GRC-Software für Compliance-Programme:
27 Anbieter mit KI-Einordnung.

Wie unterstützt Software Compliance-Programme und Hinweisgebersysteme?

Software für Compliance-Programme verwaltet Richtlinien und Verhaltensregeln samt Versionen und Kenntnisnahmen, betreibt Hinweisgebersysteme (Whistleblowing-Systeme) als Meldekanal der internen Meldestelle und führt Compliance-Fälle von der Meldung bis zur Abhilfe. Je nach Anbieter gehören Interessenkonflikte, Geschenke, Geschäftspartnerprüfungen oder Schulungen dazu. Vier Anbieter, die sich vor allem an die Finanzbranche richten, prüfen mit KI Gespräche und schriftliche Kommunikation einschließlich Werbeunterlagen auf mögliche Compliance-Verstöße.

• Ohne konkreten KI-Beleg im geprüften Quellenumfang: 1 Eintrag
• Nur angekündigte oder in Entwicklung befindliche Funktionen: 1 Eintrag
• Belegte KI-Anwendungsfälle nach Thema, ein Eintrag kann mehrfach zählen: Aufbereitung eingehender Meldungen (8) · Antworten auf Compliance- und Richtlinienfragen (7) · Übersetzung von Meldungen und Fallnachrichten (5) · Auswertung von Untersuchungsfällen (5) · Arbeit an Richtlinientexten (2)
• Belegter Sitz in Europa: 14 von 27 Anbietern, Sitz nicht separat geprüft: 7

Prüffragen für die Vorführung, abgeleitet aus den fünf Kriterien des Vergleichs:

• Wie sind Fallbearbeitung, fachliche Entscheidung und unabhängige Prüfung bei Hinweisgeberfällen in den Rechten getrennt?
• Wohin gehen Erkenntnisse aus einem abgeschlossenen Fall: in eine Richtlinie, eine Risikobewertung oder eine Maßnahme?

Muss auch eine kleine Bank eine interne Meldestelle einrichten?

Ja. Für Institute im Sinne des § 1 Abs. 1b KWG gilt die Pflicht unabhängig von der Zahl der Beschäftigten (§ 12 Abs. 3 Nr. 4 HinSchG). Die Meldestelle bestätigt den Eingang spätestens nach sieben Tagen und gibt binnen drei Monaten danach eine Rückmeldung (§ 17 Abs. 1 Nr. 1 und Abs. 2). Spezielle Hinweisverfahren nach § 25a Abs. 1 KWG und § 6 Abs. 5 GwG gehen vor, soweit sie Vorgaben machen (§ 4 Abs. 1).

Wann dürfen telefonische Hinweise per KI wörtlich protokolliert werden?

Nur mit Einwilligung der hinweisgebenden Person. § 11 Abs. 2 HinSchG unterscheidet nicht danach, ob ein Mensch oder eine Software mitschreibt: Eine dauerhaft abrufbare Tonaufzeichnung oder eine vollständige und genaue Niederschrift (Wortprotokoll) ist nur mit dieser Einwilligung zulässig, sonst fasst die verantwortliche Person den Inhalt zusammen. Die hinweisgebende Person kann das Protokoll prüfen, korrigieren und bestätigen; eine dafür genutzte Tonaufzeichnung wird gelöscht, sobald das Protokoll fertig ist (§ 11 Abs. 4).

Wie oft und an wen berichtet die Compliance-Funktion nach MaRisk?

Mindestens jährlich sowie anlassbezogen an die Geschäftsleitung, so AT 4.4.2 Tz. 6 der MaRisk in der Fassung des Rundschreibens 06/2026. Der Bericht enthält auch Hinweise auf Defizite und Gegenmaßnahmen und geht an die Interne Revision. Das Aufsichtsorgan erhält ihn zur Kenntnis (AT 3.2 Tz. 2). In regelmäßigen Abständen und unter Risikogesichtspunkten identifiziert die Compliance-Funktion die wesentlichen rechtlichen Regelungen und Vorgaben, deren Nichteinhaltung das Vermögen des Instituts gefährden kann (AT 4.4.2 Tz. 2).

Welche Anbieter von GRC-Software für Compliance-Programme haben ihren Sitz in Deutschland, Österreich oder der Schweiz?

Von den 27 Anbietern haben acht einen belegten Sitz in Deutschland, Österreich oder der Schweiz: in Deutschland Compliance Solutions, DHC Business Solutions, EQS Compliance Cockpit, lawcode und otris compliance SUITE; in Österreich fobi solutions; in der Schweiz Apiax (Behavox) und Wecan (SEALSQ). Bei sieben weiteren Anbietern ist der Sitz nicht separat geprüft; sie fehlen in dieser Aufzählung. Gemeint ist der Sitz der im Eintrag bezeichneten Anbietereinheit, belegt durch die Standortquelle des Eintrags (Impressum, Rechtstexte, offizielle Kontakt- und Unternehmensseiten, vereinzelt amtliche Register); über Eigentümer, Hosting und Datenhaltung sagt er nichts.

Regulatorischer Rahmen.

• §§ 4, 11, 12, 16 und 17 HinSchG (Hinweisgeberschutzgesetz): interne Meldestelle für Institute ohne Schwellenwert, Meldekanäle, Dokumentation der Meldungen, Fristen für Eingangsbestätigung und Rückmeldung sowie Vorrang spezieller Hinweisverfahren etwa aus KWG und GwG (Fundstelle: gesetze-im-internet.de)
• Art. 8 und 9 der Richtlinie (EU) 2019/1937 (Hinweisgeberrichtlinie): interne Meldekanäle und Verfahren; die Schwelle von 50 Beschäftigten entfällt im Anwendungsbereich der in Teil I.B und II des Anhangs genannten Rechtsakte, darunter Finanzdienstleistungen und Geldwäscheprävention (Art. 8 Abs. 4) (Fundstelle: EUR-Lex)
• § 25a Abs. 1 KWG: unabhängige Compliance-Funktion im internen Kontrollsystem und ein Prozess, über den Mitarbeitende Verstöße unter Wahrung der Vertraulichkeit ihrer Identität an geeignete Stellen berichten können (Fundstelle: gesetze-im-internet.de)
• MaRisk AT 4.4.2 und AT 3.2, Rundschreiben 06/2026 (BA): Aufgaben, Anbindung und Berichtspflicht der Compliance-Funktion, Weitergabe des Berichts an das Aufsichtsorgan (Fundstelle: BaFin)

Zum Weiterlesen auf t-nex.de: 9. MaRisk-Novelle, Auswahlkriterien für GRC-Software sowie T-NEX für Compliance und Geldwäscheprävention.