Autonome Kontrolltests: Worum handelt es sich und wie funktionieren sie?

Manuelle Kontrolltests sind an ihre strukturellen Grenzen gestoßen. Die SOX-Datenbasis wächst, die Komplexität der Prüfungen nimmt zu, aber die Teams, die diese Arbeit leisten, wurden nicht im selben Maß erweitert.

RPA (Robotic Process Automation) hat geholfen. Es hat menschlichen Experten repetitive Stichproben und die Screenshot-Erstellung abgenommen, die Natur der Arbeit aber nicht verändert. Fachkräfte mussten weiterhin traditionelle Testfälle abstecken, manuelle Abgleiche durchführen, Ausnahmen interpretieren und die Prüfungsdokumentation manuell zusammenstellen.

Agentische KI kann nun Kontrolltests direkt gegen Quellsysteme ausführen, Ausnahmen identifizieren und prüfungsreife Dokumentationen als kontinuierlichen Workflow bereitstellen – statt als Quartals-Sprint. In diesem Beitrag finden Sie eine Definition der Vorgehensweise, eine Abgrenzung zu früheren Automatisierungsmaßnahmen und einen Überblick darüber, was Führungskräfte im Bereich Interne Revision und Compliance erwarten sollten.

Das Wichtigste auf einen Blick:

• Autonome Kontrolltests nutzen KI-Agenten, um mit minimalem menschlichem Aufwand Kontrolltests gegen Quellsysteme auszuführen – sie ziehen Nachweise heran, wenden Testlogiken an, kennzeichnen Ausnahmen und generieren prüfungsreife Dokumentationen in einem kontinuierlichen Workflow.
• Sie stehen eine Stufe über der Automatisierung in Form von RPA und kontinuierlichem Kontrollmonitoring. Die Agenten handeln auf Basis von Parametern, die von Fachkräften definiert wurden, und liefern nachvollziehbare Dokumentationen statt bloßer Warnmeldungen bei Kennzahlen, die über den Toleranzwerten liegen.
• Der Wandel wird von wirtschaftlichen Faktoren vorangetrieben. Laut der SOX-Umfrage 2025 von KPMG lagen die durchschnittlichen Programmkosten im Geschäftsjahr 2024 bei 2,3 Millionen US-Dollar. Für 45 % der Unternehmen war das mehr als im Vorjahr und die Anzahl der einbezogenen Systeme hatte sich seit dem Geschäftsjahr 2022 mehr als verdoppelt.
• Autonome Tests eignen sich am besten für regelbasierte, nachweisorientierte Kontrollen: SOX, FDICIA, MAR, AKI, SOC 2 sowie IT-Compliance-Tests im Rahmen von NIST CSF, ISO 27001 und HIPAA. Kontrollen, die ein hohes Maß an Abwägung erfordern, müssen weiterhin von Menschen durchgeführt werden.
• Die Glaubwürdigkeit hängt vom zugrunde liegenden Datenmodell ab. Autonome Agenten liefern nur dann verlässliche Ergebnisse, wenn sie auf Basis einer einheitlichen Kontrollbibliothek, eines zentralen Nachweis-Repositorys und eines Risikokatalogs arbeiten.

Erfordern SOX- und SOC 2-Kontrolltests immer noch mehrere Wochen manuelle Arbeit pro Quartal?

Die agentische KI von Optro führt Kontrolltests gegen Ihre Quellsysteme aus, generiert prüfungsreife Dokumentationen und läuft auf dem vernetzten GRC-Datenmodell, in dem Ihre Kontrollen und Frameworks bereits hinterlegt sind.

Demo anfordern.

Was sind autonome Kontrolltests?

