Das Three-Lines-Modell trennt operative Prozessverantwortung, unabhängige Überwachung und unabhängige Prüfung. Diese Seite ordnet ein, welche Aufgaben zu welcher Verteidigungslinie gehören und wie Mandate über mehrere Linien hinweg ohne Selbstprüfung ausgestaltet werden.
Regulierte Unternehmen müssen Prozesse nicht nur wirksam organisieren, sondern Verantwortlichkeiten nachvollziehbar voneinander trennen. Die erste Verteidigungslinie führt das Tagesgeschäft aus und steuert operative Risiken. Die zweite Verteidigungslinie definiert Anforderungen, überwacht Risiken und eskaliert wesentliche Abweichungen. Die dritte Verteidigungslinie prüft unabhängig, ob Governance, Risikomanagement, Compliance und internes Kontrollsystem angemessen und wirksam ausgestaltet sind. S+P Compliance unterstützt auf allen drei Ebenen mit getrennten Rollen, Teams, Berechtigungen und Berichtslinien.
Grundsätze der Mandatsgestaltung
Prüfungssicher für BaFin und Abschlussprüfer
Was S+P operativ übernimmt
Was beim Kunden beziehungsweise der Kontrollfunktion bleibt
Operative Unterstützung ersetzt keine Entscheidungskompetenz. S+P bereitet Sachverhalte auf, dokumentiert sie und legt sie der zuständigen Stelle vor. Die Entscheidung selbst verbleibt dort.
Wer Prozesse selbst ausführt, kann seine eigene Arbeit nicht uneingeschränkt unabhängig überwachen oder prüfen. Wer als Compliance-Funktion Risiken überwacht, sollte nicht dauerhaft operative Einzelfälle bearbeiten, die später Gegenstand der eigenen Kontrollhandlungen sind. Und wer als Interne Revision prüft, darf keine Managementverantwortung für die geprüften Prozesse übernehmen.
Die MaRisk behandeln Risikocontrolling-Funktion, Compliance-Funktion und Interne Revision in AT 4.4 als besondere Funktionen mit jeweils eigener Aufgabenstellung. Für die Geldwäscheprävention verlangt § 6 GwG interne Sicherungsmaßnahmen einschließlich klarer Zuständigkeiten. DORA verlangt in Artikel 6 einen IKT-Risikomanagementrahmen mit einer Kontrollfunktion, deren Verantwortung nicht in der reinen Prozessadministration aufgehen darf.
Das Three-Lines-Modell des Institute of Internal Auditors ordnet diese Anforderungen in eine gemeinsame Struktur ein: operative Rollen verantworten Risiken im Tagesgeschäft, spezialisierte Risiko- und Kontrollfunktionen beraten, überwachen und challengen, die Interne Revision liefert unabhängige Prüfungssicherheit. Für ausgelagerte Funktionen gilt diese Systematik unverändert.
Sechs Konstellationen, die in Prüfungen regelmäßig zu Feststellungen führen.
Der Geldwäschebeauftragte bearbeitet sämtliche Alerts selbst und beurteilt anschließend im Monitoring die Qualität dieser Bearbeitung. Damit fällt die unabhängige Kontrollhandlung mit der operativen Tätigkeit zusammen. Die Wirksamkeit der Überwachung lässt sich nicht mehr belegen. Erforderlich ist eine Trennung zwischen Vorbearbeitung und Beurteilung.
Ein Dienstleister erbringt operative Leistungen und prüft dieselben Prozesse später mit eigenem Revisionspersonal. Ohne zusätzliche Schutzmaßnahmen entsteht ein Selbstprüfungskonflikt. Der Prüfungsumfang muss angepasst oder eine unabhängige Prüfungsinstanz eingesetzt werden. Die getroffene Lösung ist zu dokumentieren.
