Zum Inhalt springen
CRR III (Verlustereignis-Typen, Art. 317) · MaRisk AT 4.3.2 · FINMA-RS 2023/1 · FINMA-RS 2017/1/2 · DORA (EU) 2022/2554 · EU AI Act 2024/1689

Operationelle Risiken bankweit konsolidieren – von der Verlustdatenbank bis zum prüffähigen Bericht.

Demo vereinbarenAngebot zum Modul anfragen

Einmal in der Quelle bewertet, modulübergreifend entlang einer Ereignistyp-Methodik konsolidiert – jede Spur bleibt getrennt, nie quer summiert.

Im Kern

Drei Gründe für Avalon OpRisk

01

Eine konsolidierte Gesamtbank-Sicht auf das operationelle Risiko – aus nativer Erfassung sowie aggregierten ICT-, BCM- und Auslagerungsrisiken, einheitlich nach den sieben Verlustereignis-Typen (CRR III, Art. 317).

02

Eine revisionssichere Verlustdatenbank mit klarer Abgrenzung zwischen operationellem Risiko und Kredit-/Marktrisiko – belastbare Grundlage für Steuerung und Kapitalrechnung.

03

Konsolidierte, versionierte Berichte mit Bezug zu CRR III, MaRisk AT 4.3.2 und DORA – für Management, Gremien, Audit und Aufsichtsvorbereitung.

KI-Arbeitsmodell

KI bereitet vor. Menschen führen.

Jedes Modul bleibt klassisch bedienbar. Wenn KI aktiviert ist, übernimmt sie operative Vorbereitung und Verdichtung: Vorbefüllungen, Zuordnungen, Zusammenfassungen und Review-Queues. Verantwortliche Rollen prüfen Qualität, treffen die Entscheidung und geben den Nachweis frei.

Was sich im Arbeitsalltag ändert

  • Weniger manuelle Vorbefüllung, Kopieren und Konsolidieren.
  • Schnellere Durchläufe, weil Fachrollen vorbefüllte Arbeitsentwürfe statt leere Masken sehen.
  • Mehr Ressourcen für Steuerung, Qualitätssicherung und prüffähige Entscheidung.
01

Operative Vorarbeit

KI befüllt definierte Assessment- und Workflow-Felder vor, entwirft Zuordnungen, Texte oder Report-Bausteine und legt Quellen, Begründung und Konfidenz offen.

02

Menschliche Qualitätssicherung

Fachrollen prüfen, korrigieren, bündeln oder verwerfen. Freigaben, Overrides und rechtlich relevante Entscheidungen bleiben menschlich.

03

Auditierbarer Nachweis

Input, Vorbefüllung oder Entwurf, Entscheidung, Begründung und Version werden protokolliert. Der Effizienzgewinn kommt ohne Kontrollverlust.

Interessentenperspektive

Für wen dieses Modul gebaut ist

Primär: Verantwortliche für operationelles Risikomanagement (OpRisk-Manager) in regulierten Banken und Finanzdienstleistern – zuständig für die bankweite Konsolidierung operationeller Risiken und den aufsichtlichen Nachweis nach CRR III, MaRisk AT 4.3.2 und DORA. Sekundär: Chief Risk Officer (Gesamtrisikosteuerung) und Vorstand/Geschäftsführung (Gesamtverantwortung, benötigt konsolidierte Gesamtbank-Sicht).

MaRisk · AT 4.3.2
Was heute bremst
fragmentiert

Verlustdaten in Banking, Auslagerung, ICT und BCM – jede Quelle in eigener Taxonomie

unbelegt

Aufsichts- und Gremienunterlagen aus Tabellen von Hand zusammengeführt – Doppelzählung kaum auszuschließen

strittig

Grenze operationelles zu Kredit-/Marktrisiko nirgends einheitlich nachvollziehbar dokumentiert

Avalon-Kern

Einmal in der Quelle bewertet, modulübergreifend entlang einer Ereignistyp-Methodik konsolidiert – jede Spur bleibt getrennt, nie quer summiert.

einmal bewerten · einfach gezählt

Konsolidierungs-Pult

Viele Quellen, eine Methodik, ein Bericht.

