Governance und dritte Verteidigungslinie
Rechtsstand: 10. September 2026 | Lesezeit: rund 13 Minuten | Erstveröffentlichung: 4. September 2025, vollständig überarbeitet
Welche Aufgaben hat die Interne Revision – und wer haftet, wenn sie sie nicht wahrnimmt? Die MaRisk beantworten den ersten Teil in zwölf Textziffern. Den zweiten hat das KWG im April 2026 neu beantwortet: Der Leiter der Internen Revision ist seither Inhaber einer besonderen Schlüsselfunktion mit eigenen Eignungsanforderungen.
AT 4.4.3 der MaRisk in der Fassung vom 30. Juni 2026 regelt die Interne Revision in zwölf Textziffern. Jedes Institut muss über eine funktionsfähige Interne Revision verfügen; sie ist direkt der Geschäftsleitung unterstellt und unterliegt bei der Wertung der Prüfungsergebnisse keinen Weisungen.
Neu ist eine Erleichterung, die weitreichende Folgen hat: Bei sehr kleinen Instituten können die Aufgaben der Internen Revision von einem Geschäftsleiter übernommen werden, wenn eine eigene Revisionseinheit unverhältnismäßig ist und Maßnahmen zur Vermeidung von Interessenkonflikten implementiert sind. Das ist eine Proportionalitätsentscheidung, die begründet und dokumentiert gehört.
Gegenläufig dazu die Entwicklung im KWG. Seit dem 1. April 2026 zählen die Leiter der internen Kontrollfunktionen nach § 1 Abs. 2d KWG zu den Inhabern besonderer Schlüsselfunktionen. Für den Revisionsleiter bedeutet das: fachliche Eignung und Zuverlässigkeit nach § 25e Abs. 1 KWG, Ersetzungspflicht bei Nichterfüllung und – bei großen Unternehmen – eine Anzeigepflicht bei Abberufung.
Für die Geschäftsleitung ist die Interne Revision damit nicht mehr nur eine Organisationsfrage, sondern ein Personalthema mit aufsichtlicher Kontrolle. Wer die Funktion besetzt, muss die Eignung belegen können.
Acht Pflichten, jede mit Fundstelle. Die Liste ist bewusst normnah gehalten – sie ist die Grundlage, gegen die eine Prüfung gemessen wird.
| Pflicht | Was verlangt ist | Fundstelle |
|---|---|---|
| Funktionsfähigkeit sicherstellen | Planung, Methoden und Qualität regelmäßig und anlassbezogen überprüfen und weiterentwickeln; vollständiges und uneingeschränktes Informations- und Zugriffsrecht, jederzeit zu gewährleisten | AT 4.4.3 Tz. 1 |
| Unabhängig prüfen | Risikoorientierte Prüfung aller Aktivitäten und Prozesse einschließlich der ausgelagerten Tätigkeiten; Ordnungsmäßigkeit der Geschäftsorganisation, des Risikomanagements und des internen Kontrollsystems | AT 4.4.3 Tz. 5 |
| Prüfungsplan führen | Umfassender, risikoorientierter und jährlich fortzuschreibender Prüfungsplan; Genehmigung der Planung und wesentlicher Anpassungen durch die Geschäftsleitung | AT 4.4.3 Tz. 6 |
| Berichten | Zeitnaher schriftlicher Bericht je Prüfung mit Prüfungsgegenstand, Feststellungen und Maßnahmen; wesentliche Mängel besonders herausstellen | AT 4.4.3 Tz. 7 |
| Quartalsbericht erstellen | Mindestens vierteljährlich ein Gesamtbericht an die Geschäftsleitung; über besonders schwerwiegende Mängel ist unverzüglich zu berichten | AT 4.4.3 Tz. 9 |
| Mängel nachverfolgen | Fristgerechte Beseitigung in geeigneter Form überwachen, gegebenenfalls Nachschauprüfung ansetzen | AT 4.4.3 Tz. 11 |
| Dokumentieren und aufbewahren | Prüfungen durch nachvollziehbare Arbeitsunterlagen dokumentieren; Revisionsberichte und Arbeitsunterlagen sechs Jahre aufbewahren | AT 4.4.3 Tz. 10 |
| Projekte begleiten | Das Informations- und Zugriffsrecht gilt auch bei der Begleitung wesentlicher Projekte | AT 4.4.3 Tz. 1 |
Die Interne Revision ist direkt der Geschäftsleitung unterstellt und berichtet an diese. Sie nimmt ihre Aufgaben selbständig und unabhängig wahr und unterliegt bei der Wertung der Prüfungsergebnisse keinen Weisungen. Das Direktionsrecht der Geschäftsleitung zur Anordnung zusätzlicher Prüfungen steht dem nicht entgegen (Tz. 2).
