# Zur Kenntnis genommen ist nicht entschieden > SwissGRC® erklärt in diesem Beitrag, wie Risikoberichte dem Verwaltungsrat als Entscheidungsgrundlage dienen statt als blosse Statusmeldung. Er ordnet Art. 716a OR, FINMA-Rundschreiben und Swiss Code ein und nennt zwei prüfbare Schritte. - URL: https://swissgrc.com/zur-kenntnis-genommen-ist-nicht-entschieden/ - Herausgeber: SwissGRC® - Veröffentlicht: 2026-10-30 - Zuletzt aktualisiert: 2026-10-30 ## Kernaussagen - Art. 716a OR verpflichtet den Verwaltungsrat zur Oberleitung der Gesellschaft und zur Oberaufsicht über die Geschäftsführung, schreibt aber nicht vor, wie Risikoinformationen aufbereitet werden. - Das FINMA-Rundschreiben 2023/1 Operationelle Risiken und Resilienz Banken, in Kraft seit Januar 2024, sieht mindestens eine jährliche Berichterstattung an Verwaltungsrat und Geschäftsleitung über die operationelle Resilienz vor. - Der Swiss Code of Best Practice for Corporate Governance von economiesuisse (Februar 2023) empfiehlt börsenkotierten Gesellschaften ausserhalb des Finanzsektors eine mindestens jährliche Risikobeurteilung durch den Verwaltungsrat. - Laut einem Gartner-Referenten ist Risikoberichterstattung oft zu repetitiv, zu langsam oder zu subjektiv, um die Entscheidungsfindung zu unterstützen. - Monetäre Messgrössen aus einer Risikoquantifizierung erlauben, Risiken zu vergleichen, zu einem Gesamtrisiko zu aggregieren und mit der Risikotragfähigkeit abzugleichen. - Als ersten Schritt legt die Risikofunktion dem Verwaltungsrat eine Liste der vorgelegten Risikoberichte vor und markiert, ob Entscheidung, Rückfrage oder keine Reaktion erfolgte. Ein Risikobericht, der im Verwaltungsrat nur zur Kenntnis genommen wird, hat seinen Zweck verfehlt. Art. 716a OR verpflichtet den Verwaltungsrat zur Oberleitung der Gesellschaft, zur Oberaufsicht über die Geschäftsführung und zur Erstellung des Geschäftsberichts, macht aber keine Vorgaben, wie Informationen über Risiken aufbereitet werden sollen. Für Finanzinstitute konkretisiert die FINMA diese Pflicht in eigenen Rundschreiben, für börsenkotierte Gesellschaften ergänzt der Swiss Code eine jährliche Risikobeurteilung. Die Quintessenz: Risiken müssen in die Entscheidungsfindung einfliessen, nicht nur zu den Akten gelegt werden. Kurz zusammengefasst Risikoberichterstattung dient dem Verwaltungsrat dann als Entscheidungsgrundlage, wenn die gesetzliche Pflicht aus Art. 716a OR erfüllt werden kann. Dafür müssen Risikoabwägungen und Handlungsoptionen in den Kontext der verfügbaren Mittel gestellt werden. Wie viel Risiko will die Organisation bewusst eingehen, um ihre Ziele zu erreichen? Entscheidend ist, ob ein Bericht eine angemessene Grundlage für diese Fragestellungen bietet. ## Welche Pflicht trägt der Verwaltungsrat bei der Risikoüberwachung? Der Verwaltungsrat hat gemäss Art. 716a OR unübertragbare und unentziehbare Aufgaben, zu denen die Oberleitung der Gesellschaft und die Oberaufsicht über die mit der Geschäftsführung betrauten Personen gehören. Zu diesen Aufgaben gehören die Festlegung und Durchsetzung der Strategie sowie die Beurteilung der Risikolage. Das Obligationenrecht schreibt jedoch nicht vor, wie der Verwaltungsrat dieser Pflicht in der Praxis nachkommt. Als Orientierung dienen normative Quellen wie der ISO-Standard 31000:2018 Risk Management oder das COSO Enterprise Risk Management Framework, doch verbindlich sind sie nicht. Die Lücke zwischen gesetzlicher Pflicht und konkreter Ausgestaltung liegt in der Verantwortung des Verwaltungsrats. Eine Orientierung für die Rollenverteilung bietet