Das Auslagerungsmanagement ist ein kritisches Prüfungsfeld der Internen Revision. Im Jahr 2026 bilden die MaRisk AT 9, die EBA-Leitlinien zu Auslagerungen (EBA/GL/2019/02) sowie die vollumfänglich geltende DORA-Verordnung (EU 2022/2554) den primären Rechtsrahmen. Besonders für IKT-Dienstleistungen (Informations- und Kommunikationstechnologie) gelten verschärfte Anforderungen an das IKT-Drittparteienrisikomanagement nach Art. 28–30 DORA; diese IKT-Dienstleistungen fallen nach der MaRisk 06/2026 nicht mehr in den Anwendungsbereich des AT 9.

Die Interne Revision hat gemäß MaRisk AT 4.4.3 die Angemessenheit und Wirksamkeit des gesamten Outsourcing-Lifecycle zu beurteilen. Prüfungsmaßstab ist die lückenlose Steuerung — von der Identifikation und Wesentlichkeitsklassifizierung über die Risikoanalyse und Vertragsgestaltung bis hin zur laufenden Überwachung, Exit-Strategien und dem Management von Kettenauslagerungen (Sub-Outsourcing).

Typische Prüfungsrisiken im Kreditwesen

In der Praxis zeigen sich wiederkehrende Risikofelder:

Abgrenzungsfehler: Fehlidentifikation von Auslagerungen vs. sonstiger Fremdbezug, insbesondere bei Cloud-Services und IKT-Dienstleistungen
Mangelhafte Risikoanalyse: Inkonsistente Wesentlichkeitsbewertung oder unzureichende Berücksichtigung von Konzentrationsrisiken.
DORA-Non-Compliance: Lücken im Register der Informationen über alle Vereinbarungen mit IKT-Drittdienstleistern.
Vertragsdefizite: Fehlende oder rechtlich unzureichende Durchsetzung von Prüfungs- und Zugangsrechten bei Drittstaatenauslagerungen.

Unser Prüfungsansatz im Co-Sourcing

Als spezialisierter Co-Sourcing-Partner unterstützen wir Ihre Interne Revision bei der risikoorientierten Prüfung des Auslagerungsmanagements. Unser Ansatz umfasst unter anderem:

Governance-Audit: Bewertung der Auslagerungsstrategie, der Leitlinien und der Rolle des Auslagerungsbeauftragten.
DORA-Compliance-Check: Validierung des IKT-Drittparteienmanagements und des Informationsregisters gemäß DORA-Standard.
MaRisk Konformitätsprüfung: Prüfung nach AT 9 Tz. 7 und der Durchsetzbarkeit von Kontrollrechten.
Exit-Readiness: Beurteilung der Durchführbarkeit von Exit-Szenarien und der Business Continuity Plans (BCP).

Typische Prüfungsschwerpunkte

Wesentlichkeitsanalyse

Methodische Belastbarkeit der Risikoanalyse und Einstufung kritischer Funktionen.

Identifikation & Register

Vollständigkeit der Auslagerungsinventur und des DORA-Informationsregisters.

Vertragsmanagement

Umsetzung der Mindestanforderungen an Kontroll-, Weisungs- und Kündigungsrechte.

Überwachung

Qualität der laufenden Dienstleisterkontrolle und Wirksamkeit des IKS beim Outsourcer.

Kettenauslagerung

Steuerung von Sub-Outsourcing-Strukturen

Exit-Management

Validität der Exit-Strategien und Sicherstellung der Fortführung wesentlicher Prozesse.

Mehrwert für Ihr Institut

Ihr Nutzen auf einen Blick

Minimierung regulatorischer Risiken
Operative Resilienz: Stärkung der Kontrolle über externe Dienstleister und Reduktion von Abhängigkeitsrisiken.
Prozesstransparenz: Klare Sicht auf die Risiken in der gesamten Lieferkette (Supply Chain Risk).
Entlastung: Hochspezialisierte Unterstützung bei der Prüfung komplexer IKT- und Cloud-Auslagerungen.

Warum Co-Sourcing der Internen Revision des Auslagerungsmanagements?

Erfahrung, die den Unterschied macht

Wir verbinden tiefgehendes Fachwissen über die MaRisk AT 9 mit den technologischen Anforderungen von DORA. Unsere Experten begleiten Ihre Interne Revision mit praxiserprobten Prüfprogrammen für das Drittparteienmanagement, um eine wirksame und aufsichtskonforme Steuerung Ihrer Auslagerungen über den gesamten Lebenszyklus sicherzustellen.

Interne Revision Auslagerungsmanagement — für eine wirksame, transparente und aufsichtskonforme Steuerung entlang des gesamten Lebenszyklus.

Optimieren Sie Ihre Auslagerungs-Prüfung

Vereinbaren Sie jetzt ein unverbindliches Erstgespräch mit unseren Experten.

Auslagerungsmanagement

Regulatorischer Rahmen & Prüfungsmaßstab