Interne Revision. Gestern, heute, morgen.

Dieser Beitrag fasst einen Vortrag zusammen, den Thomas Michalik am 22. Oktober 2026 gehalten hat. Die Frage dahinter: Wie hat sich die Interne Revision verändert, wohin geht sie, und was bleibt für den Menschen übrig, der diesen Beruf ausübt?

Was eine Interne Revision ist

In einem Satz: Die Interne Revision prüft unabhängig im Auftrag der Geschäftsleitung, ob Governance, Risikomanagement und Kontrollen wirken, berichtet darüber und berät, was besser und wirtschaftlicher geht. Für Kreditinstitute steht das in § 42 BWG, für die Methodik gelten die Global Internal Audit Standards des IIA.

Das Modell dahinter sind die drei Verteidigungslinien. Die Fachbereiche steuern die Risiken im Tagesgeschäft. Risikomanagement, Compliance und Geldwäscheprävention überwachen die erste Linie. Die Interne Revision prüft beide unabhängig und sagt, wie es besser geht.

Interne Revision und Wirtschaftsprüfer

Die beiden werden oft verwechselt. Die Interne Revision fragt: Funktioniert das Haus? Der Wirtschaftsprüfer fragt: Stimmen die Zahlen?

• Auftrag: Die Revision ist Teil des Instituts und berichtet an Geschäftsleitung und Aufsichtsorgan. Der Wirtschaftsprüfer kommt von außen und wird von den Eigentümern bestellt.
• Blick: Die Revision sieht alle Bereiche, Prozesse und Kontrollen. Der Wirtschaftsprüfer prüft den Jahresabschluss, dazu die aufsichtsrechtliche Prüfung.
• Rhythmus: laufend nach risikoorientiertem Prüfplan gegen einmal im Jahr zum Stichtag.
• Richtung: nach vorne, was kann schiefgehen, gegen zurück, was ist passiert.
• Zusammenarbeit: Die Revision erarbeitet Lösungen mit den Fachbereichen. Der Wirtschaftsprüfer stellt im Wesentlichen fest, die Lösung bleibt beim Haus.

Warum es die Revision gibt

Das Bild des Revisors hat sich gedreht. Früher war er der gnadenlose Exekutor: Er suchte Fehler und Schuldige, der Prüfbericht war ein Urteil über den Fachbereich, und die Fachbereiche sahen in der Revision einen Gegner.

Heute ist die Revision Partner der Geschäftsführung. Sie sorgt dafür, dass die Geschäftsleitung weiß, ob alles in Ordnung ist, oder eben nicht. Sie benennt Risiken, bevor sie teuer werden, und erarbeitet Lösungen gemeinsam mit den Fachbereichen. Dazu kommt der Rahmen: Gesetz und Aufsicht verlangen eine unabhängige Revision, Eigentümer und Kunden verlassen sich darauf.

Wie ein Prüftag aussieht

Ein Beispiel, eine Prüfung des Collateral Managements. Um halb neun alle Margin Calls des Quartals aus dem System ziehen und mit der Collateral-Datenbank abgleichen. Um zehn im Back Office am Bildschirm zeigen lassen, wie ein Margin Call von der Berechnung bis zur Zahlung läuft. Um halb zwölf 25 Calls nachrechnen, Fristen und Vier-Augen-Freigaben kontrollieren. Nach dem Mittag drei Calls ohne dokumentierte Freigabe beim Teamleiter nachfragen und Belege nachfordern. Um drei dokumentieren: Die KI fasst die Interviewnotizen zusammen, der Revisor prüft und legt jeden Schritt mit Beleg ab. Um vier den Entwurf der Feststellung mit dem Fachbereich besprechen und eine Maßnahme mit realistischer Frist vereinbaren.

Der Rest der Woche gehört dem Jour fixe mit der Geschäftsleitung, der Nachverfolgung offener Maßnahmen, der Vorabbeurteilung neuer Projekte, den Anfragen von FMA und Wirtschaftsprüfer und der Vorbereitung der nächsten Prüfung.

Die Revision ist dabei beides: kritisch, wenn es nötig ist, und unterstützend, wenn es eng wird. Kritisch, wenn neue Produkte live gehen, bevor Risk und Compliance zugestimmt haben, oder wenn ein kritischer IT-Dienstleister keine Ausstiegsstrategie hat, wie DORA sie verlangt. Unterstützend, wenn die FMA eine Vor-Ort-Prüfung ankündigt, wenn eine Meldung mit falschen Zahlen an die Aufsicht ging, oder wenn MiCAR und DORA in Kraft treten und niemand genau weiß, was die Aufsicht erwartet. Dann gilt: Lösung vor Schuldfrage.

Gestern: Anwesenheit und Autorität

Wer vor fünfzehn Jahren angefangen hat, kennt den Freitag um 16 Uhr. Unangemeldet in die Filiale, Kasse zählen, Ergebnis am selben Tag. Der Kassasturz war die Prüfungshandlung schlechthin.

