Zum Hauptinhalt springen

Interne Revision nach AT 4.4.3 MaRisk und AT 9 MaRisk

Auslagerung der Internen Revision

S+P Compliance übernimmt Revisionsleistungen – mit unabhängiger Aufgabenwahrnehmung, risikoorientiertem Prüfungsplan und einem klaren Verfahren für den Fall der vollständigen Auslagerung.

Zu einer ordnungsgemäßen Geschäftsorganisation nach § 25a Abs. 1 KWG gehört nach AT 4.4.3 MaRisk eine funktionsfähige Interne Revision, die unabhängig und risikoorientiert alle Aktivitäten und Prozesse des Instituts prüft, einschließlich der ausgelagerten Tätigkeiten. Revisionsmitarbeiter dürfen grundsätzlich nicht mit revisionsfremden Aufgaben betraut werden, und Mitarbeiter anderer Organisationseinheiten dürfen grundsätzlich keine Aufgaben der Internen Revision übernehmen.

Die Prüfungstätigkeit lässt sich auslagern, die Verantwortung für ein wirksames internes Kontrollsystem nicht. Bei vollständiger Auslagerung muss die Geschäftsleitung nach AT 9 Tz. 10 MaRisk einen unabhängigen und sachkundigen Revisionsbeauftragten benennen, der eine ordnungsgemäße Durchführung gewährleistet. Eine vollständige Auslagerung der Internen Revision ist nach AT 9 Tz. 5 MaRisk allerdings nur bei sehr kleinen Instituten und bei nicht wesentlichen Tochterinstituten innerhalb einer Institutsgruppe zulässig. Ob die Voraussetzungen bei Ihnen vorliegen, klären wir zu Beginn des Mandats.

  • Unabhängige Aufgabenwahrnehmung ohne revisionsfremde Aufgaben des Revisionsteams im Institut.
  • Risikoorientierter, jährlich fortgeschriebener Prüfungsplan mit kurzfristiger Kapazität für Sonderprüfungen.
  • Prüfungsfeste Berichte mit Empfehlungen und systematischem Follow-up nach AT 4.4.3 Tz. 11 MaRisk.
  • Unterstützung bei der Ausgestaltung der Rolle des Revisionsbeauftragten, wie es AT 9 Tz. 10 MaRisk bei vollständiger Auslagerung verlangt.

Auslagerung anfragenLeistungsumfang ansehen

Rechtsgrundlagen und Prüfungsnachweise

  • § 25a Abs. 1 KWG
  • AT 4.4.3 MaRisk
  • AT 9 Tz. 5 MaRisk
  • AT 9 Tz. 10 MaRisk
  • AT 4.4.3 Tz. 11 MaRisk

Prüfungshinweis: Alle Prüfungshandlungen werden versioniert, mit Zeitstempel und Entscheidungsvermerk abgelegt. Prüfer erhalten auf Anforderung einen strukturierten Nachweis darüber, wer wann welche Feststellung getroffen und welche Maßnahme daraus abgeleitet wurde.

Wer eine Kontrollfunktion auslagert, muss das Auslagerungsunternehmen überwachen und die Überwachung belegen können. S+P Compliance stellt dafür geprüfte Nachweise bereit, die Ihr Abschlussprüfer, Ihre Aufsicht und Ihr Auslagerungsmanagement unmittelbar verwerten können. Sie verkürzen Ihre eigene Prüfungshandlung, ersetzen sie aber nicht: Die Auslagerung verlagert die Prüfungsdurchführung, nicht die Verantwortung für ein wirksames internes Kontrollsystem.

IDW PS 951

Das interne Kontrollsystem von S+P Compliance ist nach dem Prüfungsstandard des IDW für Dienstleistungsunternehmen geprüft. Der Bericht beschreibt Kontrollziele, Kontrollen und deren Wirksamkeit und kann in Ihre Beurteilung der Auslagerung einbezogen werden.

Auslagerungsprüfung

ISAE 3402

Für Häuser mit ausländischer Muttergesellschaft oder international tätigem Gruppenprüfer liegt der Nachweis nach dem internationalen Pendant vor. Damit entfällt die Diskussion darüber, ob ein rein nationaler Standard für die Gruppenprüfung ausreicht.

International

ISO 9001

Das Qualitätsmanagementsystem ist zertifiziert. Prozesse, Zuständigkeiten, Dokumentenlenkung und Korrekturmaßnahmen sind festgeschrieben und werden regelmäßig auditiert – die Grundlage dafür, dass vereinbarte Reaktionszeiten und Berichtsrhythmen eingehalten werden.

