Zum Hauptinhalt springen

Interne Revision nach § 25a Abs. 1 Nr. 3 KWG und BT 2 MaRisk

Auslagerung der Internen Revision

S+P Compliance übernimmt die Interne Revision – mit vollständiger Unabhängigkeit, risikoorientiertem Prüfungsplan und einem klaren Verfahren für den Fall der vollständigen Auslagerung.

Institute müssen nach § 25a Abs. 1 Nr. 3 KWG über eine unabhängige Interne Revision verfügen, die alle Aktivitäten und Prozesse risikoorientiert prüft. Anders als bei anderen Kontrollfunktionen gilt hier ein striktes Kombinationsverbot: Die Interne Revision darf nicht mit anderen Geschäftsbereichen oder Kontrollfunktionen des Instituts kombiniert werden. Grundlage für Aufgaben, Unabhängigkeit und Prüfungsplanung ist BT 2 MaRisk.

Diese Prüfungstätigkeit lässt sich auslagern, die Verantwortung für ein wirksames internes Kontrollsystem nicht. Bei vollständiger Auslagerung schreibt BT 2.4 MaRisk vor, dass die Geschäftsleitung einen Revisionsbeauftragten benennt, der die ordnungsgemäße Durchführung sicherstellt. Wir richten das Mandat so ein, dass diese Struktur von Beginn an steht.

  • Vollständige organisatorische und prozessuale Unabhängigkeit ohne Kombination mit anderen Funktionen.
  • Risikoorientierter, jährlich fortgeschriebener Prüfungsplan mit kurzfristiger Kapazität für Sonderprüfungen.
  • Prüfungsfeste Berichte mit Empfehlungen und systematischem Follow-up nach BT 2.5 MaRisk.
  • Unterstützung bei der Benennung eines Revisionsbeauftragten, wie es BT 2.4 MaRisk bei vollständiger Auslagerung verlangt.

Auslagerung anfragenLeistungsumfang ansehen

Rechtsgrundlagen und Prüfungsnachweise

  • § 25a Abs. 1 Nr. 3 KWG
  • AT 4.4.3 MaRisk
  • BT 2 MaRisk
  • BT 2.4 MaRisk
  • BT 2.5 MaRisk

Prüfungshinweis: Alle Prüfungshandlungen werden versioniert, mit Zeitstempel und Entscheidungsvermerk abgelegt. Prüfer erhalten auf Anforderung einen strukturierten Nachweis darüber, wer wann welche Feststellung getroffen und welche Maßnahme daraus abgeleitet wurde.

Wer eine Kontrollfunktion auslagert, muss das Auslagerungsunternehmen überwachen und die Überwachung belegen können. S+P Compliance stellt dafür geprüfte Nachweise bereit, die Ihr Abschlussprüfer, Ihre Aufsicht und Ihr Auslagerungsmanagement unmittelbar verwerten können. Sie verkürzen Ihre eigene Prüfungshandlung, ersetzen sie aber nicht: Die Auslagerung verlagert die Prüfungsdurchführung, nicht die Verantwortung für ein wirksames internes Kontrollsystem.

IDW PS 951

Das interne Kontrollsystem von S+P Compliance ist nach dem Prüfungsstandard des IDW für Dienstleistungsunternehmen geprüft. Der Bericht beschreibt Kontrollziele, Kontrollen und deren Wirksamkeit und kann in Ihre Beurteilung der Auslagerung einbezogen werden.

Auslagerungsprüfung

ISAE 3402

Für Häuser mit ausländischer Muttergesellschaft oder international tätigem Gruppenprüfer liegt der Nachweis nach dem internationalen Pendant vor. Damit entfällt die Diskussion darüber, ob ein rein nationaler Standard für die Gruppenprüfung ausreicht.

International

ISO 9001

Das Qualitätsmanagementsystem ist zertifiziert. Prozesse, Zuständigkeiten, Dokumentenlenkung und Korrekturmaßnahmen sind festgeschrieben und werden regelmäßig auditiert – die Grundlage dafür, dass vereinbarte Reaktionszeiten und Berichtsrhythmen eingehalten werden.

