Das Drei-Linien-Modell 2026: Was sich für die Interne Revision ändert

Das Institute of Internal Auditors (IIA) hat 2026 sein Drei-Linien-Modell aktualisiert; die deutsche Übersetzung wurde vom Deutschen Institut für Interne Revision (DIIR) veröffentlicht. Hintergrund sind komplexere Organisationsstrukturen, stärker vernetzte Risiken und die wachsende Erwartung an Leitungs- und Überwachungsorgane, ein möglichst vollständiges Bild über Governance, Risikomanagement, Compliance und interne Kontrollen zu erhalten.

Das Drei-Linien-Modell 2026 wird dabei nicht neu erfunden. Die Rollen bleiben klar: Das Management trägt die Verantwortung für Risiken und Kontrollen, spezialisierte Funktionen der zweiten Linie unterstützen und überwachen, und die Interne Revision liefert unabhängige und objektive Prüfungssicherheit. Entscheidend ist vielmehr, wie diese drei Linien künftig zusammenarbeiten sollen.

Für die Interne Revision ist das relevant: Das Modell stärkt ihre Rolle als unabhängiger Assurance Provider – öffnet zugleich aber ausdrücklich den Raum für Beratung, Koordination und eine stärkere Integration der unterschiedlichen Assurance-Aktivitäten.

Was ändert das Drei-Linien-Modell 2026?

Das klassische Grundprinzip bleibt erhalten:

Erste Linie – Management: Das operative Management ist Risikoeigner. Es entwickelt und betreibt Prozesse und Kontrollen, übernimmt das tägliche Risikomanagement und ist für die Zielerreichung verantwortlich.

Zweite Linie – Spezialisten- und Überwachungsfunktionen: Hierzu gehören insbesondere Risikomanagement, Compliance, Informationssicherheit oder andere spezialisierte Funktionen. Sie unterstützen die erste Linie fachlich, überwachen bestimmte Risikobereiche und hinterfragen deren Umgang mit Risiken und Kontrollen.

Dritte Linie – Interne Revision: Sie liefert unabhängige und objektive Prüfungssicherheit über Governance, Risikomanagement, Compliance und interne Kontrollen. Gleichzeitig kann sie beratende Erkenntnisse einbringen – ohne Managementverantwortung zu übernehmen.

Die eigentliche Weiterentwicklung liegt deshalb weniger in den drei Linien selbst als in ihren Beziehungen zueinander. Das Modell 2026 betont insbesondere:

• stärkere Koordination der Assurance Provider,
• Beratung als legitime Aufgabe auch der Internen Revision,
• Integrated Assurance als mögliches Zielbild,
• flexiblere organisatorische Ausgestaltung,
• klare Schutzvorkehrungen bei Rollenüberschneidungen,
• sowie die Rolle der Internen Revision als organisationsweit integrierender Assurance Provider.

Damit entwickelt sich das Drei-Linien-Modell von einem primär organisatorischen Abgrenzungsmodell stärker zu einem Governance- und Assurance-Modell.

Erste Linie: Die Verantwortung bleibt beim Management

Das aktualisierte Modell lässt keinen Zweifel daran, wer für Risiken und Kontrollen verantwortlich ist. Die erste Linie trägt die tägliche Verantwortung für die Erreichung der Unternehmensziele und das damit verbundene Risikomanagement – insbesondere für die Konzeption, Umsetzung und Durchführung von Prozessen und Kontrollen.

Das ist für die Abgrenzung zur Internen Revision entscheidend. Auch wenn Revision, Compliance oder Risikomanagement beraten, überwachen oder Empfehlungen geben, bleibt die Verantwortung für die operative Umsetzung beim Management.

Für die Revision ergibt sich daraus ein wichtiger Prüfungsmaßstab: Sind Risiko- und Kontrollverantwortung tatsächlich dort verankert, wo die Risiken entstehen – oder werden sie faktisch auf zweite oder dritte Linie verlagert? Gerade in kleineren Organisationen kann die formale Zuordnung auf dem Papier stimmen, während Spezialistenfunktionen faktisch wesentliche Entscheidungen treffen. Das Drei-Linien-Modell verlangt deshalb nicht nur Organigramme, sondern eine klare tatsächliche Verantwortungsverteilung.

Zweite Linie: Unterstützen, überwachen und kritisch hinterfragen

Die zweite Linie nimmt im aktualisierten Modell eine ausgeprägte Spezialistenrolle ein. Funktionen wie Compliance, Risikomanagement, Informationssicherheit oder Financial Crime Management verfügen über Fachwissen, unterstützen das operative Management und können eine kontinuierliche Überwachung durchführen.