Operative Teams entscheiden faktisch über Sachverhalte, für die keine dokumentierte Kompetenz vorliegt. Häufig betrifft dies Ausnahmefälle, Abweichungen von der Standardbearbeitung und komplexe Beteiligungsstrukturen. Ohne Eskalationsmatrix bleibt offen, wer entschieden hat. Die Nachvollziehbarkeit gegenüber der Prüfung fehlt.
Auslagerungs- und DORA-Informationsregister werden gepflegt, ohne dass Datenpflege, fachliche Freigabe und Kontrolle getrennt zugeordnet sind. Die Pflege liegt dann bei derselben Stelle, die die Vollständigkeit bestätigt. Registerqualität und Kontrollnachweis lassen sich nicht auseinanderhalten. Eine klare Zuordnung je Linie ist Voraussetzung.
Meldungs-, Sperr- und Beendigungsentscheidungen werden getroffen, ohne dass die Berechtigung im Mandat hinterlegt ist. In ausgelagerten Konstellationen ist besonders zu klären, welche Entscheidungen der Dienstleister vorbereitet und welche das Institut trifft. Die Zuordnung gehört in Vertrag und Arbeitsanweisung. Andernfalls entsteht eine Verantwortungslücke.
Ein Prozess wird ausgelagert, ohne festzulegen, welche Verteidigungslinie der Dienstleister abdeckt. In der Folge übernimmt derselbe Anbieter Bearbeitung, Kontrolle und Berichterstattung. Die Steuerungsfähigkeit des auslagernden Unternehmens sinkt. Erforderlich ist eine Zuordnung der Leistung zu genau einer Linie je Mandat.
Je Linie die typischen Aufgaben und die Grenzen, die die Unabhängigkeit sichern.
Die erste Verteidigungslinie führt regulierte Prozesse durch und steuert die unmittelbar verbundenen Risiken innerhalb definierter Vorgaben.
Die operative Linie bereitet Sachverhalte auf. Die folgenden Aufgaben sind getrennten Fach- oder Kontrollfunktionen vorbehalten.
Die Entscheidung über eine Verdachtsmeldung nach § 43 GwG sowie über Sanktionssperren verbleibt bei der hierfür autorisierten Stelle des Instituts. S+P bereitet Fallakte, Nachweise und Meldungsunterlagen operativ vor.
Die zweite Verteidigungslinie setzt den Rahmen, innerhalb dessen die operative Linie arbeitet, und überwacht dessen Einhaltung unabhängig.
Zu den Funktionen dieser Linie zählen je nach Institutstyp der Geldwäschebeauftragte nach § 7 GwG, die Compliance-Funktion nach § 80 WpHG, die MaRisk-Compliance-Funktion, die Risikocontrolling-Funktion sowie die IKT-Risikokontrollfunktion nach DORA Artikel 6.
Beratung und Konkretisierung von Anforderungen sind Teil der Aufgabe. Dauerhafte operative Routine ist es nicht.
Die dritte Verteidigungslinie prüft, ob erste und zweite Linie wirksam arbeiten, und berichtet unabhängig an Geschäftsleitung und Aufsichtsorgan.
Die MaRisk führen die Interne Revision in AT 4.4 als besondere Funktion. Ihre Unabhängigkeit setzt voraus, dass sie keine Aufgaben wahrnimmt, die mit der Prüfungstätigkeit unvereinbar sind.
Die Interne Revision darf keine Managementverantwortung für die von ihr geprüften Prozesse übernehmen.
Operative Teams, Kontrollfunktionen und Revisionsprüfer sind personell getrennt besetzt. Eine Person übernimmt nicht zwei Linien im selben Mandat.
Bearbeitungs-, Freigabe-, Kontroll- und Prüfungsrechte werden in den Systemen des Kunden getrennt vergeben und regelmäßig überprüft.
Erbringt S+P operative oder kontrollierende Leistungen, wird der Prüfungsumfang der Revision angepasst oder eine unabhängige Instanz eingesetzt.
