Ein Tag im Verwaltungsrat

Die nächste VR-Sitzung ist am Donnerstag. Im Pack: ein neues DORA-Reporting der Geschäftsleitung, 47 Seiten, dichte Tabellen, ICT-Risiko-Indikatoren, Ausnahme-Berichte. Sie sind kein Cyber-Spezialist. Aber Sie sind verantwortlich. Es geht darum, was Sie verstanden haben müssen, damit Ihre Sorgfaltspflicht nach OR 717 greift — nicht darum, alles zu verstehen.

Erkenntnis. Sorgfalt ist die Strukturierung von Nicht-Wissen — die Frage, die der VR der Geschäftsleitung stellt, bevor er das Pack durchwinkt.

↑ Zurück zum Globus

Anruf vom CEO. Locker im Ton: «Wir haben das KI-System für die Kreditanträge heute Morgen scharfgeschaltet. Compliance hat freigegeben. Datenschutz auch. Wollte Sie nur informieren.» Sie legen auf. Und dann die Frage: Hätte das durch den VR gehört? Fällt das in die unübertragbare Oberleitung des VR (OR 716a Abs. 1 Ziff. 1) — oder ist es operatives Geschäft? Nicht jedes Hochrisiko-KI-System ist automatisch ein Zustimmungsgeschäft. Wenn Sie trotz erkennbarer Tragweite nicht nachfragen oder reagieren, kann sich später die Frage stellen, ob Sie Ihre Aufsichts- und Sorgfaltspflichten ausreichend wahrgenommen haben.

Erkenntnis. Schweigen ist keine gesellschaftsrechtliche Zustimmung — aber wer bei erkennbarer Tragweite untätig bleibt, riskiert den Vorwurf, seine Aufsichts- und Sorgfaltspflicht verletzt zu haben. Informiert zu sein heißt eingebunden zu sein.

↑ Zurück zum Globus

Die Interne Revision hat ihren Quartalsbericht direkt an den VR geschickt — ohne Umweg über die Geschäftsleitung. Das ist keine Höflichkeit, das ist Funktionsweise. Befund: zwei wesentliche und vier mittlere Schwächen im Lieferantenmanagement. Drei davon betreffen DORA-pflichtige Drittparteien. Sie müssen entscheiden, was im Sitzungsprotokoll steht und was nachverfolgt wird. Was Sie nicht aufschreiben, hat Revision faktisch nicht gesagt.

Erkenntnis. Die Interne Revision braucht einen funktional unabhängigen Zugang zum VR bzw. Audit Committee — daneben berichten je nach Governance auch externe Revision, Risk, Compliance oder die Informationssicherheit an den VR. Wesentliche Feststellungen gehören ins Protokoll.

Vertiefung im Korpus → Methodik · Integration — Risikodaten-Quelle für alle drei Regulierungen

↑ Zurück zum Globus

Strategiesitzung. Der CEO will in den EU-Markt: «Brussels Effect, der nimmt uns sowieso mit, wir sollten gleich aktiv hinein.» Die GL-Mitglieder nicken. Der CFO warnt vor regulatorischen Folgekosten: NIS2, AI Act, DSGVO, CRA — ein Stack. Die Diskussion dreht sich. Sie sehen: das ist genau die Sorte Entscheidung, für die OR 716a den VR vorgesehen hat — «Festlegung der Strategie». Wer bringt die Diskussion zum Punkt, ohne den CEO zu desavouieren?

Erkenntnis. Die strategische Oberleitung ist unübertragbare VR-Aufgabe (OR 716a); Entwicklung und Umsetzung erfolgen regelmäßig im Zusammenspiel mit der Geschäftsleitung. Wer die Oberleitung faktisch abgibt, delegiert Verantwortung — ohne die Haftung mit zu delegieren.

↑ Zurück zum Globus

Eine Aktionärin schreibt direkt an Sie als VR-Mitglied. Ihr Vorwurf: Die ESG- und Nachhaltigkeitsberichterstattung der Gesellschaft sei oberflächlich, der VR habe sie offensichtlich nicht ernst genommen. Sie wissen: wir haben sie geprüft. Aber das Sitzungsprotokoll dokumentiert es minimal. Wenn Sie jetzt antworten, müssen Sie wissen, was Sie protokolliert haben — und was die GL der Gesellschafterversammlung vorgelegt hat. Was ist das richtige Antwortregister: defensiv, sachlich, oder offensiv-transparent?

Erkenntnis. Eine Aktionärs-Mail ist ein Stresstest für die VR-Dokumentation. Was im Protokoll steht, trägt die Antwort. Was nicht angemessen dokumentiert ist, lässt sich später deutlich schwerer nachweisen.

↑ Zurück zum Globus

Die Aufsichtsbehörde meldet sich. Routine-Audit im dritten Quartal — in fünf Monaten. Sie haben Zeit, aber nicht so viel, wie es sich anfühlt. Die Frage, die der Auditor dem VR stellen wird: Wie haben Sie Ihre Aufsichts-Pflicht ausgeübt? Belege bitte. Was muss bis zum Q3 dokumentiert sein, damit man die VR-Verantwortung sauber belegen kann — ohne dass es wie nachträgliche Konstruktion wirkt?

Erkenntnis. Aufsichts-Pflicht ist eine kontinuierliche Tätigkeit. Wer sie erst ab der Routine-Audit-Anmeldung dokumentiert, dokumentiert Reaktion — keine Aufsicht.

Vertiefung im Korpus → Whitepaper Regulatorische Reife · Kap. 6 — Regulatory Heatmap 2026

↑ Zurück zum Globus

Der Tag hatte sieben Stationen. Sechs davon waren Aufsicht im engeren Sinn — Lesen, Würdigen, Protokollieren, Entscheiden. Eine davon war Strategie. Was alle verbindet: Sie sind nicht delegierbar. OR 716a listet die unübertragbaren und unentziehbaren Kernaufgaben des VR (andere Geschäftsführungsaufgaben sind delegierbar). Eine persönliche Verantwortlichkeit nach OR 754 setzt Pflichtverletzung, Schaden, Kausalität und Verschulden voraus — sie trifft nicht jedes Mitglied automatisch. Bei mehreren Verantwortlichen richtet sich die solidarische Haftung nach OR 759 nach den Umständen und dem individuell zurechenbaren Verschulden. Die Frage für morgen: Wo ist Ihre persönliche Aufsichts-Architektur belastbar — und wo verlassen Sie sich auf das System, das Sie eigentlich kontrollieren sollten?

Erkenntnis. Die in OR 716a genannten Kernaufgaben des VR sind unübertragbar und unentziehbar; die Verantwortlichkeit nach OR 754/759 lässt sich nicht wegdelegieren (setzt aber die gesetzlichen Haftungsvoraussetzungen voraus). Wer das ernst nimmt, baut sich eine Aufsichts-Architektur, die im Audit, im Aktionärsstreit und vor Gericht trägt.

↑ Zurück zum Globus