Nichtfinanzielle Risiken
Definition
Unter nichtfinanziellen Risiken werden Operationelle Risiken sowie Strategische Risiken subsumiert.
Operationelle Risiken entstehen infolge nicht funktionierender oder fehlerhafter Systeme und Prozesse, aus Fehlverhalten von Personen oder aus externen Ereignissen. Dazu zählen auch Rechtsrisiken, Compliance-Risiken, Auslagerungsrisiken, IT-Risiken, Informationssicherheitsrisiken, Personalrisiken, Modellrisiken, Projektrisiken sowie Ereignis- oder Umweltrisiken.
Unter den Strategischen Risiken werden die Risikounterarten Geschäfts-/Strategische Risiken, Reputationsrisiken sowie Pensionsrisiken subsumiert.
Das Geschäfts-/Strategische Risiko beschreibt die Gefahr, dass die geschäftsstrategischen Ziele aufgrund der geschäftspolitischen Positionierung oder nachteiliger Rahmenbedingungen für die Rentenbank nicht erreicht werden und sich dies negativ auf die Vermögens- und Ertragslage auswirkt.
Beim Reputationsrisiko handelt es sich um die Gefahr von Verlusten durch eine Verschlechterung der Wahrnehmung der Rentenbank aus Sicht der relevanten internen und externen Stakeholder mit der Folge von negativen wirtschaftlichen Auswirkungen oder einer Minderung des Vertrauens in die Rentenbank.
Mit Pensionsrisiko wird die Gefahr einer unzureichenden Bemessung von Pensionsrückstellungen bezeichnet.
Risikobewertung und Steuerung
Die nichtfinanziellen Risiken werden aus ökonomischer Sicht mit einem Simulationsmodell (Value at Risk) quantifiziert. Datengrundlage sind die Risikoschätzungen aus den Self-Assessments durch die Prozessverantwortlichen, die Risikoanalysen weiterer Organisationseinheiten sowie die historischen Schadensfälle aus Operationellen Risiken. Das Risikomodell erlaubt die detaillierte Analyse von Einzelrisiken und Risikotreibern sowie die Simulation von Szenarien.
Alle Schadensereignisse und Beinahe-Schäden der Bank werden in einer Schadensfalldatenbank dezentral durch Operational-Risk-Beauftragte erfasst. Das Risikocontrolling analysiert und aggregiert die Schadensfälle und entwickelt das Instrumentarium methodisch weiter.
In den Self-Assessments werden risikoorientiert wesentliche operationelle Risikoszenarien einzelner Geschäftsprozesse analysiert und bewertet. Hierbei werden auch risikoreduzierende Maßnahmen bestimmt.
Das Risikocontrolling aggregiert und analysiert zentral alle nichtfinanziellen Risiken. Es ist für den Einsatz der Instrumente und die methodische Weiterentwicklung der Risikoidentifikation, -bewertung, -steuerung und -kommunikation verantwortlich. Die jeweiligen fachlichen Organisationseinheiten managen die nichtfinanziellen Risiken.
Der Bereich Recht & Gremien steuert und überwacht das Rechtsrisiko. Er informiert den Vorstand sowohl anlassbezogen als auch turnusmäßig in Form halbjährlicher Berichte über laufende oder drohende Rechtsstreitigkeiten. Rechtsrisiken aus Geschäftsabschlüssen reduziert die Bank, indem sie weitgehend standardisierte Verträge einsetzt. Die Abteilung Recht wird hierzu frühzeitig in Entscheidungen einbezogen, wesentliche Vorhaben sind mit dem Bereich Recht & Gremien abzustimmen. Rechtsstreitigkeiten werden unverzüglich in der Schadensfalldatenbank erfasst. Zur frühzeitigen Risikoidentifizierung wird ein hierfür definierter Risikoindikator überwacht.
Die Steuerung der Regulierungsrisiken als Bestandteil der Compliance-Risiken erfolgt durch die Compliance-Funktion und den ART durch die aktive Begleitung regulatorischer Vorhaben sowie sonstiger die Rentenbank tangierender Gesetzesinitiativen und durch die Identifizierung möglicher Konsequenzen für die Bank.
