Leiter Internal Audit

Definition

Der Leiter Internal Audit (Chief Audit Executive, CAE) ist die Leitungsperson der internen Revision einer Gesellschaft. Er verantwortet die unabhängige und objektive Prüfung des internen Kontrollsystems, des Risikomanagement-Systems und der Compliance-Funktion. Seine Funktion ist in den IIA-Standards des Institute of Internal Auditors definiert.

Die interne Revision ist die "dritte Verteidigungslinie" im Three-Lines-of-Defense-Modell: die erste Linie sind operative Kontrollen, die zweite Linie sind Risk Management und Compliance, die dritte Linie ist Internal Audit. Sie liefert dem Audit Committee und der Geschäftsleitung unabhängige Assurance über die Wirksamkeit der ersten beiden Linien.

Aufgaben und Rechtsgrundlage

In der Schweiz ist die Funktion nicht in einem einzigen Gesetzesartikel kodifiziert. Die Pflichten ergeben sich aus mehreren Quellen:

• OR Art. 716a Abs. 1 Ziff. 5: Oberaufsicht des VR.
• OR Art. 728a Abs. 1 Ziff. 3: Internes Kontrollsystem.
• FINMA-Rundschreiben 2017/1: Corporate Governance Banken.
• Versicherungsaufsichtsgesetz VAG für Versicherungen.
• Swiss Code of Best Practice für börsenkotierte Gesellschaften.
• IIA-Standards (International Standards for the Professional Practice of Internal Auditing).
• Internal-Audit-Charter der jeweiligen Gesellschaft.

Die Kernaufgaben:

1. Risiko-basierten Prüfungsplan erstellen.
2. Prüfungen durchführen (operativ, finanziell, IT, Compliance, Cyber, ESG, Procurement).
3. Prüfungsberichte mit Befunden und Empfehlungen erstellen.
4. Massnahmen-Tracking und Follow-up.
5. Reporting an Audit Committee (quartalsweise) und Geschäftsleitung.
6. Externe Schnittstellen zu Revisionsstelle und Aufsichtsbehörden.
7. Internal-Audit-Strategie entwickeln und implementieren.
8. Aus- und Weiterbildung des Internal-Audit-Teams.
9. Externe Qualitätsüberprüfung (Quality Assessment) alle 5 Jahre.
10. Beratungsaufträge zu Governance-Themen (im Rahmen der Unabhängigkeit).

Praxis Schweiz

In Schweizer Konzernen ist Internal Audit Standard. Bei den SMI-Unternehmen verfügen alle über eine eigenständige Internal-Audit-Funktion mit fachlicher Berichtslinie zum Audit Committee. Die Teamgrösse variiert von 5 bis 50 Mitarbeitenden, je nach Konzerngrösse und Komplexität.

Bei mittelgrossen Schweizer Unternehmen ist Internal Audit zunehmend etabliert, oft beginnend mit einer Co-Sourcing-Lösung (interne Leitung mit externer Unterstützung). Bei KMU wird die Funktion häufig outgesourct, mit gelegentlichem Co-Sourcing mit Big-4-Wirtschaftsprüfern oder spezialisierten Anbietern.

Best Practice umfasst:

• Internal-Audit-Charter vom Audit Committee genehmigt.
• Duale Berichtslinie (fachlich Audit Committee, administrativ CEO).
• Risiko-basierter Drei-Jahres-Plan mit jährlicher Aktualisierung.
• Mindestens 20-30% Prüfungs-Abdeckung pro Jahr nach Risiko.
• Standardisierte Prüfungsmethodik nach IIA-Standards.
• Strukturiertes Reporting an Audit Committee (quartalsweise).
• Massnahmen-Tracking mit klaren Verantwortlichkeiten und Fristen.
• Cyber- und IT-Audit-Kompetenz aufbauen.
• ESG-Audit-Kompetenz aufbauen.
• Aus- und Weiterbildung mit CIA-Zertifizierung (Certified Internal Auditor).
• Externe Qualitätsüberprüfung alle 5 Jahre.
• Klare Trennung von Linien-Aufgaben (Internal Audit ist nicht für operative Themen verantwortlich).

Bei FINMA-beaufsichtigten Banken sind die Anforderungen weiter konkretisiert: Internal Audit muss eine Mindestgrösse, einen direkten Zugang zur Geschäftsleitung und ein dokumentiertes Eskalationsverfahren haben.

Häufige Fehler

Klassische Schwächen in der Praxis:

• Fehlende Unabhängigkeit, Internal Audit berichtet nur an operative Vorgesetzte.
• Risikoeinschätzung ohne breite Stakeholder-Einbindung.
• Prüfungsplan ohne strategische Risiken (Cyber, ESG, Geopolitik).
• Prüfungen ohne Tiefgang oder mit zu standardisierten Checklisten.
• Massnahmen-Tracking ohne konsequente Eskalation bei Verzögerungen.
• Mangelnde Kompetenz in spezialisierten Bereichen (IT, Cyber, ESG).
• Verwischen mit Linien-Aufgaben.
• Vermischung mit Compliance- und Risk-Management-Funktion.
• Fehlende externe Quality Assessment.
• Schwache Berichts-Qualität ohne klare Empfehlungen.
• Keine Eskalation kritischer Befunde an VR-Präsidenten.
• Unzureichende Ressourcen für den Auftrag.

Abgrenzung

• Revisionsstelle: externes Prüforgan mit gesetzlichem Auftrag, Internal Audit ist interne Funktion.
• Audit Committee: VR-Aufsichtsorgan, Internal Audit ist operative Prüffunktion.
• Compliance Officer: fokussiert auf Compliance-Einhaltung, Internal Audit prüft die Wirksamkeit aller Funktionen.
• Risk Manager: bewertet Risiken, Internal Audit prüft die Wirksamkeit des Risikomanagements.
• Controlling: liefert Managementinformationen, Internal Audit prüft die Datenqualität.