Globale Spannungen als Stresstest für Banken und Prüfer*innen

Geopolitische Konflikte respektieren keine Landesgrenzen: Handelsbeschränkungen, Sanktionen, Cyberangriffe, Engpässe in der Lieferkette – immer häufiger bedrohen weltpolitische Risiken die Stabilität nationaler Banken. Wir zeigen, was das für die Institute, die Prüfungspraxis und die Wirtschaft als Ganzes bedeutet.

So viel Unsicherheit war lange nicht in den internationalen Beziehungen. Einer der zentralen Gründe hierfür ist ein Paradigmenwechsel, der mit dem Niedergang der regelbasierten Ordnung einhergeht. So waren es über Jahrzehnte hinweg Institutionen wie die World Trade Organisation (WTO) mit ihrem Streitschlichtungsmechanismus, die für Berechenbarkeit im globalen Handel sorgten. Doch seit einigen Jahren werden die Weichen der Weltpolitik wieder verstärkt auf der Ebene der großen Staaten gestellt. Nicht Regeln und Kompromissbereitschaft strukturieren heute das internationale Geschehen, Macht ist zum leitenden Prinzip geworden.

Das schürt Konflikte, führt zu unfairen Wettbewerbspraktiken und zieht neue Grenzen für Waren, Geld und Menschen. Gleichzeitig lässt die Entwicklung Probleme unbearbeitet, die nur durch das Zusammenwirken aller staatlichen Akteure gelöst werden können (der Klimawandel zum Beispiel). Die neuen Unsicherheiten setzen vor allem exportorientierte Volkswirtschaften wie Deutschland unter Druck. Verschlechtern sich die Chancen hiesiger Unternehmen auf den globalen Absatzmärkten, drohen die damit verbundenen Risiken auch den Bankensektor zu destabilisieren – etwa in Form von Kreditausfällen. Die gleiche Wirkung können Ausfuhrbeschränkungen für wichtige Rohstoffe haben, wie sie aktuell die Exportkontrollen für seltene Erden aus China darstellen. Noch prekärer wird die Lage, wenn Staaten ihre Interessen mithilfe militärischer Mittel durchsetzen wollen.

Blinder Fleck auf der Risikolandkarte: Gefahrenpotenzial oft unerkannt

Die internationalen Spannungen haben dazu geführt, dass die meisten Sicherheitsexpert*innen die Geopolitik aktuell zu den Top-3-Risiken für die Stabilität der Geldhäuser in Europa zählen. Das Problem: Die Auswirkungen der neuen internationalen Realpolitik sind für viele Banken oftmals ein blinder Fleck auf der Risikolandkarte. Vor allem kleinere und mittlere Häuser haben das entstehende Gefahrenpotenzial noch kaum in ihrem Risikoprofil berücksichtigt. Zudem tun sich viele Institute schwer damit, die neuen Herausforderungen wirksam in ihre Risikomanagement-Frameworks zu integrieren.

Dabei steht mehr auf dem Spiel als die Zukunft des ein oder anderen Geldhauses. Allen voran die großen, börsennotierten Banken gelten bekanntlich als Institutionen öffentlichen Interesses (englisch PIEs: Public Interest Entities). Sie nehmen damit eine zentrale Bedeutung für das Funktionieren der Volkswirtschaften als Ganzes ein. Gerät einer dieser systemrelevanten Finanzakteure in Schieflage, kann die gesamte Wirtschaft mit in den Sog geraten.

Hohe Standards: Banken müssen strenge Sicherheitsvorgaben erfüllen 

Weil Banken so wichtig für Wirtschaft und Gesellschaft sind, gelten für sie strengere Vorgaben und Anforderungen als für das Gros der Unternehmen. So verpflichtet beispielsweise die seit Januar dieses Jahres in der Europäischen Union geltende DORA-Verordnung (Digital Operational Resilience Act) Banken dazu, Vorkehrungen zu treffen, um kritische Dienstleistungen selbst bei schweren Störungen weiterhin aufrechterhalten zu können.