Qualitätsmanagement

ISO 27001

Das Informationssicherheits-Managementsystem ist zertifiziert. Für Sie relevant, weil bei der Auslagerung der Revision Prüfungsunterlagen, Feststellungen und Berichte außerhalb Ihres Hauses verarbeitet werden und dieser Punkt regelmäßig geprüft wird.

Informationssicherheit

ESG-Rating

S+P Compliance verfügt über ein bestätigtes ESG-Rating. Das erleichtert Ihnen die Bewertung im Rahmen der Lieferantenprüfung und die Aufnahme des Dienstleisters in Ihre eigene Nachhaltigkeitsberichterstattung.

Nachhaltigkeit

Bereitstellung der Unterlagen

Prüfungsberichte und Zertifikate stellen wir auf Anforderung bereit – auch direkt gegenüber Ihrem Abschlussprüfer oder Ihrer Aufsicht. Die Bereitstellung wird im Auslagerungsvertrag als Informations- und Prüfungsrecht verankert.

Auf Anforderung

Was ausgelagert wird – und was im Institut bleibt

Eine Auslagerung ist nur dann tragfähig, wenn die Entscheidungsrechte vorher schriftlich geklärt sind. Wir arbeiten nach einem festen Grundsatz: S+P Compliance prüft und dokumentiert, das Institut entscheidet über Abhilfemaßnahmen.

S+P Compliance prüft und dokumentiert

  • Entwicklung des risikoorientierten, jährlich fortzuschreibenden Prüfungsplans (Entwurf)
  • Durchführung unabhängiger Regelprüfungen sowie kurzfristiger Sonderprüfungen
  • Bewertung der Angemessenheit und Wirksamkeit des internen Kontrollsystems
  • Dokumentation der Prüfungsfeststellungen mit konkreten Empfehlungen
  • Systematisches Follow-up der Mängelbeseitigung nach AT 4.4.3 Tz. 11 MaRisk

Das Institut entscheidet und verantwortet

  • Genehmigung des Prüfungsplans und wesentlicher Anpassungen durch die Geschäftsleitung
  • Benennung eines Revisionsbeauftragten bei vollständiger Auslagerung (AT 9 Tz. 10 MaRisk)
  • Entscheidung über Abhilfemaßnahmen bei festgestellten Mängeln und deren Umsetzung
  • Freigabe von Fristen für die Mängelbeseitigung
  • Letztverantwortung für ein angemessenes internes Kontrollsystem

Die Interne Revision ist nach AT 4.4.3 MaRisk direkt der Geschäftsleitung unterstellt und nimmt ihre Aufgaben selbständig und unabhängig wahr. Bei vollständiger Auslagerung, die nur unter den Voraussetzungen des AT 9 Tz. 5 MaRisk zulässig ist, benennt die Geschäftsleitung einen Revisionsbeauftragten, der ihr unmittelbar unterstellt ist (AT 9 Tz. 10 MaRisk). Die Auslagerung verlagert die Prüfungsdurchführung, nicht die Verantwortung für ein wirksames internes Kontrollsystem.

Warum Institute die Funktion auslagern

Drei Entwicklungen treffen die Interne Revision gleichzeitig – jede für sich ließe sich intern abfangen, in der Summe wird es eng.

  1. Ein Prüfungsauftrag, der alles umfasst

    Die Interne Revision muss sämtliche Aktivitäten und Prozesse, einschließlich ausgelagerter, grundsätzlich innerhalb von drei Jahren prüfen; bei besonderen Risiken ist ein kürzerer Turnus erforderlich, und auch nicht wesentliche Aktivitäten gehören in die Prüfungsplanung. Für eine einzelne interne Stelle ist es in kleineren und mittleren Häusern kaum leistbar, diesen Umfang dauerhaft mit der erforderlichen Prüfungstiefe abzudecken – zumal parallel jederzeit kurzfristige Sonderprüfungen möglich sein müssen.

