ISA 402 im Auslagerungscontrolling: Dienstleister-Prüfberichte nutzen

Management Summary

Wer Prozesse auslagert, gibt die Verantwortung für die Kontrollen nicht ab. Das gilt auch für den Jahresabschluss: Der Abschlussprüfer muss verstehen, welche Leistungen der Dienstleister erbringt und ob die Kontrollen dort wirksam sind. ISA [DE] 402 regelt, wie er dabei vorgeht. Relevant ist das bei Leistungen, die Teil des rechnungslegungsbezogenen Informationssystems sind, etwa Kernbankverfahren, Wertpapierabwicklung, Lohn- und Gehaltsabrechnung, Rechenzentrumsbetrieb oder Meldewesen.

Als Nachweis dienen meist Prüfberichte des Dienstleisters nach IDW PS 951 n.F. oder ISAE 3402. Ein Typ-1-Bericht sagt etwas über die Angemessenheit der Kontrollen zu einem Stichtag. Erst ein Typ-2-Bericht sagt etwas über ihre Wirksamkeit über einen Zeitraum und kann Funktionsprüfungen des Abschlussprüfers ersetzen. Der häufigste blinde Fleck sind die Kontrollen, die der Dienstleister bei dir voraussetzt.

Aufsichtsrechtlich reicht ein Prüfbericht nicht aus: Bei wesentlichen Auslagerungen darf sich die Interne Revision nach AT 9 Tz. 4 MaRisk 10.0 (Erläuterung) nicht allein darauf stützen. Für IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen verlangt Art. 30 Abs. 3 e) DORA Zugangs-, Inspektions- und Auditrechte. Die EBA/GL/2026/09 konkretisieren, wie Berichte künftig genutzt werden dürfen.

Die gute Nachricht: Ein einheitlich ausgewerteter Typ-2-Bericht erfüllt drei Zwecke zugleich. Er stützt die Jahresabschlussprüfung, belegt die laufende Überwachung nach AT 9 Tz. 9 MaRisk 10.0 und unterstützt die Revision. Dieser Beitrag zeigt, wie du dafür ein Verfahren aufsetzt.

ISA 402 verstehen: Sachverhalt und Normbezug

Was ISA [DE] 402 regelt – und was nicht

ISA [DE] 402 „Überlegungen bei der Abschlussprüfung von Einheiten, die Dienstleister in Anspruch nehmen“ ist die deutsche Fassung des ISA 402 des IAASB mit nationalen Besonderheiten. Er regelt die Verantwortung des Abschlussprüfers des auslagernden Unternehmens, ausreichende geeignete Prüfungsnachweise zu erlangen, wenn das Unternehmen Dienstleister nutzt. Die Prüfung des Kontrollsystems beim Dienstleister selbst richtet sich dagegen nach IDW PS 951 n.F. (03.2021) oder ISAE 3402.

Rechtsnatur: § 317 Abs. 5 HGB verweist auf die von der Europäischen Kommission angenommenen internationalen Prüfungsstandards. Eine Annahme der ISA durch die Kommission liegt nach dem Stand dieser Auswertung nicht vor. In Deutschland gelten die ISA [DE] deshalb als vom IDW festgestellte Grundsätze ordnungsmäßiger Abschlussprüfung.

Anwendungsbereich: Leistungen eines Dienstleisters sind relevant, wenn sie und die Kontrollen darüber Teil des rechnungslegungsbezogenen Informationssystems des auslagernden Unternehmens sind. Nicht erfasst ist nach ISA 402 Tz. 5 die bloße Abwicklung ausdrücklich autorisierter Transaktionen auf einem Konto bei einem Finanzinstitut, etwa die normale Kontoführung.

Was der Abschlussprüfer von dir wissen will

Nach ISA 402 Tz. 9 muss der Abschlussprüfer verstehen, wie dein Unternehmen den Dienstleister nutzt, insbesondere:

• Art und Bedeutung der Leistungen und ihre Wirkung auf das interne Kontrollsystem,
• Art und Wesentlichkeit der betroffenen Geschäftsvorfälle, Konten und Prozesse,
• den Grad der Interaktion zwischen Unternehmen und Dienstleister,
• die Beziehung einschließlich der relevanten Vertragsbedingungen.

