The Next Level CRO: Die Führungsrolle der Risikofunktion im disruptiven Zeitalter der KI

Künstliche Intelligenz (KI) entwickelt sich zu einem strukturellen Bestandteil moderner Banksteuerung. Sie steigert Geschwindigkeit, Skalierbarkeit sowie Kosten‑ und Prozesseffizienz, verändert jedoch zugleich Entstehung, Kopplung, Steuerbarkeit und Verantwortlichkeit bestehender finanzieller und nichtfinanzieller Risiken. Vor diesem Hintergrund gewinnt die CRO‑Funktion deutlich an strategischer Bedeutung und wird zur zentralen Integrationsinstanz. Das Paper argumentiert, dass KI keine neuen Risikoarten schafft, sondern den Kern des Risikomanagements erweitert.

Erforderlich ist kein paralleles KI‑Framework, sondern eine systematische Einbettung in bestehende Steuerungs‑, Governance‑ und Kontrollstrukturen. Der CRO übernimmt dabei eine architektonische Führungsrolle: Er/Sie gestaltet robuste Entscheidungsarchitekturen, ermöglicht Geschwindigkeit durch klare Leitplanken und sichert Vertrauen gegenüber Aufsicht, Kund:innen und Kapitalmärkten.

Auf dieser Basis entwickelt das Paper einen integrierten Blueprint zur Einbettung von KI in das bankweite Risikomanagement und leitet Implikationen für Rolle, Arbeitsweise und Organisation vom CRO bis 2030-35 ab.

1. Einführung

1.1 Kontext und Problemstellung

Künstliche Intelligenz  wird derzeit mit hoher Geschwindigkeit in Banken implementiert und durchdringt zunehmend strategische, operative und steuerungsrelevante Funktionen. Institute nutzen KI, um Entscheidungsprozesse zu beschleunigen, Kosten- und Prozesseffizienz zu steigern und große, heterogene Datenbestände systematischer für Geschäfts- und Risikosteuerung zu erschließen. Insbesondere in kreditnahen Entscheidungsprozessen, im Kundenservice, in Treasury-Funktionen sowie in Analyse- und Kontrollprozessen ermöglicht KI eine höhere Skalierbarkeit, Konsistenz und Reaktionsfähigkeit von Organisationen.

Diese Effizienz- und Produktivitätspotenziale machen KI zu einem zentralen Hebel der Wettbewerbsfähigkeit im Bankensektor. Zugleich erlaubt sie eine feinere Segmentierung von Risiken, eine dynamischere Allokation von Ressourcen und eine engere Verzahnung von Geschäfts- und Risikoperspektiven. Gerade vor dem Hintergrund steigender regulatorischer, technologischer, ökonomischer und geopolitischer Komplexität wird KI damit zu einem strukturellen Bestandteil moderner Banksteuerung.

Vor diesem Hintergrund markiert die Diffusion von KI im Bankensektor eine Zäsur, die über inkrementelle Prozessoptimierungen hinausreicht. KI wirkt als orthogonale bzw. querliegende Risikodimension: Sie greift nicht nur in einzelne Modelle oder Abläufe ein, sondern rekonfiguriert Entscheidungslogiken, Governance-Architektur und Wettbewerbsmechanik von Instituten. In dieser Doppelfunktion – als Multiplikator etablierter Risikoarten (Kredit-, Markt- sowie nichtfinanzielle Risiken) und als Verstärker exogener Schocks – entstehen Risikoprofile, die wesentlich durch Modellabhängigkeiten, Datenrisiken und Konzentrationen in Technologie-Ökosystemen geprägt sind und Verlustrisiken daraus resultieren.