Qualitätsmanagement

ISO 27001

Das Informationssicherheits-Managementsystem ist zertifiziert. Für Sie relevant, weil bei der Auslagerung der Revision Prüfungsunterlagen, Feststellungen und Berichte außerhalb Ihres Hauses verarbeitet werden und dieser Punkt regelmäßig geprüft wird.

Informationssicherheit

ESG-Rating

S+P Compliance verfügt über ein bestätigtes ESG-Rating. Das erleichtert Ihnen die Bewertung im Rahmen der Lieferantenprüfung und die Aufnahme des Dienstleisters in Ihre eigene Nachhaltigkeitsberichterstattung.

Nachhaltigkeit

Bereitstellung der Unterlagen

Prüfungsberichte und Zertifikate stellen wir auf Anforderung bereit – auch direkt gegenüber Ihrem Abschlussprüfer oder Ihrer Aufsicht. Die Bereitstellung wird im Auslagerungsvertrag als Informations- und Prüfungsrecht verankert.

Auf Anforderung

Was ausgelagert wird – und was im Institut bleibt

Eine Auslagerung ist nur dann tragfähig, wenn die Entscheidungsrechte vorher schriftlich geklärt sind. Wir arbeiten nach einem festen Grundsatz: S+P Compliance prüft und dokumentiert, das Institut entscheidet über Abhilfemaßnahmen.

S+P Compliance prüft und dokumentiert

  • Entwicklung des risikoorientierten, jährlich fortzuschreibenden Prüfungsplans (Entwurf)
  • Durchführung unabhängiger Regelprüfungen sowie kurzfristiger Sonderprüfungen
  • Bewertung der Angemessenheit und Wirksamkeit des internen Kontrollsystems
  • Dokumentation der Prüfungsfeststellungen mit konkreten Empfehlungen
  • Systematisches Follow-up der Mängelbeseitigung nach BT 2.5 MaRisk

Das Institut entscheidet und verantwortet

  • Genehmigung des Prüfungsplans und wesentlicher Anpassungen durch die Geschäftsleitung
  • Benennung eines Revisionsbeauftragten bei vollständiger Auslagerung (BT 2.4 MaRisk)
  • Entscheidung über Abhilfemaßnahmen bei festgestellten Mängeln und deren Umsetzung
  • Freigabe von Fristen für die Mängelbeseitigung
  • Letztverantwortung für ein angemessenes internes Kontrollsystem

Die Interne Revision darf nach § 25a Abs. 1 Nr. 3 KWG nicht mit anderen Geschäftsbereichen oder Kontrollfunktionen des Instituts kombiniert werden. Bei vollständiger Auslagerung benennt die Geschäftsleitung einen Revisionsbeauftragten (BT 2.4 MaRisk). Die Auslagerung verlagert die Prüfungsdurchführung, nicht die Verantwortung für ein wirksames internes Kontrollsystem.

Warum Institute die Funktion auslagern

Drei Entwicklungen treffen die Interne Revision gleichzeitig – jede für sich ließe sich intern abfangen, in der Summe wird es eng.

  1. Ein Prüfungsauftrag, der alles umfasst

    Der Prüfungsplan der Internen Revision muss alle Aktivitäten und Prozesse des Instituts in angemessenen Abständen erfassen und sich dabei risikoorientiert an der jeweiligen Risikoklassifizierung ausrichten. Für eine einzelne interne Stelle ist es in kleineren und mittleren Häusern kaum leistbar, diesen Umfang dauerhaft mit der erforderlichen Prüfungstiefe abzudecken – zumal parallel jederzeit kurzfristige Sonderprüfungen möglich sein müssen.

