Weisungen des ETH-Rates
über das Risikomanagement der ETH und der Forschungsanstalten
vom 4. Juli 2006 (Stand am 22. Mai 2024)
Der Rat der Eidgenössischen Technischen Hochschulen (ETH-Rat), gestützt auf Artikel 29
Absatz 2 der Verordnung über das Finanz- und Rechnungswesen des ETH-Bereichs vom
5. Dezember 2014, erlässt folgende Weisungen:
1.

Abschnitt: Geltungsbereich und GegenstandArt. 1

Geltungsbereich

Diese Weisungen gelten für:a. die Eidgenössischen Technischen Hochschulen Zürich (ETHZ) und Lausanne (ETHL);
b. die Forschungsanstalten des ETH-Bereichs.
Art. 2

Gegenstand1

Die Weisungen legen die Grundzüge des Risikomanagements für die ETH und die
Forschungsanstalten fest.
2

Sie regeln die Grundzüge der Risikofinanzierung durch die ETH und die Forschungsanstalten:
a. bei Schäden an Vermögenswerten der ETH und der Forschungsanstalten;
b. bei Haftpflichtschäden (Personen-, Sach- und Vermögensschäden Dritter);c. bei immateriellen Schäden.

3

Sie bestimmen die Schadens- und Kostentragung sowie das Vorgehen des ETH-Rats gegenüber
dem Bund beim Eintritt von Grossschäden.
4

Im Anhang 1 zu diesen Weisungen sind die Begriffe des Risikomanagements definiert; dieseDefinitionen sind für alle Texte des ETH-Bereichs über das Risikomanagement verbindlich.
2.

Abschnitt: Grundzüge des Risikomanagements

Art. 3

Ziele der Risikopolitik

Die Risikopolitik des ETH-Rates verfolgt bezüglich der ETH und der Forschungsanstalten
namentlich die folgenden Ziele:a. Das Risikomanagement ist ein Führungsinstrument. Die Führung der ETH und derForschungsanstalten soll mittels umfassender, transparenter und aktueller
Risikoinformationen unterstützt werden;b. Es soll sichergestellt werden, dass die Aufgaben wirkungsorientiert, kosteneffizient undantizipativ erfüllt werden können;c. Die Funktions- und die Innovationsfähigkeit soll erhalten werden;
d. Die Sicherheit von Personen, Sachen und anderen Vermögenswerten soll ingrösstmöglichem Umfang gewährleistet sein;e. Haftpflichtfälle sollen so weit als möglich vermieden werden;

f. Das Risikobewusstsein soll bei Studierenden, Mitarbeitenden und bei der Professorenschaft
gefördert werden;
g. Die Risikokosten sollen kontrolliert und so weit wie möglich minimiert werden;
h. Die minimalen Versicherungssummen sollen vereinheitlicht werden;
i. Der gute Ruf des ETH-Bereichs soll gewahrt werden.
Art. 3aRisikostrategie

Die ETH und die Forschungsanstalten legen fest, wie sie mit ihren Risiken umgehen wollen. Sie
definieren die Risikofähigkeit und die Risikobereitschaft im Einklang mit ihrer Strategie undihrer Finanzkraft.
Art. 4

Zuständigkeiten

1

Für das Risikomanagement sind die Präsidentinnen und Präsidenten der ETH beziehungsweise
die Direktorinnen und Direktoren der Forschungsanstalten verantwortlich.

2

Die Verantwortlichen stellen sicher, dass ausreichend Ressourcen zur Verfügung stehen, um
das Risikomanagement angemessen zu führen.

3

Werden gegenüber einer ETH oder einer Forschungsanstalt Schadenersatzansprüche erhoben,
so wickelt diese sie mit der betroffenen Versicherung selbständig ab. Verfügungen im Rahmen
von Art. 19 Abs. 3 VG werden von der betroffenen ETH bzw. Forschungsanstalt erlassen.
4

Das Interne Audit überprüft die Umsetzung des Risikomanagements (Art.1 Abs. 2 derVerordnung des ETH-Rates über das Interne Audit des ETH-Bereichs vom 5. Februar 2004).