Operatives Reporting, Berichterstattung der Kontrollfunktion und Revisionsberichte werden getrennt adressiert und dokumentiert.
Vier gängige Ausgestaltungen und ihre jeweiligen Voraussetzungen.
S+P übernimmt operative Prozessschritte. Kontrollfunktion und Revision verbleiben beim Institut oder bei Dritten. Es bestehen keine Abgrenzungsfragen innerhalb des Mandats.
Operative Bearbeitung und Kontrollfunktion liegen bei S+P, jedoch in getrennten Teams. Die Kontrollfunktion überwacht die operative Leistung nach dokumentiertem Kontrollplan.
Diese Kombination erfordert eine Einzelfallprüfung. Der Prüfungsumfang der Revision klammert die eigene Kontrollfunktion aus oder wird durch eine unabhängige Instanz abgedeckt.
Möglich bei dokumentierter Trennung von Teams, Rollen, Berechtigungen und Berichtswegen sowie angepasstem Prüfungsumfang. Die Ausnahmelösung wird schriftlich festgehalten.
Erhebung, welche Linien betroffen sind, welche Funktionen bereits besetzt sind und wo Interessenkonflikte entstehen können.
Festlegung von Aufgaben, Kompetenzgrenzen, Eskalationswegen und Systemberechtigungen je Linie, abgestimmt mit dem Institut.
Besetzung der Teams, Aufsetzen der Arbeitsanweisungen und Qualitätsregeln einschließlich Vier-Augen-Prinzip für kritische Schritte.
Getrennte Berichterstattung an die jeweiligen Adressaten sowie regelmäßige Überprüfung der Trennungsmaßnahmen und ihrer Dokumentation.
Die Zuordnung einzelner Arbeitsschritte zu den Verteidigungslinien entscheidet darüber, ob ein Prozess prüfungsfest ist. Maßgeblich ist nicht, wer die Tätigkeit ausführt, sondern in welcher Rolle sie ausgeführt wird und wer sie anschließend beurteilt.
Die folgende Übersicht zeigt vier typische Prozesse. Die operative Bearbeitung liegt in der ersten Linie, die fachliche Vorgabe und Überwachung in der zweiten, die unabhängige Beurteilung in der dritten. Entscheidungen mit Meldungs- oder Sperrwirkung verbleiben stets bei der autorisierten Stelle des Instituts.
| Prozess | 1st Line | 2nd Line | Interne Revision |
|---|---|---|---|
| KYC-Akte und Kundendaten | Unterlagen einholen, Daten erfassen, Lücken nachhalten | Sorgfaltspflichten-Standard festlegen, Stichproben kontrollieren | Angemessenheit und Wirksamkeit des KYC-Prozesses prüfen |
| AML-Alert und Transaktionsmonitoring | Alerts vorbearbeiten, Fallakte strukturieren, Wiedervorlagen steuern | Szenarien und Schwellenwerte festlegen, Qualität überwachen, Meldung entscheiden | Monitoring-Methodik und Fallqualität unabhängig prüfen |
| DORA-Informationsregister | Register pflegen, Verträge und Nachweise nachhalten | IKT-Risiken bewerten, Kontrollrahmen überwachen, berichten | DORA-Governance und Kontrollwirksamkeit prüfen |
| Maßnahmen aus Feststellungen | Umsetzungsschritte dokumentieren, Fristen nachverfolgen | Angemessenheit der Maßnahme bewerten, Restrisiko einschätzen | Mängelbeseitigung nachhalten und abschließend beurteilen |
Rollen, Entscheidungen und Kontrollhandlungen sind je Linie nachvollziehbar belegt.
NachweisRoutinetätigkeiten wandern in die erste Linie, die zweite Linie gewinnt Kapazität für Überwachung.
KapazitätÜberwachung und Prüfung beziehen sich nicht auf die eigene operative Leistung.
