Revisionsbeauftragter: Interne Revision nach KWG und MaRisk

Die Einrichtung einer funktionierenden Internen Revision ist für Kreditinstitute und Finanzdienstleister keine freiwillige Ermessensentscheidung, sondern eine zentrale gesetzliche Verpflichtung. Gemäß § 25a Abs. 1 KWG muss jedes Institut im Rahmen seiner ordnungsgemäßen Geschäftsorganisation über ein angemessenes und wirksames Risikomanagement verfügen, das interne Kontrollverfahren mit einem internen Kontrollsystem und einer unabhängigen Internen Revision umfasst. Die aufsichtsrechtlichen Details konkretisiert die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) im MaRisk-Rundschreiben 06/2024 (BA). Darin wird klargestellt, dass die Interne Revision ein zentrales Instrument der Geschäftsleitung ist, um die Ordnungsmäßigkeit aller betrieblichen Abläufe und die Wirksamkeit des Risikomanagements prozessunabhängig zu beurteilen.

Die Letztverantwortung für die Geschäftsorganisation und die Einhaltung aller aufsichtsrechtlichen Vorgaben verbleibt unübertragbar bei der Geschäftsleitung. Versäumnisse bei der Einrichtung oder Überwachung der Internen Revision können eine Verletzung der Aufsichtspflicht nach § 130 OWiG darstellen, denn zu den erforderlichen Aufsichtsmaßnahmen gehören ausdrücklich auch Bestellung, sorgfältige Auswahl und Überwachung von Aufsichtspersonen. Kommt es aufgrund mangelhafter Revisionsstrukturen zu Zuwiderhandlungen im Betrieb, kann dies nach § 130 Abs. 3 OWiG mit einer Geldbuße bis zu einer Million Euro geahndet werden, wenn die Pflichtverletzung mit Strafe bedroht ist. Die Interne Revision dient daher nicht der bürokratischen Selbstreferenz, sondern ist das primäre Werkzeug zur systematischen Enthaftung des Managements.

Für die operative Führungsebene bedeutet dies: Eine zahnlose oder nur formal aufgesetzte Revisionsfunktion schützt weder vor aufsichtsrechtlichen Maßnahmen noch vor persönlicher Haftung. Erst durch die systematische Verzahnung von Prüfungsauftrag, Unabhängigkeit und regelmäßiger Berichterstattung wird die Interne Revision zu einer wirksamen Verteidigungslinie im Unternehmen.

Die organisatorische und funktionelle Unabhängigkeit bildet das Fundament jeder belastbaren Revisionsarbeit. Gemäß MaRisk AT 4.4.3 Tz. 2 ist die Interne Revision unmittelbar der Geschäftsleitung unterstellt und ausschließlich dieser gegenüber berichtspflichtig. Um objektive Prüfungsurteile zu gewährleisten, muss die Revisionseinheit streng von allen operativen Geschäftsabläufen und Kontrollfunktionen der zweiten Linie getrennt werden.

Nach MaRisk BT 2.1 Tz. 4 darf die Interne Revision keinesfalls mit revisionsfremden Aufgaben betraut werden, die ihre Prüfungstätigkeit beeinträchtigen oder Interessenkonflikte auslösen könnten. Insbesondere ist eine Einbindung der Revisionsmitarbeiter in operative Arbeitsabläufe sowie in die Entwicklung oder Einführung von Methoden und IT-Systemen der Fachbereiche untersagt. Auch bei personellen Wechseln aus Fachbereichen in die Interne Revision gilt nach MaRisk BT 2.2 Tz. 3 eine strikte Übergangsfrist, um eine unzulässige Selbstprüfung zu verhindern.

Darüber hinaus schreibt MaRisk BT 2.2 Tz. 4 vor, dass die Vergütung der Revisionsmitarbeiter keine variablen Komponenten enthalten darf, die vom finanziellen Erfolg der geprüften Einheiten abhängen. Nur eine vollstänig fehlanreizfreie Vergütungsstruktur stellt sicher, dass Feststellungen ohne Rücksicht auf bereichsspezifische Bonusziele getroffen werden.