Parallel dazu verschiebt sich die Markt- und Wettbewerbsarchitektur. Wertschöpfung verlagert sich in Plattform- und Ökosystemstrukturen, in denen Kreditentscheidungen, Zahlungen und Finanzierungen in hochgradig integrierte digitale Journeys eingebettet sind. Wettbewerb wird weniger über einzelne Produkte als über die Fähigkeit zur konsistenten, skalierbaren Steuerung komplexer Entscheidungsprozesse ausgeübt. Geschwindigkeit – in Datenerhebung, Modelladaption und Entscheidungsdurchsatz – wird zur strategischen Variable; sie erzeugt jedoch synchronisierte Fehlermodi, insbesondere wenn Institute auf ähnliche Datenpools, Modellfamilien und Infrastrukturen zurückgreifen und implizite Verzerrungen der Ausgangsdaten systematisch in Entscheidungen fortgeschrieben werden.

Diese Entwicklung stellt den Vertrauensanker des Bankgeschäfts vor neue Anforderungen. Wenn Entscheidungen zunehmend automatisiert und adaptiv getroffen werden, wird Vertrauen nicht mehr vorausgesetzt, sondern muss aktiv gestaltet, erklärt und geschützt werden. Die Fähigkeit, Geschwindigkeit, Effizienz und Innovation mit Fairness, Transparenz und Verlässlichkeit zu verbinden, wird damit zu einem zentralen Erfolgsfaktor moderner Banksteuerung. Entsprechend misst auch die europäische Bankenaufsicht dem Thema eine herausragende Bedeutung bei und definiert die wirksame Einbettung von Digital- und KI-bezogenen Strategien, Governance-Ansätzen und Risikomanagementstrukturen als zentrale Aufsichtspriorität für die kommenden drei Jahre.

Vor diesem Hintergrund erfährt die Risikofunktion eine strukturelle Aufwertung. Sie wird zur natürlichen Schnittstelle, an der technologische Möglichkeiten, geschäftliche Ambitionen sowie aufsichts- und gesellschaftliche Erwartungen zusammengeführt werden und Institute dabei unterstützt werden, die Potenziale von KI – insbesondere Kosten- und Prozesseffizienz – zu realisieren, ohne das Risikoprofil unangemessen zu erhöhen.

1.2 Implikationen für die Risikofunktion und die CRO-Rolle

Die zunehmende KI-Durchdringung verändert den Erwartungshorizont an die Risikofunktion grundlegend. Risiken entstehen nicht mehr primär aus einzelnen Geschäftsentscheidungen oder externen Schocks, sondern zunehmend aus der Gestaltung, Kopplung und Skalierung interner Entscheidungsarchitekturen. Damit verschiebt sich der Fokus der Risikofunktion von einer nachgelagerten Kontrollinstanz hin zu einer gestaltenden Steuerungsfunktion, die Geschäftsstrategie, Technologieeinsatz und Risikoappetit integrativ verbindet.

Die zentrale Führungsaufgabe vom CRO besteht darin, Verantwortung für diese neue Entscheidungsarchitektur zu übernehmen und Vertrauen als explizite Steuerungsgröße zu sichern. Governance entwickelt sich dabei als Rahmenwerk aus klar definierten Leitplanken: Der CRO übersetzt den Risikoappetit in operative Vorgaben, schafft Transparenz über Entscheidungslogiken und definiert konsistente Governance-Strukturen, innerhalb derer KI verantwortbar eingesetzt und skaliert werden kann. Ziel ist nicht Kontrolle im Einzelfall, sondern die Etablierung einer verlässlichen Entscheidungsumgebung, die Geschwindigkeit ermöglicht und zugleich Fairness, Nachvollziehbarkeit und aufsichtsrechtliche Konformität sicherstellt.

In dieser Rolle wird der/die CRO zur strategischen Integrator:in, die technologische Möglichkeiten, geschäftliche Ambitionen sowie aufsichts- und gesellschaftliche Erwartungen zusammenführt.

