ISAE 3402 Typ II
Internationaler Prüfungsstandard für ausgelagerte Dienstleistungen. Typ II bescheinigt nicht nur die Ausgestaltung der Kontrollen, sondern ihre Wirksamkeit über einen Prüfungszeitraum.
Compliance as a Service
S+P Compliance Package: Kontrollfunktionen auslagern, Verantwortung behalten
Dreizehn Funktionen aus einer Hand — einzeln buchbar, aufeinander abgestimmt und mit klarer Trennung zwischen operativer Bearbeitung, unabhängiger Überwachung und Prüfung.
Regulierte Unternehmen müssen Kontrollfunktionen besetzen, unabhängig von ihrer Größe. Ob Geldwäschebeauftragter, Compliance Officer nach WpHG oder MaRisk, Informationssicherheitsbeauftragter, Datenschutzbeauftragter oder Interne Revision: Die Anforderungen an Sachkunde, Zuverlässigkeit, Vertretung und laufende Fortbildung gelten in der Zweipersonen-Niederlassung wie im mittelständischen Institut. S+P Compliance stellt diese Funktionen als Auslagerungsleistung — mit benannter Person, dokumentierter Eignung, definierten Berichtswegen und laufender Berichterstattung an die Geschäftsleitung.
Was Sie erhalten
- Benannte Person mit dokumentierter Eignung und Vertretung
- Risikoanalyse, Kontrollplan und laufendes Monitoring
- Berichterstattung an Geschäftsleitung und Aufsichtsorgan
- Prüfungsfeste Dokumentation für BaFin und Abschlussprüfer
ISAE 3402 Typ II
IDW PS 951 Typ II
ISO/IEC 27001
ISO 9001
§ 25b KWG
Prüfungssicher für BaFin und Abschlussprüfer
Geprüfte Leistungserbringung
Wer eine Kontrollfunktion auslagert, muss die Wirksamkeit der Kontrollen beim Dienstleister beurteilen können. Unsere Prüfungsberichte und Zertifikate liefern diesen Nachweis, ohne dass Sie selbst prüfen müssen.
IDW PS 951 Typ II
Deutscher Prüfungsstandard mit gleicher Zielrichtung. Ihr Abschlussprüfer kann den Bericht unmittelbar für die Beurteilung des internen Kontrollsystems heranziehen.
ISO/IEC 27001
Zertifiziertes Informationssicherheits-Managementsystem für den Standort Unterföhring — relevant, weil ausgelagerte Kontrollfunktionen mit sensiblen Kunden- und Transaktionsdaten arbeiten.
ISO 9001
Zertifiziertes Qualitätsmanagement für den Standort Unterföhring, Grundlage für dokumentierte und wiederholbare Abläufe in der Leistungserbringung.
EcoVadis ESG-Rating
Bewertung von Nachhaltigkeit und verantwortungsvoller Unternehmensführung durch eine unabhängige Stelle — zunehmend Teil der Lieferantenprüfung regulierter Unternehmen.
Was das für Ihre Prüfung bedeutet
Sie erhalten die Berichte für Ihre Auslagerungsakte. Damit ist die Überwachungspflicht gegenüber dem Dienstleister dokumentiert, ohne dass Ihre Interne Revision eigene Prüfungshandlungen bei uns durchführen muss.
Die ISO-Zertifizierungen gelten für den Standort Unterföhring. Zertifiziert sind das Managementsystem und die Leistungserbringung, nicht die einzelne Person oder die bestellte Funktion. Für die persönliche Eignung der benannten Funktionsträger legen wir Ihnen die Nachweise zu Sachkunde und Zuverlässigkeit gesondert vor.
