Die vierte Ausgabe der KPMG NFR-Studie zeigt: Non-Financial Risks (NFR) sind im Bankensektor angekommen. Institute schaffen klare Verantwortlichkeiten, bauen Steuerungsinstrumente aus und verzahnen NFR zunehmend mit bestehenden Frameworks.
Verantwortung sichtbar machen: NFR wird zur Chefsache
Die Studie, an der 40 Institute aus Deutschland teilgenommen haben, dokumentiert eine deutliche Zunahme der institutionellen Verankerung von NFR. Knapp 80 Prozent der befragten Banken verwenden den Begriff „Non-Financial Risk“ offiziell – ein deutlicher Anstieg gegenüber 2022.
Besonders große Institute (Significant Institutions, SIs) treiben die Entwicklung voran: Fast die Hälfte verfügt über ein eigenes NFR-Gremium. Die Besetzung dieser Gremien ist heterogen, aber Vorstände sind präsent: Der CRO (Chief Risk Officer) ist fast immer vertreten, zunehmend aber auch Chief Operation Officer (COO; mehr als die Hälfte) und Chief Executive Officer (CEO; bei rund jedem dritten Institut).
Verwendung des Begriffs Non-Financial Risk
Quelle: KPMG in Deutschland, 2025
First Line of Defense: Eigentümerrolle mit Potenzial
Die erste Verteidigungslinie (1st Line of Defense, LoD) versteht sich als Eigentümer der Risiken. Sie setzt interne Standards um und liefert Informationen an die 2nd LoD. Dennoch gibt es Luft nach oben: Nur ein Drittel der Institute hat spezialisierte NFR-Teams in der 1st LoD etabliert. Mehr dazu lesen Sie in unserem aktuellen Artikel „Zukunftsfähiges Risikomanagement beginnt im Geschäftsbereich“.
Second Line of Defense: Qualitätssicherung und Strategie
Die 2nd LoD bündelt Überwachungsfunktionen zunehmend in eigenständigen Bereichen unterhalb des CRO. Funktionen wie das Controlling von Operationellen Risiken (OpRisk), die IKT-Risikoüberwachung, das Interne Kontrollsystem (IKS) und Business Continuity Management (BCM) werden organisatorisch zusammengeführt. So entsteht eine konsistente und effiziente Überwachung der NFR.
Unabhängig von der Umsetzung eines eigenständigen NFR-Bereichs: Die 2nd LoD übernimmt die formale und inhaltliche Qualitätssicherung, setzt regulatorische Vorgaben um und verantwortet die strategische Ausrichtung. Doch beim Einsatz von KI besteht Nachholbedarf: Nur 40 Prozent der Institute nutzen künstliche Intelligenz bereits strukturiert im NFR-Management.
Frameworks, Reporting und Trends: Komplexität bleibt
Die Studie zeigt auch: Aktuell sind viele Institute damit beschäftigt, ihre Altverträge systematisch an die Vorgaben des Digital Operational Resilience Act anzupassen. Im Reporting selbst bleiben die Datenqualität (bei rund 2/3 aller Institute) und inkonsistente Methoden (mehr als die Hälfte) die größten Herausforderungen. Hinzu kommt der wachsende Druck durch geopolitische Risiken, die bisher kaum in Risikostrategien integriert waren – obwohl die EZB diese im Rahmen des Stresstest 2026 adressiert.
Positiv hervorzuheben sind die Fortschritte in der Verzahnung von operationellen Risiken (OpRisk) und Internem Kontrollsystem (IKS): Fast zwei Drittel der Institute ordnen bereits Szenarien und Schadensfälle Prozessen zu, knapp 60 Prozent überführen Maßnahmen in Schlüsselkontrollen.
NFR als strategisches Steuerungselement
Die KPMG NFR-Studie 2025 zeigt: Non-Financial Risk ist kein Randthema mehr. Banken investieren in Governance-Strukturen und Steuerungsinstrumente – doch es bleibt Handlungsbedarf. Insbesondere die Integration geopolitischer Risiken, der Einsatz von KI und die Konsistenz im Reporting sind zentrale Baustellen für die kommenden Jahre.
Bereit für ein Gespräch?
Alle Artikel des Financial Services Hub
Wählen Sie den Artikeltypen aus (Financial Services Hub) und dazu das Thema, welches Sie interessiert (z. B. Digital Transformation). Wir zeigen Ihnen eine Sammlung der Artikel an, die von unseren Expertinnen und Experten verfasst wurden.