KI in der internen Revision: Kontinuierliche Überwachung und Vollprüfung

Von Jane Ha · Aktualisiert am 11. Oktober 2026

KI in der internen Revision ist der Einsatz von maschinellem Lernen, Analytik und Sprachmodellen, um Kontrollen und Transaktionen kontinuierlich und über die gesamte Grundgesamtheit zu testen, statt einmal im Jahr eine kleine Stichprobe zu prüfen, während die Prüfer weiterhin für Abgrenzung, Urteil und Schlussfolgerungen verantwortlich bleiben. Der Wandel lässt sich einfach beschreiben. Die klassische Prüfung fragt: „Von den 60 gezogenen Rechnungen, wie viele haben die Regel verletzt?" Die KI-gestützte Prüfung fragt: „Von allen 400.000 Rechnungen, welche haben die Regel verletzt, und welche wirken auffällig, obwohl sie die Prüfung bestanden haben?"

Dieser Leitfaden richtet sich an Chief Audit Executives, Revisionsleiter, CFOs und Leiter Rechnungswesen (Controller), die wissen möchten, was kontinuierliche Überwachung und Vollprüfung tatsächlich bedeuten, wo KI hilft und wo nicht. Das größere Bild finden Sie in KI im Finanz- und Rechnungswesen. Das Kontrollumfeld, gegen das die Revision prüft, behandelt KI und interne Kontrollen.

Wichtige Fakten

• Die Global Internal Audit Standards des IIA gliedern sich in fünf Bereiche und 15 Prinzipien (The IIA) und sind am 9. Januar 2025 in Kraft getreten (Pressemitteilung des IIA, Januar 2025).
• Das IIA veröffentlichte am 25. September 2025 die dritte Auflage seines Global Technology Audit Guide zu kontinuierlicher Prüfung und Überwachung, der die Ausgabe von 2015 ersetzt (The IIA).
• Im North American Pulse of Internal Audit 2025 gaben 41 % der Teams an, generative KI in der internen Revision zu nutzen, aber nur 6 % setzten sie häufig oder umfassend in der Prüfungsdurchführung ein und 13 % in der Planung (Zusammenfassung von Optro zum Bericht der Internal Audit Foundation).
• In derselben Umfrage war Datenanalyse die Fähigkeit, die Chief Audit Executives am häufigsten verbessern wollten, nämlich 78 % der Befragten (Zusammenfassung von Optro).
• Stichprobenprüfung ist formal definiert als die Anwendung von Prüfungshandlungen auf weniger als 100 % der Elemente einer Grundgesamtheit, und das Stichprobenrisiko ist das Risiko, dass eine Schlussfolgerung aus der Stichprobe von dem Ergebnis abweicht, das die gesamte Grundgesamtheit liefern würde (FRC, ISA (UK and Ireland) 530).
• Das Artificial Intelligence Auditing Framework des IIA, aktualisiert am 13. September 2024, deckt KI-Governance, Steuerung und die interne Revision selbst ab, einschließlich generativer KI (The IIA).

Was kontinuierliche Überwachung und Vollprüfung bedeuten

Die beiden Konzepte hängen zusammen, sind aber nicht identisch.

Vollprüfung bedeutet, einen Test auf jeden Datensatz eines Datenbestands anzuwenden (alle Buchungssätze, alle Zahlungen, alle Spesenabrechnungen) statt auf eine ausgewählte Stichprobe. Eine Stichprobe liefert eine Schätzung mit einem Konfidenzniveau. Eine Vollprüfung liefert eine Liste aller Ausnahmen. Stichproben sind ein Hilfsmittel für den Fall, dass man nicht alles ansehen kann. Sobald die Daten in einem Data Warehouse liegen und ein Test eine Abfrage ist, kann man es oft doch.

Kontinuierliche Überwachung bedeutet, dass die Tests nach einem Zeitplan laufen (täglich, wöchentlich) statt einmal pro Prüfungszyklus. Streng genommen trennt die Leitlinie des IIA zwei Rollen. Kontinuierliche Prüfung ist das, was die interne Revision tut, um laufende Sicherheit zu geben. Kontinuierliche Überwachung ist das, was das Management tut, um die eigenen Kontrollen zu beobachten. In der Praxis teilen sie sich die Werkzeuge, und gute Programme stimmen beide aufeinander ab, damit die beiden Linien nicht denselben Test doppelt bauen.

