Der Risikoappetit ist die Höhe und die Art von Risiko, die eine Organisation bereit ist einzugehen, um ihre Ziele zu erreichen. Er wird von der Geschäftsleitung oder dem Aufsichtsgremium genehmigt, je Risikokategorie ausgedrückt und dient als Maßstab: Jedes Restrisiko wird mit ihm verglichen, um zu entscheiden, ob es akzeptiert oder behandelt wird.
Fast immer tritt er zusammen mit zwei Begriffen auf, mit denen er verwechselt wird. Die Toleranz ist der Spielraum, der über dem Appetit für eine bestimmte Zeit und mit Begründung zugelassen wird. Die Kapazität ist das Maximum, das die Organisation tragen kann, ohne ihren Fortbestand zu gefährden.
Appetit, Toleranz und Kapazität an einem Beispiel
Denken wir an eine Schraubenfabrik mit einer Maschine, die schon einige Jahre alt ist. Bei 100 Schrauben pro Stunde läuft die Maschine entspannt, fällt kaum aus und die Produktion deckt die Nachfrage. Das ist der Risikoappetit: das Niveau, mit dem sich das Unternehmen wohlfühlt.
Steigt die Nachfrage, kann das Unternehmen die Maschine auf 150 Schrauben pro Stunde hochfahren. Die Ausfallwahrscheinlichkeit steigt deutlich, wird aber für eine bestimmte Saison und unter Beobachtung akzeptiert. Das liegt über dem Appetit und innerhalb der Toleranz. Bei 200 Schrauben pro Stunde arbeitet die Maschine am Limit, und ein Ausfall könnte das Werk wochenlang stilllegen. Damit ist die Kapazität erreicht, und die meisten Unternehmen verzichten lieber auf diese Aufträge, als das zu riskieren.
Auf 60 Schrauben pro Stunde herunterzugehen ist auch keine gute Idee. Das Ausfallrisiko verschwindet fast, aber das Unternehmen kann seine Aufträge nicht mehr bedienen. Ein zu niedriger Appetit hat ebenfalls seinen Preis. Deshalb ist es nicht das Ziel, alle Risiken auf null zu bringen.
Das Risikomanagement-Vokabular der ISO, der ISO Guide 73:2009, definiert den Risikoappetit als Höhe und Art des Risikos, die eine Organisation verfolgen oder behalten will. Das COSO-ERM-Rahmenwerk von 2017 formuliert es ähnlich: die Arten und die Höhe von Risiko, grob umrissen, die eine Organisation bei der Wertschöpfung akzeptiert.
Bei der Toleranz wird es unübersichtlicher. COSO versteht darunter die Grenzen der akzeptablen Leistungsabweichung bei einem Ziel, während der ISO Guide 73 von der Bereitschaft spricht, das Risiko nach seiner Behandlung zu tragen. Aus unserer Sicht ist weniger wichtig, welche Definition Sie wählen, als dass Ihre Methodik festlegt, welche sie verwendet, und dass alle Bereiche sie gleich anwenden. Ein Risikoausschuss, der beide vermischt, diskutiert am Ende über Begriffe statt über Risiken.
Wie man eine Risikoappetit-Erklärung schreibt
Der Appetit wird in einer Erklärung festgehalten, die das Leitungsorgan genehmigt. Am nützlichsten ist es, für jede Risikokategorie ein Niveau (sehr niedrig, niedrig, moderat, hoch) und mindestens eine Kennzahl mit Grenzwert festzulegen. Das Niveau gibt die Richtung vor, die Kennzahl ermöglicht die Entscheidung.
| Kategorie | Appetit | Wie er gemessen wird |
|---|---|---|
| Regulatorische Compliance | Sehr niedrig | Keine rechtskräftige Sanktion. Kein Verstoß, der länger als 90 Tage nach seiner Feststellung offen bleibt. |
| Cybersicherheit | Niedrig | Kein Restrisiko über 12 in einer 5×5-Matrix. Kritische Schwachstellen in weniger als 30 Tagen behoben. |
| Business Continuity | Niedrig | Kein kritischer Prozess steht länger still als seine genehmigte Wiederherstellungszeit. |
| Kredit | Moderat | Forderungsausfälle unter 1,5 % des Jahresumsatzes. |
| Neue Produkte | Hoch | Bis zu 10 % der jährlichen Investitionen in Projekte, die scheitern können. |
Die Zahlen in der Tabelle sind ein Beispiel. Die Werte jeder Organisation ergeben sich aus ihrer Strategie, ihrer Regulierung und ihrer finanziellen Lage. Was sich überall wiederholt, ist die Form. Eine Erklärung, die nur sagt «wir haben einen niedrigen Risikoappetit», hilft bei keiner Entscheidung, weil niemand prüfen kann, ob ein konkretes Risiko innerhalb oder außerhalb liegt.
