analyse: Der Anwendungsbereich sollte nicht nur bestehende Berichte und Modelle abdecken, sondern auch die Möglichkeit zur Erstellung neuer Berichte und Analysen beinhalten. Diese Flexibilität ist besonders in Stresssituationen wichtig, wenn schnell neue Risikoberichte erstellt werden müssen. Die Daten-Governance muss sicherstellen, dass auch solche Ad-hoc-Anforderungen schnell erfüllt werden können.
Integration aller rechtlichen Einheiten und Standorte: Besonders für global agierende Banken ist es wichtig, dass das Rahmenwerk für alle Standorte und rechtlichen Einheiten einheitlich gilt. Dabei sollten lokale Besonderheiten berücksichtigt, aber trotzdem eine konsistente Datenverarbeitung über alle Einheiten hinweg gewährleistet werden. Diese Integration ermöglicht eine bessere Überwachung von gruppenweiten Risiken und stellt sicher, dass alle Teile der Organisation dieselben hohen Standards anwenden.
Berücksichtigung aller Risikotypen: Der Anwendungsbereich sollte sicherstellen, dass alle relevanten Risikotypen abgedeckt sind. Dazu gehören nicht nur finanzielle Risiken wie Kredit-, Markt- und Liquiditätsrisiken, sondern auch nicht-finanzielle Risiken wie operationelle Risiken, regulatorische Risiken und Reputationsrisiken. Dies erfordert eine enge Zusammenarbeit zwischen verschiedenen Abteilungen, um sicherzustellen, dass alle Risikotypen erkannt und in die Risikoberichterstattung integriert werden.

3. Effektives Daten-Governance-Rahmenwerk

Um eine effektive Datenqualität sicherzustellen, müssen klare Rollen und Verantwortlichkeiten definiert werden:

Zentrale Daten-Governance-Funktion: Diese Einheit ist dafür verantwortlich, Richtlinien zur Datenqualität aufzustellen, deren Implementierung zu überwachen und Anpassungen bei organisatorischen Änderungen (z. B. Fusionen, Outsourcing) zu koordinieren. Sie muss sicherstellen, dass Richtlinien den aktuellen regulatorischen und geschäftlichen Anforderungen entsprechen, und sie in die betriebliche Praxis der Bank übertragen werden. Zudem ist die zentrale Funktion für die Entwicklung und Einführung neuer Technologien zur Verbesserung der Datenqualität verantwortlich. Dies beinhaltet die Auswahl geeigneter Technologien und deren Integration in die bestehenden Systeme der Bank. Darüber hinaus führt die Daten-Governance-Funktion regelmäßige Überprüfungen durch, um sicherzustellen, dass die Richtlinien den aktuellen regulatorischen Anforderungen entsprechen und Anpassungen an neue regulatorische Anforderungen vorgenommen werden.
