MaRisk Audit Checkliste: Ein umfassender Leitfaden für eine erfolgreiche MaRisk-Prüfung

Geschätzte Lesezeit: 12 Minuten

Key Takeaways

• Die MaRisk Audit Checkliste ist ein zentrales Werkzeug zur strukturierten und risikoorientierten Prüfung der Mindestanforderungen an das Risikomanagement.
• Prüfpfade, Evidenzen sowie KPI/KRI-Reporting und Reifegradmodelle sind Schlüsselelemente für Nachvollziehbarkeit und fundierte Bewertung.
• Das zielgerichtete Handling von Abweichungen mit klarer Dokumentation und Mängelbeseitigung stärkt die Compliance und Risikominimierung.
• Die Integration aller Bausteine in der Checkliste schafft einen ganzheitlichen Prüfrahmen, der Transparenz und Vergleichbarkeit sicherstellt.
• Effiziente Audit-Methoden wie Standardisierung und Digitalisierung erhöhen die Aussagekraft und sparen Zeit.

Einführung: Bedeutung und Zweck der MaRisk Audit Checkliste

Eine MaRisk Audit Checkliste ist kein gewöhnliches Dokument. Sie ist ein strukturiertes Arbeitsinstrument, das der Internen Revision hilft, die Einhaltung der Mindestanforderungen an das Risikomanagement (MaRisk) systematisch zu prüfen.

Der Hauptzweck liegt darin, alle relevanten Module der MaRisk (AT, BT) vollständig und risikoorientiert abzudecken. Dadurch wird sichergestellt, dass keine wichtigen Bereiche übersehen werden.

Die Checkliste unterstützt die Interne Revision bei ihrer Kernaufgabe: der unabhängigen Beurteilung der Angemessenheit und Wirksamkeit des Risikomanagements und des internen Kontrollsystems (IKS). Sie schafft die Grundlage für eine objektive Prüfung.

Die Vorteile einer gut strukturierten MaRisk Audit Checkliste sind vielfältig:

• Sie standardisiert die Prüfungsabläufe und sorgt für konsistente Ergebnisse
• Sie macht Prüfungen über Jahre und verschiedene Organisationseinheiten hinweg vergleichbar
• Sie liefert eine solide Grundlage für die Berichterstattung an die Geschäftsleitung, Aufsichtsorgane und Aufsichtsbehörden
• Sie hilft dabei, Abweichungen zu erkennen und zu beheben

Eine professionelle Checkliste ist damit weit mehr als eine simple Auflistung von Prüfpunkten – sie ist ein strategisches Instrument für ein effektives Risikomanagement.

Prüfpfade & Evidenzen – Nachvollziehbarkeit und Dokumentation

Prüfpfade bilden das Rückgrat jeder MaRisk-Prüfung. Sie sind strukturierte Abfolgen von Prüfungsschritten, die speziell für jedes MaRisk-Thema entwickelt werden. Ob für Governance (AT 4), Risikostrategie (AT 4.2) oder andere Bereiche – jeder Prüfpfad folgt einer klaren Logik.

Ein gut gestalteter Prüfpfad verbindet mehrere Elemente: Er startet bei der Anforderung, leitet zu konkreten Prüffragen über, definiert geeignete Prüfhandlungen, ermöglicht Feststellungen und mündet in einer fundierten Bewertung. Diese Kette macht den Prüfprozess nachvollziehbar.

Evidenzen sind die „Beweise“, die im Rahmen der Prüfung gesammelt werden. Dazu gehören Dokumente wie Richtlinien, Protokolle und Reports, aber auch Systemauszüge, Logs oder Ergebnisse von Stichproben. Sie belegen konkret, ob die Anforderungen erfüllt werden.

Die MaRisk fordert ausdrücklich angemessene Organisationsrichtlinien und Dokumentationen als Teil des IKS. Diese bilden häufig die ersten Evidenzen, die im Rahmen einer Prüfung gesichtet werden.

Besonders wichtig: Jede Feststellung muss für Dritte nachvollziehbar sein. Externe Prüfer oder die Aufsicht müssen anhand der dokumentierten Evidenzen und Arbeitsunterlagen den Prüfungsweg und die Ergebnisse verstehen können. Das DIIR-Revisionshandbuch betont dabei die Wichtigkeit einer systematischen Erfassung aller Prüfobjekte sowie einer lückenlosen Dokumentation der Mängelbeseitigung.

