Risikotragfähigkeit als Lizenz zum Handeln

Im ersten Halbjahr 2026 tat Munich Re zwei Dinge, die auf den ersten Blick gegensätzlich wirken: Der Konzern übernahm in der Lebens- und Krankenrückversicherung mit einer Langlebigkeitstransaktion über Pensionsverpflichtungen von rund 4 Mrd. Euro das nach eigenen Angaben bislang größte Einzelgeschäft dieser Art. Gleichzeitig reduzierte Munich Re bei der Juli-Erneuerung in der Schaden- und Unfallrückversicherung das Volumen um 9,1 Prozent, nachdem die risikoadjustierten Preise um 5,5 Prozent gesunken waren. Das Management begründete dies ausdrücklich damit, auf Geschäft zu verzichten, für das keine risikoadäquaten Preise erzielt werden.

Das ist ein nahezu lehrbuchhaftes Beispiel für professionelles Risikomanagement: nicht möglichst viel Risiko übernehmen, aber auch nicht möglichst wenig. Das Unternehmen nimmt dort zusätzlich Risiko, wo es die Rendite-Risiko-Relation attraktiv findet, und lehnt Risiko dort ab, wo die erwartete Vergütung nicht zum Downside passt. Die Kunst besteht in der Auswahl der richtigen Risiken.

Der finanzielle Sicherheitsabstand ist dabei kein Nebenthema. Munich Re wies für das erste Halbjahr 2026 ein Konzernergebnis von 3,925 Mrd. Euro und eine Solvenzquote von 304 Prozent aus. Im Geschäftsbericht beschreibt der Konzern, dass Risikotoleranzen und Limite auf verfügbarem Kapital, Liquidität und Geschäftsstrategie beruhen und in die Geschäftsplanung integriert werden. Nach den auf dem internen Modell basierenden Berechnungen hätte die Solvenzquote selbst unter Berücksichtigung großer Schadenereignisse und negativer Kapitalmarkteffekte noch oberhalb des ab 2026 geltenden Zielniveaus von mindestens 200 Prozent gelegen.

Natürlich ist die Solvenzlogik eines Rückversicherers nicht eins zu eins mit der gesellschaftsrechtlichen Bestandsgefährdungsanalyse eines Industrieunternehmens gleichzusetzen. Der Managementgedanke ist jedoch derselbe: Eine attraktive Chance ist nur dann eine "richtige" Chance, wenn der mögliche Downside verstanden, quantifiziert, finanziell tragbar und in ungünstigen Szenarien beherrschbar bleibt. Genau hier trifft die Praxis auf den neuen DIIR-Revisionsstandard Nr. 2 "Prüfung des Risikomanagementsystems durch die Interne Revision", veröffentlicht im August 2026.

Ein Risiko hat zwei Seiten: Upside und Downside

Der vielleicht wichtigste Satz des DIIR-Revisionsstandards steht bereits in der Begriffsdefinition. Risiko ist dort nicht nur die Möglichkeit eines Verlusts. Der Standard versteht Risiko als Möglichkeit, dass Ereignisse oder Entwicklungen die Zielerreichung beeinflussen – einschließlich positiver Abweichungen, also Chancen, und negativer Abweichungen, also Gefahren beziehungsweise Risiken im engeren Sinn (Tz. 19).

Damit entspricht der Standard einem symmetrischen Risikoverständnis. Im angelsächsischen Sprachgebrauch lassen sich die beiden Seiten als "upside risk" und "downside risk" bezeichnen. Upside Risk bedeutet: Das Ergebnis fällt besser aus als erwartet, etwa weil ein neuer Markt schneller wächst, eine Akquisition mehr Synergien realisiert oder eine Technologie höhere Produktivität erzeugt. Downside Risk bedeutet: Dieselbe Entscheidung verfehlt die Erwartungen oder erzeugt zusätzliche Verluste, Liquiditätsbelastungen oder strategische Schäden.

Diese Symmetrie ist mehr als eine sprachliche Feinheit. Wer Risiko ausschließlich als Gefahr versteht, optimiert das Unternehmen systematisch in Richtung Vorsicht. Investitionen werden kleiner, Innovationen später, Markteintritte seltener. Das kann Risiken reduzieren – aber ebenso den Unternehmenswert. Wer dagegen nur die Chance betrachtet, wird risikoblind. Professionelles Risikomanagement muss deshalb beide Seiten derselben unsicheren Entscheidung abbilden.

