Interne Revision: Aufgaben, Pflicht, Ablauf und Auslagerung

Was ist Interne Revision?

Die Interne Revision ist die dritte Verteidigungslinie eines Unternehmens. Das IIA nennt das Three Lines Model. Die erste Linie führt das Geschäft und trägt die Risiken. Die zweite Linie, also Risikomanagement und Compliance, überwacht und berät. Die dritte Linie prüft unabhängig von beiden, ob Steuerung und Kontrollen wirken. Sie arbeitet im Auftrag der Geschäftsleitung und des Aufsichtsorgans. In Österreich heißt sie oft Innenrevision, international Internal Audit. Gemeint ist dasselbe.

Die Revision prüft nicht, was sie selbst aufgebaut hat. Darum übernehmen wir für dasselbe Institut entweder die Interne Revision oder die Risikomanagement-Funktion, nie beides.

Für Zahlungsinstitute verweist § 20 Abs. 4 ZaDiG 2018 auf § 42 BWG. Die Revision untersteht danach unmittelbar den Geschäftsleitern. Sie prüft laufend und umfassend, ob das ganze Unternehmen gesetzmäßig, ordnungsmäßig und zweckmäßig arbeitet (§ 42 Abs. 1 BWG).

Welche Aufgaben hat die Interne Revision?

Am Anfang steht die Risikoanalyse. Wir erfassen alle Bereiche, die man prüfen kann. Das ist das Prüfuniversum. Jeder Bereich bekommt eine Risikostufe. Daraus entsteht ein Prüfplan für das Jahr und für mehrere Jahre, den Ihr Vorstand beschließt. Für Zahlungsinstitute verlangt § 42 Abs. 5 BWG einen jährlichen Revisionsplan.

Dann prüfen wir nach diesem Plan. Wie oft, legt die Risikoanalyse fest. Hochrisikobereiche wie Geldwäscheprävention, IKT oder Kundengelder prüfen wir häufiger. Die IKT-Prüfung richtet sich nach Art. 6 Abs. 6 DORA. Prüfer mit ausreichendem IKT-Wissen prüfen den IKT-Risikomanagementrahmen regelmäßig. Kleinstunternehmen sind davon ausgenommen.

Jede Prüfung endet mit einem Bericht. Er nennt Feststellungen, Risikostufe und Maßnahmen. Wir verfolgen die Umsetzung nach und melden überfällige Punkte. Einmal im Jahr schreiben wir den Jahresbericht an Vorstand und Aufsichtsrat. Bei Zahlungsinstituten erhalten ihn alle Geschäftsleiter (§ 42 Abs. 3 BWG).

Wer braucht eine Interne Revision?

Bei regulierten Instituten hängt die Pflicht vom Typ ab.

• Zahlungsinstitute müssen ihre Geschäftsorganisation mindestens einmal jährlich durch die Interne Revision prüfen lassen (§ 20 Abs. 4 ZaDiG 2018). Mehr dazu für Zahlungsinstitute.
• Wertpapierfirmen brauchen eine getrennte, unabhängige Innenrevision, soweit das angemessen und verhältnismäßig ist (Art. 24 der Delegierten Verordnung (EU) 2017/565). Wertpapierdienstleistungsunternehmen sind nach § 26 Abs. 2 Z 3 WAG 2018 ausgenommen (mehr für Wertpapierfirmen).
• Verwaltungsgesellschaften haben dauerhaft eine Innenrevisionsfunktion einzurichten (§ 16 Abs. 1 InvFG 2011, für AIFM Art. 62 der Delegierten Verordnung (EU) Nr. 231/2013). Siehe KAG und AIFM.

