Startseite Seminare News Rechte der Internen Revision: Was sie darf und wo die Grenzen liegen

Fachbeitrag Interne Revision

Rechte der Internen Revision: Was sie darf und wo die Grenzen liegen

Rechtsstand: Oktober 2026 (MaRisk 10.0, KWG, AktG, GIAS, DORA) | Lesezeit: ca. 16 Minuten

Management Summary

Die Rechte der Internen Revision sind für Institute aufsichtsrechtlich festgelegt: AT 4.4.3 Tz. 1 MaRisk 10.0 verlangt ein vollständiges und uneingeschränktes Informations- und Zugriffsrecht, das jederzeit zu gewährleisten ist. In anderen Unternehmen folgen die Rechte mittelbar aus den Überwachungspflichten von Vorstand und Aufsichtsrat und aus der Revisionsordnung.

Das Recht gilt zunächst im eigenen Haus. Bei Dienstleistern wirkt es nur, wenn Prüfungsrechte vertraglich vereinbart sind (AT 9 Tz. 7 MaRisk 10.0; Art. 30 Abs. 3 e) DORA), bei Tochterunternehmen nur, wenn es gesellschaftsrechtlich abgesichert ist (AT 2.1 Tz. 3 MaRisk 10.0). Die Revision berichtet an die Geschäftsleitung; die Vorsitzenden von Prüfungs- und Risikoausschuss können unmittelbar beim Leiter der Revision Auskünfte einholen (§ 25d Abs. 8 und 9 KWG; § 107 Abs. 4 AktG).

Grenzen setzen das Datenschutz- und das Mitbestimmungsrecht. Ein eigenes Beschäftigtendatenschutzgesetz gibt es nicht; maßgeblich sind die DSGVO und § 26 BDSG. Die Revision kann außerdem nichts anordnen. Ihr Hebel ist die Nachverfolgung mit Eskalation bis zur gesamten Geschäftsleitung (AT 4.4.3 Tz. 11 und 12 MaRisk 10.0).

Der Rechtsstand hat sich bewegt: MaRisk 10.0 (Rundschreiben 06/2026 (BA)) gilt seit Juni 2026, für zusätzliche Anforderungen läuft eine Übergangsfrist bis 01.01.2027, die BAIT gelten bis zum Ablauf des 31.12.2026. Prüfe deshalb bis Jahresende deine Revisionsordnung, die Auditklauseln in Verträgen und die Regelungen zu Datenanalysen.

Dieser Beitrag ersetzt keine Rechtsberatung, insbesondere nicht im Arbeits- und Datenschutzrecht.

Rechte der Internen Revision: Woher sie kommen

Die Quellen unterscheiden sich je nach Unternehmen. Für Institute sind sie aufsichtsrechtlich vorgegeben, bei anderen Gesellschaften ergeben sie sich aus Überwachungspflichten und aus deiner Revisionsordnung.

UnternehmenGrundlage
Kredit- und Finanzdienstleistungsinstitute§ 25a Abs. 1 KWG mit AT 4.4.3 MaRisk 10.0; § 25d Abs. 8 und 9 KWG
Aktiengesellschaften§ 91 Abs. 2 und 3 AktG (Überwachungssystem, IKS und RMS bei börsennotierten Gesellschaften); § 107 Abs. 3 und 4 AktG (Prüfungsausschuss)
Alle Unternehmen mit RevisionRevisionsordnung (Charter), beschlossen von der Geschäftsleitung; Berufsstandards (GIAS)

Die Revisionsordnung als Klammer

Geltendes Recht

GIAS Standard 6.2 verlangt eine Revisionsordnung (Internal Audit Charter). Sie legt mindestens Zweck, Bekenntnis zu den Standards, Mandat mit Umfang und Art der Leistungen sowie organisatorische Stellung und Berichtswege fest. Die Umsetzungshinweise empfehlen zusätzlich, den uneingeschränkten Zugang zu Daten, Aufzeichnungen, Informationen, Personal und physischen Vermögenswerten sowie den Umgang mit Meinungsverschiedenheiten zu regeln. Ist das Mandat gesetzlich vorgegeben, muss die Revisionsordnung nach Standard 6.1 die gesetzlichen Anforderungen aufnehmen; das Aufsichtsgremium genehmigt sie.

