Interne Revision als dritte Verteidigungslinie: unabhängige Prüfung der Compliance

Wir helfen Ihnen, die Funktion der Internen Revision als dritte Linie des Drei-Linien-Modells aufzubauen und zu betreiben: unabhängige Prüfung (Assurance) von Governance, Risikomanagement und interner Kontrolle, mit risikoorientiertem Prüfungsplan, Berichterstattung an den Prüfungsausschuss und Prüfung des Compliance-Systems.

Kontakt aufnehmen

Kostenlose Beratung

Wir antworten Ihnen innerhalb von 24 Std.

Prinzipien des IIA-Modells
6 Prinzipien
Veröffentlichung des IIA-Modells
Juli 2020
Prüfungsausschuss (LSC)
Art. 529 quaterdecies
Norm für Compliance-Systeme
ISO 37301
Was sie abdeckt

Was die Interne Revision bewertet

Die dritte Linie liefert Prüfungssicherheit über die Angemessenheit und Wirksamkeit der Governance-, Risikomanagement- und Kontrollprozesse und schafft Mehrwert durch unabhängige Beratung.

Governance

Governance-Prozesse

„Bewertet die Angemessenheit der Governance-Strukturen, die Rechenschaft gegenüber dem Leitungsorgan und die Integritätskultur der Organisation.“

Risiken

Risikomanagement

„Prüft, ob das Risikomanagement die Risiken der Organisation angemessen identifiziert, bewertet und behandelt – unabhängig von der Geschäftsleitung.“

Kontrolle

Interne Kontrolle

„Prüft die Ausgestaltung und die operative Wirksamkeit der internen Kontrollen, die die wesentlichen Geschäftsrisiken mindern.“

Compliance

Compliance-System

„Prüft das Compliance-Management-System (ISO 37301 / UNE 19601) und die Wirksamkeit des Modells zur Prävention von Straftaten.“

Warum es wichtig ist

Warum ist die Interne Revision entscheidend?

Ohne eine unabhängige dritte Linie fehlt dem Leitungsorgan eine objektive Sicherheit darüber, ob die Kontrollen funktionieren. Eine gut aufgebaute Interne Revision schützt den Verwaltungsrat und stärkt die Glaubwürdigkeit der Compliance.

Ohne 3. Linie tappt der Verwaltungsrat im Dunkeln: Die Interne Revision liefert die unabhängige Prüfungssicherheit, die weder die Geschäftsleitung noch die Kontrollfunktionen über sich selbst bieten können.

2. und 3. Linie verwechseln: Compliance und Risikomanagement gehören zum Verantwortungsbereich der Geschäftsleitung; die Interne Revision muss unabhängig bleiben, um ihren Wert zu behalten.

Unabhängigkeit geht schnell verloren: Übernimmt die Interne Revision Managementaufgaben, kann sie genau diese Tätigkeiten nicht mehr objektiv prüfen.

Drei-Linien-Modell 6 Prinzipien

Das Drei-Linien-Modell des IIA (2020) stützt sich auf sechs Prinzipien und ordnet die Interne Revision als dritte Linie ein.

Art. 529 quaterdecies LSC Börsennotierte

Bei börsennotierten Gesellschaften überwacht der Prüfungsausschuss die Wirksamkeit der internen Kontrolle, der Internen Revision und des Risikomanagements.

Empfehlungen Mit Nachverfolgung

Eine Prüfung ohne Nachverfolgung der Empfehlungen verliert an Wert: Der Kreislauf schließt sich erst, wenn überprüft wird, dass die Mängel behoben werden.

Braucht Ihre Organisation eine Funktion der Internen Revision?

Ob Sie bei null anfangen oder eine bestehende Funktion stärken wollen: Wir helfen Ihnen, sie aufzubauen, ihre Unabhängigkeit abzusichern und einen risikoorientierten Prüfungsplan zu entwickeln, der dem Verwaltungsrat echte Prüfungssicherheit gibt.

