Interne Revision: Wer sie haben muss, je nach Institutstyp

Nein, nicht jede GmbH braucht eine Interne Revision. Das GmbHG verlangt ein internes Kontrollsystem, aber keine Revisionsfunktion. Bei regulierten Instituten hängt die Pflicht vom Typ ab. Ausdrücklich gilt sie für Zahlungsinstitute (mindestens jährlich) und Kapitalanlagegesellschaften, verhältnismäßig für Wertpapierfirmen und AIFM. Für CASPs nennt die MiCAR sie nicht. Auslagern lässt sie sich nach unserer Auslegung. Bei Zahlungsinstituten oberhalb der Schwellen des § 42 Abs. 6 BWG (Bilanzsumme 300 Mio. €, 50 Vollzeitkräfte) verlangt das Gesetz allerdings eine eigene Organisationseinheit. Verantwortlich bleibt das Institut.

Ist eine Interne Revision für jede GmbH Pflicht?

Nein. § 22 Abs. 1 GmbHG verpflichtet die Geschäftsführer, dafür zu sorgen, dass ein Rechnungswesen und ein internes Kontrollsystem geführt werden, die den Anforderungen des Unternehmens entsprechen. Das „interne Revisionssystem“ kommt im GmbHG nur in § 30g Abs. 4a Z 4 lit. b vor. Dort gehört es zu den Aufgaben eines Prüfungsausschusses, die Wirksamkeit des internen Kontrollsystems und „gegebenenfalls“ des internen Revisionssystems zu überwachen. Einen Prüfungsausschuss schreibt Abs. 4a nur für bestimmte Gesellschaften vor, etwa aufsichtsratspflichtige große Gesellschaften, bei denen das Fünffache eines der Größenmerkmale einer großen Gesellschaft überschritten wird. Dieselbe Formulierung steht in § 92 Abs. 4a Z 4 lit. b AktG. Nach unserer Auslegung setzt das Gesetz eine Revision also voraus, wo es sie gibt, ordnet sie aber gesellschaftsrechtlich nicht an.

Welche Normen verlangen sie für Zahlungsinstitute, Wertpapierfirmen, AIFM/KAG und CASPs?

Zahlungsinstitute: § 20 Abs. 4 ZaDiG 2018 verlangt, die Zweckmäßigkeit der Verfahren nach § 20 Abs. 1 und 3 und deren Anwendung mindestens einmal jährlich im Rahmen der Internen Revision nach § 42 BWG zu prüfen. Erfasst sind unter anderem die Unternehmenssteuerung, Kontrollverfahren, Datensicherheit samt Notfallkonzept und das Risikomanagement zu Geldwäscherei und Terrorismusfinanzierung. Prüffelder und Ergebnisse sind zu dokumentieren. Mehr dazu auf der Seite für Zahlungsinstitute.
Wertpapierfirmen: Art. 24 der Delegierten Verordnung (EU) 2017/565 verlangt eine von den übrigen Funktionen getrennte und unabhängige Innenrevisionsfunktion, soweit das nach Art, Umfang und Komplexität der Geschäfte angemessen und verhältnismäßig ist. § 29 Abs. 1 WAG 2018 verlangt Strategien und Verfahren zur Einhaltung der organisatorischen Anforderungen dieser Verordnung, § 32 interne Kontrollmechanismen. Wertpapierdienstleistungsunternehmen sind nach § 26 Abs. 2 Z 3 WAG 2018 vom Erfordernis der getrennten unabhängigen internen Revision nach Art. 24 ausgenommen. Siehe Wertpapierfirmen.
AIFM und KAG: Art. 62 Abs. 1 der Delegierten Verordnung (EU) Nr. 231/2013 verlangt von AIFM eine getrennte, unabhängige Innenrevisionsfunktion, soweit angemessen und verhältnismäßig. Verwaltungsgesellschaften nach dem InvFG 2011 müssen nach § 16 Abs. 1 dauerhaft eine Innenrevisionsfunktion einrichten. Siehe KAG und AIFM.
CASPs: Die MiCAR enthält im Volltext keine ausdrückliche Pflicht zur Internen Revision. Art. 68 Abs. 4 verlangt Strategien und Verfahren, die hinreichend wirksam sind, damit die Verordnung eingehalten wird. Nach Abs. 6 bewertet und überprüft das Leitungsorgan regelmäßig die Wirksamkeit der Strategien und Verfahren, die zur Erfüllung der Kapitel 2 und 3 des Titels V eingeführt wurden. Wie diese Überprüfung organisiert wird, lässt die Verordnung offen. Eine Interne Revision ist nach unserer Auslegung ein möglicher Weg, aber nicht der einzige. Siehe CASPs.