Mithilfe von KI-Agenten können autonome Kontrolltests mit minimaler menschlicher Anleitung erfolgen. Dabei werden Prinzipien aus dem Bereich der KI-gesteuerten autonomen Softwaretests und Testautomatisierung – die in der Softwareentwicklung und -Engineering seit langem etabliert sind – auf den Compliance-Bereich übertragen. Der End-to-End-Workflow läuft folgendermaßen ab:

• Verbindung mit Quellsystemen und Abruf der für den Test erforderlichen Nachweise
• Anwendung der von Fachkräften definierten Testlogik auf die gesamte Datenbasis oder eine Stichprobe
• Kennzeichnung von Ausnahmen und Zuordnung zur entsprechenden Kontrolle
• Entwurf prüfungsreifer Dokumentationen einschließlich rückverfolgbarer Nachweise und erläuternder Begründung (Reasoning)
• Weiterleitung an Fachkräfte zur Überprüfung und Freigabe

Diese Arbeit wird kontinuierlich durchgeführt, nicht als regelmäßige Aufgabe. Statt quartalsweise eine Stichprobe zu ziehen, kann ein Agent die vollständige Datenbasis oder ausgewählte Stichproben bei jeder Änderung der zugrunde liegenden Daten testen – und Dokumentationen erstellen, die Prüfern zur Freigabe vorgelegt werden können.

Manuelle Tests wurden durch RPA ersetzt, die wiederum durch kontinuierliches Kontrollmonitoring abgelöst wurde. Autonome Tests schließen die verbleibende Lücke, indem sie Begründungen und Dokumentationen hinzufügen.

Autonome Kontrolltests im Vergleich zu automatisierten Kontrolltests und kontinuierlichem Kontrollmonitoring

Diese drei Begriffe werden fälschlicherweise oft synonym verwendet. Die Unterscheidung ist bei der Bewertung von Anbietern und der Festlegung des Programmumfangs wichtig.

• Automatisierte Kontrolltests: Skripte, RPA-Bots oder automatisierte Kontrolltests für IT-Risiko- und -Compliance -Workflows, die eine definierte Aufgabe ausführen, ohne eine Abwägung vorzunehmen. Sie erreichen einen hohen Durchsatz, sind aber nur für eher mechanische Aufgaben geeignet.
• Kontinuierliches Kontrollmonitoring (CCM): Kontinuierliches Monitoring anhand vordefinierter Regeln und Schwellenwerte. CCM informiert Sie, wenn eine Kontrolle fehlgeschlagen ist; es erstellt jedoch weder Prüfungsdokumentationen noch verfolgt es Nachweise bis zur Quelle zurück.
• Autonome Kontrolltests: Agenten führen den Test aus, analysieren Ausnahmen, erstellen Prüfungsdokumentationen und legen die Ergebnisse zur menschlichen Prüfung vor. Eine Fachkraft definiert die Parameter und prüft das Ergebnis – den Rest erledigt der Agent.

Wo agentische KI in den Kontrolltest-Workflow passt

Agentische KI wird in den gesamten Workflow eingebunden, nicht nur am Ende. Fachkräfte legen Testumfang und Toleranzen fest. Agenten übernehmen dann Datenabfrage, Testausführung, Identifizierung von Ausnahmen und Erstellung der Prüfungsdokumentation. Für die Prüfung und Freigabe werden Menschen eingesetzt. Durch diese Aufteilung werden Aufgaben eliminiert, die keine fachliche Abwägung erfordern. Dadurch werden menschliche Tester entlastet, sodass sie ihr Urteilsvermögen dort einsetzen können, wo es einen Mehrwert schafft.

Warum autonome Kontrolltests jetzt unverzichtbar sind

Die Wirtschaftlichkeit manueller Tests war bereits nicht mehr gegeben, bevor die KI eine Alternative bot. Nun treffen zwei Umstände zusammen: auf der einen Seite steigende Programmkosten und eine Belegschaft, die nicht im gleichen Maße mitgewachsen ist, auf der anderen Seite ein agentischer Ansatz, der die Tests – und nicht nur deren Vorbereitung – übernehmen kann.

Die wirtschaftlichen Aspekte manueller SOX- und SOC 2-Prüfungen

Die SOX-Kosten steigen weiter an. Laut der SOX-Umfrage 2025 von KPMG lagen die durchschnittlichen Programmkosten im Geschäftsjahr 2024 bei 2,3 Millionen US-Dollar, 2022 waren es 1,6 Millionen US-Dollar. 45 % der Unternehmen verzeichneten einen Kostenanstieg gegenüber dem Vorjahr. Der durchschnittliche Zeitaufwand stieg im selben Zeitraum um 32 %, von 11.800 auf 15.580 Stunden.

