WpI MaRisk 2026: Was die Interne Revision jetzt prüfen muss

Die BaFin hat mit dem Rundschreiben 09/2026 (WA) einen eigenständigen aufsichtsrechtlichen Rahmen für die Geschäftsorganisation und das Risikomanagement Kleiner und Mittlerer Wertpapierinstitute geschaffen. Die WpI MaRisk konkretisieren insbesondere Anforderungen des Wertpapierinstitutsgesetzes (WpIG), des Wertpapierhandelsgesetzes (WpHG) und der Delegierten Verordnung (EU) 2017/565 und setzen einschlägige EBA- und ESMA-Leitlinien zur internen Governance und zur Eignung von Mitgliedern des Leitungsorgans und Inhabern von Schlüsselfunktionen um.

Für die Interne Revision entsteht damit ein neuer Prüfungsrahmen. Dieser Beitrag zeigt konkret, was die Interne Revision nach Einführung der WpI MaRisk jetzt prüfen muss – risikoorientiert und proportional zum Geschäftsmodell des Instituts.

Was ändern die WpI MaRisk für die Interne Revision?

Die WpI MaRisk schaffen erstmals ein eigenes MaRisk-Regelwerk für Kleine und Mittlere Wertpapierinstitute. Der Anwendungsbereich ist klar abgegrenzt: Die Anforderungen gelten für Kleine und Mittlere Wertpapierinstitute im Sinne von § 2 Abs. 16 und 17 WpIG einschließlich ihrer Zweigniederlassungen im Ausland. Große Wertpapierinstitute unterliegen weiterhin den §§ 25a und 25b KWG und den allgemeinen MaRisk.

Für die Interne Revision ergeben sich insbesondere folgende Prüfungsfelder:

• Anwendung des Proportionalitätsprinzips,
• Risikoinventur und Gesamtrisikoprofil,
• Kapitalplanung und – bei Mittleren Wertpapierinstituten – Risikotragfähigkeit,
• Governance und besondere Funktionen,
• ESG- und IKT-Risiken,
• Auslagerungsmanagement,
• vertraglich gebundene Vermittler,
• sowie die Anforderungen an die Interne Revision selbst nach AT 4.4.3.

Dabei hat die Revision eine doppelte Aufgabe: Sie prüft einerseits, ob das Institut die fachlichen Anforderungen der WpI MaRisk angemessen umgesetzt hat. Andererseits muss sie überprüfen, ob ihre eigene Organisation, Prüfungsplanung und Berichterstattung den neuen Anforderungen entsprechen.

Mehr Proportionalität: Was die Interne Revision prüfen muss

Das Proportionalitätsprinzip gehört zu den zentralen Grundgedanken der WpI MaRisk. Die BaFin beschreibt das Rundschreiben ausdrücklich als flexiblen und praxisnahen Rahmen. Gleichzeitig können im Einzelfall über die ausdrücklich genannten Anforderungen hinausgehende Maßnahmen erforderlich sein, wenn dies für ein angemessenes und wirksames Risikomanagement notwendig ist. Auch Prüfungshandlungen sollen risikoorientiert erfolgen.

Damit entsteht für die Interne Revision ein eigenes Prüffeld: Werden proportionale Erleichterungen tatsächlich sachgerecht genutzt und nachvollziehbar begründet? Prüfungsschwerpunkte:

• korrekte Einstufung als Kleines oder Mittleres Wertpapierinstitut,
• nachvollziehbare Begründung proportionaler Vereinfachungen,
• Berücksichtigung von Art, Umfang, Komplexität und Risikogehalt der Geschäfte,
• regelmäßige Überprüfung, ob die Voraussetzungen für Vereinfachungen weiterhin bestehen,
• angemessene Dokumentation der getroffenen Entscheidungen.

Proportionalität bedeutet dabei nicht, Anforderungen möglichst weit zu reduzieren. Entscheidend ist vielmehr, ob die konkrete Ausgestaltung zum tatsächlichen Risikoprofil des Instituts passt.

