Operationeel risico`

Wat Is Operationeel risico?

Operationeel risico is het risico op verlies als gevolg van inadequate of falende interne processen, mensen en systemen, of van externe gebeurtenissen. Het is een fundamenteel onderdeel van de bredere categorie Financiële risico's binnen Risicomanagement. Operationeel risico omvat een breed scala aan potentiële problemen, variërend van menselijke fouten en technische storingen tot fraude en natuurrampen. In tegenstelling tot andere risico’s, zoals kredietrisico of marktrisico, is operationeel risico vaak minder direct te kwantificeren, maar kan het evenzeer aanzienlijke financiële en reputatieschade veroorzaken.

Geschiedenis en Oorsprong

Hoewel operationele risico's altijd hebben bestaan in bedrijfsactiviteiten, heeft de formele erkenning en categorisering ervan als een apart risicotype een relatief recente geschiedenis in de financiële sector. Deze erkenning kwam voornamelijk voort uit een reeks spraakmakende incidenten in de late 20e eeuw, zoals de ineenstorting van Barings Bank in 1995 als gevolg van ongeautoriseerde handel. Dit s¹⁰oort gebeurtenissen benadrukte de noodzaak voor financiële instellingen om niet alleen krediet- en marktrisico's te beheren, maar ook de inherente risico's die voortvloeien uit hun eigen activiteiten en infrastructuur.

De definitieve opname van operationeel risico in het regelgevingskader voor banken kwam met de Basel Akkoorden II, geïntroduceerd in 2004. De Bank for International Settlements (BIS), via het Bazels Comité voor Bankentoezicht (BCBS), definieerde operationeel risico expliciet en verplichtte banken om kapitaal aan te houden tegen dit risico. Deze ont⁹wikkeling markeerde een cruciale verschuiving naar een holistischere benadering van risicobeheer, waarbij de nadruk kwam te liggen op interne processen, mensen en systemen als potentiële bronnen van aanzienlijke verliezen.

Belangrijkste leerpunten

• Operationeel risico is het risico op verlies door falende interne processen, mensen, systemen of externe gebeurtenissen, exclusief strategisch en reputatierisico.
• Het omvat een breed scala aan gebeurtenistypes, zoals fraude, systeemstoringen en niet-naleving van regelgeving.
• Effectief beheer van operationeel risico is cruciaal voor het voorkomen van financiële verliezen, het handhaven van Compliance en het beschermen van de reputatie van een organisatie.
• Regelgevende kaders zoals Basel II en Basel III vereisen dat financiële instellingen kapitaal aanhouden tegen operationeel risico.
• Het kwantificeren van operationeel risico is uitdagend vanwege de diverse aard en de infrequentie van sommige gebeurtenissen, wat vaak afhankelijk is van scenarioanalyse en interne/externe gegevens.

Formule en Berekening

Er is geen universele, eenvoudige formule voor het berekenen van operationeel risico, zoals bij Marktrisico of Kredietrisico. In plaats daarvan gebruiken financiële instellingen en toezichthouders verschillende benaderingen om kapitaalvereisten voor operationeel risico te bepalen, met name onder de Basel-akkoorden.

De Basel-akkoorden hebben historisch drie benaderingen gedefinieerd voor het berekenen van de kapitaalvereisten voor operationeel risico (Operational Risk Capital, ORC):

1. Basic Indicator Approach (BIA): De eenvoudigste methode, waarbij het kapitaal wordt berekend als een vast percentage (alfa, (\alpha)) van de gemiddelde bruto-inkomsten (Gross Income, GI) van de voorgaande drie jaar.
   $\text{ORC}_{\text{BIA}} = \alpha \times \text{GI}_{\text{gemiddeld}}$
   Waar (\alpha) typisch 15% is.

2. Standardized Approach (SA): Hierbij worden de bruto-inkomsten onderverdeeld in verschillende bedrijfslijnen (bijv. corporate finance, retail banking), en wordt voor elke lijn een specifieke procentuele factor (beta, (\beta)) toegepast. De som van deze bedragen vormt het totale kapitaal.
   $\text{ORC}_{\text{SA}} = \sum_{i=1}^{n} (\beta_i \times \text{GI}_i)$
   Waar (n) het aantal bedrijfslijnen is en (\beta_i) de vaste procentuele factor voor bedrijfslijn (i).

