Risikomanagement und Treasury

OpRisk-Schlüssel-Risikoindikatoren-Dashboard-Erläuterung

anymize ersetzt mitarbeiterbezogene KRI-Bezüge (z. B. Einzelfluktuation, Schadensfall-Personen) vor dem KI-Aufruf. Monatliche KRI-Dashboard-Erläuterung mit Schwellen-Status und Eskalations-Empfehlungen entsteht auf pseudonymisiertem Text — § 26 BDSG strukturell gewahrt.

Schwierigkeit: Fortgeschritten · Datenklasse: Mandantendaten · Letztes Review:

Zur Orientierung gedacht. Die anwaltliche Würdigung im Einzelfall bleibt selbstverständlich bei Ihnen — KI-Outputs sind vor jeder Verwendung zu prüfen. Mehr dazu am Ende.

01

Anwendungsbereich

Worum geht es hier?

KI im Risikomanagement und Treasury

KRIs sind MaRisk-BTR-Pflicht für OpRisk-Steuerung; § 25a KWG ordnet Geschäftsleitungs-Verantwortung zu. Hochfrequentes monatliches Reporting — KI-Strukturierung verkürzt 1–3 h Schreib-Zeit pro Monat.

02

Für wen passt das?

Zielgruppe und Kontext

Rolle
OpRisk-Manager:in, Risk Controller, Compliance Officer mit OpRisk-Schnittstelle.
Seniorität
Fortgeschritten — KRI-Methodik, IKT-Risiko-Indikatoren, DORA-Schwellen.
Kanzleigröße
Alle.
Spezifische Kontexte
Monatliches OpRisk-Reporting; Quartals-Eskalation an Risk-Komitee.
03

Die Situation in der Kanzlei

So bringen Sie Tempo und Sorgfalt zusammen

KRI-Dashboard umfasst 20–40 Indikatoren über Schaden, Cyber, IT, Personal, Compliance. Aus Werten + Vorperioden-Trend + Schwellen entsteht 2–4-seitige Erläuterung mit Eskalations-Hinweisen. Manuell 1–3 h. Fehler: Schwellen-Überschreitungs-Status verwechselt, Eskalations-Hinweis vergessen, DORA-4h-Meldepflicht überdeckt.

04

Was Sie davon haben

Zeit, Wert, Vertraulichkeit

Zeit pro Monat

1–3 h

Eskalations-Konsistenz

Schwellen-Status-Logik

Vertraulichkeit

§ 26 BDSG geschützt

Erkennungsrate

>95 %

05

So gehen Sie vor

In 5 Schritten zum Antrag

1

KRI-Datenextrakt aus Quell-Systemen.

Sie

Datenbasis

2

anymize anonymisiert mitarbeiterbezogene KRIs (Einzelfluktuation, konkrete Schadensfall-Personen).

anymize

§ 26 BDSG · § 43 KWG

2.5

Spot-Check.

Sie

Anymize-Enabler-Map § 2.5

3

CRAFT-Prompt. Output: Executive Summary, KRI-Status-Tabelle, Auffälligkeiten, Eskalations-Empfehlungen.

GPT / Claude / Gemini in anymize

Schreib-Effizienz

4

Wert-Verifikation: KRI-Werte und Schwellen-Status 1:1.

Sie

MaRisk BTR

5

Freigabe OpRisk-Manager → Risk-Komitee. Bei DORA-Vorfall: 4-Stunden-Meldepfad parallel (UC-V-FIN-RIS-016).

Sie

§ 25a KWG · DORA

06

Womit Sie arbeiten

So setzen Sie anymize konkret ein

Was anymize tut

  • Erkennt mitarbeiterbezogene KRIs (Einzelfluktuation, Schadensfall-Personen).
  • Lässt aggregierte KRI-Werte und Schwellen sichtbar.
  • Bidirektionale Anonymisierung.

Was Sie tun

  • KRI-Datenextrakt aus Quell-Systemen aufbereiten.
  • Schwellen-Definition aktuell halten.
  • Schwellen-Status verifizieren.
  • Bei DORA-Indikator (4h) zwingend Meldepfad parallel.

Daten-Input

KRI-Werte aus RSA Archer, ServiceNow GRC, Wolters Kluwer OneSumX, Tableau/Power BI mit Schwellen (Frühwarn/Recovery/Eskalation), Vorperioden-Werten.

Output-Kontrolle

Pseudonymisierter Datensatz an die KI. Dashboard-Erläuterung re-identifiziert zurück.

Freigabeprozess

OpRisk-Manager → Risk-Komitee. DORA-Vorfall → 4-Stunden-Meldung.

07

Die KI-Anweisung

Prompt zum Kopieren

1. KRI-Werte einfügen.

2. Schwellen-Definition beifügen.

3. Prompt anhängen; Thinking-Modus.

Empfohlener Reasoning-Modus in anymize: Thinking; Max bei Eskalations-Fall.
# Context (C)
OpRisk-KRI-Dashboard-Erläuterung deutsche Bank, MaRisk BTR (OpRisk), § 25a KWG.
Rechtsstand: <heutiges Datum>. Mitarbeiter-/Personenbezüge pseudonymisiert
([[Mitarbeiter-Hash]]).

