LLB reduziert Aufwand für Risikoauswertungen um 90 Prozent

Die Liechtensteinische Landesbank (LLB) ist eine international tätige Universalbank mit Hauptsitz in Vaduz und Aktivitäten in Liechtenstein, der Schweiz, Österreich und Deutschland. Die LLB-Gruppe beschäftigt rund 1300 Mitarbeitende und betreut Privat-, Firmen- und institutionelle Kunden.

Wenn das Reporting selbst zum Aufwand wird

Vor dem Projekt waren die Informationen für die Risikoberichterstattung bei der LLB dezentral verteilt. Für Schadensfälle, Risiken und Kontrollen bestanden unterschiedliche Inventare. Stand ein Bericht an, zogen Mitarbeitende Daten aus den jeweiligen Systemen, übertrugen sie nach Excel, formatierten sie um und bereiteten sie für Grafiken neu auf.

Fixe Berichterstattungszyklen gab es quartalsweise. Hinzu kamen Ad-hoc-Auswertungen für Revisionen, Aufsichtsbehörden oder aktuelle Fragestellungen. Im Durchschnitt war etwa einmal pro Monat eine Aktualisierung nötig. Das kostete Zeit, schuf Abhängigkeiten von Personen mit Wissen über die Datenquellen und erhöhte das Fehlerpotenzial.

Doch Effizienz war nur ein Teil der Lösung. Die LLB wollte ihre Daten besser für Entscheidungen nutzen. «Wir haben zunehmend erkannt, dass Prozesse, Risiken, Kontrollen und Schadensfälle nicht isoliert betrachtet werden sollten», sagt Christoph Hämmerle, Leiter Group Operational Risk bei der LLB. Erst im Zusammenhang wird sichtbar, ob eine Risikoeinschätzung zur Realität passt: Welche Schäden sind tatsächlich eingetreten? Welche Kontrollen wirken? Und wo sind zusätzliche Massnahmen sinnvoll?

Aus Risikodaten eine gemeinsame Steuerungsbasis machen

Das Ziel war deshalb nicht, bestehende Reports einfach schneller zu produzieren. Die LLB wollte gruppenweit einen Standard schaffen, Prozesse, Risiken, Kontrollen und Schadensfälle miteinander verknüpfen und die Informationen breiter in der Organisation verfügbar machen. Verantwortungsträger sollten erkennen können, welche Risiken bestehen, ob Kontrollen durchgeführt werden und wie sich Schadensfälle entwickeln. Gleichzeitig mussten die Zugriffe nach dem Need-to-Know-Prinzip eingeschränkt bleiben.

Die LLB definierte zunächst nur jene Daten und Beziehungen, die sie für ihre zentralen Steuerungsfragen brauchte. Dieses Minimalmodell reduzierte Komplexität und schuf eine Basis für spätere Erweiterungen. Pflichtfelder, definierte Prozessschritte und Prüfungen sorgen dafür, dass nur abgeschlossene und geprüfte Datensätze in die Berichterstattung einfliessen.

Die LLB baut die operative Datenbasis mit dem GRC-Tool ADOGRC und dem Prozessmanagement-Tool ADONIS der BOC Group auf. Über eine REST-Schnittstelle gelangen die relevanten Daten einmal täglich in das Data Warehouse der LLB und von dort in die BI-Dashboards. Ein Berechtigungskonzept sorgt dafür, dass Bereichsleitungen ihren Verantwortungsbereich sehen, während Risk oder Audit gruppenweite Sichten nutzen können.

Mehrere hundert Dashboard-Zugriffe pro Quartal belegen die operative Nutzung. Neben Power Usern in den Risikoeinheiten nutzen auch Audit, Bereichsleitungen und dezentrale Risikostellen die Auswertungen.

Der anspruchsvollste Teil lag nicht im Dashboard

Das Gesamtprojekt dauerte grob zwei Jahre. Zu den Etappen gehörten Toolevaluation, Migration, Aufbau des Datenmodells, Datenqualitätsprüfungen, Schulungen und Operationalisierung. Das interne Kernteam der LLB umfasste rund fünf Personen aus Risikomanagement und IT; zusätzlich unterstützten Mitarbeitende der BOC Group.

Ein wesentlicher Aufwandstreiber war die Migration der Risiko-, Kontroll- und Schadensfallinventare mit mehreren tausend Datenfeldern. Besonders anspruchsvoll waren laut Hämmerle Konzeption, Datenaufbereitung und Qualitätssicherung. Bestehende Prozesse mussten teilweise neu gedacht und an die veränderten Abläufe angepasst werden.

