Die Auslagerung der Internen Revision ist für viele kleine Institute der wirtschaftlich naheliegende Weg, die Revisionsfunktion zu erfüllen. Zulässig ist das, aber nur unter engen Voraussetzungen: Die Interne Revision gehört zu den besonderen Funktionen der MaRisk, und ihre Auslagerung ist eine Auslagerung von erheblicher Tragweite.
Seit der MaRisk-Neufassung vom 30.06.2026 stehen die Anforderungen an die Revision in AT 4.4.3 und die Auslagerungsregeln in AT 9. Die frühere Gliederung BT 2.1 bis BT 2.5 gibt es nicht mehr, BT 2 regelt inzwischen die Risikoberichterstattung. Dieser Beitrag zeigt dir, wer die Revision vollständig auslagern darf, welche Rolle der Revisionsbeauftragte hat, was in den Vertrag gehört und was sich 2027 ändert.
Dieser Beitrag ersetzt keine Rechtsberatung und keine Abstimmung mit Abschlussprüfer oder Aufsicht.
Die MaRisk kennen zwei Wege. Eine teilweise Auslagerung (Co-Sourcing) ist zulässig, wenn du den Dienstleister wirksam überwachen kannst und den ordnungsmäßigen Betrieb bei Bedarf fortsetzen kannst. Eine vollständige Auslagerung ist nur für nicht wesentliche Tochterinstitute in einer Institutsgruppe, für Gruppen mit inländischem Mutterunternehmen, das kein Institut ist, und für sehr kleine Institute möglich (AT 9 Tz. 5).
Wer die Revision vollständig auslagert, benennt einen unabhängigen und sachkundigen Revisionsbeauftragten (AT 9 Tz. 10). Er erstellt den Prüfungsplan gemeinsam mit dem Dienstleister, verfasst gegebenenfalls gemeinsam mit ihm den vierteljährlichen Bericht und prüft, ob Mängel beseitigt wurden. Die Verantwortung der Geschäftsleiter geht nicht auf den Dienstleister über (§ 25b Abs. 2 KWG).
Die Auslagerung der Revision verlangt eine entsprechend intensive Risikoanalyse (AT 9 Tz. 2). Die Einstufung als wesentlich ist in der Praxis der Regelfall. Für wesentliche Auslagerungen zeigst du Absicht und Vollzug unverzüglich an (§ 24 Abs. 1 Nr. 19 KWG) und führst sie im Auslagerungsregister (§ 25b Abs. 1 Satz 4 KWG).
Ausblick: Zusätzliche Anforderungen der MaRisk-Neufassung gelten nach einer Übergangsfrist ab 01.01.2027. Ab diesem Tag gelten auch die WpI MaRisk für Kleine und Mittlere Wertpapierinstitute. Die EBA-Leitlinien EBA/GL/2026/09 zum Drittparteirisiko sind veröffentlicht, aber noch nicht anwendbar.
Nach AT 9 Tz. 4 dürfen Aktivitäten und Prozesse grundsätzlich ausgelagert werden, solange die Ordnungsmäßigkeit der Geschäftsorganisation nach § 25a Abs. 1 KWG nicht beeinträchtigt wird. Dein Institut darf nicht zur leeren Hülle (Empty Shell) werden, und die Leitungsaufgaben der Geschäftsleitung bleiben im Haus. Für Risikocontrolling-Funktion, Compliance-Funktion und Interne Revision gelten bei vollständiger oder teilweiser Auslagerung besondere Maßstäbe. § 25b Abs. 2 KWG stellt klar: Die Auslagerung führt nicht zu einer Übertragung der Verantwortung der Geschäftsleiter, und das Institut bleibt für die Einhaltung der gesetzlichen Bestimmungen verantwortlich. Ob überhaupt eine Auslagerung vorliegt, klärst du vorab, siehe Wann liegt eine Auslagerung vor?.
AT 9 Tz. 5 erlaubt die Auslagerung in Kontrollbereichen in einem Umfang, der eine wirksame Überwachung der Leistungen des Dienstleisters gewährleistet. Außerdem musst du sicherstellen, dass der ordnungsmäßige Betrieb bei Bedarf fortgesetzt werden kann, etwa nach Beendigung des Auslagerungsverhältnisses. Typisch ist, dass das Institut Planung und Steuerung behält und der Dienstleister einzelne Prüfungen oder Prüffelder übernimmt.