Meine Interne Revision aufbauen
Häufige Fragen

Interne Revision: häufige Fragen

Was ist die Interne Revision?

Sie ist eine unabhängige und objektive Prüfungs- und Beratungsfunktion, die die Angemessenheit und Wirksamkeit der Governance-, Risikomanagement- und internen Kontrollprozesse bewertet und Mehrwert für die Organisation schafft.

Was ist das Drei-Linien-Modell und wo ist die Interne Revision darin verortet?

Es ist der Rahmen des IIA (2020), der die Rollen ordnet: Die erste Linie steuert das Geschäft, die zweite Linie kontrolliert und unterstützt (Compliance, Risikomanagement), und die dritte Linie ist die Interne Revision, die unabhängige Prüfungssicherheit bietet.

Worin unterscheidet sie sich von der 2. Linie?

Die Funktionen der 2. Linie (Compliance, Risikomanagement) gehören zum Verantwortungsbereich der Geschäftsleitung. Die Interne Revision zeichnet sich durch ihre Unabhängigkeit von der Geschäftsleitung aus, die ihr eine objektive Prüfung ermöglicht.

Worin unterscheidet sie sich von der Abschlussprüfung?

Die (externe) Abschlussprüfung gibt ein Urteil über den Jahresabschluss ab und wird von einem unabhängigen externen Abschlussprüfer durchgeführt. Die Interne Revision ist eine Funktion der Organisation selbst, die Governance, Risiken und Kontrolle abdeckt, nicht nur Finanzthemen.

An wen berichtet die Interne Revision?

Funktional an das Leitungsorgan oder den Prüfungsausschuss, disziplinarisch an die oberste Geschäftsleitung. Diese Berichtslinie und der uneingeschränkte Zugang zu Personen, Daten und Ressourcen sichern ihre Unabhängigkeit.

Ist sie Pflicht?

Bei börsennotierten Gesellschaften und Unternehmen von öffentlichem Interesse muss der Prüfungsausschuss die Interne Revision überwachen (Art. 529 quaterdecies LSC). Im Allgemeinen ist sie eine Empfehlung guter Unternehmensführung; in zertifizierbaren Compliance-Systemen (ISO 37301 / UNE 19601) ist die interne Prüfung des Systems verpflichtend.

Welche Standards gelten für sie?

Die Internationalen Standards für die berufliche Praxis der Internen Revision des IIA und das Drei-Linien-Modell, ergänzt durch den Kodex für gute Unternehmensführung der CNMV (Código de Buen Gobierno) für börsennotierte Gesellschaften.

Kann sie ausgelagert werden?

Ja. Die Funktion kann ganz oder teilweise (Co-Sourcing oder Outsourcing) an einen qualifizierten Dritten ausgelagert werden, solange die Unabhängigkeit und die Berichtslinie an das Leitungsorgan erhalten bleiben.

Andere fragen auch

CAE, risikoorientierter Prüfungsplan und Prüfungssicherheit

Was ist der CAE (DEA), also der Leiter der Internen Revision?

Das ist der Chief Audit Executive (spanisch DEA, director ejecutivo de auditoría), der für die Funktion verantwortlich ist. Er leitet die Interne Revision, schlägt den Prüfungsplan vor und berichtet an das Leitungsorgan oder den Prüfungsausschuss.

Was ist ein risikoorientierter Prüfungsplan?

Es ist der Plan, der die Prüfungsaufträge nach dem Risikoniveau jedes Bereichs oder Prozesses priorisiert und sich an der Risikokarte und den Zielen der Organisation ausrichtet.

Erbringt die Interne Revision „Prüfungsleistungen“ und „Beratungsleistungen“?

Ja. Sie erbringt Prüfungsleistungen (objektive Bewertung, um ein Urteil abzugeben) und Beratungsleistungen (Unterstützung bei der Verbesserung von Prozessen), stets unter Wahrung ihrer Unabhängigkeit.

Wie hängen Interne Revision und Risikokarte zusammen?

