In Deutschland wird Risikomanagement insbesondere aufgrund des Kontroll- und Transparenz-Gesetzes (KonTraG) immer noch im Wesentlichen verstanden als ein formales Organisationssystem, das rechtlich vorgegebene Mindestanforderungen (etwa des IDW PS 340 und DRS) erfüllen muss, um potenzielle Haftungsrisiken des Managements abzuwenden – und möglichst auch eine Bestandsgefährdung des Unternehmens durch zu hohe Risiken vermeiden helfen soll. Tatsächlich kann und sollte der Anspruch an das Risikomanagement eines Unternehmens wesentlich höher sein.