Datenverantwortliche: Einzelne Verantwortliche sollten für die Qualität bestimmter Datenbereiche zuständig sein. Dies umfasst die Sicherstellung der Genauigkeit, Vollständigkeit und Aktualität der Daten sowie die Dokumentation der Datenherkunft (Data Lineage). Datenverantwortliche müssen sicherstellen, dass alle Datensätze entlang des gesamten Datenlebenszyklus (Erhebung, Verarbeitung, Speicherung, Löschung) korrekt behandelt werden. Dazu gehört auch, geeignete Kontrollmechanismen zur Überwachung der Datenqualität zu etablieren. Die Verantwortlichen sollten dafür sorgen, dass bei der Aggregation von Daten keine Verzerrungen entstehen und dass eine klare Linie der Verantwortlichkeit existiert, falls es zu Unregelmäßigkeiten oder Fehlern kommt. Zudem müssen sie sicherstellen, dass alle relevanten Stakeholder über wichtige Veränderungen an den Daten informiert werden.
Validierungsfunktion: Eine unabhängige Validierungsfunktion sollte regelmäßig die RDARR-Prozesse überprüfen. Dabei geht es um die Bewertung der Funktionsweise der Prozesse, einschließlich der Überprüfung der IT-Infrastruktur und der Datenverarbeitungsprozesse. Die Validierungsfunktion sollte unabhängig von den operativen Einheiten sein und sicherstellen, dass alle Prozesse den Anforderungen des RDARR entsprechen. Dies umfasst die regelmäßige Prüfung der Effektivität der eingesetzten Kontrollmechanismen, die Überprüfung von Datenflüssen, und die Sicherstellung, dass die Datenquellen zuverlässig und korrekt sind. Zudem sollte die Validierungsfunktion geeignete Tests durchführen, um Schwächen in der Datenverarbeitung und -aggregation zu identifizieren. Der Validierungsprozess sollte auch eine Dokumentation der identifizierten Schwächen und die Einleitung entsprechender Korrekturmaßnahmen beinhalten.
Kommunikation und Zusammenarbeit zwischen Einheiten: Die verschiedenen Funktionen innerhalb der Daten-Governance müssen eng zusammenarbeiten, um sicherzustellen, dass Datenqualitätsstandards über die gesamte Organisation hinweg eingehalten werden. Eine effektive Kommunikation zwischen der zentralen Daten-Governance-Funktion, den Datenverantwortlichen und der Validierungsfunktion ist entscheidend, um Transparenz zu gewährleisten und sicherzustellen, dass alle Beteiligten auf dem neuesten Stand sind. Dazu gehört auch die Einrichtung von Schnittstellen und Regelmeetings, um aktuelle Herausforderungen zu diskutieren und gemeinsam Lösungen zu entwickeln.
Regelwerke und Richtlinien: Alle oben genannten Verantwortlichkeiten sollten in Form von Richtlinien, Verfahrensanweisungen und Regelwerken festgehalten werden. Diese Dokumente sollten regelmäßig aktualisiert und an die aktuellen regulatorischen Anforderungen angepasst werden. Die Dokumentation muss zugänglich sein und alle Mitarbeiter sollten regelmäßig zu den relevanten Prozessen und Anforderungen geschult werden, um sicherzustellen, dass die Einhaltung dieser Richtlinien umfassend umgesetzt wird.