Operationelle Risiken laufen aus allen Quellen Ihrer Organisation in die sieben Verlustereignis-Typen (CRR III, Art. 317) plus eine eigene TPRM-Kategorie für Drittdienstleistungs- und Auslagerungsrisiken zusammen – jede Spur bleibt sichtbar getrennt, nie quer summiert. Aus der konsolidierten Schiene entsteht ein prüffähiger Bericht für Steuerung, Audit und Aufsichtsvorbereitung.

Sieben Verlustereignis-Typen (Level 1) gemäß CRR III, Art. 317 (IF, EF, EPWS, CPBP, DPA, BDSF, EDPM) plus eine eigene TPRM-Kategorie für Drittdienstleistungs- und Auslagerungsrisiken. Operationelle Risiken werden nie über Modul-Grenzen summiert – der konsolidierte Bericht unterstützt die Berichterstattung relevant für MaRisk AT 4.3.2 und DORA. Keine Zertifizierungsaussage.

Kernbausteine

Was dieses Modul für Sie leistet

Einmal in der Quelle bewertet, modulübergreifend entlang einer Ereignistyp-Methodik konsolidiert – jede Spur bleibt getrennt, nie quer summiert.

Avalon-Kern

einmal bewerten · einfach gezählt

01

Operationelle Risiken konsolidieren

Native Risiken sowie ICT-, BCM- und Auslagerungsrisiken in einer einheitlichen Methodik nach den Verlustereignis-Typen (CRR III, Art. 317) zusammenführen – ohne Doppelerfassung.

02

Verluste und Kontrollen verbinden

Verlustereignisse, RCSA, Kontrollen und Schlüsselrisikoindikatoren in einem durchgängigen Pfad führen – von der Einschätzung bis zur laufenden Überwachung.

03

Methodisch berichten

Konsolidierte, versionierte Berichte mit Bezug zu CRR III, MaRisk AT 4.3.2 und DORA für Management, Gremien, Audit und Aufsichtsvorbereitung erzeugen – nachvollziehbar dokumentiert.

So arbeitet Avalon OpRisk

Vom Verlustereignis zum konsolidierten OpRisk-Bericht

Prozesslogik

Jeder Schritt zeigt, welche Vorarbeit entsteht, wer prüft und welcher Nachweis daraus wird.

VorarbeitQualitätsprüfungNachweis
  1. 01Schritt

    1. Methodik und Kategorien festlegen

    Was passiert in diesem Schritt

    Einmalig hinterlegen Sie Ihre operationelle Risikomethodik: die sieben Verlustereignis-Typen (CRR III, Art. 317) als Rahmen, eigene Subkategorien mit Pflicht-Zuordnung zum jeweiligen Verlustereignis-Typ sowie den Risikoappetit je Kategorie. Diese Methodik ist die gemeinsame Grundlage für Erfassung, Aggregation und Reporting.

  2. 02Schritt

    2. Verluste und native Risiken erfassen

    Was passiert in diesem Schritt

    Operationelle Verlustereignisse werden zentral erfasst und nach Verlustereignis-Typ (CRR III, Art. 317) klassifiziert; native operationelle Risiken (etwa interner und externer Betrug, Beschäftigungspraxis) kommen direkt im Register hinzu. Grenzfälle zu Kredit- und Marktrisiko werden bewusst abgegrenzt.

  3. 03Schritt

    3. Quellrisiken konsolidieren

    Was passiert in diesem Schritt

    Freigegebene Risiken und Verluste aus ICT-Risikomanagement, Business Continuity und TPRM aggregieren entlang der Verlustereignis-Typen (CRR III, Art. 317) – mit Drill-Down auf die Quellbewertung und Schutz gegen Doppelzählung zur konsolidierten Gesamtbank-Sicht.

  4. 04Schritt

    4. RCSA, Kontrollen und KRI führen

    Was passiert in diesem Schritt

    Über strukturierte Self-Assessments, einen Kontrollkatalog mit COSO-/COBIT-Bezug und Schlüsselrisikoindikatoren mit Schwellenwerten verbinden Sie qualitative Einschätzung und laufende Überwachung. Schwellen-Überschreitungen lösen automatische Ampel-Alerts aus.