das IIA Three Lines Model. Es beschreibt den Verwaltungsrat als governing body, der Vision, Mission, Werte und Risikoappetit festlegt, die operative Verantwortung an das Management delegiert und von diesem Berichte zur Zielerreichung erhält. Das Zusammenwirken der drei Linien soll laut diesem Modell die Verlässlichkeit, Kohärenz und Transparenz der Informationen sicherstellen, die für risikobasierte Entscheidungen benötigt werden. ## Was verlangen FINMA und Swiss Code konkret von der Berichterstattung? Für Banken konkretisiert die Eidgenössische Finanzmarktaufsicht FINMA die Berichtspflicht in eigenen Rundschreiben, für börsenkotierte Gesellschaften empfiehlt der Swiss Code eine jährliche Risikobeurteilung. Laut [FINMA-Rundschreiben 2017/1 Corporate Governance – Banken](https://www.finma.ch/de/~/media/finma/dokumente/dokumentencenter/myfinma/rundschreiben/finma-rs-2017-01-20200101.pdf?la=de), in Kraft seit Juli 2017, umfasst Risikomanagement «die organisatorischen Strukturen sowie die Methoden und Prozesse, die der Festlegung von Risikostrategien und Risikosteuerungsmassnahmen sowie der Identifikation, Analyse, Bewertung, Bewirtschaftung, Überwachung und Berichterstattung von Risiken dienen». Das Oberleitungsorgan legt darin die Geschäftsstrategie fest, genehmigt das Rahmenkonzept für das institutsweite Risikomanagement und trägt die Verantwortung für die Reglementierung, Einrichtung und Überwachung eines wirksamen Risikomanagements sowie für die Steuerung der Gesamtrisiken. Das totalrevidierte FINMA-Rundschreiben 2023/1 Operationelle Risiken und Resilienz Banken, in Kraft seit Januar 2024, konkretisiert die regelmässige Berichterstattung weiter und sieht mindestens eine jährliche Berichterstattung an Verwaltungsrat und Geschäftsleitung über die operationelle Resilienz vor. Für börsenkotierte Gesellschaften ausserhalb des Finanzsektors empfiehlt der [Swiss Code of Best Practice for Corporate Governance](https://backend-api.economiesuisse.ch/sites/default/files/2025-12/SwissCode_DE_RZ.pdf) von economiesuisse, veröffentlicht im Februar 2023, eine mindestens jährliche Risikobeurteilung durch den Verwaltungsrat, deren Ergebnis in die Weiterentwicklung des internen Kontrollsystems einfliesst. ## Warum verfehlen viele Risikoberichte ihren Zweck? Risikoberichterstattung ist oftmals zu repetitiv, zu langsam oder zu subjektiv, um die Entscheidungsfindung zu unterstützen: Diese Aussage traf ein Referent von Gartner an der diesjährigen Enterprise Risk, Audit & Compliance Konferenz in London. Aufgrund dieser drei Eigenschaften verkommen Risikoberichte regelmässig zu reinen Statusmeldungen: Kennzahlen wiederholen sich ohne kontextuelle Einordnung, Informationen erreichen Entscheidungsträger lange nach Eintritt eines Risikos, und subjektive Einschätzungen entziehen einer Entscheidung die messbare Grundlage. Als Gegenmittel schlägt [Gartner](https://www.gartner.com/en/newsroom/press-releases/2026-09-29-gartner-says-enterprise-risk-management-leaders-shouldd-target-three-key-innovations-in-risk-reporting) vor, Innovation einzusetzen – von KI-generierten Erkenntnissen bis zu dynamisch erhobenen und quantifizierten Informationen –, um so den stetigen Wandel der Risikolandschaft zu bewältigen. ## Was unterscheidet eine Entscheidungsgrundlage von einer Statusmeldung? Eine Entscheidungsgrundlage zeigt vorausschauend Risikoabhängigkeiten und mögliche Massnahmen auf, statt einen rückwärtsgerichteten Nachweis zu liefern. Ein Bericht muss benennen, welche Risikoabwägungen im Kontext des Geschäftsgangs und der verfügbaren Mittel