Ihre Position unterscheidet sich jedoch wesentlich von der Internen Revision. Die zweite Linie gehört weiterhin zum Management. Sie kann organisatorisch von operativen Bereichen getrennt sein und die erste Linie objektiv hinterfragen – verfügt jedoch nicht über den gleichen Grad organisatorischer Unabhängigkeit wie die Interne Revision.

Gerade diese Unterscheidung ist für ein funktionierendes Assurance-System wichtig: Second-Line-Monitoring ist nicht automatisch Interne Revision. Überwachung, Compliance-Kontrollen oder thematische Reviews der zweiten Linie können wertvolle Prüfungssicherheit liefern. Sie ersetzen aber nicht ohne Weiteres die unabhängige Beurteilung durch die Interne Revision.

Die Interne Revision bleibt die unabhängige dritte Linie

Das aktualisierte Modell stärkt die besondere Position der Internen Revision. Sie soll nicht lediglich einzelne Kontrollen oder Prozesse beurteilen. Ihre Aufgabe besteht vielmehr darin, einen organisationsweiten und systemischen Blick darauf zu richten, ob Governance, Risikomanagement, Compliance und Kontrollen insgesamt angemessen und wirksam zusammenwirken.

Damit ist die Interne Revision der letzte interne Assurance Provider. Sie beurteilt nicht nur die erste Linie, sondern gegebenenfalls auch die Wirksamkeit der zweiten Linie und kann deren Erkenntnisse in ihre eigene Gesamtbeurteilung einbeziehen.

Das bedeutet allerdings nicht, dass die Revision Ergebnisse anderer Funktionen ungeprüft übernimmt. Sie muss selbst beurteilen können, ob deren Arbeiten qualitativ ausreichend sind und ob sie sich darauf verlassen kann. Gerade darin liegt der Wert der dritten Linie: Sie verbindet vorhandene Assurance-Ergebnisse zu einem Gesamtbild – ohne ihre eigene Urteilsfähigkeit aufzugeben.

Beratung durch die Interne Revision: ausdrücklich vorgesehen

Eine der praktisch wichtigsten Aussagen des aktualisierten Modells betrifft die Beratung. Sie wird ausdrücklich als legitimer Beitrag der Internen Revision anerkannt. Die Revision kann beispielsweise:

• bei der Identifikation von Risiken unterstützen,
• Hinweise zur Verbesserung von Prozessen geben,
• bei der Entwicklung von Lösungsalternativen beraten,
• Projekte begleitend unterstützen,
• oder ihre organisationsweite Perspektive in Veränderungsprozesse einbringen.

Die Grenze bleibt jedoch eindeutig: Beratung darf nicht zu Managementverantwortung werden. Die Interne Revision darf beraten, empfehlen und kritisch hinterfragen. Sie sollte aber keine operative Entscheidung für das Management treffen und keine Verantwortung für die Umsetzung übernehmen.

Damit wird Beratung nicht als Gegensatz zur Unabhängigkeit verstanden. Entscheidend sind Art und Ausgestaltung des Beratungsauftrags. Geeignete Schutzvorkehrungen sind insbesondere:

• klare Definition des Beratungsauftrags,
• eindeutige Zuordnung der Entscheidungsverantwortung zum Management,
• Transparenz gegenüber den Leitungsorganen,
• sowie eine Trennung zwischen Beratung und späterer unabhängiger Prüfung.

Selbstprüfung: Warum die 12-Monats-Regel wichtig ist

Besonders praxisrelevant ist die Konkretisierung zum Risiko der Selbstprüfung. Glaubwürdige Prüfungssicherheit ist gefährdet, wenn ein Prüfer einen Prozess selbst konzipiert oder betrieben hat, eigene frühere Entscheidungen beurteilt oder bei seiner Bewertung von Managementpräferenzen beeinflusst wird.

Das Positionspapier nennt hierfür einen wichtigen Orientierungswert: Ein Zeitraum von mindestens zwölf Monaten zwischen der Verantwortung für einen Prozess bzw. eine Entscheidung und der anschließenden Prüfung reicht in der Regel aus, um die Objektivität zu gewährleisten.

Für Revisionsabteilungen hat das unmittelbare praktische Bedeutung – insbesondere bei:

• internen Wechseln aus Fachbereichen in die Revision,
• Projektbegleitungen,
• Beratungsmandaten,
• temporären operativen Unterstützungsleistungen,
• sowie Doppelfunktionen in kleineren Organisationen.

