Das CSRD-Testat 2026: Wenn Prüfer fragen, woher Ihre KI-generierten Kennzahlen stammen

Eine Nachhaltigkeitscontrollerin bei einem Wave-1-Industrieunternehmen erzählte mir, dass ihr Prüfungsteam fast eine Stunde an einer einzigen Zahl hängen blieb: den Scope-3-Emissionen aus zugekauften Gütern. Es ging nicht um die Methodik. Es ging darum, woher die Zahl stammte. Welches Quellsystem, welche Extraktion, welche Version des Lieferantendatensatzes, wer sie angefasst hat, nachdem das Modell sie erzeugt hatte. Die Zahl war vermutlich korrekt. Sie konnte nur nicht belegen, wie sie auf die Seite gekommen war.

Dieses Gespräch findet inzwischen in jedem Unternehmen statt, das eine Nachhaltigkeitserklärung abgeben muss, und es ist genau das Gespräch, das darüber entscheidet, ob das Testat unterzeichnet wird.

Was sich für 2026 geändert hat

Die Wave-1-Unternehmen, also die großen Unternehmen von öffentlichem Interesse, die bereits unter die Corporate Sustainability Reporting Directive fallen, veröffentlichen 2026 ihre Nachhaltigkeitserklärungen für das Geschäftsjahr 2025, und diese Erklärungen tragen ein Testat mit begrenzter Sicherheit. Das Omnibus-Vereinfachungspaket der EU hat den Anwendungsbereich gestrafft und die Fristen für spätere Wellen nach hinten verschoben, doch Wave 1 wurde damit nicht aus der Pflicht entlassen, und die Prüfungspflicht blieb bestehen. Auch der ursprünglich geplante Übergang von begrenzter zu hinreichender Sicherheit wurde gestrichen, sodass die begrenzte Sicherheit auf unbestimmte Zeit der Standard bleibt. Die Prüfung selbst orientiert sich zunehmend am Rahmenwerk ISSA 5000 des IAASB, dem internationalen Standard, der eigens für Nachhaltigkeitsinformationen geschaffen wurde.

Das Wörtchen „begrenzt” führt in diesem Zusammenhang gehörig in die Irre. Eine Prüfung mit begrenzter Sicherheit ist im Grad der ausgedrückten Verlässlichkeit zwar leichtgewichtiger als eine vollständige Abschlussprüfung, doch der Prüfer muss dennoch Prüfungshandlungen konzipieren, nachvollziehen, wie die Zahlen zustande gekommen sind, und beurteilen, ob die Erklärung in wesentlichen Punkten falsch dargestellt ist. Und die Prüfungshandlung, an der KI-gestütztes Reporting scheitert, ist die elementarste von allen: diese Zahl bis zur Quelle zurückverfolgen.

Warum KI die Frage nach der Datenherkunft erschwert, nicht erleichtert

Viele ESG-Teams stützen sich inzwischen auf KI, um Zahlen aus Energierechnungen, Lieferantenfragebögen, ERP-Exporten und den Tabellen des Vorjahres zu ziehen und anschließend Angaben zusammenzufassen und aufzubereiten. Das Ergebnis liest sich sauber. Das Problem ist, was darunter liegt.

Ein Sprachmodell, das eine PDF-Energierechnung liest und einen Verbrauchswert ausgibt, hinterlässt in den meisten Konstellationen keinen dauerhaften Nachweis darüber, welche Zeile in welchem Dokument es gelesen hat, was es mit diesem Wert getan hat oder ob das gelesene Dokument dieselbe Version ist, die dem Prüfer drei Monate später vorgelegt wird. Die Zahl existiert. Die Beweiskette nicht. Wenn ein Prüfer verlangt „Zeigen Sie mir die Quelle für diese Zahl”, dann ist ein Screenshot einer Chatbot-Antwort keine Quelle. Es ist eine Behauptung über eine Behauptung.

