ProAuditMap

Feststellungen nachverfolgen: was DORA, MaRisk und die IIA-Standards verlangen.

Eine Feststellung ist erst erledigt, wenn die Umsetzung bestätigt ist. Drei Regelwerke beschreiben, wie die Revision das nachweist, und die neue MaRisk zieht den Takt an.

Stand 14. Oktober 2026

Kurzfassung

DORA verlangt ein formales Verfahren zur Nachverfolgung, die MaRisk in der Fassung vom 30. Juni 2026 einen vierteljährlichen Bericht über alle noch nicht behobenen wesentlichen Mängel, und die Global Internal Audit Standards eine feste Methode zur Bestätigung der Umsetzung. Der Beitrag fasst zusammen, was daraus für Verfahren, Eskalation und Berichterstattung folgt.

DORA: ein formales Verfahren

Art. 6 Abs. 7 DORA verlangt von Finanzunternehmen, auf Grundlage der Prüfungsergebnisse der Internen Revision ein formales Verfahren zur Nachverfolgung einzurichten. Es muss Regeln für die zeitnahe Überprüfung und Behebung kritischer IKT-Prüfungsfeststellungen enthalten [1].

Zwei Punkte sind daran wichtig. Das Verfahren muss formal sein, also beschrieben und nachvollziehbar, nicht nur gelebte Praxis. Und es unterscheidet: Für kritische Feststellungen braucht es eigene Regeln, sowohl für die Behebung als auch für deren Überprüfung.

MaRisk 2026: Quartalsbericht statt Gesamtbericht

Die neunte MaRisk-Novelle vom 30. Juni 2026 fasst die Anforderungen an die Interne Revision in AT 4.4.3 zusammen. Die Revision muss die fristgerechte Beseitigung der festgestellten Mängel in geeigneter Form überwachen, gegebenenfalls mit einer Nachschauprüfung (Tz. 11) [2].

Neu ist der Takt. Nach Tz. 9 erstellt die Revision mindestens vierteljährlich einen Bericht an die Geschäftsleitung. Er enthält die im Quartal festgestellten wesentlichen Mängel mit den Maßnahmen zu ihrer Beseitigung und deren Status, außerdem sämtliche noch nicht behobenen wesentlichen Mängel aus früheren Quartalen. Über besonders schwerwiegende Mängel ist unverzüglich zu berichten [2].

Auch die Eskalation folgt diesem Takt. Werden wesentliche Mängel nicht in angemessener Zeit beseitigt, informiert die Leitung der Revision zunächst die fachlich zuständigen Mitglieder der Geschäftsleitung schriftlich. Bleiben die Mängel bestehen, ist die gesamte Geschäftsleitung spätestens im nächsten vierteljährlichen Bericht zu informieren (Tz. 12) [2]. In der Fassung von 2024 war dafür spätestens der nächste Gesamtbericht vorgesehen [3].

Die Abstufung in wesentliche, schwerwiegende und besonders schwerwiegende Mängel bleibt, die Abgrenzung legt jedes Institut selbst fest (Tz. 7) [2]. Für zusätzliche Anforderungen der Neufassung gilt eine Übergangsfrist bis zum 1. Januar 2027 [4].

IIA-Standards: Umsetzung bestätigen, nicht nur abfragen

Die Global Internal Audit Standards verlangen in Standard 15.2, dass die Revision die Umsetzung von Empfehlungen oder Maßnahmenplänen nach einer festgelegten Methode bestätigt. Dazu gehören die Abfrage des Umsetzungsstands, Nachprüfungen nach einem risikobasierten Ansatz und die Pflege des Status in einem Verfolgungssystem. Der Umfang richtet sich nach der Bedeutung der Feststellung [5].

Kommt die Umsetzung nicht wie vereinbart voran, holt die Revision eine Erklärung des Managements ein, dokumentiert sie und bespricht sie mit der Revisionsleitung. Diese entscheidet, ob das Management durch Verzögerung ein Risiko über der Risikotoleranz akzeptiert hat; dann gilt Standard 11.5 zur Kommunikation akzeptierter Risiken [5].

Was ein belastbares Verfahren enthält

Aus den drei Regelwerken lässt sich ein gemeinsamer Kern ableiten. Er passt für Banken ebenso wie für Unternehmen außerhalb des Finanzsektors, die sich an den IIA-Standards ausrichten.

  1. Jede Feststellung hat eine Risikostufe nach festgelegten Kriterien, die Abgrenzung ist dokumentiert.
  2. Jede Maßnahme hat eine verantwortliche Funktion und ein Fälligkeitsdatum. Terminänderungen laufen über einen Antrag mit Entscheidung, nicht über stilles Verschieben.
  3. Die Meldung „umgesetzt“ der geprüften Stelle schließt die Feststellung nicht. Für hohe Risiken bestätigt eine Nachprüfung die Wirksamkeit, mit dokumentierten Beobachtungen.
  4. Überfälligkeit löst eine abgestufte Eskalation aus: fachlich zuständige Leitung, dann die gesamte Geschäftsleitung im nächsten Quartalsbericht.
  5. Akzeptiert das Management ein Risiko, wird das mit Funktion, Grund und Ablaufdatum festgehalten und nach Ablauf erneut vorgelegt.
  6. Der Quartalsbericht zeigt alle offenen wesentlichen Feststellungen mit Alter, Status und Termin, nicht nur die neuen.

Fazit

Mit der MaRisk 2026 wird die Nachverfolgung für Banken zu einem Quartalsthema der Geschäftsleitung. Wer offene Feststellungen heute in einer Tabelle pflegt und den Stand per E-Mail abfragt, sollte bis zum 1. Januar 2027 prüfen, ob Status, Eskalation und Nachprüfung jederzeit belegbar sind. Den Rahmen für die Prüfungsplanung 2027 beschreibt unser Beitrag Prüfungsplanung 2027 unter NIS2 und DORA.

Wie ProAuditMap Feststellungen, Maßnahmen, Nachprüfung und Risikoakzeptanz abbildet, zeigt die Produktseite. Muster-Prüfprogramme stehen frei zur Verfügung: Muster-Prüfprogramme.

Betroffenheits-Check NIS2 und DORA

Quellen (abgerufen am 14. Oktober 2026)

  1. Verordnung (EU) 2022/2554 (DORA), Art. 6 Abs. 7: https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32022R2554
  2. BaFin, Rundschreiben 06/2026 (BA), MaRisk vom 30.06.2026, AT 4.4.3: https://www.bundesbank.de/resource/blob/825336/866a68577eb35afee82fbe60c39a4f87/472B63F073F071307366337C94F8C870/2026-06-30-rundschreiben-data.pdf
  3. BaFin, Rundschreiben 06/2024 (BA), MaRisk vom 29.05.2024, BT 2.5: https://www.bundesbank.de/resource/blob/932738/fa6ddd3636c40c9f9d5cb4fad4f07121/472B63F073F071307366337C94F8C870/2024-05-29-rundschreiben-data.pdf
  4. Deutsche Bundesbank, Übersendungsschreiben zur MaRisk vom 30.06.2026 (Übergangsfrist): https://www.bundesbank.de/resource/blob/817668/a01783da8a8eb23ba9fe333001d85c41/472B63F073F071307366337C94F8C870/2026-06-30-anschreiben-data.pdf
  5. The IIA, Global Internal Audit Standards (2024), Standard 15.2 und 11.5: https://www.theiia.org/en/standards/2024-standards/global-internal-audit-standards/

Dieser Beitrag gibt einen Überblick und ist keine Rechtsberatung. Maßgeblich ist der Wortlaut der genannten Vorschriften und Standards.