Interne Revision auslagern: Wann es sich lohnt und worauf Sie achten müssen

Stand der Rechtsgrundlagen: Oktober 2026 (MaRisk in der Fassung des Rundschreibens 06/2026 (BA))

Warum die Frage immer häufiger kommt

Kleine und mittlere Institute stehen vor einem Dilemma. Die Anforderungen an die Interne Revision steigen, doch eine eigene, fachlich breit aufgestellte Revisionseinheit lässt sich bei überschaubarer Größe kaum wirtschaftlich betreiben. Das gilt besonders dort, wo Spezialwissen gefragt ist, etwa bei Geldwäscheprävention, Sanktionen, IKT-Risiken oder Auslagerungssteuerung. Ein Revisor kann nicht alles gleich tief abdecken.

Die Auslagerung der Internen Revision ist deshalb für viele Häuser eine realistische Option. Sie funktioniert aber nur, wenn die Governance stimmt.

Was spricht für die Auslagerung?

• Fachliche Tiefe auf Abruf: Sie greifen auf Spezialwissen zu, ohne es dauerhaft vorhalten zu müssen.
• Flexible Kapazität: Der Aufwand lässt sich an Prüfplan, Sonderprüfungen und Spitzenlasten anpassen.
• Unabhängiger Blick von außen: Ein externer Prüfer ist nicht in die internen Abläufe eingebunden und hinterfragt Gewohntes.
• Planbare Kosten: Statt fixer Personalkosten fallen leistungsbezogene Aufwände an.

Auch für Nicht-Finanzinstitute, die als Verpflichtete dem GwG unterliegen, kann das attraktiv sein. Für sie kommt es darauf an, die Wirksamkeit der Sicherungsmaßnahmen unabhängig überprüfen zu lassen, soweit dies nach Art und Umfang der Geschäftstätigkeit angemessen ist. Eine eigene Revisionsabteilung wäre dafür oft überdimensioniert.

Der regulatorische Rahmen

Für Kredit- und Finanzdienstleistungsinstitute gelten vor allem diese Vorgaben:

• § 25a Abs. 1 Satz 3 Nr. 3 KWG verlangt interne Kontrollverfahren mit einem internen Kontrollsystem und einer unabhängigen Internen Revision. Die Interne Revision darf dabei nicht mit anderen Geschäftsbereichen oder Kontrollfunktionen des Instituts kombiniert werden.
• § 25b KWG regelt die Auslagerung wesentlicher Aktivitäten und Prozesse. Das Institut muss angemessene Vorkehrungen gegen übermäßige zusätzliche Risiken treffen, ein wirksames Risikomanagement muss die ausgelagerten Aktivitäten einbeziehen (Abs. 1). Die Auskunfts- und Prüfungsrechte der BaFin müssen gewahrt bleiben (Abs. 3).
• MaRisk AT 4.4.3 regelt die Interne Revision, AT 9 die Auslagerung. Seit der 9. MaRisk-Novelle (Rundschreiben 06/2026 (BA) vom 30.06.2026) sind die Anforderungen prinzipienorientierter und stärker proportional gefasst. Soweit sich zusätzliche Anforderungen ergeben, gilt eine Übergangsfrist bis zum 01.01.2027.
• § 6 Abs. 2 Nr. 7 GwG zählt die unabhängige Überprüfung der Grundsätze und Verfahren zu den internen Sicherungsmaßnahmen, soweit sie nach Art und Umfang der Geschäftstätigkeit angemessen ist. Nach § 6 Abs. 7 GwG bleibt die Verantwortung für die Sicherungsmaßnahmen beim Verpflichteten. Wer interne Sicherungsmaßnahmen durch einen Dritten durchführen lässt, muss dies der Aufsichtsbehörde vorher anzeigen, und die Behörde kann die Übertragung untersagen. Prüfen Sie deshalb vor der Beauftragung, ob für Ihre Auslagerung eine Anzeige erforderlich ist.

Die wichtigste Konsequenz: Sie lagern die Durchführung aus, nicht die Verantwortung. Die Geschäftsleitung muss die Revisionsfunktion steuern, überwachen und im Zweifel selbst vertreten können.

Wichtig für die Modellwahl: Eine vollständige Auslagerung der Internen Revision sieht AT 9 Tz. 5 nur für bestimmte Konstellationen vor, nämlich für sehr kleine Institute (Bilanzsumme im Vierjahresdurchschnitt höchstens 1 Mrd. Euro) und für nicht wesentliche Tochterinstitute innerhalb einer Institutsgruppe. Alle anderen Institute können Teile der Revisionstätigkeit auslagern (Co-Sourcing), müssen aber sicherstellen, dass die ausgelagerten Leistungen wirksam überwacht werden.

