Was macht eine gute Interne Revision aus?

Hier ist die Übersicht der wesentlichen zeitlichen Fenster und Termine für die Interne Revision im Jahr 2026, übersichtlich und komplett ohne Fußnoten:

1. Spezifische Stichtage und Neuerungen in 2026

• 5. Februar 2026 – Inkrafttreten der Cybersecurity-Vorgaben:

  Ab diesem Datum werden die themenspezifischen Anforderungen (Topical Requirements) des Institute of Internal Auditors (IIA) für den Bereich Cybersicherheit verbindlich. Sie müssen ab diesem Stichtag zwingend in die entsprechenden Prüfungstätigkeiten einbezogen werden.

• Laufendes Jahr 2026 – Öffentliche Konsultationen:

Das IIA plant für diesen Zeitraum weitere Konsultationen zu neuen „Topical Requirements“.

Im Fokus stehen dabei voraussichtlich die Bereiche Organisationsverhalten (Organisational Behaviour) und organisatorische Widerstandsfähigkeit (Organisational Resilience).

2. Jährliche und wiederkehrende Fristen

• Jährliche Risikobeurteilung und Revisionsplanung:

  Gemäß Standard 9.2 der neuen Global Internal Audit Standards (GIAS) muss die Revisionsleitung einen Prüfungsplan erstellen, der auf einer dokumentierten Beurteilung der Strategien, Ziele und Risiken der Organisation basiert. Diese Evaluierung ist mindestens jährlich durchzuführen. Hierbei wird oft die aktuelle Ausgabe der Studie „Risk in Focus“ (für 2026) als Maßstab für wesentliche und aufkommende Risiken herangezogen.
  
  

• Fünfjahres-Turnus für das External Quality Assessment (EQA):

  Eine externe Qualitätsbeurteilung der Internen Revision ist alle fünf Jahre vorgeschrieben. Für Abteilungen, die ihr letztes Assessment im Jahr 2021 absolviert haben, steht 2026 die nächste Überprüfung an. Diese erfolgt dann bereits nach dem aktualisierten Quality Assessment Manual und den neuen Kriterien der GIAS.

3. Der formale Rahmen

• Vollständige GIAS-Konformität:

  Die allgemeine Übergangsfrist für die neuen Global Internal Audit Standards ist bereits am 9. Januar 2025 abgelaufen. Das Jahr 2026 stellt somit einen Zeitraum dar, in dem von den Revisionsabteilungen erwartet wird, dass sie lückenlos und vollständig nach dem neuen Regelwerk arbeiten.

Eine solide, gut funktionierende Interne Revision muss heute mehrschichtige Pflichtblöcke erfüllen: Governance/Organisation, fachlich‑methodische Standards und Qualitätssicherung/Beweisvorsorge.

1. Governance und Organisation

• Klare Verankerung im Mandat/schriftlich fixierten Ordnung: Selbstverpflichtung auf die GIAS als Berufsstandard, definierte Aufgaben, Unabhängigkeit, Berichtslinien und Zugriffrechte.
  
  
• Organpflichten erfüllen: Vorstand/Geschäftsführung müssen eine angemessen organisierte, mit Ressourcen ausgestattete Revision einrichten (insb. i.S.v. § 93 AktG, § 43 GmbHG, § 25a KWG analog zu den inhaltlichen GIAS‑Vorgaben).

Kernpflicht: Die Revisionsleitung hat eine Revisionsstrategie zu konzipieren, jährlich mit Geschäftsleitung und Überwachungsorgan abzustimmen und Leistungsziele zur Genehmigung vorzulegen.

2. Fachlich‑methodische Standards

• Einhaltung der GIAS‑Domänen und Prinzipien: Zweck, Ethik/Professionalität, Governance der Revision, Leitung der Revision und Erbringung von Revisionsleistungen sind entlang der 15 Prinzipien und 52+ Standards umzusetzen.
  
  
• Risikoorientierte Prüfungsplanung und Durchführung: Revisionsplan, Prüfungsprogramme, Einsatz von Datenanalysen/Technologie (z.B. KI, Data Analytics) sowie die enge Verzahnung mit GRC‑Prozessen sind explizit gefordert.

3. Qualitätssicherung und externe Quality Assessments

• Internes QS‑System: Vorgaben zur Leistungsmessung, regelmäßige interne Reviews und jährliche Beurteilung der Revisionsleitung durch das Organ sind vorgesehen.
  
  
• Externe Qualitätsbeurteilung: Die GIAS und DIIR‑3 verlangen periodische externe Quality Assessments, künftig mit der Anforderung, dass mindestens ein Prüfer CIA‑qualifiziert ist.
  Die Revision muss zudem geeignete Nachweise der Standard‑Einhaltung führen (Dokumentation von Prozessen, Methoden, Schulungen, Prüfungsdurchführung und ‑berichten).

4. Ethik, Kompetenz und Fortbildung

• Ethik und Berufsausübung: Integrität, Objektivität, Vertraulichkeit und fachliche Kompetenz sind als verbindliche Anforderungen verankert.
  
  
• Kontinuierliche Weiterbildung: Mindestanforderungen an berufliche Fortbildung und gezielten Kompetenzaufbau (inkl. GIAS‑Kenntnis, Umgang mit Technologien, Spezialthemen wie Cyber oder Nachhaltigkeit) sind vorgesehen.
  Eine gut funktionierende Revision entsteht damit nicht allein durch „Vorhandensein“, sondern durch nachweisbare Umsetzung dieser Governance‑, Methoden‑ und Qualitätspflichten entlang der GIAS und der darauf aufsetzenden IDW/DIIR‑Standards.