    BT 2.1 und BT 2.3 MaRisk – Prüfungsauftrag und -planung

  2. Unabhängigkeit ohne Ausnahme

    Anders als bei anderen Kontrollfunktionen lässt der Gesetzgeber hier keine Kombination zu: Die Interne Revision darf nicht mit anderen Geschäftsbereichen oder Kontrollfunktionen des Instituts kombiniert werden, und Revisionsmitarbeiter dürfen grundsätzlich keine revisionsfremden Aufgaben übernehmen. In kleineren Häusern ist diese strikte Trennung mit vorhandenem Personal oft kaum darstellbar.

    § 25a Abs. 1 Nr. 3 KWG – keine Kombination zulässig

  3. Ein Rahmen, der sich weiter bewegt

    Mit der 9. MaRisk-Novelle vom 30. Juni 2026 hat die BaFin den Rahmen für Auslagerungen vorsichtig geöffnet, ohne die Verantwortung der Institute zu relativieren – insbesondere die Rolle der Internen Revision wird dabei flexibler ausgestaltet. Institute, die ihre Revisionsorganisation jetzt sauber dokumentieren, können diesen Spielraum nutzen, statt ihn erst nachträglich nachzuvollziehen.

    30.06.2026 – 9. MaRisk-Novelle: flexiblere Interne Revision

Sechs Punkte, an denen es in der Praxis klemmt

Die folgenden Befunde tauchen in Prüfungsberichten regelmäßig auf. Sie beschreiben typische Muster, keine konkreten Häuser.

Vakanz und Unabhängigkeit

Kündigung oder längere Abwesenheit treffen eine Funktion, die dauerhaft besetzt sein muss. Eine kurzfristige interne Vertretung verletzt schnell das Kombinationsverbot, weil die vertretende Person meist bereits andere Aufgaben im Institut wahrnimmt.

Prüfungsplan nicht risikoorientiert

Der Prüfungsplan wird jährlich fortgeschrieben, aber die zugrunde liegende Risikoklassifizierung nicht regelmäßig überprüft. Neue Geschäftsfelder oder Prozesse tauchen erst mit Verzögerung im Prüfungsprogramm auf.

Funktionstrennung nicht dokumentiert

Revisionsmitarbeiter übernehmen zeitweise Aufgaben außerhalb der Prüfungstätigkeit, ohne dass diese Ausnahme dokumentiert oder zeitlich begrenzt ist. Genau das prüft die Aufsicht als Erstes.

Follow-up der Mängelbeseitigung schleift

Feststellungen werden dokumentiert, die vereinbarte Fristüberwachung nach BT 2.5 MaRisk findet aber nicht systematisch statt. Offene Mängel bleiben unentdeckt liegen, bis die nächste Prüfung sie erneut aufgreift.

Sonderprüfungen nicht kurzfristig möglich

Bei aufgetretenen Mängeln oder besonderem Informationsbedarf muss die Revision kurzfristig prüfen können. Fehlt dafür Kapazität, verzögert sich die Aufklärung genau dann, wenn sie am dringendsten gebraucht wird.

Kein Revisionsbeauftragter benannt

Bei vollständiger Auslagerung verlangt BT 2.4 MaRisk die Benennung eines Revisionsbeauftragten, der die ordnungsgemäße Durchführung sicherstellt. In der Praxis fehlt diese Benennung oft, weil sie bei der Vertragsgestaltung übersehen wird.

Leistungsumfang der Auslagerung

Der Umfang wird im Auslagerungsvertrag festgelegt. Sie können die Revision vollständig übertragen oder S+P Compliance für Spezialthemen ergänzend zu einer bestehenden internen Revision beauftragen.

Mandat als ausgelagerte Interne Revision

Vollständige Unabhängigkeit, keine Kombination mit anderen Funktionen.