Sehr klein im Sinne der MaRisk sind Institute, die im Vierjahresdurchschnitt eine Bilanzsumme von 1 Mrd. Euro nicht überschreiten. Factoringinstitute sind zusätzlich nur dann sehr klein, wenn ihr jährliches Forderungsankaufsvolumen im Vierjahresdurchschnitt 5 Mrd. Euro nicht überschreitet (AT 1 Tz. 3, Erläuterung zu den Größenklassen). Bei sehr kleinen Instituten kann ein Geschäftsleiter die Aufgaben der Internen Revision auch selbst übernehmen, wenn eine eigene Revisionseinheit unverhältnismäßig ist und Maßnahmen gegen Interessenkonflikte bestehen (AT 4.4.3 Tz. 1).
Praxistipp: Dokumentiere die Einstufung als sehr kleines Institut samt Berechnung des Vierjahresdurchschnitts in der Risikoanalyse zur Auslagerung. Diese Einstufung ist die Grundlage der vollständigen Auslagerung. Prüfe die Schwelle zum Jahresende neu: Überschreitest du sie, bleibt nur noch die teilweise Auslagerung.
Von der Auslagerung der Revision selbst unterscheidet sich die Prüfung anderer Auslagerungen. Nach AT 9 Tz. 4 kann die Interne Revision bei Auslagerungen auf eigene Prüfungshandlungen verzichten, wenn anderweitig eine Revisionstätigkeit durchgeführt wird, die den aufsichtlichen Anforderungen genügt, und die relevanten Prüfungsergebnisse weitergegeben werden. Du musst dich regelmäßig von diesen Voraussetzungen überzeugen. Nach den Erläuterungen kann die Revision des Dienstleisters, die Revision eines anderen auslagernden Instituts oder ein beauftragter Dritter die Revisionstätigkeit übernehmen. Zertifikate und Prüfberichte darfst du verwenden, bei wesentlichen Auslagerungen aber nicht allein darauf stützen.
IKT-Dienstleistungen nach Art. 3 Nr. 21 DORA, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, fallen nicht in den Anwendungsbereich von AT 9 (AT 9 Tz. 1). Nutzt dein Revisionsdienstleister eigene Systeme mit Zugriff auf Institutsdaten, etwa Prüfsoftware, prüfst du im Einzelfall, ob ein IKT-Anteil vorliegt. Unabhängig davon ist der IKT-Risikomanagementrahmen nach Art. 6 Abs. 6 DORA regelmäßig von Revisoren mit ausreichendem IKT-Wissen und angemessener Unabhängigkeit zu prüfen; das gilt nicht für Kleinstunternehmen. Frage im Auswahlverfahren deshalb gezielt nach IKT-Prüfungskompetenz und nach dem Umgang mit deinen Daten in den Systemen des Dienstleisters.
| Unternehmen | Geltende Rechtsgrundlage | Ausblick |
|---|---|---|
| Kreditinstitute | § 25b KWG sowie AT 4.4.3 und AT 9 der MaRisk (Fassung vom 30.06.2026) | EBA/GL/2026/09 nach Beginn der Anwendung |
| Finanzdienstleistungsinstitute und Große Wertpapierinstitute | § 25b KWG. Die MaRisk gelten insoweit, als dies nach Größe, Art, Umfang, Komplexität und Risikogehalt geboten erscheint, insbesondere AT 3, AT 5, AT 7 und AT 9 (AT 2.1 Tz. 2). | EBA/GL/2026/09 nach Beginn der Anwendung |
| Kleine und Mittlere Wertpapierinstitute | § 40 WpIG. Bis zum Geltungsbeginn der WpI MaRisk wendest du die KWG-MaRisk in der Fassung der 8. Novelle sinngemäß an. | WpI MaRisk (Rundschreiben 09/2026 (WA)) ab 01.01.2027: Bei weniger als zehn Mitarbeitern wird regelmäßig vermutet, dass eine eigene Revisionseinheit und die Aufgabenwahrnehmung durch einen Geschäftsleiter unverhältnismäßig sind (AT 4.4.3 Tz. 1). Die Vermutung gilt nicht bei Kundengeldern oder Kundenwertpapieren, komplexen Produkten oder MTF/OTF. Revisionsbasiswissen muss im Institut bleiben; die Letztverantwortung für Prüfungsplanung, Gesamtbericht und Mängelverfolgung ist nicht auslagerbar (AT 9 Tz. 5). |
| Zahlungs- und E-Geld-Institute | § 26 ZAG: Beabsichtigst du, wesentliche betriebliche Aufgaben auszulagern, setzt du BaFin und Bundesbank davon in Kenntnis (Abs. 2). Du führst ein Auslagerungsregister (Abs. 1). | EBA/GL/2026/09 nach Beginn der Anwendung |
| Versicherungsunternehmen | § 32 VAG: Du bleibst verantwortlich. § 47 Nr. 8 VAG: Die Absicht, wichtige Funktionen auszugliedern, ist unter Vorlage des Vertragsentwurfs anzuzeigen. | Keine EBA-Leitlinie einschlägig |
Prüfe zuerst, welches Aufsichtsgesetz und welches Rundschreiben für dein Unternehmen gilt. Die Banken-MaRisk richten sich an Institute nach § 1 Abs. 1b KWG (AT 2.1 Tz. 1) und sind für Zahlungs- und E-Geld-Institute sowie Versicherer nicht unmittelbar maßgeblich.
