DE Amtsblatt der Europäischen Union C 173/1

BERICHT

über die Prüfung des Risikomanagements der Europäischen Zentralbank im Haushaltsjahr 2010, zusammen mit den Antworten der EZB

2012/C 173/01

INHALT

Ziffer Seite EINLEITUNG … 1–4 3 PRÜFUNGSUMFANG UND PRÜFUNGSANSATZ … 5–6 3 PRÜFUNGSFESTSTELLUNGEN … 7–91 3 Hat die EZB einen angemessenen und umfassenden übergeordneten Rahmen für das Risikomanagement geschaffen? … 7–18 3 Übergeordneter Rahmen für das Risikomanagement … 8–14 3 Offenlegung des EZB-Rahmens für das Risikomanagement gegenüber externen Stellen … 15–18 4 Hat die EZB für ein wirksames operationelles Risikomanagement gesorgt? … 19–66 5 Operationelles Risikomanagement … 20–39 5 Management der Geschäftsfortführung im Krisenfall (Business Continuity Management, BCM) … 40–66 7 Hat die EZB für ein wirksames finanzielles Risikomanagement gesorgt? … 67–91 10 Rahmen für das finanzielle Risikomanagement in Bezug auf die Investitionstätigkeit und die Bankgeschäfte … 69–74 10 Methode für das finanzielle Risikomanagement … 75–83 11 Anwendung der Methode für das finanzielle Risikomanagement … 84–88 12 Angemessenheit der Berichterstattung über die finanziellen Risiken … 89–91 12 SCHLUSSFOLGERUNGEN UND EMPFEHLUNGEN … 92–100 13 Hat die EZB einen angemessenen und umfassenden übergeordneten Rahmen für das Risikomanagement geschaffen? … 92–93 13 Hat die EZB für ein wirksames operationelles Risikomanagement gesorgt? … 94–98 13 Hat die EZB für ein wirksames finanzielles Risikomanagement gesorgt? … 99–100 13 Antworten der Europäischen Zentralbank … 15

ABKÜRZUNGEN

BCM Business Continuity Management (Management der Geschäftsfortführung im Krisenfall) BCP Business Continuity Plan (Plan zur Geschäftsfortführung im Krisenfall) BIA Business Impact Analysis (Analyse der geschäftlichen Auswirkungen) BIZ Bank für Internationalen Zahlungsausgleich BPH Business Practice Handbook (Praxishandbuch) CBPP Covered Bonds Purchase Programme (Programm zum Ankauf gedeckter Schuldverschreibungen) CRO Risikomanager (Chief Risk Officer) D-CO Direktion Kommunikation ESZB Europäisches System der Zentralbanken EZB Europäische Zentralbank FOS Abteilung Finanzoperationen GD-A Generaldirektion Verwaltung GD-H Generaldirektion Personal, Budget und Organisation GD-IS Generaldirektion Informationssysteme GD-M Generaldirektion Finanzmarktoperationen GD-P Generaldirektion Zahlungsverkehr GD-S Generaldirektion Statistik GIPS Global Investment Performance Standards IAS International Accounting Standards (Internationale Rechnungslegungsstandards) IASB International Accounting Standards Board IFRS International Financial Reporting Standards (Internationale Rechnungslegungsstandards) INV Abteilung Finanzanlagen MOS Market Operations Systems NZB Nationale Zentralbanken OFM Own Funds Management ORC Operational Risk Committee (Ausschuss für operationelles Risikomanagement) ORM Operationelles Risikomanagement RMA Risikomanagement-Abteilung (der GD-H) SMP Securities Markets Programme (Programm für die Wertpapiermärkte) VaR Value at Risk

EINLEITUNG

1. Die Europäische Zentralbank (EZB) und die nationalen Zentralbanken der Mitgliedstaaten der Europäischen Union (EU) bilden zusammen das Europäische System der Zentralbanken (ESZB). Vorrangiges Ziel des ESZB ist es, die Preisstabilität zu gewährleisten. Das ESZB unterstützt ferner die allgemeine Wirtschaftspolitik in der Union, um zur Verwirklichung der Ziele der Union beizutragen (1). Zu diesem Zweck nimmt die EZB die in ihrer Satzung (2) festgelegten Aufgaben wahr, wobei sie für die Verwaltung ihrer Tätigkeiten und Finanzen verantwortlich ist.

2. Grundlage für die Prüfung der Effizienz der Verwaltung der EZB durch den Europäischen Rechnungshof (der Hof) ist Artikel 27.2 des Protokolls über die Satzung des Europäischen Systems der Zentralbanken und der Europäischen Zentralbank (3). Im Jahr 2010 prüfte der Hof die von der Bank für das Risikomanagement eingerichteten Verfahren und Systeme sowie deren Anwendung.

3. Beschlussorgane der EZB sind der EZB-Rat und das Direktorium (4). Das Direktorium führt die Geldpolitik gemäß den Leitlinien und Entscheidungen des EZB-Rates (5) aus und trägt die Gesamtverantwortung für die laufenden Geschäfte der EZB und ihre Ressourcen. Das Direktorium ist auch in letzter Instanz für das Risikomanagement der EZB verantwortlich.

4. Das Risikomanagement der EZB erfolgt über zwei getrennte Schienen. Alle operationellen Risiken — einschließlich der Geschäftsfortführung im Krisenfall — fallen in den Aufgabenbereich der Unterabteilung für operationelles Risikomanagement (Operational Risk Unit, ORM (6)/BCM) (siehe Fußnote 22). Für das finanzielle Risikomanagement, auch in Bezug auf die Investitionstätigkeit und die Kreditoperationen der EZB, ist die Risikomanagement-Abteilung (RMA) zuständig (siehe Ziffer 70).

PRÜFUNGSUMFANG UND PRÜFUNGSANSATZ

5. Ziel der Prüfung des Hofes zum Haushaltsjahr 2010 war es, die Angemessenheit des EZB-Rahmens für das operationelle und das finanzielle Risikomanagement zu beurteilen (7). Die Beurteilung des Risikomanagements der EZB erfolgte auf der Grundlage folgender zentraler Prüfungsfragen: — Hat die EZB einen angemessenen und umfassenden übergeordneten Rahmen für das Risikomanagement geschaffen? — Hat die EZB für ein wirksames operationelles Risikomanagement gesorgt? — Hat die EZB für ein wirksames finanzielles Risikomanagement gesorgt?

6. Die Prüfung des Risikomanagements der EZB (8) umfasste a) eine Analyse des übergeordneten Rahmens der EZB für das Risikomanagement, was auch eine Analyse vorbildlicher Risikomanagementverfahren in vergleichbaren internationalen Organisationen beinhaltete (9); b) eine Analyse des Rahmens für das operationelle Risikomanagement sowie Prüfungen in sechs ausgewählten Geschäftsbereichen (Generaldirektionen), um die praktische Anwendung dieses Rahmens zu beurteilen; diese Geschäftsbereiche wurden nach Maßgabe folgender Kriterien ausgewählt: i) Gewährleistung der Abdeckung erheblicher operationeller Risiken, ii) Abdeckung sowohl von Kerntätigkeiten als auch von anderen Tätigkeiten der EZB und iii) Abdeckung von Tätigkeiten, die ein horizontales Risikomanagement erfordern; folgende Generaldirektionen (GD) wurden ausgewählt: Finanzmarktoperationen (GD-M), Zahlungsverkehr (GD-P), Statistik (GD-S), Verwaltung (GD-A), Informationssysteme (GD-IS) sowie die Direktion Kommunikation (D-CO); c) eine Analyse des Rahmens für das finanzielle Risikomanagement, was eingehende Prüfungen bei der zur GD Personal, Budget und Organisation (GD-H) gehörenden Risikomanagement-Abteilung (RMA) sowie den zur GD-M gehörenden Abteilungen „Systeme für Finanzmarktoperationen (MOS)“, „Finanzoperationen (FOS)“ und „Finanzanlagen (INV)“ beinhaltete. Bei der Beurteilung der Risikomanagementmethode der EZB und ihrer Anwendung erhielten die Prüfer des Hofes technische Hilfe von einem Team aus Finanzrisikoexperten der Firma Ernst and Young, Luxemburg.

PRÜFUNGSFESTSTELLUNGEN

Hat die EZB einen angemessenen und umfassenden übergeordneten Rahmen für das Risikomanagement geschaffen?

7. Erklärtes Ziel der EZB ist es, bei ihrem Risikomanagement die in diesem Bereich bestehenden vorbildlichen Verfahren anzuwenden: Die Europäische Zentralbank hat dem Risikomanagement von Anfang an besondere Bedeutung eingeräumt. Als neues Mitglied der Gemeinschaft der Zentralbanken war sie bestrebt, bei der Gestaltung ihrer Risikomanagementfunktion den höchsten Standards innerhalb der Institution zu genügen und die aktuellsten Verfahren anzuwenden (10).

Übergeordneter Rahmen für das Risikomanagement

8. Eine ausgeprägte, die gesamte Institution umspannende Risikokultur ist eine der Grundvoraussetzungen für ein wirksames Risikomanagement. Damit sich diese Risikokultur herausbilden kann, bedarf es u. a. einer umfassenden (d. h. alle Risikoarten, Geschäftsbereiche und relevanten Risiken abdeckenden) und unabhängigen Risikomanagementfunktion unter der direkten Verantwortung eines Risikomanagers (Chief Risk Officer, CRO) oder, sofern kein Risikomanager bestellt wurde, des leitenden Managements, wobei dem Grundsatz der Verhältnismäßigkeit Rechnung zu tragen ist (11).