  • Benennung eines qualifizierten Revisionsteams mit Nachweis der fachlichen Eignung
  • Vollständige organisatorische und prozessuale Unabhängigkeit nach § 25a Abs. 1 Nr. 3 KWG
  • Keine Kombination mit anderen Kontrollfunktionen oder Geschäftsbereichen
  • Direkte Berichtslinie an die Geschäftsleitung
  • Unterstützung bei der Benennung eines internen Revisionsbeauftragten
  • Feste Vertretungsregelung für Kapazitätsspitzen und Sonderprüfungen
  • Abstimmung von Schnittstellen zu Compliance-Funktion und Geldwäschebeauftragtem
  • Übergabedokumentation bei Beginn und Beendigung des Mandats

Abgrenzung: Bei vollständiger Auslagerung benennt die Geschäftsleitung einen Revisionsbeauftragten nach BT 2.4 MaRisk, der die ordnungsgemäße Durchführung der ausgelagerten Revision überwacht. S+P Compliance unterstützt bei der Ausgestaltung dieser Rolle, die Benennung selbst obliegt dem Institut.

Risikoorientierter Prüfungsplan

Ein Plan, der die Herkunft jeder Prüfung aus einer konkreten Risikoeinschätzung zeigt.

  • Erhebung aller Aktivitäten, Prozesse und Risikofelder des Instituts
  • Regelmäßige Risikoklassifizierung als Grundlage der Prüfungsintensität
  • Entwicklung eines mehrjährigen, jährlich fortzuschreibenden Prüfungsplans
  • Risikoorientierte Priorisierung der Prüfungsfelder
  • Berücksichtigung zu erwartender Veränderungen im Risikopotenzial
  • Abstimmung des Plans mit Geschäftsleitung und, soweit vorhanden, Aufsichtsorgan
  • Vorbereitung der Genehmigung durch die Geschäftsleitung
  • Dokumentation der Planungsmethodik für die Prüfungsfestigkeit

Prüfungsdurchführung

Regelprüfungen nach Plan und kurzfristige Verfügbarkeit für Sonderfälle.

  • Durchführung risikobasierter Regelprüfungen nach Prüfungsplan
  • Kurzfristige Verfügbarkeit für Sonderprüfungen bei Mängeln oder besonderem Informationsbedarf
  • Objektive, unabhängige Prüfungshandlungen ohne operative Einbindung
  • Prüfung der Angemessenheit und Wirksamkeit des internen Kontrollsystems
  • Einsatz risikobasierter Prüfungsmethoden und -techniken
  • Dokumentation von Prüfungsschritten und Nachweisen
  • Abstimmung mit externen Prüfern zur Vermeidung von Doppelprüfungen
  • Einhaltung anerkannter Prüfungsstandards

Berichtswesen und Kommunikation

Berichte, die Feststellung, Empfehlung und Verantwortung klar trennen.

  • Erstellung klarer, prüfungsfester Prüfberichte mit konkreten Empfehlungen
  • Jahresbericht der Internen Revision an die Geschäftsleitung
  • Unterjähriges Reporting zu offenen Prüfungen und Fristen
  • Unmittelbare Kommunikation wesentlicher Feststellungen an die Geschäftsleitung
  • Vorbereitung der Kommunikation mit BaFin und weiteren Aufsichtsstellen
  • Berichterstattung an das Aufsichtsorgan, soweit vorgesehen
  • Aufbereitung von Unterlagen für externe Prüfungen
  • Nachvollziehbare Dokumentation der Berichtshistorie

Follow-up und Mängelnachverfolgung

Nachverfolgung, die erst mit der dokumentierten Erledigung endet.

  • Systematische Nachverfolgung aller Prüfungsfeststellungen bis zur Erledigung
  • Überwachung vereinbarter Fristen zur Mängelbeseitigung
  • Eskalation bei ausbleibender oder verzögerter Umsetzung
  • Wiedervorlage und erneute Prüfung umgesetzter Maßnahmen
  • Auswertung wiederkehrender Feststellungen auf strukturelle Schwachstellen
  • Abstimmung mit dem betroffenen Fachbereich zur Umsetzung
  • Dokumentation des gesamten Nachverfolgungsprozesses
  • Einbindung der Ergebnisse in das Jahresberichtswesen

Abgrenzung: S+P Compliance verfolgt Feststellungen nach und dokumentiert den Umsetzungsstand. Über die konkrete Abhilfemaßnahme und deren Umsetzung entscheidet der betroffene Geschäftsbereich beziehungsweise die Geschäftsleitung.