Eine stichprobenartige oder rein turnusmäßige Prüfung ohne klaren Risikobezug genügt den aufsichtsrechtlichen Maßstäben nicht. Nach MaRisk BT 2.3 Tz. 1 verpflichten die Vorgaben die Interne Revision zur Erstellung eines mehrjährigen Prüfungsplans, der sämtliche Aktivitäten und Prozesse des Instituts unter Berücksichtigung ihrer spezifischen Risikosituation abdeckt. Die Prüfungsplanung bildet das strategische Gerüst für eine lückenlose Überwachung.

Aus dem Mehrjahresprüfungsplan wird der operative Jahresprüfungsplan abgeleitet, der Prüfungsfelder, Zeitbedarf und personelle Kapazitäten konkret festlegt. Risikointensive Geschäftsfelder und zeitkritische Kernprozesse müssen mindestens einmal jährlich geprüft werden. Der Prüfungsplan bedarf der formellen Genehmigung durch die Geschäftsleitung; dem Aufsichtsorgan ist vorab Gelegenheit zur Stellungnahme zu geben.

Verändert sich die Risikosituation des Instituts – beispielsweise durch neue Geschäftsfelder, IT-Umstellungen oder geänderte regulatorische Rahmenbedingungen –, muss der Prüfungsplan unverzüglich angepasst werden. Eine starre Festhaltung an Jahresplänen trotz veränderter Bedrohungslage gilt bei der BaFin als organisatorischer Mangel.

Die operative Durchführung eines Revisionsaudits erstreckt sich von der Prüfungsankündigung über die Datenanforderung bis hin zu den konkreten Prüfungshandlungen vor Ort oder im System. Gemäß MaRisk BT 2.3 Tz. 4 müssen alle Prüfungshandlungen systematisch vorbereitet, transparent durchgeführt und nachvollziehbar dokumentiert werden. Jede getroffene Feststellung muss durch geeignete Nachweise belegbar sein.

In der Praxis scheitert die Revisionsarbeit häufig an unstrukturierten Tabellen, dezentralen Ordnerstrukturen und fehlenden Dokumentationsstandards. Bei internen Audits führt dies zu enormen Reibungsverlusten und mangelnder Audit-Readiness. Die Verwendung vorgefertigter Master-Vorlagen mit klaren Prüfungsfragen, Standardfeldern und vordefinierten Bewertungsrastern reduziert den Vorbereitungsaufwand signifikant.

Eine saubere Dokumentation ist die wichtigste Verteidigungslinie im Audit. Wenn die Aufsichtsbehörde oder der Abschlussprüfer Unterlagen anfordert, müssen Bestellurkunden, Prüfungsnachweise und Befundlisten unverzüglich und lückenlos vorgelegt werden können.

Das Berichtswesen der Internen Revision übersetzt Prüfungsfeststellungen in geschäftskritische Handlungsimpulse. Nach MaRisk BT 2.4 Tz. 1 ist über jede durchgeführte Prüfung unverzüglich ein schriftlicher Prüfungsbericht zu erstellen. Nationale Revisionsstandards wie der DIIR-Revisionsstandard Nr. 3 geben zusätzliche Orientierung für die Ausgestaltung wirksamer Interner Revisionssysteme und deren Qualitätsbeurteilung.

Ein regelkonformer Prüfungsbericht gliedert sich in eine prägnante Managementzusammenfassung, die detaillierte Darstellung der Feststellungen sowie konkrete Handlungsempfehlungen. Bei schwerwiegenden Mängeln ist nach MaRisk BT 2.4 Tz. 3 unverzüglich eine Sonderberichterstattung an die Geschäftsleitung und das Aufsichtsorgan einzuleiten. Ergänzend ist gemäß MaRisk BT 2.4 Tz. 4 mindestens einmal jährlich ein Gesamtrevisionsbericht vorzulegen.

Präzise Berichte verzichten auf akademische Schachtelsätze und vage Risikobeschreibungen. Die Geschäftsleitung benötigt klare, messbare Befunde, um Mängelbeseitigungen priorisiert freizugeben und personelle Ressourcen gezielt zuzuweisen.