1.3 Transformation der Second Line of Defense: Rolle, Arbeitsweise und Effizienz

Die strategische Neupositionierung der Risikofunktion erfordert eine entsprechende Transformation der 2nd LoD. Klassische, stark ex post ausgerichtete Prüf- und Kontrollmechanismen sind für KI-gestützte, adaptive Entscheidungssysteme nur noch begrenzt geeignet. Wenn Risiken schneller entstehen, sich über System- und Prozessgrenzen hinweg fortpflanzen und exogene Schocks verstärken können, muss Risikosteuerung früher, kontinuierlicher und näher an der operativen Wertschöpfung ansetzen.

Eine enge Verzahnung zwischen 1st und 2nd LoD wird dabei zwingend erforderlich. Der/Die CRO ist in diesem Kontext als strategischer Sparringspartner insbesondere für CDO/ COO zu verstehen, um Risiko-, Daten- und Betriebslogiken kohärent auszurichten.

In diesem Kontext konkretisieren sich die vier zentralen Rollen des/der CRO

Operativ verschiebt sich die Rolle der 2nd LoD von der reinen Dokumenten- und Modellprüfung hin zu einer kontinuierlichen, end-to-end ausgerichteten System-Assurance über den gesamten Lebenszyklus von KI-Anwendungen. Risiko wird nicht mehr nachgelagert bewertet, sondern frühzeitig in Design-, Build-, Deployment- und Change-Prozesse integriert. Gleichzeitig verändern sich die Kooperationsmodelle zwischen First und Second Line: Die Risikofunktion entwickelt sich von einer kontrollierenden Instanz zu einem aktiven Enabler verantwortbarer Innovation.

Prozesseffizienz wird dabei auch innerhalb der Risikofunktion selbst zu einem Imperativ. Standardisierung, Automatisierung und risikobasierte Priorisierung sind Voraussetzungen dafür, dass sich die 2nd LoD auf wertschöpfende Aktivitäten konzentrieren und die notwendige Geschwindigkeit in der Reaktion auf neue Risiken gewährleisten kann.

2.  Das KI-Risikoframework – Blueprint zur Einbettung von KI in das bankweite Risikomanagement

Dieses Kapitel entwickelt keinen eigenständigen, parallelen KI-Rahmenwerk, sondern einen integrierten Blueprint zur systematischen Einbettung von KI in das bestehende bankweite Risikomanagement. Ausgangspunkt ist die Erkenntnis, dass KI ein transversales Risiko ist. Diese Perspektive vertritt auch die Europäischen Zentralbank und sieht die die transversale Einbettung von KI in Governance- und Risikomanagementstrukturen als zentrale Voraussetzung für Stabilität und Steuerungsfähigkeit des Finanzsektors.

Der Blueprint folgt einer klaren Struktur. Das bestehende Risikomanagementframework wird in drei zentrale Bestandteile zerlegt – (i) strategische Verankerung in Geschäftsstrategie und Risikoappetit, (ii) Steuerung entlang bestehender Risikoarten sowie (iii) Operating Model und Enabler – und jeweils um KI-spezifische Steuerungslogiken ergänzt. Ziel ist keine Parallelstruktur, sondern eine kohärente, prüfbare und entscheidungsfähige Weiterentwicklung bestehender Frameworks.

Der Blueprint folgt drei leitenden Prinzipien:
 • Build on existing frameworks: KI wird in bestehende Risikoarten, ICAAP/ILAAP-Prozesse sowie Governance- und Kontrollstrukturen integriert.
 • Risk-based proportionality: Die Steuerungsintensität richtet sich nach Materialität, Automatisierungsgrad und Wirkungstiefe von KI-Anwendungen.
 • End-to-end accountability and transparency: Klare Verantwortlichkeiten und Nachvollziehbarkeit über den gesamten Lebenszyklus KI-gestützter Entscheidungssysteme – von Datenquellen und Modellen bis hin zu agentischem Verhalten und menschlichen Eingriffen.