Die Risikokarte speist den Prüfungsplan: Bereiche mit höherem Risiko werden häufiger und gründlicher geprüft. Die Revision wiederum bewertet, ob das Risikomanagement funktioniert.

Müssen auch nicht börsennotierte Gesellschaften eine haben?

Im Allgemeinen nicht, aber sie ist sehr zu empfehlen: Sie gibt dem Verwaltungsorgan Prüfungssicherheit und stärkt das Compliance-System, besonders in Organisationen mit erheblichen Risiken.

Welche Beziehung besteht zum Modell zur Prävention von Straftaten?

Die Interne Revision kann die Wirksamkeit des Organisations- und Managementmodells (Art. 31 bis des spanischen Strafgesetzbuchs, Código Penal) unabhängig überprüfen und so seine regelmäßige Überprüfung und seine Glaubwürdigkeit gegenüber Dritten stützen.

Das Drei-Linien-Modell

Erste, zweite und dritte Linie im Vergleich

Wer weiß, wo jede Funktion hingehört, vermeidet Doppelarbeit und Lücken. Wir helfen Ihnen, die Interne Revision einzuordnen und gegenüber den anderen Linien abzugrenzen.

Was den Umfang des Projekts bestimmt

Aufbau und Betrieb der Internen Revision hängen von der Größe der Organisation, ihrem Risikoprofil und davon ab, ob die Funktion intern angesiedelt oder ausgelagert wird.

Funktion
Geschäftsordnung, Unabhängigkeit und organisatorische Stellung.
Prüfungsplan
Jahresplan auf Grundlage der Risikokarte.
Durchführung
Anzahl und Komplexität der Prüfungsaufträge.
Modell
Intern, Co-Sourcing oder Auslagerung.

So betreuen wir die Funktion

Wir beginnen mit Geschäftsordnung und Unabhängigkeit, erstellen den risikoorientierten Plan und implementieren den Prüfungszyklus und die Nachverfolgung.

  1. Geschäftsordnung, Mandat und Unabhängigkeit der Funktion.
  2. Risikoorientierter jährlicher Prüfungsplan.
  3. Durchführung, Bericht und Nachverfolgung der Empfehlungen.

Unterstützung für Ihre Interne Revision anfordern →

Vergleich von erster, zweiter und dritter Linie und externer Abschlussprüfung
Funktion 1. Linie 2. Linie 3. Linie (Interne Revision) Externe Abschlussprüfung
Rolle Steuerung und Übernahme von Risiken Kontrolle und Compliance Unabhängige Prüfung Urteil über den Jahresabschluss
Unabhängigkeit von der Geschäftsleitung Nein Teilweise Ja Ja (extern)
Berichtet an Geschäftsleitung Geschäftsleitung Leitungsorgan / Ausschuss Hauptversammlung / Prüfungsausschuss
Beispiel Operatives Geschäft Compliance, Risikomanagement Funktion der Internen Revision Abschlussprüfer
Referenzrahmen Interne Verfahren Kontrollrichtlinien IIA-Standards / Drei Linien Vorschriften zur Abschlussprüfung

Orientierungstabelle auf Grundlage des Drei-Linien-Modells des IIA (2020). Der konkrete Umfang jeder Funktion hängt von der Struktur und dem Risikoprofil der jeweiligen Organisation ab.

Praxisleitfaden

So führen Sie die Funktion der Internen Revision ein: Praxisleitfaden

Eine nützliche Interne Revision lässt sich nicht improvisieren: Sie braucht eine Geschäftsordnung, die ihre Unabhängigkeit garantiert, einen risikoorientierten Plan, eine methodische Durchführung und eine Nachverfolgung, die den Kreislauf schließt, indem sie prüft, ob die Mängel behoben werden.

Vorher

Definieren Sie die Funktion

Die Geschäftsordnung legt Zweck, Befugnisse und Verantwortung der Internen Revision fest, ebenso ihre Unabhängigkeit und ihre Berichtslinie an das Leitungsorgan oder den Prüfungsausschuss.

