Neue Global Internal Audit Standards: (Kein) Grund zur Panik?

Reform & Debatte

2. April 2024

Das Institute of Internal Auditors (IIA) hat am 9. Januar 2024 neue Global Internal Audit Standards veröffentlicht. Neu ist nicht nur die Gliederung der Standards, es gibt auch zahlreiche inhaltliche Änderungen. Die Internen Revisionen haben bis Anfang 2025 Zeit, um diese zu analysieren und im eigenen Unternehmen umzusetzen.

Der Internen Revision kommt eine bedeutende Rolle zu: Sie überprüft und beurteilt Aktivitäten und Prozessabläufe innerhalb der Unternehmen und steigert so deren Effektivität und Effizienz. Das Institute of Internal Auditors legt in diesem Zusammenhang Standards fest, auf deren Basis die internen Revisionsabteilungen ihre Kontrollfunktion ausüben. Durch die Veröffentlichung der neuen Standards sind die Unternehmen aufgerufen, diese strukturell und inhaltlich zu analysieren und den Weiterentwicklungsbedarf des eigenen Revisionssystems zu identifizieren. Die erforderlichen Anpassungen sind bis zum 9. Januar 2025 umzusetzen. Grundsätzlich ist davon auszugehen, dass alle Revisionsfunktionen Änderungen vorzunehmen haben. Wie umfangreich diese jedoch ausfallen, hängt von der bestehenden Ausgestaltung ab. Worauf Revisor*innen achten müssen und wie sie zielgerichtet vorgehen können, wird im Folgenden dargestellt.

Neue Struktur schafft mehr Transparenz

Neben den inhaltlichen Neuerungen ist es insbesondere das Erscheinungsbild der neuen Standards, das sich vom bisher gültigen Rahmenwerk unterscheidet. Die neuen Standards sind in fünf Domains gegliedert, die sich wiederum in 15 Prinzipien mit 52 detaillierten Standards aufteilen:

Zielsetzung der Internen Revision
Ethik und Professionalität
Governance der Internen Revision
Leitung der Internen Revision
Erbringen von Revisionsdienstleistungen

Jeder Standard umfasst drei Themenbereiche: Verbindlich anzuwendende Vorgaben, Überlegungen zur Umsetzung und Beispiele dafür, wie Nachweise zu seiner Einhaltung erbracht werden können.

Erweitert werden die Standards zukünftig um „Topical Requirements“, die besondere Anforderungen zu acht spezifischen Risikothemen, etwa zur Cybersicherheit, zu Nachhaltigkeit & ESG, zum Dienstleistermanagement und Fraud-Risikomanagement, enthalten werden. Damit reagiert das IIA auf eine vielschichtige und komplexe Risikoumgebung, denen die Unternehmen ausgesetzt sind, und fordert Interne Revisionen auf, zusätzliche Vorgaben in ihre Revisions- und Beratungstätigkeit zu integrieren.

IIA entwickelt Revisionspraxis weiter und setzt neue Schwerpunkte

Innerhalb dieser Struktur hat das IIA die Revisionspraxis inhaltlich weiterentwickelt und neue Schwerpunkte gesetzt. Übergreifend betreffen die enthaltenen Neuerungen die operative Revisionstätigkeit sowie die Messung und Überwachung der Revisionsqualität. Darüber hinaus betont das IIA die Kommunikation, Abstimmung und Außenwirkung der Revision im Zusammenspiel mit relevanten Stakeholdern.

