Seminare für Controller
Kennzahlen, Planung und Reporting methodisch sicher aufsetzen.
Fachbeitrag · Controlling, Risiko und Steuerung
KPIs und KRIs: Von der Kennzahl zur Entscheidung 2026/2027
KPIs und KRIs gibt es in fast jedem Unternehmen. Was oft fehlt, ist der Schritt von der Zahl zur Entscheidung: Auswahl, Schwellenwerte, Analyse und Maßnahmen, ergänzt um die aktuelle Risikolage und die Regulatorik 2026/2027.
Management Summary: Von der Kennzahl zur Entscheidung
Kennzahlen gibt es in jedem Unternehmen genug. Was fehlt, ist oft der Schritt von der Zahl zur Entscheidung: Ein Dashboard mit vielen bunten Werten hilft wenig, wenn niemand weiß, ab welchem Wert gehandelt werden muss und wer dann entscheidet.
KPIs zeigen, ob du deine Ziele erreichst. KRIs zeigen, ob sich ein Risiko aufbaut, das diese Ziele gefährdet. Wirksam werden beide erst, wenn sie ausgewählt, mit Schwellenwerten versehen, regelmäßig analysiert und in Maßnahmen übersetzt werden.
Die Risikolage macht KRIs wichtiger denn je. Im Allianz Risk Barometer 2026 nennen 52 % der deutschen Befragten Cybervorfälle als größtes Geschäftsrisiko, nach 47 % im Vorjahr. Künstliche Intelligenz steigt in Deutschland neu auf Platz 4 ein, Änderungen in Gesetzgebung und Regulierung springen auf Platz 3.
Gesetzgeber und Aufsicht verlangen zunehmend messbare Indikatoren, von der Krisenfrüherkennung nach StaRUG über NIS2 bis zu den MaRisk. Eine allgemeine Pflicht zu KRIs gibt es nicht, aber viele Pflichten lassen sich ohne Indikatoren kaum erfüllen. Dieser Beitrag zeigt Rechtsstand und Risikolage und führt in fünf Schritten zu besseren Entscheidungen. Er ersetzt keine Rechtsberatung im Einzelfall.
KPIs und KRIs: Unterschied und Zusammenspiel
Key Performance Indicators (KPIs) messen, ob dein Unternehmen seine Ziele erreicht. Key Risk Indicators (KRIs) messen, ob sich ein Risiko aufbaut, das diese Ziele gefährdet. Beide gehören in dasselbe Berichtswesen, beantworten aber unterschiedliche Fragen.
| Merkmal | KPI | KRI |
|---|---|---|
| Frage | Erreichen wir unsere Ziele? | Baut sich ein Risiko auf, das unsere Ziele gefährdet? |
| Blickrichtung | Meist rückblickend (Ergebnis) | Vorausschauend (Frühwarnung) |
| Bezug | Strategie und Zielsystem | Risikoinventur und Risikoappetit |
| Beispiel Vertrieb | Umsatzwachstum | Anteil der Umsätze mit den drei größten Kunden |
| Beispiel Finanzen | Operativer Cashflow | Liquiditätsreichweite in Wochen |
| Beispiel IT | Systemverfügbarkeit | Anteil kritischer Schwachstellen, die länger als 30 Tage offen sind |
Ein KRI ist keine Risikoart. „Cybersicherheit“ ist ein Risiko, kein Indikator. Ein KRI ist eine messbare Größe, die eine Veränderung dieses Risikos anzeigt, etwa die Patch-Quote oder die Klickrate in Phishing-Simulationen.
Das Zusammenspiel: Zu jedem wichtigen KPI gehört mindestens ein KRI. Wer Umsatzwachstum steuert, sollte gleichzeitig Kundenkonzentration und Zahlungsziele beobachten. Sonst wird Wachstum mit steigendem Risiko erkauft. Ergänzend nutzen viele Unternehmen Kontrollindikatoren (KCIs), die messen, ob Kontrollen wirksam sind.
