Agile Auditing in der Internen Revision: Grenzen nach MaRisk und GIAS

Management Summary

Agil heißt: das Wie ändert sich, das Ob bleibt. AT 4.4.3 Tz. 1 bis 12 MaRisk und die GIAS lassen rollierende Planung, kurze Zyklen und laufende Kommunikation ausdrücklich zu. Prüfungsplan, Prüfungsprogramm, schriftlicher Bericht, Arbeitsunterlagen und Mängelnachverfolgung bleiben verbindlich.

Planung: Ein Rahmenplan deckt das gesamte Prüfungsuniversum ab, ein rollierender Quartalsplan konkretisiert die nächsten Prüfungen. Die Geschäftsleitung genehmigt Plan und wesentliche Anpassungen; alle Aktivitäten sind grundsätzlich innerhalb von drei Jahren zu prüfen, nicht wesentliche innerhalb von fünf Jahren (AT 4.4.3 Tz. 6).

Durchführung und Kommunikation: Ein freigegebenes Prüfungsprogramm (GIAS 13.6) bildet die Grenze der Selbstorganisation. Die laufende Abstimmung nach GIAS 13.1 ergänzt den schriftlichen Bericht nach Tz. 7 und den Quartalsbericht nach Tz. 9, sie ersetzt beide nicht. Die Revision überwacht die Beseitigung der Mängel (Tz. 11 und 12) und dokumentiert nachvollziehbar (Tz. 10).

Stichtage: Die MaRisk gelten seit 30.06.2026, zusätzliche Anforderungen sind bis 01.01.2027 umzusetzen. Das Rundschreiben BAIT wird mit Ablauf des 31.12.2026 aufgehoben. Das Topical Requirement Third-Party gilt seit 15.09.2026, Organizational Behavior folgt am 15.12.2026 und Organizational Resilience am 30.04.2027.

Was Agile Auditing bedeutet – und was nicht

Agile Auditing überträgt Grundsätze aus dem agilen Projektmanagement auf die Prüfungsarbeit. Fünf Techniken prägen das Vorgehen:

• Kurze Zyklen: Prüfungen werden in Sprints gegliedert, typischerweise über zwei bis vier Wochen.
• Priorisierter Backlog: Prüfungsthemen und Prüfungsschritte werden laufend nach Risiko geordnet.
• Transparenz: Der Arbeitsstand ist auf einem Board sichtbar, für das Team und bei Bedarf für die Geprüften.
• Laufende Abstimmung: Feststellungen werden zeitnah mit den Verantwortlichen besprochen.
• Lernschleifen: Nach jedem Sprint hält das Team fest, was es methodisch verbessert.

Agile Revision heißt nicht, auf Prüfungsplan, Prüfungsprogramm, Qualitätssicherung oder schriftlichen Bericht zu verzichten. Diese Elemente sind regulatorisch vorgegeben. Agile Methoden verändern das Wie der Prüfung, nicht das Ob der Mindestanforderungen.

Geltendes Recht

• GIAS, Domain V: Die Schritte einer Prüfung laufen nicht zwingend getrennt und nacheinander ab. Die Reihenfolge kann variieren, Überlappungen und Wiederholungen sind vorgesehen.
• AT 4.4.3 Tz. 1 MaRisk: Planung, Methoden und Qualität der Revision sind regelmäßig und anlassbezogen zu überprüfen und weiterzuentwickeln. Die methodische Weiterentwicklung ist damit nicht nur zulässig, sondern Pflicht.

Künftiges Recht

Mit den Topical Requirements des IIA kommen schrittweise verbindliche Mindestinhalte für einzelne Prüfungsthemen hinzu. Ein agiles Team nimmt sie als feste Karte in den Backlog auf.

Mehr dazu: Interne Revision und Expertenwissen 2026/2027

Durchführung: Sprints, Backlog und Board

In der Durchführung setzen agile Revisionsteams vor allem folgende Techniken ein:

• Sprint-Planung: Zu Beginn jedes Sprints legt das Team fest, welche Prüfungsschritte erledigt werden.
• Kurze tägliche Abstimmung: Das Team bespricht Fortschritt und Hindernisse.
• Board: Prüfungsschritte laufen sichtbar durch Spalten wie offen, in Arbeit, in Review und abgeschlossen.
• Sprint-Review mit den Geprüften: Zwischenergebnisse werden vorgestellt und Sachverhalte abgestimmt.
• Retrospektive: Das Team hält fest, was es methodisch verbessert.

