Compliance in Banken automatisieren: vom Regelwerk zur geprüften Maßnahme

01 / Aufgaben verteilen

Welche Compliance-Arbeit lässt sich mit KI unterstützen?

Der geeignete Einsatzpunkt liegt bei der Vorbereitung und Organisation von Arbeit. Ein langes Regelwerk lässt sich in bearbeitbare Einheiten zerlegen. Anforderungen können mit internen Regelungen verbunden werden. Ein Workflow hält fest, wer einen Vorschlag geprüft, eine Lücke bestätigt oder eine Maßnahme übernommen hat. Die Qualität hängt dabei an den Übergängen: Ein falsch zugeordnetes Dokument bleibt auch in einem sauber bedienten Workflow die falsche Grundlage.

Dieser Beitrag behandelt Regelwerks-, Anforderungs- und Maßnahmenmanagement. Geldwäsche-Screening, Transaktionsüberwachung und die Steuerung der eingesetzten KI sind andere Aufgaben mit eigenen Prüfgegenständen. Wer eine Compliance-Software für Banken bewertet, sollte den benötigten Arbeitsablauf deshalb zuerst benennen.

02 / Ein Fall, durchgängig

Eine Arbeitsanweisung ist aktuell. Aber wer entscheidet?

Im Musterfall CASE-ORG-001 überprüft ein fiktives Institut seine Arbeitsanweisung zum Umgang mit internen Regeländerungen. Fassung A verlangt, Aufgaben, Entscheidungskompetenzen und Verantwortlichkeiten festzulegen. Wer den Änderungsbedarf prüft und über ihn entscheidet, bleibt jedoch unklar. Eine andere Passage regelt Veröffentlichung und Versionswechsel bereits brauchbar. Ein zugesagtes Entscheidungsprotokoll lässt sich im vorgelegten Material dagegen nicht finden.

Synthetischer Lehrfall: Alle internen Dokumente, Rollen, Vorgänge, Termine und Entscheidungen sind konstruiert. Der Fall wurde nicht in einer Produktinstallation ausgeführt. Er ist keine Kundenreferenz, keine amtliche Checkliste und kein Nachweis einer vollständigen MaRisk-Abdeckung.

Als enger fachlicher Bezug dient die MaRisk-Fassung vom 30. Juni 2026: AT 5 behandelt Organisationsrichtlinien, unter anderem Zuständigkeiten, Aktualität und Bekanntmachung; AT 6 die Dokumentation wesentlicher Handlungen und Festlegungen. Für das Beispiel wird ein Institut im Anwenderkreis angenommen. Die konkrete Anwendbarkeit ist im eigenen Institut zu prüfen. [1]

Aus diesem Bezug entwickeln wir drei eigene Prüffragen. Ihre Kennungen EXT-001 bis EXT-003 sind redaktionelle Hilfen. Sie sind keine gesetzlichen Feldnummern. Die detaillierten Rollen, Termine und Abnahmeregeln in den Unterlagen sind Entscheidungen für den Lehrfall.

Die Belegkette beantwortet zwei unterschiedliche Fragen: Was ist gefordert? und Woran lässt sich die interne Umsetzung beurteilen? Erst die Bewertung verbindet beides. Eine Maßnahmenliste ohne diesen Rückweg erklärt zwar, was jemand tun soll, aber nicht zuverlässig, weshalb die Aufgabe entstanden ist.

03 / Quellen vor Vorschlägen

Welche Fassung gilt für die Bewertung?

Eine Bewertung braucht einen eindeutig bestimmten Quellenstand. Im Lehrfall gilt POL-ORG-001-A vom 1. September bis zum 11. Oktober 2026. Fassung B wird am 9. Oktober freigegeben und tritt am 12. Oktober in Kraft. Die Freigabe von B ändert damit noch nicht rückwirkend die Grundlage der am 6. Oktober bestätigten Bewertung vom 5. Oktober.

Vor der Ableitung prüft der Bearbeiter, ob das Dokument vollständig ist, Anlagen erfasst sind und die Fundstelle im Original tatsächlich zum extrahierten Text passt. Bei Tabellen, Verweisen oder zusammengezogenen Sätzen reicht die Kontrolle einer Überschrift nicht aus. Die Dokumentenextraktion und die fachliche Prüfung haben hier unterschiedliche Aufgaben.

04 / Vorschläge korrigieren

Von der Klausel zur prüfbaren Anforderung

Eine prüfbare Anforderung beschreibt einen abgrenzbaren Sachverhalt. Sie nennt den Gegenstand, den relevanten Bezug und das, woran die Bewertung festgemacht wird. Mehrere Pflichten in einem Satz erschweren die spätere Entscheidung: Eine Passage kann teilweise abgedeckt sein, obwohl der Gesamttext ähnlich klingt.