4. Integrierte Datenarchitektur

Die Qualität der Daten kann nur gewährleistet werden, wenn eine integrierte Datenarchitektur geschaffen wird. Diese umfasst:

Einheitliche Definitionen und Taxonomien: Eine zentrale Datenstruktur, die alle relevanten Begriffe, Datenquellen, Klassifikationen und Taxonomien beschreibt, muss vorhanden sein, um Konsistenz in den Berichten zu gewährleisten. Einheitliche Definitionen helfen dabei, Missverständnisse zu vermeiden und sicherzustellen, dass alle beteiligten Abteilungen dieselben Begriffe und Metriken verwenden. Die Taxonomie sollte regelmäßig überprüft und an neue regulatorische und geschäftliche Anforderungen angepasst werden.
Standardisierte Datenmodelle: Es müssen gruppenweite Datenmodelle entwickelt werden, die sicherstellen, dass alle relevanten Datenquellen in einer einheitlichen Form erfasst und verarbeitet werden. Diese Standardisierung ermöglicht es, Daten effizient zu konsolidieren und Unterschiede zwischen verschiedenen Datenquellen zu minimieren. Dies umfasst die Verwendung von einheitlichen Datenbanken, Datenbankmodellen und Datenstrukturen, die über alle Einheiten hinweg konsistent sind.
Integrierte Datenspeicherung und Datenverarbeitung: Eine integrierte Datenarchitektur erfordert, dass alle Datenquellen zentral gespeichert und verarbeitet werden können. Dies bedeutet, dass geeignete Technologien für das Datenmanagement implementiert werden müssen, die eine effiziente Speicherung, Verarbeitung und Analyse großer Datenmengen ermöglichen. Hierbei spielen Cloud-Technologien und zentrale Datenplattformen eine entscheidende Rolle, um sicherzustellen, dass alle Einheiten der Bank Zugang zu denselben qualitativ hochwertigen Daten haben.
Datenintegrations- und ETL-Prozesse: Die Architektur muss sicherstellen, dass robuste Prozesse zur Datenintegration existieren, um Daten aus verschiedenen Quellen zusammenzuführen. Die ETL-Prozesse (Extract, Transform, Load) sollten automatisiert und standardisiert sein, um eine reibungslose Verarbeitung der Daten zu ermöglichen und die Datenqualität sicherzustellen. Diese Prozesse sollten so konzipiert sein, dass sie flexibel auf neue Datenquellen und Änderungen reagieren können, ohne die Datenqualität zu beeinträchtigen.
Nachvollziehbare Datenflüsse (Data Lineage): Alle Datenbewegungen und -umwandlungen müssen vom Ursprung bis zum Endprodukt (Bericht) nachvollziehbar sein. Die Nachvollziehbarkeit von Daten (Data Lineage) umfasst die vollständige Dokumentation aller Schritte, die Daten durchlaufen - von der Erfassung über die Verarbeitung bis zur Nutzung im Berichtswesen. Dies erleichtert es, Fehlerquellen zu identifizieren, die Datenqualität zu sichern und die Einhaltung regulatorischer Anforderungen zu gewährleisten. Automatisierte Werkzeuge zur Überwachung der Datenflüsse sollten eingesetzt werden, um eine lückenlose Transparenz zu erreichen.
Metadaten-Management: Ein effektives Metadaten-Management ist notwendig, um sicherzustellen, dass die Herkunft, der Kontext und die Qualität der Daten zu jeder Zeit nachvollziehbar sind. Dies umfasst sowohl technische Metadaten (wie Datenquellen und Datenflüsse) als auch geschäftliche Metadaten (wie Definitionen und Zweck der Daten). Metadaten helfen, den Datenbestand besser zu verstehen und sicherzustellen, dass Daten korrekt interpretiert und verwendet werden. Die Pflege eines zentralen Metadaten-Repositoriums ist hierfür unerlässlich.
Datenarchitektur-Governance: Die Datenarchitektur sollte durch klare Governance-Mechanismen unterstützt werden, die sicherstellen, dass alle Änderungen an der Datenarchitektur kontrolliert und dokumentiert werden. Dies beinhaltet die Einführung von Change-Management-Prozessen, die sicherstellen, dass alle Anpassungen an Datenmodellen, Definitionen und Prozessen geprüft und genehmigt werden, bevor sie implementiert werden. Regelmäßige Audits und Reviews sollten durchgeführt werden, um sicherzustellen, dass die Datenarchitektur den aktuellen Anforderungen entspricht und die Datenqualität gewährleistet bleibt.
Integration von Datenschutz und Datensicherheit: In die Datenarchitektur muss der Schutz von personenbezogenen Daten und die Sicherstellung der Datensicherheit integriert werden. Dies bedeutet, dass alle Datenstrukturen und -prozesse so gestaltet werden, dass sie den geltenden Datenschutzgesetzen entsprechen (z. B. DSGVO). Es sollten Mechanismen zur Verschlüsselung, Anonymisierung und Zugriffssteuerung integriert werden, um sensible Daten zu schützen und sicherzustellen, dass nur berechtigte Personen Zugriff auf bestimmte Datensätze haben.

Eine umfassende integrierte Datenarchitektur ermöglicht es Banken, die Qualität und Konsistenz der Daten sicherzustellen, die Transparenz zu erhöhen und eine solide Grundlage für die Risikodatenaggregation und das Reporting zu schaffen. Die Umsetzung einer solchen Architektur erfordert eine enge Zusammenarbeit zwischen der IT-Abteilung, den Datenverantwortlichen und den Fachbereichen, um sicherzustellen, dass die technischen Lösungen den geschäftlichen Anforderungen entsprechen.

5. Gruppenweite Datenqualitätsmanagement-Standards

Banken müssen gruppenweite Richtlinien zur Sicherstellung der Datenqualität entwickeln:

