Berichterstattung der Internen Revision an die Organe

Auswirkungen der MaRisk-Novelle 2017 auf den Quartals- und den Gesamtbericht an den Vorstand und den Aufsichtsrat

Mario Pries, Wirtschaftsprüfer, AWADO Deutsche Audit GmbH, Wirtschaftsprüfungsgesellschaft Steuerberatungsgesellschaft

I. Einleitung

Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hat mit Schreiben vom 27.10.2017 die finale Fassung der lange erwarteten, überarbeiteten Mindestanforderungen an das Risikomanagement (MaRisk)^[1] veröffentlicht. Die überarbeitete Fassung der MaRisk enthält eine Vielzahl von Klarstellungen, die mit der Veröffentlichung sofort in Kraft getreten sind, und darüberhinausgehende, materielle Neuerungen, für die eine Umsetzungsfrist bis zum 31.10.2018 eingeräumt wurde. Die BaFin wurde getrieben durch die internationale Diskussion zum Thema Risikokultur, Regelungen und Leitlinien auf internationaler (insbesondere BCBS 239^[2]) und auf europäischer (insbesondere Vorgaben der EBA und EZB) Ebene, die mit dem Rundschreiben in deutsches Recht transferiert wurden^[3].

Der Abschnitt „Besondere Anforderungen an die Ausgestaltung der Internen Revision“ (BT 2 MaRisk^[4]) hat auch Anpassungen erfahren. Es finden sich Neuerungen in BT 2.2 Tz. 3 (Neuregelung Übergangsfristen bei Mitarbeiterwechsel) und in BT 2.3. Tz. 1 und 2 (Anpassung der Prüfungsplanung und -durchführung) sowie eine Klarstellung in BT 2.4 Tz. 4 (Erweiterung um den Quartalsbericht); BT 2.4 Tz. 6 (Berichterstattung an den Aufsichtsrat) wurde gestrichen und dessen Inhalt in Tz. 4 überführt. Die Klarstellung in BT 2.4 Tz. 4 bezieht sich indirekt auf § 25c Abs. 4a/4b Nr. 3g Kreditwesengesetz (KWG). Demnach wird bereits seit 2014 mindestens vierteljährlich Bericht an den Vorstand^[5] und den Aufsichtsrat erstattet. Die Musterrahmenbedingungen der Verbände (u. a. der Sparkassen und der Genossenschaften) beinhalten diese Klarstellung bereits seit langem und sollten Sie daher nicht mehr überraschen.

Im Folgenden wird zur Einleitung in das Thema auf die Berichtserfordernisse der Internen Revision gegenüber den Organen eingegangen, bevor anschließend im Detail die vierteljährliche Berichterstattung (Quartalsbericht) und der Gesamtbericht (Jahresbericht) unter Berücksichtigung der Novellierung der MaRisk, insbesondere der Klarstellung in BT 2.4 Tz. 4, und des auslegungsfähigen „Zeitfaktors“ in den Fokus rücken. Keine Berücksichtigung findet hingegen im Folgenden die Berichtspflicht im Zusammenhang mit der jeweils durchgeführten Prüfungen je Prüffeld (BT 2.4 Tz. 1).