KPI/KRI Reporting IT – Definition, Relevanz und Einsatz in MaRisk-Audits

Kennzahlen spielen eine zentrale Rolle in modernen MaRisk-Audits. Dabei unterscheiden wir zwei wichtige Typen:

• KPIs (Key Performance Indicators) sind Leistungskennzahlen für IT-Prozesse. Sie messen beispielsweise, wie schnell Tickets bearbeitet werden oder wie hoch die Systemverfügbarkeit ist. Diese Zahlen zeigen, wie gut die IT-Prozesse funktionieren.
• KRIs (Key Risk Indicators) hingegen sind Risikokennzahlen. Sie erfassen etwa die Anzahl kritischer Sicherheitsvorfälle, Rückstände beim Patch-Management oder Ausfallzeiten geschäftskritischer Systeme. Diese Werte machen Risiken messbar und vergleichbar.

Die MaRisk verlangt explizit Prozesse zur Identifizierung, Beurteilung, Steuerung, Überwachung und Kommunikation von Risiken. Dazu gehören auch geeignete Reportingstrukturen. IT-Prozesse sind dabei von besonderer Bedeutung für die Interne Revision.

Im Audit werden KPIs und KRIs auf verschiedene Weise genutzt:

• Sie unterstützen die risikoorientierte Prüfungsplanung, indem sie Bereiche mit auffälligen IT-Indikatoren identifizieren
• Sie dienen als Evidenz im Prüfpfad und helfen bei der Plausibilisierung
• Sie ermöglichen eine Bewertung der Datenqualität, der festgelegten Schwellenwerte und der definierten Reaktionsprozesse

Besonders wichtig ist die Verknüpfung mit dem Gesamt-Risikoprofil und dem Risikotragfähigkeitskonzept. Nur so kann sichergestellt werden, dass IT-Risiken angemessen im Gesamtkontext des Instituts berücksichtigt werden.

Reifegradmodell IT für MaRisk-Prüfungen – Zweck und Nutzen

Das Reifegradmodell IT ist ein wertvolles Instrument für MaRisk-Prüfungen. Es ermöglicht eine systematische Bewertung der Reife von IT-Sicherheits- und Kontrollprozessen im Kontext der MaRisk-Anforderungen.

Der Zweck dieses Modells ist klar: Es schafft einen strukturierten Rahmen zur Beurteilung, wie weit entwickelt wichtige IT-Prozesse sind. Dies umfasst Bereiche wie Information Security, Change-Management, Berechtigungsmanagement oder Business Continuity Management.

Typischerweise umfasst ein Reifegradmodell fünf Stufen:

1. Ad-hoc / nicht dokumentiert: Prozesse werden unstrukturiert durchgeführt, ohne klare Dokumentation
2. Teilweise definiert, wenig konsistent: Grundlegende Abläufe sind festgelegt, werden aber nicht einheitlich umgesetzt
3. Standardisiert und dokumentiert: Prozesse sind definiert und dokumentiert, werden konsistent angewendet
4. Überwacht und quantitativ gesteuert: KPIs und KRIs werden systematisch erhoben und für die Steuerung genutzt
5. Kontinuierlich optimiert: Prozesse werden laufend verbessert, Best Practices werden integriert

Der praktische Nutzen im Audit ist vielfältig:

Das Modell verdichtet komplexe IT-Befunde zu leicht verständlichen Reifegradprofilen. Statt seitenlanger technischer Details erhält das Management eine klare Übersicht pro Prozess oder Domain.

Es unterstützt die risikoorientierte Prüfplanung. Bereiche mit niedrigem Reifegrad benötigen häufigere und intensivere Prüfungen – etwa jährlich statt nur alle drei Jahre.

Zudem bietet es eine Grundlage für die Ableitung mittel- bis langfristiger Verbesserungsmaßnahmen. Die Schritte von einer Reifegradstufe zur nächsten können als konkrete Entwicklungsziele definiert werden.

Umgang mit Abweichungen – Erkennung, Dokumentation und Behebung

Die Erkennung von Abweichungen beginnt mit einem systematischen Soll-Ist-Vergleich. Was fordern die MaRisk? Was wird in der Praxis tatsächlich umgesetzt? Wie werden Richtlinien angewendet? Wie funktionieren die IT-Kontrollen? Diese Gegenüberstellung deckt Lücken auf.

Zusätzlich helfen KPIs/KRIs und Reifegradmodelle bei der Identifikation typischer Schwachstellen. Dauerhafte Grenzwertüberschreitungen ohne entsprechende Maßnahmen oder ein niedriger Reifegrad bei wichtigen Sicherheitsfunktionen sind klare Warnsignale.