    AT 4.4.3 Tz. 5 und 6 MaRisk – Prüfungsumfang und -planung

  2. Unabhängigkeit mit engen Grenzen

    Die Interne Revision ist direkt der Geschäftsleitung unterstellt und unterliegt bei der Wertung der Prüfungsergebnisse keinen Weisungen. Revisionsmitarbeiter dürfen grundsätzlich nicht mit revisionsfremden Aufgaben betraut werden, Mitarbeiter anderer Organisationseinheiten grundsätzlich keine Revisionsaufgaben übernehmen. Nur bei sehr kleinen Instituten kann ein Geschäftsleiter die Aufgaben übernehmen, wenn eine eigene Revisionseinheit unverhältnismäßig ist. In kleineren Häusern ist diese Trennung mit vorhandenem Personal oft kaum darstellbar.

    AT 4.4.3 Tz. 1 bis 4 MaRisk – Unabhängigkeit und Funktionstrennung

  3. Ein Rahmen, der sich weiter bewegt

    Mit der 9. MaRisk-Novelle vom 30. Juni 2026 (Rundschreiben 06/2026 (BA)) stehen die Anforderungen an die Interne Revision im Modul AT 4.4.3, die Regeln zur Auslagerung sind in AT 9 neu gefasst. Dort ist unter anderem festgelegt, in welchen Fällen die Interne Revision vollständig ausgelagert werden darf und welche Aufgaben der Revisionsbeauftragte dann hat. Institute sollten Revisionsorganisation und Auslagerungsverträge an diesem Rahmen messen.

    30.06.2026 – 9. MaRisk-Novelle: AT 4.4.3 und AT 9

Sechs Punkte, an denen es in der Praxis klemmt

Die folgenden Befunde beschreiben typische Muster in der Revisionspraxis, keine konkreten Häuser.

Vakanz und Unabhängigkeit

Kündigung oder längere Abwesenheit treffen eine Funktion, die dauerhaft besetzt sein muss. Eine kurzfristige interne Vertretung kollidiert schnell mit AT 4.4.3 Tz. 4 MaRisk, weil Mitarbeiter anderer Organisationseinheiten grundsätzlich keine Revisionsaufgaben übernehmen sollen.

Prüfungsplan nicht risikoorientiert

Der Prüfungsplan wird jährlich fortgeschrieben, aber die zugrunde liegende Risikobewertung nicht regelmäßig überprüft. Neue Geschäftsfelder oder Prozesse tauchen erst mit Verzögerung im Prüfungsprogramm auf.

Funktionstrennung nicht dokumentiert

Revisionsmitarbeiter übernehmen zeitweise Aufgaben außerhalb der Prüfungstätigkeit, ohne dass diese Ausnahme dokumentiert oder zeitlich begrenzt ist. Das ist ein typischer Punkt bei der Beurteilung der Unabhängigkeit.

Follow-up der Mängelbeseitigung schleift

Feststellungen werden dokumentiert, die fristgerechte Überwachung der Mängelbeseitigung nach AT 4.4.3 Tz. 11 MaRisk findet aber nicht systematisch statt. Offene Mängel bleiben liegen, bis die nächste Prüfung sie erneut aufgreift.

Sonderprüfungen nicht kurzfristig möglich

Bei aufgetretenen Mängeln oder besonderem Informationsbedarf muss die Revision kurzfristig prüfen können. Fehlt dafür Kapazität, verzögert sich die Aufklärung genau dann, wenn sie am dringendsten gebraucht wird.

Kein Revisionsbeauftragter benannt

Bei vollständiger Auslagerung verlangt AT 9 Tz. 10 MaRisk die Benennung eines unabhängigen und sachkundigen Beauftragten, der eine ordnungsgemäße Durchführung gewährleistet. In der Praxis wird diese Benennung bei der Vertragsgestaltung leicht übersehen.

Leistungsumfang der Auslagerung

Der Umfang wird im Auslagerungsvertrag festgelegt. Sie können die Revision – soweit nach AT 9 Tz. 5 MaRisk zulässig – vollständig übertragen oder S+P Compliance für Spezialthemen ergänzend zu einer bestehenden internen Revision beauftragen.

Mandat als ausgelagerte Interne Revision

Unabhängige Aufgabenwahrnehmung, keine revisionsfremden Aufgaben im Institut.