II. Berichtspflichten der Internen Revision

Die Berichtspflichten der Internen Revision richten sich nach aufsichtsrechtlichen Vorgaben, den MaRisk und dem KWG. Die Klassifizierung der Pflichten kann einerseits nach dem Empfängerkreis und andererseits an der zeitlichen Restriktion („Dringlichkeit“) vorgenommen werden. Zu den Empfängern zählen der Aufsichtsrat, der Vorsitzende des Aufsichtsrats^[6], das Ressortvorstandsmitglied, der Gesamtvorstand sowie die aufsichtsrechtlichen Institutionen (i. W. BaFin und Deutsche Bundesbank). Hinsichtlich der zeitlichen Restriktion unterscheidet man in eine unverzügliche, eine vierteljährliche und eine jährliche Berichterstattungspflicht. Die unverzügliche Berichterstattungspflicht obliegt Ihnen als Interne Revision, sofern der Vorstand der Berichtspflicht gegenüber dem Aufsichtsrat nicht nachkommt oder keine sachgerechten Maßnahmen zur Behebung von Mängeln beschließt sowie bei schwerwiegenden Feststellungen gegen einen, mehrere oder alle Geschäftsleiter. Dem Vorsitzenden des Aufsichtsrats, dem Gesamtvorstand und den aufsichtsrechtlichen Institutionen ist entsprechend zu berichten. Sowohl die vierteljährliche (Quartalsbericht) als auch die jährliche Berichterstattung (Gesamtbericht) obliegt Ihnen gegenüber dem Vorstand und dem Aufsichtsrat. Die zuletzt genannten Berichtspflichten sind Gegenstand der folgenden Ausführungen.

1. Der Quartalsbericht

Die Notwendigkeit für Kreditinstitute einen Quartalsbericht zu erstellen ergibt sich – wie bereits erwähnt – aus § 25c Abs. 4a/4b Nr. 3g KWG. Die Pflicht zur vierteljährlichen Berichterstattung gegenüber dem Aufsichtsrat ist dort seit 2014 kodifiziert. Diese „Pflicht“ wurde durchaus hitzig debattiert, da bis dato nur dem Vorstand das Privileg oblag, dem Aufsichtsrat direkt zu berichten. Jedoch entscheiden nicht Sie, die Interne Revision, wie die Berichterstattung gegenüber dem Aufsichtsrat erfolgen soll, sondern der Vorstand. Hierfür bedarf es organisatorischer Regelungen, welche zweckmäßiger Weise in den Rahmenbedingungen der Internen Revision festzulegen sind. Zwei mögliche Ausprägungen finden sich in der Praxis wieder:

• Zuerst erfolgt die Berichterstattung durch die Interne Revision an den Vorstand. Die Weiterleitung des ungefilterten Berichtes an den Aufsichtsrat erfolgt im Anschluss durch den Vorstand.
• Die Interne Revision bzw. deren Leiter(in) berichtet direkt dem Aufsichtsrat. Die Delegation der persönlichen Berichterstattung bestärkt das Vertrauensverhältnis zwischen dem Vorstand und der Internen Revision und sollte daher in seiner positiven Auswirkung gegenüber dem Aufsichtsrat und der Internen Revision nicht unterschätzt werden.

Hinsichtlich der Ausgestaltung des Quartalsberichtes ist die Interne Revision nur an wenige aufsichtsrechtliche Vorgaben gebunden. Laut den MaRisk (BT 2.4. Tz. 4) muss über die wesentlichen und die höher eingestuften Mängel sowie über die diesbezüglich beschlossenen Maßnahmen und deren Status (Abarbeitungsstand) informiert werden. Daneben ist darüber zu berichten, ob und inwieweit die Vorgaben des Prüfungsplans eingehalten wurden. In der Abb. 1 findet sich ein Muster, welches diese Anforderungen berücksichtigt.

Abbildung 1: Muster Quartalsbericht an den Aufsichtsrat

An den

Aufsichtsrat der Bank XY

Datum: (zeitnahes Datum zum Ende des Quartals)

Bericht der Internen Revision über das X. Quartal 20XX (Quartalsbericht)

Berichtszeitraum: I./II./III./IV. Quartal 20 XX

Sehr geehrte Damen und Herren des Aufsichtsrates,

Im oben genannten Berichtszeitraum haben die Prüfungshandlungen der Internen Revision zu keinen

wesentlichen Mängeln geführt.

1. Alternative:

In den Bereichen / Prüffeldern … haben die Prüfungshandlungen der Internen Revision zu wesentlichen Mängeln geführt. Diese wurden innerhalb des oben genannten Berichtszeitraumes vollumfänglich und fristgerecht behoben.

