Interviewfragen für Risikomanager, mit ausgearbeiteten Antworten

So nutzt du diese Fragen

Beantworte jede Frage zuerst mit der Logik: was das Risiko ist, wie du es messen würdest, was die Zahl übersieht und was du tun würdest. Dann füge einen eigenen Fall hinzu, mit der Art von Portfolio oder Geschäft und der Entscheidung, die folgte, ohne die vertraulichen Zahlen der Firma.

Was ein Risikomanager können muss

• Der Rahmen: RisikomanagementRisiken in der ganzen Firma erkennen, messen, begrenzen und berichten, jedes mit einem Verantwortlichen und einer Kontrolle. vom Appetit und den Limiten bis zum Register, den Indikatoren und den Berichten, mit internen KontrollenKontrollen mit Verantwortlichen und Tests, und ein klarer Blick darauf, welche Risiken sie wirklich senken. dahinter.
• Risikoarten: KreditrisikoBeurteilen, ob Kreditnehmer zahlen: Ratings, Ausfall- und Verlustschätzungen, Limite und die Vorsorge, die daraus folgt., MarktrisikoMessen, was Bewegungen bei Preisen, Zinsen und Währungen mit den Positionen machen, Limite setzen und die Zahlen erklären., Liquiditätsrisiko und operationelles Risiko, und wie sie in einer Krise zusammenwirken.
• Regeln: die Kapital- und Liquiditätsregeln des internationalen Regelwerks Basel IIIDas internationale Basler Regelwerk für Eigenkapital und Liquidität der Banken und wie nationale Regeln es umsetzen., so wie dein Land sie anwendet, und das aufsichtliche MeldewesenMeldungen zu Kapital, Liquidität und Risiken an die Aufsicht, richtig, abgestimmt und pünktlich..
• Zahlen: StatistikVerteilungen, Korrelation, Regression und Backtesting, und wissen, was ein Modell nicht sagen kann., ExcelSchnelle Analysen, Limitübersichten und Modellprüfungen in Arbeitsmappen, denen ein Prüfer folgen kann., PythonSkripte für Datenbereinigung, Risikoberechnungen und Modelle, die andere erneut laufen lassen und prüfen können. oder RStatistische Modelle und ihre Tests, wo ein Team mit R statt mit Python arbeitet. und SQLPositionen, Exposures und Schadensfälle selbst aus den Datenbanken holen, ohne auf die IT zu warten. für die Daten.
• Menschen: ein Risiko denen erklärenEin Risiko und seine Zahl denen erklären, die entscheiden müssen, ohne Fachjargon und ohne Angst zu machen., die entscheiden, und vor Gremien präsentierenDen Risikobericht im Risikokomitee und im Vorstand vorstellen: kurz, klar und mit der Entscheidung, um die es geht..

Anzeigen nennen die Werkzeuge gleichrangig nebeneinander, und keines ist überall Pflicht: Python, SAS, MATLAB und SQL für Analysen und Modelle und Risikosysteme wie Archer, MetricStream oder ServiceNow für Register, Vorfälle und Kontrollen, oft neben Excel. Was Interviewer prüfen, ist, was du damit gemacht hast.

Appetit, Limite und das Risikoregister

Wie würdest du einen Risikoappetit festlegen, und wie werden daraus Limite, mit denen Menschen arbeiten?

Worauf sie achten: dass du die Worte des Vorstands mit Zahlen am Schreibtisch verbinden kannst.

Kurze Antwort: „Der Risikoappetit ist, wie viel Risiko die Firma eingehen will, um ihre Ziele zu erreichen, beschlossen von der Leitung. Ich beginne bei dem Eigenkapital, dem Ertrag und dem Ruf, die die Firma verlieren kann, mache daraus Kennzahlen für jedes Hauptrisiko und breche sie auf Limite für Geschäftsbereiche, Handelstische oder Portfolios herunter, mit Warnschwellen unter jedem Limit.“

Die ausführliche Antwort: Ein guter Appetit hat wenige klare Kennzahlen, etwa eine Untergrenze für eine Kapitalquote, einen höchsten Verlust unter Stress und Limite für Konzentrationen, dazu Aussagen zu Risiken, die schwer zu messen sind, etwa keine Toleranz für Verstöße gegen Sanktionen. Limite brauchen Verantwortliche, eine tägliche oder monatliche Überwachung und einen festgelegten Weg, wenn eines überschritten wird.