Automatisierte Datenqualitätskontrollen: Um die Datenqualität über alle Systeme hinweg zu gewährleisten, sollten automatisierte Kontrollen implementiert werden, die die Genauigkeit, Vollständigkeit und Aktualität der Daten prüfen. Diese Kontrollen sollten in alle wichtigen Prozesse integriert werden, um eine kontinuierliche Überwachung der Datenqualität zu gewährleisten. Zu den automatisierten Kontrollen gehören Plausibilitätsprüfungen, die Identifizierung von Anomalien sowie die Validierung von Daten gegen definierte Standards. Die Ergebnisse dieser Kontrollen sollten zentral erfasst und regelmäßig ausgewertet werden, um systematische Fehlerquellen zu identifizieren und entsprechende Maßnahmen zu ergreifen. Es sollten auch Mechanismen zur Automatisierung der Fehlerbehebung implementiert werden, wo immer dies möglich ist, um eine schnelle Korrektur sicherzustellen.
Verantwortlichkeiten und Prozesse zur Behebung von Datenqualitätsproblemen: Alle identifizierten Datenqualitätsprobleme sollten dokumentiert und mit einer klaren Eskalationsstrategie und Fristen zur Behebung versehen sein. Die Verantwortlichkeiten für die Lösung von Datenqualitätsproblemen sollten klar definiert sein, einschließlich der Benennung von „Data Owners“ (Datenverwantwortliche) in verschiedenen Geschäftsbereichen, die für die Qualität spezifischer Datenbereiche verantwortlich sind. Diese Data Owners sind dafür zuständig, Probleme zeitnah zu beheben und sicherzustellen, dass die Daten den Qualitätsstandards entsprechen. Zudem sollte ein Eskalationsprozess vorhanden sein, der die Einbeziehung höherer Managementebenen vorsieht, wenn kritische Datenqualitätsprobleme nicht innerhalb der gesetzten Fristen gelöst werden können. Ein effektives Datenqualitätsmanagement umfasst auch das regelmäßige Reporting über Datenqualitätsprobleme, deren Ursachenanalyse, Maßnahmen zur Behebung und den Status der Umsetzung. Dies sollte durch ein spezielles Gremium überwacht werden, das sicherstellt, dass alle identifizierten Probleme adressiert und nachhaltig gelöst werden.
Datenqualitätsmetriken und KPIs: Es sollten gruppenweite Metriken und KPIs (Key Performance Indicators) für die Datenqualität entwickelt und eingesetzt werden, um die Datenqualität systematisch zu messen und zu überwachen. Diese Metriken sollten verschiedene Dimensionen der Datenqualität umfassen, wie Genauigkeit, Vollständigkeit, Konsistenz, Aktualität und Einzigartigkeit der Daten. Diese KPIs sollten in regelmäßigen Abständen überprüft und den relevanten Stakeholdern gemeldet werden, um sicherzustellen, dass die Datenqualität auf allen Ebenen der Organisation verbessert wird. Diese Berichte sollten nicht nur quantitative Daten enthalten, sondern auch qualitative Analysen der zugrunde liegenden Ursachen für Datenqualitätsprobleme.
Datenqualitätsbewusstsein und Schulungen: Um die Bedeutung der Datenqualität in der gesamten Organisation zu fördern, sollten Schulungsprogramme und Sensibilisierungsinitiativen entwickelt werden. Diese Programme sollten auf die verschiedenen Rollen innerhalb der Bank abgestimmt sein, sodass jeder Mitarbeiter versteht, welchen Beitrag er zur Datenqualität leisten kann. Regelmäßige Schulungen sollten sicherstellen, dass alle Mitarbeiter über die neuesten Entwicklungen und Anforderungen im Bereich der Datenqualität informiert sind. Zudem sollte ein Bewusstsein dafür geschaffen werden, welche Auswirkungen schlechte Datenqualität auf die Entscheidungsfindung und das Risiko der Bank haben kann.
Proaktive Fehlervermeidung: Neben der Reaktion auf bestehende Datenqualitätsprobleme sollten Banken proaktive Strategien zur Fehlervermeidung entwickeln. Dies beinhaltet die Einführung von Best Practices bei der Dateneingabe und -pflege, um Fehler bereits bei der Datenerfassung zu minimieren. Es sollten auch Prozesse etabliert werden, die sicherstellen, dass bei der Entwicklung neuer Systeme und Prozesse die Anforderungen an die Datenqualität von Anfang an berücksichtigt werden (z. B. durch Data Quality by Design).
Regelmäßige Audits und Überprüfungen: Die Datenqualitätsmanagement-Standards sollten regelmäßig durch interne oder externe Audits überprüft werden, um sicherzustellen, dass die Prozesse wirksam sind und den aktuellen regulatorischen Anforderungen entsprechen. Diese Audits sollten die Effektivität der implementierten Kontrollen, die Einhaltung der festgelegten Prozesse sowie die Wirksamkeit der Maßnahmen zur Fehlerbehebung überprüfen. Die Ergebnisse der Audits sollten genutzt werden, um kontinuierliche Verbesserungen im Datenqualitätsmanagement zu fördern.
Technologische Unterstützung durch Data Quality Tools: Die Nutzung moderner Technologien ist entscheidend für ein effektives Datenqualitätsmanagement. Banken sollten spezialisierte Data Quality Tools implementieren, die dabei helfen, die Qualität der Daten zu überwachen, Probleme automatisch zu erkennen und entsprechende Maßnahmen zu initiieren. Diese Tools können zudem Dashboards bereitstellen, die den Verantwortlichen einen Überblick über den aktuellen Status der Datenqualität geben und dabei helfen, Trends zu erkennen und frühzeitig zu reagieren.