Nach Tz. 10 identifiziert er die Kontrollen bei deinem Unternehmen, die sich auf die Leistungen des Dienstleisters beziehen, und beurteilt deren Ausgestaltung und Einrichtung. Nach Tz. 19 fragt er die Geschäftsleitung, ob der Dienstleister dolose Handlungen, Rechtsverstöße oder nicht korrigierte falsche Darstellungen gemeldet hat oder ob solche bekannt sind. Kann er das nötige Verständnis nicht bei deinem Unternehmen gewinnen, holt er es nach Tz. 12 auf anderem Weg ein: über einen Typ-1- oder Typ-2-Bericht, über Kontakt zum Dienstleister, durch einen Besuch vor Ort oder über einen anderen Prüfer.

Typ-1- und Typ-2-Berichte: was sie leisten

ISA 402 Tz. 8 unterscheidet zwei Berichtstypen:

In Deutschland werden diese Berichte nach IDW PS 951 n.F. (03.2021) erstellt, international nach ISAE 3402. Der IDW PS 951 wurde 2021 an ISA [DE] 315 (Revised 2019) angepasst. Der Abschlussprüfer muss sich nach Tz. 13 von der Kompetenz und Unabhängigkeit des Dienstleisterprüfers und von der Angemessenheit der zugrunde gelegten Standards überzeugen. Nach Tz. 17 beurteilt er bei einem Typ-2-Bericht unter anderem, ob der Berichtszeitraum passt, wie viel Zeit seit den Tests vergangen ist und ob die Tests für die relevanten Aussagen geeignet sind.

Kontrollen beim Kunden: der häufigste blinde Fleck

Viele Berichte enthalten Kontrollen bei deinem Unternehmen, die der Dienstleister bei der Gestaltung seiner Leistung voraussetzt (Complementary User Entity Controls, ISA 402 Tz. 8 a)). Beispiele sind die Pflege von Berechtigungen, die Abstimmung von Schnittstellendaten oder die Freigabe von Stammdatenänderungen. Der Abschlussprüfer muss nach Tz. 14 c) und Tz. 17 b) prüfen, ob dein Unternehmen diese Kontrollen eingerichtet hat, und bei Typ-2-Berichten gegebenenfalls deren Wirksamkeit testen.

Subdienstleister: Carve-out oder Inclusive

Nutzt der Dienstleister seinerseits Subdienstleister, kann der Bericht diese einbeziehen (Inclusive-Methode) oder ausnehmen (Carve-out-Methode, ISA 402 A40). Nimmt der Bericht relevante Subdienstleister aus, muss der Abschlussprüfer nach Tz. 18 die Anforderungen des ISA 402 auch auf diese anwenden. Aufsichtsrechtlich gelten für Weiterverlagerungen die vertraglichen Regeln nach AT 9 Tz. 7 MaRisk 10.0 und für IKT-Dienstleistungen die Vorgaben zur Unterauftragsvergabe nach DORA.

Aufsichtsrecht: Prüfberichte nutzen, aber nicht allein darauf stützen

AT 9 Tz. 4 MaRisk 10.0, Erläuterung: Die Interne Revision kann „auf Nachweise/Zertifikate auf Basis gängiger Standards zurückgreifen. Hierbei sind sowohl die Detailtiefe, Aktualität und Eignung der Nachweise/Zertifikate und der zugehörigen Prüfberichte als auch die Eignung des Zertifizierers oder Prüfers zu berücksichtigen. Allerdings darf sich ein beaufsichtigtes Unternehmen bei wesentlichen Auslagerungen bei der Ausübung seiner Revisionstätigkeit nicht allein hierauf stützen.“

AT 9 Tz. 9 MaRisk 10.0: Das Institut muss die Leistung des Dienstleisters laufend überwachen.

Art. 30 Abs. 3 e) DORA: Für IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen sind uneingeschränkte Zugangs-, Inspektions- und Auditrechte zu vereinbaren. Alternative Bestätigungsniveaus können vereinbart werden, wenn Rechte anderer Kunden des Dienstleisters berührt sind.

Künftig, EBA/GL/2026/09 Rn. 102–107: Die Leitlinien konkretisieren, wie Finanzunternehmen Zertifikate, Prüfberichte und Pool-Prüfungen nutzen dürfen. Bei Leistungen für kritische oder wichtige Funktionen sollen sie sich nicht dauerhaft allein auf Zertifikate und Berichte verlassen (Rn. 103 a)). Berichte dürfen sie nach Rn. 104 nur nutzen, wenn sie unter anderem:

• mit dem Prüfungsplan zufrieden sind,
• sicherstellen, dass der Bericht die relevanten Systeme und Schlüsselkontrollen abdeckt,
• den Inhalt laufend auswerten und auf Aktualität achten,
• die Eignung des Prüfers beurteilen,
• prüfen, ob der Bericht nach anerkannten Standards erstellt ist und einen Test der Wirksamkeit der Schlüsselkontrollen enthält,
• vertraglich eine Erweiterung des Prüfungsumfangs verlangen können,
• das Recht auf eigene Prüfungen behalten.

