Co-Sourcing als Auslagerung: Wann liegt eine Auslagerung nach MaRisk vor?

Ob ein Co-Sourcing der Internen Revision eine Auslagerung im Sinne der MaRisk darstellt, entscheidet über die anwendbaren aufsichtsrechtlichen Pflichten. Die Frage stellt sich für jedes Institut, das seine Interne Revision durch externe Revisorinnen und Revisoren verstärkt.

Die Antwort ergibt sich nicht aus dem Begriff selbst. Die MaRisk verwenden den Begriff „Co-Sourcing“ nicht. Maßgeblich sind vielmehr der Auslagerungsbegriff des AT 9 MaRisk und die besonderen Anforderungen, die für die Interne Revision als besondere Funktion gelten.

Dieser Beitrag behandelt die Einordnung anhand der MaRisk und der Global Internal Audit Standards (GIAS). Ergänzend berücksichtigt er die EBA-Leitlinien zu Auslagerungen (EBA/GL/2019/02). Die praktischen Prüffragen und Umsetzungshinweise sind aus diesen Quellen abgeleitete Empfehlungen; sie ersetzen keine Beurteilung des konkreten Leistungsarrangements.

Was unter Co-Sourcing zu verstehen ist

Die GIAS bestimmen den Begriff in ihrem Glossar. Danach ist Outsourcing eine „Vertragsbeziehung mit einem unabhängigen externen Dienstleister für interne Revisionsleistungen“. Die vollständige Auslagerung bezieht sich dabei auf die Beauftragung der gesamten Internen Revision. Zudem heißt es: „Die teilweise Auslagerung (Co-Sourcing) bedeutet, dass nur ein Teil der Leistungen ausgelagert wird.“

Die MaRisk enthalten dagegen keine Definition des Co-Sourcings. Für Kreditinstitute richtet sich die aufsichtsrechtliche Einordnung deshalb nach dem Auslagerungsbegriff des AT 9 MaRisk. Die berufsständische Definition ersetzt diese Prüfung nicht.

Der Auslagerungsbegriff nach AT 9 Tz. 1 MaRisk

Eine Auslagerung liegt vor, wenn ein anderes Unternehmen mit der Wahrnehmung von Aktivitäten und Prozessen im Zusammenhang mit der Durchführung von Bankgeschäften, Finanzdienstleistungen oder sonstigen institutstypischen Dienstleistungen beauftragt wird, „die ansonsten vom Institut selbst erbracht würden“ (AT 9 Tz. 1 MaRisk). Zivilrechtliche Gestaltungen und Vereinbarungen können das Vorliegen einer Auslagerung dabei nicht von vornherein ausschließen.

Abgrenzung zum sonstigen Fremdbezug

Nicht als Auslagerung zu qualifizieren ist der sonstige Fremdbezug von Leistungen. Hierzu zählt zunächst der einmalige oder gelegentliche Fremdbezug von Gütern und Dienstleistungen. Ebenso erfasst werden Leistungen, die typischerweise von einem beaufsichtigten Unternehmen bezogen werden und aufgrund tatsächlicher Gegebenheiten oder rechtlicher Vorgaben regelmäßig weder zum Zeitpunkt des Fremdbezugs noch in der Zukunft vom Institut selbst erbracht werden können (Erläuterung zu AT 9 Tz. 1 MaRisk).

Auch beim sonstigen Fremdbezug muss das Institut jedoch darauf achten, dass die Ordnungsmäßigkeit der Geschäftsorganisation gemäß § 25a Abs. 1 KWG nicht beeinträchtigt wird.

Prüffragen für Co-Sourcing-Modelle

Für die Einordnung nach AT 9 Tz. 1 MaRisk sollten insbesondere folgende Fragen beantwortet werden:

• Übernimmt der Dienstleister Revisionsaufgaben, die ansonsten von der Internen Revision des Instituts selbst erbracht würden?
• Welche Leistungen übernimmt der Dienstleister tatsächlich, und werden sie einmalig, gelegentlich, wiederkehrend oder fortlaufend erbracht?

Die Vertragsbezeichnung entscheidet nicht über die Einordnung. Nach AT 9 Tz. 1 MaRisk können zivilrechtliche Gestaltungen eine Auslagerung nicht von vornherein ausschließen.