Mitarbeiter der Internen Revision dürfen grundsätzlich nicht mit revisionsfremden Aufgaben betraut werden; unvereinbare Tätigkeiten sind ausgeschlossen. Beratung ist zulässig, solange die Unabhängigkeit gewahrt bleibt (Tz. 3). Umgekehrt dürfen Mitarbeiter anderer Organisationseinheiten grundsätzlich keine Revisionsaufgaben übernehmen; ein temporärer, beratender Einsatz wegen Spezialwissens ist in begründeten Fällen möglich (Tz. 4).
Beim Wechsel aus anderen Bereichen in die Interne Revision sind Übergangsfristen von in der Regel mindestens einem Jahr vorzusehen, innerhalb derer die betreffenden Mitarbeiter keine Tätigkeiten prüfen dürfen, die gegen das Verbot der Selbstprüfung verstoßen. Abweichungen sind in begründeten Einzelfällen möglich.
Die Risikobewertung ist regelmäßig zu überprüfen. Sie muss eine Analyse des Risikopotenzials und möglicher Veränderungen der Aktivitäten und Prozesse sowie unterschiedliche Risikoquellen und die Manipulationsanfälligkeit berücksichtigen.
| Gegenstand | Turnus | Fundstelle | Anmerkung |
|---|---|---|---|
| Sämtliche Aktivitäten und Prozesse | innerhalb von drei Jahren | AT 4.4.3 Tz. 6 | Grundsatz; gilt einschließlich der ausgelagerten Tätigkeiten |
| Aktivitäten mit besonderen Risiken | kürzerer Turnus als drei Jahre | AT 4.4.3 Tz. 6 | Das Institut legt den Turnus risikoorientiert fest |
| Nicht wesentliche Aktivitäten und Prozesse | innerhalb von fünf Jahren | AT 4.4.3 Tz. 6 | Auch sie sind in die Prüfungsplanung zu integrieren |
| Prüfungsplan | jährlich fortzuschreiben | AT 4.4.3 Tz. 6 | Genehmigung durch die Geschäftsleitung |
| Sonderprüfungen | jederzeit möglich | AT 4.4.3 Tz. 6 | Die Durchführbarkeit muss sichergestellt sein |
| Aufbewahrung | sechs Jahre | AT 4.4.3 Tz. 10 | Revisionsberichte und Arbeitsunterlagen |
Die Berichtslinien sind der Teil, an dem sich die Unabhängigkeit im Ernstfall bewährt. Sie sind in AT 4.4.3 und AT 3.2 verteilt geregelt.
Zeitnah, schriftlich, den zuständigen Mitgliedern der Geschäftsleitung vorzulegen. Inhalt: Prüfungsgegenstand, Feststellungen und gegebenenfalls Maßnahmen zur Beseitigung der Mängel. Wesentliche Mängel sind besonders herauszustellen (Tz. 7).
Unterschieden wird zwischen wesentlichen, schwerwiegenden und besonders schwerwiegenden Mängeln. Die konkrete Abgrenzung der Kategorien obliegt dem Institut; für Mängel geringer Risikorelevanz kann es eigenständige Kriterien definieren.
