Seminare zur Internen Revision
S+P Seminare: Übersicht der Seminare zum Themenfeld Interne Revision.
Zu den Seminaren: Seminare zur Internen Revision (S+P Seminare) · Zum Quick-Check
Corporate Governance · Interne Revision
Interne Revision: Wechsel zu den Global Internal Audit Standards
Die Interne Revision prüft seit Januar 2025 nach neuen Standards. Für Geschäftsleitung und Aufsichtsrat ist das keine Fachfrage der Revision, sondern eine Frage des Maßstabs, an dem sie die Wirksamkeit der Kontrollen beurteilen.
- Rechtsstand: Oktober 2026. GIAS seit Januar 2025 wirksam; MaRisk-Neufassung seit Juni 2026; AMLR ab dem 10. Juli 2027.
- Lesezeit: ca. 12 Minuten
Management Summary
Die Global Internal Audit Standards (GIAS) des Institute of Internal Auditors (IIA) wurden am 9. Januar 2024 veröffentlicht und gelten seit dem 9. Januar 2025. Sie ersetzen die International Standards for the Professional Practice of Internal Auditing von 2017. Das IIA beschreibt die Fassung von 2017 als nicht mehr wirksam. Wer das Prüfungshandbuch noch nach der alten Struktur führt, prüft gegen einen Maßstab, den es nicht mehr gibt.
Die GIAS sind ein Berufsstandard, kein Gesetz. Sie sind für alle Revisionsfunktionen formuliert, unabhängig von Branche und Aufsichtsregime, und stehen neben den rechtlichen Anforderungen: AT 4.4.3 der MaRisk für Institute, § 107 Abs. 3 Satz 2 AktG für die Überwachung durch den Aufsichtsrat, Art. 6 DORA für den IKT-Risikomanagementrahmen und ab dem 10. Juli 2027 Art. 9 AMLR für die unabhängige Audit-Funktion.
Für die Geschäftsleitung stellt sich daraus eine Steuerungsfrage: Nach welchem Standard arbeitet die Revision, wie belegt sie Unabhängigkeit und Wirksamkeit, und was erhält der Aufsichtsrat an Berichterstattung? Diese Fragen lassen sich ohne Revisionsfachwissen stellen und beantworten.
Der Beitrag ordnet den Standardwechsel ein, nennt die einschlägigen Normen und trennt Berufsstandards, Verwaltungspraxis und Gesetz. Was in den geprüften amtlichen Quellen nicht belegt ist, steht als solches im Text.
Inhalt
Interne Revision: Was sich mit den Global Internal Audit Standards geändert hat
Vom IPPF 2017 zu den Global Internal Audit Standards
Die Global Internal Audit Standards des IIA wurden am 9. Januar 2024 veröffentlicht und gelten seit dem 9. Januar 2025. Sie lösen die bisherigen International Standards for the Professional Practice of Internal Auditing ab. Das IPPF besteht seit 2024 aus den GIAS, den Topical Requirements und der Global Guidance; die GIAS sind sein verbindlicher Kern.
Sie sind als Berufsstandard für alle Revisionsfunktionen formuliert, unabhängig von Branche und Aufsichtsregime. Wer sein Prüfungshandbuch noch gegen die alte Struktur führt, prüft gegen einen Maßstab, den es nicht mehr gibt: Das IIA stellt die Fassung von 2017 nur noch zu Studienzwecken bereit.
| Merkmal | IPPF 2017 | GIAS 2024 |
|---|---|---|
| Aufbau | Mehrere Elemente: Mission, Definition der Internen Revision, Kernprinzipien, Ethikkodex und Standards | Ein Dokument mit fünf Domänen, 15 Prinzipien und 52 Standards |
| Verbindliche Elemente | Fünf verbindliche Elemente, die Implementation Guidance war nicht verbindlich | Die GIAS vereinen die verbindlichen Elemente von 2017 und die frühere Implementation Guidance |
| Ergänzende Anforderungen | Keine themenbezogenen Mindestanforderungen | Topical Requirements: verbindliche Mindestanforderungen für Assurance-Leistungen in einzelnen Themenfeldern |
| Governance der Revision | Nicht als eigene Domäne gegliedert | Domäne III (Prinzipien 6 bis 8) beschreibt die Rolle des Überwachungsorgans und der Revisionsleitung |
| Status | Nach Angabe des IIA nicht mehr wirksam, nur noch zu Studienzwecken verfügbar | Wirksam seit dem 9. Januar 2025, auch für Qualitätsbeurteilungen |
Was der Standard rechtlich ist und was nicht
Die GIAS sind ein Berufsstandard und kein Gesetz. Sie begründen keine Pflicht aus eigener Kraft gegenüber der Aufsicht. Verbindlich werden sie über Berufszugehörigkeit, interne Vorgaben oder die Bezugnahme Dritter. Ob und wie Aufsicht oder Prüfer sich auf sie beziehen, ist je Regelwerk gesondert zu prüfen. Aufsichtsrechtliche Anforderungen bestehen daneben und werden von den GIAS weder ersetzt noch ersetzen sie diese.
