Startseite Seminare News Risiken im Projekt steuern: Risikoprozess, Register und Pflichten
Fachbeitrag · Projektmanagement

Risiken im Projekt steuern: Risikoprozess, Register und Pflichten

Wer Risiken im Projekt steuern will, braucht mehr als eine Checkliste: einen Prozess, ein gepflegtes Risikoregister, begründete Reserven und Kennzahlen, die früh warnen. Dieser Leitfaden zeigt dir, wie du Projektrisiken erkennst, bewertest, steuerst und berichtest – und welche Pflichten für Unternehmen und für BaFin-beaufsichtigte Institute hinzukommen.

Rechtsstand: Oktober 2026 · Lesezeit: 15 Minuten · Autor: Achim Schulz

Management Summary

Jedes Projekt trägt das Risiko, Termine zu überziehen, das Budget zu sprengen oder die Qualitätsziele zu verfehlen. Entscheidend ist nicht, ob Risiken auftreten, sondern wie früh du sie erkennst und ob du auf sie vorbereitet bist.

Die Maßstäbe haben sich verschoben: Der PMBOK Guide in der 8. Auflage (erschienen im November 2025) behandelt Risiko als eigene Performance Domain und betont Resilienz statt eines einmal erstellten Risikoplans. ISO 31000:2018 bleibt der geltende Rahmen für das Risikomanagement; eine Überarbeitung ist in Arbeit, ein Veröffentlichungstermin ist nicht bekannt.

Für Banken, Versicherer und Wertpapierinstitute kommen verbindliche Anforderungen hinzu: Die 10. MaRisk (Rundschreiben 06/2026 (BA), seit Juni 2026 in Kraft) verlangt nach AT 8.2 Tz. 1 vor wesentlichen Veränderungen eine Auswirkungsanalyse unter Einbezug von Risikocontrolling, Compliance und Interner Revision. Für neue Anforderungen gilt eine Übergangsfrist bis zum Jahreswechsel 2026/2027. DORA verlangt für IKT-Änderungen ein dokumentiertes Änderungsmanagement.

Für alle Unternehmen gilt unabhängig von der Branche § 1 StaRUG: Die Geschäftsleitung muss Entwicklungen überwachen, die den Fortbestand gefährden können. Große Projekte mit Bestandsrelevanz gehören in diese Krisenfrüherkennung.

Sachverhalt: Projektrisiko und Risikoprozess

Ein Projektrisiko ist ein ungewisses Ereignis oder ein ungewisser Zustand, der bei Eintritt Auswirkungen auf die Projektziele hat. Diese Auswirkungen können negativ (Bedrohung) oder positiv (Chance) sein. Moderne Standards betrachten deshalb beide Seiten.

Risiko, Problem und Annahme unterscheiden

  • Risiko: noch nicht eingetreten, mit einer Eintrittswahrscheinlichkeit.
  • Problem (Issue): bereits eingetreten und muss gelöst werden.
  • Annahme: als gegeben unterstellt, aber ungeprüft – häufig eine verdeckte Risikoquelle.

Praxis-Tipp: Führe Risiken, Probleme und Annahmen in getrennten Listen. Ein Risikoregister voller eingetretener Probleme verliert seine Frühwarnfunktion.

Der Risikoprozess in sechs Schritten

Der Ablauf orientiert sich an ISO 31000:2018 und am Risikoverständnis des PMBOK Guide in der 8. Auflage.

1

Risikomanagement planen

Methode, Rollen, Bewertungsskalen, Risikotoleranz und Berichtsrhythmus festlegen.

2

Risiken identifizieren

Workshops, Checklisten, Lessons Learned, Expertengespräche und Annahmenanalyse.

3

Qualitativ bewerten

Eintrittswahrscheinlichkeit und Auswirkung auf einer festen Skala, Einordnung in eine Risikomatrix.

4

Quantitativ bewerten

Bei großen Projekten: Erwartungswerte, Szenarien, Monte-Carlo-Simulation für Termine und Kosten.

5

Maßnahmen planen und umsetzen

Strategie wählen, Verantwortliche und Termine festlegen.