Praxistipp: Prüfe, ob deine Revisionsordnung die Rechte vollständig und mit Fundstellen beschreibt. Lass sie von der Geschäftsleitung beschließen, vom Aufsichtsorgan genehmigen und mache sie allen Mitarbeitern bekannt. Ohne bekannt gemachte Revisionsordnung fehlt in der Praxis oft die arbeitsrechtliche Grundlage für Auskunftspflichten.

Informations- und Zugriffsrecht: Daten, Systeme, Räume, Projekte

Geltendes Recht

AT 4.4.3 Tz. 1 MaRisk 10.0:

„Zur Wahrnehmung ihrer Aufgaben ist der Internen Revision ein vollständiges und uneingeschränktes Informations- und Zugriffsrecht einzuräumen. Dies gilt auch bei der Begleitung wesentlicher Projekte. Dieses Recht ist jederzeit zu gewährleisten. Die Geschäftsleitung muss der Revision wesentliche Entscheidungen mitteilen.“

Hinzu kommt eine Bringschuld: Nach AT 4.3.2 Tz. 4 sind unter Risikogesichtspunkten wesentliche Informationen unverzüglich an die Geschäftsleitung, die Verantwortlichen und gegebenenfalls die Interne Revision weiterzuleiten. Die Revision muss nach den Erläuterungen informiert werden, wenn Fachbereiche aus Risikosicht relevante Mängel erkennen, bedeutende Schadensfälle auftreten oder ein konkreter Verdacht auf Unregelmäßigkeiten besteht.

Gegenüber Mitarbeitern wird das Informationsrecht durch Weisung der Geschäftsleitung, Revisionsordnung und arbeitsvertragliche Pflichten umgesetzt. Ein eigenes gesetzliches Befragungsrecht der Revision gegenüber Mitarbeitern gibt es nicht.

Praxistipp: Lege in einer Organisationsanweisung fest, welche Ereignisse die Fachbereiche ohne Aufforderung an die Revision melden, etwa Schadensfälle ab einem Schwellenwert, Verdachtsfälle und Feststellungen externer Prüfer.

Zugang zu Systemen, Räumen und Projekten

AT 4.4.3 Tz. 1 MaRisk 10.0 spricht ausdrücklich von einem Informations- und Zugriffsrecht. Es umfasst Räume, Unterlagen und IT-Systeme. In der Praxis bedeutet das Lesezugriff auf Anwendungen, Protokolle und Datenbestände, soweit für die Prüfung erforderlich. Schreibrechte sind mit der Unabhängigkeit regelmäßig nicht vereinbar.

Das Informationsrecht gilt auch bei der Begleitung wesentlicher Projekte. Nach AT 4.4.3 Tz. 3 darf die Revision dort beratend tätig sein, „sofern die Unabhängigkeit der Internen Revision gewahrt bleibt“.

Praxistipp: Richte für die Revision eine eigene Rolle „Revision – nur lesen“ in den Kernsystemen ein und dokumentiere sie im Berechtigungskonzept. So ist der Zugang jederzeit gewährleistet, ohne dass bei jeder Prüfung neue Anträge nötig sind.

Prüfungsrechte bei Auslagerungen, IKT-Dienstleistern und Tochterunternehmen

Geltendes Recht

  • AT 4.4.3 Tz. 5 MaRisk 10.0: Die Revision prüft „alle Aktivitäten und Prozesse des Instituts, einschließlich der ausgelagerten Tätigkeiten“.
  • AT 9 Tz. 7 MaRisk 10.0: Der Vertrag über eine wesentliche Auslagerung muss die Informations- und Prüfungsrechte der Internen Revision und externer Prüfer enthalten.
  • § 25b Abs. 3 KWG: Die Auslagerungsvereinbarung muss die erforderlichen Rechte des Instituts einschließlich Weisungs- und Kündigungsrechten enthalten.
  • Art. 30 Abs. 3 e) DORA: Bei IKT-Dienstleistungen für kritische oder wichtige Funktionen sind uneingeschränkte Zugangs-, Inspektions- und Auditrechte des Finanzunternehmens oder eines beauftragten Dritten vertraglich zu sichern.