Risikoinventur: Gesamtrisikoprofil als Prüfungsgegenstand

Die Geschäftsleiter müssen sich regelmäßig und anlassbezogen im Rahmen einer Risikoinventur einen Überblick über die Risiken des gesamten Wertpapierinstituts verschaffen. Grundsätzlich sind mindestens folgende Risiken auf ihre Wesentlichkeit zu überprüfen:

• Risiken für die Kunden,
• Risiken für den Markt,
• Risiken für das Wertpapierinstitut,
• sonstige Risiken,
• Liquiditätsrisiken.

Darüber hinaus sind Risikokonzentrationen zu berücksichtigen. IKT-Risiken müssen ausdrücklich in die Risikoinventur einbezogen werden. Für Kleine Wertpapierinstitute besteht eine wichtige Erleichterung: Die Beurteilung der Wesentlichkeit kann in der Regel qualitativ, beispielsweise mittels Expertenschätzung, erfolgen; Risiken für den Markt können dabei außer Acht gelassen werden. Mittlere Wertpapierinstitute müssen zusätzlich das Risiko einer ungeordneten Abwicklung betrachten.

Prüfungsschwerpunkte für die Interne Revision:

• Vollständigkeit der Risikoinventur,
• nachvollziehbare Wesentlichkeitsbeurteilung,
• Berücksichtigung von Risikokonzentrationen,
• Einbeziehung von IKT-Risiken,
• Konsistenz zwischen Risikoinventur, Risikostrategie und Risikosteuerung,
• bei Mittleren Wertpapierinstituten: Berücksichtigung des Risikos einer ungeordneten Abwicklung.

ESG-Risiken als Querschnittsthema

Auch ESG-Risiken sind in den WpI MaRisk ausdrücklich verankert. Ihre Auswirkungen müssen bei der Wesentlichkeitsbeurteilung, der Ausgestaltung des Risikomanagements und der Risikoberichterstattung angemessen berücksichtigt werden. Dabei behandelt die BaFin ESG-Risiken nicht als isolierte Risikoart, sondern als Risikotreiber bzw. Risikofaktoren, die auf bestehende Risikoarten wirken können.

Für die Interne Revision bedeutet das insbesondere: Sie sollte beurteilen, ob ESG-Risikotreiber methodisch nachvollziehbar in die Risikoinventur und die relevanten Steuerungsprozesse einbezogen werden – und nicht lediglich formal in Richtlinien erwähnt werden.

Kapitalplanung: Auch Kleine Wertpapierinstitute sind betroffen

Bei Risikotragfähigkeit und Kapitalplanung differenzieren die WpI MaRisk. Die detaillierten Anforderungen an die Risikotragfähigkeit nach AT 4.1.1 gelten grundsätzlich nur für Mittlere Wertpapierinstitute. Die Kapitalplanung nach AT 4.1.2 gilt dagegen für Kleine und Mittlere Wertpapierinstitute.

Der Planungshorizont muss einen angemessen langen, mehrjährigen Zeitraum umfassen; dabei sind mögliche Veränderungen der Geschäftstätigkeit, strategische Ziele und das wirtschaftliche Umfeld zu berücksichtigen. Neben dem Planszenario muss zumindest ein angemessenes adverses Szenario betrachtet werden. Zudem muss die Kapitalplanung mit der operativen Geschäftsplanung und ihren strategischen Grundlagen konsistent sein.

Prüfungsschwerpunkte für die Interne Revision:

• Mehrjährigkeit der Kapitalplanung,
• Konsistenz mit Geschäfts- und Ertragsplanung,
• Plausibilität wesentlicher Annahmen,
• angemessenes adverses Szenario,
• Berücksichtigung erwarteter Veränderungen des Geschäftsmodells.

Besondere Funktionen: Compliance, Risikomanagement und Interne Revision

Die WpI MaRisk verlangen angemessene interne Kontrollmechanismen. Hierzu gehören neben Aufbau- und Ablauforganisation und Risikomanagementprozessen eine Compliance-Funktion sowie – soweit verhältnismäßig und angemessen – eine Risikomanagement-Funktion und Interne Revision (vgl. das Drei-Linien-Modell). Den besonderen Funktionen müssen alle notwendigen Befugnisse und ein uneingeschränkter Zugang zu den für ihre Aufgaben erforderlichen Informationen eingeräumt werden.