Worauf Sie bei der Auslagerung achten sollten

1. Wesentlichkeits- und Risikoanalyse vorab

Vor der Entscheidung steht eine dokumentierte Analyse. Sie klärt, ob es sich um eine wesentliche Auslagerung handelt, welche Risiken entstehen und wie sie begrenzt werden. Bei der Auslagerung einer besonderen Funktion wie der Internen Revision ist besonders intensiv zu prüfen, wie sie in das Risikomanagement eingebunden bleibt.

2. Unabhängigkeit und Interessenkonflikte

Der Dienstleister darf nicht gleichzeitig Beratungs-, Umsetzungs- oder Prüfungsmandate vermischen, die seine Objektivität gefährden. Wer ein Projekt mitgestaltet hat, sollte es nicht anschließend prüfen. Seriöse Anbieter trennen Revision und Beratung deshalb strikt, organisatorisch und personell.

3. Vertrag mit klaren Rechten

Der Vertrag sollte Prüfungs- und Informationsrechte, Weisungs- und Berichtswege, Vertraulichkeit, Subdienstleister und Kündigungsrechte regeln. Die Interne Revision braucht nach den aktuellen MaRisk nicht nur ein Informationsrecht, sondern auch ein Zugriffsrecht auf Unterlagen, Systeme und Bereiche, jederzeit und auch bei der Begleitung wesentlicher Projekte (AT 4.4.3 Tz. 1). Das muss der Dienstleister tatsächlich ausüben können. Prüfungsrechte der Aufsicht und der Abschlussprüfer müssen gewahrt bleiben.

4. Interne Steuerung bleibt Pflicht

Benennen Sie einen Verantwortlichen im Haus, der Prüfplan, Berichte und Mängelverfolgung steuert. „Auslagern und vergessen“ ist der häufigste Fehler und ein klassischer Prüfungsfeststellungsgrund. Bei einer vollständigen Auslagerung verlangt AT 9 Tz. 10 einen unabhängigen und sachkundigen Revisionsbeauftragten, der der Geschäftsleitung unmittelbar unterstellt ist. Er erstellt den Prüfungsplan gemeinsam mit dem Dienstleister, verfasst den vierteljährlichen Bericht und prüft, ob festgestellte Mängel beseitigt wurden.

5. Prüfplan und Risikoorientierung

Auch ein externer Dienstleister arbeitet nach einem risikoorientierten, mehrjährigen Prüfungsplan. Dieser muss zum Risikoprofil des Instituts passen und alle wesentlichen Aktivitäten und Prozesse abdecken, auch die Geldwäsche- und Sanktionsprävention.

6. Nachverfolgung von Feststellungen

Eine Revision wirkt nur, wenn Feststellungen konsequent nachverfolgt werden. Moniten brauchen Verantwortliche, Fristen und einen Wirksamkeitsnachweis. Die MaRisk verlangen im vierteljährlichen Bericht der Internen Revision ausdrücklich auch den Status der Mängelbeseitigung und noch offene wesentliche Mängel aus anderen Berichtsquartalen (AT 4.4.3 Tz. 9). Ohne dieses Feststellungsmanagement bleibt Revision Papier.

7. Exit-Strategie

Klären Sie vor Vertragsabschluss, wie Sie die Funktion bei Ausfall oder Kündigung des Dienstleisters fortführen: Übergabe von Arbeitspapieren, Know-how-Transfer, Übergangsfristen.

Wann sich die Auslagerung eher nicht lohnt

Bei sehr großen, komplexen Instituten mit hohem Prüfungsvolumen und vielen Spezialthemen ist eine eigene Einheit häufig sinnvoller, gegebenenfalls ergänzt durch punktuelles Co-Sourcing. Bei Projektrisiken, bei denen der Dienstleister selbst in die Umsetzung eingebunden wäre, lohnt sich ein genauer Blick auf mögliche Interessenkonflikte.

Fazit

Eine ausgelagerte Interne Revision ist ein bewährtes Modell, wenn Wesentlichkeitsanalyse, Vertrag, Unabhängigkeit und interne Steuerung sauber geregelt sind. Dann verbindet sie fachliche Tiefe mit wirtschaftlicher Flexibilität und liefert der Geschäftsleitung ein verlässliches, unabhängiges Lagebild.

Sie überlegen, Ihre Interne Revision auszulagern, oder möchten Ihr bestehendes Modell überprüfen lassen? Sprechen Sie mich an.