‍

Risikomanagement zwischen Resilienz, Technologie und strategischer Führung

In Deutschland, Österreich und der Schweiz ist der Chief Risk Officer (CRO) 2025 nicht mehr Hüter der zweiten Verteidigungslinie allein. Wer die Funktion auf Kontrollmechanik reduziert, unterschätzt ihre strategische Bedeutung. Der CRO ist heute Co-Architekt von Geschäftsmodellen: Er verbindet Risikoappetit mit Wachstumszielen, gestaltet Daten- und Technologiearchitekturen mit und übersetzt geopolitische, regulatorische und digitale Entwicklungen in belastbare Entscheidungen.

Vom Kontrollorgan zum strategischen Architekten

Seit 2008 hat sich die CRO-Rolle kontinuierlich professionalisiert, doch das Tempo der letzten fünf Jahre ist ungleich höher. In der Praxis trennt sich die Spreu vom Weizen entlang zweier Linien: CROs, die reaktiv aufsichtsgetrieben arbeiten, und CROs, die aktiv Risikokapital, Pricing und Transformation mitsteuern. Letztere gewinnen. Denn die eigentliche Währung ist nicht perfekte Kontrolle, sondern adaptive Urteilsfähigkeit in unsicheren, digitalen Umfeldern.

Ein Blick nach Brüssel macht deutlich, wie formell diese Aufwertung inzwischen ist: Mit der Kommissionsentscheidung (EU, Euratom) 2025/369 wurde die CRO-Funktion der Europäischen Kommission als unabhängige, unternehmensweite zweite Verteidigungslinie für alle Finanzoperationen verankert – von Borrowing über Asset Management bis zu Budgetgarantien. Das zementiert das Three-Lines-of-Defence-Modell und sendet ein unmissverständliches Governance-Signal an öffentliche und private Institutionen gleichermaßen.

Neue Risikolandschaft: Cyber, Resilienz, Geopolitik – und ein breiteres Mandat

Die Risikomatrix 2025/26 ist klar: Cyberrisiken bleiben die dominierende Sorge, gefolgt von operativer Resilienz und geopolitischer Volatilität. Aktuelle Befragungen globaler CROs zeigen: 75% priorisieren Cyber, 38% betonen operative Resilienz, 36% heben geopolitische Risiken hervor. In der DACH-Praxis bedeutet das: weniger Silos, mehr End-to-End-Sicht über IT, Drittparteien, Lieferketten, Personal und Liquidität – und eine Risikoagenda, die Vorstand und Aufsichtsrat quartalsweise in Entscheidungen zwingend einbindet.

Meine These: Unternehmen unterschätzen nach wie vor die Korrelation zwischen „nicht-finanziellen“ Risiken. Cyber, Drittrisiko und Reputationsschäden sind in Kredit- und Marktrisikopositionen längst eingepreist – nur oft in Modellen, die diese Interdependenzen nicht transparent machen. Ein moderner CRO priorisiert daher Szenariofähigkeit vor Kennzahlenkosmetik: „Was, wenn…?“ ist wichtiger als ex-post-Reporting.

KI im Risikomanagement: von Pilotprojekten zur Produktionsreife

KI ist kein Zukunftsthema mehr, sondern eine Produktionsfrage. Nahezu die Hälfte der CROs priorisiert KI in den nächsten drei Jahren – nicht als Spielerei, sondern als Hebel für Erkennung, Steuerung und Reporting. Bereits heute wird KI (inklusive GenAI) in großem Umfang für Betrugserkennung, Compliance-Überwachung und Kreditrisikoanalyse eingesetzt; die Effekte sind spürbar: schnellere Alerts, konsistentere Kontrollen, weniger manuelle Brüche.

Wichtiger ist die Grundsatzfrage: Wo schafft KI echte Risikokompetenz, und wo lediglich Geschwindigkeit? In Europa liegt der Fokus stärker auf intelligenter Risikoerkennung und erklärbarer Entscheidungsunterstützung als auf blindem Automatisieren – zurecht. Die CRO-Funktion muss „Model Risk“ und „AI Governance“ so definieren, dass Business-Teams Verantwortung behalten und Regulatoren Nachvollziehbarkeit bekommen. In Banken und Versicherungen heißt das: strenge Validierung, nachvollziehbare Feature-Attribution, robuste Datenherkunft und ein klarer Eskalationspfad für KI-gestützte Entscheidungen.

Ein Praxisimpuls aus dem Bankenbereich: KPMG zeigt, dass die Verteilung Management zu Fachrollen in Risk-Funktionen sich mit KI-Anwendungen verschiebt (Tendenz von 1:11 zu 1:9), während Personal- und Qualifizierungskosten weiter steigen – gerade bei großen Instituten, die komplexe Risikolandschaften und strengere Compliance schultern. Parallel wird für Non-Financial Risk und Cyber spürbar aufgestockt. Für CROs in der DACH-Region ergibt sich daraus ein doppelter Auftrag: Automatisieren, wo Routine vorliegt – und gleichzeitig gezielt in hochqualifizierte Profile investieren, die neue Risikoarten beherrschen.