  • Benennung eines qualifizierten Revisionsteams mit Nachweis der fachlichen Eignung
  • Selbständige und unabhängige Aufgabenwahrnehmung nach AT 4.4.3 Tz. 2 MaRisk
  • Keine revisionsfremden Aufgaben für das eingesetzte Revisionsteam im Institut
  • Direkte Berichtslinie an die Geschäftsleitung
  • Unterstützung bei der Ausgestaltung der Rolle des Revisionsbeauftragten
  • Feste Vertretungsregelung für Kapazitätsspitzen und Sonderprüfungen
  • Abstimmung von Schnittstellen zu Compliance-Funktion und Geldwäschebeauftragtem
  • Übergabedokumentation bei Beginn und Beendigung des Mandats

Abgrenzung: Eine vollständige Auslagerung ist nur unter den Voraussetzungen des AT 9 Tz. 5 MaRisk möglich. In diesem Fall benennt die Geschäftsleitung einen unabhängigen und sachkundigen Revisionsbeauftragten nach AT 9 Tz. 10 MaRisk, der ihr unmittelbar unterstellt ist. Er erstellt den Prüfungsplan gemeinsam mit dem beauftragten Dritten, verfasst gegebenenfalls gemeinsam mit diesem den vierteljährlichen Bericht und prüft, ob festgestellte Mängel beseitigt wurden. S+P Compliance unterstützt bei der Ausgestaltung dieser Rolle, die Benennung selbst obliegt dem Institut.

Risikoorientierter Prüfungsplan

Ein Plan, der die Herkunft jeder Prüfung aus einer konkreten Risikoeinschätzung zeigt.

  • Erhebung aller Aktivitäten, Prozesse und Risikofelder des Instituts
  • Regelmäßige Risikobewertung als Grundlage der Prüfungsintensität
  • Entwicklung eines umfassenden, jährlich fortzuschreibenden Prüfungsplans nach AT 4.4.3 Tz. 6 MaRisk
  • Risikoorientierte Priorisierung der Prüfungsfelder
  • Berücksichtigung zu erwartender Veränderungen im Risikopotenzial
  • Abstimmung des Plans mit Geschäftsleitung und, soweit vorhanden, Aufsichtsorgan
  • Vorbereitung der Genehmigung durch die Geschäftsleitung
  • Dokumentation der Planungsmethodik für die Prüfungsfestigkeit

Prüfungsdurchführung

Regelprüfungen nach Plan und kurzfristige Verfügbarkeit für Sonderfälle.

  • Durchführung risikobasierter Regelprüfungen nach Prüfungsplan
  • Kurzfristige Verfügbarkeit für Sonderprüfungen bei Mängeln oder besonderem Informationsbedarf
  • Objektive, unabhängige Prüfungshandlungen ohne operative Einbindung
  • Prüfung der Angemessenheit und Wirksamkeit des internen Kontrollsystems
  • Einsatz risikobasierter Prüfungsmethoden und -techniken
  • Nachvollziehbare Dokumentation von Prüfungsschritten und Arbeitsunterlagen
  • Abstimmung mit externen Prüfern zur Vermeidung von Doppelprüfungen
  • Einhaltung anerkannter Prüfungsstandards

Berichtswesen und Kommunikation

Berichte, die Feststellung, Empfehlung und Verantwortung klar trennen.

  • Erstellung klarer, prüfungsfester Prüfberichte mit konkreten Empfehlungen
  • Vierteljährlicher Bericht der Internen Revision an die Geschäftsleitung nach AT 4.4.3 Tz. 9 MaRisk
  • Unterjähriges Reporting zu offenen Prüfungen und Fristen
  • Unverzügliche Berichterstattung über besonders schwerwiegende Mängel an die Geschäftsleitung
  • Vorbereitung der Kommunikation mit BaFin und weiteren Aufsichtsstellen
  • Berichterstattung an das Aufsichtsorgan, soweit vorgesehen
  • Aufbereitung von Unterlagen für externe Prüfungen
  • Nachvollziehbare Dokumentation der Berichtshistorie

Follow-up und Mängelnachverfolgung

Nachverfolgung, die erst mit der dokumentierten Erledigung endet.

  • Systematische Nachverfolgung aller Prüfungsfeststellungen bis zur Erledigung
  • Überwachung vereinbarter Fristen zur Mängelbeseitigung
  • Eskalation bei ausbleibender oder verzögerter Umsetzung nach AT 4.4.3 Tz. 12 MaRisk
  • Nachschauprüfung umgesetzter Maßnahmen, soweit erforderlich
  • Auswertung wiederkehrender Feststellungen auf strukturelle Schwachstellen
  • Abstimmung mit dem betroffenen Fachbereich zur Umsetzung
  • Dokumentation des gesamten Nachverfolgungsprozesses
  • Einbindung der Ergebnisse in das Berichtswesen

Abgrenzung: S+P Compliance verfolgt Feststellungen nach und dokumentiert den Umsetzungsstand. Über die konkrete Abhilfemaßnahme und deren Umsetzung entscheidet der betroffene Geschäftsbereich beziehungsweise die Geschäftsleitung.