Qualitätssicherung und Weiterentwicklung

Prüfungsmethodik, die mit den regulatorischen Anforderungen mitwächst.

  • Regelmäßige Überprüfung von Planung, Methoden und Qualität der Prüfungen
  • Weiterentwicklung der Prüfungsmethodik entsprechend neuer regulatorischer Anforderungen
  • Abgleich mit Änderungen wie der 9. MaRisk-Novelle vom 30. Juni 2026
  • Interne Qualitätssicherung der Revisionsarbeit
  • Schulung des Revisionsteams zu aktuellen Prüfungsstandards
  • Abgleich der Prüfungsmethodik gegen anerkannte Standards
  • Dokumentation der Weiterentwicklung für externe Qualitätsprüfungen
  • Abstimmung mit der Geschäftsleitung zu strategischen Prüfungsschwerpunkten

Auslagerungsvertrag und laufende Steuerung

Eine Auslagerung wird nicht durch die Leistung tragfähig, sondern durch ihre Steuerung. Die folgenden vier Elemente regeln wir vor dem Start.

Vertrag und Unabhängigkeit

Leistungsumfang, Berichtslinie und das Verbot der Kombination mit anderen Funktionen werden schriftlich fixiert, damit die Unabhängigkeit der Revision belegbar bleibt.

Weisungs- und Informationsrechte

Die Geschäftsleitung behält die Steuerungsmöglichkeit. Vereinbart werden Zugriffs-, Auskunfts- und Prüfungsrechte für Institut, Abschlussprüfer und Aufsicht.

Vertretung und Erreichbarkeit

Neben dem benannten Revisionsteam ist eine eingearbeitete Vertretung vertraglich hinterlegt. Reaktionszeiten für Sonderprüfungen sind Bestandteil der Vereinbarung, nicht der Absprache.

Exit und Rückverlagerung

Für Kündigung, Wechsel oder Rückverlagerung liegt ein Verfahren vor: Datenherausgabe, Übergabedokumentation und Einarbeitung der Nachfolge sind vorab beschrieben.

Vier Einsatzmodelle

Welches Modell passt, hängt von Größe, bestehender Revisionsstruktur und Prüfungsschwerpunkten ab. Die Modelle lassen sich im Zeitverlauf wechseln.

Vollmandat

S+P Compliance übernimmt die gesamte Interne Revision. Die Geschäftsleitung benennt einen Revisionsbeauftragten und behält die Genehmigungsrechte, die sie nicht abgeben kann.

Revisionsbeauftragter erforderlich

Ergänzungsprüfung

Die interne Revision bleibt bestehen, S+P Compliance deckt einzelne Spezialthemen oder Prüfungsfelder ab, für die intern die Tiefe fehlt.

Ergänzung

Interim

Befristete Besetzung bei Vakanz oder Aufbau einer neuen Revisionsfunktion, verbunden mit strukturierter Übergabe an die interne Nachfolge.

Übergangszeitraum

Sonderprüfungen

Einzelauftrag für eine konkrete Sonderprüfung ohne Dauermandat, etwa bei aufgetretenen Mängeln oder besonderem Informationsbedarf.

Einzelauftrag

In vier Schritten zur ausgelagerten Revision

Der Zeitbedarf hängt davon ab, wie vollständig Risikoinventur und bestehender Prüfungsplan vorliegen.

1

Anforderungen klären

Institutsgröße, Geschäftsmodell, bestehende Revisionsstruktur und offene Feststellungen werden aufgenommen. Ergebnis ist eine Bestandsaufnahme mit Prioritäten.

2

Prüfungsanalyse und Angebot

Wir bewerten Risikofelder, Unabhängigkeitsanforderungen und Schnittstellen und legen ein Angebot mit definiertem Leistungsumfang und Berichtsrhythmus vor.

