Gelebt wird, was belohnt wird: Risikokultur jenseits des Rahmenwerks.

Nach der Finanzkrise von 2008 rückte ein Begriff ins Zentrum, der vorher kaum jemanden beschäftigt hatte. Wenn Banken Risiken eingegangen waren, die niemand gewollt haben wollte, dann lag es offenbar nicht nur an Modellen und Limiten, sondern an etwas Weicherem. Man nannte es Risikokultur. Das Financial Stability Board legte 2014 einen Rahmen vor, mit dem Aufsichtsbehörden sie beurteilen sollten, und definierte sie als «die Normen, Haltungen und Verhaltensweisen einer Institution im Umgang mit Risikobewusstsein, Risikonahme und Risikomanagement». Vier Indikatoren sollten den Blick leiten: das Vorbild der Führung, klare Verantwortlichkeit, offene Kommunikation mit echtem Widerspruch und Anreize, die zum gewünschten Verhalten passen.

Damit war Risikokultur etwas geworden, das sich beschreiben und von der Aufsicht beurteilen lässt. Banken schrieben sie in Leitbilder, Verhaltenskodizes und Risikoappetit-Rahmenwerke. Michael Power, Simon Ashby und Tommaso Palermo von der London School of Economics beobachteten schon 2013, wie daraus eine eigene Branche entstand, «angetrieben von einer Mischung aus Beratungsfirmen, Aufsichtsbehörden und Berufsverbänden». Die Idee dahinter war vernünftig: Was sich festhalten lässt, lässt sich auch einfordern.

Es gibt eine Bank, an der sich zeigen lässt, wie weit diese Idee trägt. Die Credit Suisse hatte alles, was dazugehört. Sie hatte das in Banken übliche Modell der drei Verteidigungslinien (Geschäft, Risikokontrolle, Revision), Risikolimiten auf Kundenebene, Komitees, die Überschreitungen behandelten, und eine Risikofunktion, die Warnungen schrieb. Sie hatte ausserdem eine Aufsicht, die so dicht hinschaute wie bei kaum einem anderen Institut. Die FINMA führte von 2018 bis 2022 insgesamt 108 Vor-Ort-Kontrollen bei der CS durch und stellte 382 Punkte fest, die Massnahmen erforderten. 2020 stufte sie die Bank in die höchste Aufsichtsstufe ein, «intensive und permanente Überwachung». Im März 2023 war die Bank am Ende.

Erkannt, gemeldet, weggewogen

Der Fall, der am genauesten untersucht ist, heisst Archegos. Der Verwaltungsrat der CS liess ihn 2021 von der New Yorker Anwaltskanzlei Paul, Weiss aufarbeiten, und der Bericht ist für eine Bank, die ihn selbst in Auftrag gegeben hat, bemerkenswert deutlich. Archegos, das Family Office von Bill Hwang, überschritt ab dem Frühjahr 2020 seine Limiten bei der CS. Im Juli 2020 lag das Risiko im massgeblichen Szenario bei 828 Millionen Dollar, bei einem Limit von 250 Millionen. Von da an, so der Bericht, lag Archegos «praktisch jede Woche bis zu seinem Ausfall im März 2021» über dem Szenario-Limit.

Was die Bank in diesen acht Monaten tat, ist aufschlussreicher als das, was sie unterliess. Ab September 2020 rechnete sie mit einem milderen Szenario. Auch darunter blieb Archegos über dem Limit. Im Januar 2021 wurde der Kunde intern herabgestuft, und gleichzeitig wurden seine Limiten erhöht, eines von 20 auf 50 Millionen, das andere von 250 auf 500 Millionen. Das zuständige Komitee hatte Archegos im September 2020 besprochen, ohne Frist entschieden und den Fall danach fast sechs Monate nicht mehr traktandiert. Noch zwischen dem 11. und dem 19. März 2021 überwies die Bank Archegos 2,4 Milliarden Dollar an Überschussmarge, freigegeben von der Risikofunktion. Der Chef der Investmentbank und der oberste Risikoverantwortliche der Gruppe hörten nach dem Bericht am 24. März zum ersten Mal von Archegos. Wenige Tage später fiel Archegos aus. Der Kunde hatte der CS 2020 rund 16 Millionen Dollar Ertrag gebracht. Der Verlust betrug etwa 5,5 Milliarden.

