Kritische oder wichtige Funktion – Kronjuwelen oder Modeschmuck?

Kronjuwelen kosten. In der Anschaffung - und erst recht im Schutz.

Die BaFin hat sich zur Menge der Kronjuwelen geäußert und findet:
Die Banken haben davon mitunter zu wenige.

Spannend. Denn diejenigen, die die Rechnung für Schutz, Absicherung und Governance nicht zahlen, treiben damit den Preis von möglichem Modeschmuck nach oben.

Entwertung der eigenen Aussage

In den letzten Beiträgen haben wir gezeigt, dass sich die kritischen oder wichtigen Funktionen (kwF) mit einer sauber gelesenen Business Impact Analyse sehr wohl sachgerecht ermitteln lassen. Der Fokus lag auf dem Wie.

Jetzt müssen wir mit zwei aufsichtlichen Aussagen aufräumen, die in dieser Form mehr Verwirrung als Klarheit stiften:

Im Dezember-Termin „Das erste Jahr DORA“ hat die Aufsicht zwei Aussagen nebeneinandergestellt, die sich logisch gegenseitig ausschließen:

Einerseits werden kritische oder wichtige Funktionen als die „Kronjuwelen“ des Unternehmens bezeichnet – also als jene wenigen Funktionen, ohne die weder Fortbestand noch regulatorische Compliance möglich sind.
Zugleich gilt es als aufsichtliches Warnsignal, wenn ein Institut nur sehr wenige dieser Funktionen identifiziert.

Damit entwertet die Aufsicht ihre eigene Metapher. Die beiden Aussagen zeigen keinen Erkenntnisgewinn, sondern einen Zielkonflikt.

Eine Krone hat keine 15 Kronjuwelen. Kronjuwelen sind selten – andernfalls nennt man sie Modeschmuck.

Schauen wir nun also auf das Ergebnis. Denn eine formal saubere Ableitung beantwortet noch nicht die entscheidende Frage: Ist das Ergebnis fachlich plausibel?

Wertanalyse ist kein Wunschkonzert

Prozesswesentlichkeit beschreibt die Bedeutung eines Geschäftsprozesses für den Erfolg und die Zielerreichung eines Instituts. Ein Prozess ist wesentlich, wenn er einen signifikanten Beitrag leistet zur Umsetzung der Institutsstrategie, zur Erreichung unternehmensweiter Ziele oder zur Einhaltung regulatorischer Anforderungen.

Diese Bewertung ist wertorientiert: Maßgeblich ist der positive Beitrag des Prozesses im ordnungsgemäßen Betrieb (Normalfall). Prozesse entfalten ihre Wesentlichkeit nicht isoliert, sondern ausschließlich durch ihren Beitrag zur Zielerreichung.

DORA setzt dem keine alternative Bewertungslogik entgegen, sondern nimmt lediglich eine Perspektivumkehr vor. Während die Prozesswesentlichkeit fragt, welchen Wert ein Prozess stiftet, fragt DORA, welche negativen Auswirkungen eintreten, wenn genau dieser Wertbeitrag gestört, fehlerhaft oder unterlassen wird.

Dabei wird jedoch kein anderes Objekt betrachtet, sondern dasselbe – der Geschäftsprozess bzw. die Funktion – aus einer umgekehrten Perspektive:

Wertorientierte Sicht: Was leistet der Prozess, wenn er funktioniert?
Schadensorientierte Sicht (DORA): Welche Auswirkungen entstehen, wenn diese Leistung gestört, fehlerhaft oder unterlassen wird?

Zwischen Wert und Schaden besteht eine zwingende logische Beziehung: Der maximal mögliche Schaden eines Prozessversagens ist durch den maximalen Wertbeitrag begrenzt, den der Prozess im ordnungsgemäßen Betrieb stiftet. Eine saubere wertorientierte Prozesswesentlichkeitsanalyse impliziert daher logisch eine Schadenssicht.

ABC-Wertanalyse als praktikables Ordnungsprinzip für Prozesse

In der Praxis der Prozesssteuerung hat sich gezeigt, dass sich Prozesslandschaften häufig nicht gleichmäßig, sondern konzentriert entlang ihres Beitrags zur Zielerreichung strukturieren lassen. Vor diesem Hintergrund kann auf wertanalytische Ordnungsmodelle zurückgegriffen werden, die eine priorisierende Betrachtung ermöglichen.

Ein verbreiteter Ansatz ist die ABC-Wertanalyse, mit der Prozesse entlang ihres relativen Beitrags zu strategischen, regulatorischen oder operativen Zielen gruppiert werden. Typischerweise werden dabei unterschieden:

A-Prozesse, denen ein besonders hoher Beitrag zur Zielerreichung zugeschrieben wird,
B-Prozesse, die die Leistungserbringung stabilisieren und unterstützen,
C-Prozesse, deren individueller Beitrag als nachrangig bewertet wird.