  5. 05Schritt

    5. Quantitativ modellieren und am Appetit messen

    Was passiert in diesem Schritt

    Über Verteilungsanpassung mit Goodness-of-Fit-Prüfung und Szenario-Analysen wird das Verlustprofil modelliert und gegen den versionierten Risikoappetit gespiegelt. Kapitalrechnungen werden vom Menschen freigegeben.

  6. 06Schritt

    6. Konsolidieren und berichten

    Was passiert in diesem Schritt

    Das Reporting-Center erzeugt konsolidierte Berichte über alle Quellmodule hinweg – mit Bezug zu CRR III, MaRisk AT 4.3.2 und DORA in den passenden Ausgabeformaten. Berichte sind versioniert und nachvollziehbar dokumentiert; formelle Meldungen oder Einreichungen bleiben organisatorische Schritte Ihrer Institution.

Funktionsumfang

Was das OpRisk-Modul im Detail leistet

01

Konsolidierte operationelle Risikosicht

Nativ erfasste operationelle Risiken sowie freigegebene Quellbewertungen aus ICT-Risikomanagement, Business Continuity und TPRM laufen entlang der sieben Verlustereignis-Typen (CRR III, Art. 317) in einer Gesamtsicht zusammen – mit Drill-Down auf die jeweilige Quellbewertung und strukturellem Schutz gegen Doppelzählung. Die Fachbewertung bleibt in der Quelle, OpRisk konsolidiert.

02

Verlustdatenbank mit Klassifikation nach den Verlustereignis-Typen

Operationelle Verlustereignisse werden zentral erfasst und nach den Verlustereignis-Typen (CRR III, Art. 317) klassifiziert – inklusive Brutto-, Netto- und Recovery-Beträgen. Fälle an der Grenze zu Kredit- und Marktrisiko werden bewusst abgegrenzt, damit die Datenbasis für Risikosteuerung und Kapitalrechnung sauber bleibt.

03

RCSA mit branchenspezifischen Vorlagen

Strukturierte Risk-and-Control-Self-Assessments verbinden qualitative Einschätzung und laufende Überwachung. Branchenspezifische Fragebogen-Vorlagen geben einen methodisch konsistenten Rahmen; Kampagnen über mehrere Bereiche bleiben vergleichbar und nachvollziehbar dokumentiert.

04

Kontrollkatalog mit COSO-/COBIT-Bezug

Kontrollen werden mit Ziel, Typ, Frequenz, Testmethode und Wirksamkeit geführt und über COSO- und COBIT-Zuordnungen methodisch verankert. So lässt sich von der Risikobewertung über die zugeordnete Kontrolle bis zur Wirksamkeitsprüfung eine durchgängige Linie ziehen.

05

Schlüsselrisikoindikatoren mit Ampel-Alerts

Schlüsselrisikoindikatoren (KRI) werden mit Schwellenwerten hinterlegt und laufend überwacht. Überschreitungen lösen automatische Ampel-Alerts aus, sodass eskalierende operationelle Risiken früh sichtbar werden – qualitative Einschätzung und quantitatives Monitoring greifen in einem Modell ineinander.

06

Quantitative Modellierung und Szenarien

OpRisk unterstützt die quantitative Bewertung operationeller Risiken über Verteilungsanpassung mit Goodness-of-Fit-Prüfung und Szenario-Analysen auf Basis einer branchenüblichen Szenariobibliothek. So lassen sich Verlustprofile modellieren und gegen den definierten Risikoappetit steuern.

07

Versioniertes Risk-Appetite-Statement

Der Risikoappetit wird als versioniertes Statement mit Schwellen je Kategorie geführt. Aggregierte Risiken werden gegen den definierten Appetit gespiegelt, sodass Über- und Unterschreitungen transparent und über Versionsstände hinweg nachvollziehbar bleiben.

08

Audit-Findings, Issues und Workflows

Audit-Findings und Issues werden mit Schweregrad, Verantwortlichkeit und Maßnahmenplänen geführt; eine Workflow-Steuerung mit regelbasierten Auto-Triggern lenkt Reviews und Eskalationen. Verantwortlichkeiten und Bearbeitungsstände bleiben jederzeit transparent.