Die folgenden Termine bestimmen, welche Fassung der Regeln für deine Revision wann gilt.
| Zeitpunkt | Was gilt oder ändert sich | Fundstelle |
|---|---|---|
| 30.06.2026 | MaRisk-Neufassung (Rundschreiben 06/2026 (BA)) veröffentlicht und in Kraft. Revision in AT 4.4.3, Auslagerung in AT 9. | BaFin, Rundschreiben und Übersendungsschreiben |
| 24.08.2026 | WpI MaRisk (Rundschreiben 09/2026 (WA)) veröffentlicht. | BaFin, Rundschreiben 09/2026 (WA) |
| September 2026 | EBA/GL/2026/09 zum Drittparteirisiko bei Nicht-IKT-Leistungen veröffentlicht. Das Anwendungsdatum ist offen, die Übersetzungen stehen aus. Bis dahin gelten die EBA-Leitlinien zu Auslagerungen (EBA/GL/2019/02) weiter. | EBA |
| 31.12.2026 | Die BAIT treten mit Ablauf dieses Tages außer Kraft. | BaFin, Mitteilung zu DORA |
| 01.01.2027 | Ende der Übergangsfrist für zusätzliche Anforderungen der MaRisk-Neufassung. | BaFin, Übersendungsschreiben |
| 01.01.2027 | Die WpI MaRisk gelten für Kleine und Mittlere Wertpapierinstitute. | WpI MaRisk, AT 1 Tz. 5 |
| 01.01.2027 | DORA gilt auch für KWG-Institute, die nicht unter Art. 2 DORA fallen (§ 1a Abs. 2a KWG). | BaFin, FAQ zu DORA |
| Gegenstand | Frist oder Turnus | Fundstelle |
|---|---|---|
| Prüfung aller Aktivitäten und Prozesse | Grundsätzlich innerhalb von drei Jahren, bei besonderen Risiken kürzer. Nicht wesentliche Aktivitäten und Prozesse innerhalb von fünf Jahren. | AT 4.4.3 Tz. 6 |
| Prüfungsplan | Jährlich fortschreiben. Die Geschäftsleitung genehmigt Plan und wesentliche Anpassungen. | AT 4.4.3 Tz. 6 |
| Bericht der Revision | Mindestens vierteljährlich an die Geschäftsleitung. Das Aufsichtsorgan erhält die Berichte zur Kenntnis. | AT 4.4.3 Tz. 9, AT 3.2 Tz. 2 |
| Aufbewahrung | Revisionsberichte und Arbeitsunterlagen sechs Jahre. | AT 4.4.3 Tz. 10 |
| Risikoanalyse zur Auslagerung | Regelmäßig und bei wesentlichen Änderungen der Risikosituation. Kleine Institute alle drei Jahre. | AT 9 Tz. 2 |
| Bericht des Auslagerungsmanagements | Regelmäßig und anlassbezogen. Bei sehr kleinen Instituten genügt die Berichterstattung in einer Vorstandssitzung. | AT 9 Tz. 13 |
| Größenklasse sehr klein | Bilanzsumme im Vierjahresdurchschnitt, zum Jahresende neu prüfen. | AT 1 Tz. 3 |
| Anforderung | Fundstelle |
|---|---|
| Uneingeschränktes Informations- und Zugriffsrecht, auch bei der Begleitung wesentlicher Projekte | AT 4.4.3 Tz. 1 |
| Direkte Unterstellung unter die Geschäftsleitung, keine Weisungen bei der Wertung der Prüfungsergebnisse | AT 4.4.3 Tz. 2 |
| Keine revisionsfremden Aufgaben, Beratung nur bei gewahrter Unabhängigkeit | AT 4.4.3 Tz. 3 |
| Keine Aufgaben von Mitarbeitern anderer Einheiten, Übergangsfrist bei Wechsel in der Regel mindestens ein Jahr | AT 4.4.3 Tz. 4 |
| Prüfung aller Aktivitäten und Prozesse einschließlich ausgelagerter | AT 4.4.3 Tz. 5 |
| Umfassender, risikoorientierter, jährlich fortzuschreibender Prüfungsplan mit Dreijahres- und Fünfjahreszyklus | AT 4.4.3 Tz. 6 |
| Zeitnaher schriftlicher Bericht zu jeder Prüfung | AT 4.4.3 Tz. 7 |
