Interne Revision bei Zahlungsinstituten: Was § 20 Abs. 4 ZaDiG 2018 verlangt
§ 20 Abs. 4 ZaDiG 2018 verlangt die jährliche Prüfung der Unternehmenssteuerung durch die Interne Revision. Prüfumfang, Auslagerung, E-Geld-Institute.
Ja. § 20 Abs. 4 ZaDiG 2018 verlangt, dass die Zweckmäßigkeit der Verfahren nach § 20 Abs. 1 und 3 ZaDiG 2018 (Unternehmenssteuerung und Geschäftsorganisation) sowie deren Anwendung mindestens einmal jährlich im Rahmen der Internen Revision nach § 42 BWG geprüft werden. Prüffelder und Ergebnisse sind zu dokumentieren. Die Revision lässt sich nach unserer Auslegung auslagern, solange die Schwellen des § 42 Abs. 6 BWG (Bilanzsumme bis 300 Mio. € oder bis 50 Vollzeitkräfte) nicht überschritten sind. Darüber verlangt das Gesetz eine eigene Organisationseinheit. Für Anzeigen an die FMA gelten § 21 Abs. 3 und § 14 Abs. 1 Z 10 und 12 ZaDiG 2018.
Verlangt das ZaDiG eine Interne Revision?
Ausdrücklich genannt wird die Interne Revision in § 20 Abs. 4 ZaDiG 2018. Die Bestimmung knüpft an die organisatorischen Anforderungen der Absätze 1 und 3 an. Zahlungsinstitute müssen über eine dokumentierte, solide Unternehmenssteuerung verfügen (Abs. 1), und die Geschäftsleiter sind für eine ordnungsgemäße Geschäftsorganisation verantwortlich (Abs. 3). Ob diese Verfahren zweckmäßig sind und angewendet werden, ist mindestens einmal jährlich im Rahmen der Internen Revision zu prüfen. Wer eine Konzession als Zahlungsinstitut hält oder beantragt, braucht damit eine Revisionsfunktion, die diese jährliche Prüfung liefert. Einen Überblick über den Rechtsrahmen gibt die Seite ZaDiG und PSD2.
Welche Absätze des § 42 BWG gelten für Zahlungsinstitute?
§ 20 Abs. 4 ZaDiG 2018 verweist auf § 42 Abs. 1, 2 und 3, Abs. 4 Z 1 und 3 sowie Abs. 5, 6 und 7 BWG. Inhaltlich bedeutet das nach dem Wortlaut des BWG:
- Abs. 1: Die Revision untersteht unmittelbar den Geschäftsleitern, dient ausschließlich der laufenden und umfassenden Prüfung der Gesetzmäßigkeit, Ordnungsmäßigkeit und Zweckmäßigkeit des gesamten Unternehmens und ist dem Geschäftsumfang entsprechend auszustatten.
- Abs. 1 und 2: Personen mit Ausschließungsgründen dürfen nicht mit Revisionsaufgaben betraut werden. Solche liegen insbesondere vor, wenn die erforderliche Sachkenntnis und Erfahrung fehlen oder die objektive Wahrnehmung der Funktion beeinträchtigt sein kann, etwa bei gleichzeitiger Bestellung zum (Bank-)Prüfer desselben Instituts.
- Abs. 3: Die Revision berichtet allen Geschäftsleitern und quartalsweise über Prüfungsgebiete und wesentliche Feststellungen an den Vorsitzenden des Aufsichtsorgans sowie an den Prüfungsausschuss. Das ist eine Berichtspflicht und keine Prüfungsfrequenz. Verfügungen, die die Revision betreffen, treffen mindestens zwei Geschäftsleiter gemeinsam. Dieses Erfordernis gilt für Zahlungsinstitute nur, wenn sie auf Grund ihrer Größe und Organisation tatsächlich mindestens zwei Geschäftsleiter haben.
- Abs. 4 Z 1 und 3: Zu prüfen sind auch die inhaltliche Richtigkeit und Vollständigkeit der Anzeigen und Meldungen an FMA und OeNB sowie die Einhaltung von § 41 BWG und der Bestimmungen des FM-GwG.
- Abs. 5: Die Revision stellt einen jährlichen Revisionsplan auf und führt anlassbezogen ungeplante Prüfungen durch.
- Abs. 6: Mit den Aufgaben der Internen Revision ist eine eigene Organisationseinheit im Institut zu betrauen. Das gilt nicht, wenn die Bilanzsumme 300 Mio. € nicht übersteigt oder der Mitarbeiterstand im Jahresdurchschnitt 50 vollbeschäftigte Mitarbeiter nicht übersteigt. Für Sektor- und Gruppeninstitute gibt es weitere Ausnahmen bis 1 Mrd. €. Die Schwellen sind auf Kreditinstitute zugeschnitten, nach unserer Auslegung gelten sie sinngemäß auch für Zahlungsinstitute. Unterhalb davon ist keine eigene Organisationseinheit erforderlich, die Funktion kann nach unserer Auslegung auch extern besetzt werden. Darüber kommen externe Prüfer nur ergänzend (Co-Sourcing) in Betracht. Im Zweifel empfiehlt sich die Abstimmung mit der FMA.
- Abs. 7: Der Absatz betrifft die Konzernrevision und ist im Wortlaut auf Kreditinstitute zugeschnitten.
Was muss die Revision jährlich prüfen?
