Welche Aufgaben hat die Interne Revision? Praxis und Methoden

Organisation nach Rechtsform und Risiko

§ 91 Abs. 2 Aktiengesetz (AktG) verpflichtet den Vorstand zur Früherkennung bestandsgefährdender Entwicklungen; Abs. 3 verlangt für börsennotierte Gesellschaften zusätzlich ein angemessenes und wirksames internes Kontroll- und Risikomanagementsystem (AktG, § 91).

§ 107 Abs. 3 Satz 2 AktG nennt die Überwachung der Wirksamkeit des internen Revisionssystems als mögliches Aufgabenfeld des Prüfungsausschusses (AktG, § 107). Daraus lässt sich keine unterschiedslose Pflicht jedes Unternehmens zu einer eigenen Revisionsabteilung ableiten.

Für Geschäftsleiter juristischer Personen regelt § 1 Abs. 1 Unternehmensstabilisierungs- und -restrukturierungsgesetz (StaRUG) die fortlaufende Überwachung bestandsgefährdender Entwicklungen sowie Gegenmaßnahmen und Berichterstattung (StaRUG, § 1). Ein Revisionsauftrag sollte diese Anforderungen dort aufgreifen, wo sie auf dein Unternehmen zutreffen.

Konkrete Anforderungen aus KWG und MaRisk

§ 25a Abs. 1 Satz 3 Nr. 3 Kreditwesengesetz (KWG) verlangt interne Kontrollverfahren mit internem Kontrollsystem und Interner Revision (KWG, § 25a). Die Mindestanforderungen an das Risikomanagement (MaRisk), Rundschreiben 06/2026 (BA), konkretisieren den Aufsichtsrahmen; die Revisionsanforderungen stehen in AT 4.4.3 (BaFin, MaRisk 2026).

AT 4.4.3 Tz. 1 bis 3 sichern Informations- und Zugriffsrechte, die unmittelbare Berichterstattung an die Geschäftsleitung und die Unabhängigkeit des Prüfungsurteils; Beratung bleibt bei gewahrter Unabhängigkeit zulässig (BaFin, AT 4.4.3).

Der Anwenderkreis ist begrenzt: AT 2.1 nimmt bedeutende Institute unter direkter Aufsicht der Europäischen Zentralbank (EZB) aus diesem Rundschreiben aus (BaFin, AT 2.1). Prüfe deshalb zuerst den Institutstyp und erst danach die einzelne Anforderung.

Geschäftsleitung

Im KWG-Anwendungsbereich bleibt die Geschäftsleitung für die ordnungsgemäße Geschäftsorganisation verantwortlich; nach AT 4.4.3 Tz. 6 genehmigt sie Prüfungsplanung und wesentliche Anpassungen (KWG, § 25a; MaRisk, AT 4.4.3). Für die Umsetzung empfiehlt sich ein klarer Beschluss zu Mandat, Kapazität und Eskalationswegen.

Interne Revision

Die MaRisk weisen ihr unabhängige Prüfungen, zeitnahe Einzelberichte, mindestens vierteljährliche Berichte und die Überwachung der Mängelbeseitigung zu; Revisionsberichte und Arbeitsunterlagen sind sechs Jahre aufzubewahren (BaFin, AT 4.4.3 Tz. 5 und 7 bis 12). Übersetze diese Aufgaben in ein einheitliches Prüfungsprogramm mit nachvollziehbaren Arbeitspapieren.

Fachbereiche und Kontrollfunktionen

§ 25a Abs. 1 Satz 3 Nr. 3 KWG ordnet Risikocontrolling und Compliance dem internen Kontrollsystem zu und nennt daneben die Interne Revision (KWG, § 25a). Als Organisationsprinzip empfiehlt sich: Fachbereiche führen Prozesse aus, Kontrollfunktionen überwachen ihr Fachgebiet und die Revision prüft beide unabhängig.

Aufsichtsorgan

Nach AT 3.2 Tz. 2 erhält das Aufsichtsorgan die regelmäßigen Revisionsberichte; bei schwerwiegenden Feststellungen gegen Geschäftsleiter bestehen besondere Informations- und Eskalationswege (BaFin, MaRisk, AT 3.2). Außerhalb dieses Anwenderkreises solltest du die Einbindung anhand der Rechtsform, Gremienzuständigkeiten und internen Mandate bestimmen.