Jedes Institut muss über eine funktionsfähige Interne Revision verfügen. Planung, Methoden und Qualität der Revision sind regelmäßig und anlassbezogen zu überprü- fen und weiterzuentwickeln. Zur Wahrnehmung ihrer Aufgaben ist der Internen Revi- sion ein vollständiges und uneingeschränktes Informations- und Zugriffsrecht einzu- räumen. Dies gilt auch bei der Begleitung wesentlicher Projekte. Dieses Recht ist je- derzeit zu gewährleisten. Die Geschäftsleitung muss der Revision wesentliche Ent- scheidungen mitteilen. Bei sehr kleinen Instituten können die Aufgaben der Internen Revision dann von einem Geschäftsleiter übernommen werden, wenn eine eigene Re- visionseinheit unverhältnismäßig ist und Maßnahmen zur Vermeidung von Interes- senkonflikten implementiert sind.
Die Interne Revision ist direkt der Geschäftsleitung unterstellt und berichtet an diese. Die Interne Revision muss ihre Aufgaben selbständig sowie unabhängig wahrnehmen und unterliegt bei der Wertung der Prüfungsergebnisse keinen Weisungen. Das Di- rektionsrecht der Geschäftsleitung zur Anordnung zusätzlicher Prüfungen steht der Selbständigkeit und Unabhängigkeit der Internen Revision nicht entgegen.
Die in der Internen Revision beschäftigten Mitarbeiter dürfen grundsätzlich nicht mit revisionsfremden Aufgaben betraut werden. Sie dürfen insbesondere keine Aufgaben wahrnehmen, die mit der Prüfungstätigkeit unvereinbar sind. Beratende Tätigkeiten sind zulässig, sofern die Unabhängigkeit der Internen Revision gewahrt bleibt.
Mitarbeiter anderer Organisationseinheiten dürfen grundsätzlich keine Aufgaben der Internen Revision übernehmen. In begründeten Fällen ist ein temporärer, beratender Einsatz aufgrund von Spezialwissen möglich. Beim Wechsel von Mitarbeitern anderer Organisationseinheiten zur Internen Revision sind angemessene Übergangsfristen von in der Regel mindestens einem Jahr vorzusehen, innerhalb derer diese Mitarbei- ter keine Tätigkeiten prüfen dürfen, die gegen das Verbot der Selbstprüfung und - überprüfung verstoßen. Abweichungen sind in begründeten Einzelfällen möglich.
Die Interne Revision prüft unabhängig und risikoorientiert alle Aktivitäten und Pro- zesse des Instituts, einschließlich der ausgelagerten Tätigkeiten. Sie prüft die Ord- nungsmäßigkeit der Geschäftsorganisation im Allgemeinen und des Risikomanage- ments, einschließlich der wirksamen Umsetzung der Risikostrategie, und des inter- nen Kontrollsystems im Besonderen.
Die Tätigkeit der Internen Revision muss auf einem umfassenden, risikoorientierten und jährlich fortzuschreibenden Prüfungsplan basieren. Die Risikobewertung ist re- gelmäßig zu überprüfen und muss eine Analyse des Risikopotenzials und möglicher Veränderungen der Aktivitäten und Prozesse sowie unterschiedliche Risikoquellen und die Manipulationsanfälligkeit berücksichtigen. Die Prüfungsplanung sowie we- sentliche Anpassungen sind von der Geschäftsleitung zu genehmigen. Es muss si- chergestellt sein, dass kurzfristig notwendige Sonderprüfungen jederzeit durchge- führt werden können. Sämtliche Aktivitäten, einschließlich ausgelagerter, müssen grundsätzlich innerhalb von drei Jahren überprüft werden. Bei Vorliegen besonderer Risiken ist jedoch ein kürzerer Turnus der Überprüfung erforderlich. Auch unter Risi- kogesichtspunkten nicht wesentliche Aktivitäten und Prozesse sind in die Prüfungs- planung zu integrieren und innerhalb von fünf Jahren zu prüfen.
Zu jeder Prüfung ist zeitnah ein schriftlicher Bericht zu erstellen und den zuständigen Mitgliedern der Geschäftsleitung vorzulegen. Der Bericht muss Prüfungsgegenstand, Feststellungen und ggf. Maßnahmen zur Beseitigung der festgestellten Mängel ent- halten. Wesentliche Mängel sind besonders herauszustellen. Abstufung der Mängel Unter Risikogesichtspunkten wird zwischen „wesentlichen“, „schwerwiegenden“ und „be- sonders schwerwiegenden“ Mängeln differenziert. Diese Differenzierung stellt eine abge- stufte Einordnung der festgestellten Mängel nach ihrer Bedeutung aus Risikosicht dar. Die konkrete Abgrenzung der einzelnen Kategorien obliegt dem jeweiligen Institut. Für Män- gel mit geringer Risikorelevanz kann das Institut eigenständige Kriterien definieren.
Ergeben sich im Rahmen der Prüfungen schwerwiegende Feststellungen gegen Ge- schäftsleiter, so muss die Interne Revision der Geschäftsleitung unverzüglich Bericht erstatten. Diese muss unverzüglich die Bafin und die Deutsche Bundesbank informie- ren.
Die Interne Revision muss mindestens vierteljährlich einen Bericht erstellen und der Geschäftsleitung vorlegen. Der Bericht enthält insbesondere die im Berichtsquartal durchgeführten Prüfungen und festgestellten wesentlichen Mängel, einschließlich der Maßnahmen zu deren Beseitigung und deren Status, sämtliche noch nicht beho- bene wesentliche Mängel aus anderen Berichtsquartalen sowie eine Beurteilung der (voraussichtlichen) Einhaltung des Prüfungsplans. Über besonders schwerwiegende Mängel ist unverzüglich zu berichten.
Die Prüfungen sind durch nachvollziehbare Arbeitsunterlagen zu dokumentieren. Re- visionsberichte und Arbeitsunterlagen sind sechs Jahre aufzubewahren.
Die Interne Revision muss die fristgerechte Beseitigung der bei der Prüfung festge- stellten Mängel in geeigneter Form überwachen. Gegebenenfalls ist hierzu eine Nachschauprüfung anzusetzen.
Werden die wesentlichen Mängel nicht in einer angemessenen Zeit beseitigt, so muss der Leiter der Internen Revision die fachlich zuständigen Mitglieder der Ge- schäftsleitung darüber schriftlich informieren. Bleiben die Mängel weiter bestehen, muss die gesamte Geschäftsleitung darüber spätestens im nächsten vierteljährlichen Bericht informiert werden. AT 5 Organisationsrichtlinien