Bei einer Internen Revision nach aktuellen Standards stehen vier Haftungsfelder im Fokus: Organhaftung (Vorstand/GF/Aufsichtsrat), Haftung aus Organisationsverschulden, persönliche Haftung in der Revision selbst und Haftungsrisiken aus Nichterfüllung der neuen Prüfungs‑ und QA‑Standards.

1. Organhaftung wegen mangelhafter Organisation (IRS/Governance)

• Leitungsorgane haften persönlich, wenn sie keine angemessene, wirksame Revisionsfunktion einrichten bzw. überwachen (Organisationsverschulden nach § 93 AktG, § 43 GmbHG, analog auch im GmbH‑Kontext).
  
  
• Fehlt eine GIAS‑konforme, risikoorientierte Interne Revision, kann im Schadensfall (z.B. Fraud, IT‑Ausfall, Compliance‑Verstoß) argumentiert werden, dass Überwachungs‑ und Legalitätspflichten verletzt wurden; FISG und aktuelle Rechtsprechung erhöhen hier den Druck.
  
  Risikokern: „Revision vorhanden, aber nicht angemessen organisiert“ reicht im Haftungsprozess regelmäßig nicht mehr zur Enthaftung.

2. Haftung wegen unzureichender oder fehlender Quality Assessments

• Die nicht oder nur formal durchgeführte externe Qualitätsbeurteilung des Internen Revisionssystems (z.B. kein QA nach GIAS/DIIR‑3/IDW PS 983 n.F.) kann als Indiz für Organisationsverschulden und fehlende Überwachung des IRS gewertet werden.
  
  
• Wer trotz bekannter QA‑Defizite keine wirksamen Maßnahmen ergreift, riskiert neben BaFin‑Rügen (bei regulierten Instituten) ausdrücklich persönliche Haftung von Vorstand und Aufsichtsrat.
  

Risikokern: „Kein oder schlechtes QA und keine Reaktion“ schwächt die Entlastungsstory massiv.

3. Haftung durch Nichtbeachtung von GIAS und IDW PS 983 n.F.

• IDW PS 983 n.F. verankert die GIAS als Referenzrahmen für die Prüfung des Internen Revisionssystems; eine deutliche GIAS‑Non‑Conformance kann in Gutachten und Berichten explizit als Mangel des IRS benannt werden.
  
  
• Verlassen sich Organmitglieder auf ein schwach aufgesetztes IRS (z.B. veraltete IPPF‑Logik, keine Topical Requirements, keine aktuelle SfO), kann das im Schadenfall als Verstoß gegen die Business Judgement Rule gewertet werden („keine Entscheidung auf angemessener Informationsgrundlage“).
  Risikokern: Wer die neuen Standards ignoriert, verliert im Ernstfall die Argumentationsbasis, „nach anerkannten Standards“ organisiert zu haben.

4. Persönliche Haftung von Revisionsleitung und Revisoren

• Fehlerhafte Prüfungen (grobe Pflichtverletzungen, offensichtliche Prüfungslücken, Ignorieren von Warnsignalen) können zu zivilrechtlicher Haftung und – im Extremfall – strafrechtlicher Verantwortlichkeit führen, insbesondere für die Leitung der Internen Revision.
  
  
• Unzureichende Dokumentation (Arbeitsprogramme, Arbeitspapiere, Follow‑up) erschwert den Nachweis ordnungsgemäßer Prüfungsarbeit und erhöht das persönliche Haftungsrisiko für Revisoren.
  Risikokern: „Nicht oder schlecht dokumentiert“ wird im Streitfall wie „nicht gemacht“ gewertet.

5. Haftung aus vernachlässigten Risikofeldern (Topical Requirements)

• Werden wesentliche Risikofeldern, die in den GIAS‑Topical Requirements adressiert sind (insb. Cybersecurity, Third‑Party, Organizational Behavior), trotz eindeutiger Gefährdungslage nicht angemessen geprüft, drohen Organ‑ und ggf. Revisionshaftung bei Eintritt eines Schadensereignisses.
  
  
• Gerade bei IT‑Ausfällen, Lieferketten‑/Outsourcing‑Problemen oder Conduct‑Skandalen wird zunehmend geprüft, ob Revision und Management die anerkannten Themenstandards berücksichtigt haben.
  Risikokern: „Topical Requirements konsequent ignoriert“ = Verstoß gegen Berufsmaßstab und Risiko‑Beherrschungspflicht.

6. Haftungsrisiko durch fehlende oder schwache Entlastungsdokumentation

• Ohne konsistente Dokumentation von Revisionsstrategie, Mandat, QA‑Berichten, Maßnahmenregistern und Eskalationen ist eine Enthaftung der Organe im Streitfall deutlich erschwert.
  
  
• Die Rechtsprechung betont, dass ohne belastbare Dokumentation ein funktionierendes Compliance‑/Revisionssystem kaum nachweisbar ist; die Beweislastlastigkeit liegt faktisch bei den Organen.
  Risikokern: „Kein Papier, kein System“ – fehlende Nachweise sind selbst ein Haftungsrisiko.