Interne Revision und Audit
Revisionsbericht aus Findings IDW-PS-konform erstellen
anymize entfernt Mitarbeiter-, Mandanten- und Konten-Bezüge automatisch aus den Audit-Findings, bevor der Text an GPT, Claude oder Gemini geht — und setzt sie nach der KI-Antwort wieder ein. So entsteht ein MaRisk-AT-4.4- und IDW-PS-980-konformer Revisionsbericht in einem Bruchteil der Zeit, ohne § 43 KWG (Bankgeheimnis) oder § 26 BDSG zu berühren.
Schwierigkeit: Spezialist · Datenklasse: Mandantendaten · Letztes Review:
Zur Orientierung gedacht. Die anwaltliche Würdigung im Einzelfall bleibt selbstverständlich bei Ihnen — KI-Outputs sind vor jeder Verwendung zu prüfen. Mehr dazu am Ende.
Anwendungsbereich
Worum geht es hier?
Revisionsberichte sind das Kern-Output der Innenrevisions-Funktion. MaRisk AT 4.4 verlangt dokumentierte Prüfungsergebnisse mit Bewertung, Empfehlungen und Maßnahmenplan; IDW PS 980 fordert die strukturierte Berichts-Form für Compliance-Management-Audits. Wer den 25- bis 80-seitigen Standardbericht manuell zusammensetzt, bindet 25–80 Personenstunden über zwei bis vier Wochen. Mit anymize geht der Findings-Korpus pseudonymisiert an ein Frontier-Modell — Mitarbeiter-Namen, Personalnummern, Abteilungs-IDs (sofern personenbeziehbar bei kleinen Einheiten), Mandanten-IDs und Konto-Nummern verlassen das Haus nicht. Die Berichts-Synthese läuft auf pseudonymisiertem Text.
Für wen passt das?
Zielgruppe und Kontext
- Rolle
- Innenrevisor (Drafting), Senior Auditor (Methodik), Audit-Manager (Review), Leiter Interne Revision (Sign-off). In Volksbanken und Sparkassen oft eine Person in mehreren Rollen; in Großbanken arbeitsteilig.
- Seniorität
- Mid-Level bis Senior — die Berichts-Methodik nach IDW PS 980 / 982 verlangt Erfahrung. Junior-Drafting nur mit Pflicht-Senior-Review, weil die aufsichtsrechtliche Klassifikation (mittel statt hoch) Folgen für die BaFin-Prüfung hat.
- Kanzleigröße
- Alle Institute mit MaRisk-Pflicht — von der mittelständischen Volksbank mit 3–6 Revisoren bis zur Großbank mit 80+ Revisoren. Der Hebel rechnet sich besonders bei 12–30 Prüfungen pro Jahr und schmalem Audit-Team.
- Spezifische Kontexte
- Kreditrevision (BTO-Konformität), AML-/KYC-Revision, IT-Revision (DORA-konform), HR-/Beschäftigtendatenschutz-Revision, Outsourcing-Revision (MaRisk AT 9), Sonder-Prüfungen auf Vorstandsanweisung.
Die Situation in der Kanzlei
So bringen Sie Tempo und Sorgfalt zusammen
Ein Standard-Revisionsbericht in einer mittelgroßen Bank umfasst 25–80 Seiten: Executive Summary, Prüfungsgegenstand, Methodik, Stichproben-Beschreibung, Findings-Katalog (typisch 5–25 Findings), Risiko-Bewertung, Empfehlungen, Maßnahmenplan, Vergleich zur Vorperiode und Follow-up-Status früherer Findings. Manuelle Erstellung kostet 25–80 Personenstunden über zwei bis vier Wochen — bei einem Jahresprüfungsplan mit 12–30 Prüfungen ein erheblicher Effizienz-Hebel. Wer ChatGPT oder Claude direkt nutzen würde, kommt schneller — verletzt aber § 43 KWG (Bankgeheimnis), sobald Mandanten-IDs und Konto-Nummern das Haus verlassen, und § 26 BDSG, sobald Mitarbeiternamen und Funktions-Bezeichnungen bei kleinen Einheiten transferiert werden. anymize löst genau diesen Konflikt: Mitarbeiter-Bezüge, Mandanten-IDs, Konto-Nummern und Abteilungs-Identifikatoren werden vor dem KI-Aufruf zu Platzhaltern; die KI-Antwort kommt strukturiert mit Platzhaltern zurück, anymize re-identifiziert. Die aufsichtsrechtliche Vertraulichkeit ist strukturell gewahrt.