GovernanceVolumenspitzen aus Reviews, Remediation oder Prüfungsvorbereitung werden operativ abgefangen.
SkalierungÜbergaben zwischen Bearbeitung, Entscheidung und Prüfung sind definiert und dokumentiert.
ProzessTypische Beanstandungen zu Unabhängigkeit und Zuständigkeit entfallen im Vorfeld.
PrüfungOperative Unterstützung für standardisierte, datenintensive und dokumentationspflichtige Prozessschritte.
Zum Hub 1st Line ServicesUnterlagen einholen, Kundendaten pflegen, Reviews bearbeiten und Akten vollständig führen.
Zu KYC OperationsAlerts vorbearbeiten, Fallakten strukturieren und Wiedervorlagen fristgerecht steuern.
Zu AML OperationsInformationsregister pflegen, Verträge nachhalten und Nachweise prüfungsfest dokumentieren.
Zu DORA Register OperationsAusgelagerte Kontrollfunktion der zweiten Linie mit Risikoanalyse, Monitoring und Berichterstattung.
Zum GeldwäschebeauftragtenUnabhängige Prüfung von Governance, Risikomanagement, Compliance und internem Kontrollsystem.
Zur Internen RevisionJa, sofern operative Prozessbearbeitung und unabhängige Kontrollfunktion organisatorisch, personell und methodisch getrennt sind. Die erste Linie arbeitet nach vorgegebenen Standards, die zweite Linie definiert diese Standards, überwacht Risiken und bewertet wesentliche Abweichungen unabhängig. Die Trennung wird im Rollen- und Berechtigungskonzept dokumentiert.
Grundsätzlich kann S+P unterschiedliche Leistungen für denselben Kunden erbringen. Entscheidend ist eine Einzelfallprüfung der Unabhängigkeit, möglicher Interessenkonflikte, personeller Trennung, Berechtigungen, Berichtswege und des Prüfungsumfangs. Erbringt S+P operative oder kontrollierende Leistungen, darf die eigene Interne Revision genau diese Leistung nicht ohne zusätzliche Schutzmaßnahmen prüfen. In solchen Fällen wird der Prüfungsumfang angepasst, eine unabhängige Prüfungsinstanz eingesetzt oder eine dokumentierte Ausnahmelösung gewählt.
Diese Entscheidungen verbleiben bei den hierfür autorisierten Stellen des Instituts beziehungsweise bei einer klar getrennten verantwortlichen Fach- oder Kontrollfunktion. Das gilt ebenso für Unstimmigkeitsmeldungen zum Transparenzregister und für die Beendigung von Geschäftsbeziehungen. S+P 1st Line Services bereitet Fallakten, Nachweise und Meldungsunterlagen operativ vor und eskaliert gemäß vereinbarter Kompetenzordnung.
Komplexe, risikorelevante oder als Ausnahmefall definierte Sachverhalte werden durch die zuständige Fach- oder Kontrollfunktion des Kunden entschieden. Die erste Linie bereitet die Information auf, dokumentiert den Fall und legt ihn entscheidungsreif vor. Welche Fälle als Ausnahme gelten, wird vorab in der Eskalationsmatrix festgelegt.
Die kundenseitige zweite Linie überwacht die operative Leistung innerhalb ihres Kontrollrahmens. Die Interne Revision prüft Prozesse und Kontrollmechanismen unabhängig. Erbringt S+P zugleich operative Services und Revisionsleistungen, werden Selbstprüfungskonflikte ausgeschlossen oder durch eine unabhängige Prüfung kompensiert.
Nein. Die Verantwortung für die ordnungsgemäße Geschäftsorganisation verbleibt beim auslagernden Unternehmen. Die Auslagerung verlagert die Ausführung, nicht die Verantwortung. Das Institut muss die ausgelagerte Leistung steuern, überwachen und die Ergebnisse beurteilen können. Dafür sind Berichtswege, Kennzahlen und Prüfungsrechte vertraglich zu verankern.
