Vom Reporting zur aktiven Risikosteuerung bei der LLB

Die LLB vernetzt Risiken, Kontrollen, Prozesse und Schadensfälle, reduziert den Aufwand für typische Risikoauswertungen um rund 90 Prozent und schafft damit die Grundlage für eine aktive Risikosteuerung.

Vor dem Projekt waren die Informationen für die Risikoberichterstattung bei der Liechtensteinischen Landesbank (LLB) auf verschiedene Inventare verteilt. Risiken, Kontrollen und Schadensfälle lagen in unterschiedlichen Datenquellen. Für Auswertungen mussten Mitarbeitende die benötigten Informationen herausziehen, in Excel zusammenführen, umformatieren und für Tabellen und Grafiken neu aufbereiten.

Die LLB erstellte fixe Berichte quartalsweise. Hinzu kamen Ad-hoc-Anfragen von Revision, Aufsichtsbehörden oder aus der Organisation. Im Durchschnitt war etwa einmal pro Monat eine Aktualisierung notwendig. Die wiederkehrenden manuellen Schritte kosteten Zeit, erhöhten das Fehlerrisiko und machten das Reporting abhängig von Mitarbeitenden, die die verschiedenen Datenquellen kannten.

Doch der LLB ging es nicht nur darum, schneller zu Zahlen zu kommen. Sie wollte ihre Daten stärker nutzen, um Risiken fundierter beurteilen und steuern zu können.

«Wir haben zunehmend erkannt, dass Prozesse, Risiken, Kontrollen und Schadensfälle nicht isoliert betrachtet werden sollten.» Christoph Hämmerle, Leiter Group Operational Risk bei der LLB

Erst die Verknüpfung zeigt, ob eine Risikoeinschätzung mit der Realität übereinstimmt: Welche Schäden sind tatsächlich eingetreten? Welche Kontrollen adressieren ein Risiko? Sind sie wirksam? Und wo sind zusätzliche Massnahmen sinnvoll?

Das Ziel ging deshalb über die Automatisierung bestehender Reports hinaus. Die LLB wollte gruppenweit eine gemeinsame Grundlage schaffen, Risiken, Kontrollen, Schadensfälle und Prozesse miteinander verbinden und die vorhandenen Informationen stärker für Risikoentscheide nutzen.

Damit änderte sich auch die Rolle des Reportings. Die Daten sollten nicht erst für einen periodischen Bericht zusammengeführt werden, sondern als aktuelle Steuerungsgrundlage zur Verfügung stehen.

Die LLB setzte dieses Ziel schrittweise um.

Eine zentrale methodische Entscheidung war, nicht möglichst viele Informationen in das neue Modell zu übertragen. Ausgangspunkt waren stattdessen die konkreten Steuerungsfragen:

Welche Daten und Beziehungen benötigen wir zwingend, um unsere Anforderungen zu erfüllen und die relevanten Fragen beantworten zu können?

Daraus entstand ein schlankes Minimalmodell mit den notwendigen Feldern und Beziehungen. Es lässt sich anschliessend schrittweise erweitern. Dieser Ansatz reduzierte die Komplexität und schuf einen gemeinsamen Standard.

Im Zentrum stehen Risiken und Risikotaxonomie, Kontrollen und Wirksamkeitsbewertungen sowie Schadensfälle, Prozesse und Massnahmen.

Entscheidend sind die Beziehungen zwischen diesen Informationen. Dadurch lässt sich beispielsweise nachvollziehen, welche Kontrollen bestimmte Risiken adressieren, ob trotz dieser Kontrollen Schadensfälle auftreten und in welchen Prozessen sich Schäden häufen.

Genau diese Vernetzung schafft die Grundlage dafür, Risikoeinschätzungen mit tatsächlich eingetretenen Ereignissen abzugleichen und Handlungsbedarf gezielter zu erkennen.

Damit diese Zusammenhänge belastbar ausgewertet werden können, setzt die LLB bereits bei der Datenerfassung an.

Pflichtfelder, definierte Prozessschritte und Prüfungen sorgen dafür, dass die benötigten Informationen vollständig vorliegen. In die finale Berichterstattung fliessen nur abgeschlossene und geprüfte Datensätze ein. Datenqualität entsteht damit nicht erst beim Reporting, sondern bereits im zugrunde liegenden Prozess.

Technisch bildet die LLB ihre operative Datenbasis mit ADOGRC und ADONIS der BOC Group ab. Eine REST-Schnittstelle überträgt die relevanten Daten einmal täglich in das Data Warehouse der LLB. Dort werden sie aufbereitet und anschliessend in den BI-Dashboards dargestellt.

Die wiederholte manuelle Zusammenführung der Daten entfällt damit. Für die operative Steuerung stehen tagesaktuelle Informationen zur Verfügung.

Nicht jede Person soll sämtliche Risikoinformationen sehen. Die LLB setzt deshalb ein rollen- und verantwortungsbezogenes Berechtigungskonzept nach dem Need-to-Know-Prinzip ein.

