Never change a running system? Genau deshalb scheitern Risk-IT-Projekte!

Schwerpunkt: Innovations-Management

Eine kuriose Geschichte machte jüngst in der Fachpresse die Runde: In einem Donut-Shop im US-amerikanischen Indiana werde ein 40 Jahre alter Commodore 64 Computer dafür benutzt, um Rechnungen für Brot, Brötchen und Torten zu verarbeiten – so stand es in sozialen Netzwerken, und Medien trugen die Geschichte weiter.

von Dr. Arvind Sarin, Partner und Lukas Henatsch, Director, beide bei KPMG im Bereich Financial Services

Never change a running system‘, werden viele da gleich gedacht haben – aber kann man sich der Erneuerung so lange entziehen, ohne Nachteile zu erleiden? Im Risikomanagement ist ein ‚Weiter so‘ in jedem Fall nicht zu empfehlen. Es sollte vielmehr allzeit aufgeschlossen gegenüber Innovation sein.

Das aktuelle Risikoumfeld verlangt von Banken und anderen Finanzdienstleistern mehr IT- und Digitalisierungsanstrengungen denn je. Analysen sollten in Echtzeit möglich sein, schnelle Reaktionen ihnen folgen.

Wie wird eine Risiko-IT-Architektur (Risk-IT) zukunftssicher? Indem sie langfristig flexibel, erweiterbar und anpassungsfähig ist.

Der Status quo in vielen Banken lautet allerdings: Eine über die Jahre gewachsene IT-Landschaft und eine heterogene System- und Applikationsumgebung macht die abteilungsübergreifende Zusammenarbeit und agiles Vorgehen schwer. Unser Arbeitsplan hilft, die Risiko-IT von morgen zu gestalten:

Risk-IT: Entwickeln Sie eine messbare, strategische Zielsetzung

Vor allem drei grundsätzliche Fragen können als Orientierung dienen:

Welche Vorteile sollen durch die Einführung einer neuen Risk-IT erreicht werden? Wie soll sie zur Geschäftsstrategie beitragen? Welche Implikationen ergeben sich daraus für die Institution als ganze?”

Richtschnur bei der Beantwortung dieser Fragen sollte sein, dass das Risikomanagement nicht schwerpunktmäßig als Kostentreiber betrachtet wird, sondern neben regulatorischen Vorgaben auch betriebswirtschaftliche Gesichtspunkte berücksichtigt: Moderne Risikoarchitekturen können zum Beispiel Aufwände zur Berechnung der Risikokennzahlen vermindern und in Fachabteilungen Kapazitäten für eingehendere Analysen der Risikotreiber freimachen.

Bauen Sie auf modulare Architekturen statt auf Monolithen

Modularität bezeichnet die Aufteilung der Risk-IT in abgegrenzte, voneinander unabhängige Module. Jedes Modul stellt dabei ein oder mehrere Bausteine der Risikofunktion dar: zum Beispiel die Risikoberechnung, das Risiko-Reporting oder regulatorische Meldungen. Diese Struktur ermöglicht es Banken, einzelne Module möglichst unabhängig voneinander zu entwickeln. Das vereinfacht Anpassungen, Optimierungen und Korrekturen in den Modulen – und macht Systeme für die Zukunft flexibel und skalierbar.

Nutzen Sie agile Vorgehensweisen

Für die Transformation der Risk-IT ist Agilität unverzichtbar. Dafür sollten sich die Projektteilnehmer in kurzen Abständen über Fortschritte und festgestellte Probleme austauschen und neu identifizierte Anforderungen und gemeinsame Lösungen für die Umsetzungen der Risikoarchitektur finden.

Eine etablierte agile Vorgehensweise ist zum Beispiel Scrum. Hierbei werden tägliche Stand-up-Meetings sowie Sprints und Review-Termine angesetzt, um sich über Projektfortschritte auszutauschen, Probleme frühzeitig zu erkennen und schnell Anpassungen in der Projektplanung zu erzielen.

Achten Sie auf eine Verzahnung von Fachbereich und IT

Sie ist ein wesentlicher Erfolgsfaktor für jedes IT-Projekt, vermeidet sie doch Missverständnisse in den jeweiligen Abteilungen und steigert die Effizienz. Regelmäßige Abstimmungen stellen sicher, dass die IT-Lösungen den fachlichen Anforderungen entsprechen und optimal umgesetzt werden.

Planen Sie ein aktives Change- und Stakeholder-Management ein

Eine transparente Einbindung aller Stakeholder ist für den Projekterfolg unerlässlich. Eine enge Verzahnung zwischen den operativen Projekteinheiten und den künftigen Nutzern sollte gewährleistet werden. Auch ein offener Austausch zwischen den Fach- und den IT-Abteilungen gehört dazu.

Sorgen Sie für eine solide Data Governance und eine hohe Datenqualität

Ein bedeutender Teil der aktuellen Herausforderungen im Risikomanagement hat mit Daten zu tun. Eine solide Data-Governance stellt sicher, dass die Daten konsistent, vollständig, nachvollziehbar und verlässlich sind, was wiederum die Grundlage für fundierte Entscheidungen und eine effiziente Risikosteuerung bildet. Auch dafür muss die IT bereit sein. Häufig benötigen Banken heute Ergänzungen ihrer Systeme durch externe Dienstleisterlösungen, um zum Beispiel eine verlässliche Data Lineage in ihren Systemen sicher zu stellen. Denn nur durch Automatisierung von Datenflüssen können Daten ihre volle Wirkung für eine effiziente und wirkungsvolle Risikofunktion entfalten. Dr. Arvind Sarin und Lukas Henatsch, beide KPMG/dk