3

Vertrag, Revisionsbeauftragter, Prüfungsplan

Auslagerungsvertrag wird abgeschlossen, die Geschäftsleitung benennt einen Revisionsbeauftragten und genehmigt den ersten risikoorientierten Prüfungsplan.

4

Prüfung, Bericht, Follow-up

Laufende Prüfungsdurchführung nach Plan, unterjähriges Reporting, Jahresbericht an die Geschäftsleitung und systematische Nachverfolgung der Feststellungen.

Rollenverteilung bei haftungsrelevanten Entscheidungen

Vier Vorgänge entscheiden im Prüfungsfall darüber, ob eine Auslagerung sauber aufgesetzt war. Für jeden dieser Vorgänge halten wir schriftlich fest, wer prüft und dokumentiert und wer entscheidet. Diese Zuordnung ist Bestandteil des Auslagerungsvertrags und wird nicht im Tagesgeschäft ausgehandelt.

Der Grundsatz gilt durchgängig: S+P Compliance prüft und dokumentiert, das Institut entscheidet. Die Interne Revision darf nicht mit anderen Kontrollfunktionen kombiniert werden – die Auslagerung verlagert die Prüfungsdurchführung, nicht die Verantwortung für ein wirksames internes Kontrollsystem.

Vorgang S+P Compliance prüft und dokumentiert Entscheidung und Verantwortung im Institut Anknüpfungspunkt
Prüfungsplan Erhebung, Risikoklassifizierung, Planentwurf mit Priorisierung Genehmigung des Plans und wesentlicher Anpassungen durch die Geschäftsleitung BT 2.3 MaRisk
Prüfungsdurchführung Durchführung, Dokumentation, Bewertung des internen Kontrollsystems Bereitstellung von Auskünften und Zugang zu Unterlagen BT 2.1 MaRisk
Feststellungen und Mängel Dokumentation, Empfehlung, Fristvorschlag, systematisches Follow-up Entscheidung über Abhilfemaßnahmen und deren Umsetzung BT 2.5 MaRisk
Vollständige Auslagerung Prüfungsdurchführung und Berichtswesen im Auftrag des Instituts Benennung eines Revisionsbeauftragten zur Sicherstellung ordnungsgemäßer Durchführung BT 2.4 MaRisk

Passt eine Auslagerung zu Ihrer Konstellation?

Im ersten Gespräch klären wir Institutsgröße, bestehende Revisionsstruktur und offene Feststellungen aus der letzten Prüfung. Ergebnis ist eine Einschätzung, welches Einsatzmodell trägt und wer als Revisionsbeauftragter in Frage kommt.

Erstgespräch anfragenEinsatzmodelle vergleichen

Was sich damit im Haus verändert

Funktion durchgängig besetzt

Revisionsteam und Vertretung sind vertraglich geregelt, eingearbeitet und auch für Sonderprüfungen kurzfristig erreichbar.

Kontinuität

Unabhängigkeit ohne Kompromiss

Keine Kombination mit anderen Funktionen, keine operative Einbindung – die Trennung ist strukturell und vertraglich abgesichert.

Unabhängigkeit

Prüfungsfeste Berichte

Feststellungen, Empfehlungen und Fristen sind klar dokumentiert, statt erst bei der nächsten Prüfung rekonstruiert zu werden.

Dokumentation

Planbarer Aufwand

Leistungsumfang und Vergütung sind vertraglich definiert. Rekrutierung, Einarbeitung und Fortbildung entfallen als Einzelposten.

Kalkulierbar

Aktuelle Prüfungsmethodik

Änderungen wie die 9. MaRisk-Novelle vom 30. Juni 2026 werden laufend in Prüfungsplan und -methodik eingearbeitet.

Aktualität

Klare Rollen

Wer prüft, wer dokumentiert und wer entscheidet, ist schriftlich geregelt. Das reduziert Rückfragen bei externen Prüfungen.

