Interne Revision AT 4.4.3: BT 2 entfällt – was von der Vorlagepflicht an das Aufsichtsorgan bleibt

Mit dem Rundschreiben 06/2026 (BA) vom 30. Juni 2026 hat die BaFin die Mindestanforderungen an das Risikomanagement neu gefasst. Für die Interne Revision ist die auffälligste Änderung zunächst struktureller Natur: Das Modul BT 2, das bislang die besonderen Anforderungen an die Ausgestaltung der Internen Revision enthielt, existiert in dieser Form nicht mehr. Die Anforderungen sind vollständig in AT 4.4.3 überführt worden; zudem trägt die Bezeichnung BT 2 nun das Modul „Anforderungen an die Risikoberichterstattung“.

Auf den ersten Blick wirkt das wie eine redaktionelle Umstrukturierung. Die Primärquelle zeigt jedoch mehr: stärker verankerte Governance, geschärften Strategiebezug, vorausschauendere Prüfungsplanung und ein gestrafftes Berichtswesen. Deshalb schließt dieser Beitrag unsere Serie zur 9. MaRisk-Novelle ab und ordnet ein, was für die Interne Revision bleibt.

Worum es geht: der Wegfall des BT 2 – redaktionell oder Substanz?

Von rund 25 auf zwölf Textziffern

In der Fassung vom 29. Mai 2024 war die Interne Revision auf zwei Module verteilt. Zunächst regelte AT 4.4.3 mit sechs Textziffern die Grundlagen; ferner ergänzte BT 2 in fünf Unterabschnitten (BT 2.1 bis BT 2.5) weitere neunzehn Textziffern zu Aufgaben, Grundsätzen, Prüfungsplanung, Berichtspflicht und Mängelbeseitigung. In der Fassung vom 30. Juni 2026 steht dagegen alles in einem einzigen Modul: AT 4.4.3 mit zwölf Textziffern. Somit sind aus rund 25 Textziffern zwölf geworden.

Diese Straffung ist allerdings nicht nur Redaktion. Einzelne Anforderungen sind nämlich ersatzlos entfallen, andere sind hingegen neu hinzugekommen oder verschärft worden.

Was ersatzlos entfallen ist

• die ausdrückliche Vorlage des Quartals- und Jahresberichts an das Aufsichtsorgan (BT 2.4 Tz. 4 alt),
• das direkte Auskunftsrecht des Vorsitzenden des Aufsichtsorgans bei der Revisionsleitung (AT 4.4.3 Tz. 2 alt),
• die Vorab-Information des Aufsichtsorgans bei einem Wechsel der Revisionsleitung (AT 4.4.3 Tz. 6 alt),
• die Stellungnahmepflicht der geprüften Organisationseinheit bei Uneinigkeit über Maßnahmen (BT 2.4 Tz. 3 alt).

Was neu hinzugekommen oder verschärft wurde

• der ausdrückliche Bezug auf die wirksame Umsetzung der Risikostrategie (AT 4.4.3 Tz. 5),
• das nunmehr vollständige und uneingeschränkte Informations- und Zugriffsrecht (AT 4.4.3 Tz. 1),
• die vorausschauende Beurteilung der Planeinhaltung (AT 4.4.3 Tz. 9),
• ein fester Fünf-Jahres-Turnus für unter Risikogesichtspunkten nicht wesentliche Aktivitäten und Prozesse (AT 4.4.3 Tz. 6).

Insbesondere der letzte Punkt verdient Beachtung. Nach BT 2.3 Tz. 1 alt konnte bei nicht wesentlichen Aktivitäten und Prozessen nämlich „vom dreijährigen Turnus abgewichen werden“ – und zwar ohne Obergrenze. Nach AT 4.4.3 Tz. 6 sind diese Aktivitäten dagegen „in die Prüfungsplanung zu integrieren und innerhalb von fünf Jahren zu prüfen“. Folglich ist das für Institute mit einem großen Bestand als unwesentlich eingestufter Prüfobjekte eine echte Verschärfung.