3. Advanced Measurement Approach (AMA): Dit was de meest geavanceerde methode, waarbij banken hun eigen interne modellen mochten gebruiken om de Kapitaalvereisten te berekenen, mits deze voldeden aan strikte kwalitatieve en kwantitatieve criteria van de toezichthouder. Deze aanpak gaf banken de flexibiliteit om hun specifieke risicoprofiel te weerspiegelen, gebruikmakend van interne verliesgegevens, externe gegevens, scenarioanalyse en factoren van de bedrijfsomgeving en Interne controles.

Sinds 2022 ⁸heeft Basel III de AMA echter vervangen door de Standardized Measurement Approach (SMA), die probeert de voordelen van de AMA te combineren met een grotere standaardisatie en vergelijkbaarheid. De SMA combineert een Business Indicator Component (BIC) met een Internal Loss Multiplier (ILM) die rekening houdt met de interne verliesgeschiedenis van een bank.

Interpre⁷tatie van Operationeel risico

De interpretatie van operationeel risico draait om het begrijpen van de potentiële impact van operationele falen op de organisatie. Omdat operationeel risico een breed spectrum van gebeurtenissen omvat, van kleine administratieve fouten tot catastrofale cyberaanvallen, is de interpretatie niet zozeer een numerieke waarde, maar eerder een kwalitatief begrip van kwetsbaarheden en veerkracht.

Een hoge blootstelling aan operationeel risico betekent dat een organisatie kwetsbaar is voor verstoringen in haar Bedrijfsprocessen die kunnen leiden tot financiële verliezen, boetes, Reputatieschade of zelfs het faillissement. Toezichthouders, zoals de Federal Reserve in de VS, benadrukken het belang van "operationele veerkracht", wat het vermogen van een organisatie is om kritieke operaties voort te zetten, zelfs na ernstige verstoringen.

De beoordelin⁶g van operationeel risico omvat vaak het evalueren van de kwaliteit van Interne controles, de effectiviteit van Business continuity-plannen, de robuustheid van IT-systemen en de mate van menselijke fouten of [Fraude](https://diversification.com/term/fraude]preventie. Een instelling met een sterke operationele risicocultuur zal proactief risico's identificeren, meten, monitoren en mitigeren, en een leerproces implementeren na incidenten om toekomstige verstoringen te minimaliseren.

Hypothetisch voorbeeld

Stel, een middelgrote financiële instelling, "Alpha Bank", verwerkt dagelijks duizenden transacties. Een nieuw softwarepakket voor betalingsverwerking wordt geïmplementeerd. Tijdens de eerste weken na de lancering merkt Alpha Bank een toename in klachten van klanten over vertraagde betalingen en onjuiste afschrijvingen. Na onderzoek blijkt dat een fout in de code van het nieuwe systeem sporadisch dubbele transacties creëert en dat de validatieprocessen voor handmatige invoer, die door medewerkers worden uitgevoerd, niet adequaat zijn bij de afhandeling van onregelmatigheden.

Dit is een schoolvoorbeeld van operationeel risico:

• Falende systemen: De softwarefout die dubbele transacties veroorzaakt.
• Falende processen: De inadequate handmatige validatieprocessen.
• Mensen: De menselijke fouten bij het invoeren of corrigeren van gegevens als gevolg van onduidelijke procedures of onvoldoende training.

De gevolgen voor Alpha Bank kunnen zijn: directe financiële verliezen door de dubbele afschrijvingen die moeten worden terugbetaald, extra kosten voor het corrigeren van fouten en het afhandelen van klantklachten, en aanzienlijke Reputatieschade onder klanten. Om dit operationele risico aan te pakken, zal Alpha Bank moeten investeren in software-updates, de Interne controles voor betalingsverwerking moeten herzien en medewerkers intensiever moeten trainen in de nieuwe systemen en Bedrijfsprocessen.