Die Erläuterung zum einmaligen oder gelegentlichen Fremdbezug sollte nicht mit der Anzahl einzelner Bestellungen gleichgesetzt werden. Für die Beurteilung empfiehlt sich eine Gesamtbetrachtung des Leistungsarrangements. EBA/GL/2019/02, Rn. 26, nennt insbesondere die wiederkehrende oder fortlaufende Leistungserbringung und die realistische Erbringbarkeit durch das Institut als Beurteilungsmerkmale. Eine einzelne Bestellung beantwortet die Abgrenzungsfrage daher noch nicht abschließend.

Die Interne Revision als besondere Funktion nach AT 9

Für die Interne Revision gelten bei einer Auslagerung erhöhte Anforderungen. Die Erläuterung zur Risikoanalyse nach AT 9 Tz. 2 MaRisk nennt die vollständige oder teilweise Auslagerung der besonderen Funktionen Risikocontrolling-Funktion, Compliance-Funktion und Interne Revision ausdrücklich als Beispiel einer Auslagerung von erheblicher Tragweite. In diesen Fällen ist „entsprechend intensiv zu prüfen“, ob und wie eine Einbeziehung der ausgelagerten Aktivitäten und Prozesse in das Risikomanagement sichergestellt werden kann.

Zudem bestimmt AT 9 Tz. 4 MaRisk: „Besondere Maßstäbe für Auslagerungsmaßnahmen ergeben sich bei der vollständigen oder teilweisen Auslagerung der besonderen Funktionen Risikocontrolling-Funktion, Compliance-Funktion und Interne Revision.“ Spezialgesetzliche Regelungen sind dabei zu beachten.

Die MaRisk erfassen damit ausdrücklich auch eine teilweise Auslagerung der Internen Revision. Wird ein Co-Sourcing-Modell entsprechend eingeordnet, sind die besonderen Maßstäbe für diese Funktion zu berücksichtigen.

Wesentlichkeit und der ergänzende Maßstab der EBA

EBA/GL/2019/02, Rn. 29 Buchst. b, sieht bei ausgelagerten operativen Aufgaben interner Kontrollfunktionen grundsätzlich eine Einstufung als kritisch oder wesentlich vor. Eine Ausnahme setzt eine Beurteilung voraus, nach der ein Ausfall oder eine unangemessene Leistungserbringung die Wirksamkeit der Kontrollfunktion nicht nachteilig beeinflussen würde. Dieser Maßstab ist bei der Wesentlichkeitsanalyse zu berücksichtigen. Die deutsche Fassung spricht von kritischen oder wesentlichen Funktionen; die Einstufung ist von der Festlegung wesentlicher Auslagerungen nach AT 9 Tz. 2 MaRisk gesondert zu begründen.

Welche Pflichten aus einer Auslagerung folgen

Ist das Co-Sourcing als Auslagerung einzuordnen, gelten die Anforderungen des AT 9 MaRisk. Für die Praxis sind vor allem folgende Punkte relevant:

• Risikoanalyse und Wesentlichkeit: Das Institut muss die Risiken der Auslagerung bewerten und ihre Wesentlichkeit bestimmen. Die Risikoanalyse ist regelmäßig, bei kleinen Instituten alle drei Jahre, zu überprüfen und bei wesentlichen Änderungen der Risikosituation anzupassen. Die maßgeblichen Organisationseinheiten sind einzubeziehen (AT 9 Tz. 2 MaRisk).
• Beendigung: Bei wesentlichen Auslagerungen sind Vorkehrungen für Kontinuität und Qualität nach Beendigung zu treffen. Für eine unbeabsichtigte oder unerwartete Beendigung, die die Geschäftstätigkeit erheblich beeinträchtigen kann, sind Handlungsoptionen zu prüfen und zu verabschieden; soweit sinnvoll und möglich, gehören dazu Ausstiegsstrategien. Handlungsoptionen sind regelmäßig und anlassbezogen zu überprüfen (AT 9 Tz. 6 MaRisk).
• Vertrag: Bei wesentlichen Auslagerungen sind im in Textform dokumentierten Auslagerungsvertrag insbesondere die in AT 9 Tz. 7 MaRisk genannten Inhalte zu vereinbaren, darunter die Spezifizierung der Leistung, angemessene Informations- und Prüfungsrechte der Internen Revision sowie externer Prüfer, Kündigungsrechte und Regelungen zur Weiterverlagerung.
• Weiterverlagerung: Die Anforderungen an die Auslagerung gelten auch bei der Weiterverlagerung; im Vertrag sind möglichst Zustimmungsvorbehalte oder konkrete Voraussetzungen zu vereinbaren (AT 9 Tz. 8 und 11 MaRisk).
• Steuerung und Überwachung: Das Institut muss die mit Auslagerungen verbundenen Risiken angemessen steuern und die Ausführung ordnungsgemäß überwachen; bei wesentlichen Auslagerungen umfasst dies auch die laufende Überwachung der Leistung anhand vorzuhaltender Kriterien (AT 9 Tz. 9 MaRisk).
• Auslagerungsregister: Zu den Aufgaben des zentralen Auslagerungsmanagements gehört die Erstellung und Pflege einer vollständigen Dokumentation der Auslagerungen gemäß § 25b Abs. 1 Satz 4 KWG (AT 9 Tz. 12 MaRisk).
• Berichterstattung: Das zentrale Auslagerungsmanagement berichtet der Geschäftsleitung regelmäßig und anlassbezogen über die wesentlichen Auslagerungen (AT 9 Tz. 13 MaRisk).