6

Überwachen und berichten

Risiken regelmäßig neu bewerten, Frühwarnindikatoren verfolgen, den Lenkungsausschuss informieren.

Welche Standards gelten – und welche nicht

ISO 31000:2018 beschreibt Leitlinien für das Risikomanagement, ISO 31010:2019 Bewertungstechniken, ISO 21502:2020 das Projektmanagement. Hinzu kommen der PMBOK Guide und PRINCE2 7. Diese Standards sind keine Rechtsnormen, sondern beschreiben anerkannte Praxis. Rechtlich verbindlich sind erst die Pflichten aus Abschnitt „Pflichten nach Funktion“.

Die sechs Risikofelder im Check

Eine Prüfung nach Risikofeldern verhindert, dass du nur die Risiken siehst, die dir ohnehin vertraut sind. Jedes Feld hat typische Risiken und ein Frühwarnsignal, das du messen kannst.

RisikofeldTypische RisikenFrühwarnsignal
ProjektteamAusfall von Schlüsselpersonen, fehlendes Fachwissen, geringe Verfügbarkeit neben dem Tagesgeschäft, Konflikte, unklare RollenGeleistete gegenüber zugesagten Stunden, Fluktuation, Eskalationen
ProjektumfeldUnternehmenskrisen, konkurrierende Ziele, fehlende Unterstützung des Managements, Umorganisationen, fehlende AkzeptanzAbsagen im Lenkungsausschuss, Prioritätswechsel
ProjektplanungUnklare Ziele, zu optimistischer Zeitplan, vergessene Aktivitäten, Interpretationsspielräume, ungeprüfte Übertragung von ErfahrungenPlanänderungsquote, Anteil ungeplanter Arbeitspakete
ProjektdurchführungUngeeignete Organisationsform, Abhängigkeiten von anderen Projekten, unpriorisierte Änderungswünsche, verschleppte Kommunikation, lange LaufzeitOffene Änderungsanträge, Meilensteinverzug
TechnikNeue, wenig erprobte Technologien, fehlendes Know-how, unklare Machbarkeit, nicht verfügbare oder ungeeignete Werkzeuge und TestumgebungenFehlerrate in Tests, Verzug bei Umgebungen
Kaufmännisches und VerträgeWechselnde Ansprechpartner beim Kunden, unklare Leistungsbeschreibungen, unzuverlässige Lieferanten und SubunternehmerNachtragsforderungen, Lieferverzug, Abweichung beim Cost Performance Index

Praxis-Tipp: Ergänze 2026 zwei Felder, die klassische Checklisten oft übersehen: Regulatorik (neue Pflichten während der Laufzeit) und KI-Einsatz im Projekt (Datenqualität, Nachvollziehbarkeit, Datenschutz).

Risiken bewerten und Reserven bilden: vom Bauchgefühl zur Zahl

Qualitativ bewerten

Eine 5×5-Matrix mit beschriebenen Stufen reicht für die meisten Projekte. Entscheidend ist, dass jede Stufe definiert ist, etwa „Auswirkung 4 = Verzug über zwei Monate oder Mehrkosten über 10 Prozent“.

Quantitativ bewerten

  • Erwartungswert = Eintrittswahrscheinlichkeit × Schadenshöhe. Beispiel: 30 Prozent × 200.000 Euro = 60.000 Euro.
  • Risikoreserve (Contingency Reserve): Die Summe der Erwartungswerte der Risiken, die du bewusst mit Reserve trägst, ist die Grundlage für diese Reserve im Projektbudget.
  • Managementreserve: Für unbekannte Risiken hält der Auftraggeber eine Managementreserve vor. Sie liegt außerhalb der Kostenbasislinie des Projekts und wird vom Auftraggeber freigegeben.
  • Monte-Carlo-Simulation: Bei großen Vorhaben zeigt sie, mit welcher Wahrscheinlichkeit ein Termin oder Budget gehalten wird (zum Beispiel P80).

Praxis-Tipp: Plane Termine und Budgets nicht auf den wahrscheinlichsten Wert, sondern auf ein festgelegtes Sicherheitsniveau – und lege offen, welches.