Governance

Für wen die Auslagerung in Frage kommt

Adressiert sind Institute nach § 25a Abs. 1 Nr. 3 KWG, die eine unabhängige Interne Revision nach BT 2 MaRisk einrichten müssen.

  • Kreditinstitute
  • Genossenschaftsbanken
  • Finanzdienstleistungsinstitute
  • Zahlungsinstitute
  • E-Geld-Institute
  • Kapitalverwaltungsgesellschaften
  • Kryptoverwahrer und Kryptodienstleister
  • FinTechs mit KWG- oder ZAG-Erlaubnis
  • Zweigniederlassungen ausländischer Institute

Weitere Auslagerungsleistungen von S+P Compliance

Die Auslagerung der Internen Revision lässt sich mit weiteren Kontrollfunktionen kombinieren, soweit die jeweiligen Unabhängigkeitsanforderungen dies zulassen. Alle Mandate folgen derselben Rollenlogik: Ausführung extern, Verantwortung im Institut.

Kontrollfunktion

Auslagerung Geldwäsche Officer

Geldwäscheprävention nach § 6 und § 7 GwG, mit Verdachtsmeldewesen und Transaktionsmonitoring.

Zur Leistung
Kontrollfunktion

Auslagerung Compliance Officer

Allgemeine Compliance-Funktion nach AT 4.4.2 MaRisk mit Überwachung, Beratung und Berichtswesen.

Zur Leistung
Auslagerungssteuerung

Zentrales Auslagerungsmanagement

Steuerung und Kontrolle aller Auslagerungen einschließlich Auslagerungsregister, Risikoanalysen und Berichtswesen.

Zur Leistung
Meldewesen

Auslagerung XBRL-Meldewesen

Fristgerechte und formal geprüfte XBRL-Meldungen, ohne dass Sie eigene Meldesoftware betreiben müssen.

Zur Leistung
Operativer Betrieb

AML Operations

Operative Unterstützung bei Alert-Bearbeitung, Fallabschluss und Rückstandsabbau – auch kurzfristig und skalierbar.

Zur Leistung
Operativer Betrieb

KYC Operations

Kundensorgfaltspflichten im laufenden Betrieb: Onboarding, periodische Aktualisierung und Nachbearbeitung offener Fälle.

Zur Leistung
English

Outsourcing Internal Audit

Independent audits nach risikoorientiertem Prüfungsplan mit englischsprachiger Berichterstattung für internationale Häuser.

Zur Leistung

Häufige Fragen zur Auslagerung der Internen Revision

Was genau übernimmt S+P als ausgelagerte Interne Revision?

S+P Compliance stellt ein qualifiziertes Revisionsteam, das den risikoorientierten Prüfungsplan entwickelt, Regel- und Sonderprüfungen durchführt, die Angemessenheit und Wirksamkeit des internen Kontrollsystems bewertet und Feststellungen mit konkreten Empfehlungen dokumentiert. Dazu kommen Jahresbericht, unterjähriges Reporting und die systematische Nachverfolgung der Mängelbeseitigung nach BT 2.5 MaRisk. Der genaue Umfang wird im Auslagerungsvertrag festgelegt.

Für welche Unternehmen ist die Auslagerung sinnvoll?

In Betracht kommen Institute nach § 25a Abs. 1 Nr. 3 KWG: Kreditinstitute, Genossenschaftsbanken, Finanzdienstleistungsinstitute, Zahlungs- und E-Geld-Institute, Kapitalverwaltungsgesellschaften, Kryptoverwahrer und FinTechs mit KWG- oder ZAG-Erlaubnis. Sinnvoll ist die Auslagerung vor allem dort, wo das strikte Kombinationsverbot mit vorhandenem Personal kaum darstellbar ist oder wo Kapazität für Sonderprüfungen fehlt.

Bleibt die Verantwortung für ein wirksames internes Kontrollsystem beim Institut?