Ein Revisionsprozess endet nicht mit der Verteilung des Prüfungsberichts. Gemäß MaRisk BT 2.5 Tz. 1 ist das Institut verpflichtet, ein wirksames Verfahren zur Überwachung der fristgerechten Beseitigung aller festgestellten Mängel einzurichten. Erst wenn identifizierte Abweichungen nachweislich behoben sind, ist das Risiko geschlossen.

Werden Mängel im Follow-up vertagt oder ignoriert, entsteht für die Geschäftsleitung eine unmittelbare Haftungsfalle. Stellen die BaFin oder der Abschlussprüfer bei Folgeprüfungen wiederkehrende Mängel fest, liegt der Vorwurf einer Verletzung der Aufsichtspflicht nach § 130 OWiG nahe, zu deren erforderlichen Maßnahmen ausdrücklich auch die Bestellung, Auswahl und Überwachung von Aufsichtspersonen zählt. Die Interne Revision muss die fristgerechte Beseitigung überwachen und bei Verzug unverzüglich die Geschäftsleitung informieren.

Ein lückenloses Follow-up schützt die Organisation vor Haftungsrisiken und sorgt dafür, dass aus Revisionsberichten konkrete operative Verbesserungen werden.

Das Management der Internen Revision, die Nachweisführung und die Fristenüberwachung erfordern eine Softwareplattform, die auf die Anforderung auditfester Compliance ausgelegt ist. Der CIVAC Workspace bündelt Aufgaben, Schulungen, Audits und Dokumentation in einer zentralen Benutzeroberfläche. Qualifizierte Revisionsbeauftragte verwalten alle relevanten Mandate in einem einzigen, übersichtlichen System ohne Tabellenwust.

Ob im Eigenbetrieb oder bei der externen Besetzung: Eine solche Plattform unterstützt Unternehmen bei der Einhaltung sämtlicher Beauftragten-Pflichten. Auch im Rahmen einer Auslagerung von Kontrollfunktionen, etwa bei der Auslagerung der Revision im Finanzsektor, stellt ein zentrales System lückenlose Transparenz bereit. Über das Modell externer Beauftragter stehen zudem namentlich bestellte Experten zur Verfügung, die das Revisionsmandat direkt auf der Plattform ausführen.

Wir übernehmen Compliance. Sie führen Ihr Unternehmen. Starten Sie jetzt mit dem CIVAC Workspace oder lassen Sie sich von unseren Experten beraten, um Ihre Interne Revision jederzeit auditfest aufzustellen.

Die Interne Revision ist eine unabhängige Prüfungsfunktion, die nach § 25a KWG und den MaRisk das Risikomanagement eines Instituts überwacht. Sie bewertet Prozesse objektiv, um die Stabilität und Sicherheit anvertrauter Vermögenswerte zu gewährleisten und operative Schwachstellen aufzudecken.

Nach den Vorgaben der MaRisk (insbesondere AT 4.4.3) darf die Revision keine operativen Aufgaben übernehmen. Diese strikte Trennung verhindert Interessenkonflikte und stellt sicher, dass Prüfungen absolut objektiv erfolgen und ungeschönt direkt an die Geschäftsleitung berichtet wird.

Ein risikoorientierter Prüfungsplan basiert auf einer strukturierten Risikoanalyse sämtlicher Geschäftsprozesse. Anstatt rein zufällige Stichproben zu ziehen, werden Bereiche mit hohem regulatorischem, finanziellem oder operativem Risiko priorisiert und deutlich häufiger geprüft.

Prüfungsberichte müssen zeitnah erstellt werden und eine klare Managementzusammenfassung sowie detaillierte Feststellungen enthalten. Etablierte Normen, wie der DIIR Revisionsstandard Nr. 3, fordern zudem verbindliche Maßnahmenpläne zur Behebung festgestellter Mängel.

Werden identifizierte Mängel nicht konsequent behoben, haftet die Geschäftsleitung bei Compliance-Verstößen persönlich (§ 130 OWiG). Zudem drohen bei einer BaFin-Sonderprüfung harte aufsichtsrechtliche Sanktionen, die gravierende Auswirkungen auf das operative Geschäft haben können.