2. Alternative:

Die in den Bereichen/Prüffeldern … festgestellten wesentlichen Mängel wurden noch nicht abschließend

behoben. Maßnahmen wurden ergriffen, um die Beseitigung der wesentlichen Mängel bis zum … zu gewährleisten./Die Umsetzung von Maßnahmen wurde bisher nicht beschlossen. Diese sollen bis zum … ausgearbeitet sein.

Ende Alternativen

Im oben genannten Berichtszeitraum haben die Prüfungshandlungen der Internen Revision zu keinen schwerwiegenden Mängeln geführt.

Alternative:

Im oben genannten Berichtszeitraum haben die Prüfungshandlungen der Internen zu schwerwiegenden Mängeln in folgenden Bereichen/Prüffeldern geführt: ….

Zur Behebung dieser schwerwiegenden Mängel wurden folgende Maßnahmen eingeleitet: … Die Maßnahmen wurden vollständig und fristgerecht umgesetzt./Die folgenden Maßnahmen wurden bereits vollständig und fristgerecht umgesetzt: …/Die offenen Maßnahmen sollen bis zum … abgeschlossen werden.

Ende der Alternative

Im oben genannten Berichtszeitraum haben die Prüfungshandlungen der Internen Revision zu keinen besonders schwerwiegenden Mängeln geführt.

Alternative:

Am … wurde der Aufsichtsrat über den besonders schwerwiegenden Mangel im Zusammenhang mit … durch den Vorstand informiert. Zur Behebung dieses besonders schwerwiegenden Mangels wurden folgende Maßnahmen eingeleitet: … Die Maßnahmen wurden vollständig und fristgerecht umgesetzt./Die folgenden Maßnahmen wurden bereits vollständig und fristgerecht umgesetzt: …/Die offenen Maßnahmen sollen bis zum … abgeschlossen werden.

Ende der Alternative

Die Prüfungen verlaufen/nicht planmäßig. Wesentliche Plananpassungen waren/nicht/erforderlich./Diese betrafen folgende Bereiche/Prüffelder … Bei Rückfragen steht Ihnen die Interne Revision zur Verfügung.

Leitung der Internen Revision (Unterschrift)

Weitere mögliche Inhalte des Quartalsberichtes, welche in der Abb. 1 keine Berücksichtigung gefunden haben, betreffen folgende Themenfelder:

• organisatorische Veränderungen
• personelle Veränderungen bei der Internen Revision bzw. den Mitarbeiterkapazitäten
• aktuelle Prüfungsergebnisse soweit nicht mit wesentlichen Mängeln und höheren Mängeln behaftet
• externe Beanstandungen (Abschlussprüfer, Dienstleister (Outsourcing), Kunden)
• Aussagen zu laufenden Prüfungen/Beratungen/Projektbegleitungen