Ein umfassendes gruppenweites Datenqualitätsmanagement ist notwendig, um sicherzustellen, dass alle operativen und strategischen Entscheidungen der Bank auf einer soliden Datengrundlage basieren. Die Implementierung automatisierter Datenqualitätskontrollen, klar definierter Verantwortlichkeiten, proaktiver Fehlervermeidung und moderner Technologien bildet die Basis für eine nachhaltige Sicherstellung der Datenqualität.

6. Zeitgerechte interne Risikoberichterstattung

Die zeitgerechte Berichterstattung von Risikodaten ist für die Steuerung der Bank von zentraler Bedeutung:

Berichtserstellungszeit: Die Erstellungszeit von Risikoberichten sollte unter normalen Bedingungen maximal 20 Arbeitstage betragen. Je schneller Berichte erstellt werden, desto schneller kann die Bank auf Änderungen der Risikosituation reagieren. Ein effektiver und zeitnaher Berichtserstellungsprozess ermöglicht es der Bank, frühzeitig potenzielle Risiken zu identifizieren und präventive Maßnahmen einzuleiten. Die Berichtserstellungszeit sollte zudem regelmäßig überprüft werden, um sicherzustellen, dass sie mit den regulatorischen Anforderungen und den Erwartungen des Managements übereinstimmt. Technologien zur Automatisierung und Datenintegration können eine wesentliche Rolle dabei spielen, die Berichterstellungszeit zu verkürzen und die Effizienz zu steigern.
Reaktionsfähigkeit in Krisensituationen: In Stress- oder Krisensituationen (z. B. Pandemie, Finanzkrisen oder geopolitische Spannungen) müssen die RDARR-Fähigkeiten der Bank flexibel genug sein, um zeitnah detaillierte Datenanforderungen erfüllen zu können. Dies betrifft insbesondere die Aggregation und Berichterstattung von Kreditrisiken auf Kundenebene, Marktrisiken, Liquiditätsrisiken sowie operationellen Risiken. In solchen Situationen sollten spezielle Krisenprotokolle zum Einsatz kommen, die klar definierte Verantwortlichkeiten und Abläufe enthalten, um die schnelle Bereitstellung der notwendigen Daten sicherzustellen. Eine klare Kommunikation zwischen den relevanten Abteilungen, wie dem Risikomanagement, der IT und der Geschäftsführung, ist dabei essenziell, um sicherzustellen, dass alle Anforderungen in der erforderlichen Geschwindigkeit erfüllt werden. Weiterhin sollten regelmäßig Stresstests und Krisensimulationen durchgeführt werden, um die Belastbarkeit und Flexibilität der RDARR-Prozesse zu testen und mögliche Engpässe in der Berichterstattung zu identifizieren und zu beseitigen.
Skalierbare IT-Infrastruktur: Um die Reaktionsfähigkeit in Krisenzeiten zu gewährleisten, muss die IT-Infrastruktur der Bank so gestaltet sein, dass sie bei erhöhtem Datenaufkommen skalieren kann. Dies bedeutet, dass die verwendeten Systeme sowohl hinsichtlich der Datenverarbeitungskapazitäten als auch hinsichtlich der Zugänglichkeit flexibel erweitert werden können. Eine cloudbasierte Infrastruktur oder hybride Lösungen könnten hierbei helfen, die nötige Flexibilität bereitzustellen. Weiterhin sollten die IT-Systeme über entsprechende Backup- und Wiederherstellungsmechanismen verfügen, um auch in Krisenfällen die kontinuierliche Verfügbarkeit von Daten sicherzustellen.
Notfallteams und spezielle Berichtsstrukturen: Banken sollten Notfallteams aufstellen, die in Krisensituationen die Kontrolle und Steuerung der Risikoberichterstattung übernehmen können. Diese Teams sollten speziell geschult sein, um in Stresssituationen schnell zu reagieren und Entscheidungen zu treffen. Eine klare Eskalationsstruktur sowie spezifische Berichtsformate für Krisensituationen müssen definiert werden, um eine schnelle Bereitstellung entscheidungsrelevanter Informationen zu gewährleisten. Zusätzlich sollten alternative Kommunikationskanäle eingerichtet werden, um sicherzustellen, dass der Informationsfluss nicht durch technische oder organisatorische Einschränkungen behindert wird.
Datenqualität und Konsistenz in Krisenzeiten: Gerade in Krisensituationen ist die Datenqualität entscheidend. Banken müssen sicherstellen, dass die Daten, die für die Berichterstattung in Stressphasen verwendet werden, genauso hohe Qualitätsstandards erfüllen wie im Normalbetrieb. Dazu gehören regelmäßige Überprüfungen und die Implementierung zusätzlicher Kontrollen, um sicherzustellen, dass Daten in Krisensituationen nicht unvollständig, inkonsistent oder veraltet sind. Dies erfordert eine verstärkte Zusammenarbeit zwischen dem Risikomanagement und der IT-Abteilung, um sicherzustellen, dass alle Datenquellen synchronisiert sind und aktuelle Informationen liefern.
Risikodaten-Aggregation auf verschiedenen Ebenen: In Krisenzeiten ist es notwendig, dass Risikodaten auf unterschiedlichen Ebenen aggregiert und bereitgestellt werden können, um sowohl eine Gesamtübersicht auf Unternehmensebene als auch detaillierte Informationen auf Geschäftsbereichs- oder Kundengruppenebene zu bieten. Dies ermöglicht es dem Management, fundierte Entscheidungen zu treffen, die sowohl das große Ganze als auch spezifische Problemfelder adressieren. Eine granulare Aggregation der Daten kann helfen, kritische Risikobereiche schnell zu identifizieren und gezielte Maßnahmen zu ergreifen.

