Wie die Interne Revision KI-Risiken kontrollieren kann

Unter Berücksichtigung all dieser konkurrierenden Anforderungen müssen CAEs einen Weg für eine KI-Governance finden, die eine festgelegte KI-Strategie als Grundlage für unterstützende Richtlinien, Verfahren und das Geschäftsmodell beinhaltet. Die rasante Entwicklung der KI erfordert die Mitwirkung verschiedener Führungskräfte und Risikoausschüsse, um die Verteidigungslinien für eine wirksame Überwachung und Steuerung von Programmrisiken zu aktivieren, Schutz vor negativen Auswirkungen zu bieten und gleichzeitig Innovationen und betriebliche Effizienz zu fördern. Diese Personen bzw. Personengruppen sollten ein übergreifendes Rahmenwerk sowie übergreifende Methoden, Rollen und Verantwortlichkeiten genehmigen.

Entlang der ersten Verteidigungslinie müssen die operativen Teams in den risikobehafteten Geschäftsbereichen Zugang zu Tools und Schulungen haben, um KI-Risiken identifizieren und steuern zu können. Sie sollten eine Kultur des Risikobewusstseins fördern und proaktive Risikomanagementpraktiken unterstützen. Dies umfasst beispielsweise die Verantwortung für das Management von Anbietern, die KI und maschinelles Lernen nutzen, sowie die Durchführung von Vertragsprüfungen. Darüber hinaus beinhaltet es die Verwaltung von Datenschutzaspekten wie zum Beispiel Verbraucherinformationen und Anfragen zum Opt-out oder zur Löschung von Informationen.

In der zweiten Verteidigungslinie sollten die Risiko- und Compliance-Funktionen eindeutige Risikomanagementrichtlinien und -rahmenwerke festlegen, die auf die KI-Ziele des Unternehmens abgestimmt sind. Diese sollten der ersten Verteidigungslinie als Orientierung und Unterstützung bei der Implementierung von Kontrollen dienen und eine kontinuierliche Verbesserung der Risikomanagementpraktiken sicherstellen. Diese Funktionen würden ihre traditionellen Aufgaben erfüllen, indem sie beispielsweise Modellerprobungen und Leistungsbewertungen für KI durchführen sowie Risiken bewerten und Kontrollen in Bezug auf Datensicherheit, Datenschutz und weitere wesentliche Risiken für große Sprachmodelle einrichten.

Als dritte Verteidigungslinie hat die Interne Revision im Hinblick auf verantwortungsvolle KI eine wichtige Rolle zu erfüllen, genau wie bei jeder anderen Technologie, die neben den Risiken auch ein enormes Potenzial bietet. Die Interne Revision handelt in drei Schwerpunktbereichen:

1. Einbeziehung in die KI-Governance: Die Interne Revision wird auf verschiedenen Ebenen einbezogen werden müssen, je nachdem, ob die KI-Governance föderal oder dezentral strukturiert ist oder ob sie sich noch im Aufbau befindet beziehungsweise noch nicht bei einem zentralen Team angesiedelt wurde.
2. Prüfung der Performance von KI-Rahmenwerk und -Governance sowie der KI-Systeme und ­Produkte: Hierbei kann es sich um Vorbereitungsarbeiten für großflächige Rollouts handeln oder um die Durchführung weiterer Compliance-Audits zur Überprüfung der Einhaltung eines Regulierungsrahmens sowie um Audits der Anwendungsfälle als solche: Prüfung der verwendeten KI-Systeme oder -Lösungen, die sich im Laufe der Zeit als risikobehaftet erweisen oder durch unsachgemäße Dateneingabe eine Risikoquelle darstellen können.
3. Steigerung des Unternehmens-IQ durch verantwortungsvolle KI: Die Interne Revision kann Governance-Ausschüsse unterstützen und andere Möglichkeiten des Wissensaustauschs finden. Sie kümmert sich um die Ausgestaltung des Kontrollumfeldes, spricht gegebenenfalls Empfehlungen aus, harmonisiert die Taxonomie/Sprache, die sich in der KI herausbildet, und sorgt dafür, dass sie im Unternehmen verstanden wird. Diese Erkenntnisse ergeben sich im Rahmen der von der Internen Revision durchgeführten Audits der verschiedenen Funktionen, Prozesse und Aktivitäten.

Die abstrakte Macht der KI und das Ausmaß, in dem jede Funktion in jeder Branche auf KI-gestützte Anwendungsfälle zurückgreifen kann, machen ohne allgemein gültigen Ansatz bereits den Einstieg zu einem schwierigen Unterfangen. Solche Überlegungen können der Internen Revision helfen, den Dialog zu beginnen oder zu vertiefen.

Strategie

• Ist das Geschäftsmodell Ihres Unternehmens auf die schnell zunehmenden Chancen durch KI und die Minderung von KI-bezogenen Risiken vorbereitet?
• Hat Ihr Unternehmen KI in die strategische Entscheidungsfindung und die Analyse von Business Cases und Vorteilen einbezogen?
• Wie sieht die interne und externe Kommunikationsstrategie Ihres Unternehmens in Bezug auf KI aus?
• Verfügt Ihr Unternehmen über die richtigen externen Allianzen und Partnerschaften, um seine KI-Ziele zu erreichen?
• Wie definiert Ihr Unternehmen den langfristigen Wert von KI?