Neue Verortung: die Interne Revision in AT 4.4.3

Gleichrang mit den anderen internen Kontrollfunktionen

Die Interne Revision ist in den MaRisk 06/2026 dort geregelt, wo auch die beiden anderen internen Kontrollfunktionen stehen. Zunächst behandelt AT 4.4.1 die Risikocontrolling-Funktion, danach AT 4.4.2 die Compliance-Funktion und schließlich AT 4.4.3 die Interne Revision. Gerade diese Parallelität ist der eigentliche Gewinn der Umstrukturierung. Damit bildet das Rundschreiben nämlich die Systematik des § 1 Abs. 2a KWG ab, der die drei Funktionen gemeinsam als interne Kontrollfunktionen definiert. Überdies fügt sich die neue Ordnung schlüssig in das Drei-Linien-Modell ein.

Neu: das Zugriffsrecht in AT 4.4.3 Tz. 1

AT 4.4.3 Tz. 1 bündelt die Grundlagen: „Jedes Institut muss über eine funktionsfähige Interne Revision verfügen. Planung, Methoden und Qualität der Revision sind regelmäßig und anlassbezogen zu überprüfen und weiterzuentwickeln. Zur Wahrnehmung ihrer Aufgaben ist der Internen Revision ein vollständiges und uneingeschränktes Informations- und Zugriffsrecht einzuräumen. Dies gilt auch bei der Begleitung wesentlicher Projekte.“

Der Begriff des Zugriffsrechts ist dabei neu. Die Fassung 2024 sprach in AT 4.4.3 Tz. 4 nämlich lediglich vom „Informationsrecht“ und beschrieb dessen Inhalt anschließend. Deshalb ist die neue Formulierung für Prüfungen in IT-Systemen und Datenbeständen die deutlich klarere Anspruchsgrundlage.

Was aus der Projektbegleitung geworden ist

Bemerkenswert ist überdies, was mit der Projektbegleitung geschehen ist. BT 2.1 Tz. 2 alt formulierte zwar eine Pflicht: Die Interne Revision „hat […] bei wesentlichen Projekten begleitend tätig zu sein“. AT 4.4.3 Tz. 1 stellt dagegen in erster Linie klar, dass das Informations- und Zugriffsrecht auch bei der Begleitung wesentlicher Projekte gilt.

Meinung des Verfassers: Ein Rückzug aus der Projektbegleitung lässt sich daraus jedoch nicht ableiten. Ein risikoorientierter Prüfungsansatz nach AT 4.4.3 Tz. 5 und 6 führt bei wesentlichen Projekten nämlich regelmäßig ohnehin zu einer Begleitung. Wer die Projektbegleitung im Revisionshandbuch bislang mit BT 2.1 Tz. 2 begründet hat, sollte die Begründung allerdings auf die neue Systematik umstellen.

Unverändert bleibt schließlich die organisatorische Zuordnung: „Die Interne Revision ist direkt der Geschäftsleitung unterstellt und berichtet an diese“ (AT 4.4.3 Tz. 2). Selbständigkeit und Unabhängigkeit sind dabei gewahrt; zudem steht das Direktionsrecht der Geschäftsleitung zur Anordnung zusätzlicher Prüfungen dem nicht entgegen.

Geschärfte Governance und Strategiebezug (AT 4.4.3 Tz. 5)

Der neue Wortlaut des Prüfungsmaßstabs

Der Prüfungsmaßstab der Internen Revision ist in AT 4.4.3 Tz. 5 neu gefasst: „Die Interne Revision prüft unabhängig und risikoorientiert alle Aktivitäten und Prozesse des Instituts, einschließlich der ausgelagerten Tätigkeiten. Sie prüft die Ordnungsmäßigkeit der Geschäftsorganisation im Allgemeinen und des Risikomanagements, einschließlich der wirksamen Umsetzung der Risikostrategie, und des internen Kontrollsystems im Besonderen.“

