Quality Assessment der Internen Revision: Pflicht, Turnus, Ablauf

Nach Standard 8.4 der Global Internal Audit Standards des IIA muss ein qualifizierter, unabhängiger Beurteiler oder ein Beurteilerteam die Interne Revision mindestens alle fünf Jahre extern beurteilen. Alternativ genügt ein Self-Assessment mit unabhängiger Validierung. Mindestens eine Person muss ein aktives Certified-Internal-Auditor-Zertifikat halten. Den Plan entwickelt die Revisionsleitung und bespricht ihn mit dem Aufsichtsorgan.

Wie oft braucht die Interne Revision eine externe Qualitätsbeurteilung?

Standard 8.4 verlangt die externe Beurteilung mindestens einmal in fünf Jahren. Die Revisionsleitung (im Standard: chief audit executive) entwickelt einen Plan für die externe Beurteilung und bespricht ihn mit dem Aufsichtsorgan (im Standard: board). Das Aufsichtsorgan soll den Plan genehmigen, einschließlich Umfang, Häufigkeit sowie Kompetenz und Unabhängigkeit der Beurteiler.

Fünf Jahre sind ein Mindestmaß. Nach den Hinweisen zur Umsetzung können Aufsichtsorgan und Revisionsleitung eine häufigere Beurteilung für angemessen halten, etwa bei einem Wechsel der Revisionsleitung oder der Geschäftsleitung, bei wesentlichen Änderungen der Methodik, bei der Zusammenlegung von Revisionsfunktionen oder bei starker Personalfluktuation. Organisationen in stark regulierten Branchen können häufigere oder umfassendere Beurteilungen bevorzugen oder müssen sie vornehmen.

Zur Einordnung: Die Global Internal Audit Standards (veröffentlicht am 9. Jänner 2024, gültig seit 9. Jänner 2025) sind ein berufsständisches Regelwerk und kein Gesetz. Verbindlich werden sie nach unserer Lesart für eine Revisionsfunktion, die sich zu ihrer Einhaltung verpflichtet. Standard 6.2 verlangt, dass die Charter diese Verpflichtung enthält. Dieser Beitrag behandelt den Standard und keine aufsichtsrechtlichen Vorgaben.

Wer darf ein Quality Assessment durchführen?

Ein qualifizierter, unabhängiger Beurteiler oder ein solches Team. Bei der Auswahl muss die Revisionsleitung dafür sorgen, dass mindestens eine Person ein aktives CIA-Zertifikat hält (Standard 8.4). Weitere Qualifikationsmerkmale nennt der Standard als Überlegungen: Kenntnis der Standards und guter Revisionspraxis, Erfahrung als Revisionsleitung, Branchenerfahrung, frühere Erfahrung mit externen Beurteilungen, eine vom IIA anerkannte Schulung sowie die Bestätigung, dass keine Interessenkonflikte bestehen.

Die Unabhängigkeit ist der heikle Punkt. Als mögliche Beeinträchtigungen nennt der Standard unter anderem die Abschlussprüfung, Unterstützung der Internen Revision, persönliche Beziehungen, frühere oder geplante Mitwirkung an internen Qualitätsbeurteilungen und Beratungsleistungen zu Governance, Risikomanagement und Kontrollen. Personen aus einer anderen Abteilung derselben Organisation gelten nicht als unabhängig, ebenso wenig Personen aus verbundenen Organisationen wie Mutter- oder Konzerngesellschaften. Gegenseitige Peer-Beurteilungen zwischen zwei Organisationen gelten nicht als unabhängig. Ein Turnus unter drei oder mehr vergleichbaren Organisationen kann es sein.

Daraus ziehen wir eine Position: OptiRisk Consulting führt ein Quality Assessment nur bei Revisionsfunktionen durch, die wir weder führen noch aufgebaut haben. Für Institute mit eigener Revision führen wir externe Quality Assessments und die unabhängige Validierung von Self-Assessments nach Standard 8.4 durch, getrennt von jeder Mitarbeit an der beurteilten Funktion. Mehr zur ausgelagerten Internen Revision.

Was wird geprüft?

