Praxisorientierte Prüfungsansätze für die Interne Revision
Thomas Maurer, Leiter Interne Revision, Münchner Bank eG
Ausgangslage
Der stetig zunehmende Kostendruck und die fortschreitende Digitalisierung zwingen die Banken dazu neue Wege zu gehen. Insbesondere der Weg in die digitale Welt erfordert ein Spezialwissen, das nicht in allen Instituten im erforderlichen Umfang vorhanden ist. Vor diesem Hintergrund wird bei vielen neuen und teilweise auch bei bekannten Themen immer auch die Möglichkeit einer Auslagerung der Aufgaben geprüft. Dies hat auch im Kreditgeschäft Einzug gehalten. Beispiele sind Ratingverfahren, Wertermittlungen im Immobiliengeschäft oder Teile der Marktfolgetätigkeiten. Die Aufsicht beobachtet diesen Trend argwöhnisch und wartet mit immer detaillierteren Regulierungsanforderungen auf. Aktuelles Beispiel ist die „Guideline on Outsourcing Arrangements“ der EBA, die zum 30.09.2019 in Kraft getreten ist und mit der nächsten MaRisk-Novelle in nationales Recht umgesetzt werden soll. Dieser Entwicklung muss auch die Interne Revision folgen und der Prüfung von ausgelagerten Unternehmensbereichen einen größeren Stellenwert einräumen und mehr Zeitressourcen hierfür zur Verfügung stellen.
SEMINARTIPPS
Prüfung AT 9 – Auslagerungen, 31.03.2020, Köln.
17. Kreditrevisions-Tage 2020 in München, 11.–12.05.2020, München.
PraxisFalle IT Dienstleistungen: Sonstiger Fremdbezug vs. Auslagerung, 22.06.2020, Frankfurt/Offenbach.
Auslagerungen im Fokus von neuer MaRisk & BAIT, 23.06.2020, Frankfurt/Offenbach.
Aufsichtsrechtliche Anforderungen
In AT 9 der MaRisk sind umfangreiche Anforderungen definiert. So ist vor jeder Auslagerung eine Risikoanalyse durchzuführen, in deren Erstellung auch die Interne Revision einzubinden ist. Für den Fall einer beabsichtigten wie auch einer unbeabsichtigten Beendigung der Auslagerung sind geeignete Vorkehrungen zu treffen, die sicherstellen, dass die Aktivitäten auch in diesen Fällen reibungslos weiter durchgeführt werden können. Auch an die Inhalte der Auslagerungsverträge werden dezidierte Anforderungen gestellt, u a. auch zu den Prüfungsrechten der Internen Revision. Weiterverlagerungen sollten nur mit Zustimmung des auslagernden Instituts möglich sein. Die Leistung des Auslagerungsunternehmens ist regelmäßig anhand vorgehaltener Kriterien zu überprüfen. Dabei ist der Grad der maximal akzeptierten Schlechtleistung festzulegen. Selbstverständlich sind auch die ausgelagerten Bereiche in die Steuerungs- und Überwachungsprozesse des Hauses einzubeziehen. Ein laufendes und anlassbezogenes Reporting-System ist mit den Dienstleistern ebenfalls zu vereinbaren.