Bereichsleitende sehen die für ihren Verantwortungsbereich relevanten Risiken, Kontrollen und Schadensfälle. Übergeordnete Funktionen wie Risk oder Audit können dagegen gruppenweite Sichten verwenden. Die Datenbasis bleibt dieselbe; das Berechtigungskonzept beschränkt die sichtbaren Informationen nach Verantwortungsbereich.

Damit entsteht aus dem gemeinsamen Datenmodell schrittweise genau das, was die LLB erreichen wollte: eine verlässliche und zielgruppengerechte Informationsbasis für die operative Risikosteuerung.

Das Gesamtprojekt dauerte rund zwei Jahre. Rund fünf Mitarbeitende aus Risikomanagement und IT bildeten das interne Kernteam der LLB. Mitarbeitende der BOC Group unterstützten sie.

Zu den wesentlichen Etappen gehörten Toolevaluation, Konzeption, Datenaufbereitung und Migration, Aufbau des Datenmodells, Qualitätssicherung, Schulung und Operationalisierung.

Besonders anspruchsvoll waren laut Hämmerle die Migration und die konzeptionelle Arbeit. Bestehende Risiko-, Kontroll- und Schadensfallinventare mit mehreren tausend Datenfeldern mussten aufbereitet und in die neue Struktur überführt werden. Gleichzeitig galt es, bestehende Zuordnungen und Prozesse zu prüfen und teilweise neu zu denken.

Damit war das Projekt weit mehr als eine technische Einführung. Auch organisatorisch veränderte die LLB etablierte Abläufe und musste unterschiedliche Stakeholder für den gemeinsamen Ansatz gewinnen.

«Am Anfang lohnt es sich, Zeit in Überzeugungsarbeit zu investieren und die betroffenen Personen früh mitzunehmen.» Christoph Hämmerle

Der deutlichste quantitative Effekt zeigt sich bei typischen Risikoauswertungen. Hämmerle beziffert die Reduktion des Aufwands auf rund 90 Prozent:

Der Nutzen geht jedoch über die Zeitersparnis hinaus. Bereichsleitende können heute selbst erkennen, wie es um die Kontrollen in ihrem Verantwortungsbereich steht und wo Handlungsbedarf besteht. Dadurch können sie früher reagieren, bevor die Second Line aktiv werden muss.

Auch die Nutzung zeigt, dass die Risikoinformationen in der Organisation angekommen sind: Das Dashboard verzeichnet mehrere hundert Zugriffe pro Quartal. Neben den Risikoeinheiten nutzen auch Audit, Bereichsleitungen und dezentrale Risikostellen die Auswertungen.

Besonders greifbar wird der Schritt zur aktiven Risikosteuerung bei operationellen Schadensfällen.

Durch die vernetzten Informationen erkennt die LLB leichter, in welchen Prozessen und Bereichen sich Schäden häufen. Gemeinsam mit den betroffenen Bereichen untersucht die LLB Ursachen, definiert Verbesserungsmassnahmen und passt Prozesse an. Anschliessend zeigt das Reporting, wie sich die Schadensfälle entwickeln.

«Wir haben gesehen, wo es Häufungen gibt, haben dort mit konkreten Massnahmen angesetzt und sehen nun im Reporting, dass sich die Schadensfälle in diesen Bereichen reduzieren.» Christoph Hämmerle

Damit schliesst sich der Steuerungskreislauf:

Daten vernetzen → Auffälligkeiten erkennen → Ursachen analysieren → Massnahmen umsetzen → Wirkung beobachten.

Das Reporting zeigt somit nicht mehr nur, was passiert ist. Es unterstützt dabei, Handlungsbedarf zu erkennen und die Wirkung eingeleiteter Massnahmen nachzuvollziehen.

Genau darin liegt der Schritt vom Reporting zur aktiven Risikosteuerung.

Die LLB hat mit dem Projekt ihr Risikoreporting nicht nur effizienter gemacht. Sie hat eine gemeinsame Datenbasis geschaffen, auf der weitere Anwendungsfälle aufbauen können.

«Der Weg zu einer modernen Risikosteuerung mit einem gemeinsamen Datenmodell und einer geeigneten GRC-Lösung ist aufwendig. Aber im Nachhinein können wir klar sagen: Der Aufwand lohnt sich.» Christoph Hämmerle

Die LLB will die Datenbasis nun für weitere Resilienzthemen ausbauen. Im Fokus stehen unter anderem DORA, das FINMA-Rundschreiben zum operationellen Risikomanagement, Business Continuity Management und die Überwachung von Drittdienstleistern.

Künftig will die LLB kritische Funktionen, geschäftskritische Prozesse, Applikationen, Dienstleister und Infrastrukturkomponenten stärker verknüpfen. So soll bei einem Vorfall leichter erkennbar werden, welche Abhängigkeiten bestehen und wo Auswirkungen entstehen können.

Der Ansatz bleibt derselbe: Zusammenhänge sichtbar machen und vorhandene Informationen gezielt nutzen, um Risiken besser zu verstehen und fundierter zu steuern.