Was kostet die Interne Revision: eigene Abteilung oder Auslagerung?
Kostentreiber der Internen Revision im Vergleich: eigene Abteilung oder Auslagerung. Prüfuniversum, DORA, Überwachungspflicht und versteckte Kosten.
Die Kosten ergeben sich aus dem Prüfuniversum, das Gesetz nennt keine Beträge. Eine eigene Abteilung verursacht fixe Personal- und Strukturkosten. Bei einer Auslagerung bündeln Sie den Aufwand nach dem Revisionsplan in einem Jahresvertrag. Risikoprofil, Zahl der Prüffelder, IKT-Anteil und Berichtswege bestimmen den Umfang. Kostenbeträge nennt dieser Beitrag bewusst nicht, weil sie erst aus dem Umfang im Einzelfall entstehen.
Was kostet eine eigene Revisionsabteilung, und welche Kostentreiber gibt es?
Für Zahlungsinstitute verweist § 20 Abs. 4 ZaDiG 2018 auf § 42 BWG. Nach § 42 Abs. 1 BWG untersteht die Revision unmittelbar den Geschäftsleitern, dient ausschließlich der Prüfung und muss unter Bedachtnahme auf den Geschäftsumfang so ausgestattet sein, dass sie ihre Aufgaben zweckentsprechend erfüllen kann. Abs. 5 verlangt einen jährlichen Revisionsplan. Nach Abs. 6 ist mit der Revision eine eigene Organisationseinheit zu betrauen, außer die Bilanzsumme übersteigt 300 Mio. € nicht oder der Mitarbeiterstand übersteigt im Jahresdurchschnitt 50 vollbeschäftigte Mitarbeiter nicht. Nach unserer Auslegung gelten diese auf Kreditinstitute zugeschnittenen Schwellen sinngemäß auch für Zahlungsinstitute. Für CASPs nennt MiCAR die Revision nicht ausdrücklich.
Eine eigene Abteilung kostet vor allem an diesen Stellen:
- Personal: Sie brauchen Leitung und Prüfer mit passender Qualifikation, dazu Einarbeitung und Weiterbildung.
- Unabhängigkeit: Die Funktion darf sich nicht mit den geprüften Bereichen vermischen. Art. 6 Abs. 4 DORA verlangt eine angemessene Trennung von IKT-Risikomanagement-, Kontroll- und Revisionsfunktionen.
- IKT-Wissen: Art. 6 Abs. 6 DORA verlangt, dass Revisoren mit ausreichendem IKT-Wissen den IKT-Risikomanagementrahmen regelmäßig einer internen Revision unterziehen. Kleinstunternehmen sind ausgenommen.
- Methodik: Prüfprogramme, Dokumentation und Maßnahmenverfolgung müssen Sie aufbauen und pflegen.
- Vertretung: Fällt die einzige Person aus, steht die Funktion.
Nach unserer Einschätzung fallen Plan, Berichte und Nachverfolgung auch bei wenigen Prüfungen an. Diese Fixkosten bleiben, egal wie ausgelastet die Abteilung ist.
Wovon hängen die Kosten einer ausgelagerten Revision ab?
Vom Umfang des Revisionsplans, eine Pauschale gibt es dafür nicht. Diese Faktoren zählen:
- Prüfuniversum und Risikoprofil: Je mehr prüfbare Bereiche und je höher das Risiko, desto dichter der Prüfzyklus.
- Zahl der Prüffelder laut Revisionsplan: Anzahl und Rhythmus legt der Plan fest, der Dienstleister legt sie nicht fest.
- IKT-Prüfung nach DORA: Häufigkeit und Schwerpunkt der IKT-Revisionen müssen den IKT-Risiken des Unternehmens entsprechen (Art. 6 Abs. 6 DORA). Mehr dazu unter DORA.
- Berichtswege: Für Zahlungsinstitute sieht § 42 Abs. 3 BWG den Bericht an alle Geschäftsleiter vor. Dazu kommt eine quartalsweise Berichterstattung über Prüfungsgebiete und wesentliche Feststellungen an den Vorsitzenden des Aufsichtsorgans sowie den Prüfungsausschuss, soweit diese Organe bestehen. Das ist eine Berichtspflicht und keine Prüfungsfrequenz. Mehr Berichtsempfänger bedeuten mehr Berichtsaufwand.
- Qualifikation: Spezialwissen, etwa zu Kryptowerten oder IKT, kann den Aufwand je Prüfung erhöhen.
- Vertretung und Kontinuität: Ein Dienstleister mit mehreren Prüfern kann Ausfälle abfangen.
Ab wann lohnt sich die Auslagerung?