Hervorzuheben sind beispielsweise folgende Anforderungen:

Revisionsstrategie: Interne Revisionen haben ein Leitbild zu entwerfen bzw. weiterzuentwickeln und darauf aufbauend eine Revisionsstrategie abzuleiten und schriftlich zu fixieren.
Einbindung von Management und Aufsichtsorgan: Eine stärkere Abstimmung und Diskussion mit dem Management bzw. Aufsichtsorgan ist durch definierte Berichtslinien und regelmäßige Kommunikationsformate sicherzustellen.
Risikomanagement: Die Prüfung des Risikomanagements und dessen Wirksamkeit in Verbindung mit einem ganzheitlichen Verständnis der Risikolandkarte des gesamten Unternehmens erhält einen noch stärkeren Fokus innerhalb der Revisionstätigkeit.
Technologie-Einsatz: Die Internen Revisionen müssen die gezielte und umfassende Nutzung von Technologien vorantreiben und in die Revisionstätigkeit integrieren. Das betrifft beispielsweise Data Analytics, Process Mining oder andere Tool-Lösungen.
Leistungsmessung: Die Qualität einer Internen Revision ergibt sich zukünftig aus der Standard-Konformität und der Performance der Revision. Dementsprechend muss die Interne Revision Messgrößen zur Leistungsbeurteilung entwickeln und festlegen. Auf dieser Basis kann sie ihre Leistung dann beurteilen und Verbesserungsmaßnahmen ableiten.

Mit vier Schritten zur fristgerechten Umsetzung

Um alle Anforderungen, die sich aus den neuen Standards ergeben, angemessen und fristgerecht umzusetzen, empfiehlt sich ein strukturiertes Vorgehen im Rahmen von vier Schritten:

Gap-Analyse: Im Rahmen einer Gap-Analyse sind die neuen Standards zu analysieren und die Revisions-individuellen Anpassungsbedarfe zu identifizieren. Dabei kann im Vorfeld zu einer detaillierten Analyse entlang aller 52 Standards auch ein frühzeitiger übergreifender Quick-Check für eine Ersteinschätzung der Anpassungserfordernisse vorteilhaft sein.
Weiterentwicklung des Revisionssystems: Basierend auf den Analyseergebnissen ist das jeweilige Interne Revisionssystem standard-konform weiterzuentwickeln und eine Aktualisierung der Beschreibung vorzunehmen, beispielsweise der Geschäftsordnung der Internen Revision oder des operativen Revisionshandbuchs.
Schulung der Revisor*innen: Die Schulung der Revisor*innen ist nötig, um im Anschluss an die angemessene Umsetzung der neuen IIA-Anforderungen auch deren wirksame Operationalisierung sicherzustellen. Dabei sind insbesondere die Neuerungen in der operativen Revisionstätigkeit hervorzuheben, beispielsweise in Bezug auf die Risikoorientierung, die Kommunikation mit dem Fachbereich oder den Einsatz von Tools.
Stakeholder-Austausch: Abschließend bieten die neuen Standards auch einen wichtigen Anknüpfungspunkt, um den Austausch mit den Stakeholdern der Internen Revision aufzunehmen bzw. zu intensivieren. Insbesondere das Management und das Aufsichtsorgan, gerade aber auch die anderen Governance- und Kontroll-Funktionen der zweiten Verteidigungslinie sowie externe Assurance Provider sollten im Hinblick auf die neuen Standards und ihre Auswirkungen informiert und sensibilisiert werden.

Um die einjährige Umsetzungsfrist bis zum 9. Januar 2025 einhalten zu können, ist es für Interne Revisionen wichtig, frühzeitig mit der Analyse und Weiterentwicklung zu beginnen. In diesem Zuge sollte auch validiert werden, welche Implikationen sich auf geplante externe Quality Assessments ergeben können. Es erscheint vorteilhaft, für 2025 geplante Quality Assessments vorzuziehen und noch 2024 auf Basis der alten Standards durchführen zu lassen.

Die Umsetzung der Standards wird nicht nur im Rahmen von Quality Assessments überprüft. Auch der*die Abschlussprüfer*in wird sich vor diesem Hintergrund mit den neuen Standards und deren Umsetzung im Unternehmen auseinandersetzen müssen.

Für weitere Themen rund um die Wirtschaftsprüfung und Mazars folgen Sie uns auch auf LinkedIn und XING.