| Unverzügliche Berichterstattung über schwerwiegende Feststellungen gegen Geschäftsleiter | AT 4.4.3 Tz. 8 |
| Mindestens vierteljährlicher Bericht an die Geschäftsleitung | AT 4.4.3 Tz. 9 |
| Nachvollziehbare Arbeitsunterlagen, Aufbewahrung über sechs Jahre | AT 4.4.3 Tz. 10 |
| Überwachung der fristgerechten Mängelbeseitigung, gegebenenfalls Nachschauprüfung | AT 4.4.3 Tz. 11 |
| Eskalation nicht beseitigter wesentlicher Mängel an Geschäftsleitung | AT 4.4.3 Tz. 12 |
§ 25b Abs. 3 KWG verlangt eine schriftliche Vereinbarung, die die erforderlichen Rechte des Instituts einschließlich Weisungs- und Kündigungsrechten sowie die korrespondierenden Pflichten des Auslagerungsunternehmens festlegt. Die Auskunfts- und Prüfungsrechte der BaFin und der Prüfer des Instituts müssen gewährleistet bleiben. Bei wesentlichen Auslagerungen vereinbarst du nach AT 9 Tz. 7 in Textform insbesondere:
Für den Revisionsvertrag empfehlen wir zusätzlich die folgenden Punkte. Das sind Empfehlungen aus der Praxis und keine Mindestinhalte der MaRisk:
Die Grundlagen zu Vertragsinhalten findest du in Mindestanforderungen an Auslagerungsvereinbarungen. Die EBA/GL/2026/09 fassen die Vertragsanforderungen für Drittparteivereinbarungen neu. Prüfe deine Verträge nach Beginn der Anwendung erneut.
Diese sechs Schwachstellen tauchen bei der Auslagerung der Revision typischerweise auf. Jede lässt sich einer konkreten Anforderung zuordnen.
Das Institut lagert vollständig aus, belegt aber weder den Gruppenfall noch den Vierjahresdurchschnitt unter der Schwelle von 1 Mrd. Euro.
Der Beauftragte ist nicht benannt, nicht der Geschäftsleitung unterstellt oder prüft Bereiche, in denen er selbst Aufgaben wahrnimmt.
Prüfungsrechte der Revision, externer Prüfer und der Aufsicht, Weiterverlagerung oder Kündigungsrechte fehlen im Vertrag.
Derselbe Dienstleister berät oder betreibt Compliance, Geldwäscheprävention oder Auslagerungssteuerung und prüft diese Bereiche auch.
Absicht und Vollzug werden nicht oder verspätet angezeigt, die Auslagerung fehlt im Register.
Es gibt keine Kriterien für die laufende Überwachung und keine geprüften Handlungsoptionen für eine unerwartete Beendigung.
Ordne jedes Prüffeld ein. Die Ampel wirkt ohne Skript, es werden keine Daten übertragen. Jeder Zustand trägt ein Textlabel, die Farbe allein sagt nichts aus.
Diese Maßnahmen lohnen sich unabhängig davon, wie die Übergangsfristen und die EBA-Leitlinien im Detail ausfallen.
AT 4.4.3 Tz. 1 verlangt, Planung, Methoden und Qualität der Revision regelmäßig und anlassbezogen zu überprüfen. Die MaRisk schreiben dafür keinen Berufsstandard vor. Als fachlicher Maßstab dienen häufig die Global Internal Audit Standards des IIA, wirksam seit 09.01.2025. Standard 8.4 verlangt eine externe Qualitätsbeurteilung mindestens alle fünf Jahre. Das ist eine Berufsstandesregel und keine aufsichtsrechtliche Pflicht. Frage den Dienstleister, ob und wann zuletzt eine solche Beurteilung stattgefunden hat.
