Im Frühjahr 2017 entstand aus einem gegenseitig motivierenden Gespräch zwischen dem Informatiker Dr. Oliver Demetz und Andreas Holzinger die Idee, speziell für Leasing- und Factoring-Unternehmen eine maßgeschneiderte (Risiko-)Controllingsoftware zu entwickeln. Aus langjähriger praktischer Erfahrung im Risikocontrolling, Aufsichtsrecht und bei der Gesamtbanksteuerung wuchs die Erkenntnis, dass zahlreiche regelmäßig zu bearbeitende Aufgaben viel Zeit kosten und Sicherheitslücken darstellen, prinzipiell jedoch zumeist ähnliche Arbeitsschritte anfallen. Hinzu kam die Herausforderung, unzählige Daten aus verschiedenen Systemen (in der Regel zumindest Operative Software und Finanzbuchhaltung) sicher zu verarbeiten. Und diese anschließend fehlerfrei in individuellen Berichten für Adressatenkreise wie Geschäftsführung, Aufsichtsrat, Bundesbank und Bundesanstalt für Finanzdienstleistungsaufsicht zusammenzufassen.
Der Grund, warum diese Prozesse nicht automatisiert sind, war meist das Fehlen einer flexiblen Softwarelösung, die sich in die bestehende Infrastruktur des Unternehmens eingliedern kann. Die Idee einer maßgeschneiderten digitalen Lösung des Problems war somit geboren. Im Januar 2018 wurde die Risklytics GmbH gegründet. Binnen kürzester Zeit entstand ein von Anfang an profitables und bis heute eigenfinanziertes Unternehmen mit Sitz im Innovationszentrum von Saarbrücken. Seit Sommer 2019 leitet Dr. Michael Stoll das Entwicklungsteam.
Software
Risklytics ist das Produkt der gleichnamigen Risklytics GmbH. Es handelt sich um eine intelligente Controlling- und Risikomanagementsoftware. Diese unterstützt den Anwender sowohl beim Controlling des Gesamtunternehmens als auch bei der Analyse, Überwachung und Planung auf Kunden- und Kontenebene. Jeder Nutzer entscheidet selbständig, welche Unternehmensdaten gezielt betrachtet, analysiert und auf Knopfdruck in tagesaktuellen Berichten dokumentiert werden sollen.
Die Software erfordert als Webanwendung keine Installation bei den Nutzern und ist mit nahezu jedem Computersystem kompatibel. Es handelt sich um eine Plattform, in die sowohl bestehende IT-Systeme automatisiert über eine Programmierschnittstelle (API) als auch - bei Bedarf - Angestellte manuell Unternehmensdaten übermitteln. Alle Daten bleiben auf einem Server in der Firma. Risklytics aggregiert, überwacht und analysiert diese Daten in Echtzeit und erfüllt somit regulatorische Anforderungen. Über die wesentlichen Komponenten eines Controllingsystems hinaus werden innovative Module wie Limit- und Frühwarnsystem, automatisierte Berichterstellung, Substanzwertverlauf, Risikoinventur, (inverse) Stresstests, Kapitalbedarfsplanung, Risikotragfähigkeit, internes Kontrollsystem, Meldewesen und Plausibilitätsprüfungen geboten.
Innovationen
Mit der Plattform gehen Innovationen einher, von denen im Folgenden einige ausgeführt werden sollen.
- Automatisierte Berichterstellung: Als Output des Systems erhält der Anwender auf Knopfdruck individuelle Controlling- und Risikoberichte mit tagesaktuellen Daten. Jeder Nutzer kann entscheiden, welche Steuerungskennzahlen berichtet werden sollen. Durch diese Funktion wird sehr viel Zeit bei der Erstellung von Berichten gespart. Dazu können Übertragungsfehler von operativen Systemen in die Berichterstattung ausgeschlossen werden. Adressaten wie Geschäftsführung oder Aufsichtsrat haben die Gewissheit, dass die präsentierten Zahlen unmittelbar aus den technischen Systemen stammen.
Ein Bericht in Risklytics wird einmalig angelegt und besteht aus einer Textvorlage mit Platzhaltern. Ähnlich einem Word-Dokument kann der Anwender Tabellen, Grafiken und Texte frei editieren. Als Platzhalter werden diese automatisch und ständig aktualisiert generiert. Alle Parameter und Veränderungen werden in Live-Berichten zusammengefasst. Der Anwender sieht jedoch nicht nur den jüngsten Bericht, sondern auch alle historischen Dokumente - mit frei definierbaren Vergleichszeiträumen - auf Knopfdruck. Wird ein Bericht zu einem bestimmten Zeitraum (zum Beispiel 2. Quartal 2019) abgerufen, so werden die Platzhalter zu den entsprechenden Daten ausgewertet und in der Textvorlage ersetzt. Die Textvorlage an sich ist versioniert, das heißt jede Änderung ist nachverfolgbar. Revisionssicher wird jede Änderung an einem Dokument gespeichert sowie mit einem Zeitstempel und dem bearbeitenden Benutzernamen hinterlegt. Es bietet sich daher an, auch Handbücher zu Geldwäsche oder Compliance in Risklytics zu integrieren und stets revisionssicher auf dem neuesten Stand zu halten.