Tochterunternehmen

Die Revision des Instituts hat bei Tochterunternehmen kein automatisches Zugangsrecht. Nach AT 2.1 Tz. 3 MaRisk 10.0 muss das übergeordnete Unternehmen einer Gruppe die Einhaltung der Anforderungen auf Gruppenebene sicherstellen; dazu gehört eine Konzernrevision, die ergänzend zur Revision der gruppenangehörigen Unternehmen tätig wird. Die Rechte bei Tochterunternehmen musst du gesellschaftsrechtlich absichern, etwa durch Beschluss oder Vertrag.

Künftiges Recht

Ab dem 01.01.2027 gelten die DORA-Vertragsanforderungen auch für KWG-Institute außerhalb von Art. 2 DORA (§ 1a Abs. 2a KWG). Die EBA/GL/2026/09 sind veröffentlicht, aber noch nicht anwendbar; sie regeln die Prüfungsrechte bei Drittparteien nach ihrem Anwendungsbeginn neu.

Praxistipp: Prüfe die Auditklauseln aller wesentlichen Auslagerungs- und kritischen IKT-Verträge bis Ende 2026. Klauseln, die Prüfungen nur mit langer Vorankündigung zulassen, auf eigene Kosten des Dienstleisters begrenzen oder nur über Zertifikate ermöglichen, solltest du nachverhandeln.

Unabhängigkeit, Berichtswege und Eskalation

Weisungsfreiheit bei der Wertung

Geltendes Recht

AT 4.4.3 Tz. 2 MaRisk 10.0:

„Die Interne Revision ist direkt der Geschäftsleitung unterstellt und berichtet an diese. Die Interne Revision muss ihre Aufgaben selbständig sowie unabhängig wahrnehmen und unterliegt bei der Wertung der Prüfungsergebnisse keinen Weisungen. Das Direktionsrecht der Geschäftsleitung zur Anordnung zusätzlicher Prüfungen steht der Selbständigkeit und Unabhängigkeit der Internen Revision nicht entgegen.“

GIAS Standard 7.1 verlangt, dass der Leiter der Revision dem Aufsichtsgremium mindestens jährlich die organisatorische Unabhängigkeit bestätigt.

Praxistipp: Die Geschäftsleitung darf Prüfungen anordnen, aber nicht vorgeben, wie Feststellungen zu bewerten sind. Halte Versuche, Feststellungen abzuschwächen, in den Arbeitspapieren fest.

Berichtsrechte gegenüber Geschäftsleitung und Aufsichtsorgan

Geltendes Recht

  • AT 4.4.3 Tz. 9: mindestens vierteljährlicher Bericht an die Geschäftsleitung; besonders schwerwiegende Mängel sind unverzüglich zu berichten.
  • AT 4.4.3 Tz. 8: Schwerwiegende Feststellungen gegen Geschäftsleiter sind der Geschäftsleitung unverzüglich zu berichten; diese informiert unverzüglich BaFin und Deutsche Bundesbank.
  • AT 3.2 Tz. 2: Das Aufsichtsorgan erhält die regelmäßigen Revisionsberichte zur Kenntnis. Kommt die Geschäftsleitung ihrer Berichtspflicht bei schwerwiegenden Feststellungen gegen Geschäftsleiter nicht nach, muss die Revision den Vorsitzenden des Aufsichtsorgans unterrichten.

Direkter Draht des Aufsichtsorgans zur Revision

Geltendes Recht

§ 25d Abs. 8 Satz 7 und 8 KWG:

„Der Vorsitzende des Risikoausschusses oder, falls ein Risikoausschuss nicht eingerichtet wurde, der Vorsitzende des Verwaltungs- oder Aufsichtsorgans, kann unmittelbar beim Leiter der Internen Revision und beim Leiter des Risikocontrollings Auskünfte einholen. Die Geschäftsleitung muss hierüber grundsätzlich unterrichtet werden.“

§ 25d Abs. 9 Satz 3 und 4 KWG gilt entsprechend für den Vorsitzenden des Prüfungsausschusses. Für Aktiengesellschaften bestimmt § 107 Abs. 4 Satz 4 AktG:

„Jedes Mitglied des Prüfungsausschusses kann über den Ausschussvorsitzenden unmittelbar bei den Leitern derjenigen Zentralbereiche der Gesellschaft, die in der Gesellschaft für die Aufgaben zuständig sind, die den Prüfungsausschuss nach Absatz 3 Satz 2 betreffen, Auskünfte einholen.“

Dazu gehört die Wirksamkeit des internen Revisionssystems (§ 107 Abs. 3 Satz 2 AktG).