# Role (R)
Du agierst als OpRisk-KRI-Reporting-Assistenz mit Kenntnis: KRI-Methodik
(Frühwarn-, Recovery-, Eskalations-Schwellen), MaRisk-OpRisk-Kategorien, DORA-
IKT-Indikatoren, AML/Compliance-Indikatoren, IT-Verfügbarkeits-Metriken,
Mitarbeiter-Fluktuation (anonym).

# Action (A)
1. Struktur:
   (1) Executive Summary (3–5 Sätze, Schwellen-Verletzungen).
   (2) KRI-Status-Tabelle je Kategorie.
   (3) Auffälligkeiten (KRIs ≥ gelb) mit Treiber-Hinweis.
   (4) Eskalations-Empfehlungen.
2. Nur Input-Werte; Schwellen-Status pro KRI.

# Format (F)
Tabelle | KRI | Aktuell | Vorperiode | Frühwarn | Recovery | Eskalation | Status |.

# Target Audience (T)
OpRisk-Manager; Risk-Komitee.

# Verbote
KEIN Trend ohne Vergleichswert.
KEIN DORA-Indikator ohne 4h-Hinweis.
08

So sieht der Sachverhalt aus

Pseudonymisierter Eingabetext

KRI-Werte nach anymize-Anonymisierung.
OpRisk-KRI Monat [[Monat-7f2a]]

| KRI | Aktuell | Vorperiode | Frühwarn | Recovery | Eskalation |
|---|---|---|---|---|---|
| Schadensfälle ≥ 10 k EUR Monat | 4 | 3 | 5 | 8 | 12 |
| Brutto-Schadenssumme Monat (k EUR) | 142 | 87 | 150 | 300 | 500 |
| Cyber-Sicherheitsvorfälle (Phishing-Klicks) | 18 | 12 | 15 | 25 | 40 |
| IT-System-Verfügbarkeit Kernbankensystem | 99,87 % | 99,92 % | 99,85 % | 99,75 % | 99,5 % |
| AML-Alerts offen > 30 Tage | 12 | 8 | 15 | 25 | 40 |
| Mitarbeiter-Fluktuation Risk/Compliance Q | 4,2 % | 3,1 % | 5 % | 8 % | 12 % |
| DORA-Vorfälle 4h-meldepflichtig | 0 | 1 | 1 | 2 | 3 |
| Auslagerungs-Register-Updates offen | 7 | 5 | 10 | 20 | 30 |
09

So liefert anymize zurück

Der Antrags-Entwurf

KI-Output (Beispiel). Schwellen-Status nach interner Definition.
## Executive Summary

Im Berichtsmonat liegen zwei KRIs im gelben Bereich: Cyber-Phishing-Klicks
(18 vs. Frühwarn 15) und Brutto-Schadenssumme (142 k EUR, nahe Frühwarn 150 k).
IT-Verfügbarkeit Kernbankensystem leicht unter Frühwarn-Schwelle (99,87 %
vs. 99,85 %). Übrige KRIs grün.

## KRI-Status

| KRI | Aktuell | Vorperiode | Frühwarn | Recovery | Eskalation | Status |
|---|---|---|---|---|---|---|
| Schadensfälle ≥ 10 k | 4 | 3 | 5 | 8 | 12 | grün |
| Brutto-Schadenssumme (k) | 142 | 87 | 150 | 300 | 500 | gelb |
| Cyber-Phishing-Klicks | 18 | 12 | 15 | 25 | 40 | gelb |
| IT-Verfügbarkeit Kernsystem | 99,87 % | 99,92 % | 99,85 % | 99,75 % | 99,5 % | gelb |
| AML-Alerts > 30 Tage | 12 | 8 | 15 | 25 | 40 | grün |
| Mitarbeiter-Fluktuation Risk/Compliance | 4,2 % | 3,1 % | 5 % | 8 % | 12 % | grün |
| DORA-Vorfälle 4h | 0 | 1 | 1 | 2 | 3 | grün |
| Auslagerungs-Register-Updates offen | 7 | 5 | 10 | 20 | 30 | grün |

## Auffälligkeiten

- **Cyber-Phishing-Klicks 18 (+50 % ggü. Vorperiode):** Treiber laut
  Voruntersuchung zwei Phishing-Wellen mit BEC-Charakter. Schulungs-Programm
  beschleunigen (UC-V-FIN-RIS-003).
- **Brutto-Schadenssumme 142 k:** geprägt von einem BEC-Schadensfall (49,5 k
  netto).
- **IT-Verfügbarkeit:** marginal unter Frühwarn. Treiber: zwei kurze Cluster-
  Restarts.

