Drei-Linien-Modell nach IIA 2020: Interne Revision und Compliance-Struktur

Das Drei-Linien-Modell des Institute of Internal Auditors (IIA) – aktualisiert 2020 – ist die Standardstruktur für Risikomanagement, Compliance und Interne Revision in regulierten Unternehmen. Die BaFin erwartet die Umsetzung des Modells bei Kreditinstituten und Finanzdienstleistern. MaRisk AT 4.3 verlangt die Funktionstrennung zwischen Markt und Marktfolge – das Drei-Linien-Modell liefert die Organisationsstruktur.

1st Line – Operative Steuerung: Die Fachabteilungen tragen die Verantwortung für das Risikomanagement in ihrem Bereich. Vertrieb, Produktion, Einkauf, IT. Sie identifizieren, bewerten und steuern Risiken im Tagesgeschäft. Die 1st Line implementiert die Kontrollen, dokumentiert die Prozesse und meldet Abweichungen. Ohne funktionierende 1st Line können die 2nd und 3rd Line nicht arbeiten.

2nd Line – Risikomanagement und Compliance: Überwachungsfunktionen, die die 1st Line unterstützen und kontrollieren. Risikomanagement, Compliance, Datenschutz, Qualitätsmanagement, Arbeitssicherheit. Die 2nd Line entwickelt Richtlinien, überwacht die Einhaltung, berichtet an die Geschäftsleitung. Sie ist unabhängig von der 1st Line organisatorisch getrennt. § 25a KWG verlangt diese Trennung.

3rd Line – Interne Revision: Die unabhängige Prüfungsinstanz. Die Interne Revision prüft die Wirksamkeit des gesamten Risikomanagements und des CMS. Sie berichtet direkt an die Geschäftsleitung oder den Aufsichtsrat. DIIR Revisionsstandard Nr. 3 definiert den Prüfungsansatz: risikoorientiert, prozessunabhängig, dokumentiert. Die Interne Revision darf nicht in die 1st oder 2nd Line eingebunden sein.

DIIR Revisionsstandard Nr. 3: Der Standard des Deutschen Instituts für Interne Revision definiert die Prüfung von Risikomanagementsystemen durch die Interne Revision. Prüfungsgegenstand: Risikostrategie, Risikoinventur, Risikobewertung, Risikosteuerung, Risikokommunikation, Risikoüberwachung. Der Standard verlangt eine risikoorientierte Prüfungsplanung, die die wesentlichen Risiken priorisiert.

Prüfungszyklen: Die Interne Revision prüft jede wesentliche Einheit mindestens alle 3 Jahre. Bei hohem Risiko: jährlich. Der Prüfungsbericht enthält: Prüfungsgegenstand, Prüfungsmethode, Feststellungen, Bewertungen, Empfehlungen, Maßnahmen. Die Geschäftsleitung nimmt zu den Feststellungen Stellung und setzt Maßnahmen um. Die Interne Revision überwacht die Umsetzung (Remediation-Tracking).

Praxisfall: Ein Finanzdienstleister mit 150 MA implementiert das Drei-Linien-Modell. 1st Line: Fachabteilungen mit Prozessverantwortung. 2nd Line: Compliance-Beauftragter, Risikomanager, Datenschutzbeauftragter. 3rd Line: Interne Revision mit 2 Mitarbeitern. Kosten: 1st Line kein zusätzlicher Aufwand (Prozessintegration). 2nd Line: 2 Vollzeitstellen (120.000 EUR/Jahr). 3rd Line: 2 Vollzeitstellen (130.000 EUR/Jahr). Gesamt: 250.000 EUR/Jahr. Im Vergleich: Sonderprüfung durch BaFin 200.000–800.000 EUR.

Typische Fehler: Die 1st Line versteht ihre Risikoverantwortung nicht. Die 2nd Line wird als reine Kontrollinstanz ohne Beratungsfunktion gesehen. Die 3rd Line prüft nicht risikoorientiert, sondern nach starrem Prüfungsplan. Die Funktionen sind nicht klar getrennt – Compliance-Mitarbeiter arbeiten auch in der 1st Line. Die BaFin stellt bei Sonderprüfungen genau diese Mängel fest.

Auslagerungsmanagement nach AT 9 MaRisk: Auch ausgelagerte Prozesse müssen in das Drei-Linien-Modell integriert werden. Die 1st Line überwacht den Dienstleister. Die 2nd Line prüft die Auslagerungsdokumentation. Die 3rd Line prüft die Wirksamkeit der Auslagerungsüberwachung. Der Auslagerungsvertrag muss Kontrollrechte der Internen Revision vorsehen.

Zusammenfassung: Das Drei-Linien-Modell ist keine theoretische Übung. Es ist die Organisationsstruktur, die die BaFin, die Abschlussprüfer und die Aufsichtsbehörden erwarten. Ohne klare Trennung der drei Linien liegt ein Organisationsverschulden vor. KanB Access baut Ihre Struktur auf. 1st Line, 2nd Line, 3rd Line. Rollen, Prozesse, Dokumentation. Audit-ready.