Schwache Antwort: „Der Appetit ist, was der Geschäftsplan braucht.“ Nachfrage: „Der Plan verlangt doppelt so viele Immobilienkredite.“ Sag, was der Appetit damit macht.

Wie baust du ein Risikoregister, das Menschen nutzen, und wie bewertest du die Risiken darin?

Worauf sie achten: eine Methode, die einfach ist, Verantwortliche hat und aktuell bleibt.

Kurze Antwort: „Ein Risikoregister führt jedes Risiko mit Ursache, Wirkung, Verantwortlichem, Kontrollen und einer Bewertung von Eintrittswahrscheinlichkeit und Auswirkung, vor und nach den Kontrollen. Ich baue es in Workshops mit dem Geschäft, halte die Skalen einfach und in der ganzen Firma gleich und prüfe die größten Risiken jedes Quartal mit ihren Verantwortlichen.“

Die ausführliche Antwort: Bewertungen sollten auf Belegen beruhen, wo es sie gibt, etwa Verlusten, Vorfällen und Indikatoren, nicht nur auf Meinungen. Verknüpf jedes Risiko mit den Maßnahmen, die es senken, und verfolge sie. Ein Register mit Hunderten vager Einträge hilft niemandem; ein kurzes mit klaren Verantwortlichen schon.

Schwache Antwort: „Wir kopieren das Register vom letzten Jahr und ändern die Daten.“ Nachfrage: „Jedes Risiko ist als mittel bewertet.“ Erkläre, wie du das hinterfragen würdest.

Wie arbeiten Key Risk Indicators und das Risk and Control Self-Assessment zusammen?

Worauf sie achten: die Werkzeuge des operationellen Risikos und wie sie in Entscheidungen einfließen.

Kurze Antwort: „Im Risk and Control Self-Assessment, der Selbstbewertung von Risiken und Kontrollen, bewertet das Geschäft seine eigenen Risiken und wie gut seine Kontrollen wirken, und die Risikofunktion hinterfragt das Ergebnis. Key Risk Indicators sind Frühwarnindikatoren, etwa fehlgeschlagene Zahlungen, Fluktuation oder überfällige Prüfungen. Die Bewertung sagt, wo wir hinschauen; die Indikatoren zeigen, wenn sich zwischen zwei Bewertungen etwas ändert.“

Die ausführliche Antwort: Jeder Indikator braucht eine Schwelle und einen Verantwortlichen, der handelt, wenn sie überschritten wird. Vergleich die Selbstbewertung mit Verlusten und Prüfungsfeststellungen: Ein Geschäft, das jede Kontrolle als stark bewertet, während die Verluste steigen, ist schon für sich eine Feststellung.

Schwache Antwort: „Wir verfolgen vierzig Indikatoren und berichten jeden Monat alle.“ Nachfrage: „Welche drei würdest du dem Vorstand zeigen?“ Sag, wie du sie auswählen würdest.

Kredit-, Markt- und Liquiditätsrisiko, Stress und Eigenkapital

Wie beurteilst du das Kreditrisiko eines Kreditnehmers, und was steckt in einem Expected Credit Loss?

Worauf sie achten: die Teile einer Kreditentscheidung und einer Risikovorsorge.

Kurze Antwort: „Ich schaue, ob der Kreditnehmer zahlen kann und will: Cashflow, Schulden, Branche, Management und Sicherheiten, und vergebe ein Rating. Der Expected Credit Loss, der erwartete Kreditverlust, multipliziert die Ausfallwahrscheinlichkeit, den Anteil des Kredits, der bei einem Ausfall verloren geht, die Verlustquote oder Loss Given Default, und den bei Ausfall geschuldeten Betrag, gewichtet über mögliche wirtschaftliche Szenarien.“

Die ausführliche Antwort: Nach IFRS 9, dem internationalen Rechnungslegungsstandard, wächst die Vorsorge für einen Kredit vom erwarteten Verlust aus zwölf Monaten auf die ganze Laufzeit des Kredits, wenn sein Kreditrisiko deutlich steigt. Achte auf Konzentrationen in einer Branche, einer Region oder einer Gruppe von Kreditnehmern, denn in einem Abschwung kommen Ausfälle gemeinsam.