Damit das gelingt, sind die Banken dazu verpflichtet, ihre Schutzmechanismen regelmäßig durch sogenannte „Stresstests“ auf ihre Widerstandsfähigkeit im Krisenfall zu überprüfen. Hierbei spielen die Unternehmen Ernstfall-Szenarien durch: Welche Auswirkungen hat es auf das jeweilige Institut, wenn ein schwerwiegendes Risiko plötzlich Realität wird? Kann das Schlimmste abgewendet werden oder bringt es die Bank in Schieflage? Wichtig sind vor allem die Lehren, die aus einem solchen Stresstest gezogen werden: Durch sie lassen sich Abwehrmechanismen anpassen, was im Fall der Fälle dazu beitragen kann, den Worst Case abzuwenden.

Szenarien: Testläufe zur Abwehr geopolitischer Risiken nehmen zu

Die Storylines der Stresstests ergeben sich aus den potenziellen Risiken für den Kundenstamm und somit das Geschäftsmodell der Bank. Immer häufiger haben die Aufsichtsbehörden zuletzt auch Szenarien rund um die neuen geopolitischen Gefahren entwickelt. Auch das zeigt, welche Bedeutung dieser Risikokategorie mittlerweile zukommt. Auch die Europäische Zentralbank (EZB) hat für kommendes Jahr einen neuen Stresstest angekündigt, um die Auswirkungen internationaler Wirtschaftsschocks auf die europäischen Geldhäuser realitätsnah durch einen inversen Stresstest abzuklären. Anders als bei herkömmlichen Verfahren dieser Art gibt die EZB hierbei kein konkretes Setting vor, in dem sich die Banken behaupten müssen. Stattdessen legt die Aufsicht den Kapitalverlust für die Institute fest – das globale Krisenszenario dazu müssen die Banken selbst kreieren. Auf diese Weise sollen die mit globalpolitischen Verwerfungen nur wenig vertrauten Finanzakteure ein besseres Verständnis für internationale Dynamiken und deren Rückkopplungseffekte auf die eigene Bilanz entwickeln.

Audit im Wandel: Vier Prüfungsfelder definieren die neue Risikolage

Die thematischen Verschiebungen auf der Risikomatrix haben auch Auswirkungen auf die Arbeit der Abschlussprüfer*innen. Wollen sie das Audit stärker auf die geopolitischen Gefahren ausrichten, sind  vier Themenbereiche von besonderer Bedeutung:

1. Governance: Globale Risiken erfordern klare Zuständigkeiten
   Beim Audit von Mandanten aus dem Finanzsektor schreiben die Mindestanforderungen an das Risikomanagement (MaRisk) der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) immer auch die Prüfung der Corporate Governance vor. Die Prüfer*innen sollen bewerten, ob die Strukturen und Prozesse der Unternehmensführung so eingerichtet sind, dass die Verantwortlichen den globalen Risiken sachgerecht begegnen können.
   
   Besonderes Augenmerk legen die MaRisk hierbei auf eine eindeutige Definition von Zuständigkeiten und Verantwortungsbereichen. So muss klar und transparent geregelt sein, welches Führungsorgan (Vorstand/Geschäftsleitung) für die Festlegung der Risikostrategie und die Steuerung der Maßnahmen zur Vermeidung globaler Risiken verantwortlich zeichnet. Das Gleiche gilt für die operativen Einheiten des Risikomanagements: Auch hier müssen die Zuständigkeiten für alle Funktionen exakt zugewiesen sein. Die Prüfer*innen bewerten zudem, ob die Aufsichtsorgane (Aufsichtsrat/Verwaltungsrat) ihrer Überwachungsrolle gerecht werden.
   
   
2. Operative Resilienz und Compliance: Im Einklang mit den Regulierern
   Wie gezeigt, legt die DORA-Verordnung fest, dass Banken ihre kritischen Funktionen auch im Fall schwerwiegender Störungen (etwa durch IT-Ausfälle bei einem Cyberangriff) weiterhin erbringen müssen. Entsprechend evaluieren die Prüfer*innen, ob die zu diesem Zweck installierten Kontrollen der IT-Systeme wirksam und angemessen sind. Zudem überprüfen sie, ob ihr Mandant einen funktionsfähigen Mechanismus zum Incident-Reporting eingerichtet hat.
   