Praxistipp: Bilde für deine fünf wichtigsten Ziele jeweils ein Paar aus KPI und KRI. Das ist der schnellste Weg zu einem ausgewogenen Steuerungsbild. Mehr dazu: Pflichtkennzahlen und Ampellogik im Hub
Aktuelle Risikolage: Welche KRIs 2026/2027 zählen
Das Allianz Risk Barometer 2026 zeigt, wo deutsche Unternehmen ihre größten Risiken sehen. Daraus lassen sich passende KRIs ableiten:
| Rang in Deutschland 2026 | Risiko | Beispiele für KRIs |
|---|---|---|
| 1 (52 %) | Cybervorfälle | Patch-Quote, offene kritische Schwachstellen, Klickrate in Phishing-Tests, Zeit bis zur Erkennung von Vorfällen |
| 2 (40 %) | Betriebsunterbrechungen | Anteil kritischer Lieferanten ohne Alternative, Lagerreichweite, Ergebnisse von Notfalltests |
| 3 (28 %) | Änderungen in Gesetzgebung und Regulierung | Anzahl offener Umsetzungsprojekte mit Frist unter sechs Monaten, Zollanteil an Materialkosten |
| 4 (26 %) | Künstliche Intelligenz | Anteil nicht freigegebener KI-Anwendungen, geschulte Nutzer in Prozent, KI-Vorfälle |
| 5 (19 %) | Naturkatastrophen | Standorte in Risikogebieten, Versicherungsdeckung |
Schwerpunkt KI-Risiken: Nach dem IBM Cost of a Data Breach Report 2025 gaben 13 % der Organisationen Sicherheitsvorfälle bei KI-Modellen oder -Anwendungen an. 97 % davon hatten keine angemessenen Zugriffskontrollen für KI. Ein guter KRI ist deshalb der Anteil der KI-Anwendungen ohne Freigabe und Zugriffskonzept.
Praxistipp: Gleiche deine KRI-Liste einmal jährlich mit aktuellen Risikostudien und deiner eigenen Risikoinventur ab. Neue Risiken wie KI brauchen neue Indikatoren. Mehr dazu: Die Zukunft des Controllings mit KI
Fristen und Zeitpunkte: Was gilt wann
Nicht alle Anforderungen gelten schon. Die Tabelle trennt, was heute gilt, was sich im Übergang befindet und was künftig kommt. Rechtsstand ist Oktober 2026.
| Zeitpunkt | Was | Betrifft | Fundstelle |
|---|---|---|---|
| Gilt seit 06.12.2025 | Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen | NIS2-Einrichtungen | § 30 Abs. 2 Satz 2 Nr. 6 BSIG |
| Gilt seit Juni 2026 | MaRisk 10.0 (Rundschreiben 06/2026 (BA)); zusätzliche Anforderungen der Novelle bis 01.01.2027 | Institute | MaRisk AT 4.2 Tz. 2, AT 4.3.2 Tz. 2, BTO 1.3.1 Tz. 2, AT 4.3.4 |
| Gilt seit 01.04.2026 | ESG-Risikoplan; für kleine und nicht komplexe Institute ab 11.01.2027 | Institute | § 26d KWG |
| Geschäftsjahre ab 01.01.2027 | IFRS 18 mit Angaben zu Management-defined Performance Measures; freiwillige frühere Anwendung | IFRS-Anwender | VO (EU) 2026/338 |
| Geschäftsjahr 2027 | Überarbeitete ESRS verbindlich; für 2026 freiwillig | CSRD-Unternehmen | Delegierte VO (EU) 2026/1563; § 289b HGB |
| Bis 07.06.2027 | Entgeltberichte ab 150 Beschäftigten erstmals nach der Richtlinie; deutsche Umsetzung offen | Arbeitgeber | Richtlinie (EU) 2023/970 |
| Ab 02.12.2027 | Hochrisiko-Pflichten für KI-Systeme zur Leistungsbewertung von Beschäftigten | Alle Unternehmen mit KI im Personalbereich | KI-VO, Anhang III Nr. 4 |
Die Zahlen zur Risikolage stammen aus dem Allianz Risk Barometer 2026. Eine neue Ausgabe erscheint üblicherweise zu Jahresbeginn; dann lohnt sich der Abgleich deiner KRI-Liste.
