Internal Audit
Definition: Das Internal Audit ist eine unabhängige, objektive Prüfungs- und Beratungsfunktion, die Prozesse, Risikomanagement und Governance-Strukturen eines Unternehmens systematisch bewertet. Ziel ist die Sicherstellung von Compliance, die Aufdeckung von Schwachstellen und die kontinuierliche Verbesserung der internen Kontrollsysteme.
Definition und Kernauftrag der Internen Revision
Das Internal Audit, im deutschsprachigen Raum oft als Interne Revision bezeichnet, ist eine unternehmensinterne Funktion, die Prozesse und Systeme bewertet. Es agiert als unabhängiges Überwachungsorgan, das der Geschäftsleitung und dem Aufsichtsrat direkt berichtet. Die Prüfungstätigkeit umfasst die Angemessenheit und Wirksamkeit des internen Kontrollsystems (IKS), des Risikomanagements und der Corporate-Governance-Strukturen.
Der Fokus liegt nicht auf der reinen Fehlersuche. Vielmehr geht es um eine wertschöpfende Perspektive: Prozesse werden auf Effizienz, Effektivität und Compliance konformität geprüft. Die Prüfungshandlungen folgen einem risikoorientierten Ansatz. Das bedeutet, dass Prüfungsressourcen dort gebündelt werden, wo das größte Schadenspotenzial für das Unternehmen besteht. Die Ergebnisse münden in Prüfungsberichten mit konkreten Handlungsempfehlungen, deren Umsetzung in der Regel nachverfolgt wird.
Die Interne Revision ist das dritte Verteidigungssegment im Drei-Linien-Modell. Sie prüft die Arbeit der ersten Linie (operatives Management) und der zweiten Linie (Risikomanagement, Compliance).
Abgrenzung zu anderen Prüfungs- und Kontrollfunktionen
Der Begriff Internal Audit wird häufig mit anderen Kontrollinstanzen vermischt. Eine klare Differenzierung ist für das Verständnis der Unternehmensarchitektur unerlässlich.
| Funktion | Fokus | Berichtslinie | Auftrag |
|---|---|---|---|
| Internal Audit | Governance, Risiken, Kontrollen, Prozesse | Aufsichtsrat / Audit Committee | Unabhängige, risikoorientierte Prüfung & Beratung |
| Externes Audit | Jahresabschluss, gesetzliche Pflichtprüfung | Gesellschafter / Öffentlichkeit | Prüfung der Ordnungsmäßigkeit der Finanzberichterstattung |
| Compliance-Management | Einhaltung von Gesetzen, Richtlinien, Verhaltenskodizes | Geschäftsleitung / Compliance Officer | Prävention, Aufdeckung, Reaktion auf Regelverstöße |
| Risikomanagement | Identifikation, Bewertung, Steuerung von Risiken | Geschäftsleitung / CRO | Proaktive Steuerung der Risikolandschaft |
Während das Compliance-Management primär auf die Einhaltung externer und interner Regeln fokussiert ist, prüft das Internal Audit die Wirksamkeit dieser Compliance-Systeme. Das Risikomanagement identifiziert und steuert Risiken; das Internal Audit bewertet, ob dieser Prozess selbst angemessen funktioniert. Das externe Audit prüft die Rechnungslegung mit Fokus auf den Abschluss; das Internal Audit hingegen betrachtet die gesamte Wertschöpfungskette und die zugrunde liegenden Prozesse.
Interdisziplinäre Perspektive: Schnittstellen und Kontextverschiebungen
Der Begriff „Audit“ ist nicht auf den Finanz- und Compliance-Bereich beschränkt. In der IT- und AI-Welt existiert das Konzept des Algorithmic Audits. Hier wird nicht ein Geschäftsprozess, sondern ein KI-Modell geprüft. Die Fragestellungen ähneln sich: Ist das Modell robust? Diskriminiert es bestimmte Gruppen? Sind die Datenverarbeitungsprozesse DSGVO-konform? Die Methodik unterscheidet sich jedoch fundamental. Klassische Stichprobenprüfungen weichen hier Tests von Trainingsdaten, Metriken zur Fairness und der Analyse von Entscheidungslogiken.
Auch im Bereich der Cybersicherheit hat sich ein eigenes Verständnis etabliert. Ein IT-Audit prüft Zugriffskonzepte, Verschlüsselungsstandards und Notfallpläne. Die Schnittmenge zum klassischen Internal Audit ist groß, denn IT-Risiken sind heute untrennbar mit operativen und strategischen Risiken verbunden. Ein modernes Internal Audit muss daher über klassische Finanz- und Prozesskenntnisse verfügen und gleichzeitig die technologischen Grundlagen des Geschäftsmodells verstehen. Die Prüfung von KI-Systemen erfordert zudem neue Kompetenzen, etwa im Verständnis von Modellrisiken und Datenqualität.
Prüfungsprozess und methodisches Vorgehen
Der Ablauf einer internen Prüfung folgt einem strukturierten, standardisierten Prozess. Zunächst erfolgt eine risikoorientierte Prüfungsplanung. Die identifizierten Prüfungsfelder werden priorisiert und in einem Prüfungsplan festgehalten. Vor Ort oder remote folgt die Durchführung: Die Prüfer sammeln Belege, führen Interviews und analysieren Daten. Die Bewertung der Befunde erfolgt stets vor dem Hintergrund der Wesentlichkeit. Nicht jede Abweichung ist gleich kritisch; die Bewertung orientiert sich an der potenziellen Schadenshöhe und der Eintrittswahrscheinlichkeit.
Der Prüfungsbericht dokumentiert die Feststellungen, bewertet die Risiken und formuliert priorisierte Empfehlungen. Ein Follow-up-Prozess stellt sicher, dass die vereinbarten Maßnahmen tatsächlich umgesetzt werden. Die Wirksamkeit der Prüfungshandlungen hängt maßgeblich von der Qualität der Daten ab. Moderne Audit-Funktionen nutzen daher zunehmend Datenanalysen und Continuous Auditing, um Abweichungen in Echtzeit zu identifizieren. Die Digitalisierung verändert damit nicht nur die geprüften Prozesse, sondern auch die Prüfungsmethodik selbst. Die Herausforderung liegt in der Balance zwischen standardisierten Prüfungsroutinen und der notwendigen Flexibilität für neuartige, komplexe Risiken.
« Back to Glossary Index