Risiken im Projekt steuern: Strategien und Risikoregister

Für Bedrohungen und Chancen gibt es jeweils eigene Reaktionsstrategien.

BedrohungenChancen
Vermeiden – Ursache beseitigen, etwa Verzicht auf unerprobte TechnikNutzen – Eintritt sicherstellen
Mindern – Wahrscheinlichkeit oder Auswirkung senken, etwa Prototyp oder DoppelbesetzungVerstärken – Wahrscheinlichkeit oder Wirkung erhöhen
Übertragen – auf Dritte verlagern, etwa Vertragsstrafe, Versicherung, FestpreisTeilen – mit Partnern gemeinsam heben
Akzeptieren – bewusst tragen, aktiv mit Reserve oder passivAkzeptieren – Chance mitnehmen, wenn sie eintritt
Eskalieren – wenn außerhalb der ProjektbefugnisEskalieren – wenn außerhalb der Projektbefugnis

Jede Maßnahme braucht einen Risikoeigner, einen Termin und ein Kriterium, wann sie als wirksam gilt. Eine übertragene Gefahr ist nicht verschwunden – prüfe Bonität und Leistungsfähigkeit des Vertragspartners.

Das Risikoregister: Mindestinhalte

  • Risiko-ID und Beschreibung nach dem Muster „Ursache – Ereignis – Auswirkung“
  • Risikofeld und betroffene Ziele (Termin, Kosten, Qualität, Nutzen)
  • Eintrittswahrscheinlichkeit, Auswirkung, Risikowert, gegebenenfalls Erwartungswert
  • Risikoeigner
  • Strategie, Maßnahmen, Termin, Status
  • Frühwarnindikator mit Schwellenwert
  • Restrisiko nach Maßnahmen
  • Datum der letzten Bewertung

Praxis-Tipp: Begrenze die Berichterstattung an den Lenkungsausschuss auf die zehn größten Risiken und alle Risiken über der vereinbarten Toleranz.

Frühwarnindikatoren und Entscheidungen unter Risiko

Kennzahlen, die früh warnen

  • Termintreue: Meilenstein-Trendanalyse, Schedule Performance Index (SPI)
  • Kostentreue: Cost Performance Index (CPI) aus der Earned-Value-Analyse, Verbrauch der Risikoreserve
  • Umfang: Zahl und Volumen offener Änderungsanträge
  • Team: Verfügbarkeitsquote, Fluktuation
  • Qualität: Fehlerquote in Tests, Abnahmequote

Entscheiden unter Risiko: sieben Fragen

  1. Problem bestimmen: Was sind Meinungen, was sind Tatsachen? Worin besteht das eigentliche Problem?
  2. Anforderungen definieren: Was muss die Entscheidung mindestens erreichen?
  3. Alternativen entwickeln: Welche Lösungsoptionen gibt es?
  4. Risiken durchdenken: Welche Risiken hat jede Alternative? Wie lange bindest du dich? Wie reversibel ist die Entscheidung?
  5. Rote Linien festlegen: Unter welchen Bedingungen ist neu zu entscheiden – oder das Projekt zu stoppen?
  6. Entschluss fassen: Wer entscheidet, wie und auf welcher Informationsgrundlage?
  7. Umsetzung starten: Welche Maßnahmen sind kritisch, wer verantwortet sie, bis wann?

Für Vorstände einer Aktiengesellschaft unterstützt eine so dokumentierte Entscheidung den Nachweis einer informierten Entscheidung im Sinne der Business Judgment Rule (§ 93 Abs. 1 Satz 2 AktG). Weitere Voraussetzungen dieser Vorschrift, etwa das Fehlen von Interessenkonflikten, bleiben davon unberührt.

Fristen und Zeitpunkte

Die Zeitpunkte sind monatsgenau angegeben. Prüfe vor Projektstart, ob für dein Haus eine Übergangsregelung greift.