Was Sie davon haben
Zeit, Wert, Vertraulichkeit
Zeit pro Revisionsbericht
6–12 h
Frontier-KI strukturiert Executive Summary, Findings-Tabelle, Hoch-Risiko-Detail und Maßnahmenplan in unter zwei Stunden. Verifikation und Senior-Review kommen wie gewohnt obendrauf.
Hebel pro Jahr
≈ 0,1 FTE
Bei 18 Prüfungen/Jahr × 9 h Einsparung ≈ 160 h p.a. Hebel liegt eher in Prüfungs-Tiefe und Vorperiode-Konsistenz als in FTE-Einsparung.
Vertraulichkeit
strukturell
anymize entfernt Mitarbeiter-Namen, Mandanten-IDs, Konto-Nummern und Abteilungs-Identifikatoren, bevor der Text das Haus verlässt — § 43 KWG, § 26 BDSG, DSGVO Art. 28 strukturell adressiert.
Erkennungsrate
>95 %
Dreistufige Prüfung (Algorithmus + zwei spezialisierte KI-Prüfungen). Restmenge kontrollieren Sie im Vorschau-Modus vor dem KI-Aufruf — Pflicht-Spot-Check bei Beschäftigtendaten.
So gehen Sie vor
In 5 Schritten zum Antrag
Findings-Aggregation aus dem Audit-Tool (TeamMate+, AuditBoard, MindBridge AI). Kategorisieren Sie nach Risiko-Stufe (hoch/mittel/niedrig) und prüfen Sie die Vollständigkeit gegen Ihre Prüfungs-Notizen.
Sie + Audit-Tool
Audit-Methodik · BCBS 239 Datenqualität
Klasse-Entscheidung: Mitarbeiter-Bezüge in Findings = Klasse A (§ 26 BDSG); Mandanten-Bezüge = Klasse A (§ 43 KWG); reine Methodik-Beschreibung = Klasse C. Bei kleinen Einheiten Funktions-Bezeichnungen, die re-identifizierbar sind (Leiter Vertrieb Region Süd bei 1-Personen-Position), ebenfalls als A behandeln.
Sie
Datenschutz · Aufsicht
anymize anonymisiert automatisch. Mitarbeiternamen, Personalnummern, Abteilungs-IDs (sofern personenbeziehbar), Mandanten-IDs, Konto-Nummern und IBANs werden durch semantische Platzhalter im Format `[[Kategorie-Hash]]` ersetzt. Sie sehen die Vorschau und können Funktions-Bezeichnungen bei kleinen Einheiten manuell zusätzlich pseudonymisieren.
anymize
§ 26 BDSG · § 43 KWG · DSGVO Art. 28
Frontier-KI strukturiert. Der pseudonymisierte Findings-Korpus geht an GPT, Claude oder Gemini in anymize. Mit dem unten stehenden CRAFT-Prompt erzeugt die KI Executive Summary, Findings-Tabelle, Hoch-Risiko-Detail, Bewertung, Maßnahmenplan und Vorperiode-Vergleich nach IDW-PS-980-Struktur.
GPT / Claude / Gemini in anymize
Strukturierung · Konsistenz
Faktencheck. Findings-Zitate gegen Audit-Tool-Eintrag verifizieren; MaRisk-/IDW-PS-Referenzen gegen Normtext prüfen; Bewertungs-Konsistenz mit Audit-Manual. KI-Halluzinationen bei MaRisk-Paragraphen und IDW-PS-Nummern aktiv suchen — das ist anwaltliche bzw. revisionsrechtliche Sorgfaltspflicht.
