Prüfungsuniversum
Eine vollständige Übersicht erfasst Geschäftsprozesse, Systeme, Einheiten, Dienstleister und wesentliche Änderungen. Sie ist die Grundlage für die Risikobewertung und Prüfungsplanung.
REGULATORY TOOLS / GRC
Interne Revision: unabhängige Prüfung mit Wirkung
Die Interne Revision gibt der Geschäftsleitung eine unabhängige Beurteilung, ob Organisation, Risikomanagement und Kontrollen im Betrieb wirksam sind. Sie prüft Prozesse anhand von Nachweisen und verfolgt festgestellte Mängel bis zur Behebung.
Mandat, Unabhängigkeit und Prüfungsuniversum
Die Revision benötigt unbeschränkten Informationszugang und eine unmittelbare Berichtslinie zur Geschäftsleitung. Sie prüft risikoorientiert alle Aktivitäten und Prozesse, einschließlich ausgelagerter Tätigkeiten. Selbstprüfung ist zu vermeiden; Beratung und Projektbegleitung sind nur mit gewahrter Unabhängigkeit sinnvoll.
Rollenabgrenzung
Compliance überwacht und berät laufend in ihrem Regelbereich. Revision beurteilt unabhängig die Angemessenheit und Wirksamkeit der gesamten Organisation, einschließlich der Kontrollfunktionen.
Risikobasierter Prüfplan
Bei Banken ist der Prüfplan jährlich fortzuschreiben; die WpI MaRisk verlangt eine jährliche risikoorientierte Planung für mittlere Wertpapierinstitute. Änderungen und verschiedene Risikoquellen sind zu berücksichtigen, die Geschäftsleitung genehmigt die Planung. Sonderprüfungen müssen möglich bleiben. Für die bankaufsichtliche MaRisk gelten grundsätzlich Drei-Jahres- beziehungsweise bei nicht wesentlichen Bereichen Fünf-Jahres-Turnusse; besondere Risiken verlangen kürzere Intervalle.
Priorisierung
Risikoprofil, frühere Feststellungen, Beschwerden, Vorfälle, neue Produkte, IT-Änderungen und Auslagerungen beeinflussen Thema, Tiefe und Zeitpunkt.
Planung und Kapazität
Prüffrage, Umfang, Zeitraum, benötigte Fachkunde und Aufwand werden so beschrieben, dass Planabweichungen und neue Risiken transparent entschieden werden können.
Prüfung, Feststellungen und Nachschau
Jede Prüfung hat nachvollziehbare Kriterien, Stichproben, Arbeitsunterlagen und einen zeitnahen Bericht. Die Revision unterscheidet Ursache, Risiko und Wirkung einer Feststellung und verfolgt zugesagte Maßnahmen bis zur belastbaren Behebung.
Prüfungsdurchführung
Dokumente, Daten und Interviews werden gegen Sollanforderungen und tatsächliche Fälle geprüft. Der Bericht nennt Prüfungsgegenstand, Feststellungen und nötige Maßnahmen.
Berichte und Eskalation
Die bankaufsichtliche MaRisk verlangt mindestens vierteljährliche Berichte an die Geschäftsleitung, unverzügliche Meldung besonders schwerwiegender Mängel und die Überwachung der Mängelbeseitigung.
Projektbegleitung ohne Selbstprüfung
Bei wesentlichen Vorhaben kann die Revision frühzeitig Risiken, Kontrolllücken und Nachweisfähigkeit aufzeigen. Sie entscheidet dabei nicht über Produkt, Technik oder Freigabe und übernimmt keine Projektsteuerung. Ein späterer unabhängiger Prüfungsauftrag bleibt möglich.
Beispiel
Bei einem neuen digitalen Onboarding prüft die Revision die Projektgovernance, Datenmigration, Testnachweise, Ausnahmen und Übergabe in den Regelbetrieb.
Typische Nachweise
Revisionsordnung, Prüfungsuniversum, Risikoanalyse, genehmigter Prüfplan, Arbeitsunterlagen, Einzelberichte, Quartalsberichte und Maßnahmenregister.
Quellen und Geltungsbereich
Die Pflichten hängen von Institutstyp und Tätigkeit ab. Die WpI MaRisk sieht eine Interne Revision vor, soweit dies angemessen und verhältnismäßig ist. Bei sehr kleinen Instituten kann nach Maßgabe von AT 4.4.3 die Aufgabenwahrnehmung durch einen Geschäftsleiter erfolgen oder entfallen; dabei sind die konkret genannten Voraussetzungen und Interessenkonflikte zu prüfen. Diese Übersicht ersetzt keine Geltungsprüfung.
- BaFin MaRisk 06/2026, AT 4.4.3
- BaFin WpI MaRisk 09/2026, AT 4.4.3 (für kleine und mittlere WpI ab 1. Januar 2027)
- banking.vision: Projektbegleitung durch die Revision (Praxisbeitrag vom 11. Juni 2026 zum damaligen Entwurfsstand; maßgeblich ist die endgültige Fassung)
Wussten Sie bereits?
Aus dem Themenuniversum
Geschäftskonzept
Wie aus einer App ein erlaubnispflichtiger Dienst werden kann.
Kennen Sie bereits?
Aus unserem Netzwerk
Fit & Proper · Skillmatrix
Leitungsprofile und kollektive Eignung strukturiert vorbereiten.
Internationaler Markteintritt / Deutschland
Deutschland als nächster Markt?
Sie prüfen ein Office, eine Zweigniederlassung oder eine eigene Erlaubnis in Deutschland? Der richtige Weg hängt von Herkunft, Tätigkeit und Organisationsmodell ab. 3RMCN verbindet Erfahrung aus anspruchsvollen Aufsichtsprojekten mit Produkt-, IT- und Umsetzungskompetenz: vom Markteintrittskonzept über die relevanten Schnittstellen bis zum betriebsfähigen Aufbau.
Vorhaben besprechen ↗Aufsichtsperspektiven
Vertraut mit mehreren Regimen
Erfahrung im Umfeld von CySEC (Zypern), MFSA (Malta), FCA (Vereinigtes Königreich), dem europäischen ESMA-Regelwerk und MAS (Singapur). ESMA ist keine nationale Erlaubnisbehörde.
Internationale Strukturierung
Gründung außerhalb Europas?
Für Unternehmensgründungen in Offshore-Jurisdiktionen können geeignete Partner aus dem Netzwerk einbezogen werden. Standort, Tätigkeit und aufsichtsrechtliche Anforderungen prüfen wir für jedes Vorhaben gesondert.