Bei der Dokumentation von Abweichungen kommt es auf Klarheit an:

• Die Anforderung muss präzise benannt werden
• Die beobachtete Abweichung muss konkret beschrieben werden
• Die Risikoauswirkung muss bewertet werden
• Die betroffenen Prozesse oder Organisationseinheiten müssen identifiziert werden

Das DIIR-Revisionshandbuch hebt besonders hervor, dass die Interne Revision verpflichtet ist, Mängel und deren fristgerechte Beseitigung nachzuverfolgen. Dies kann auch spezielle Nachschauprüfungen erfordern.

Für die wirksame Behebung von Abweichungen sind konkrete Maßnahmen erforderlich:

Jede Maßnahme braucht einen klaren Inhalt, eine verbindliche Frist und eine verantwortliche Person. Die Priorisierung erfolgt nach Wesentlichkeit – kritische Risiken müssen zuerst adressiert werden.

Wichtig ist auch die Einbindung aller relevanten Funktionen. Im Sinne des „Three Lines of Defense“-Modells sollten neben der Internen Revision auch Risikocontrolling und Compliance-Funktion bei der nachhaltigen Beseitigung von Mängeln zusammenwirken.

Integration/Verknüpfung der Bausteine in der MaRisk Audit Checkliste

Eine professionelle MaRisk Audit Checkliste verknüpft alle Elemente zu einem schlüssigen Ganzen. Hier ist, wie diese Integration funktioniert:

Der Prüfpfad bildet das Grundgerüst. Für jedes MaRisk-Thema – sei es AT 4 (Organisation), AT 4.3 (Internes Kontrollsystem) oder BT 2 (Besondere Anforderungen an die Interne Revision) – werden spezifische Prüffragen und Schritte definiert.

Zu jedem Prüfschritt gehören klar definierte Evidenzen. Die Checkliste gibt vor oder schlägt beispielhaft vor, welche Arten von Nachweisen zu erheben sind – etwa bestimmte Richtlinien, Reports oder Systemeinstellungen.

KPIs und KRIs werden als Referenzpunkte in die Bewertung integriert. Die Checkliste verweist auf relevante Kennzahlen, die bei der Risikobewertung (z.B. mittels Ampelsystem oder Risikoscore) zu berücksichtigen sind.

Das Reifegradmodell liefert eine standardisierte Bewertungsskala für IT-Prozesse und Kontrollfelder. Die Einstufung wird aus der Gesamtheit von Prüfpfad, KPIs/KRIs und gesammelten Evidenzen abgeleitet.

Für Abweichungen und Maßnahmen enthält die Checkliste strukturierte Felder: Platz für die Beschreibung der Feststellung, die Risikobewertung, die vereinbarten Maßnahmen, Fristen, Verantwortliche und den Status des Follow-ups.

Durch diese Verknüpfung entsteht ein ganzheitlicher Prüfrahmen. Er deckt nicht nur die MaRisk-Compliance ab, sondern integriert auch IT-Risiken und Governance-Aspekte in einem zusammenhängenden System.

Diese Integration ist entscheidend für die Effektivität der Prüfung. Sie stellt sicher, dass keine wichtigen Zusammenhänge übersehen werden und die Ergebnisse ein realistisches Gesamtbild vermitteln.

Tipps zur Steigerung von Effizienz und Aussagekraft

Um das Maximum aus einer MaRisk Audit Checkliste herauszuholen, sind einige praktische Tipps besonders wertvoll:

• Nutzen Sie das Prinzip der risikoorientierten Planung. KPIs, KRIs und Reifegradbewertungen sind hervorragende Indikatoren, um Prüfungsschwerpunkte zu setzen. Bereiche mit hohem Risiko oder niedrigem Reifegrad verdienen mehr Aufmerksamkeit. Dies entspricht auch der MaRisk-Vorgabe zur risikoorientierten Prüfungsplanung.
• Setzen Sie auf Standardisierung und Modularisierung. Bauen Sie Ihre Checkliste in thematischen Modulen auf – etwa Governance, Risiko-/IKS, IT-Prozesse, Outsourcing oder spezifische Risikotypen. So können Sie Teile wiederverwenden und sicherstellen, dass alle Prüfer konsistent arbeiten.
• Digitalisieren Sie Ihre Prüfpfade. Moderne Audit-Tools ermöglichen die elektronische Abbildung von Prüfpfaden, Evidenzen, Kennzahlen und Reifegraden. Das verbessert nicht nur die Nachvollziehbarkeit, sondern erleichtert auch die Auswertung und den Vergleich über mehrere Prüfungen hinweg.
• Etablieren Sie eine klare Bewertungssystematik. Eine einheitliche Klassifikation – etwa in „wesentlicher Mangel“, „sonstiger Mangel“ und „Hinweis“ – schafft Klarheit. Verknüpfen Sie diese Kategorien mit Ihren Reifegrad- und KPI-Ergebnissen für eine konsistente Bewertung.
• Bleiben Sie konsequent beim Follow-up. Die MaRisk fordert ausdrücklich die Überwachung der fristgerechten Mängelbeseitigung. Stellen Sie sicher, dass Ihre Checkliste Felder für Nachverfolgungstermine enthält, und führen Sie bei Bedarf gezielte Nachschauprüfungen durch.