Die erste Formulierung ergänzt eine starre Frist und ein pauschales Freigabegebot, die der herangezogene Ausschnitt nicht trägt. Sie wird verworfen. Die zweite Formulierung ist unsere begrenzte Prüffrage zum Fall; sie legt noch keinen individuellen Genehmigungsprozess für jedes Institut fest. [1]

Die Änderung wird mit Begründung gespeichert. Dadurch bleibt sichtbar, dass der erste Vorschlag fehlerhaft war und weshalb die fachliche Fassung anders lautet. Ein bloßes Überschreiben würde genau diese Information entfernen.

Dokumentierter T-NEX-Ablauf: Im Handbuch müssen zunächst alle Klauseln einer Dokumentversion freigegeben sein, bevor daraus Anforderungen abgeleitet werden können. Die anschließende fachliche Prüfung der Anforderungen bleibt ein eigener Schritt. Handbuch v15.23.0, Kapitel 4.6 und 5.3, S. 19 und 22. [2]

05 / Fachlich vergleichen

Textähnlichkeit ist kein Erfüllungsnachweis

Ein passender Texttreffer zeigt, wo sich eine Prüfung lohnt. Ob die interne Regelung den betrachteten Sachverhalt abdeckt, ergibt sich erst aus Inhalt, Zuständigkeit und Beleglage. Für die Compliance-GAP-Analyse ist deshalb eine begründete Bewertung wichtiger als ein isolierter Ähnlichkeitswert.

Diese drei Fälle führen zu unterschiedlichen Entscheidungen. Bei ASM-001 fehlt eine ausreichend konkrete Regelung. Bei ASM-002 stimmen die Wörter weniger stark überein, der eng betrachtete Ablauf ist aber nachvollziehbar beschrieben und belegt. Bei ASM-003 reicht die vorliegende Evidenz für eine belastbare Aussage nicht aus. Ein fehlendes Dokument im Prüfpaket beweist für sich genommen noch keinen Verstoß.

Abdeckung einer Regel und Durchführung im Alltag sind außerdem getrennte Ebenen. Eine veröffentlichte Anweisung kann vollständig sein, während die praktische Umsetzung noch nicht geprüft wurde. Im Bewertungsprotokoll stehen deshalb neben der internen Anforderung auch die herangezogenen Nachweise und die Reichweite des Ergebnisses.

„Teilweise abgedeckt“ und „nicht beurteilbar“ sind hier redaktionelle Bezeichnungen in den Arbeitsunterlagen, keine Zusage bestimmter Auswahlfelder im Produkt. Die Freigabe einer internen Anforderung bestätigt ihren erfassten Inhalt; ob er ausreicht, entscheidet erst die Bewertung.

T-NEX Compliance vergleicht externe Anforderungen mit freigegebenen internen Anforderungen. Interne Quelldokumente werden dafür ebenfalls über Klauseln und Anforderungen erschlossen. Ein freier Vergleich zweier PDFs beschreibt diesen dokumentierten Arbeitsweg nicht vollständig. Ähnlichkeit, Confidence, Erfüllungsstatus und Schweregrad dürfen dabei nicht zu einer vermeintlichen Trefferquote zusammengezogen werden. Handbuch, Kapitel 5–7. [2]

Produktansicht in voller Größe öffnen

06 / Eine Entscheidung wird bearbeitbar

Die Lücke bestätigen, die Maßnahme gesondert freigeben

Die Lücke beschreibt den festgestellten Unterschied zwischen dem Prüfmaßstab und der internen Abdeckung. Die Maßnahme beschreibt, wie dieser Unterschied bearbeitet werden soll. Beide Entscheidungen brauchen ihre eigene Begründung. Eine plausible Abhilfe macht eine unbelegte Feststellung nicht richtig.

Die Daten in der Maßnahmenkarte sind Vorgaben des synthetischen Falls. Der 12. Oktober ist keine gesetzliche Frist. Eine zuständige Person wird in einem realen Vorgang namentlich oder über eine eindeutig zuordenbare Benutzerkennung hinterlegt.

Das Maßnahmenblatt verbindet MEA-001 mit GAP-001 und darüber mit EXT-001. Die Aufgaben betreffen die Überarbeitung der Anweisung und ihre Bekanntmachung. Die fachliche Beurteilung, ob sich der neue Ablauf bewährt, bekommt einen gesonderten Prüfpunkt.

