Interne Revision (auch Innenrevision; beides oftmals abgekürzt mit „IR“) ist eine vom Tagesgeschäft unabhängige, objektive Prüfungs- und Beratungsaktivität in einer Organisation. Sie unterstützt die Organisation bei der Erreichung ihrer Ziele im Wege eines systematischen und disziplinierten Ansatzes der Bewertung und Verbesserung der Effektivität von Risikomanagement, internem Kontrollumfeld und Unternehmensführung. Ihr Zweck ist die kontinuierliche Verbesserung der Geschäftsprozesse und die Schaffung von Mehrwert für die Organisation.
Die Interne Revision unterstützt die Geschäftsführung bzw. Vorstand, Aufsichtsrat oder Verwaltungsrat in ihrer Kontroll-, Steuerungs- und Lenkungsfunktion im Wege der Durchführung unabhängiger, interner Prüfungsmandate. Sie ist normalerweise direkt der Geschäftsführung der Organisation unterstellt und daher zumeist eine Stabsstelle.
Das heutige Verständnis der Internen Revision geht überwiegend aus dem angelsächsischen Begriff des „Internal Audit“ hervor. Eine solche Unternehmensfunktion etablierte sich in den 1930er- und 1940er-Jahren vor dem Hintergrund der Entstehung von (für die Kontrollgremien zunehmend unübersichtlichen) Großunternehmen, sowie der im Zweiten Weltkrieg entstandenen Notwendigkeit, komplexe und ressourcenaufwendige Projekte bzw. Unternehmungen zeitnah und detailliert von unabhängiger Seite zu evaluieren bzw. kritisch zu begleiten. Das Internal Audit wird historisch parallel zum Aufkommen des modernen Beratungsbegriffs (engl. „Management Consulting“) eingeordnet, wobei die Versicherungsfunktion („Assurance“) gegenüber der Beratungsfunktion („Consulting“) im Vordergrund steht.
Aufgaben, kodifizierte Normen und Anforderungen
Die Interne Revision soll folgende Primärfunktionen erfüllen:
Vertrauensfunktion: Versicherung für die organisatorischen Entscheider, dass Prozesse ordnungsgemäß und regeltreu ablaufen (zum Beispiel Rechtsnormen, Grundsätze ordnungsmäßiger Buchführung eingehalten werden) Präventivfunktion: Erhöhung des Entdeckungsrisikos für Personen, die dolose Handlungen ausführen (wollen) Informationsfunktion: Schaffung von Transparenz über Prozesse und Organisationseinheiten zur Unterstützung der Entscheidungsfindung der Organisationsleitung.
Gesetzliche Anforderungen an die Einrichtung einer Internen Revision ergeben sich in Deutschland aus dem Aktiengesetz ( Abs. 2 AktG). Für einzelne Wirtschaftszweige gibt es weitere Anforderungen: Aus dem Kreditwesengesetz ( Abs. 1 Nr. 3 KWG) für Kreditinstitute und aus dem Versicherungsaufsichtsgesetz ( VAG) für Versicherungsunternehmen ergeben sich die Anforderungen an die Einrichtung einer derartigen Institution unabhängig von ihrer Rechtsform. Darüber hinaus werden Funktion und Aufgaben der Internen Revision in den von der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) herausgegebenen Mindestanforderungen an das Risikomanagement – in separaten Vorschriften für Banken, für Versicherungen und für Investmentgesellschaften – genauer beschrieben.
Die gezielte Überwachung der Abläufe und Strukturen einer Organisation mit Blick auf das sachgerechte Verfolgen ihrer – legitimen – Ziele ist im Interesse einer Vielzahl von Interessengruppen, die man unter dem Oberbegriff „Stakeholder“ zusammenfasst: Kapitalgeber, Kunden, Mitarbeiter und Öffentlichkeit.
Der Internen Revision kommt hierbei die Aufgabe zu, Vorgänge auf Ordnungsmäßigkeit zu prüfen und Ineffektivität, Unregelmäßigkeiten (Buchungsfehler, Rechtsfolgefehler) oder Manipulationen (zum Beispiel Veruntreuungen) aufzudecken (englisch „fraud detection“). Sie bildet somit – neben dem Controlling, welchem vornehmlich die Aufgabe der Verarbeitung und Validierung von Steuerungsinformationen zukommt – einen wesentlichen Teil des übergeordneten Steuerungs- und Überwachungssystems einer Organisation.
