Operationales Risiko

Erfassung und QuantifizierungOperationaler RisikenAndreas WeingesselRisk ControllingOperationales Risiko

Agenda❚ Grundlagen– Fallstudien– Begriffsdefinition und Abgrenzung– Gesetzliche Rahmenbedingungen (Basel II)– Erfassung von operationalen Risiken– Datenanforderung❚ Quantifizierung– Schadensfrequenz– Schadenshöhe– Aggregation©Andreas WeingesselOperational Risk Controlling2

Operational Risk FallstudieBarings (1)Die Fakten❚ 1994 / 95 - Ein Händler hatte innerhalb wenigerWochen über eine Milliarde Euro verloren.❚ Untergang einer traditionsreichen englischenBank, verursacht durch einen einzigen Händler❚ Schadenssumme: ca. 1.25 Mrd. €❚ Methode: Fehlspekulation mit Nikkei-Futures undOptionen©Andreas WeingesselOperational Risk Controlling3

Operational Risk FallstudieBarings (2)Ursachen❚ Eine Person (Nick Leeson) war für Handel undAbwicklung zuständig❚ Kontrollen haben versagt❚ Aggressive und spekulative Strategie❚ Größenwahn, Spielsucht (durch Erhöhen desEinsatzes wird versucht, Verluste wettzumachen)©Andreas WeingesselOperational Risk Controlling4

Operational Risk FallstudieBarings (3)Lösungsmöglichkeiten❚ Strikte Trennung von Handel und Backoffice❚ funktionierende Limitkontrolle❚ Achtung: Es gibt keine ewigen Gewinner, daherVorsicht vor sehr erfolgreichen Händlern!©Andreas WeingesselOperational Risk Controlling5

Operational Risk FallstudieBank Burgenland (1)Die Fakten❚ Trotz zahlreicher Warnhinweise wurden abJuni 1997 Kredite in Höhe von ca. 1 Mrd. ATSan die HoWe AG vergeben❚ Der Ausfall der HoWe AG führte zur Insolvenzder Bank Burgenland. Der Weiterbestandkonnte nur aufgrund der Haftung des Landesgesichert werden.❚ Methode: Kreditbetrug©Andreas WeingesselOperational Risk Controlling6

Operational Risk FallstudieBank Burgenland (2)Ursachen❚ Darstellung der Kredite als Einzelkredite Klumpenrisiko wurde nicht erkannt oderignoriert❚ Unzureichende Besicherung der Kredite❚ Naivität der Bank bei der Kreditvergabe❚ Pyramidensystem (Kredite an Privatpersonen,die das Geld als Eigenkapital in die HoWeGruppe einbrachten)©Andreas WeingesselOperational Risk Controlling7

Operational Risk FallstudieBank Burgenland (3)Lösungsmöglichkeiten❚ Korrekte Darstellung der Kundenzusammenhänge❚ Unabhängige Sicherheitenbewertung❚ Vermeidung von Klumpenrisiken bzw.Konzentrationen im Portfolio©Andreas WeingesselOperational Risk Controlling8

BegriffsdefinitionDefinition nach Basel II:„Die Gefahr von Verlusten, , die infolge derUnangemessenheit oder des Versagens voninternen Verfahren, Menschen und Systemenoder von externen Ereignissen eintreten“Ausgeschlossen:❚ Reputationsrisiko❚ Strategisches RisikoEingeschlossen:❚ Rechtsrisiko©Andreas WeingesselOperational Risk Controlling9

Vergleich zu Markt- & Kreditrisiko❚ Wird üblicherweise nicht bewusst eingegangen❚ Überwiegend „hausgemacht“, nicht diversifizierbar und oftschwer abzugrenzen❚ Kann nur vollständig eliminiert werden, wenn die Bank denGeschäftsbetrieb einstellt❚ Kein Zusammenhang zwischen Risiko & Ertrag❚ Quantitative Ansätze sind wegen qualitativer Einflussfaktorenund geringer Datenmenge wesentlich komplexer©Andreas WeingesselOperational Risk Controlling10

RahmenbedingungenWarum Operational Risk Controlling/Management?❚ Eigeninteresse jeder Bank!❚ Gesetzliche Vorschriften (BWG § 39 Abs. 1)Die Geschäftsleiter eines Kreditinstitutes haben sich [...]über die bankgeschäftlichen und bankbetrieblichenRisiken zu informieren, diese angemessen zu begrenzenund Risikogleichläufe zu beachten [...]©Andreas WeingesselOperational Risk Controlling11