Sie
§ 25a KWG · MaRisk AT 4.4 · Halluzinations-Risiko
anymize re-identifiziert kontrolliert. Im Endbericht werden Mitarbeitende über Funktions-Bezeichnungen und nicht namentlich genannt; nur in einer Vertraulichkeits-Anlage erscheint die Re-Identifizierung. Senior-Audit-Review schließt den Drafting-Schritt ab.
anymize + Sie
§ 26 BDSG · Verhältnismäßigkeit
Leiter-Interne-Revision-Sign-off; Verteilung an Vorstand und Prüfungsausschuss des Aufsichtsrats; revisionssichere Archivierung 10 Jahre (HGB) bzw. 5 Jahre (§ 50 GwG bei AML-Bezug).
Sie
MaRisk AT 4.4 · § 25a KWG
Womit Sie arbeiten
So setzen Sie anymize konkret ein
Was anymize tut
- Erkennt Mitarbeiter-Namen, Personalnummern, Mandanten-IDs, Konto-Nummern, IBANs und Abteilungs-Identifikatoren mit über 95 % Erkennungsrate.
- Dreistufige Prüfung: Algorithmische Analyse, dann zwei spezialisierte KI-Prüfungen — auch Funktions-Bezeichnungen, die bei kleinen Einheiten re-identifizierbar sind, lassen sich markieren.
- Bidirektionale Anonymisierung: Platzhalter werden eingesetzt, das Frontier-Modell antwortet mit Kontext, anymize re-identifiziert beim Empfang — kontrolliert pro Berichts-Abschnitt.
- Daten in deutschen Rechenzentren (Hetzner). Originaldokumente werden nicht gespeichert — nur die Zuordnung Platzhalter ↔ Klarname, mit Aufbewahrungsfrist nach Ihrer Wahl von 24 Stunden bis unbegrenzt.
Was Sie als Revision tun
- Findings-Korpus und Vorperiode-Bericht bereitstellen — das Vorperiode-Material liefert die Konsistenz-Linie und die offenen Follow-ups.
- Vorschau der Anonymisierung sichten — bei kleinen Abteilungen besonders auf Funktions-Bezeichnungen und Wieder-Erkennbarkeit achten.
- Faktencheck der MaRisk-/IDW-PS-Referenzen und Findings-Zitate — KI-generierte Aktenzeichen und Norm-Verweise sind verifikations-bedürftig.
- Senior-Audit-Review und Leiter-Interne-Revision-Sign-off; Verteilung an Vorstand/AR-Prüfungsausschuss; revisionssichere Archivierung.
Daten-Input
Findings-Korpus aus dem Audit-Tool (TeamMate+, AuditBoard, MindBridge AI), Audit-Working-Papers, Stichproben-Tabellen, Interview-Notizen, Vorperiode-Bericht mit offenen Follow-ups, MaRisk-/IDW-PS-Referenz-Bibliothek der Bank.
Output-Kontrolle
Pseudonymisierter Text geht an die KI. Re-identifizierter Berichts-Entwurf mit Executive Summary, Findings-Tabelle, Hoch-Risiko-Detail, Bewertung, Empfehlungen, Maßnahmenplan und Vorperiode-Vergleich kommt zurück. anymize selbst trifft keine inhaltlichen Aussagen — die Strukturierung leistet das Frontier-Modell, die Würdigung machen Sie.
Freigabeprozess
Sie behalten jederzeit die Hoheit: Sichtung der Anonymisierung, Faktencheck der Norm-Verweise, anwaltlich/revisionsrechtliche Bewertung jeder Klassifikation (hoch vs. mittel), Senior-Audit-Review, Leiter-Interne-Revision-Sign-off. anymize ist der Anonymisierungs-Layer, keine Audit-Workflow-Software.
Die KI-Anweisung
Prompt zum Kopieren
So nutzen Sie diesen Prompt:
1. Findings-Korpus und Vorperiode-Bericht in anymize einfügen — die Anonymisierung läuft automatisch (Mitarbeiternamen, Mandanten-IDs, Konto-Nummern werden zu Platzhaltern).
2. Diesen Prompt kopieren und an den pseudonymisierten Findings-Korpus anhängen.
3. In anymize unter Tools → Reasoning auf Thinking-Modus stellen, dann KI-Aufruf starten — der Output kommt re-identifiziert zurück.
