Interne Revision: Aufgaben, Prüfungsgrenzen und wirksame Mängelnachverfolgung

Ein Prüfungsplan ist abgearbeitet, die Berichte sind geschrieben und die Maßnahmenliste weist überwiegend erledigte Punkte aus. Trotzdem bleibt eine entscheidende Frage: Funktionieren die Kontrollen inzwischen tatsächlich besser? Für die Interne Revision sollte deshalb nicht allein zählen, ob eine Prüfung abgeschlossen ist, sondern ob ihr Urteil nachvollziehbar begründet und die Beseitigung festgestellter Mängel belastbar nachgewiesen wurde.

Die Abgrenzung beginnt bei den Zuständigkeiten: Die Revision prüft unabhängig und risikoorientiert die Geschäftsorganisation, das Risikomanagement und das interne Kontrollsystem einschließlich ausgelagerter Tätigkeiten; sie ist dabei nicht die operative Ersatzmannschaft für die geprüften Bereiche, wie AT 4.4.3 Tz. 3 und 5 der Mindestanforderungen an das Risikomanagement (MaRisk) verdeutlichen (BaFin, MaRisk vom 30. Juni 2026). Der folgende Beitrag konzentriert sich auf Institute im Anwenderkreis dieser MaRisk und verbindet die aufsichtsrechtlichen Anforderungen mit konkreten Empfehlungen für ihre Umsetzung.

Die Interne Revision braucht einen klar abgegrenzten Prüfungsauftrag

Auf europäischer Ebene enthält die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor, bekannt als Digital Operational Resilience Act (DORA), unmittelbar verbindliche Revisionsanforderungen: Art. 6 Abs. 6 verlangt für die dort erfassten Finanzunternehmen, die keine Kleinstunternehmen sind, regelmäßige interne Prüfungen des Risikomanagementrahmens für Informations- und Kommunikationstechnologie (IKT) durch fachkundige, angemessen unabhängige Revisoren (DORA, Art. 6). Art. 6 Abs. 7 ergänzt ein förmliches Follow-up-Verfahren; die Verordnung gilt seit dem 17. Januar 2025, wobei für Unternehmen nach Art. 16 Abs. 1 ein gesondertes vereinfachtes Rahmenwerk an die Stelle der Art. 5 bis 15 tritt (DORA, Art. 6, 16 und 64).

National verlangt § 25a Abs. 1 Satz 3 Nr. 3 Kreditwesengesetz (KWG) interne Kontrollverfahren mit einem internen Kontrollsystem und einer Internen Revision; die Verantwortung der Geschäftsleiter für die ordnungsgemäße Geschäftsorganisation ergibt sich aus § 25a Abs. 1 Satz 2 KWG (KWG, § 25a). Das Rundschreiben 06/2026 (BA) vom 30. Juni 2026 konkretisiert diese gesetzlichen Organisationspflichten als aufsichtlichen Rahmen und bündelt die Revisionsanforderungen in AT 4.4.3, ist aber selbst kein Gesetz und keine Rechtsverordnung (BaFin, MaRisk, AT 1 und AT 4.4.3). Die neue Fassung gilt seit ihrer Veröffentlichung; für zusätzliche Anforderungen in Einzelfällen gewährt das Begleitschreiben eine Übergangsfrist bis zum 1. Januar 2027, nicht jedoch eine pauschale Verschiebung des gesamten Regelwerks (BaFin, Begleitschreiben vom 30. Juni 2026).

Der Anwenderkreis ist sorgfältig abzugrenzen: AT 2.1 Tz. 1 nimmt bedeutende Institute unter direkter Aufsicht der Europäischen Zentralbank (EZB) aus dem Anwendungsbereich dieses Rundschreibens aus (BaFin, MaRisk, AT 2.1). Für kleine und mittlere Wertpapierinstitute gelten die gesonderten Mindestanforderungen an das Risikomanagement von Wertpapierinstituten (WpI MaRisk), Rundschreiben 09/2026 (WA), erst ab dem 1. Januar 2027; bis dahin bleibt es nach dem Begleitschreiben bei der sinngemäßen Anwendung der achten KWG-MaRisk-Novelle (BaFin, Begleitschreiben zu den WpI MaRisk). Eine einheitliche Revisionsanweisung für unterschiedliche Institutstypen sollte deshalb ausdrücklich kennzeichnen, welche Anforderungen jeweils anwendbar sind.