gemacht werden müssen. Die Handlungsoptionen müssen die Auswirkungen auf das Risiko benennen, das die Unternehmung für die Erreichung ihrer Ziele eingehen will. Monetäre Messgrössen, etwa aus einer [Risikoquantifizierung](https://swissgrc.com/risikoquantifizierung/), helfen dabei, Risiken untereinander zu vergleichen, zu einem kumulierten Gesamtrisiko zu aggregieren und so mit der Risikotragfähigkeit abzugleichen, anstatt sie nur qualitativ zu beschreiben. ![Risk Reporting: aggregiertes Risiko gegen Risikotragfähigkeit in der SwissGRC Plattform](https://swissgrc.com/wp-content/uploads/2026/09/rq-capacity-1024x837.webp) Risk Reporting: aggregiertes Risiko gegen Risikotragfähigkeit in der SwissGRC Plattform ## Wie lässt sich die Risikoberichterstattung konkret verbessern? Der Verwaltungsrat prüft pro Bericht, ob er daraus eine Entscheidung ableiten kann, und schickt Berichte ohne diese Eigenschaft mit einer konkreten Nachfrage zurück. Ein erster, überprüfbarer Schritt: Die Risikofunktion legt dem Verwaltungsrat zur nächsten ordentlichen Sitzung eine Liste der im laufenden Jahr vorgelegten Risikoberichte vor und markiert, zu welchem Bericht eine konkrete Entscheidung, eine Rückfrage oder keine Reaktion erfolgte. Diese Übersicht zeigt unmittelbar, welcher Berichtstyp tatsächlich wirkt und welcher nur dokumentiert. Der zweite Schritt betrifft die Struktur selbst: Berichte, die [vom Nachweis zum Steuerungsinstrument](https://swissgrc.com/vom-nachweis-zum-steuerungsinstrument-grc/) übergehen sollen, müssen an einer gesamthaften Berichtslogik ansetzen, welche entscheidungsfähige Risikoeinsichten bereitstellt, anstatt nur priorisierte Risiken aufzulisten. Voneinander losgelöste Kennzahlen haben darin keinen Platz: An ihre Stelle treten vernetzte, kontextuelle Informationen und konkrete, umsetzungsfähige Massnahmen. Passend dazu ### Risiken in Zahlen für den Verwaltungsrat Die Lösung für Risikoquantifizierung übersetzt Risiken in monetäre Grössenordnungen. Sie macht Risikoberichte für den Verwaltungsrat vergleichbar und entscheidungsfähig. [RiskQuant](https://swissgrc.com/risikoquantifizierung/) Für die Praxis ## Das Wichtigste in Kürze - Der Verwaltungsrat sollte jeden Risikobericht daraufhin prüfen, ob er zu einer konkreten Entscheidung führt oder nur Status vermittelt. - Für Banken gelten mit FINMA-RS 2017/1 und 2023/1 konkrete Vorgaben zu Inhalt und Turnus der Berichterstattung an den Verwaltungsrat. - Der Swiss Code empfiehlt für börsenkotierte Gesellschaften eine mindestens jährliche Risikobeurteilung durch den Verwaltungsrat. - Risikoberichte gewinnen an Entscheidungswert, wenn sie Risikoabhängigkeiten und Handlungsoptionen statt nur Kennzahlen zeigen. - Eine Liste bereits erfolgter Entscheidungen zu Risikoberichten macht sichtbar, welche Berichtsform tatsächlich wirkt. FAQ ## Häufige Fragen Welche gesetzliche Grundlage regelt die Risikoüberwachung durch den Verwaltungsrat in der Schweiz? Art. 716a OR verpflichtet den Verwaltungsrat zur Oberleitung der Gesellschaft und zur Oberaufsicht über die Geschäftsführung. Dazu gehören auch die Festlegung der Strategie und die Beurteilung der Risikolage. Wie diese Pflicht in der Praxis umgesetzt wird, schreibt das Gesetz selbst nicht vor. Gibt es spezifische Vorschriften zur Risikoberichterstattung für Banken? Ja. Gemäss FINMA-Rundschreiben 2017/1 genehmigt das Oberleitungsorgan das Rahmenkonzept für das institutsweite Risikomanagement und trägt die Verantwortung für ein wirksames Risikomanagement. Das totalrevidierte Rundschreiben 2023/1 sieht zusätzlich mindestens