S+P Compliance unterstützt Sie dabei, das Three-Lines-Modell operativ umzusetzen: Kapazität in der ersten Linie, belastbare Kontrollfunktionen in der zweiten Linie und unabhängige Prüfungssicherheit in der dritten Linie. Mit definierten Rollen, dokumentierten Schnittstellen und nachvollziehbaren Schutzmechanismen.
Was S+P operativ übernimmt
Was beim Kunden beziehungsweise der Kontrollfunktion bleibt
Operative Unterstützung ersetzt keine Entscheidungskompetenz. S+P bereitet Sachverhalte auf, dokumentiert sie und legt sie der zuständigen Stelle vor. Die Entscheidung selbst verbleibt dort.
Wer Prozesse selbst ausführt, kann seine eigene Arbeit nicht uneingeschränkt unabhängig überwachen oder prüfen. Wer als Compliance-Funktion Risiken überwacht, sollte nicht dauerhaft operative Einzelfälle bearbeiten, die später Gegenstand der eigenen Kontrollhandlungen sind. Und wer als Interne Revision prüft, darf keine Managementverantwortung für die geprüften Prozesse übernehmen.
Die MaRisk behandeln Risikocontrolling-Funktion, Compliance-Funktion und Interne Revision in AT 4.4 als besondere Funktionen mit jeweils eigener Aufgabenstellung. Für die Geldwäscheprävention verlangt § 6 GwG interne Sicherungsmaßnahmen einschließlich klarer Zuständigkeiten. DORA verlangt in Artikel 6 einen IKT-Risikomanagementrahmen mit einer Kontrollfunktion, deren Verantwortung nicht in der reinen Prozessadministration aufgehen darf.
Das Three-Lines-Modell des Institute of Internal Auditors ordnet diese Anforderungen in eine gemeinsame Struktur ein: operative Rollen verantworten Risiken im Tagesgeschäft, spezialisierte Risiko- und Kontrollfunktionen beraten, überwachen und challengen, die Interne Revision liefert unabhängige Prüfungssicherheit. Für ausgelagerte Funktionen gilt diese Systematik unverändert.
Sechs Konstellationen, die in Prüfungen regelmäßig zu Feststellungen führen.
Der Geldwäschebeauftragte bearbeitet sämtliche Alerts selbst und beurteilt anschließend im Monitoring die Qualität dieser Bearbeitung. Damit fällt die unabhängige Kontrollhandlung mit der operativen Tätigkeit zusammen. Die Wirksamkeit der Überwachung lässt sich nicht mehr belegen. Erforderlich ist eine Trennung zwischen Vorbearbeitung und Beurteilung.
Ein Dienstleister erbringt operative Leistungen und prüft dieselben Prozesse später mit eigenem Revisionspersonal. Ohne zusätzliche Schutzmaßnahmen entsteht ein Selbstprüfungskonflikt. Der Prüfungsumfang muss angepasst oder eine unabhängige Prüfungsinstanz eingesetzt werden. Die getroffene Lösung ist zu dokumentieren.
Operative Teams entscheiden faktisch über Sachverhalte, für die keine dokumentierte Kompetenz vorliegt. Häufig betrifft dies Ausnahmefälle, Abweichungen von der Standardbearbeitung und komplexe Beteiligungsstrukturen. Ohne Eskalationsmatrix bleibt offen, wer entschieden hat. Die Nachvollziehbarkeit gegenüber der Prüfung fehlt.
Auslagerungs- und DORA-Informationsregister werden gepflegt, ohne dass Datenpflege, fachliche Freigabe und Kontrolle getrennt zugeordnet sind. Die Pflege liegt dann bei derselben Stelle, die die Vollständigkeit bestätigt. Registerqualität und Kontrollnachweis lassen sich nicht auseinanderhalten. Eine klare Zuordnung je Linie ist Voraussetzung.