Wo passt KI hinein? Regelbasierte Analytik kann bereits ganze Grundgesamtheiten testen: „Markiere jede Zahlung über dem Freigabelimit." KI ergänzt drei Dinge, mit denen Regeln Mühe haben:

1. Mustererkennung ohne geschriebene Regel. Anomaliemodelle bewerten jede Transaktion im Vergleich zu dem, was für diesen Lieferanten, Benutzer oder dieses Konto normal ist. So fällt der ungewöhnliche Vorgang auf, für den niemand eine Regel formuliert hat.
2. Das Lesen unstrukturierter Texte. Sprachmodelle können Verträge, E-Mails, Spesenbeschreibungen und Richtliniendokumente lesen und mit den Angaben im Hauptbuch vergleichen.
3. Priorisierung. Bei einer Vollprüfung erhalten Sie vielleicht 3.000 Ausnahmen. Ein Modell kann sie ranken, sodass die Prüfer mit denen beginnen, die am wahrscheinlichsten echt sind.

Stichprobenprüfung und Vollprüfung im Vergleich

Die Tabelle zeigt, warum der Wandel nicht nur „mehr Prüfung" bedeutet. Die Arbeit des Prüfers verlagert sich vom Ziehen von Elementen zur Entscheidung, welche Ausnahmen wichtig sind und warum. Das Stichprobenrisiko ist, wie es der Text von ISA 530 des FRC definiert, die Wahrscheinlichkeit, dass eine stichprobenbasierte Schlussfolgerung von dem abweicht, was die Prüfung aller Elemente gezeigt hätte. Vollprüfungen beseitigen genau dieses Risiko. Sie bringen andere mit, die weiter unten behandelt werden.

Wo KI hilft, nach Prüfungsbereich

Die folgenden Beispiele sind veranschaulichend und stammen nicht aus einem bestimmten Unternehmen.

Kreditorenbuchhaltung und Einkauf. Ein regelbasierter Test sucht nach doppelten Rechnungsnummern. Ein Modell erkennt zusätzlich fast identische Rechnungen: derselbe Betrag und Lieferant mit einem Zahlendreher oder eine aufgeteilte Bestellung knapp unter einem Freigabelimit. Ein Sprachmodell kann Rechnungsbeschreibungen mit der Bestellung vergleichen. Wie der Prozess selbst automatisiert wird, was wiederum ändert, was die Revision prüfen muss, zeigt KI in der Kreditorenbuchhaltung.

Buchungssätze und Abschluss. Prüfer testen manuelle Buchungssätze seit langem auf Risikomerkmale: zu ungewöhnlichen Uhrzeiten gebucht, runde Beträge, auffällige Kontenpaarungen, Buchungen von Benutzern, die selten buchen. Ein Modell bewertet jede Buchung anhand dieser Muster und der Historie des Erstellers. Beim Monatsabschluss häufen sich die meisten manuellen Korrekturen, daher bietet er sich als Schwerpunkt an.

Spesen und Kartenausgaben. Statt 40 Abrechnungen zu ziehen, testen Sie jede Abrechnung auf Richtlinienverstöße, doppelte Belege, Wochenendausgaben und nicht passende Händler. KI im Spesenmanagement beschreibt die Erkennungsmethoden ausführlicher.

Zugriffe und Funktionstrennung. Vergleichen Sie die Zuordnung von Benutzerrollen in ERP- und Banksystemen und markieren Sie Personen, die sowohl einen Lieferanten anlegen als auch eine Zahlung freigeben können. Das ist ein Abgleichproblem, und es läuft gut nach einem täglichen Zeitplan.

Umsatz und Forderungen. Testen Sie jede Rechnung gegen Vertragsbedingungen und Versandbelege und markieren Sie Gutschriften, die kurz nach Quartalsende ausgestellt wurden. Ein Modell zur Dokumentenprüfung kann Vertragsklauseln lesen und mit der Fakturierungseinrichtung vergleichen.

Betrugsindikatoren. Modelle können Lieferanten, Mitarbeitende oder Transaktionen nach Betrugsrisiko für die Untersuchung ranken. Behandeln Sie das Ergebnis als Hinweis, nicht als Feststellung. Der Begleitleitfaden KI-Betrugserkennung im Finanzwesen behandelt die Methoden und ihre Fehlerquoten.

Revisionsadministration. Sprachmodelle können Arbeitspapiere des Vorjahres zusammenfassen, Prüfschritte aus einer Kontrollbeschreibung entwerfen und Interviewnotizen in einen ersten Entwurf einer Feststellung verwandeln. Die Pulse-Daten der IIA Foundation zeigen, dass dies das frühe Muster ist: Die Nutzung verteilt sich dünn auf Planung, Durchführung und Berichterstattung, und wenige Teams setzen sie in einer einzelnen Phase intensiv ein.

