Interne Revision auslagern: Pflichten im Vergleich

Ausdrücklich verlangen eine Interne Revision § 20 Abs. 4 ZaDiG 2018 (jährlich), Art. 24 DelVO (EU) 2017/565 für Wertpapierfirmen und Art. 62 DelVO (EU) Nr. 231/2013 für AIFM (beide verhältnismäßig). MiCAR nennt sie nicht. Nach unserer Einschätzung lässt sich die Revision in allen vier Fällen auslagern. Bei Zahlungsinstituten gilt das für die vollständige Auslagerung nur unterhalb der Schwellen des § 42 Abs. 6 BWG (Bilanzsumme bis 300 Mio. € oder bis 50 Vollzeitkräfte). Darüber verlangt das Gesetz eine eigene Organisationseinheit, und externe Prüfer kommen nur ergänzend (Co-Sourcing) in Betracht. Die Verantwortung bleibt beim Institut. Am stärksten unterscheiden sich Anzeigepflichten und Vertragsinhalt. Verwaltungsgesellschaften nach InvFG 2011 behandelt dieser Beitrag nicht.

Welche Institute müssen eine Interne Revision einrichten?

Kryptodienstleister (CASPs): Eine ausdrückliche Pflicht zur Internen Revision enthält die MiCAR nicht. Art. 68 Abs. 4 MiCAR verlangt wirksame Strategien und Verfahren zur Einhaltung der Verordnung. Nach Abs. 6 bewertet und überprüft das Leitungsorgan die Wirksamkeit der zur Erfüllung von Kapitel 2 und 3 des Titels V eingeführten Strategien und Verfahren regelmäßig. Nach unserer Einschätzung lässt sich diese Bewertung ohne unabhängige Überprüfung kaum belegen.
Zahlungs- und E-Geld-Institute: § 20 Abs. 4 ZaDiG 2018 verlangt, die Zweckmäßigkeit der Verfahren nach § 20 Abs. 1 und 3 und deren Anwendung mindestens einmal jährlich im Rahmen der Internen Revision nach § 42 BWG zu prüfen. Prüffelder und Ergebnisse sind zu dokumentieren. Nach § 42 Abs. 6 BWG, auf den § 20 Abs. 4 verweist, ist mit der Revision eine eigene Organisationseinheit zu betrauen, außer die Bilanzsumme übersteigt 300 Mio. € nicht oder der Mitarbeiterstand übersteigt im Jahresdurchschnitt 50 vollbeschäftigte Mitarbeiter nicht. Nach unserer Auslegung gilt das sinngemäß auch für Zahlungsinstitute. Für E-Geld-Institute erklärt § 13 Abs. 1 E-Geldgesetz 2010 diese Bestimmungen für anwendbar.
Wertpapierfirmen: Art. 24 DelVO (EU) 2017/565 verlangt, soweit angemessen und verhältnismäßig, eine von den übrigen Funktionen getrennte, unabhängige Innenrevisionsfunktion. Dazu kommen die allgemeinen Organisationsanforderungen in § 29 Abs. 1 und § 32 WAG 2018, darunter interne Kontrollmechanismen. Wertpapierdienstleistungsunternehmen sind nach § 26 Abs. 2 Z 3 WAG 2018 vom Erfordernis einer getrennten unabhängigen internen Revision ausgenommen.
AIFM: Art. 62 Abs. 1 DelVO (EU) Nr. 231/2013 verlangt, soweit angemessen und verhältnismäßig, eine getrennte, unabhängige Innenrevisionsfunktion.

Welche Norm regelt die Auslagerung der Revision?

CASPs: Art. 73 MiCAR (Auslagerung betrieblicher Aufgaben).
Zahlungsinstitute: § 21 ZaDiG 2018 (ZaDiG und PSD2). Für E-Geld-Institute gelten § 15 Abs. 3 und § 16 Abs. 2 E-Geldgesetz 2010.
Wertpapierfirmen: § 34 WAG 2018 mit Art. 30 bis 32 DelVO (EU) 2017/565. Art. 30 definiert kritische oder wesentliche Aufgaben, Art. 31 stellt die Bedingungen auf.
AIFM: § 18 AIFMG und Art. 75 ff. DelVO (EU) Nr. 231/2013 regeln die Übertragung von Funktionen. § 18 Abs. 1 AIFMG bezieht sich auf die in Anlage 1 genannten Funktionen und die Dienstleistungen nach § 4 Abs. 4. Die Interne Revision ist dort nicht aufgeführt. Ob § 18 AIFMG auf ihre Auslagerung anzuwenden ist, sollten Sie nach unserer Einschätzung vor Vertragsabschluss mit der FMA klären.

Muss die Auslagerung der FMA angezeigt werden?

