Wie Auditoren Risiken und Kontrollen bewerten

Künstliche Intelligenz (KI) entwickelt sich zunehmend von einem Produktivitätswerkzeug zu einer End-to-End-Lösung für zentrale Geschäftsprozesse. Der Trend geht zur sogenannten agentischen KI: Systeme mit grösserer Autonomie, die Aufgaben selbstständig planen, ausführen und optimieren können. KI-Agenten, meist auf generativer KI basierend, lassen sich als digitale Mitarbeitende betrachten. Sie verarbeiten Anweisungen in natürlicher Sprache, interagieren mit IT-Systemen und liefern Ergebnisse. In Finanzprozessen können sie Daten abrufen und analysieren, Entscheidungen vorbereiten und Berichte erstellen.

Entsprechend gewinnt KI bei der Erstellung von Jahresabschlüssen an Bedeutung, etwa in Vertrieb, Beschaffung, Bestandsmanagement, Konsolidierung und Hauptbuchhaltung. Sie unterstützt beispielsweise die Inventarisierung mit Auswirkungen auf die Finanzberichterstattung oder analysiert Forderungen, identifiziert überfällige Salden und erstellt Kommentare für die weitere Prüfung. Tätigkeiten, die bislang manuell ausgeführt wurden, werden zunehmend von digitalen Assistenten unterstützt.

Damit rückt KI auch verstärkt in den Fokus der Wirtschaftsprüfung. Die zentrale Frage lautet, ob ihr Einsatz die Zuverlässigkeit der Finanzberichterstattung beeinträchtigen könnte. Anders als klassische Automatisierung basiert generative KI auf Wahrscheinlichkeiten, wird mit grossen, häufig nicht vollständig validierten Datensätzen trainiert und arbeitet mit komplexen neuronalen Netzwerken, deren Schlussfolgerungen oft nur begrenzt nachvollziehbar sind. Werden mithilfe von KI-Agenten Finanzdaten verarbeitet, finanzielle Entscheidungen unterstützt oder Berichte erstellt, müssen Unternehmen nachweisen können, dass daraus keine wesentlichen Falschangaben entstehen. Entscheidend sind belastbare Nachweise, nicht bloss Vertrauen in die Technologie.

Die Prüfung beginnt mit der Feststellung, ob KI in finanzberichterstattungsrelevanten Prozessen eingesetzt wird. Grundlage dafür sind beispielsweise ein KI-Anwendungsinventar oder ein KI-Agentenregister. Anschliessend beurteilen die Wirtschaftsprüfer, welche Aufgaben die Agenten übernehmen oder unterstützen, ob sie den Jahresabschluss beeinflussen und welche Auswirkungen mögliche Fehler auf Bilanz oder Erfolgsrechnung haben könnten. Darauf aufbauend erfolgt die Risikobeurteilung: Welche KI-bezogenen Risiken könnten die Zuverlässigkeit der Ergebnisse beeinträchtigen? Welche Folgen hätte dies für die Finanzberichterstattung? Und welche Massnahmen hat das Unternehmen umgesetzt, um diese Risiken zu minimieren?

Trotz technologischen Fortschritten bleibt ein Grundprinzip unverändert: Die Verantwortung liegt beim Menschen. Mitarbeitende müssen die Verarbeitung und die Ergebnisse der KI überprüfen, hinterfragen und freigeben. Dazu gehören der Abgleich mit Quellsystemen, die Validierung wesentlicher Arbeitsschritte sowie die Dokumentation der Nachweise. Der Prüfpfad sollte denselben Anforderungen genügen wie bei einer von Menschen ausgeführten Tätigkeit. Dieses Prinzip des «Human in the Loop» bleibt eine zentrale Kontrollmassnahme.

Zusätzlich beurteilen Auditoren andere Aspekte der KI-Kontrollumgebung eines Unternehmens wie:

Eine allgemeingültige Checkliste gibt es jedoch nicht. Die Anforderungen hängen vom jeweiligen Anwendungsfall, den zugrunde liegenden Prozessen, den Risiken für die Finanzberichterstattung und dem Kontrollumfeld des Unternehmens ab. Aufgabe der Wirtschaftsprüfer ist es, ausreichende und geeignete Nachweise zu erheben und ihre Prüfung risikoorientiert auszurichten.

Fest steht: Mit der zunehmenden Integration von KI in Kerngeschäftsprozesse steigen die Anforderungen an Governance, Kontrollen und Nachvollziehbarkeit. Für Unternehmen und Prüfer stellt sich damit weniger die Frage, ob KI geprüft werden muss, sondern wie ihr Einsatz verlässlich und nachvollziehbar ausgestaltet werden kann.