Verantwortungsabgrenzung
Was S+P als bestellte Funktion übernimmt
- Wahrnehmung der Funktion durch eine benannte Person mit Vertretung
- Risikoanalyse, Kontrollplan und Durchführung der Kontrollhandlungen
- Bewertung wesentlicher Sachverhalte und Eskalation an die Geschäftsleitung
- Berichterstattung an Geschäftsleitung, Aufsichtsorgan und Gruppe
- Ansprechpartner für Aufsicht, Abschlussprüfer und Interne Revision
Was beim Unternehmen bleibt
- Bestellung der Funktion und Anzeige gegenüber der Aufsicht
- Verabschiedung von Risikoanalyse, Richtlinien und Kontrollrahmen
- Bereitstellung von Informationen, Systemzugängen und Ressourcen
- Steuerung und Überwachung der ausgelagerten Leistung
- Verantwortung für die ordnungsgemäße Geschäftsorganisation insgesamt
Die Auslagerung verlagert die Ausführung, nicht die Verantwortung. Ihr Unternehmen bleibt gegenüber der Aufsicht verantwortlich und muss die ausgelagerte Funktion steuern, überwachen und beurteilen können. Berichtswege, Kennzahlen, Weisungs- und Prüfungsrechte werden dafür vertraglich verankert.
Warum Auslagerung, und wo ihre Grenze liegt
Eine Kontrollfunktion intern zu besetzen bindet mehr als eine Stelle. Es braucht Sachkunde, die laufend fortgeschrieben wird, eine eingearbeitete Vertretung für Urlaub und Krankheit, Zugang zu aktuellen Auslegungshinweisen und genug Distanz zum operativen Geschäft, um es unabhängig überwachen zu können. In kleineren Einheiten übernimmt die Funktion häufig jemand, der zugleich im Tagesgeschäft steht — und damit die eigene Arbeit beaufsichtigt.
Die Auslagerung löst beide Probleme zugleich: Sie bringt Fachkompetenz, die sich über viele Mandate finanziert, und sie schafft die Distanz, die eine unabhängige Überwachung braucht. Der Aufwand verlagert sich vom Aufbau und Halten der Kompetenz auf die Steuerung des Dienstleisters — was für die Geschäftsleitung eine deutlich kleinere Aufgabe ist, aber keine, die entfallen kann.
Genau hier liegt die Grenze. Auslagerung ist keine Abgabe der Verantwortung. Das Unternehmen muss die Leistung steuern können, also wissen, was geprüft wurde, was offen ist und welche Risiken bestehen. Deshalb gehören Berichtswege, Kennzahlen, Eskalationsschwellen und Prüfungsrechte in den Vertrag — nicht als Formalie, sondern weil sie die Steuerungsfähigkeit erst herstellen.
Typische Ausgangslagen
Sechs Situationen, in denen Unternehmen eine Funktion auslagern.
Die Funktion ist unbesetzt
Der bisherige Amtsinhaber ist ausgeschieden, eine Nachbesetzung dauert. Die Pflicht besteht in der Zwischenzeit fort, und eine unbesetzte Kontrollfunktion ist einer der Punkte, die in Prüfungen sofort auffallen.
Sachkunde lässt sich nicht halten
Die Anforderungen entwickeln sich laufend weiter. Eine Person, die die Funktion neben anderen Aufgaben trägt, kann den Stand kaum halten — und muss ihn im Zweifelsfall belegen können.
Interessenkonflikt bei interner Besetzung
Wer im Tagesgeschäft mitarbeitet und dieselben Prozesse überwachen soll, kann seine Unabhängigkeit nicht belegen. In kleinen Einheiten ist das häufig strukturell bedingt und ohne externe Lösung nicht auflösbar.
Keine belastbare Vertretung
Die Funktion hängt an einer Person. Fällt sie aus, ruht die Kontrolle oder wird formal von jemandem übernommen, der die Sachverhalte nicht kennt. Eine dokumentierte Vertretung gehört zur Bestellung dazu.
Feststellungen zur Funktionsfähigkeit
Prüfer haben Ausstattung, Unabhängigkeit, Berichterstattung oder Dokumentation der Funktion beanstandet. Die Mängelbeseitigung braucht Kapazität und Fachlichkeit, die intern gerade fehlen.
Neue Einheit im deutschen Markt
Eine Niederlassung oder Tochtergesellschaft wird aufgebaut. Die Funktionen müssen ab dem ersten Tag besetzt sein, während das lokale Team erst entsteht und die Gruppenvorgaben zu übersetzen sind.
Dreizehn Funktionen, einzeln buchbar
Gruppiert nach Aufgabenfeld. Jede Funktion lässt sich einzeln oder in Kombination beauftragen.