Mindestens vierteljährlich an die Geschäftsleitung: durchgeführte Prüfungen, festgestellte wesentliche Mängel samt Maßnahmen und Status, noch offene wesentliche Mängel aus Vorquartalen sowie eine Beurteilung der Einhaltung des Prüfungsplans (Tz. 9).
Bei schwerwiegenden Feststellungen gegen Geschäftsleiter berichtet die Interne Revision der Geschäftsleitung unverzüglich; diese muss unverzüglich die BaFin und die Deutsche Bundesbank informieren (Tz. 8).
Das Aufsichtsorgan erhält die regelmäßigen Berichte nach Tz. 9 zur Kenntnis. Kommt die Geschäftsleitung ihrer Berichtspflicht nicht nach oder beschließt sie keine sachgerechten Maßnahmen, muss die Interne Revision den Vorsitzenden des Aufsichtsorgans unterrichten (AT 3.2 Tz. 2).
Werden wesentliche Mängel nicht in angemessener Zeit beseitigt, informiert der Leiter der Internen Revision die fachlich zuständigen Geschäftsleiter schriftlich. Bleiben die Mängel bestehen, ist die gesamte Geschäftsleitung spätestens im nächsten Quartalsbericht zu informieren (Tz. 12).
Typische PrüfungsfeststellungenDiese Änderung steht nicht in den MaRisk, sondern im KWG – und sie wird in der Revisionspraxis bislang wenig beachtet.
Das KWG in der ab 1. April 2026 geltenden Fassung definiert die Leiter der internen Kontrollfunktionen in § 1 Abs. 2c als Personen, die auf der höchsten Hierarchieebene mit Ausnahme der Geschäftsleiter für die tatsächliche Leitung des Tagesgeschäfts der internen Kontrollfunktionen verantwortlich sind. § 1 Abs. 2d zählt sie zu den Inhabern besonderer Schlüsselfunktionen, soweit sie nicht Geschäftsleiter sind.
Anders als beim zentralen Auslagerungsmanagement ist das keine Einordnungsfrage, die das Institut selbst beantwortet. Der Leiter der Internen Revision ist im Gesetz ausdrücklich genannt.
Der letzte Punkt ist der schärfste. Wer den Revisionsleiter abberufen will, kann das bei großen Unternehmen nicht mehr im Alleingang der Geschäftsleitung tun. Das ist ein struktureller Schutz der dritten Verteidigungslinie – und zugleich ein Verfahrensschritt, den man einplanen muss.
Die Interne Revision ist zugleich Prüferin von Auslagerungen und möglicher Gegenstand einer Auslagerung. Beide Rollen sind zu trennen.
AT 4.4.3 Tz. 5 erstreckt die Prüfung ausdrücklich auf die ausgelagerten Tätigkeiten. Sie sind Teil des Prüfungsuniversums, nicht Ausnahme davon.
Pflichten im AuslagerungsmanagementNach AT 9 Tz. 4 kann die Interne Revision auf eigene Prüfungen verzichten, wenn anderweitig eine Revisionstätigkeit erfolgt, die den aufsichtlichen Anforderungen genügt und deren Ergebnisse weitergegeben werden. Sie muss sich davon regelmäßig überzeugen.
Die Interne Revision kann auf Nachweise und Zertifikate nach gängigen Standards zurückgreifen. Bei wesentlichen Auslagerungen darf sie sich nach der Erläuterung zu AT 9 Tz. 4 nicht allein darauf stützen; Detailtiefe, Aktualität, Eignung und die Eignung des Prüfers sind zu berücksichtigen.
Einstufung wesentlicher AuslagerungenNach AT 9 Tz. 5 zulässig für Tochterinstitute innerhalb einer Institutsgruppe unter Bedingungen sowie bei sehr kleinen Instituten.