Zusätzlich verlangt Art. 6 Abs. 6 DORA, den IKT-Risikomanagementrahmen regelmäßig einer internen Revision durch Revisoren mit ausreichendem IKT-Wissen zu unterziehen. Kleinstunternehmen sind davon ausgenommen. Für kleine und nicht verflochtene Wertpapierfirmen und nach der Zahlungsdiensterichtlinie ausgenommene Zahlungsinstitute gilt statt Art. 5 bis 15 der vereinfachte Rahmen nach Art. 16 DORA. Dort verlangt Art. 28 Abs. 5 der Delegierten Verordnung (EU) 2024/1774 eine interne Revision durch unabhängige Revisoren mit IKT-Fachkenntnissen. Der Anwendungsbereich ergibt sich aus Art. 2 DORA. Er nennt Zahlungsinstitute, Wertpapierfirmen, CASPs und AIFM, unbeschadet der Ausnahmen in Abs. 3 und 4.

Darf die Interne Revision ausgelagert werden?

Keine der genannten Normen verbietet es ausdrücklich. Eine Grenze zieht § 42 Abs. 6 BWG, auf den § 20 Abs. 4 ZaDiG 2018 verweist. Mit den Aufgaben der Internen Revision ist eine eigene Organisationseinheit zu betrauen, außer die Bilanzsumme übersteigt 300 Mio. € nicht oder der Mitarbeiterstand übersteigt im Jahresdurchschnitt 50 vollbeschäftigte Mitarbeiter nicht. Nach unserer Auslegung lassen sich diese auf Kreditinstitute zugeschnittenen Schwellen sinngemäß auf Zahlungsinstitute übertragen. Unterhalb davon kann die Funktion extern besetzt werden, darüber kommen externe Prüfer nur ergänzend (Co-Sourcing) in Betracht. Im Übrigen ist eine externe Besetzung der Funktion nach unserer Auslegung in allen vier Fällen möglich, sofern die allgemeinen Auslagerungsregeln eingehalten werden:

Zahlungsinstitute: Die Auslagerung wichtiger betrieblicher Aufgaben darf die Qualität der internen Kontrolle und die Beaufsichtigung durch die FMA nicht wesentlich beeinträchtigen (§ 21 Abs. 1 ZaDiG 2018) und nicht zu einer Delegation der Aufgaben der Geschäftsleitung führen (Abs. 2 Z 1). Die beabsichtigte Auslagerung betrieblicher Aufgaben von Zahlungsdiensten ist der FMA vorab schriftlich anzuzeigen (Abs. 3). Ob die Revision darunter fällt, sagt der Wortlaut nicht. Im Zweifel empfiehlt sich die Abstimmung mit der FMA.
Wertpapierfirmen: Für die Auslagerung wesentlicher betrieblicher Aufgaben verweist § 34 WAG 2018 auf Art. 30 bis 32 der Delegierten Verordnung (EU) 2017/565. Ob die Revision eine wesentliche Aufgabe ist, ist Auslegungssache.
AIFM und KAG: Art. 62 DelVO und § 16 InvFG 2011 sagen zur Auslagerung nichts. Für Verwaltungsgesellschaften regelt § 28 InvFG 2011 die Übertragung von Aufgaben, mit Anzeige an die FMA vorab und Haftung wie für eigenes Verhalten. Ob die Revision darunter fällt, sagt der Wortlaut nicht. Die Anlage 1 zum AIFMG, auf die sich § 18 Abs. 1 AIFMG bezieht, nennt die Revision nicht. Ob § 18 AIFMG auf sie anzuwenden ist, bleibt offen.
CASPs: Art. 73 MiCAR regelt die Auslagerung betrieblicher Aufgaben. Die Anbieter tragen weiterhin die volle Verantwortung.

