SR 11-7 ist Geschichte: Was das Model-Risk-Rahmenwerk 2026 für KI im Finanzwesen bedeutet

Am 17. April 2026 haben die Federal Reserve, das OCC und die FDIC gemeinsam jene Leitlinie außer Kraft gesetzt, die das Model Risk im US-Bankenwesen fünfzehn Jahre lang bestimmt hat. SR 11-7 aus dem Jahr 2011 wird durch SR 26-2 ersetzt. Wenn Sie irgendeine Form von KI auf Finanzzahlen anwenden, ist dies das Dokument, das nun den Maßstab dafür setzt, was Ihre Aufsicht von Ihnen erwartet.

Die zentrale Änderung ist keine längere Liste von Kontrollen. Es ist das Gegenteil. SR 26-2 ist bewusst prinzipienbasiert. Die Behörden haben ausdrücklich betont, dass die Leitlinie keine durchsetzbaren Standards begründet und dass ein Verstoß allein noch keine aufsichtsrechtliche Beanstandung auslöst. Nachdem Teams ein Jahrzehnt lang SR 11-7 als Compliance-Checkliste behandelt haben, die einmal jährlich abgehakt wird, verlangen die Regulatoren nun etwas Schwierigeres: Urteilsvermögen, fortlaufend angewandt, im Verhältnis zu dem Schaden, den ein Modell anrichten kann.

Das klingt nachgiebiger. Ist es aber nicht.

Von der Checkliste zum Urteilsvermögen

Das alte Rahmenwerk belohnte Papierkram. Sie inventarisierten Ihre Modelle, schrieben Validierungsberichte, hatten eine Vorstandsrichtlinie und konnten bei einer Prüfung auf all das verweisen. Die Artefakte existierten, ganz gleich, ob das Modell im Tagesgeschäft tatsächlich unter Kontrolle war oder nicht.

SR 26-2 stellt stattdessen auf Wesentlichkeit ab. Die erwartete Intensität der Überwachung skaliert mit dem finanziellen Risiko eines Modells und mit dem Gewicht der Entscheidungen, die es vorantreibt. Eine einfache Tabellenkalkulation und ein CECL-Wertberichtigungsmodell gelten nicht länger als dieselbe Kategorie von Sache mit derselben Dokumentationslast. Von Ihnen wird erwartet, dass Sie Ihr Governance-Budget dort einsetzen, wo die Konsequenzen liegen.

Genau hier verdient sich der Begriff „Shift-Left” seinen Platz. In der Softwareentwicklung bedeutet Shift-Left, Fehler früh zu erkennen, an der Stelle, an der Daten und Logik entstehen, statt am Ende in einer abschließenden Prüfung. Die Neufassung von 2026 lenkt das Model Risk in dieselbe Richtung. In den Datenfluss eingebettete Kontrollen schlagen einen Validierungsbericht, der Monate nach dem Produktivgang des Modells geschrieben wurde. Wenn die Eingaben falsch sind, war die Validierung bloß Theater.

Für jeden, der ein LLM in die Finanzberichterstattung einbindet, ist diese Umdeutung das ganze Spiel.

Warum das KI besonders hart trifft

Es gibt eine Ausnahme, die sorgfältig zu lesen ist. Generative und agentische KI werden außerhalb des unmittelbaren Anwendungsbereichs von SR 26-2 gestellt. Die Behörden sagen, Institute sollten solche Systeme vorerst mit ihren bestehenden Risikomanagement-Praktiken steuern, und sie haben eine bevorstehende Informationsanfrage (Request for Information) speziell zu KI angekündigt, einschließlich generativer und agentischer KI.

Verstehen Sie diese Ausnahme nicht als Atempause. Verstehen Sie sie als Warnung, dass die Regeln kommen und dass die bereits in SR 26-2 verankerten Prinzipien die Vorlage bilden. Zwei davon gelten unmittelbar für KI auf Finanzdaten.

Erstens: Das Risiko gehört Ihnen, selbst wenn das Modell jemand anderem gehört. SR 26-2 bekräftigt, dass das Vertrauen auf einen Anbieter die Verantwortung nicht überträgt. Sie können nicht auf OpenAI oder Anthropic verweisen und Ihr Model Risk damit für gesteuert erklären. Das Modell gehört ihnen; das Risiko gehört Ihnen.

Zweitens: Die Überwachung muss im Verhältnis zur Konsequenz stehen. Eine KI, die eine Besprechungszusammenfassung verfasst, ist von geringer Tragweite. Eine KI, die Ihrem CFO mitteilt, die Bruttomarge des Unternehmens habe sich um 180 Basispunkte verändert, und diese Zahl landet in einer Vorstandspräsentation oder einer Covenant-Berechnung, ist ein Modell von hoher Wesentlichkeit, ganz gleich, ob es jemand jemals so genannt hat. Die Zahl trägt Gewicht. Und das Gewicht ist genau das, was das Rahmenwerk nun misst.

