Formal haben die Unternehmen die Anforderungen an das Risikomanagement umgesetzt. Sie ziehen daraus jedoch bislang wenig Nutzen, sondern sehen darin lediglich einen formalen Zwang. Außerdem hadern viele mit der Erstellung von ­Limit- und Schwellenwertkonzepten, um die MaRisk für die einzelnen Geschäftsbereiche zu operationalisieren.

Viele Versicherer sehen die Mindestanforderungen für das Risikomanagement (MaRisk) vor allem als Last. Auf diesen knappen Nenner lassen sich die Ergebnisse einer Studie bringen, die die Hamburger Unternehmensberatung 67rockwell Consulting in Zusammenarbeit mit der Fachhochschule Emden/Leer anfertigte. Die Studienautoren fragten den Umsetzungsstatus der MaRisk bei rund 250 deutschen Erstversicherungen ab. Die Mindestanforderungen waren im Januar 2009 durch die Bundesanstalt für Finanzdienstleistungsaufsicht (Bafin)­ veröffentlicht worden. Die Versicherer hatten somit mehr als ein Jahr Zeit, um diese Auflagen in ihren Unternehmen umzusetzen.
Die MaRisk sind prinzipienorientiert, müssen daher von den ­Unternehmen häufig noch konkretisiert werden. Außerdem gehört das Prinzip der Proportionalität dazu, denn sie gelten für alle Versicherungsunternehmen, unter denen es hinsichtlich Geschäftstätigkeit und Größe aber ein breites Spektrum gibt. "Die MaRisk werden von den Versicherern bislang eher als formaler Zwang angesehen. Sie erkennen derzeit darin noch keinen richtigen Wert für sich", stellt Tim Braasch, geschäftsführender Gesellschafter von 67rockwell fest. Etwas differenzierter schätzt Andreas Schlögl, Manager im Actuarial Services­ Advisory von Ernst & Young, die Situation ein. Er hat mit mehreren Kollegen ebenfalls eine Studie zum Umsetzungsgrad der MaRisk ­angefertigt. "Die Mehrzahl der Versicherer signalisierte in unserer Umfrage, dass sie einen Nutzen in den MaRisk erkennen. Er wird für die unterschiedlichen Felder allerdings unterschiedlich bewertet. ­Viele Anforderungen, wie zum Beispiel die Dokumentation, sind für die Unternehmen zunächst erst einmal nur zusätzlicher Aufwand. Aber die geforderte Beschäftigung mit der eigenen Risikotragfähigkeit und daraus abgeleitet die Erarbeitung von Limiten und Schwellenwerten schätzen die Versicherer schon als nützlich ein", so Schlögl.
Beide Studien haben operationelle Risiken als Problemfeld identifiziert. "Es werden zwar die versicherungstechnischen und die Anlage­risiken betrachtet, aber viele operationelle Risiken, die im Tages­geschäft auftreten, spielen im Risikomanagement überhaupt keine Rolle. Auch Reputationsrisiken zum Beispiel werden so gut wie überhaupt nicht betrachtet. Der Ansatz für das Risikomanagement ist kein ganzheitlicher", sagt Braasch. "Die operationellen Risiken sind derzeit bei der Umsetzung der MaRisk einer der größte Aufwandstreiber", hat Schlögl beobachtet. Unter anderem zeige sich bei der Risiko­bewertung und -steuerung, dass es noch an einer durchgängigen Risiko­kultur in den Unternehmen fehle. Aber dafür gebe es durchaus eine Erklärung: "Mit den MaRisk wurde in Gestalt des unabhängigen Risiko-Controllings eine neue zentrale Funktion geschaffen.