Das Auskunftsrecht liegt beim Aufsichtsorgan. Die Revision hat daraus kein eigenes Recht, am Vorstand vorbei an den Aufsichtsrat zu berichten, außer in den Fällen nach AT 3.2 Tz. 2.

Praxistipp: Vereinbare mit dem Vorsitzenden des Prüfungs- oder Risikoausschusses einen festen Termin, etwa einmal im Quartal, und regle in der Revisionsordnung, wie die Geschäftsleitung darüber informiert wird.

Empfehlung, Nachverfolgung und Eskalation

Die Revision hat kein Recht, Maßnahmen anzuordnen oder ein „Veto“ einzulegen. Ihr Hebel ist die Nachverfolgung mit Eskalation.

Geltendes Recht

  • AT 4.4.3 Tz. 11: Die Revision muss die fristgerechte Beseitigung der Mängel überwachen; gegebenenfalls ist eine Nachschauprüfung anzusetzen.
  • AT 4.4.3 Tz. 12: Werden wesentliche Mängel nicht in angemessener Zeit beseitigt, informiert der Leiter der Revision die zuständigen Geschäftsleiter schriftlich, bei weiterem Bestehen die gesamte Geschäftsleitung spätestens im nächsten Quartalsbericht.
  • GIAS Standard 11.5: Hält der Leiter der Revision das von der Geschäftsleitung akzeptierte Risiko für zu hoch, bespricht er dies mit der Geschäftsleitung und, wenn keine Lösung gefunden wird, mit dem Aufsichtsgremium.

Praxistipp: Sprich von „Eskalation“, nicht von „Einspruch“. Das entspricht der Rechtslage und vermeidet den Eindruck, die Revision greife in operative Entscheidungen ein.

Grenzen: Datenschutz, Mitbestimmung und operative Verantwortung

Datenschutz und Mitbestimmung

Das uneingeschränkte Informationsrecht nach MaRisk gilt im Verhältnis zur Geschäftsleitung. Es hebt die Rechte der betroffenen Mitarbeiter nicht auf.

Geltendes Recht

Ein eigenes Beschäftigtendatenschutzgesetz gibt es nicht. Maßgeblich sind die DSGVO und § 26 BDSG auf Grundlage der Öffnungsklausel in Art. 88 DSGVO.

Nach § 26 Abs. 1 Satz 2 BDSG dürfen Beschäftigtendaten zur Aufdeckung von Straftaten nur verarbeitet werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, die Verarbeitung erforderlich ist und das schutzwürdige Interesse des Beschäftigten nicht überwiegt.

Für Routineprüfungen kommt als Rechtsgrundlage insbesondere Art. 6 Abs. 1 Buchst. c DSGVO (rechtliche Verpflichtung, etwa aus § 25a KWG) oder Buchst. f (berechtigtes Interesse) in Betracht. Nach der Rechtsprechung des EuGH (Urteil vom 30.03.2023, C-34/21) wird die Verarbeitung im Beschäftigungsverhältnis zunehmend direkt auf Art. 6 DSGVO gestützt.

Die Beteiligungsrechte des Betriebsrats bleiben unberührt (§ 26 Abs. 6 BDSG), insbesondere bei technischen Einrichtungen zur Überwachung von Verhalten oder Leistung (§ 87 Abs. 1 Nr. 6 BetrVG).

Künftiges Recht

Die Gesetzgebung zum Beschäftigtendatenschutz ist offen. Die Rechtslage zu § 26 Abs. 1 Satz 1 BDSG nach EuGH C-34/21 ist nicht abschließend geklärt.

Praxistipp: Unterscheide in der Revisionsordnung zwischen Regelprüfungen und anlassbezogenen Sonderuntersuchungen. Für Datenanalysen und E-Mail-Auswertungen brauchst du eine Betriebsvereinbarung und ein mit dem Datenschutzbeauftragten abgestimmtes Verfahren. Dokumentiere bei Sonderuntersuchungen die tatsächlichen Anhaltspunkte vor dem Datenzugriff.