GIAS, MaRisk und IDW PS 983 verbinden Domänenlogik und Revisionsstrategie

Die Global Internal Audit Standards (GIAS) des Institute of Internal Auditors ordnen die professionelle Revisionsarbeit in fünf Domänen: Zweck der Internen Revision, Ethik und Professionalität, Governance der Revisionsfunktion, Leitung der Revisionsfunktion sowie Erbringung von Revisionsleistungen (IIA, GIAS, Domänen I bis V). Diese berufsständische Systematik sollte nicht mit einer gesetzlichen Pflicht gleichgesetzt werden. Für die Umsetzung empfiehlt sich eine Zuordnung jeder relevanten Anforderung zu Domäne, verantwortlicher Rolle und prüfbarem Nachweis.

Die Revisionsstrategie nach Standard 9.2 umfasst eine Vision, strategische Ziele und unterstützende Initiativen; sie ist regelmäßig mit dem zuständigen Überwachungsorgan und der obersten Leitung zu überprüfen (IIA, Standard 9.2). Davon unterscheidet Standard 9.4 den dynamischen Prüfungsplan, der auf einer mindestens jährlich vorzunehmenden dokumentierten Bewertung der Strategien, Ziele und Risiken der Organisation beruht (IIA, Standard 9.4). Ein Jahresprüfungsplan ersetzt deshalb keine Revisionsstrategie. Praktisch sollten Kompetenzentwicklung, Ressourcenausstattung und methodische Weiterentwicklung erkennbar mit den strategischen Zielen verbunden sein.

Auch die Gremienrollen sind getrennt zu prüfen: Standard 9.4 sieht die Genehmigung des Prüfungsplans und wesentlicher Änderungen durch das zuständige Überwachungsorgan vor (IIA, Standard 9.4). Im MaRisk-Anwendungsbereich weist AT 4.4.3 Tz. 6 die Genehmigung dagegen der Geschäftsleitung zu (BaFin, MaRisk, AT 4.4.3). Für eine konsistente Umsetzung empfiehlt sich daher, die Begriffe auf die eigene Rechts- und Organisationsstruktur abzubilden und alle erforderlichen Befassungen gesondert zu dokumentieren.

Der Prüfungsstandard IDW PS 983 n.F. (12.2025), Grundsätze ordnungsmäßiger Prüfung von Internen Revisionssystemen, wurde an die GIAS angepasst; die Neufassung gilt erstmals für freiwillige Prüfungen Interner Revisionssysteme, die nach dem 6. Januar 2026 beauftragt werden, wobei eine frühere Anwendung zulässig war (IDW, Mitteilung vom 8. Januar 2026). Der Standard schafft damit keine allgemeine gesetzliche Pflicht jedes Unternehmens zu einer solchen Prüfung. Für eine beauftragte Qualitätsbeurteilung sollten Prüfungsgegenstand, Kriterien und Nachweise vorab eindeutig festgelegt werden.

Für Industrieunternehmen sind die jeweils einschlägigen Organisationspflichten maßgeblich: § 91 Abs. 2 Aktiengesetz (AktG) betrifft die Früherkennung bestandsgefährdender Entwicklungen, Abs. 3 das angemessene und wirksame interne Kontroll- und Risikomanagementsystem börsennotierter Gesellschaften (AktG, § 91). Daraus folgt keine pauschale Übertragung der Banken-MaRisk auf Industrieunternehmen. Standardkonformität und die Erfüllung gesetzlicher Anforderungen sollten getrennt nachgewiesen werden; eine undifferenzierte Zusage von Rechtssicherheit wäre kein geeigneter Prüfungsmaßstab.

Die Verbindung von GIAS-Domänenlogik, Revisionsstrategie und risikoorientierter Prüfungsplanung bildet einen fachlichen Schwerpunkt der Fachseminare zur Internen Revision.

