Allgemein

BaFin-konforme Kontrollsysteme 2026/2027: Was MaRisk-Novelle und GIAS für Interne Revision und Risikomanagement ändern

19. Oktober 2026
Presse

Anhang:
Shape1

KI-generiertes Bild

Für wen: Revisionsleitungen, Leitungen Risikocontrolling sowie Geschäftsleiter und Aufsichtsorgane von Kreditinstituten, insbesondere weniger bedeutenden Instituten (LSI).

Bei einer Prüfung muss erkennbar sein, wie eine Entscheidung zustande gekommen ist.
Foto: Mikhail Nilov / Pexels

Die Stichtage im Überblick

  • 09.01.2025 – Die GIAS sind wirksam und lösen die IPPF-Standards von 2017 ab.

  • 15.12.2025 – Das DIIR veröffentlicht den gemeinsam mit dem IDW überarbeiteten DIIR-Revisionsstandard Nr. 3 für externe Qualitätsbeurteilungen.

  • 06.01.2026 – IDW PS 983 n.F. (12.2025) gilt für Prüfungen von Internen Revisionssystemen, die nach diesem Datum beauftragt werden; eine frühere Anwendung ist zulässig.

  • 05.02.2026 – Topical Requirement Cybersecurity wirksam.

  • 30.06.2026 – MaRisk-Rundschreiben 06/2026 (BA) mit Veröffentlichung in Kraft; Erleichterungen können sofort genutzt werden.

  • 15.09.2026 – Topical Requirement Third-Party wirksam.

  • 15.12.2026 – Topical Requirement Organizational Behavior wirksam.

  • 31.12.2026 – Die BAIT werden vollständig aufgehoben. Für CRR-Kreditinstitute gilt bereits seit dem 17.01.2025 DORA, für die Übergangsgruppe nach § 1a Abs. 2a KWG ab dem 01.01.2027.

  • 01.01.2027 – Ende der Übergangsfrist, soweit sich aus den neuen MaRisk im Einzelfall zusätzliche Anforderungen ergeben.

MaRisk: Die Revision steht jetzt in AT 4.4.3

Mit der 9. Novelle haben BaFin und Bundesbank die MaRisk stärker prinzipienbasiert gefasst und von 122 auf rund 80 Seiten gekürzt. Die Anforderungen an die Interne Revision, bisher auf AT 4.4.3 und das Modul BT 2 verteilt, sind jetzt in AT 4.4.3 gebündelt; BT 2 regelt nur noch die Risikoberichterstattung. Verweise auf „BT 2.x“ in Revisionshandbüchern, Prüfprogrammen und Checklisten sind damit überholt. Für die Praxis besonders wichtig:

  • Weiterentwicklung als Pflicht: Planung, Methoden und Qualität der Revision sind regelmäßig und anlassbezogen zu überprüfen und weiterzuentwickeln (AT 4.4.3 Tz. 1).

  • Prüfungsplanung: Der Plan ist umfassend, risikoorientiert und jährlich fortzuschreiben. Die Risikobewertung berücksichtigt unterschiedliche Risikoquellen und die Manipulationsanfälligkeit; Plan und wesentliche Anpassungen genehmigt die Geschäftsleitung. Alle Aktivitäten sind grundsätzlich innerhalb von drei Jahren zu prüfen, bei besonderen Risiken häufiger; auch nicht wesentliche Aktivitäten spätestens innerhalb von fünf Jahren (Tz. 6).

  • Berichtswege: Die Revision berichtet mindestens vierteljährlich an die Geschäftsleitung, einschließlich offener wesentlicher Mängel und der voraussichtlichen Einhaltung des Prüfungsplans (Tz. 9). Diese Berichte erhält auch das Aufsichtsorgan (AT 3.2 Tz. 2).

  • Feststellungen gegen Geschäftsleiter: Schwerwiegende Feststellungen meldet die Revision unverzüglich der Geschäftsleitung, die BaFin und Bundesbank informiert (Tz. 8). Bleibt die Geschäftsleitung untätig, unterrichtet die Revision den Vorsitzenden des Aufsichtsorgans (AT 3.2 Tz. 2).

  • Proportionalität: Sehr kleine Institute (Bilanzsumme im Vierjahresdurchschnitt bis 1 Mrd. Euro, AT 1 Tz. 3) können die Revisionsaufgaben einem Geschäftsleiter übertragen, wenn eine eigene Einheit unverhältnismäßig ist und Interessenkonflikte wirksam vermieden werden (AT 4.4.3 Tz. 1).