Pflichten nach Funktion: Wo Kennzahlen gefordert sind
Eine allgemeine Pflicht zu KPIs und KRIs gibt es nicht. Es gibt aber Normen, die messbare Indikatoren voraussetzen. Welche für dich gelten, hängt von Rechtsform, Branche und Funktion ab.
| Funktion | Fundstelle | Anforderung |
|---|---|---|
| Geschäftsleitung: Lagebericht | § 289 Abs. 1 Satz 3, Abs. 3 HGB | „In die Analyse sind die für die Geschäftstätigkeit bedeutsamsten finanziellen Leistungsindikatoren einzubeziehen und unter Bezugnahme auf die im Jahresabschluss ausgewiesenen Beträge und Angaben zu erläutern.“ Große Kapitalgesellschaften auch nichtfinanzielle Indikatoren (Abs. 3). |
| Geschäftsleitung: Krisenfrüherkennung | § 1 Abs. 1 StaRUG | Geschäftsleiter haftungsbeschränkter Unternehmen „wachen fortlaufend über Entwicklungen, welche den Fortbestand der juristischen Person gefährden können“, ergreifen „geeignete Gegenmaßnahmen“ und berichten den Überwachungsorganen „unverzüglich“. |
| Vorstand und Aufsichtsrat der AG | § 91 Abs. 2 AktG; § 87 Abs. 1 Satz 2 AktG | Einrichtung eines Überwachungssystems. Bei börsennotierten Gesellschaften: „Die Vergütungsstruktur ist bei börsennotierten Gesellschaften auf eine nachhaltige und langfristige Entwicklung der Gesellschaft auszurichten.“ |
| Informationssicherheit (NIS2-Einrichtungen) | § 30 Abs. 2 Satz 2 Nr. 6 BSIG | „Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik“. Das BSI nennt als Kennzahlen zur Wirksamkeitsbewertung unter anderem Patch-Quote, Reaktionszeiten und Phishing-Simulationen. |
| Institute: Risikosteuerung | MaRisk 10.0 AT 4.2 Tz. 2; AT 4.3.2 Tz. 2 | „Insbesondere ist für alle wesentlichen Risiken der Risikoappetit des Instituts festzulegen“. Aus ihm sind geeignete „Indikatoren für die frühzeitige Identifizierung von Risiken sowie von risikoartenübergreifenden Effekten“ abzuleiten. |
| Institute: Kreditgeschäft | MaRisk 10.0 BTO 1.3.1 Tz. 2 | Indikatoren auf Basis quantitativer und qualitativer Risikomerkmale, Watchlist, regelmäßige Information der Geschäftsleitung. „Die Frühwarnindikatoren müssen regelmäßig überprüft und bei Bedarf angepasst werden.“ |
| Institute: ESG | § 26d Abs. 1 KWG | ESG-Risikoplan mit angemessenen und quantifizierbaren Zielen und Kennzahlen. |
| IT, Controlling und Personal: KI-Einsatz | Art. 4 KI-VO; MaRisk AT 4.3.4 Tz. 1 | Unternehmen stellen die KI-Kompetenz ihrer Nutzer sicher. Für Institute gelten die MaRisk-Anforderungen an Modelle ausdrücklich auch für KI. |
Praxistipp: Kennzeichne in deinem Kennzahlenkatalog, welche Kennzahlen gesetzlich oder aufsichtlich gefordert sind. Diese prüfen Abschlussprüfer und Aufsicht zuerst. Mehr dazu: NIS2, DORA und CRA im Überblick
Pain Points: Häufige Fehler bei KPIs und KRIs
Die meisten Probleme entstehen nicht bei der Berechnung, sondern davor und danach: bei der Auswahl, bei den Schwellenwerten und beim Umgang mit Signalen. Die Tabelle ordnet häufige Fehler ihren Folgen und, soweit vorhanden, dem Normbezug zu.