Schwache Antwort: „Wenn die Sicherheit den Kredit deckt, ist das Risiko null.“ Nachfrage: „Die Sicherheit ist ein Bürogebäude in einem fallenden Markt.“ Erkläre, was sich ändert.

Wie würdest du das Marktrisiko mit dem Value at Risk messen, und wie würdest du einem Mitglied des Aufsichtsrats seine Grenzen erklären?

Worauf sie achten: dass du die Kennzahl verstehst und nicht mehr versprichst, als sie hält.

Kurze Antwort: „Der Value at Risk ist der Verlust, den ein Portfolio über einen bestimmten Zeitraum mit einer bestimmten Sicherheit nicht überschreiten sollte, zum Beispiel einen Tag bei neunundneunzig von hundert. Einem Mitglied des Aufsichtsrats sage ich: Er zeigt einen schlechten normalen Tag, nicht den schlimmsten. Deshalb ergänzen wir Stresstests und den Expected Shortfall, den durchschnittlichen Verlust jenseits dieser Linie.“

Die ausführliche Antwort: Der Value at Risk hängt von seinem historischen Zeitfenster und seinen Annahmen ab, und er hat das Ausmaß früherer Krisen verfehlt. Das Backtesting vergleicht ihn mit den echten Tagesergebnissen; zu viele Überschreitungen heißen, dass das Modell Arbeit braucht. Limite für Sensitivitäten, etwa eine Bewegung der Zinsen, stehen daneben.

Schwache Antwort: „Der Value at Risk ist das Meiste, was wir verlieren können.“ Nachfrage: „Der Handelstisch hat gestern das Dreifache des Value at Risk verloren.“ Sag, was du dir zuerst ansehen würdest.

Wie überwachst du das Liquiditätsrisiko, und was würdest du tun, wenn eine Refinanzierungsquelle versiegt?

Worauf sie achten: die Kennzahlen der Liquidität und ein Plan für einen schlechten Tag.

Kurze Antwort: „Liquiditätsrisiko heißt, kein Geld zu haben, wenn es fällig ist. Ich überwache die Zahlungsströme nach Datum, den Puffer an Vermögenswerten, die sich schnell verkaufen oder verpfänden lassen, und die Konzentration der Refinanzierung. Banken melden Liquiditätskennzahlen nach den internationalen Regeln von Basel III. Versiegt eine Quelle, legt der Notfallplan für die Liquidität fest, wer entscheidet, welche Puffer zuerst genutzt werden und wie wir mit dem Markt sprechen.“

Die ausführliche Antwort: Teste den Notfallplan, bevor du ihn brauchst, mit einem Szenario, in dem Einlagen schnell abfließen. Tempo zählt heute mehr, weil Geld über Mobile Banking in Stunden bewegt wird. Firmen außerhalb der Banken überwachen die Liquidität über die Cash-Prognose mit dem Treasury.

Schwache Antwort: „Wir haben genug Einlagen, Liquidität ist also kein Thema.“ Nachfrage: „Ein Zehntel der Einlagen fließt in zwei Tagen ab.“ Geh die ersten Stunden durch.

Wie entwirfst du einen Stresstest, und was machst du mit dem Ergebnis?

Worauf sie achten: ein Szenario, das schwer, aber plausibel ist, und ein Ergebnis, das Entscheidungen ändert.

Kurze Antwort: „Ein Stresstest fragt, was in einem schweren, aber plausiblen Szenario mit Eigenkapital, Ertrag und Liquidität passiert, etwa in einer tiefen Rezession mit fallenden Immobilienpreisen und steigenden Zinsen. Ich baue das Szenario mit Volkswirten und dem Geschäft, rechne es durch die Modelle und bringe das Ergebnis mit Maßnahmen zur Geschäftsleitung, etwa niedrigeren Limiten oder mehr Eigenkapital.“

Die ausführliche Antwort: Inverse Stresstests beginnen am Ende: Was müsste passieren, damit die Firma scheitert? Aufsichtsbehörden führen für große Banken eigene Stresstests mit Szenarien durch, die sie selbst festlegen. Ein Stresstest, nach dem niemand handelt, ist ein Kostenpunkt, keine Kontrolle.

