GRC-Software für Audit & Prüfungsmanagement:
61 Anbieter mit KI-Einordnung.

Welche Prüfungsschritte deckt Audit-Management-Software ab?

Audit-Management-Software (in Banken auch Revisionssoftware) führt durch den Prüfungszyklus: risikoorientierte Planung, Prüfprogramm, Arbeitspapiere und Nachweise, Feststellungen, Bericht und Nachverfolgung der Maßnahmen (Follow-up). Hierher zählen auch Werkzeuge für Abschlussprüfung, SOX-Kontrolltests nach dem US-amerikanischen Sarbanes-Oxley Act sowie ISO- und Qualitätsaudits. Buchungs- und Abschlussdaten analysieren zwölf Anbieter mit KI, vor allem für die Abschlussprüfung und bei mehreren auch für die interne Revision. Bei 15 der 61 Anbieter ist ein Sitz in den USA belegt, anteilig der Höchstwert im Register.

• Ohne konkreten KI-Beleg im geprüften Quellenumfang: 3 Einträge
• Nur angekündigte oder in Entwicklung befindliche Funktionen: 1 Eintrag
• Belegte KI-Anwendungsfälle nach Thema, ein Eintrag kann mehrfach zählen: Auswertung von Prüfungsnachweisen (31) · Entwürfe von Prüfberichten und Feststellungen (20) · Prüfungsplanung und Risiko-Kontroll-Matrizen (14) · Vorbereitung und Durchführung von Kontrolltests (13) · Fragen in natürlicher Sprache an Prüfungsunterlagen (12)
• Belegter Sitz in Europa: 30 von 61 Anbietern, Sitz nicht separat geprüft: 6
• Vollständige Einträge auf 2 alphabetischen Teilseiten

Prüffragen für die Vorführung, abgeleitet aus den fünf Kriterien des Vergleichs:

• Bleibt die Verbindung zwischen Prüfungsfeststellung, Nachweis und Kontrolle erhalten, wenn mehrere Abteilungen beteiligt sind?
• Wie wird aus einer Feststellung eine Maßnahme, und wie kommt ihr Erledigungsnachweis zurück in die Prüfung?
• Sichern die Rechte die unabhängige Prüfung ab, wenn die KI Berichte entwirft oder Nachweise zuordnet?

In welchem Turnus muss die Interne Revision einer Bank prüfen?

Grundsätzlich innerhalb von drei Jahren, für sämtliche Aktivitäten einschließlich ausgelagerter (MaRisk AT 4.4.3 Tz. 6, Rundschreiben 06/2026). Bei besonderen Risiken gilt ein kürzerer Turnus. Auch unter Risikogesichtspunkten nicht wesentliche Aktivitäten gehören in die Planung und sind innerhalb von fünf Jahren zu prüfen. Diese Obergrenze kannte die frühere Fassung nicht. Für zusätzliche Anforderungen gewährt die BaFin eine Übergangsfrist bis zum 1. Januar 2027. Den risikoorientierten Prüfungsplan schreibt die Revision jährlich fort, die Geschäftsleitung genehmigt ihn.

Was gilt nach DORA für die Revision des IKT-Risikomanagements?

Der IKT-Risikomanagementrahmen ist regelmäßig und im Einklang mit dem Revisionsplan einer internen Revision zu unterziehen (Art. 6 Abs. 6 DORA). Kleinstunternehmen sind davon ausgenommen. Die Revisoren brauchen ausreichendes Wissen, ausreichende Fähigkeiten und Fachkenntnisse im Bereich IKT-Risiken sowie eine angemessene Unabhängigkeit. Häufigkeit und Schwerpunkt der IKT-Revisionen richten sich nach dem IKT-Risiko. Aus den Feststellungen folgt ein förmliches Follow-up-Verfahren mit Regeln, nach denen kritische Erkenntnisse der IKT-Revision rechtzeitig überprüft und ausgewertet werden (Abs. 7).

Was gehört in den Quartalsbericht der Internen Revision?

Die Prüfungen des Berichtsquartals, die festgestellten wesentlichen Mängel mit den Maßnahmen zu ihrer Beseitigung und deren Status, alle noch offenen wesentlichen Mängel aus früheren Quartalen und eine Beurteilung, ob der Prüfungsplan (voraussichtlich) eingehalten wird (MaRisk AT 4.4.3 Tz. 9). Über besonders schwerwiegende Mängel berichtet die Revision unverzüglich. Werden wesentliche Mängel nicht in angemessener Zeit beseitigt, informiert die Leitung der Internen Revision die zuständigen Geschäftsleiter schriftlich und, wenn sie bestehen bleiben, spätestens im nächsten Quartalsbericht die gesamte Geschäftsleitung (Tz. 12).

Welche Anbieter von GRC-Software für Audit & Prüfungsmanagement haben ihren Sitz in Deutschland, Österreich oder der Schweiz?

Von den 61 Anbietern haben 16 einen belegten Sitz in Deutschland, Österreich oder der Schweiz: in Deutschland Audavis, AuditHeroes, CGS mbH, cluetec, Cortea, ibo Software, IBS Schreiber, LOKIQ, nextAudit, proISMS, PwC Deutschland, QualityReady und zapliance; in Österreich Audit Compass und AuditJet; in der Schweiz Digital Airways. Bei sechs weiteren Anbietern ist der Sitz nicht separat geprüft; sie fehlen in dieser Aufzählung. Gemeint ist der Sitz der im Eintrag bezeichneten Anbietereinheit, belegt durch die Standortquelle des Eintrags (Impressum, Rechtstexte, offizielle Kontakt- und Unternehmensseiten, vereinzelt amtliche Register); über Eigentümer, Hosting und Datenhaltung sagt er nichts.

Regulatorischer Rahmen.

• MaRisk AT 4.4.3, Rundschreiben 06/2026 (BA): risikoorientierter Prüfungsplan, Quartalsbericht, nachvollziehbare Arbeitsunterlagen mit sechs Jahren Aufbewahrung und Überwachung der Mängelbeseitigung (Tz. 6 bis 12) (Fundstelle: BaFin)
• Art. 6 Abs. 6 und 7 DORA (Verordnung (EU) 2022/2554): regelmäßige interne Revision des IKT-Risikomanagementrahmens durch fachkundige, unabhängige Revisoren und förmliches Follow-up kritischer Feststellungen (Fundstelle: EUR-Lex)
• § 25a Abs. 1 Nr. 3 KWG: interne Kontrollverfahren mit einer unabhängigen Internen Revision, die nicht mit anderen Geschäftsbereichen oder Kontrollfunktionen kombiniert werden darf (Fundstelle: gesetze-im-internet.de)

Zum Weiterlesen auf t-nex.de: 9. MaRisk-Novelle, DORA für Finanzunternehmen und Auswahlkriterien für GRC-Software.