| Fehler | Folge | Lösung | Normbezug |
|---|---|---|---|
| Zu viele Kennzahlen | Analyse lähmt, Wichtiges geht unter | Höchstens zehn für die Geschäftsleitung | Kein Normbezug; Steuerungsgrundsatz |
| Risikoarten statt Indikatoren | Keine Frühwarnung | Messbare KRIs mit Schwellenwerten | MaRisk AT 4.3.2 Tz. 2; § 30 Abs. 2 Satz 2 Nr. 6 BSIG |
| Unrealistische Ziele | Demotivation oder Unterforderung | Ziele aus Strategie, Vorjahr und Planannahmen ableiten | Kein Normbezug; Steuerungsgrundsatz |
| Keine Schwellenwerte | Niemand weiß, wann zu handeln ist | Gelb- und Rot-Schwellen mit Verantwortlichen | § 1 Abs. 1 StaRUG; MaRisk AT 4.2 Tz. 2 |
| Keine Maßnahmenverfolgung | Signale verpuffen | Maßnahmenliste mit Wirkungskontrolle | § 1 Abs. 1 StaRUG (Gegenmaßnahmen, unverzügliche Berichterstattung) |
| Blindes Vertrauen in Zahlen | Qualitative Faktoren werden übersehen | Kennzahlen mit Gesprächen, Marktbeobachtung und Erfahrung ergänzen | Bei KI-Analysen: Art. 4 KI-VO; MaRisk AT 4.3.4 Tz. 1 |
| Veraltete KRIs | Neue Risiken wie KI bleiben unerkannt | Jährliche Überprüfung mit Risikoinventur | MaRisk BTO 1.3.1 Tz. 2 (regelmäßige Überprüfung) |
| Interne Steuerung und Lagebericht widersprechen sich | Erklärungsbedarf gegenüber Prüfer und Aufsichtsrat | Leistungsindikatoren im Lagebericht mit der internen Steuerung abstimmen | § 289 Abs. 1 Satz 3 HGB |
Praxistipp: Prüfe jede Kennzahl, die seit einem Jahr keine Entscheidung ausgelöst hat. Oft kann sie entfallen. Mehr dazu: KPIs im Griff
Quick-Check: Unterstützt dein Kennzahlensystem Entscheidungen?
Der schnelle Einstieg: Wähle den Zustand, der dein Kennzahlensystem am besten beschreibt. Darunter erscheint die passende Empfehlung. Die Auswahl funktioniert ohne Skript und lässt sich per Tastatur bedienen.
Noch keine Auswahl getroffen.
Empfehlung bei Status Offen
Starte klein: Wähle für deine fünf wichtigsten Ziele je einen KPI und einen KRI (Schritt 1), lege Zielwert, Toleranzschwelle und Limit fest (Schritt 2) und benenne je Kennzahl einen Verantwortlichen. Das ist der No-Regret-Einstieg.
Empfehlung bei Status Teilweise
Schließe die Lücke zwischen Signal und Handeln: Eskalationsweg für Gelb und Rot, Maßnahmenliste mit Wirkungskontrolle und Dokumentation (Schritt 4). Prüfe außerdem, welche Kennzahlen gesetzlich oder aufsichtlich gefordert sind.
Empfehlung bei Status Erfüllt
Halte das System aktuell: jährlicher Abgleich mit Risikoinventur und Risikostudien, neue KRIs für KI und Regulierung, Kennzahlen ohne Entscheidung im letzten Jahr streichen, Datenqualität und KI-Einsatz regeln (Schritt 5).
Prüfschema in 14 Fragen
| Nr. | Prüffeld | Prüffrage | Normbezug | Typischer Befund |
|---|---|---|---|---|
| 1 | Ausgewogenheit | Gibt es für jedes wichtige Ziel ein Paar aus KPI und KRI? | Grundsatz, kein Normbezug | Ziele ohne zugehörigen Frühindikator |
| 2 | Messbarkeit | Sind KRIs messbare Indikatoren und keine Risikoarten? | Grundsatz, kein Normbezug | Risikoarten als KRI geführt |
| 3 | Schwellenwerte | Gibt es Zielwert, Toleranzschwelle und Limit je Kennzahl? Institute: Ist der Risikoappetit festgelegt? | MaRisk AT 4.2 Tz. 2 | Zielwert vorhanden, Schwellen fehlen |
| 4 | Eskalation | Ist festgelegt, wer bei Gelb informiert wird und wer bei Rot entscheidet? | § 1 Abs. 1 StaRUG; § 91 Abs. 2 AktG | Zuständigkeit nur informell geregelt |
| 5 | Dokumentation | Werden Signale, Entscheidungen und Maßnahmen dokumentiert? | § 1 Abs. 1 StaRUG | Entscheidung nicht nachvollziehbar |
| 6 | Lagebericht | Sind die Leistungsindikatoren im Lagebericht mit der internen Steuerung abgestimmt? | § 289 Abs. 1 Satz 3, Abs. 3 HGB | Unterschiedliche Kennzahlen intern und extern |