9. Bei der EZB sind alle Organisationseinheiten (12) für das Management ihrer eigenen Risiken und Kontrollen verantwortlich. Zwei Funktionen/Abteilungen unterstützen die Organisationseinheiten bei ihren Risikomanagementverfahren: — Die Funktion ORM/BCM (13) ist für die methodische Begleitung sowie für die Koordinierung aller mit den operationellen Risiken zusammenhängenden Tätigkeiten zuständig und berät die Geschäftsbereiche proaktiv (14). — Die Risikomanagement-Abteilung (RMA) ist für die finanziellen Risiken (15) zuständig. Sie hat Vorschläge für Strategien und Verfahren im Bereich des Risikomanagements zu formulieren und organisatorische Unterstützung beim Risikomanagement für alle von der EZB bzw. im Namen der EZB vom Eurosystem durchgeführten Finanzmarktoperationen zu leisten. Die Abteilung besteht aus zwei Unterabteilungen, der Unterabteilung für Risikoanalyse und der für Risikostrategie.

10. Um das Direktorium bei der Beschlussfassung zu unterstützen, wurden mehrere Ausschüsse geschaffen, die sich mit verschiedenen Aspekten des Risikomanagements befassen. Dabei handelt es sich um den Ausschuss für operationelle Risiken (Operational Risk Committee), den Investitionsausschuss (Investment Committee), den Aktiva-Passiva-Ausschuss (Assets and Liabilites Committee, ALCO) und den Kreditausschuss (Credit Committee).

11. Die EZB verfügt über eine lückenlose Organisationsstruktur mit einer klaren Verteilung der Aufgaben und Zuständigkeiten, wobei allerdings eine deutliche Trennlinie zwischen dem finanziellen und dem operationellen Risikomanagement der EZB besteht, wodurch eine erhöhte Gefahr besteht, dass keine ganzheitliche Betrachtung bankweiter Risiken stattfindet.

12. Es gibt keine als Schnittstelle zwischen dem Direktorium und den beiden Risikomanagement-Funktionen — ORM/BCM und RMA — angesiedelte unabhängige zentrale Stelle, wie etwa einen Risikomanager (CRO) oder einen für das globale Risikomanagement zuständigen Ausschuss. Zum Zeitpunkt der Prüfung war das für Risikomanagement zuständige Direktoriumsmitglied noch für eine Reihe anderer Aufgabenbereiche zuständig, während sich ein Risikomanager ausschließlich mit dem Risikomanagement befassen würde.

13. Durch das Fehlen einer hierarchisch unabhängigen Risikomanagementfunktion erhöht sich zudem die Gefahr, dass Fragen des Risikomanagements, wie Zuweisung von Personalressourcen für Risikomanagementaufgaben, nicht genügend Priorität erhalten, da diese Fragen von der GD-H entschieden werden.

14. Die Analyse der in vergleichbaren internationalen Organisationen geltenden vorbildlichen Verfahren hat gezeigt, dass die Bank of Canada einen integrierten Rahmen für das Risikomanagement geschaffen hat mit einem Risikomanager (CRO) und einer Arbeitsgruppe für Risikomanagement (Risk Management Working Group), die gemeinsam für die Erstellung eines ganzheitlichen sowohl geschäftliche als auch operationelle und finanzielle Risiken abdeckenden Risikoprofils der Bank zuständig sind, wie in Kasten 1 beschrieben. Der Rahmen für das Risikomanagement der Bank ist vollständig in die strategische Planung, die Haushaltsplanung und die Leistungsbewertung am Jahresende eingebettet. Kasten 1 Ein Beispiel für integriertes Risikomanagement — Bank of Canada Aufgaben des Risikomanagers : — Leitung der Entwicklung und der Verbesserung des Rahmens für integriertes Risikomanagement sowie Einholung der Zustimmung des Managements; — Unterstützung und Beratung der übrigen Mitglieder des oberen Managements in Fragen des Risikomanagements sowie Wahrnehmung des Vorsitzes in der Arbeitsgruppe für Risikomanagement (Risk Management Working Group); — Ko-Vorsitz im Risikoausschuss (Risk Committee) des innerhalb der Finanzabteilung angesiedelten Fondsmanagement-Ausschusses (Funds Management Committee). Aufgaben der Arbeitsgruppe für Risikomanagement (Risk Management Working Group) : — Unterstützung bei der umfassenden Aktualisierung der von der Bank vorgenommenen Selbstbewertung der Risiken sowie Ausarbeitung des halbjährlichen und des jährlichen Berichts über das Risikomanagement; — drei- bis viermal jährlich Abhalten von Sitzungen, um das Risikoprofil der Bank zu überprüfen und die Vertreter der entsprechenden Funktionen/Abteilungen der Bank über Initiativen im Bereich des Risikomanagements zu unterrichten.

Offenlegung des EZB-Rahmens für Risikomanagement gegenüber externen Stellen

15. Die EZB sollte ihren Rahmen für das Risikomanagement in einem Maße gegenüber der Öffentlichkeit offenlegen, das es externen Stellen ermöglicht, sich ein Urteil über den Risikomanagement-Ansatz der EZB zu bilden.

16. Die EZB veröffentlicht einen Jahresbericht mit dem Jahresabschluss und den dazugehörigen Erläuterungen (16). Der Jahresabschluss enthält lediglich begrenzte Informationen über das Risikomanagement; in Bezug auf die von der EZB im Bereich des Risikomanagements angewendeten Grundsätze und Kennzahlen gibt es keine öffentlich zugänglichen Informationen (mit Ausnahme des konsolidierten Value at Risk bzw. VaR (17)). Der Jahresbericht der EZB enthält knappe Informationen zu einigen Fragen des Risikomanagements, aber keine Angaben zum Risikomanagementprozess der Bank, zu den bestehenden Risiken und zum vom Management diesbezüglich verfolgten Ansatz.

17. Die Anwendung der internationalen Rechnungslegungsstandards (International Financial Reporting Standards, IFRS) (18) bei der Abschlusserstellung gehört zu den vorbildlichen Verfahren. Der IFRS 7 „Finanzinstrumente: Angaben“ (Financial instruments discosure) behandelt die Frage, wie die für eine Organisation bestehenden Risiken im Abschluss darzustellen sind. Der IFRS 7 wurde von der EZB aber nicht angewendet.

18. Andere internationale Bankorganisationen oder nationale Zentralbanken wie die Bank für Internationalen Zahlungsausgleich (BIZ) und die Bank of Canada legen in ihren Jahresabschlüssen Informationen zum Risikomanagement offen, obwohl eine der erwähnten Banken nicht die IFRS, (siehe Kasten 2) anwendet. Kasten 2 Beispiel für die Offenlegung von Informationen zum Risikomanagement Organisation Angaben zum Risikomanagement in den Jahresabschlüssen Rahmen für die Rechnungslegung Bank für Internationalen Zahlungsausgleich (BIZ) Der Jahresabschluss enthält Angaben über die Risiken, mit denen die Bank konfrontiert ist, den Ansatz in Bezug auf das Risikomanagement und die diesbezügliche Organisation sowie ausführliche Angaben zum Kreditrisiko, Marktrisiko, Liquiditätsrisiko und operationellen Risiko. In der Satzung der Bank festgelegter spezifischer Rahmen für die Rechnungslegung Bank of Canada Der Jahresabschluss enthält Angaben über den Prozess des Risikomanagements, die Struktur der Risikosteuerung, die Rolle des Financial Risk Officer, das finanzielle Risiko, mit dem die Bank konfrontiert ist, sowie ausführliche Angaben zum Kreditrisiko, Marktrisiko und Liquiditätsrisiko. IFRS (19)

Hat die EZB für ein wirksames operationelles Risikomanagement gesorgt?

19. Der Rahmen der EZB für das operationelle Risikomanagement (ORM) wird durch das Management der Geschäftsfortführung im Krisenfall ergänzt, und beide bilden wichtige Bestandteile der Unternehmensführung (Corporate Governance) (20).

Operationelles Risikomanagement

20. Ein wirksamer Rahmen für das operationelle Risikomanagement beinhaltet klare Strategien, die Aufsicht durch das Direktorium und das obere Management, eine ausgeprägte Risikokultur in Bezug auf die operationellen Risiken und eine Kultur der internen Kontrolle (einschließlich klarer Zuständigkeiten und klarer Trennung der Aufgabenbereiche) sowie eine wirksame interne Berichterstattung.

21. Um das operationelle Risikomanagement der EZB beurteilen zu können, prüfte der Hof — die von der EZB festgelegten ORM-Strategien, — die Organisationsstruktur und die Zuständigkeiten für das operationelle Risikomanagement, — die Verknüpfung mit der strategischen und finanziellen Planung der Bank (d. h. dem jährlichen Haushaltszyklus), — die Ermittlung und Beurteilung von Risiken sowie den Umgang damit, die Berichterstattung, Überwachung und Weiterverfolgung auf der Ebene der Geschäftsbereiche sowie auf zentraler Ebene.

Strategien in Bezug auf das operationelle Risiko

22. Die ORM-Strategien müssen eine eindeutige bankweite Definition des operationellen Risikos beinhalten sowie eine Beschreibung des von der Bank im Hinblick auf die Ermittlung, Beurteilung, Überwachung und Steuerung/Eindämmung des Risikos verfolgten Ansatzes.

23. Der EZB-Rahmen für das operationelle Risikomanagement wurde im Oktober 2007 vom Direktorium gebilligt (21) und wird im Praxishandbuch der Bank (Business Practice Handbook, BPH), das über das Intranet abrufbar und für alle Mitarbeiter zugänglich ist, erläutert. In diesem Praxishandbuch wird die ORM-Definition der Bank (22) dargelegt; außerdem werden ihre Risikotoleranzpolitik und die verschiedenen Rollen und Zuständigkeiten sowie die Strategien in Bezug auf die Beurteilung der operationellen Risiken, den Umgang damit, die Berichterstattung und Überwachung beschrieben.

24. Die festgelegten ORM-Strategien umfassen eine klare bankweite Definition der operationellen Risiken und eine Beschreibung des von der Bank im Hinblick auf die Beurteilung, Überwachung und Steuerung/Eindämmung dieser Risiken verfolgten Ansatzes. Allerdings enthält das Praxishandbuch keine ausführlichen Informationen zum Ansatz, den die Bank im Hinblick auf die Risikoermittlung befolgt.

