Michael Claaßen, Bereichsleiter Interne Revision, Volksbank Marl-Recklinghausen eG
Die Kernaufgaben der Internen Revision ergeben sich im Zusammenhang mit der Erfüllung des Prüfungsplanes. Das Audit Universe hat sämtliche Aktivitäten und Geschäftsprozesse zu beinhalten. Weiterhin erfolgen Projektbegleitungen im Sinne einer Projektprüfung und eines Informationstransfers zu den beabsichtigten Anpassungsprozessen. In die jeweiligen Umsetzungsprozesse darf sich die Interne Revision nicht einbinden lassen. Die MaRisk sehen weiterhin vor, dass unter bestimmten Voraussetzungen auch ad hoc Mitteilungen an die Interne Revision zu erfolgen haben. Bei beabsichtigten Auslagerungen ist die Interne Revision entsprechend ihrer Aufgabenstellung zu beteiligen. Letztlich stellt sich die Frage, ob diese Vorgehensweise ausreicht, um im Rahmen eines ganzheitlichen (holistischen) Ansatzes eine kontinuierliche, dynamische Beurteilung der Risiken für die Planungen der Revision vornehmen zu können.
SEMINARTIPPS
16. Kreditrevisions-Tage 2019 in Berlin, 06.–-07.05.2019, Berlin.
Kostengünstige Revisionsprüfungen: weniger – kürzer – automatisiert, 23.05.2019, Berlin.
Grundlagen
Die Prüfungsplanung der Internen Revision erfolgt stichtagsbezogen. Eine
dynamische Betrachtung der Planung muss dazu führen, dass die
Risikobewertung der Internen Revision auf Basis des BT 2.3 Tz 2 der MaRisk einen kontinuierlichen Abgleich der Planung mit neuen Erkenntnissen für das einzelne Prüfungsfeld erfährt. Hierzu bedarf es geeigneter Instrumente. Bei den Aktivitäten der Internen Revision darf ihre Unabhängigkeit nicht beeinträchtigt werden und keine
Interessenskonflikte entstehen.
Als eine Lösung wird ein Continuous Auditing Ansatz gesehen. An anderer Stelle wird auch von der agilen Revision geschrieben. Unabhängig von diesen Ansätzen muss das Ziel sein, die vorhandenen Systeme und die daraus resultierenden ICAAP-, ILAAP- und Ertragsrisiken in der Revisionsplanung zu berücksichtigen. Das Messen, Zählen und Wiegen der Risiken erfolgt im Controlling.
Neben den Systemen der second line of defense sind insbesondere nachfolgende Systeme und Risikotreiber zu betrachten:
- IT-Governance Systeme
- Geschäftsmodellsysteme
- Berichtssysteme über alle Ebenen hinweg
- Kontrollsysteme (Kontrollrahmen nach SREP)
- Rechnungslegungssysteme.
Informationsquellen der Internen Revision sind dabei u. a.
- Aufbau- und ablauforganisatorische Änderungen
- Berichtswesen der Bank
- Datenabfragen innerhalb der Systeme (Beachtung der BAIT)
- Projektmanagement der Bank
- Erkenntnisse im Auslagerungsmanagement
- Status und Anpassungen der IT-Governance
- Meldewesen der Bank
- Entwicklung von Kennzahlen
- Vorausschaurechnungen zum Ergebnis.
Um künftig angemessen die Revisionsaufgaben zu erfüllen, muss die Interne Revision einerseits
Daten kontinuierlich screenen, um z. B. erhaltene Risikoberichte auf Plausibilität zu prüfen und andererseits eine
unabhängige Vernetzung innerhalb der Bank anstreben, um aktuelle Erkenntnisse zeitnah berücksichtigen zu können. Eine Beschäftigung mit einem Prüfungsfeld erst kurz vor der Prüfung greift zu kurz.
PRAXISTIPPS
- Vernetzen Sie sich innerhalb der Bank derart, dass sie laufende Erkenntnisse der einzelnen Abteilungen und Bereiche erhalten.
- Versuchen Sie durch eigene Systeme (z. B. Datenanalysen) die erhaltenen Ergebnisse zu validieren, um diese auf Plausibilität und Richtigkeit zu überprüfen.
Beitragsnummer: 991