| 7 | Vergütung | Sind vergütungsrelevante Kennzahlen langfristig ausgerichtet? | § 87 Abs. 1 Satz 2 AktG | Kurzfristige Kennzahlen dominieren |
| 8 | NIS2 | NIS2-Einrichtungen: Wird die Wirksamkeit der Sicherheitsmaßnahmen mit Kennzahlen bewertet? | § 30 Abs. 2 Satz 2 Nr. 6 BSIG | Maßnahmen vorhanden, Wirksamkeit nicht gemessen |
| 9 | Frühwarnung | Institute: Sind Frühwarnindikatoren abgeleitet und werden sie regelmäßig überprüft? | MaRisk AT 4.3.2 Tz. 2; BTO 1.3.1 Tz. 2 | Indikatoren nie angepasst |
| 10 | ESG | Institute: Enthält der ESG-Risikoplan quantifizierbare Kennzahlen? | § 26d Abs. 1 KWG | Ziele ohne Kennzahlen |
| 11 | Risikolage | Sind KRIs für Cyber, Betriebsunterbrechung, Regulierung und KI vorhanden? | Risikoinventur; Allianz Risk Barometer 2026 | KI-Risiken ohne Indikator |
| 12 | KI-Einsatz | Sind KI-gestützte Analysen gekennzeichnet und von Menschen geprüft? | Art. 4 KI-VO; Institute: MaRisk AT 4.3.4 | KI-Prognosen ungeprüft übernommen |
| 13 | IFRS 18 | IFRS-Anwender: Sind extern verwendete Kennzahlen für IFRS 18 vorbereitet? | VO (EU) 2026/338 | Management-Kennzahlen ohne Überleitung |
| 14 | Aktualität | Wird die Kennzahlenliste jährlich überprüft? | MaRisk BTO 1.3.1 Tz. 2 (analog) | Liste seit Jahren unverändert |
Lösungsansätze: Fünf No-Regret-Schritte von der Zahl zur Maßnahme
Die folgenden fünf Schritte sind No-Regret-Maßnahmen: Sie lohnen sich unabhängig davon, wie sich Regulierung und Risikolage entwickeln.
Schritt 1: Die richtigen Kennzahlen auswählen
Ausgangspunkt für KPIs sind deine Unternehmensziele. Ausgangspunkt für KRIs ist deine Risikoinventur: Welche Risiken können die Ziele am stärksten gefährden? Vier Prüffragen helfen bei jeder Kennzahl:
- Relevant: Hängt sie mit einem wichtigen Ziel oder Risiko zusammen?
- Messbar: Lässt sie sich zuverlässig und regelmäßig ermitteln?
- Beeinflussbar: Kann jemand im Unternehmen sie durch Maßnahmen verändern?
- Entscheidungsrelevant: Würdest du anders handeln, wenn sich der Wert ändert?
| Geschäftsmodell | Typische KPIs | Typische KRIs |
|---|---|---|
| Onlinehandel | Umsatzwachstum, Konversionsrate, Kundenzufriedenheit | Retourenquote, Anteil Zahlungsausfälle, Ausfallzeiten des Shops |
| Produktion | Liefertreue, Fehlerquote, Anlageneffizienz | Lieferanten mit nur einer Bezugsquelle, Lagerreichweite kritischer Teile, Energiepreisentwicklung |
| Dienstleistung | Auslastung, Deckungsbeitrag je Projekt | Fluktuation in Schlüsselfunktionen, Projekte mit Budgetüberschreitung |
| Kreditinstitut | Zinsergebnis, Cost-Income-Ratio | Frühwarnindikatoren je Kreditnehmer, Konzentrationen, Liquiditätskennzahlen |
Praxistipp: Begrenze dich für die Geschäftsleitung auf höchstens zehn Kennzahlen, davon mindestens die Hälfte KRIs oder Frühindikatoren. Mehr dazu: Anforderungen an ein Kennzahlensystem
Schritt 2: Zielwerte, Benchmarks und Schwellenwerte festlegen
Eine Kennzahl ohne Bezugspunkt ist nur eine Zahl. Unterscheide drei Werte:
| Wert | Bedeutung | Beispiel Liquiditätsreichweite |
|---|---|---|
| Zielwert | Was wir erreichen wollen | 12 Wochen |
| Toleranzschwelle (gelb) | Ab hier wird beobachtet und analysiert | unter 8 Wochen |
| Limit (rot) | Ab hier wird eskaliert und gehandelt | unter 5 Wochen |
Realistische Ziele: Ziele sollten anspruchsvoll, aber erreichbar sein. Leite sie aus Strategie, Vorjahreswerten und Planannahmen ab.
Benchmarks: Vergleiche dich mit Branchenwerten, um blinde Flecken zu erkennen, und achte dabei auf gleiche Definitionen.