Geldwäsche und Finanzkriminalität
Geldwäschebeauftragter
Bestellte Funktion nach § 7 GwG mit Risikoanalyse, internen Sicherungsmaßnahmen, Monitoring, Verdachtsfallprozess und Berichterstattung.
Zur Auslagerung GeldwäschebeauftragterMoney Laundering Reporting Officer
The same function presented for international institutions, with reporting to the German FIU and bilingual documentation for head office.
Outsourcing MLROAI Compliance Officer
Steuerung der Anforderungen aus dem Einsatz künstlicher Intelligenz: Anwendungsverzeichnis, Risikoeinstufung, Kontrollen und Dokumentation.
Zur Auslagerung AI Compliance OfficerCompliance-Funktionen
Compliance Officer
Überwachung der Einhaltung rechtlicher Vorgaben, Beratung der Fachbereiche, unabhängige Challenge und Berichterstattung an die Geschäftsleitung.
Zur Auslagerung Compliance OfficerMaRisk Compliance Officer
Identifikation wesentlicher rechtlicher Regelungen, Hinwirken auf angemessene Verfahren und Kontrollen sowie Bericht an die Geschäftsleitung.
Zur Auslagerung MaRisk Compliance OfficerWpHG Compliance Officer
Compliance-Funktion nach § 80 WpHG mit Überwachungsplan, Kontrollhandlungen im Wertpapiergeschäft und Berichterstattung.
Zur Auslagerung WpHG Compliance OfficerInformationssicherheit und Datenschutz
Informationssicherheitsbeauftragter
Aufbau und Betrieb des Informationssicherheits-Managementsystems, Schutzbedarfsfeststellung, Kontrollen und Berichterstattung.
Zur Auslagerung InformationssicherheitsbeauftragterDatenschutzbeauftragter
Bestellte Funktion nach der Datenschutz-Grundverordnung mit Verarbeitungsverzeichnis, Beratung, Schulung und Kontrolle.
Zur Auslagerung DatenschutzbeauftragterCompliance Package im Überblick
Die Zusammenstellung der Module, ihre Kombinationsmöglichkeiten und der Zuschnitt auf Institutstyp und Risikolage.
Zum Compliance PackageMeldewesen, Auslagerung und Prüfung
Zentrales Auslagerungsmanagement
Steuerung, Kontrolle und Dokumentation von Auslagerungen: Register, Risikobewertung, Vertragsanforderungen und laufende Überwachung.
Zum AuslagerungsmanagementXBRL-Meldewesen
Erstellung und fristgerechte Einreichung der XBRL-Meldungen ohne eigene Software im Haus, mit Plausibilisierung und Nachweisführung.
Zur Auslagerung XBRL-MeldewesenInterne Revision
Unabhängige Prüfung von Governance, Risikomanagement, Compliance und internem Kontrollsystem mit Prüfungsplanung und Follow-up.
Zur Auslagerung Interne RevisionInternal Audit
Independent assurance over governance, risk management and controls, with audit planning, findings and follow-up reporting.
Outsourcing Internal AuditWerden mehrere Funktionen beauftragt, wird die Trennung der Verteidigungslinien vertraglich und organisatorisch abgebildet. Insbesondere prüft die von S+P gestellte Interne Revision eine ebenfalls von S+P wahrgenommene Kontrollfunktion nicht ohne zusätzliche Schutzmaßnahmen: In solchen Fällen wird der Prüfungsumfang angepasst, eine unabhängige Prüfungsinstanz eingesetzt oder eine dokumentierte Ausnahmelösung gewählt. Die Systematik dahinter beschreibt die fachliche Einordnung zum Three-Lines-Modell.
So arbeitet die ausgelagerte Funktion
Benannte Person
Die Funktion wird von einer namentlich benannten Person mit dokumentierter Sachkunde wahrgenommen, mit eingearbeiteter Vertretung.
Feste Taktung
Kontrollhandlungen folgen einem abgestimmten Jahresplan mit definierten Prüffeldern, Stichproben und Terminen.
Direkte Berichtslinie
Berichterstattung erfolgt unmittelbar an die Geschäftsleitung, bei Bedarf an das Aufsichtsorgan, ohne Zwischenstufe im operativen Bereich.
