Bislang wurden in dieser Arbeit das Risikomanagement und das Risikoberichtswesen aus der theoretischen Sichtweise betrachtet. Im Folgenden soll detaillierter auf die Anforderungen des MaRisk-Rundschreibens eingegangen werden. Das Festlegen einer Risikostrategie, die zu der allgemeinen Geschäftsstrategie konsistent ist, eine adäquate Aufbau- und Ablauforganisation, die Einrichtung eines Internen Steuerungs- und Kontrollsystems sowie die Etablierung einer Internen Revision sind die Anforderungen, die die BaFin durch das MaRisk-Rundschreiben an das Risikomanagement stellt.[113] Die ganzheitliche Betrachtung, durch eine enge Verzahnung der einzelnen Komponenten, wird im Rundschreiben besonders betont und ist Voraussetzung um mit den Risiken effektiv umzugehen.[114]
Das MaRisk-Rundschreiben fordert, dass Versicherungsunternehmen eine Risikostrategie entwickeln, die sich von der Geschäftsstrategie ableitet.[115] Der Begriff Strategie hat den Ur-sprung in der Kombination der griechischen Begriffe stratos, was so viel bedeutet, wie das Heer und agein, welcher übersetzt führen meint.[116] In der Betriebswirtschaftslehre, genauer in der Managementlehre, hat der Strategiebegriff durch die Spieltheorie seine Bedeutung erlangt.[117] In einer Unternehmung wird durch die Unternehmensstrategie die zukunftsorientierte Geschäftsstruktur erarbeitet und grundsätzlich festgelegt, welche Märkte mit welchen Produkten oder Dienstleistungen erschlossen und bearbeitet werden sollen.[118] Daraus wird dann die Geschäftsstrategie abgeleitet und konkretisiert. Diese enthält zusätzlich Handlungsempfehlungen für die einzelnen Funktionsbereiche, die dazu dienen sollen, die strategischen Ziele zu erreichen.[119] Die Aufsicht versteht unter einer Geschäftsstrategie die geschäftspolitische Ausrichtung, die Planungen des Unternehmens sowie die Zielsetzungen über einen längerfristigen Zeitraum.[120] Unter eine Risikostrategie versteht die BaFin „die Beschreibung des Umgangs mit den aus der Geschäftsstrategie resultierenden Risiken.“ [121] Welchen Einfluss diese Risiken auf die Wirtschafts-, Finanz- und Ertragslage des Unternehmens haben, sollte ebenfalls in der Risikostrategie aufgeführt sein.[122] Die Gesamtverantwortung der Umsetzung und Dokumentation liegt bei der Geschäftsleitung und kann nicht delegiert werden.[123] Die operative Steuerung des Risikomanagements soll sich an der Risikostrategie orientieren können.[124] Aus diesem Grund muss auf folgende Punkte in der Risikostrategie eingegangen werden:
die Art der Risiken (welche Risiken sollen eingegangen werden)
die Risikotoleranz (wie hoch darf das Risiko sein)
die Risikoherkunft (woher kommt das Risiko)
den Zeithorizont der Risiken (welche Risiken sollen in welcher Zeitperiode mit der Risikodeckung bewältigt werden)
die Risikotragfähigkeit (Beschreibung über das Gesamtrisikoportfolio und das Deckungskapital).[125]
Die weiteren Aufgaben der Geschäftsleitung in Bezug auf die Geschäfts- und Risikostrategie sind zum einen, die mindestens jährliche Überprüfung und eventuelle Anpassungen und zum anderen das Berichten und gemeinsame Erörtern der Strategien mit den Aufsichtsorganen des Unternehmens.[126] Zusätzlich muss das Gesamtrisikoprofil bei der Aufnahme zusätzlicher Geschäftsfelder oder bei Einführung neuer Produkte erneut bewertet werden, was bei substantieller Änderung eine Modifikation der Risikostrategie bedingt. Die mögliche Veränderung des Gesamtrisikoprofils soll nicht nur im Kontext der Markterschließung oder Produkterneuerung betrachtet werden, sondern ferner auch neuartige Risikoarten, wie z.B. Terrorismus, Pandemie oder Asbest in Gebäuden einbeziehen.[127] Zukünftig wird die Risikostrategie von der BaFin geprüft. Hierbei erstreckt sich die Prüfung jedoch ausschließlich auf die Konsistenz mit der Geschäftsstrategie und nicht auf die Geschäftsstrategie an sich.[128] Mit der engen Verknüpfung von Geschäfts- und Risikostrategie verfolgt die BaFin das Ziel, potentielle systematische Risiken frühzeitig und besser zu erkennen, da die Investitionen und Investitionsabsichten in bestimmte risikobehaftete Geschäftsfelder deutlich erkennbar werden. Die Aufsichtsbehörde empfiehlt der Geschäftsleitung, die Risikostrategie einer kritischen Qualitätsanalyse zu unterziehen, um das strategische Risiko zu reduzieren.[129]
Das MaRisk-Rundschreiben fordert eine Festlegung gewisser Rahmenbedingungen, die sicherstellen, dass die mit wesentlichen Risiken behafteten Geschäftsaktivitäten auf einer Grundlage innerbetrieblicher Richtlinien durchgeführt werden.[130] Insbesondere wird auf die Aufbauorganisation, die Ablauforganisation, ein Internes Steuerungs- und Kontrollsystem sowie die Interne Revision hingewiesen.
