Einsatz von KI im Unternehmen – welche Konsequenzen hat das für die Abschlussprüfung?

Wer Künstliche Intelligenz (KI) für Buchungen, Bewertungen oder Abschlussangaben nutzt, sollte deren Ergebnisse und Kontrollen erklären können. Der IDW Prüfungshinweis „Auswirkungen des Einsatzes von Künstlicher Intelligenz auf die risikoorientierte Abschlussprüfung“ (IDW PH 9.315DE.3 (07.2026)) erläutert, wie Abschlussprüfer den KI-Einsatz im geprüften Unternehmen berücksichtigen. Für Unternehmensleitung, Finanzbereich und Verantwortliche für das interne Kontrollsystem (IKS) ergibt sich daraus eine konkrete Anforderung: Der Abschlussbezug der Anwendungen und die Verlässlichkeit der zugehörigen Prozesse sollten gut dokumentiert und nachvollziehbar sein.

Der Prüfungshinweis konkretisiert die Anwendung von ISA [DE] 315 (Revised 2019) „Identifizierung und Beurteilung der Risiken wesentlicher falscher Darstellungen“ und ISA [DE] 330 „Reaktionen des Abschlussprüfers auf beurteilte Risiken“. Seine Empfehlungen setzen damit am bestehenden risikoorientierten Prüfungsansatz an. ⁠

Was der Prüfungshinweis unter KI versteht

Der Prüfungshinweis übernimmt den KI-Begriff aus IDW PS 861 (03.2023). Dieser Standard behandelt die Prüfung von KI-Systemen und legt fest, wie deren Angemessenheit und gegebenenfalls Wirksamkeit beurteilt werden. Entsprechend dieser Definition liegt eine KI vor, sobald eines der folgenden Merkmale erfüllt ist: 

• datenbasiertes Erstellen von Modellen und deren Anwendung auf neue Daten,
• Lernen anhand von Datenmustern,
• datengetriebene Modelländerungen oder
• Auslesen, Verarbeiten und Interpretieren von Daten zur Informationsgewinnung. 

Wenn-Dann-Regeln, vorgegebene Entscheidungsbäume sowie komplexe Verfahren der deskriptiven oder induktiven Statistik gelten für sich genommen nicht als KI.

Welche Anwendungen für die Abschlussprüfung relevant werden

Die Bestandsaufnahme sollte bei den Unternehmensprozessen beginnen. Überall dort, wo die KI in rechnungslegungsrelevanten Bereichen eingesetzt wird oder in geschäftskritische Prozesse eingebunden ist, wird die Anwendung für die Abschlussprüfung relevant. KI kann in Standardsoftware eingebettet sein, Analysen für eine Bewertung liefern oder eine Kontrolle übernehmen. Auch ein Werkzeug, das lediglich Texte entwirft, kann von Bedeutung sein, wenn diese in Abschlussangaben einfließen. Der Blick allein auf ausdrücklich als KI-Anwendung bezeichnete Programme greift daher zu kurz. 

Risikobeurteilung des KI-Einsatzes

Für die Risikobeurteilung des KI-Einsatzes unterscheidet der Prüfungshinweis zunächst zwischen Zweck und Autonomie der KI. Der Zweck beschreibt, welche Art von Ergebnis die KI erzeugt: Analytische KI wertet Daten aus, erkennt Muster und unterstützt beispielsweise Klassifikationen oder Prognosen. Generative KI erzeugt neue Inhalte, etwa Texte, Bilder oder Simulationen. Die Autonomie zeigt auf, inwieweit die KI selbstständig Entscheidungen trifft und Aktionen ausführt. Reaktive KI antwortet auf an sie gerichtete Anforderungen. Agentische KI handelt innerhalb zuvor festgelegter Grenzen eigenständig.