Praktische Toepassingen

Operationeel risico is inherent aan vrijwel elke bedrijfsvoering en manifesteert zich in diverse sectoren, maar is van bijzonder belang in de financiële dienstverlening vanwege de complexe aard van transacties, de afhankelijkheid van technologie en de hoge mate van regulering.

• Bankwezen en Financiële Instellingen: Voor Financiële instellingen is operationeel risico een van de belangrijkste risicocategorieën, naast Kredietrisico en marktrisico. Het omvat risico's zoals systeemuitval bij online bankieren, cyberaanvallen op [Gegevensbeveiliging], fraude door werknemers, of fouten in transactieverwerking. De Basel Akkoorden leggen specifieke Kapitaalvereisten op voor operationeel risico om de stabiliteit van het financiële systeem te waarborgen.
• IT en Cybersecuri⁵ty: Met de toenemende digitalisering zijn IT- en cybersecurity-risico's een dominante vorm van operationeel risico geworden. Gegevenslekken, zoals de Equifax-hack in 2017, waarbij de persoonlijke informatie van miljoenen consumenten werd blootgelegd, zijn klassieke voorbeelden van operationele risicofalen die voortvloeien uit falende systemen en processen.
• Productie en Logi⁴stiek: In productiegerichte bedrijven kan operationeel risico voortkomen uit defecte machines, verstoringen in de toeleveringsketen, menselijke fouten op de werkvloer of problemen met kwaliteitscontrole.
• Gezondheidszorg: Operationeel risico in de gezondheidszorg kan betrekking hebben op fouten bij medicatietoediening, storingen in medische apparatuur, of het niet naleven van patiëntveiligheidsprotocollen.
• Regulering en Compliance: Overheden en toezichthouders over de hele wereld stellen strenge eisen aan het beheer van operationeel risico. Het niet naleven van deze regels kan leiden tot aanzienlijke boetes en sancties. De Federal Reserve Board benadrukt bijvoorbeeld het belang van een robuuste operationele veerkracht binnen financiële instellingen om de stabiliteit van het financiële systeem te waarborgen.

Beperkingen en Kritiek³

Ondanks het belang van operationeel risico en de inspanningen om het te beheren, zijn er aanzienlijke beperkingen en kritiekpunten, met name rond de meting en modellering ervan.

Een van de grootste uitdagingen is de inherente moeilijkheid om operationeel risico nauwkeurig te kwantificeren. In tegenstelling tot markt- of kredietrisico, waar omvangrijke historische gegevens en gestandaardiseerde modellen beschikbaar zijn, is operationeel risico vaak geassocieerd met "low-frequency, high-impact" gebeurtenissen. Dit betekent dat ernstige operationele verliezen zelden voorkomen, waardoor er een gebrek is aan voldoende statistische gegevens voor robuuste kwantitatieve modellen. Dit leidt ertoe dat er vaa²k een sterke afhankelijkheid is van expertjudgment en scenarioanalyse, wat subjectiviteit introduceert.

Kritiekpunten omvatten:

• Gebrek aan data: Zoals gezegd, de zeldzaamheid van grote operationele verliesgebeurtenissen maakt het moeilijk om significante datasets op te bouwen. Dit bemoeilijkt de betrouwbare voorspelling van toekomstige verliezen en de validatie van modellen.
• Diversiteit en compl¹exiteit: De brede definitie van operationeel risico omvat een enorme diversiteit aan gebeurtenistypes (van menselijke fouten tot natuurrampen), wat het lastig maakt om een uniforme aanpak voor risicometing te ontwikkelen. Het vereist vaak gespecialiseerde kennis over verschillende Bedrijfsprocessen en systemen.
• Menselijke factor: De "mensen"-component van operationeel risico is bijzonder moeilijk te modelleren. Factoren zoals bedrijfscultuur, training, ethiek en vermoeidheid dragen bij aan operationele fouten of [Fraude], maar zijn niet eenvoudig in kwantitatieve modellen te vangen.
• Causale verbanden: Het is vaak complex om de exacte oorzaak van een operationeel verlies te achterhalen, vooral in grote, complexe organisaties. Een systeemfout kan bijvoorbeeld voortkomen uit een menselijke fout in de codering, of een externe gebeurtenis zoals een stroomstoring, wat de Due diligence en preventie compliceert.
• Modelrisico: Bij het gebruik van geavanceerde meetbenaderingen voor operationeel risico kunnen de modellen zelf bronnen van risico zijn als ze gebrekkig zijn ontworpen, geïmplementeerd of gevalideerd. De "London Whale"-zaak bij JPMorgan Chase, hoewel vaak aangehaald als een voorbeeld van marktrisico, bevatte ook significante operationele risicocomponenten die verband hielden met falende interne controles en risicomodellen.