Die Aufbauorganisation regelt grundsätzlich die Abteilungs- und Stellengliederung innerhalb der Unternehmung.[131] Nach den MaRisk soll die Aufbauorganisation die wichtigsten Strategieziele des Unternehmens unterstützen und ist dementsprechend auszurichten.[132] Gleichzeitig ist eine Funktionstrennung zwischen den Funktionen, die für den Aufbau von Risikopositionen zuständig sind und denen, welche diese Positionen überwachen und kontrollieren, bis zur Ebene der Geschäftsleitung herzustellen. Eine Ausnahme kann bei Unternehmen mit geringer Mitarbeiterzahl gemacht werden. Hierbei müssen jedoch flankierende Maßnahmen, wie z.B. transparente und aussagefähige Dokumentation sowie das Vier-Augen-Prinzip, sichergestellt sein.[133] Für folgende Funktionsträger sind im MaRisk-Rundschreiben einige Vorgaben zu beachten:
Tabelle 1: Aufbauorganisation; mögliche Funktionsträger und deren Aufgaben[134]
Die in der Tabelle verwendeten Begriffe für die Funktionsträger sind nicht zwingend in gleicher Form im Unternehmen wieder zu finden. Entscheidend ist, dass die Ausgestaltung inhaltlich äquivalent ist.[135] Die Risikocontrollingfunktion benötigt zur Wahrnehmung ihres Aufgabenspektrums ein uneingeschränktes und vollständiges Informationsrecht. Weiterhin muss ihr gegenüber bei konkretem Verdacht unverzüglich Bericht erstattet werden, um das mögliche Schadenpotential zu minimieren.[136]
Die Ablauforganisation strukturiert die Arbeitsabläufe und einzelnen Geschäftsprozesse.[137] Nach dem MaRisk-Rundschreiben soll die Ablauforganisation im Einklang mit der Risikostrategie die wesentlichen Funktionen der Aufbauorganisation unterstützen.[138] Hierbei gilt es, alle Geschäftsabläufe, die Risiken enthalten, zu definieren und ihnen klare Verantwortlichkeiten zuzuweisen.[139] Besonderes Augenmerk legt das MaRisk-Rundschreiben auf die Geschäftsprozesse versicherungstechnisches Geschäft, Kapitalanlagemanagement und passives Rückversicherungsmanagement. Neuerungen bzw. Ausformulierungen im Rundschreiben existieren nur für die ersten beiden genannten. So umfasst die Steuerung des versicherungstechnischen Geschäfts die Tarifierung, die Vertriebs- und Zeichnungspolitik, die Risikoprüfung sowie das Schadensmanagement.[140] Bei der Reservierung geht es um die Bewertung der versicherungstechnischen Rückstellungen sowie der Grundlage für die Solvenzzwecke. Hier legt das Rundschreiben dem Risikomanagement eine marktnahe aktuarielle Bewertung nahe.[141] Für das Kapitalanlagemanagement einschließlich des Asset-Liability-Managements sowie für das passive Rückversicherungsmanagement gelten die vorherigen Rundschreiben der Aufsicht, die vom MaRisk-Rundschreiben unberührt bleiben.[142] Sobald es geplant ist, neue Geschäftsbereiche zu eröffnen oder neue Versicherungsprodukte, Kapitalmarkt- und Rückversicherungsprodukte aufzulegen, sind diese innerhalb der Ablauforganisation einzuschätzen und das daraus resultierende Risiko zu dokumentieren. Ferner muss eine offizielle Freigabe durch die Geschäftsleitung für diese Sachverhalte erfolgen.[143] Außerdem sollte die Ablauforganisation einige Anforderungen bzgl. betrieblicher Anreizsysteme und Ressourcen erfüllen. So dürfen insbesondere die Vergütungssysteme nicht manipulierbar sein und es muss sichergestellt sein, dass negative Anreize verhindert werden. Diese umfassen z.B. das Eingehen relativ hoher Risikopositionen oder Interessenskonflikte.[144] Zusätzlich muss der variable Teil einer Vergütung am langfristigen Erfolg des Unternehmens bemessen und bei einer Ausgestaltung der Vergütungssysteme für gesamte Organisationseinheiten der gesamte Erfolg des Unternehmens berücksichtigt werden.[145] Unter Ressourcen werden im MaRisk-Rund-schreiben (VA)...