Basel Committee - Struktur❚ Das „Basel Committee of Banking Supervision“(Gründung 1974) setzt sich im wesentlichen ausMitgliedern der Zentralbanken der G10 zusammen.❚ Mitgliedsstaaten:❚ Belgien❚ Kanada❚ Frankreich❚ Deutschland❚ Italien❚ Japan❚ Luxemburg❚ Niederlande❚ Spanien❚ Schweden❚ Schweiz❚ Vereinigtes Königreich❚ USA©Andreas WeingesselOperational Risk Controlling12

Basel Committee - WirkungVorschläge des Basler Komitees nicht bindend,werden aber üblicherweise mit kleinenÄnderungen in EU Recht übernommenDie neuen Vorschriften werden voraussichtlich2007 in EU Recht übergehen.Der neue Entwurf des Capital Accord stellt einemassive Erweiterung der Basler Eigenkapitalvorschriften(CAD) von 1988 dar.©Andreas WeingesselOperational Risk Controlling13

Basel II - StrukturBasel IIPillar 1Mindestkapitalanforderung❚ Festlegung derMindestkapitalanforderung❚ FortgeschritteneAnsätze für Kreditrisiken(basierend auf Ratings)❚ Explizite Unterlegungfür Operationales Risiko(evolutionärer Ansatz)❚ Zinsrisiken im Bankbuchim Pillar 2❚ Evolutionäre Ansätze sindvorgesehenPillar 2Supervisory ReviewBasiert auf 4 Prinzipien❚ Banken müssen Risiko- undKapital in Relation stellen❚ Die Aufsicht überprüftRisiko - Messung und- Management der Bank❚ Banken sollten mehr alsdas notwendige Mindestkapitalhalten❚ Die Aufsicht hat das Rechtbei niedrigen Kapitalquotenzu intervenierenPillar 3OffenlegungsvorschriftenErweiterte Offenlegung ...❚ der Kapitalstruktur❚ der Risikozahlen undRisikomanagement Abläufe❚ des Risikoprofils❚ der Kapitaladäquanz©Andreas WeingesselOperational Risk Controlling14

Basel II - Operationales RisikoAnsätze zur Unterlegung (1)❚ Keine Erhöhung der Kapitalanforderung „im System“– Mindestkapitalanforderung im gesamten Finanzsystemsollen gleich bleiben.– Banken, die in Risikomanagement investieren, sollenentlastet werden.❚ „Evolutionäre Ansätze“– Fortgeschrittene Ansätze sollen Entlastung in derUnterlegungspflicht bringen.– Ersparnis lässt sich noch nicht klar abschätzen.– Kalibrierung durch Impact Studies©Andreas WeingesselOperational Risk Controlling15

Basel II - Operationales RisikoAnsätze zur Unterlegung (2)❚ Basic Indicator Approach– erforderliche Eigenmittel:15% der Betriebserträge (Alpha-Faktor)❚ Standardised Approach– Geschäftsfelder der Bank werden vorgegebenenStandardgeschäftsfeldern zugeordnet– Pro Standardgeschäftsfeld:Indikator (Betriebserträge, Ausleihungsvolumen)XBeta-Faktor (12%-18%)©Andreas WeingesselOperational Risk Controlling16

Basel II - Operationales RisikoAnsätze zur Unterlegung (3)❚ Advanced Measurement Approaches(AMA)– Interne Risikomodelle– Im Moment hohe Flexibilität– Risikomaß soll 1-jähriger Behaltedauer undKonfidenzniveau von 99.9%(!?) entsprechen©Andreas WeingesselOperational Risk Controlling17

Erfassung von OpRiskQualitative und quantitative Aspekte❚ Qualitativ: Analyse der Kontrollumgebungdurch– Risk Self-Assessments– Key Risk Indicators❚ Quantitativ: Verlustmodelle aufbauend auf– Verlustdatenbanken– Szenarioanalysen©Andreas WeingesselOperational Risk Controlling18

DatenbasisBsp: EingabefehlerQuellen: internKonsortiumQuantifizierbarSteuerungsinstrumentWahrscheinlichkeithighfrequency-low severityhighfrequency-high severityUnrealistischesSzenario, da hoheVerluste nur seltenbeobachtet werden.Kein Einfluß auf dieRisikoquantifizierungQuellen: internKonsortiumQuantifizierungvernachlässigbarlowfrequency-low severitylowfrequency-high severityBsp: BetrugQuellen: internKonsortienSzenarienRisikotreiber, QuantifizierungschwierigVerlusthöhe©Andreas WeingesselOperational Risk Controlling19

Datenquellen❚ Interne DatenRevisionsberichte, Schadensfallkonten, Fehlerberichte, etc.Üblicherweise nicht genug für stabile Risikomodelle❚ DatenkonsortiumMehrere Finanzinstitute liefern Verlustdaten in zentralenDatenpool (Plausibilität, Anonymisierung, Relevanz,Skalierung)❚ Szenarien bzw. externe DatenEntwicklung von Szenarien (z.B. Expertenschätzung) bzw.Publizierte Schadensfälle (Skalierung, Relevanz)©Andreas WeingesselOperational Risk Controlling20