Bei CASPs schreibt MiCAR die Interne Revision nicht ausdrücklich vor. Art. 62 Abs. 2 lit. i verlangt interne Kontrollmechanismen. Art. 68 Abs. 6 verlangt, ihre Wirksamkeit regelmäßig zu bewerten. Nach unserer Auslegung ist die Revision dafür ein möglicher Weg, aber nicht der einzige. Wo eine Norm sie unter den Vorbehalt „angemessen und verhältnismäßig“ stellt, bestimmt nach unserer Auslegung die Verhältnismäßigkeit vor allem Form und Tiefe. Ein externer Revisor kann dann reichen. Das Institut sollte das begründen und dokumentieren.

Unternehmen ohne Aufsicht brauchen sie meist nicht. § 82 AktG und § 22 Abs. 1 GmbHG verlangen ein internes Kontrollsystem. Wo ein Prüfungsausschuss besteht, überwacht er dessen Wirksamkeit und gegebenenfalls die des internen Revisionssystems (§ 92 Abs. 4a AktG, § 30g Abs. 4a GmbHG). Der Corporate Governance Kodex sieht in Regel 18 eine Interne Revision vor, als eigene Stabstelle oder ausgelagert. Viele richten sie freiwillig ein, mehr dazu für Unternehmen ohne Revisionspflicht.

Wie läuft eine Prüfung ab? Der Ablauf in vier Schritten

Wir starten mit dem Kick-off. Wir lernen Geschäftsmodell, Organisation und Auslagerungen kennen und lesen die bisherigen Prüfberichte.

Für jede Prüfung bauen wir ein Prüfprogramm aus unseren Standardprogrammen. Wir prüfen vor Ort oder remote. In der Schlussbesprechung klären wir die Feststellungen mit dem Fachbereich und vereinbaren Maßnahmen, Verantwortliche und Fristen.

Dann schreiben wir den Bericht. Schwerwiegende Feststellungen melden wir der Geschäftsleitung sofort. Sie können den Bericht Ihrer Aufsicht vorlegen.

Das Follow-up schließt die Prüfung ab. Wir prüfen nach, ob die Maßnahmen umgesetzt sind. Offene Punkte stehen im Jahresbericht. So belegen Sie die Wirksamkeit Ihrer Kontrollen.

Fünf Formen, eine Revision

Wir liefern die Interne Revision in fünf Formen. Alle folgen derselben Methodik und den Global Internal Audit Standards des IIA, bei beaufsichtigten Instituten ebenso wie bei Unternehmen ohne Revisionspflicht. Welche Form passt, hängt davon ab, ob Sie schon eine Revision haben. Alle Formen im Detail stehen unter Interne Revision.

1. Laufende Interne Revision. Wir sind Ihre Interne Revision. Wir bauen den Prüfplan, prüfen, schreiben die Berichte und verfolgen die Maßnahmen nach. Dazu kommt der Jahresbericht an Vorstand und Aufsichtsrat. Das ist die Regelform für Institute ohne eigene Revisionsabteilung.
2. Co-Sourcing. Sie haben eine eigene Revision. Wir verstärken sie bei Kapazitätsengpässen im Prüfplan oder mit Spezialwissen zu IKT, MiCAR oder Geldwäsche. Fällt Ihre Revisionsleitung aus, leiten wir die Revision interimistisch, bis die Stelle wieder besetzt ist. Mehr unter Co-Sourcing Interne Revision.
3. Anlassbezogene Prüfung. Wir machen eine einzelne Prüfung mit Bericht und Maßnahmenverfolgung. Anlass ist zum Beispiel eine Feststellung der FMA, ein Projekt oder die IKT-Prüfung nach DORA.
4. Aufbau der Internen Revision. Wir richten Ihre Revision ein: Revisionsordnung, Prüfuniversum und ersten Prüfplan. Das gehört oft zur Zulassung. Im Zulassungsverfahren bei der FMA liefern wir die Unterlagen zur Internen Revision und helfen bei Koordination und Durchführung.
5. Quality Assessment. Wir führen die externe Qualitätsbeurteilung Ihrer Revision nach Standard 8.4 der Global Internal Audit Standards durch, die mindestens alle fünf Jahre vorgesehen ist. Das tun wir nur, wenn wir die Revision weder führen noch aufgebaut haben. Mehr im Beitrag Quality Assessment der Internen Revision.