Nachvollziehbare Ablage
Kontrollnachweise, Feststellungen, Maßnahmen und Berichte werden strukturiert dokumentiert und bleiben jederzeit abrufbar.
Einsatzmodelle
Vier Formate, abhängig von Anlass und Dauer.
Dauerhafte Bestellung
Die Funktion wird dauerhaft von S+P wahrgenommen, mit Jahresplanung, laufender Berichterstattung und fester Ansprechperson.
Überbrückung
Befristete Wahrnehmung bei Vakanz, Elternzeit oder längerer Abwesenheit, mit geordneter Übergabe an die interne Nachfolge.
Stellvertretung
Die Funktion bleibt intern besetzt, S+P stellt die Vertretung und sichert damit die Handlungsfähigkeit bei Abwesenheit.
Aufbau und Mängelbeseitigung
Erstaufbau der Funktion bei einer neuen Einheit oder Aufarbeitung von Feststellungen zur Funktionsfähigkeit.
In vier Schritten zur ausgelagerten Funktion
- 1
Anfrage
Sie schildern Institutstyp, Geschäftsmodell, betroffene Funktionen und Anlass. Wir klären den Umfang und offene Punkte im Gespräch.
- 2
Angebot
Sie erhalten ein Angebot mit Leistungsumfang, benannter Person, Zeitbudget, Berichtsformat und Konditionen.
- 3
Auslagerungsvertrag
Der Vertrag regelt Aufgaben, Kompetenzgrenzen, Weisungs- und Informationsrechte, Berichtswege, Prüfungsrechte und Kündigungsmodalitäten. Die Unterlagen für Bestellung und Anzeige bereiten wir vor.
- 4
Betriebsaufnahme
Einarbeitung, Bestandsaufnahme, Abstimmung der Risikoanalyse und des Kontrollplans. Danach läuft die Funktion in der vereinbarten Taktung.
Rollenverteilung im Betrieb
Die ausgelagerte Funktion arbeitet in der zweiten oder dritten Verteidigungslinie. Sie setzt Standards, überwacht Risiken und berichtet unabhängig — sie führt aber nicht dauerhaft die operativen Prozesse aus, die sie anschließend beurteilen soll.
Wird zusätzlich operative Bearbeitungskapazität benötigt, erbringt S+P diese über die 1st Line Services mit getrennten Teams, Rollen, Berechtigungen und Berichtswegen. Die Systematik beschreibt die fachliche Einordnung zum Three-Lines-Modell.
| Ebene | Aufgabe | Wer |
|---|---|---|
| Geschäftsleitung | Bestellt die Funktion, verabschiedet den Rahmen, verantwortet die Umsetzung | Ihr Unternehmen |
| Erste Linie | Führt Prozesse aus, pflegt Daten, bearbeitet Vorgänge, dokumentiert Nachweise | Ihre Fachbereiche oder S+P 1st Line Services |
| Zweite Linie | Setzt Standards, überwacht Risiken, challengt, eskaliert und berichtet | Die von S+P gestellte Kontrollfunktion |
| Dritte Linie | Prüft Governance, Risikomanagement und Kontrollen unabhängig | Interne Revision, bei Mehrfachmandat mit angepasstem Prüfungsumfang |
Ihr Nutzen
Funktion sofort besetzt
Die Pflicht ist erfüllt, ohne dass erst eine Stelle geschaffen und besetzt werden muss.
HandlungsfähigkeitBelegbare Sachkunde
Eignung, Fortbildung und Vertretung sind dokumentiert und gegenüber Prüfern nachweisbar.
NachweisEchte Unabhängigkeit
Die Funktion steht außerhalb des operativen Geschäfts und kann es deshalb unabhängig beurteilen.
GovernanceDurchgängige Verfügbarkeit
Vertretung und Team sichern die Handlungsfähigkeit auch bei Urlaub, Krankheit und Wechseln.
KontinuitätKombinierbare Module
Einzelne Funktionen oder ein abgestimmtes Paket, jederzeit erweiterbar bei neuen Anforderungen.
FlexibilitätEntlastete Geschäftsleitung
Statt Aufbau und Halten der Kompetenz bleibt die Steuerung eines Dienstleisters mit klaren Berichtswegen.