Risikoappetit: Für KRIs ergeben sich die Schwellenwerte aus der Frage, wie viel Risiko du bewusst tragen willst. Für Institute ist das Pflicht: Für alle wesentlichen Risiken ist der Risikoappetit festzulegen (MaRisk 10.0 AT 4.2 Tz. 2).
Praxistipp: Lege für jeden KRI fest, wer bei Gelb informiert wird und wer bei Rot entscheidet. Schreibe das in einen Steckbrief. Mehr dazu: KPI Power
Schritt 3: Daten analysieren und richtig interpretieren
- Trends statt Momentaufnahmen: Ein einzelner Wert sagt wenig. Wichtiger ist die Entwicklung über mehrere Perioden.
- Ausreißer und Anomalien: Sie können auf Risiken, aber auch auf Datenfehler hinweisen. Prüfe zuerst die Datenqualität.
- Zusammenhänge: Sinken Kundenzufriedenheit und Liefertreue gleichzeitig, liegt die Ursache oft in der Lieferkette.
- Korrelation ist keine Kausalität: Zwei Kennzahlen, die sich gleich entwickeln, müssen nicht ursächlich verbunden sein. Prüfe die Ursache, bevor du handelst.
- Szenarien: Wie entwickeln sich deine KPIs, wenn ein KRI rot wird? Diese Verbindung macht Risiken für die Geschäftsleitung greifbar.
Praxistipp: Ergänze jede Kennzahl im Bericht um einen Satz Kommentar: Was ist passiert, warum, und was schlagen wir vor? Mehr dazu: KPIs für CEO, CFO, COO und CRO
Schritt 4: Vom Signal zur Maßnahme
KPIs und KRIs entfalten ihren Wert erst, wenn aus Signalen Entscheidungen werden. Der Ablauf in sechs Stufen:
- Eskalation: Bei Überschreitung einer Schwelle wird der festgelegte Verantwortliche informiert.
- Ursachenanalyse: Was steckt hinter der Abweichung?
- Maßnahmenplan: Konkrete Maßnahmen mit Verantwortlichen und Terminen.
- Entscheidung: Die zuständige Ebene beschließt, bei bestandsgefährdenden Entwicklungen die Geschäftsleitung.
- Wirkungskontrolle: Hat die Maßnahme den Wert verbessert? Wenn nicht, nachsteuern.
- Dokumentation: Signal, Entscheidung und Maßnahme festhalten.
Rechtlicher Hintergrund: Geschäftsleiter haftungsbeschränkter Unternehmen „wachen fortlaufend über Entwicklungen, welche den Fortbestand der juristischen Person gefährden können“. Erkennen sie solche Entwicklungen, ergreifen sie „geeignete Gegenmaßnahmen“ und berichten den Überwachungsorganen „unverzüglich“ (§ 1 Abs. 1 StaRUG). KRIs mit dokumentierter Eskalation sind dafür der praktische Nachweis.
Praxistipp: Führe eine einfache Maßnahmenliste je rotem KRI mit Datum der Meldung, Entscheidung, Verantwortlichem und Status. Diese Liste ist zugleich dein Nachweis gegenüber Aufsichtsrat, Bank oder Prüfer. Mehr dazu: Krisenmanagement und Resilienz
Schritt 5: Werkzeuge von Excel bis KI-gestützter Analyse
Excel, Power BI oder Tableau sind verbreitete Werkzeuge für Dashboards. Der Trend geht zu integrierten Planungs- und Analyseplattformen mit KI-Funktionen. Laut BARC Planning Survey 26 nutzen 27 % der Unternehmen KI in Planung und Forecasting, nach 11 % im Vorjahr. Spezialisierte Software schneidet dort bei Transparenz und Nachvollziehbarkeit deutlich besser ab als tabellenbasierte Lösungen (8,4 gegenüber 4,7).
Was KI leisten kann:
- Anomalien in Kennzahlen automatisch erkennen
- Abweichungen kommentieren
- Prognosen für KPIs und KRIs berechnen
- Zusammenhänge zwischen vielen Indikatoren aufdecken
Wo die Grenzen liegen: Der Anteil derjenigen, die Datenqualität als Hürde für KI nennen, stieg laut BARC binnen eines Jahres von 18 % auf 44 %. KI ist nur so gut wie die Daten und Definitionen dahinter. Für Institute gelten die MaRisk-Anforderungen an Modelle ausdrücklich auch für KI (AT 4.3.4 Tz. 1). Alle Unternehmen müssen die KI-Kompetenz ihrer Nutzer sicherstellen (Art. 4 KI-VO).