Neben der Prüfung der thematisierten Ordnungsmäßigkeit werden mittels Prüfung von Geschäftsprozessen, -programmen und -projekten auch die Umsetzung und Effizienz strategischer Initiativen hinterfragt. Der modernen Internen Revision kommt zudem als „Change Agent“ die Aufgabe zu, Veränderungsprozesse im Unternehmen einzuleiten und zunehmend (neben den klassischen Prüfungsmandaten) auch Beratungsmandate für die einzelnen Fachabteilungen wahrzunehmen.
Prüfung, Kontrolle und Überwachung – Begriffsklärungen
Unter Prüfung versteht man zunächst jeden Soll-Ist-Vergleich. Der Ausführende einer Prüfung steht jedoch – im Unterschied zur Kontrolle – „außerhalb“ der zu beurteilenden Organisation (also wie: Wirtschaftsprüfer, Steuerprüfer, Sozialversicherungsprüfer und interner Revisor).
Er untersucht organisatorische Sachverhalte (Ist) (beispielsweise einen Prozess oder eine Vorgehensweise) daraufhin, ob diese mit den Vorgaben (Soll) übereinstimmen. Das Soll ist meist eine interne Regelung (zum Beispiel Richtlinie, Handbuch, Arbeitsanweisung oder Betriebsvorschrift) oder ein Gesetz. Bei einer Differenz zwischen Ist und Soll (Fehler, Feststellung, Abweichung, Mangel) werden vom Prüfer Vorschläge für eine Verbesserung erwartet. Die Prüfung hat zwar primär keinen beratenden Charakter, jedoch können sinnvolle Vorschläge für die Verbesserung des Ist und ggf. des Soll (zum Beispiel Einschränkung von Abweichungsanalysen, die mehr kosten als sie bringen, korrekte Auslegung von Gesetzesvorgaben oder Einführung technisch verbesserter Überwachungsstandards) von großem Nutzen sein.
Kontrollen sind organisatorisch verankerte Soll-Ist-Vergleiche, die (regelmäßig) von kompetenten Mitarbeitern vorgenommen werden, und zwar unabhängig von ihrer Stellung in bzw. zum jeweiligen Teilbereich der Organisation. Eigenverantwortlich vom Personal an der Produktionslinie vorgenommene Kontrollen gehören ebenso dazu, wie solche, die – gemäß dem Prinzip der internen Kontrolle – von Personen aus anderen Bereichen (Qualitätskontrolle, Verwaltung) abgewickelt werden. Auch hier ist es bei Abweichungen sinnvoll, unmittelbar im Anschluss Steuerungs- und Anpassungshandlungen vorzusehen. Maschinelle Kontrollmaßnahmen sind ebenfalls denkbar.
Die hier zu setzenden Kontrollen und Maßnahmen sind je nach ihrer Zielsetzung recht unterschiedlich. Ein wichtiger zu kontrollierender Bereich in vielen Branchen ist der Einkaufssektor. Je nach Größe des Vorhabens sind genaue Auflagen bezüglich der Einholung von Gegenofferten einzuhalten, bis hin zur genauen Verlautbarung am vorgeschriebenen Ort zwecks EU-weiter Einladung aller potentiellen Bieter.
Die Kontrollen werden gemeinsam mit Abläufen und Strukturen primär im Organisationshandbuch festgehalten. Kontrollen und damit im Zusammenhang stehende Korrektur- und Steuerungsmaßnahmen (Control) sind immer nur in Verbindung mit den Aktivitäten, die sie absichern sollen, sinnvoll.
Kontrolle – ihre Einrichtung und Abwicklung – ist aber auch seit Erich Gutenberg ein allgemein gültiger Begriff für die diesbezügliche Verpflichtung des Managements unter Anwendung sinnvollen Delegierens. Dieses geht so weit, dass die Prüfung der Existenz und Wirksamkeit dieser Kontrollen an eine entsprechend autorisierte Interne Revision übertragen werden kann.
Für Überwachung gibt es keine allgemein akzeptierte Definition. Überwachung ist prozessunabhängig, zumeist extern; dies hat sie mit der Prüfung gemeinsam. Sie kann einzelne Bereiche oder die ganze Organisation umfassen (beispielsweise Aufsichtsräte, Gewerbeinspektorate, Bankenaufsicht oder Audit Committees). Diese Institutionen sollen primär großflächig das Erkennen von Krisen erleichtern.
Für die Gestaltung und Bewertung interner Kontrollsysteme werden oft Kontrollmodelle wie COSO und COBIT genutzt.