Bei Auslagerungen, die unter Risikogesichtspunkten nicht wesentlich sind, sind die allgemeinen Anforderungen an die Ordnungsmäßigkeit der Geschäftsorganisation gemäß § 25a Abs. 1 KWG zu beachten (AT 9 Tz. 3 MaRisk). Weitere Einzelheiten zum Auslagerungsmanagement enthält ein gesonderter Fachbeitrag. Wie ich Institute bei der Prüfung von Auslagerungen unterstütze, zeigt die Seite Auslagerung bei Banken.

Grenzen: Verantwortung und vollständige Auslagerung

Die Verantwortung der Geschäftsleitung bleibt

Die Auslagerung führt nicht zu einer Delegation der Verantwortung der Geschäftsleitung an das Auslagerungsunternehmen. Die Leitungsaufgaben der Geschäftsleitung dürfen nicht ausgelagert werden (AT 9 Tz. 4 MaRisk). Zudem darf die Auslagerung die Ordnungsmäßigkeit der Geschäftsorganisation gemäß § 25a Abs. 1 KWG nicht beeinträchtigen.

Vollständige Auslagerung nur in engen Grenzen

Eine vollständige Auslagerung der Internen Revision ist nach AT 9 Tz. 5 MaRisk für Tochterinstitute innerhalb einer Institutsgruppe zulässig, sofern das auslagernde Institut sowohl nach Größe, Komplexität und Risikogehalt der Geschäftsaktivitäten für den nationalen Finanzsektor als auch hinsichtlich seiner Bedeutung innerhalb der Gruppe als nicht wesentlich einzustufen ist. Gleiches gilt für Gruppen, wenn das Mutterunternehmen kein Institut und im Inland ansässig ist. Ferner ist eine vollständige Auslagerung der Internen Revision bei sehr kleinen Instituten möglich. Sehr kleine Institute sind solche, die im Vierjahresdurchschnitt eine Bilanzsumme von 1 Mrd. Euro nicht überschreiten (Erläuterung zu AT 1 Tz. 3 MaRisk). Welches Modell für welche Größenklasse passt, zeigt der Beitrag Co-Sourcing vs. Outsourcing der Revision.

Bei vollständiger Auslagerung ist nach AT 9 Tz. 10 MaRisk ein unabhängiger und sachkundiger Revisionsbeauftragter zu benennen. Er erstellt den Prüfungsplan gemeinsam mit dem beauftragten Dritten, verfasst gegebenenfalls gemeinsam mit ihm den vierteljährlichen Bericht und überprüft die Mängelbeseitigung. Er ist der Geschäftsleitung unmittelbar zu unterstellen. Bei sehr kleinen Instituten kann ein Geschäftsleiter diese Aufgaben übernehmen, wenn eine Benennung unterhalb der Geschäftsleitung unverhältnismäßig ist.

Außerhalb der genannten Fälle ist eine vollständige Auslagerung nach AT 9 Tz. 5 MaRisk nicht vorgesehen. Eine teilweise Auslagerung ist nur in einem Umfang zulässig, der eine wirksame Überwachung der vom Auslagerungsunternehmen erbrachten Dienstleistungen gewährleistet; zudem muss der ordnungsmäßige Betrieb bei Bedarf, etwa bei Beendigung des Auslagerungsverhältnisses, fortgesetzt werden können (AT 9 Tz. 5 MaRisk). Bei einem Co-Sourcing-Modell mit interner Revisionsleitung ergänzt der externe Dienstleister die im Institut verbleibenden Revisionsleistungen. Umfang, Zuständigkeiten und Abgrenzung zur vollständigen Auslagerung sollten eindeutig dokumentiert werden.