Qualitätssicherung und Weiterentwicklung

Prüfungsmethodik, die mit den regulatorischen Anforderungen mitwächst.

  • Regelmäßige Überprüfung von Planung, Methoden und Qualität der Prüfungen
  • Weiterentwicklung der Prüfungsmethodik entsprechend neuer regulatorischer Anforderungen
  • Abgleich mit Änderungen wie der 9. MaRisk-Novelle vom 30. Juni 2026
  • Interne Qualitätssicherung der Revisionsarbeit
  • Schulung des Revisionsteams zu aktuellen Prüfungsstandards
  • Abgleich der Prüfungsmethodik gegen anerkannte Standards
  • Dokumentation der Weiterentwicklung für externe Qualitätsprüfungen
  • Abstimmung mit der Geschäftsleitung zu strategischen Prüfungsschwerpunkten

Auslagerungsvertrag und laufende Steuerung

Eine Auslagerung wird nicht durch die Leistung tragfähig, sondern durch ihre Steuerung. Die folgenden vier Elemente regeln wir vor dem Start.

Vertrag und Unabhängigkeit

Leistungsumfang, Berichtslinie und die Trennung von revisionsfremden Aufgaben werden schriftlich fixiert, damit die Unabhängigkeit der Revision belegbar bleibt.

Weisungs- und Informationsrechte

Die Geschäftsleitung behält die Steuerungsmöglichkeit. Vereinbart werden Zugriffs-, Auskunfts- und Prüfungsrechte für Institut, Abschlussprüfer und Aufsicht.

Vertretung und Erreichbarkeit

Neben dem benannten Revisionsteam ist eine eingearbeitete Vertretung vertraglich hinterlegt. Reaktionszeiten für Sonderprüfungen sind Bestandteil der Vereinbarung, nicht der Absprache.

Exit und Rückverlagerung

Für Kündigung, Wechsel oder Rückverlagerung liegt ein Verfahren vor: Datenherausgabe, Übergabedokumentation und Einarbeitung der Nachfolge sind vorab beschrieben.

Vier Einsatzmodelle

Welches Modell passt, hängt von Größe, bestehender Revisionsstruktur und Prüfungsschwerpunkten ab. Die Modelle lassen sich im Zeitverlauf wechseln.

Vollmandat

S+P Compliance übernimmt die gesamte Interne Revision, soweit eine vollständige Auslagerung nach AT 9 Tz. 5 MaRisk zulässig ist. Die Geschäftsleitung benennt einen Revisionsbeauftragten und behält die Genehmigungsrechte, die sie nicht abgeben kann.

Revisionsbeauftragter erforderlich

Ergänzungsprüfung

Die interne Revision bleibt bestehen, S+P Compliance deckt einzelne Spezialthemen oder Prüfungsfelder ab, für die intern die Tiefe fehlt.

Ergänzung

Interim

Befristete Besetzung bei Vakanz oder Aufbau einer neuen Revisionsfunktion, verbunden mit strukturierter Übergabe an die interne Nachfolge.

Übergangszeitraum

Sonderprüfungen

Einzelauftrag für eine konkrete Sonderprüfung ohne Dauermandat, etwa bei aufgetretenen Mängeln oder besonderem Informationsbedarf.

Einzelauftrag

In vier Schritten zur ausgelagerten Revision

Der Zeitbedarf hängt davon ab, wie vollständig Risikoinventur und bestehender Prüfungsplan vorliegen.

1

Anforderungen klären

Institutsgröße, Geschäftsmodell, bestehende Revisionsstruktur und offene Feststellungen werden aufgenommen. Wir prüfen, ob die Voraussetzungen einer vollständigen Auslagerung nach AT 9 Tz. 5 MaRisk vorliegen.

2

Prüfungsanalyse und Angebot

Wir bewerten Risikofelder, Unabhängigkeitsanforderungen und Schnittstellen und legen ein Angebot mit definiertem Leistungsumfang und Berichtsrhythmus vor.