Art. 5

Risikoidentifikation

1

Die Risiken werden systematisch mittels gängiger Methoden und Instrumente umfassend
erhoben.

2

Die Risiken werden periodisch (mindestens einmal jährlich) unter besonderer Berücksichtigung
neuer Entwicklungen und veränderter Risikosituationen aktualisiert.

3

Die Risiken werden einheitlich dargestellt und nach Ursachen und nach Auswirkungengegliedert.

4

Die Gliederung nach Ursachen geschieht in folgenden Kategorien:a. finanzielle und wirtschaftliche Ursachen;b. rechtliche Ursachen;c. sach-, technisch- und elementarbezogene Ursachen;d. personenbezogene und organisatorische Ursachen;e. technologische und naturwissenschaftliche Ursachen;f. gesellschaftliche und politische Ursachen;g. Umwelfaktoren und ökologische Ursachen.

5

Die Gliederung nach Auswirkungen geschieht nach folgenden Dimensionen:a. Finanzielle Auswirkungen;b. Beeinträchtigung der Reputation;

c. Personenschäden;d. Beeinträchtigung der Lehr-, Forschungs-, Technologietransfer- und Verwaltungstätigkeit(Geschäftsprozesse);
e. Auswirkungen auf die Umwelt.
Art. 6

Risikoanalyse und -bewertung

1

Die ETH und die Forschungsanstalten stellen sicher, dass ihre Risiken von Fachleuten
analysiert und kompetent bewertet werden. Sie können dafür externe Beraterinnen und Berater
beiziehen, welche den Prozess begleiten und unterstützen. Die Verantwortung für die Bewertung
verbleibt bei den ETH und Forschungsanstalten.
2

Jedes einzelne erfasste Risiko wird nach den folgenden zwei Dimensionen bewertet:
a. Eintretenswahrscheinlichkeit;b. Schadensausmass unter Berücksichtigung der Dimensionen nach Art. 5 Abs. 5.

3

Die Bewertung erfolgt als Nettobewertung, d.h. unter Berücksichtigung vorhandener
Massnahmen zur Minimierung und Vermeidung von Risiken.

4

Die Risiken werden gemäss den Dimensionen nach Absatz 2 als Risikomatrix in einem
Koordinatensystem dargestellt.
5

Die Risiken werden als „Credible Worst Case“ dargestellt. Dabei wird das Risiko in derschlimmst möglichen aber noch realistischen Ausprägung dargestellt. Bei Bedarf kann auch eine
Szenarioanalyse erstellt werden.

6

Die Kernrisiken einer ETH oder Forschungsanstalt sind Risiken, bei denen
a. das Schadensausmass sehr hoch ist; oderb. das Schadensausmass hoch ist und die Eintretenswahrscheinlichkeit grösser ist als 2%;oderc. das Schadensausmass wesentlich ist und die Eintretenswahrscheinlichkeit grösser ist als
10%.

7

Die ETH und die Forschungsanstalten informieren im Rahmen ihrer jährlichen Berichterstattung sowie den ETH-Rat einmal jährlich per 30. Juni über Bestand, Umfang undpotenzielle Auswirkungen ihrer Kernrisiken.
Art. 7

Risikobehandlung

1

Die ETH und die Forschungsanstalten formulieren geeignete Massnahmen, mit denen bei
einem Risiko, namentlich bei einem Kernrisiko, die Eintretenswahrscheinlichkeit reduziert
und / oder die möglichen Auswirkungen minimiert werden. Dabei wird den ursachenorientierten
Massnahmen (Prävention) und den wirkungsorientierten Massnahmen (Schadensbegrenzung)
Beachtung geschenkt.
2

Für einzelne oder für zusammenhängende Risiken werden Massnahmenpläne erstellt. Ein
Massnahmenplan umfasst die folgenden Positionen:a. Risikobeschreibung;b. Risikoursachen;c. vorhandene, mögliche und geplante Massnahmen organisatorischer, technischer,personeller, baulicher, vertraglicher oder finanzieller Natur zur Minimierung oder
Vermeidung der Risiken;
d. finanzielle und nicht finanzielle Wirkungen der Massnahmen.
3

Jedem Risiko wird ein Risikoeigner oder eine Risikoeignerin zugeordnet. Der Risikoeigner oder
die Risikoeignerin erstellt für das Risiko den Massnahmenplan.