Die zeitgerechte und flexible Berichterstattung in Normal- und Krisenzeiten ist entscheidend für die Risikosteuerung und den Fortbestand der Bank. Um sicherzustellen, dass diese Anforderungen erfüllt werden, müssen sowohl Prozesse als auch Technologien kontinuierlich weiterentwickelt und an neue Herausforderungen angepasst werden.

7. Effektive Implementierungsprogramme

Die Implementierung von RDARR sollte durch konkrete Programme zur Behebung bestehender Schwächen und Lücken erfolgen. Diese Programme müssen systematisch geplant und eng überwacht werden, um sicherzustellen, dass alle Anforderungen umfassend erfüllt werden:

Projektmanagement und Governance: Für die Implementierung sollten klare Projektstrukturen etabliert werden, die Maßnahmen, Ziele, Zeitpläne und Verantwortlichkeiten klar definieren. Ein Mitglied des Leitungsorgans sollte die Verantwortung für die Umsetzung übernehmen und regelmäßig über den Fortschritt berichten. Es sollten zudem geeignete Governance-Strukturen eingerichtet werden, um sicherzustellen, dass alle Projektphasen ordnungsgemäß überwacht werden. Dies beinhaltet die Einrichtung von Lenkungsausschüssen, die regelmäßige Statusberichte prüfen und Entscheidungen über notwendige Anpassungen treffen. Weiterhin sollte eine detaillierte Projekt-Roadmap entwickelt werden, die alle notwendigen Meilensteine und Aufgaben umfasst. Diese Roadmap muss regelmäßig überprüft und aktualisiert werden, um sicherzustellen, dass das Projekt im Zeitplan bleibt und die Ziele erreicht werden. Das Projektmanagement sollte agile Methoden anwenden, um flexibel auf Änderungen reagieren zu können und die Umsetzung der RDARR-Anforderungen effizient zu gestalten.
Ressourcen und Überwachung: Die Programme sollten ausreichend mit materiellen, finanziellen und personellen Ressourcen ausgestattet sein. Dazu gehören die Bereitstellung von Fachkräften mit entsprechenden Kenntnissen in Risikodatenmanagement, IT und regulatorischen Anforderungen. Zusätzlich sollten externe Berater eingebunden werden, falls spezifische Expertise benötigt wird, die intern nicht verfügbar ist. Regelmäßige Berichte über den Fortschritt der Programme sind erforderlich, um Verzögerungen frühzeitig zu erkennen und zu adressieren. Diese Berichte sollten sowohl quantitative als auch qualitative Analysen enthalten, um sicherzustellen, dass alle Aspekte der Implementierung vollständig abgedeckt werden. Weiterhin sollten Kennzahlen zur Messung des Fortschritts (z. B. Anzahl der behobenen Schwächen, Erfüllungsgrad der Anforderungen) entwickelt und genutzt werden, um den Erfolg der Implementierungsprogramme zu überwachen. Eine fortlaufende Bewertung der eingesetzten Ressourcen sollte stattfinden, um sicherzustellen, dass diese effizient eingesetzt werden und gegebenenfalls angepasst werden, falls Engpässe oder Überschüsse identifiziert werden.
Risikomanagement während der Implementierung: Bei der Implementierung von RDARR sollten auch die Risiken des Programms selbst kontinuierlich bewertet und gesteuert werden. Dazu gehört die Identifizierung möglicher Implementierungsrisiken, wie z. B. Verzögerungen, technologische Probleme oder Ressourcenkonflikte. Für jedes identifizierte Risiko sollten klare Maßnahmenpläne entwickelt werden, um das Risiko zu minimieren. Ein dedizierter Risikomanager sollte in das Projektteam integriert werden, der regelmäßig Risikobewertungen durchführt und das Management bei der Entscheidung über Gegenmaßnahmen unterstützt. Darüber hinaus sollten Risikoregister geführt werden, um alle Projektrisiken systematisch zu dokumentieren und deren Entwicklung über die Zeit zu überwachen.