GIAS: der berufsständische Maßstab neben der MaRisk

Die MaRisk legen fest, was die Aufsicht mindestens erwartet. Die GIAS bestimmen, woran sich die Interne Revision als Berufsstand messen lassen muss: fünf Domänen, 15 Prinzipien und 52 Standards. Gegen sie prüfen externe Qualitätsbeurteiler nach IDW PS 983 n.F. und DIIR-Revisionsstandard Nr. 3. Eine MaRisk-konforme Revision ist deshalb nicht automatisch GIAS-konform. Über die MaRisk hinaus verlangen die GIAS vor allem:

  • Revisionsstrategie (Standard 9.2): eine dokumentierte Strategie mit Zielen und Initiativen, abgestimmt mit Aufsichtsorgan und Geschäftsleitung.

  • Methoden und Ressourcen (Standard 9.3, Prinzip 10): dokumentierte Prüfmethoden sowie geplante Kompetenzen und Technologie, etwa für Datenanalysen.

  • Qualität messbar machen (Standards 12.1 und 12.2): laufende interne Qualitätsbeurteilung mit Leistungskennzahlen; eine externe Qualitätsbeurteilung mindestens alle fünf Jahre (Standard 8.4).

  • Rolle des Aufsichtsorgans (Domäne III): Mandat, Unabhängigkeit und Ressourcen der Revision setzen „wesentliche Bedingungen“ voraus, die das „Board“ mitträgt. Weil die MaRisk die Revision der Geschäftsleitung unterstellen (AT 4.4.3 Tz. 2), sollte die Revisionsordnung festlegen, welche Punkte – Strategie, Prüfungsplan, Budget, Ergebnisse der Qualitätsbeurteilung – dem Aufsichtsorgan oder dem Prüfungsausschuss vorgelegt werden.

  • Umsetzung bestätigen (Standard 15.2): Die Revision bestätigt anhand von Nachweisen, dass vereinbarte Maßnahmen umgesetzt sind; eine Statusmeldung des Fachbereichs genügt nicht.

Hinzu kommen die Topical Requirements. Sie sind verpflichtend, sobald das Thema Gegenstand einer Prüfung ist: Cybersecurity, Third-Party und Organizational Behavior. Für Institute liegen die Bezüge auf der Hand: Cybersecurity und Third-Party treffen auf DORA und das Auslagerungsmanagement nach AT 9, Organizational Behavior auf die Risikokultur, deren Entwicklung und Überwachung AT 3.1 Tz. 1 der Geschäftsleitung zuweist. Prüfprogramme sollten je Anforderung festhalten, ob sie angewandt oder begründet ausgeschlossen wurde.

Regelmäßige Seminare für die Interne Revision helfen, Änderungen solcher Vorgaben fachlich einzuordnen und geeignete Prüfungen vorzubereiten. Im eigenen Haus ist anschließend zu klären, welche Abläufe betroffen sind und ob die Prüfer gegebenenfalls zusätzliches Fachwissen benötigen.

Risikocontrolling und Revision: zusammenarbeiten, ohne Rollen zu vermischen

Das Risikomanagement und die Interne Revision müssen wichtige Erkenntnisse miteinander teilen. Wenn sich zum Beispiel häufiger Zahlungsschwierigkeiten bei Kunden zeigen, kann die Revision untersuchen, ob die zuständigen Mitarbeiter vorhandene Warnsignale rechtzeitig erkannt haben. Umgekehrt können die Prüfer auf veraltete Daten stoßen, durch die Risiken bislang zu niedrig eingeschätzt wurden. Solche Feststellungen muss das Risikomanagement bei seiner weiteren Bewertung berücksichtigen.

Die Revisoren dürfen Verbesserungen empfehlen. Sie dürfen aber nicht selbst die Verantwortung für die geprüften Abläufe übernehmen. Die Umsetzung bleibt Aufgabe der zuständigen Abteilungen. Beratende Tätigkeiten sind nach AT 4.4.3 Tz. 3 zulässig, solange die Unabhängigkeit gewahrt bleibt. Die GIAS verlangen zusätzlich, Beeinträchtigungen der Objektivität offenzulegen (Prinzip 2).

Stresstests: was sich mit der Novelle ändert

Bei einer Immobilienfinanzierung dient häufig die Immobilie als Sicherheit. Kann der Kunde seinen Kredit nicht zurückzahlen, soll ihr Verkauf helfen, die noch offenen Forderungen möglichst vollständig zu begleichen. Sinkt allerdings der Wert der Immobilie, reicht der Erlös aus dem Verkauf dazu möglicherweise nicht aus. Daher müssen beide Entwicklungen gemeinsam betrachtet werden.