Die Hauptursache für diesen Anstieg ist die Anzahl der einbezogenen Systeme, die sich innerhalb von zwei Jahren mehr als verdoppelt hat – von 17 im Geschäftsjahr 2022 auf 40 im Geschäftsjahr 2024. Jedes neue System bedeutet neue Kontrollen, neue Nachweisanfragen und eine neue Datenbasis für die Tests.

Auch die Interne Revision bleibt davon nicht verschont. In den Internal Audit Hot Topics 2025 von Deloitte wird auf Ressourcenengpässe, Burnout und die Lücke zwischen der steigenden Komplexität der Prüfungen und einer nicht entsprechend mitgewachsenen Belegschaft verwiesen. Obwohl Vorstände und Externe Revisoren kontinuierliche Assurance verlangen, arbeiten die meisten Teams weiterhin im Quartalsrhythmus.

Wo die Automatisierung an ihre Grenzen stößt

RPA hat den Fachkräften die Routinearbeit abgenommen. Skripte rufen Berichte ab, erstellen Screenshots von Dashboards, füllen Vorlagen aus und gleichen Listen ab. Sie konnten jedoch nie beurteilen, ob eine Ausnahme wesentlich ist, ob die Nachweise das Kontrollziel tatsächlich stützen oder ob es sich bei einem markierten Posten um einen echten Befund oder einen Fehlalarm handelt.

Die meisten Programme nutzten Automatisierung lediglich für die Vorbereitungsarbeit, nicht für den Test selbst. Folglich verschob sich der Arbeitsaufwand nur nach hinten, statt komplett zu entfallen.

Der Durchbruch durch agentische KI

Agentische KI definiert den Arbeitsgegenstand neu. Ein Agent automatisiert nicht nur eine Aufgabe, er liefert ein vollständiges Ergebnis: Er prüft eine bestimmte Kontrolle anhand einer bestimmten Datenbasis, dokumentiert Ausnahmen und erstellt eine prüfungsreife Dokumentation. Der Agent entscheidet, welche Nachweise abgerufen werden, wie der Test anzuwenden ist und wie das Ergebnis präsentiert wird.

Dieser Wandel setzt die Vernetzung von GRC-Daten über den gesamten Compliance-Lebenszyklus voraus. Autonome Agenten liefern nur dann verlässliche Ergebnisse, wenn sie auf eine einheitliche Kontrollbibliothek, ein Framework-Mapping, ein Nachweis-Repository und einen Risikokatalog zugreifen können. Ein Sammelsurium aus Tabellenkalkulationen und Laufwerkfreigaben reicht nicht aus.

Manuelle Kontrolltests sind an ihre strukturellen Grenzen gestoßen. Die SOX-Datenbasis wächst, die Komplexität der Prüfungen nimmt zu, aber die Teams, die diese Arbeit leisten, wurden nicht im selben Maß erweitert.

RPA (Robotic Process Automation) hat geholfen. Es hat menschlichen Experten repetitive Stichproben und die Screenshot-Erstellung abgenommen, die Natur der Arbeit aber nicht verändert. Fachkräfte mussten weiterhin traditionelle Testfälle abstecken, manuelle Abgleiche durchführen, Ausnahmen interpretieren und die Prüfungsdokumentation manuell zusammenstellen.

Agentische KI kann nun Kontrolltests direkt gegen Quellsysteme ausführen, Ausnahmen identifizieren und prüfungsreife Dokumentationen als kontinuierlichen Workflow bereitstellen – statt als Quartals-Sprint. Im Folgenden finden Sie eine Definition der Vorgehensweise, eine Abgrenzung zu früheren Automatisierungsmaßnahmen und einen Überblick darüber, was Führungskräfte im Bereich Interne Revision und Compliance erwarten sollten.

So funktionieren autonome Kontrolltests in der Praxis

Bei ausgereiften Implementierungen ist der Workflow im Kern identisch – unabhängig von der zugrunde liegenden Agentenarchitektur. Die End‑to‑End‑Schleife folgt einem konsistenten Ablauf: Fachkräfte definieren Parameter, Agenten sammeln Nachweise und führen Tests aus, Ausnahmen werden bearbeitet und dokumentiert, Menschen übernehmen die abschließende Prüfung und Freigabe.

