Topical Requirement Drittparteien: Was die Interne Revision bei Auslagerungen prüfen muss

Seit dem 15. September 2026 ist das Topical Requirement Drittparteien des Institute of Internal Auditors (IIA) nach den IIA-Berufsstandards bei einschlägigen Prüfungsleistungen verbindlich anzuwenden. Es legt einen Mindestrahmen für die Beurteilung von Drittparteienprozessen durch die Interne Revision fest. Für Kreditinstitute kommt es darauf an, diesen Rahmen mit den bestehenden aufsichtlichen Prüfungsmaßstäben abzugleichen und die Anwendung nachvollziehbar zu dokumentieren.

Für Institute stellt sich damit eine praktische Frage: Was verlangt das Requirement über MaRisk und DORA hinaus? Die aufsichtlichen Anforderungen an das Auslagerungsmanagement sind bekannt und werden von der Internen Revision seit Jahren geprüft.

Dieser Beitrag betrachtet das Requirement aus Sicht der Internen Revision eines Kreditinstituts. Dabei zeigt er inhaltliche Überschneidungen, zusätzliche Prüfperspektiven und Möglichkeiten einer nachvollziehbaren Dokumentation auf.

Was ist das Topical Requirement Drittparteien?

Einordnung in die Berufsstandards

Das Topical Requirement Drittparteien (Titel der deutschen Fassung: „Drittparteien Topical Requirement“) ist ein verbindlicher Bestandteil des International Professional Practices Framework (IPPF). Es konkretisiert die Global Internal Audit Standards für das Themenfeld Drittparteien. Das IIA hat es am 15. September 2025 veröffentlicht; anzuwenden ist es jedoch erst seit dem 15. September 2026.

Die Einhaltung ist nach den IIA-Berufsstandards für einschlägige Prüfungsleistungen verbindlich und für Beratungsleistungen empfohlen. Das Requirement ist keine eigenständige gesetzliche Vorschrift. Es richtet sich an die Interne Revision; die darin beschriebenen Prozesse des Managements bilden den Gegenstand ihrer Beurteilung.

Wann ist das Requirement anzuwenden?

Das Requirement ist anzuwenden, wenn das Thema Drittparteien

• Gegenstand eines Auftrags im Revisionsplan ist,
• während der Durchführung eines Auftrags identifiziert wird oder
• Gegenstand eines Auftrags ist, der nicht im ursprünglichen Revisionsplan enthalten war.

Welche Drittparteien erfasst das Topical Requirement?

Der Begriff der Drittpartei ist weit gefasst. Er umfasst Verkäufer, Lieferanten, Auftragnehmer und Unterauftragnehmer ebenso wie ausgelagerte Dienstleister, andere Agenturen und Berater. Einbezogen sind zudem die Vereinbarungen der Drittpartei mit ihren Unterauftragnehmern, auch an vierter oder weiter nachgelagerter Stelle.

Die Interne Revision priorisiert Drittparteien und nachgelagerte Parteien dabei risikoorientiert. Nicht erfasst sind dagegen indirekte externe Beziehungen, etwa zu Aufsichtsbehörden, Bevollmächtigten oder Treuhändern/Vorstandsmitgliedern, sowie interne Beziehungen, etwa zu Mitarbeitern.

Die 17 Anforderungen im Überblick

Das Topical Requirement gliedert sich in drei Bereiche mit insgesamt 17 Anforderungen. Zudem betrachtet es die Drittparteienbeziehung über ihren gesamten Lebenszyklus: Auswahl, Vertragsabschluss, Onboarding, Überwachung und Offboarding.

Die folgende Übersicht fasst die Anforderungen verkürzt zusammen. Für die konkrete Anwendung ist der vollständige Wortlaut des Requirements maßgeblich.

• Governance (4 Anforderungen): formeller Ansatz für die Entscheidung über einen Vertrag mit einer Drittpartei, Richtlinien und Verfahren über den gesamten Lebenszyklus, Aufgaben und Zuständigkeiten sowie Kommunikation mit den relevanten Stakeholdern.
• Risikomanagement (4 Anforderungen): standardisierte und umfassende Prozesse, regelmäßige Ermittlung und Beurteilung der Risiken mit Einstufung und Priorisierung einschließlich nachgelagerter Parteien, angemessene Risikoreaktionen sowie Management und Eskalation von Problemen bis hin zur Beendigung der Geschäftsbeziehung.
• Kontrollen (9 Anforderungen): Due Diligence mit dokumentiertem und genehmigtem Business Case oder einem anderen relevanten Dokument zur Begründung von Bedarf und Art der Beziehung, Auftragsvergabe und -genehmigung, Prüfung, Genehmigung, Unterzeichnung und sichere Aufbewahrung der Verträge einschließlich der Zuordnung eines verantwortlichen Vertragsmanagers oder Administrators, vollständiges und aktuelles Verzeichnis aller Drittparteienbeziehungen, Onboarding, kontinuierliche Überwachung, korrigierende Maßnahmen einschließlich Eskalation und Ursachenanalyse, Überwachung von Vertragsablauf und -erneuerung sowie formalisierter Offboarding-Plan.