Neben den inhaltlichen finden sich auch zeitliche Vorgaben, die es von Ihnen zu erfüllen gilt. Der Quartalsbericht ist demnach zeitnah zu erstellen und ebenso zeitnah dem Vorstand sowie dem Aufsichtsrat vorzulegen. Es stellt sich somit die generelle Frage, welcher Zeitraum als „zeitnah“ zu bezeichnen ist. Wirft man einen Blick in die MaRisk so zeigt sich, dass das Adjektiv „zeitnah“ 14 Mal genannt wird, hingegen im KWG kein einziges Mal. Das Adjektiv „unverzüglich“ wird hingegen 24 Mal in den MaRisk und 84 Mal im KWG genannt. Somit erscheint „unverzüglich“ für den Gesetzgeber zumindest prägnanter als „zeitnah“. In diesem („zeitlichen“) Zusammenhang abgrenzbar ist die Begrifflichkeit der „unverzüglichen Erstellung“. Als unverzüglich wird unter Juristen ein zeitlicher Umfang i. d. R. von bis zu 14 Kalendertagen bzw. zehn Werktagen angesehen^[7]. Somit „beginnt“ zeitnah – unter rein logischen Gesichtspunkten – frühestens ab dem 15. Kalendertag bzw. dem elften Werktag. Realistisch und tolerierbar erscheinen in diesem Zusammenhang Zeiträume von bis zu einem Kalendermonat. Wenn der Quartalsbericht zeitnah erstellt wurde, stellt sich die Frage, wann dieser noch als zeitnah gegenüber dem Vorstand und dem Aufsichtsrat vorgelegt zu interpretieren ist. Prinzipiell können auch hier wieder die oben angeführten Fristen Berücksichtigung finden. Jedoch bleibt zu berücksichtigen, dass der Vorstand und der Aufsichtsrat jeweils mindestens 15 Kalendertage/zehn Werktage bis maximal einen Monat zur Verfügung haben. Unter Berücksichtigung dieser Annahmen vergehen bis zu zwei (zusätzliche) Monate (!) bis dem Vorstand und dem Aufsichtsrat die „aktuelle“ Berichterstattung „zeitnah“ vorliegt. Unter Ausnutzung der hier als maximal möglich angesehenen Zeiträume ergibt sich dann ein maximaler Zeitraum von bis zu drei Monaten (!). Im Extremfall wäre somit das dem jeweiligen Berichtsquartal folgende Quartal bei abschließendem Durchlauf der aufsichtsrechtlich vorgesehenen Instanzen bereits verstrichen. Es bedarf somit einer anderen Auslegung des Begriffes „zeitnah“. Eine Möglichkeit besteht darin, dem Vorstand und dem Aufsichtsrat zusammen einem Zeitrahmen von einem Monat nach Erstellung zu gewähren. Dies führt zu einem maximalen Zeitraum von zwei Monaten (vgl. Abb. 2). Wünschenswert ist jedoch hingegen die Auslegung des Begriffs „zeitnah“ i. S. v. „unverzüglich“. Nach spätestens sechs Wochen wäre dann der Prozess durchlaufen und eine „wirkliche“ Zeitnähe gegeben. Um eine weitere Beschleunigung des Prozesses zu erreichen, sollte einerseits auf eine papierhafte zur Verfügungsstellung verzichtet und andererseits die Unterlagen vor der entsprechenden Sitzung rechtzeitig (z. B. online) zur Verfügung gestellt werden. Hinsichtlich der Terminierung der Aufsichtsratssitzungen sollte des Weiteren darauf geachtet werden, dass diese im laufenden Geschäftsjahr in der Mitte der Monate Februar (IV. Quartal Vorjahr und Jahresbericht), Mai (I. Quartal), August (II. Quartal) und November (III. Quartal) erfolgen, um somit den zeitlichen Ablauf einhalten zu können.

Abbildung 2: Der Zeitfaktor in der Berichterstattung

1. ^{Zeitnah: bis zu einem Kalendermonat}
2. ^{Unverzüglich: bis zu 14 Tagen bzw. 10 Werktagen}

2. Der Gesamtbericht (Jahresbericht)

Die Interne Revision hat zeitnah einen Gesamtbericht (Jahresbericht) über die von ihr im Laufe des Geschäftsjahres durchgeführten Prüfungen zu verfassen und ebenso zeitnah dem Vorstand und anschließend dem Aufsichtsrat vorzulegen. Der Gesamtbericht kann auch den Quartalsbericht über das IV. Quartal umfassen, soweit gesonderte (Berichts)Abschnitte gefasst werden. Das einfache „Weglassen“ des Berichtes für das IV. Quartal bzw. dessen praxisfreundliche Integration in den Gesamtbericht (ohne „eigenen Abschnitt“) ist nach den Erläuterungen der Aufsicht zu den MaRisk nicht mehr möglich. Letztlich kann es nur die Intension der Aufsicht sein, auch die Feststellungen im IV. Quartal an prominenter Stelle kund zu tun. Im Rahmen der Darstellung des Gesamtberichtes kann es unter Umständen dazu führen, dass diese Feststellungen im Konglomerat der Feststellungen für das gesamte Geschäftsjahr untergehen bzw. an Bedeutung zu verlieren drohen. Alternativ verbleibt die getrennte Berichterstattung.