Organisationsstruktur und Zuständigkeiten

25. Das Management des jeweiligen Geschäftsbereichs hat dafür zu sorgen, dass die für das operationelle Risikomanagement festgelegten Strategien, Prozesse und Verfahren bei allen wichtigen Tätigkeiten, Prozessen und Systemen der Bank zu Anwendung kommen. Überdies sollte die Bank über ein System für das operationelle Risikomanagement verfügen, bei dem die Aufgabenbereiche der Risikomanagement-Funktion klar festgelegt sind.

26. Für das operationelle Risikomanagement der EZB ist in letzter Instanz das Direktorium zuständig. Der Ausschuss für operationelle Risiken (Operational Risk Committee, ORC) befasst sich mit strategischen und mittelfristigen Fragen, aber auch mit relevanten kurzfristigen sowie Ad-hoc-Fragen (23). Der Ausschuss setzt sich aus einem Mitglied des Direktoriums (das den Vorsitz führt) und sieben Mitgliedern des leitenden Managements der Bank zusammen (24). Er hat Beschlussfassungsbefugnisse in Bezug auf die Akzeptanz der mittleren Risiken, während die hohen Risiken immer vom Direktorium akzeptiert werden müssen. Die Ausschusssitzungen finden alle zwei Monate oder, sofern erforderlich, häufiger statt.

27. Aus dem Praxishandbuch (BHP) geht klar hervor, dass jeder Geschäftsbereich für das Management der ihn betreffenden operationellen Risiken zuständig ist (25). Daher sollte jeder Geschäftsbereich (mindestens) einen Risikokoordinator benennen, der die Manager des jeweiligen Geschäftsbereichs beim ORM unterstützt und als erste Anlaufstelle für ORM-Fragen innerhalb des Geschäftsbereichs fungiert. Die Manager des jeweiligen Geschäftsbereichs müssen auch sicherstellen, dass ihre Mitarbeiter die zur Wahrnehmung ihrer Verantwortung und Rechenschaftspflicht im Bereich des ORM erforderlichen Kompetenzen erwerben und aufrechterhalten. Die ORM/BCM-Funktion sollte den ORM-Rahmen entwickeln und pflegen und die von den Geschäftsbereichen in Bezug auf das ORM verfolgten Ansätze koordinieren.

28. Zum Zeitpunkt der Prüfung waren nur vier der acht Mitarbeiter der ORM/BCM-Funktion fest angestellt. Bei den übrigen vier Mitarbeitern handelte es sich entweder um von nationalen Zentralbanken abgeordnete Bedienstete oder um Bedienstete mit befristeten Verträgen, deren Laufzeiten zwischen drei Monaten und zwei Jahren liegen. Dadurch ergibt sich eine hohe Personalfluktuation. Dies führt zu einem Verlust an Kontinuität in einer wichtigen Funktion und erhöht zudem die Gefahr, dass der ORM-Rahmen innerhalb der EZB nicht angemessen umgesetzt wird.

29. Bei in den Jahren 2009 und 2010 durchgeführten Befragungen der EZB-Mitarbeiter wurde auch die Sensibilisierung für den ORM-Rahmen hinterfragt. Im Zuge der 2009 durchgeführten Befragung gaben rund 40 % der Befragten an, nicht genügend Informationen über die ORM-Maßnahmen zu erhalten; 56 % wussten nicht, wer in ihrem Geschäftsbereich zum Risikokoordinator ernannt worden war, und 45 % wussten nicht, wie sie im Intranet Informationen zum ORM finden konnten. Bei der 2010 durchgeführten Befragung gaben immer noch 40 % der Befragten an, nicht zu wissen, wo sie Informationen zum ORM finden könnten.

Verknüpfung mit der strategischen und finanziellen Planung (dem jährlichen Haushaltszyklus)

30. Das Risikomanagement sollte in die Steuerungsprozesse der Bank integriert und fester Bestandteil ihrer strategischen, geschäftlichen und finanziellen Planung sein.

31. Ein wichtiger Aspekt bei der Erstellung des Risikoprofils der EZB ist die jährliche Beurteilung der operationellen Risiken durch die Geschäftsbereiche und die ORM/BCM-Funktion. Die Risikobeurteilungen für das Jahr 2009 wurden von den Geschäftsbereichen von Juni bis August 2009 vorgenommen, anschließend wurde das Risiko in einer Sitzung mit den Risikokoordinatoren „kalibriert“. Der „Top-down-Bericht“ wurde im Januar 2010 fertiggestellt.

32. Das Risikoprofil sollte in den Prozess der strategischen Planung einbezogen werden, wobei die strategische Planung wiederum für die finanzielle Planung maßgeblich ist. Die Prüfung hat jedoch gezeigt, dass die jährliche Beurteilung der operationellen Risiken nicht mit dem Zyklus der Strategie- und Finanzplanung der EZB verknüpft ist. Daher besteht die Gefahr, dass das ORM ein isolierter Prozess ist und die Ressourcen im Finanzplan nicht so zugeordnet werden, wie dies zum Erreichen der strategischen Ziele erforderlich wäre (26).

33. Die Bank of Canada liefert ein Beispiel für ein vorbildliches Verfahren, bei dem das Risikoprofil der Bank fest in den Zyklus der globalen Strategie- und Finanzplanung der Bank integriert ist (27).

Der ORM-Prozess: Ermittlung und Beurteilung der Risiken, Umgang damit sowie diesbezügliche Berichterstattung und Überwachung

Ermittlung und Beurteilung der Risiken und Umgang damit

34. Sämtliche mit den Tätigkeiten, Prozessen und Systemen verbundenen operationellen Risiken sollten ermittelt und beurteilt werden. Die Risikobeurteilung sollte auf der Grundlage der geltenden Politik und Toleranzschwelle erfolgen, damit auf der Basis ausreichender Kostenkalkulationen angemessene Maßnahmen für den Umgang mit den Risiken beschlossen werden können. Über die relevanten Informationen in diesem Bereich sollte regelmäßig an das obere Management und das Direktorium, das ein proaktives operationelles Risikomanagement unterstützt, Bericht erstattet werden.

35. Die Umsetzung des ORM-Rahmens erfolgte hauptsächlich in Form von „Top-down-Beurteilungen“. Die Risikopolitik der EZB sieht vor, dass die Geschäftsbereiche zusätzlich dazu fortlaufend „Bottom-up-Beurteilungen“ der auf Geschäftsbereichsebene bestehenden Prozesse durchführen und die dabei ermittelten Risiken regelmäßig genehmigt werden (28).

36. Die EZB hat in den Jahren 2008 und 2009 eine Reihe von „Top-down-Risikobeurteilungen“ durchgeführt. Die ORM/BCM-Funktion hat bestimmte hohe Risiken auf der Ebene der einzelnen Geschäftsbereiche vorab definiert, was die Basis für die Risikobeurteilungen der Geschäftsbereiche bildete. Im betreffenden Abschlussbericht wurde für jeden Geschäftsbereich ein Aktionsplan formuliert. Gemäß dem Praxishandbuch sind die Geschäftsbereiche gehalten, die zur Eindämmung der Risiken infrage kommenden Strategien zu analysieren und zu definieren und für die möglichen Optionen eine Kosten-Nutzen-Analyse zu erstellen.

37. Im Rahmen der im Jahr 2009 erfolgten „Top-down-Beurteilung“ hatten alle Geschäftsbereiche Risiken ermittelt und Strategien für den Umgang mit diesen Risiken ausgearbeitet. Im Bericht über die 2009 vorgenommene „Top-down-Beurteilung“ wurden für alle Geschäftsbereiche weiterzuverfolgende Punkte mit Handlungsbedarf (action points) aufgeführt. Für die in der Stichprobe erfassten Geschäftsbereiche lagen allerdings keine Dokumentationen über Kosten-Nutzen-Analysen vor.

38. Bei einigen Risiken nahm das Verfahren der Risikoakzeptanz durch die ORC-Funktion bzw. das Direktorium, das sich an die Ermittlung des betreffenden Risikos durch den Geschäftsbereich anschließt, sehr viel Zeit in Anspruch. Beispielsweise waren zwei zwischen Juli und August 2009 ermittelte Risiken im Dezember 2010 noch nicht genehmigt worden. Aus der anlässlich der Sitzungen der ORC-Funktion überprüften Liste der noch abzuarbeitenden Punkte mit Handlungsbedarf (action points) geht ebenfalls deutlich hervor, dass es bei einigen Punkten mehr als ein Jahr und sogar bis zu zwei Jahre dauerte, bis sie abgearbeitet wurden.

39. Nur bei drei von sechs in der Stichprobe erfassten Geschäftsbereichen ging aus den jeweiligen Arbeitsprogrammen hervor, dass spezifische Ressourcen für ORM-Tätigkeiten bereitgestellt worden waren. Allerdings war die Beschreibung der ORM-Tätigkeiten ungenau, und es war nicht möglich, die während der 2009 erfolgten „Top-Down-Beurteilung“ aufgezeigten Punkte mit Handlungsbedarf (action points) in den Arbeitsprogrammen der Geschäftsbereiche zu erkennen.

Management der Geschäftsfortführung im Krisenfall (Business Continuity Management, BCM)

40. Das Management der Geschäftsfortführung im Krisenfall ist ein wichtiger Bestandteil des operationellen Risikomanagements. Dabei geht es um die Ausarbeitung von Notfallverfahren und Wiederherstellungsplänen für den Katastrophenfall, welche die Fortführung kritischer Tätigkeiten und Prozesse im Krisenfall gewährleisten sollen.

41. Der Hof prüfte, ob i) der globale BCM-Rahmen angemessen ist und den vorbildlichen Verfahren entspricht, ii) die kritischen Prozesse korrekt ermittelt wurden, iii) in den von ausgewählten Geschäftsbereichen erstellten individuellen Plänen zur Geschäftsfortführung im Krisenfall die Risiken gebührend berücksichtigt sind, sodass die Fortführung oder Wiederherstellung kritischer Operationen gewährleistetet ist, iv) die Regelungen für die Geschäftsfortführung im Krisenfall angemessen getestet wurden, v) die Mitarbeiter über die betreffenden Regelungen informiert waren und entsprechende Fortbildungsmaßnahmen erhalten hatten.