4. Faktencheck der MaRisk-/IDW-PS-Referenzen gegen Normtext und Audit-Manual; Senior-Audit-Review.
# Context (C)
Du unterstützt die Erstellung eines internen Revisionsberichts in
einem BaFin-beaufsichtigten Institut nach MaRisk AT 4.4 / IDW PS 980.
Rechtsstand: <heutiges Datum — bitte aktuell ermitteln und hier
einsetzen>. Der Input ist pseudonymisiert: Mitarbeiternamen,
Abteilungs-IDs (sofern personenbeziehbar), Mandanten-IDs durch
[[Kategorie-Hash]]-Platzhalter ersetzt. Findings-Klassifikationen,
Methodik-Beschreibungen und Stichproben-Aussagen in Klartext.
# Role (R)
Du agierst als Revisionsbericht-Drafting-Assistenz. Du kennst MaRisk
8. Novelle (insbesondere AT 4.4 Interne Revision), IDW PS 980
(Compliance-Management-Audits), IDW PS 982 (IT-Audits), § 25a KWG
(IKS), BCBS 239 (Risk Data Aggregation). Du kennst die typische
Berichtsstruktur: Executive Summary / Prüfungsgegenstand / Methodik /
Findings / Bewertung / Empfehlungen / Maßnahmenplan / Follow-up.
# Action (A)
1. Schreibe eine Executive Summary (5–8 Sätze): Prüfungsgegenstand,
Methodik kurz, Kernergebnisse, Gesamt-Bewertung (unbefriedigend /
befriedigend / gut / sehr gut), Anzahl Findings je Risiko-Stufe.
2. Erläutere Prüfungsgegenstand und Methodik in 1–2 Absätzen.
3. Liste die Findings in einer Tabelle:
| Finding-ID | Risiko-Stufe | Kurzbeschreibung | Verstoß gegen |
Empfehlung-Eckpunkt |.
4. Für jedes Hoch-Risiko-Finding: 3–5 Sätze ausführlicher Befund
(Sachverhalt, Compliance-Bezug, Konsequenz, Empfehlung).
Mitarbeiter werden NICHT namentlich genannt — Platzhalter
beibehalten oder Funktions-Bezeichnung ohne Re-Identifizierungs-
Risiko verwenden.
5. Schreibe einen Bewertungs-Absatz (3–5 Sätze) mit Vergleich zur
Vorperiode.
6. Liste Empfehlungen / Maßnahmenplan nummeriert:
Empfehlung, Verantwortlicher (Funktion!), Frist, Priorität.
7. Markiere quantitative Lücken mit 'Quantitative Ergänzung
empfohlen:'.
8. Verwende vorsichtige Sprache — keine Schuld-Zuweisung an Personen.
# Format (F)
- Executive Summary: ein Absatz.
- Prüfungsgegenstand & Methodik: 1–2 Absätze.
- Findings-Tabelle.
- Hoch-Risiko-Findings im Detail: pro Finding 3–5 Sätze.
- Bewertung: 3–5 Sätze.
- Empfehlungen: nummeriert.
- Unsicherheiten: 'Nicht verifizierbar:'-Präfix.
# Target Audience (T)
Senior Auditor und Leiter Interne Revision als Drafting-Reviewer;
Endadressat Vorstand und Prüfungsausschuss des Aufsichtsrats. Ton
sachlich-präzise, behördensprachlich, audit-tauglich.
# Verbote
KEINE Schuld-Zuweisung an konkrete Personen.
KEINE MaRisk-/IDW-PS-Referenz ohne 'verifikations-bedürftig'-
Markierung bei Unsicherheit — lieber Lücke als Halluzination.
KEINE Bewertungs-Aussage zu Klassifikations-Stufen ohne Bezug auf
die dokumentierte Methodik.So sieht der Sachverhalt aus
Pseudonymisierter Eingabetext
Revisionsbericht-Briefing — Prüfung 'Sicherheiten-Management
Firmenkundenkredit 2026'
Prüfungszeitraum: 12.01.2026 – 06.03.2026
Prüfungsgegenstand: Sicherheiten-Bewertung und -Frische bei
Firmenkundenkrediten Volumen 0,5–10 Mio. EUR
Methodik: Stichprobe 50 Akten aus 387 abgeschlossenen Vorgängen 2025
+ Walk-through Kreditprozess + Datenanalyse Sicherheiten-Datenbank
+ Interview 6 Mitarbeitende [[Abteilung-c4d1]].
