Für die Modelle zur Risikoquantifizierung nach der Capital Requirements Regulation (CRR) der Säule I gelten festgelegte Standards, und diese sind genehmigungspflichtig. Die Auswahl der internen Verfahren nach Säule II unterliegen dagegen der jeweiligen Verantwortung des Instituts. Hier herrscht Modellfreiheit. Zugrunde gelegte Annahmen sollten in jedem Fall nachvollziehbar und begründet sein. Ob sich der Einsatz lohnt, also angemessen und geeignet ist oder sich im Hinblick auf Komplexität und Umfang der Risiken sogar anbietet, muss – wie bei den CRR-Modellen auch – vor dem Einsatz überprüft und dann turnusmäßig validiert werden. Der Betrieb eines Risikomodells ist organisatorisch anspruchsvoll und ressourcenintensiv. Der Benutzer ist in der Pflicht, die Genauigkeit, also die Prognosegüte, sowie die Stärken und Schwächen hinreichend zu kontrollieren und das Zustandekommen der Ergebnisse plausibel erklären zu können.

Die Aufsicht verhält sich insbesondere gegenüber innovativen Zukunftstechnologien zunehmend neutral. Sie prüft jedoch den Einsatz, die steuerungsrelevante Nutzung und Angemessenheit der Modellverfahren im Rahmen des Supervisory Review and Evaluation Process (SREP). Etwaige Modellschwächen schlagen sich ergebnis- und risikoorientiert in Kapitalzuschlägen nieder.

Allen Marktstandards und vorhandenen Anwendungen und Verfahren von der Stange zum Trotz muss jedes Risikomodell zu Art und Umfang der Risiken passen, nicht umgekehrt. Die jeweilige Methode, die Konzeption und die Technologie müssen auf Basis der Geschäftsmodell- und Risikoanalyse aufgrund der Risikoinventur ausgewählt und entsprechend institutsindividuell kalibriert sein. Neben hinreichenden Modellkenntnissen, vor allem hinsichtlich der wesentlichen Annahmen, Parameter und Datenerfordernisse, sind eine leistungsfähige IKT und ein effektives Datenmanagement fundamentale Anforderungen einer jeder Modellarchitektur. Organisatorisch sind umfangreiche personelle, prozessuale und technische Ressourcen notwendig, falls es sich nicht lediglich um robuste, standardisierte oder pauschale Verfahren handelt. Nicht zu vergessen: die entscheidungs- und handlungsorientierte Einpassung der Modellergebnisse in die Risikoprozesse der Banksteuerung sowie die dazugehörigen Reportingformate.

Natürlich ist es mit der Einführung eines Risikomodells nicht getan. An der Etablierung eines validen und evidenten Modellentwicklungs-, Modellpflege- und -validierungsprozesses führt kein Weg vorbei. Denn dieser wird im Rahmen des SREP hinterfragt und im Zusammenspiel mit der Governance und dem internen Kontrollsystem (IKS) bewertet.