Three Lines of Defense für KI: Wem gehört die Zahl, wenn das Modell der Autor ist

Ein Controller zeichnet das Quartals-Reporting ab. Diese Unterschrift hatte immer eine konkrete Bedeutung: Ich stehe für diese Zahlen ein, ich kann jede Position verteidigen, und ich weiß, woher jede einzelne stammt. Inzwischen hat ein Agent den Abweichungskommentar entworfen, die Zahlen gezogen und die Kennzahlen berechnet. Der Controller zeichnet weiterhin ab. Aber wem gehört die Zahl tatsächlich?

Das ist die Frage, für deren Beantwortung das Three-Lines-of-Defense-Modell nie gedacht war – und genau diese Frage hält Risikoausschüsse auf dem Weg ins Jahr 2026 nachts wach.

Ein Rahmenwerk, das einen menschlichen Autor voraussetzte

Das Three-Lines-Modell ist das Rückgrat der Governance im Finanzsektor. Das Institute of Internal Auditors hat es 2013 formalisiert und 2020 überarbeitet, und die Struktur ist einfach genug, um sie aus dem Gedächtnis aufzusagen. Die erste Verteidigungslinie verantwortet und steuert die Risiken im operativen Geschäft. Die zweite Linie – Risiko und Compliance – setzt den Rahmen, überwacht und hinterfragt. Die dritte Linie – die Interne Revision – liefert eine unabhängige Prüfungssicherheit, dass die ersten beiden ihre Aufgaben erfüllen.

Es funktioniert wegen einer unausgesprochenen Annahme: Ein Mensch hat die Zahl erstellt. Wenn ein Financial Analyst eine Planung aufbaut, können Sie ihn fragen, warum er eine Abwanderungsquote von 4 % unterstellt hat. Wenn das FP&A-Team das bereinigte EBITDA ermittelt, lässt sich die Formel bis zu einer Zelle zurückverfolgen, die jemand geschrieben hat. Die Verantwortung läuft auf einen Namen zu.

Ein LLM durchbricht diese Kette. Das Modell ist nun faktisch der Autor des Ergebnisses. Es hat die Zahlen ausgewählt, die Schlussfolgerungen gezogen und den Kommentar erzeugt. Es kann für nichts einstehen. Es lässt sich in einem Meeting nicht zur Rede stellen, es erinnert sich zwischen zwei Durchläufen nicht daran, warum es die eine Annahme der anderen vorgezogen hat, und es wird nächsten Dienstag ein leicht abweichendes Ergebnis liefern, wenn Sie es rechnen lassen. Setzen Sie einen nicht-deterministischen Autor in ein Rahmenwerk, das einen menschlichen voraussetzt, und die Linien verwischen genau dort, wo sie am schärfsten sein müssten.

Wo jede Linie tatsächlich versagt

Gehen Sie die drei Linien mit einem Agenten im Prozess durch, und die Risse zeigen sich rasch.

Die erste Linie sollte die Annahmen verantworten. Wenn ein Planer eine Wachstumsrate festlegt, ist die Verantwortung eindeutig. Wenn ein Agent eine Wachstumsrate aus Vorperioden ableitet und sie mitten in einer Planung einfließen lässt – wem gehört diese Annahme dann? Dem Fachanwender, der das Ergebnis übernommen hat, ohne die Annahme zu sehen? Dem Datenteam, das die Anbindung verschaltet hat? Niemandem, in aller Regel – und genau das ist das Problem. Die Annahme wird erst dann jemandem zugeschrieben, wenn sich herausstellt, dass sie falsch war.

Die zweite Linie sollte validieren. Was validieren? Das klassische Vorgehen validierte ein Modell, das Sie öffnen und prüfen konnten. Die Gewichte eines Vendor-LLM können Sie nicht einsehen, und selbst wenn Sie es könnten, sagt die Validierung des letzten Quartals wenig über das Ergebnis dieses Quartals aus, weil derselbe Prompt eine andere Zahl liefern kann. Die Validierung muss vom Modell zum Ergebnis wandern: Was hat das System abgerufen, was hat es berechnet, und stimmt das mit dem Hauptbuch überein?

Die dritte Linie sollte den Nachweis prüfen. Bei einem Menschen ist der Nachweis das Arbeitspapier. Bei einem Agenten, der in natürlicher Sprache über PDFs und Tabellen antwortet, gibt es oft gar keinen Nachweis. Der Agent sagte, der Umsatz sei um 18 % gewachsen. Aus welcher Quelle? Wie berechnet? Ein Prüfer, der die Zahl nicht reproduzieren kann, kann sie auch nicht bestätigen – und „die KI hat es so gesagt” ist keine Prüfungsaussage, die jemand unterschreiben wird.

Die Lösung ist architektonisch, kein neues Richtlinien-Memo

Sie können die RACI-Matrix umschreiben, so oft Sie wollen. Wenn das zugrunde liegende System Ihnen nicht sagen kann, woher eine Zahl stammt und wie sie berechnet wurde, haben die drei Linien nichts zu verteidigen. Die Neuzuweisung der Verantwortung hält nur dann, wenn die Architektur diese Verantwortung beobachtbar macht.