Auslagerung besonderer FunktionenBei vollständiger Auslagerung benennt die Geschäftsleitung nach AT 9 Tz. 10 einen unabhängigen und sachkundigen Beauftragten. Er erstellt den Prüfungsplan gemeinsam mit dem beauftragten Dritten, verfasst den Quartalsbericht und prüft die Mängelbeseitigung. Er ist der Geschäftsleitung unmittelbar zu unterstellen.
Auslagerung der Internen RevisionAT 4.4.3 Tz. 1 lässt zu, dass ein Geschäftsleiter die Aufgaben übernimmt, wenn eine eigene Revisionseinheit unverhältnismäßig ist und Maßnahmen zur Vermeidung von Interessenkonflikten implementiert sind. Die Aufgaben des Revisionsbeauftragten eines sehr kleinen Instituts kann nach AT 9 Tz. 10 ebenfalls ein Geschäftsleiter wahrnehmen.
Diese Punkte tauchen in Jahresabschluss- und Sonderprüfungen wiederkehrend auf.
Der Prüfungsplan deckt die wesentlichen Aktivitäten im Dreijahresturnus ab, die nicht wesentlichen fehlen. AT 4.4.3 Tz. 6 verlangt auch für sie eine Integration in die Planung und eine Prüfung innerhalb von fünf Jahren.
Die MaRisk unterscheiden drei Stufen, überlassen die Abgrenzung aber dem Institut. Ohne definierte Kriterien ist die Eskalationslogik nach Tz. 12 nicht anwendbar.
Seit dem 1. April 2026 ist er Inhaber einer besonderen Schlüsselfunktion. Eine Eignungsakte nach § 25c Abs. 4a Nr. 7 KWG fehlt in vielen Häusern noch.
Eignungsbeurteilung in der PraxisAT 4.4.3 Tz. 5 erstreckt die Prüfung ausdrücklich darauf. Wer nur die eigenen Prozesse plant, hat eine Lücke, die über die Auslagerungsquote wächst.
Abgrenzung Auslagerung und FremdbezugBei wesentlichen Auslagerungen darf sich die Interne Revision nach der Erläuterung zu AT 9 Tz. 4 nicht allein auf Nachweise und Zertifikate stützen. Die Eignung des Zertifizierers ist mit zu würdigen.
Beim Wechsel aus anderen Organisationseinheiten in die Interne Revision ist in der Regel mindestens ein Jahr vorzusehen, in dem keine Selbstprüfung erfolgt (Tz. 4). Das gehört in den Onboarding-Prozess, nicht in die Erinnerung des Vorgesetzten.
Sechs Fragen entlang des Pflichtenkatalogs. Wähle je Zeile den zutreffenden Zustand; die Empfehlung erscheint darunter. Die Auswahl wird nicht gespeichert und nicht übertragen.
Deckt der Prüfungsplan auch die nicht wesentlichen Aktivitäten im Fünfjahresturnus ab?
AT 4.4.3 Tz. 6 MaRisk
ErfülltBeide Turnusse sind abgebildet. Prüfe die Vollständigkeit des Prüfungsuniversums jährlich.
TeilweiseDer Dreijahresturnus steht, der Fünfjahresturnus fehlt. Ergänze die nicht wesentlichen Aktivitäten in der Mehrjahresplanung.
OffenOhne Abbildung beider Turnusse ist die Planung unvollständig. Das ist ein regelmäßiger Prüfungsbefund.
Sind die drei Mängelkategorien mit eigenen Kriterien hinterlegt?
Erläuterung zu AT 4.4.3 Tz. 7 MaRisk
ErfülltDie Abgrenzung ist definiert und wird angewendet. Prüfe die Einstufung an Altfeststellungen gegen.
TeilweiseDie Kategorien werden verwendet, aber nicht anhand definierter Kriterien. Halte die Abgrenzung schriftlich fest.