2.1 Strategische Verankerung von KI in Strategie und Risikoappetit

Die wirksame Steuerung von KI beginnt auf Vorstandsebene und in der expliziten Artikulation der Geschäftsstrategie. Der Einsatz von KI ist als bewusste Risiko- und Steuerungsentscheidung zu verstehen und entsprechend in Strategie, Risikoappetit und Mehrjahresplanung zu verankern. Zentrale Elemente sind die Priorisierung strategischer KI-Use-Cases entlang der Wertschöpfung, eine mehrjährige Szenariobetrachtung technologischer, regulatorischer und geschäftlicher Entwicklungen sowie ein expliziter KI-Risikoappetit, der Automatisierungsgrade, Fehlertoleranzen, Eingriffsrechte und nicht verhandelbare Leitplanken definiert.

Die KI-Verankerung schafft Orientierung für Investitionsentscheidungen, Governance-Ausgestaltung und operative Umsetzung und bildet die Grundlage für eine konsistente Skalierung KI-gestützter Entscheidungen im Einklang mit dem Risikoprofil des Instituts.

2.2 Erweiterung des Risikomanagement-Kerns:
Risikoarten × Steuerungskomponenten

Die Steuerung von KI erfolgt entlang bestehender Risikoarten. Die Innovation liegt nicht in der Taxonomie selbst, sondern in der systematischen Erweiterung klassischer Steuerungskomponenten um KI-spezifische Anforderungen. Der Blueprint folgt hierfür einer Matrixlogik, die Risikoarten mit zentralen Steuerungselementen verknüpft.

Risikoarten gem. der Institutseigenen Risikotaxonomie:
Kredit, Markt, Liquidität, Modell und operationelle Risiken sowie Reputation, Legal & Compliance, Cyber und Drittparteien, Data Privacy sowie HR-Risiken..

Steuerungselemente:

• Risk Identification: Systematische Erfassung von KI-Use-Cases, Automatisierungsgraden sowie Daten- und Modellabhängigkeiten.
• Materiality Assessment: Bewertung finanzieller, operationeller, reputativer und systemischer Auswirkungen einschließlich Konzentrationseffekten.
• Risk Appetite & Limits: Definition KI-spezifischer Leitplanken zu Automatisierungstiefe, Fehlertoleranzen sowie Eskalations- und Abschaltkriterien.
• Governance & Oversight: Klare RACI-Strukturen, spezialisierte Gremien, unabhängige Validierung und Controlling und transparente Entscheidungsdokumentation.
• Capital, Liquidity & Resilience: Berücksichtigung KI-bedingter Modell-, Operationelle- und Korrelationsrisiken in ICAAP-, ILAAP- und Resilienzüberlegungen.

Zur Priorisierung dient eine verdichtete Heatmap, die Risikoarten nach Disruptionsintensität, Steuerungskomplexität und zeitlicher Materialisierung einordnet. Sie fungiert als zentrales Steuerungsinstrument der CRO, um Risikoappetit, Governance-Prioritäten und Allokationsentscheidungen konsistent über Risikoarten hinweg auszurichten.

Lesart: Prioritäre Handlungsfelder sind Risikoarten mit hoher Disruptionsintensität und hoher Steuerungskomplexität. Der Zeithorizont zeigt, ob Institute kurzfristig Stabilität und Vertrauen absichern müssen oder mittelfristig Governance- und Steuerungsmechanismen im Risikoframework zu verankern sind.

Damit wird KI konsistent in den bestehenden Kern des Risikomanagements integriert.

2.3 Operating Model und Enabler

Die Wirksamkeit des Frameworks hängt von einer Weiterentwicklung des Operating Models ab, die über die Risikofunktion hinausreicht. Voraussetzung für skalierbare und steuerbare KI-Anwendungen sind transversale Data-Aggregation-Fähigkeiten über alle Funktionen und Business Lines hinweg. Damit gewinnen die Prinzipien von BCBS 239 organisationsweit an Bedeutung – nicht nur als regulatorische Mindestanforderung für Finanz-und Risikodaten, sondern als struktureller Enabler für KI-gestützte Steuerung.