Während

Planen und durchführen

Der Jahresplan baut auf der Risikokarte auf. Die Prüfungen folgen einem systematischen und disziplinierten Ansatz und münden in Berichte mit klaren Feststellungen.

Danach

Berichten und nachverfolgen

Die Feststellungen werden der Geschäftsleitung und dem Leitungsorgan mitgeteilt, und die Empfehlungen werden nachverfolgt, bis ihre Umsetzung überprüft ist.

Checkliste für die Funktion der Internen Revision in 10 Schritten

  1. Geschäftsordnung: die Geschäftsordnung der Internen Revision und ihr Mandat verabschieden.
  2. Unabhängigkeit: die Berichtslinie an das Leitungsorgan oder den Prüfungsausschuss festlegen.
  3. Ressourcen: Mittel, Kompetenzen und uneingeschränkten Zugang bereitstellen.
  4. Risiken: von der Risikokarte der Organisation ausgehen.
  5. Plan: den risikoorientierten jährlichen Prüfungsplan erstellen.
  6. Prüfprogramm: das Programm für jeden Prüfungsauftrag entwerfen (Ziele und Umfang).
  7. Durchführung: ausreichende Nachweise einholen und die Arbeit dokumentieren.
  8. Bericht: Schlussfolgerungen, Feststellungen und Empfehlungen abgeben.
  9. Nachverfolgung: die Umsetzung der Empfehlungen überprüfen.
  10. Verbesserung: die Qualität der eigenen Funktion bewerten und verbessern.

Wenn Sie Ihre Funktion aufbauen oder stärken möchten, sehen Sie sich unseren Bereich Corporate Compliance oder die Risikokarte an.

Die Interne Revision in der Praxis

Vom Plan zur Nachverfolgung der Empfehlungen

Die Funktion der Internen Revision stützt sich auf vier Bausteine: risikoorientiert planen, die Prüfung durchführen, an das Leitungsorgan berichten und die Empfehlungen nachverfolgen. Hier sehen Sie im Überblick, wie das in der Praxis umgesetzt wird.

Risikoorientierte Prüfungsplanung1) Planen

Planen: risikoorientiert

Der Jahresplan priorisiert Bereiche und Prozesse nach ihrem Risikoniveau, abgestimmt auf die Risikokarte und die Ziele.

  • Risikokarte
  • Jahresplan
  • Priorisierung
Durchführung der Prüfung durch die Interne Revision2) Durchführen

Durchführen: Nachweise und Sorgfalt

Jeder Prüfungsauftrag legt Ziele und Umfang fest, holt ausreichende Nachweise ein und dokumentiert die Feststellungen mit einem systematischen Ansatz.

  • Prüfprogramm
  • Nachweise
  • Arbeitspapiere
Prüfbericht an das Leitungsorgan3) Berichten

Berichten: an das Leitungsorgan

Feststellungen und Empfehlungen werden der Geschäftsleitung und dem Leitungsorgan mitgeteilt, um die kontinuierliche Verbesserung zu fördern.

  • Feststellungen
  • Empfehlungen
  • Bericht an den Ausschuss
Nachverfolgung der Empfehlungen und kontinuierliche Verbesserung4) Nachverfolgen

Nachverfolgen: den Kreislauf schließen

Der Wert der Prüfung zeigt sich, wenn überprüft wird, dass die Empfehlungen umgesetzt und die Mängel behoben sind. Die Nachverfolgung schließt den Kreislauf und speist die kontinuierliche Verbesserung.

Tipp: Ein Register der Empfehlungen mit Verantwortlichem, Frist und Status verhindert, dass Feststellungen zwischen den Geschäftsjahren verloren gehen.
Entscheidungskarte für die Funktion der Internen RevisionSchnelle Entscheidung

Praxiskarte: intern oder extern?

Organisation mit eigener Funktion

Interne Revision im eigenen Haus, mit Berichtslinie an den Ausschuss.