Keine operative Verantwortung

Geltendes Recht

  • AT 4.4.3 Tz. 3: Die Revision darf grundsätzlich keine revisionsfremden Aufgaben übernehmen; Beratung ist nur bei gewahrter Unabhängigkeit zulässig.
  • AT 4.4.3 Tz. 4: Mitarbeiter, die aus anderen Bereichen in die Revision wechseln, dürfen in der Regel mindestens ein Jahr keine Tätigkeiten prüfen, die gegen das Verbot der Selbstprüfung verstoßen.

Die Verantwortung für die Mängelbeseitigung bleibt bei den Fachbereichen und der Geschäftsleitung.

Praxistipp: Wenn die Revision Projekte begleitet, sollte sie Empfehlungen geben, aber keine Freigaben erteilen. Freigaben würden sie zur Mitverantwortlichen machen und spätere Prüfungen ausschließen.

Fristen und Zeitpunkte

Die Tabelle trennt geltendes Recht, Übergang und künftiges Recht. Stand ist Oktober 2026.

ZeitpunktWas giltStatus
Seit 09.01.2025GIAS (Principle 6, Standards 6.1 bis 6.3)Geltendes Recht
Seit 01.04.2026§ 25d Abs. 8 und 9 KWG in der Fassung des BRUBEGGeltendes Recht
Seit Juni 2026MaRisk 10.0 (Rundschreiben 06/2026 (BA)): AT 4.4.3 Tz. 1, 2, 8, 12, AT 4.3.2 Tz. 4, AT 3.2 Tz. 2, AT 9 Tz. 7; die frühere Gliederung BT 2 ist entfallenGeltendes Recht
Bis 31.12.2026BAIT gelten bis zum Ablauf dieses TagesÜbergang
Bis 01.01.2027Übergangsfrist für zusätzliche Anforderungen der MaRisk 10.0Übergang
Ab 01.01.2027DORA auch für KWG-Institute außerhalb von Art. 2 DORA (§ 1a Abs. 2a KWG); BAIT-Bezüge in Revisionsordnungen durch DORA ersetzenKünftiges Recht
Anwendungsbeginn offenEBA/GL/2026/09 veröffentlicht, noch nicht anwendbar; Prüfungsrechte bei Drittparteien werden neu gefasstKünftiges Recht
OffenGesetzgebung zum BeschäftigtendatenschutzKünftiges Recht

Pflichten und Rechte nach Funktion

FunktionPflicht oder RechtFundstelle
GeschäftsleitungInformations- und Zugriffsrecht jederzeit gewährleisten, wesentliche Entscheidungen mitteilen, Revisionsordnung beschließen; schwerwiegende Feststellungen gegen Geschäftsleiter unverzüglich an BaFin und Deutsche Bundesbank meldenAT 4.4.3 Tz. 1 und 8 MaRisk 10.0; GIAS 6.1
Aufsichtsorgan und Vorsitz von Prüfungs- oder RisikoausschussRevisionsberichte zur Kenntnis nehmen, Auskünfte beim Leiter der Revision einholen, Revisionsordnung genehmigen, Unabhängigkeitsbestätigung entgegennehmenAT 3.2 Tz. 2 MaRisk 10.0; § 25d Abs. 8 und 9 KWG; § 107 Abs. 3 und 4 AktG; GIAS 6.1, 7.1
Leiter der Internen RevisionMindestens vierteljährlich berichten, Mängelbeseitigung überwachen, eskalieren, Unabhängigkeit jährlich bestätigen, Vorsitzenden des Aufsichtsorgans unterrichten, wenn schwerwiegende Feststellungen gegen Geschäftsleiter nicht weitergegeben werdenAT 4.4.3 Tz. 9, 11, 12 und AT 3.2 Tz. 2 MaRisk 10.0; GIAS 7.1
FachbereicheWesentliche Informationen bei Mängeln, Schadensfällen und Verdacht unverzüglich weiterleitenAT 4.3.2 Tz. 4 MaRisk 10.0
Betriebsrat und DatenschutzbeauftragteBeteiligung bei technischen Überwachungseinrichtungen; Abstimmung des Verfahrens zur Verarbeitung von Beschäftigtendaten§ 26 Abs. 6 BDSG; § 87 Abs. 1 Nr. 6 BetrVG; Art. 6 DSGVO

Typische Schwachstellen mit Normbezug

Revisionsordnung veraltet

Sie nennt Rechte ohne Fundstellen, ist nicht beschlossen oder nicht bekannt gemacht. Bezug: GIAS 6.1 und 6.2; AT 4.4.3 Tz. 1 MaRisk 10.0.

