Die 9. MaRisk-Novelle: Was die Interne Revision jetzt prüfen muss

Die BaFin hat mit der 9. MaRisk-Novelle (Rundschreiben 06/2026 (BA) vom 30.06.2026) deutlich verschlankt und viele Anforderungen stärker an Größe und Risikoprofil des Instituts geknüpft. Kleine und sehr kleine Institute werden dadurch spürbar entlastet. Gleichzeitig kommen einzelne neue Themen hinzu, etwa Kreditspreadrisiken im Anlagebuch. Für die Interne Revision (AT 4.4.3 MaRisk) bedeutet das: Manche Prüfpflichten entfallen oder werden einfacher, andere kommen neu hinzu. Dieser Beitrag zeigt konkret, was die Interne Revision nach der 9. MaRisk-Novelle jetzt prüfen muss – risikoorientiert und prüfungssicher.

Was ändert die 9. MaRisk-Novelle für die Interne Revision?

Die 9. MaRisk-Novelle setzt mehrere EBA-Leitlinien in nationales Aufsichtsrecht um, entschlackt die Anforderungen und stärkt die Proportionalität. Dabei folgt für die Interne Revision eine doppelte Aufgabe: Sie prüft einerseits die sachgerechte Nutzung der neuen Erleichterungen, andererseits nimmt sie die neuen fachlichen Prüffelder in ihr Prüfungsuniversum auf und misst die eigene Aufstellung an den Anforderungen des AT 4.4.3.

Die wesentlichen Neuerungen mit Revisionsrelevanz sind:

• Mehr Proportionalität durch neue Größenklassen und erweiterte Öffnungsklauseln.
• Kreditspreadrisiken im Anlagebuch als neues Modul (BTR 5).
• Überarbeitete Anforderungen an die Zinsänderungsrisiken im Anlagebuch (BTR 2.3).
• Verankerung von ESG-Risiken als Querschnittsthema in Strategien und Risikosteuerung.
• Präzisierte Anforderungen an IKT-Risiken und operationelle Resilienz im Zusammenspiel mit der DORA.
• Erweiterte Prüfpflichten bei Auslagerungen (AT 9).

Mehr Proportionalität: Erleichterungen der 9. MaRisk-Novelle für die Interne Revision

Ein Kernanliegen der 9. MaRisk-Novelle ist mehr Proportionalität. Dabei unterscheidet die BaFin nun drei Größenklassen: sehr kleine Institute mit einer Bilanzsumme bis 1 Mrd. Euro, kleine und nicht-komplexe Institute (Small and Non-Complex Institutions, SNCI) bis 5 Mrd. Euro sowie die übrigen weniger bedeutenden Institute (LSI). Insgesamt profitiert nach Einschätzung der BaFin ein Großteil der Institute von den erweiterten Öffnungsklauseln. Wie sich ESG-Risiken konkret prüfen lassen, zeigt das Prüffeld ESG-Risiken in der Bankenaufsicht.

Die Erleichterungen betreffen insbesondere:

• Verzicht auf risikoartenspezifische bzw. inverse Stresstests für kleine Institute.
• Überprüfung der Wertpapier-Bewertungsverfahren nur noch alle zwei Jahre (SNCI).
• Erleichterungen bei Validierung, Funktionstrennung und im Kreditgeschäft.
• Reduzierte Berichtstiefe und schlankere Governance-Prozesse.
• Vollständige Auslagerung von Interner Revision und Compliance für sehr kleine Institute (bis 1 Mrd. Euro).

Somit entsteht für die Interne Revision ein eigenes Prüffeld: Sie prüft, ob die in Anspruch genommenen Erleichterungen sachgerecht und nachvollziehbar dokumentiert angewendet werden und ob die Einstufung in die jeweilige Größenklasse zutreffend ist. Denn eine unzutreffend beanspruchte Erleichterung kann aufsichtlich zum Feststellungsrisiko werden.

Kreditspreadrisiken im Anlagebuch: das neue Modul BTR 5

Mit BTR 5 führt die MaRisk erstmals ein eigenständiges Modul für Kreditspreadrisiken im Anlagebuch (CSRBB) ein. Dabei müssen die Institute die Auswirkungen von Kreditspreadänderungen sowohl auf das handelsrechtliche Ergebnis als auch auf die Markt- bzw. Barwerte der betroffenen Positionen betrachten und beide Perspektiven in die Risikosteuerungs- und -controllingprozesse einbinden (BTR 5 Tz. 1).

Prüfungsschwerpunkte für die Interne Revision:

• Vollständige Identifikation der wesentlichen Kreditspreadrisiken im Anlagebuch.
• Sachgerechte Methodik zur Messung – barwertige und ergebnisorientierte Perspektive.
• Integration in Limitierung, Reporting und Risikotragfähigkeit.
• Datenqualität und Nachvollziehbarkeit der zugrunde liegenden Positionen.

