Komplexität verstehen.
Risiken beherrschen.
Erfolg gestalten.
AUDIT & INTERNE REVISION
Prüfsichere Nachweisdokumentation
Die Prüfung kommt. Ob Ihre Nachweise ihr standhalten, entscheidet sich lange vorher. NIS2 verlangt von besonders wichtigen Einrichtungen den Nachweis der Maßnahmen bis Dezember 2028, DORA bringt Register- und Testpflichten, und die KI-VO macht Protokollierung und technische Dokumentation zur Rechtspflicht. Gleichzeitig prüft die Revision zunehmend Systeme, für die es kein dokumentiertes Soll gibt. Genau dort scheitern Prüfungen: Eine Abweichung lässt sich nur gegen einen definierten Maßstab feststellen. Wir bauen mit Ihnen Nachweisstrukturen, die Bestand haben: klares Soll, dokumentiertes Ist, bewertete Abweichung, terminierte Maßnahme, belegte Wirksamkeit. Und Freigabeberichte mit einem Verdikt, das eine Entscheidung ist, kein Prosastück.
Rechtsstand 24.09.2026
Warum Nachweisdokumentation gerade jetzt zum Engpass wird
Drei Entwicklungen laufen zusammen. Erstens: Die Aufsichtslandschaft ist von der Ankündigungs- in die Vollzugsphase gewechselt. Das BSI betreibt seit dem 06.01.2026 ein Meldeportal und hat mit der abgelaufenen Registrierungsfrist erstmals einen harten, bußgeldbewehrten Formalverstoß im Bestand. Die BaFin prüft DORA-Umsetzung entlang ihrer Orientierungshilfe vom 18.12.2025. Zweitens: Die KI-VO verlangt für Hochrisiko-Systeme technische Dokumentation (Art. 11), automatische Protokollierung (Art. 12) und ein Risikomanagementsystem (Art. 9), spätestens zum 02.12.2027, mit Vorlaufbedarf von 12 bis 18 Monaten. Drittens: 73 Prozent der Governance-Verantwortlichen geben an, dass KI kritische Lücken in Transparenz und Richtliniendurchsetzung offengelegt hat. Die Lücke liegt selten bei den Maßnahmen. Sie liegt beim Nachweis.
Der häufigste Fehler: Prüfen ohne Soll
Eine Revision kann nur feststellen, was von einem definierten Maßstab abweicht. In der Praxis begegnet uns aber regelmäßig das Gegenteil: KI-Systeme im Produktivbetrieb ohne dokumentierte Zweckbestimmung, Richtlinien, die niemand kennt und die deshalb weder Verhalten steuern noch Haftung begrenzen, und Screenshots als Prüfungsgrundlage, ohne dass irgendwo steht, wie das System sich verhalten sollte. Eine UI-Analyse ohne dokumentiertes Soll produziert bestenfalls Beobachtungen, niemals Feststellungen. Prüfsicherheit beginnt deshalb eine Ebene früher: Beim Soll-Dokument.
Was prüfsicher konkret heißt
Fünf Elemente, in dieser Reihenfolge. Das Soll: Zweckbestimmung, Freigabekriterien, Kontrollziele, schriftlich und versioniert. Das Ist: Protokolle, Konfigurationsstände, Testergebnisse, mit Datum und Verantwortlichem. Die Abweichung: Benannt, nach Risiko bewertet, einem Regelwerk zugeordnet (etwa Art. 26 KI-VO, § 30 BSIG oder DORA Art. 28). Die Maßnahme: Mit Horizont, Aufwand und Owner codiert, damit sie steuerbar ist. Die Wirksamkeit: Nachgeprüft und belegt, denn eine erledigte Maßnahme ohne Wirksamkeitsnachweis ist in der Prüfung wertlos. Wer sie an einer Stelle unterbricht, produziert Papier. Wer sie je System durchhält, ist auf Prüfungen erfahrungsgemäß gut vorbereitet.
Die Nachweiskette: fünf Elemente, in dieser Reihenfolge.
Freigabeberichte brauchen ein Verdikt
Ein Freigabebericht, der auf zwölf Seiten Risiken beschreibt und mit „sollte beobachtet werden“ endet, ist keine Entscheidungsgrundlage. Wir arbeiten mit drei Verdikten: Freigabefähig, bedingt freigabefähig mit priorisiertem Maßnahmenkatalog, nicht freigabefähig. „Bedingt freigabefähig“ ist dabei kein Makel, es ist der Normalfall gut geprüfter Systeme und die einzige Formulierung, mit der ein Vorstand rechtssicher entscheiden kann: Betrieb ja, unter diesen Auflagen, mit diesen Fristen. Für die Revision entsteht daraus automatisch ein prüfbarer Follow-up-Pfad.
Die zweite Front: KI in der Revision selbst
Interne Revision nutzt zunehmend selbst KI, für Stichprobenziehung, Anomalieerkennung, Berichtsentwürfe. Damit gelten die Anforderungen in eigener Sache: Art. 4 KI-VO verlangt KI-Kompetenz beim Personal, die Methodik muss dokumentiert sein, und die Nachvollziehbarkeit der Prüfungshandlungen darf durch KI-Einsatz gerade nicht sinken. Eine Revision, die KI nutzt und das nicht dokumentiert, schwächt ihre eigenen Feststellungen. Das Three-Lines-Modell und IDW PS 980 geben den Rahmen, die KI-spezifische Ausgestaltung ist Handarbeit.
Unser Angebot
Wir liefern Nachweisarchitekturen, die zu Ihrem Prüfungsumfeld passen: Soll-Dokumentation je KI-System, Freigabebericht-Struktur mit Verdiktlogik, Maßnahmenkataloge mit Horizont- und Aufwandscodierung, Mapping auf NIS2, DORA und KI-VO. Als Einstieg stellen wir unsere Musterstruktur für KI-Freigabeberichte kostenfrei bereit. Sie zeigt, wie ein Bericht aufgebaut ist, der auf aufsichtliche Prüfungen ausgelegt ist.
DOWNLOAD · PDF · 106 KB
Musterstruktur KI-Freigabebericht
Aufbau eines Freigabeberichts mit Verdiktlogik, ausgelegt auf aufsichtliche Prüfungen. Kostenfrei.
Prüfungsvorbereitung anfragen
Für akute Fälle mit Termindruck: Soll-Dokumentation, Freigabeberichte und Mapping auf NIS2, DORA und KI-VO.
MODULAR · TRANSPARENT BEPREIST · JEDERZEIT KÜNDBAR