## Eskalations-Empfehlungen

1. **Phishing-Schulung:** verpflichtend für alle Mitarbeiter mit Stammdaten-
   Berechtigung — HR + Compliance, kurzfristig.
2. **IT-Verfügbarkeits-Trend beobachten:** zwei aufeinanderfolgende Monate unter
   Frühwarn → Eskalation an IT-Lenkungskreis.
3. **Schadenssumme:** monatliche Aggregation an Risk-Komitee.
10

Was das Berufsrecht verlangt

Pflichten — und wie anymize sie abdeckt

§ 25a KWG, MaRisk BTR (SRC-0106 / SRC-0115)

OpRisk-Pflicht.

§ 26 BDSG (SRC-0144)

Mitarbeiter-bezogene KRIs nur aggregiert; Einzelfälle pseudonym.

§ 43 KWG (SRC-0109)

Schadensfall-Bezüge mit Kundendaten Klasse A.

BaFin BDAI/Orientierungshilfe (SRC-0119 / SRC-0120)

KI im Inventar.

BCBS 239 (SRC-0205) + DORA-4h-Indikator

Datenqualität; DORA-Meldepflicht darf nicht überdeckt werden.

Schwellen-Status-Verwechslung

KI-Routine-Risiko; Trends nur bei Input-Vergleichsdaten.

11

Datenschutz und Vertraulichkeit

So funktioniert das mit anymize

Bei KRI-Dashboard sieht der KI-Anbieter ohne Pseudonymisierung mitarbeiterbezogene KRIs und konkrete Schadensfall-Personen. anymize ersetzt diese; aggregierte Werte bleiben sichtbar. Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 25a KWG; § 26 BDSG für Beschäftigtendaten.

Alternativen

  • GRC-Plattform-NLG (Wolters Kluwer).
  • Bank-interne KI.
  • Power-BI/Tableau-NL-Layer.
  • Voraussetzung: AVV, Auslagerungs-Register, KI-Inventar.
12

Sicherheitscheck vor der Einreichung

Was anymize liefert — was Sie souverän entscheiden

Vor dem KI-Aufruf

  • KRI-Werte und Schwellen aktuell?
  • Anonymisierungs-Vorschau gesichtet?

Nach der KI-Antwort

  • KRI-Werte 1:1 gegen Quell-Systeme?
  • Schwellen-Status korrekt?
  • Eskalations-Empfehlungen bei roten KRIs vorhanden?
  • DORA-Indikator separat behandelt?

Vor Freigabe

  • DORA-Vorfall → 4h-Meldung parallel?
  • Rote KRI → Risk-Komitee + Vorstand?

Typische Fehlermuster — und wie anymize gegensteuert

  • KI verwechselt Frühwarn-/Recovery-/Eskalations-Schwelle.
  • KI lässt DORA-Indikator unbenutzt.
  • KI vergisst Trend-Anker bei Vorperioden-Vergleich.
  • KI nennt Einzel-Mitarbeiter trotz Pseudonymisierung.
  • KI generalisiert Cyber-Treiber.
13

Rechtsgrundlagen

Normen, Urteile, Belege

Primärnormen

  • Risikomanagement
  • Bankgeheimnis
  • BTR OpRisk
  • KI-Inventar
  • Algorithmen-Prinzipien
  • AVV
  • Beschäftigtenschutz

Sekundärquellen

  • Risk Data Aggregation

Stand: · Nächste Überprüfung:

Hinweis zur Nutzung

Zur Orientierung — nicht als Mandatsersatz

Diese Anleitung beschreibt einen Arbeitsablauf, den Sie mit anymize umsetzen können. Sie ist zur Orientierung gedacht und ersetzt weder die anwaltliche Würdigung im Einzelfall noch eine fachanwaltliche Prüfung. Welche Rechtsprechung einschlägig ist, wie der Sachverhalt rechtlich zu bewerten ist, welche Anträge in Ihrem konkreten Mandat richtig sind — das bleibt selbstverständlich bei Ihnen.

KI-Outputs müssen vor jeder Verwendung anwaltlich geprüft werden. Insbesondere Urteils-Aktenzeichen, Norm-Verweise und Fristen sind gegen Primärquellen zu verifizieren. anymize gewährleistet die Vertraulichkeit der Mandantendaten gegenüber dem KI-Anbieter; die fachliche Richtigkeit des Outputs liegt in Ihrer Verantwortung.

Jetzt starten.
14 Tage kostenlos testen.

Alle Modelle. Alle Features. Keine Kreditkarte.

Wir sind überzeugt von anymize. Und wir wissen: Bei einem KI-Werkzeug, das Mandanten-, Patienten- oder Mitarbeiter-Daten berührt, reicht ein Demo-Video nicht. Deshalb 14 Tage voller Zugang – alle Modelle, alle Features, keine Kreditkarte. Genug Zeit, um sicher zu sein, bevor du uns vertraust.

Dein KI-Arbeitsplatz wartet.