Schwache Antwort: „Wir nehmen das Szenario der Aufsicht und melden die Zahlen.“ Nachfrage: „Das Ergebnis zeigt, dass die Untergrenze für das Kapital im zweiten Jahr unterschritten wird.“ Sag, was du vorschlägst.

Wie prägen die Kapitalregeln die Risikoarbeit einer Bank, vom internationalen Basler Regelwerk bis zur nationalen Aufsicht?

Worauf sie achten: die Verbindung von Risiko, Eigenkapital und Regeln.

Kurze Antwort: „Das internationale Basler Regelwerk legt fest, wie viel Eigenkapital eine Bank gegen ihre Kredit-, Markt- und operationellen Risiken halten muss und wie viel Liquidität. Jedes Land wendet es über sein eigenes Recht und seine eigene Aufsicht an. Banken beurteilen außerdem selbst, wie viel Kapital sie brauchen, und erfassen dabei Risiken, die die Formeln übersehen, etwa Konzentrationen oder Zinsen im Bankbuch.“

Die ausführliche Antwort: Risikogewichtete Aktiva machen aus Exposures einen Kapitalbedarf, entweder mit den Standardgewichten oder mit genehmigten internen Modellen. Die finalen Reformen von Basel III, international vereinbart, begrenzen, wie weit interne Modelle das Kapital senken dürfen. Ein Risikomanager erklärt, wie ein neuer Kredit oder ein neues Produkt die Kapitalquote ändert, bevor es genehmigt wird.

Schwache Antwort: „Eigenkapital ist Sache der Finanzabteilung.“ Nachfrage: „Ein großer neuer Kredit verbraucht ein Fünftel des freien Kapitals.“ Erkläre, wie du ihn beurteilen würdest.

Operationelles Risiko, Dritte, Modelle und Klima

Wie würdest du das operationelle Risiko steuern: Schadensfälle, Szenarien und Kontrollen?

Worauf sie achten: ein ganzer Kreislauf, vom Vorfall bis zur Lehre.

Kurze Antwort: „Ich sammle Schadensfälle und Beinahe-Schäden mit ihrer Ursache, analysiere Muster und führe Szenario-Workshops für seltene, aber schwere Ereignisse durch, etwa einen langen Systemausfall oder einen großen Betrug. Die Ergebnisse fließen in das Risikoregister, in die Kontrollen, die Arbeit brauchen, und in das Kapital für operationelle Risiken.“

Die ausführliche Antwort: Schadensdaten nützen nur, wenn Menschen sie melden; mach das Melden einfach und frei von Schuldzuweisungen. In der EU bringt DORA, die EU-Regeln zur digitalen operationalen Resilienz von Finanzunternehmen, Pflichten für IT-Vorfälle und Tests; andere Orte haben ähnliche Regeln.

Schwache Antwort: „Operationelles Risiko ist Sache der IT.“ Nachfrage: „Eine Zahlung ging auf das falsche Konto und kam nicht zurück.“ Geh den Schadensfall durch.

Wie steuerst du das Risiko aus Dritten und Auslagerungen?

Worauf sie achten: dass das Risiko die Firma nicht mit der Arbeit verlässt.

Kurze Antwort: „Vor der Unterschrift prüfe ich die Stabilität und Sicherheit des Anbieters und wie kritisch der Dienst ist; der Vertrag gibt Rechte auf Prüfung, auf die Daten und auf den Ausstieg. Während des Vertrags überwache ich Service Levels und Vorfälle, und für kritische Dienste gibt es einen Plan, die Arbeit zu verlagern oder zurückzuholen.“

Die ausführliche Antwort: Die Konzentration auf wenige Cloud-Anbieter ist ein Risiko für ganze Märkte, das die Aufsicht beobachtet. Führ ein Register aller Auslagerungen und anderer Vereinbarungen mit Dritten und prüfe die kritischen jedes Jahr.

Schwache Antwort: „Der Anbieter ist zertifiziert, das Risiko liegt also bei ihm.“ Nachfrage: „Der Anbieter nutzt einen Subunternehmer in einem anderen Land.“ Sag, was du fragen würdest.