Genau diese Dualität spiegelt sich auch in dem Buch "Allein auf stürmischer See" (Erben/Romeike 2026) wider. Nicht zufällig heißen die beiden Protagonisten Kapitän Sugar und Kapitän Salt: Sie stehen sinnbildlich für die süße und die salzige Seite des Risikos – für Chance und Gefahr. Erst wer beide Perspektiven gleichzeitig berücksichtigt, versteht Risiko in seiner ganzen Bedeutung und kann unter Unsicherheit ausgewogene Entscheidungen treffen.

Warum Risikomanagement immer auch Chancenmanagement ist

Der DIIR-Standard zieht aus dem symmetrischen Risikobegriff eine wichtige Konsequenz: Risikomanagement darf sich nicht auf bereits bekannte Risiken beschränken. Nach Tz. 20 sind ausdrücklich auch geplante Maßnahmen und Entscheidungen und deren mögliche Risiken zu betrachten. Tz. 21 stellt für das unternehmensweite Risikomanagement zusätzlich klar, dass Risikoanalysen bei unternehmerischen Entscheidungen einzubeziehen sind.

Damit verschiebt sich der Fokus. Das klassische Risikoregister fragt: Welche Risiken haben wir? Ein entscheidungsorientiertes Risikomanagement fragt zusätzlich: Welche Risiken wollen wir neu eingehen – und was bekommen wir dafür? Das ist im Kern Chancenmanagement. Denn Chancen entstehen meist nicht zufällig neben Risiken, sondern gerade dadurch, dass ein Unternehmen Unsicherheit übernimmt: Kapital wird gebunden, eine Technologie wird entwickelt, ein Markt wird betreten, ein Produkt eingeführt oder ein Wettbewerber übernommen.

Ein solches Chancenmanagement darf allerdings nicht zu einem separaten, euphemistischen Parallelprozess werden. Chance und Risiko gehören in dieselbe Entscheidungsvorlage, in dieselbe finanzielle Modellierung und in dieselbe Betrachtung des Gesamtrisikoumfangs. Erst dann lässt sich erkennen, ob eine Option wertschaffend ist oder nur attraktiv aussieht, weil der Downside unvollständig abgebildet wurde.

Tab. 01: Defensives vs. Entscheidungsorientiertes Risikoverständnis

Die Business Judgement Rule macht Entscheidungsqualität zum Prüfungsgegenstand

Version 2.2 des DIIR-Standards macht die Entscheidungsorientierung besonders sichtbar. Die Präambel verweist auf § 93 AktG und die Business Judgement Rule: Bei unternehmerischen Entscheidungen soll das Leitungsorgan auf Grundlage angemessener Informationen handeln. Dazu gehört nach dem Standard insbesondere, die mit der beabsichtigten Entscheidung verbundenen Chancen und Gefahren aufzuzeigen und darzustellen, wie sich der Risikoumfang des Unternehmens durch die Entscheidung verändern würde. Der Standard widmet diesem Thema deshalb ein eigenes Kapitel 7.

Für die Interne Revision ändert sich damit der Blickwinkel. Sie prüft nicht mehr nur, ob Risiken korrekt inventarisiert, bewertet und berichtet werden. Sie soll auch beurteilen, ob wesentliche strategische Entscheidungen so vorbereitet werden, dass der Vorstand oder die Geschäftsführung eine sachgerechte Abwägung treffen kann. Das betrifft sowohl das Managementsystem als auch konkrete Entscheidungsvorlagen.

Das Kapitel verlangt unter anderem eine klare Abgrenzung wesentlicher unternehmerischer Entscheidungen, angemessene Informationsgewinnung, die Identifikation von Alternativen, einen nachvollziehbaren Alternativenvergleich und eine fundierte Entscheidungsvorlage. Der Aufwand soll zur Bedeutung, zum Risikogehalt und zum Investitionsvolumen passen. Besonders relevant: Das Risikomanagement muss beurteilen können, ob die zusätzlichen Risiken einer Entscheidung den Grad der Bestandsgefährdung kritisch erhöhen würden (Tz. 90).

Was ist eigentlich das "richtige" Risiko?

