Das Institute of Internal Auditors (IIA) hat am 9. Januar 2024 nach einer Konsultationsphase die Global Internal Audit Standards (im Folgenden: Standards) veröffentlicht. Diese sind ab 2025 entsprechend durch die Interne Revision anzuwenden.
Die „Internationalen Standards für die berufliche Praxis der Internen Revision“ (IPPF) aus dem Jahr 2017 werden damit abgelöst. Die Standards stellen eine Weiterentwicklung der Internen Revisionspraxis dar und haben Auswirkungen auf die Arbeitsweise der Internen Revision, die Interaktion mit den Stakeholdern sowie insbesondere den anderen Corporate-Governance-Funktionen.
Die Standards im Überblick
Die Standards gliedern sich in fünf Domains mit 15 Prinzipien und weitere 52 konkretisierende Anforderungen sowie Überlegungen zur Implementierung und Beispielen.
Die fünf Domains sind:
- Zielsetzung der Internen Revision
- Ethik und Professionalität
- Governance der Internen Revision
- Leitung der Internen Revision
- Erbringen von Revisionsdienstleistungen
Mark Frederik Schmidt
Senior Manager, Audit - Risk & Compliance Services
KPMG AG Wirtschaftsprüfungsgesellschaft
Ergänzt werden die Standards um die sogenannten „Topical Requirements“. Es handelt sich dabei um Anforderungen des IIA zu derzeit acht bekannten Risikothemen (u.a. Cybersicherheit, Nachhaltigkeit/ESG, Dienstleistermanagement, Information Technology Governance). Die Vorgaben für die "Topical Requirements" werden derzeit vom IIA in der Konsultationsphase, die voraussichtlich bis Mitte 2024 läuft, definiert und konkretisiert. Sie sind als Reaktion auf die immer komplexer werdende Risikolandschaft der Unternehmen in die Prüfungstätigkeit einzubeziehen, sofern anwendbar.
Relevante Neuerungen der Global Internal Audit Standards sind beispielsweise:
- Erstmals verbindliche Vorgaben zur (Weiter-)Entwicklung eines Revisionsleitbildes und einer Revisionsstrategie
- Stärkere Einbindung und Notwendigkeit zur Interaktion zwischen der Internern Revision und dem Management/Aufsichtsorgan sowie Empfehlung der Berichtslinie an den CEO Verständnis der Risikolandkarte des gesamten Unternehmens sowie die Prüfungen der Risikomanagementfunktion
- Verstärkter Einsatz von Data Analytics & Tools bei der Prüfungstätigkeit
- Präzisierung der Anforderungen an die Berichterstattung und Kommunikation von Feststellungen
- Konkretisierung der Informationsschutzanforderungen
- Stärkerer Fokus auf die Messung der Performance der Revisionstätigkeit
- Erhöhte Anforderungen an externe Qualitätsbewertungen („Quality Assessments“)
Worauf es für eine gelungene Implementierung ankommt
Für Unternehmen sind einige Maßnahmen notwendig, um die Konformität mit den neuen IIA Global Internal Audit Standards sicherzustellen. Dieser Prozess ist zugleich auch eine passende Gelegenheit für Interne Revisionen, ihr bestehendes Revisionssystem zu hinterfragen und im Sinne der neuen Vorgaben zu adjustieren sowie die Ausrichtung auf Mehrwert und die Bedürfnisse der Stakeholder zu stärken. In diesem Zusammenhang empfehlen wir folgenden dreistufigen Ansatz:
Analyse der neuen Vorgaben und Standards
- Analyse der Global Internal Audit Standards und Ableitung von relevanten Neuerungen
- Klassifizieren der notwendigen Anpassungen unter Berücksichtigung des aktuellen Status quo des individuellen Internen Revisionssystems
- Erstellen einer Roadmap zur Implementierung von relevanten Anpassungen
Implementierung und Transformation
- Ableiten von Arbeitspaketen und Prioritäten
- Involvieren der relevanten Stakeholder
- Freigabe und Implementierung der Anforderungen
- Monitoring der Umsetzung
Kommunikation und Training
- Kommunikation mit den relevanten Stakeholdern zu den Neuerungen
- Training der Revisionsmitarbeitenden zur Anwendung der neuen Standards
Die Art und der Umfang der Maßnahmen, die notwendig sind, um mit den neuen Standards konform zu sein, kann in Abhängigkeit von Revisionsgröße und Branche des jeweiligen Unternehmens deutlich variieren.