CASPs: Art. 73 MiCAR enthält keine Anzeigepflicht. Der Anbieter und der Dritte müssen den Behörden auf Anfrage alle Informationen liefern, die zur Beurteilung der ausgelagerten Tätigkeiten nötig sind (Abs. 4).
Zahlungsinstitute: Die beabsichtigte Auslagerung betrieblicher Aufgaben von Zahlungsdiensten ist der FMA vorab schriftlich anzuzeigen, unabhängig davon, ob die Aufgabe wichtig ist (§ 21 Abs. 3 ZaDiG 2018). Ob die Revision darunter fällt, sagt der Wortlaut nicht. Nach unserer Einschätzung ist im Zweifel anzuzeigen. Unabhängig davon sind die Namen der Verantwortlichen für die interne Revision und jede Änderung unverzüglich anzuzeigen (§ 14 Abs. 1 Z 10 ZaDiG 2018, für E-Geld-Institute § 7 Abs. 1 Z 10 E-Geldgesetz 2010).
Wertpapierfirmen: § 34 WAG 2018 und Art. 31 DelVO (EU) 2017/565 enthalten keine Anzeigepflicht. Die Wertpapierfirma muss den Behörden auf Verlangen alle Informationen zur Verfügung stellen, die zur Überwachung der übertragenen Funktionen nötig sind (Art. 31 Abs. 5).
AIFM: Die Übertragung ist der FMA unverzüglich ab Beschlussfassung, jedenfalls vor Inkrafttreten der Vereinbarung, schriftlich anzuzeigen (§ 18 Abs. 1 Z 1 AIFMG), soweit § 18 anwendbar ist (siehe oben).

Wer bleibt für die ausgelagerte Revision verantwortlich?

Immer das Institut. Nach Art. 73 Abs. 1 MiCAR tragen die Anbieter weiterhin die volle Verantwortung. Nach Art. 31 Abs. 1 DelVO (EU) 2017/565 bleiben Wertpapierfirmen vollständig verantwortlich, und die Auslagerung darf nicht mit einer Delegation der Aufgaben der Geschäftsleitung verbunden sein. Nach § 21 Abs. 2 Z 1 ZaDiG 2018 darf die Auslagerung wichtiger betrieblicher Aufgaben ebenfalls nicht zur Delegation der Aufgaben der Geschäftsleitung führen. E-Geld-Institute haften für ausgelagerte Tätigkeiten wie für ihre eigenen (§ 16 Abs. 1 E-Geldgesetz 2010). Bei AIFM bleiben die Pflichten gegenüber dem AIF und den Anlegern unberührt, und der AIFM haftet für das Verhalten des Dritten wie für sein eigenes (§ 18 Abs. 3 AIFMG). Nach unserer Einschätzung braucht das Institut deshalb eine benannte Person, die den Revisionsdienstleister beauftragt und überwacht. Wie das in der Praxis aussieht, beschreibt die Seite Ausgelagerte Interne Revision.

Was gehört in den Auslagerungsvertrag?

CASPs (Art. 73 MiCAR): schriftliche Vereinbarung über die Rechte und Pflichten beider Seiten (Abs. 3), Kündigungsrecht (Abs. 3), Datenschutzstandards (Abs. 1 lit. g), dazu eine Auslagerungsstrategie mit Notfallplänen und Ausstiegsstrategien (Abs. 2). Die Auslagerung darf der Aufsicht, einschließlich des Zugangs vor Ort, nicht entgegenstehen (Abs. 1 lit. d).
Zahlungsinstitute (§ 21 Abs. 1 ZaDiG 2018, für wichtige betriebliche Aufgaben): schriftliche Vereinbarung mit klarer Aufteilung der Rechte und Pflichten. Abschluss, Durchführung und Kündigung erfolgen mit der gebotenen Professionalität und Sorgfalt.
Wertpapierfirmen (Art. 31 DelVO (EU) 2017/565): schriftliche Vereinbarung mit Weisungs-, Kündigungs- und Informationsrechten sowie Einsichts- und Zugangsrechten zu Büchern und Geschäftsräumen. Unterauslagerung ist nur mit schriftlicher Zustimmung der Wertpapierfirma möglich (Abs. 3). Zugang müssen auch Abschlussprüfer und Behörden haben (Abs. 2 lit. i).
AIFM (Art. 75 DelVO (EU) Nr. 231/2013): schriftliche Vereinbarung, in der sich der AIFM Informations-, Zugangs-, Anweisungs- und Überwachungsrechte zusichern lässt. Der AIFM überwacht die übertragenen Aufgaben wirkungsvoll.

Was ergänzt DORA?

Art. 6 Abs. 6 DORA verlangt, dass der IKT-Risikomanagementrahmen von Finanzunternehmen, die keine Kleinstunternehmen sind, im Einklang mit dem Revisionsplan regelmäßig einer internen Revision durch Revisoren mit ausreichendem IKT-Wissen unterzogen wird. Zahlungs- und E-Geld-Institute, Wertpapierfirmen, CASPs und AIFM nennt Art. 2 Abs. 1 DORA als erfasste Unternehmen, unbeschadet der Ausnahmen in Art. 2 Abs. 3 und 4. Für die in Art. 16 Abs. 1 DORA genannten Unternehmen mit vereinfachtem Rahmen verlangt Art. 28 Abs. 5 der Delegierten Verordnung (EU) 2024/1774 ebenfalls eine interne Revision. Ein Revisionsdienstleister sollte diese Kompetenz mitbringen.

Welche Auslagerungsform zu Ihrem Institut passt, klären wir im Erstgespräch. Dieser Beitrag ersetzt keine Rechtsberatung.

Interne Revision auslagern: Pflichten für CASPs, Zahlungsinstitute, Wertpapierfirmen und AIFM im Vergleich