BCM-Rahmen

42. Das Management der Geschäftsfortführung im Krisenfall ist ein ganzheitliches Konzept, das Strategien, Standards und Verfahren umfasst, die sicherstellen sollen, dass spezifische Operationen im Falle einer Unterbrechung aufrechterhalten oder rasch wiederhergestellt werden können. Ziel ist es, die mit einer Unterbrechung verbundenen operationellen, finanziellen, rechtlichen, das Ansehen betreffenden und sonstigen wesentlichen Folgen so gering wie möglich zu halten (29).

43. Ziel des BCM ist es, sicherzustellen, dass die im Hinblick auf die Geschäftsfortführung im Krisenfall vereinbarten Regelungen und Lösungen mit den Zielen, Aufgaben und rechtlichen Verpflichtungen der EZB sowie mit ihrer Risikotoleranzpolitik in Einklang stehen (30).

44. Im Zuge der Prüfung wurden folgende Grundlagendokumente des Rahmens für die Geschäftsfortführung im Krisenfall analysiert: — Kapitel 26 des Praxishandbuchs, das den übergeordneten Rahmen vorgibt und eine Definition der weiterzuführenden Prozesse und des zu erbringenden Outputs sowie eine Beschreibung der jeweiligen Rollen und Zuständigkeiten enthält, — die EZB-Strategie für die Tests der Geschäftsfortführung im Krisenfall sowie die diesbezüglichen Fortbildungsmaßnahmen, — die geplanten Programmtests zur Geschäftsfortführung im Krisenfall, — das Handbuch für Krisenmanagement.

45. Die EZB hat ein Handbuch für Krisenfälle ausgearbeitet, das eine Beschreibung der im Krisenfall geltenden Rollen, Zuständigkeiten und Prozesse sowie die Kontaktdaten der Mitglieder des Krisenmanagementteams enthält. Jeder Geschäftsbereich ist selbst dafür zuständig, seinen Plan zur Geschäftsfortführung im Krisenfall auszuarbeiten. Gemäß dem übergeordneten Template für die Pläne zur Geschäftsfortführung im Krisenfall (High-Level-BCP-Template) bedarf es auf Bankebene keines globalen Plans für die Geschäftsfortführung im Krisenfall. Ein entsprechender Plan wurde daher auch nicht ausgearbeitet.

46. Die EZB hat einen soliden Rahmen geschaffen, der Vorgaben für die innerhalb der Organisation geltenden Strategien, Prozesse und Verantwortlichkeiten für BCM enthält. Allerdings birgt der dezentrale Ansatz der Bank das Risiko, dass — ohne eine straffe Koordinierung — das Management der Geschäftsfortführung im Krisenfall innerhalb der Organisation nicht kohärent angewendet wird.

Ermittlung kritischer Prozesse

47. Die Analyse der geschäftlichen Auswirkungen (Business-Impact-Analyse — BIA) stellt einen dynamischen Prozess dar, anhand dessen kritische Operationen und Dienstleistungen, zentrale interne und externe Abhängigkeiten und geeignete Reaktionsebenen ermittelt werden. Im Rahmen dieser Analyse werden die mit verschiedenen Unterbrechungsszenarien verbundenen Risiken und potenziellen Auswirkungen auf die Tätigkeit und das Ansehen einer Organisation aufgezeigt (31).

48. Die letzte umfassende Analyse der geschäftlichen Auswirkungen (Business-Impact-Analyse, BIA) der EZB wurde im Jahr 2006 durchgeführt (32). Dabei ging es darum, die für die Fortführung der wichtigsten Bankoperationen entscheidenden Produkte und Dienstleistungen zu ermitteln. Im Rahmen dieser BIA wurden u. a. folgende zentrale Aspekte untersucht: — Ermittlung der kritischen Geschäftsprozesse, — Kategorisierung der kritischen Erfordernisse, — Orientierungshilfen für die Vorgehensweise bei nicht wiederkehrenden oder seltenen Prozessen, — Ermittlung des zusätzlichen Unterstützungsbedarfs.

49. Im Zuge einer umfassenden Aktualisierung der BIA im Jahr 2007 wurden Lücken in Bezug auf die Geschäftsfortführung im Krisenfall und die zum damaligen Zeitpunkt geltenden Verfahren ermittelt. Im Anschluss daran wurde eine Weiterverfolgungsstrategie ausgearbeitet, in deren Rahmen Optionen zur Schließung der festgestellten Lücken oder zur Akzeptanz der betreffenden Risiken und Kosten dargelegt wurden. Im einschlägigen Dokument wurden zwar die mit den erforderlichen IT-Lösungen und der logistischen Infrastruktur verbundenen Kosten angegeben, doch wurden diese Kosten nicht so aufgeschlüsselt, dass deutlich wurde, wie sich die verschiedenen Risikoniveaus auf die Kosten auswirkten.

50. Die jüngste Aktualisierung der BIA, bei der es darum ging, die 2007 ermittelten Lücken zu schließen, wurde 2010 abgeschlossen. Seit der Finanzkrise wurde noch keine umfassende Analyse der geschäftlichen Auswirkungen (BIA) durchgeführt.

Pläne zur Geschäftsfortführung im Krisenfall

Kritische Operationen

51. In den Plänen zur Geschäftsfortführung im Krisenfall sollten die kritischen Operationen aufgezeigt werden, die zur Erfüllung der im Protokoll über die Satzung der EZB festgelegten rechtlichen Verpflichtungen der EZB (33) unverzichtbar sind. Bei diesen Plänen ist vom schlimmsten denkbaren Fall auszugehen, wobei die Reaktionen entsprechend der tatsächlichen Krisensituation abgestuft werden können (34).

52. Die EZB hat wichtige Benchmarks für die Bestimmung der Risikorelevanz definiert, die auf ihren rechtlichen Verpflichtungen basieren (siehe Kasten 3). Kasten 3 Wichtige Benchmarks für die Ermittlung der Risikorelevanz Erfüllung der rechtlichen Verpflichtungen, wozu Folgendes gehört: — die Geldpolitik der Gemeinschaft für den Euro-Raum festlegen und ausführen; — Devisengeschäfte durchführen; — die offiziellen Währungsreserven der Mitglieder des Euroraums halten und verwalten; — das reibungslose Funktionieren der Zahlungsgeschäfte fördern. Die Auswirkungen einer Unterbrechung eines bestimmten Prozesses in Bezug auf: — die Instabilität des Marktes; — die Schädigung der Glaubwürdigkeit/des Images/des Ansehens; — den finanziellen Verlust für die EZB; — den finanziellen Verlust für andere Institutionen; — potenzielle rechtliche Probleme; — sonstige Auswirkungen. Quelle: EZB, BIA review 2006.

53. Die Analyse dieser wichtigen Benchmarks durch den Hof und eine erste Analyse des potenziellen Umfangs der bei den angenommenen Szenarien (35) fortgeführten Operationen hat ergeben, dass die Pläne so konzipiert waren, dass die Wahrnehmung der rechtlichen Verpflichtungen durch die EZB gewährleistet wäre. Allerdings hat die Überprüfung der Pläne zur Geschäftsfortführung im Krisenfall durch den Hof gezeigt, dass in den Plänen nicht für einen erheblichen Ausfall von Mitarbeitern im Katastrophenfall vorgesorgt war (36). Die für die jeweiligen Prozesse zuständigen Geschäftsbereiche hatten zwar die für die Geschäftsfortführung im Krisenfall zuständigen Mitarbeiter und deren Vertreter bestimmt, doch hatte kein Geschäftsbereich ein Back-up-Verfahren für den Fall eines massiven Ausfalls von Mitarbeitern ausgearbeitet.

Übereinstimmung mit dem übergeordneten Template für die Geschäftsfortführung im Krisenfall (High-Level-BCP-Template)

54. Gemäß dem übergeordneten Template für die Geschäftsfortführung im Krisenfall müssen die betreffenden Pläne der Geschäftsbereiche Folgendes abdecken: — die organisatorischen Aspekte (37); — die kritischen Prozesse (38); — die konkreten Erfordernisse (39); — die Liste der Interessengruppen. Eine Organisation sollte die ihr aus den Maßnahmen zur Verbesserung ihrer Widerstandsfähigkeit gegenüber operationellen Unterbrechungen erwachsenden direkten Vorteile gegen die Kosten dieser Maßnahmen abwägen (40).

55. Das globale übergeordnete BCP-Template enthält Vorgaben für den obligatorischen Aufbau und Inhalt der jeweiligen Pläne zur Geschäftsfortführung im Krisenfall der einzelnen Geschäftsbereiche. Das Template betrifft aber nur den Aufbau der von den Geschäftsbereichen vorzulegenden Dokumente zur Geschäftsfortführung im Krisenfall.

56. Die Pläne zur Geschäftsfortführung im Krisenfall werden auf der Ebene der Geschäftsbereiche, Abteilungen oder Unterabteilungen ausgearbeitet. Im Allgemeinen entspricht der obligatorische Inhalt dieser Pläne den Vorgaben des übergeordneten Templates, allerdings gibt es erhebliche Unterschiede hinsichtlich der Ausführlichkeit. Die ORM/BCM-Funktion stellt zwar die zentrale Koordinierung sicher, doch hängt die Qualität der einzelnen Pläne zur Geschäftsfortführung im Krisenfall von den auf der Ebene der Geschäftsbereiche dafür jeweils zuständigen Personen ab. Es gab keine Nachweise dafür, dass die einzelnen Pläne zur Geschäftsfortführung im Krisenfall von der ORM/BCM-Funktion ausreichend überprüft wurden.