Die Revisionsplanung sollte deshalb nicht nur fachliche Risiken berücksichtigen, sondern auch potenzielle Objektivitäts- und Selbstprüfungsrisiken der eingesetzten Prüfer.

Integrated Assurance: Die drei Linien sollen stärker zusammenarbeiten

Eine wesentliche Weiterentwicklung des Modells ist die stärkere Betonung koordinierter Prüfungssicherheit. In vielen Unternehmen existieren heute zahlreiche Assurance Provider: Managementkontrollen, Compliance Monitoring, Risikomanagement, Informationssicherheit, Datenschutz, Qualitätsmanagement, Interne Revision, externe Prüfer und weitere Spezialisten untersuchen teilweise dieselben Risiken.

Arbeiten diese Funktionen isoliert voneinander, entstehen zwei typische Probleme: Doppelprüfungen und Prüfungslücken. Das aktualisierte Drei-Linien-Modell setzt deshalb auf Koordination und gegenseitiges Vertrauen. Ein strukturierter Ansatz kann sich zu einer Integrated Assurance entwickeln. Dabei stimmen die Assurance Provider beispielsweise Risikoinformationen, Prüfungs- und Monitoringplanungen, Methoden, Berichterstattung, Risikotaxonomien und Prüfungsergebnisse aufeinander ab.

Das Ziel ist nicht, die drei Linien organisatorisch aufzulösen. Vielmehr soll transparent werden, wer zu welchem Risiko welche Prüfungssicherheit liefert.

Assurance Map: Wer prüft eigentlich welches Risiko?

Ein besonders nützliches Instrument hierfür ist die im Positionspapier ausdrücklich angesprochene Assurance Map bzw. Prüfungsübersicht. Sie stellt den wesentlichen Risiken eines Unternehmens die vorhandenen Assurance Provider gegenüber. Eine solche Übersicht kann beispielsweise zeigen:

Dadurch werden sowohl Mehrfachabdeckungen als auch Assurance-Lücken sichtbar. Für die Interne Revision bietet eine Assurance Map zusätzlich einen unmittelbaren Nutzen für die risikoorientierte Prüfungsplanung: Sie kann nachvollziehbar entscheiden, wo sie eigene Prüfungsleistungen benötigt und wo sie – nach eigener Qualitätsbeurteilung – auf Arbeiten anderer Assurance Provider zurückgreifen kann.

Darf die Interne Revision Aufgaben der zweiten Linie übernehmen?

Das neue Positionspapier beantwortet diese Frage differenzierter als ein starres organisatorisches Modell. Überschneidungen zwischen zweiter und dritter Linie sind nicht automatisch unzulässig. Gerade kleinere Unternehmen können aus Ressourcen- oder Kompetenzgründen gezwungen sein, Funktionen zu kombinieren.

Problematisch wird es dort, wo die Interne Revision später ihre eigene Tätigkeit beurteilen müsste. Übernimmt sie unmittelbar Aufgaben der zweiten Linie, entsteht ein Selbstprüfungsrisiko. Das Positionspapier nennt hierfür Schutzvorkehrungen:

• Notwendigkeit der Regelung dokumentieren,
• Leitungsorgane vollständig über Verantwortlichkeiten und Risiken informieren,
• Überschneidung regelmäßig neu beurteilen,
• und für den betroffenen Bereich eine andere unabhängige interne oder externe Prüfungsinstanz einsetzen.

Die praktische Konsequenz lautet: Eine organisatorische Überschneidung kann zulässig sein – eine ungeklärte Selbstprüfung nicht.

Darf die Revisionsleitung gleichzeitig Compliance oder andere Funktionen beaufsichtigen?

Auch dieses in kleineren Organisationen häufig relevante Szenario behandelt das Modell ausdrücklich. Eine Revisionsleitung kann unter bestimmten Voraussetzungen eine weitere Prüfungs-, Überwachungs- oder Compliancefunktion beaufsichtigen. Entscheidend ist wiederum die organisatorische Absicherung. Insbesondere sollten:

• operative Tätigkeit und Revisionsprüfung getrennt bleiben,
• Verantwortlichkeiten dokumentiert werden,
• betroffene Bereiche unabhängig überprüft werden,
• die erweiterte Funktion durch das Leitungsorgan genehmigt sein,
• und mögliche Beeinträchtigungen der Objektivität offen kommuniziert werden.

Damit verschiebt sich die Betrachtung von einem pauschalen „Das darf die Revision nicht" hin zu einer risikoorientierten Governance-Beurteilung. Für regulierte Unternehmen gilt allerdings weiterhin: Gesetzliche oder aufsichtsrechtliche Funktionstrennungsanforderungen gehen selbstverständlich vor.

