GRC-Software für Risikoanalyse & IKS:
27 Anbieter mit KI-Einordnung.

Was deckt Software für Risikoanalyse und internes Kontrollsystem (IKS) ab?

Software für Risikoanalyse und internes Kontrollsystem (IKS) umfasst Werkzeuge für Risikoinventur und Risikobewertung, oft unter dem Etikett Enterprise Risk Management (ERM), für das interne Kontrollsystem mit Kontrollen und Kontrolltests sowie für Berechtigungsprüfungen mit Funktionstrennung (Segregation of Duties, SoD). Mehrere Einträge sind auf SAP-Berechtigungen und Funktionstrennung spezialisiert. Anteilig hat keine andere Kategorie des Registers so viele Anbieter mit belegtem Sitz in Deutschland, Österreich oder der Schweiz. Drei davon sitzen in der Schweiz, zwei in Österreich.

• Ohne konkreten KI-Beleg im geprüften Quellenumfang: 6 Einträge
• Belegte KI-Anwendungsfälle nach Thema, ein Eintrag kann mehrfach zählen: Risikoanalysen (11) · Vorschläge zur Risikobehandlung (8) · Prüf- und Kontrollaufgaben (8) · Dokumententwürfe (8) · Dialogbasierte Abfragen von GRC-Inhalten (6)
• Belegter Sitz in Europa: 20 von 27 Anbietern, Sitz nicht separat geprüft: 4

Prüffragen für die Vorführung, abgeleitet aus den fünf Kriterien des Vergleichs:

• Lassen sich Risikobewertung, Kontrolle und Prüfnachweis bis zur ursprünglichen Information zurückverfolgen?
• Wer darf einen KI-Vorschlag zur Risikobehandlung übernehmen, ändern oder ablehnen, und bleibt die Entscheidung nachvollziehbar?

Was verlangt die MaRisk von der Risikoinventur?

Nach AT 2.2 Tz. 1 MaRisk verschafft sich die Geschäftsleitung regelmäßig und anlassbezogen im Rahmen einer Risikoinventur einen Überblick über die Risiken des Instituts, das Gesamtrisikoprofil. Grundsätzlich wesentlich sind mindestens Adressenausfall-, Marktpreis-, Liquiditäts- und operationelle Risiken; IKT-Risiken zählen laut Erläuterung zu den operationellen Risiken und sind ausdrücklich einzubeziehen. Als Wesentlichkeitsschwelle in der ökonomischen Perspektive gelten 5 % des Risikodeckungspotenzials als angemessen.

Was umfasst das interne Kontrollsystem einer Bank?

Insbesondere Regelungen zur Aufbau- und Ablauforganisation, Prozesse zur Identifizierung, Beurteilung, Steuerung, Überwachung und Kommunikation der Risiken sowie eine unabhängige Risikocontrolling- und eine unabhängige Compliance-Funktion (§ 25a Abs. 1 KWG, MaRisk AT 4.3). AT 4.3.1 Tz. 1 verlangt, dass unvereinbare Tätigkeiten von verschiedenen Mitarbeitern ausgeführt werden. Im Kredit-, Handels- und Immobiliengeschäft ist die Funktionstrennung bei IKT-gestützter Bearbeitung durch entsprechende Verfahren und Schutzmaßnahmen sicherzustellen (BTO Tz. 7). Dort setzen Werkzeuge für Berechtigungsprüfungen an.

Welche MaRisk-Regeln gelten, wenn KI Risiken bewertet?

Maßgeblich ist AT 4.3.4 MaRisk zur Verwendung von Modellen; nach Tz. 1 gilt das Modul ausdrücklich auch für künstliche Intelligenz, laut Erläuterung auch für Modelle, die ein Dritter entwickelt hat. Das Institut bewertet Angemessenheit und Eignung vor dem Einsatz (Tz. 2), regelt die Verwendung der Ergebnisse einschließlich Überschreibungen (Tz. 4) und validiert regelmäßig (Tz. 5); Tz. 6 verlangt hinreichende Erklärbarkeit. Ob ein KI-Vorschlag im GRC-Werkzeug als Modell gilt, prüft das Institut im Einzelfall.

Welche Anbieter von GRC-Software für Risikoanalyse & IKS haben ihren Sitz in Deutschland, Österreich oder der Schweiz?

Von den 27 Anbietern haben 15 einen belegten Sitz in Deutschland, Österreich oder der Schweiz: in Deutschland antares RiMIS, Auxilius.ai, CAQ AG, Ciqualia, ConSense, DextraData, Inspirient, parcIT, Soterion und Wehrspohn; in Österreich Fecton und risk on mind; in der Schweiz Abel Systems, OPTURE und Xiting. Bei vier weiteren Anbietern ist der Sitz nicht separat geprüft; sie fehlen in dieser Aufzählung. Gemeint ist der Sitz der im Eintrag bezeichneten Anbietereinheit, belegt durch die Standortquelle des Eintrags (Impressum, Rechtstexte, offizielle Kontakt- und Unternehmensseiten, vereinzelt amtliche Register); über Eigentümer, Hosting und Datenhaltung sagt er nichts.

Regulatorischer Rahmen.

• § 25a Abs. 1 KWG: interne Kontrollverfahren mit internem Kontrollsystem und unabhängiger Interner Revision (Fundstelle: gesetze-im-internet.de)
• MaRisk AT 2.2, AT 4.3 bis 4.3.2 und BTO Tz. 7, Rundschreiben 06/2026 (BA): Risikoinventur, Aufbau- und Ablauforganisation, Risikosteuerungs- und -controllingprozesse sowie Funktionstrennung bei IKT-gestützter Bearbeitung (Fundstelle: BaFin)
• MaRisk AT 4.3.4, Rundschreiben 06/2026 (BA): Anforderungen an Modelle einschließlich künstlicher Intelligenz, darunter Validierung und Erklärbarkeit (Fundstelle: BaFin)
• Art. 9 Abs. 4 Buchst. c DORA (Verordnung (EU) 2022/2554): Zugang zu Informations- und IKT-Assets nur im erforderlichen Umfang, mit Konzepten, Verfahren und Kontrollen für Zugangs- und Zugriffsrechte (Fundstelle: EUR-Lex)

Zum Weiterlesen auf t-nex.de: MaRisk 2026, 9. MaRisk-Novelle, Excel im GRC ablösen und T-NEX für das Risikocontrolling.