Begrenzte Ressourcen

Co-Sourcing oder Auslagerung an einen qualifizierten Dritten.

Compliance-System

Interne Prüfung des Systems (ISO 37301 / UNE 19601).

Playbook Interne Revision

Die Funktion der Internen Revision, Phase für Phase

Phase
Was getan wird
Typische Nachweise

Geschäftsordnung

Mandat, Unabhängigkeit und Berichtslinie der Funktion verabschieden.

Verabschiedete Geschäftsordnung der Internen Revision.

Planung

Den Jahresplan auf Grundlage der Risikokarte erstellen.

Risikoorientierter Jahresplan.

Durchführung

Prüfungen durchführen, Nachweise einholen und Feststellungen dokumentieren.

Prüfprogramme und Arbeitspapiere.

Bericht

Feststellungen und Empfehlungen an das Leitungsorgan kommunizieren.

Prüfberichte.

Überwachung

Die Umsetzung der Empfehlungen überprüfen.

Register zur Nachverfolgung der Empfehlungen.

Häufige Fehler in der Internen Revision

Erkennen Sie sie, bevor sie den Wert der Funktion schmälern.

  • Die Interne Revision übernimmt Managementaufgaben und verliert ihre Unabhängigkeit.
  • Planen, ohne von der Risikokarte der Organisation auszugehen.
  • Die 2. Linie (Compliance, Risikomanagement) mit der 3. Linie verwechseln.
  • An die Geschäftsleitung statt an das Leitungsorgan oder den Ausschuss berichten.
  • Empfehlungen abgeben, ohne dass eine Nachverfolgung den Kreislauf schließt.
Praxisglossar

Schlüsselbegriffe der Internen Revision

Wenn Sie Ihre Funktion der Internen Revision aufbauen oder stärken wollen, begegnen Ihnen diese Begriffe im Drei-Linien-Modell und in den IIA-Standards. Wer sie versteht, kann eine solide Funktion aufbauen.

Interne RevisionGrundlage

Funktion der Internen Revision

Unabhängige und objektive Prüfungs- und Beratungstätigkeit zu Governance, Risikomanagement und Kontrolle.

Dritte Linie des Modells.
3 LinienRahmen

Drei-Linien-Modell

Rahmen des IIA (2020), der die Rollen von Leitung, Management und Prüfung anhand von sechs Prinzipien ordnet.

Aktualisiert die „drei Verteidigungslinien“.
3. LinieRolle

Dritte Linie

Rolle der unabhängigen Prüfung, die der Internen Revision zukommt, getrennt von den Verantwortlichkeiten der Geschäftsleitung.

Unabhängigkeit von der Geschäftsleitung.
CAE (DEA)Rolle

Leiter der Internen Revision (Chief Audit Executive)

Verantwortlich für die Funktion der Internen Revision; schlägt den Plan vor und berichtet an das Leitungsorgan oder den Ausschuss.

Leitet die 3. Linie.
AssuranceLeistung

Prüfung und Beratung

Die Interne Revision erbringt Prüfungsleistungen (objektives Urteil) und Beratungsleistungen (Unterstützung bei der Verbesserung).

Assurance + Advisory.
GeschäftsordnungMandat

Geschäftsordnung der Revision (Audit Charter)

Dokument, das Zweck, Befugnisse, Verantwortung und Unabhängigkeit der Funktion festlegt.

Vom Leitungsorgan verabschiedet.
PlanRisiken

Risikoorientierter Plan

Jahresplan, der die Prüfungsaufträge nach dem Risiko jedes Bereichs oder Prozesses priorisiert.

Speist sich aus der Risikokarte.
AusschussGovernance

Prüfungsausschuss

Ausschuss des Verwaltungsrats, der bei börsennotierten Gesellschaften interne Kontrolle, Interne Revision und Risikomanagement überwacht.