Wie validierst du ein Modell und steuerst das Modellrisiko?

Worauf sie achten: Unabhängigkeit, Tests und klare Grenzen für die Nutzung.

Kurze Antwort: „Modellrisiko ist das Risiko von Verlusten oder falschen Entscheidungen durch ein Modell, das falsch ist oder falsch genutzt wird. Die Validierung ist unabhängig von denen, die es gebaut haben; sie prüft die Daten, die Methode, die Ergebnisse des Codes gegen einen Nachbau und wie das Modell auf neuen Daten abschneidet. Jedes Modell steht in einem Inventar, nach Bedeutung eingestuft, mit bekannten Grenzen und einem Datum für die nächste Prüfung.“

Die ausführliche Antwort: Zu den Modellen gehört heute auch Machine Learning, das zusätzliche Prüfungen zu Erklärbarkeit, Verzerrung und Drift braucht. Ein Modell darf mit Einschränkungen genutzt werden, während Feststellungen behoben werden, aber die Einschränkungen müssen aufgeschrieben und eingehalten werden.

Schwache Antwort: „Das Modell funktioniert gut, also müssen wir es nicht verstehen.“ Nachfrage: „Die Ergebnisse des Modells driften über ein Jahr langsam ab.“ Sag, wie du das bemerken und handeln würdest.

Wie kommen Klima- und Umweltrisiken in den Rahmen des Risikomanagements?

Worauf sie achten: dass du das Klima als Treiber bekannter Risiken behandelst, nicht als eigene Schublade.

Kurze Antwort: „Klimarisiko wirkt über die Risikoarten, die wir schon haben: Hochwasser oder Hitze beschädigen Sicherheiten und Kreditnehmer, das ist Kreditrisiko; ein schneller Wechsel zu kohlenstoffarmer Energie ändert den Wert mancher Branchen, das ist Markt- und Kreditrisiko. Ich ergänze Klimaszenarien in den Stresstests, schaue auf Konzentrationen in betroffenen Branchen und Regionen und berichte sie.“

Die ausführliche Antwort: Das Schwierige sind die Daten: Emissionen und die physische Gefährdung von Kreditnehmern sind oft Schätzungen. Aufsichtsbehörden an vielen Orten veröffentlichen Erwartungen an das Management von Klimarisiken, und diese ändern sich; folge denen deines Landes.

Schwache Antwort: „Klima ist Sache des Nachhaltigkeitsteams.“ Nachfrage: „Ein Zehntel des Kreditbuchs liegt in einer hochwassergefährdeten Region.“ Sag, was du dem Vorstand zeigen würdest.

Die drei Verteidigungslinien, ein überschrittenes Limit, der Vorstand und die Kultur

Wie passt die Risikofunktion in das Modell der drei Verteidigungslinien, und wie bleibst du unabhängig?

Worauf sie achten: klare Rollen und den Mut zu widersprechen.

Kurze Antwort: „Im Modell der drei Verteidigungslinien verantwortet das Geschäft seine Risiken, die Risikofunktion und Compliance setzen als zweite Linie Standards und hinterfragen, und die interne Revision prüft als dritte Linie beide. Ich bleibe unabhängig, indem ich an den Chief Risk Officer berichte, nicht an die Leitung des Geschäftsbereichs, und indem ich so nützlich bin, dass das Geschäft mich früh fragt.“

Die ausführliche Antwort: Unabhängigkeit heißt nicht Distanz: Ein Risikomanager, der früh in Gesprächen über Produkte dabei ist, verhindert mehr als einer, der nur später prüft. Stimm mit Compliance und Revision ab, wer was abdeckt, damit Feststellungen nicht doppelt gezählt werden.

Schwache Antwort: „Das Risikomanagement genehmigt, was das Geschäft entschieden hat.“ Nachfrage: „Dein Bonus hängt von den Ergebnissen des Geschäftsbereichs ab.“ Sprich über den Konflikt.

Die Leitung eines Geschäftsbereichs will für ein großes Geschäft ein Limit überschreiten. Was tust du?

Worauf sie achten: dass ein Limit etwas bedeutet und dass du trotzdem helfen kannst.