Fachbereiche melden nicht

Es fehlt eine geregelte Bringschuld, die Revision erfährt von Schadensfällen zu spät. Bezug: AT 4.3.2 Tz. 4 MaRisk 10.0.

Zugang nur auf Antrag

Lesezugriff wird je Prüfung neu beantragt, obwohl das Recht jederzeit zu gewährleisten ist. Bezug: AT 4.4.3 Tz. 1 MaRisk 10.0.

Schwache Auditklauseln

Verträge lassen Prüfungen nur mit langer Vorankündigung oder über Zertifikate zu. Bezug: AT 9 Tz. 7 MaRisk 10.0; Art. 30 Abs. 3 e) DORA.

Tochterunternehmen ungeregelt

Die Revision geht von einem Zugangsrecht aus, das gesellschaftsrechtlich nicht abgesichert ist. Bezug: AT 2.1 Tz. 3 MaRisk 10.0.

Datenanalysen ohne Verfahren

E-Mail-Auswertungen laufen ohne Betriebsvereinbarung und Abstimmung mit dem Datenschutzbeauftragten. Bezug: § 26 BDSG; § 87 Abs. 1 Nr. 6 BetrVG.

Quick-Check: Sind die Rechte deiner Revision abgesichert?

Beantworte die zehn Prüffragen mit Ja oder Nein. Jede Antwort „Nein“ ist ein Handlungsfeld.

PrüffeldPrüffrageNormbezugTypischer Befund
RevisionsordnungGibt es eine beschlossene und bekannt gemachte Revisionsordnung mit allen Rechten?GIAS 6.1, 6.2; AT 4.4.3 Tz. 1 MaRisk 10.0Rechte ohne Fundstellen, keine Genehmigung durch das Aufsichtsorgan
Informations- und ZugriffsrechtIst das Recht jederzeit gewährleistet, auch für IT-Systeme und Projekte? Teilt die Geschäftsleitung wesentliche Entscheidungen mit?AT 4.4.3 Tz. 1 MaRisk 10.0Zugriff nur auf Antrag, Projekte ohne Einbindung
Bringschuld der FachbereicheGibt es eine geregelte Meldepflicht der Fachbereiche an die Revision?AT 4.3.2 Tz. 4 MaRisk 10.0Keine Schwellenwerte für Schadensfälle
DienstleisterEnthalten alle wesentlichen Auslagerungs- und kritischen IKT-Verträge Prüfungsrechte der Revision?AT 9 Tz. 7 MaRisk 10.0; § 25b Abs. 3 KWG; Art. 30 Abs. 3 e) DORAAltverträge ohne Auditrecht
TochterunternehmenSind die Rechte bei Tochterunternehmen gesellschaftsrechtlich abgesichert?AT 2.1 Tz. 3 MaRisk 10.0Kein Beschluss und keine Konzernrevision
UnabhängigkeitIst die Weisungsfreiheit bei der Wertung gewährleistet und wird die Unabhängigkeit jährlich bestätigt?AT 4.4.3 Tz. 2 MaRisk 10.0; GIAS 7.1Keine dokumentierte jährliche Bestätigung
BerichtswegeSind Berichtswege an Geschäftsleitung, Aufsichtsorgan und Ausschussvorsitzende geregelt?AT 4.4.3 Tz. 8, 9 MaRisk 10.0; AT 3.2 Tz. 2; § 25d Abs. 8, 9 KWG; § 107 Abs. 4 AktGKein fester Termin mit dem Ausschussvorsitz
EskalationGibt es ein Eskalationsverfahren bei nicht beseitigten Mängeln?AT 4.4.3 Tz. 11, 12 MaRisk 10.0; GIAS 11.5Stufen nicht schriftlich festgelegt
Datenschutz und MitbestimmungSind Datenschutz und Mitbestimmung bei Datenanalysen und Sonderuntersuchungen geregelt?Art. 6 DSGVO; § 26 BDSG; § 87 Abs. 1 Nr. 6 BetrVGKeine Betriebsvereinbarung
Operative AufgabenÜbernimmt die Revision keine operativen Aufgaben?AT 4.4.3 Tz. 3, 4 MaRisk 10.0Freigaben in Projekten durch die Revision