Was daraus für die Steuerung folgt
Berichtet die Revision, sie arbeite standardkonform, muss die Geschäftsleitung wissen, nach welcher Fassung. Das betrifft die Revisionsordnung, das Handbuch, die Berichtsvorlagen und den Plan der nächsten Qualitätsbeurteilung. Eine Anpassung der Dokumente an die neue Struktur ist keine Formsache, wenn Unabhängigkeit, Mandat und Berichtsweg darin geregelt sind.
Fristen und Zeitpunkte
| Zeitpunkt | Was gilt | Quelle |
|---|---|---|
| 9. Januar 2024 | GIAS veröffentlicht | IIA |
| 9. Januar 2025 | GIAS wirksam, auch für Qualitätsbeurteilungen | IIA |
| Seit Januar 2025 | DORA anwendbar, Art. 6 Abs. 6 und 7 zur internen Revision des IKT-Risikomanagementrahmens | VO (EU) 2022/2554 |
| Seit Februar 2026 | Topical Requirement Cybersecurity wirksam | IIA |
| Ab September 2026 und Dezember 2026 | Topical Requirements Third-Party und Organizational Behavior (nach Angaben Dritter; Stichtage vor Anwendung beim IIA prüfen) | IIA |
| Juni 2026 | MaRisk als Rundschreiben 06/2026 (BA) veröffentlicht; Übergangsregelungen im Übersendungsschreiben der BaFin | BaFin |
| 10. Juli 2027 | AMLR anwendbar, Art. 9 Abs. 2 Buchst. b zur unabhängigen Audit-Funktion | VO (EU) 2024/1624 |
Der Beitrag nennt Stichtage laufender Verfahren monatsgenau. Maßgeblich ist der Stand am Tag der Prüfung, nicht der dieser Seite.
Pflichten nach Funktion: Wer was verantwortet
AT 4.4.3 MaRisk
Geschäftsleitung
Legt fest, nach welchem Standard die Revision arbeitet, stellt Unabhängigkeit und Berichtsweg sicher und nimmt die Berichte entgegen. Bei Instituten ist die Revision der Geschäftsleitung direkt unterstellt.
§ 107 Abs. 3 Satz 2, Abs. 4 AktG
Aufsichtsrat und Prüfungsausschuss
Überwachen die Wirksamkeit des internen Revisionssystems. Dafür braucht der Ausschuss eine Berichterstattung, die Standard, Stand und Befunde erkennen lässt.
GIAS (IIA)
Leitung der Internen Revision
Hält Mandat, Handbuch und Prüfungslandkarte auf dem Stand der GIAS, belegt die Konformität und plant die Qualitätsbeurteilung.
Art. 6 Abs. 6, 7 DORA; Art. 9 AMLR
Institute und Finanzunternehmen
Beziehen DORA und AMLR in die Prüfungslandkarte ein. Die Revision prüft und verfolgt nach; die Behebung bleibt bei den zuständigen Verantwortlichen.
Typische Schwachstellen mit Normbezug
GIAS, Domänen I bis V
Handbuch nach alter Struktur
Revisionsordnung und Handbuch verweisen auf die Standards von 2017 und sind nicht auf die fünf Domänen übertragen.
GIAS (IIA)
Konformität nicht belegt
Berichte weisen Standardkonformität aus, ohne dass die Grundlage gegen die neue Fassung dokumentiert ist.
AT 4.4.3 MaRisk
Berichtsweg nicht dokumentiert
Unterstellung unter die Geschäftsleitung und Weisungsfreiheit stehen im Organigramm, aber nicht im Mandat der Revision.
Art. 6 Abs. 6, 7 DORA; Art. 9 AMLR
Prüfungslandkarte ohne neue Prüffelder
DORA-Revision, Follow-up kritischer Feststellungen und die AMLR-Umstellung fehlen im Prüfungsuniversum.