Auf Basis einer Wesentlichkeits- und Risikoanalyse werden Risiken in Bezug auf die Compliance identifiziert und analysiert, ob generelle und institutsspezifische Anforderungen an eine wirksame Organisation eingehalten werden. Dies erfolgt ebenfalls für Risiken aus Geldwäsche, Terrorismusfinanzierung und strafbare Handlungen, die das Vermögen der Bank in Gefahr bringen könnten. Aus den identifizierten Risiken werden organisatorische Maßnahmen abgeleitet, um die Risikoprävention zu optimieren.
Insbesondere die Einhaltung der Sorgfaltspflichten und die Identifizierung der Vertragspartner (Know-your-customer-Prinzip) sind dabei wichtige Elemente der Geldwäscheprävention. Die diesbezüglich notwendigen Verfahren und Prozesse sind eingerichtet, und etwaige Verdachtsfälle werden von der Geldwäsche-Beauftragten unverzüglich an die Zentralstelle für Finanztransaktionsuntersuchungen (FIU) übermittelt. Im Jahr 2024 gab es weder Verdachtsfälle in Bezug auf Geldwäsche oder Terrorismusfinanzierung noch sind sonstige strafbare Handlungen bekannt.
Die mit Auslagerungen und sonstigem Fremdbezug von IT-Dienstleistungen verbundenen Risiken sind unter den Operationellen Risiken erfasst. Die Rentenbank hat die Funktion eines/einer Zentralen Auslagerungsbeauftragten etabliert, der bzw. die vom zentralen Auslagerungsmanagement unterstützt wird. Das Auslagerungsmonitoring wird dezentral durchgeführt. Das zentrale Auslagerungsmanagement umfasst auch die Risikosteuerung und -überwachung des Auslagerungsportfolios. Auf Grundlage einer standardisierten Risikoanalyse wird zwischen wesentlichen und nicht wesentlichen Auslagerungen unterschieden. Bei wesentlichen Auslagerungen gelten besondere Anforderungen, insbesondere an die Verträge, die Steuerung und Überwachung sowie an die Berichterstattung.
Zum Schutz von Daten, Systemen, Netzen und des Standorts hat die Rentenbank ein Informationssicherheitsmanagement-System (ISMS) implementiert. Im Referat Informationssicherheit wird die Einhaltung der im ISMS festgelegten Vorgaben bzw. Anforderungen an die Vertraulichkeit, Verfügbarkeit und Integrität von Informationen überwacht. Mitarbeiterinnen und Mitarbeiter werden regelmäßig zur Informationssicherheit geschult und über unterschiedliche Kanäle zu Risiken sensibilisiert. Informationssicherheitsrisiken sind in das operationelle Risikomanagement integriert und werden transparent dargestellt. Dies beinhaltet auch Risiken, welche sich durch Bedrohungen im Zusammenhang mit Cyber-Risiken ergeben. Durch externe Dienstleistende werden hierzu regelmäßig Penetrationstests durchgeführt.
Das Notfallmanagement der Bank hat für den Not- oder Krisenfall präventive und reaktive Maßnahmen für die zeitkritischen Geschäftsprozesse etabliert. Notfallhandbuch, Geschäftsfortführungspläne und Wiederanlaufpläne regeln den Umgang mit Betriebsstörungen. Die Rentenbank überprüft und überwacht die Wirksamkeit dieser Pläne anhand von Test- bzw. Übungsplänen.
Der Verhaltenskodex und eine professionelle externe Unternehmenskommunikation tragen zur Minderung von Reputationsrisiken bei.
Für die Risikomessung der Pensionsrückstellungen werden auf Basis eines externen Gutachtens die Parameter wie z. B. Zins, Inflation und Lebenserwartung zugrunde gelegt. Die Zinsrisiken werden hierbei im Rahmen der Zinsänderungsrisiken im Bankbuch (IRRBB) berücksichtigt.
Die nichtfinanziellen Risiken werden in der Ökonomischen Risikotragfähigkeit getrennt nach Operationellen und Strategischen Risiken limitiert.
Die im Berichtsjahr identifizierten Schadensfälle, die Erkenntnisse aus den Self-Assessments, die Risikoanalysen der Organisationseinheiten und die Beobachtung der Frühwarnindikatoren zeigen keine bestandsgefährdenden Risiken auf.