EntlastungFür wen sich die Auslagerung eignet
- Kreditinstitute nach KWG
- Wertpapierinstitute nach WpIG
- Zahlungs- und E-Geld-Institute
- Kapitalverwaltungsgesellschaften
- Auslandsbanken mit deutscher Niederlassung
- Leasing- und Factoringgesellschaften
- Kryptoverwahrer und Kryptodienstleister
- FinTechs mit deutscher Regulierungspflicht
- Weitere Verpflichtete nach dem Geldwäschegesetz
Weiterführende Leistungen
S+P 1st Line Services
Operative Bearbeitungskapazität für datenintensive und dokumentationspflichtige Prozessschritte.
Zum Hub 1st Line ServicesThree-Lines-Modell
Die fachliche Einordnung, wie sich erste, zweite und dritte Verteidigungslinie abgrenzen.
Zur fachlichen EinordnungAMLR Readiness
Vorbereitung auf das europäische Regelwerk zur Geldwäscheprävention bis zum 10. Juli 2027.
Zur AMLR ReadinessCompliance Technology Services
Herstellerunabhängige Fachkonzeption, Kalibrierung und Testing für KYC-, Screening- und Monitoring-Systeme.
Zu Compliance Technology ServicesCompliance Cockpit
Kennzahlen, Maßnahmen und Nachweise an einer Stelle als Grundlage für Berichterstattung und Prüfungsvorbereitung.
Zum Compliance CockpitSeminare und Training
Qualifizierung für Compliance-Funktionen, Geschäftsleitung und Aufsichtsorgane mit Teilnahmenachweis.
Zu den SeminarenWas Mandanten berichten
Rückmeldungen aus laufenden Auslagerungsmandaten.
Wir sind ein reguliertes FinTech mit ZAG-Lizenz. Das Compliance Package hat unsere Organisation nicht nur abgesichert, sondern auch effizienter gemacht.
Die Auslagerung unserer Geldwäsche-Funktion war ein echter Befreiungsschlag. Wir profitieren von geprüften Prozessen, einem erfahrenen Team und klaren Vertretungsregeln.
S+P hat für uns das komplette Set übernommen: Geldwäsche, Hinweisgeberstelle, Embargo. Alles läuft über strukturierte Prozesse, und die Prüfungsunterlagen sind jederzeit griffbereit.
Als Kapitalverwaltungsgesellschaft profitieren wir besonders vom integrierten Reporting und der nahtlosen Dokumentation — prüfungssicher auf Knopfdruck.
Mit der Auslagerungslösung konnten wir sicherstellen, dass unsere Compliance-Funktionen dauerhaft besetzt und prüfungssicher dokumentiert sind — ohne Personalengpässe oder Ausfallrisiken.
Unsere Gesellschaft steht unter hohem regulatorischem Druck. S+P hat uns geholfen, die MaRisk- und Geldwäschefunktionen professionell auszulagern, inklusive laufender Risikoüberwachung und Reporting an die Geschäftsleitung.
Häufige Fragen
Ist die Auslagerung aufsichtsrechtlich zulässig?
Die Auslagerung von Kontrollfunktionen ist grundsätzlich zulässig und in der Praxis verbreitet. Voraussetzung ist ein Auslagerungsvertrag, der Aufgaben, Weisungs-, Informations- und Prüfungsrechte, Berichtswege und Kündigungsmodalitäten regelt, sowie die Steuerung und Überwachung der ausgelagerten Leistung durch das Unternehmen. Bei bestimmten Funktionen ist die Aufsicht zu informieren. Den konkreten Rahmen klären wir vor Vertragsbeginn anhand von Institutstyp und Geschäftsmodell.
Wer trägt die Verantwortung nach der Auslagerung?
Die Verantwortung für die ordnungsgemäße Geschäftsorganisation verbleibt beim auslagernden Unternehmen. Die Auslagerung verlagert die Ausführung, nicht die Verantwortung. S+P nimmt die Funktion nach den vertraglich vereinbarten Aufgaben wahr und haftet im Rahmen der vertraglichen Vereinbarung für die Ordnungsmäßigkeit der eigenen Leistung. Die Geschäftsleitung bleibt gegenüber der Aufsicht verantwortlich und muss die ausgelagerte Funktion steuern und beurteilen können.
