Definition
Vom Vorstand bewusst gewählte Höhe und Art von Risiken, die zur Erreichung strategischer Ziele in Kauf genommen wird. Operationalisiert über Risk Appetite Statements (qualitativ) und Risk Tolerance Limits (quantitativ). Wichtige Abgrenzung zur Risikofähigkeit (was kann das Unternehmen tragen) und Risikobereitschaft (was will es tragen). Schlüsselbegriff in ISO 31000, COSO ERM und DORA. Ohne dokumentierten Risk Appetite kein wirksames Risikomanagement.
In der Praxis
Die meisten mittelständischen Unternehmen haben eine Risikomatrix — aber keine Risikobereitschaft. Das merkt man an denselben Symptomen: Ein Produktrisiko der Kategorie „hoch" wird vom Qualitätsleiter akzeptiert, ein gleich bewertetes Finanzrisiko landet auf dem Tisch der Geschäftsführung, und bei der dritten Entscheidung fragt jemand erstmals: Wer darf das hier eigentlich entscheiden? Ohne dokumentierten Risk Appetite ist jede Risikoentscheidung personen- und tagesformabhängig. Der häufigste Fehler beim Einführen: ein generisches Statement wie „wir gehen keine Risiken ein" — das ist keine Risikobereitschaft, sondern ihre Verweigerung, und es stimmt faktisch nie. Wirksam ist die Differenzierung nach Risikokategorien: null Toleranz bei Produktsicherheit und Rechtsverstößen, moderate Bereitschaft bei neuen Märkten und Technologien. Zweiter Fehler: Das Statement bleibt qualitativ, ohne Toleranzgrenzen — erst die Übersetzung in Zahlen („kein Einzelrisiko über fünf Prozent des Jahresergebnisses ohne GF-Beschluss") macht es steuerbar. Und drittens: einmal formuliert, nie überprüft — die Risikobereitschaft gehört in die jährliche Managementbewertung.
Verwandte Begriffe
Häufige Fragen zu Risk Appetite
Was ist der Unterschied zwischen Risikobereitschaft, Risikofähigkeit und Risikotoleranz?
Die drei Begriffe beantworten verschiedene Fragen. Die Risikofähigkeit ist die objektive Grenze: Wie viel Verlust kann das Unternehmen finanziell überhaupt tragen, ohne in seiner Existenz gefährdet zu sein — Eigenkapital, Liquidität, Versicherungsschutz. Die Risikobereitschaft ist die subjektive Entscheidung der Unternehmensleitung: Wie viel Risiko wollen wir zur Erreichung unserer strategischen Ziele eingehen — sie liegt bewusst unterhalb der Risikofähigkeit. Die Risikotoleranz schließlich operationalisiert die Bereitschaft für einzelne Risiken oder Kategorien: konkrete Grenzwerte, bis zu denen eine Abweichung akzeptiert wird — etwa „Lieferausfall bis zu fünf Tage akzeptabel, darüber Eskalation". Merksatz: Die Fähigkeit begrenzt die Bereitschaft, die Bereitschaft wird über Toleranzen steuerbar. Wer die Ebenen mischt, diskutiert in der Krise über Grundsätze statt zu handeln.
Ist eine dokumentierte Risikobereitschaft normativ gefordert?
Als ausdrückliche Pflicht finden Sie den Begriff in den ISO-Managementsystemnormen nicht — aber die Logik ist verankert. ISO 31000:2018 verlangt, Risikokriterien festzulegen, die die Art und den Umfang der eingehbaren Risiken widerspiegeln, und den Rahmen durch die oberste Leitung verantworten zu lassen — das ist funktional die Risikobereitschaft. Das COSO-ERM-Framework von 2017 geht weiter und macht den Risk Appetite zum Kernkonzept: Strategie und Zielsetzung sollen ausdrücklich im Einklang mit der Risikobereitschaft erfolgen. In regulierten Branchen kommen härtere Anforderungen dazu — im Finanzsektor ist die Risikobereitschaft aufsichtsrechtlich längst Pflicht, und die EU-Verordnung DORA verlangt von Finanzunternehmen in Art. 5 Abs. 1 einen internen Governance- und Kontrollrahmen, der ein wirksames und umsichtiges Management von IKT-Risiken gewährleistet. Für den produzierenden Mittelstand gilt: Niemand zertifiziert Ihr Risk-Appetite-Statement, aber ohne es fehlt Ihrem Risikomanagement die Entscheidungsgrundlage — im Audit wie im Ernstfall (COSO ERM (2017); ISO 31000:2018; DORA Art. 5 Abs. 1).
Wie formulieren wir ein Risk-Appetite-Statement, das im Alltag steuert?
Arbeiten Sie kategorienweise statt pauschal. Definieren Sie fünf bis sieben Risikokategorien — etwa Produktsicherheit, Rechtskonformität, Finanzen, Lieferkette, Personal, Technologie, Reputation — und legen Sie je Kategorie die Bereitschaft fest: keine, geringe, moderate oder hohe. Formulieren Sie je Kategorie einen Satz mit Richtung: „Bei Produktsicherheit und Rechtsverstößen akzeptieren wir keinerlei Restrisiko; bei neuen Technologien akzeptieren wir kontrollierte Fehlschläge bis zur Höhe des Entwicklungsbudgets." Übersetzen Sie die qualitative Aussage in Toleranzgrenzen: Schwellenwerte in der Risikomatrix, ab denen die Geschäftsführung entscheidet, oder Euro-Grenzen für Einzelrisiken. Lassen Sie das Statement von der Geschäftsführung beschließen und kommunizieren Sie es an die Entscheider — ein unterschriebenes Papier im Safe steuert nichts. Und prüfen Sie es jährlich in der Managementbewertung: Strategieänderungen, neue Märkte oder ein knapp vermiedener Schaden sind Anlässe zur Anpassung.