_Ökonomischer Mehrwert verschenkt

Versicherer beschäftigen sich jedoch schon seit jeher mit der Messung und Steuerung von Risiken. Nun schaut diese zusätzliche zen­trale Stelle auf die Vorgänge bezüglich des Risikomanagements aller­ anderen Bereiche. Für die Notwendigkeit einer solchen Stelle fehle vielfach das Bewusstsein. Der ökonomische Mehrwert, der aus der Verwirk­lichung des von der Bafin geforderten Risikomanagements entstehen könnte, bleibt den Untersuchungen von 67rockwell zufolge weitgehend ungenutzt. Die Risiken werden zwar identifiziert und analysiert, eine umfassende Bewertung und nachhaltige Steuerung erfolge­ häufig nicht. "Als Konsequenz reagieren die Unternehmen nur schleppend und verlieren damit nicht nur wertvolle Zeit, sondern verschenken vor allem messbare Ergebnispotenziale", so Dr. Michael Reich, geschäftsführender Gesellschafter von 67rockwell Consulting.
Ein Grund für dieses Verhalten: In den meisten Fällen werden nur die Minimalanforderungen implementiert. Die regulatorischen Vorschriften werden erfüllt, aber ohne Bezug zu den damit verbundenen unternehmerischen Chancen. Nur wenige Großprojekte unterliegen bislang einem MaRisk-konformen Risikomanagement. Obwohl gerade­ große Veränderungsprozesse als wesentliche Träger von Chancen­ und Risiken im Unternehmen gelten, fehle es Entscheidern oft an geeigneten Instrumenten und Entscheidungsgrundlagen für ein adäquates Chancen- und Risiko­management, schlussfolgert 67rockwell.
In der Studie von Ernst & Young hatten sich noch weitere Problem­felder abgezeichnet. Dazu gehörte die Operationalisierung von Limit- und Schwellenwertkonzepten in den einzelnen Geschäftsbereichen sowie die Steuerung der versicherungstechnischen Risiken. Letzteres verblüfft, immerhin handelt es sich um das angestammte Terrain der Assekuranz. Doch Schlögl liefert eine Erlärung: "Während für die ­Kapitalanlagerisiken schon immer detaillierte aufsichtsrechtliche Vorgaben existierten, gab es Vergleichbares bislang nicht für die versicherungstechnischen Risiken. Jetzt müssen sie mit detaillierten Kennzahlen beschrieben und die Prozesse ausführlich dokumentiert ­werden. Das ist neu für Versicherer." Bislang erfolgte die Steuerung vor allem mit einem Risikobudget für das gesamte Unternehmen. Nun muss dieses übergeordnete Budget auf die einzelnen Sparten, Geschäftsfelder und versicherungstechnischen Ereignisse aufgeteilt und mit Kennziffern belegt werden. Das bereite Versicherern Mühe. Gerade­ kleinen Versicherern fehlen dafür häufig die mathematischen Instrumente.­ In puncto­ Operationalisierung der MaRisk gelangte 67rockwell zu einem ähnlichen Schluss. Die Versicherer haben Schwierigkeiten, sie in den operativen Einheiten umzusetzen. So gelinge es den wenigsten Unternehmen, die Risikostrategie in Kennzahlen zu überführen und in die Organisation zu tragen. "Die monetäre Bewertung von Risiken ist einfach mangelhaft", wendet Reich ein.
Bereits bestimmte personelle Konstellationen geben zu denken. Mit der Studie hatte 67rockwell auch nach den jeweils Verantwort­lichen für das Risikomanagement gefragt. Das Spektrum reichte vom Vorstandsvorsitzenden über den Vorstandsassistenten und Azubi im Controlling bis zum eigentlichen Risikomanager. Ein Vorstands­assistent hat aber doch keinerlei Chance,­ in den operativen Betrieb ­eines Versicherers einzugreifen. Auch Ernst & Young hatte festgestellt, dass es zum Zeitpunkt der Untersuchung noch keine ­einheitliche Zuordnung der unabhängigen Risiko-Controlling-Funktion gab. In knapp 50 Prozent war sie beim Vorstandsvorsitzenden angesiedelt. Aller­dings gibt es bei diesem Punkt erkennbare Unterschiede ­zwischen großen und kleinen Versicherern. Letztere haben diese Verantwortung viel häufiger im Ressort des Finanzvorstandes angesiedelt (44 Prozent). Unter den großen Versicherern mit Beitragseinnahmen von mehr als einer Milliarde Euro waren es nur 29 Prozent, 22 Prozent von ihnen siedelten es in einem anderen Vorstandsressort an, ­wodurch das Risiko­management häufiger auch andere Funktionen wahrnimmt. Nur ein Versicherer hatte zum Zeitpunkt der Umfrage ein spezielles Vorstandsressort für diesen Aufgabenbereich eingerichtet.
"Es gibt zwar noch kein konkretes Anforderungsprofil für diese Funktion. Aber die Bafin hat nachträglich ein Schreiben versandt, in dem die Unabhängigkeit des Risiko-­Controllings noch einmal unterstrichen wird. Darin wird auch festgestellt, dass der Finanzvorstand gerade nicht dafür infrage kommt", erläutert Schlögl. Damit entsteht Diskussionsbedarf bei den 44 Prozent Versicherern, die genau dort das ­Risiko-Controlling installiert haben. Häufig sei das Risikomanagement zudem bei der Revision angesiedelt. Braasch bemängelt: "Aber die Revision prüft ex post." Es sei widersinnig, Risiken ex post aus­machen zu wollen. Schlögl hat einen noch schwerwiegenderen ­Einwand: "Eine Ansiedlung des Risiko-Controllings in der Revision ist nicht zulässig. Es gibt doch einen klaren Auftrag, dass die Revision auch das Risikomanagement zu prüfen hat."
Einen relativ hohen Erfüllungsgrad hat Ernst & Young nach rund einem Jahr seit Veröffentlichung der MaRisk in der Kapitalanlagesteuerung, bei der internen Revision und den IT-Anforderungen ausgemacht. Die Versicherungswirtschaft liegt bei der Umsetzung auch recht gut im Zeitplan. Sie wird, sofern die Pläne der von Ernst & Young befragten Versicherer aufgehen, von 88 Prozent bis spätestens Ende dieses Jahres abgeschlossen sein. Immerhin 12,2 Prozent gaben an, dass sie zum Zeitpunkt der Befragung den Anforderungen bereits komplett genügten. Weitere 22 Prozent erledigten die Aufgaben bis Ende 2009. Mit rund 54 Prozent gab jedoch das Gros der befragten Unternehmen das laufende Jahr als Zeitpunkt für den Abschluss an.