Damit war das Vorhaben nicht nur eine technische Einführung. «Am Anfang lohnt es sich, Zeit in Überzeugungsarbeit zu investieren und die betroffenen Personen früh mitzunehmen», sagt Hämmerle. Wer einen gemeinsamen Standard schaffen will, muss nicht nur Daten und Systeme zusammenbringen, sondern auch die beteiligten Bereiche.

Von der Datenaufbereitung zur Interpretation

Der deutlichste Effekt zeigt sich beim Reporting-Aufwand. Konkret heisst das: Für eine typische Auswertung braucht es heute noch ein Zehntel des früheren Aufwands. Die gewonnene Zeit fliesst nun in die Analyse der Zahlen – nicht mehr in deren Beschaffung.

«Durch die Automatisierung repetitiver Aufgaben konnten wir den Aufwand für typische Auswertungen um rund 90 Prozent reduzieren. Die frei gewordene Zeit investieren wir heute in die Interpretation und Ursachenanalyse – und schaffen damit eine bessere Grundlage für Risikoentscheide.»

Gleichzeitig ist die Risikosituation näher an die operativen Verantwortlichen gerückt. Bereichsleitende können tagesaktuell sehen, wie es um ihre Kontrollen steht und wo Handlungsbedarf besteht. «Die Bereichsleitenden sehen den Handlungsbedarf selbst und können frühzeitig reagieren, bevor wir aus der Second Line nachfragen müssen», sagt Hämmerle. Dadurch übernehmen die betroffenen Bereiche mehr Verantwortung für das Risikomanagement.

Die Transparenz verbessert auch die Grundlage für Risikoentscheide. Bestehen Kontrollen, häufen sich aber weiterhin Schadensfälle, lässt sich gezielter prüfen, ob weitere Massnahmen nötig sind. Umgekehrt lässt sich bei einem bewusst akzeptierten Risiko beobachten, ob sich tatsächliche Schäden innerhalb der erwarteten Grenzen bewegen. Risikoeinschätzung und Realität lassen sich dadurch enger vergleichen.

Wenn aus Transparenz konkrete Verbesserungen entstehen

Besonders greifbar wird die Veränderung bei operationellen Schadensfällen. Durch das verbesserte Datenmodell kann die LLB Schäden einzelnen Prozessen und Risiken zuordnen. Häufungen werden dadurch leichter sichtbar. Auf dieser Grundlage definiert die LLB gezielte Verbesserungsmassnahmen und setzt sie um.

Die LLB konnte so bereits Prozesse anpassen und Schäden reduzieren. Das Reporting zeigt damit nicht mehr nur, was passiert ist. Es hilft, Handlungsbedarf zu erkennen, Massnahmen einzuleiten und deren Wirkung anschliessend zu beobachten. Genau darin liegt der Schritt vom Reporting zur aktiven Risikosteuerung.

Die formelle Berichterstattung an Gruppenleitung und Verwaltungsrat bleibt bestehen. Operativ stehen relevante Informationen damit tagesaktuell für die Steuerung bereit.

Der Initialaufwand lohnt sich

Rund zwei Jahre Projektlaufzeit, eine aufwendige Migration und ein neues Datenmodell zeigen: Eine solche Transformation kostet Aufwand. Für Hämmerle fällt die Bilanz dennoch klar aus:

«Der Weg zu einer modernen Risikosteuerung mit einem gemeinsamen Datenmodell und einer geeigneten GRC-Lösung ist aufwendig. Aber im Nachhinein können wir klar sagen: Der Aufwand lohnt sich.»

Die LLB will die geschaffene Basis nun weiterentwickeln. Im Fokus stehen unter anderem DORA, das FINMA-Rundschreiben zum operationellen Risikomanagement, Business Continuity Management sowie die Überwachung von Drittdienstleistern. Künftig sollen Zusammenhänge zwischen kritischen Funktionen, geschäftskritischen Prozessen, Applikationen, Dienstleistern und Infrastrukturkomponenten einfacher dargestellt werden und ebenso auf Knopfdruck auswertbar sein.

So soll bei Vorfällen sofort erkennbar sein, welche Abhängigkeiten bestehen und wo Auswirkungen entstehen können. Der Grundgedanke bleibt derselbe: Informationen nicht isoliert betrachten, sondern ihre Zusammenhänge nutzen, um Risiken besser zu verstehen und fundierter zu steuern.

Mehr zum Lösungsansatz, zur Architektur und zur Umsetzung bei der LLB zeigt die ausführliche Success Story der BOC Group.