Ergänzend beschreibt ein Rollenmodell, welche Funktion die KI im Unternehmen übernimmt:

• Assistent: Leistet Zuarbeit nach Anweisung, etwa Übersetzungen von fremdsprachigen Unterlagen oder Entwürfe für Anhangangaben.
• Analyst: Wertet Daten für Entscheidungen aus, etwa durch Absatzprognosen oder Vorschläge für Vorratsabwertungen.
• Operator: Führt Prozessschritte aus, etwa die Zuordnung von Zahlungseingängen zu offenen Forderungen oder die Verbuchung von Eingangsrechnungen innerhalb vorgegebener Grenzen.
• Observer: Überwacht laufende Prozesse, etwa durch Meldungen ungewöhnlicher Buchungen oder Warnungen bei überfälligen Fakturierungen.
• Consultant: Empfiehlt Prozessverbesserungen, etwa klarere Freigaberegeln nach der Analyse verzögerter Rechnungsfreigaben, ohne selbst in den Prozess einzugreifen.

Zweck und Autonomie beeinflussen die konkrete Ausprägung dieser Rollen. Für die Risikobeurteilung gilt es deshalb zu verstehen, welche Aufgaben die KI tatsächlich übernimmt, welche Entscheidungen sie eigenständig treffen darf und wie ihre Tätigkeit überwacht wird.

Eine Risikobeurteilung muss auch die weiteren KI-spezifischen Risiken beleuchten. Nicht repräsentative Trainingsdaten können Ergebnisse verzerren („Selection Bias“). Plausible Antworten können zur ungeprüften Übernahme verleiten („Over-Reliance“). Generative KI kann bei gleichen Eingaben unterschiedliche Ergebnisse liefern.

Nachgelagerte Kontrollen können Prüfung verschlanken

Ein Beispiel zur Vorratsbewertung zeigt die praktische Bedeutung für das Unternehmen. Eine KI kommt zum Einsatz, um Artikel mit möglichem Abwertungsbedarf vorzuschlagen. Eine zuständige und sachkundige Person prüft diese Vorschlagsliste und entscheidet, ob und in welcher Höhe eine Abwertung erforderlich ist. Dabei verbleibt das Risiko, dass die KI weitere Artikel mit Abwertungsbedarf übersehen hat. Die Person gleicht die KI-Liste deshalb mit unabhängig ermittelten Bestandsreichweiten und bspw. Hinweisen des Vertriebs auf auslaufende Produkte ab. Bei auffälligen Artikeln, die auf der KI-Liste fehlen, prüft sie einen möglichen Abwertungsbedarf mit „menschlicher Intelligenz“.

Für die Abschlussprüfung kann eine solche nachgelagerte manuelle oder regelbasierte automatisierte Kontrolle bedeutsam sein. Ist sie geeignet ausgestaltet, kann der Prüfer ihre Wirksamkeit untersuchen, ohne die Funktionsweise der vorgeschalteten KI selbst beurteilen zu müssen. Den KI-gestützten Prozess muss er natürlich dennoch verstehen. 

Die Verlässlichkeit ist über das Geschäftsjahr zu beobachten

Angenommen, die KI wurde überwiegend mit Daten zu Artikeln trainiert, die zwischen einem und sechs Monaten auf Lager liegen. Nach der Übernahme eines Wettbewerbers kommen umfangreiche Bestände hinzu, die bereits seit mehreren Jahren lagern. Damit verändert sich die Verteilung der Eingabedaten (Data Drift), hier des Lageralters. Die KI muss nun wesentlich häufiger Bestände beurteilen, die in ihren Trainingsdaten kaum vertreten waren. Ob sie deren Abwertungsbedarf zuverlässig erkennt, sollte überprüft werden.