Der Gesamtbericht muss über die wesentlichen und darüber hinausgehende Mängel sowie die diesbezüglich ergriffenen Maßnahmen informieren. Es ist ferner dazulegen, ob und inwieweit die Vorgaben des Prüfungsplans eingehalten wurden (BT 2.4 Tz. 4). Gleichartige Einzelfeststellungen sowie der Stand der beschlossenen Umsetzungsmaßnahmen können inhaltlich zusammengefasst werden, soweit möglich und sinnvoll. Ebenso sollten Angaben, sofern opportun, zu Veränderungen der personellen Ausstattung und der Rahmenbedingungen für die Interne Revision gemacht werden. In der Abb. 3 findet sich ein Gliederungsschema, welches diese Anforderungen berücksichtigt.

Abbildung 3: Muster Jahresbericht an den Vorstand und den Aufsichtsrat

1. Ausstattung der Internen Revision

1.1.         (wesentliche) Änderungen in den Rahmenbedingungen

1.2.         Änderungen in der Internen Revision

1.2.1.      Aufbauorganisation (z. B. Organigramm)

1.2.2.      Ablauforganisation

1.3.         Nebentätigkeiten (z. B. revisionsfremd)

1.4.         Projekttätigkeit (z. B. Migrationsprojekt, MiFiD II usw.)

1.5.         Auslagerungen (z. B. Rechenzentrumsbetrieb, Markgerechtigkeitsprüfung)

1.6.         Ergebnisse externer Prüfungen (z. B. Abschlussprüfung, Sonderprüfung)

2. Einhaltung der Jahresplanung (z. B. Verschiebungen, unterjährige Plananpassungen)

3. Prüfungen im Geschäftsjahr (z. B. Prüffeld, Prüfungstage, Ergebnis)

4. Ergebnisse der Prüfungen (ab wesentliche Mängel)

4.1.         Besonders schwerwiegende Prüfungen

4.2.         Schwerwiegende Mängel

4.3.         wesentliche Mängel

Datum (Aufstellung) und Unterschrift Leiter(in) Interne Revision

Datum (Kenntnisnahme) und Unterschrift des Vorstandes

ggf. Datum (Kenntnisnahme) und Unterschrift des Aufsichtsrates / Vorsitzende(r)

Weitere mögliche Inhalte des Gesamtberichtes, welche in der Abb. 3 keine (direkte) Berücksichtigung gefunden haben, betreffen u. a. folgende Themenfelder:

• Qualitätsmanagement in der Internen Revision
• Qualitative und quantitative Personalausstattung
• Fortbildung im Berichtszeitraum
• Ausblick für das aktuelle (folgende) Geschäftsjahr

In BT 2.4. Tz. 6 a. F. wurde explizit auf den Gesamtbericht über die Tätigkeit der Internen Revision an den Aufsichtsrat eingegangen. Insbesondere ergaben sich folgende Abweichungen gegenüber dem Inhalt des Gesamtberichtes an den Vorstand:

• Wesentliche Mängel: lediglich noch nicht behobene wesentliche Mängel
• Maßnahmen zur Beseitigung festgestellter Mängel: beschlossene (nicht ergriffene) Maßnahmen
• Einhaltung des Prüfungsplanes: keine Berichterstattungspflicht

Diese Unterscheidungskriterien bei den Adressaten des Gesamtberichtes greifen durch die Außerkraftsetzung des BT 2.4. Tz. 6 a. F. nun nicht mehr, so dass diesbezüglich keine Unterscheidung mehr zwischen Aufsichtsrats- und Vorstandsberichterstattung besteht.

Neben den inhaltlichen finden sich auch zeitliche Vorgaben, die es von Ihnen zu erfüllen gilt. Diesbezüglich wird auf die Ausführungen zum Quartalsbericht verwiesen. Die in der Abb. 2 für das IV. Quartal dargestellten Fristen finden auch Anwendung für den Gesamtbericht.