Praxistipp: Starte mit KI dort, wo die Datenqualität gut ist und Fehler wenig kosten, zum Beispiel bei Kommentarvorschlägen im Monatsbericht. Prognosen für Limits und rote KRIs sollten weiterhin von Menschen geprüft werden. Mehr dazu: Die Zukunft des Controllings mit KI
Fazit: Mit KPIs und KRIs besser entscheiden
KPIs und KRIs zeigen zusammen, ob du deine Ziele erreichst und ob Risiken sie gefährden. Wirksam werden sie erst, wenn sie ausgewählt, mit Schwellenwerten versehen, regelmäßig analysiert und in Maßnahmen übersetzt werden. Wer den Weg von der Zahl zur Entscheidung klar regelt, entscheidet schneller, besser und nachweisbar.
Kernbotschaften
- Zu jedem wichtigen KPI gehört mindestens ein KRI. Ein KRI ist ein messbarer Indikator, keine Risikoart.
- Ohne Zielwert, Toleranzschwelle, Limit und benannte Verantwortliche bleibt eine Kennzahl eine Zahl.
- Die Risikolage 2026 mit Cyber, Betriebsunterbrechungen, Regulierung und KI verlangt neue KRIs.
- Gesetzgeber und Aufsicht fordern zunehmend messbare Indikatoren, von der Krisenfrüherkennung nach StaRUG über NIS2 bis zu den MaRisk.
- KI unterstützt die Analyse. Entscheidungen und die Prüfung der Ergebnisse bleiben beim Menschen.
Checkliste
- Ziele und Risikoinventur aktuell
- KPI-KRI-Paare für die wichtigsten Ziele
- Steckbrief je Kennzahl mit Zielwert, Schwellen, Verantwortlichem
- Eskalationsweg für Gelb und Rot
- Monatlicher Bericht mit Kommentar und Maßnahmenvorschlag
- Maßnahmenliste mit Wirkungskontrolle
- KRIs für Cyber, Lieferkette, Regulierung und KI
- Pflichtkennzahlen gekennzeichnet
- Datenqualität geprüft
- KI-Einsatz geregelt
- Jährliche Überprüfung
FAQ: Häufige Fragen zu KPIs und KRIs
Was ist der Unterschied zwischen KPI und KRI?
KPIs messen die Zielerreichung. KRIs zeigen frühzeitig, ob sich ein Risiko aufbaut, das diese Ziele gefährdet. KPIs blicken meist zurück, KRIs nach vorn.
Was ist ein KCI?
Ein Key Control Indicator misst, ob eine Kontrolle wirksam ist, zum Beispiel der Anteil fristgerecht durchgeführter Berechtigungsprüfungen.
Wie viele KPIs und KRIs sind sinnvoll?
Für die Geschäftsleitung höchstens zehn Kennzahlen, davon etwa die Hälfte KRIs oder Frühindikatoren. Weitere Kennzahlen gehören in die Bereichsberichte.
Woher kommen die Schwellenwerte für KRIs?
Aus dem Risikoappetit: Wie viel Risiko will dein Unternehmen bewusst tragen? Für Institute ist die Festlegung des Risikoappetits für alle wesentlichen Risiken nach MaRisk AT 4.2 Tz. 2 Pflicht.
Sind KRIs gesetzlich vorgeschrieben?
Nicht allgemein. Die Pflicht zur Krisenfrüherkennung nach § 1 Abs. 1 StaRUG, die Wirksamkeitsbewertung nach § 30 Abs. 2 Satz 2 Nr. 6 BSIG für NIS2-Einrichtungen und die MaRisk für Institute lassen sich ohne Indikatoren aber kaum erfüllen.
Welche KRIs sind 2026 besonders wichtig?
Indikatoren zu Cybervorfällen, Betriebsunterbrechungen, regulatorischen Änderungen und Künstlicher Intelligenz. Diese vier Risiken belegen im Allianz Risk Barometer 2026 in Deutschland die ersten vier Plätze.
Quellenverzeichnis
Primärquellen zuerst. Alle verlinkten Quellen sind amtliche Stellen, abgerufen am 16.10.2026.
- BSI: NIS-2 – Bewertung der Wirksamkeit von Maßnahmen – Kennzahlen zur Wirksamkeitsbewertung nach § 30 BSIG, etwa Patch-Quote und Reaktionszeiten.