Unabhängigkeit endet dort, wo die Revision eigene Arbeit beurteilt

Nach AT 4.4.3 Tz. 1 und 2 benötigt die Interne Revision ein vollständiges Informations- und Zugriffsrecht, berichtet unmittelbar an die Geschäftsleitung und unterliegt bei der Bewertung ihrer Prüfungsergebnisse keinen Weisungen (BaFin, MaRisk, AT 4.4.3). Beratende Tätigkeiten bleiben nach Tz. 3 zulässig, sofern die Unabhängigkeit gewahrt wird; beim Wechsel aus anderen Organisationseinheiten sieht Tz. 4 grundsätzlich eine mindestens einjährige Übergangsfrist für Tätigkeiten vor, die sonst gegen das Selbstprüfungsverbot verstoßen würden, lässt aber begründete Einzelfallabweichungen zu (BaFin, MaRisk, AT 4.4.3).

Für die Praxis empfiehlt sich eine schriftliche Rollenabgrenzung: Fachbereiche betreiben Prozesse und Kontrollen, zuständige Kontrollfunktionen überwachen ihre jeweiligen Risikofelder, die Revision beurteilt diese Strukturen unabhängig. Sie kann beispielsweise auf eine ungeeignete Freigaberegel hinweisen und Alternativen diskutieren. Die operative Auswahl, Einführung und Ausführung der Kontrolle sollte jedoch nicht in ihre Verantwortung wechseln.

Amtliche Prüfungszahlen belegen Aufsichtstätigkeit, nicht Revisionsqualität

Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) weist im Jahresbericht 2025 insgesamt 130 Sonderprüfungen über die dort dargestellten Institutsgruppen aus, gegenüber 134 im Vorjahr; davon entfielen 85 auf den Prüfungsschwerpunkt „§ 25a Absatz 1 KWG (MaRisk)“, gegenüber 106 im Jahr 2024 (BaFin, Jahresbericht 2025, Tabelle 5). Bezugsgröße sind Prüfungen, nicht die Zahl mangelhafter Revisionsfunktionen; die BaFin erläutert den Rückgang der MaRisk-Prüfungen unter anderem mit ihrem risikoorientierten und proportionalen Aufsichtsansatz und nennt Internal Governance als Schwerpunkt für 2025 (BaFin, Jahresbericht 2025).

Eine repräsentative Quote unwirksamer Interner Revisionen lässt sich daraus nicht ableiten, weil die ausgewiesene Statistik keine entsprechende Grundgesamtheit und Fehlerquote enthält (BaFin, Jahresbericht 2025, Tabelle 5). Für die eigene Prüfungsplanung ist deshalb die institutsbezogene Risikobeurteilung der sinnvollere Ausgangspunkt. Aufsichtliche Schwerpunkte können diese Beurteilung ergänzen, sollten sie aber nicht ersetzen.

Risikoorientierte Prüfungsplanung verbindet Abdeckung und Veränderung

AT 4.4.3 Tz. 6 verlangt einen umfassenden, risikoorientierten und jährlich fortzuschreibenden Prüfungsplan, dessen Genehmigung einschließlich wesentlicher Anpassungen bei der Geschäftsleitung liegt (BaFin, MaRisk, AT 4.4.3). Grundsätzlich sind sämtliche Aktivitäten einschließlich ausgelagerter Tätigkeiten innerhalb von drei Jahren zu prüfen, bei besonderen Risiken häufiger; unter Risikogesichtspunkten nicht wesentliche Aktivitäten und Prozesse sind in die Planung aufzunehmen und innerhalb von fünf Jahren zu prüfen (BaFin, MaRisk, AT 4.4.3 Tz. 6).

Als Umsetzung empfiehlt sich eine Prüfungslandkarte, die Prozesse, Organisationseinheiten, Kontrollfunktionen, Systeme und ausgelagerte Tätigkeiten mit ihren wesentlichen Risiken verknüpft. Für jedes Prüfungsfeld sollten die letzte Prüfung, bekannte Feststellungen, Veränderungen und der begründete nächste Prüfungstermin erkennbar sein. Ein neues Geschäftsmodell, eine Systemmigration oder wiederholte Kontrollausfälle sind geeignete Anlässe, die Priorisierung erneut zu beurteilen.