Die neue Fassung staffelt die Anforderungen in AT 4.3.3 nach Größe: Sehr kleine Institute können auf risikoartenspezifische Stresstests verzichten, wenn der Stresstest für das Gesamtrisikoprofil die betreffenden Risiken negativ auslenkt (Tz. 2). Kleinen Instituten genügt in der Regel ein schwerer konjunktureller Abschwung oder ein vergleichbares Stagflationsszenario als gesamtbankweites Szenario; auf inverse Stresstests können sie verzichten (Tz. 3 und 4). Für alle gilt: Wesentliche Umweltrisiken sind zu berücksichtigen und durch langfristige Resilienzanalysen zu ergänzen (Tz. 7). Die Revision prüft, ob genutzte Erleichterungen nachvollziehbar begründet sind und ob die Annahmen mindestens jährlich überprüft werden (Tz. 5).

Mit Stresstests rechnen Banken und andere Finanzunternehmen durch, welche Verluste unter ungünstigen, aber dennoch denkbaren Bedingungen entstehen könnten. In einem Lehrgang für Risikomanager können Fachkräfte üben, solche Berechnungen durchzuführen und auszuwerten. Anhand der Ergebnisse lässt sich dann einschätzen, ob das Institut die untersuchten Belastungen finanziell verkraften könnte.

Erkannte Schwachstellen konsequent beheben

Fehlen bei geprüften Kreditfällen wichtige Unterlagen, muss der zuständige Bereich den Fehler untersuchen und beheben. Dabei ist zu klären, ob es um ein Versehen geht oder ob der Ablauf grundsätzlich lückenhaft ist. Anschließend sind folgende Fragen zu beantworten:

  • Wer prüft, welche weiteren Kreditfälle betroffen sind?

  • Bis wann werden fehlende Unterlagen ergänzt und fehlerhafte Bewertungen korrigiert?

  • Woran lässt sich erkennen, dass die überarbeiteten Kontrollen funktionieren?

Die Interne Revision überwacht die fristgerechte Beseitigung, gegebenenfalls mit einer Nachschauprüfung (AT 4.4.3 Tz. 11). Werden wesentliche Mängel nicht in angemessener Zeit beseitigt, informiert die Revisionsleitung die zuständigen Geschäftsleiter schriftlich; bestehen sie weiter, erfährt es die gesamte Geschäftsleitung spätestens im nächsten Quartalsbericht (Tz. 12). Über besonders schwerwiegende Mängel ist unverzüglich zu berichten (Tz. 9). Akzeptiert das Management ein Risiko, das die Risikotoleranz übersteigt, muss die Revision dies nach GIAS-Standard 11.5 eskalieren. Alle Geschäftsleiter bleiben unabhängig von der internen Zuständigkeit für die ordnungsgemäße Geschäftsorganisation verantwortlich (AT 3.1 Tz. 1). Verletzt ein Geschäftsleiter schuldhaft seine Pflichten und entsteht dadurch ein Schaden, kann er dafür persönlich haften. Die Geschäftsleitung muss deshalb entscheiden, welche Korrekturen Vorrang haben, und sich über deren Umsetzung regelmäßig berichten lassen.

Fünf Entscheidungen bis zum 01.01.2027

  • Gap-Analyse: Revisionshandbuch, Prüfprogramme und Checklisten gegen AT 4.4.3 n.F. und die GIAS abgleichen; Verweise auf BT 2 alt und auf die BAIT ersetzen.

  • Größenklasse: Einstufung als sehr kleines, kleines oder übriges Institut feststellen und jede genutzte Erleichterung begründet dokumentieren.

  • Revisionsstrategie und Revisionsordnung: beschließen und die Rolle des Aufsichtsorgans nach GIAS-Domäne III regeln.

  • Prüfungsplan 2027: Topical Requirements, DORA-Prüffelder und Drittparteienrisiken nach AT 9 aufnehmen.

  • Qualitätsbeurteilung: Termin der nächsten externen Beurteilung nach IDW PS 983 n.F. bzw. DIIR-Revisionsstandard Nr. 3 festlegen und mit einer Selbstbeurteilung anhand des DIIR-Leitfadens (110 Kriterien) vorbereiten.

Quellen (abgerufen am 17.10.2026)

Keine verwandte Themen.

Schreibe einen Kommentar

Diese Website verwendet Akismet, um Spam zu reduzieren. Erfahre, wie deine Kommentardaten verarbeitet werden.