Ja. Die Auslagerung verlagert die Prüfungsdurchführung, nicht die Verantwortung für ein wirksames internes Kontrollsystem. Bei vollständiger Auslagerung muss die Geschäftsleitung nach BT 2.4 MaRisk einen Revisionsbeauftragten benennen, der die ordnungsgemäße Durchführung sicherstellt. Genehmigung des Prüfungsplans und Entscheidungen über Abhilfemaßnahmen bei festgestellten Mängeln bleiben Aufgaben des Instituts.

Wie stellt S+P die Unabhängigkeit sicher?

Die Revision wird organisatorisch und prozessual getrennt von anderen Mandaten geführt. Personen, die für Sie prüfen, übernehmen keine revisionsfremden Aufgaben in Ihrem Institut und sind nicht in operative Prozesse eingebunden, die sie selbst bewerten. Diese Trennung ist im Auslagerungsvertrag festgehalten und wird durch die direkte Berichtslinie an Ihre Geschäftsleitung abgesichert.

Was bedeutet „prüfungssicher“ (ISO, IDW PS 951, ISAE 3402)?

IDW PS 951 und ISAE 3402 sind Prüfungsstandards, nach denen das interne Kontrollsystem von S+P Compliance selbst extern geprüft ist – das gibt Ihrem Abschlussprüfer eine geprüfte Grundlage für die Beurteilung der Auslagerung. ISO 9001 und ISO 27001 sind Zertifizierungen für Qualitäts- und Informationssicherheitsmanagement. Alle Nachweise stellen wir Ihnen und Ihrer Aufsicht auf Anforderung zur Verfügung, siehe Abschnitt Rechtsgrundlagen und Prüfungsnachweise.

Kann die Interne Revision mit anderen Funktionen kombiniert werden?

Nein. Anders als bei anderen Kontrollfunktionen lässt § 25a Abs. 1 Nr. 3 KWG hier keine Ausnahme zu: Die Interne Revision darf nicht mit anderen Geschäftsbereichen oder Kontrollfunktionen des Instituts kombiniert werden. Möchten Sie zusätzlich Compliance-Funktion, Geldwäschebeauftragten oder weitere Kontrollfunktionen auslagern, richten wir dafür separate, organisatorisch getrennte Mandate ein.

Auslagerung mit klarer Rollentrennung

Eine ausgelagerte Interne Revision trägt dann, wenn zwei Dinge zusammenkommen: ein risikoorientierter Prüfungsplan, der dem Geschäftsmodell folgt, und eine Rollenverteilung, die im Prüfungsfall belegbar ist. S+P Compliance richtet beides gemeinsam mit Ihnen ein – die Prüfungsdurchführung wird verlagert, die Verantwortung für ein wirksames internes Kontrollsystem bleibt bei Ihrem Institut.

Angebot anfordernRollenverteilung prüfen

Auslagerungslösung Interne Revision
Achim Schulz
Ihr Ansprechpartner

Achim Schulz

Geschäftsführer S+P Compliance

Achim Schulz verantwortet die S+P Compliance Services. Da S+P als Dienstleister für regulierte Institute fortlaufend von Wirtschaftsprüfern und Aufsichtsbehörden geprüft wird, ist die Prüfungsexpertise seines Teams immer auf dem neuesten Stand. Ihr Vorteil: Er weiß aus der täglichen Praxis exakt, welche Nachweise und Kontrollen in aktuellen Audits zwingend gefordert werden. Diese tagesaktuelle Expertise fließt direkt in Ihre Auslagerung ein. Sie profitieren von zertifizierten Prozessen (IDW PS 951, ISO), die jedem Audit durch die BaFin oder Ihren Abschlussprüfer absolut sicher standhalten.

LinkedIn-Profil → · Redaktion & Experten → · S+P Compliance Services →
Bekannt aus

S+P Compliance Services – Medien & Thought Leadership

Handelsblatt WirtschaftsWoche Süddeutsche Zeitung FOCUS DerStandard Frankfurter Rundschau Berliner Morgenpost FNP
Handelsblatt
MaRisk, DORA & ESG – Wie Top-Manager Haftungsrisiken vermeiden