Meldungs-, Sperr- und Beendigungsentscheidungen werden getroffen, ohne dass die Berechtigung im Mandat hinterlegt ist. In ausgelagerten Konstellationen ist besonders zu klären, welche Entscheidungen der Dienstleister vorbereitet und welche das Institut trifft. Die Zuordnung gehört in Vertrag und Arbeitsanweisung. Andernfalls entsteht eine Verantwortungslücke.
Ein Prozess wird ausgelagert, ohne festzulegen, welche Verteidigungslinie der Dienstleister abdeckt. In der Folge übernimmt derselbe Anbieter Bearbeitung, Kontrolle und Berichterstattung. Die Steuerungsfähigkeit des auslagernden Unternehmens sinkt. Erforderlich ist eine Zuordnung der Leistung zu genau einer Linie je Mandat.
Je Linie die typischen Aufgaben und die Grenzen, die die Unabhängigkeit sichern.
Die erste Verteidigungslinie führt regulierte Prozesse durch und steuert die unmittelbar verbundenen Risiken innerhalb definierter Vorgaben.
Die operative Linie bereitet Sachverhalte auf. Die folgenden Aufgaben sind getrennten Fach- oder Kontrollfunktionen vorbehalten.
Die Entscheidung über eine Verdachtsmeldung nach § 43 GwG sowie über Sanktionssperren verbleibt bei der hierfür autorisierten Stelle des Instituts. S+P bereitet Fallakte, Nachweise und Meldungsunterlagen operativ vor.
Die zweite Verteidigungslinie setzt den Rahmen, innerhalb dessen die operative Linie arbeitet, und überwacht dessen Einhaltung unabhängig.
Zu den Funktionen dieser Linie zählen je nach Institutstyp der Geldwäschebeauftragte nach § 7 GwG, die Compliance-Funktion nach § 80 WpHG, die MaRisk-Compliance-Funktion, die Risikocontrolling-Funktion sowie die IKT-Risikokontrollfunktion nach DORA Artikel 6.
Beratung und Konkretisierung von Anforderungen sind Teil der Aufgabe. Dauerhafte operative Routine ist es nicht.
Die dritte Verteidigungslinie prüft, ob erste und zweite Linie wirksam arbeiten, und berichtet unabhängig an Geschäftsleitung und Aufsichtsorgan.
Die MaRisk führen die Interne Revision in AT 4.4 als besondere Funktion. Ihre Unabhängigkeit setzt voraus, dass sie keine Aufgaben wahrnimmt, die mit der Prüfungstätigkeit unvereinbar sind.
Die Interne Revision darf keine Managementverantwortung für die von ihr geprüften Prozesse übernehmen.
Operative Teams, Kontrollfunktionen und Revisionsprüfer sind personell getrennt besetzt. Eine Person übernimmt nicht zwei Linien im selben Mandat.
Bearbeitungs-, Freigabe-, Kontroll- und Prüfungsrechte werden in den Systemen des Kunden getrennt vergeben und regelmäßig überprüft.
Erbringt S+P operative oder kontrollierende Leistungen, wird der Prüfungsumfang der Revision angepasst oder eine unabhängige Instanz eingesetzt.
Operatives Reporting, Berichterstattung der Kontrollfunktion und Revisionsberichte werden getrennt adressiert und dokumentiert.
Vier gängige Ausgestaltungen und ihre jeweiligen Voraussetzungen.
S+P übernimmt operative Prozessschritte. Kontrollfunktion und Revision verbleiben beim Institut oder bei Dritten. Es bestehen keine Abgrenzungsfragen innerhalb des Mandats.
Operative Bearbeitung und Kontrollfunktion liegen bei S+P, jedoch in getrennten Teams. Die Kontrollfunktion überwacht die operative Leistung nach dokumentiertem Kontrollplan.