Inhaltliche Entsprechungen in MaRisk und DORA

Der Prüfungsauftrag nach AT 4.4.3 MaRisk

Die Prüfung von Auslagerungen gehört bereits zum Aufgabenbereich der Internen Revision eines Instituts. Sie prüft risikoorientiert alle Aktivitäten und Prozesse einschließlich der ausgelagerten (AT 4.4.3 Tz. 5 MaRisk), grundsätzlich innerhalb von drei Jahren (AT 4.4.3 Tz. 6 MaRisk). Bei besonderen Risiken ist ein kürzerer Turnus erforderlich. Unter Risikogesichtspunkten nicht wesentliche Aktivitäten und Prozesse sind in die Prüfungsplanung einzubeziehen und innerhalb von fünf Jahren zu prüfen.

Das Topical Requirement ändert daran nichts. Es ergänzt die Prüfungsmaßstäbe um einen berufsständischen Mindestrahmen, dessen einzelne Anforderungen auf ihre Anwendbarkeit zu beurteilen sind.

Aufsichtliche Entsprechungen

Wesentliche Anforderungen des Requirements haben eine aufsichtliche Entsprechung:

• Risikobewertung: Risikoanalyse und Wesentlichkeitseinstufung der Auslagerung (AT 9 Tz. 2 MaRisk).
• Vertrag: Mindestinhalte des Auslagerungsvertrags bei wesentlichen Auslagerungen (AT 9 Tz. 7 MaRisk) sowie wesentliche Vertragsbestimmungen für IKT-Dienstleistungen (Art. 30 DORA).
• Verzeichnis: Auslagerungsregister (§ 25b Abs. 1 Satz 4 KWG, AT 9 Tz. 12 MaRisk) und Informationsregister (Art. 28 Abs. 3 DORA).
• Überwachung: Steuerung der mit Auslagerungen verbundenen Risiken und ordnungsgemäße Überwachung der Ausführung; bei wesentlichen Auslagerungen einschließlich laufender Leistungsüberwachung (AT 9 Tz. 9 MaRisk).
• Weiterverlagerung: vertragliche Vorgaben und Geltung der Anforderungen auch bei Weiterverlagerungen (AT 9 Tz. 8 und 11 MaRisk).
• Berichterstattung: Bericht des zentralen Auslagerungsmanagements an die Geschäftsleitung (AT 9 Tz. 13 MaRisk).
• Beendigung: Handlungsoptionen und Ausstiegsstrategien bei wesentlichen Auslagerungen (AT 9 Tz. 6 MaRisk) sowie Ausstiegsstrategien für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen (Art. 28 Abs. 8 DORA).

Das Requirement ersetzt die aufsichtlichen Vorgaben jedoch nicht. Die jeweils einschlägigen Vorgaben aus § 25b KWG, MaRisk und DORA einschließlich ergänzender Rechtsakte bleiben Prüfungsmaßstäbe. Zudem führt die Auslagerung nicht zu einer Delegation der Verantwortung der Geschäftsleitung an das Auslagerungsunternehmen (AT 9 Tz. 4 MaRisk).

Zusätzliche Prüfperspektiven und Abgleich mit bestehenden Anforderungen

Breiterer Anwendungsbereich

Das Requirement knüpft nicht an den aufsichtlichen Auslagerungsbegriff an. Nach der Erläuterung zu AT 9 Tz. 1 MaRisk ist sonstiger Fremdbezug nicht als Auslagerung zu qualifizieren. Ausgelagerte oder fremdbezogene IKT-Dienstleistungen, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, fallen nicht in den Anwendungsbereich des AT 9. Auch beim sonstigen Fremdbezug ist jedoch die Ordnungsmäßigkeit der Geschäftsorganisation nach § 25a Abs. 1 KWG zu wahren.

Für das Requirement ist entscheidend, ob Drittparteienrisiken Gegenstand des Prüfungsauftrags sind oder im Auftrag identifiziert werden. Deshalb ist seine Anwendbarkeit auch bei Prüfungen des Einkaufs, des sonstigen Fremdbezugs oder des IKT-Drittparteienrisikomanagements zu beurteilen.

