Operationale Risiken

Operationale Risiken bestehen in der Gefahr von Verlusten aufgrund unzulänglicher oder fehlerhafter interner Prozesse, mitarbeiterbedingter, systembedingter oder auch externer Vorfälle. Im Gegensatz zu versicherungstechnischen Risiken (z. B. dem Prämienrisiko), die wir im Rahmen unserer Geschäftstätigkeit bewusst und kontrolliert eingehen, sind die operationalen Risiken untrennbarer Bestandteil unserer Geschäftstätigkeit. Der Fokus liegt deshalb auf Risikovermeidung und -reduzierung. Als Ableitung unseres strategischen Grundsatzes „Wir managen Risiken aktiv“ handeln wir in Bezug auf die operationalen Risiken nach den folgenden Prinzipien:

1. Wir binden das operationale Risikomanagement in das Unternehmen und seine Kultur ein.
2. Wir managen operationale Risiken proaktiv und nachhaltig.
3. Wir betrachten Ereignisse und Szenarien, die das gesamte Spektrum operationaler Risiken abdecken.
4. Wir streben durch unsere Maßnahmen eine angemessene Risikoreduzierung an.
5. Wir managen innerhalb definierter Grenzen und schaffen Transparenz durch Messungen.

Mit Hilfe von Selbsteinschätzungen (Self Assessment for Operational Risks/SAOR) ermitteln wir den Reifegrad unseres operationalen Risikomanagementsystems und definieren Handlungsfelder für Verbesserungen. Basierend auf diesen Messungen werden – unter Nutzung von Risikoindikatoren und Effizienzgesichtspunkten – Limite und Schwellenwerte entwickelt. Einen wesentlichen Indikator bildet hierbei die SAOR-basierte Kapitalbindung in unserem internen Modell.

Die Bewertung erfolgt beispielsweise durch die Einschätzung des Reifegrads der jeweiligen Risikomanagementfunktion oder der Risikoüberwachung und -berichterstattung. Das System ermöglicht uns unter anderem eine Priorisierung der operationalen Risiken. In diesem Gesamtrahmen betrachten wir insbesondere Geschäftsprozessrisiken, Compliance-Risiken, Vertriebskanal- und Funktionsausgliederungsrisiken, Betrugsrisiken, Personalrisiken, Informationstechnologierisiken bzw. Informationssicherheitsrisiken und Betriebsunterbrechungsrisiken.

Geschäftsprozessrisiken bestehen in der Gefahr von unzulänglichen oder fehlerhaften internen Prozessen, die z. B. durch eine inadäquate Prozessorganisation entstehen können. Wir haben Kriterien zur Beurteilung des Reifegrades der wesentlichen Prozesse definiert, z. B. für den Reservierungsprozess. Dadurch kann die Überwachung der Prozessrisiken sichergestellt werden. Gemeinsam mit den Prozessbeteiligten bewertet der Prozessverantwortliche die Risiken des Metaprozesses und entwickelt Maßnahmen bei erkannten, bestehenden Risiken. Datenqualität ist ebenfalls ein sehr kritischer Erfolgsfaktor, insbesondere im Risikomanagement, weil zum Beispiel die Validität der Ergebnisse des internen Modells maßgeblich auf den zur Verfügung gestellten Daten basiert. Oberstes Ziel unseres Datenqualitätsmanagements ist die nachhaltige Verbesserung und die Sicherstellung der Datenqualität innerhalb des Hannover Rück-Konzerns. Ein angemessenes Management der Datenqualitätsrisiken setzt klar definierte Rollen und damit verbundene Verantwortlichkeiten voraus. Das zentrale Datenqualitätsmanagement ist im Rahmen der prozessintegrierten Risikoüberwachung für den Aufbau und die Aufrechterhaltung des Systems verantwortlich und hat dabei Vorgaben- und Methodenkompetenz.