- Limit- und Frühwarnsystem: Zu jedem Wert können ein oder mehrere Soll-Bereiche (Minimal- und/oder Maximal-Werte) definiert werden. Verlässt ein Wert diesen individuell definierbaren Soll-Bereich, informiert das System den Anwender über einen grafischen Warnhinweis sowie per E-Mail. Eine Liste aller Verletzungen kann automatisiert in Berichten dargestellt werden. Jede Limitverletzung sollte darüber hinaus im System vom Nutzer kommentiert werden, um den Missstand direkt zu erklären. Auch Soll-Ist-Abgleiche mit geplanten Werten werden überwacht und bei Abweichungen an den Nutzer gemeldet. Mithilfe des Limitsystems können neben Veränderungen im Gesamt-Portfolio auch Einzellimits überwacht werden. Ebenso können Verhaltensänderungen einzelner und kleinerer Kunden ohne weiteres Zutun erkannt werden.
Über das Limitsystem hinaus kann ein zusätzliches Trendänderungsmodul auch aus plausiblen Werten negative Entwicklungen erkennen. Hierzu wird mit mathematischen Verfahren der kurzfristige Trend eines Wertes mit dem langfristigen Verhalten verglichen. Besonders große Abweichungen werden für den Benutzer hervorgehoben. Risklytics identifiziert somit aus Millionen von Daten genau die Zahl(en), auf die der Anwender aktuell ein Augenmerk legen sollte.
- Intelligente Stresstests: Mit Risklytics kann der Anwender unterschiedlichste Szenarien für seine (kritischen) Geschäftsfelder planen und simulieren. Risikokonzentrationen und Diversifikationseffekte innerhalb und zwischen den einzelnen Risikoarten sowie außergewöhnliche, aber plausibel mögliche Ereignisse können abgebildet werden. Die Ergebnisse werden anschließend bei der Beurteilung der Risikotragfähigkeit berücksichtigt. Der Nutzer erhält realistische Planszenarien mit hohem Informationsgehalt und Ergebnisberichte auf Knopfdruck. Auch umfassende inverse Stresstests können regelmäßig oder anlassbezogen simuliert werden.
Von Anfang an war ein Kern-Ziel der Entwicklung, Stresstests zu implementieren, die dem Anwender auch tatsächlich informative Aussagen und Impulse zur Unternehmenssteuerung liefern. Eine manuelle Bestimmung sinnvoller und realistischer Szenarien und deren Simulation ist ein großer individueller Aufwand. Die Software unterstützt den Nutzer und erfasst jede Messgröße als eine Dimension des hochdimensionalen Risikoraums. Um einen Stresstest zu beschreiben, erlaubt Risklytics die Konfiguration von Stresstest-Szenarien und das Simulieren dieser Szenarien. Ein Szenario besteht aus einer Liste von Simulationsregeln, die für einzelne Zeitreihen oder ganze Klassen von Konten die Werterfassungen der Zukunft beschreiben. Praktisch gesehen handelt es sich um eine Simulation von zukünftigen Werterfassungen, gefolgt von einer Auswertung dieser simulierten Wirklichkeit zu einem Zieldatum in der Zukunft.
Inverse Stresstests sind begrifflich verwandt, beruhen jedoch auf einer vollkommen unterschiedlichen Denkweise: Wie weit darf sich ein Wert ändern? Hierzu verwendet Risklytics die eingestellten Limits. Jede untere beziehungsweise obere Schranke eines Limits stellt eine Ungleichung dar. Das inverse Stresstest-Modul stellt für eine Datenkategorie das System aller sie betreffenden Ungleichungen auf und löst dieses mithilfe eines Computeralgebra-Systems. Alle Ergebnisse werden in einem fertigen Bericht zusammengefasst.
- Risikoinventur: Die Bestandsaufnahme von Risikopositionen erfolgt über die Risikoinventur. Durch die Bestimmung aller möglichen Risiken und die Überprüfung ihrer Wesentlichkeit, Eintrittswahrscheinlichkeiten und Auswirkungshöhen wird ein Gesamtrisikoprofil erzeugt. Der Nutzer kann somit kontrollieren, welche Risiken die Vermögens-, Ertrags- oder Liquiditätslage wesentlich beeinträchtigen. Eine Risikolandkarte und ein Bericht visualisieren die Ergebnisse.