Art. 7aRisikokatalog

Alle identifizierten Risiken werden in einem Risikokatalog in Tabellenform dokumentiert. Die
Minimalanforderungen an den Risikokatalog werden im Anhang 2 definiert.
Art. 8

Risikocontrolling1

Mit dem Risikocontrolling werden die Präsidentinnen und Präsidenten der ETH bzw. die
Direktorinnen und Direktoren der Forschungsanstalten bei der Wahrnehmung ihrer Verantwortungunterstützt und der Risikomanagementprozess gesteuert.

2

Das Risikocontrolling erfolgt intern im Rahmen der von den ETH und den Forschungsanstaltenerlassenen Vorgaben.

3

Die ETH und die Forschungsanstalten verfügen für den Fall, dass sich ein Ereignis besonderer
Tragweite ankündigt oder ein solches eingetreten ist, über ein effektives Krisenmanagement.

4

Sie informieren den ETH-Rat unmittelbar und zeitgerecht über ausserordentliche
Risikoveränderungen oder ausserordentliche Schadenereignisse.
3.

Abschnitt: Grundzüge der Risikofinanzierung

Art. 9Allgemeine Bestimmungen1

Der Abschluss von Versicherungsverträgen ist subsidiär zu anderen Massnahmen zur
Vermeidung und Verminderung von Risiken; vorbehalten bleibt Artikel 10 Buchstaben a – c.

2

Zuständig für den Abschluss von Versicherungsverträgen sind die ETH und die Forschungsanstalten.
3

Sie berücksichtigen dabei ihre individuelle Risikolage, und achten auf ein angemessenes
Kosten-Nutzen-Verhältnis und beachten die einschlägigen Bestimmungen über das öffentliche
Beschaffungswesen des Bundes.
4

Sie informieren den ETH-Rat im Rahmen ihrer jährlichen Berichterstattung über Bestand und
Umfang ihrer Versicherungen.
Art. 10 Versicherungspflichten
1

Nebst den gesetzlich vorgeschriebenen Versicherungen haben die ETH und die
Forschungsanstalten im Sinne einer Grunddeckung je die folgenden Versicherungenabzuschliessen:a. eine Sach- und Betriebsunterbrechungsversicherung;b. eine Betriebshaftpflichtversicherung;c. die Versicherungen, die notwendig sind zur möglichst vollständigen Deckung derKernrisiken.

2

Ist ein Kernrisiko nicht versicherbar oder erscheint eine Versicherung dafür unter dem Kosten-Nutzen-Aspekt als nicht sinnvoll, so hat die ETH oder die Forschungsanstalt dies gegenüber dem
ETH-Rat zu begründen. Die ETH oder die Forschungsanstalt hat in jedem Fall selber die
notwendigen Massnahmen zur Risikominimierung bzw. -vermeidung zu treffen und den ETHRat darüber zu informieren.
3

Erscheinen dem ETH-Rat die eingereichte Begründung und die getroffenen Massnahmen
ausreichend, so leitet er diese der für das Risikomanagement zuständigen Stelle im Generalsekretariat des Eidgenössischen Departements für Wirtschaft, Bildung und Forschung (GSWBF) zur Genehmigung weiter. Andernfalls beauftragt er die betroffene ETH oder
Forschungsanstalt, das entsprechende Kernrisiko zu versichern oder, wenn nicht versicherbar,
weitere Massnahmen zu ergreifen.
Art. 11 Versicherungsstandards
1

Die Versicherungen nach Artikel 10 Absatz 1 müssen mindestens dem Versicherungsstandard
genügen, der zur Zeit des Vertragsabschlusses im schweizerischen Versicherungs- markt üblichist. Sie sind periodisch allfälligen höheren landesüblichen Standards anzupassen. Sie sind bei
einer zum Geschäftsbetrieb in der Schweiz zugelassenen Versicherungseinrichtung
abzuschliessen.
2

Die Sachversicherungen sind auf der Basis des vollen Wertes der zu versichernden Sachen zur
Zeit des Vertragsabschlusses festzulegen. Sofern der Markt dies zulässt, können Höchstentschädigungslimiten von mindestens CHF 50'000’000.- (fünfzig Millionen Franken) vereinbart
werden.