Compliance-Risiken bestehen aus der Gefahr von Verstößen gegen Normen und Anforderungen, bei deren Nichtbeachtung Klagen oder behördliche Verfahren mit einer nicht unerheblichen Beeinträchtigung der Geschäftstätigkeit des Hannover Rück-Konzerns drohen. Als besonders Compliance-relevante Themen wurden dabei die aufsichtsrechtliche Compliance, die Einhaltung der Geschäftsgrundsätze, Datenschutz oder auch die Kartell- und wettbewerbsrechtliche Compliance definiert. Das Compliance-Risiko schließt dabei steuerliche und rechtliche Risiken mit ein. Die Verantwortlichkeiten innerhalb der Compliance-Organisation sind konzernweit geregelt und dokumentiert und Schnittstellen zum Risikomanagement sind etabliert. Regelmäßige Compliance-Schulungsprogramme ergänzen das Instrumentarium.

In ausgewählten Marktnischen betreiben wir Erstversicherungsgeschäft als Ergänzung zu unseren Rückversicherungsaktivitäten. Wie in der Rückversicherung arbeiten wir hierbei grundsätzlich mit Partnern aus dem Erstversicherungsbereich, z. B. mit Erstversicherungsmaklern sowie Zeichnungsagenturen, zusammen. Hieraus entstehen Vertriebskanalrisiken, die jedoch durch eine sorgfältige Auswahl der Agenturen, verbindliche Zeichnungsrichtlinien und regelmäßige Prüfungen reduziert werden.

Funktionsausgliederungsrisiken können durch Ausgliederungen von Funktionen, Dienstleistungen und/oder Organisationseinheiten an Dritte, außerhalb der Hannover Rück, resultieren. Zur Begrenzung des Risikos existieren verbindliche Regelungen, die z. B. vorsehen, dass vor einer wesentlichen Ausgliederung eine Risikoanalyse durchzuführen ist. Im Rahmen dieser Analyse wird unter anderem geprüft, welche spezifischen Risiken vorhanden sind und ob überhaupt eine Ausgliederung erfolgen kann.

Betrugsrisiken ergeben sich aus der Gefahr vorsätzlicher Verletzungen von Gesetzen oder Regeln durch Mitarbeiter (interner Betrug) und/oder durch Externe (externer Betrug). Risikoreduzierend wirken dabei das interne Kontrollsystem sowie die konzernweiten und linienunabhängigen Prüfungen der internen Revision.

Die Funktions- und Wettbewerbsfähigkeit des Hannover Rück-Konzerns ist maßgeblich der Kompetenz und dem Engagement unserer Mitarbeiter zu verdanken. Zur Reduzierung der Personalrisiken achten wir in besonderer Weise auf Qualifikation, Erfahrung und Leistungsbereitschaft unserer Mitarbeiter und fördern diese durch ausgezeichnete Personalentwicklungs- und Führungsarbeit. Durch regelmäßige Mitarbeiterbefragungen und Überwachung von Fluktuationsquoten werden diese Risiken frühzeitig erkannt und Handlungsspielräume geschaffen.

Informationstechnologierisiken bzw. Informationssicherheitsrisiken bestehen unter anderem in der Gefahr einer unzulänglichen Integrität, Vertraulichkeit oder Verfügbarkeit von Systemen und Informationen. Wesentlich für den Hannover Rück-Konzern sind beispielsweise Schäden, die aus der unerlaubten Weitergabe vertraulicher Informationen, der mutwilligen Herbeiführung der Überlastung wichtiger IT-Systeme oder auch durch Computerviren resultieren. Angesichts des breiten Spektrums dieser Risiken existieren vielfältige Steuerungs- und Überwachungsmaßnahmen sowie organisatorische Vorgaben, wie beispielsweise abzuschließende Vertraulichkeitsvereinbarungen mit Dienstleistern. Darüber hinaus werden unsere Mitarbeiter für solche Sicherheitsrisiken durch praxisorientierte Hilfestellungen, z. B. im Intranet oder durch Schulungsangebote, sensibilisiert.

Vorrangiges Ziel bei der Reduzierung der Betriebsunterbrechungsrisiken ist die schnellstmögliche Rückkehr in den Normalbetrieb nach einem Krisenfall, z. B. durch Umsetzung vorhandener Notfallplanungen. Auf Basis international anerkannter Standards wurden die entscheidenden Rahmenbedingungen definiert und unter anderem ein Krisenstab, als temporäres Gremium für den Krisenfall, eingerichtet. Das System wird durch regelmäßige Übungen und Tests ergänzt. Eine regelmäßige Risikoberichterstattung erfolgt an den Risikoausschuss und den Vorstand.