‍

Talent, Kultur und Aufbau: der differenzierende Faktor

Zahlen zu Skills-Nachfrage sprechen eine eindeutige Sprache: Adaptivität in einem sich schnell verändernden Risiko-Umfeld ist zum Einstellungskriterium geworden – insbesondere bei systemrelevanten Häusern. Gleichzeitig bleibt Cybersecurity das hartnäckigste Engpassthema; die Lücke zwischen Bedarf und verfügbarem Talent wächst. Wer hier 2025/26 gewinnt, professionalisiert drei Dinge:

• Strategische Workforce-Planung: Nicht nur mehr FTEs, sondern die richtigen Kompetenzmixe (Cyber, Third-Party, Data Governance, Model Risk, Resilience).
• Kultur der Verantwortlichkeit: Risikoentscheidungen dorthin verlagern, wo Wertschöpfung entsteht – mit klaren Leitplanken durch Risk.
• Aus- und Weiterbildung: CRO-Teams, die KI einsetzen, brauchen Methodensouveränität in Validierung, Monitoring und Fairness – nicht nur Tool-Bedienung.

Mein Rat: Bauen Sie produktnahe Risk-Pods, die gemeinsam mit Business und Tech arbeiten. Zentralisierte Richtlinien bleiben wichtig – aber Wirkung entsteht in crossfunktionalen Teams mit klarer P&L-Verzahnung.

Governance und Regulierung: von DORA bis interne Modelle

Für DACH-Unternehmen – ob Finanzinstitute, Versicherer, Energieversorger oder Industrie – verschieben jüngste EU- und nationale Rahmenwerke die Messlatte. Die formelle Stärkung der CRO-Rolle auf EU-Ebene – als unabhängige zweite Verteidigungslinie mit unternehmensweiter Zuständigkeit – unterstreicht die Erwartung an klare Verantwortlichkeiten, konsistente Policies und belastbares Reporting. Der Governance-Kern ist gesetzt: erste Linie als Betrieb und Steuerung, zweite Linie als unabhängige Risikoaufsicht, dritte Linie als Assurance. Wer die Linien verwässert, riskiert in Zukunft nicht nur Prüfungsfeststellungen, sondern suboptimale Entscheidungen.

Vergütung, Karrierepfade und der Markt 2025

Vergütungen für CROs in Deutschland bewegen sich typischerweise im hohen sechsstelligen Bereich, in der Schweiz deutlich darüber; Österreich zeigt steigende Nachfrage, insbesondere in Versicherungen und kritischen Infrastrukturen. Entscheidend ist weniger die Herkunft (Audit, Risk Analytics, IT, Recht, ESG) als die Fähigkeit, Risikoappetit, Kapitalallokation und Technologie zusammenzuführen. Kurz: Der „beste verfügbare Spezialist“ reicht nicht – gesucht ist „Unternehmensstratege mit Risikokompass“.

Eine Marktwahrheit, die gerne ausgeblendet wird: Der Wettbewerb um Cyber- und KI-nahe Risikoprofile trifft auf rigide Einstufungen, lange Hiring-Zyklen und eine Überbetonung klassischer Lebensläufe. CROs, die mutig in potenzialstarke Quereinsteiger investieren und klare Lernpfade definieren, verschaffen sich einen Vorteil – messbar in Zeit-zu-Entscheidung und Qualität von Risikodialogen.

Handlungsempfehlungen für Vorstände und Aufsichtsräte

• Mandat schärfen: Der CRO braucht ein explizites Mandat für Technologie- und Transformationsprogramme sowie die Autorität, Risikoappetit mitzugestalten – nicht nur zu prüfen.
• Szenariofähigkeit institutionalisieren: Quartalsweise, interdisziplinär, mit geopolitischen und Cyber-Dimensionen. Kennzahlen folgen den Szenarien, nicht umgekehrt.
• KI zweckmäßig einsetzen: Automatisieren, wo Reife vorhanden ist; Transparenz, Validierung und Verantwortlichkeit vor Tempo stellen.
• Third-party- und Resilienzansatz modernisieren: Von punktuellen Audits hin zu kontinuierlichem, datengetriebenem Monitoring.
• Talente kuratieren: Cyber/AI, Model Risk, Data Governance priorisieren; Ausbildungsprogramme und Rotationen schaffen, die Fach- und Geschäftswelt verbinden.

Warum jetzt handeln – und warum mit spezialisierten Partnern

Die Governance-Signale der EU sind eindeutig, die Talentmärkte sind angespannt, und die Risikoagenda ist vernetzt wie nie. Wer CRO-Funktionen 2025/26 nur administrativ nachrüstet, investiert in vergangene Probleme. Wer sie strategisch neu aufstellt, schafft Vorsprung: schnellere, bessere Entscheidungen – und damit echte Resilienz.

Baumlink arbeitet in der DACH-Nische an dieser Schnittstelle aus Risiko, Technologie und Führung. Wir identifizieren CROs und Leitungsprofile, die Risiken nicht nur eindämmen, sondern für das Unternehmen nutzbar machen – mit nachweislicher Erfahrung in Cyber, operativer Resilienz, KI-Governance und regulatorischer Kommunikation.

Quellen:

1. EY/IIF Global Risk Management Survey 2025 – Aktuelle Prioritäten und Herausforderungen für CROs weltweit
2. Bayes Business School: Optimising Growth – The Evolving Role of the Chief Risk Officer – Forschungsbericht zur strategischen Neuausrichtung der CRO-Funktion
3. Alta Signa: Spotlight on D&O in the DACH Region – Analyse zu regulatorischen Entwicklungen und ESG-Risiken im DACH-Raum
4. Kommissionsentscheidung (EU, Euratom) 2025/369 – Formelle Stärkung der CRO-Funktion in EU-Institutionen
5. KPMG Risk & Compliance Benchmark Analysis 2024 – Trends zu KI, Personalbedarf und Kostenentwicklung im Risikomanagement

‍