Daneben Ordner und Belege: Kreditakten lesen, eine nach der anderen. Excel-Tabellen voller SVERWEISE, die nur der Ersteller verstand. Und die Sonderuntersuchung: Wochen Arbeit für einen einzigen Fall, Gespräche im „Verhörkammerl". Geprüft wurde eine Stichprobe von vielleicht zehn Prozent, der Rest blieb ungeprüft, und alle wussten das.

Der Revisor musste das Geschäft kennen, Belege lesen und Menschen gegenübertreten. Und er musste sein: bestimmt, autoritär, unnachgiebig.

Heute: wir prüfen Daten, nicht Ordner

Vieles läuft automatisch. Die Daten kommen fertig ins Dashboard. Statt SVERWEIS prüfen wir den Status, und wenn die Ampel auf Rot steht, haken wir nach. Die Prüfprogramme sind standardisiert.

Gleichzeitig sind die Anforderungen gestiegen. DORA verlangt die IKT-Prüfung durch Revisoren mit IKT-Wissen. MiCAR stellt Kryptodienstleister unter Aufsicht. Die Global Internal Audit Standards gelten seit 2025. Und mit dem AI Act wird KI selbst zum Prüffeld.

KI hilft dabei schon: Berichtsentwurf aus den Arbeitspapieren, Prüfung von Sprache und Verständlichkeit, Zusammenfassung von Interviewnotizen, Durchsuchen von Regelwerken. Weniger Daten suchen, mehr Zeit für die richtigen Fragen.

Morgen: KI prüft mit, der Mensch entscheidet

Wir erwarten drei Schritte.

Daten rein, Prüfung raus. Alle Buchungen statt Stichprobe. Abweichungen erscheinen als Liste, mit Beleg.

Früherkennung statt Jahresrhythmus. Abfragen laufen ständig mit. Auffälligkeiten fallen am selben Tag auf, nicht erst bei der nächsten Prüfung.

Menschen prüfen das Ergebnis. Fehler, Ausnahme oder mehr? Der Revisor urteilt und steht mit seinem Namen dafür.

Was wegfällt: Daten zusammensuchen, manuell abgleichen, der erste Berichtsentwurf, ein großer Teil der Stichproben. Was möglich wird: Vollständigkeit statt Stichprobe, kürzere Prüfzyklen, jede Feststellung bis zum Beleg nachvollziehbar.

Zwei Dinge sind vorher zu klären. Wer Daten eines regulierten Instituts in ein KI-System gibt, muss nach unserer Einschätzung die Regeln zur Auslagerung und DORA mitdenken: Speicherort, Zugriff, Vertraulichkeit. Und Datenqualität: Schlechte Daten erzeugen falsche Befunde, also zuerst Herkunft und Vollständigkeit prüfen.

KI kann viel. Verantworten kann sie nicht.

KI kann besser: Verträge und Protokolle in Minuten lesen, Muster und Ausreißer finden, rund um die Uhr ohne zu ermüden, Regelwerke in Sekunden durchsuchen.

Beim Menschen bleibt: zwischen den Zeilen hören, das unangenehme Gespräch führen, Vertrauen im Fachbereich, das Haus und seine Geschichte kennen.

Dazu kommt der Rahmen, den das Gesetz setzt. § 42 BWG verlangt die Revision, die Leitung wird Fit-&-Proper-geprüft. Kein Befund ohne menschliche Prüfung. Solange das Gesetz eine Revision verlangt, steht nach unserem Verständnis ein Mensch dahinter.

Vom Zähler zum Fragesteller

Früher: Belege lesen, Stichproben ziehen, Geschäft verstehen, Gespräche führen, Berichte schreiben. Fleiß war der Unterschied.

Morgen: Daten verstehen, also wissen, woher sie kommen und was sie nicht zeigen. Abfragen formulieren und Ergebnisse hinterfragen. Prüfprogramme bauen, die ein System ausführt. Aus Befunden Entscheidungen machen. Das Geschäft verstehen bleibt.

Weniger selbst prüfen, mehr urteilen.

Sind wir ersetzbar?

Ein Teil unserer Arbeit: ja. Und das ist gut so. Niemand wird den SVERWEIS vermissen.

Nicht ersetzbar ist, was den Beruf ausmacht: entscheiden, was eine Abweichung bedeutet. Dem Vorstand sagen, dass eine Kontrolle nicht wirkt. Gegenüber der FMA für das Urteil einstehen. Die Frage stellen, die in keinen Daten steht.

Der Kassasturz am Freitag um 16 Uhr bleibt. Der autoritäre Revisor nicht. Weiterhin unangemeldet, aber remote über das Dashboard und auf Augenhöhe: gemeinsam zählen, Abweichungen klären statt vorführen.

Dieser Beitrag gibt unsere Einschätzung wieder und ersetzt keine Rechtsberatung. Mehr zur Internen Revision, zum Co-Sourcing und zu unserem Angebot. Wenn Sie über Ihre Revision sprechen wollen: Erstgespräch buchen.