22 Interne Revision

Die Institute sollten unter Berücksichtigung der in Titel I aufgeführten Kriterien für die Verhältnismäßigkeit eine unabhängige und wirksame interne Revision einsetzen und eine Person benennen, die für diese Funktion im gesamten Institut zuständig ist. Die interne Revision sollte unabhängig sein und über ausreichend Befugnisse, Gewicht und Ressourcen verfügen. Insbesondere sollte das Institut dafür Sorge tragen, dass die Qualifikation der Mitarbeiter der internen Revision sowie deren Ressourcen, vor allem ihre Prüfungsinstrumente und Methoden für die Risikoanalyse, für die Größe und Standorte des Instituts sowie die Art, den Umfang und die Komplexität der mit dem Geschäftsmodell, den Geschäftstätigkeiten, der Risikokultur und dem Risikoappetit des Instituts einhergehenden Risiken, angemessen sind.

Die interne Revision sollte unabhängig von den von ihr geprüften Tätigkeiten sein. Daher sollte die interne Revision nicht mit anderen Funktionen kombiniert werden.

Die interne Revision sollte nach einem risikobasierten Ansatz unabhängige Prüfungen vornehmen und eine objektive Gewähr für die Compliance aller Tätigkeiten und Einheiten eines Instituts, einschließlich der ausgelagerten Tätigkeiten, mit den Richtlinien und Verfahren des Instituts und mit externen Anforderungen bieten. Jedes Unternehmen innerhalb der Gruppe sollte in den Zuständigkeitsbereich der internen Revision fallen.

Die interne Revision sollte nicht an der Konzeption, Auswahl, Festlegung und Umsetzung spezifischer interner Kontrollstrategien, -mechanismen und -verfahren sowie Risikolimiten beteiligt sein. Dies sollte das Leitungsorgan in seiner Leitungsfunktion jedoch nicht davon abhalten, die interne Revision um Beiträge in Zusammenhang mit Risiken, internen Kontrollen und der Einhaltung von anwendbaren Vorschriften zu konsultieren.

Die interne Revision sollte bewerten, ob der interne Kontrollrahmen des Instituts nach den Ausführungen in Abschnitt 15 sowohl wirksam als auch effizient sind. Insbesondere sollte die interne Revision Folgendes beurteilen:

• a. die Angemessenheit des Rahmenwerks für die interne Governance des Instituts;
• b. den Umstand, ob bestehende Richtlinien und Verfahren nach wie vor angemessen sind und den gesetzlichen und aufsichtlichen Anforderungen sowie dem Risikoappetit und der Risikostrategie des Instituts entsprechen;
• c. die Übereinstimmung der Verfahren mit den anwendbaren Gesetzen und Rechtsvorschriften sowie mit den Entscheidungen des Leitungsorgans;
• d. den Umstand, ob die Verfahren korrekt und wirksam umgesetzt werden (z. B. Compliance der Durchführung von Transaktionen, der Umfang des tatsächlich eingegangenen Risikos, usw.); und
• e. die Eignung, Qualität und Wirksamkeit der durchgeführten Kontrollen sowie die erfolgte Berichterstattung seitens der operativen Geschäftsbereiche, der Risikomanagementfunktion und Compliance-Funktion.

Die interne Revision sollte insbesondere die Integrität der Prozesse prüfen, damit die Zuverlässigkeit der Methoden und Techniken des Instituts sowie die seinen internen Modellen zugrunde liegenden Annahmen und Informationsquellen (etwa Risikomodellierung und Bilanzierung) gewährleistet ist. Sie sollte ferner die Qualität und die Nutzung von Instrumenten für die qualitative Risikoermittlung und -bewertung und die zur Risikominderung ergriffenen Maßnahmen beurteilen.

Die interne Revision sollte über einen uneingeschränkten institutsweiten Zugang zu allen Aufzeichnungen, Dokumenten, Informationen und Gebäuden des Instituts verfügen. Dies sollte den Zugang zu den Management-Informationssystemen und Protokollen aller Ausschüsse und Entscheidungsorgane einschließen.

Die interne Revision sollte nationale und internationale Normen des Berufsstandes einhalten. Ein Beispiel für die hier angeführten Normen des Berufsstandes sind die vom Institute of Internal Auditors (IIA) verfassten Standards.

Die Tätigkeit der internen Revision sollte entsprechend einem Prüfungsplan und einem detaillierten Prüfungsprogramm auf der Grundlage eines risikobasierten Ansatzes durchgeführt werden.

Mindestens einmal jährlich sollte ein interner Prüfungsplan auf der Grundlage der jährlichen Prüfungsziele der internen Revision erstellt werden. Der interne Prüfungsplan sollte vom Leitungsorgan genehmigt werden.

Alle Revisionsempfehlungen sollten Gegenstand eines formalen Mängelbeseitigungsverfahrens durch die jeweils zuständige Leitungsebene sein, um ihre wirksame und fristgerechte Mängelbeseitigung sicherzustellen und entsprechend Bericht zu erstatten.