Die Pflichten im Vergleich zeigt der Beitrag zur Auslagerung. Das Angebot dazu: Interne Revision auslagern.

Was gilt für sehr kleine Institute (Verhältnismäßigkeit)?

Der Wortlaut ist je Norm verschieden. Art. 24 DelVO (EU) 2017/565 und Art. 62 Abs. 1 DelVO (EU) Nr. 231/2013 stellen die Pflicht unter den Vorbehalt, dass dies „angemessen und verhältnismäßig“ ist, gemessen an Art, Umfang und Komplexität der Geschäfte. Wo die Grenze liegt, sagen sie nicht. § 16 Abs. 1 InvFG 2011 ist anders gebaut: Der Vorbehalt steht dort nur bei der Trennung und Unabhängigkeit von den übrigen Funktionen, nicht bei der Einrichtung selbst. § 20 Abs. 4 ZaDiG 2018 nennt keinen Vorbehalt, sondern „mindestens einmal jährlich“. Erleichterungen gibt es an zwei Stellen. Das Erfordernis von mindestens zwei Geschäftsleitern in § 42 Abs. 3 BWG gilt nur, wenn das Institut mindestens zwei hat. Und § 42 Abs. 6 BWG verlangt eine eigene Organisationseinheit erst oberhalb bestimmter Größenschwellen. Ausgenommen sind Wertpapierdienstleistungsunternehmen von Art. 24 (§ 26 Abs. 2 Z 3 WAG 2018), Kleinstunternehmen von Art. 6 Abs. 6 DORA und die in Art. 16 Abs. 1 DORA genannten Unternehmen, etwa kleine und nicht verflochtene Wertpapierfirmen, von Art. 5 bis 15 DORA.

Nach unserer Auslegung bestimmt die Verhältnismäßigkeit vor allem Form und Tiefe der Revision, etwa einen externen Revisor statt einer eigenen Abteilung (bei Zahlungsinstituten unterhalb der Schwellen des § 42 Abs. 6 BWG) und einen risikobasierten Prüfplan. Ob das Institut eine unabhängige Prüfung seiner Organisation braucht, bestimmt sie eher nicht. Die Entscheidung sollte das Institut begründen und dokumentieren.

Wer bleibt verantwortlich, wenn die Revision extern ist?

Das Institut und seine Geschäftsleiter. Die Revision untersteht nach § 42 Abs. 1 BWG, auf den § 20 Abs. 4 ZaDiG 2018 verweist, unmittelbar den Geschäftsleitern. Dasselbe sieht § 16 Abs. 1 InvFG 2011 vor. Zahlungsinstitute dürfen die Aufgaben der Geschäftsleitung nicht delegieren (§ 21 Abs. 2 Z 1 ZaDiG 2018) und haben der FMA die Namen der Verantwortlichen für die interne Revision und jede Änderung unverzüglich mitzuteilen (§ 14 Abs. 1 Z 10). Wertpapierfirmen bleiben bei der Auslagerung kritischer oder wesentlicher Aufgaben vollständig verantwortlich (Art. 31 Abs. 1 DelVO 2017/565), CASPs tragen nach Art. 73 Abs. 1 MiCAR weiterhin die volle Verantwortung. Bei AIFM haftet der AIFM nach § 18 Abs. 3 AIFMG für das Verhalten des Dritten wie für sein eigenes, soweit die Vorschrift auf die Revision anzuwenden ist.

Welche Revisionslösung zu Ihrem Institut passt, klären wir im Erstgespräch. Dieser Beitrag ersetzt keine Rechtsberatung.