57. Von den fünf für eine eingehende Prüfung ausgewählten Geschäftsbereichen (41) hatten vier einen den Anforderungen entsprechenden Plan zur Geschäftsfortführung im Krisenfall erstellt. In den betreffenden Plänen zur Geschäftsfortführung im Krisenfall von drei Geschäftsbereichen wurde umfassend auf die im Zuge der BIA ermittelten kritischen Prozesse eingegangen.

58. Für die in der Stichprobe erfassten Geschäftsbereiche lagen zumeist keine dokumentierten Kosten-Nutzen-Analysen in Bezug auf die verschiedenen Optionen für die Geschäftsfortführung im Krisenfall, einschließlich einer Bewertung der verschiedenen Risikobereiche, vor.

Durchführung von Tests

59. Die Organisationen sollten ihre Pläne zur Geschäftsfortführung im Krisenfall testen, deren Wirksamkeit bewerten und das Management der Geschäftsfortführung im Krisenfall gegebenenfalls an die aktuellen Gegebenheiten anpassen (42). Gemäß BS 25999 (43) hat die Organisation dafür zu sorgen, dass ihre Regelungen zur Geschäftsfortführung im Krisenfall getestet und überprüft sind und dass diese Regelungen dem neuesten Stand entsprechen.

60. Folgende Dokumente wurden überprüft: — die im Zusammenhang mit den Tests zur Geschäftsfortführung im Krisenfall bestehende Strategie (44), — die Testprogramme und Zeitpläne für den Zeitraum 2008-2010, — die Testberichte.

61. Die Teststrategie betrifft in erster Linie die zur Geschäftsfortführung im Krisenfall und zur Wiederherstellung der Informationssysteme entwickelten Pläne und dient zur Überprüfung der im Rahmen der BIA ermittelten kritischen Prozesse. Das Testkonzept sieht eine Überprüfung der klaren Verteilung der Zuständigkeiten, die Festlegung des Testumfangs, die Berichterstattungsanforderungen, die Testhäufigkeit und alle relevanten mittelfristigen Testprogramme vor. Die Überprüfung hat ergeben, dass ein angemessener Steuerungsrahmen für die Tests ausgearbeitet wurde, der den Anforderungen des BS 25999 entspricht.

62. Die durchgeführten Tests haben gezeigt, dass die Übungstests zwar die wichtigsten Mitarbeiter betrafen und regelmäßig durchgeführt wurden, aber nicht immer die Situationen simuliert wurden, in der sich die EZB im Falle einer gravierenden Unterbrechung der Geschäftstätigkeit befinden würde. Die in den Jahren 2009 und 2010 geplanten Tests deckten nicht alle von der EZB vorgesehenen Szenarien ab, außerdem wurden nicht alle ursprünglich geplanten Tests durchgeführt.

Fortbildungsmaßnahmen und Sensibilisierung

63. Die für Krisenmanagement und Krisenbewältigung zuständigen Teams sollten auf ihre Zuständigkeiten und Verpflichtungen vorbereitet werden. Sie sollten mindestens einmal jährlich geschult werden. Neue Teammitglieder sollten eine Schulung erhalten, wenn sie zu den Teams dazustoßen. Das gesamte Personal sollte an Fortbildungsmaßnahmen teilnehmen, die es darauf vorbereiten, die im Krisenfall zu übernehmenden Aufgaben wahrzunehmen. Außerdem sollten alle Mitarbeiter über die wichtigsten Bestandteile des Plans zur Geschäftsfortführung im Krisenfall informiert werden (45).

64. Laut der Fortbildungsstrategie der EZB sollten alle Mitarbeiter an einem Programm zur stärkeren Sensibilisierung für das Management der Geschäftsfortführung im Krisenfall (BCM awareness enhancement programme) teilnehmen (46). Hinsichtlich der Tests sieht die Strategie ein Schulungsprogramm vor, in dem alle Einzelheiten der Durchführung erläutert werden.

65. Im Jahr 2010 fanden fünf halbtägige Kurse im Bereich Krisenmanagement statt, bei denen das von der EZB angenommene Handbuch zur Krisenbewältigung durchgegangen wurde. Sowohl die Einführung des Handbuchs als auch die Kurse wurden von den Kursteilnehmern insgesamt positiv bewertet. Allerdings ist festzuhalten, dass Simulationsübungen ebenfalls für sehr wünschenswert gehalten wurden.

66. Im Zuge der Prüfung wurden eindeutige Nachweise dafür gefunden, dass das für die Geschäftsfortführung im Krisenfall relevante Personal entsprechend geschult wird, indem insbesondere die Pläne zur Geschäftsfortführung im Krisenfall getestet werden. Nachweise dafür, dass aktiv versucht wurde, das übrige Personal für den Rahmen und die Prozesse zur Geschäftsfortführung im Krisenfall zu sensibilisieren, fanden sich hingegen nicht. In mehreren internen Referenzdokumenten (47) heißt es, dass Tests zwar eine zentrale Rolle bei der Schulung der Mitarbeiter spielten, es aber notwendig sei, das gesamte Personal im Rahmen eines Sensibilisierungsprogramms anzusprechen. Bislang wurde kein entsprechendes Programm ausgearbeitet, da die zentrale ORM/BCM-Funktion die Auffassung vertritt, die Mitarbeiter seien ausreichend über die Regelungen zur Geschäftsfortführung im Krisenfall informiert. Aus einer internen Befragung (48) geht jedoch hervor, dass mehr als 12 % (20 % im Jahr 2009) der Teilnehmer die Regelungen zur Geschäftsfortführung im Krisenfall in ihrem Geschäftsbereich nicht kannten und nicht wussten, wo sie Informationen über die im Krisenfall zu treffenden Maßnahmen erhalten können.

Hat die EZB für ein wirksames finanzielles Risikomanagement gesorgt?

67. Beim finanziellen Risikomanagement handelt es sich um einen Prozess, mit dem die durch die Finanzmärkte bedingten Unwägbarkeiten aufgefangen werden sollen. Er beinhaltet die Beurteilung der finanziellen Risiken, mit denen eine Organisation konfrontiert ist, und die Ausarbeitung von mit ihren internen Prioritäten und Politiken in Einklang stehenden Managementstrategien.

68. Der Hof untersuchte, ob — der globale Rahmen für das finanzielle Risikomanagement in Bezug auf die Investitionstätigkeit und Bankgeschäfte geeignet ist und den vorbildlichen Verfahren entspricht; — die von der EZB in Bezug auf die finanziellen Risiken verfolgte Methode ein angemessenes finanzielles Risikomanagement gewährleistet; — die in Bezug auf die finanziellen Risiken verfolgte Methode innerhalb der EZB wirksam angewendet wird; — die Berichterstattung über das finanzielle Risikomanagement ordnungsgemäß und zuverlässig ist.

Rahmen für das finanzielle Risikomanagement in Bezug auf die Investitionstätigkeit und die Bankgeschäfte

69. Der betreffende Rahmen sollte eine unternehmensweite Definition der finanziellen Risiken sowie eine Beschreibung der für Ermittlung, Beurteilung, Überwachung und Steuerung/Eindämmung dieser finanziellen Risiken geltenden Grundsätze umfassen (49). Die Bank muss über ein System für das finanzielle Risikomanagement verfügen, das eine klare Zuweisung der Zuständigkeiten umfasst.

70. Der EZB-Rahmen für das finanzielle Risikomanagement ist darauf ausgerichtet, die mit zwei Geschäftstätigkeiten der EZB — i) Investitionstätigkeit und ii) Kreditgeschäfte — verbundenen Risiken abzudecken. Die Investitionstätigkeit betrifft die beiden Investitionsportfolios der EZB, nämlich das Währungsreservenportfolio (50) (60 600 Millionen Euro am 31. Dezember 2010) und das Eigenmittelportfolio (51) (13 300 Millionen Euro am 31. Dezember 2010). Bei den Kreditgeschäften geht es um die geldpolitischen Operationen (52). Die Investitionstätigkeit der EZB umfasst die Verwaltung der Währungsreserven (53), des Eigenmittelportfolios und des Pensionsfonds der Bank sowie die Tätigkeiten im Zusammenhang mit den beiden für geldpolitische Zwecke gehaltenen Portfolios (54).

71. Die Abteilung Risikomanagement (RMA) ist für den globalen Risikomanagementrahmen im Bereich der Investitionstätigkeit zuständig und überwacht, beurteilt und steuert die damit verbundenen Risiken. Sie wacht darüber, dass die hinsichtlich der Markt- und Kreditrisiken geltenden Risikomanagementstrategien und -verfahren beachtet werden. Über die Fälle, in denen diese Strategien bzw. Verfahren nicht beachtet werden, wird im Einklang mit den festgelegten Eskalationsverfahren Bericht erstattet.

72. Die Investitionstätigkeiten werden vom Geschäftsbereich GD-M der EZB durchgeführt, der auch die Pflege und Weiterentwicklung der für das Portfoliomanagement des Eurosystems genutzten Anwendung sicherstellt (55). Die Abteilung Finanzanlagen der GD-M ist dafür zuständig, die Vorschläge des „Investment Committee“ hinsichtlich der taktischen Benchmark für das Währungsreservenportfolio vorzubereiten; außerdem nimmt sie das direkte Management des Eigenmittelportfolios der EZB wahr.

73. Das Handbuch für finanzielles Risikomanagement (Handbook of Financial Risk Management) (56) ist das wichtigste Dokument für das finanzielle Risikomanagement bei Investitionstätigkeiten. Es enthält eine ausführliche Übersicht über alle relevanten Strategien, Prozesse und Verfahren, vor allem in Form von Verweisen auf von den Beschlussorganen der EZB angenommene Dokumente.

74. Der von der EZB geschaffene globale Rahmen und das finanzielle Risikomanagement für die Verwaltung der Investitionstätigkeiten und Bankgeschäfte enthält eine bankweite Definition der finanziellen Risiken und eine Beschreibung der für die Ermittlung, Beurteilung, Überwachung und Steuerung/Eindämmung der finanziellen Risiken geltenden Grundsätze.

