Diesem Generalthema widmete sich die diesjährige FMA Aufsichtskonferenz. Die zunehmende Bedrohung der Finanzinstitute durch „operationelle Risiken“ wie IT-, Cyber-, Rechts- oder Reputationsrisiken belege „die Überlegenheit eines integrierten Aufsichtsansatzes“, wie ihn die FMA betreibt, argumentierten die Vorstände der Finanzmarktaufsichtsbehörde, Helmut Ettl und Klaus Kumpfmüller. Darin seien „prudenzielle“ Aufsicht und Verhaltensaufsicht miteinander verknüpft und es können über Branchen-, Sektor- und Produktgrenzen hinweg alle Synergien gehoben werden. Die FMA begrüßt das „Aufsichtsreformpaket“, das die Bundesregierung im Ministerrat beschlossen hat. Diese Maßnahmen „stärken unseren propagierten Grundsatz der Proportionalität in Regulierung und Aufsicht, verbessern die Transparenz, erhöhen Effizienz und Effektivität, beschleunigen die Verfahren und modernisieren das Sanktionsregime“. Im Zusammenhang mit der Europäischen Bankenunion gebe es noch zwei Risiken. Einerseits das eines „regulatorischen Bias“. Kumpfmüller warnt: „Es darf nicht sein, dass eine Bank, nur weil sie klein- oder mittelständisch ist, unter die Räder kommt, weil die Regulierung Großbanken bevorzugt.“ Zweitens seien beim Aufbau der Einheitlichen Europäischen Bankenaufsicht bei einigen Instituten die Altlasten nicht angemessen angegangen worden. Manche Probleme seien bis heute nicht gelöst, und es bestehe die Gefahr, dass – entgegen dem Ziel der Bankenunion – „erst recht wieder die Steuerzahler zur Sanierung herangezogen werden“. Für Kumpfmüller „müssen die Altlasten nun zügig bereinigt werden, damit wir endlich zu einer weiteren Vertiefung der Bankenunion sowie zur gemeinsamen europäischen Einlagensicherung kommen“ können.

Massiv aufrüsten
Auch der Präsident der Deutschen Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin), Felix Hufeld, sieht die operationellen Risiken als „große Herausforderung“. Die Kunden seien sehr daran interessiert, dass „ihre“ Bank und Versicherung solide dasteht. Dem stehen aber „internes Fehlverhalten“, IT- und Cyberrisiken gegenüber. IT-Sicherheit sei überhaupt ein gesamtgesellschaftliches Thema geworden. Daher müsse sich ein Regulierungszweig „mit Verhalten“ auseinander setzen. Denn die Schutzbedürftigkeit der Verbraucher sei heute viel höher eingestuft als vor der Finanzkrise. „Verhaltensaufsicht“ gehöre unter das Dach einer integrierten Aufsichtsbehörde. „Denn Risiken lösen sich ja nicht auf, wenn man sie in zwei Behörden hat.“

Der Generalsekretär der International Organization of Securities Commissions, Paul Andrews, warnt vor den Risiken des zunehmenden Outsourcing des Finanzsektors an „Third party providers“. Immer weniger „Player“ würden zu einer Konzentration führen, die operationelle IT- und Cyberrisiken schaffe. Beispiel:  Es gebe nur zwei große Cloud Provider – was wenn einem etwas passiert? Die „Implikationen“, die mehr Outsourcing auf Cyberkriminelle habe, seien nicht mit Kapitalvorschriften zu bekämpfen, sondern nur mit Infrastruktur und „geprüftem“ Personal. Denn 90 % der Cyberattacken nützen menschliche Fehler. Auch Ariane Chapelle vom University College London und Geschäftsführerin von Chapelle Consulting Ltd. warnt vor steigenden Kosten von Cyberrisiken. „Investieren in Menschen und Infrastrukturen“ sei gefordert. Denn die operationellen – also nonfinancial – Risiken würden bald die Kapitalrisiken überholen. Angesichts „der unfassbaren Energie“, die in Cybercrime hineinfließt, so Andreas Treichl, „müssen wir – die Marktteilnehmer und die Aufsichten – massiv aufrüsten, um mit der Cyberkriminalität mithalten zu können“, prognostiziert der Erste Group Bank CEO und Obmannes der WKO-Sparte Banken & Versicherungen. Aber auch das nicht beeinflussbare „politische Risiko“ von Gesetzes- und Steueränderungen als weitere operationelle Risikoart, das die Risks on Assets hinauf treibe, werde „gewaltig“ steigen. 

Autor: Mag. Manfred Kainz  (redaktion@boersen-kurier.at)