3

Vertrag, Revisionsbeauftragter, Prüfungsplan

Auslagerungsvertrag wird abgeschlossen, die Geschäftsleitung benennt bei vollständiger Auslagerung einen Revisionsbeauftragten und genehmigt den ersten risikoorientierten Prüfungsplan.

4

Prüfung, Bericht, Follow-up

Laufende Prüfungsdurchführung nach Plan, unterjähriges Reporting, vierteljährlicher Bericht an die Geschäftsleitung und systematische Nachverfolgung der Feststellungen.

Rollenverteilung bei haftungsrelevanten Entscheidungen

Vier Vorgänge entscheiden im Prüfungsfall darüber, ob eine Auslagerung sauber aufgesetzt war. Für jeden dieser Vorgänge halten wir schriftlich fest, wer prüft und dokumentiert und wer entscheidet. Diese Zuordnung ist Bestandteil des Auslagerungsvertrags und wird nicht im Tagesgeschäft ausgehandelt.

Der Grundsatz gilt durchgängig: S+P Compliance prüft und dokumentiert, das Institut entscheidet. Die Auslagerung verlagert die Prüfungsdurchführung, nicht die Verantwortung für ein wirksames internes Kontrollsystem.

Vorgang S+P Compliance prüft und dokumentiert Entscheidung und Verantwortung im Institut Anknüpfungspunkt
Prüfungsplan Erhebung, Risikobewertung, Planentwurf mit Priorisierung Genehmigung des Plans und wesentlicher Anpassungen durch die Geschäftsleitung AT 4.4.3 Tz. 6 MaRisk
Prüfungsdurchführung Durchführung, Dokumentation, Bewertung des internen Kontrollsystems Bereitstellung von Auskünften und Zugang zu Unterlagen AT 4.4.3 Tz. 1 und 5 MaRisk
Feststellungen und Mängel Dokumentation, Empfehlung, Fristvorschlag, systematisches Follow-up Entscheidung über Abhilfemaßnahmen und deren Umsetzung AT 4.4.3 Tz. 11 und 12 MaRisk
Vollständige Auslagerung Prüfungsdurchführung und Berichtswesen im Auftrag des Instituts; Prüfungsplan und Quartalsbericht gemeinsam mit dem Revisionsbeauftragten Prüfung der Zulässigkeit nach AT 9 Tz. 5; Benennung eines unabhängigen, sachkundigen Revisionsbeauftragten, der der Geschäftsleitung unmittelbar unterstellt ist AT 9 Tz. 5 und 10 MaRisk

Passt eine Auslagerung zu Ihrer Konstellation?

Im ersten Gespräch klären wir Institutsgröße, bestehende Revisionsstruktur und offene Feststellungen aus der letzten Prüfung. Ergebnis ist eine Einschätzung, welches Einsatzmodell trägt und wer als Revisionsbeauftragter in Frage kommt.

Erstgespräch anfragenEinsatzmodelle vergleichen

Was sich damit im Haus verändert

Funktion durchgängig besetzt

Revisionsteam und Vertretung sind vertraglich geregelt, eingearbeitet und auch für Sonderprüfungen kurzfristig erreichbar.

Kontinuität

Unabhängigkeit vertraglich verankert

Keine revisionsfremden Aufgaben des Revisionsteams im Institut, keine operative Einbindung – Unabhängigkeit und Berichtslinie sind schriftlich festgehalten.

Unabhängigkeit

Prüfungsfeste Berichte

Feststellungen, Empfehlungen und Fristen sind klar dokumentiert, statt erst bei der nächsten Prüfung rekonstruiert zu werden.

Dokumentation

Planbarer Aufwand

Leistungsumfang und Vergütung sind vertraglich definiert. Rekrutierung, Einarbeitung und Fortbildung entfallen als Einzelposten.

Kalkulierbar

Aktuelle Prüfungsmethodik

Änderungen wie die 9. MaRisk-Novelle vom 30. Juni 2026 werden laufend in Prüfungsplan und -methodik eingearbeitet.

Aktualität

Klare Rollen

Wer prüft, wer dokumentiert und wer entscheidet, ist schriftlich geregelt. Das reduziert Rückfragen bei externen Prüfungen.

Governance

Für wen die Auslagerung in Frage kommt

Adressiert sind beaufsichtigte Unternehmen, für die aufsichtsrechtliche Anforderungen an eine Interne Revision gelten – für Institute nach KWG insbesondere AT 4.4.3 MaRisk. Eine vollständige Auslagerung ist nach AT 9 Tz. 5 MaRisk nur bei sehr kleinen Instituten sowie bei nicht wesentlichen Tochterinstituten innerhalb einer Institutsgruppe zulässig; Teilauslagerungen und Ergänzungsprüfungen stehen weiteren Instituten offen.