Eine feste Schwelle gibt es nicht. Vier Fragen helfen bei der Entscheidung:
- Lastet das Prüfuniversum eine eigene Funktion über das Jahr aus?
- Können Sie die Unabhängigkeit wahren, ohne dass dieselbe Person auch Risikomanagement oder Compliance verantwortet?
- Haben Sie das IKT-Wissen für Art. 6 Abs. 6 DORA im Haus?
- Ist die Vertretung geregelt?
Beantworten Sie mindestens eine Frage mit Nein, spricht das nach unserer Einschätzung für Auslagerung oder zumindest Co-Sourcing einzelner Prüffelder. Zulässig ist sie nach unserer Auslegung. Bei CASPs regelt Art. 73 MiCAR die Auslagerung, bei Zahlungsinstituten § 21 ZaDiG 2018, die Verantwortung bleibt jeweils beim Institut. Zahlungsinstitute oberhalb der Größenschwellen des § 42 Abs. 6 BWG (Bilanzsumme über 300 Mio. € und mehr als 50 Vollzeitkräfte im Jahresdurchschnitt) brauchen für die Revision nach unserer Auslegung eine eigene Organisationseinheit. Externe Prüfer kommen dort nur ergänzend (Co-Sourcing) in Betracht. Wie das aussieht, beschreibt die Seite Interne Revision auslagern.
Was ist in einem Jahresvertrag enthalten?
Typischerweise Risikoanalyse und Prüfuniversum, Mehrjahres- und Jahresprüfplan, Prüfungen nach dem beschlossenen Revisionsplan, Berichte mit Feststellungen und Maßnahmen, Maßnahmenverfolgung, ein Jahresbericht an Geschäftsleitung und Aufsichtsorgan sowie ein Ansprechpartner bei Aufsichtsfragen. Bei CASPs verlangt Art. 73 Abs. 3 MiCAR zusätzlich eine schriftliche Vereinbarung über die Rechte und Pflichten beider Seiten und ein Kündigungsrecht des Anbieters. Die Auslagerung darf der Aufsicht, einschließlich des Zugangs vor Ort, nicht entgegenstehen (Art. 73 Abs. 1 lit. d MiCAR).
Zur Unabhängigkeit gilt bei uns eine feste Regel: Eine Funktion, die wir aufgebaut haben, prüfen wir nicht. Für dasselbe Institut übernimmt OptiRisk deshalb entweder die Revision oder die Risikomanagement-Funktion, nie beide.
Welche versteckten Kosten entstehen (Einarbeitung, Überwachung der Auslagerung, Anzeige)?
Auslagerung nimmt Ihnen nicht jeden Aufwand im Haus ab:
- Einarbeitung: Der Dienstleister muss Geschäftsmodell, Prozesse und Systeme kennenlernen. Das betrifft vor allem den Beginn.
- Überwachung: Art. 73 Abs. 1 lit. e MiCAR verlangt, dass der Anbieter das Fachwissen und die Ressourcen hat, ausgelagerte Dienstleistungen wirksam zu überwachen und die Risiken kontinuierlich zu steuern. Lit. f fordert direkten Zugang zu den relevanten Informationen. Das Institut braucht also eine benannte Person mit genügend Zeit.
- Auslagerungsstrategie: Art. 73 Abs. 2 MiCAR verlangt eine Strategie mit Notfallplänen und Ausstiegsstrategien. Auch ein späterer Anbieterwechsel will geplant sein.
- DORA: Lagern Sie die Überprüfung des IKT-Risikomanagements aus, bleibt das Finanzunternehmen uneingeschränkt verantwortlich (Art. 6 Abs. 10 DORA).
- Anzeige: Art. 73 MiCAR enthält keine Anzeigepflicht, nur die Pflicht, Behörden auf Anfrage zu informieren (Abs. 4). Bei Zahlungsinstituten ist nach § 21 Abs. 3 ZaDiG 2018 die beabsichtigte Auslagerung betrieblicher Aufgaben von Zahlungsdiensten vorab schriftlich anzuzeigen. Ob die Revision darunter fällt, sagt der Wortlaut nicht. Einen Vergleich der Pflichten finden Sie im Beitrag Interne Revision auslagern: Pflichten im Vergleich.
Nach unserer Einschätzung kostet weniger die Anzeige selbst Zeit als die Abstimmung davor. Wer sie früh einplant, vermeidet Verzögerungen beim Start.
Für CASPs im Zulassungsverfahren zeigt die Seite zum Zulassungsverfahren, wie sich die Revisionsfrage in die Antragsunterlagen einfügt. Welche Variante zu Ihrem Institut passt, klären wir im Erstgespräch. Dieser Beitrag ersetzt keine Rechtsberatung.