Prüfungsansätze für die Interne Revision
Die Interne Revision muss die ausgelagerten Bereiche in ihr Prüfungsuniversum aufnehmen und risikoorientiert in angemessenem Turnus prüfen. Wenn das Auslagerungsunternehmen über eine eigene Interne Revision verfügt, die den Anforderungen der MaRisk unterliegt, dann kann sich die Revision des auslagernden Unternehmens grundsätzlich, aber nicht ausschließlich, auf deren Ergebnisse stützen. Voraussetzung ist, dass eine Informationspflicht über Feststellungen, die die Ordnungsmäßigkeit der ausgelagerten Prozesse beeinträchtigen könnten, vereinbart ist. Eine Vorlage des Jahresberichts der Internen Revision des Auslagerungsunternehmens sowie der Bestätigung des Wirtschaftsprüfers über die Funktionsfähigkeit der Internen Revision ist ebenfalls geboten. Unterliegt das Auslagerungsunternehmen nicht den MaRisk, so ist zusätzlich zu untersuchen, ob die Organisation und Tätigkeit der dortigen Interne Revision grundsätzlich den Vorgaben der MaRisk in analoger Weise entsprechen. Dies alleine genügt jedoch noch nicht in allen Fällen den aufsichtsrechtlichen Anforderungen. Die im Rahmen des Reportings vorgelegten Berichte des Auslagerungsunternehmens sind ebenfalls einer kritischen Würdigung zu unterziehen, was nachvollziehbar zu dokumentieren ist. Dabei ist es auch erforderlich, die Mängelklassifizierung aus den Berichten mit dem hausinternen Klassifizierungssystem abzugleichen und erforderlichenfalls anzupassen. In den Berichten aufgezeigte Mängel sind in den Follow-up-Prozess des Auslagerungsinstituts zu integrieren. Auch eine Aufnahme von eventuell als wesentlich oder schlechter eingestuften Mängeln in diesen Berichten in die Quartalsberichterstattung an Vorstand und Aufsichtsrat kann geboten sein. In jedem Fall sind diese über nicht behobene wesentliche Mängel auch in den Auslagerungsunternehmen zwingend zu informieren.
Vorsicht geboten ist auch bei sogenannten Auswertungsempfehlungen zu Dienstleisterberichten, die in der Sparkassen- und Genossenschaftsorganisation häufig von den Verbänden zur Verfügung gestellt werden. Diese sollten keinesfalls unreflektiert und unkommentiert übernommen werden. Eine kritische Auseinandersetzung ist erforderlich und ebenfalls nachvollziehbar zu dokumentieren.
BERATUNGSTIPP
Implementierung eines effizienten & wirksamen Auslagerungsmanagements.
Wenn Fragen offenbleiben oder weitere Informationen zur Beurteilung der dargestellten Prüfungsergebnisse benötigt werden, sollte unbedingt mit den Kollegen der Internen Revision des Auslagerungsunternehmens Kontakt aufgenommen und die notwendigen Informationen eingeholt werden. Sollte auch dies nicht zur gewünschten Informationstiefe führen, so bleibt nur, vor Ort beim Dienstleister eine eigene Ergänzungsprüfung durchzuführen. Auf Grund der besonderen Sensibilität einer solchen Prüfung, die oftmals auch eine politische Dimension annehmen kann, sollte dies in enger Abstimmung mit der eigenen Geschäftsleitung und der Revision des Auslagerungsunternehmens erfolgen. Eine gewisse Zurückhaltung im Auftreten und eine offene Kommunikation mit den Kollegen des anderen Hauses empfiehlt sich hier. Sollte ein Auslagerungsunternehmen über gar keine Interne Revision verfügen, so sind Vor-Ort-Prüfungen obligatorisch.
Fazit
Das Prüffeld der ausgelagerten Unternehmensbereiche gewinnt immer mehr an Bedeutung und steht zunehmend im Fokus der Bankenaufsicht. Die Internen Revisionen der Kreditinstitute sollten das Thema daher sehr ernst nehmen und die ausgelagerten Prüffelder im Prüfungsplan so behandeln, wie wenn die Aufgaben und Prozesse im eigenen Haus vorhanden wären. Eine kritische Auseinandersetzung mit den Berichten der Dienstleister und eine aktive Kommunikation mit den dortigen Revisionsabteilungen ist unabdingbar. Das alleinige Stützen auf die Berichte der Dienstleister ist aufsichtsrechtlich nicht ausreichend. Auch risikoorientiert durchgeführte Vor-Ort-Prüfungen sollten eingeplant werden. Letztlich werden die dafür erforderlichen Kapazitäten zunehmen. Dies sollte in der Mehrjahresplanung angemessen berücksichtigt werden.
PRAXISTIPPS
- Sehen Sie ausreichende Kapazitäten zur Prüfung ausgelagerter Bereiche vor.
- Prüfen Sie die Auslagerungsverträge auf die Anforderungen der MaRisk.
- Achten Sie auf uneingeschränkte Prüfungsrechte Ihrer Internen Revision.
- Dokumentieren Sie ausführlich Ihre Auswertung der Berichte der Dienstleister.
- Halten Sie Kontakt zu den Revisionen der Dienstleister.
- Planen Sie auch gezielte Vor-Ort- und Ergänzungsprüfungen ein.
Beitragsnummer: 3452