Der Vergleich mit AT 4.4.3 Tz. 3 alt zeigt die Verschiebung deutlich. Dort hieß es nämlich, die Interne Revision habe „die Wirksamkeit und Angemessenheit des Risikomanagements im Allgemeinen und des internen Kontrollsystems im Besonderen sowie die Ordnungsmäßigkeit grundsätzlich aller Aktivitäten und Prozesse zu prüfen und zu beurteilen“. Von der Risikostrategie war dabei nicht die Rede. Nunmehr ist die wirksame Umsetzung der Risikostrategie dagegen ausdrücklich Prüfungsgegenstand.

Was der Strategiebezug für die Prüfungspraxis bedeutet

Für die Prüfungspraxis heißt das Folgendes: Die Revision beurteilt nicht mehr nur, ob Prozesse und Kontrollen ordnungsgemäß funktionieren. Zudem beurteilt sie, ob die von der Geschäftsleitung festgelegte Risikostrategie im Institut tatsächlich ankommt – beispielsweise in Limitsystemen, in Kompetenzordnungen, im Neu-Produkt-Prozess, in der Vergütungssystematik und in der gelebten Risikokultur. Damit rückt die Interne Revision näher an die Governance-Ebene, auf der auch das Aufsichtsorgan nach AT 3.2 arbeitet.

Ebenfalls ausdrücklich genannt sind überdies die ausgelagerten Tätigkeiten. Diese Aussage entspricht zwar der Sache nach AT 4.4.3 Tz. 3 alt („unabhängig davon, ob diese ausgelagert sind oder nicht“); allerdings steht sie jetzt an prominenter Stelle im Prüfungsmaßstab selbst.

Meinung des Verfassers: Der Strategiebezug ist die inhaltlich bedeutsamste Änderung der Novelle für die Interne Revision – und zwar deutlich gewichtiger als der Wegfall des BT 2. Deshalb verlangt er, das Prüfungsuniversum um eine Strategiedimension zu erweitern und in den Prüfungsprogrammen den Bezug zur Risikostrategie explizit auszuweisen. Wer das nicht dokumentiert, wird es folglich in der nächsten Prüfung nach § 44 KWG oder im Quality Assessment schwer belegen können.

Vorausschauende Prüfungsplanung (AT 4.4.3 Tz. 9)

Der Quartalsbericht nach AT 4.4.3 Tz. 9

Die Berichtspflicht der Internen Revision ist in AT 4.4.3 Tz. 9 geregelt: „Die Interne Revision muss mindestens vierteljährlich einen Bericht erstellen und der Geschäftsleitung vorlegen. Der Bericht enthält insbesondere die im Berichtsquartal durchgeführten Prüfungen und festgestellten wesentlichen Mängel, einschließlich der Maßnahmen zu deren Beseitigung und deren Status, sämtliche noch nicht behobene wesentliche Mängel aus anderen Berichtsquartalen sowie eine Beurteilung der (voraussichtlichen) Einhaltung des Prüfungsplans. Über besonders schwerwiegende Mängel ist unverzüglich zu berichten.“

Von der Rückschau zur Prognose

Der eingeklammerte Zusatz „(voraussichtlichen)“ ist neu und ändert dadurch den Charakter der Aussage. BT 2.4 Tz. 4 alt verlangte nämlich lediglich darzulegen, „ob und inwieweit die Vorgaben des Prüfungsplans eingehalten wurden“ – also eine rückblickende Feststellung. Künftig muss die Interne Revision dagegen quartalsweise auch eine Prognose abgeben, ob der Prüfungsplan zum Jahresende erfüllt sein wird.