Topical Requirements (IIA)
Topical Requirements nicht im Plan
Bei Assurance-Leistungen zu Cybersecurity, Dritten oder Unternehmenskultur fehlt die Prüfung, ob die jeweilige Anforderung anzuwenden ist.
§ 107 Abs. 3 Satz 2 AktG
Aufsichtsrat ohne belastbare Berichte
Der Prüfungsausschuss erhält Befunde, aber keine Aussage zu Standard, Unabhängigkeit und Wirksamkeit des Systems.
Quick-Check: Ist die Interne Revision standardkonform aufgestellt?
Die Tabelle ordnet jedem Prüffeld die Prüffrage, den Normbezug und den typischen Befund zu. Sie eignet sich als Grundlage für ein Gespräch zwischen Geschäftsleitung, Revisionsleitung und Prüfungsausschuss.
| Prüffeld | Prüffrage | Normbezug | Typischer Befund |
|---|---|---|---|
| Standardbasis | Arbeitet die Revision nachweislich nach den GIAS in der Fassung seit Januar 2025? | GIAS (IIA) | Handbuch verweist auf die Standards von 2017 |
| Konformitätsaussage | Ist die Aussage zur Standardkonformität in Berichten dokumentiert begründet? | GIAS (IIA) | Aussage ohne Grundlage in der Dokumentation |
| Unabhängigkeit und Berichtsweg | Sind Unterstellung, Berichtsweg und Weisungsfreiheit im Mandat geregelt? | AT 4.4.3 MaRisk | Regelung nur im Organigramm |
| Prüfungslandkarte | Enthält das Prüfungsuniversum DORA, AMLR und die anwendbaren Topical Requirements? | Art. 6 DORA; Art. 9 AMLR | Regulatorische Prüffelder fehlen |
| Qualitätsbeurteilung | Ist die nächste Qualitätsbeurteilung nach der aktuellen Fassung von DIIR Nr. 3 und IDW PS 983 geplant? | IDW PS 983; DIIR Nr. 3 | Planung nach der alten Fassung |
| Berichterstattung | Erhält der Prüfungsausschuss eine Aussage zu Standard, Unabhängigkeit und Wirksamkeit? | § 107 Abs. 3 Satz 2 AktG | Nur Einzelbefunde ohne Gesamtaussage |
Technische Papiere: Stand und Konsequenzen
Für die Revision sind mehrere Ebenen zu unterscheiden: Berufsstandards, Verwaltungspraxis, Delegierte Rechtsakte und Gesetz. Die Tabelle weist jeweils den geprüften Stand aus. Entwürfe sind kein geltendes Recht und kein Prüfmaßstab.
| Papier | Ebene | Inhalt für die Revision | Stand |
|---|---|---|---|
| Global Internal Audit Standards | Berufsstandard (IIA) | Rahmen für Aufbau, Unabhängigkeit, Planung und Qualität der Revision | Wirksam seit Januar 2025 |
| Topical Requirements | Verbindliche Ergänzung zu den GIAS (IIA) | Mindestanforderungen für Assurance-Leistungen in einzelnen Themenfeldern | Cybersecurity wirksam seit Februar 2026; weitere Stichtage ab September und Dezember 2026 nach Angaben Dritter |
| IDW PS 983 und DIIR-Revisionsstandard Nr. 3 | Berufsstandards in Deutschland | Grundlage externer Beurteilungen Interner Revisionssysteme | Neufassungsentwurf IDW EPS 983 n.F. (Juni 2025) lag vor; die maßgebliche Fassung ist beim IDW und beim DIIR zu prüfen |
| Delegierte Verordnung (EU) 2024/1774, Art. 27 | Technische Regulierungsstandards zum IKT-Risikomanagementrahmen unter DORA | Der Überprüfungsbericht enthält bei Finanzunternehmen nach Art. 6 Abs. 6 DORA die Ergebnisse der internen Revisionen | Im Amtsblatt veröffentlichter Rechtsakt; Absatz im Beitrag nicht gesondert geprüft |
| Leitlinien der AMLA zu Art. 9 AMLR | Leitlinien (Entwurfs- oder Endstand nicht belegt) | Konkretisierung des Umfangs interner Strategien, Verfahren und Kontrollen | Ob und wann ein Entwurf vorliegt, ist in den geprüften amtlichen Quellen nicht belegt |
| MaRisk, Rundschreiben 06/2026 (BA) | Verwaltungspraxis der BaFin | AT 4.4.3: funktionsfähige, unabhängige Interne Revision | Veröffentlicht im Juni 2026; Übergangsregelungen im Übersendungsschreiben der BaFin |
AMLR: unabhängige Audit-Funktion
Art. 9 Abs. 2 Buchst. b AMLR verlangt interne Kontrollen und eine unabhängige Audit-Funktion, die die internen Strategien und Verfahren sowie die Kontrollen des Verpflichteten testet. Gibt es keine unabhängige Audit-Funktion, können die Verpflichteten den Test von einem externen Sachverständigen durchführen lassen. Die AMLR gilt ab dem 10. Juli 2027. Für die Prüfungslandkarte heißt das: Die Umstellung gehört als eigenes Prüffeld in die Planung der Jahre 2026 und 2027. Die Revision prüft die Umsetzungsreife, übernimmt aber nicht die operative Verantwortung für das AMLR-Projekt.