Die Compliance-Funktion muss grundsätzlich unabhängig von den operativen Bereichen angesiedelt sein. Sie berichtet mindestens jährlich und anlassbezogen an die Geschäftsleiter; der Compliance-Bericht ist auch an die Interne Revision weiterzugeben. Für die Interne Revision ergeben sich daraus unter anderem folgende Prüfungsfragen:

• Sind Aufgaben und Verantwortlichkeiten der besonderen Funktionen klar abgegrenzt?
• Bestehen ausreichende Informations- und Zugriffsrechte?
• Werden Interessenkonflikte angemessen vermieden?
• Ist die Compliance-Funktion organisatorisch angemessen eingebunden?
• Funktionieren Informationsflüsse zwischen Compliance, Risikomanagement, Geschäftsleitung und Interner Revision?

Was die WpI MaRisk für die Interne Revision selbst bedeuten (AT 4.4.3)

Neben den fachlichen Prüffeldern enthalten die WpI MaRisk konkrete Anforderungen an die Revisionsfunktion selbst. Maßgeblich sind insbesondere:

• Die Interne Revision ist direkt den Geschäftsleitern unterstellt und berichtet an diese.
• Sie muss ihre Aufgaben selbständig und unabhängig wahrnehmen.
• Bei der Wertung der Prüfungsergebnisse unterliegt sie keinen Weisungen.
• Sie muss risikoorientiert und prozessunabhängig prüfen.
• Ihr Prüfungsgegenstand umfasst grundsätzlich alle Aktivitäten und Prozesse – auch bei Auslagerungen.
• Die Revisionstätigkeit muss auf einem risikoorientierten Prüfungsplan basieren.
• Bei Mittleren Wertpapierinstituten ist die Prüfungsplanung jährlich vorzunehmen und von den Geschäftsleitern zu genehmigen.
• Kurzfristig notwendige Sonderprüfungen müssen jederzeit möglich sein.

Besonders relevant ist der Prüfungszyklus: Sämtliche unter Risikogesichtspunkten wesentlichen Aktivitäten und Prozesse müssen grundsätzlich innerhalb von drei Jahren geprüft werden. Sonstige Aktivitäten und Prozesse sind in einem angemessenen Rhythmus zu prüfen; bei besonderen Risiken ist ein kürzerer Turnus erforderlich. Damit sollte die Revision insbesondere ihr bestehendes Prüfungsuniversum und die Mehrjahresplanung gegen die neuen Anforderungen abgleichen.

Mängelklassifizierung, Jahresbericht und Follow-up

Die WpI MaRisk konkretisieren auch die Anforderungen an Prüfungsdokumentation und Mängelmanagement. Prüfungen müssen durch nachvollziehbare Arbeitsunterlagen dokumentiert werden; zu jeder Prüfung ist zeitnah ein Dokument zu erstellen, das Prüfungsgegenstand, Feststellungen und gegebenenfalls Maßnahmen enthält. Die BaFin unterscheidet ausdrücklich zwischen:

• wesentlichen Mängeln,
• schwerwiegenden Mängeln,
• besonders schwerwiegenden Mängeln.

Die konkrete Abgrenzung dieser Kategorien obliegt dem jeweiligen Institut. Darüber hinaus muss die Interne Revision einen Jahresbericht erstellen, der die im Jahresablauf festgestellten schwerwiegenden sowie die noch nicht behobenen wesentlichen Mängel prägnant darstellt. Die fristgerechte Mängelbeseitigung ist zu überwachen; gegebenenfalls muss eine Nachschauprüfung erfolgen. Werden wesentliche Mängel nicht in angemessener Zeit beseitigt, sind die Geschäftsleiter schriftlich zu informieren.

Prüfungsschwerpunkte für die Revisionsleitung selbst:

• eindeutige Mängeldefinitionen und Klassifizierungskriterien,
• vollständige Maßnahmenverfolgung,
• dokumentierte Fälligkeiten und Verantwortlichkeiten,
• Eskalationsmechanismen bei überfälligen Maßnahmen,
• angemessene Nachschauverfahren,
• vollständiger Jahresbericht.