_Viel Raum für Interpretationen

Das deckt sich mit den Erfahrungen von 67rockwell. "Rein formal werden die Versicherer bis Ende des Jahres die MaRisk umgesetzt ­haben", so Braasch. Er relativiert diese Feststellung aber mit den Einschränkungen, die er zuvor in Bezug auf die Wirksamkeit des Risiko­managements gemacht hat. Letzteres sei aber nicht nur den Versicherern anzulasten. Es gebe ein Regelungsdefizit aufseiten der Bafin: "Es ist ja nicht so, dass die Versicherer die MaRisk nicht vernünftig ­umsetzen wollen, aber die Bafin hat wieder einmal eine Regelung ­erlassen, die stark interpretationsbedürftig ist." Selbst die Aufsichts­behörde­ sei sich in vielen Details noch nicht schlüssig.
Versicherer, die im Rahmen von Solvency II die Installierung ­eines eigenen Modells zur Ermittlung des Solvenzkapitals anstelle der Standardformel anstreben, sehen sich bei der Umsetzung der ­MaRisk schon weiter als der Gesamtmarkt. Die Versicherer können entscheiden, ob sie den Standardansatz zur Ermittlung der Risikolage wählen oder ein eigenes Modell entwickeln. Der Standardansatz kann die Risiko­situation nur im Mittel adäquat darstellen. ­Risikomindernde Elemente werden nur unzureichend widergespiegelt. Außerdem ist das Standardmodell mit den Jahren immer komplexer geworden, so dass sich bei seiner Einführung schon einige Herausforderungen, zum Beispiel bei der Datenhaltung für die Ermittlung des Marktrisikos­ ergeben. Außerdem ist es nach Einschätzung von Experten mit dem Standardmodell nicht ohne weiteres möglich, daraus unter den spezifischen Bedingungen der anwendenden Gesellschaft daraus auch Entscheidungen für die Asset Allocation abzuleiten. So ist ein internes Modell zwar aufwendiger in der Installation, könnte aber besser zur Steuerung der Kapitalanlagen genutzt werden.
Nach den Erhebungen von Ernst & Young streben 32 Prozent der Versicherer eine Genehmigung ihres internen Modells an. Es ist zu vermuten, dass sich vor allem die Großen mit der Einrichtung eines eigenen Modells beschäftigen. Sie verfolgen mit ihrem Risiko­management zudem stärker das Ziel einer wertorientierten Steuerung.­ Auch 67rockwell hat ein signifikantes Gefälle zwischen großen und kleinen Versicherern aufgezeigt. Die großen Versicherer mit Beitrags­einnahmen von mehr als einer Milliarde Euro sind nach eigener Einschätzung weiter als Unternehmen mit geringeren Beitragsein­nahmen. 30 Prozent der kleinen Unternehmen haben zum Beispiel das Funktionstrennungsprinzip noch nicht vollständig umgesetzt.
Die Unterschiede zwischen großen und kleinen Versicherern überraschen nicht. Schließlich wurde bei der Definierung der Standards für das Risikomanagement mit dem Proportionalitätsprinzip eine Abstufung vorgesehen. Außerdem gibt es eine Sonderregelung für Pensionskassen in der Rechtsform des Versicherungsvereins auf Gegenseitigkeit, deren Bilanzsumme 125 Millionen Euro nicht übersteigt, für Sterbekassen und Schaden-, Unfall- und Krankenversicherungsvereine im Sinne des Paragrafen 53 VAG. So müssen Pensionskassen, kleinere Vereine und Sterbekassen keinen Risikobericht ­erstellen und keine interne Revision vorhalten. Allerdings findet in den MaRisk über diese generelle Beschränkung hinaus keine Präzisierung statt, an welcher Stelle und in welchem Umfang das Risiko­management dieser Marktteilnehmer schlanker gestaltet werden kann. So bleibt nur die Abstimmung mit der Bafin von Fall zu Fall.