Der unbequeme Teil: Das, was die meisten Teams gerade einführen, ein Chatbot, der „Fragen zu den Finanzzahlen beantwortet”, ist genau der Quadrant aus hoher Wesentlichkeit und geringer Kontrolle, den die neue Leitlinie offenlegen soll.

Was die neuen Prinzipien tatsächlich fordern

Reduziert man SR 26-2 auf das, was es von einem KI-auf-Finanzdaten-Stack verlangt, treten drei Forderungen hervor.

Die Zahlen müssen aufgehen. Prinzipienbasierte Governance setzt nach wie vor voraus, dass die Eingaben des Modells stimmen. Wenn Ihre KI aus einem Stapel nicht abgestimmter Exporte liest, hier eine Tabelle, dort eine CSV-Datei, gibt es kein „einziges Modell”, das sich steuern ließe. Es gibt Dutzende widersprüchlicher Antworten, und die Validierung hat nichts Stabiles, woran sie sich messen kann. Die erste Kontrolle ist ein abgestimmtes Finanzmodell, das zum Hauptbuch passt.

Die Mathematik darf keine Vermutung sein. LLMs sind probabilistisch. Sie sind gut in Sprache und schlecht im Rechnen, und sie scheitern stillschweigend, was die schlechteste Kombination für das Finanzwesen ist. Der Fokus von 2026 auf Wesentlichkeit bedeutet, dass die Berechnung hinter einer folgenschweren Zahl verlässlich und reproduzierbar sein muss. Das spricht dafür, das LLM gänzlich aus der Mathematik herauszuhalten und die Zahlen durch eine deterministische Engine laufen zu lassen, sodass dieselbe Frage jedes Mal dieselbe Antwort liefert und die Antwort überprüfbar ist.

Jede Ausgabe muss bis zur Quelle nachvollziehbar sein. Shift-Left-Kontrollen funktionieren nur, wenn Sie sehen können, woher eine Zahl stammt. Eine KI, die eine Zahl ohne Rückweg zu den zugrunde liegenden Transaktionen erzeugt, ist im Sinne der Wesentlichkeit ein nicht validiertes Modell, das wesentliche Ausgaben produziert. Nachvollziehbarkeit ist kein nettes Extra. Im neuen Verständnis ist sie der Prüfpfad, nach dem Ihre Aufsicht fragen wird.

Wo Rexfin ins Bild passt

Genau auf diese Architektur haben wir Rexfin aufgebaut, und die Neufassung von 2026 macht den Fall besser, als wir es könnten.

Rexfin verbindet Ihre Buchhaltungs- und Finanzdatenplattformen, QuickBooks, Xero, NetSuite, Sage, SAP, Oracle oder ein Data Warehouse, oder arbeitet aus hochgeladenen Abschlüssen, und erstellt ein einziges abgestimmtes Finanzmodell, das zum Hauptbuch passt. Das ist die einzige Quelle der Wahrheit, auf die ein Governance-Rahmenwerk tatsächlich verweisen kann. Wenn die KI eine Zahl abruft, ruft sie diese aus diesem Modell ab, nicht aus einem veralteten Export.

Berechnungen laufen durch eine deterministische Engine, nicht durch das Sprachmodell. Das LLM bearbeitet die Frage und die Erläuterung; die Mathematik wird berechnet und ist reproduzierbar. Was-wäre-wenn-Szenarien laufen gegen dieselbe abgestimmte Basis. Und jede Erkenntnis lässt sich bis zu den Quelltransaktionen zurückverfolgen, sodass die Antwort auf „Woher kommt diese Zahl?” ein Klick ist und keine Ermittlung.

Nichts davon macht SR 26-2 zu einem gelösten Problem. Governance ist ein Programm, kein Produkt, und Sie verantworten weiterhin die Richtlinien, die Inventarentscheidungen und die Urteilsfragen zur Wesentlichkeit. Was die Architektur leistet, ist, diese Entscheidungen verteidigbar zu machen. Sie können keine Zahlen steuern, die sich nicht abstimmen lassen, und keine Mathematik, die Sie nicht reproduzieren können. Bringen Sie zuerst das Fundament in Ordnung, und das prinzipienbasierte Regime wird zu etwas, das Sie tatsächlich erfüllen können.

Für die tieferen Mechanismen sehen Sie, wie wir die ergebnisbasierte Validierung für Anbieter-LLMs handhaben, da Sie die Gewichte nicht validieren können, sowie die Referenzarchitektur für einen KI-Kontroll-Stack, die diese Kontrollen zusammenführt. Die vollständige Governance-Säule behandelt die Risiken, die SR 11-7 nie vorhergesehen hat.

Das Rahmenwerk 2026 stellt jeder KI, die Sie auf Ihre Finanzzahlen ansetzen, eine einzige Frage: Können Sie die Zahl belegen? Wenn die ehrliche Antwort nein lautet, ist das die Lücke, die Sie schließen sollten, bevor aus der Informationsanfrage eine Regel wird. Buchen Sie eine Demo, und wir zeigen Ihnen, wie es aussieht, wenn die Antwort ja ist.