eine jährliche Berichterstattung über die operationelle Resilienz an Verwaltungsrat und Geschäftsleitung vor. Was empfiehlt der Swiss Code zur Risikoberichterstattung bei börsenkotierten Unternehmen? Der Swiss Code of Best Practice for Corporate Governance empfiehlt für börsenkotierte Gesellschaften eine mindestens jährliche Risikobeurteilung durch den Verwaltungsrat. Deren Ergebnis soll in die Weiterentwicklung des internen Kontrollsystems einfliessen, ohne dass der Code eine konkrete Berichtsform vorschreibt. Warum werden viele Risikoberichte im Verwaltungsrat nur zur Kenntnis genommen statt zu Entscheidungen zu führen? Gartner nennt drei Ursachen: repetitive Kennzahlen ohne neue Einordnung, verspätete Information nach Eintritt eines Risikos und subjektive Einschätzungen ohne nachvollziehbare Grundlage. Diese Eigenschaften machen einen Bericht zur reinen Statusmeldung, auf die der Verwaltungsrat nicht reagiert. Wie lässt sich prüfen, ob ein Risikobericht im Verwaltungsrat tatsächlich wirkt? Die Risikofunktion erstellt eine Liste aller im laufenden Jahr vorgelegten Risikoberichte und markiert, zu welchem Bericht eine konkrete Entscheidung, eine Rückfrage oder keine Reaktion erfolgte. Diese Übersicht zeigt unmittelbar, welcher Berichtstyp Wirkung entfaltet und welcher nur dokumentiert. Quellen 1. [FINMA-Rundschreiben 2017/1 Corporate Governance – Banken](https://www.finma.ch/de/~/media/finma/dokumente/dokumentencenter/myfinma/rundschreiben/finma-rs-2017-01-20200101.pdf?la=de)FINMA 2. [Swiss Code of Best Practice for Corporate Governance 2023](https://backend-api.economiesuisse.ch/sites/default/files/2025-12/SwissCode_DE_RZ.pdf)economiesuisse 3. [Gartner Says Enterprise Risk Management Leaders Should Target Three Key Innovations in Risk Reporting](https://www.gartner.com/en/newsroom/press-releases/2026-09-29-gartner-says-enterprise-risk-management-leaders-shouldd-target-three-key-innovations-in-risk-reporting)Gartner ## Häufige Fragen ### Was regelt Art. 716a OR zur Risikoüberwachung durch den Verwaltungsrat? Art. 716a OR weist dem Verwaltungsrat unübertragbare und unentziehbare Aufgaben zu, darunter die Oberleitung der Gesellschaft und die Oberaufsicht über die Geschäftsführung. Wie der Verwaltungsrat diese Pflicht in der Praxis erfüllt, schreibt das Obligationenrecht nicht vor. ### Was verlangt die FINMA von der Risikoberichterstattung bei Banken? Das FINMA-Rundschreiben 2017/1 legt fest, dass das Oberleitungsorgan das Rahmenkonzept für das institutsweite Risikomanagement genehmigt und für dessen Wirksamkeit verantwortlich ist. Das Rundschreiben 2023/1 sieht mindestens eine jährliche Berichterstattung über die operationelle Resilienz an Verwaltungsrat und Geschäftsleitung vor. ### Was empfiehlt der Swiss Code zur Risikobeurteilung? Der Swiss Code empfiehlt börsenkotierten Gesellschaften ausserhalb des Finanzsektors eine mindestens jährliche Risikobeurteilung durch den Verwaltungsrat. Das Ergebnis fliesst in die Weiterentwicklung des internen Kontrollsystems ein. ### Warum verfehlen viele Risikoberichte ihren Zweck? Sie sind laut Gartner oft zu repetitiv, zu langsam oder zu subjektiv. Dadurch werden sie zu Statusmeldungen mit wiederholten Kennzahlen, verspäteten Informationen und fehlender messbarer Grundlage. ### Wie prüft der Verwaltungsrat, ob ein Risikobericht wirkt? Die Risikofunktion legt eine Liste der im laufenden Jahr vorgelegten Berichte vor und markiert, ob eine Entscheidung, eine Rückfrage oder keine Reaktion erfolgte. So wird sichtbar, welcher Berichtstyp wirkt und welcher nur dokumentiert.