  • Kreditinstitute
  • Genossenschaftsbanken
  • Finanzdienstleistungsinstitute
  • Zahlungsinstitute
  • E-Geld-Institute
  • Kapitalverwaltungsgesellschaften
  • Kryptoverwahrer und Kryptodienstleister
  • FinTechs mit KWG- oder ZAG-Erlaubnis
  • Zweigniederlassungen ausländischer Institute

Weitere Auslagerungsleistungen von S+P Compliance

Die Auslagerung der Internen Revision lässt sich mit weiteren Kontrollfunktionen kombinieren, soweit die jeweiligen Unabhängigkeitsanforderungen dies zulassen. Alle Mandate folgen derselben Rollenlogik: Ausführung extern, Verantwortung im Institut.

Kontrollfunktion

Auslagerung Geldwäsche Officer

Geldwäscheprävention nach § 6 und § 7 GwG, mit Verdachtsmeldewesen und Transaktionsmonitoring.

Zur Leistung
Kontrollfunktion

Auslagerung Compliance Officer

Allgemeine Compliance-Funktion nach AT 4.4.2 MaRisk mit Überwachung, Beratung und Berichtswesen.

Zur Leistung
Auslagerungssteuerung

Zentrales Auslagerungsmanagement

Steuerung und Kontrolle aller Auslagerungen einschließlich Auslagerungsregister, Risikoanalysen und Berichtswesen.

Zur Leistung
Meldewesen

Auslagerung XBRL-Meldewesen

Fristgerechte und formal geprüfte XBRL-Meldungen, ohne dass Sie eigene Meldesoftware betreiben müssen.

Zur Leistung
Operativer Betrieb

AML Operations

Operative Unterstützung bei Alert-Bearbeitung, Fallabschluss und Rückstandsabbau – auch kurzfristig und skalierbar.

Zur Leistung
Operativer Betrieb

KYC Operations

Kundensorgfaltspflichten im laufenden Betrieb: Onboarding, periodische Aktualisierung und Nachbearbeitung offener Fälle.

Zur Leistung
English

Outsourcing Internal Audit

Independent audits nach risikoorientiertem Prüfungsplan mit englischsprachiger Berichterstattung für internationale Häuser.

Zur Leistung

Häufige Fragen zur Auslagerung der Internen Revision

Was genau übernimmt S+P als ausgelagerte Interne Revision?

S+P Compliance stellt ein qualifiziertes Revisionsteam, das den risikoorientierten Prüfungsplan entwickelt, Regel- und Sonderprüfungen durchführt, die Angemessenheit und Wirksamkeit des internen Kontrollsystems bewertet und Feststellungen mit konkreten Empfehlungen dokumentiert. Dazu kommen der vierteljährliche Bericht an die Geschäftsleitung, unterjähriges Reporting und die systematische Nachverfolgung der Mängelbeseitigung nach AT 4.4.3 Tz. 11 MaRisk. Der genaue Umfang wird im Auslagerungsvertrag festgelegt.

Für welche Unternehmen ist die Auslagerung sinnvoll?

In Betracht kommen beaufsichtigte Institute, die eine Interne Revision nach AT 4.4.3 MaRisk vorhalten müssen. Eine vollständige Auslagerung ist nach AT 9 Tz. 5 MaRisk nur bei sehr kleinen Instituten und bei nicht wesentlichen Tochterinstituten innerhalb einer Institutsgruppe zulässig. Für andere Institute kommen Teilauslagerungen, Ergänzungsprüfungen und Sonderprüfungen in Betracht. Sinnvoll ist das vor allem dort, wo Revisionsaufgaben mit vorhandenem Personal kaum unabhängig darstellbar sind oder wo Kapazität für Sonderprüfungen fehlt.

Bleibt die Verantwortung für ein wirksames internes Kontrollsystem beim Institut?

Ja. Die Auslagerung verlagert die Prüfungsdurchführung, nicht die Verantwortung für ein wirksames internes Kontrollsystem. Bei vollständiger Auslagerung muss die Geschäftsleitung nach AT 9 Tz. 10 MaRisk einen unabhängigen und sachkundigen Revisionsbeauftragten benennen, der eine ordnungsgemäße Durchführung gewährleistet und der Geschäftsleitung unmittelbar unterstellt ist. Genehmigung des Prüfungsplans und Entscheidungen über Abhilfemaßnahmen bei festgestellten Mängeln bleiben Aufgaben des Instituts.