Governance

• Wie weit ist Ihr Programm für eine verantwortungsvolle KI fortgeschritten? Befinden Sie sich in der frühen Entwicklungsphase, skalieren Sie oder optimieren Sie die Effizienz unter Berücksichtigung der aufkommenden Bedürfnisse der Stakeholder?
• Gibt es in Ihrem Unternehmen einen formalen Ausschuss, der sich mit KI-Governance befasst?
• Welche Rolle spielt das Management bei der Festlegung der KI-Strategie und der Steuerung der damit verbundenen Risiken?
• Verfügt Ihr Unternehmen über eine KI-Risikorichtlinie?
• Wie ist in Ihrem Unternehmen die Zuständigkeit für KI-Risiken über die drei Verteidigungslinien verteilt?
• Ist sich Ihr Unternehmen der Priorität der KI-Themen über alle Stakeholdergruppen hinweg bewusst?

Risikomanagement

• Hat Ihr Unternehmen erhöhte KI-Risiken in bestehende Rahmenwerke oder Taxonomien aufgenommen?
• Wie überprüft Ihr Unternehmen sein KI-Programm, um sicherzustellen, dass die KI-Initiativen zum angestrebten Ergebnis führen?
• Hat Ihr Unternehmen seine Prozesse und Technologien/Tools analysiert und hinreichende Modelle entwickelt, um den KI-Lebenszyklus steuern zu können?
• Hat Ihr Unternehmen Risiken und Kontrollen in den KI-Lebenszyklus eingebunden?

Kennzahlen und Ziele

• Welche Prozesse für die Inventarisierung, Genehmigung und Überwachung der Fortschritte der KI-Nutzung gibt es?
• Hat Ihr Unternehmen spezifische Messgrößen oder Ziele definiert, um die Auswirkungen von KI zu messen und zu überwachen?
• Wie bewertet Ihr Unternehmen die KI-Performance und wie legt es Zuständigkeiten für die Zielerreichung fest?
• Hat Ihr Unternehmen Berichterstattungs- und Kommunikationskanäle für KI-bezogene Initiativen eingerichtet?

Die Interne Revision muss verstehen, über welche Vektoren KI in ein Unternehmen gelangt und welche geeigneten Kontrollen es für jeden einzelnen Vektor gibt. Das obige Diagramm stellt einen gewöhnlichen Lebenszyklus verantwortungsvoller KI für intern entwickelte Lösungen dar: von der Identifizierung und Priorisierung von Anwendungsfällen über deren Erstellung und Überprüfung bis hin zum Abschluss der Überwachung und Kontrollen, um zu validieren, dass sie funktionieren und nicht beeinträchtigt sind.

• Viele Unternehmen kaufen Lösungen direkt; in diesem Fall ähnelt der Lebenszyklus dem obigen Diagramm.
• Andere kommen über Drittanbieter mit KI in Berührung, zum Beispiel in Software oder Tools, die von einem Anbieter im Rahmen der normalen Leistungserbringung eingesetzt werden und über zusätzliche KI-Funktionen verfügen. In diesem Fall sind Fragebögen zu Risiken durch Dritte unabdingbar.
• Wieder andere tätigen Akquisitionen, mit denen sie zusätzliche Due Diligence in ihre KI-Portfolios integrieren.

Ein integriertes Risikomanagement und Kontrollumfeld für verantwortungsvolle KI umfasst sowohl bestehende Kontrollaktivitäten, die hinsichtlich Cybersicherheit, Datenschutz, Drittparteienrisikomanagement, Recht und Compliance überprüft und neu bewertet werden müssen, als auch neue Kontrollaktivitäten in denselben Bereichen. Zusätzlich beinhaltet es Modellrisikomanagementkontrollen über den gesamten Lebenszyklus der KI-Entwicklung und -Beschaffung hinweg.

Selbstverständlich haben alle Unternehmen unterschiedliche Ausgangspunkte und etablierte Prozesse, auf denen sie aufbauen können. CAEs sollten sich ständig fragen, an welchem Punkt des Weges zu verantwortungsvoller KI sich ihr Unternehmen gerade befindet: Beginn eines Programms, Skalierung der Kapazitäten oder Optimierung?

Um immer einen Schritt voraus zu sein, sollten CAEs die Maßnahmen kennen, die Unternehmen ergreifen, um ihre Geschäftsmodelle und Kapazitäten hinsichtlich Governance und Risikomanagement in Bezug auf verantwortungsvolle KI aufzubauen oder zu verbessern – ganz egal, ob die betreffende Technologie in der Internen Revision (IR) oder zur Überwachung des Geschäftsbetriebs implementiert werden soll. Es ist ihre Aufgabe, den gesamten Prozess von der Planung bis zur Neubewertung zu betrachten und dabei ihr Wissen über das Unternehmen und die beteiligten Akteure einfließen zu lassen. Durch die Kombination eines besseren Verständnisses von Risiko und Risikominderung mit überragenden technischen Fähigkeiten gewinnen CAEs und andere Führungskräfte die Sicherheit, souverän in die Zukunft zu gehen.

Hier erfahren Sie, wie Sie zwei der wichtigsten Kundenfragen zur Beurteilung der KI-Readinesss beantworten.