Methode für das finanzielle Risikomanagement

75. Es sollten angemessene Anlagerichtlinien formuliert werden, in denen die Risikobereitschaft hinlänglich definiert und umfassende Orientierungshilfen für die Investitionstätigkeit vorgegeben werden.

76. Im EZB-Handbuch für das finanzielle Risikomanagement (Handbook of Financial Risk Management) wird Folgendes definiert: i) die Risikotoleranz der EZB, ii) die zugelassenen Instrumente und Operationen, iii) die zugelassenen Geschäftspartner und Emittenten, die Limitierung, iv) die Strategie in Bezug auf die Mischung der Vermögenswerte, v) die Berichterstattung über die Überwachung und die Beurteilung, vi) der Rahmen für die Überprüfung (framework review) (57).

77. Bei der Investition der Währungsreserven kommt ein dreistufiger Prozess zur Anwendung, und zwar eine strategische Benchmark, eine taktische Benchmark und das tatsächliche Portfolio. Die strategische Benchmark, die das langfristige Risiko-/Ertragsprofil widerspiegelt, wird vom EZB-Rat festgelegt.

78. Bei der Anlage der Eigenmittel kommt ein zweistufiger Prozess zur Anwendung, und zwar eine strategische Benchmark und das tatsächliche Portfolio. Die strategische Benchmark wird vom Direktorium festgelegt.

79. Die Erträge sollen unter Beachtung der Verpflichtung zur Vermeidung von Verlusten sowie der Zwänge hinsichtlich der Mischung der Vermögenswerte maximiert und nach Maßgabe einer speziellen Strategie zur Mischung der Vermögenswerte verwaltet werden (58).

80. Die Risikomanagement-Abteilung (RMA) führt Listen zugelassener Länder, Emittenten und Geschäftspartner und legt auf der Grundlage der vom Direktorium genehmigten Methode Limite für die Geschäftspartner fest. Im Falle der Währungsreserven werden die Limite den nationalen Zentralbanken nach Maßgabe der vom EZB-Rat genehmigten Methode zugewiesen. Einmal jährlich findet eine systematische Aktualisierung aller Limite statt. Zusätzlich dazu werden die Auswirkungen veränderter Ratings auf die Zulassung und die Limite umgehend berücksichtigt.

81. Die Strategie zur Mischung der Vermögenswerte trägt folgenden übergeordneten strategischen Vorgaben Rechnung: i) mit den gehaltenen Reserven verfolgte Ziele, ii) Risiko-/Ertragsprofil, iii) dem Modell zugrundliegender Ansatz (Modelling Philosophy), iv) Investitionshorizont und Häufigkeit der Überprüfung, v) Verteilung der Zuständigkeiten auf die strategische Benchmark und die taktischen Stufen innerhalb der Investitionskette, vi) Inhalt der Informationen, welche die Investitionsentscheidungen beeinflussen, vii) zulässige Investitionstätigkeit, viii) vorgegebene Investitionsbeschränkungen. Die Investitions- und Risikohorizonte werden im Falle der Währungsreserven jährlich und im Falle der Eigenmittel alle fünf Jahre festgelegt.

82. Im Zuge der Prüfung des Hofes wurde Folgendes analysiert: — die Vollständigkeit und Angemessenheit der Definition der Risikobereitschaft und der Risikostrategie, — die Anlagerichtlinien, — der Entscheidungsprozess bei der Festlegung der Limiten für die Investitionstätigkeit, — die Maßnahmen zur Eindämmung der Risiken sowie die Kohärenz dieser Maßnahmen in Bezug auf das Markt-, Kredit-, Adressenausfall- und Liquiditätsrisiko sowie die operationellen Risiken bei Investitionstätigkeiten.

83. Die Analyse des Rahmens für das finanzielle Risikomanagement hat gezeigt, dass die Methode für das finanzielle Risikomanagement eine ausreichende Definition der Risikobereitschaft und umfassende Richtlinien für die Investitionstätigkeit der EZB beinhaltet.

Anwendung der Methode für das finanzielle Risikomanagement

84. Die vorstehend beschriebene Methode für das finanzielle Risikomanagement sollte in der Praxis wirksam umgesetzt werden.

85. Die Prüfung des Hofes umfasste Folgendes: i) eine Analyse der Angemessenheit der Benchmarks im Verhältnis zum Risikoprofil für das Portfolio, einschließlich einer Analyse der fehlerbezogenen Maßnahmen, der Datenqualität, des Datenmanagements und der Datensicherheit im Zusammenhang mit den strategischen und taktischen Benchmarks; ii) eine Analyse der beim Berechnen und Aktualisieren der Portfolios und Benchmarks eingesetzten Instrumente und Systeme; iii) eine Analyse des Change-Managements im Bereich der Benchmarks.

86. Im Zusammenhang mit dem Value at Risk wurden folgende Aspekte betrachtet: i) Analyse der Datenqualität und des Datenmanagements, Überprüfung der Sicherheit und Kontrolldaten; ii) Analyse der bei der Erstellung der Modelle verwendeten Technik, der Modellannahmen und der wichtigsten Modellkomponenten; iii) Plausibilitätskontrollen, Überprüfung der Ergebnisse der Rückvergleiche, Analyse der Berichterstattung.

87. Die Prüfungen haben gezeigt, dass die Methode angemessen umgesetzt wurde. Allerdings wurde die Anwendung des Vier-Augen-Prinzips nicht dokumentiert. Zudem hat die Analyse der für die Berechnung der strategischen und taktischen Benchmarks und des VaR herangezogenen Modelle sowie der Modellvalidierung in Bezug auf einige der Modelle Folgendes deutlich gemacht: a) Bei den Modellen fanden in jüngerer Zeit keine regelmäßigen Rückvergleiche statt bzw. entsprechende Rückvergleiche wurden nicht dokumentiert. b) Die angewendeten Modelle waren nicht Gegenstand einer unabhängigen Validierung oder rezenten Aktualisierung. c) Die Modellannahmen wurden nicht immer ausreichend dokumentiert.

88. Im Rahmen der Analyse der vorbildlichen Verfahren in anderen vergleichbaren internationalen Organisationen wurde festgestellt, dass die Federal Reserve Bank in New York nach der Finanzkrise in den USA ihre Kapazitäten im Bereich des finanziellen Risikomanagements ausgebaut und in diesem Zusammenhang ein Team für Modellvalidierung eingesetzt hat. Die wichtigsten Aufgaben dieses Teams werden in Kasten 4 aufgeführt. Kasten 4 Team für Modellvalidierung bei der Federal Reserve Bank in New York Die wichtigsten Aufgaben des Teams sind: — Erstellung eines Verzeichnisses aller im Zusammenhang mit dem finanziellen Risikomanagement verwendeten Modelle; — Überprüfung und Validierung der Modelldokumentation; — Erstellung einer ausführlichen Dokumentation in den Fällen, in denen die Dokumentation als unzureichend erachtet wird; — Testen der Modelle.

Angemessenheit der Berichterstattung über die finanziellen Risiken

89. Es sollte ein Verfahren eingerichtet werden, das die regelmäßige Überwachung der Risikoprofile und wesentlichen Verlustrisiken gewährleistet. Außerdem sollte ein zuverlässiges Überwachungs- und Berichterstattungssystem eingeführt werden.

90. Die Risikomanagement-Abteilung überwacht die Einhaltung der hinsichtlich der Markt- und Kreditrisiken vereinbarten Risikomanagementstrategien und -prozesse. Ferner erstattet sie im Einklang mit den festgelegten Eskalationsverfahren über Fälle der Nichtbeachtung dieser Strategien und Prozesse Bericht. Sie berichtet regelmäßig über das Risiko-/Ertragsprofil und die mit dem Währungsreservenportfolio und dem Eigenmittelportfolio erzielten Ergebnisse (Leistungsberichterstattung) sowie über die diesbezüglichen strategischen und taktischen Benchmarks. Die Berichterstattung erfolgt täglich, wöchentlich, monatlich, vierteljährlich und jährlich.

91. Die von den Prüfern des Hofes durchgeführten Prüfungen und Befragungen haben ergeben, dass die Leistungsberichterstattung regelmäßig erfolgt und zeitnah an die Entscheidungsträger weitergegeben wird. Allerdings wurde festgestellt, dass die als vorbildliches Verfahren geltenden GIPS-Standards (59) bei der internen Leistungsberichterstattung nicht in vollem Umfang angewendet werden.

SCHLUSSFOLGERUNGEN UND EMPFEHLUNGEN

Hat die EZB einen angemessenen und umfassenden übergeordneten Rahmen für das Risikomanagement geschaffen?

92. Die EZB verfügt über eine lückenlose Organisationsstruktur mit einer klaren Verteilung der Aufgaben und Zuständigkeiten, wobei allerdings eine deutliche Trennlinie zwischen dem finanziellen und dem operationellen Risikomanagement der EZB besteht, wodurch eine erhöhte Gefahr besteht, dass keine ganzheitliche Betrachtung bankweiter Risiken stattfindet. Es wurde keine unabhängige zentrale Stelle wie ein Risikomanager (Risk Officer) oder ein Risiko-Ausschuss als Schnittstelle zwischen dem Direktorium und den beiden Risikofunktionen ORM/BCM und RMA geschaffen.

93. Der Jahresabschluss der EZB enthält nur knappe Informationen zu bestimmten Aspekten des Risikomanagements, aber keinen Überblick über den Risikomanagementprozess der Organisation, die bestehenden Risiken und den vom Management diesbezüglich verfolgten Ansatz. Empfehlungen 1. Die EZB sollte erwägen, eine hierarchisch unabhängige zentrale Risikomanagementfunktion zu schaffen, indem sie beispielsweise einen Risikomanager (Chief Risk Officer) oder einen Risiko-Ausschuss einsetzt, der sich ausschließlich auf das Risikomanagement konzentriert, wodurch eine umfassende Betrachtung der Risiken, mit denen die Bank konfrontiert ist, sichergestellt würde. 2. Die EZB sollte in ihrem Jahresabschluss die Risikomanagementpraxis noch besser gegenüber externen Stellen offenlegen, indem sie vorbildliche Verfahren wie den IFRS 7 anwendet.

