Risikokultur & Risikostrategie entwickeln

Risikokultur beschreibt die Gesamtheit der Normen, Einstellungen und Verhaltensweisen, die das Risikobewusstsein und den Umgang mit Risiken in einer Organisation prägen. Die MaRisk (AT 3) verlangen, dass die Geschäftsleitung eine angemessene Risikokultur entwickelt, fördert und in alle Ebenen integriert. Die BaFin betont, dass Risikokultur kein Nebenschauplatz ist, sondern das tägliche Denken und Handeln aller Mitarbeiter durchdringen muss. Die 9. MaRisk-Novelle 2026 verschärft diese Anforderungen weiter.

Ein Risk Appetite Statement (RAS) definiert Art und Umfang der Risiken, die ein Institut bereit ist einzugehen, um seine strategischen Ziele zu erreichen. Es wird aus der Geschäftsstrategie abgeleitet und umfasst quantitative Kennzahlen (Kapitalquoten, VaR-Limits, Konzentrationsgrenzwerte) sowie qualitative Leitlinien (Reputationsrisiko-Toleranz, Compliance-Prinzipien). Das RAS bildet die Brücke zwischen Geschäftsstrategie und Risikostrategie und wird vom Vorstand verabschiedet und vom Aufsichtsrat genehmigt.

Die Risikostrategie ist das übergeordnete Dokument, das Ziele, Grundsätze und Maßnahmen des Risikomanagements definiert, konsistent mit der Geschäftsstrategie nach MaRisk AT 4.2. Der Risikoappetit ist ein Teilaspekt der Risikostrategie und quantifiziert, wie viel Risiko das Institut eingehen will. Das Risk Appetite Framework (RAF) operationalisiert den Risikoappetit durch Limits, Schwellenwerte und Eskalationsmechanismen. Die Risikostrategie enthält den Risikoappetit, aber auch Governance, Prozesse und Berichtswege.

Die Messung erfolgt über drei Dimensionen: Erstens quantitative Indikatoren wie Anzahl der Risikobericht-Eskalationen, Risikolimit-überschreitungen, Compliance-Verstöße und Whistle-Blower-Meldungen. Zweitens qualitative Assessments wie strukturierte Interviews mit Führungskräften, Tone-from-the-Top-Analyse und Beobachtung von Entscheidungsprozessen. Drittens Mitarbeiterbefragungen zur Wahrnehmung von Risikobewusstsein, psychologischer Sicherheit und Umgang mit Fehlern. ADVISORI nutzt einen eigenen Risikokultur-Assessment-Ansatz mit Benchmark-Vergleich.

Der Vorstand trägt nach MaRisk die Gesamtverantwortung für die Risikokultur. Er muss sie aktiv vorleben (Tone from the Top), die Risikostrategie festlegen und deren Umsetzung überwachen. Konkret bedeutet das: regelmäßige Kommunikation zur Risikobereitschaft, Einbindung von Risikoaspekten in strategische Entscheidungen, Förderung einer offenen Fehlerkultur und Berücksichtigung von Risikoverhalten in der Leistungsbeurteilung. Die BaFin prüft im SREP explizit die Vorstand-Einbindung in das Risikomanagement.

Die im April 2026 konsultierte 9. MaRisk-Novelle verschärft die Anforderungen an Risikostrategie und -kultur. Neue Schwerpunkte sind: stärkere Integration von ESG-Risiken in die Risikostrategie, erweiterte Anforderungen an das Risikodatenmanagement, vertiefte Vorgaben zur Risikokultur auf allen Organisationsebenen, verschärfte Anforderungen an die Geschäftsmodellanalyse und erhöhte Erwartungen an die IT-Governance im Risikomanagement. Institute müssen ihre bestehenden Strategien zeitnah Überprüfen und anpassen.

Typische Projektbudgets liegen zwischen 80.000 und 250.000 Euro je nach Institutsgröße und Reifegrad. Das Spektrum umfasst Risikokultur-Assessment (vier bis sechs Wochen), Risikostrategie-Entwicklung inklusive Risk Appetite Statement (sechs bis zehn Wochen) und Implementierungsbegleitung mit Change Management (acht bis zwölf Wochen). ADVISORI bietet modulare Pakete vom Risikokultur-Quick-Check über die vollständige Strategieentwicklung bis zur laufenden Begleitung bei der kulturellen Verankerung.