Deze beperkingen betekenen dat, hoewel operationeel risicobeheer essentieel is, het een voortdurende uitdaging blijft om een allesomvattend en volledig kwantificeerbaar raamwerk te creëren dat alle potentiële risico's adequaat ondervangt.

Operationeel risico versus Kredietrisico

Operationeel risico en Kredietrisico zijn beide financiële risicocategorieën, maar ze verschillen fundamenteel in hun aard en bronnen. Het onderscheid is cruciaal voor Financiële instellingen om effectief risicomanagement te implementeren.

Waar Kredietrisico zich richt op de betrouwbaarheid van tegenpartijen, concentreert operationeel risico zich op de integriteit en veerkracht van de interne werking van de organisatie zelf. Hoewel ze distinct zijn, kunnen ze elkaar beïnvloeden; bijvoorbeeld, een operationele fout in het kredietbeoordelingsproces kan leiden tot onverwacht [Kredietrisico]. De opkomst van het concept [Systemisch risico] toont ook aan dat het falen van een van deze risicotypen in één grote instelling gevolgen kan hebben voor het hele financiële systeem.

Veelgestelde Vragen

Wat zijn de belangrijkste categorieën van operationeel risico?

De Basel-akkoorden categoriseren operationeel risico in zeven gebeurtenistypen: interne [Fraude], externe [Fraude], arbeidspraktijken en veiligheid op de werkplek, cliënten, producten en bedrijfspraktijken, schade aan fysieke activa, bedrijfsverstoringen en systeemstoringen, en uitvoering, levering en procesbeheer.

Hoe verschilt operationeel risico van [Strategisch risico]?

Operationeel risico heeft betrekking op verliezen als gevolg van falen in de dagelijkse uitvoering van activiteiten. [Strategisch risico] daarentegen is het risico op verlies als gevolg van een slechte strategische bedrijfsbeslissing, een mislukte implementatie van een strategie, of het falen om adequaat te reageren op veranderingen in de bedrijfsomgeving. Terwijl operationeel risico gaat over 'hoe' dingen worden gedaan, gaat strategisch risico over 'wat' wordt gedaan.

Kan operationeel risico volledig worden geëlimineerd?

Nee, operationeel risico kan niet volledig worden geëlimineerd. Het is een inherent onderdeel van elke bedrijfsvoering waarbij mensen, processen en systemen betrokken zijn. Hoewel effectief [Risicomanagement] de impact en frequentie van operationele verliesgebeurtenissen aanzienlijk kan verminderen, zullen kleine fouten, onvoorziene externe gebeurtenissen of zelfs kwaadwillende intenties altijd een zekere mate van operationeel risico creëren. Het doel is niet eliminatie, maar beheersing en mitigatie.

Welke rol spelen technologie en [Gegevensbeveiliging] bij operationeel risico?

Technologie en [Gegevensbeveiliging] spelen een cruciale rol bij operationeel risico. Enerzijds kunnen technologische storingen, cyberaanvallen en gebrekkige [Gegevensbeveiliging] directe bronnen van operationeel verlies zijn. Anderzijds biedt technologie ook oplossingen voor het beheren van operationeel risico, zoals geautomatiseerde [Interne controles], geavanceerde analyses voor risico-identificatie en robuuste back-upsystemen voor [Business continuity]. De toenemende afhankelijkheid van digitale systemen maakt het beheer van technologische risico's een topprioriteit binnen operationeel risicomanagement.