Der entscheidende Satz steht gleich zu Beginn des Berichts. Es handle sich nicht um einen Fall, in dem Mitarbeitende betrogen oder in böser Absicht gehandelt hätten, schreibt Paul, Weiss. Und weiter: «Es ist auch kein Fall, in dem die Architektur der Risikokontrollen und -prozesse gefehlt hätte oder die bestehenden Risikosysteme nicht ausreichend funktioniert hätten, um kritische Risiken und die damit verbundenen Bedenken zu erkennen. Die Risiken von Archegos waren erkannt, und sie waren offenkundig.»

Die Systeme hatten also funktioniert. Sie hatten die Gefahr erkannt und gemeldet. Was danach geschah, beschreibt der Bericht als «eine kulturell verankerte Unwilligkeit, sich auf schwierige Diskussionen einzulassen oder Dinge zu eskalieren, die gravierende wirtschaftliche Risiken und Reputationsrisiken bargen». Die FINMA kam 2023 in ihrem eigenen Verfahren zum gleichen Schluss und formulierte ihn nüchterner: Die verantwortlichen Mitarbeitenden hätten sich zugunsten des Kunden verhalten, und überschrittene Limiten seien «wiederholt einfach erhöht» worden.

Ein Limit, das erhöht wird, sobald es im Weg steht, misst nichts mehr. Es dokumentiert nur noch, was ohnehin geschieht.

Archegos war kein Ausreisser. Bei Greensill, dem zweiten grossen Verlustfall vom März 2021, hielt die FINMA fest, dass der zuständige Risikomanager die Risiken im Geschäftsmodell erkannt und bankintern empfohlen hatte, den Kredit nicht zu gewähren. Ein hohes Kadermitglied überstimmte ihn.

Drei Ebenen, die nicht zusammenpassen

Edgar Schein hat Organisationskultur in drei Ebenen beschrieben, und sein Modell erklärt ziemlich genau, was bei der CS auseinanderlief. Zuoberst liegen die Artefakte, alles, was man sehen und anfassen kann: Strukturen, Prozesse, Dokumente. Darunter liegen die erklärten Werte, das also, was eine Organisation über sich sagt. Schein vermerkt dazu trocken, sie könnten «mit dem Verhalten übereinstimmen oder auch nicht». Ganz unten liegen die Grundannahmen, die niemand ausspricht, weil sie selbstverständlich geworden sind. Sie bestimmen nach Schein, was Menschen wahrnehmen, denken, fühlen und tun.

Die CS war auf den ersten beiden Ebenen gut aufgestellt. Die Rahmenwerke existierten, und die Bekenntnisse auch. Auf der dritten Ebene galt etwas anderes: Ein guter Kunde ist wichtiger als ein Limit, und wer ein Geschäft stoppt, braucht bessere Gründe als jemand, der es laufen lässt. Ein Analyst der Kreditrisikofunktion hielt im September 2020 fest, so zitiert ihn Paul, Weiss, alle, denen er zugetraut hätte, «Rückgrat zu haben und dagegenzuhalten», seien gegangen.

Woher Mitarbeitende wissen, was auf der untersten Ebene gilt, hat Schein ebenfalls beschrieben. Sie lesen es nicht aus den Leitbildern. Sie lesen es daran ab, worauf die Führung regelmässig achtet, wie sie auf kritische Vorfälle reagiert und wie sie Belohnungen und Status verteilt. Bei der CS sind alle drei Signale gut dokumentiert. Das erste ist bei Archegos schon sichtbar geworden: Die Spitze der Investmentbank erfuhr erst wenige Tage vor dem Ausfall überhaupt von dem Kunden, der seit acht Monaten über seinen Limiten lag.

Woran Mitarbeitende ablesen, was gilt

Die FINMA hat die Vergütung der CS über zehn Jahre nachgerechnet. Kumuliert schrieb die Bank in dieser Zeit einen Reinverlust von 2,1 Milliarden Franken. Die variablen Vergütungen betrugen im selben Zeitraum mehr als 33 Milliarden. Der Satz, mit dem die FINMA das Vergütungssystem beschreibt, könnte als Überschrift über dem ganzen Fall stehen: Das System habe die Berücksichtigung des Risikoverhaltens «zwar auf dem Papier» vorgesehen. «Effektiv hatte das Eingehen hoher Risiken und/oder das Fehlverhalten […] nur wenig Auswirkungen auf die Vergütung.» Hochrangige Mitarbeitende profitierten nach dem Bericht überproportional, auch dann, wenn sie in Disziplinarfälle verwickelt waren.