Wie kontinuierliche Überwachung in der Praxis aussieht

Ein funktionierender Aufbau hat einige bewegliche Teile, und keines davon ist exotisch.

• Eine Datenschicht. Auszüge aus ERP, Zahlungssystemen, HR und Zugriffsprotokollen landen nach Zeitplan in einem kontrollierten Speicher. Die Prüfer haben nur Lesezugriff.
• Eine Testbibliothek. Jeder Test hat eine ID, eine zugehörige Kontrolle, eine Beschreibung der Logik, einen Verantwortlichen und eine Schwelle. Manche Tests sind Regeln. Manche sind Modelle.
• Eine Klärungsliste (Exception Queue). Die Ergebnisse gehen an eine zentrale Stelle mit einem Status (neu, in Prüfung, bestätigt, verworfen) und einem Begründungscode für jede Entscheidung.
• Eine Weiterleitungsregel. Ausnahmen mit geringem Risiko gehen zur Erläuterung an den Kontrollverantwortlichen in der ersten Linie. Ausnahmen mit hohem Risiko gehen an die Revision.
• Ein Dashboard für den Prüfungsausschuss. Trends bei Ausnahmen nach Prozess und Einheit, Zeit bis zur Klärung und wiederkehrende Probleme.

An der Weiterleitungsregel entscheidet sich, ob Programme gelingen oder scheitern. Wenn das Management die Überwachung verantwortet und die Revision diese Überwachung prüft, erhalten Sie Abstimmung ohne Doppelarbeit. Wenn die Revision alles selbst betreibt, riskiert sie, Teil des Kontrollumfelds zu werden, das sie unabhängig beurteilen soll.

Wie Sie es umsetzen, Schritt für Schritt

1. Wählen Sie den ersten Prozess nach Risiko und Datenbereitschaft. Nehmen Sie einen mit einer sauberen, zentralen Datenquelle und einer klaren Kontrolle. Zahlungen, Buchungssätze und Spesen sind übliche Einstiege. Datenbereitschaft im Finanzwesen für KI listet auf, was zu prüfen ist.
2. Beginnen Sie mit Regeln und ergänzen Sie Modelle, wo Regeln nicht ausreichen. Bauen Sie Ihre bisherigen stichprobenbasierten Tests zunächst als Vollabfragen nach. Allein das verändert oft, was Sie sehen. Ergänzen Sie Anomaliebewertung dort, wo eine klare Lücke besteht.
3. Definieren Sie vor dem Lauf, was als Ausnahme zählt. Halten Sie Kontrollziel, Testlogik und Schwelle schriftlich fest. Ohne das können Sie dem Prozessverantwortlichen ein Ergebnis nicht erklären.
4. Vergleichen Sie mit der alten Methode. Lassen Sie die Vollprüfung für einen Zeitraum laufen, den Sie bereits per Stichprobe geprüft haben. Vergleichen Sie, was jeder Ansatz gefunden hat.
5. Messen Sie Fehlalarme und justieren Sie nach. Wenn 90 % der Markierungen verworfen werden, hören die Prüfer auf, hinzusehen. Passen Sie die Schwellen gemeinsam mit den Personen an, die die Warteschlange bearbeiten.
6. Klären Sie die Rollen mit dem Management. Legen Sie fest, welche Tests das Management als Überwachung verantwortet, welche die Revision als Prüfung, und wie Ausnahmen weitergeleitet werden. Dokumentieren Sie das.
7. Richten Sie Modell-Governance ein. Halten Sie Zweck, Eingaben, Verantwortlichen, Testergebnisse und Änderungshistorie jedes Modells fest. Das AI Auditing Framework des IIA ist eine nützliche Checkliste dafür, wie KI-gestützte Prozesse zu beurteilen sind, und dieselbe Disziplin gilt für Ihre eigenen Modelle.
8. Validieren Sie Schlussfolgerungen manuell. Jede berichtete Feststellung sollte sich auf Quelldatensätze zurückführen lassen, die ein Prüfer angesehen hat, nicht allein auf einen Modellwert.
9. Berichten Sie anders. Wechseln Sie von „Wir haben 40 Elemente geprüft und 2 Ausnahmen gefunden" zu „Wir haben alle 212.000 Elemente geprüft, 340 Ausnahmen gefunden, und 19 davon waren bestätigte Fehler."
10. Überprüfen Sie das Programm jedes Quartal. Kontrollieren Sie Abdeckung, Fehlalarmquoten, Unterbrechungen der Datenfeeds und ob die Tests noch zu den Kontrollen passen.