Lebenszyklus und konkrete Prüfungsinhalte

Der Lebenszyklusansatz ist auch aufsichtlich verankert. Die Erläuterung zu AT 5 Tz. 3 MaRisk verlangt, dass Regelungen für Auslagerungen die zentralen Phasen des Lebenszyklus abdecken. Art. 4 der Delegierten Verordnung (EU) 2024/1773 konkretisiert im DORA-Regelwerk die Lebenszyklusphasen vertraglicher Vereinbarungen über IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen. Dazu gehören unter anderem Planung, Umsetzung, Überwachung und Management sowie Ausstieg und Beendigung.

Das Requirement benennt unter anderem dokumentierte Onboarding-Prozesse, die Überwachung von Vertragsablauf und -erneuerung sowie einen formalisierten Offboarding-Plan. Diese Punkte sollten im bestehenden Prüfungsprogramm ausdrücklich zugeordnet werden. Ob zusätzliche Prüfungshandlungen erforderlich sind, ergibt sich aus dem konkreten Abgleich; ein generelles Hinausgehen über MaRisk und DORA lässt sich daraus nicht ableiten.

Spezifischer Nachweis der Anwendbarkeit

Die Revision muss nachweisen, dass sie die Anwendbarkeit jeder einzelnen Anforderung beurteilt hat. Für anwendbare Anforderungen sind die durchgeführten Beurteilungen und ihre Ergebnisse nachvollziehbar zu dokumentieren (vgl. AT 4.4.3 Tz. 10 MaRisk). Der Nachweis ergänzt die ohnehin erforderliche Auftragsdokumentation.

Anwendbarkeit und Nachweis im Quality Assessment

Was zu dokumentieren ist

Die Einhaltung der Topical Requirements wird im Rahmen der Qualitätsbeurteilung (Quality Assessment) bewertet. Die Interne Revision muss deshalb nachweisen, dass sie jede Anforderung auf ihre Anwendbarkeit geprüft hat. Schließt sie eine Anforderung aus, ist zudem die Begründung zu dokumentieren. Die Anwendbarkeit bestimmt die Revision dabei auf Grundlage der Risikobeurteilung und ihres fachlichen Urteils.

Typische Fehlerquellen vermeiden

Aus dem Wortlaut des Requirements und des IIA-User-Guides lassen sich vier Fehlerquellen ableiten:

• Späte Auseinandersetzung: Das Requirement ist nicht nur bei geplanten Drittparteienprüfungen anzuwenden, sondern auch, wenn das Thema während der Durchführung eines Auftrags identifiziert wird. Die Anwendbarkeit sollte deshalb in der Revisionsplanung berücksichtigt und bei neuen Erkenntnissen während des Auftrags erneut beurteilt werden.
• Zu strikte Auslegung: Nicht alle einzelnen Anforderungen sind bei jedem Auftrag anwendbar. Zudem können die Anforderungen in einem oder mehreren Revisionsaufträgen abgedeckt werden.
• Fehlende Dokumentation: Nachweise dafür, dass die Anwendbarkeit jeder einzelnen Anforderung beurteilt wurde, sind zu dokumentieren und aufzubewahren. Ausschlüsse sind zu begründen.
• Zu formale Nachweisprozesse: Die Dokumentation kann im Revisionsplan oder in den Arbeitspapieren erfolgen. Das Dokumentationstool des User Guides ist ausdrücklich nicht verbindlich.

Die Anwendbarkeitsmatrix

Als praktische Umsetzungshilfe bietet sich eine Anwendbarkeitsmatrix an. Sie ist keine vom IIA vorgeschriebene Dokumentationsform. Sinnvoll sind je Anforderung die Entscheidung zur Anwendbarkeit, die Begründung eines Ausschlusses und bei anwendbaren Anforderungen die Zuordnung zu Prüfungsauftrag, Prüfungshandlungen, Ergebnissen und Arbeitspapieren.

„Nicht anwendbar“ und „durch einen anderen Auftrag abgedeckt“ sollten getrennt erfasst werden. Die Abdeckung in einem anderen Auftrag ist kein Ausschlussgrund; sie sollte konkret referenziert werden. Eine Matrix unterstützt die Nachvollziehbarkeit, ersetzt aber weder die erforderlichen Prüfungshandlungen noch deren Dokumentation.

Der IIA-User-Guide stellt dafür ein optionales Dokumentationstool bereit (Anhang B) mit den Spalten „Abgedeckt oder Grund für Ausschluss“ und „Referenz zur Dokumentation“. Die Dokumentation kann danach im Revisionsplan oder in den Arbeitspapieren erfolgen; zudem können die Anforderungen über mehrere Prüfungen hinweg abgedeckt werden.