Zinsänderungsrisiken im Anlagebuch (BTR 2.3): überarbeitet

Die Anforderungen an die Zinsänderungsrisiken im Anlagebuch (IRRBB) wurden im Zuge der EBA-Leitlinien überarbeitet. Zudem müssen Institute die Zinsänderungsrisiken sowohl aus barwertiger als auch aus periodischer, ergebnisorientierter Sicht steuern und regelmäßig anhand aufsichtlicher Ausreißertests überprüfen. Dabei beurteilt die Interne Revision, ob Messverfahren, Annahmen und Modellierung angemessen und konsistent umgesetzt sind.

ESG-Risiken als Querschnittsthema

ESG-Risiken sind kein isoliertes Prüffeld, sondern wirken als Treiber auf die bekannten Risikoarten. Gleichzeitig verlangt die 9. MaRisk-Novelle ihre Berücksichtigung in Geschäfts- und Risikostrategie, Risikoinventur und Risikotragfähigkeit. Dabei prüft die Interne Revision, ob ESG-Risiken methodisch nachvollziehbar in die Steuerungsprozesse eingebunden sind und nicht lediglich formal dokumentiert werden.

IKT-Risiken, operationelle Resilienz und die Schnittstelle zur DORA

Die Anforderungen an IKT-Risiken und operationelle Resilienz stehen in engem Zusammenhang mit der DORA. Dabei entsteht für die Interne Revision ein Prüffeld an der Schnittstelle: Sie beurteilt die Konsistenz zwischen dem DORA-Rahmenwerk für das IKT-Risikomanagement und den MaRisk-Anforderungen an operationelle Risiken. Darüber hinaus zählt dazu der Umgang mit Schadensfällen mit Markt- oder Kreditrisikobezug (boundary events) sowie das Notfallmanagement nach AT 7.3. Für die praktische Umsetzung in Banken ist die Prüfung der DORA-Anforderungen zentral.

Was die MaRisk-Novelle für die Interne Revision selbst bedeutet (AT 4.4.3)

Darüber hinaus konkretisiert die 9. MaRisk-Novelle die Anforderungen an die Revisionsfunktion selbst. Maßgeblich sind insbesondere:

• Risikoorientierter Prüfungsplan, jährlich fortzuschreiben und von der Geschäftsleitung zu genehmigen (AT 4.4.3 Tz. 6).
• Berücksichtigung der Manipulationsanfälligkeit in der Risikobewertung (AT 4.4.3 Tz. 6).
• Drei-Jahres-Turnus: Sämtliche Aktivitäten sind grundsätzlich innerhalb von drei Jahren zu prüfen, bei besonderen Risiken in kürzerem Turnus (AT 4.4.3 Tz. 6).
• Jederzeitige Durchführbarkeit kurzfristiger Sonderprüfungen.
• Unabhängigkeit und Weisungsfreiheit bei der Wertung der Prüfungsergebnisse (AT 4.4.3 Tz. 2).
• Angemessene Übergangsfristen von mindestens einem Jahr beim Wechsel von Mitarbeitern in die Interne Revision, um Selbstprüfungen zu vermeiden (AT 4.4.3 Tz. 4).
• Vollständiges und uneingeschränktes Informations- und Zugriffsrecht, auch bei der Begleitung wesentlicher Projekte (AT 4.4.3 Tz. 1).

MaRisk-Novelle: Auslagerung der Internen Revision für sehr kleine Institute

Insbesondere sieht die 9. MaRisk-Novelle vor, dass sehr kleine Institute die Interne Revision vollständig auslagern können (AT 9). Als sehr klein gelten Institute, die im Vierjahresdurchschnitt eine Bilanzsumme von 1 Mrd. Euro nicht überschreiten. Zudem dürfen bei sehr kleinen Instituten die Aufgaben der Internen Revision von einem Geschäftsleiter übernommen werden, wenn eine eigene Revisionseinheit unverhältnismäßig ist und Interessenkonflikte vermieden werden (AT 4.4.3 Tz. 1).

Für alle übrigen Institute bietet das Co-Sourcing der Internen Revision einen aufsichtskonformen Zugang zu externem Spezialwissen – etwa für die neuen Prüffelder BTR 5, IRRBB oder ESG. Dabei verbleiben die Revisionsleitung und die Gesamtverantwortung in Ihrem Haus. So verbinden Sie Kostentransparenz und Flexibilität mit prüfungssicherer Abdeckung des erweiterten Prüfungsuniversums. Welches Modell wann trägt – Co-Sourcing oder vollständige Auslagerung –, erläutert der Beitrag Co-Sourcing vs. Outsourcing der Revision.

Übergangsfristen der 9. MaRisk-Novelle: Was die Interne Revision wann prüft

Zunächst sind die Erleichterungen der 9. MaRisk-Novelle unmittelbar anwendbar. Für die neuen und verschärften Anforderungen – etwa das Modul BTR 5 zu Kreditspreadrisiken oder die überarbeiteten Zinsänderungsrisiken – gilt hingegen eine Übergangsfrist bis zum 1. Januar 2027. Diese Anforderungen sind damit nicht Gegenstand der Jahresabschlussprüfung 2026. Infolgedessen sollte die Interne Revision ihre Prüfungsplanung entsprechend takten: kurzfristig die korrekte Nutzung der Erleichterungen, mittelfristig den Aufbau der neuen Prüffelder bis 2027.