Zentrale Enabler sind:

• Daten & Technologie: End-to-end-Datenaggregation, Lineage, Monitoring und standardisierte Transparenz-Artefakte entlang der gesamten Wertschöpfungskette. KI kann dabei selbst zur Verbesserung der Datenqualität beitragen, indem sie Anomalien, Muster und Inkonsistenzen identifiziert und gezielt Handlungsbedarf offenlegt. Dies verschiebt den Fokus von einem sequenziellen „erst Datenqualität, dann KI“ hin zu einem integrierten Ansatz, in dem KI aktiv zur Qualitätssicherung beiträgt.
• Prozesse: End-to-end-Lifecycle-Steuerung von KI-Systemen, inklusive Red-Teaming, Incident- und Kill-Switch-Playbooks sowie skalierfähigem Change-Management. Ziel ist eine nachhaltige Steigerung von Prozesseffizienz und Skalierbarkeit.
• Fähigkeiten: Aufbau hybrider Profile an der Schnittstelle von Risiko, Daten, KI und Business, die Steuerungs- und Skalierungsanforderungen gleichermaßen adressieren.

Die Umsetzung dieses Target Operating Models schafft die Basis für die Wirksamkeit des gesamten Frameworks. Transparente Entscheidungsarchitekturen, klare Verantwortlichkeiten sowie skalierfähige Daten- und Prozessstrukturen versetzen die Risikofunktion in die Lage, mit der Dynamik KI-gestützter Systeme Schritt zu halten, ohne an Tiefe, Konsistenz oder Steuerbarkeit zu verlieren.

3. Ausblick – Die CRO-Funktion 2030-2035

Während Kapitel 2 den integrierten Blueprint und das zugrunde liegende Target Operating Model als Voraussetzung wirksamer KI-Steuerung beschreibt, richtet sich der Blick nun nach vorn. Kapitel 3 skizziert, wie sich die CRO-Funktion vor diesem Hintergrund bis 2030 weiterentwickelt – von einer primär kontrollierenden Instanz hin zur Gestalterin verantwortbarer Entscheidungsarchitekturen im KI-Zeitalter.

Aktuelle globale Risikoanalysen, insbesondere der World Economic Forum Global Risks Report 2026, zeigen, dass KI-bezogene Risiken deutlich an Bedeutung gewinnen und sowohl kurz- als auch langfristig zu den prägenden Risikotreibern zählen. Ergänzend erwartet man adverse outcomes von KI-Technologien hinzu, deren Auswirkungen erst mittel- bis langfristig sichtbar werden, dann jedoch erhebliche systemische Effekte entfalten können.

Die zeitliche Dimension dieser Entwicklung ist zentral. Die Erfahrung mit regulatorischen Anforderungen wie BCBS 239 verdeutlicht die hohe strukturelle Komplexität und Umsetzungsintensität bei Instituten: Zwischen Veröffentlichung, verbindlicher Anwendung und tatsächlicher operativer Umsetzung lagen in vielen Banken nahezu zehn Jahre und sind nach mehr als eine Dekade nicht vollständig in allen Instituten für den reduzierten Fokus auf Risiko- und Finanzfunktion umgesetzt. Ursachen sind die Komplexität historisch gewachsener Legacy-Systemarchitekturen, fragmentierter Datenarchitekturen sowie der erhebliche Investitionsbedarf, um Institute technologisch zu transformieren.

KI erfährt derzeit ein Momentum, in dem die Integration in Steuerung und Geschäftsprozesse rasant an Geschwindigkeit zunimmt. Diese Dynamik zwingt Organisationen, die zeitliche Asymmetrie zwischen technologischer Entwicklung und struktureller Anpassungsfähigkeit zu beheben und unmittelbar zu handeln.