ZeitpunktEreignisBedeutung für Projekte
Seit Januar 2025DORA gilt für FinanzunternehmenIKT-Änderungen unterliegen einem dokumentierten Änderungsmanagement.
November 2025PMBOK Guide 8. Auflage erscheint (digital)Risiko ist eine eigene Performance Domain; Resilienz rückt in den Mittelpunkt.
Seit Juni 202610. MaRisk, Rundschreiben 06/2026 (BA)Auswirkungsanalyse vor wesentlichen Veränderungen nach AT 8.2 Tz. 1.
Bis Jahreswechsel 2026/2027Übergangsfrist der MaRisk für neue AnforderungenProjekte, die jetzt starten, sollten die neuen Anforderungen bereits einplanen.
OffenÜberarbeitung von ISO 31000Kein Veröffentlichungstermin bekannt; ISO 31000:2018 bleibt maßgeblich.
Laufend§ 1 StaRUG, § 91 AktG, § 93 AktGPflichten der Geschäftsleitung gelten unabhängig von einzelnen Projekten.

Pflichten nach Funktion

Die Pflichten gehen über die Methodik hinaus. Welche für dich gelten, hängt von Rechtsform, Branche und Aufsichtsstatus ab.

AT 8.2 Tz. 1 MaRisk: „Vor wesentlichen Veränderungen in der Aufbau- und Ablauforganisation sowie in den IKT-Systemen muss das Institut die Auswirkungen der geplanten Veränderungen auf die Kontrollverfahren und die Kontrollintensität analysieren.“

Geschäftsleitung und Vorstand

  • § 1 StaRUG: Die Geschäftsleitung muss fortlaufend Entwicklungen überwachen, die den Fortbestand gefährden können. Große Projekte mit Bestandsrelevanz gehören in diese Krisenfrüherkennung.
  • § 91 Abs. 2 AktG: Früherkennungssystem für bestandsgefährdende Entwicklungen. Bei börsennotierten Gesellschaften kommt ein angemessenes und wirksames internes Kontroll- und Risikomanagementsystem hinzu (§ 91 Abs. 3 AktG).
  • § 93 Abs. 1 Satz 2 AktG: Business Judgment Rule als Maßstab für informierte Entscheidungen.

Projektleitung und Auftraggeber

  • Ein eigenes Gesetz zum Projektrisikomanagement gibt es nicht; ISO 31000, ISO 21502, PMBOK Guide und PRINCE2 beschreiben anerkannte Praxis.
  • Die Projektleitung steuert den Prozess, jedes Risiko hat einen benannten Risikoeigner. Risiken außerhalb der Projektbefugnis eskaliert sie an den Auftraggeber.
  • Bei Instituten klärt der Projektauftrag, ob eine wesentliche Veränderung nach AT 8.2 MaRisk vorliegt.

Risikocontrolling, Compliance und Interne Revision (Institute)

  • AT 8.2 Tz. 1 MaRisk verlangt die Analyse der Auswirkungen auf Kontrollverfahren und Kontrollintensität; einzubeziehen sind die später betroffenen Organisationseinheiten sowie Risikocontrolling-Funktion, Compliance-Funktion und Interne Revision.
  • AT 4.4.3 Tz. 1 MaRisk: Die Interne Revision hat ein uneingeschränktes Informations- und Zugriffsrecht, ausdrücklich auch bei der Begleitung wesentlicher Projekte.
  • AT 8.1 MaRisk: Neue Produkte, Märkte und Vertriebswege durchlaufen den Neu-Produkt-Prozess.

IKT-Verantwortliche (Finanzunternehmen)

  • Art. 9 Abs. 4 Buchst. e DORA und Art. 17 Delegierte Verordnung (EU) 2024/1774: IKT-Änderungen unterliegen einem dokumentierten Änderungsmanagement.
  • Dazu gehören Risikobewertung, Test, Freigabe und Notfallverfahren.
  • Der genaue Pflichtenumfang hängt davon ab, welcher Regelungsrahmen für dein Unternehmen gilt.

Praxis-Tipp: Lege im Projektauftrag fest, ob eine „wesentliche Veränderung“ nach AT 8.2 MaRisk vorliegt. Die Auswirkungsanalyse ist dann ein Pflicht-Meilenstein vor dem Go-live.

