Die Anforderungen des Rundschreibens beziehen sich auf das Management der für das Institut wesentlichen Risiken. Zur Beurteilung der Wesentlichkeit muss sich die Ge- schäftsleitung regelmäßig und anlassbezogen im Rahmen einer Risikoinventur einen Überblick über die Risiken des Instituts verschaffen (Gesamtrisikoprofil). Die Risiken sind auf der Ebene des gesamten Instituts zu erfassen, unabhängig davon, in welcher Organisationseinheit die Risiken verursacht wurden. Grundsätzlich sind zumindest die folgenden Risikoarten als wesentlich einzustufen: Risikokonzentrationen Neben Risikopositionen gegenüber Einzeladressen, die allein aufgrund ihrer Größe eine Risikokonzentration darstellen, können Risikokonzentrationen sowohl durch den Gleichlauf von Risikopositionen innerhalb einer Risikoart („Intra-Risikokonzentratio- nen“) als auch durch den Gleichlauf von Risikopositionen über verschiedene Risikoarten hinweg (durch gemeinsame Risikofaktoren oder durch Interaktionen verschiedener Risi- kofaktoren unterschiedlicher Risikoarten - „Inter-Risikokonzentrationen“) entstehen. Informations- und Kommunikationstechnologierisiken a) Adressenausfallrisiken (einschließlich Länderrisiken), b) Marktpreisrisiken, c) Liquiditätsrisiken und d) operationelle Risiken. Für die hier als grundsätzlich wesentlich aufgeführten Risikoarten kann eine gesondert dokumentierte Wesentlichkeitsanalyse entfallen. Mit wesentlichen Risiken verbundene Risikokonzentrationen sind zu berücksichtigen. Für Risiken, die als nicht wesentlich ein- gestuft werden, sind angemessene Vorkehrungen zu treffen. Als Wesentlichkeitsschwelle in der ökonomischen Perspektive wird ein Schwellenwert von 5 % bezogen auf das Risikodeckungspotenzial als angemessen anerkannt. Informations- und Kommunikationstechnologierisiken (IKT-Risiken) sind ein Bestandteil der operationellen Risiken und in die Risikoinventur explizit einzubeziehen.
Das Institut muss im Rahmen der Risikoinventur prüfen, welche Risiken die Vermögens- lage (inklusive Kapitalausstattung), die Ertragslage oder die Liquiditätslage wesentlich beeinträchtigen können. Die Risikoinventur darf sich dabei nicht ausschließlich an den Auswirkungen in der Rechnungslegung sowie an formalrechtlichen Ausgestaltungen orientieren. Im Hinblick auf eine ganzheitliche Risikoinventur sind auch Risiken aus au- ßerbilanziellen Gesellschaftskonstruktionen zu betrachten (z. B. Risiken aus nicht kon- solidierungspflichtigen Zweckgesellschaften).
Bei der Beurteilung der Wesentlichkeit im Rahmen der Risikoinventur, der Ausgestal- tung des internen Kontrollsystems (Risikotragfähigkeitskonzept, Risikosteuerungs- und –controllingprozesse, Prozesse im Rahmen der Aufbau- und Ablauforganisation), der (Risiko-)Strategie und der Berichterstattung sind die Auswirkungen von ESG-Risiken an- gemessen zu berücksichtigen. Dabei sind verschiedene plausible Szenarien zugrunde zu legen, die im Einklang mit wissenschaftlichen Erkenntnissen stehen. Ein Abstellen allein auf Datenhistorien ist nicht ausreichend. Die Beurteilung hat sowohl unter kurz- und mittelfristiger Perspek- tive als auch über einen langen Zeithorizont zu geschehen. Berücksichtigung von ESG-Risiken Als ESG-Risiken (ESG: Environmental, Social, Governance) sind Ereignisse oder Bedingun- gen aus den Bereichen Umwelt, Soziales oder Unternehmensführung zu verstehen, die als Risikotreiber/-faktor wirken und somit auf die in Tz. 1 a) - d) aufgeführten sowie wei- tere wesentliche Risikoarten ausstrahlen.