Der Appetit sollte außerdem je Kategorie unterschiedlich sein. Ein Unternehmen kann bei Compliance fast kein Risiko zulassen und gleichzeitig bei Innovation viel Unsicherheit akzeptieren. Ein einziger Appetit für alles ist für manche Bereiche meist zu streng und für andere zu locker.
Vom Appetit zur Risikomatrix
Damit der Appetit im Alltag genutzt wird, muss er in die Skala übersetzt werden, mit der Risiken bewertet werden. In einer Matrix aus Wahrscheinlichkeit und Auswirkung wird eine Appetitlinie (darunter liegt das akzeptable Risikoniveau) und eine Toleranzlinie eingezeichnet. Das Restrisiko jedes Risikos fällt in eine der drei Zonen, und das entscheidet, was damit geschieht.
- Innerhalb des Appetits. Es wird akzeptiert und überwacht. Ein Behandlungsplan ist nicht nötig.
- Zwischen Appetit und Toleranz. Nötig ist ein Behandlungsplan mit Verantwortlichem und Termin oder eine vom Risikoeigentümer unterzeichnete Akzeptanz, die begründet, warum das Risiko getragen wird.
- Über der Toleranz. Es wird immer behandelt. Ist das aus irgendeinem Grund nicht möglich, entscheidet die Geschäftsleitung über die Akzeptanz, nicht der Fachbereich.
Die Linien müssen weder gerade noch in allen Kategorien gleich sein. Viele Organisationen sind bei Risiken mit sehr hoher Auswirkung strenger, auch wenn die Wahrscheinlichkeit gering ist, und senken die Linie deshalb in der Spalte für Auswirkung 5.
Was bei der Festlegung zu beachten ist
- Die finanzielle Lage. Wie viel die Organisation verlieren kann, ohne Ergebnis, Solvenz oder Liquidität zu gefährden. Daraus ergibt sich fast immer die Kapazität.
- Die Strategie. Ein wachsender Geschäftsbereich verträgt mehr Risiko als ein reifer. Auch die Erwartungen von Anteilseignern, Kunden und Aufsichtsbehörden zählen.
- Die Ressourcen. Personal, Systeme und Zeit, um das eingegangene Risiko zu steuern. Risiko zu akzeptieren, ohne die Mittel zu haben, es zu überwachen, ist kein Appetit, sondern Nachlässigkeit.
- Die Regulierung. In manchen Bereichen ist der Appetit bereits vorgegeben: Es gibt gesetzliche Pflichten, die keinen Spielraum lassen.
Fehler, die den Risikoappetit nutzlos machen
- Ihn schreiben und ablegen. Wenn niemand die Risiken bei der Bewertung mit dem Appetit vergleicht, ist die Erklärung nur ein weiteres Dokument. Sie muss in der Analysemethodik und in den Berichten an das Gremium stehen.
- Ihn nicht überprüfen. Der Appetit ändert sich, wenn sich die Strategie ändert, eine neue Regulierung kommt oder das Unternehmen wächst. Sinnvoll ist eine Überprüfung mindestens einmal im Jahr, zusammen mit dem Strategieplan.
- Ihn ohne die Geschäftsleitung festlegen. Schreibt ihn nur das Risikomanagement, betrachtet die Geschäftsleitung ihn nicht als ihren eigenen und wendet ihn bei Geschäftsentscheidungen nicht an.
- Ihn nicht mit Kennzahlen verknüpfen. Ohne Kennzahlen, die warnen, merkt die Organisation erst hinterher, dass sie ihren Appetit überschritten hat.
Wie er überwacht wird
Der Risikoappetit wird mit Key Risk Indicators (KRI) überwacht. Jeder Indikator hat Schwellenwerte, die zu dem passen, was Sie bereits festgelegt haben: Gelb schlägt an, wenn man sich dem Appetit nähert, Rot bei Erreichen der Toleranz. So sieht das Gremium den Trend, bevor das Risiko eintritt. Beispiele für Indikatoren finden Sie in vier Arten von KRI für Ihre Risikoübersicht.
Im Modul Risikomanagement von GlobalSuite® ist das akzeptable Risikoniveau Teil der Methodik: Risiken, die es überschreiten, erscheinen in der Heatmap rot, ohne dass man sie suchen muss, und die KRI haben Warnschwellen, die anschlagen, bevor es erreicht ist. Wenn Sie das mit Ihrer eigenen Risikoappetit-Erklärung sehen möchten, fordern Sie eine Demo an.
Quellen: ISO Guide 73:2009, Risk management. Vocabulary und COSO, Enterprise Risk Management: Integrating with Strategy and Performance (2017). Das Beispiel und die Zahlen der Tabelle dienen der Veranschaulichung. Veröffentlicht im April 2020, Inhalt überprüft im Oktober 2026.