Das FSB nennt Anreize als einen von vier Indikatoren für Risikokultur. Bei der CS waren sie der Indikator, der alle anderen überstimmte. Mitarbeitende, die jahrelang beobachten, dass ein grosser Ertrag zählt und ein Disziplinarfall nicht, brauchen kein Rundschreiben mehr, um zu wissen, was die Bank von ihnen erwartet. Sie wissen auch, was sie von einem Rundschreiben über Werte zu halten haben.

Ebenso deutlich ist, wie die Bank auf Vorfälle reagierte. Im September 2019 wurde bekannt, dass die CS ihren ehemaligen Vermögensverwaltungschef Iqbal Khan hatte beschatten lassen. Der Verwaltungsrat legte am 1. Oktober das Ergebnis einer externen Untersuchung vor. Der Chief Operating Officer habe allein gehandelt, er trat zurück. Präsident Urs Rohner sagte an der Medienkonferenz: «Auch in einem grossen Unternehmen gibt es Vorfälle.»

Elf Wochen später wurde ein zweiter Fall bekannt. Die FINMA stellte 2021 fest, dass die Bank zwischen 2016 und 2019 sieben Observationen geplant und die meisten davon durchgeführt hatte. Sie sprach von «gravierenden organisatorischen Mängeln» und von einer «unangemessenen Unternehmenskultur bei Teilen der damaligen operativen Führung». Aussagen der Bank hätten sich «als teilweise unvollständig oder gar unzutreffend» erwiesen, die Observationen seien «verschleiert» worden.

Eine Organisation, die einen Vorfall zuerst als Einzelfall erklärt, beendet damit die Suche nach dem Muster, bevor sie begonnen hat. Das muss keine Absicht sein. Es ist die naheliegende Reaktion, wenn das Eingeständnis eines Musters teurer wäre als die Erklärung mit einer Person. Aber es ist genau die Reaktion auf einen kritischen Vorfall, an der Mitarbeitende nach Schein ablesen, was gilt. Die FINMA hat diesen Mechanismus in ihrer Gesamtschau auch auf den Rest der Bank bezogen: Wiederkehrende Fälle hätten gezeigt, «dass die identifizierten Schwachstellen nicht nachhaltig oder nur in einem Teil der Gruppe behoben wurden». Eskalierte Vorfälle seien «zum Teil in der komplexen Unternehmensstruktur der CS» versandet.

Wo Risikokultur tatsächlich sichtbar wird

Man könnte aus alldem schliessen, die Rahmenwerke seien nutzlos gewesen. Das wäre falsch. Die Rahmenwerke haben geleistet, wofür sie gebaut waren: Sie haben die Überschreitungen und damit die Konflikte sichtbar gemacht. Entschieden wurden diese Konflikte anderswo.

Power, Ashby und Palermo beschreiben Risikokultur deshalb als Prozess und nicht als Zustand, als «eine Unzahl kleiner Verhaltensweisen und Gewohnheiten, die zusammengenommen den Zustand der Risikokultur zu einem bestimmten Zeitpunkt ausmachen». In ihren Gesprächen mit Banken galt eine gewisse Spannung zwischen Geschäft und Risikofunktion als gesund, solange die Risikofunktion tatsächlich widerspricht. Risikokultur zeigt sich in diesen Momenten: wenn ein Limit einem lukrativen Kunden im Weg steht, wenn eine Risikomanagerin Nein sagt und ein Vorgesetzter Ja, wenn ein Vorfall bekannt wird und jemand entscheiden muss, wie er erklärt wird.

Die FINMA zieht in ihrem Bericht dieselbe Linie, wenn sie schreibt, es reiche nicht aus, «Prozesse und Kontrollen zu verbessern». Zentral sei, dass Verantwortlichkeiten «klar sind und auch gelebt werden». Gefehlt habe der Aufsicht dafür unter anderem ein Regime, das Verantwortung einzelnen Führungspersonen zuordnet. Die Parlamentarische Untersuchungskommission hielt 2024 fest, es sei «nicht nachvollziehbar», dass trotz zahlreicher Verfehlungen der Bank «keine kausale Verantwortung» habe etabliert werden können.

