Auswirkungen der überarbeiteten Mindestanforderungen an das Risikomanagement auf die Interne Revision insbesondere bei Auslagerungen

• DIIR – Arbeitskreis „MaRisk“

Im Rahmen des Finanzmarktrichtlinie-Umsetzungsgesetzes (FRUG) erfolgte die Überarbeitung des § 25a KWG. Inhaltlich betraf die wesentliche Änderung die Neufassung der Anforderungen einer ordnungsgemäßen Geschäftsorganisation im Fall der Auslagerung von Aktivitäten und Prozessen durch ein Kreditinstitut (§ 25a Abs. 2 KWG). Die Kernelemente des § 25a Abs. 2 KWG (keine Beeinträchtigung der Ordnungsmäßigkeit der Geschäftsorganisation durch eine Auslagerung, Verbleib der Verantwortung für ausgelagerte Aktivitäten und Prozesse bei Geschäftsleitung) blieben dabei im Bezug auf die alte Regelung erhalten; zentraler Unterschied ist der Wegfall der Anzeigepflicht sowohl bezüglich der Auslagerungsabsicht als auch des Vollzugs. Parallel zur Änderung des § 25a Abs. 2 KWG wurde die normeninterpretierende Verwaltungsvorschrift der Mindestanforderungen an das Risikomanagement (MaRisk) hinsichtlich der Auslagerungen überarbeitet. Bisher war mit dem Modul AT 9 nur ein Platzhalter eingebaut. Das bisher relevante Rundschreiben 11/2001 vom 6. 12. 2001: „Auslagerung von Bereichen auf ein anderes Unternehmen gemäß § 25a Abs. 2 KWG“ der BaKred wurde zurückgezogen. Die Integration des Outsourcing-Rundschreibens in die MaRisk war wegen der materiellen Bedeutung bereits frühzeitig erwartet und gefordert worden.

Die neuen MaRisk-Regelungen traten grundsätzlich ab 1. 11. 2007 in Kraft. Eine Übergangsfrist wird nicht gewährt. Allerdings hat die BaFin im Anschreiben in Aussicht gestellt, im Einzelfall Verhältnismäßigkeitsaspekte bei der Bewertung von Mängeln zu berücksichtigen.

Weiteren Einfluss auf die aufsichtsrechtliche Beurteilung von Auslagerungen hat die Veröffentlichung „Guidelines on Outsourcing“ des Committee of European Banking Supervisors (CEBS).

Ziel dieses Artikels ist die Darstellung der Auswirkungen der Neuregelung der aufsichtsrechtlichen Outsourcing-Anforderungen auf die Interne Revision. Hierzu werden zuerst die fachlichen Grundlagen dargestellt. Danach werden weiterführende Überlegungen zur Rolle der Internen Revision im Rahmen der Risikoanalyse, der Prüfungspflicht bei Auslagerungen, der Rolle der Konzernrevision sowie der Vollauslagerung der Internen Revision ausgeführt. Zur praktischen Unterstützung sind entsprechende Prüfungsansätze für eine Aufbauprüfung in einer Checkliste zusammengefasst. Diese steht auf der DIIR-Homepage unter dem AK MaRisk als Download zur Verfügung.

Seiten 124 - 132