Typische Szenarien

Wann OpRisk im Avalon-Einsatz ist

Gesamtbank-Sicht vor Bericht und Prüfung

Eine Bank muss operationelle Risiken aus IT, Drittdienstleistungen, Auslagerungen, Geschäftsunterbrechungen und nativen Quellen zu einer konsistenten Gesamtsicht zusammenführen. In Avalon werden die Risiken entlang der sieben Verlustereignis-Typen (CRR III, Art. 317) und der TPRM-Kategorie aggregiert – mit Drill-Down auf die Quellbewertung und Schutz gegen Doppelzählung. Der konsolidierte Bericht nach MaRisk AT 4.3.2 und DORA entsteht aus den freigegebenen Bewertungen statt durch manuelle Tabellenkonsolidierung.

Verlustdaten, die im Audit standhalten

Ein Prüfer hinterfragt, warum ein Verlust dem operationellen und nicht dem Kreditrisiko zugeordnet wurde. In Avalon ist jedes Verlustereignis nach Verlustereignis-Typ (CRR III, Art. 317) klassifiziert, Grenzfälle sind bewusst abgegrenzt, Brutto-, Netto- und Recovery-Beträge sind dokumentiert und jede Änderung ist nachvollziehbar protokolliert. Die Begründung bleibt am Verlustereignis und in der Änderungshistorie nachvollziehbar.

Frühwarnung über Schlüsselrisikoindikatoren

Ein KRI in der Kategorie Geschäftsunterbrechungen nähert sich seinem Schwellenwert. Avalon löst einen automatischen Ampel-Alert aus und macht das eskalierende Risiko früh sichtbar; über die Workflow-Steuerung lässt sich daraus ein Review anstoßen. Qualitative Einschätzung aus dem RCSA und quantitatives Monitoring greifen dabei in einem Modell ineinander.

Verbindungen

Wie dieses Modul mit Avalon zusammenspielt

OpRisk wirkt als Aggregator – Avalon führt operationelle Risiken aus den Disziplinen zusammen, in denen sie operativ entstehen.

IT Risk Management

ICT- und Informationssicherheitsrisiken sowie zugehörige Verlustereignisse aus dem IT Risk Management werden entlang der Verlustereignis-Typen (CRR III, Art. 317) in die Gesamtbank-Konsolidierung übernommen. IT Risk Management bleibt die Quelle auf IT-Flughöhe; OpRisk aggregiert auf Gesamtbank-Ebene – ohne Doppelerfassung.

TPRM

Nach DRA/BPDD bewertete Drittdienstleistungs- und Auslagerungsrisiken aus dem TPRM-Modul können in die operationelle Konsolidierung einfließen und werden der eigenen TPRM-Kategorie zugeordnet. So wird die TPRM-Quellbewertung Teil der bankweiten operationellen Gesamtsicht, ohne im OpRisk-Modul neu erfunden zu werden.

BCM & Notfallmanagement

Risiken aus Geschäftsunterbrechungen und Systemausfällen aus dem BCM-Modul werden dem entsprechenden Verlustereignis-Typ (CRR III, Art. 317) zugeordnet und in die Konsolidierung übernommen – mit Drill-Down auf die ursprüngliche Bewertung im Quellmodul.