Interne Revision bei Instituten mit weniger als zehn Mitarbeitern

Eine Besonderheit der WpI MaRisk ist die konkrete Regelung für sehr kleine Organisationen. Grundsätzlich ist eine unabhängige Interne Revision einzurichten, soweit dies nach Art, Umfang, Komplexität und Risikogehalt der Geschäfte angemessen und verhältnismäßig ist. Ist eine eigene Revisionseinheit unverhältnismäßig, können die Aufgaben durch einen Geschäftsleiter wahrgenommen werden. Sind sowohl eine eigene Revisionseinheit als auch die Aufgabenwahrnehmung durch einen Geschäftsleiter unverhältnismäßig, kann die Aufgabenwahrnehmung entfallen.

Die BaFin formuliert dazu eine konkrete Regelvermutung: Bei einem Wertpapierinstitut mit weniger als zehn Mitarbeitern bzw. entsprechenden Vollzeitäquivalenten einschließlich der Geschäftsleiter wird regelmäßig von einer Unverhältnismäßigkeit einer unabhängigen Revisionseinheit sowie der Aufgabenwahrnehmung durch einen Geschäftsleiter ausgegangen. Der Umfang ausgelagerter Bereiche muss dabei angemessen eingerechnet werden.

Die Aussage „Unter zehn Mitarbeitern ist keine Interne Revision erforderlich" wäre dennoch zu pauschal. Denn die Regelvermutung entfällt insbesondere dann, wenn das Institut:

• Eigentum oder Besitz an Kundengeldern oder Kundenwertpapieren erlangt,
• komplexe Produkte vertreibt,
• ein MTF betreibt,
• oder ein OTF betreibt.

In diesen Fällen ist eine unabhängige Revisionseinheit in der Regel angemessen und verhältnismäßig. Für die Praxis bedeutet dies: Nicht allein die Mitarbeiterzahl entscheidet, sondern das tatsächliche Geschäfts- und Risikoprofil.

WpI MaRisk: Auslagerung der Internen Revision

Die WpI MaRisk ermöglichen eine vollständige oder teilweise Auslagerung der Internen Revision. Die Verantwortung der Geschäftsleiter wird dadurch jedoch nicht auf das Auslagerungsunternehmen übertragen; Leitungsaufgaben der Geschäftsleiter dürfen nicht ausgelagert werden. Bei Auslagerungen von Tätigkeiten der Internen Revision muss in besonderem Maße sichergestellt sein, dass die notwendigen Kenntnisse im Institut verbleiben und die Geschäftsleiter weiterhin in der Lage sind, ihre Verantwortung wahrzunehmen.

Für die Interne Revision formuliert die BaFin drei besonders wichtige Anforderungen: Im auslagernden Wertpapierinstitut muss Revisionsbasiswissen verbleiben. Außerdem sind nicht auslagerbar:

• die Letztverantwortung für die Prüfungsplanung,
• die Erstellung des Gesamtberichts,
• die Verfolgung der Mängelbeseitigung.

Damit ist auch bei einer vollständig operativ ausgelagerten Revision eine interne Steuerungs- und Beurteilungsfähigkeit erforderlich. Für Institute, die keine vollständige Auslagerung benötigen, kann ein Co-Sourcing-Modell eine Alternative darstellen: Einzelne Prüfungsgebiete oder Spezialthemen werden extern unterstützt, während Steuerung und wesentliche Revisionsverantwortung im Institut verbleiben. Dies ist eine praktische Organisationsmöglichkeit auf Basis der zulässigen teilweisen Auslagerung – keine eigenständige Vorgabe der BaFin.