Diese Kombination erfordert eine Einzelfallprüfung. Der Prüfungsumfang der Revision klammert die eigene Kontrollfunktion aus oder wird durch eine unabhängige Instanz abgedeckt.
Möglich bei dokumentierter Trennung von Teams, Rollen, Berechtigungen und Berichtswegen sowie angepasstem Prüfungsumfang. Die Ausnahmelösung wird schriftlich festgehalten.
Erhebung, welche Linien betroffen sind, welche Funktionen bereits besetzt sind und wo Interessenkonflikte entstehen können.
Festlegung von Aufgaben, Kompetenzgrenzen, Eskalationswegen und Systemberechtigungen je Linie, abgestimmt mit dem Institut.
Besetzung der Teams, Aufsetzen der Arbeitsanweisungen und Qualitätsregeln einschließlich Vier-Augen-Prinzip für kritische Schritte.
Getrennte Berichterstattung an die jeweiligen Adressaten sowie regelmäßige Überprüfung der Trennungsmaßnahmen und ihrer Dokumentation.
Die Zuordnung einzelner Arbeitsschritte zu den Verteidigungslinien entscheidet darüber, ob ein Prozess prüfungsfest ist. Maßgeblich ist nicht, wer die Tätigkeit ausführt, sondern in welcher Rolle sie ausgeführt wird und wer sie anschließend beurteilt.
Die folgende Übersicht zeigt vier typische Prozesse. Die operative Bearbeitung liegt in der ersten Linie, die fachliche Vorgabe und Überwachung in der zweiten, die unabhängige Beurteilung in der dritten. Entscheidungen mit Meldungs- oder Sperrwirkung verbleiben stets bei der autorisierten Stelle des Instituts.
| Prozess | 1st Line | 2nd Line | Interne Revision |
|---|---|---|---|
| KYC-Akte und Kundendaten | Unterlagen einholen, Daten erfassen, Lücken nachhalten | Sorgfaltspflichten-Standard festlegen, Stichproben kontrollieren | Angemessenheit und Wirksamkeit des KYC-Prozesses prüfen |
| AML-Alert und Transaktionsmonitoring | Alerts vorbearbeiten, Fallakte strukturieren, Wiedervorlagen steuern | Szenarien und Schwellenwerte festlegen, Qualität überwachen, Meldung entscheiden | Monitoring-Methodik und Fallqualität unabhängig prüfen |
| DORA-Informationsregister | Register pflegen, Verträge und Nachweise nachhalten | IKT-Risiken bewerten, Kontrollrahmen überwachen, berichten | DORA-Governance und Kontrollwirksamkeit prüfen |
| Maßnahmen aus Feststellungen | Umsetzungsschritte dokumentieren, Fristen nachverfolgen | Angemessenheit der Maßnahme bewerten, Restrisiko einschätzen | Mängelbeseitigung nachhalten und abschließend beurteilen |
Rollen, Entscheidungen und Kontrollhandlungen sind je Linie nachvollziehbar belegt.
NachweisRoutinetätigkeiten wandern in die erste Linie, die zweite Linie gewinnt Kapazität für Überwachung.
KapazitätÜberwachung und Prüfung beziehen sich nicht auf die eigene operative Leistung.
GovernanceVolumenspitzen aus Reviews, Remediation oder Prüfungsvorbereitung werden operativ abgefangen.
SkalierungÜbergaben zwischen Bearbeitung, Entscheidung und Prüfung sind definiert und dokumentiert.
ProzessTypische Beanstandungen zu Unabhängigkeit und Zuständigkeit entfallen im Vorfeld.
PrüfungOperative Unterstützung für standardisierte, datenintensive und dokumentationspflichtige Prozessschritte.
Zum Hub 1st Line ServicesUnterlagen einholen, Kundendaten pflegen, Reviews bearbeiten und Akten vollständig führen.