Regulatorik im Detail

Welche Rahmenwerke das OpRisk-Modul abbildet

  • CRR III (Verlustereignis-Typen, Art. 317)
  • MaRisk AT 4.3.2
  • FINMA-RS 2023/1
  • FINMA-RS 2017/1/2
  • DORA (EU) 2022/2554
  • EU AI Act 2024/1689
CRR III (Verlustereignis-Typen, Art. 317)
Die Aggregation operationeller Risiken folgt den sieben Verlustereignis-Typen (Level 1) gemäß CRR III, Art. 317 – interner und externer Betrug, Beschäftigungspraxis und Arbeitsplatzsicherheit, Kunden/Produkte/Geschäftspraxis, Sachschäden, Geschäftsunterbrechungen und Systemausfälle sowie Abwicklung, Lieferung und Prozessmanagement –, verankert in der EBA-Risiko-Taxonomie und ergänzt um eine eigene TPRM-Kategorie für Drittdienstleistungs- und Auslagerungsrisiken. Eigene Subkategorien müssen einem dieser Verlustereignis-Typen oder der TPRM-Kategorie zugeordnet werden, sodass die Methodik bankweit konsistent bleibt.
MaRisk AT 4.3.2
Das konsolidierte OpRisk-Reporting bildet die Gesamtbank-Sicht auf operationelle Risiken nach MaRisk AT 4.3.2 ab. Verlustdaten, RCSA, Kontrollen und aggregierte Quellrisiken laufen in einem versionierten Bericht zusammen, der Management, Gremien, Audit und Aufsichtsvorbereitung eine prüffähige Grundlage liefert.
FINMA-RS 2023/1 – Operationelle Risiken und Resilienz (Banken)
Für Schweizer Banken unterstützt OpRisk die konsolidierte Sicht auf operationelle Risiken, Kontrollen, Verlustereignisse, RCSA-Ergebnisse und Resilienzbezüge. ICT-, Cyber-, kritische-Daten- und BCM-Risiken können aus den Fachmodulen in eine prüffähige OpRisk-Sicht zusammengeführt werden; FINMA-spezifische Reporting- und Auslegungsentscheidungen verbleiben beim Institut.
FINMA-RS 2017/1 / 2017/2 – Risk Management und IKS
Die rollengetrennte Risiko- und Kontrollsicht, methodisch gebundene Bewertungen und versionierte Reports liefern Nachweise für Governance-, Risikomanagement- und IKS-Erwartungen im Schweizer Banken- bzw. Versicherungsperimeter. Die konkrete IKS-Ausgestaltung bleibt kundenspezifisch.
DORA (EU) 2022/2554
ICT-bezogene Verlustereignisse und Risiken werden in die Gesamtbank-Konsolidierung übernommen und in einem DORA-orientierten Bericht abgebildet (u. a. mit Bezug zu Art. 6 IKT-Risikomanagement sowie Art. 27/28). Die operationelle Konsolidierung ergänzt die ICT-Flughöhe des IT-Risk-Management-Moduls auf Gesamtbank-Ebene.
EU AI Act 2024/1689
Optionale KI-Funktionen im OpRisk-Modul werden je Use Case im AI-Governance-Modul dokumentiert und klassifiziert. Jede KI-Ausgabe ist als prüfbare Vorbefüllung gekennzeichnet und trägt Konfidenz, Begründung sowie Modell-/Versionsangabe; die Entscheidung trifft der Mensch. Welche EU-AI-Act-Pflichten konkret greifen, wird use-case-bezogen bewertet.

Avalon unterstützt die Umsetzung dieser Rahmenwerke. Die Konformität bleibt in der Verantwortung Ihrer Organisation.

KI-PlattformEntscheidungshoheit: Mensch entscheidetStatus: Live

KI mit Kontrolle: Berater, nie Approver

Die KI-Unterstützung von OpRisk folgt durchgängig dem Prinzip „KI als Berater, nie als Approver“: Sie befüllt Arbeitsfelder vor – etwa die Klassifikation von Verlustereignissen nach den Verlustereignis-Typen (CRR III, Art. 317), Wesentlichkeitseinstufungen, Kontroll- und RCSA-Felder, Verteilungsinterpretationen mit Goodness-of-Fit oder Berichts-Narrative – die finale Entscheidung trifft immer der Mensch. Jeder von der KI vorbefüllte Wert muss explizit bestätigt werden. Jede KI-Vorbefüllung ist mit Konfidenz, Begründung und Modell-/Versionsangabe nachvollziehbar gekennzeichnet, KI-generierte Berichtstexte sind als solche markiert, und Entscheidungen werden revisionssicher protokolliert. Die KI ist standardmäßig ausgeschaltet und wird nur durch einen bewussten, begründeten Administrationsakt pro Anwendungsfall aktiviert. Die EU-AI-Act-Einordnung erfolgt je Use Case im AI-Governance-Modul. KI als Co-Pilot, nicht als Autopilot.

Optionaler KI-Baustein

OpRisk-Konsolidierung wird reviewfähig vorbereitet

KI kann Verlustereignisse, RCSA-Felder, Kontrollbezüge, Materialität und Berichtsnarrative vorbefüllen. Die Gesamtbankbewertung und Berichtsfassung werden durch zuständige Rollen bestätigt.