Pain Points mit Normbezug

Diese sechs Konstellationen treten in der Projektpraxis immer wieder auf. Die Spalte „Normbezug“ zeigt, wo die Anforderung herkommt.

Pain PointNormbezugTypischer Befund
Keine Auswirkungsanalyse vor dem Go-liveAT 8.2 Tz. 1 MaRiskAnalyse fehlt oder entsteht erst nach Projektabschluss; Risikocontrolling, Compliance und Revision wurden nicht beteiligt.
Revision erfährt spät vom ProjektAT 4.4.3 Tz. 1 MaRiskProjekt ist der Internen Revision nicht gemeldet, ihr Zugriffsrecht auf Projektunterlagen wird nicht berücksichtigt.
IKT-Änderung ohne dokumentierte FreigabeArt. 9 Abs. 4 Buchst. e DORARisikobewertung, Test oder Notfallverfahren sind nicht nachvollziehbar dokumentiert.
Bestandsrelevantes Projekt fehlt in der Krisenfrüherkennung§ 1 StaRUG, § 91 Abs. 2 AktGProjektrisiken werden nur im Projekt geführt und nicht an die Geschäftsleitung berichtet.
Entscheidung ohne Dokumentation§ 93 Abs. 1 Satz 2 AktGAlternativen, Risiken und Informationsgrundlage lassen sich später nicht belegen.
Ungeprüfte Annahmen im PlanISO 31000:2018 (Standard, keine Rechtsnorm)Annahmen stehen im Projektplan, nicht im Risikoregister, und werden nie neu bewertet.

Quick-Check: Wo stehst du bei der Risikosteuerung?

Wähle je Aussage, wie gut sie für dein Projekt zutrifft. Die Empfehlung erscheint direkt darunter. Die Auswahl wird nicht gespeichert; der Check funktioniert ohne Skript und per Tastatur.

1. Dein Risikomanagementplan mit Skalen, Toleranz und Berichtsrhythmus ist freigegeben.

Erfüllt: Prüfe jährlich oder bei Methodenwechsel, ob die Skalen noch zur Projektgröße passen.

Teilweise: Ergänze die fehlenden Stufendefinitionen und die Risikotoleranz, bevor du das nächste Risiko bewertest.

Offen: Starte mit einer 5×5-Matrix und beschriebenen Stufen; hole die Freigabe des Auftraggebers ein.

2. Jedes Risiko im Register hat einen benannten Eigner und einen Frühwarnindikator mit Schwellenwert.

Erfüllt: Halte das Datum der letzten Bewertung aktuell und prüfe, ob Schwellenwerte noch greifen.

Teilweise: Ergänze Eigner und Indikatoren zuerst für die zehn größten Risiken.

Offen: Trenne Risiken, Probleme und Annahmen und lege das Register nach dem Muster Ursache – Ereignis – Auswirkung neu an.

3. Deine Risikoreserve ist aus Erwartungswerten abgeleitet, die Managementreserve ist mit dem Auftraggeber geklärt.

Erfüllt: Lege das gewählte Sicherheitsniveau offen, zum Beispiel P80.

Teilweise: Leite die Reserve aus den Erwartungswerten der aktiv getragenen Risiken ab und kläre die Managementreserve.

Offen: Berechne Erwartungswerte für die größten Risiken und stimme Reserve und Sicherheitsniveau mit dem Auftraggeber ab.

4. Der Lenkungsausschuss erhält die Top-Risiken und alle Risiken über der Toleranz in festem Rhythmus.

Erfüllt: Prüfe, ob die Berichte Entscheidungen auslösen und nicht nur informieren.

Teilweise: Vereinbare einen festen Rhythmus und die Schwelle, ab der berichtet wird.

Offen: Führe einen einseitigen Risikobericht mit den zehn größten Risiken ein.

5. Rote Linien und Abbruchkriterien sind festgelegt und dokumentiert.

Erfüllt: Überprüfe die Kriterien bei jeder wesentlichen Änderung des Projektumfangs.

