Operationelle Risiken

Operationelle Risiken bestehen in der Gefahr von Verlusten aufgrund unzulänglicher oder fehlerhafter interner Prozesse sowie mitarbeiterbedingter, systembedingter oder auch externer Vorfälle. Im Gegensatz zu versicherungstechnischen Risiken (z. B. dem Reserverisiko), die wir im Rahmen unserer Geschäftstätigkeit bewusst und kontrolliert eingehen, sind die operationellen Risiken untrennbar mit unserer Geschäftstätigkeit gekoppelt. Der Fokus liegt deshalb auf Risikovermeidung und -reduzierung. Die operationellen Risiken gehören – in Abgrenzung zu Markt-, Forderungsausfall- und Zeichnungsrisiken – zu den nichtfinanziellen Risiken.

Mithilfe von Selbsteinschätzungen ermitteln wir den Reifegrad unseres Risikomanagementsystems für operationelle Risiken und definieren Handlungsfelder für Verbesserungen. Die Bewertung erfolgt beispielsweise durch die Einschätzung des Reifegrades der jeweiligen Risikomanagementfunktion oder der Risikoüberwachung und -berichterstattung. Das System ermöglicht uns unter anderem eine Priorisierung der operationellen Risiken. Zur Ermittlung der Kapitalbindung in unserem internen Kapitalmodell führen wir umfangreiche Szenarioanalysen durch und legen auf Basis der Ergebnisse die Parameter für das stochastische Modell fest.

Im Gesamtrahmen der operationellen Risiken betrachten wir insbesondere Geschäftsprozessrisiken einschließlich der Risiken aus mangelnder Datenqualität, Compliance-Risiken einschließlich Steuerrisiken, Funktionsausgliederungsrisiken, Betrugsrisiken, Personalrisiken, Informations- und IT-Sicherheitsrisiken sowie Betriebsunterbrechungsrisiken.

Geschäftsprozessrisiken bestehen in der Gefahr von unzulänglichen oder fehlerhaften internen Prozessen, die z. B. durch eine inadäquate Prozessorganisation entstehen können. Wir haben Kriterien zur Beurteilung des Reifegrades der wesentlichen Prozesse definiert, z. B. für den Reservierungsprozess. Dadurch kann die Überwachung der Prozessrisiken sichergestellt werden. Gemeinsam mit den Prozessbeteiligten bewertet der Prozessverantwortliche die Risiken und entwickelt Maßnahmen bei erkannten, bestehenden Risiken. Die Datenqualität ist dabei ein sehr kritischer Erfolgsfaktor. Sie wird unter anderem über regelmäßige automatisierte Auswertungen überwacht.

Compliance-Risiken bestehen überwiegend aus der Gefahr von Verstößen gegen Normen und Anforderungen, die Klagen oder behördliche Verfahren mit einer nicht unerheblichen Beeinträchtigung der Geschäftstätigkeit des Hannover Rück-Konzerns nach sich ziehen können, wenn sie nicht beachtet werden. Als besonders relevante Themen wurde dabei die Einhaltung aufsichtsrechtlicher Vorgaben, der Geschäftsgrundsätze, von steuerrechtlichen Vorgaben, Vorgaben des Datenschutzes sowie Kartell- und wettbewerbsrechtlichen Vorgaben definiert.

Mithilfe einer Sanktionsprüfsoftware werden die wesentlichen Teile des Bestandes der Hannover Rück-Gruppe nach Personen gefiltert, die aufgrund kriminellen oder terroristischen Hintergrunds Gegenstand von Sanktionen sind. Werden solche Personen entdeckt, werden entsprechende Maßnahmen ergriffen. Auch die Geschäftspartner werden einer solchen Prüfung unterzogen. Die Verantwortlichkeiten innerhalb der Compliance-Organisation sind konzernweit geregelt und dokumentiert. Schnittstellen zum Risikomanagement sind etabliert. Regelmäßige Compliance-Schulungsprogramme ergänzen das Instrumentarium. Für weitere Informationen zu Compliancerelevanten Themen wie Rechtsstreitigkeiten, Haftungsverhältnisse und Eventualverbindlichkeiten verweisen wir auf die Kapitel 8.6 „Rechtsstreitigkeiten“ und Kapitel 8.7 „Haftungsverhältnisse und Eventualverbindlichkeiten“.