Geltendes Recht

• GIAS 13.6: Für jede Prüfung liegt ein dokumentiertes Prüfungsprogramm mit Kriterien, Aufgaben, Methoden und Zuständigkeiten vor. Der Leiter der Revision genehmigt es vor der Umsetzung und auch bei späteren Änderungen. Jede Backlog-Änderung, die Ziele, Umfang oder Methoden berührt, braucht deshalb eine Freigabe.
• AT 4.4.3 Tz. 2 MaRisk: Die Revision ist bei der Wertung der Prüfungsergebnisse keinen Weisungen unterworfen. Das gilt auch im Sprint-Review: Die Geprüften stimmen Sachverhalte ab, nicht die Wertung.
• Topical Requirements: Sie sind bei Prüfungen im jeweiligen Themenfeld verpflichtend und bei Beratungsleistungen empfohlen. Prüfe zu Beginn jeder Prüfung, ob eines anwendbar ist, und dokumentiere die Begründung, wenn du Teile ausschließt.

Künftiges Recht

Ab 15.12.2026 gilt das Topical Requirement Organizational Behavior, ab 30.04.2027 Organizational Resilience. Beide betreffen Themen, die agile Teams häufig im Backlog haben.

Mehr dazu: Projektmanagement für Interne Revisoren

Maßnahmenverfolgung parallel zur Prüfung

Sind Feststellungen früh abgestimmt, kann das Management bereits während der Prüfung mit der Behebung beginnen. Das ist erwünscht, ersetzt aber nicht die Nachverfolgung durch die Revision.

Geltendes Recht

• Gegebenenfalls ist eine Nachschauprüfung anzusetzen (AT 4.4.3 Tz. 11).
• AT 4.4.3 Tz. 12: Werden wesentliche Mängel nicht in angemessener Zeit beseitigt, informiert der Leiter der Revision die fachlich zuständigen Geschäftsleiter schriftlich. Bleiben die Mängel bestehen, ist die gesamte Geschäftsleitung spätestens im nächsten vierteljährlichen Bericht zu informieren.
• GIAS 15.2: Die Revision bestätigt die Umsetzung nach einer festgelegten Methodik, mit Nachfragen, risikoorientierten Folgeprüfungen und einem Tracking-System.
• Art. 6 Abs. 7 DORA: Finanzunternehmen legen ein förmliches Follow-up-Verfahren fest, einschließlich Regeln für die rechtzeitige Überprüfung und Auswertung kritischer Erkenntnisse der IKT-Revision.

Unabhängigkeit, Beratung und Projektbegleitung

Agile Revisionsteams arbeiten eng mit den Fachbereichen zusammen und begleiten häufig agile Projekte. Gerade dort kann die Grenze zwischen Prüfen und Mitgestalten verschwimmen.

Geltendes Recht

• AT 4.4.3 Tz. 1 MaRisk: Das vollständige und uneingeschränkte Informations- und Zugriffsrecht gilt auch bei der Begleitung wesentlicher Projekte.
• AT 4.4.3 Tz. 3: Beratende Tätigkeiten sind zulässig, sofern die Unabhängigkeit der Internen Revision gewahrt bleibt. Die Mitarbeiter der Revision dürfen grundsätzlich nicht mit revisionsfremden Aufgaben betraut werden.
• AT 4.4.3 Tz. 4: Beim Wechsel von Mitarbeitern anderer Organisationseinheiten zur Revision sind in der Regel Übergangsfristen von mindestens einem Jahr vorzusehen, in denen sie keine Tätigkeiten prüfen dürfen, die gegen das Verbot der Selbstprüfung verstoßen.
• GIAS 7.1: Der Leiter der Revision bestätigt dem Aufsichtsgremium mindestens jährlich die organisatorische Unabhängigkeit.
• Der DIIR-Revisionsstandard Nr. 4 behandelt die Prüfung von Projekten.

Mehr dazu: Teams als Interner Revisor führen

Qualitätssicherung agiler Revision

Agile Methoden verschieben die Qualitätssicherung nach vorn: Statt einer langen Berichtsabnahme am Ende wird laufend geprüft.