Für das Ableiten und Abstimmen der Maßnahmen mit den relevanten Stakeholdern sowie die wirksame Implementierung der neuen Standards ist ein gewisses Maß an Kapazität innerhalb der Internen Revision notwendig. Das sollte als Revisionsprojekt in der Prüfungsplanung 2024 berücksichtigt werden. Zudem kann eine Revisionsprüfung als eine Art „Dry Run“ im Jahr 2024 durchgeführt werden, um den Umgang mit den neuen Standards zu trainieren.
Ausblick: Externe Qualitätsbeurteilung / Quality Assessment
Die Konformität mit den IIA Global Internal Audit Standards als integraler Bestandteil des hohen Qualitätsanspruchs an die Tätigkeit von Internen Revisionen ist unerlässlich.
Das zeigt sich auch in einer externen Beurteilung des Internen Revisionssystems nach DIIR Revisionsstandard Nr. 3 bzw. IDW PS 983, die unverändert mindestens alle fünf Jahre verpflichtend ist. Hier werden die neuen Standards ebenfalls Eingang finden. Diesbezüglich werden die neuen Standards nach einer Übergangsphase die Quality-Assessment-Anforderungen und damit das Soll-Objekt für Interne Revisionsfunktionen verändern.
In diesem Kontext kann die Durchführung eines GAP-Assessments zu den neuen Standards im Rahmen eines externen Quality Assessments im Jahr 2024 durchaus Sinn ergeben.
Fazit
Die Notwendigkeit, im Sinne einer effizienten Corporate Governance Informationen zu teilen und intensiv funktionsübergreifend zusammenzuarbeiten, ist unübersehbar - auch weil Compliance ein Kostenfaktor ist.
Die neuen Standards bieten eine gute Möglichkeit, die Interne Revision weiterzuentwickeln, die Interaktion mit den Stakeholdern weiter zu intensivieren sowie die Integration der Governance-, Risk- und Compliance-Systeme unter Wahrung der Unabhängigkeit und Objektivität zu stärken. Folgende Maßnahmen sind in diesem Zusammenhang empfehlenswert:
- Diskussion mit Geschäftsführung und Aufsichtsgremium über ihre Erwartungshaltung, das Leitbild und den strategischen Beitrag der internen Revision zur Unterstützung der Unternehmensvision, zur Absicherung von Unternehmenswerten und zur Steigerung der Resilienz
- Diskussion über die unternehmensweite Risikolandkarte sowie die Analyse und das Steuern dieser (neuen) Risiken durch das Risikomanagement
- Einsatz von Tools, Technologie und Data & Analytics, um einen Mehrwert in der Prüfungstätigkeit zu generieren
- Klares Bekenntnis zu einem hohen Qualitätsanspruch der Internen Revision
- Training & Weiterentwicklung der Revisionsmitarbeitenden
Die Ausprägung und der Reifegrad der Corporate Governance und im Besonderen der Internen Revision ist je nach Branche und Unternehmensgröße unterschiedlich.
Abschließend kann festgehalten werden, dass die neuen Global Internal Audit Standards des IIA beachtliche Auswirkungen auf Interaktion und Arbeitsweise der Internen Revision haben werden - mit einem klaren Bekenntnis zur Prüfungsqualität, zum Umgang mit relevanten Unternehmensrisiken, zu Technologie und Data & Analytics sowie zu einer zunehmenden Integration der GRC-Funktion und der Interaktion mit den relevanten Stakeholdern wie Geschäftsführung und Aufsichtsorgan.