Geprüft werden die Verfahren nach § 20 Abs. 1 und 3 ZaDiG 2018 und ihre Anwendung. Abs. 1 nennt eine Organisationsstruktur mit klar abgegrenzten Verantwortungsbereichen sowie Verwaltungs-, Rechnungs- und Kontrollverfahren zur Ermittlung, Beurteilung, Steuerung, Überwachung und Meldung der zahlungsdienstgeschäftlichen und zahlungsdienstbetrieblichen Risiken und der Vergütungspolitik. Abs. 3 zählt unter anderem auf: Kontrollmechanismen, vollständige Dokumentation der Geschäftstätigkeit, Datensicherheit und Notfallkonzept, Risikomanagement und Kontrollen zur Einhaltung von FM-GwG und Verordnung (EU) 2015/847 sowie Risikomanagement im Hinblick auf Geldwäscherei und Terrorismusfinanzierung. Geldwäscheaspekte gehören damit zur Prüfung, sind aber nicht ihr alleiniger Gegenstand.
Wie Sie die Prüffelder aufteilen, schreibt das Gesetz nicht vor. Nach unserer Einschätzung bildet der Revisionsplan die Felder aus Abs. 1 und 3 vollständig ab und gewichtet sie nach der Risikoanalyse. Er hält außerdem fest, mit welcher Tiefe jedes Feld im jeweiligen Prüfungsjahr geprüft wurde. Die Zweckmäßigkeit der Verfahren nach Abs. 1 und 3 ist nach Abs. 4 jedes Jahr zu beurteilen. Zu dokumentieren sind Prüffelder und Ergebnisse (Abs. 4). Als gesetzlicher Rhythmus steht nur „mindestens einmal jährlich“ fest. Umfang und Tiefe ergeben sich aus dem Prüfuniversum.
Darf ein Zahlungsinstitut die Revision auslagern, und was ist der FMA anzuzeigen?
Das ZaDiG schließt die Auslagerung der Revision nicht ausdrücklich aus. Eine Grenze zieht § 42 Abs. 6 BWG (siehe oben). § 21 ZaDiG 2018 regelt die Auslagerung betrieblicher Aufgaben. Für wichtige betriebliche Aufgaben gilt: Die Auslagerung darf weder die Qualität der internen Kontrolle noch die Beaufsichtigung durch die FMA wesentlich beeinträchtigen (Abs. 1) und nicht zur Delegation der Aufgaben der Geschäftsleitung führen (Abs. 2). Sie verlangt eine schriftliche Vereinbarung mit klarer Aufteilung der Rechte und Pflichten (Abs. 1). Die Verantwortung bleibt damit beim Institut und seinen Geschäftsleitern.
Anzuzeigen ist nach § 21 Abs. 3 die beabsichtigte Auslagerung von betrieblichen Aufgaben von Zahlungsdiensten, und zwar vorab und schriftlich, unabhängig davon, ob es sich um wichtige Aufgaben handelt. Ob die Revision eine „betriebliche Aufgabe von Zahlungsdiensten“ in diesem Sinn ist, sagt der Wortlaut nicht ausdrücklich. Nach unserer Einschätzung ist im Zweifel anzuzeigen oder vorab mit der FMA abzustimmen. Unabhängig davon verlangt § 14 Abs. 1 Z 10 ZaDiG 2018, der FMA unverzüglich die Namen der Verantwortlichen für die interne Revision und jede Änderung in deren Person mitzuteilen. Z 12 erfasst jede beabsichtigte Änderung bei der Auslagerung nach § 21. Nach unserer Einschätzung benennt das Institut daher auch bei ausgelagerter Revision eine verantwortliche Person. Mehr zu den Leistungen finden Sie unter Ausgelagerte Interne Revision.
Was gilt für E-Geld-Institute?
§ 13 Abs. 1 E-Geldgesetz 2010 erklärt § 20 Abs. 1 bis 4, §§ 21, 24 und 26 ZaDiG 2018 sowie §§ 36 und 42 Abs. 1 bis 3, Abs. 4 Z 1 und 3 und Abs. 5 bis 7 BWG auf E-Geld-Institute für anwendbar. Bei § 20 Abs. 1, 2 und 4 ZaDiG 2018 sind dabei auch die E-Geld-geschäftlichen und E-Geld-betrieblichen Risiken zu berücksichtigen. Die jährliche Prüfung gilt also auch hier, mit erweitertem Risikobild. Die Auslagerung betrieblicher Aufgaben ist nach § 15 Abs. 3 E-Geldgesetz 2010 unter Einhaltung von § 21 ZaDiG 2018 zulässig. § 16 Abs. 2 verlangt angemessene Vorkehrungen und bei der Auslagerung wesentlicher betrieblicher Aufgaben eine schriftliche Vereinbarung mit klarer Aufteilung der Rechte und Pflichten. Die Anzeige der Verantwortlichen für die interne Revision und beabsichtigter Änderungen bei der Auslagerung regelt § 7 Abs. 1 Z 10 und Z 12. Welche Leistungen wir für diese Institute erbringen, beschreibt die Seite für Zahlungsinstitute.
Wenn Sie die Revision auslagern oder den Prüfplan nach § 20 Abs. 4 ZaDiG 2018 aufsetzen möchten, klären wir den Umfang im Erstgespräch. Dieser Beitrag ersetzt keine Rechtsberatung.