Es gibt keine universelle Risikoklasse, die ein Unternehmen eingehen sollte. Dasselbe Risiko kann für das eine Unternehmen attraktiv und für ein anderes unverantwortlich sein. Entscheidend sind Strategie, Kompetenzen, Diversifikation, finanzielle Ressourcen und die Fähigkeit, Verluste zu tragen. Ein "richtiges" Risiko ist daher nicht einfach ein Risiko mit hoher erwarteter Rendite. Es ist ein Risiko, dessen erwarteter Nutzen attraktiv ist, dessen Downside verstanden und begrenzt werden kann und dessen Übernahme den Sicherheitsabstand des Unternehmens nicht unangemessen reduziert.

Risikostrategie: Die Brücke zwischen Ambition und Sicherheitsabstand

Die Risikostrategie ist im DIIR-Standard ausdrücklich aus der Gesamtstrategie abzuleiten. Nach Tz. 49 umfasst sie die Risikobereitschaft der Geschäftsleitung unter Berücksichtigung des Risikodeckungspotenzials, Ziele der Risikosteuerung und Maßnahmen zur Zielerreichung. Sie soll so konkret sein, dass die operative Risikosteuerung daraus abgeleitet werden kann.
Das ist für die These der "richtigen Risiken" zentral. Unternehmensstrategie ohne Risikostrategie formuliert nur, wohin ein Unternehmen will. Erst die Risikostrategie beantwortet, welche Unsicherheit es auf diesem Weg akzeptiert und welche nicht. Ein wachstumsorientiertes Unternehmen kann beispielsweise bewusst mehr Marktrisiko oder Innovationsrisiko akzeptieren, gleichzeitig aber eine sehr geringe Toleranz gegenüber Liquiditäts-, Compliance- oder Cyberrisiken haben.

Der Standard fordert deshalb Risikotoleranzen beziehungsweise ein Limitsystem, ein Risikotragfähigkeitskonzept und Schwellenwerte, bei deren Überschreiten Gegenmaßnahmen erforderlich werden. Die Risikostrategie ist damit kein defensiver Katalog von Verboten. Richtig ausgestaltet schafft sie einen verlässlichen Handlungsrahmen, innerhalb dessen Management Chancen schnell nutzen kann, ohne jedes Mal die Existenzfrage neu zu stellen.

Risikotragfähigkeit ist eine Lizenz zum Handeln

Risikotragfähigkeit wird in vielen Unternehmen primär als Krisenkennzahl verstanden. Das ist zu eng. Aus entscheidungsorientierter Sicht ist freie Risikotragfähigkeit eine strategische Ressource. Wer über Kapital, Liquidität, Kreditlinien und Ergebnisstabilität verfügt, kann in einer Krise investieren, Wettbewerber übernehmen, Marktanteile gewinnen oder bewusst Risiken übernehmen, die andere nicht tragen können.

Der DIIR-Standard empfiehlt, den aggregierten Gesamtrisikoumfang dem Risikodeckungspotenzial gegenüberzustellen. Dieses kann sowohl durch Eigenkapital als auch – für die Sicherung der Zahlungsfähigkeit oft entscheidender – durch Liquiditätsreserven einschließlich freier beziehungsweise zusätzlicher Kreditlinien beschrieben werden (Tz. 26-28). Der Unterschied zur bloßen Risikovermeidung ist fundamental: Nicht das Nullrisiko ist das Ziel, sondern ein ausreichender Sicherheitsabstand.

Managementrelevant ist daher nicht nur die absolute Risikotragfähigkeit, sondern die freie Risikotragfähigkeit nach einer Entscheidung. Eine große Akquisition kann für ein Unternehmen mit hoher Liquidität und stabilem Cashflow ein bewusstes, tragbares Risiko sein; für ein hoch verschuldetes Unternehmen kann dieselbe Transaktion die Resilienz so stark reduzieren, dass bereits ein moderater konjunktureller Stress bestandsgefährdend wird.

Warum Risikoaggregation über "richtig" oder "falsch" entscheidet

Kein relevantes strategisches Risiko existiert isoliert. Eine Expansion kann gleichzeitig Umsatzchancen, Anlaufverluste, Fremdwährungsrisiken, Working-Capital-Bedarf, Lieferkettenrisiken und zusätzliche Finanzierungserfordernisse erzeugen. Deshalb definiert der DIIR-Standard Risikoaggregation als Ermittlung des Gesamtrisikoumfangs aus quantifizierten Einzelrisiken unter Berücksichtigung von Kombinationseffekten und stochastischen Abhängigkeiten (Tz. 24-25).