Das setzt allerdings eine belastbare unterjährige Kapazitäts- und Fortschrittssteuerung voraus: Ist-Aufwand je Prüfung, Restaufwand bis Jahresende sowie die Auswirkungen von Sonderprüfungen, Vakanzen und Abwesenheiten. Infolgedessen müssen Institute, die ihre Planerfüllung bislang nur als Quote abgeschlossener Prüfungen gemeldet haben, ihr Berichtswesen erweitern. Gerade in kleineren Revisionseinheiten, in denen eine einzige Vakanz die Jahresplanung gefährdet, ist die Prognose zudem ein wirksames Frühwarninstrument – und damit ein sachlicher Anlass, Ressourcen rechtzeitig über Co-Sourcing zu ergänzen.

Turnusregeln der Prüfungsplanung

Auch die Planungsgrundlage selbst ist geschärft. Nach AT 4.4.3 Tz. 6 muss die Tätigkeit der Internen Revision nämlich auf einem umfassenden, risikoorientierten und jährlich fortzuschreibenden Prüfungsplan basieren. Ferner ist die Risikobewertung regelmäßig zu überprüfen; dabei muss sie „eine Analyse des Risikopotenzials und möglicher Veränderungen der Aktivitäten und Prozesse sowie unterschiedliche Risikoquellen und die Manipulationsanfälligkeit“ berücksichtigen. Der Regelturnus von drei Jahren bleibt; bei besonderen Risiken ist jedoch ein kürzerer Turnus erforderlich, und nicht wesentliche Aktivitäten und Prozesse sind schließlich innerhalb von fünf Jahren zu prüfen.

Die Vorlagepflicht ans Aufsichtsorgan: aus AT 4.4.3 verschwunden …

AT 4.4.3 nennt das Aufsichtsorgan nicht mehr

Hier liegt der Kern der Novelle für das Berichtswesen der Internen Revision. In AT 4.4.3 kommt das Wort „Aufsichtsorgan“ kein einziges Mal mehr vor. Der Quartalsbericht ist nach Tz. 9 nämlich ausschließlich „der Geschäftsleitung“ vorzulegen. Ebenso nennt AT 4.4.3 Tz. 8 bei schwerwiegenden Feststellungen gegen Geschäftsleiter nur noch die Geschäftsleitung, die BaFin und die Deutsche Bundesbank.

Der Vergleich mit BT 2.4 Tz. 4 alt macht den Unterschied deutlich. Dort hieß es zunächst, die Interne Revision habe den Quartalsbericht „zeitnah der Geschäftsleitung und dem Aufsichtsorgan vorzulegen“. Ferner habe sie über die im Jahresablauf festgestellten schwerwiegenden sowie über die noch nicht behobenen wesentlichen Mängel „an die Geschäftsleitung und das Aufsichtsorgan zu berichten (Jahresbericht)“. Beides war somit eine Bringschuld der Internen Revision selbst.

AT 3.2 Tz. 2 Satz 6: die Pflicht ist verlagert, nicht entfallen

Damit ist zweierlei festzuhalten. Erstens ist der ausdrücklich vorgeschriebene Jahresbericht an das Aufsichtsorgan im Rundschreiben ersatzlos entfallen. Zweitens ist die regelmäßige Vorlage der Quartalsberichte dagegen nicht entfallen, sondern verlagert worden – und zwar in das neue Modul AT 3.2 „Verantwortung des Aufsichtsorgans und seiner Ausschüsse“.

AT 3.2 Tz. 2 Satz 6 lautet: „Das Aufsichtsorgan erhält den Bericht der Compliance-Funktion sowie die regelmäßigen Berichte der Internen Revision gemäß AT 4.4.3 Tz. 9 zur Kenntnis.“ Die Pflicht besteht folglich fort, ist allerdings anders zugerechnet: Sie steht nämlich nicht mehr im Pflichtenkreis der Internen Revision, sondern in einem Modul, das die Einbindung des Aufsichtsorgans regelt. Überdies ist sie als Empfangs- statt als Vorlagepflicht formuliert.