Was für die Interne Revision selbst unverändert gilt

Auch im Co-Sourcing bleiben die Anforderungen des AT 4.4.3 MaRisk an die Interne Revision des Instituts bestehen:

• Funktionsfähigkeit: Jedes Institut muss über eine funktionsfähige Interne Revision verfügen. Ihr ist ein vollständiges und uneingeschränktes Informations- und Zugriffsrecht einzuräumen (AT 4.4.3 Tz. 1 MaRisk).
• Stellung: Die Interne Revision ist direkt der Geschäftsleitung unterstellt, nimmt ihre Aufgaben selbständig und unabhängig wahr und unterliegt bei der Wertung der Prüfungsergebnisse keinen Weisungen (AT 4.4.3 Tz. 2 MaRisk).
• Prüfungsauftrag: Sie prüft unabhängig und risikoorientiert alle Aktivitäten und Prozesse des Instituts, einschließlich der ausgelagerten Tätigkeiten (AT 4.4.3 Tz. 5 MaRisk).
• Prüfungsplanung: Ihre Tätigkeit muss auf einem umfassenden, risikoorientierten und jährlich fortzuschreibenden Prüfungsplan basieren (AT 4.4.3 Tz. 6 MaRisk).
• Dokumentation: Die Prüfungen sind durch nachvollziehbare Arbeitsunterlagen zu dokumentieren; Revisionsberichte und Arbeitsunterlagen sind sechs Jahre aufzubewahren (AT 4.4.3 Tz. 10 MaRisk).

Vom Einsatz externer Dienstleister zu unterscheiden ist der Einsatz von Mitarbeitern anderer Organisationseinheiten des Instituts. Diese dürfen grundsätzlich keine Aufgaben der Internen Revision übernehmen; in begründeten Fällen ist ein temporärer, beratender Einsatz aufgrund von Spezialwissen möglich (AT 4.4.3 Tz. 4 MaRisk).

Die Sicht der Berufsstandards (GIAS)

Die GIAS gehen ausdrücklich davon aus, dass Revisionsleistungen auch durch externe Dienstleister erbracht werden. Die Standards gelten unabhängig davon, ob eine Organisation Interne Revisorinnen und Revisoren direkt beschäftigt, sie über einen externen Dienstleister beauftragt oder beides (GIAS, Domain III, Anwendung dieser Domain). Für das Co-Sourcing sind vor allem folgende Aussagen relevant:

• Verantwortung der Revisionsleitung: Sie ist für die Einhaltung der Standards verantwortlich, unabhängig davon, ob sie direkt von der Organisation oder über einen externen Dienstleister angestellt ist (GIAS, Domain III, Anwendung dieser Domain).
• Beaufsichtigung der Aufträge: Die Revisionsleitung ist für die Beaufsichtigung von Aufträgen verantwortlich, auch wenn diese von anderen Dienstleistern durchgeführt werden. Aufsichtspflichten können delegiert werden, die letzte Verantwortung behält jedoch die Revisionsleitung (GIAS Standard 12.3).
• Kompetenz: Verfügt die Interne Revision insgesamt nicht über die Kompetenz für die angeforderten Leistungen, ist ein Vertrag mit einem unabhängigen, externen Dienstleister zu erwägen (GIAS Standard 3.1, Überlegungen zur Umsetzung).
• Ressourcen: In den Überlegungen zur Umsetzung von Standard 10.2 heißt es: „Externe Dienstleister können spezielle Fähigkeiten bereitstellen oder spezielle Projekte oder Aufträge durchführen.“ Verträge und Lebensläufe der eingesetzten Revisorinnen und Revisoren sind Beispiele geeigneter Nachweise der Einhaltung; daraus folgt keine abschließende, zwingende Dokumentenliste.
• Objektivität: Die Überlegungen zur Umsetzung von Standard 2.3 nennen die externe Durchführung oder Überwachung eines Auftrags als mögliche Maßnahme bei nicht vermeidbaren Beeinträchtigungen der Objektivität. Die konkrete Maßnahme ist anhand der jeweiligen Beeinträchtigung zu bestimmen.

