Chief Risk Officer (CRO)

Definition

Der Chief Risk Officer (CRO) ist die zentrale Schlüsselfunktion einer Gesellschaft für die unternehmensweite Steuerung sämtlicher Risiken. Er verantwortet das Risk-Management-Framework, die Risikoidentifikation, die Risikobewertung, die Risikoberichterstattung und die Risiko-Governance. Er ist Sparringpartner für CEO, CFO und Verwaltungsrat bei strategischen Entscheidungen mit Risikodimension.

In regulierten Branchen ist er typischerweise Mitglied der Geschäftsleitung mit direkter Berichtslinie zum Verwaltungsrat oder zum Audit Committee. In nicht regulierten KMU ist die Funktion oft mit dem CFO oder einem dedizierten Risk Manager kombiniert. Die Bedeutung der Funktion wächst durch zunehmende Risikokomplexität (Cyber, geopolitisch, Klima, regulatorisch).

Aufgaben und Rechtsgrundlage

In der Schweiz ist die Funktion nicht in einem einzigen Gesetzesartikel kodifiziert. Die Pflichten ergeben sich aus mehreren Quellen:

• OR Art. 716a Abs. 1 Ziff. 5: Oberaufsicht über die mit der Geschäftsführung betrauten Personen.
• OR Art. 728a Abs. 1 Ziff. 3: internes Kontrollsystem.
• OR Art. 717: Sorgfalts- und Treuepflicht der Organe.
• FINMA-Rundschreiben 2017/1: Corporate Governance Banken, mit expliziten CRO-Anforderungen.
• Versicherungsaufsichtsgesetz VAG mit Risk-Management-Anforderungen.
• Swiss Code of Best Practice für börsenkotierte Gesellschaften.

Die Kernaufgaben umfassen:

1. Risikomanagement-Framework definieren und pflegen.
2. Risikoinventar mit Identifikation, Bewertung und Klassifikation aller relevanten Risiken.
3. Risikoappetit festlegen, abgestimmt mit dem Verwaltungsrat.
4. Risikolimiten überwachen (Kreditrisiken, Marktrisiken, Operationelle Risiken).
5. Stress-Tests und Szenarioanalysen durchführen.
6. Risiko-Reporting an Geschäftsleitung und Verwaltungsrat verantworten.
7. Frühwarnsystem betreiben.
8. Kapitalplanung und Versicherungsstrategie steuern.
9. Schnittstelle zu Aufsichtsbehörden und Rating-Agenturen.

Praxis Schweiz

In Schweizer Konzernen ist der CRO meist Mitglied der erweiterten Geschäftsleitung mit direkter Berichtslinie an den CEO und einer fachlichen Berichtslinie an das Audit Committee oder ein separates Risk Committee. Die Funktion ist organisatorisch unabhängig von operativen Bereichen, was Interessenkonflikte vermeidet.

In Banken und Versicherungen ist die Struktur durch FINMA-Vorgaben konkretisiert: der CRO hat ein direktes Vortragsrecht beim Verwaltungsrat, eine schriftlich definierte Funktionsbeschreibung und einen geschützten Eskalationsweg. Verstösse gegen diese Struktur sind regulatorisch sanktioniert.

In KMU wird die Funktion oft kombiniert mit CFO, COO oder einem dedizierten Risk Manager. Wichtig ist, dass die Risikoarbeit nicht zur Nebentätigkeit wird, die unter operativem Druck wegfällt. Eine periodische externe Risiko-Beratung kann die interne Funktion stärken.

Best Practice in der Schweiz umfasst:

• Quartalsweise Risiko-Reports an das Audit Committee.
• Jährliche Risikoinventur mit Diskussion im Gesamt-VR.
• Risikoappetit-Dokument, das vom VR genehmigt wird.
• Eskalationsregeln für kritische Vorfälle.
• Integration des Risikomanagements in Strategie- und Budgetprozess.

Häufige Fehler

Klassische Schwächen in der Praxis:

• CRO ohne echte Unabhängigkeit, berichtet ausschliesslich an operative Vorgesetzte.
• Risikoinventar als Checklistenübung ohne Verbindung zur strategischen Diskussion.
• Risikoappetit ist nicht definiert oder nicht vom VR genehmigt.
• Risiko-Reports ohne klare Eskalations-Kriterien.
• Risikomanagement nicht in Strategie- und Budgetprozess integriert.
• Fehlende quantitative Bewertung (Szenarien, Stress-Tests).
• Kombination mit Funktionen, die Interessenkonflikte erzeugen.
• Cyber-, ESG- und geopolitische Risiken werden vernachlässigt.
• Keine periodische externe Validierung des Risikomanagement-Frameworks.

Abgrenzung

• Compliance Officer: fokussiert auf Einhaltung von Gesetzen und Regularien, der CRO hat ein breiteres Risiko-Mandat.
• CFO: verantwortet Finanzplanung und Reporting, der CRO fokussiert auf Risikoperspektive aller Geschäftsfelder.
• Internal Audit: prüft die Wirksamkeit des Risikomanagements, ist aber unabhängig davon.
• Audit Committee: Aufsichtsorgan, der CRO ist operativer Funktionsträger.
• Versicherungsmanager: spezialisierte Funktion zur Vertragsabschluss-Steuerung, der CRO verantwortet das Gesamt-Risiko inklusive Eigenversicherung.