Funktionsausgliederungsrisiken können durch Ausgliederungen von Funktionen, Dienstleistungen und / oder Organisationseinheiten an Dritte, außerhalb der Hannover Rück, resultieren. Zur Begrenzung des Risikos existieren verbindliche Regelungen, die z. B. vorsehen, dass vor einer wesentlichen Ausgliederung eine Risikoanalyse durchzuführen ist. Im Rahmen dieser Analyse wird unter anderem geprüft, welche spezifischen Risiken vorhanden sind, und ob überhaupt eine Ausgliederung erfolgen kann.

In ausgewählten Marktnischen betreiben wir Erstversicherungsgeschäft als Ergänzung zu unseren Rückversicherungsaktivitäten. Wie in der Rückversicherung arbeiten wir hierbei grundsätzlich mit Partnern aus dem Erstversicherungsbereich, z. B. mit Erstversicherungsmaklern sowie Zeichnungsagenturen, zusammen. Hieraus entstehen Risiken aus der teilweisen Auslagerung von Vertriebskanälen, die jedoch durch eine sorgfältige Auswahl der Agenturen, durch verbindliche Zeichnungsrichtlinien und regelmäßige Prüfungen reduziert werden.

Die Funktions- und Wettbewerbsfähigkeit des Hannover Rück-Konzerns ist maßgeblich der Kompetenz und dem Engagement unserer Mitarbeiter zu verdanken. Zur Reduzierung der Personalrisiken achten wir in besonderer Weise auf Qualifikation, Erfahrung und Leistungsbereitschaft unserer Mitarbeiter und fördern diese durch ausgezeichnete Personalentwicklungs- und Führungsarbeit. Durch regelmäßige Mitarbeiterbefragungen und Überwachung von Fluktuationsquoten werden die Risiken frühzeitig erkannt und Handlungsspielräume geschaffen.

Betrugsrisiken ergeben sich aus der Gefahr vorsätzlicher Verletzungen von Gesetzen oder Regeln durch Mitarbeiter
(interner Betrug) und / oder durch Externe (externer Betrug). Risikoreduzierend wirken dabei das interne Kontrollsystem sowie die konzernweiten und linienunabhängigen Prüfungen der internen Revision.

Informations- bzw. IT-Sicherheitsrisiken bestehen unter anderem in der Gefahr einer unzulänglichen Integrität, Vertraulichkeit oder Verfügbarkeit von Systemen und Informationen. Wesentlich für den Hannover Rück-Konzern sind beispielsweise Schäden, die aus der unerlaubten Weitergabe vertraulicher Informationen, der mutwilligen Herbeiführung der Überlastung wichtiger IT-Systeme oder auch durch Computerviren resultieren. Angesichts des breiten Spektrums dieser Risiken existieren vielfältige Steuerungs- und Überwachungsmaßnahmen sowie organisatorische Vorgaben wie abzuschließende Vertraulichkeitsvereinbarungen mit Dienstleistern. Darüber hinaus werden unsere Mitarbeiter für solche Sicherheitsrisiken durch praxisorientierte Hilfestellungen, z. B. im Intranet, durch Schulungsangebote und eine Mitarbeiterinformationskampagne, sensibilisiert.

Vorrangiges Ziel bei der Reduzierung der Betriebsunterbrechungsrisiken ist die schnellstmögliche Rückkehr in den Normalbetrieb nach einem Krisenfall, z. B. durch Umsetzung vorhandener Notfallplanungen. Auf Basis international anerkannter Standards wurden die entscheidenden Rahmenbedingungen definiert und unter anderem ein Krisenstab eingerichtet, der im Krisenfall als temporäres Gremium dient. Das System wird durch regelmäßige Übungen und Tests ergänzt. Es existiert ein Merkblatt zum Verhalten bei einer Betriebsunterbrechung, auf dem die für alle Mitarbeiter wesentlichen Informationen, wie z. B. die Informationskanäle im Krisenfall, kompakt zusammengefasst sind.

Zu allen operationellen Risiken erfolgt eine regelmäßige, quartärliche Risikoberichterstattung an den Risikoausschuss und den Vorstand. Im Rahmen der Berichterstattung erfolgt auch eine Risikobewertung.