OffenOhne Kriterien ist die Eskalation nach Tz. 12 nicht steuerbar. Beginne mit der Definition, nicht mit dem Formular.
Liegt eine Eignungsakte für den Leiter der Internen Revision vor?
§ 1 Abs. 2d, § 25e Abs. 1, § 25c Abs. 4a Nr. 7 KWG
ErfülltDie Eignung ist beurteilt und dokumentiert. Nimm sie in den regelmäßigen Beurteilungszyklus auf.
TeilweiseNachweise sind vorhanden, eine Beurteilung durch die Geschäftsleitung fehlt. Ergänze sie mit Datum und Begründung.
OffenSeit dem 1. April 2026 ist das eine gesetzliche Anforderung, keine Empfehlung. Setze die Beurteilung an.
Sind die ausgelagerten Tätigkeiten im Prüfungsuniversum enthalten?
AT 4.4.3 Tz. 5 MaRisk
ErfülltSie sind erfasst und risikoorientiert eingeplant. Gleiche das Universum mit dem Auslagerungsregister ab.
TeilweiseWesentliche Auslagerungen sind erfasst, die übrigen nicht. Ziehe den Abgleich mit dem Register nach.
OffenEine Planung ohne ausgelagerte Tätigkeiten erfüllt Tz. 5 nicht. Das Auslagerungsregister ist die passende Grundlage.
Ist geregelt, wann auf eigene Prüfungshandlungen verzichtet werden darf?
AT 9 Tz. 4 MaRisk
ErfülltDie Voraussetzungen sind dokumentiert und werden regelmäßig überprüft.
TeilweiseDer Verzicht wird praktiziert, die Überzeugung von den Voraussetzungen ist nicht belegt. Dokumentiere sie je Auslagerung.
OffenEin Verzicht ohne dokumentierte Überzeugung ist angreifbar. Beginne bei den wesentlichen Auslagerungen.
Ist der Weg zum Aufsichtsorgan im Konfliktfall geregelt?
AT 3.2 Tz. 2, AT 4.4.3 Tz. 8 und Tz. 12 MaRisk
ErfülltDer Eskalationsweg ist schriftlich geregelt und dem Aufsichtsorgan bekannt.
TeilweiseDer Weg ist bekannt, aber nicht verschriftlicht. Nimm ihn in die Organisationsrichtlinien auf.
OffenOhne geregelten Weg funktioniert die Unabhängigkeit genau dann nicht, wenn sie gebraucht wird.
Sechs Schritte, die unabhängig von Institutsgröße und Revisionsmodell tragen.
Wie die BaFin die Eignung von Inhabern besonderer Schlüsselfunktionen künftig prüft und welche Nachweise sie erwartet, lässt sich aus den hier ausgewerteten Quellen nicht ableiten. Eine gefestigte Verwaltungspraxis zu § 25e KWG liegt zum Rechtsstand dieses Beitrags noch nicht vor. Wer die Eignungsakte jetzt aufbaut, sollte sie erweiterbar anlegen.
Für kleine und mittlere Wertpapierinstitute gilt ab dem 1. Januar 2027 die WpI MaRisk. Nach dem Anschreiben der BaFin arbeitet sie bei der Internen Revision mit Regelbeispielen: Vertreibt ein Wertpapierinstitut komplexe Produkte, ist eine unabhängige Revisionseinheit in der Regel angemessen. Der Rundschreibentext selbst war für diesen Beitrag nicht abrufbar und sollte vor einer Umstellungsplanung herangezogen werden.
Welche Aufgaben hat die Interne Revision? Der Katalog ist seit Jahren stabil. Die Stellung der Funktion hat sich 2026 dagegen verschoben.
Die dritte Verteidigungslinie ist damit aufsichtsrechtlich besser geschützt als zuvor – und die Geschäftsleitung stärker in der Pflicht, ihre Besetzung zu begründen.