3

Bei der Betriebsunterbrechungsversicherung (Mehrkosten für die Aufrechterhaltung desBetriebes im bisherigen Umfang) ist der Bedarf individuell zu bestimmen und angemessen zu
versichern.

4

Die Betriebshaftpflichtversicherung ist mit mindestens einer Versicherungssumme von CHF
50'000’000.- (50 Millionen Franken) pro Ereignis und Versicherungsjahr abzuschliessen.
5

Für Sonder- und Zusatzrisiken zu den Versicherungen gemäss den Absätzen 2 - 4 können,
sofern dies den auf dem schweizerischen Versicherungsmarkt üblichen Standards entspricht,
Sublimiten vereinbart werden.
6

Bei der Versicherung ihrer Kernrisiken gemäss Art. 6 Abs. 5 haben die ETH und
Forschungsanstalten die Höhe der Versicherungssummen fachgerecht und nach pflichtgemässem Ermessen festzulegen.
4. Abschnitt: Schadens- und Kostentragung, Vorgehen bei Inanspruchnahme des Bundes
Art. 12 Schadenstragung
1

Die ETH und die Forschungsanstalten tragen die Schäden gemäss Artikel 2 Absatz 2
grundsätzlich selbst. Vorbehalten bleiben die in Art. 30 der Verordnung über das Finanz- und
Rechnungswesen des ETH-Bereichs vorgesehenen besonderen Bestimmungen.
2

Für nicht versicherte oder anderweitig an Dritte transferierte Risiken haben sie angemessene
Massnahmen zu treffen, die in der Finanzbuchhaltung entsprechend den für den ETH-Bereichgeltenden Rechnungslegungsbestimmungen zu berücksichtigen sind.

Art. 13 Versicherungsprämien und Selbstbehalte
Die ETH und die Forschungsanstalten tragen die Prämien und die gewählten Selbstbehaltesämtlicher Versicherungen selbst.
Art. 14 Inanspruchnahme des Bundes
1

Tritt bei einer ETH oder einer Forschungsanstalt ein Schadenereignis ein, das die Erfüllung
ihrer in der Bundesgesetzgebung verankerten Aufgaben gefährdet, so beantragt die betroffene
ETH oder Forschungsanstalt dem ETH-Rat ein Vorgehen gemäss Artikel 30 Absatz 2 derVerordnung über das Finanz- und Rechnungswesen des ETH-Bereichs.
2

Die betroffene ETH oder Forschungsanstalt hat den Antrag zu begründen und zu
dokumentieren; insbesondere hat sie den Schaden zu beziffern.

3

Der ETH-Rat entscheidet über die Weiterleitung des Antrags und koordiniert das weitere
Vorgehen.
5.

Abschnitt: Schlussbestimmung

Art. 15 Aufhebung bisherigen Rechts
Die Weisungen des ETH-Rates vom 6. November 1997 über die Risikoübernahme und
Schadenerledigung für Risiken des Bundes werden aufgehoben.
Art. 16 Inkrafttreten
Die Änderungen dieser Weisungen gemäss Beschluss des ETH-Rats vom 16./17. Mai 2018 treten
am 1. Juni 2018 in Kraft.
Die Änderungen dieser Weisungen gemäss Beschluss des ETH-Rats vom 22./23. Mai 2024 treten
am 1. Juni 2024 in Kraft.
Anhänge- Anhang 1: Begriffe des Risikomanagements (Art. 2 Abs. 4)- Anhang 2: Minimalanforderungen an den Risikokatalog (Art. 7a)
Im Namen des ETH-Rates
Der Präsident: Michael O. Hengartner

Weisungen des ETH-Rates
über das Risikomanagement der ETH und der Forschungsanstalten
vom 4. Juli 2006 (Stand am 22. Mai 2024)
Anhang 1: Begriffe des Risikomanagements
Akzeptanzlinie

Die im Risikoprofil (→ Risikoprofil) eingezeichnete
Akzeptanzlinie (Grenzlinie) trennt die Kernrisiken(→ Kernrisiken) von den restlichen Risiken.

