Das Institut muss angemessene Prozesse zur a) Identifizierung, b) Beurteilung, c) Steuerung sowie d) Überwachung und Kommunikation der wesentlichen Risiken einrichten. Risiken und Risikokonzentrationen sind unter Be- rücksichtigung der Risikotragfähigkeit und des Risikoappetits wirksam zu begrenzen und zu überwachen. Diese Prozesse sind in eine gemeinsame Ertrags- und Risikosteu- erung („Gesamtbanksteuerung“) einzubinden. Das Institut hat die für eine angemes- sene Beurteilung, Steuerung und Überwachung von Risiken und für die Bereitstellung von Informationen relevanten Daten vorzuhalten. Hierunter fallen auch relevante Daten zu Forderungen und deren Sicherheiten inkl. der Beziehung zwischen Sicher- heit und zugrunde liegender Transaktion. Begrenzung und Überwachung von Risiken und damit verbundenen Risikokonzentratio- nen Um Risiken und Risikokonzentrationen zu begrenzen und zu überwachen, können quan- titative (z.B. Limitsysteme, Ampelsysteme) und qualitative (z.B. regelmäßige Risikoanaly- sen) Instrumente eingesetzt werden. Die Begrenzung und Überwachung von im Risikotragfähigkeitskonzept einbezogenen Ri- siken erfolgt in der Regel auf der Basis eines wirksamen Limitsystems. Für Risiken, die nicht sinnvoll durch Limite begrenzt werden können, kommen auch andere - qualitative - Instrumente zum Einsatz.
Die Prozesse müssen sicherstellen, dass wesentliche Risiken frühzeitig erkannt, voll- ständig erfasst und angemessen dargestellt werden. Hierzu muss das Institut geeig- nete Indikatoren für die frühzeitige Identifizierung von Risiken sowie von risikoarten- übergreifenden Effekten ableiten.
Die Geschäftsleitung muss sich regelmäßig über die Geschäftslage und Risikositua- tion einschließlich Risikokonzentrationen berichten lassen.
Unter Risikogesichtspunkten wesentliche Informationen sind unverzüglich an die Ge- schäftsleitung, die jeweiligen Verantwortlichen und ggf. die Interne Revision weiter- zuleiten, um frühzeitig geeignete Maßnahmen einleiten zu können. Informationspflicht gegenüber der Internen Revision Die Interne Revision muss informiert werden, wenn die Fachbereiche aus Risikosicht re- levante Mängel erkennen, bedeutende Schadensfälle auftreten oder ein konkreter Ver- dacht auf Unregelmäßigkeiten besteht.