Diese Maßnahmen steigern nicht nur die Effizienz Ihrer Prüfungen, sondern erhöhen auch deren Aussagekraft erheblich. Eine gut gestaltete Checkliste spart Zeit bei der Durchführung und liefert gleichzeitig tiefere Erkenntnisse.

Fazit – Beitrag der MaRisk Audit Checkliste zur Risikominimierung und Compliance

Eine gut durchdachte MaRisk Audit Checkliste ist weit mehr als ein Abhakwerkzeug. Sie ist ein strategisches Instrument, das mehrere zentrale Funktionen erfüllt.

Sie gewährleistet, dass alle MaRisk-Anforderungen vollständig und risikoorientiert adressiert werden. Vom Risikomanagement über das interne Kontrollsystem bis hin zu IT-Prozessen und der Internen Revision selbst – nichts Wichtiges bleibt außen vor.

Die strukturierte Checkliste schafft Transparenz und Nachvollziehbarkeit. Durch klar definierte Prüfpfade und systematisch dokumentierte Evidenzen wird der Prüfungsprozess für alle Beteiligten transparent – auch für externe Prüfer oder Aufseher.

Der große Vorteil: Risiken werden mess- und priorisierbar. Durch die Integration von KPIs, KRIs und Reifegradmodellen entstehen objektive Maßstäbe, die eine faktenbasierte Bewertung und Priorisierung ermöglichen.

Die Checkliste unterstützt aktiv die zielgerichtete Mängelbeseitigung und das Follow-up. Sie schafft einen strukturierten Rahmen für die von MaRisk geforderte Nachverfolgung von Feststellungen und deren Behebung.

Im Endergebnis trägt eine professionelle MaRisk Audit Checkliste unmittelbar zur Risikominimierung bei. Sie hilft, Schwachstellen systematisch zu identifizieren und zu beseitigen, bevor sie zu echten Problemen werden. Gleichzeitig sichert sie die aufsichtsrechtliche Compliance und schafft Vertrauen bei Aufsichtsbehörden, Geschäftsleitung und Aufsichtsgremien.

Die Investition in eine durchdachte, gut strukturierte MaRisk Audit Checkliste zahlt sich damit mehrfach aus: durch geringere Risiken, höhere Compliance-Sicherheit und effizientere Prüfungsprozesse.

FAQ

Was ist das Hauptziel einer MaRisk Audit Checkliste?

Das Hauptziel ist die strukturierte, vollständige und risikoorientierte Prüfung der Mindestanforderungen an das Risikomanagement und das interne Kontrollsystem gemäß MaRisk.

Wie helfen KPIs und KRIs in MaRisk-Audits?

KPIs messen Leistungskennzahlen der IT-Prozesse, KRIs erfassen Risikokennzahlen. Beide unterstützen die risikoorientierte Prüfungsplanung, dienen als Evidenz und helfen bei der Bewertung der Risikosituation.

Warum ist die Nachvollziehbarkeit von Prüfpfaden wichtig?

Nachvollziehbare Prüfpfade gewährleisten, dass externe Prüfer und Aufsichtsbehörden den Ablauf und die Ergebnisse der Prüfung verstehen und nachvollziehen können, was die Qualität der Prüfung stärkt.

Wie werden Abweichungen sinnvoll dokumentiert?

Abweichungen werden klar und präzise benannt, konkret beschrieben, deren Risiko bewertet und die betroffenen Prozesse oder Bereiche identifiziert. Dies erleichtert die Priorisierung und Behebung.

Welchen Nutzen bringt das Reifegradmodell im Auditprozess?

Das Reifegradmodell ermöglicht die strukturierte Bewertung des Entwicklungsstands von IT-Prozessen, unterstützt die risikoorientierte Prüfplanung und fördert die Ableitung von Verbesserungsmaßnahmen.