Findings:
F-2026-051 (hoch): Sicherheiten-Bewertung in 7/50 Akten >12 Monate
alt zum Genehmigungs-Datum — Verstoß MaRisk BTO 1.2.5 (Aktualität
≤6 Monate). Betroffene Akten: [[Mandant-a3f9]], [[Mandant-b2e7]],
[[Mandant-c4d1]], [[Mandant-d5f3]], [[Mandant-e8a2]],
[[Mandant-f1c6]], [[Mandant-219e]]. Bearbeitende:
[[Mitarbeiter-7e2a]] (4 Akten), [[Mitarbeiter-9f1c]] (3 Akten).
F-2026-052 (mittel): Beleihungswert-Berechnung in 4/50 Akten ohne
dokumentierten Marktwert-Bezug — Methodik-Lücke.
F-2026-053 (mittel): Konzentrations-Schwellen-Überschreitung in
[[Mandant-3a8b]] nur per E-Mail dokumentiert — Schriftform-Lücke
nach MaRisk BTR.
F-2026-054 (niedrig): Akten-Strukturierung in 9/50 Akten abweichend
von interner Vorlage.
Vorperiode-Vergleich:
2025-H1-Prüfung Sicherheiten: 9 Findings (2 hoch, 4 mittel, 3
niedrig). Aktuelle Prüfung: 4 Findings (1 hoch, 2 mittel, 1
niedrig) — Verbesserungs-Trend, aber Frische-Problem persistent.So liefert anymize zurück
Der Antrags-Entwurf
## Executive Summary
Die Prüfung 'Sicherheiten-Management Firmenkundenkredit 2026' wurde
im Zeitraum 12.01.–06.03.2026 stichprobenbasiert durchgeführt (50
Akten aus 387). Es wurden vier Findings dokumentiert (1 hoch, 2
mittel, 1 niedrig). Im Vergleich zur Vorperiode mit neun Findings
zeigt sich ein Verbesserungs-Trend in Quantität, jedoch persistiert
eine systemische Schwäche in der Aktualität der Sicherheiten-
Bewertung. Gesamtbewertung: 'befriedigend mit Handlungsbedarf bei
Sicherheiten-Frische'.
## Prüfungsgegenstand & Methodik
Geprüft wurde die Sicherheiten-Bewertung und -Frische bei
Firmenkundenkrediten im Volumen-Segment 0,5–10 Mio. EUR.
Stichprobengröße: 50 Akten von 387 abgeschlossenen Vorgängen 2025,
ergänzt durch sechs Mitarbeiter-Interviews, einen Prozess-Walk-
through und eine Datenanalyse der Sicherheiten-Datenbank.
## Findings
| Finding-ID | Risiko | Kurzbeschreibung | Verstoß gegen | Empfehlung-Eckpunkt |
|---|---|---|---|---|
| F-2026-051 | hoch | 7/50 Akten: Sicherheiten-Bewertung >12 Monate zum Genehmigungs-Datum | MaRisk BTO 1.2.5 (≤6 Monate) | systemische Frische-Sperrlogik |
| F-2026-052 | mittel | 4/50 Akten ohne dokumentierten Marktwert-Bezug | Methodik-Manual + MaRisk BTO | Methodik-Refresh |
| F-2026-053 | mittel | Konzentrations-Schwelle nur per E-Mail dokumentiert | MaRisk BTR Schriftform | Schriftform-Klarstellung |
| F-2026-054 | niedrig | 9/50 Akten Strukturierungs-Abweichung | interne Vorlage | Schulungs-Refresh |
## Hoch-Risiko-Finding F-2026-051
In sieben von 50 stichprobenartig geprüften Akten lag die
Sicherheiten-Bewertung zum Genehmigungs-Datum mehr als zwölf Monate
zurück; MaRisk BTO 1.2.5 fordert eine Aktualität von maximal sechs
Monaten. Die betroffenen Akten [[Mandant-a3f9]], [[Mandant-b2e7]],
[[Mandant-c4d1]], [[Mandant-d5f3]], [[Mandant-e8a2]],
[[Mandant-f1c6]] und [[Mandant-219e]] wurden durch zwei
Mitarbeitende der [[Abteilung-c4d1]] bearbeitet. Konsequenz:
aufsichtsrechtliche Verstoß-Indikation; Risiko-Bewertung der
Engagements potenziell überholt; Capital-Floor-Berechnung
möglicherweise unzutreffend. Empfehlung: Workflow-Sperrlogik
'Sicherheiten-Bewertung > 6 Monate' vor Genehmigung implementieren.