Von Fachkräften definierte Parameter und menschliche Aufsicht

Fachkräfte definieren die Kontrolle, Testfälle, Testlogik, Datenbasis, Toleranzschwellen und die Kriterien einer Ausnahme. Agenten übernehmen diese Parameter. Sie entwickeln keine eigenen Testansätze und definieren Kontrollziele nicht neu.

Die Aufsicht bleibt konfigurierbar: Teams bestimmen, ob die Agenten Prüfungsdokumentationen erstellen und ob sie für die finale Prüfung anhalten oder kontinuierlich laufen und nur markierte Ausnahmen ausgeben sollen. Die richtige Einstellung hängt von der spezifischen Kontrolle, der Risikoeinstufung und den bisherigen Erfahrungen des Teams mit dem Agenten ab.

Erfassung von Nachweisen und Ausführung von Tests

Der Zugriff auf die Quellsysteme ist der entscheidende Faktor. Die Agenten stellen über APIs eine Verbindung zu ERP-Systemen, Cloud-Plattformen, Identitätsanbietern, SaaS-Anwendungen und Ticketing-Tools her und rufen dann die für den Test erforderlichen Nachweise ab – die vollständige Datenbasis, nicht nur eine Stichprobe. Wo Zugriffsbeschränkungen bestehen, macht der Agent sie sichtbar, anstatt sie zu umgehen. Alternativ dazu kann das SOX-Team seinen üblichen Ansatz der stichprobenbasierten Datenerhebung und Nachweiserfassung verfolgen.

Die Testlogik wendet die Vorgaben der Fachkräfte an: Eine Benutzerzugriffsprüfung gleicht Berechtigungen mit genehmigten Zugriffslisten ab; ein Änderungsmanagement-Test führt Produktionsänderungen auf die entsprechenden freigegebenen Tickets zurück. Der Agent führt den Vergleich durch und protokolliert die Ergebnisse.

Behandlung von Ausnahmen und Erstellung von Prüfungsdokumentation

Ausnahmen werden konsistent behandelt: Sie werden der betreffenden Kontrolle zugeordnet, Nachweise werden bis zur Quelle zurückverfolgt, und Erläuterungen werden in natürlicher Sprache verfasst. Die Prüfungsdokumentation enthält die Testlogik, die Datenbasis, Ausnahmen, Nachweise sowie die Argumentation des Agenten in einem einzigen verknüpften Datensatz. Das Ergebnis ist eine Dokumentation in Prüfungsqualität – und nicht ein nachträglich zusammengestelltes Produkt.

Menschliche Prüfung und Freigabe

Die Prüftiefe skaliert mit dem Risiko. Bei Kontrollen, die ein Agent über mehrere Zyklen hinweg fehlerfrei getestet hat, können Fachkräfte eine weniger gründliche Prüfung durchführen – die Logik bestätigen, Ausnahmen überprüfen und freigeben. Kontrollen mit hohem Abwägungsanteil werden intensiver geprüft, etwa mittels Folgefragen, Anforderung zusätzlicher Nachweise und direkter Überprüfung der Argumentation des Agenten.

Für diese Schleife zur Prüfung und Freigabe gibt es die Kontrollmanagement Kontrollmanagement-Lösung von Optro. Seit der Übernahme von Midship im Mai 2026 führen Agenten SOX‑Kontrolltests aus, erstellen prüfungsreife Dokumentationen und leiten sie an die Fachkräfte weiter. Damit schließt die Plattform die Lücke zwischen kontinuierlichen Tests und fachlicher Aufsicht.

Wo autonome Kontrolltests zur Anwendung kommen

Autonome Tests erzielen die größten Effizienzgewinne bei regelbasierten, nachweislastigen Kontrollen– SOX, FDICIA, MAR, AKI, SOC 2-Kriterien – sowie bei Framework-übergreifender IT-Compliance. Die gleiche Anpassungsfähigkeit, die die Softwarequalität für QA-Teams verbessert, kommt auch hier zum Tragen: Die Agenten übernehmen die routinemäßigen Aufgaben, sodass sich die Fachkräfte auf abwägungsintensive Prüfungen konzentrieren können.

