Die 9. MaRisk-Novelle wurde am 30. Juni 2026 von der BaFin als Rundschreiben 06/2026 (BA) veröffentlicht. Besonders für die Interne Revision bringt dieses Update wichtige Neuerungen mit sich. Die neuen Mindestanforderungen an das Risikomanagement präsentieren sich zudem deutlich schlanker (82 statt 122 Seiten) und sind stärker prinzipienorientiert. Da erstmals verbindliche Größenklassen eingeführt werden, ergeben sich für die Auslagerung konkrete und weitreichende Konsequenzen.
Für die Auslagerung der Internen Revision ergeben sich aus dieser Neufassung konkrete und weitreichende Konsequenzen.
Interne Revision in AT 4.4.3: Strukturelle Updates der 9. MaRisk-Novelle
Die wichtigste strukturelle Änderung betrifft die Verortung der Vorschriften. Die Anforderungen an die Interne Revision stehen nämlich nicht mehr im besonderen Teil (bisher BT 2), sondern wurden konsolidiert in AT 4.4.3 zusammengefasst.
Daraus folgt wichtiger Handlungsbedarf: Wer in Revisionshandbüchern, Auslagerungsverträgen oder aktuellen Prüfungsplanungen noch auf die Abschnitte BT 2.1 bis BT 2.5 verweist, referenziert eine nicht mehr existierende Norm. Der Abschnitt BT 2 regelt künftig ausschließlich die Risikoberichterstattung.
Drei Größenklassen und neue Regeln durch die 9. MaRisk Novelle
Die 9. MaRisk-Novelle definiert die regulatorischen Pflichten anhand von drei neuen Größenklassen:
- Sehr kleine Institute: Häuser mit einer Bilanzsumme von höchstens 1 Mrd. Euro im Vierjahresdurchschnitt. Für Factoringinstitute gilt jedoch zusätzlich ein Forderungsankaufsvolumen von höchstens 5 Mrd. Euro.
- Kleine Institute: Kleine und nicht-komplexe Institute (SNCI) im Sinne von Art. 4 Abs. 1 Nr. 145 CRR.
- Weniger bedeutende Institute (LSI): Alle übrigen LSI. Große, direkt von der EZB beaufsichtigte Institute fallen künftig komplett aus dem deutschen MaRisk-Regime heraus.
Nach Schätzungen der BaFin entlasten diese neuen Größenklassen rund 80 bis 85 Prozent der Institute, da die Anforderungen nun spürbar herabgesenkt wurden.
Wer darf die Interne Revision noch vollständig auslagern?
Für die vollständige Auslagerung zieht AT 9 Tz. 5 eine klare Linie. Eine Vollauslagerung ist ausdrücklich nur noch zulässig für sehr kleine Institute, nicht wesentliche Tochterinstitute innerhalb einer Institutsgruppe sowie für Gruppen, deren Mutterunternehmen kein Institut und im Inland ansässig ist. Sehr kleine Institute dürfen die Aufgaben unter bestimmten Voraussetzungen sogar einem Geschäftsleiter übertragen (vgl. AT 4.4.3 Tz. 1).
Für alle übrigen Institute gilt jedoch: Der Zugang zu externem Revisions-Know-how führt künftig ausschließlich über das Co-Sourcing. Das bedeutet, dass nur eine Teilauslagerung einzelner Prüfungsgebiete erlaubt ist, während die Revisionsleitung zwingend im eigenen Haus verbleiben muss.
Auslagerungssteuerung: Risikoanalyse, Zertifikate, DORA
Für die vollständige Auslagerung der Internen Revision zieht AT 9 Tz. 5 eine klare Auch die Prozesse rund um die Risikoanalyse und die Dienstleistersteuerung wurden im Zuge der 9. MaRisk-Novelle nachgeschärft:
- Turnus der Risikoanalyse: Die Risikoanalyse ist regelmäßig zu überprüfen. Für kleine Institute gewährt die BaFin jedoch Erleichterungen, weshalb hier ein Dreijahresturnus genügt.
- Verzicht auf eigene Prüfungshandlungen: Die Interne Revision kann bei Auslagerungen auf eigene Prüfungshandlungen verzichten, sofern die Revisionstätigkeit anderweitig lückenlos gewährleistet ist (z. B. durch die Revision des Auslagerungsunternehmens).
- Zertifikate allein reichen nicht: Die Novelle stellt klar, dass sich Institute bei wesentlichen Auslagerungen nicht allein auf Zertifikate oder Nachweise gängiger Standards (wie ISAE 3402 oder ISO) stützen dürfen. Ergänzende eigene Prüfungshandlungen bleiben deshalb zwingend erforderlich.
- Schnittstelle zu DORA: Das Verhältnis zum Digital Operational Resilience Act wurde neu geordnet. IKT-Dienstleistungen, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, fallen ab sofort nicht mehr in den Anwendungsbereich von AT 9.
Prüfungsplanung und Berichterstattung
Die Prüfungsplanung der Internen Revision folgt künftig einem starren, risikorientierten Raster (AT 4.4.3 Tz. 6):
- 3-Jahres-Turnus: Sämtliche Aktivitäten – einschließlich aller ausgelagerten Bereiche – sind grundsätzlich innerhalb von drei Jahren zu prüfen.
- 5-Jahres-Turnus: Für unter Risikogesichtspunkten nachweislich nicht wesentliche Aktivitäten gilt ein verlängerter Zeitraum von fünf Jahren.
- Berichterstattung: Die Berichterstattung an die Geschäftsleitung muss mindestens vierteljährlich erfolgen, bei besonders schwerwiegenden Mängeln unverzüglich.
Zudem stärkt die 9. MaRisk-Novelle die Stellung der Revision: Sie erhält ein jederzeit zu gewährleistendes, uneingeschränktes Informations- und Zugriffsrecht – ausdrücklich auch bei der Begleitung wesentlicher Projekte. Da die Umsetzung der neuen MaRisk-Vorgaben selbst als ein solches wesentliches Projekt einzustufen ist, sollte die Interne Revision hier von Anfang an aktiv eingebunden werden.
Häufige Fragen zur 9. MaRisk-Novelle
Sehr kleine Institute (Bilanzsumme bis 1 Mrd. Euro im Vierjahresdurchschnitt, Factoringinstitute zusätzlich bis 5 Mrd. Euro Forderungsankaufsvolumen), nicht wesentliche Tochterinstitute innerhalb einer Institutsgruppe sowie Gruppen mit inländischem Nicht-Institut als Mutterunternehmen (AT 9 Tz. 5 MaRisk, RS 06/2026).
Sie können einzelne Prüfungsgebiete im Co-Sourcing an externe Spezialisten vergeben. Die Revisionsleitung und die Gesamtverantwortung verbleiben im Institut.
Konsolidiert in AT 4.4.3 (bisher BT 2). BT 2 regelt in der neuen Fassung die Risikoberichterstattung.
Nein. Bei wesentlichen Auslagerungen dürfen sich Institute nicht allein auf Zertifikate oder Nachweise gängiger Standards stützen; ergänzende eigene Prüfungshandlungen sind erforderlich.
Das Rundschreiben 06/2026 (BA) wurde am 30.06.2026 veröffentlicht. Institute sollten die Umsetzung als wesentliches Projekt aufsetzen und die Interne Revision einbinden.