## Bewertung
Gegenüber der Vorperiode mit neun Findings (davon zwei hoch) zeigt
die aktuelle Prüfung mit vier Findings (davon eins hoch) einen
Verbesserungs-Trend. Die persistente Hoch-Klassifikation in der
Sicherheiten-Frische ist dieselbe systemische Schwäche, die in der
Vorperiode bereits dokumentiert war — die zwischenzeitlichen
Maßnahmen haben das Problem nicht vollständig adressiert.
Quantitative Ergänzung empfohlen: Frische-Quote-Vergleich über drei
Prüfperioden.
## Empfehlungen
1. Workflow-Sperrlogik 'Sicherheiten-Bewertung > 6 Monate' —
Verantwortlicher: Leitung Kreditbereich Firmenkunden +
IT-Operations; Frist: 30.09.2026; Priorität: hoch.
2. Beleihungswert-Methodik-Refresh inkl. dokumentiertem Marktwert-
Bezug — Verantwortlicher: Risk-Office + Kreditbereich; Frist:
31.10.2026; Priorität: mittel.
3. Schriftform-Klarstellung bei Konzentrations-Schwelle —
Verantwortlicher: Risk-Office; Frist: 31.07.2026; Priorität:
mittel.
4. Akten-Strukturierungs-Schulung — Verantwortlicher: HR/Training;
Frist: 31.12.2026; Priorität: niedrig.
## Unsicherheiten
Nicht verifizierbar im pseudonymisierten Auszug: ob die zwei
Mitarbeitenden in F-2026-051 spezifische Schulungs-Defizite oder
System-Hindernisse hatten — Interview-Detail-Auswertung empfohlen.Was das Berufsrecht verlangt
Pflichten — und wie anymize sie abdeckt
MaRisk AT 4.4 (SRC-0115) — Innenrevisions-Pflichten
Aufgaben, Berichtswesen, Unabhängigkeit und Berichts-Adressat (Geschäftsleitung, Aufsichtsrat) sind in MaRisk AT 4.4 geregelt. Ein KI-gestützter Draft ändert die Verantwortung nicht — die Letztverantwortung bleibt bei der Leitung Interne Revision. anymize sichert nur den Daten-Layer; die Methodik bleibt bei Ihnen.
§ 25a KWG (SRC-0106) — IKS-Letztverantwortung
Die Geschäftsleitung trägt die Letztverantwortung für das Interne Kontrollsystem; der Innenrevisions-Bericht ist Teil des IKS-Nachweises. Bei BaFin-Sonderprüfung wird die Berichts-Qualität geprüft — KI-generierte Halluzinationen sind hier doppelt riskant.
§ 26 BDSG (SRC-0144) — Beschäftigtendatenschutz
Mitarbeiternamen, Personalnummern und Abteilungs-Bezüge bei kleinen Einheiten sind besonders geschützt. Pseudonymisierung ist zwingend vor externem LLM-Transfer; Re-Identifizierungs-Risiko durch Funktions-Bezeichnungen bei kleinen Abteilungen aktiv prüfen.
§ 43 KWG (SRC-0109) — Bankgeheimnis
Mandanten-IDs, Konto-Nummern und Akten-Bezüge in Findings sind durch das Bankgeheimnis geschützt. Public-Cloud-LLM ohne Pseudonymisierung verletzt § 43 KWG — strafrechtlich relevant. anymize ist der strukturelle Schutz.
IDW PS 980 / 982 — Berichts-Struktur
Compliance-Management-Audits und IT-Audits haben strukturierte Berichts-Anforderungen nach IDW PS 980 / 982. Eine methodische Abweichung im KI-Draft ist ein Prüfungs-Mangel — der CRAFT-Prompt zwingt die Struktur ab.