Dieselbe Verschiebung bei der Compliance-Funktion

Dieselbe Verschiebung trifft zudem die Compliance-Funktion. AT 4.4.2 Tz. 7 alt bestimmte nämlich: „Die Berichte sind auch an das Aufsichtsorgan und die Interne Revision weiterzuleiten.“ Nach AT 4.4.2 Tz. 6 berichtet die Compliance-Funktion dagegen mindestens jährlich sowie anlassbezogen an die Geschäftsleitung; der Bericht „wird an die Interne Revision weitergegeben“. Das Aufsichtsorgan ist hier somit kein eigenständiger Adressat mehr – es erhält den Bericht vielmehr über AT 3.2 Tz. 2 Satz 6.

Meinung des Verfassers: Wer die MaRisk 06/2026 nur modulweise liest und dabei bei AT 4.4.3 stehen bleibt, kommt zu dem Schluss, die Berichterstattung an das Aufsichtsorgan sei entfallen. Dieser Schluss wäre jedoch falsch – und in der Konsequenz aufsichtsrechtlich riskant.

… aber im KWG verankert

Ein Rundschreiben der BaFin konkretisiert zwar das Gesetz; es kann gesetzliche Pflichten jedoch weder aufheben noch einschränken. Die Berichtspflicht der Internen Revision an das Aufsichtsorgan folgt nämlich unmittelbar aus dem KWG – und dort ist sie überdies ausdrücklich der Internen Revision selbst zugewiesen.

Zunächst stellt § 1 Abs. 2a KWG den Begriff klar: „Interne Kontrollfunktionen im Sinne dieses Gesetzes sind die Risikocontrolling-Funktion, die Compliance-Funktion und die Interne Revision.“

§ 25c Abs. 4a Nr. 3 KWG: Berichtspflicht, Zugang und Abberufung

§ 25c Abs. 4a Nr. 3 KWG verpflichtet die Geschäftsleiter, eine ordnungsgemäße Geschäftsorganisation einzurichten, die insbesondere sicherstellt, dass

• lit. g) „die interne Revision in angemessenen Abständen, mindestens aber vierteljährlich, an die Geschäftsleitung und an das Aufsichts- oder Verwaltungsorgan berichtet“;
• lit. h) die Leiter der internen Kontrollfunktionen über hinreichende Autorität und einen direkten Zugang zum Verwaltungs- oder Aufsichtsorgan verfügen und zudem das Recht haben, „unabhängig von der Geschäftsleitung direkt an das Verwaltungs- oder Aufsichtsorgan zu berichten“;
• lit. i) die Leiter der internen Kontrollfunktionen nur mit vorheriger Zustimmung des Verwaltungs- oder Aufsichtsorgans abberufen werden dürfen.

Damit ist die entscheidende Aussage dieses Beitrags belegt: Die vierteljährliche Berichterstattung der Internen Revision an das Aufsichtsorgan ist eine gesetzliche Pflicht der Internen Revision. AT 3.2 Tz. 2 Satz 6 flankiert sie folglich, ersetzt sie aber nicht – und geht ihr im Zweifel nach.

§ 25d Abs. 9 KWG: Prüfungsausschuss und Auskunftsrecht

Hinzu tritt überdies § 25d Abs. 9 KWG. Nach Satz 1 Nr. 2 unterstützt der Prüfungsausschuss das Verwaltungs- oder Aufsichtsorgan bei der Überwachung „der Wirksamkeit des Risikomanagementsystems, insbesondere des internen Kontrollsystems und der Internen Revision“. Ferner enthält die Vorschrift genau jenes Auskunftsrecht, das aus AT 4.4.3 Tz. 2 alt gestrichen wurde: „Der Vorsitzende des Prüfungsausschusses oder, falls ein Prüfungsausschuss nicht eingerichtet wurde, der Vorsitzende des Verwaltungs- oder Aufsichtsorgans, kann unmittelbar beim Leiter der Internen Revision und beim Leiter des Risikocontrollings Auskünfte einholen. Die Geschäftsleitung muss hierüber grundsätzlich unterrichtet werden.“

Der Streichung im Rundschreiben steht somit eine unveränderte gesetzliche Regelung gegenüber. Praktisch bedeutsam ist dabei lediglich die Adressatenverschiebung: Das Auskunftsrecht liegt nämlich in erster Linie beim Vorsitzenden des Prüfungsausschusses und nur dann beim Vorsitzenden des Aufsichtsorgans, wenn kein Prüfungsausschuss eingerichtet ist.

