9. Fachtagung Interne Revision: Risikomanagement im Prüfungs-Fokus

Prüfung der Risikoinventur mit Prüfungsschwerpunkt „Neue (wesentliche) Risikoarten“ (u.a. Nachhaltigkeitsrisiko, IKT-Risiko, (IT-)Projektrisiko)

• Erweiterte Anforderungen an die Risikoinventur (u.a. aus neuer MaRisk und neuem RTF-Leitfaden)
• Prüfung der Einbeziehung von Nachhaltigkeitsrisiken, IKT-Risiken und (IT-)Projektrisiken in die Risikoinventur – Beurteilung der Erfassung, Messung und Steuerung
• Prüfung und Beurteilung barwertnaher Risiken mit Auswirkungen auf die künftige Entwicklung der Eigenmittel

Erwartungen der Aufsicht an die Prüfung von IT-Risikomanagement & Cloud-Computing

• Prüfung von Risiken (in) der Cloud – Stark zunehmende Anzahl von Cloud-Auslagerungen deutscher Institute zur Datenspeicherung
• Prüfung der Cyber-Governance durch die Interne Revision – Erwartungen der Aufsicht bzgl. des Umgangs mit Cyberrisken, insbesondere deren Abbildung im Risikomanagement sowie Empfehlungen zur Vertragsgestaltung mit Cloud-Anbietern.
• Vorgaben der EBA-GL on Outsourcing hinsichtlich Auslagerungen an Cloud-Service-Provider – Proportionale Umsetzung durch die Institute und Prüfungsanforderungen an die Revision – Kontrollintensität bei Cloudauslagerungen in Abhängigkeit der Komplexität der Dienstleistermodelle und Art der Cloud-Bereitstellung
• Besondere Prüfungshandlungen bei wesentlichen Cloud-Auslagerungen

Erfahrungsbericht: Aktuelle §44er Sonderprüfung im Bereich Risikomanagement – Aufgaben der Revision bei der Vorbereitung, Begleitung und Nachbereitung/Maßnahmenverfolgung

• Neue MaRisk: Risikomanagement im Fokus von Aufsicht, Revision und Abschlussprüfern – insbesondere Risiko-Früherkennung, -Quantifizierung, -Steuerung und -Reporting
• Risikomanagement als Prüfungsschwerpunkt bei aktuellen §44er Sonderprüfungen
• Prüfungsankündigung der Aufsicht: Einbindung der Internen Revision in die Prüfungsvorbereitung – Vorprüfung der Angeforderten Unterlagen auf Vollständigkeit und Richtigkeit – Überwachung der Prüfungsorganisation – Enge Abstimmung mit dem Vorstand
• Prüfungsbegleitung: (Leiter) Revision als zentraler Ansprechpartner der Aufsicht und Schnittstelle zwischen Aufsicht und Institut/Fachbereichen
• Nachbereitung der Prüfung: Welche Abläufe können bei der nächsten Prüfung verbessert werden? Welche Schnittstellen fehlen oder müssen verbessert werden?
• Maßnahmenverfolgung und -umsetzung: Analyse des Ergebnisses der Sonderprüfung – Welche Feststellungen wurden getroffen? Welche Mängel gehen mit Maßnahmen einher und wann ist die Abstellung der Mängel der Aufsicht zu Berichten? 
• Erkenntnisse für die Revision und die Bank aus der aktuellen §44er Prüfung – Praxistipps

Prüfungsrisiko: Mängelzurechnung an die Revision – Risiken aus nicht erkannten oder zu niedrig gewichteten Mängeln und Feststellungen

• Anforderungen an die Klassifizierung und Verfolgung festgestellter Mängel sowie die Überwachung abgeleiteter Maßnahmen
• Welche Mängel sind ad hoc an Vorstand und/oder Aufsichtsorgan zu berichten?
• Nachschauprüfung von Umsetzungsfristen für die Mängelbeseitigung durch die Aufsicht
• Inwieweit ist eine Nichterledigung von Revisionsfeststellungen bzw. Nichtabarbeitung von Mängeln mit Handlungsbedarfen vereinbar mit den Sorgfaltspflichten der Geschäftsleitung?
• Klassifizierung von Feststellungen und Maßnahmen bei nicht abgestellten (Vorjahres-)Mängeln
• Mängelnachverfolgung und Umsetzungsprüfung durch die Interne Revision – Vorgehensweise und Dokumentation 
• Risiken aus der Ausweitung von Aufsichtsprüfungen auf die Interne Revision und damit einhergehende Mängelzurechnungen