Proportionalität betrifft dabei nicht nur den Umfang der Unterlagen: AT 4.4.3 Tz. 1 erlaubt bei sehr kleinen Instituten die Aufgabenübernahme durch einen Geschäftsleiter, wenn eine eigene Revisionseinheit unverhältnismäßig ist und Maßnahmen zur Vermeidung von Interessenkonflikten bestehen (BaFin, MaRisk, AT 4.4.3). Praktisch sollte jede Erleichterung zur Größe, zum Geschäftsmodell und zum Risikoprofil passen und nachvollziehbar begründet werden. Ein kleiner Personalbestand allein liefert noch kein tragfähiges Konzept für unabhängige Prüfungsurteile.

Prüfungsnachweise müssen die Kontrollwirkung sichtbar machen

Die risikoorientierte Prüfung nach AT 4.4.3 Tz. 5 und die Dokumentationsanforderungen nach Tz. 10 verlangen mehr als eine bloße Sammlung von Prozessbeschreibungen: Prüfungen sind durch nachvollziehbare Arbeitsunterlagen zu dokumentieren, die zusammen mit Revisionsberichten sechs Jahre aufzubewahren sind (BaFin, MaRisk, AT 4.4.3). Empfehlenswert ist eine durchgängige Verbindung zwischen Prüfungsziel, Sollanforderung, Grundgesamtheit, Auswahlverfahren, Prüfungshandlung, Nachweis und Schlussfolgerung. So wird erkennbar, ob die Bewertung nur die Gestaltung einer Kontrolle oder auch deren tatsächliche Durchführung betrifft.

Ein hypothetisches Beispiel verdeutlicht den Unterschied: Ein Institut verlangt monatlich die Überprüfung privilegierter Benutzerrechte. Die Revision findet unterschriebene Kontrolllisten, stellt bei ihrer Stichprobe aber fest, dass ausgeschiedene Beschäftigte weiterhin aktive Zugänge besitzen. Die Unterschriften belegen in diesem Fall eine dokumentierte Bearbeitung, nicht die erfolgreiche Beseitigung unzulässiger Berechtigungen. Eine aussagekräftige Feststellung würde deshalb Kontrollziel, konkrete Abweichung, betroffene Zugänge und mögliche Ursachen miteinander verbinden.

Revisionsberichte werden erst durch Follow-up steuerungswirksam

Nach AT 4.4.3 Tz. 7 und 9 sind zeitnahe schriftliche Einzelberichte und mindestens vierteljährliche Berichte an die Geschäftsleitung erforderlich; der Quartalsbericht umfasst insbesondere wesentliche Mängel, Maßnahmen und Status sowie die voraussichtliche Einhaltung des Prüfungsplans, während besonders schwerwiegende Mängel unverzüglich zu berichten sind (BaFin, MaRisk, AT 4.4.3). Tz. 11 und 12 verlangen die Überwachung der fristgerechten Mängelbeseitigung, gegebenenfalls durch Nachschauprüfung, sowie die Eskalation nicht rechtzeitig beseitigter wesentlicher Mängel (BaFin, MaRisk, AT 4.4.3).

Für die praktische Maßnahmenverfolgung empfiehlt sich je Feststellung eine verantwortliche Person, eine Frist, ein erwarteter Erledigungsnachweis und ein dokumentiertes Urteil über die Wirksamkeit der Abhilfe. Im Berechtigungsbeispiel könnte dies die Sperrung der betroffenen Zugänge und zusätzlich eine Nachprüfung des verbesserten Austrittsprozesses umfassen. Der Status „umgesetzt“ sollte dabei nicht automatisch mit „durch die Revision überprüft“ gleichgesetzt werden.