Vor diesem Hintergrund werden die Jahre bis 2030 – und darüber hinaus bis 2035 – zu einer Transformationsphase. Diese erfordert sofortigen Handlungsbedarf sowie eine klare Transformationsvision und -strategie für die kommenden zehn Jahre. Anders als bei BCBS 239 handelt es sich dabei nicht primär um eine regulatorische Vorgabe, sondern um eine Frage von Wettbewerbsfähigkeit und Geschäftsresilienz. Die Transformation gelingt nur im engen Zusammenspiel von CRO, CDO und COO, wobei der CRO als strategischer Sparringspartner:in agiert und die Risikofunktion konsequent als Kooperations- und Enablement-Partner positioniert wird. Ziel ist es, Silodenken aufzubrechen und Risiko-, Daten- und Betriebslogiken zu einer konsistenten Entscheidungsarchitektur zu verbinden.

Strategische Implikationen und Call to Action für CROs

Die zentrale Frage lautet nicht, ob sich die Rolle der CRO verändert, sondern wie konsequent diese Transformation heute eingeleitet wird. Führende CROs unterscheiden sich weniger durch einzelne Tools oder Organisationsformen als durch strategische Klarheit unter Unsicherheit. Fünf Stoßrichtungen sind dabei zentral:

Von Kontrolle zu Prinzipien und Enablement
Ex-post-Kontrollen werden durch vorab verankerte Leitplanken ersetzt. Risikobasierte Klassifizierungen von KI-Use-Cases, standardisierte Freigabepfade und technisch implementierte Guardrails ermöglichen Geschwindigkeit, ohne Steuerbarkeit und Vertrauen zu kompromittieren.

Von Modellvalidierung zu Systemverantwortung
KI-gestützte Entscheidungsarchitekturen erfordern End-to-End-Verantwortung für Datenquellen, Modellketten, agentisches Verhalten und menschliche Eingriffe. Gesteuert wird über wenige, entscheidungsrelevante Kennzahlen und klare Ownership – nicht über punktuelle Prüfungen einzelner Modelle.

Von Compliance zu strategischer Modernisierung und Geschäftsresilienz
Regulatorische Anforderungen werden nicht als isolierte Pflichtübung verstanden, sondern als Hebel zur Kopplung von Risikoappetit, KI-Governance und Geschäftsstrategie. Der/Die CRO nutzt Regulierung gezielt, um strukturelle Schwächen in Daten-, Entscheidungs- und Governance-Architekturen zu adressieren und die Resilienz des Geschäftsmodells zu stärken.

Von Ex-post-Reaktionen zu nachhaltiger Befähigung
Kurzfristige Maßnahmen sind notwendig, reichen jedoch nicht aus. Der Engpass liegt im Aufbau nachhaltiger Fähigkeiten an der Schnittstelle von Risiko, Daten, KI und Business. Führende CROs agieren als Talentarchitektinnen und entwickeln Organisationsmodelle, die Erfahrungswissen und algorithmisches Denken systematisch verbinden.

Ressourcensteuerung, Upskilling und Change Management als Führungsaufgabe
Die Transformation erfordert gezieltes Ressourcenmanagement sowie konsequentes Upskilling und Change Management über die gesamte Organisation hinweg. Zentrale Voraussetzung ist die systematische Identifikation der Fähigkeiten, die heute nicht oder nur unzureichend vorhanden sind, künftig jedoch für die Steuerung KI-gestützter Entscheidungsarchitekturen benötigt werden.
Gleichzeitig muss der Wissensaufbau als kontinuierlicher Transferprozess organisiert werden – durch neue Lernformate, institutionalisierte Communities of Practice, gezielte Rotation zwischen Funktionen sowie die bewusste Kombination von Erfahrungswissen und algorithmischem Denken. KI-Transformation ist kein Projekt, sondern ein fortlaufender Veränderungsprozess, der Kultur, Kompetenzen und Führungsmodelle gleichermaßen betrifft.

Führende CROs beantworten die offenen Fragen des KI-Zeitalters nicht abstrakt, sondern operativ. Sie gestalten Entscheidungsarchitekturen, die Geschwindigkeit ermöglichen, ohne Resilienz und Vertrauen zu opfern – und verankern Governance, Technologie und Strategie in einem belastbaren Führungsmodell, das auch unter Unsicherheit tragfähig bleibt.