Das bedeutet, dass drei Dinge zutreffen müssen, bevor das Governance-Modell tragen kann:

• Jede Zahl ist bis zur Quelle nachverfolgbar. Nicht „das Modell hat den Geschäftsbericht zusammengefasst”, sondern: Diese Zahl entspricht dieser Position im Hauptbuch, mit einer Herkunft, die sich durchklicken lässt. Erst die Nachverfolgbarkeit erlaubt es der ersten Linie, eine Annahme zu verantworten, statt sie nachträglich zu entdecken.
• Die Rechnung ist deterministisch und reproduzierbar. Dieselben Eingaben ergeben jedes Mal dieselbe Zahl, berechnet von einer Engine und nicht vom Sprachmodell vorhergesagt. Das gibt der zweiten Linie etwas Stabiles zum Validieren und der dritten Linie etwas zum Reproduzieren.
• Schlussfolgerung und Arithmetik sind getrennt. Das LLM darf schlussfolgern, formulieren und erklären. Es darf nicht rechnen. In dem Moment, in dem das Modell die Kennzahl berechnet, haben Sie ihm die Autorschaft über eine Zahl übergeben, die niemand verteidigen kann.

Auf genau dieses Prinzip ist Rexfin ausgelegt. Es verbindet sich mit Ihren Buchhaltungs- und Finanzdatenplattformen (QuickBooks, Xero, NetSuite, Sage, SAP, Oracle, Ihr Data Warehouse) oder mit hochgeladenen Abschlüssen und baut ein einziges abgestimmtes Finanzmodell auf, das mit dem Hauptbuch übereinstimmt. Die KI ruft Zahlen aus diesem Modell ab und führt jede Berechnung über eine deterministische Engine aus, nicht über das LLM. What-if-Szenarien leben in Versionen oberhalb der abgestimmten Basis, niemals in der Basis selbst. Jede Antwort trägt ihre Herkunft bis zur Quelle zurück.

Legen Sie das unter die drei Linien, und die Fragen nach der Verantwortung bekommen wieder Antworten. Die erste Linie verantwortet die Annahmen, weil die Annahmen explizit und sichtbar sind und nicht im verborgenen Schlussfolgern eines Modells vergraben liegen. Die zweite Linie validiert Ergebnisse gegen eine abgestimmte Grundwahrheit, statt auf Gewichte zu schielen, die sie ohnehin nicht sehen kann. Die dritte Linie reproduziert jede Zahl genauso, wie sie eine Formel nachrechnen würde, weil die Zahl deterministisch erzeugt wurde und ihren Nachweis mitführt.

Was das nicht löst

Architektur entlastet niemanden. Eine abgestimmte, nachverfolgbare Schicht macht Verantwortung möglich; sie weist sie nicht zu. Sie müssen weiterhin entscheiden, welcher Mensch welche Annahme verantwortet, wer den Validierungstakt freigibt und was der Agent unbeaufsichtigt tun darf gegenüber dem, was einen Menschen im Prozess erfordert. Das sind Governance-Entscheidungen, und sie gehören in Ihren Risikoausschuss, nicht zu Ihrem Anbieter. Was die Schicht verändert, ist, ob diese Entscheidungen durchsetzbar oder bloß wünschenswert sind.

Sie macht auch aus einer schlechten Annahme keine gute. Wenn die Wachstumsrate falsch ist, berechnet die deterministische Rechnung jedes Mal die falsche Planung – fehlerfrei. Der Sinn der Nachverfolgbarkeit ist nicht Richtigkeit, sondern Verantwortbarkeit. Sie können die falsche Annahme aufspüren, sehen, wer sie verantwortet, und sie korrigieren, bevor sie das Gremium erreicht.

Das Fazit

Die Three Lines of Defense funktionieren für KI im Finanzbereich weiterhin – aber erst, wenn Sie akzeptieren, dass das Modell der Autor ist, und das Fundament so neu aufbauen, dass sich die Autorschaft auf einen Menschen zurückführen lässt. Die Verantwortung für Annahmen, die Validierung von Ergebnissen und die Prüfung des Nachweises laufen alle auf dieselbe Anforderung hinaus: eine abgestimmte Zahlenschicht, in der jede Zahl bis zur Quelle nachverfolgbar und jede Berechnung deterministisch ist. Machen Sie das richtig, und das Rahmenwerk trägt. Lassen Sie es aus, und Sie zeichnen Zahlen ab, die niemand verteidigen kann.

Lesenswert als Nächstes, wie sich die Validierung verändert, wenn Sie die Gewichte nicht sehen können: ergebnisbasierte Validierung für Vendor-LLMs, sowie die umfassendere Verschiebung im Modellrisiko-Rahmenwerk 2026. Die gesamte Säule zur Governance von KI im Finanzbereich steht eine Ebene darüber.

Wenn Sie nachverfolgbare, deterministische Zahlen unter Ihren eigenen drei Linien sehen möchten, buchen Sie eine Demo und bringen Sie eine Zahl mit, die Sie derzeit nicht belegen können.