Für die Entscheidungsorientierung bedeutet das: Eine Option ist nicht deshalb tragbar, weil ihr eigenes Downside-Risiko kleiner als ein Limit ist. Entscheidend ist, wie sie das Risikoprofil des gesamten Unternehmens verändert. Ein neues Geschäft kann sogar wertvoll sein, wenn es einen moderaten Einzelrisikobeitrag hat, aber bestehende Risiken diversifiziert. Umgekehrt kann ein scheinbar attraktives Projekt gefährlich sein, wenn es genau in den Szenarien Verluste erzeugt, in denen auch das Kerngeschäft unter Druck gerät.

Die richtige Frage lautet daher nicht: "Wie riskant ist dieses Projekt?" Sondern: "Wie verändert dieses Projekt die Verteilung unserer zukünftigen Ergebnisse, Cashflows und Liquidität – einschließlich der Wechselwirkungen mit den Risiken, die wir bereits haben?"

Stressszenarien schützen vor strategischem Optimismus

Entscheidungsvorlagen sind anfällig für Optimismus. Projektteams kennen die erwarteten Synergien, die Marktchance und den strategischen Nutzen meist sehr genau. Seltener werden die Fragen mit derselben Konsequenz gestellt, die für die Risikotragfähigkeit entscheidend sind: Was passiert, wenn die Markteinführung zwölf Monate später erfolgt? Wenn Preise um zehn Prozent fallen? Wenn Fremdkapitalkosten steigen? Wenn zwei wesentliche Annahmen gleichzeitig verfehlt werden?

Der DIIR-Standard schreibt kein einziges universelles Stress-Test-Format vor. Seine Anforderungen an Risikoquantifizierung, Aggregation, Risikotragfähigkeit, Schwellenwerte und die Erkennung bestandsgefährdender Entwicklungen führen jedoch logisch zu einer robusten Stressbetrachtung. Wer nicht analysiert, wie sich eine Entscheidung unter ungünstigen Kombinationen von Annahmen auswirkt, kennt den tatsächlichen Sicherheitsabstand nicht.

Das Munich-Re-Beispiel zeigt diese Logik besonders anschaulich: Der Konzern beschreibt nicht nur eine hohe aktuelle Solvenzquote, sondern auch, dass das interne Modell die Kapitalausstattung selbst unter großen Schadenereignissen und negativen Kapitalmarkteffekten oberhalb des Zielniveaus sieht. Genau diese Art von Headroom-Analyse trennt kalkuliertes Risiko von Risikoblindheit.

Upside muss ebenso professionell modelliert werden wie Downside

Ein symmetrisches Risikoverständnis bedeutet nicht, dass Chancen nur als optimistischer Zusatz im Business Case erscheinen dürfen. Upside sollte ebenso systematisch analysiert werden: Welche Annahmen treiben die positive Abweichung? Wie wahrscheinlich ist sie? Welche Investitionen oder Risiken sind notwendig, um sie zu realisieren? Welche Kapazitäten begrenzen die Nutzung der Chance? Und ist die Upside skalierbar, wenn das Szenario tatsächlich eintritt?

Damit wird Chancenmanagement messbarer. Ein Projekt mit begrenztem Downside und großen optionalen Wachstumschancen kann attraktiver sein als ein Projekt mit etwas höherem erwarteten Mittelwert, aber massiven Tail-Risiken. Entscheidungsgüte entsteht nicht allein durch den Erwartungswert, sondern durch die Form der Ergebnisverteilung und ihre Passfähigkeit zur Risikotragfähigkeit des Unternehmens.

Was die Interne Revision künftig prüfen sollte

Kapitel 7 des DIIR-Standards erweitert den Prüfungsgegenstand in Richtung Entscheidungsqualität. Für die Interne Revision ergibt sich daraus eine anspruchsvollere Rolle: Sie muss nicht entscheiden, welches Projekt gewählt werden soll. Sie sollte aber prüfen, ob der Prozess die Voraussetzungen schafft, damit die Unternehmensleitung die richtige Risikoentscheidung treffen kann.

