20 Interne Revision

Sofern eingerichtet, sollte die interne Revision unabhängig sein und über ausreichend Befugnisse, Gewicht und Ressourcen verfügen. Insbesondere sollten Wertpapierfirmen dafür Sorge tragen, dass die Qualifikation der Mitarbeiter der internen Revision sowie deren Ressourcen, vor allem ihre Prüfungsinstrumente und Methoden für die Risikoanalyse, für die Größe und Standorte der Wertpapierfirma sowie die Art, den Umfang und die Komplexität der mit dem Geschäftsmodell, den Geschäftstätigkeiten, der Risikokultur und dem Risikoappetit der Wertpapierfirma einhergehenden Risiken, angemessen sind.

Die interne Revision sollte unabhängig von den von ihr geprüften Tätigkeiten sein. Daher sollte die interne Revision nicht mit anderen Funktionen kombiniert werden.

Die interne Revision sollte nach einem risikobasierten Ansatz unabhängige Prüfungen vornehmen und eine objektive Gewähr für die Compliance aller Tätigkeiten und Einheiten einer Wertpapierfirma, einschließlich der ausgelagerten Tätigkeiten, mit den Richtlinien und Verfahren der Wertpapierfirma und mit externen aufsichtlichen Anforderungen bieten. Jedes Unternehmen innerhalb der Gruppe sollte in den Zuständigkeitsbereich der internen Revision fallen.

Die interne Revision sollte nicht an der Konzeption, Auswahl, Festlegung oder Umsetzung konkreter interner Kontrollstrategien, -mechanismen und -verfahren oder Risikolimiten beteiligt sein. Dies sollte das Leitungsorgan in seiner Leitungsfunktion jedoch nicht davon abhalten, die interne Revision um Beiträge in Zusammenhang mit Risiken, internen Kontrollen und der Einhaltung von geltenden Vorschriften zu konsultieren.

Die interne Revision sollte bewerten, ob der interne Kontrollrahmen der Wertpapierfirma nach den Ausführungen in Abschnitt 15 sowohl wirksam als auch effizient sind. Insbesondere sollte die interne Revision Folgendes beurteilen:

• a. die Angemessenheit des Rahmenwerks für die interne Governance der Wertpapierfirma;
• b. den Umstand, ob bestehende Richtlinien und Verfahren nach wie vor angemessen sind und den gesetzlichen und aufsichtlichen Anforderungen sowie dem Risikoappetit und der Risikostrategie der Wertpapierfirma entsprechen;
• c. die Übereinstimmung der Verfahren mit den geltenden Gesetzen und Rechtsvorschriften sowie mit den Entscheidungen des Leitungsorgans;
• d. den Umstand, ob die Verfahren korrekt und wirksam umgesetzt werden (z. B. Compliance der Durchführung von Transaktionen, der Umfang des tatsächlich eingegangenen Risikos, usw.);
• e. die Eignung, Qualität und Wirksamkeit der durchgeführten Kontrollen sowie die erfolgte Berichterstattung seitens der Geschäftseinheiten (erste Verteidigungslinie) sowie der Risikomanagementfunktion und Compliance-Funktion.

Die interne Revision sollte insbesondere die Integrität der Prozesse prüfen, damit die Zuverlässigkeit der Methoden und Techniken der Wertpapierfirma sowie die seinen internen Modellen zugrunde liegenden Annahmen und Informationsquellen (etwa Risikomodellierung und Bilanzierung) gewährleistet ist. Sie sollte ferner die Qualität und die Nutzung von Instrumenten für die qualitative Risikoermittlung und -bewertung und die zur Risikominderung ergriffenen Maßnahmen beurteilen.

Die interne Revision sollte über einen uneingeschränkten unternehmensweiten Zugang zu allen Aufzeichnungen, Dokumenten, Informationen und Gebäuden der Wertpapierfirma verfügen. Dies sollte den Zugang zu den Management-Informationssystemen und Protokollen aller Ausschüsse und Entscheidungsorgane einschließen.

Die interne Revision sollte nationale und internationale Normen des Berufsstandes einhalten. Ein Beispiel für die hier angeführten Normen des Berufsstandes sind die vom Institute of Internal Auditors (IIA) verfassten Standards.

Die Tätigkeit der internen Revision sollte entsprechend einem Prüfungsplan und einem detaillierten Prüfungsprogramm auf der Grundlage eines risikobasierten Ansatzes durchgeführt werden.

Mindestens einmal jährlich sollte ein interner Prüfungsplan auf der Grundlage der jährlichen Prüfungsziele der internen Revision erstellt werden. Der interne Prüfungsplan sollte vom Leitungsorgan genehmigt werden.

Alle Revisionsempfehlungen sollten Gegenstand eines formalen Mängelbeseitigungsverfahrens durch die jeweils zuständige Leitungsebene sein, um ihre wirksame und fristgerechte Mängelbeseitigung sicherzustellen und entsprechend Bericht zu erstatten.