Der Konfliktfall bleibt im Rundschreiben (AT 3.2 Tz. 2 Satz 8)

Der Ablauf nach AT 4.4.3 Tz. 8 und AT 3.2 Tz. 2

Die Eskalationsregel für den Ernstfall hat die Novelle überstanden – allerdings an anderer Stelle und zudem aufgeteilt auf zwei Module. AT 3.2 Tz. 2 Satz 7 und 8 bestimmen: „Die Geschäftsleitung informiert den Vorsitzenden des Aufsichtsorgans unverzüglich über schwerwiegende Feststellungen der Internen Revision gegen Geschäftsleiter. Kommt die Geschäftsleitung ihrer Berichtspflicht nicht nach oder beschließt sie keine sachgerechten Maßnahmen, so muss die Interne Revision den Vorsitzenden des Aufsichtsorgans unterrichten.“

Ergänzend regelt AT 4.4.3 Tz. 8 den ersten Schritt: „Ergeben sich im Rahmen der Prüfungen schwerwiegende Feststellungen gegen Geschäftsleiter, so muss die Interne Revision der Geschäftsleitung unverzüglich Bericht erstatten. Diese muss unverzüglich die Bafin und die Deutsche Bundesbank informieren.“

In der Fassung 2024 stand beides dagegen zusammen in BT 2.4 Tz. 5. Nunmehr ist der Ablauf auf AT 4.4.3 Tz. 8 (Bericht an die Geschäftsleitung, Meldung an die Aufsicht) und AT 3.2 Tz. 2 Satz 7 und 8 (Information des Vorsitzenden, Selbsteintritt der Revision) verteilt. Inhaltlich ist die Eskalationsstufe jedoch unverändert: Die Interne Revision hat somit im Konfliktfall ein eigenständiges Selbsteintrittsrecht und eine Selbsteintrittspflicht gegenüber dem Vorsitzenden des Aufsichtsorgans.

Meinung des Verfassers: Dass gerade diese Norm nicht im Revisionsmodul steht, ist die praktisch heikelste Folge der Umstrukturierung. Wer den Eskalationspfad im Revisionshandbuch nämlich aus AT 4.4.3 herleiten will, findet ihn dort nicht. Deshalb muss der Verweis auf AT 3.2 Tz. 2 lauten.

Was das für das Revisionshandbuch bedeutet

Normverweise und Berichtspflichten

AT 5 Tz. 3 lit. c) verlangt weiterhin ausdrücklich „Regelungen zur Internen Revision“ als Bestandteil der Organisationsrichtlinien. Damit ist das Revisionshandbuch der Ort, an dem die neue Normenlage abgebildet werden muss. Konkret sind folglich die folgenden Anpassungen angezeigt:

• Aktualisierung sämtlicher Normverweise von BT 2.1 bis BT 2.5 auf AT 4.4.3 Tz. 1 bis 12 sowie auf AT 3.2 Tz. 2. Ein bloßes Suchen-und-Ersetzen genügt dabei nicht, weil die Textziffern inhaltlich neu geschnitten sind.
• Ausdrückliche Verankerung der gesetzlichen Berichtspflicht nach § 25c Abs. 4a Nr. 3 lit. g) KWG: mindestens vierteljährliche Berichterstattung an die Geschäftsleitung und an das Aufsichtsorgan. Da die MaRisk diese Pflicht nicht mehr im Revisionsmodul abbilden, ist der Gesetzesverweis im Handbuch nämlich der einzige verbleibende interne Beleg.
• Beschreibung des Berichtswegs an das Aufsichtsorgan, einschließlich der Frage, ob die Vorlage über die Geschäftsleitung oder unmittelbar erfolgt und ob die Berichterstattung nach AT 3.2 auf einen Ausschuss beschränkt wird.
• Regelung des direkten Berichtsrechts der Revisionsleitung nach § 25c Abs. 4a Nr. 3 lit. h) KWG sowie des Auskunftsrechts nach § 25d Abs. 9 KWG, jeweils einschließlich der Unterrichtung der Geschäftsleitung.