Ein Risiko kann in Risklytics als eine Sammlung aller wichtigen Eckdaten des betreffenden Risikos beschrieben werden. Es handelt sich also um eine textuelle Beschreibung und Minderungsstrategie mit Riskoeigentümer, Eintrittswahrscheinlichkeiten und Auswirkungshöhen. Zu jedem Risiko kann eine Brutto-Auswirkungshöhe und Eintrittswahrscheinlichkeit (vor Gegenmaßnahmen) sowie eine Netto-Auswirkungshöhe (nach erfolgten Gegen maßnahmen) erfasst werden. Jedes Einzelrisiko kann als "wesentlich" klassifiziert und einer Risikokategorie zugeordnet werden. Die Kategorien selbst können hierarchisch angelegt werden. Risklytics erstellt automatisiert aus allen wesentlichen Risiken und der entgegenstehenden Deckungsmasse eine Risikotragfähigkeitsrechnung.
- Automatisierte Plausibilitätsprüfung: Als zusätzliches Frühwarnsystem und zur Sicherheit beim Import neuer Daten dienen im Hintergrund laufende automatische Plausibilitätstests. Außergewöhnliche Abweichungen von neuen Daten werden vom System erkannt und unverzüglich gemeldet. Herkömmliche Systeme erlauben oftmals nur eine manuelle Untersuchung aller Messwerte auf Plausibilität.
Unter mathematischen Annahmen (zum Beispiel dass sich Messwerte nicht abrupt stark ändern) kann der Nutzer informiert werden falls ein Messwert aus der Reihe fällt oder eine Trendwende sich abzeichnet. Darüber hinaus kann das System auch mit direkten Integritäts-Bedingungen konfiguriert werden, beispielsweise dass der Umsatz des wichtigsten Kunden nicht größer sein kann als der Gesamtumsatz. Das System vermeidet also Fehler schon zum Erfassungszeitpunkt. Sobald ein Wert erhoben wird erfolgt ein Plausibilitäts-Check: Aus den bestehenden Werten (ohne den neuen Wert) werden Mittelwert (µ) und Standardabweichung (Sigma) ermittelt. Anschließend wird die Plausibilität p(x) wie folgt berechnet: p(x) = Sigma / (|µ-x|+Epsilon)
Falls ein Wert mehr als drei Standardabweichungen vom Mittelwert abweicht, ist p(x) kleiner 1/3 und der Nutzer wird darüber informiert (die kleine Konstante Epsilon=10-3 vermeidet Division durch Null). Falls p(x) unter 0.1 fällt, wird der Nutzer zusätzlich per Mail erinnert, den übermittelten Wert noch einmal zu checken. Zur Validierung und zum Nachweis der Integrität der Daten signiert Risklytics alle Daten mit kryptographischen Methoden, sogenannte One-Way Hashes, und speichert die Signatur außerhalb des Systems. Hierdurch ist eine Manipulation der Daten in jedem Fall nachweisbar.
- Meldewesen-Tool: Gegenüber der Finanzaufsicht bestehen zahlreiche Anzeige- und Meldepflichten gemäß Capital Requirements Regulation, Kreditwesengesetz, Anzeigenverordnung sowie Großkredit- und Millionenkreditverordnung. Werden diese versäumt oder zu spät erledigt, hat dies eine Beanstandung durch den Wirtschaftsprüfer und gegebenenfalls durch die Aufsicht zur Folge. Risklytics verhindert dies und erstellt eine Übersicht.
Über das interne Kontrollsystem wird eine aktuelle Liste regelmäßiger und unregelmäßiger Anzeige- und Meldepflichten hinterlegt, die für Leasing- und Factoring-Unternehmen gelten. Die Liste wird von Risklytics in regelmäßigen Abständen überprüft und aktualisiert. Auch eine Überwachung der Großkredit- und Millionenkreditmeldegrenze durch Aggregation der Kreditnehmereinheiten kann bei entsprechender Datenversorgung gewährleistet werden.
- Erinnerungs- und Alarmierungskette: Optional besteht die Möglichkeit, eine Erinnerungs- und Alarmierungskette zu aktivieren. Fehlt eine Zahl im System, beispielsweise weil ein Mitarbeiter erkrankt ist oder eine Datenübermittlung vergisst, so erinnert Risklytics diesen Mitarbeiter automatisch per Mail. Reagiert er nicht auf die Erinnerung wird der nächsthöhere Verantwortliche informiert, bis hin zum Hauptverantwortlichen. Die Alarmierungskette garantiert, dass der Hauptverantwortliche in einer klar definierten Zeit über jedes Risiko oder eine Nicht-Meldung Kenntnis erlangt und sichert ihn rechtlich ab.