Auch das Aufsichtsorgan ist einzubeziehen: Nach AT 3.2 Tz. 2 erhält es die regelmäßigen Revisionsberichte zur Kenntnis; bei schwerwiegenden Feststellungen gegen Geschäftsleiter bestehen besondere Informations- und Eskalationswege, einschließlich einer Unterrichtung seines Vorsitzenden durch die Revision, wenn die Geschäftsleitung ihrer Berichtspflicht nicht nachkommt oder keine sachgerechten Maßnahmen beschließt (BaFin, MaRisk, AT 3.2). Im Revisionshandbuch sollten diese Fälle deshalb ausdrücklich von der normalen Maßnahmenverfolgung unterschieden werden.

Als interne Steuerungskennzahlen eignen sich beispielsweise der Anteil überfälliger wesentlicher Feststellungen, deren Alter, die Zahl wiederholter Mängel und die Abdeckung hochriskanter Prüfungsfelder. Diese Kennzahlen sind Umsetzungsempfehlungen, keine gesetzlich vorgegebenen Schwellenwerte. Eine geringe Zahl von Feststellungen sollte nicht isoliert als Erfolgsmaßstab dienen, weil sie auch durch eine zu geringe Prüfungstiefe entstehen kann.

Für die Überprüfung des eigenen Revisionsprozesses bietet sich folgende kompakte Prüfliste an:

• Anwenderkreis, Rechtsstand und Übergangsregelungen in der Revisionsanweisung festhalten.
• Informationsrechte, Berichtswege und mögliche Selbstprüfungskonflikte dokumentieren.
• Prüfungslandkarte mit Risiken, Veränderungen und begründeten Prüfungsintervallen verknüpfen.
• Gestaltung und tatsächliche Durchführung von Kontrollen getrennt beurteilen.
• Prüfungsurteile mit nachvollziehbaren Arbeitsunterlagen und eindeutigen Nachweisen unterlegen.
• Feststellungen mit Verantwortlichen, Fristen und überprüfbaren Erledigungskriterien versehen.
• Überfällige wesentliche Mängel eskalieren und die Wirksamkeit der Abhilfe risikoorientiert überprüfen.

Die Interne Revision liefert Urteile, die Verantwortung auslösen

Bei der Abgrenzung der Aufgaben der Internen Revision ist die Verbindung von Unabhängigkeit und Umsetzungsnähe entscheidend. Die Revision sollte verständlich zeigen, welche Kontrollen tragen, wo Nachweise fehlen und welche Risiken ungelöst bleiben. Ihr Beitrag besteht nicht darin, operative Verantwortung zu übernehmen, sondern darin, belastbare Entscheidungen und überprüfbare Verbesserungen anzustoßen.

Für die Weiterentwicklung empfiehlt sich daher weniger ein Wettbewerb um umfangreichere Berichte als eine bessere Verbindung von Risiken, Prüfungshandlungen und Mängelnachverfolgung. Datenanalysen können diese Arbeit unterstützen. Entscheidend bleibt, ob ein fachkundiger Dritter nachvollziehen kann, wie das Prüfungsurteil entstanden ist und warum eine Feststellung geschlossen wurde.

Häufige Fragen zur Internen Revision

Welche Kernaufgaben hat die Interne Revision?

Die Interne Revision prüft nach AT 4.4.3 Tz. 5 MaRisk unabhängig und risikoorientiert die Geschäftsorganisation, das Risikomanagement und das interne Kontrollsystem einschließlich ausgelagerter Tätigkeiten; hinzu kommen Prüfungsplanung, Berichterstattung und Überwachung der Mängelbeseitigung nach Tz. 6 bis 12 (BaFin, MaRisk, AT 4.4.3). Praktisch sollte daraus ein zusammenhängender Prüfungsprozess entstehen, nicht nur eine Sammlung einzelner Berichte.

Wie unterscheidet sie sich von Compliance und Risikocontrolling?

• 25a Abs. 1 Satz 3 Nr. 3 KWG ordnet Risikocontrolling und Compliance dem internen Kontrollsystem zu und nennt die Interne Revision daneben als Bestandteil der internen Kontrollverfahren (KWG, § 25a). Für die Organisation empfiehlt sich daraus eine klare Trennung zwischen laufender fachlicher Kontrolle und unabhängiger Prüfung, statt gleichartige Aufgaben nur unter unterschiedlichen Funktionsbezeichnungen zu führen.