Die Daten liegen schon da

Wer wissen will, wie es um die Risikokultur einer Organisation steht, muss nicht lange suchen. Die aussagekräftigsten Daten hat jede Bank bereits, und jede andere Organisation mit Limiten und Freigaben auch. Wie oft wurde ein überschrittenes Limit erhöht statt durchgesetzt? Wie oft wurde eine Risikoempfehlung überstimmt, und von wem? Wie viele variable Vergütungen flossen an Personen mit laufendem Disziplinarfall? Und wie lautete die erste öffentliche Erklärung nach dem letzten Vorfall, verglichen mit dem, was später herauskam?

Keine dieser Fragen braucht einen neuen Fragebogen. Power, Ashby und Palermo warnen davor, dass Messinstrumente für Risikokultur selbst zum Hauptgegenstand der Aufmerksamkeit werden, statt Anlass für Gespräche zu sein. Das spricht nicht gegen das Messen, wohl aber gegen ein Messen, das einmal im Jahr eine Zahl liefert und damit erledigt ist. Die Fragen oben brauchen etwas anderes: die Bereitschaft, die eigenen Entscheide als Kulturbefund zu lesen. Das ist unbequemer als jede Umfrage, weil die Antworten Namen haben.

Wer in einem anderen Feld arbeitet, kann die Fragen übersetzen. Wie oft lief eine Arbeit unter Termindruck weiter, obwohl jemand das Recht gehabt hätte, sie zu stoppen? Wer hat das entschieden, und was ist danach mit der Person geschehen, die gestoppt hätte?

Die CS hatte keinen Mangel an Risikomanagement. Sie hatte einen Mangel an Bereitschaft, die Ergebnisse ihres Risikomanagements gegen das Geschäft durchzusetzen, und eine Vergütung, die diese Bereitschaft auch nicht verlangte. Für die Grundannahmen einer Organisation gibt es eine einfache Probe. Man fragt sie, ob sie ein Kulturproblem hat. Eine Organisation, die ohne Zögern Nein sagt, hat die Frage damit bereits beantwortet.

Zitate aus englischsprachigen Quellen in eigener Übersetzung.

Quellen

• FINMA – Lessons Learned aus der CS-Krise, Bericht vom 19. Dezember 2023 (Hauptquelle)
• Paul, Weiss, Rifkind, Wharton & Garrison – Credit Suisse Group Special Committee of the Board of Directors Report on Archegos Capital Management, veröffentlicht von der Credit Suisse Group AG am 29. Juli 2021 (Hauptquelle)
• FINMA – Archegos: FINMA schliesst Verfahren gegen Credit Suisse ab, Medienmitteilung vom 24. Juli 2023
• FINMA – FINMA schliesst «Greensill»-Verfahren gegen Credit Suisse ab, Medienmitteilung vom 28. Februar 2023
• FINMA – Credit Suisse «Beschattungsaffäre»: FINMA stellt schwere Aufsichtsrechtsverletzungen fest, Medienmitteilung vom 19. Oktober 2021
• Credit Suisse – Board of Directors statement on the findings of the investigation into the observation of Iqbal Khan, 1. Oktober 2019, und Investigations into new observation allegations, 23. Dezember 2019
• CNBC – Credit Suisse hopes to close the curtain on bizarre spying saga, 1. Oktober 2019
• Parlamentarische Untersuchungskommission – Geschäftsführung der Behörden im Kontext der CS-Notfusion, Bericht vom 17. Dezember 2024
• Edgar H. Schein & Peter Schein – Organizational Culture and Leadership, 5. Aufl., Wiley 2017
• Edgar H. Schein – Organizational Culture and Leadership, 4. Aufl., Jossey-Bass 2010
• Michael Power, Simon Ashby & Tommaso Palermo – Risk Culture in Financial Organisations: A Research Report, LSE Centre for Analysis of Risk and Regulation 2013 (Hauptquelle)
• Financial Stability Board – Guidance on Supervisory Interaction with Financial Institutions on Risk Culture, 7. April 2014