MaRisk AT 9 / § 25b KWG (SRC-0107) — Auslagerung
Externes KI-Tool für Audit-Drafting ist eine Auslagerung im Sinne von MaRisk AT 9 und § 25b KWG. Auslagerungsregister-Eintrag, AVV und Auslagerungsanzeige sind Pflicht; anymize liefert die AVV-Vorlage zum Standardvertrag.
Halluzinationsrisiko bei MaRisk-/IDW-PS-Zitaten
KI generiert plausibel aussehende, aber falsche Norm-Referenzen — MaRisk BTO 1.2.7 statt BTO 1.2.5. Schritt 5 (Faktencheck) ist Pflichtschritt, kein optionaler Komfort. Halluzinierte Norm-Verweise gegenüber Vorstand/AR oder BaFin sind ein Karriere-Risiko.
Datenschutz und Vertraulichkeit
So funktioniert das mit anymize
Die aufsichtsrechtlich entscheidende Frage bei der Revisionsbericht-Erstellung: Sieht der KI-Anbieter Mitarbeiter-Namen, Personalnummern, Mandanten-IDs, Konto-Nummern oder Abteilungs-Identifikatoren? Antwort mit anymize: nein. Diese Daten werden vor dem KI-Aufruf durch Platzhalter ersetzt; nach der KI-Antwort identifiziert anymize zurück. Verarbeitung in deutschen Rechenzentren (Hetzner), AVV nach Art. 28 DSGVO ist Teil des Standardvertrags, Originaldokumente werden nicht gespeichert. Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 25a KWG und MaRisk AT 4.4 (gesetzliche Innenrevisions-Pflicht); für Beschäftigtendaten zusätzlich § 26 BDSG. Bei systematischer KI-Nutzung mit Mitarbeiter-Bezug ist eine DPIA nach Art. 35 DSGVO zu prüfen und der Betriebsrat nach §§ 75, 87 BetrVG zu beteiligen. Bei Mandanten-Bezügen greift § 43 KWG (Bankgeheimnis) parallel — die Pseudonymisierung ist hier strukturelles Schutzkonzept, nicht optionale Maßnahme.
Was anymize konkret leistet
- Erkennt Mitarbeiter-Namen, Personalnummern, Mandanten-IDs, Konto-Nummern, IBANs und Abteilungs-Identifikatoren mit über 95 % Genauigkeit.
- Ersetzt sie durch semantische Platzhalter, bevor der Findings-Korpus an GPT, Claude oder Gemini geht.
- Re-identifiziert die KI-Antwort kontrolliert — Sie sehen den Bericht mit den richtigen Klarnamen zurück.
- Verarbeitung in deutschen Rechenzentren (Hetzner). AVV nach Art. 28 DSGVO mit Auslagerungs-Annex nach MaRisk AT 9 / § 25b KWG im Standardvertrag.
- Originaldokumente werden nicht gespeichert — nur die Zuordnung Platzhalter ↔ Klarname, mit Aufbewahrungsfrist nach Ihrer Wahl von 24 Stunden bis unbegrenzt.
Sicherheitscheck vor der Einreichung
Was anymize liefert — was Sie souverän entscheiden
Vor dem KI-Aufruf
- Findings-Korpus vollständig — alle Findings aus dem Audit-Tool exportiert?
- Klasse-Entscheidung getroffen — Mitarbeiter-/Mandanten-Bezüge identifiziert?
- Funktions-Bezeichnungen bei kleinen Einheiten markiert (Re-Identifizierungs-Risiko)?
- Vorperiode-Bericht beigefügt — für Konsistenz-Linie und Follow-up-Status?
- Anonymisierungs-Vorschau gesichtet — Klartext-Lücken in Buchungstexten erkannt?
Nach der KI-Antwort
- Re-Identifikation korrekt — alle Platzhalter zurückgesetzt?
- Findings-Tabelle vollständig — alle Risiko-Stufen und Norm-Bezüge?
- MaRisk-/IDW-PS-Referenzen gegen Normtext verifiziert?
- Klassifikations-Konsistenz mit Audit-Manual geprüft?
- Hoch-Risiko-Findings stimmen mit Audit-Tool-Eintrag überein?
