KI im Auditing: Wo sie hilft und wo sie Risiken schafft

Künstliche Intelligenz wird zunehmend Teil der Prüfungsarbeit, aber nicht immer auf die dramatische Weise, die Schlagzeilen vermuten lassen. In vielen Firmen taucht KI zunächst in der Recherche, der Dokumentenverarbeitung, der Datenanalyse, der Erstellung von Entwürfen oder der administrativen Unterstützung auf. Mit der Zeit kann dieselbe Technologie stärker in Planung, Risikobewertung und Prüfungshandlungen eingebunden werden.

Die sinnvolle Frage für Prüfungsteams ist nicht, ob KI ins Auditing gehört. Es geht darum, wo KI die Arbeit tatsächlich verbessert und wo sie Risiken schafft, die stärkere Kontrollen erfordern.

Wo KI Prüfungsteams helfen kann

1. Bewältigung großer Informationsmengen

Prüfungen umfassen Finanzunterlagen, Verträge, Buchungssätze, Belege, Richtlinien und andere Informationen, die manuell in großem Umfang schwer zu prüfen sein können.

Automatisierte Werkzeuge können Prüfern helfen, große Datensätze zu organisieren, Muster zu erkennen, Informationen zu extrahieren und ungewöhnliche Posten für weitere Untersuchungen zu markieren. Das International Auditing and Assurance Standards Board, oder IAASB, erkennt künstliche Intelligenz, Datenanalyse und andere automatisierte Werkzeuge und Techniken als Technologien an, die in der Prüfungsarbeit eingesetzt werden können.

Dies kann dem Prüfer helfen, seine Aufmerksamkeit zu fokussieren. Es bedeutet nicht, dass jeder vom System markierte Posten ein Fehler ist oder dass nicht markierte Posten automatisch unbedenklich sind.

2. Unterstützung bei Planung und Risikoidentifikation

KI kann auch bei frühen Phasen der Prüfungsarbeit unterstützen. Ein Werkzeug könnte helfen, Dokumentation aus dem Vorjahr zusammenzufassen, Finanzinformationen zu vergleichen, Risikofaktoren zu organisieren oder Transaktionen zu identifizieren, die eine genauere Betrachtung verdienen.

Das Public Company Accounting Oversight Board, oder PCAOB, berichtete 2024, dass die von ihm kontaktierten Prüfungsgesellschaften generative KI hauptsächlich für administrative und Recherchetätigkeiten einsetzten, während viele auch ihr Potenzial bei der Planung und Durchführung von Prüfungen erkundeten.

Richtig eingesetzt kann KI einem Prüfungsteam helfen, Fragen schneller aufzuwerfen. Der Prüfer muss weiterhin entscheiden, welche Risiken relevant sind und welche Handlungen angemessen sind.

3. Reduzierung repetitiver Arbeit

Nicht jede wertvolle KI-Nutzung muss ein Prüfungsurteil treffen.

Teams können genehmigte Werkzeuge verwenden, um nicht-sensibles Material zusammenzufassen, interne Erläuterungen zu entwerfen, Dokumente zu klassifizieren, erste Notizen vorzubereiten oder in den Leitlinien der Firma zu suchen. Das Entfernen einiger repetitiver Arbeiten kann Fachleuten mehr Zeit für Bereiche verschaffen, die Urteilsvermögen, Mandantengespräche und Untersuchung erfordern.

Dies ist oft ein sinnvoller Ausgangspunkt, weil ein Mensch das Ergebnis prüfen kann, bevor es die Prüfung beeinflusst.

Wo KI Risiken schafft

1. Übermäßiges Vertrauen in die Technologie

Eines der deutlichsten Risiken besteht darin, ein technologiegeneriertes Ergebnis für korrekt zu halten, weil das System ausgereift erscheint.

Das IAASB hat gezielt Leitlinien zum Risiko übermäßigen Vertrauens in die Technologie veröffentlicht. Prüfer benötigen weiterhin professionelles Urteilsvermögen und professionelle Skepsis bei der Bewertung von Informationen, die durch automatisierte Werkzeuge erzeugt werden.

Dies wird besonders wichtig bei generativer KI, die selbstsichere Formulierungen produzieren kann, selbst wenn die zugrunde liegende Antwort unvollständig oder falsch ist.

Das International Ethics Standards Board for Accountants, oder IESBA, hat ebenfalls den Automatisierungsbias hervorgehoben, die Tendenz, technologiegenerierte Ausgaben zu bevorzugen, selbst wenn andere Informationen sie infrage stellen. Seine Technologie-Leitlinien betonen das Verständnis von Einschränkungen, Annahmen, Datenqualität und dem angemessenen Maß an Vertrauen in Technologie-Ausgaben.

2. Schwache oder unzuverlässige Prüfungsnachweise

KI-Ausgaben sind nicht automatisch Prüfungsnachweise.

Wenn ein Werkzeug eine Abweichung identifiziert, eine Analyse erstellt oder Informationen zusammenfasst, muss der Prüfer weiterhin bewerten, ob die zugrunde liegenden Informationen relevant und zuverlässig sind und ob die Handlung ihr Prüfungsziel erreicht.

Für Prüfungen von US-Publikumsgesellschaften sind die PCAOB-Änderungen zur technologiegestützten Analyse für Geschäftsjahre wirksam, die am oder nach dem 15. Dezember 2025 beginnen. Die Änderungen sollen das Risiko verringern, dass Prüfer technologiegestützte Handlungen anwenden, ohne ausreichende geeignete Prüfungsnachweise zu erlangen.