Das Handbuch beschreibt die Freigabe einer Lücke und die Freigabe einer Maßnahme getrennt. Ein KI-Vorschlag für einen Maßnahmenplan ist zunächst ein Arbeitsentwurf. Handbuch, Kapitel 7.5 und 8.3, S. 32–33 und 37. [2]

07 / Zuständigkeit tatsächlich prüfen

Wer darf bearbeiten, wer darf freigeben?

Ein Rollenname sagt wenig darüber aus, welche Handlungen ein Benutzer tatsächlich ausführen darf. Für den Pilotfall werden deshalb die Rechte an konkreten Schritten geprüft: Anforderung ändern, Bewertung bearbeiten, Lücke freigeben, Maßnahme verantworten und Bericht ausstellen.

Die Matrix zeigt das gewünschte organisatorische Modell des Lehrfalls. Produktprofile und Rechte der konkreten Installation müssen dazu gesondert eingerichtet und getestet werden. Die gleichnamige Produktrolle „Revision“ ist keine Beschreibung sämtlicher Aufgaben der Internen Revision.

T-NEX Compliance unterstützt unterschiedliche Rechte für Lesen, Bearbeiten und Freigeben. Laut Handbuch kann eine Rolle jedoch sowohl bearbeiten als auch freigeben. Ein technisch immer erzwungenes Vier-Augen-Prinzip ist dadurch nicht belegt. Handbuch, Kapitel 2.1–2.3, S. 8–9. [2]

Im Lehrfall gibt die Revision keine operative Maßnahme frei. Ihre unabhängige Prüfaufgabe bleibt davon getrennt. Der MaRisk-Bezug hierfür ist AT 4.4.3; im Produkt beschreibt das Handbuch zugleich eine eigene Aufgabe der Rolle „Revision“ beim Ausstellen von Prüfberichten. [1] [2]

08 / Den Stand erkennbar halten

Erledigt, wirksam und berichtet sind verschiedene Zustände

Am 12. Oktober sind im Lehrfall beide Aufgaben erledigt: Fassung B wurde eingeführt und bekannt gemacht. Die geplante Prüfung eines tatsächlich bearbeiteten Änderungsvorgangs steht noch aus. Für den Leser muss erkennbar bleiben, ob eine Statusanzeige den Aufgabenfortschritt, eine fachliche Bewertung oder einen historischen Berichtsstand meint.

Die Statuslogik des Produkts ist enger: Nach Handbuch gilt eine Lücke als behoben, wenn alle zugehörigen Aufgaben erledigt sind. Daraus folgt keine automatisch nachgewiesene Wirksamkeit. Die zusätzliche Wirksamkeitsprüfung im Musterfall ist ein organisatorischer Kontrollschritt; eine separate technische Sperre hierfür ist nicht belegt. Handbuch, Kapitel 9.3, S. 39. [2]

Eine neue Quelle löst eine neue Frage aus

Ändert sich eine interne Richtlinie, muss der Bearbeiter entscheiden, welche Anforderungen und Bewertungen erneut zu prüfen sind. Im Fall ist das der Wechsel von A zu B. Die frühere Beurteilung wird dabei nicht stillschweigend zur Beurteilung der neuen Fassung umetikettiert.

Für eine neue externe Regelwerksfassung beschreibt das Handbuch eine Kennzeichnung des Änderungsbedarfs. Eine entsprechende automatische Neubewertung allein durch den Wechsel einer internen Richtlinie ist nicht belegt. Der Pilot testet beide Ereignisse deshalb getrennt. Für den externen Wechsel verwendet N06 ausdrücklich fiktive Testfassungen; es wird keine weitere MaRisk-Novelle behauptet. Handbuch, Kapitel 7 und 10. [2]

Ein Export ist keine Ausstellung. Erst beim Ausstellen eines Prüfberichts („Issue report“) hält T-NEX Compliance die dokumentierten Zahlen fest. Ein späterer Export ist die Ausgabe eines Berichts, keine neue fachliche Bestätigung. Aus dieser Funktion allein lassen sich weder eine qualifizierte elektronische Signatur noch eine bestimmte unveränderliche Archivierung ableiten. Handbuch, Kapitel 10.4–10.5, S. 43–44. [2]

09 / Am eigenen Ablauf prüfen

Was ein begrenzter Pilot nachweisen sollte

Ein sinnvoller Pilot beginnt mit einem überschaubaren, vollständig bekannten Dokumentbestand. Das Team kennt die erwarteten Fundstellen und baut gezielt Fehler ein. So lässt sich prüfen, ob Quellen und Entscheidungen nachvollziehbar bleiben und wie mit einer falschen Zuordnung umgegangen wird.