Geltendes Recht

• GIAS 12.1: Interne Qualitätsbeurteilungen umfassen die laufende Überwachung und regelmäßige Selbstbeurteilungen.
• GIAS 8.4: Eine externe Qualitätsbeurteilung findet mindestens alle fünf Jahre statt.
• AT 4.4.3 Tz. 1 MaRisk: Planung, Methoden und Qualität der Revision sind regelmäßig und anlassbezogen zu überprüfen und weiterzuentwickeln.

Pflichten nach Funktion

Wer was verantwortet, entscheidet bei agilen Teams über die Prüfungsfestigkeit. Die Übersicht ordnet die Pflichten den Funktionen zu.

Quick-Check: Ist deine agile Revision prüfungssicher?

Gehe die zehn Prüffelder durch und notiere zu jeder Frage, ob du sie mit Ja beantworten und belegen kannst. Die Spalte rechts nennt eine mögliche Lücke, wenn die Antwort Nein lautet.

Fazit

Agile Auditing verändert, wie eine Revision plant, prüft und kommuniziert. Es verändert nicht, was sie nachweisen muss. Wer den Rahmenplan genehmigen lässt, Programmänderungen freigibt, schriftlich berichtet, Maßnahmen nachverfolgt und sauber dokumentiert, nutzt die Spielräume von MaRisk und GIAS, ohne die Mindestanforderungen zu verlassen.

• Das Wie ist frei, das Ob nicht: Plan, Programm, Bericht, Arbeitspapiere und Nachverfolgung bleiben Pflicht.
• Rollierend planen, Zyklen halten: Drei und fünf Jahre gelten auch für Prüffelder, die du in Sprints zerlegst.
• Früh abstimmen, schriftlich berichten: Die laufende Kommunikation ergänzt den Bericht nach Tz. 7 und den Quartalsbericht nach Tz. 9.
• Stichtage im Blick behalten: 31.12.2026 für die BAIT, 01.01.2027 für zusätzliche MaRisk-Anforderungen, 15.12.2026 und 30.04.2027 für weitere Topical Requirements.

Quellenverzeichnis

Verlinkt sind ausschließlich amtliche Quellen, abgerufen im Oktober 2026. Die Einträge sind nach Rang geordnet: zuerst Aufsichtsbehörden, dann EU-Rechtsakte.

• BaFin: Rundschreiben 06/2026 (BA), Mindestanforderungen an das Risikomanagement (MaRisk), Stand 30.06.2026 (PDF, Veröffentlichung auf bundesbank.de) – Wortlaut von AT 4.4.3 Tz. 1 bis 12 und AT 3.2, AT 4.3.2, AT 9.
• BaFin: Übersendungsschreiben zur Neufassung der MaRisk vom 30.06.2026 (PDF, Veröffentlichung auf bundesbank.de) – Inkrafttreten am Tag der Veröffentlichung, Übergangsfrist bis 01.01.2027.
• Deutsche Bundesbank: BAIT / DORA, aufsichtliche Anforderungen an die IT und digitale operationale Resilienz – Aufhebung der BAIT mit Ablauf des 31.12.2026, Abgrenzung zum Anwenderkreis von DORA.
• EUR-Lex: Verordnung (EU) 2022/2554 (DORA) – Art. 5 Abs. 2 Buchst. f, Art. 6 Abs. 6 und 7; Anwendung seit 17.01.2025.
• EUR-Lex: Verordnung (EU) 2024/1689 (KI-Verordnung) – Grundlage der Pflicht zur KI-Kompetenz, Art. 4.
• EUR-Lex: Verordnung (EU) 2026/1744 (Digital Omnibus zur KI) – Neufassung von Art. 4 KI-Verordnung, in Kraft seit 27.07.2026.

Berufsständische Regelwerke sind keine staatlichen Quellen und deshalb hier nicht verlinkt: die Global Internal Audit Standards und die Topical Requirements des IIA sowie die Revisionsstandards des DIIR. Prüfe vor der Anwendung den jeweils aktuellen Stand beim Herausgeber. Die GIAS-Standards sind in diesem Beitrag sinngemäß wiedergegeben.