(1) Der Abschlussprüfer hat die Ordnungsmäßigkeit der Geschäftsorganisation im Sinne des § 27 Absatz 1 Satz 1 Halbsatz 1 des Zahlungsdiensteaufsichtsgesetzes unter Berücksichtigung der Komplexität und des Umfangs der von dem Institut eingegangenen Risiken zu beurteilen. Dabei ist insbesondere auf Adressenausfallrisiken und Marktpreisrisiken, einschließlich der Zinsänderungsrisiken, sowie auf Liquiditäts- und operationelle Risiken sowie auf damit verbundene Risikokonzentrationen gesondert einzugehen.

(2) Der Abschlussprüfer hat zu beurteilen, ob die Maßnahmen der Unternehmenssteuerung, die Kontrollmechanismen und die Verfahren, die gewährleisten, dass das Institut seine Verpflichtungen erfüllt, angemessen sind. Dabei ist insbesondere darauf gesondert einzugehen, ob

1.

das Risikomanagement, einschließlich der internen Kontrollsysteme, angemessen und wirksam ist,

2.

eine Verlustdatenbank geführt und gepflegt wird sowie eine vollständige Dokumentation der Geschäftstätigkeit, die eine lückenlose Überwachung durch die Bundesanstalt für ihren Zuständigkeitsbereich gewährleistet, vorhanden ist,

3.

das Notfallkonzept für die IT-Systeme angemessen ist, und

4.

die interne Revision angemessen ist.

(3) Der Abschlussprüfer hat ferner zu beurteilen, ob die Strukturen des Instituts es seinen Geschäftsleitern sowie seinem Verwaltungs- oder Aufsichtsorgan ermöglichen, seine Aufgaben ordnungsgemäß wahrzunehmen.