Schematische DatenverteilungInterne DatenScenariopanelsExterne Daten©Andreas WeingesselOperational Risk Controlling21

SchadenskategorienDie Erste Bank verwendet folgende Oberkategorien❚ PeopleDurch Mitarbeiter vorsätzlich verursachte Verluste❚ ProcessFehler im Arbeitsprozess, schlecht geplante Abläufe, ...❚ SystemsEDV- und sonstige technische Probleme❚ ExternalExterne Ereignisse (Betrug durch Kunden, Hochwasser,...)©Andreas WeingesselOperational Risk Controlling22

SchadenskategorienTypische Aufteilung der FehlerklassenOpRisk Schäden nach FehlerklassenMittlere Schadenshöhe0 20000 40000 60000 80000 100000 120000SystemeExternMitarbeiterProzess0 200 400 600 800 1000Anzahl an Schäden

RisikoquantifizierungGrundlagen❚ Modellierung der Verteilungen von– Schadenshäufigkeit / Frequenz– Schadenshöhe (des Einzelschadens)❚ Aggregation dieser beiden Verteilungen❚ Ziel– Verteilungsfunktion für Gesamtverlust– Statistiken: Expected Loss,Value-at-Risk (VaR)©Andreas WeingesselOperational Risk Controlling24

Ein (sehr) grober Vergleich❚ Marktrisiko(Wert des Portfolios) X Schwankung❚ Kreditrisiko(Größe des Obligos) XAusfallswahrscheinlichkeit❚ Operationales RisikoSchadensfrequenz X Schadenshöhe©Andreas WeingesselOperational Risk Controlling25

Operational Value-at-RiskEin einfaches Rechenbeispiel❚ Daten anhand der internen VerlustdatenbankDaten von 10 Monaten:MonatVerlusteMonatVerluste011,00006---021,000; 10,0000710,00003---081,0000410,000; 100,000091,000; 1,000051,00010---©Andreas WeingesselOperational Risk Controlling26

Operational Value-at-RiskEin einfaches Rechenbeispiel❚ Daten anhand der internen Verlustdatenbank#SchädenWahrscheinlichkeitSchadenshöheWahrscheinlichkeit00.31,0000.610.410,0000.320.3100,0000.1©Andreas WeingesselOperational Risk Controlling27

Operational Value-at-RiskEin einfaches Rechenbeispiel❚ Kombination aus den Verteilungen vonSchadenshäufigkeit und –höhe.# Verluste 1.Verlust 2.Verlust Summe Wahrsch. # Wahrsch. V.1 Wahrsch. V.2 Wahrscheinl.0 - 0.3 1 1 0.3001 1,000 1,000 0.4 0.6 1 0.2401 10,000 10,000 0.4 0.3 1 0.1201 100,000 100,000 0.4 0.1 1 0.0402 1,000 1,000 2,000 0.3 0.6 0.6 0.1082 1,000 10,000 11,000 0.3 0.6 0.3 0.0542 1,000 100,000 101,000 0.3 0.6 0.1 0.0182 10,000 1,000 11,000 0.3 0.3 0.6 0.0542 10,000 10,000 20,000 0.3 0.3 0.3 0.0272 10,000 100,000 110,000 0.3 0.3 0.1 0.0092 100,000 1,000 101,000 0.3 0.1 0.6 0.0182 100,000 10,000 110,000 0.3 0.1 0.3 0.0092 100,000 100,000 200,000 0.3 0.1 0.1 0.003©Andreas WeingesselOperational Risk Controlling28

Operational Value-at-RiskEin einfaches RechenbeispielVerlust Wahrscheinl. kum. Wahrsch.- 0.300 0.3001,000 0.240 0.5402,000 0.108 0.64810,000 0.120 0.76811,000 0.108 0.87620,000 0.027 0.903100,000 0.040 0.943101,000 0.036 0.979110,000 0.018 0.997200,000 0.003 1.00090%VaR (1 Monat) = € 19,00099%VaR (1 Monat) = €106,500©Andreas WeingesselOperational Risk Controlling29

SchadensfrequenzDiskrete Verteilung auf nicht-negativen ganzenZahlen❚ Poissonverteilung– Poisson-Prozess (Gedächtnislosigkeit)– Summe von Poisson verteilten ZVs ist ~Poisson– Zufällige Teilfolge ~Poisson– nur 1 Parameter– MLE-Schätzer =Erwartungswert– EN = Var NWahrscheinlichkeit0.00 0.04 0.08 0.12Poisson Verteilung mit M ittelwert 100 2 4 6 8 10 12 14 16 18 20 22 24Anzahl der Schäden©Andreas WeingesselOperational Risk Controlling30