Diese Einteilung erhebt keinen Anspruch auf mathematische Präzision oder universelle Verteilungsmuster. Sie dient vielmehr als heuristisches Ordnungsinstrument, um Komplexität zu reduzieren und Steuerungsschwerpunkte sichtbar zu machen.

Die Anwendung der ABC-Logik erfolgt dabei nicht abstrakt, sondern unter Nutzung der bereits in der Business Impact Analyse verwendeten Bewertungskriterien:

der Beitrag des Prozesses zur Einhaltung regulatorischer und gesetzlicher oder vertraglicher Anforderungen, also zu regelkonformem Geschäftsbetrieb und aufsichtsrechtlicher Stabilität,
der Beitrag zur finanziellen Leistungsfähigkeit des Instituts, etwa durch unmittelbare Unterstützung von Ertragsgenerierung oder Aufwandsreduzierung,
der Beitrag zur Reputation und zum Marktvertrauen, insbesondere dort, wo Prozesse die Außenwahrnehmung, Kundenbeziehungen oder die Integrität des Instituts prägen,
der Beitrag zur nachhaltigen Aufgabenerfüllung und Steuerungsfähigkeit des Instituts, etwa durch Unterstützung zentraler Geschäfts-, Steuerungs- oder Kontrollfunktionen.

Die ABC-Klassifikation ist in diesem Verständnis kein Selbstzweck und keine normative Vorgabe. Sie schafft vielmehr eine strukturierte Grundlage für Priorisierung. Ohne eine solche Priorisierung verliert der Begriff der Wesentlichkeit bzw. der Wichtigkeit seine steuerungspraktische Aussagekraft und wird zur bloßen Beschreibung ohne Konsequenzen.

Von ABC zu „wichtig“ und „kritisch“ – Governance statt Beliebigkeit

Die Überführung der ABC-Klassifikation in die DORA-Systematik erfolgt konsequent aus Schadenssicht:

A-Prozesse weisen aufgrund ihres hohen Wertbeitrags ein hohes Schadenspotenzial bei Störung, Fehlerhaftigkeit oder Unterbleiben auf. → Sie sind grundsätzlich als wichtige Funktionen im Sinne von DORA zu qualifizieren.
C-Prozesse sind durch geringe Wert- und Schadenspotenziale gekennzeichnet. → Sie sind nicht als wichtige Funktionen einzustufen.

Der methodische Gestaltungsspielraum des Instituts liegt bei den B-Prozessen. Im Rahmen des Grundsatzes der Methodenfreiheit ist festzulegen, ob:

ausschließlich A-Prozesse als wichtig gelten, oder
zusätzlich B-Prozesse mit potenziell relevantem Schadenspotenzial einbezogen werden.

Diese Schwellenentscheidung ist keine regulatorische Vorgabe, sondern eine bewusste Governance- und Steuerungsentscheidung, die konsistent zur Institutsstrategie und Risikostruktur zu begründen ist.

Die kritische Funktion stellt dabei keine zusätzliche Wesentlichkeitsklasse dar, sondern eine zeitliche Eskalation innerhalb der wichtigen Funktionen (hier weiter lesen: Wichtig ist wie kritisch – nur „ohne Zeit“). Pareto bleibt auch hier wirksam: Nur ein Teil der wichtigen Funktionen wird kritisch, da nicht jeder relevante Schaden zeitkritisch ist.

Fazit

Die Identifikation kritischer oder wichtiger Funktionen nach DORA ist keine Frage formaler Vollständigkeit, sondern eine Frage fachlicher Plausibilität. Wer den Begriff der „Kronjuwelen“ ernst nimmt, muss Priorisierung zulassen – und Konzentration aushalten.

Die hier dargestellte Herleitung zeigt, dass sich Prozesswesentlichkeit, Business Impact Analyse und DORA-Systematik nicht widersprechen, sondern logisch aufeinander aufbauen. Wert- und Schadenssicht beschreiben dabei kein unterschiedliches Regelungsverständnis, sondern zwei Perspektiven auf denselben Bewertungsgegenstand. Die ABC-Wertanalyse liefert hierfür ein praktikables Ordnungsprinzip, ohne den Rahmen der Methodenfreiheit zu verlassen.

Wo ein Institut die Schwelle zwischen A- und B-Prozessen zur DORA-Relevanz zieht, ist keine aufsichtlich vorgegebene Wahrheit, sondern eine bewusste Governance-Entscheidung. Entscheidend ist nicht die Anzahl der identifizierten wichtigen oder kritischen Funktionen, sondern die innere Logik ihrer Herleitung.

Oder anders formuliert: Nicht jedes Institut mit wenigen Kronjuwelen hat etwas übersehen. Manche haben einfach verstanden, was eine Krone ausmacht.