Darf die Interne Revision Projekte beraten?

Beratende Tätigkeiten sind nach AT 4.4.3 Tz. 3 MaRisk zulässig, sofern die Unabhängigkeit der Revision erhalten bleibt (BaFin, MaRisk, AT 4.4.3). Empfehlenswert ist eine dokumentierte Grenze: Die Revision benennt Risiken und prüfungsrelevante Anforderungen, während das Projekt über Gestaltung und Umsetzung entscheidet. Eigene operative Freigaben sollten nicht später Gegenstand desselben unabhängigen Prüfungsurteils werden.

Wie oft müssen Aktivitäten und Prozesse geprüft werden?

AT 4.4.3 Tz. 6 MaRisk sieht grundsätzlich einen Dreijahresturnus vor, verlangt bei besonderen Risiken kürzere Intervalle und für risikoseitig nicht wesentliche Aktivitäten und Prozesse eine Prüfung innerhalb von fünf Jahren (BaFin, MaRisk, AT 4.4.3). Der konkrete Termin sollte deshalb aus einer nachvollziehbaren Risikobewertung hervorgehen und nicht allein aus dem letzten Prüfungsdatum.

Wann gilt eine Revisionsfeststellung als erledigt?

Die Revision muss nach AT 4.4.3 Tz. 11 MaRisk die fristgerechte Mängelbeseitigung überwachen und gegebenenfalls eine Nachschauprüfung durchführen (BaFin, MaRisk, AT 4.4.3). Als praktische Erledigungsbedingung empfiehlt sich ein geeigneter Nachweis, dass die Ursache behoben wurde und die Abhilfe funktioniert. Eine bloße Fertigmeldung des verantwortlichen Bereichs sollte bei wesentlichen Kontrollmängeln nicht genügen.

Quellen

• Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor, Europäisches Parlament und Rat, 14. Dezember 2022, insbesondere Art. 6, 16 und 64: amtlicher Verordnungstext.
• Kreditwesengesetz, § 25a, Bundesministerium der Justiz und für Verbraucherschutz und Bundesamt für Justiz, online bereitgestellte Fassung, abgerufen am 26. September 2026: Besondere organisatorische Pflichten.
• Mindestanforderungen an das Risikomanagement, Rundschreiben 06/2026 (BA), BaFin, Stand 30. Juni 2026, insbesondere AT 1, AT 2.1 und AT 4.4.3; bereitgestellt durch die Deutsche Bundesbank: MaRisk-Fassung 2026.
• Mindestanforderungen an das Risikomanagement, Begleitschreiben zum Rundschreiben 06/2026 (BA), BaFin, 30. Juni 2026; bereitgestellt durch die Deutsche Bundesbank: Geltungsbeginn und Übergangsregelungen.
• Anschreiben zum Rundschreiben 09/2026 (WA), Mindestanforderungen an das Risikomanagement von Wertpapierinstituten, BaFin, 24. August 2026: WpI MaRisk und Übergangszeit.
• Jahresbericht 2025, Abschnitt „Kreditinstitute, Zahlungs- und E-Geld-Institute, Leasing- und Factoring-Institute, Kryptoinstitute und Kreditdienstleistungsinstitute“, insbesondere Tabelle 5, BaFin, Berichtsjahr 2025, veröffentlicht 2026: Sonderprüfungen und Prüfungsschwerpunkte.

Ergänzende Primärquellen zu GIAS und Qualitätsbeurteilung

– Aktiengesetz, § 91, amtlich bereitgestellte Online-Fassung: Organisationspflichten des Vorstands.

– The Institute of Internal Auditors, Global Internal Audit Standards, 9. Januar 2024 (PDF): Domänen I bis V sowie Standards 9.2 und 9.4. Berufsständischer Standard, kein staatlicher Rechtsakt.

– Institut der Wirtschaftsprüfer, Mitteilung vom 8. Januar 2026: Neufassung IDW PS 983 n.F. (12.2025). GIAS-Bezug und Anwendungszeitpunkt freiwilliger Prüfungsaufträge; keine Auswertung des kostenpflichtigen Volltexts.