Kurze Antwort: „Ich prüfe das Geschäft in der Sache: wovor das Limit schützt, wie weit und wie lange es überschritten würde und was die Überschreitung verringern könnte, etwa Sicherheiten oder der Verkauf eines Anteils an andere. Ergibt eine Überschreitung dann noch Sinn, geht sie mit ihren Gründen und einem Enddatum durch die festgelegte Genehmigung; wenn nicht, sage ich Nein und begründe es schriftlich.“

Die ausführliche Antwort: Wiederholte Überschreitungen an einer Stelle heißen, dass das Limit oder der Geschäftsplan falsch ist, und beides sollte offen besprochen werden. Lass es nie zur Gewohnheit werden, dass zuerst überschritten und später genehmigt wird.

Schwache Antwort: „Das Geschäft kennt seine Kunden am besten, also würde ich zustimmen.“ Nachfrage: „Der Vorstandsvorsitzende ruft dich wegen des Geschäfts an.“ Erkläre, was du sagst.

Wie berichtest du als Leitung Risikomanagement an den Vorstand und den Risikoausschuss des Aufsichtsgremiums?

Worauf sie achten: ein Bericht, der zu Entscheidungen führt, kein Datenhaufen.

Kurze Antwort: „Der Bericht beginnt mit dem Risikoprofil gegenüber dem Appetit, den größten Risiken und ihrem Trend, den Überschreitungen und was dagegen getan wird, und den Entscheidungen, die das Gremium treffen muss. Die Details stehen im Anhang. Ich treffe den Vorsitz des Ausschusses vor jeder Sitzung, damit es keine Überraschungen gibt.“

Die ausführliche Antwort: Als Senior Risikomanager schreibst du Teile davon; als Leitung Risikomanagement oder Chief Risk Officer verantwortest du ihn und beantwortest die Fragen des Gremiums. Gib eine Einschätzung, nicht nur Zahlen: „Wir sind innerhalb des Appetits, aber das Kreditrisiko in einer Branche steigt, und ich empfehle niedrigere Limite“.

Schwache Antwort: „Ich zeige alle Indikatoren, damit das Gremium seine eigenen Schlüsse ziehen kann.“ Nachfrage: „Ein Mitglied des Gremiums fragt, ob wir sicher sind.“ Antworte in zwei Sätzen.

Wie würdest du eine Risikokultur aufbauen, in der Menschen Probleme früh ansprechen?

Worauf sie achten: dass du Kultur als Verhalten siehst, das du beeinflussen kannst.

Kurze Antwort: „Risikokultur ist, wie Menschen mit Risiko umgehen, wenn niemand prüft. Sie wächst, wenn Führungskräfte über Risiko als Teil von Entscheidungen sprechen, wenn das Ansprechen eines Problems belohnt und nicht bestraft wird, wenn die Vergütung kein verstecktes Risiko belohnt und wenn die Risikofunktion als Partner gilt. Ich messe sie mit Umfragen, an den Meldungen von Vorfällen und daran, wie oft das Geschäft früh zu uns kommt.“

Die ausführliche Antwort: Geschichten lehren mehr als Richtlinien: Erzähl von Beinahe-Schäden, die erkannt wurden, weil jemand den Mund aufgemacht hat. Achte auf Zeichen einer schwachen Kultur, etwa viele Überschreitungen von Limiten, späte Meldungen von Vorfällen oder Prüfungsfeststellungen, die offen bleiben.

Schwache Antwort: „Kultur ist ein Thema der Personalabteilung.“ Nachfrage: „Die Meldungen von Vorfällen sind dieses Jahr stark gefallen.“ Sag, ob das eine gute Nachricht ist.

Dein Lebenslauf für diese Fragen

Jede Stelle in deinem Lebenslauf lädt zu den Fragen oben ein: welche Risiken, welche Methoden, was die Zahlen zeigten und was entschieden wurde. Gib jeder dieser Geschichten eine Zeile, so geschrieben, dass eine Leitung Risikomanagement mehr hören will:

Prüfe deinen Lebenslauf mit der kostenlosen Bewertung an einem Job im Risikomanagement, den du willst; jeden Bereich, den sie als dünn erkennt, übst du zuerst, mit einem echten Fall, erzählt ohne vertrauliche Zahlen.