Ein präzise wirkendes KI-Ergebnis kann dennoch auf schwachen Quelldaten oder einer ungeeigneten Handlung beruhen.

3. Mandantenvertraulichkeit und Datensicherheit

Prüfungsteams verarbeiten regelmäßig vertrauliche Finanz-, Betriebs-, Mitarbeiter- und Kundeninformationen. Das Hochladen dieser Informationen in ein KI-Werkzeug kann Datenschutz- und Sicherheitsbedenken schaffen, wenn das Produkt, das Konto oder der Arbeitsablauf nicht genehmigt wurde.

Die Erhebung des PCAOB zu generativer KI stellte fest, dass Firmen die Notwendigkeit einer starken Aufsicht erkannten, um Risiken wie Datenschutz und Datensicherheit zu begegnen.

Bevor KI mit Auftragsinformationen eingesetzt wird, sollten Teams verstehen, welche Daten das Werkzeug erhält, ob sie gespeichert werden, wer darauf zugreifen kann, ob sie zur Modellverbesserung verwendet werden und welche Dritten sie möglicherweise verarbeiten.

Eine bequeme KI-Funktion sollte nicht die üblichen Vertraulichkeits- und Lieferantenprüfungsanforderungen der Firma umgehen.

4. Undurchsichtige Systeme und schwierige Erklärungen

Einige KI-Werkzeuge können Ausgaben produzieren, ohne dass es für einen Prüfer leicht ist zu verstehen, wie das Ergebnis zustande kam.

Das schafft ein Problem, wenn das Prüfungsteam die Ausgabe hinterfragen, ihre Verwendung dokumentieren oder erklären muss, warum eine Schlussfolgerung angemessen war.

Die aktuelle Technologiearbeit des IAASB berücksichtigt gezielt komplexe und undurchsichtige Technologien wie KI-gestützte Werkzeuge im Rahmen des Qualitätsmanagements von Prüfungen. Seine Arbeit untersucht, wie neue Technologien mit Qualitätsmanagementstandards und Auftragsverantwortlichkeiten zusammenwirken.

Prüfungsgesellschaften sollten daher über die Frage hinausdenken, ob ein Werkzeug während einer Vorführung funktioniert. Sie müssen verstehen, wie seine Nutzung in das Qualitätsmanagementsystem der Firma passt.

Ein praktischer Weg, KI in eine Prüfung einzuführen

Beginnen Sie mit einem definierten Anwendungsfall, anstatt einem Team eine allgemeine Erlaubnis zur KI-Nutzung zu erteilen.

Bestimmen Sie für jede vorgeschlagene Nutzung die Aufgabe, die Informationen, die das Werkzeug erhält, die erwartete Ausgabe, wer sie überprüft, was schiefgehen könnte und welche Nachweise aufbewahrt werden müssen. Entscheiden Sie, ob die Ausgabe administrative Unterstützung ist oder ob sie eine Prüfungshandlung oder Schlussfolgerung beeinflusst.

Risikoreichere Nutzungen sollten mehr Tests, Dokumentation, Aufsicht und technische Prüfung erhalten.

Prüfungsteams sollten auch wissen, wann KI nicht eingesetzt werden sollte. Wenn das Werkzeug die betroffenen Daten nicht schützen kann, seine Ausgabe nicht angemessen verifiziert werden kann oder das Team seine Einschränkungen nicht gut genug versteht, um sich darauf zu verlassen, kann eine manuelle oder etabliertere Vorgehensweise angemessener sein.

KI kann Prüfungsarbeit schneller und analytischer machen, aber Effizienz ist nicht dasselbe wie Prüfungsqualität. Die stärksten Anwendungsfälle sind jene, in denen Technologie Prüfern hilft, Informationen zu verarbeiten oder die Aufmerksamkeit zu fokussieren, während professionelle Skepsis, Nachweisbewertung, Vertraulichkeit und das endgültige Urteil beim Prüfungsteam verbleiben.

Das Vertraulichkeitsrisiko in der Prüfungsarbeit hat im Kern ein Zeitproblem. Sobald ein Prüfer die Buchungssätze eines Mandanten, Vertragsbedingungen oder Mitarbeiterunterlagen in ein KI-Werkzeug einfügt und den Prompt absendet, hat diese Information die Kontrolle der Firma bereits verlassen, und keine Lieferantenrichtlinie oder nachträgliche Überprüfung kann sie zurückholen. Das ist das Prinzip, auf dem Sanitized AI aufgebaut ist: Die Kontrolle muss handeln, bevor der Prompt abgesendet wird, indem sie vertrauliche Auftragsinformationen erfasst und schwärzt, damit eine bequeme KI-Funktion niemals stillschweigend die Vertraulichkeits- und Lieferantenprüfungsanforderungen der Firma umgeht.

Nehmen Sie in diesem Quartal einen genehmigten KI-Anwendungsfall, der Auftragsinformationen berührt, und kartieren Sie genau, welche Daten das Werkzeug erhält, bevor der Prompt gesendet wird, und entscheiden Sie dann, was es von vornherein niemals erreichen sollte. Wenn Sie sehen möchten, wie diese Kontrolle vor dem Absenden gegen reale Prüfungsabläufe funktioniert, fordern Sie eine Demo an.