Change Management und Kommunikation: Die erfolgreiche Implementierung von RDARR erfordert ein effektives Change Management. Dies bedeutet, dass alle beteiligten Mitarbeiter über die Ziele, Fortschritte und Änderungen, die durch die Implementierung entstehen, regelmäßig informiert werden. Es sollten spezielle Change-Management-Strategien entwickelt werden, um sicherzustellen, dass alle Mitarbeiter die Veränderungen verstehen und unterstützen. Dazu gehören regelmäßige Schulungen, Workshops und Kommunikationskampagnen, die den Nutzen der neuen Prozesse und Systeme verdeutlichen. Ein klarer Kommunikationsplan sollte entwickelt werden, um sicherzustellen, dass alle relevanten Stakeholder über den Fortschritt der Implementierung informiert sind und ihre Fragen und Bedenken adressiert werden. Zudem sollte Feedback der Mitarbeiter regelmäßig eingeholt und in die Weiterentwicklung der Implementierungsprogramme integriert werden.
Technologische Unterstützung und Systemintegration: Die Implementierung von RDARR erfordert oft technologische Anpassungen und die Integration neuer Systeme. Die Auswahl geeigneter technologischer Lösungen sollte sorgfältig erfolgen, basierend auf einer umfassenden Bewertung der Anforderungen an die Datenaggregation und das Reporting. Dies kann die Einführung neuer Datenmanagement-Software, Anpassungen an bestehende IT-Systeme oder die Entwicklung spezifischer Schnittstellen zur Datenintegration beinhalten. Die Systemintegration sollte schrittweise erfolgen und durch Tests abgesichert werden, um sicherzustellen, dass die neuen Technologien reibungslos funktionieren und die bestehenden Prozesse nicht beeinträchtigen. Eine enge Zusammenarbeit zwischen der IT-Abteilung, dem Risikomanagement und externen Technologieanbietern ist erforderlich, um sicherzustellen, dass die technischen Lösungen den geschäftlichen Anforderungen entsprechen.
Qualitätssicherung und Testphasen: Vor der vollständigen Implementierung sollten umfassende Tests durchgeführt werden, um sicherzustellen, dass alle Systeme und Prozesse den Anforderungen entsprechen und korrekt funktionieren. Diese Tests sollten verschiedene Szenarien abdecken, einschließlich Stress- und Krisensituationen, um sicherzustellen, dass die Implementierung robust genug ist, um auch in außergewöhnlichen Situationen zu bestehen. Eine Qualitätssicherungsphase sollte die Implementierung begleiten, in der die Prozesse, Systeme und Datenflüsse kontinuierlich überwacht und auf ihre Funktionalität geprüft werden. Alle entdeckten Probleme sollten dokumentiert und in einem festgelegten Zeitrahmen behoben werden. Zudem sollten unabhängige Auditoren hinzugezogen werden, um die Qualität und Effektivität der Implementierung zu bewerten und Empfehlungen zur Verbesserung zu geben.
Nachhaltigkeit der Implementierung: Nach erfolgreicher Implementierung sollten Mechanismen eingeführt werden, um die Nachhaltigkeit der erzielten Verbesserungen sicherzustellen. Dies beinhaltet die kontinuierliche Schulung von Mitarbeitern, regelmäßige Überprüfungen der implementierten Prozesse und die Anpassung an neue regulatorische Anforderungen. Ein nachhaltiges Implementierungsprogramm sollte auch den Aufbau einer lernenden Organisation fördern, in der die Erfahrungen aus der Implementierung genutzt werden, um zukünftige Projekte effizienter zu gestalten. Dazu gehört auch das Sammeln und Analysieren von Lessons Learned, um Best Practices zu identifizieren und diese in zukünftigen Projekten anzuwenden.