No-Regret-Maßnahmen für die nächsten Monate

Diese Schritte lohnen sich unabhängig davon, wie die offenen Punkte der Gesetzgebung ausgehen.

  1. Revisionsordnung aktualisieren und Fundstellen auf MaRisk 10.0 umstellen.
  2. Beschluss der Geschäftsleitung und Kenntnisnahme beziehungsweise Genehmigung durch das Aufsichtsorgan einholen.
  3. Revisionsordnung im Intranet veröffentlichen und neue Mitarbeiter darauf hinweisen.
  4. Meldepflichten der Fachbereiche an die Revision festlegen.
  5. Leserolle der Revision in allen Kernsystemen einrichten.
  6. Auditklauseln in Auslagerungs- und IKT-Verträgen prüfen.
  7. Rechte bei Tochterunternehmen absichern.
  8. Regeltermin mit dem Vorsitzenden des Prüfungs- oder Risikoausschusses vereinbaren.
  9. Eskalationsverfahren schriftlich festlegen.
  10. Betriebsvereinbarung und Datenschutzverfahren für Datenanalysen abschließen.

Fazit: Rechte der Internen Revision absichern

Die Rechte der Internen Revision sind nur so wirksam wie ihre Absicherung. Das Informations- und Zugriffsrecht gilt im eigenen Haus uneingeschränkt, bei Dienstleistern und Tochterunternehmen musst du es vertraglich oder gesellschaftsrechtlich herstellen. Das Datenschutz- und das Mitbestimmungsrecht der Beschäftigten bleiben daneben bestehen.

  • Das Informations- und Zugriffsrecht ist jederzeit zu gewährleisten (AT 4.4.3 Tz. 1 MaRisk 10.0).
  • Bei Dienstleistern und Tochterunternehmen gilt es nur mit Absicherung in Vertrag oder Gesellschaftsrecht.
  • Berichtsweg ist die Geschäftsleitung; Ausschussvorsitzende haben ein eigenes Auskunftsrecht beim Leiter der Revision.
  • Die Revision eskaliert, sie ordnet nicht an.
  • Datenanalysen brauchen Rechtsgrundlage, Verfahren und Beteiligung des Betriebsrats.

Handlungsbedarf besteht bis zum Jahreswechsel: Revisionsordnung, Auditklauseln und Betriebsvereinbarungen sollten vor dem 01.01.2027 auf MaRisk 10.0 und DORA ausgerichtet sein.

Häufige Fragen zu den Rechten der Internen Revision

Hat die Interne Revision ein uneingeschränktes Informationsrecht?+–

Bei Instituten ja: AT 4.4.3 Tz. 1 MaRisk 10.0 verlangt ein vollständiges und uneingeschränktes Informations- und Zugriffsrecht, das jederzeit zu gewährleisten ist. Datenschutz- und Mitbestimmungsrecht bleiben dabei zu beachten.

Müssen Mitarbeiter der Revision Auskunft geben?+–

Ja, soweit die Geschäftsleitung dies durch Revisionsordnung oder Weisung angeordnet hat und die Frage den Arbeitsbereich betrifft. Ein eigenes gesetzliches Befragungsrecht der Revision besteht nicht.

Darf die Revision direkt an den Aufsichtsrat berichten?+–

Der Vorsitzende des Risiko- oder Prüfungsausschusses kann unmittelbar beim Leiter der Revision Auskünfte einholen (§ 25d Abs. 8 und 9 KWG; § 107 Abs. 4 AktG). Die Revision selbst muss den Vorsitzenden des Aufsichtsorgans unterrichten, wenn die Geschäftsleitung schwerwiegende Feststellungen gegen Geschäftsleiter nicht weitergibt (AT 3.2 Tz. 2 MaRisk 10.0).