Können einzelne Funktionen gebucht werden?
Ja. Jede Funktion lässt sich einzeln beauftragen. Häufig beginnt die Zusammenarbeit mit einer Funktion und wird später erweitert. Werden mehrere Funktionen beauftragt, achten wir auf die Trennung der Verteidigungslinien: Die von S+P gestellte Interne Revision prüft eine ebenfalls von S+P wahrgenommene Kontrollfunktion nicht ohne zusätzliche Schutzmaßnahmen.
Wie schnell kann die Auslagerung starten?
Das hängt von Funktion, Institutstyp und dem Stand der vorhandenen Unterlagen ab. Vor der Bestellung sind Eignung und Zuverlässigkeit zu dokumentieren, bei bestimmten Funktionen ist zudem die Aufsicht zu informieren. Nach Vertragsabschluss folgen Einarbeitung, Bestandsaufnahme und Abstimmung des Kontrollplans. Den realistischen Zeitrahmen nennen wir im Erstgespräch anhand Ihrer Ausgangslage.
Wie weisen wir die Wirksamkeit der Kontrollen beim Dienstleister nach?
Über unsere Prüfungsberichte nach ISAE 3402 Typ II und IDW PS 951 Typ II. Typ II bescheinigt nicht nur die Ausgestaltung der Kontrollen, sondern ihre Wirksamkeit über einen Prüfungszeitraum. Sie erhalten die Berichte für Ihre Auslagerungsakte, sodass die Überwachungspflicht dokumentiert ist, ohne dass Ihre Interne Revision eigene Prüfungshandlungen bei uns durchführen muss. Hinzu kommen die Zertifizierungen nach ISO 9001 und ISO/IEC 27001 für den Standort Unterföhring.
Was spricht für die Auslagerung statt einer internen Lösung?
Zwei Punkte. Erstens die Sachkunde: Sie finanziert sich über viele Mandate und lässt sich laufend fortschreiben, was in einer einzelnen Stelle schwer darstellbar ist. Zweitens die Unabhängigkeit: In kleineren Einheiten übernimmt die Funktion intern häufig jemand, der zugleich im Tagesgeschäft steht — die externe Besetzung löst diesen strukturellen Konflikt. Hinzu kommen Vertretung und Verfügbarkeit, die intern an einer Person hängen.
Wie wird die Leistung gesteuert und überwacht?
Über den Auslagerungsvertrag und die vereinbarte Berichterstattung. Festgelegt werden Berichtsturnus und -format, Kennzahlen, Eskalationsschwellen sowie Weisungs-, Informations- und Prüfungsrechte einschließlich der Rechte von Interner Revision, Abschlussprüfer und Aufsicht. Damit behält die Geschäftsleitung die Steuerungsfähigkeit, die sie für ihre fortbestehende Verantwortung benötigt.
Kontrollfunktionen auslagern, Steuerung behalten
S+P Compliance besetzt Ihre Kontrollfunktionen mit benannten Personen, dokumentierter Sachkunde und belastbarer Vertretung — einzeln oder als abgestimmtes Paket, mit klarer Trennung der Verteidigungslinien und Berichtswegen, die Ihre Geschäftsleitung handlungsfähig halten.
Ihr Ansprechpartner
Achim Schulz
Geschäftsführer S+P Compliance
Achim Schulz verantwortet die S+P Compliance Services. Da S+P als Dienstleister für regulierte Institute fortlaufend von Wirtschaftsprüfern und Aufsichtsbehörden geprüft wird, ist die Prüfungsexpertise seines Teams immer auf dem neuesten Stand. Ihr Vorteil: Er weiß aus der täglichen Praxis exakt, welche Nachweise und Kontrollen in aktuellen Audits zwingend gefordert werden. Diese tagesaktuelle Expertise fließt direkt in Ihre Auslagerung ein. Sie profitieren von zertifizierten Prozessen (IDW PS 951, ISO), die jedem Audit durch die BaFin oder Ihren Abschlussprüfer absolut sicher standhalten.
LinkedIn-Profil → · Redaktion & Experten → · S+P Compliance Services →