Art. 529 quaterdecies LSC.
UnabhängigkeitPrinzip

Unabhängigkeit

Freiheit von Einflussnahme und Berichtslinie an das Leitungsorgan; entscheidend für Objektivität, Autorität und Glaubwürdigkeit.

Sichert den Wert der Funktion.
Kontakt

Anruf buchen

Schildern Sie uns, wie Ihre Interne Revision aufgestellt ist, und wir helfen Ihnen, sie aufzubauen, ihre Unabhängigkeit abzusichern und einen risikoorientierten Prüfungsplan zu entwickeln.

Rahmen der Internen Revision: Drei-Linien-Modell, IIA-Standards und Prüfungsausschuss

Die Interne Revision ist eine unabhängige und objektive Prüfungs- und Beratungsfunktion, die die Angemessenheit und Wirksamkeit der Governance-, Risikomanagement- und Kontrollprozesse einer Organisation bewertet. Ihr internationaler Referenzrahmen sind die Standards des Institute of Internal Auditors (IIA) und das Drei-Linien-Modell.

Das Drei-Linien-Modell

Im Juli 2020 veröffentlichte das IIA das Drei-Linien-Modell als Aktualisierung des früheren Modells der „drei Verteidigungslinien“ (Three Lines of Defense); es stützt sich auf sechs Prinzipien. Die erste Linie steuert und übernimmt Risiken; die zweite Linie sorgt für Kontrolle und Compliance (Compliance, Risikomanagement); und die dritte Linie ist die Interne Revision, die unabhängige und objektive Prüfungssicherheit bietet und dem Leitungsorgan sowie der Geschäftsleitung berichtet, um die kontinuierliche Verbesserung zu fördern.

Unabhängigkeit und Prüfungsausschuss

Die Unabhängigkeit der Internen Revision von den Verantwortlichkeiten der Geschäftsleitung ist grundlegend für ihre Objektivität, Autorität und Glaubwürdigkeit; sie wird durch die Berichtslinie an das Leitungsorgan und den uneingeschränkten Zugang zu Personen, Daten und Ressourcen gesichert. Bei börsennotierten Gesellschaften überträgt Artikel 529 quaterdecies des spanischen Kapitalgesellschaftsgesetzes (Ley de Sociedades de Capital, LSC) dem Prüfungsausschuss die Überwachung der Wirksamkeit der internen Kontrolle, der Internen Revision und der Risikomanagementsysteme; diesen Maßstab konkretisiert der Technische Leitfaden 3/2017 der CNMV.

Interne Revision und Compliance

In Compliance-Management-Systemen ist die interne Prüfung des Systems nach den Normen ISO 37301 und UNE 19601 ein verpflichtender Bestandteil der Leistungsbewertung; zudem kann die Interne Revision die Wirksamkeit des Organisations- und Managementmodells im Sinne von Artikel 31 bis des spanischen Strafgesetzbuchs unabhängig überprüfen.

IIA-Drei-Linien-Modell IIA-Standards Art. 529 quaterdecies LSC Prüfungsausschuss ISO 37301 UNE 19601 Gute Unternehmensführung

Compliance-Leistungen

Corporate Compliance (Übersicht) → Risikokarte → Plan zur Prävention von Straftaten → Interne Untersuchungen → Externer Compliance Officer → ISO 37301 →

Strafrechtliche Compliance und Normen

UNE 19601 · strafrechtliche Compliance → Maßnahmen zur Prävention von Straftaten → Prävention von Finanzdelikten →

Ressourcen und Blog

Blog: Beiträge zu Compliance und Governance → Über uns → Kontakt →

Offizielle Quellen

Art. 529 quaterdecies – spanisches Kapitalgesellschaftsgesetz (BOE) ↗ CNMV – Technischer Leitfaden 3/2017 zu Prüfungsausschüssen ↗ IIA – Drei-Linien-Modell (2020) ↗ Instituto de Auditores Internos de España (spanisches IIA) ↗ CNMV – Kodex für gute Unternehmensführung börsennotierter Gesellschaften ↗

Mehr zu Corporate Compliance