III. Fazit

Wesentliche Veränderungen im Bereich der Berichterstattungspflichten der Internen Revision an die Organe sind durch die Novellierung der MaRisk nicht zu verzeichnen. Es handelt sich vielmehr um Klarstellungen. Die Bedeutung der Möglichkeit einer differenzierten Berichterstattung an den Vorstand und den Aufsichtsrat war in der Praxis eher gering ausgeprägt. Es erfolgte i. d. R. eine einheitliche Berichterstattung, welche sich nun durch den Wegfall von BT 2.4. Tz. 6 a.F. weiter manifestieren wird. Nicht zu unterschätzen ist die zeitliche Komponente. Hier wird es zu unterschiedlichen Auslegungen der Begrifflichkeit „zeitnah“ in der Praxis kommen, welche letztlich praktikabel und durchsetzbar sein müssen. Seien Sie sich einer Diskussion mit dem Abschlussprüfer respektive Sonderprüfer gewiss, wenn die „hauseigenen“ Fristen zu einer Überschreitung eines Zeitraumes von maximal zwei Monaten (Durchlauf von der Erstellung bis zur Vorlage/Kenntnisnahme beim Aufsichtsrat) führen.

PRÜFUNGSTIPPS

• Mit der Berichterstattung „präsentieren” Sie sich den Organen; bleiben Sie durch Ihre Berichterstattung in „Guter Erinnerung”!
• Regeln Sie, wer die direkte Berichterstattung gegenüber dem Aufsichtsrat vollziehen soll (Vorstand oder Interne Revision); durch die Übertragung an den Leiter der Internen Revision wird dessen Position gegenüber dem Aufsichtsrat weiter gestärkt.
• Klären Sie mit Ihrem Vorstand, ob die Berichtserstattung für das IV. Quartal und der Gesamtbericht eines jeden Geschäftsjahres zusammen oder getrennt erstellt werden sollen; die gesonderte Erstellung mag zwar mehr „Aufwand“ bedeuten, stellt den IV. Quartalsbericht jedoch in ein „besonderes“ Licht.
• Es bedarf einer hausinternen Klärung, welche Fristen noch als „zeitnah“ anzusehen sind. Diese „Fristen“ sind dann verbindlich einzuführen und zu kommunizieren.
• Behalten Sie die „Zeitnähe” der Berichterstattung zum jeweiligen Ende des Berichtszeitraumes in der Überwachung, um einer „negativen“ Berichterstattung Dritter (Abschlussprüfer, Sonderprüfer) von vornherein entgegenzuwirken; hierfür könnte sich ein terminierter Umlaufzettel als nützlich erweisen, da dann die Organe ihre Fristen besser im Blick haben.

1. Rundschreiben 09/2017 (BA) – Mindestanforderungen an das Risikomanagement – MaRisk vom 27.10.2017. ↑
2. Basel Committee on Banking Supervision (BCBS) 239: „Grundsätze für die effektive Aggregation von Risikodaten und die Risikoberichterstattung“; Januar 2013. ↑
3. Vgl. „Mindestanforderungen an das Risikomanagement - MaRisk“, https://intern.bvr.de/e.nsf/index.xsp?documentId=D576C073DE99CCD8C125794B00356D4E; Einsichtnahme Internet: 11.11.2018. ↑
4. Im Folgenden werden die Verweise auf die MaRisk ohne explizite Nennung „MaRisk“ erfolgen, z. B. BT 2.4 Tz. 4. ↑
5. Vorstand = Geschäftsleitung. ↑
6. Zur Verbesserung der Lesbarkeit wird auf die Darstellung der weiblichen Form verzichtet. ↑
7. Vgl. Kommentierung zu § 122 BGB, wie z. B. Palandt, Otto; „Bürgerliches Gesetzbuch“, 77. Auf. 2018. ↑