Co-Sourcing der Internen Revision: Wann es sich lohnt und wie es läuft

Co-Sourcing heißt: Das Institut behält seine Interne Revision und holt für einzelne Prüfungen oder Themen externe Prüfer dazu. Prüfplan, Methodik, Qualitätssicherung und Berichtsweg bleiben bei der Revisionsleitung. Das unterscheidet Co-Sourcing von der vollständigen Auslagerung, bei der ein Dienstleister die ganze Funktion übernimmt. Nach unserer Erfahrung ist Co-Sourcing die Form, die am häufigsten gebraucht und am seltensten angeboten wird.

Vier Anlässe, in denen Co-Sourcing sinnvoll ist

Der Prüfplan ist größer als das Team. Der risikoorientierte Prüfplan sieht zwölf Prüfungen vor, das Team schafft acht. Die üblichen Auswege sind Verschieben oder Verkürzen. Beides fällt beim Abschlussprüfer und bei der FMA auf, wenn Hochrisikofelder im Plan stehen und im Jahresbericht fehlen. Externe Prüfer für die vier übrigen Prüfungen lösen das, ohne eine Stelle zu schaffen.

Das IKT-Wissen fehlt. Art. 6 Abs. 6 DORA verlangt, dass der IKT-Risikomanagementrahmen regelmäßig einer internen Revision durch Revisoren mit ausreichendem IKT-Wissen unterzogen wird. Kleinstunternehmen sind ausgenommen. Viele Revisionen mit zwei oder drei Personen haben dieses Wissen nicht im Haus. Eine Spezialprüfung im Co-Sourcing ist dann nach unserer Einschätzung der übliche Weg, und der Bericht trägt trotzdem den Kopf der eigenen Revision.

Neue Prüffelder. Ein Institut bekommt eine Zulassung nach MiCAR dazu oder erweitert das Geschäft. Safeguarding, Auslagerungen nach Art. 73 MiCAR, Travel Rule: Das sind Felder, die niemand im Team je geprüft hat. Ein Prüfprogramm von außen, einmal gemeinsam durchgeführt, bleibt danach im Haus.

Die Revisionsleitung fällt aus. Kündigung, Krankheit, Karenz. Die Berichtstermine an Geschäftsleitung und Aufsichtsorgan laufen weiter. Eine interimistische Revisionsleitung hält Prüfplan, Berichte und Maßnahmenverfolgung in Gang und übergibt dokumentiert an die Nachfolge.

Was die Revisionsleitung behält

Alles, was die Funktion ausmacht. Sie legt fest, welche Prüffelder vergeben werden, mit welchem Prüfprogramm geprüft wird, in welchen Arbeitspapieren dokumentiert wird und in welchem Format berichtet wird. Sie sieht jede Feststellung vor der Schlussbesprechung und gibt den Bericht frei. Nach unserem Verständnis der Global Internal Audit Standards bleibt sie auch bei externen Prüfern für Prüfplan, Qualität und Berichterstattung verantwortlich.

Für den externen Prüfer heißt das: Er arbeitet unter fremder Leitung. Das ist für viele Anbieter ungewohnt, weil sie gern die ganze Funktion übernehmen. Für die Revisionsleitung ist es die Bedingung, unter der Co-Sourcing überhaupt funktioniert.

Was das Aufsichtsrecht dazu sagt

Für Zahlungsinstitute ist Co-Sourcing ab einer bestimmten Größe die einzige Form. § 42 Abs. 6 BWG, auf den § 20 Abs. 4 ZaDiG 2018 verweist, verlangt über 300 Mio. € Bilanzsumme und 50 Vollzeitkräften im Jahresdurchschnitt eine eigene Organisationseinheit für die Revision. Externe Prüfer kommen dort nach unserer Auslegung nur ergänzend in Betracht. Eine vollständige Auslagerung scheidet aus.

Ob Co-Sourcing eine wesentliche Auslagerung ist, hängt vom Umfang ab. Einzelne Prüfungen unter Leitung der eigenen Revision und dauerhaft vergebene Prüffelder sind nach unserer Einschätzung unterschiedlich zu bewerten. Für Zahlungs- und E-Geld-Institute gelten die EBA-Leitlinien zu Auslagerungen (EBA/GL/2019/02), für CASPs Art. 73 MiCAR. Die Verantwortung bleibt in jedem Fall beim Institut. Das Institut sollte die Bewertung dokumentieren, bevor der erste externe Prüfer anfängt.

Wie Co-Sourcing abläuft

1. Abstimmung. Revisionsleitung und externer Prüfer legen Prüffelder, Prüfprogramm, Arbeitspapiere und Berichtsweg fest. Gibt es im Haus kein Prüfprogramm für das Feld, bringt der Prüfer seines mit und passt es an.
2. Prüfung im Zeitfenster des Prüfplans. Vor Ort oder remote, dokumentiert in den Arbeitspapieren des Instituts, nachvollziehbar für FMA und Abschlussprüfer.
3. Abstimmung der Feststellungen. Die Revisionsleitung sieht jede Feststellung vor der Schlussbesprechung. Risikoeinstufung und Maßnahmen werden gemeinsam festgelegt.
4. Bericht im Format des Instituts. Der Berichtsentwurf kommt vom externen Prüfer, Freigabe und Versand bleiben bei der Revisionsleitung.
5. Übergabe. Offene Maßnahmen gehen in die Nachverfolgung des Instituts. Bei interimistischer Leitung werden Prüfplan, Berichte und offene Punkte dokumentiert an die Nachfolge übergeben.

Drei Stolpersteine

Zwei Methodiken. Wenn der externe Prüfer mit eigenem Prüfprogramm, eigenen Risikostufen und eigenem Berichtsformat arbeitet, entstehen im Jahresbericht zwei Handschriften. Der Abschlussprüfer fragt dann, welche gilt. Die Lösung ist einfach: Die Methodik des Instituts gilt, der externe Prüfer passt sich an.

Arbeitspapiere beim Dienstleister. Liegen die Arbeitspapiere im System des Dienstleisters, hat das Institut bei einer FMA-Prüfung ein Zugangsproblem. Arbeitspapiere gehören in das System des Instituts, von Anfang an.

Unabhängigkeit beim Quality Assessment. Standard 8.4 der Global Internal Audit Standards nennt die Unterstützung der Internen Revision als mögliche Beeinträchtigung der Unabhängigkeit eines externen Beurteilers. Wer im Co-Sourcing mitgearbeitet hat, sollte das Quality Assessment derselben Funktion nach unserer Einschätzung nicht ohne Weiteres übernehmen. Wir klären das vor jedem Auftrag und lehnen im Zweifel ab.

Welche Vertragsform passt

Für wiederkehrende Kapazität ein Rahmenvertrag mit Abruf: Das Institut ruft Prüfungen nach Prüfplan ab, der Prüfer plant das Zeitfenster fest ein. Für Spezialprüfungen ein Auftrag je Prüfung mit vereinbartem Umfang, Prüfprogramm und Berichtsformat. Für den Ausfall der Revisionsleitung ein befristeter Interimsvertrag mit Übergabeplan.

Wie wir Co-Sourcing anbieten, steht auf der Seite Co-Sourcing Interne Revision. Wer Co-Sourcing und vollständige Auslagerung vergleichen will, findet die Gegenüberstellung unter Interne Revision auslagern. Für ein Erstgespräch reichen 30 Minuten.