Was ist eine interne Revision?
Eine interne Revision ist eine Funktion, die dauerhaft besteht, risikoorientiert über mehrere Jahre plant und so aufgehängt ist, dass sie über die Bereiche urteilen darf, die das Tagesgeschäft verantworten. Sie prüft und berät zu Governance, Risikomanagement und Kontrollen des gesamten Unternehmens und berichtet an Geschäftsleitung und Aufsichtsorgan. Im Drei-Linien-Modell des Institute of Internal Auditors (IIA) ist sie die dritte Linie; einordnen lässt sie sich im Rahmen von GRC.
Maßgeblich sind die Global Internal Audit Standards des IIA, seit dem 9. Januar 2025 anzuwenden. Sie verlangen eine Revision, die unabhängig positioniert ist und dem Aufsichtsorgan direkt berichtet. In Deutschland gibt das Deutsche Institut für Interne Revision (DIIR) zusätzlich eigene Revisionsstandards heraus.
Interne Revision oder internes Audit?
Die beiden Begriffe bezeichnen verschiedene Dinge. Ein internes Audit ist eine Tätigkeit innerhalb eines Managementsystems, etwa nach ISO/IEC 27001; die interne Revision ist eine Funktion der Organisation.
| Merkmal | Interne Revision | Internes Audit nach Managementsystemnorm |
|---|---|---|
| Charakter | dauerhafte Funktion | Tätigkeit innerhalb eines Managementsystems |
| Gegenstand | Governance, Risikomanagement und Kontrollen des ganzen Unternehmens | Konformität und Wirksamkeit des jeweiligen Managementsystems |
| Maßstab | Berufsstandards und Prüfungsplan | die Norm und die eigenen Vorgaben |
| Berichtsempfänger | Aufsichtsorgan und Geschäftsleitung | Verantwortliche des Managementsystems, oberste Leitung |
Eine vorhandene Revision kann die internen Audits eines Managementsystems übernehmen, wenn sie für den Gegenstand die nötige Kompetenz hat und unabhängig ist. Ein jährliches ISMS-Audit ersetzt umgekehrt keine Revisionsfunktion, weil es nur das Managementsystem betrachtet.
Wo verlangt das Recht eine interne Revision?
Eine allgemeine gesetzliche Pflicht für alle Unternehmen besteht nicht; maßgeblich sind Rechtsform, Branche und Aufsichtsrecht.
| Vorgabe | Fundstelle | Was gilt |
|---|---|---|
| Börsennotierte Aktiengesellschaften | § 91 Abs. 3 AktG | Der Vorstand richtet ein angemessenes und wirksames internes Kontrollsystem und Risikomanagementsystem ein; eine Revisionsfunktion nennt die Vorschrift nicht ausdrücklich. |
| Prüfungsausschuss | § 107 Abs. 3 Satz 2 AktG | Bestellt der Aufsichtsrat einen Prüfungsausschuss, befasst sich dieser unter anderem mit der Wirksamkeit des internen Revisionssystems. |
| Kreditinstitute | § 25a Abs. 1 KWG, Nummer 3 der Aufzählung | interne Kontrollverfahren mit einem internen Kontrollsystem und einer unabhängigen Internen Revision; Einzelheiten in der MaRisk. Die Vorsitzenden von Risiko- und Prüfungsausschuss können nach § 25d Abs. 8 und 9 KWG unmittelbar bei der Revisionsleitung Auskünfte einholen |
| Versicherungsunternehmen | § 30 VAG | wirksame interne Revision, die die gesamte Geschäftsorganisation prüft; objektiv und unabhängig von operativen Tätigkeiten; berichtet direkt an den Vorstand |
| Finanzunternehmen nach DORA | Art. 6 Abs. 6 und 7 der Verordnung (EU) 2022/2554 | Der IKT-Risikomanagementrahmen wird regelmäßig intern revidiert, außer bei Kleinstunternehmen; zu den Feststellungen ist ein förmliches Follow-up-Verfahren einzurichten. |
Ist die Revision wirklich unabhängig? Ein Prüfraster
Prüfen Sie die Aufstellung Ihrer Revision mit fünf Fragen. Jede Antwort braucht einen Beleg, den auch ein Prüfungsausschuss sehen kann.
| Prüffrage | Erwartete Antwort | Beleg |
|---|---|---|
| An wen berichtet die Revisionsleitung? | nach den IIA-Standards direkt an das Aufsichtsorgan oder dessen Prüfungsausschuss; nach deutschem Aufsichtsrecht an die Geschäftsleitung (MaRisk AT 4.4.3 Tz. 2, § 30 Abs. 2 VAG); bei Kreditinstituten erhält das Aufsichtsorgan die regelmäßigen Revisionsberichte (MaRisk AT 3.2 Tz. 2) | Geschäftsordnung oder Revisionsmandat |
| Hat die Revision ungefilterten Zugang zu Personen, Systemen und Daten? | ja, ohne Freigabe durch den geprüften Bereich | Mandat, Berechtigungsnachweis für Lesezugriffe |
| Prüft jemand Sachverhalte, für die er selbst verantwortlich war? | nein; Ausnahmen werden dem Aufsichtsorgan offengelegt | Erklärungen zur Unabhängigkeit je Prüfung |
| Woraus leitet sich der Prüfungsplan ab? | aus der aktuellen Risikolage, mit dem Aufsichtsorgan abgestimmt; bei Kreditinstituten genehmigt ihn die Geschäftsleitung (MaRisk AT 4.4.3 Tz. 6) | Prüfungsplan mit Risikobegründung und Abstimmungsprotokoll |
| Was geschieht mit Feststellungen? | jede hat einen Verantwortlichen, einen Termin und eine Nachverfolgung | Maßnahmenliste mit Status und Nachprüfung |
Fällt eine Antwort anders aus, ist die Objektivität der Revision tatsächlich oder dem Anschein nach beeinträchtigt. Legen Sie die Einschränkung dem Aufsichtsorgan offen und halten Sie fest, wie Sie sie beheben.
Topical Requirements: Pflichtinhalte für einzelne Themen
Seit 2025 ergänzt das IIA die Standards um Topical Requirements: Mindestanforderungen für Prüfungen zu einem bestimmten Risikofeld, verbindlich bei Prüfungsaufträgen und empfohlen bei Beratungen. Jede wird zwölf Monate nach ihrer Herausgabe wirksam.
| Topical Requirement | wirksam |
|---|---|
| Cybersecurity | seit dem 05.02.2026 |
| Third-Party | seit dem 15.09.2026 |
| Organizational Behavior | ab dem 15.12.2026 |
| Organizational Resilience | ab dem 30.04.2027 |
Für Revisionen, die nach den IIA-Standards arbeiten, gelten bei Prüfungsaufträgen zur Cybersicherheit und zu Dienstleistern damit bereits die Topical Requirements Cybersecurity und Third-Party (Stand: Oktober 2026).