AT 4.4.3 Tz. 5 verlangt eine unabhängige, risikoorientierte Prüfung aller Aktivitäten und Prozesse des Instituts einschließlich der ausgelagerten Tätigkeiten. Geprüft wird die Ordnungsmäßigkeit der Geschäftsorganisation im Allgemeinen und des Risikomanagements sowie des internen Kontrollsystems im Besonderen, einschließlich der wirksamen Umsetzung der Risikostrategie.
Sämtliche Aktivitäten sind nach AT 4.4.3 Tz. 6 grundsätzlich innerhalb von drei Jahren zu prüfen; bei besonderen Risiken ist ein kürzerer Turnus erforderlich. Auch unter Risikogesichtspunkten nicht wesentliche Aktivitäten und Prozesse sind in die Prüfungsplanung zu integrieren und innerhalb von fünf Jahren zu prüfen.
Ja, in Grenzen. AT 4.4.3 Tz. 3 lässt beratende Tätigkeiten zu, sofern die Unabhängigkeit der Internen Revision gewahrt bleibt. Revisionsfremde Aufgaben und Tätigkeiten, die mit der Prüfungstätigkeit unvereinbar sind, sind dagegen ausgeschlossen.
Das KWG in der ab 1. April 2026 geltenden Fassung zählt die Leiter der internen Kontrollfunktionen nach § 1 Abs. 2d zu den Inhabern besonderer Schlüsselfunktionen. Damit gelten die Eignungsanforderungen des § 25e Abs. 1 KWG unmittelbar, und die BaFin kann nach § 25e Abs. 3 verlangen, dass die Funktion nicht übertragen oder wieder entzogen wird.
Zu jeder Prüfung ist zeitnah ein schriftlicher Bericht zu erstellen (AT 4.4.3 Tz. 7). Mindestens vierteljährlich geht ein Gesamtbericht an die Geschäftsleitung (Tz. 9); über besonders schwerwiegende Mängel ist unverzüglich zu berichten. Das Aufsichtsorgan erhält die regelmäßigen Berichte nach AT 3.2 Tz. 2 zur Kenntnis.
Eine vollständige Auslagerung ist nach AT 9 Tz. 5 für Tochterinstitute innerhalb einer Institutsgruppe unter Bedingungen sowie bei sehr kleinen Instituten möglich. In diesem Fall muss die Geschäftsleitung nach AT 9 Tz. 10 einen unabhängigen und sachkundigen Revisionsbeauftragten benennen, der ihr unmittelbar unterstellt ist.
Primärquellen zuerst. Je Eintrag ist angegeben, wofür die Quelle in diesem Beitrag einsteht.
Welche Aufgaben hat die Interne Revision an den Schnittstellen? Die folgenden Beiträge vertiefen die angrenzenden Themen.
Hinweis zur Unabhängigkeit: Dieser Beitrag beschreibt Anforderungen und Prüfungsstandards neutral. Aussagen zu Produkten einzelner Anbieter werden bewusst nicht getroffen.
Revisionseinheit unverhältnismäßig, Anforderungen bleiben? Erst den Quick-Check, dann über die Auslagerung entscheiden.
Achim Schulz kennt die Führungsebene aus eigener Verantwortung – langjährig als Vorstand bei Banken und Geschäftsführer sowie als Interim-Manager in Industrieunternehmen. Diese Doppelperspektive aus Finanzsektor und Realwirtschaft prägt seine Beiträge für CEO, COO und CFO. Er kennt das Zusammenspiel von Geschäftsleitung, Aufsichtsrat und Gesellschaftern aus der Praxis und übersetzt strategische wie aufsichtsrechtliche Anforderungen in umsetzbare, haftungssichere Führungsentscheidungen – praxisnah und auf Augenhöhe mit dem Management.
LinkedIn-Profil → · Redaktion & Experten →Wir verwenden Cookies und ähnliche Technologien, um Ihre Erfahrung auf unserer Website zu verbessern. Weitere Informationen in unserer Datenschutzerklärung.