Brutto- und Nettobewertung

Bei der Bruttobewertung werden die Risiken ohne Berücksichtigung der vorhandenen Sicherungs- und Kontrollmassnahmen bewertet. Bei der Nettobewertung werden diese
Massnahmen berücksichtigt.

Kernrisiken

Kernrisiken sind die Risiken gemäss Art. 6 Abs. 6.

Massnahmenplan

Ein Massnahmenplan stellt ein Arbeitsinstrument zur Risikobewältigung dar. Er zeigt insbesondere auf, wie die Eintretenswahrscheinlichkeit und/oder die Schadenhöhe eines Risikos
reduziert werden können.

Risikobehandlung

Die Risikobehandlung stützt sich auf die Risikoidentifikation(→ Risikoidentifikation) sowie die Risikoanalyse und bewertung (→ Risikoanalyse und -bewertung). Es geht um die
Formulierung und Umsetzung geeigneter Massnahmen für die
Eindämmung der Risiken mit identifiziertem
Handlungsbedarf, namentlich der so genannten Kernrisiken(→ Kernrisiken).

Risikobereitschaft

Bezeichnet Art und Niveau an Risiko, die eine Organisation
bereit ist zu akzeptieren, um ihre strategischen Ziele zu
erreichen.

Risikoanalyse und -bewertung

Die Risikoanalyse und -bewertung umfasst die Beurteilung
jedes einzelnen im Risikokatalog (→ Risikokatalog) erfassten
Risikos nach der Eintretenswahrscheinlichkeit und dem max.
Schadensausmass. Gestützt auf die vorgenommenen
Bewertungen wird eine Risikomatrix (→ Risikomatrix)
erstellt.

Risikocontrolling

Das Risikocontrolling umfasst die Überprüfung und Steuerung
des Risikomanagementprozesses. Es stellt den kontinuierlichen Prozess gemäss den Grundsätzen der Risikopolitik(→ Risikopolitik) sicher und trachtet nach kontinuierlicher
Verbesserung dieses Prozesses. Das Risikocontrolling legt die
Abweichungen des Ist- Zustandes von den Zielen der Risikopolitik offen; zudem dient es der Erfolgskontrolle bei derUmsetzung von Massnahmen.

Risikoeigner

Jedem Risiko wird eine verantwortliche Person im jeweiligen
Departement bzw. in der jeweiligen Verwaltungseinheit
zugeordnet. Diese Person trägt operationell die Verantwortung
für die ihr zugeteilten Risiken.

Risikofähigkeit

Bezeichnet Art und Niveau an Risiko, die eine Organisation
aufgrund ihrer wirtschaftlichen Situation eingehen kann.

Risikoidentifikation

Die Risikoidentifikation zielt auf eine möglichst umfassende
Bestandesaufnahme der Risiken. Sie erfolgt organisatorischbetrachtet von unten nach oben, d.h. sie wird in den einzelnen
ETH und Forschungsanstalten durchgeführt. Das Resultat der
Risikoidentifikation ist ein Risikokatalog (→ Risikokatalog) in
Tabellenform.

Risikokatalog

Ein Inventar von Risiken in Tabellenform, gegliedert nachMerkmalen wie Ursachen und Auswirkungen. Der Risikokatalog listet daneben die bereits ergriffenen Massnahmen auf
und enthält einen Beschrieb möglicher Entwicklungen.