Interne Revision auslagern oder eigene Abteilung aufbauen?

Eine feste Schwelle gibt es nicht. Eine eigene Abteilung kostet fix für Personal und Struktur. Bei einer Auslagerung bündeln Sie den Aufwand in einem Jahresvertrag.

Vier Fragen helfen. Lastet das Prüfuniversum eine eigene Funktion aus? Bleibt die Revision unabhängig vom Risikomanagement und der Compliance? Haben Sie das IKT-Wissen nach Art. 6 Abs. 6 DORA im Haus? Ist die Vertretung geregelt? Bei einem Nein sprechen Auslagerung oder Co-Sourcing nach unserer Einschätzung dafür.

Die Auslagerung ist nach unserer Auslegung zulässig. Bei CASPs regelt Art. 73 MiCAR sie, bei Zahlungsinstituten § 21 ZaDiG 2018. Die Verantwortung bleibt beim Institut. Für Zahlungsinstitute gilt § 42 Abs. 6 BWG. Über den Schwellen (Bilanzsumme über 300 Mio. € und mehr als 50 Vollzeitkräfte im Jahresdurchschnitt) brauchen sie nach unserer Auslegung eine eigene Organisationseinheit. Externe Prüfer ergänzen dort nur. Auch nach einer Auslagerung braucht Ihr Institut eine benannte Person mit genug Zeit. Sie überwacht den Dienstleister. Die Kriterien stehen im Beitrag Interne Revision: auslagern oder eigene Abteilung.

Was unterscheidet interne und externe Revision?

Das sind zwei Funktionen. Die Interne Revision prüft im Auftrag der Geschäftsleiter laufend das ganze Unternehmen. Der Abschlussprüfer prüft den Jahresabschluss (§ 268 Abs. 1 UGB). „Externe Revision“ ist kein Gesetzesbegriff. Meist ist eine ausgelagerte Interne Revision gemeint.

Wer als Abschlussprüfer an der Internen Revision mitgewirkt hat, ist ausgeschlossen (§ 271 Abs. 2 Z 4 lit. b UGB). Nach unserer Auslegung sollte, wer die Revision übernimmt, nicht auch Abschlussprüfer sein. Zahlungsinstitute geben dem Abschlussprüfer die Prüfungspläne und Prüfungsberichte der Revision (§ 25 Abs. 4 ZaDiG 2018). Die Revision liefert also Material, ersetzt den Abschlussprüfer aber nicht. Den Vergleich zeigt der Beitrag Externe Revision, Interne Revision und Abschlussprüfer.

Welche Standards gelten für die Interne Revision?

Maßstab unserer Prüfungen sind die Global Internal Audit Standards des IIA. Das IIA hat sie am 9. Jänner 2024 veröffentlicht. Sie gelten seit 9. Jänner 2025. Sie sind ein Regelwerk des Berufsstands und kein Gesetz. Verbindlich werden sie nach unserer Lesart für Revisionen, die sich dazu verpflichten. Standard 6.2 verlangt diese Verpflichtung in der Charter (der Revisionsordnung).

Die Qualität der Revision prüft ein Quality Assessment. Nach Standard 8.4 beurteilt ein qualifizierter, unabhängiger Beurteiler die Revision mindestens alle fünf Jahre extern. Mindestens eine Person hält ein aktives Certified-Internal-Auditor-Zertifikat (CIA). Alternativ genügt ein Self-Assessment mit unabhängiger Validierung. Nach Standard 8.3 meldet die Revisionsleitung interne Ergebnisse mindestens jährlich an Aufsichtsorgan und Geschäftsleitung, externe nach Abschluss. Auch bei ausgelagerter Revision bleiben Revisionsleitung und Aufsichtsorgan verantwortlich.

Wollen Sie wissen, welche Form zu Ihnen passt? Dann Erstgespräch buchen. Dieser Text ersetzt keine Rechtsberatung.