Vor der Verteilung
- Senior-Audit-Review durchgeführt?
- Leiter-Interne-Revision-Sign-off erfolgt?
- Schuld-Zuweisung an konkrete Personen ausgeschlossen?
- Vertraulichkeits-Anlage (Klarnamen) separat archiviert?
Typische Fehlermuster — und wie anymize gegensteuert
- →KI generiert eine plausibel klingende, aber falsche MaRisk-Paragraphen-Nummer — der Prompt erzwingt verifikations-bedürftig-Markierung bei Unsicherheit.
- →KI klassifiziert ein Finding als mittel, das im Audit-Manual eindeutig hoch ist — Klassifikations-Drift, der bei BaFin-Prüfung auffliegt.
- →KI vergisst die Vorperiode-Konsistenz und schreibt einen Bericht aus dem Stand, obwohl die Vorperiode dasselbe Finding bereits dokumentiert hatte.
- →KI weist Schuld an konkrete Mitarbeitende zu, obwohl der Prompt das verbietet — Persönlichkeits-Risiko und § 26 BDSG.
- →KI halluziniert ein IDW-PS-Standard, das es so nicht gibt (IDW PS 985) — Pflicht-Verifikation gegen IDW-Verlautbarungs-Liste.
Rechtsgrundlagen
Normen, Urteile, Belege
Aufsichtsrechtliche Primärnormen
- Interne Revision — Aufgaben, Berichtswesen, Unabhängigkeit (SRC-0115)
- IKS-Letztverantwortung Geschäftsleitung (SRC-0106)
- Auslagerung — AVV, Auslagerungsregister (SRC-0107)
- Bankgeheimnis — Pseudonymisierungs-Anker (SRC-0109)
- Risk Data Aggregation — Datenbasis-Anforderung (SRC-0205)
Datenschutz und Berufsrecht
- Beschäftigtendatenschutz (SRC-0144)
- Auftragsverarbeitungsvertrag (SRC-0142)
- Rechtsgrundlage gesetzliche Pflicht
- DPIA bei systematischer KI-Nutzung
- KI-Inventar, Lifecycle-Management (SRC-0119)
Prüfungsstandards
- Compliance-Management-Audits — Berichts-Struktur
- IT-Audits — Berichts-Form
- Grundsätze ordnungsmäßiger Abschlussprüfung
Sekundärquellen Tool-Markt
- Berichtserstellung Top-3-GenAI-Use-Case (SRC-0152)
- Synthese-Effekt +20–40 % (SRC-0156)
- IIA-empfohlene Audit-Plattformen (SRC-0200)
Stand: · Nächste Überprüfung:
Hinweis zur Nutzung
Zur Orientierung — nicht als Mandatsersatz
Diese Anleitung beschreibt einen Arbeitsablauf, den Sie mit anymize umsetzen können. Sie ist zur Orientierung gedacht und ersetzt weder die anwaltliche Würdigung im Einzelfall noch eine fachanwaltliche Prüfung. Welche Rechtsprechung einschlägig ist, wie der Sachverhalt rechtlich zu bewerten ist, welche Anträge in Ihrem konkreten Mandat richtig sind — das bleibt selbstverständlich bei Ihnen.
KI-Outputs müssen vor jeder Verwendung anwaltlich geprüft werden. Insbesondere Urteils-Aktenzeichen, Norm-Verweise und Fristen sind gegen Primärquellen zu verifizieren. anymize gewährleistet die Vertraulichkeit der Mandantendaten gegenüber dem KI-Anbieter; die fachliche Richtigkeit des Outputs liegt in Ihrer Verantwortung.
Jetzt starten.
14 Tage kostenlos testen.
Alle Modelle. Alle Features. Keine Kreditkarte.
Wir sind überzeugt von anymize. Und wir wissen: Bei einem KI-Werkzeug, das Mandanten-, Patienten- oder Mitarbeiter-Daten berührt, reicht ein Demo-Video nicht. Deshalb 14 Tage voller Zugang – alle Modelle, alle Features, keine Kreditkarte. Genug Zeit, um sicher zu sein, bevor du uns vertraust.
Dein KI-Arbeitsplatz wartet.