Vor dem Lauf werden Produkt- und Modellversion, Dokumentumfang, Sprache, Rollenrechte und Konfiguration festgehalten. Derselbe vorbereitete Fall wird einmal mit vollständiger Grundlage und anschließend mit den definierten Abweichungen bearbeitet. Erwartung und Beobachtung stehen in getrennten Feldern.

Ausführungsstand: Die neun Testfälle sind vorbereitet, aber nicht in T-NEX Compliance ausgeführt. In der Arbeitsmappe stehen die Ist-Ergebnisse daher leer und der Status lautet „Nicht durchgeführt“. Die ausgefüllten fachlichen Beispiele sind kein Abnahmeprotokoll eines Produktlaufs.

Für den eigenen Pilot kann das Team vorab festlegen, welche Fehler eine Freigabe verhindern und welche Korrekturen akzeptabel sind. Eine unauffindbare Quelle oder eine unbegründete Freigabe sollte dabei gesondert behandelt werden; ein Durchschnittswert über alle Tests würde solche Fehler verdecken.

Wer den Aufwand bewerten möchte, misst die gesamte Bearbeitung: Vorbereitung, KI-Lauf, fachliche Korrekturen, Freigaben und Nacharbeit. Eine schnellere Textausgabe allein belegt noch keinen wirtschaftlichen Vorteil. Für die breitere Kalkulation hilft der Beitrag zum Business Case für GRC-Software; für den Wechsel aus bestehenden Listen die Einführung aus Excel-Beständen.

10 / Dokumentierte Produktfunktionen

Wie T-NEX Compliance den Ablauf unterstützt

T-NEX Compliance, früher auch als AI Compliance Hub bezeichnet, bildet die Arbeit mit Regelwerken, Klauseln, Anforderungen, Bewertungen, Lücken, Maßnahmen und Aufgaben ab. Die folgende Zuordnung stützt sich auf das Fachhandbuch vom 30. August 2026, Anwendungsversion 15.23.0. Sie beschreibt dokumentierte Funktionen, keine Abnahme der konkreten Installation. [2]

Für die KI-gestützte Anforderungsableitung, Bewertung, Maßnahmenplanung und Berichtszusammenfassung ist ein entsprechend eingerichteter KI-Zugang erforderlich. Im Pilot sind deshalb auch Datenwege, Zugriffsrechte und die freigegebenen Inhalte der tatsächlichen Installation zu klären. Aussagen zu Datenflüssen anderer T-NEX-Produkte lassen sich darauf nicht ohne Prüfung übertragen.

Die ausführliche Produktseite zu T-NEX Compliance erläutert die einzelnen Arbeitsbereiche. Ergänzende Produktnachweise und Dokumentationsstände helfen bei der Einordnung. Für einen breiteren Auswahlprozess stehen die GRC-Auswahlkriterien zur Verfügung.

11 / Die nächsten Entscheidungen

Was vor dem Einsatz noch geklärt sein sollte

Was tun, wenn interne Regelungen fehlen?

Eine fehlende interne Anweisung ist zunächst ein Befund über die vorgelegte Grundlage. Im nächsten Schritt wird geklärt, ob die Regelung an anderer Stelle existiert, noch nicht dokumentiert wurde oder tatsächlich fehlt. Die KI sollte diese Lücke nicht mit einer erfundenen Gegenanforderung schließen. Eine neu geschriebene Anweisung braucht anschließend ihre eigene Prüfung und Freigabe.

Reicht ein Link zum Nachweis?

Der Link muss auf das richtige Dokument und die passende Fassung führen und für die berechtigten Prüfer erreichbar sein. Das Team sollte auch nach einer Änderung nachvollziehen können, welche Grundlage damals verwendet wurde. Im Pilot wird deshalb der Inhalt geprüft, den der Link tatsächlich öffnet; ein grünes Linksymbol genügt nicht.

Gehört das DORA-Informationsregister in denselben Ablauf?

Das Register hat eine eigene Datenstruktur und einen anderen Bearbeitungszweck. Eine Compliance-Anforderung kann auf einen entsprechenden Prozess verweisen. Damit ist aber noch kein Register erstellt oder eingereicht. Der gesonderte Beitrag zum DORA-Informationsregister behandelt diese Aufgabe.

Ist KI-gestützte Compliance bereits KI-Governance?

Hier unterstützt KI die Bearbeitung von Regelwerken. KI-Governance befasst sich dagegen mit dem Einsatz und der Steuerung der KI selbst. Für den beschriebenen Pilot sind daher zusätzlich Verantwortlichkeit, freigegebene Nutzung, Datenverarbeitung und Kontrollverfahren für den KI-Einsatz zu klären.