Ein umfassendes und strukturiertes Implementierungsprogramm ist unerlässlich, um sicherzustellen, dass alle Anforderungen des RDARR vollständig erfüllt werden und bestehende Schwächen nachhaltig behoben werden. Die Kombination aus klaren Projektstrukturen, ausreichenden Ressourcen, effektiven Risikomanagementstrategien und einer kontinuierlichen Qualitätssicherung bildet die Grundlage für eine erfolgreiche Implementierung.

Fazit

Die Anforderungen der EZB an die Risikodatenaggregation und das Reporting sind ambitioniert, aber notwendig, um die Stabilität des Finanzsystems zu gewährleisten. Ein hoher Standard in der Datenqualität ermöglicht es den Banken, fundierte Entscheidungen zu treffen, Risiken besser zu steuern und rechtlichen Anforderungen effizient nachzukommen. Die erfolgreiche Umsetzung dieser Leitlinien wird entscheidend für die Wettbewerbsfähigkeit und Resilienz der Banken sein.

💡Hinweise für Banken:

Selbsteinschätzung durchführen: Institute sollten eine Gap-Analyse gegenüber den sieben Handlungsfeldern vornehmen und identifizierte Schwächen priorisieren.
Verantwortlichkeiten klären: Eine eindeutige Zuweisung von Zuständigkeiten - sowohl im Leitungsorgan als auch auf operativer Ebene - ist entscheidend.
Projektstrukturen aufbauen: Für die Umsetzung sollten dedizierte Umsetzungsprogramme mit klarer Governance und Monitoring aufgesetzt werden.
Technische Plattformen evaluieren: Die eingesetzten Datenbanken, BI-Tools und Integrationsprozesse müssen auf RDARR-Tauglichkeit geprüft werden.
Training & Kommunikation: Schulungen zur Datenqualität und zur Bedeutung der RDARR-Anforderungen sollten bankweit verpflichtend gemacht werden.
EZB-Prioritäten berücksichtigen: RDARR gilt als ein Schwerpunkt der EZB-Aufsicht; Institute sollten mit gezielten Prüfungen rechnen und sich vorbereiten.

Quelle & Eckdaten

👉 Link zum Dokument	EZB-Leitfaden zur Risikodatenaggregation und zum Risikoreporting
Art des Dokuments	Leitfaden
📆 Veröffentlichung	Mai 2024
Herausgeber	Europäische Zentralbank (EZB)
✅ Status	Final