Ein anderes Szenario verdeutlicht das KI-spezifische Risiko des Model Drift. Die KI hat gelernt, dass bestimmte Ersatzteile trotz langer Lagerdauer und geringer Verkaufszahlen weiterhin verkäuflich sind, weil Kunden sie über viele Jahre benötigen. Nun wechseln die Kunden auf eine neue Gerätegeneration. Die Nachfrage nach den bisherigen Ersatzteilen bricht dauerhaft weg. Die KI bewertet diese Bestände anhand der bisherigen Zusammenhänge weiterhin als unauffällig und unterschätzt dadurch den Abwertungsbedarf. Der Zusammenhang zwischen den ausgewerteten Merkmalen und der tatsächlichen Verkäuflichkeit hat sich verändert; die Modellleistung verschlechtert sich. Eine menschliche Kontrolle kann dies auffangen, indem sie beispielsweise Informationen des Vertriebs über den Gerätewechsel berücksichtigt.

Für Unternehmen folgt daraus die grundsätzliche Empfehlung sich mit der Arbeitsweise der KI vollumfänglich zu beschäftigen und die Qualität der durch die KI generierten Antworten im Zeitverlauf zu überwachen. Dies sollte einhergehen mit einer Dokumentation der Qualitätsauswertungen, Modell- und Änderungsstände sowie Nachweisen über untersuchte Fehler und menschliche Eingriffe. 

Was Unternehmen für die Abschlussprüfung vorbereiten sollten

Finanzbereich, Fachbereiche, IT und IKS-Verantwortliche sollten gemeinsam vier Schritte angehen:

1. Anwendungen erfassen: Je KI-Anwendung Zweck, Verantwortliche, betroffenen Prozess und Abschlussposten bzw. Angaben festhalten, etwa „Vorratsbewertung – Abwertungsvorschläge – Freigabe durch Lagercontrolling“.
2. Datenweg beschreiben: An einem Vorgang zeigen, welche Daten die KI erhält, was sie entscheidet und wie das Ergebnis gebucht oder offengelegt wird. Modell- oder Produktversion sowie Entscheidungsspielräume festhalten.
3. Kontrollen durchspielen: Festlegen, wer KI-Ergebnisse wann und womit prüft. Auch übersehene Fälle einbeziehen, bei Vorräten etwa nicht markierte Artikel anhand unabhängiger Bestandsdaten prüfen. Für Abweichungen bestimmen, wann nachgeprüft, korrigiert oder die automatische Verarbeitung gestoppt wird.
4. Nachweise sichern: Prüfungsrelevante Eingaben und Ergebnisse, Freigaben, Änderungen und Qualitätsauswertungen über das Jahr nachvollziehbar ablegen, etwa die Quote übersehener Abwertungsfälle. Kontrollnachweise sollten prüfende Person, Datum, Ergebnis und Fehlerbehebung erkennen lassen. Frühzeitig mit dem Prüfer abstimmen, welche Unterlagen in welcher Form benötigt werden.

Der Finanzbereich sollte dabei die fachlichen Bewertungsfragen verantworten, während IT und KI-Verantwortliche die technischen Abläufe und Änderungen erläutern. IKS-Verantwortliche koordinieren die Kontrollen; bei rechtlichen Fragen ist die Compliance-Funktion einzubeziehen.

Fazit

Der IDW Prüfungshinweis 9.315DE.3 wendet die Denkweise des risikoorientierten Prüfungsansatzes konsequent auf den konkreten Fall des Einsatzes von KI im geprüften Unternehmen an. Es wird gezielt nach der Bedeutung für rechnungslegungsrelevante Sachverhalte und geschäftskritische Prozesse gefragt. Eine Kategorisierung der eingesetzten KI-Systeme nach Zweck, Autonomie und Rolle soll dabei helfen die Risiken wesentlicher falscher Darstellungen zu identifizieren und zu beurteilen. Hierbei ist das Vorhandensein Kl-spezifische Risiken wie Model Drift, Data Drift, Selection Bias und Over-Reliance zu prüfen. Sofern nachgelagerte, menschliche oder automatisierte Kontrollen den Einsatz der KI überwachen, kann es ausreichend sein sich im Rahmen der Prüfung mit diesen zu beschäftigen. Dies entbindet nicht von der Notwendigkeit den Einsatz der KI zu verstehen, aber zumindest davon sie im Detail zu beurteilen.