Hat die EZB für ein wirksames operationelles Risikomanagement gesorgt?

94. Die EZB verfügt über eine klare Organisationsstruktur und angemessene Strategien im Bereich des operationellen Risikomanagements mit einer Beschreibung der von der Bank in Bezug auf die Beurteilung, Überwachung und Steuerung/Eindämmung der Risiken verfolgten Strategien.

95. In den Jahren 2008 und 2009 fanden Top-down-Bewertungen statt und wurden Aktionspläne für alle Geschäftsbereiche ausgearbeitet; allerdings gibt es keine Dokumentation über die Ausarbeitung von Kosten-Nutzen-Analysen.

96. Es existiert ein System für die Berichterstattung, Überwachung und Weiterverfolgung. Für die mittleren und hohen Risiken wurde zudem ein Zeitplan für die Weiterverfolgung der zur Eindämmung der Risiken getroffenen Maßnahmen ausgearbeitet. Bei einigen Risiken nahm das Verfahren für die Risikoakzeptanz durch die ORC-Funktion bzw. das Direktorium allerdings sehr viel Zeit in Anspruch. Die Planung und die ORM-Zyklen sind nicht miteinander verknüpft. Zudem wurden die ORM-Aktivitäten in den Arbeitsprogrammen einiger geprüfter Geschäftsbereiche nicht klar aufgeführt.

97. Die EZB hat ein umfassendes Handbuch mit der Strategie für die Krisenbewältigung ausgearbeitet. Darin werden die im Falle einer Krise geltenden Rollen, Zuständigkeiten und Prozesse beschrieben und die Kontaktdaten der Mitglieder des Krisenmanagementteams aufgeführt. Jeder Geschäftsbereich trägt die volle Verantwortung für die Ausarbeitung seines Plans zur Gewährleistung der Geschäftsfortführung im Krisenfall.

98. Die EZB hat einen soliden Rahmen mit Leitlinien zur Geschäftsfortführung im Krisenfall ausgearbeitet, der eine Beschreibung der diesbezüglichen Strategien, Prozesse und Zuständigkeiten umfasst. Allerdings ist Folgendes festzuhalten: a) Die Analyse der geschäftlichen Auswirkungen (Business Impact Analysis) war Gegenstand einer im Jahr 2007 durchgeführten und im Jahr 2010 abgeschlossenen umfassenden Aktualisierung; seit Beginn der Finanzkrise wurde aber keine umfassende Analyse der geschäftlichen Auswirkungen (Business Impact Analysis) durchgeführt. b) Es wurde festgestellt, dass Pläne über die im Falle eines massiven Ausfalls von Humanressourcen zu treffenden Maßnahmen fehlen. c) Die geplanten Tests deckten nicht alle von der EZB vorgesehenen Katastrophenszenarien ab. d) Einige der für die Jahre 2009 und 2010 vorgesehenen Tests wurden nicht durchgeführt. Empfehlungen 3. Die jährliche Beurteilung der operationellen Risiken sollte mit dem strategischen und finanziellen Planungszyklus der EZB sowie den jährlichen Arbeitsprogrammen der einzelnen Geschäftsbereiche verknüpft werden. 4. Die im Hinblick auf die mittleren und hohen operationellen Risiken zu treffenden Maßnahmen sollten rasch umgesetzt werden. 5. Die EZB sollte ihre Pläne zur Geschäftsfortführung im Krisenfall sowie das entsprechende Testprogramm weiter ausbauen und versuchen sicherzustellen, dass alle geplanten Tests durchgeführt werden.

Hat die EZB für ein wirksames finanzielles Risikomanagement gesorgt?

99. Der globale Rahmen und das finanzielle Risikomanagement der EZB in Bezug auf die Investitionstätigkeit und die Bankgeschäfte sind angemessen. Die Überprüfung des Rahmens für das finanzielle Risikomanagement hat gezeigt, dass die EZB über eine fundierte Methode für das finanzielle Risikomanagement verfügt, die in Bezug auf die Investitionstätigkeit und die Bankgeschäfte der Bank angemessen ist. Hinsichtlich der praktischen Anwendung der Methode sind jedoch Verbesserungen erforderlich, beispielsweise bei den zur Berechnung der strategischen und taktischen Benchmarks und des VaR herangezogenen Modellen.

100. Im Rahmen des internen Risikomanagements werden richtige, angemessene und umfassende Informationen über das finanzielle Risikomanagement erstellt, die dem oberen Management und dem Direktorium der EZB vorgelegt werden. Die Leistungsberichterstattung erfolgt regelmäßig und zeitnah, wird aber nicht regelmäßig aktualisiert, um den Veränderungen bei den GIPS-Standards Rechnung zu tragen. Empfehlungen 6. Die EZB sollte die Überprüfung und Validierung der bei der Berechnung der strategischen und taktischen Benchmarks sowie des VaR herangezogenen Modelle weiter verbessern und in den Fällen, die als nicht ausreichend belegt erachtet werden, ausführliche Dokumentationen erstellen. Ferner sollte sie die Modelle testen und die Modellannahmen regelmäßig überprüfen. 7. Es sollte jährlich überprüft werden, ob die GIPS-Standards geändert wurden, und deren umfassende Anwendung bei der internen Leistungsberichterstattung der EZB sollte erwogen werden.

Dieser Bericht wurde von Kammer IV unter Vorsitz von Herrn Louis GALEA, Mitglied des Rechnungshofs, in ihrer Sitzung vom 27. März 2012 in Luxemburg angenommen. Für den Rechnungshof Vítor Manuel da SILVA CALDEIRA Präsident

(1) Artikel 127 Absatz 1 des Vertrags über die Arbeitsweise der Europäischen Union.

(2) Die Satzung des ESZB und der EZB ist in einem Protokoll zum Vertrag festgelegt.

(3) In Artikel 27.2 des Protokolls über die Satzung des Europäischen Systems der Zentralbanken und der Europäischen Zentralbank heißt es: „Artikel 287 des Vertrags über die Arbeitsweise der Europäischen Union ist nur auf eine Prüfung der Effizienz der Verwaltung der EZB anwendbar.“

(4) Artikel 9.3 des Protokolls über die Satzung des Europäischen Systems der Zentralbanken und der Europäischen Zentralbank. Der EZB-Rat umfasst die sechs Mitglieder des Direktoriums sowie die Präsidenten der nationalen Zentralbanken der Länder des Euro-Raums. Das Direktorium umfasst den Präsidenten, den Vizepräsidenten sowie vier weitere Mitglieder.

(5) Artikel 12.1 des Protokolls über die Satzung des Europäischen Systems der Zentralbanken und der Europäischen Zentralbank.

(6) Das operationelle Risikomanagement (ORM) betrifft die Abdeckung der Risiken im Zusammenhang mit der Geschäftstätigkeit der EZB, wozu auch die Risiken aufgrund der Prozesse und Projekte des ESZB/Eurosystems zählen.

(7) Die vom Hof bei seiner Bewertung des EZB-Rahmens für das operationelle und das finanzielle Risikomanagement zugrunde gelegten Kriterien sind im vorliegenden Dokument mit Kursivschrift gekennzeichnet. Sofern nicht anders angegeben, handelt es sich um Kriterien des Hofes.

(8) Das Risikomanagement auf der Ebene des Europäischen Systems der Zentralbanken (ESZB) war nicht Teil des Prüfungsumfangs.

(9) Es fanden Informationsbesuche bei der Federal Reserve Bank in New York und der Bank of Canada statt, und es wurden Fragebögen an die Federal Reserve Bank in New York, die Bank of Canada und die Schweizer Nationalbank verschickt.

(10) Übernommen aus: José Manuel González-Páramo, Mitglied des EZB-Direktoriums, Ulrich Bindseil und Evangelos Tabakis, Risk Management for Central Banks and Other Public Investors, Cambridge University Press 2009.

(11) Übernommen aus: „High level principles for risk management“, Committee of European Banking Supervisors, CEBS, Februar 2010, (Wesentliche Grundsätze für Risikomanagement des Ausschusses der Europäischen Bankaufsichtsbehörden. (Kursivschrift: Europäischer Rechnungshof; die im Original mit Fettdruck hervorgehobenen Stellen sind in Normalschrift wiedergegeben).

(12) Unterabteilung, Abteilung, Direktion oder Generaldirektion.

(13) Diese Funktion gehört zur GD-H.

(14) Die Funktion ORM/BCM erfüllt zugleich die Aufgabe des Sekretariats des Ausschusses für operationelle Risiken (Operational Risk Committee, ORC).

(15) Die Abteilung RMA gehört aus Verwaltungssicht zwar zur GD-H, berichtet aber direkt dem für das Management der finanziellen Risiken zuständigen Direktoriumsmitglied.

(16) Die EZB wendet ihre eigenen Rechnungslegungsgrundsätze an; diese sind in der geänderten Fassung des Beschlusses EZB/2006/17 über den Jahresabschluss der EZB festgelegt.

(17) Das Value-at-Risk-Konzept, VaR, ist ein allgemein gebräuchliches Maß für das Verlustrisiko bei einem aus Finanz-Vermögenswerten bestehenden Portfolio. Beim VaR handelt es sich um einen für ein gegegebenes Portfolio, eine gegebene Wahrscheinlichkeit und einen gegebenen Zeithorizont definierten Schwellenwert; beispielsweise bezeichnet er die Wahrscheinlichkeit, dass der Marktwertverlust bei einem Portfolio in einem gegebenen Zeithorizont — bei normaler Marktentwicklung und ohne dass Portfoliobewegungen stattfinden — einen bestimmten Wert überschreitet. (Value at Risk: The New Benchmark for Managing Financial Risk (3rd edition), Philippe Jorion, McGraw-Hill Professional, 2006).