• Ist definiert, welche strategischen Entscheidungen einer vertieften Risikoanalyse unterliegen?
• Werden Upside- und Downside-Risiken jeder wesentlichen Alternative konsistent beschrieben und – soweit möglich – quantifiziert?
• Werden Auswirkungen auf Gesamtrisikoumfang, Risikotragfähigkeit und wesentliche Limits dargestellt?
• Sind Stressszenarien, Kombinationseffekte und Tail-Risiken Bestandteil der Vorlage?
• Werden echte Alternativen verglichen oder nur Varianten der bereits bevorzugten Lösung?
• Ist die Entscheidungsvorlage frei von sachwidrigen Verzerrungen und gegebenenfalls einer unabhängigen Qualitätssicherung unterworfen?
• Sind Schwellenwerte, Frühwarnindikatoren und Eskalationswege nach der Entscheidung festgelegt?
• Werden die neu übernommenen Risiken nach Umsetzung in das laufende Risikomanagement und Reporting integriert?

Gerade der letzte Punkt ist wichtig. Tz. 93 nennt ausdrücklich die Überführung der in der Entscheidungsvorlage beschriebenen Risiken in das operative Risikomanagement. Eine Entscheidung ist also nicht "fertig", sobald der Vorstand unterschrieben hat. Erst der geschlossene Regelkreis aus Entscheidung, Umsetzung, Monitoring und Lernen macht aus einem einmaligen Business Case ein wirksames Risikomanagement.

Die gefährlichste Risikokultur ist nicht die mutige - sondern die inkonsistente

Eine gute Risikokultur belohnt weder pauschal Vorsicht noch pauschal Wagemut. Sie sorgt dafür, dass Risiken offen diskutiert, Annahmen angegriffen und gute Chancen nicht aus Angst vor persönlicher Verantwortung blockiert werden. Entscheidend ist Konsistenz: Ein Unternehmen sollte genau wissen, welche Risiken es aus strategischen Gründen bewusst sucht und welche es wegen fehlender Kompetenz, fehlender Vergütung oder fehlender Risikotragfähigkeit vermeiden will.

Das ist auch eine Governance-Frage. Wenn Erfolg ausschließlich an Umsatzwachstum oder Projektfreigaben gemessen wird, entsteht ein systematischer Anreiz, Downside-Risiken kleinzurechnen. Wenn umgekehrt jede negative Abweichung sanktioniert wird, entsteht ein Anreiz zur Risikoaversion. Entscheidungsorientiertes Risikomanagement braucht daher eine Führungskultur, die risikoadjustierten Erfolg bewertet: Wurde auf Basis angemessener Informationen eine vernünftige Entscheidung getroffen - und war der verbleibende Sicherheitsabstand vertretbar?

Fazit: Die besten Unternehmen haben nicht die geringsten  Risiken

Wettbewerbsvorteile entstehen selten aus dem Vermeiden von Unsicherheit. Sie entstehen, wenn Unternehmen Risiken besser verstehen, präziser bepreisen, intelligenter diversifizieren und finanziell besser tragen können als ihre Wettbewerber. Das macht Risikomanagement zu einer Kernkompetenz der Wertschaffung.

Der aktualisierte DIIR Revisionsstandard Nr. 2 unterstützt diesen Perspektivwechsel. Der Standard verbindet den symmetrischen Risikobegriff mit Risikostrategie, Risikoaggregation, Risikotragfähigkeit und der expliziten Prüfung unternehmerischer Entscheidungen. Damit wird aus dem vermeintlich defensiven Risikomanagement ein System zur besseren Allokation knapper Risikokapazität. Die zentrale Managementfrage lautet nicht mehr: "Wie können wir Risiko vermeiden?" Sondern: "Welche Risiken sollten wir eingehen, wie groß dürfen sie sein – und wie stellen wir sicher, dass wir auch dann handlungsfähig bleiben, wenn mehrere Dinge gleichzeitig schiefgehen?"

Quellenhinweis:

• DIIR - Deutsches Institut für Interne Revision e.V.: DIIR-Revisionsstandard Nr. 2: Prüfung des Risikomanagementsystems durch die Interne Revision, Version 2.2, August 2026. Download
• Erben, Roland F. / Romeike, Frank (2026): Allein auf stürmischer See – Risikomanagement für Einsteiger, 4. komplett überarbeitete Auflage, Wiley Verlag, Weinheim 2026.