DORA: interne Revision und Follow-up
Art. 6 Abs. 6 DORA verlangt für Finanzunternehmen, die keine Kleinstunternehmen sind, eine regelmäßige interne Revision des IKT-Risikomanagementrahmens im Einklang mit dem Revisionsplan. Auf Grundlage der Feststellungen legen die Unternehmen nach Art. 6 Abs. 7 ein förmliches Follow-up-Verfahren einschließlich Regeln für die rechtzeitige Überprüfung und Auswertung kritischer Erkenntnisse fest. Für die in Art. 16 Abs. 1 genannten Unternehmen gelten Art. 5 bis 15 nicht; dort ist der vereinfachte Rahmen gesondert zu prüfen.
MaRisk: Anforderungen an Institute
AT 4.4.3 der MaRisk in der Fassung des Rundschreibens 06/2026 (BA) verlangt von jedem Institut eine funktionsfähige Interne Revision. Sie ist direkt der Geschäftsleitung unterstellt, berichtet an diese und nimmt ihre Aufgaben selbständig sowie unabhängig wahr. Die BaFin beschreibt die Neufassung als stärker prinzipienbasiert und proportionaler.
Lösungsansätze: fünf No-Regret-Maßnahmen
GIAS (IIA)
1. Standardbasis klären
Festhalten, nach welcher Fassung die Revision arbeitet, und Revisionsordnung und Handbuch gegen die GIAS abgleichen.
AT 4.4.3 MaRisk
2. Mandat und Berichtsweg regeln
Unterstellung, Weisungsfreiheit und Berichtsweg im Mandat der Revision festlegen und jährlich bestätigen.
Art. 6 DORA; Art. 9 AMLR
3. Prüfungslandkarte erweitern
DORA, AMLR und die anwendbaren Topical Requirements als Prüffelder aufnehmen und Ausschlüsse begründen.
IDW PS 983; DIIR Nr. 3
4. Qualitätsbeurteilung planen
Die nächste Beurteilung an der aktuellen Fassung von DIIR Nr. 3 und IDW PS 983 ausrichten und den Zeitpunkt festlegen.
§ 107 Abs. 3 Satz 2 AktG
5. Berichterstattung neu aufsetzen
Eine jährliche Aussage zu Standard, Unabhängigkeit und Wirksamkeit an Geschäftsleitung und Prüfungsausschuss festlegen.
Fazit: Interne Revision und der neue Maßstab
- Die GIAS gelten seit dem 9. Januar 2025 und haben die Standards von 2017 abgelöst. Sie sind ein Berufsstandard und stehen neben den aufsichtsrechtlichen Anforderungen.
- Für Geschäftsleitung und Aufsichtsrat zählt die Frage nach dem Maßstab: Standard, Mandat, Berichtsweg und Berichterstattung müssen zusammenpassen.
- DORA und AMLR erweitern das Prüfungsuniversum. Entwürfe technischer Papiere sind bis zur Annahme kein Prüfmaßstab.
Die Interne Revision ist damit weniger eine Frage der Methode als eine der Steuerung: Wer den Standard kennt, kann Konformität verlangen und belegen lassen. Wo Qualifizierung im Team fehlt, bieten sich Seminare an; wo Umsetzungskapazität fehlt, ein externer Partner. Beides liegt außerhalb dieses Beitrags.