Darf die Revision bei Dienstleistern prüfen?+–

Nur wenn das vertraglich vereinbart ist. Für wesentliche Auslagerungen und kritische IKT-Dienstleistungen ist das vorgeschrieben (AT 9 Tz. 7 MaRisk 10.0; Art. 30 Abs. 3 e) DORA).

Darf die Revision E-Mails von Mitarbeitern auswerten?+–

Nur mit Rechtsgrundlage nach DSGVO und BDSG, verhältnismäßig und unter Beachtung der Mitbestimmung. Zur Aufdeckung von Straftaten sind dokumentierte tatsächliche Anhaltspunkte erforderlich (§ 26 Abs. 1 Satz 2 BDSG).

Kann die Revision Maßnahmen anordnen?+–

Nein. Sie empfiehlt, überwacht die Umsetzung und eskaliert (AT 4.4.3 Tz. 11 und 12 MaRisk 10.0).

Quellenverzeichnis

EU-Rechtsakte

Gesetze des Bundes

  • § 25d KWG: Abs. 8 und 9: Auskunftsrecht der Ausschussvorsitzenden beim Leiter der Internen Revision.
  • § 25b KWG: Abs. 3: Inhalt der Auslagerungsvereinbarung, einschließlich Weisungs- und Kündigungsrechten.
  • § 107 AktG: Abs. 3 und 4: Prüfungsausschuss, Wirksamkeit des internen Revisionssystems, Auskunft bei den Zentralbereichen.
  • § 91 AktG: Abs. 2 und 3: Überwachungssystem sowie IKS und RMS bei börsennotierten Gesellschaften.
  • § 26 BDSG: Datenverarbeitung im Beschäftigungsverhältnis, Aufdeckung von Straftaten, Beteiligungsrechte der Interessenvertretungen.
  • § 87 BetrVG: Abs. 1 Nr. 6: Mitbestimmung bei technischen Einrichtungen zur Überwachung von Verhalten oder Leistung.

Aufsicht und Berufsstandard

  • BaFin, Rundschreiben 06/2026 (BA), Juni 2026 (MaRisk 10.0): Grundlage für AT 2.1, AT 3.2, AT 4.3.2, AT 4.4.3 und AT 9.
  • Global Internal Audit Standards (The IIA), wirksam seit 09.01.2025: Berufsstandard, im Text sinngemäß wiedergegeben und mangels amtlicher Stelle nicht verlinkt.
  • EuGH, Urteil vom 30.03.2023, C-34/21: Verarbeitung von Beschäftigtendaten und Art. 6 DSGVO.

Verwandte Leistungen und Programme

DORA und NIS-2

Vertragsanforderungen an IKT-Dienstleister nach Art. 30 DORA verstehen.

Fehlen intern die Kapazitäten, Revisionsleistungen selbst zu erbringen, unterstützt S+P Compliance als externer Dienstleister. Mehr dazu auf sp-compliance.com.

rechte-interne-revision
Achim Schulz
Über den Autor

Achim Schulz

Geschäftsführer S+P Compliance & S+P Unternehmerforum · langjährige Vorstands- & Geschäftsführungserfahrung

Achim Schulz kennt die Führungsebene aus eigener Verantwortung – langjährig als Vorstand bei Banken und Geschäftsführer sowie als Interim-Manager in Industrieunternehmen. Diese Doppelperspektive aus Finanzsektor und Realwirtschaft prägt seine Beiträge für CEO, COO und CFO. Er kennt das Zusammenspiel von Geschäftsleitung, Aufsichtsrat und Gesellschaftern aus der Praxis und übersetzt strategische wie aufsichtsrechtliche Anforderungen in umsetzbare, haftungssichere Führungsentscheidungen – praxisnah und auf Augenhöhe mit dem Management.

LinkedIn-Profil → · Redaktion & Experten →

Seminare & Lehrgänge

Plattform & Methodik

Über S+P

ISO9001
ecovadis

Service & Kontakt

Board & Management

Compliance & Aufsicht

Führung & Leadership

Finance & Performance

S&P Unternehmerforum GmbH 809 Bewertungen auf ProvenExpert.com