Aufsichtsrechtliche und berufsständische Verantwortung sind zu unterscheiden. Die GIAS berücksichtigen ausdrücklich auch eine über einen externen Dienstleister angestellte Revisionsleitung; sie schreiben deren interne Beschäftigung nicht generell vor. Im hier betrachteten Modell mit interner Revisionsleitung verbleibt die letzte Verantwortung für die Auftragsbeaufsichtigung bei dieser. Delegierte Aufsichtspflichten ändern daran nichts. Die bankaufsichtlichen Grenzen der Auslagerung bleiben daneben maßgeblich.

Prüfschema: Co-Sourcing nach MaRisk einordnen

Das folgende Prüfschema ist eine praktische Arbeitshilfe auf Grundlage der genannten Quellen. Es bildet keine abschließende Liste aller institutsspezifischen Pflichten.

• Leistungsarrangement einordnen: Tatsächlich übernommene Revisionsaufgaben und Art der Leistungserbringung anhand von AT 9 Tz. 1 MaRisk und EBA/GL/2019/02, Rn. 26, beurteilen. Einmaligen oder gelegentlichen Fremdbezug nicht allein aus einer einzelnen Bestellung ableiten. Die Einordnung nachvollziehbar begründen.
• Risiken und Wesentlichkeit beurteilen: AT 9 Tz. 2 MaRisk einschließlich der besonderen Maßstäbe für die Interne Revision anwenden. Bei ausgelagerten operativen Kontrollaufgaben zusätzlich den Maßstab aus EBA/GL/2019/02, Rn. 29 Buchst. b, berücksichtigen. Regelmäßige und anlassbezogene Aktualisierungen vorsehen.
• Folgepflichten bestimmen: Bei Wesentlichkeit insbesondere Vertragsinhalte nach AT 9 Tz. 7 und laufende Leistungsüberwachung nach AT 9 Tz. 9 umsetzen. Beendigungsvorkehrungen, Handlungsoptionen und Ausstiegsstrategien nach Maßgabe von AT 9 Tz. 6 festlegen. Den Umfang so begrenzen, dass eine wirksame Überwachung der Dienstleistungen gewährleistet bleibt (AT 9 Tz. 5 MaRisk).
• In jedem Fall einer Auslagerung: Steuerung und Überwachung (AT 9 Tz. 9 MaRisk) sowie Erfassung im Auslagerungsregister (AT 9 Tz. 12 MaRisk).
• Verantwortlichkeiten festlegen: Verantwortung der Geschäftsleitung nach AT 9 Tz. 4 MaRisk, Stellung der Internen Revision nach AT 4.4.3 Tz. 2 und Verantwortung der Revisionsleitung für die Auftragsbeaufsichtigung nach GIAS Standard 12.3 getrennt abbilden.
• Geeignete Nachweise führen: Prüfungen gemäß AT 4.4.3 Tz. 10 MaRisk dokumentieren und die Beaufsichtigung gemäß GIAS Standard 12.3 nachweisen. Verträge und Lebensläufe können beispielsweise die Eignung externer Ressourcen belegen (GIAS Standard 10.2).

Fazit zum Co-Sourcing als Auslagerung

Für die aufsichtsrechtliche Einordnung des Co-Sourcings ist die tatsächliche Aufgabenübernahme entscheidend. Die Bezeichnung des Modells und die Anzahl einzelner Beauftragungen ersetzen die Prüfung des Leistungsarrangements nicht.

Bei einer teilweisen Auslagerung der Internen Revision sind die besonderen Maßstäbe für Kontrollfunktionen und die daraus folgenden Anforderungen zu berücksichtigen. Die Verantwortung der Geschäftsleitung und die berufsständische Verantwortung der Revisionsleitung bleiben jeweils bestehen.

Wer die Einordnung anhand dieser Fundstellen vornimmt und dokumentiert, schafft eine nachvollziehbare Grundlage für die Steuerung des Co-Sourcing-Modells.

Ausblick auf die neuen EBA-Leitlinien

Die EBA hat am 18. September 2026 finale Leitlinien zum Management von Drittparteienrisiken bei Nicht-IKT-Dienstleistungen veröffentlicht. Zum Stand dieses Beitrags führt die EBA diese als noch nicht anwendbar. Die Veröffentlichung ist deshalb von der bereits anzuwendenden Rechts- und Aufsichtslage zu trennen. Institute sollten den weiteren Anwendungs- und Umsetzungsstand verfolgen.