Nach den Hinweisen zu Standard 8.4 überprüft die Beurteilung umfassend, ob diese Bereiche angemessen sind:

• Einhaltung der Global Internal Audit Standards
• Auftrag, Charter, Strategie, Methoden, Prozesse, Risikobeurteilung und Revisionsplan
• Einhaltung anwendbarer Gesetze und Vorschriften
• Leistungskriterien und -kennzahlen sowie Beurteilungsergebnisse
• Kompetenzen und berufliche Sorgfalt, einschließlich des Einsatzes von Werkzeugen und Techniken
• Qualifikationen und Kompetenzen der Revisionsleitung
• Einbindung in die Governance der Organisation, einschließlich der Beziehungen für den unabhängigen Betrieb
• Beitrag zu Governance, Risikomanagement und Kontrollprozessen
• Beitrag zur Verbesserung der Abläufe und zur Zielerreichung der Organisation
• Fähigkeit, die Erwartungen des Aufsichtsorgans, der Geschäftsleitung und anderer Stakeholder zu erfüllen

Die Ergebnisse der internen Beurteilungen fließen mit ein. Nach Standard 12.1 muss die Revisionsleitung interne Beurteilungen dokumentieren und in die Bewertung durch den unabhängigen Dritten einbeziehen. Die Revisionsleitung teilt nach Standard 8.3 die Ergebnisse interner Beurteilungen mindestens jährlich dem Aufsichtsorgan und der Geschäftsleitung mit, die Ergebnisse externer Beurteilungen nach deren Abschluss.

Reicht ein Self-Assessment mit unabhängiger Validierung?

Ja. Standard 8.4 lässt zu, die Anforderung durch ein Self-Assessment mit unabhängiger Validierung zu erfüllen. Das Aufsichtsorgan soll zusammen mit dem Plan auch die Begründung genehmigen, warum diese Variante statt einer externen Beurteilung gewählt wird. Ein solches Self-Assessment besteht typischerweise aus drei Teilen. Erstens eine umfassende, vollständig dokumentierte interne Beurteilung, die den Ablauf der externen Beurteilung nachbildet. Zweitens Benchmarking, Leitpraktiken und Interviews mit Schlüsselpersonen. Drittens die Validierung durch einen qualifizierten, unabhängigen externen Beurteiler. Die Validierung soll feststellen, dass die interne Beurteilung vollständig und richtig durchgeführt wurde.

Für kleine Revisionsfunktionen ist das oft der praktikable Weg. Die Standards halten fest: Besteht die Revision nur aus einer Person, braucht ein angemessenes Qualitätssicherungs- und Verbesserungsprogramm Unterstützung von außerhalb der Revisionsfunktion. Das gilt auch bei ausgelagerter Revision. Die Revisionsleitung ist nach den Standards für die Einhaltung verantwortlich, ob sie direkt angestellt oder über einen externen Dienstleister beauftragt ist. Das Aufsichtsorgan behält die Verantwortung für Unterstützung und Aufsicht.

Wie läuft ein Quality Assessment ab?

Der Standard schreibt keinen Ablauf vor. Aus den Anforderungen an Plan, Beurteiler, Berichterstattung und Maßnahmen ergibt sich in der Praxis diese Abfolge:

1. Planung und Auftrag: Die Revisionsleitung legt Umfang, Häufigkeit und Beurteilerteam fest und lässt den Plan vom Aufsichtsorgan genehmigen. Die Beurteiler bestätigen ihre Unabhängigkeit.
2. Unterlagen: Charter, Revisionsplan, Prüfberichte, Arbeitspapiere, Leistungskennzahlen und die dokumentierten internen Beurteilungen liegen bereit.
3. Beurteilung: Die Beurteiler vergleichen die Unterlagen mit den Standards, ziehen Prüfakten heran und führen Interviews mit Aufsichtsorgan, Geschäftsleitung und geprüften Bereichen.
4. Bericht: Das Aufsichtsorgan soll die vollständigen Ergebnisse unmittelbar vom Beurteiler erhalten, mit Aussagen zur Einhaltung der Standards und zu Verbesserungspotenzial.
5. Maßnahmen: Die Revisionsleitung entwickelt Maßnahmenpläne. Das Aufsichtsorgan genehmigt sie samt Zeitplan und überwacht den Fortschritt.

Als Nachweise nennt der Standard unter anderem Protokolle der Sitzung, in der der Plan genehmigt wurde, den förmlichen Bericht des Beurteilers und Präsentationen vor dem Aufsichtsorgan.

Wenn Ihre Revisionsfunktion eine externe Beurteilung plant oder ein Self-Assessment validiert werden soll, melden Sie sich für ein Erstgespräch. Dieser Beitrag ersetzt keine Rechtsberatung.

Quellen

• Institute of Internal Auditors, Global Internal Audit Standards (2024), Standards 6.2, 8.3, 8.4 und 12.1 sowie Abschnitt „Application of this Domain“ und „Application in Small Internal Audit Functions“: Standards-PDF
• Institute of Internal Auditors, Pressemitteilung zum Inkrafttreten (16. Jänner 2025): theiia.org