Nutzung anderweitiger Revisionsergebnisse bei Auslagerungen

Die Interne Revision des Instituts kann im Fall von Auslagerungen auf eigene Prüfungshandlungen verzichten, sofern anderweitig eine Revisionstätigkeit durchgeführt wird, die den aufsichtlichen Anforderungen genügt, und die relevanten Prüfungsergebnisse weitergegeben werden (AT 9 Tz. 4 MaRisk). Sie muss sich jedoch regelmäßig von der Einhaltung dieser Voraussetzungen überzeugen. Die Revisionstätigkeit kann beispielsweise durch die Interne Revision des Auslagerungsunternehmens oder durch einen beauftragten Dritten übernommen werden (Erläuterung zu AT 9 Tz. 4 MaRisk).

Behandelt die Interne Revision die Auslagerung in einem eigenen Auftrag, etwa zur Würdigung der weitergegebenen Ergebnisse, ist das Requirement auch dort auf seine Anwendbarkeit zu beurteilen. Als Umsetzungshilfe empfiehlt sich, die verwendeten Ergebnisse den anwendbaren Anforderungen zuzuordnen und verbleibenden eigenen Prüfungsbedarf festzuhalten. Nach der Erläuterung zu AT 9 Tz. 4 MaRisk darf sich die Revision bei wesentlichen Auslagerungen nicht allein auf Nachweise oder Zertifikate auf Basis gängiger Standards stützen.

Umsetzung des Topical Requirements in der Revisionspraxis

Die folgenden Schritte sind praktische Umsetzungsempfehlungen. Ob bestehende Verfahren ausreichen oder zusätzliche Prüfungsaufträge erforderlich sind, hängt von Risiken und bisheriger Abdeckung ab:

• Revisionshandbuch: Aufnahme einer Regelung zum Umgang mit Topical Requirements, einschließlich der Zuständigkeit für die Beurteilung der Anwendbarkeit.
• Prüfungsuniversum und Planung: Kennzeichnung aller Prüffelder mit Drittparteienbezug, also neben dem Auslagerungsmanagement auch Einkauf, sonstiger Fremdbezug und IKT-Drittparteienrisikomanagement.
• Arbeitsprogramm: Abgleich der bestehenden Prüfungshandlungen zu MaRisk und DORA einschließlich einschlägiger ergänzender Rechtsakte mit den 17 Anforderungen; Ergänzung festgestellter Lücken. Onboarding, Fristenüberwachung und Offboarding sollten dabei ausdrücklich zugeordnet werden.
• Arbeitspapiere: Festlegung eines einheitlichen Nachweisverfahrens für betroffene Prüfungsaufträge, beispielsweise durch eine Anwendbarkeitsmatrix mit Verweisen auf die tatsächliche Prüfung und auf gegebenenfalls andere abdeckende Aufträge.

Institute, deren Revision bereits ein Mapping zu den Global Internal Audit Standards führt, sollten das Requirement daher dort integrieren. Ein gemeinsamer Nachweis kann Doppelarbeit verringern, sofern die jeweiligen Anforderungen und Prüfungsergebnisse eindeutig zugeordnet bleiben.

Fehlen dafür eigene Kapazitäten, kann das Co-Sourcing den Zugang zu externem Spezialwissen ermöglichen. Die konkrete Ausgestaltung muss die einschlägigen aufsichtlichen und berufsständischen Anforderungen erfüllen. Bei einem Modell mit interner Revisionsleitung bleibt diese für die Erfüllung ihrer Aufgaben verantwortlich.

Fazit zum Topical Requirement Drittparteien

Das Topical Requirement Drittparteien ergänzt die aufsichtlichen Prüfungsmaßstäbe um einen berufsständischen Mindestrahmen. Besonders relevant sind sein breiter Drittparteienbezug und der ausdrückliche Nachweis, dass jede Anforderung auf ihre Anwendbarkeit beurteilt wurde.

Für die Umsetzung empfiehlt sich ein Abgleich mit den vorhandenen Prüfungsprogrammen. Entscheidend sind die fachliche Bearbeitung der anwendbaren Anforderungen, die Berücksichtigung gegebenenfalls zusätzlicher risikobedingter Prüfaspekte und eine nachvollziehbare Dokumentation. Eine Anwendbarkeitsmatrix kann diese Arbeit unterstützen; sie allein belegt noch keine vollständige Einhaltung der Berufsstandards.