Prüfungsplanung, Eskalation und Jahresbericht

• Anpassung der Quartalsberichtsvorlage um die Beurteilung der voraussichtlichen Einhaltung des Prüfungsplans (AT 4.4.3 Tz. 9) sowie um die Fortschreibung offener wesentlicher Mängel aus früheren Berichtsquartalen.
• Aufnahme des Strategiebezugs in Prüfungsuniversum und Prüfungsprogramme (AT 4.4.3 Tz. 5).
• Umstellung der Turnusregeln: Regelturnus drei Jahre, kürzerer Turnus bei besonderen Risiken und schließlich Fünf-Jahres-Turnus für nicht wesentliche Aktivitäten und Prozesse (AT 4.4.3 Tz. 6).
• Dokumentation des Eskalationspfads für schwerwiegende Feststellungen gegen Geschäftsleiter, und zwar mit Verweis auf AT 4.4.3 Tz. 8 und AT 3.2 Tz. 2 Satz 7 und 8.
• Bewusste Entscheidung zum Jahresbericht: Er ist aufsichtsrechtlich nicht mehr ausdrücklich vorgeschrieben. Meinung des Verfassers: Die Beibehaltung ist dennoch zu empfehlen. Als Gesamtaussage zur Wirksamkeit des internen Kontrollsystems ist er für das Aufsichtsorgan und den Prüfungsausschuss (§ 25d Abs. 9 Satz 1 Nr. 2 KWG) nämlich praktisch kaum ersetzbar; zudem verlangt die Konformität mit den Global Internal Audit Standards ohnehin eine periodische Gesamtbeurteilung.

Fazit

Der Wegfall des BT 2 ist zwar mehr als eine redaktionelle Umstrukturierung; er ist jedoch weniger als eine Deregulierung. Die Anforderungen an die Interne Revision sind nämlich kompakter, dafür aber stärker in die Governance-Systematik der MaRisk eingebettet. Der Prüfungsmaßstab greift dabei auf die Risikostrategie durch, die Planungsberichterstattung wird vorausschauend, und die Einbindung des Aufsichtsorgans ist schließlich aus dem Revisionsmodul in das Modul zur Verantwortung des Aufsichtsorgans gewandert.

Die regelmäßige Vorlage der Revisionsberichte an das Aufsichtsorgan ist somit nicht entfallen. Sie ist vielmehr verlagert – und zwar nach AT 3.2 Tz. 2 Satz 6 – und zudem in ihrer Zurechnung abgeschwächt worden, weil sie dort als Empfangs- und nicht mehr als Vorlagepflicht formuliert ist. Ihre eigentliche Grundlage liegt ohnehin höher, nämlich in § 25c Abs. 4a Nr. 3 lit. g) KWG, der die mindestens vierteljährliche Berichterstattung der Internen Revision an Geschäftsleitung und Aufsichtsorgan unverändert und ausdrücklich anordnet.

Maßgeblich ist deshalb, ob diese gesetzliche Pflicht ausdrücklich im eigenen Revisionshandbuch verankert ist. Solange sie dort nur als Verweis auf ein Rundschreiben stand, das sie inzwischen nicht mehr enthält, besteht folglich Handlungsbedarf. Der Aufwand ist dabei überschaubar – die Wirkung im Quality Assessment und in der Aufsichtsprüfung dagegen erheblich.