Risikomanagement

Das Risikomanagement bildet den Rahmen für einen planvollen Umgang mit den Risiken. Es stützt sich auf die Risikopolitik (→ Risikopolitik). Zentrales Element ist der kontinuierliche Verbesserungsprozess, welcher auf die Reduktion von
Risiken und deren Folgen abzielt. Er umfasst die Teilprozesse
Risikoidentifikation (→Risikoidentifikation), Risikoanalyse
und -bewertung (→Risikoanalyse und -bewertung),
Risikobehandlung (→Risikobehandlung) und
Risikocontrolling (→Risikocontrolling)

Risikomatrix

Zweidimensionale graphische Darstellung der Risikolandschaft. Auf der Abszisse werden skalierte Eintretenswahrscheinlichkeiten und auf der Ordinate skalierte Schadenshöhen
abgebildet.

Risikopolitik

Die Risikopolitik ist Teil der Geschäftspolitik jedes Unternehmens und legt die Leitlinien zum Umgang mit Risiken fest.
Die Risikopolitik setzt die Rahmenbedingungen für das
Risikomanagement, trifft Aussagen zu Entscheidungskriterien,differenziert Risiken in Kernrisiken und übrige Risiken.
Risikopolitik lässt sich zudem als Umsetzungsprozess der
Risikoanalyse verstehen. Ferner liegt es in der Verantwortung
der Risikopolitik, ein Risikobewusstsein in allen
Unternehmensbereichen zu etablieren.

Risikoprofil

Ergebnis der Eintragung der einzelnen Risiken in die Risikomatrix. Es zeigt das Betriebsrisiko einer bestimmten Organisation auf und bildet damit die Basis zu deren Risikobewältigung (→ Risikobewältigung). Das Risikoprofil wird auchWahrscheinlichkeits-Tragweite-Diagramm genannt.

Risikostrategie

Die Risikostrategie definiert den Umgang mit den aus derGeschäftsstrategie resultierenden Risiken. Sie beinhaltet
insbesondere Aussagen zu Art und Herkunft der Risiken undihrer Behandlung (→ Risikobehandlung), zur Risikofähigkeit(→ Risikofähigkeit) und zur Risikobereitschaft (→Risikobereitschaft).

Vollwertversicherung

In der Vollwertversicherung muss die Versicherungssumme
dem Versicherungswert, d.h. dem Tageswert der versicherten
Sachen entsprechen. Das bedingt die Erfassung sämtlicher
Sachen und deren Bewertung nach versicherungsmässigen
Bewertungsgrundsätzen.
Die Versicherungssumme muss dem vollen Wert derversicherten Sache zur Zeit des Vertragsabschlusses

entsprechen (Versicherungswert). Sie darf sich nicht nur nachder Höhe eines möglichen Schadens richten. Bei richtiger
Festsetzung der Versicherungssumme entfällt das Risiko,ungenügend versichert zu sein (Unterversicherung). Jedes
Abweichen vom Prinzip der Vollwertversicherung muss
besonders vereinbart werden. Stillschweigen bedeutet daher
VollwertversicherungWeisungen des ETH-Rates
über das Risikomanagement der ETH und der Forschungsanstalten
vom 4. Juli 2006 (Stand am 22. Mai 2024)
Anhang 2: Minimale Anforderungen an den Risikokatalog- Institution und interne Einheit, welche für das Risiko verantwortlich zeichnet;- Risikoeigner;- Eindeutige Risiko-Identifikation;- Risiko-Kurzbezeichnung;- Detaillierte Risikobeschreibung;- Kritische aber realistische Szenarien (falls anwendbar);- Für das Risiko relevante Ursachenkategorien nach Art. 5 Abs. 4;- Für das Risiko relevante Auswirkungsdimensionen nach Art. 5 Abs. 5;- Textliche Beschreibung der Auswirkung des Risikos unter Berücksichtigung der
getroffenen Massnahmen zur Minimierung und Vermeidung;- Eintretenswahrscheinlichkeit netto;- Schadensausmass netto (inkl. massgebliche Bewertungsdimension nach Art. 5 Abs. 5);- Massnahmen zur Minimierung und Vermeidung der Risiken;- Massnahmeneigner;- Kennzeichnung der Kernrisiken;- Datum der letzten Änderung der Risikobeurteilung