Teilweise: Formuliere messbare Schwellen, ab denen neu entschieden oder gestoppt wird.

Offen: Beantworte die Frage „Unter welchen Bedingungen stoppen wir?“ mit dem Auftraggeber, bevor das nächste Budget freigegeben wird.

6. Nur für Institute: Die Auswirkungsanalyse nach AT 8.2 MaRisk ist als Meilenstein geplant, das IKT-Änderungsmanagement nach DORA ist angebunden.

Erfüllt: Halte die Beteiligung von Risikocontrolling, Compliance und Revision im Projektplan nachvollziehbar fest.

Teilweise: Plane die fehlenden Beteiligten und die Dokumentation ein, bevor das Go-live terminiert wird.

Offen: Klärung im Projektauftrag nachholen, ob eine wesentliche Veränderung vorliegt, und die Analyse als Pflicht-Meilenstein vor dem Go-live eintragen.

No-Regret-Maßnahmen: sechs Schritte, die sich immer lohnen

Diese Maßnahmen zahlen sich unabhängig davon aus, welche Risiken später eintreten.

1

Plan und Toleranz freigeben

Skalen, Rollen, Berichtsrhythmus und Risikotoleranz mit dem Auftraggeber abstimmen, bevor das erste Risiko bewertet wird.

2

Register sauber führen

Risiken, Probleme und Annahmen trennen; jedes Risiko mit Eigner, Termin und Frühwarnindikator versehen.

3

Reserven begründen

Risikoreserve aus Erwartungswerten ableiten, Sicherheitsniveau offenlegen, Managementreserve mit dem Auftraggeber klären.

4

Regulatorik und KI aufnehmen

Beide Felder zusätzlich zu den sechs klassischen Risikofeldern prüfen, vor allem bei Projekten mit langer Laufzeit.

5

Rote Linien festschreiben

Abbruchkriterien im Projektauftrag verankern, damit Entscheidungen nachvollziehbar bleiben.

6

Auswirkungsanalyse einplanen

Bei Instituten die Analyse nach AT 8.2 MaRisk und das IKT-Änderungsmanagement nach DORA als Pflicht-Meilensteine vor dem Go-live terminieren.

Fazit: Risiken im Projekt steuern heißt Prozess, Register und Verantwortung

Risiken im Projekt steuern bedeutet, Risiken früh zu erkennen, nachvollziehbar zu bewerten und mit klaren Verantwortlichkeiten zu steuern. Der Risikoprozess nach ISO 31000 und PMBOK Guide liefert dafür die Methode, das Risikoregister das Arbeitsinstrument, die Reserven den Puffer.

  • Trenne Risiken, Probleme und Annahmen, damit das Register seine Frühwarnfunktion behält.
  • Bewerte qualitativ mit definierten Stufen und quantitativ dort, wo das Projekt es rechtfertigt.
  • Leite Reserven aus Erwartungswerten ab und lege das Sicherheitsniveau offen.
  • Berichte an den Lenkungsausschuss nur die größten Risiken und die Risiken über der Toleranz.
  • Prüfe, welche Pflichten für dein Unternehmen gelten: § 1 StaRUG für alle, MaRisk und DORA für Finanzunternehmen.

Dieser Beitrag ersetzt keine Rechtsberatung.

Häufige Fragen zu Projektrisiken

Wie oft sollte ich Risiken neu bewerten?+−

Mindestens zu jedem Meilenstein und bei jeder wesentlichen Änderung, in agilen Projekten in jedem Planungszyklus.

Wer ist für Projektrisiken verantwortlich?+−

Die Projektleitung steuert den Prozess, jedes einzelne Risiko hat einen benannten Risikoeigner. Risiken außerhalb der Projektbefugnis eskaliert die Projektleitung an den Auftraggeber.

Brauche ich eine Monte-Carlo-Simulation?+−

Nur bei großen oder kritischen Vorhaben. Für die meisten Projekte genügen eine definierte Matrix und Erwartungswerte.

