29. Oktober 2026

Revisionssichere Dokumentation von Konzentrationsrisiken: Was Auditoren wirklich sehen wollen

Verfasst von Jonas Bremer

Auditor prüft Dokumentation zu Risikoberichten

Der klassische Fehler: Analyse ohne nachvollziehbare Spur

Ich fange mit dem Szenario an, das ich zu oft erlebt habe: Ein Compliance-Team führt eine sorgfältige Analyse von Vermögenskonzentrationen durch, identifiziert kritische Muster, leitet Maßnahmen ein — und dann kommt der externe Auditor. Die erste Frage lautet: Welche Daten haben Sie verwendet, und auf welchem Stand waren sie? Die zweite: Wie haben Sie den Schwellenwert bestimmt, bei dem Sie alarmiert haben? Die dritte: Wer hat die Analyse freigegeben und wann? Wenn das Team auf diese Fragen keine klare, dokumentierte Antwort hat, spielt es keine Rolle, wie gut die eigentliche Analyse war. Das Ergebnis ist nicht verwertbar. Ich nenne das das Dokumentationsloch — eine Lücke zwischen dem, was tatsächlich getan wurde, und dem, was nachweisbar getan wurde. In der Praxis entsteht dieses Loch nicht aus Nachlässigkeit, sondern aus einem Prozessdesign, das Dokumentation als nachgelagerte Aufgabe behandelt statt als integralen Bestandteil der Analyse. Wer erst nach der Analyse dokumentiert, rekonstruiert — und Rekonstruktionen sind fehleranfällig, lückenhaft und in Prüfungssituationen oft nicht glaubwürdig. Drei spezifische Dokumentationsfehler tauchen dabei besonders häufig auf.

Eine Analyse ist nur so gut wie die Daten, auf denen sie basiert — und ein Auditor will wissen, auf welchem Stand diese Daten zum Zeitpunkt der Analyse waren. Wenn Quelldaten ohne Zeitstempel in die Auswertung eingehen, lässt sich im Nachhinein nicht mehr nachvollziehen, ob die Analyse auf tagesaktuellen oder veralteten Informationen beruhte. Das klingt nach einem technischen Detail, ist aber in Prüfungssituationen ein erhebliches Glaubwürdigkeitsproblem. Ich empfehle, jeden Datenpunkt mit dem genauen Abfragezeitpunkt zu versehen — automatisiert, nicht manuell.

Auditoren akzeptieren keine Schwellenwerte, die einfach existieren. Sie wollen wissen, warum ein bestimmter Wert gewählt wurde, welche Grundlage dahintersteht und wer ihn genehmigt hat. Teams, die einen Wert aus einer alten Richtlinie übernommen haben ohne dokumentierte Herleitung, stehen in Prüfungen vor einem schwer erklärbaren Problem. Die Schwellenwertlogik muss schriftlich fixiert sein — mit Datum der Festlegung, verantwortlicher Person und geplantem Überprüfungszyklus. Fehlt das, ist der gesamte Analyseprozess angreifbar.

Ein Befund, der in keinem System als geprüft und freigegeben markiert ist, existiert aus Prüfungsperspektive in einem Graubereich. Wer hat das Ergebnis gesehen? Wer hat entschieden, ob Handlungsbedarf besteht? Wer trägt die Verantwortung für die Entscheidung, nicht zu handeln? Diese Fragen müssen dokumentiert beantwortet sein — nicht in einer E-Mail-Kette, die niemand mehr findet, sondern in einem strukturierten System mit eindeutigen Freigabepfaden und nachvollziehbaren Zeitstempeln.

Ein durchgespieltes Beispiel: Wie revisionssichere Dokumentation in der Praxis aussieht

Nehmen wir ein konkretes Szenario: Ein Risikoanalyst eines mittelgroßen Vermögensverwalters erkennt im Rahmen einer routinemäßigen Überprüfung, dass drei Portfoliopositionen zusammen eine Konzentration beim selben wirtschaftlichen Eigentümer ergeben, die den intern definierten Schwellenwert überschreitet. Die einzelnen Positionen liegen jeweils unterhalb des Grenzwerts — das Muster wird nur durch die kombinierte Betrachtung sichtbar. Der Analyst möchte diesen Befund so dokumentieren, dass er bei einer externen Prüfung vollständig nachvollziehbar ist. Was muss die Dokumentation enthalten, damit sie revisionssicher ist? Das Beispiel zeigt drei konkrete Schritte, die zusammen eine lückenlose Spur ergeben — von der Datengrundlage über die Analysemethodik bis zur Freigabe des Befunds. Wichtig dabei: Kein dieser Schritte ist eine nachträgliche Rekonstruktion. Alle entstehen im Laufe der Analyse selbst, nicht danach. Das ist der entscheidende Unterschied zwischen einer Dokumentation, die standhält, und einer, die unter Prüfungsdruck zerfällt.

Der Analyst beginnt damit, alle verwendeten Datenquellen mit exaktem Abfragezeitpunkt, Datenstand und Herkunftssystem zu erfassen. Im Beispiel sind das drei separate Portfoliodatensätze aus dem Verwaltungssystem, ergänzt um Handelsregisterauszüge mit Abrufdatum. Diese Metadaten werden direkt mit dem Analysedatensatz verknüpft — nicht als separate Notiz, sondern als integrierter Bestandteil des Befunddokuments. So kann jeder Prüfer zu jedem späteren Zeitpunkt nachvollziehen, welche Informationslage zum Zeitpunkt der Analyse bestand.

Im nächsten Schritt hält der Analyst fest, welche Methodik zur Erkennung des Musters angewendet wurde: kombinierte Betrachtung wirtschaftlicher Eigentümerschaft über mehrere Positionen, Abgleich mit dem intern genehmigten Schwellenwert von dreißig Prozent für konsolidierte Eigentümerschaft. Der Schwellenwert wird mit Verweis auf das interne Regelwerk und dem Datum der letzten Überprüfung zitiert. Diese Dokumentation macht die Analyseschritte reproduzierbar — ein Auditor könnte die Analyse anhand der Dokumentation selbst nachvollziehen, ohne den Analysten befragen zu müssen.

Der fertige Befund wird im System zur Prüfung und Freigabe vorgelegt. Die verantwortliche Führungskraft bestätigt die Kenntnisnahme und dokumentiert die getroffene Entscheidung — in diesem Fall die Einleitung einer vertieften Prüfung der Beteiligungsstruktur. Datum, Zeitpunkt und handelnde Person sind automatisch protokolliert. Das Ergebnis ist ein Befunddokument, das vollständig, zeitlich geordnet und ohne Lücken nachweist, was analysiert wurde, auf welcher Grundlage und mit welchem Ergebnis. Genau das ist es, was Auditoren sehen wollen.

Mehr erfahren Tools erkunden

Diese Website verwendet Cookies, um den technischen Betrieb zu gewährleisten und die Nutzungserfahrung zu verbessern. Gemäß der DSGVO benötigen wir Ihre Einwilligung für nicht essenzielle Cookies. Sie können Ihre Einstellungen jederzeit anpassen.