   Bei der Sanktions-Compliance geht es darum, ob und wie schnell eine Organisation auf sich ändernde geopolitische und regulatorische Vorgaben reagieren kann. Wenn die EU, die USA oder andere Staaten Sanktionen gegen Länder, Unternehmen oder Personen verhängen, müssen Banken diese sofort umsetzen – etwa indem sie Konten einfrieren oder bestimmte Transaktionen blockieren. Prüfer*innen halten nach, ob die dazu implementierten Systeme verlässlich funktionieren und auf einem aktuellen Stand gehalten werden.
   
   
3. Risikoinventur: Schlüssel zur Beurteilung der Sicherheitslage
   Die Grundlage eines effizienten Risikomanagementsystems bildet in der Regel eine Inventur potenzieller Bedrohungen: Die Institute müssen laut MaRisk relevante Risiken systematisch erfassen und in ihren Auswirkungen auf die eigene Organisation bewerten. Die gewonnenen Erkenntnisse bilden die Grundlage für das Risikomanagement und die Risikoberichterstattung im Lagebericht als Teil des Jahresabschlusses.
   
   Für Wirtschaftsprüfer*innen ist die Risikoinventur ein wichtiger Schlüssel zur Beurteilung der Risikolage ihrer Mandanten. Um auf dieser Basis zuverlässig testieren zu können, sollten die Prüfer*innen vorab einige Fragestellungen klären. Erstens: Besteht eine klare Definition für geopolitische Risiken auf der Inventarliste und wird die Relevanz für das Geschäftsmodell angemessen dokumentiert? Zweitens: Hat das Institut die Wirkungskanäle der jeweiligen Risikotreiber richtig skizziert und eingeordnet? Wichtig ist es hierbei, zwischen indirekten makroökonomischen Risiken (Zinsschwankungen, Rohstoffknappheit etc.) und direkten mikroökonomischen Risiken (Cyberattacken, Kreditrisiken durch mangelnde Portfolio-Diversifikation etc.) zu unterscheiden. Schließlich drittens: Gibt es eine Bewertung der angeführten Risiken und eine Systematik, die dafür sorgt, dass diese regelmäßig aktualisiert wird?
   
   
4. Stresstests: Daten aus Szenarien erhöhen Prüfungsqualität
   Das Durchspielen von Risikoszenarien ist weit mehr als eine theoretische Trockenübung. Vielmehr sind Stresstests wichtige Realitätschecks für das Risikomanagementsystem der Organisationen. Auch wenn es sich um aufsichtliche Stresstests handelt, sind die Daten aus den Tests relevant für das Audit. So helfen sie Prüfer*innen bei der Bewertung der Annahmen, die ihr Mandant zum Fortführungsprinzip (Going Concern) getroffen hat. Auch wenn es um die Einschätzung der dargestellten Risikolage und des Risikomanagements im Lagebericht geht, kann ein Abgleich mit den Stresstest-Ergebnissen sinnvoll sein. Die Wirtschaftsprüfer*innen analysieren zudem in der Regel, ob die Erkenntnisse aus den Stresstests in die bilanziellen Bewertungen eingeflossen sind. Wichtig wird das beispielsweise dann, wenn durch die Szenarien höhere Kreditausfallrisiken bei einer Bank sichtbar werden. In einem solchen Fall müsste das Institut eine entsprechende Risikovorsorge in der Bilanz ausweisen.

Fazit: Banken müssen ihre Risikomanagementsysteme krisenfest machen

Geopolitische Risiken sind keine Randerscheinung mehr. Sie gefährden den europäischen Bankensektor und stellen damit eine Bedrohung für die Volkswirtschaften insgesamt dar. Minimieren lässt sich das Risiko nur durch die Institute selbst: Sie müssen ihre Risikomanagementsysteme krisenfest machen, indem sie sich auf die neuen Gefährdungsszenarien einstellen. Unterstützung kommt von Seiten der Abschlussprüfer*innen: Richten sie ihre Kontrolltätigkeit verstärkt auf die weltpolitischen Herausforderungen aus, tragen sie zu mehr Resilienz in der Branche und der Wirtschaft als Ganzes bei.

Für weitere Themen rund um die Wirtschaftsprüfung und Forvis Mazars folgen Sie uns auch auf LinkedIn.