Vorteile digitaler Lösungen
Aus einer solchen Digitalisierung von Prozessen lassen sich einige positive Effekte ableiten.
- Zeit- und Kostenersparnis: Nach einmaliger Konfiguration der Schnittstelle sind alle Daten automatisiert im System. Berichterstattung, Limitüberwachung, Soll-Ist-Vergleiche et cetera erfolgen nun automatisch. Aktuellste Daten sind auch in Krisenzeiten ohne Mehraufwand und zu jeder Zeit verfügbar. Verringert werden auch der Aufwand bei der Datenaufbereitung und die Risikoanalyse. Eine digitales Controlling spart nicht nur Zeit und Kosten, sondern setzt zeitgleich auch Personalressourcen frei.
- Sicherheit: Bei einer schnittstellenbasierten Datenerfassung können Übermittlungsfehler im Vergleich zur manuellen Datensammlung nahezu vollständig ausgeschlossen werden. Durch regelmäßige Sicherungen und laufende Signaturverfahren werden die Daten jedes Anwenders sowohl vor Verlust als auch vor Manipulation gesichert. Zusätzlich verringert ein digitales System das Risiko einer Abhängigkeit von einzelnen Nutzern, da Berichte und Analysen auch bei Ausfall eines Verantwortlichen automatisiert gesendet werden.
- Big Data beherrschen: Durch die Möglichkeit, große Datenmengen zu verarbeiten, entsteht ein enormer Effizienzgewinn. Ein modernes System identifiziert aus riesigen Datenmengen genau die Kennzahlen, die den Nutzer interessieren. Alle Informationen sind unverzüglich verfügbar und können flexibel aufbereitet werden, womit die Kernaussagen mit wenigen Blicken ersichtlich sind.
- Abbau von Wissens-Silos: Im Vergleich zu konventionellen Risikomanagementsystemen auf Word- beziehungsweise Excel-Basis erfordert eine Software weit weniger Detailwissen, zum Beispiel bei Urlaubs- oder Krankheitsvertretungen. Alle Themen sind direkt in einer Programmoberfläche verfügbar und müssen nicht in Netzlaufwerken gesucht oder manuell aktualisiert werden.
- Ganzheitliche Lösung: Digitale Risiko- und Controllingsysteme ermöglichen eine drastische Steigerung des Umfangs an Datenverarbeitung und Genauigkeit. Alle Parameter aus unterschiedlichen, bereits vorhandenen Systemen können auf einer einzigen Plattform gesammelt, strukturiert und überwacht werden. Sämtliche (Risiko-)Daten werden in einem universalen, transparenten Informationspool kommuniziert.
Controlling versus Reporting
Die meisten Finanzdienstleistungsunternehmen betreiben ein retrospektives Risikomanagement: Zwischen der ersten operativen, risikobehafteten Entscheidung einer Berichtsperiode und dem entsprechenden Risikobericht liegt eine große zeitliche Lücke. So können beispielsweise zwischen einer Kreditentscheidung im Januar und dem aus außergewöhnlichen Gründen erst im Mai fertiggestellten Quartalsbericht mehr als vier Monate liegen. Zwar basierte die Einzelentscheidung auf vergebenen Limiten und Bonitätsinformationen, jedoch bleibt beim Blick auf das große Ganze eine enorme Lücke.
Risikocontrolling und -reporting sind bislang zwei unterschiedliche Disziplinen der gleichen Sportart. In Zeiten der Digitalisierung und Big Data ist dies jedoch nicht notwendig. Durch intelligente Softwarelösungen, automatische Datenerfassung und -verarbeitung sowie Künstliche Intelligenz kann diese Lücke auf einen Tag re duziert werden: Die Entscheidung von heute kann morgen berichtet werden.
RegTechs gewinnen an Bedeutung
Die andauernde Pandemie und negativen Meldungen von massiven Markteingriffen werden die Wirtschaft auch mittelfristig stark beeinflussen. Kredit- und Finanzdienstleistungsinstitute stehen doppelseitig unter Druck, da sie sich in einem äußerst volatilen Marktumfeld befinden und gleichzeitig die Kosten aus aufsichtsrechtlichen Anforderungen weiterhin zu tragen haben.
Die Bedeutung der FinTechs im regulatorischen Bereich, sogenannte RegTechs (Regulatory Technology), wächst. Mit einer intelligenten Softwarelösung im Bereich Reporting und Risk Data Aggregation, die nicht nur die Besonderheiten der Leasing- und Factoring-Branche abbildet, sondern auch mit moderatem Aufwand bis ins Detail auf ein Unternehmen abgestimmt werden kann, entsteht Vorsprung. Ein Vorsprung, der in aktuellen Zeiten wichtiger erscheint als jemals zuvor.