Auslagerungsmanagement und DORA: Was die Revision prüfen sollte

AT 9 enthält umfangreiche Anforderungen an das Auslagerungsmanagement. Das Institut muss mittels Risikoanalyse beurteilen, welche Risiken mit einer Auslagerung verbunden sind und welche Auslagerungen unter Risikogesichtspunkten wesentlich sind. Bei besonders weitreichenden Auslagerungen – beispielsweise der vollständigen oder teilweisen Auslagerung von Risikomanagement, Compliance oder Interner Revision – verlangt die BaFin eine intensive Prüfung der Einbindung in das Risikomanagement. Darüber hinaus muss jedes Institut abhängig von Art, Umfang, Komplexität und Risikogehalt seiner Auslagerungen ein zentrales Auslagerungsmanagement einrichten, dessen Aufgaben insbesondere die laufende Überwachung der Dienstleistungsqualität und die Pflege eines vollständigen Auslagerungsregisters umfassen.

Eine wichtige Schnittstelle besteht zu DORA: Ausgelagerte oder fremdbezogene IKT-Dienstleistungen, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, fallen nicht in den Anwendungsbereich von AT 9.

Prüfungsschwerpunkte für die Interne Revision:

• vollständige Erfassung relevanter Auslagerungen,
• nachvollziehbare Wesentlichkeits- und Risikoanalysen,
• vollständiges Auslagerungsregister,
• laufende Dienstleisterüberwachung,
• erforderliche Informations- und Prüfungsrechte,
• Steuerung von Weiterverlagerungen,
• korrekte Abgrenzung zwischen AT 9 und DORA.

Vertraglich gebundene Vermittler: besonderes Prüffeld für Haftungsdächer

Für Wertpapierinstitute mit vertraglich gebundenen Vermittlern entsteht ein weiteres relevantes Prüffeld. Nach BTV gilt die Tätigkeit jedes einzelnen vertraglich gebundenen Vermittlers als eigenständige Auslagerung. Das Wertpapierinstitut muss die fachliche Eignung und Zuverlässigkeit des Vermittlers in geeigneter Form nachweisen lassen und dokumentieren; außerdem sind Strategien und Verfahren zur systematischen Überwachung jedes einzelnen Vermittlers erforderlich. Die BaFin nennt als mögliche Überwachungsmaßnahmen unter anderem:

• Stichproben,
• computergestützte Kontrollen,
• Vor-Ort-Prüfungen.

Diese Anforderungen gelten auch für selbständig und räumlich getrennt tätige Vermittler. Prüfungsschwerpunkte für die Interne Revision:

• vollständige Erfassung aller Vermittler,
• dokumentierte Eignungs- und Zuverlässigkeitsprüfung,
• angemessene Risikoanalyse,
• systematische laufende Überwachung,
• Wirksamkeit der eingesetzten Kontrollmaßnahmen,
• Einbindung in das Auslagerungsmanagement.

Geltungsbeginn der WpI MaRisk: Was die Interne Revision bis 2027 prüfen sollte

Die WpI MaRisk gelten ab dem 1. Januar 2027. Damit sollte die Interne Revision die verbleibende Zeit insbesondere nutzen, um die Umsetzungsbereitschaft des Instituts zu beurteilen. Ein sinnvoller Prüfungsansatz ist:

• Gap-Analyse: Welche Anforderungen der WpI MaRisk sind bereits umgesetzt und wo bestehen Lücken?
• Proportionalitätsentscheidungen: Sind in Anspruch genommene Vereinfachungen sachgerecht begründet und dokumentiert?
• Risikomanagement: Sind Risikoinventur, Kapitalplanung und relevante Steuerungsprozesse angepasst?
• Governance: Entsprechen Compliance, Risikomanagement und Interne Revision den Anforderungen an Organisation, Unabhängigkeit und Informationsrechte?
• Eigene Revisionsorganisation: Sind Prüfungsuniversum, Mehrjahresplanung, Mängelklassifizierung, Jahresbericht und Follow-up WpI-MaRisk-konform?
• Auslagerungen: Sind Risikoanalysen, Auslagerungsregister, Verträge, Dienstleistersteuerung und ggf. die Abgrenzung zu DORA überprüft?
• Vermittler: Bei Haftungsdächern: Sind vertraglich gebundene Vermittler vollständig erfasst und wirksam überwacht?

Damit kann die Interne Revision frühzeitig feststellen, ob zum Geltungsbeginn wesentliche organisatorische oder prozessuale Lücken verbleiben.