Wie stellt S+P die Unabhängigkeit sicher?

Die Revision wird organisatorisch und prozessual getrennt von anderen Mandaten geführt. Personen, die für Sie prüfen, übernehmen keine revisionsfremden Aufgaben in Ihrem Institut und sind nicht in operative Prozesse eingebunden, die sie selbst bewerten. Diese Trennung ist im Auslagerungsvertrag festgehalten und wird durch die direkte Berichtslinie an Ihre Geschäftsleitung abgesichert.

Was bedeutet „prüfungssicher“ (ISO, IDW PS 951, ISAE 3402)?

IDW PS 951 und ISAE 3402 sind Prüfungsstandards, nach denen das interne Kontrollsystem von S+P Compliance selbst extern geprüft ist – das gibt Ihrem Abschlussprüfer eine geprüfte Grundlage für die Beurteilung der Auslagerung. ISO 9001 und ISO 27001 sind Zertifizierungen für Qualitäts- und Informationssicherheitsmanagement. Alle Nachweise stellen wir Ihnen und Ihrer Aufsicht auf Anforderung zur Verfügung, siehe Abschnitt Rechtsgrundlagen und Prüfungsnachweise. Bei wesentlichen Auslagerungen dürfen Sie sich nach AT 9 Tz. 4 MaRisk bei Ihrer Revisionstätigkeit nicht allein auf Zertifikate stützen.

Kann die Interne Revision mit anderen Funktionen kombiniert werden?

Nur sehr eingeschränkt. Nach AT 4.4.3 Tz. 3 und 4 MaRisk dürfen Revisionsmitarbeiter grundsätzlich nicht mit revisionsfremden Aufgaben betraut werden, und Mitarbeiter anderer Organisationseinheiten dürfen grundsätzlich keine Aufgaben der Internen Revision übernehmen. Bei sehr kleinen Instituten kann ein Geschäftsleiter die Aufgaben übernehmen, wenn eine eigene Revisionseinheit unverhältnismäßig ist und Interessenkonflikte vermieden werden. Möchten Sie zusätzlich Compliance-Funktion, Geldwäschebeauftragten oder weitere Kontrollfunktionen auslagern, richten wir dafür separate, organisatorisch getrennte Mandate ein.

Auslagerung mit klarer Rollentrennung

Eine ausgelagerte Interne Revision trägt dann, wenn zwei Dinge zusammenkommen: ein risikoorientierter Prüfungsplan, der dem Geschäftsmodell folgt, und eine Rollenverteilung, die im Prüfungsfall belegbar ist. S+P Compliance richtet beides gemeinsam mit Ihnen ein – die Prüfungsdurchführung wird verlagert, die Verantwortung für ein wirksames internes Kontrollsystem bleibt bei Ihrem Institut.

Angebot anfordernRollenverteilung prüfen

Auslagerungslösung Interne Revision
Achim Schulz
Ihr Ansprechpartner

Achim Schulz

Geschäftsführer S+P Compliance

Achim Schulz verantwortet die S+P Compliance Services. Da S+P als Dienstleister für regulierte Institute fortlaufend von Wirtschaftsprüfern und Aufsichtsbehörden geprüft wird, ist die Prüfungsexpertise seines Teams immer auf dem neuesten Stand. Ihr Vorteil: Er weiß aus der täglichen Praxis exakt, welche Nachweise und Kontrollen in aktuellen Audits zwingend gefordert werden. Diese tagesaktuelle Expertise fließt direkt in Ihre Auslagerung ein. Sie profitieren von zertifizierten Prozessen (IDW PS 951, ISO), die jedem Audit durch die BaFin oder Ihren Abschlussprüfer absolut sicher standhalten.

LinkedIn-Profil → · Redaktion & Experten → · S+P Compliance Services →
Bekannt aus

S+P Compliance Services – Medien & Thought Leadership

Handelsblatt WirtschaftsWoche Süddeutsche Zeitung FOCUS DerStandard Frankfurter Rundschau Berliner Morgenpost FNP
Handelsblatt
MaRisk, DORA & ESG – Wie Top-Manager Haftungsrisiken vermeiden