SchadensfrequenzWeitere Verteilungen❚ Negative Binomialverteilung (Var N > EN)❚ Binomialverteilung (Var N < EN)❚ allgemein: (a,b,0)-Klasse: p bk= a +p kk −1©Andreas WeingesselOperational Risk Controlling31

Schadenshöhe❚ Empirische Verteilung❚ Anpassen einer VerteilungVerteilung der Schadenshöhe0.0 0.1 0.2 0.3 0.4 0.5 0.6 0.70 2 4 6 8 1 0 1 2S chadenshöhe©Andreas WeingesselOperational Risk Controlling32

Schadenshöhe - Verteilungen❚ Lognormal❚ Beta-Familie– (Verallgemeinerte) Pareto– Burr❚ Transformierte Gamma-Familie– Gamma– Weibull❚ Invers Transformierte Gamma-Familie©Andreas WeingesselOperational Risk Controlling33

Anpassen einer Verteilung❚ Maximum Likelihood Schätzer❚ Momentenschätzer❚ Minimum Distanzschätzer©Andreas WeingesselOperational Risk Controlling34

Modellvergleich❚ Wert der Likelihood Funktion❚ χ²-AnpassungstestTeststatistik bzw. p-Wert❚ Kolmogorov-Smirnov-TestTeststatistik bzw. p-Wert❚ Achtung auf verschiedene Parameteranzahl!(z.B. Likelihood-Ratio-Test bei Verteilungenaus gleicher Familie)©Andreas WeingesselOperational Risk Controlling35

VerteilungsmodellSchadensfrequenz und Schadenshöhe werdengetrennt modelliert und dann gefalten.S = X + X + ... +12X NAnnahmen:❚ gegeben N=n, sind X 1 ,X 2 ,...,X n iid.❚ gegeben N=n, ist Verteilung von X 1 ,X 2 ,...,X nunabhängig von n.❚ Verteilung von N ist unabhängig von X 1 ,X 2 ,...,X n©Andreas WeingesselOperational Risk Controlling36

Modell❚ MomenteES=EN EXVarS=ENVarX+ VarN(EX)2❚ VerteilungsfunktionF❚ Dichte( x)= Pr( S≤ x)=∞ ∑ Sn=0f( x)=∞ ∑ Sn=0pnf* nXpn( x)F* nX( x)©Andreas WeingesselOperational Risk Controlling37

Aggregation❚ Direkte Berechnung der Faltung❚ Direkte Approximation❚ Rekursive Methoden – Panjer Formel❚ Fast Fourier Transformation, direkte numerischeInversion❚ Monte Carlo Simulation©Andreas WeingesselOperational Risk Controlling38

Panjer Formel❚ X muss diskretisiert werden P ( X = i)= p(i),P(S = i)= f ( i)i❚ Erzeugende Funktion: P(x)= ∑ p(i)xP ( x)= P ( P ( x))❚ Logarithmische Ableitung:❚ für Poisson-Verteilung:SP′( x)P ( x)NXP′N( PP ( P( x))P( x))S X=′XSN X( x)P′ ( x)= λ P ( x)P ( x)′S XS❚ Panjer Formel:f(0)− (1−p(0))= eλf( k)=λkk∑i=1ip(i)f( k−i)©Andreas WeingesselOperational Risk Controlling39

Monte Carlo Simulation1. Gegeben seien Verteilungen von X i und N2. Für i=1,..,M max ziehe Zufallszahl N i aus Frequenzvtlg. undX i1 ,X i2 ,...,X iN aus Schadenshöhevtlg.i.3. BerechneN= i∑S iX ijj=14. Die Verteilungsfunktion der Variablen S wird durch dieempirische Verteilungsfunktion F Ŝ (x) der erzeugtenZahlen approximiert .©Andreas WeingesselOperational Risk Controlling40

Monte Carlo Simulation❚ Flexibel– Abhängigkeitsstruktur zwischen den X i bzw.zwischen X i und N kann modelliert werden.– Einfluss von Versicherungen, Limits, …– Keine Diskretisierungen notwendig❚ Zeitaufwand©Andreas WeingesselOperational Risk Controlling41

Erweiterungen des Modells❚ Getrennte Verteilungen für– verschiedene Bereiche der Schadenshöhe– verschiedene Geschäftsbereiche– verschiedene Schadenskategorien❚ Abhängigkeitsstruktur– Korrelationen– Copulas©Andreas WeingesselOperational Risk Controlling42

Erweiterungen des Modells❚ Einbindung externer Daten– Skalierung– Relevanz❚ Einbau von Szenarien❚ Einbau von qualitativen Kriterien– Bonus/Malus-System– Key Risk Indicators©Andreas WeingesselOperational Risk Controlling43