Grenzen und Fallstricke

Eine Vollprüfung klingt nach Gewissheit. Das ist sie nicht.

• Ein vollständiger Datenbestand ist nicht dasselbe wie vollständige Sicherheit. Sie haben jeden Datensatz im Auszug getestet. Wenn der Auszug ein System, eine Einheit oder einen manuellen Prozess ausgelassen hat, war die Grundgesamtheit nicht vollständig. Stimmen Sie Datensatzanzahl und Summen mit dem Hauptbuch ab, bevor Sie dem Test vertrauen.
• Kontrollen, die nicht in den Daten stehen. Prüfungen durch das Management, Freigaben per E-Mail und physische Kontrollen hinterlassen kaum strukturierte Spuren. Analytik kann nicht testen, was nicht erfasst ist.
• Fehlalarme. Tausende Ausnahmen können die echten begraben. Eine gerankte Warteschlange hilft, aber nur, wenn das Ranking justiert und überprüft wird.
• Blackbox-Ergebnisse. Wenn ein Modell eine Buchung markiert und niemand sagen kann, warum, lässt sich damit keine Feststellung stützen. Bevorzugen Sie Methoden, bei denen der Grund sichtbar ist, oder ergänzen Sie eine Erklärungsebene und prüfen Sie gegen die Quelldokumente.
• Fehler von Sprachmodellen. Ein Text, der richtig klingt, kann trotzdem falsch sein. Ein vom IIA veröffentlichter Praxisbericht über ein Jahr KI-Einsatz in der Revision warnt vor geschliffenen Ergebnissen, die Fehler verbergen, und empfiehlt, sie wie den Entwurf eines Nachwuchskollegen zu prüfen (Internal Auditor, Dezember 2025). Behandeln Sie modellgenerierte Feststellungen und Zusammenfassungen als Entwürfe.
• Unabhängigkeit. Wenn die Revision die Überwachung aufbaut und betreibt, die dem Management gehören sollte, übernimmt sie eine Managementrolle. Halten Sie die Trennlinie klar.
• Datenschutz und Sicherheit. Gehalts-, Lieferanten- und Kundendaten, die in ein Modell oder ein externes Tool fließen, brauchen dieselben Zugriffskontrollen und Freigaben wie jedes andere sensible System.
• Drift. Geschäftliche Veränderungen (ein neues ERP-Modul, ein neuer Onboarding-Prozess für Lieferanten) verschieben, was normal ist. Ein Modell, das vor der Änderung trainiert wurde, bewertet danach falsch.
• Kompetenzlücken. Die Pulse-Befragten nannten Datenanalyse als die Fähigkeit, die sie am liebsten verbessern würden. Ein Tool ohne Personen, die es interpretieren und hinterfragen können, erzeugt Berichte, auf die niemand reagiert.
• Übertriebene Aussagen. „Wir haben alles getestet" stimmt nur für die Grundgesamtheit und den Test, die Sie tatsächlich durchgeführt haben. Sagen Sie, was abgedeckt war.

Was Sie messen sollten

• Abdeckung: Anteil der Transaktionen im Prüfungsumfang, die getestet wurden, und Anteil der Schlüsselkontrollen mit einem automatisierten Test.
• Qualität der Ausnahmen: erzeugte, bestätigte und verworfene Ausnahmen sowie die Fehlalarmquote pro Test.
• Geschwindigkeit: Zeit vom Ereignis bis zur Markierung und von der Markierung bis zur Klärung.
• Wiederkehrende Probleme: dieselbe Kontrolle, die in derselben Einheit wiederholt versagt, was auf eine Grundursache statt auf einen Einzelfall hindeutet.
• Aufwandsverschiebung: Prüferstunden, die von der Stichprobenauswahl und Nachprüfung zur Untersuchung verlagert wurden.
• Datengesundheit: Ausfälle von Feeds, fehlende Datensätze und Abstimmungsdifferenzen.

Wie es weitergeht

Wenn Sie in diesem Quartal nur eines tun, dann wählen Sie einen Prozess, bauen Sie seinen Stichprobentest als Vollabfrage nach und vergleichen Sie, was er findet, mit der Stichprobe des Vorjahres. Lesen Sie danach KI und interne Kontrollen für die Seite des Kontrolldesigns, KI-Betrugserkennung im Finanzwesen für Untersuchungsmethoden und KI im Finanzwesen für das Governance-Gesamtbild der Funktion.