Zu KYC OperationsAlerts vorbearbeiten, Fallakten strukturieren und Wiedervorlagen fristgerecht steuern.
Zu AML OperationsInformationsregister pflegen, Verträge nachhalten und Nachweise prüfungsfest dokumentieren.
Zu DORA Register OperationsAusgelagerte Kontrollfunktion der zweiten Linie mit Risikoanalyse, Monitoring und Berichterstattung.
Zum GeldwäschebeauftragtenUnabhängige Prüfung von Governance, Risikomanagement, Compliance und internem Kontrollsystem.
Zur Internen RevisionJa, sofern operative Prozessbearbeitung und unabhängige Kontrollfunktion organisatorisch, personell und methodisch getrennt sind. Die erste Linie arbeitet nach vorgegebenen Standards, die zweite Linie definiert diese Standards, überwacht Risiken und bewertet wesentliche Abweichungen unabhängig. Die Trennung wird im Rollen- und Berechtigungskonzept dokumentiert.
Grundsätzlich kann S+P unterschiedliche Leistungen für denselben Kunden erbringen. Entscheidend ist eine Einzelfallprüfung der Unabhängigkeit, möglicher Interessenkonflikte, personeller Trennung, Berechtigungen, Berichtswege und des Prüfungsumfangs. Erbringt S+P operative oder kontrollierende Leistungen, darf die eigene Interne Revision genau diese Leistung nicht ohne zusätzliche Schutzmaßnahmen prüfen. In solchen Fällen wird der Prüfungsumfang angepasst, eine unabhängige Prüfungsinstanz eingesetzt oder eine dokumentierte Ausnahmelösung gewählt.
Diese Entscheidungen verbleiben bei den hierfür autorisierten Stellen des Instituts beziehungsweise bei einer klar getrennten verantwortlichen Fach- oder Kontrollfunktion. Das gilt ebenso für Unstimmigkeitsmeldungen zum Transparenzregister und für die Beendigung von Geschäftsbeziehungen. S+P 1st Line Services bereitet Fallakten, Nachweise und Meldungsunterlagen operativ vor und eskaliert gemäß vereinbarter Kompetenzordnung.
Komplexe, risikorelevante oder als Ausnahmefall definierte Sachverhalte werden durch die zuständige Fach- oder Kontrollfunktion des Kunden entschieden. Die erste Linie bereitet die Information auf, dokumentiert den Fall und legt ihn entscheidungsreif vor. Welche Fälle als Ausnahme gelten, wird vorab in der Eskalationsmatrix festgelegt.
Die kundenseitige zweite Linie überwacht die operative Leistung innerhalb ihres Kontrollrahmens. Die Interne Revision prüft Prozesse und Kontrollmechanismen unabhängig. Erbringt S+P zugleich operative Services und Revisionsleistungen, werden Selbstprüfungskonflikte ausgeschlossen oder durch eine unabhängige Prüfung kompensiert.
Nein. Die Verantwortung für die ordnungsgemäße Geschäftsorganisation verbleibt beim auslagernden Unternehmen. Die Auslagerung verlagert die Ausführung, nicht die Verantwortung. Das Institut muss die ausgelagerte Leistung steuern, überwachen und die Ergebnisse beurteilen können. Dafür sind Berichtswege, Kennzahlen und Prüfungsrechte vertraglich zu verankern.
S+P Compliance unterstützt Sie dabei, das Three-Lines-Modell operativ umzusetzen: Kapazität in der ersten Linie, belastbare Kontrollfunktionen in der zweiten Linie und unabhängige Prüfungssicherheit in der dritten Linie. Mit definierten Rollen, dokumentierten Schnittstellen und nachvollziehbaren Schutzmechanismen.
Wir verwenden Cookies und ähnliche Technologien, um Ihre Erfahrung auf unserer Website zu verbessern. Weitere Informationen in unserer Datenschutzerklärung.