(18) Bei den International Financial Reporting Standards (internationale Rechnungslegungsstandards) handelt es sich um ein Paket aus Grundsätzen, Auslegungen und einem Rahmen, das vom International Accounting Standards Board (IASB) angenommen wurde und auch unter der alten Bezeichnung International Accounting Standards (IAS) bekannt ist. Im Februar 2001 schlug die Europäische Kommission eine Verordnung vor, wonach alle zum Handel in einem geregelten Markt zugelassenen Unternehmen in der EU, einschließlich Banken und Versicherungen, bis spätestens 2005 ihre konsolidierten Abschlüsse nach den internationalen Rechnungslegungsstandards (IAS) zu erstellen haben. Den EU-Mitgliedstaaten wurde die Option eingeräumt, diese Anforderung auch auf nicht zugelassene Unternehmen und andere Unternehmensabschlüsse auszudehnen. Auf EU-Ebene wurde ein Anerkennungsmechanismus geschaffen, der die Übernahme der IAS in der EU auf politischer und technischer Ebene zu überwachen hatte.

(19) Bis 31. Dezember 2010 erstellte die Bank ihre Berichterstattung gemäß den allgemein anerkannten Rechnungslegungsgrundsätzen für Kanada (Canadian Generally Accepted Accounting Principles), wobei die offengelegten Informationen zum Risikomanagement aber mit den nach IFRS vorzulegenden Informationen vergleichbar waren. Seit 1. Januar 2011 erstellt die Bank of Canada ihren Abschluss nach IFRS.

(20) Praxishandbuch (Business Practices Handbook), Kapitel 26.

(21) Im Jahr 2008 beschloss das Direktorium, den ORM-Rahmen der EZB an den auf der ESZB-Ebene angenommenen Rahmen anzugleichen.

(22) Unter operationellem Risiko vesteht man die Gefahr einer finanziellen und/oder geschäftlichen Schädigung bzw. einer Reputationsschädigung infolge der Unangemessenheit oder des Versagens von internen Steuerungs- oder Geschäftsverfahren, Menschen und Systemen oder externen Ereignissen. (Operational risk is defined as „the risk of a negative financial, business and/or reputational impact resulting from inadequate or failure of internal governance and business processes or from people, systems or external events“).

(23) Aufgabe dieses Ausschusses ist es, die Weiterentwicklung, Umsetzung und Pflege des operationellen Risikomanagements bei der EZB voranzutreiben und zu beaufsichtigen.

(24) Bei diesen Ausschussmitgliedern handelt es sich um leitende Mitarbeiter aus folgenden Geschäftsbereichen: Finanzmarktoperationen, Informationssysteme, Verwaltung, Personal, Budget und Organisation, jährlich rotierende Mitglieder aus zwei Kerngeschäftsbereichen und den Berater des Generaldirektors für Personal, Budget und Organisation.

(25) Der Geschäftsbereich (Risikoeigner) ist für das horizontale Risiko (ein Risiko mit Auswirkungen auf mehrere Geschäftsbereiche) zuständig und muss geeignete, in der gesamten EZB anwendbare Maßnahmen zur Beherrschung dieses Risikos empfehlen und/oder anwenden.

(26) Auf der Grundlage der Schlussfolgerung im Artikel „ERM at the Federal Reserve Bank of Richmond“, 2007, Jack Dorminey und Richard Mohn.

(27) Quelle: Website der Bank of Canada, „Medium-term plan 2010-12“ (www.bankofcanada.ca, Stand: 13. Juli 2011).

(28) Für Projekte, wie beispielsweise IT-Projekte, bestehen in den Projektorganisations- und Kontrollverfahren beschriebene spezifische Verfahren. Über die mit Projekten verbundenen Risiken wird im Rahmen des Projektsteuerungsausschusses/Auschusses zur Steuerung des Projekts über das neue Gebäude (Project Steering Committee/ New Premises Project Steering Committee) getrennt Bericht erstattet. Das mit spezifischen Projekten verbundene Risikomanagement wurde nicht in den Prüfungsumfang einbezogen.

(29) Sinngemäß aus „Wesentliche Grundsätze für die Geschäftsfortführung im Krisenfall“ (High-level principles for business continuity), Basler Ausschuss für Bankenaufsicht, August 2006, Ziffer 9.

(30) Business Practice Handbook (BPH), fünfte Auflage, EZB, 24. September 2010.

(31) Wesentliche Grundsätze für die Geschäftsfortführung im Krisenfall, Basler Ausschuss für Bankenaufsicht, August 2006, Ziffer 10.

(32) ECB Business Impact Analyses, Review 2006, Direktion Personal, Budget und Organisation, 16. Januar 2007.

(33) In Artikel 3 des Protokolls Nr. 4 über die Satzung des Systems der Europäischen Zentralbanken und die Europäische Zentralbank sind die grundlegenden Aufgaben der EZB, die sich aus ihren rechtlichen Verplichtungen ergeben, aufgeführt.

(34) Business Continuity Guideline: A Practical Approach for Emergency Preparedness, Crisis Management and Disaster Recovery, ASIS international, 2005, Ziffer 11.3.

(35) Im Rahmen der BIA werden die mit sechs Katastrophenszenarien verbundenen Auswirkungen auf die Funktionsfähigkeit der einzelnen Geschäftsbereiche untersucht.

(36) Wie in den Wesentlichen Grundsätzen für die Geschäftsfortführung im Krisenfall gefordert, Basler Ausschuss für Bankenaufsicht, August 2006, Ziffer 23.

(37) Im Krisenfall zuständige Entscheidungsträger, Zusammensetzung des für die Durchführung von Maßnahmen, die der Geschäftsfortführung im Krisenfall dienen, zuständigen Teams, Beziehungen zu anderen Teams, Standorte der für die Geschäftsfortführung im Krisenfall zuständigen Teams.

(38) Im Rahmen der BIA ermittelte und akzeptierte Prozesse, Aufgabenliste mit einem ausführlichen Verzeichnis der zur Gewährleistung der Fortführung der erwähnten kritischen Prozesse erforderlichen Tätigkeiten.

(39) IT- und Büroausstattung, Handbücher.

(40) Wesentliche Grundsätze für die Fortführung der Geschäftstätigkeit im Krisenfall, Basler Ausschuss für Bankenaufsicht, August 2006, Ziffer 13.

(41) Die GD-IS verfügt über einen getrennten Plan zur Geschäftsfortführung im Krisenfall. Sie unterliegt einer externen Prüfung in Bezug auf die Übereinstimmung mit ISO 20000. Aus diesem Grund wurde der Plan zur Geschäftsfortführung im Krisenfall der GD-IS nicht in die Prüfung des Hofes einbezogen.

(42) Wesentliche Grundsätze für die Geschäftsfortführung im Krisenfall, Basler Ausschuss für Bankenaufsicht, Grundsatz 6.

(43) British Standards Institute Code of Practice for BCM.

(44) ECB Business Continuity Testing and Training Strategy, Operational Risk Committee, 4. März 2008.

(45) Business Continuity Guideline: A Practical Approach for Emergency Preparedness, Crisis Management, and Disaster Recovery; ASIS international, 2005, Ziffer 12.1.1.

(46) ECB Business Continuity Testing and Training Strategy, Operational Risk Committee, 4. März 2008.

(47) „Business continuity testing and training strategy“, S. 15; „Business Practice Handbook“, 26.1; „Business Continuity Framework“ (EZB-Intranet); „Business Continuity Management Policy document“.

(48) Bericht über die 2009 und 2010 durchgeführte interne EZB-Umfrage zur Kundenzufriedenheit.

(49) Basel, ERM COSO (Enterprise Risk Management Committee of Sponsoring Organizations).

(50) Leitlinie der Europäischen Zentralbank vom 20. Juni 2008 über die Verwaltung von Währungsreserven der Europäischen Zentralbank durch die nationalen Zentralbanken sowie über die Rechtsdokumentation bei Geschäften mit diesen Währungsreserven (Neufassung) (EZB/2008/5) (2008/596/EG).

(51) „OFM Guideline“, Juli 2010, „The ECB’s Own Funds Investment Guidelines“, September 2010.

(52) Leitlinie der Europäischen Zentralbank vom 26. September 2002 über die für die Europäische Zentralbank und die nationalen Zentralbanken bei der Durchführung von geldpolitischen Geschäften und Devisengeschäften mit den Währungsreserven der EZB sowie der Verwaltung der Währungsreserven der EZB geltenden Mindeststandards (EZB/2002/6).

(53) Einschließlich der Goldreserven.

(54) Programm zum Ankauf gedeckter Schuldverschreibungen (Covered Bonds Purchase Programme portfolio — CBPP) und Programm für die Wertpapiermärkte (Securities Markets Programme — SMP).

(55) Diese Anwendung kommt bei der Verwaltung der Währungsreserven und der Eigenmittel der EZB und der Erstellung der leistungsbezogenen Angaben zum Einsatz.

(56) Handbook of Financial Risk Management, Policies and procedures, März 2008.

(57) Regelmäßige oder mindestens jährliche Überprüfung der Punkte i-v durch das Direktorium oder den EZB-Rat.

(58) Diese Strategie wird im Bereich der Währungsreserven vom EZB-Rat und im Bereich der Eigenmittel vom Direktorium auf der Grundlage der Vorschläge der RMA festgelegt.

(59) Bei den GIPS (Global Investment Performance Standards) handelt es sich um ein Gesamtpaket standardisierter, branchenweiter berufsethischer Grundsätze, die vom CFA-Institut (Chartered Financial Analyst Institute) ausgearbeitet und verwaltet werden. Sie enthalten Leitlinien für die Berechnung der mit den Investionen erzielten Ergebnisse und die Berichterstattung darüber. Diese Standards basieren auf den Grundsätzen der vollständigen Offenlegung und sachgerechten Darstellung der mit der Investitionstätigkeit erzielten Ergebnisse und ihre Befolgung ist freiwillig.