Häufige Fragen zur Internen Revision und den GIAS
Was sind die Global Internal Audit Standards und seit wann gelten sie?+–
Die Global Internal Audit Standards (GIAS) des Institute of Internal Auditors (IIA) wurden am 9. Januar 2024 veröffentlicht und gelten seit dem 9. Januar 2025. Sie ersetzen die International Standards for the Professional Practice of Internal Auditing von 2017 und sind das Kernstück des IPPF 2024. Sie gliedern sich in fünf Domänen, 15 Prinzipien und 52 Standards.
Sind die Global Internal Audit Standards gesetzlich verbindlich?+–
Nein. Die GIAS sind ein Berufsstandard und kein Gesetz. Sie sind für alle Revisionsfunktionen formuliert, unabhängig von Branche und Aufsichtsregime. Aufsichtsrechtliche Anforderungen, etwa AT 4.4.3 der MaRisk, bestehen daneben; sie ersetzen die GIAS nicht, und die GIAS ersetzen sie nicht.
Was verlangt die BaFin von der Internen Revision eines Instituts?+–
Nach AT 4.4.3 der MaRisk (Rundschreiben 06/2026 (BA)) muss jedes Institut über eine funktionsfähige Interne Revision verfügen. Sie ist direkt der Geschäftsleitung unterstellt, berichtet an diese und nimmt ihre Aufgaben selbständig sowie unabhängig wahr.
Welche Rolle hat der Aufsichtsrat bei der Internen Revision?+–
Nach § 107 Abs. 3 Satz 2 AktG kann der Aufsichtsrat einen Prüfungsausschuss bestellen, der sich unter anderem mit der Überwachung der Wirksamkeit des internen Revisionssystems befasst. Bei Gesellschaften, die Unternehmen von öffentlichem Interesse nach § 316a Satz 2 HGB sind, ist ein Prüfungsausschuss einzurichten (§ 107 Abs. 4 AktG).
Was ändert sich durch DORA und die AMLR für die Revision?+–
Nach Art. 6 Abs. 6 DORA ist der IKT-Risikomanagementrahmen von Finanzunternehmen, die keine Kleinstunternehmen sind, regelmäßig nach dem Revisionsplan einer internen Revision zu unterziehen; Art. 6 Abs. 7 verlangt ein förmliches Follow-up-Verfahren für kritische Feststellungen. Für die in Art. 16 Abs. 1 genannten Unternehmen gelten Art. 5 bis 15 nicht. Die AMLR sieht ab dem 10. Juli 2027 in Art. 9 Abs. 2 Buchst. b eine unabhängige Audit-Funktion vor, die interne Strategien, Verfahren und Kontrollen testet; fehlt sie, kann ein externer Sachverständiger den Test durchführen.
Wonach richtet sich die Qualitätsbeurteilung der Internen Revision?+–
Die GIAS gelten seit Januar 2025 auch für Qualitätsbeurteilungen. In Deutschland stützen sich externe Beurteilungen auf IDW PS 983 und den DIIR-Revisionsstandard Nr. 3. Für IDW PS 983 lag ein Neufassungsentwurf vor (IDW EPS 983 n.F., Juni 2025); welche Fassung für einen Auftrag maßgeblich ist, sollte beim IDW und beim DIIR geprüft werden.
Quellenverzeichnis
- BaFin, Rundschreiben 06/2026 (BA), Mindestanforderungen an das Risikomanagement (MaRisk) Primärquelle für AT 4.4.3 zur Internen Revision (Downloadseite mit PDF).
- BaFin, Übersendungsschreiben zum Rundschreiben 06/2026 (BA) Übergangsregelungen zur Neufassung; dort nachzulesen.
- BaFin, Meldung „MaRisk-Novelle: Mehr Proportionalität“ Einordnung der Neufassung durch die Aufsicht.
- Verordnung (EU) 2024/1624 (AMLR), EUR-Lex Primärquelle für Art. 9 Abs. 2 Buchst. b und den Geltungsbeginn.
- Verordnung (EU) 2022/2554 (DORA), EUR-Lex Primärquelle für Art. 6 Abs. 6 und 7 sowie Art. 16.
- Aktiengesetz (AktG), § 107, Bundesministerium der Justiz Primärquelle zur Überwachung durch Aufsichtsrat und Prüfungsausschuss.
Verwandte Leistungen und Programme
Seminar B13: Interne Revision
S+P Seminare: Qualifizierung zu Unabhängigkeit, Prüfungsplanung und Follow-up.