Die Leitlinien sind noch nicht anwendbar; der Anwendungsbeginn hängt von den Übersetzungen ab.

Pflichten nach Funktion

ISA 402 adressiert den Abschlussprüfer. Damit seine Fragen schnell beantwortet sind, brauchen die Funktionen in deinem Unternehmen klar verteilte Aufgaben.

Quick-Check: Prüfschema

Das Prüfschema zeigt, wo dein Verfahren Lücken hat. Die Spalte „Typischer Befund“ beschreibt, woran es in der Praxis häufig fehlt.

Fazit: ISA 402 als Anlass für ein einheitliches Auswertungsverfahren

• ISA 402 ist ein Prüferstandard mit Folgen für dich. Er regelt nicht dein Auslagerungscontrolling, bestimmt aber, welche Nachweise der Abschlussprüfer von dir erwartet.
• Typ 2 trägt, Typ 1 nicht. Nur der Typ-2-Bericht sagt etwas zur Wirksamkeit der Kontrollen und kann Funktionsprüfungen ersetzen.
• Kundenkontrollen gehören in dein IKS. Ohne sie ist auch ein guter Bericht nur eingeschränkt verwertbar.
• Ein Bericht ersetzt keine eigene Aufsicht. Bei wesentlichen Auslagerungen darf sich die Revision nicht allein darauf stützen, und für kritische IKT-Dienstleistungen brauchst du Audit-Rechte.
• Ein Verfahren genügt. Mit einheitlicher Auswertung bedienst du Abschlussprüfung, MaRisk 10.0, DORA und künftig die EBA/GL/2026/09 mit denselben Unterlagen.

Wer ISA 402 als Anlass nimmt, Register, Verträge und Berichtsauswertung einmal sauber aufzusetzen, spart in jeder Jahresabschlussprüfung Rückfragen.

Quellenverzeichnis

Zuerst die Primärquellen mit Link, danach die Aufsichts- und Standardquellen, auf die sich der Beitrag stützt.

• Verordnung (EU) 2022/2554 (DORA), Art. 30 Abs. 3 e)Primärquelle zu Zugangs-, Inspektions- und Auditrechten bei IKT-Dienstleistungen für kritische oder wichtige Funktionen.
• Richtlinie 2006/43/EG (Abschlussprüferrichtlinie)EU-Rahmen für die Annahme internationaler Prüfungsstandards durch die Europäische Kommission.
• § 317 HGB, Gegenstand und Umfang der PrüfungAbsatz 5 verweist auf die von der Europäischen Kommission angenommenen internationalen Prüfungsstandards.
• § 1a KWG, Anwendung der DORAGrundlage für die Geltung der DORA für KWG-Institute außerhalb von Art. 2 DORA ab 01.01.2027.
• § 25b KWG, Auslagerung von Aktivitäten und ProzessenGesetzliche Grundlage für das Management von Auslagerungen.

Aufsichts- und Standardquellen (ohne Link)

• BaFin, MaRisk 10.0, AT 9 (Rundschreiben 06/2026 (BA), Juni 2026)Quelle für Tz. 4 (Erläuterung), 7 und 9 sowie die Übergangsfrist bis 01.01.2027.
• EBA, Leitlinien zu Auslagerungen, EBA/GL/2026/09, Rn. 102–107Quelle für Zertifikate, Prüfberichte und Pool-Prüfungen; noch nicht anwendbar.
• Deutsche Bundesbank, Hinweise zu BAIT und DORAQuelle für das Auslaufen der BAIT zum Ablauf des 31.12.2026.
• IAASB, ISA 402 und ISA 240 (Revised); ISAE 3402Fachstandards zu Dienstleistern, dolosen Handlungen und Berichten über Kontrollen bei Dienstleistern; keine amtlichen Stellen.
• IDW, ISA [DE] 402, ISA [DE] 315 (Revised 2019), IDW PS 951 n.F. (03.2021)Deutsche Fassungen der Standards; Berufsstandsquelle, keine amtliche Stelle.