AKI und Prozesskontrollen für SOX

Allgemeine IT-Kontrollen für SOX– Benutzerzugriffsprüfungen, Änderungsmanagement, Datensicherung und -wiederherstellung sowie Aufgabentrennung – eignen sich besonders gut. Sie haben eine klare Testlogik, definierte Nachweise und umfangreiche Daten, die von Tests der vollständigen Datenbasis profitieren. Prozesskontrollen wie die Genehmigung von Journaleinträgen, Kontenabstimmungen und Three-Way-Matches folgen der gleichen Struktur.

Tests für SOC 2 und Interne Revision

SOC 2 Trust Services Criteria für Sicherheit, Verfügbarkeit und Vertraulichkeit lassen sich sehr gut in autonome Tests übersetzen – die Nachweise finden sich in Identitätssystemen, Cloud-Konfigurationen und Ticket-Tools, auf die die Agenten zugreifen können. Die Tests der Internen Revision, die sich auf operative und finanzielle Kontrollen erstrecken, folgen derselben Logik.

Framework-übergreifende IT-Compliance-Tests

Hier macht sich die Bibliothek für vernetzte Kontrollen besonders bezahlt. Ein und derselbe Test für eine Benutzerzugriffskontrolle kann gleichzeitig Nachweise für SOX-AKI, SOC 2, NIST CSF, ISO 27001 und HIPAA liefern – sofern das Datenmodell die Kontrollen mehreren Frameworks zuordnet. Ohne diese Zuordnung führt der Agent denselben Test fünfmal durch, ohne dass dadurch ein Effizienzgewinn erzielt wird. Der Beitrag zu GRC im Bereich der Cyber-Sicherheit befasst sich mit den Auswirkungen auf das Datenmodell.

Wo menschliches Urteilsvermögen immer noch unverzichtbar ist

Für manche Kontrollen sind autonome Tests heute noch nicht anwendbar. Kontrollen auf Unternehmensebene, die sich auf den Führungsstil, Bewertungen der Kontrollumgebung oder die Beurteilung des Betrugsrisikos beziehen sowie alle Kontrollen rund um Managementabsichten erfordern nach wie vor Fachleute. Das Gleiche gilt für neuartige Risiken, bei denen der Testansatz selbst noch definiert wird. Autonomes Testen beschleunigt die Arbeit überall dort, wo die Regeln klar sind – die Regeln an sich müssen jedoch von Menschen erstellt werden. Expertenmeinungen zur Automatisierung von IT-Kontrollen untermauern diesen Punkt: Die größten Vorteile ergeben sich aus der Kombination von Automatisierung mit einer stärkeren Konzentration der Fachkräfte auf Bereiche, in denen es auf das menschliche Urteilsvermögen ankommt.

So bewerten Sie die Leistungsfähigkeit autonomer Kontrolltests

Autonome Kontrolltests sind am zuverlässigsten, wenn sie ein vernetztes GRC-Datenmodell nutzen, in dem Kontrollen, Frameworks, Nachweise und Risiken bereits denselben zentralen Datensatz verwenden. Ohne diese Grundlage sind „autonome“ Tests nichts anderes als RPA im neuen Gewand.

Die Antworten auf sechs Fragen zeigen, ob Sie es mit einer echten agentischen Plattform oder mit einer Lösung zu tun haben, bei der nur der Name neu ist: Analysiert der Agent Ausnahmen oder führt er lediglich eine geskriptete Aufgabe aus? Wie umfassend sind die Integrationen mit Quellsystemen? Können Testlogik und Nachweise in einem zentralen Datensatz bis zur Quelle zurückverfolgt werden? Ist die Aufsicht individuell je Kontrolle konfigurierbar? Wir stabil ist das Sicherheitsniveau? Ist das zugrunde liegende Datenmodell tatsächlich vernetzt?

Den größten Nutzen aus autonomen Tests ziehen Teams, die ihre Kontrollen, Nachweise und Frameworks bereits an einem zentralen Ort hinterlegt haben.

Erfordern SOX- und Kontrolltests immer noch mehrere Wochen pro Quartal? Die agentische KI von Optro führt Kontrolltests gegen Ihre Quellsysteme aus, erstellt prüfungsreife Dokumentationen mit rückverfolgten Nachweisen und läuft auf dem vernetzten GRC-Datenmodell, in dem Ihre Kontrollen und Frameworks bereits hinterlegt sind. Demo anfordern.