Was ändert der PMBOK Guide in der 8. Auflage?+−

Er bündelt das Projektmanagement in sieben Performance Domains, darunter Risiko, und betont Resilienz sowie die gleichrangige Betrachtung von Chancen.

Was ist der Unterschied zwischen Risikoreserve und Managementreserve?+−

Die Risikoreserve deckt identifizierte Risiken ab und wird aus Erwartungswerten abgeleitet. Die Managementreserve deckt unbekannte Risiken ab, liegt außerhalb der Kostenbasislinie und wird vom Auftraggeber freigegeben.

Müssen Unternehmen außerhalb des Finanzsektors Projektrisiken formal steuern?+−

Ein eigenes Gesetz zum Projektrisikomanagement gibt es nicht. § 1 StaRUG verpflichtet die Geschäftsleitung jedoch rechtsformübergreifend zur Krisenfrüherkennung, § 91 Abs. 2 AktG betrifft Aktiengesellschaften. Große Projekte mit Bestandsrelevanz gehören in diese Überwachung.

Quellenverzeichnis

Verlinkt sind ausschließlich amtliche Quellen: EU-Rechtsakte, Gesetzestexte des Bundes und die Aufsichtsbehörde. Alle Angaben zum Rechtsstand beziehen sich auf Oktober 2026.

  1. Verordnung (EU) 2022/2554 (DORA) – Art. 9 Abs. 4 Buchst. e: IKT-Änderungsmanagement.
  2. Delegierte Verordnung (EU) 2024/1774 – Regulierungsstandards zum IKT-Risikomanagementrahmen, Art. 17: IKT-Änderungsmanagement.
  3. § 1 StaRUG – Krisenfrüherkennung und Krisenmanagement der Geschäftsleitung.
  4. § 91 AktG – Früherkennungssystem (Abs. 2), internes Kontroll- und Risikomanagementsystem bei börsennotierten Gesellschaften (Abs. 3).
  5. § 93 AktG – Sorgfaltspflicht und Business Judgment Rule (Abs. 1 Satz 2).
  6. BaFin: Rundschreiben 06/2026 (BA), MaRisk – AT 8.1, AT 8.2 Tz. 1 und AT 4.4.3 Tz. 1 der 10. MaRisk.

Die genannten Standards (ISO 31000:2018, ISO 31010:2019, ISO 21502:2020, PMBOK Guide 8. Auflage, PRINCE2 7) sind keine amtlichen Quellen und werden deshalb nicht verlinkt.

Verwandte Leistungen und Programme

Fehlen im Unternehmen Kapazitäten für die Compliance-Funktion oder die projektbegleitende Prüfung, kann S+P Compliance die Umsetzung als Dienstleistung übernehmen. Der fachliche Teil dieses Beitrags bleibt davon unberührt.

Seminare Aufsichtsrecht

Anforderungen der MaRisk für Institute, die Projekte mit wesentlichen Veränderungen führen.

risiken-im-projekt-steuern
Achim Schulz
Über den Autor

Achim Schulz

Geschäftsführer S+P Compliance & S+P Unternehmerforum · langjährige Vorstands- & Geschäftsführungserfahrung

Achim Schulz kennt die Führungsebene aus eigener Verantwortung – langjährig als Vorstand bei Banken und Geschäftsführer sowie als Interim-Manager in Industrieunternehmen. Diese Doppelperspektive aus Finanzsektor und Realwirtschaft prägt seine Beiträge für CEO, COO und CFO. Er kennt das Zusammenspiel von Geschäftsleitung, Aufsichtsrat und Gesellschaftern aus der Praxis und übersetzt strategische wie aufsichtsrechtliche Anforderungen in umsetzbare, haftungssichere Führungsentscheidungen – praxisnah und auf Augenhöhe mit dem Management.

LinkedIn-Profil → · Redaktion & Experten →

Seminare & Lehrgänge

Plattform & Methodik

Über S+P

ISO9001
ecovadis

Service & Kontakt

Board & Management

Compliance & Aufsicht

Führung & Leadership

Finance & Performance

S&P Unternehmerforum GmbH 809 Bewertungen auf ProvenExpert.com