- BaFin: MaRisk 10.0, Rundschreiben 06/2026 (BA) – Risikoappetit (AT 4.2), Frühwarnindikatoren (AT 4.3.2, BTO 1.3.1), Modelle und KI (AT 4.3.4).
- EUR-Lex: Verordnung (EU) 2026/338 (IFRS 18) – Rechtsgrundlage für IFRS 18 ab Geschäftsjahren ab 01.01.2027.
- ESMA: Public Statement zu IFRS 18, Februar 2026 (PDF) – Angaben zu Management-defined Performance Measures und Überleitung.
- EUR-Lex: Delegierte Verordnung (EU) 2026/1563 – Überarbeitete ESRS, verbindlich ab Geschäftsjahr 2027.
- EUR-Lex: Richtlinie (EU) 2023/970 – Entgelttransparenz; Entgeltberichte ab 150 Beschäftigten, Art. 9.
- AI Act Service Desk der EU-Kommission: Art. 4 KI-VO – Pflicht zur KI-Kompetenz.
- AI Act Service Desk der EU-Kommission: Anhang III KI-VO – Hochrisiko-Anwendungen, Nr. 4: Beschäftigung und Leistungsbewertung.
Gesetzestexte des Bundes: § 289 HGB, § 1 StaRUG, §§ 87 und 91 AktG, § 30 BSIG und § 26d KWG sind in der jeweils geltenden Fassung über das Portal gesetze-im-internet.de des Bundesministeriums der Justiz abrufbar.
Studien: Die Angaben zur Risikolage stammen aus dem Allianz Risk Barometer 2026, die Angaben zu KI-Vorfällen aus dem IBM Cost of a Data Breach Report 2025 und die Angaben zu KI in der Planung aus dem BARC Planning Survey 26. Es handelt sich um keine amtlichen Quellen; sie werden deshalb nicht verlinkt.
Verwandte Leistungen und Programme
Wenn du die Methoden aus diesem Beitrag im Team verankern willst, findest du hier passende Seminare und Lehrgänge. Die aktuellen Termine stehen unter Seminartermine.
Seminare für Risikomanager
Risikoinventur, Indikatoren und Frühwarnsysteme in die Praxis bringen.
Planung, Reporting, Kennzahlen
Vom Zielsystem zum Berichtswesen mit klaren Schwellenwerten.
Lehrgang CFO
Steuerung, Finanzen und Verantwortung der Finanzführung.
Lehrgang COO
Operative Steuerung mit Kennzahlen und Frühindikatoren.
Seminare DORA und NIS-2
Wirksamkeitsbewertung und Anforderungen der Informationssicherheit.
Weiterführend bei S+P
- Mit KPIs zum Erfolg, mit KRIs Risiken beherrschen
- Anforderungen an ein Kennzahlensystem
- Die Zukunft des Controllings mit KI
- KPIs für CEO, CFO, COO und CRO
- CFO-KPIs
- KPI Power
- KPIs im Griff
- Aktiv steuern: das Unternehmen auf Kurs halten
- Was ist die Balanced Scorecard?
- Krisenmanagement und Resilienz
- NIS2, DORA und CRA
- Seminar: Mit Kennzahlen das Unternehmen steuern
- Digitale Transformation
- Was ist DEI?
Fehlen intern die Kapazitäten, die Kennzahlen- und Risikosteuerung selbst aufzubauen, unterstützt S+P Compliance bei der Umsetzung. Mehr dazu auf sp-compliance.com.
Über den Autor
Achim Schulz
Geschäftsführer S+P Compliance & S+P Unternehmerforum · langjährige Vorstands- & Geschäftsführungserfahrung
Achim Schulz kennt die Führungsebene aus eigener Verantwortung – langjährig als Vorstand bei Banken und Geschäftsführer sowie als Interim-Manager in Industrieunternehmen. Diese Doppelperspektive aus Finanzsektor und Realwirtschaft prägt seine Beiträge für CEO, COO und CFO. Er kennt das Zusammenspiel von Geschäftsleitung, Aufsichtsrat und Gesellschaftern aus der Praxis und übersetzt strategische wie aufsichtsrechtliche Anforderungen in umsetzbare, haftungssichere Führungsentscheidungen – praxisnah und auf Augenhöhe mit dem Management.
LinkedIn-Profil → · Redaktion & Experten →Seminare & Lehrgänge
Plattform & Methodik
Über S+P
