Co-Sourcing vs. Outsourcing der Revision – welches Modell wann?

Die Interne Revision lässt sich auf zwei Wegen extern unterstützen: durch Co-Sourcing oder durch vollständiges Outsourcing – bei Banken spricht die Aufsicht von Auslagerung. Welches Modell wann passt, hängt von Größe, Risikoprofil und Ressourcen des Instituts ab und seit der 9. MaRisk-Novelle (Rundschreiben 06/2026 (BA)) zusätzlich von der neuen Größenklassifizierung. Dieser Beitrag ordnet Co-Sourcing und Outsourcing der Revision aufsichtsrechtlich ein (§ 25b KWG, AT 9 und AT 4.4.3 MaRisk) und zeigt, welches Modell wann trägt.

Was ist der Unterschied zwischen Co-Sourcing und Outsourcing der Revision?

Beim Outsourcing – bei Banken der vollständigen Auslagerung – übernimmt ein externer Dienstleister die gesamte Interne Revision. Beim Co-Sourcing bleibt die Revisionsleitung im Haus, und externe Revisionsexperten übernehmen einzelne Prüfungen oder Spezialthemen. In beiden Fällen verbleibt die Gesamtverantwortung beim Institut: Ausgelagert wird die Durchführung, nicht die Verantwortung (AT 9 Tz. 4 MaRisk, § 25b Abs. 2 KWG). Auch Co-Sourcing kann aufsichtsrechtlich eine Auslagerung sein, nämlich eine teilweise Auslagerung der Internen Revision (Erläuterung zu AT 9 Tz. 2 MaRisk); maßgeblich ist der Auslagerungsbegriff des AT 9 Tz. 1 MaRisk. Wann ein Co-Sourcing als Auslagerung einzuordnen ist und welche Pflichten daraus folgen, erläutert der Beitrag Co-Sourcing als Auslagerung nach MaRisk.

Auslagerung, Ausgliederung oder Outsourcing – die Begriffe richtig trennen

Die korrekte Bezeichnung hängt vom Aufsichtsregime ab. Wer die Begriffe sauber trennt, argumentiert prüfungssicher:

• Banken: Auslagerung nach § 25b KWG und AT 9 MaRisk.
• Versicherungen: Ausgliederung nach § 32 VAG, MaGo und Solvency II.
• Mittelstand ohne spezielle Aufsicht: Outsourcing als rein betriebswirtschaftliche Entscheidung.

Co-Sourcing oder Outsourcing der Revision: welches Modell wann?

Seit der 9. MaRisk-Novelle richtet sich die Wahl auch nach der Größenklasse. Die Aufsicht unterscheidet sehr kleine Institute (Bilanzsumme bis 1 Mrd. Euro), kleine und nicht-komplexe Institute (SNCI nach Art. 4 Abs. 1 Nr. 145 CRR, u. a. Bilanzsumme bis 5 Mrd. Euro) sowie die übrigen weniger bedeutenden Institute. Daraus ergibt sich eine klare Orientierung:

• Vollständige Auslagerung der Internen Revision: zulässig für sehr kleine Institute (bis 1 Mrd. Euro) sowie unter engen Voraussetzungen für Tochterinstitute innerhalb einer Institutsgruppe (AT 9 Tz. 5 MaRisk).
• Co-Sourcing: für Kapazitätsengpässe, Stellvertretung und Spezialthemen – etwa den Aufbau der neuen Prüffelder BTR 5, IRRBB, ESG oder DORA.
• Interne Revision mit punktueller Unterstützung: für größere Institute mit eigener Revisionseinheit.

Somit ist das Co-Sourcing der Internen Revision für den Großteil der Institute der aufsichtskonforme Weg, während die vollständige Auslagerung auf sehr kleine Institute und bestimmte Tochterinstitute beschränkt ist.

Welche neuen Prüffelder sich für die Interne Revision aus der 9. MaRisk-Novelle ergeben, lesen Sie im Beitrag Was die Interne Revision jetzt prüfen muss.

Aufsichtsrechtlicher Rahmen: § 25b KWG und AT 9 MaRisk

Jede Auslagerung setzt eine Risikoanalyse voraus, deren Intensität sich nach Art, Umfang, Komplexität und Risikogehalt der ausgelagerten Aktivitäten richtet (AT 9). Für die Auslagerung besonderer Funktionen wie der Internen Revision gelten dabei erhöhte Anforderungen: Details dazu im Auslagerungsmanagement nach § 25b KWG.

• Uneingeschränkte Informations- und Prüfungsrechte, einschließlich Zutritts-, Zugangs- und Zugriffsrechten.
• Vertragliche Eskalationsregelungen: Bereits bei Vertragsanbahnung ist festzulegen, welcher Grad an Schlechtleistung akzeptiert wird.
• Vorkehrungen für Kontinuität und Exit, damit Qualität und Fortführung auch nach Beendigung der Auslagerungsvereinbarung gesichert sind.
• Mehrmandantendienstleister: Auch hier kann die Interne Revision unter den Voraussetzungen von AT 9 Tz. 4 MaRisk auf eigene Prüfungshandlungen verzichten.
• Fortbestehen der Gesamtverantwortung der Geschäftsleitung (§ 25b Abs. 2 KWG, AT 9 Tz. 4 MaRisk).

Co-Sourcing und Outsourcing der Revision: die Prüfungsschwerpunkte

Die Interne Revision prüft alle Aktivitäten und Prozesse des Instituts, ausdrücklich einschließlich der ausgelagerten Tätigkeiten (AT 4.4.3 Tz. 5). Bei Auslagerungen von erheblicher Tragweite, etwa der vollständigen oder teilweisen Auslagerung der Internen Revision selbst, muss das Institut bereits in der Risikoanalyse entsprechend intensiv prüfen, ob und wie die Einbeziehung in das Risikomanagement sichergestellt werden kann (Erläuterung zu AT 9 Tz. 2 MaRisk). Prüfungsschwerpunkte sind:

• Angemessenheit und Aktualität der Risikoanalyse und der Wesentlichkeitseinstufung.
• Vollständigkeit der Informations-, Prüfungs- und Kündigungsrechte im Auslagerungsvertrag.
• Wirksamkeit der laufenden Dienstleistersteuerung und -überwachung.
• Belastbarkeit von Notfall-, Kontinuitäts- und Exit-Konzepten.
• Einbindung der ausgelagerten Tätigkeiten in das Prüfungsuniversum und den Drei-Jahres-Turnus.

Vorteile des Co-Sourcing der Internen Revision

Das Co-Sourcing der Internen Revision verbindet interne Verantwortung mit externem Spezialwissen. Für das Institut bedeutet das: Gerade Spezialgebiete wie die IT-Revision lassen sich per Co-Sourcing gezielt einbinden.

• Rechtssicherheit: aufsichtskonforme Abdeckung neuer Prüffelder ohne vollständigen eigenen Kompetenzaufbau; Steuerung und Überwachung der externen Leistungen bleiben im Institut.
• Flexibilität bei Kapazitätsspitzen und kurzfristigen Sonderprüfungen.
• Kostentransparenz statt fixer Personalkosten.
• Gewahrte Unabhängigkeit: Revisionsleitung und Gesamtverantwortung verbleiben in Ihrem Haus.
• Eine belastbare Stellvertretungsregelung für Ausfälle und Engpässe.