Interne und externe Revision Interne Revision Die Interne Revision ist eine direkt der obersten Leitung unterstellte unabhängig agierende Stabsstelle für organisationsinterne Prüfungen und einschlägige Beratertätigkeit.
Ihre Aufgabe besteht sowohl in der Bestätigung von Sachverhalten („Assurance“ bzw. „re-assurance“ in Verbindung mit dem Internen Kontrollsystem (IKS)) als auch in einschlägiger Beratung („Consulting“) in Organisationsfragen.
Die Interne Revision trägt zur Zielrealisierung von Organisationen bei, indem sie systematisch mittels anerkannter Verfahren die Unternehmensprozesse und die damit verbundenen Zielsetzungen (Control Objectives), das Risikomanagement, die Steuerung und Überwachung („Governance“) kritisch durchleuchtet und weiterentwickeln hilft. Die Arbeit der Internen Revision soll den Wert der Organisation als Ganzes steigern (Aussage des IIA); sie kann „individuelle Mehrwerte oder Wertschöpfung“ schaffen.
Im Normalfall kann und wird eine Interne Revisionsabteilung nicht Jahr für Jahr das gesamte Unternehmen prüfen. Es sollen jedoch über einen mehrjährigen, vorweg definierten Prüfzyklus alle Bereiche einmal abgedeckt werden. Bei der Teilung der Organisation in Prüfbereiche ist darauf zu achten, dass an den Schnittstellen keine „grauen“ ungeprüften Zonen entstehen. Für die prozessorientierte Festlegung sind die funktional aufgefächerten Unternehmensziele („Control Objectives“) sowie die bestehenden Organisationsbereiche (zum Beispiel Einkauf, Verkauf, Marketing und Produktion) heranzuziehen.
Eine weitergehende Definition und Beschreibung enthalten die vom Institute of Internal Auditors (IIA) und den nationalen Fachverbänden veröffentlichten Standards der beruflichen Praxis der Internen Revision.
Die Interne Revision kann eine interne Abteilung sein oder extern für zu revidierende Projekte bzw. Prüfungen eingekauft werden (Outsourcing). Möglich sind auch Mischformen zwischen beidem, die sogenannten Cosourcing- oder Partneringmodelle.
Die Arbeit der Internen Revision ist in den Standards für die berufliche Praxis der Internen Revision definiert. Zertifizierte interne Revisoren (Certified Internal Auditor) unterwerfen sich einem Ethikkodex und den international anerkannten Berufsstandards des Institute of Internal Auditors (IIA), dem nationale Verbände wie DIIR e. V. (ehemals IIR e. V.), SVIR und IIA Austria angehören. Die europäischen Fachverbände für Interne Revision haben sich in der European Confederation of Institutes of Internal Auditing (ECIIA) organisiert. Das Institute of Internal Auditors (IIA) hat die Berufsstandards (Professional Practices Framework) überarbeitet und setzte die neue Version per 1. Januar 2009 unter dem Titel „International Professional Practices Framework (IPPF)“ in Kraft.
Externe Revision Bei der externen Revision handelt es sich hingegen um ein unternehmensexternes Prüfungsorgan, das vor allem (aber nicht nur) in gesetzlich vorgeschriebenem Auftrag den Jahresabschluss mit dem Ziel des Aktionärs- und/oder Gläubigerschutzes prüft. Neben von der Unternehmensleitung bzw. von der Hauptversammlung bestellten Prüfungsorganen (Wirtschaftsprüfer, Steuer- bzw. Unternehmensberater) fallen hierunter auch durch öffentliche Behörden bestellte Prüfer, die je nach Branche und Fall variieren können (für die Bankenbranche wären beispielsweise Prüfer der BaFin oder Bundesbank zu nennen). Insbesondere vor dem Hintergrund der gestiegenen Anforderungen an die Recherchefähigkeit und Aufbereitung steuerlich relevanter Daten erfährt die Revision eine Akzentuierung als Präventionsinstrument.
Revisionselemente Revisionsfelder Einsatzfelder der Internen Revision sind vielfältig und können wesentliche Informationen für die Außenbeziehung der Unternehmung liefern. Die klassische Unterteilung der Revisionstypen ist die folgende:
Compliance Audit Financial Audit Kreditrevision Management Audit Operational Audit Systemprüfungen.
Compliance Audits sind die inhaltlichen Aufbereitungen der umwelt- und sicherheitsrechtlichen Anforderungen an das Unternehmen sowie Auditierung der Einhaltung.