Die Auslagerung der Internen Revision gelingt, wenn du Zulässigkeit, Benennung, Vertrag, Anzeige und Überwachung als zusammenhängenden Prozess behandelst und jeden Schritt belegen kannst. Das Wissen dafür baust du im Team auf, bevor der erste Vertrag unterschrieben ist.
Nein. Eine vollständige Auslagerung ist nur für nicht wesentliche Tochterinstitute innerhalb einer Institutsgruppe, für Gruppen mit einem inländischen Mutterunternehmen, das kein Institut ist, und für sehr kleine Institute möglich (AT 9 Tz. 5 MaRisk). Alle anderen Institute können die Revision nur teilweise auslagern.
Ein Institut, das im Vierjahresdurchschnitt eine Bilanzsumme von 1 Mrd. Euro nicht überschreitet. Für Factoringinstitute gilt zusätzlich eine Grenze von 5 Mrd. Euro jährlichem Forderungsankaufsvolumen im Vierjahresdurchschnitt.
Die Geschäftsleiter. Die Auslagerung führt nicht zu einer Übertragung ihrer Verantwortung (§ 25b Abs. 2 KWG). Bei vollständiger Auslagerung benennen die Geschäftsleiter einen unabhängigen und sachkundigen Revisionsbeauftragten, der eine ordnungsgemäße Durchführung der Aufgaben gewährleistet (AT 9 Tz. 10 MaRisk).
Bei einer wesentlichen Auslagerung ja: Kreditinstitute und Finanzdienstleistungsinstitute zeigen Absicht und Vollzug unverzüglich an (§ 24 Abs. 1 Nr. 19 KWG). Die Auslagerung der Revision hat erhebliche Tragweite (AT 9 Tz. 2 MaRisk) und wird in der Praxis in der Regel als wesentlich eingestuft. Zahlungs- und E-Geld-Institute setzen BaFin und Bundesbank in Kenntnis (§ 26 Abs. 2 ZAG).
Nur mit wirksamer Trennung. Die Revision darf nach AT 4.4.3 Tz. 3 und 4 MaRisk keine Aufgaben wahrnehmen, die mit der Prüfungstätigkeit unvereinbar sind, und Selbstprüfung ist zu vermeiden. Prüfe die organisatorische Trennung der Teams und lass dir den Umgang mit Interessenkonflikten schriftlich bestätigen.
In AT 4.4.3 Tz. 1 bis 12. Die Auslagerungsregeln stehen in AT 9. Die frühere Gliederung BT 2.1 bis BT 2.5 gibt es in der Fassung vom 30.06.2026 nicht mehr, BT 2 regelt dort die Anforderungen an die Risikoberichterstattung.
Alle Quellen sind amtliche oder staatliche Stellen und wurden im Oktober 2026 abgerufen.
Prüfungsplanung, Berichtswesen und Mängelnachverfolgung nach AT 4.4.3 in der Praxis.
Auslagerungsmanagement nach MaRisk, DORA und EBA-Leitlinien auf dem Stand 2026/2027.
Alle Seminare zum Auslagerungsmanagement auf einen Blick.
IKT-Drittparteienrisiko und Revision des IKT-Risikomanagements.
Fehlen in deinem Haus die Kapazitäten, kann ein externer Dienstleister die Revisionsfunktion übernehmen. Das bietet S+P Compliance mit der Auslagerung der Internen Revision an. Übernimmt derselbe Dienstleister bei dir auch Compliance- oder Geldwäschefunktionen, belege vorab die Unabhängigkeit der Revision.
Achim Schulz kennt die Führungsebene aus eigener Verantwortung – langjährig als Vorstand bei Banken und Geschäftsführer sowie als Interim-Manager in Industrieunternehmen. Diese Doppelperspektive aus Finanzsektor und Realwirtschaft prägt seine Beiträge für CEO, COO und CFO. Er kennt das Zusammenspiel von Geschäftsleitung, Aufsichtsrat und Gesellschaftern aus der Praxis und übersetzt strategische wie aufsichtsrechtliche Anforderungen in umsetzbare, haftungssichere Führungsentscheidungen – praxisnah und auf Augenhöhe mit dem Management.
LinkedIn-Profil → · Redaktion & Experten →