Wo KI im Prozess eingreift
  • Loss Events und RCSA-Felder werden aus Quellen und Taxonomie vorbefüllt.
  • Kontroll- und Berichtsentwürfe tragen Begründung, Konfidenz und Modellversion.
  • OpRisk-Freigabe, Klassifizierung und Berichtsaussage bleiben menschlich.
Assessment-VorbefüllungVORSCHLAG
Schutzbedarfs-Assessment
Vorbefüllt
Methode: CIA · Maximumprinzip · VVT-0091
IHRE ENTSCHEIDUNG
On-Premise · kein Datenabfluss · EU-AI-Act-konform
Ohne KI
  • OpRisk-Teams erfassen Verlustdaten, RCSA, Kontrollen und Quellrisiken manuell.
  • Aggregation nach CRR/EBA-Taxonomie und Reportversionierung laufen ohne KI.
  • Freigabe und Management-Bericht bleiben vollständig kontrolliert.
Mit KI
  • KI bereitet Ereignistyp, Materialität, Kontrollbezug und Berichtstexte als Arbeitsentwurf vor.
  • Quellrisiken aus IT, TPRM, BCM und Compliance werden für die OpRisk-Sicht verdichtet.
  • Teams investieren mehr Zeit in Plausibilisierung, Aggregation und Managementaussage.
  • Human-in-the-Loop: Für KI-vorbefüllte Felder gilt ein Pflicht-Akzept – keine KI-Vorbefüllung wird ohne ausdrückliche Bestätigung übernommen.
  • Standardmäßig aus: jeder KI-Anwendungsfall wird einzeln und begründet aktiviert; ohne Aktivierung bleibt der manuelle Pfad vollständig nutzbar.
  • Auditierbar: jede Vorbefüllung trägt Konfidenz, Begründung und Modell-/Versionsangabe; Entscheidungen werden revisionssicher protokolliert.
Wie KI mit Kontrolle bei Avalon funktioniert

Häufige Fragen zum OpRisk-Modul

Das IT-Risk-Management-Modul ist die zentrale Instanz für ICT- und Informationssicherheitsrisiken auf IT-Flughöhe. OpRisk ist die übergreifende Gesamtbank-Konsolidierung operationeller Risiken nach CRR III, MaRisk AT 4.3.2 und DORA – es aggregiert ICT-Risiken, BCM-Risiken und Auslagerungsrisiken entlang der sieben operationellen Verlustereignis-Typen (Level 1) gemäß CRR III (Art. 317) und ergänzt sie um nativ erfasste operationelle Risiken.

Risiken aus den Quellmodulen werden über ihre Herkunft konsolidiert und nicht doppelt erfasst. Sie bewerten einmal in der Quelle – etwa im IT Risk Management, BCM oder TPRM – und nutzen das Ergebnis modulübergreifend; die Aggregation erfolgt entlang der Verlustereignis-Typen (CRR III, Art. 317) mit Drill-Down auf die ursprüngliche Quellbewertung und strukturellem Schutz gegen Doppelzählung.

Konsolidierte, versionierte Berichte über alle Quellmodule hinweg mit Bezug zu CRR III, MaRisk AT 4.3.2 und DORA – in den passenden Ausgabeformaten für Management, Gremien, Audit und Aufsichtsvorbereitung. Jeder Bericht ist nachvollziehbar dokumentiert; formelle Meldungen bleiben organisatorische Schritte Ihrer Institution.

Nein. Der manuelle Workflow bleibt jederzeit der vollständige primäre Pfad. Die KI ist standardmäßig ausgeschaltet und wird nur durch einen bewussten, begründeten Administrationsakt pro Anwendungsfall aktiviert. Sie befüllt etwa Klassifikation nach Verlustereignis-Typen (CRR III, Art. 317), Wesentlichkeit, Kontrollen oder Berichts-Narrative vor – die Entscheidung trifft immer der Mensch, mit Pflicht-Akzept für KI-vorbefüllte Felder. Die EU-AI-Act-Einordnung erfolgt je Use Case.

Module

Welches Modul passt zu Ihrem nächsten Schritt?

Wir zeigen Ihnen Avalon entlang Ihrer aktuellen Fragestellung – konkret, in Ihrem Kontext, ohne Standard-Sales-Demo.

  • On-Premise
  • Human-in-the-Loop
  • EU-AI-Act-Governance
Kostenlosen Demo-Termin vereinbarenAngebot anfragen

On-Premise · KI-Inferenz auf Ihrer Appliance