Outsourcing und Co-Sourcing: Die Linie bleibt dieselbe

Auch für ausgelagerte Revisions- und Complianceleistungen enthält das Modell eine klare Aussage: Outsourcing verändert nicht die Rolle einer Funktion im Drei-Linien-Modell. Wird die Interne Revision vollständig oder teilweise an einen externen Dienstleister vergeben, bleibt sie funktional dritte Linie. Ebenso wird ein externer Compliance-Spezialist nicht deshalb zur dritten Linie, weil er außerhalb des Unternehmens sitzt.

Entscheidend ist vielmehr, welche Funktion der Dienstleister wahrnimmt und wer seine Tätigkeit steuert. Auch die Verantwortung der Leitungsorgane bleibt bestehen: Sie müssen sicherstellen, dass ausgelagerte Funktionen wirksam organisiert, angemessen gesteuert und – soweit erforderlich – unabhängig sind.

Für das Co-Sourcing der Internen Revision bedeutet dies: Externe Spezialisten können Fachwissen und zusätzliche Kapazitäten bereitstellen. Die Governance-Verantwortung für eine wirksame Revisionsfunktion lässt sich dadurch jedoch nicht auslagern.

Was die Interne Revision jetzt überprüfen sollte

Aus dem Drei-Linien-Modell 2026 ergibt sich kein einmaliger Umsetzungsstichtag wie bei einer aufsichtsrechtlichen Novelle. Dennoch bietet die Aktualisierung einen guten Anlass für eine strukturierte Überprüfung des eigenen Revisionssystems. Insbesondere sollten Revisionsleitungen folgende Punkte betrachten:

• Geschäftsordnung der Internen Revision: Sind Rolle, Befugnisse, Unabhängigkeit, Beratungstätigkeit und Berichtslinien eindeutig beschrieben?
• Abgrenzung zur zweiten Linie: Ist dokumentiert, welche Aufgaben Compliance, Risikomanagement, Informationssicherheit und andere Überwachungsfunktionen wahrnehmen – und wo die unabhängige Prüfung beginnt?
• Beratungsleistungen: Gibt es Regeln, wann und in welchem Umfang die Revision beraten darf, ohne Managemententscheidungen zu übernehmen?
• Selbstprüfungsrisiken: Werden frühere operative Verantwortlichkeiten, Projektrollen und Beratungsleistungen bei der Prüfereinsatzplanung berücksichtigt?
• Assurance Map: Besteht Transparenz darüber, welche Risiken durch welche internen und externen Assurance Provider abgedeckt werden?
• Nutzung fremder Prüfungsergebnisse: Hat die Revision Kriterien festgelegt, wann sie sich auf Arbeiten der zweiten Linie oder anderer Provider verlassen kann?
• Koordination: Sind Prüfungsplanung, Risikobewertung und Berichterstattung zwischen Revision und anderen Assurance-Funktionen abgestimmt?
• Doppelfunktionen: Bestehen organisatorische Überschneidungen zwischen zweiter und dritter Linie? Falls ja: Sind Risiken, Genehmigungen und Schutzmaßnahmen dokumentiert?
• Outsourcing und Co-Sourcing: Sind externe Dienstleister eindeutig einer Funktion des Drei-Linien-Modells zugeordnet und Governance, Steuerung und Verantwortlichkeiten geregelt?

Was das neue Drei-Linien-Modell für die Praxis bedeutet

Das Drei-Linien-Modell 2026 verabschiedet sich nicht von klaren Verantwortlichkeiten – im Gegenteil. Die erste Linie bleibt für Risiken und Kontrollen verantwortlich, die zweite Linie unterstützt und überwacht, die dritte Linie liefert unabhängige Prüfungssicherheit.

Neu ist vor allem die Erkenntnis, dass klare Rollen und intensive Zusammenarbeit keine Gegensätze sind. Eine moderne Interne Revision muss nicht möglichst weit entfernt von Management, Compliance und Risikomanagement arbeiten, um unabhängig zu sein. Sie muss vielmehr nah genug an der Organisation sein, um relevante Risiken frühzeitig zu verstehen, zu beraten und unterschiedliche Erkenntnisse zusammenzuführen – und gleichzeitig unabhängig genug bleiben, um diese Organisation objektiv zu beurteilen.

Genau darin liegt die zentrale Botschaft des aktualisierten Modells: Unabhängigkeit bedeutet nicht Isolation.