Es gibt drei konkrete Schwachstellen, die Prüfer gezielt untersuchen:

• Die Quelle hat sich verändert. Der Lieferant hat Daten erneut übermittelt, das ERP wurde neu extrahiert, jemand hat einen Einheitenfehler korrigiert. Die KI hat gegen Version eins gerechnet; der Bericht zeigt Version drei; und niemand kann sagen, welche Version die ausgewiesene Zahl widerspiegelt.
• Die Rechnung ist undurchsichtig. Ein Emissionsfaktor wurde angewandt, Währungen wurden umgerechnet, ein Rumpfjahr wurde hochgerechnet. Wenn die Berechnung im Denkprozess des Modells stattfand statt in einem expliziten, nachprüfbaren Schritt, lässt sie sich nicht erneut ausführen und bestätigen.
• Die Änderung ist unsichtbar. Ein Mensch hat eine Zahl nachträglich angepasst, nachdem das Modell sie erzeugt hatte. Vielleicht völlig sinnvoll. Doch ohne ein mit Zeitstempeln versehenes Protokoll darüber, wer was wann geändert hat, behandelt das Prüfungsteam die gesamte Zahl als nicht nachprüfbar.

Bei einer einzelnen Kennzahl ist jeder dieser Punkte verkraftbar. Über einige Hundert ESRS-Datenpunkte hinweg summieren sie sich zu einem Testat, das der Prüfer nicht mehr mit gutem Gewissen unterzeichnen kann.

Was „prüfungssicher” tatsächlich verlangt

Streicht man das ESG-spezifische Vokabular, verlangen Prüfer dieselben vier Dinge, die jeder Controller von einem Abschlussprozess fordern würde: Datenherkunft (Lineage), Governance, Dokumentation und Konsistenz. Für KI-gestützte Zahlen übersetzt sich das in konkrete Mechanik.

Versionierte Quellen. Jeder Input, ob Rechnung, Export oder Fragebogen, muss in dem Moment, in dem eine Zahl daraus abgeleitet wird, als feste, identifizierbare Version festgehalten werden. Ändert sich die Quelle, ist das eine neue Version, und die ausgewiesene Zahl bleibt an genau die Version gebunden, auf der sie tatsächlich beruht. Das ist dieselbe Disziplin, die das deutsche GoBD-Regime seit Jahren für Finanzunterlagen verlangt und die nun in den Nachhaltigkeitsdaten ankommt.

Reproduzierbare Berechnungen. Der Schritt, der Kilowattstunden in Tonnen CO2 oder Ausgaben in Landeswährung in eine vergleichbare Basis überführt, muss eine explizite Operation sein, die jedes Mal auf dieselbe Weise abläuft, und nicht eine einmalige Schlussfolgerung, die in einem Prompt verborgen liegt. Geben Sie dem Prüfer die Eingangsgrößen, und er muss beim identischen Ergebnis landen.

Ein lückenloser Audit-Trail. Quellenversion, durchgeführte Berechnung, die erzeugte Zahl und jede nachfolgende Änderung, alles mit Zeitstempel, alles zuordenbar. Das ist das Artefakt, das aus „Vertrauen Sie uns” ein „Hier, prüfen Sie selbst” macht. Wir haben ausführlicher dazu geschrieben, was ein echter Audit-Trail für KI im Finanzwesen enthalten muss, und diese Anforderungen sind für die Prüfung nicht verhandelbar.

Wo die deterministische Engine den Unterschied macht

Auf diese Unterscheidung kommen wir bei Rexfin immer wieder zurück, denn sie trennt eine KI-Demo von etwas, das ein Prüfungsteam akzeptieren wird. Das Sprachmodell ist hervorragend darin, die richtige Zahl zu finden und zu verstehen, was gefragt ist. Für die Berechnung der Zahl ist es das falsche Werkzeug.

Rexfin verbindet sich mit den Systemen, in denen Ihre Daten ohnehin liegen, also Buchhaltungsplattformen, ERPs, Data Warehouses oder hochgeladene Abschlüsse und Angaben, und baut daraus ein einziges abgestimmtes Modell, das mit den zugrunde liegenden Belegen übereinstimmt. Wird eine Zahl benötigt, ruft die KI sie ab; eine separate, deterministische Berechnungs-Engine erledigt die Arithmetik, jedes Mal auf dieselbe Weise. Jedes Ergebnis lässt sich auf eine versionierte Quelle und die exakte Operation zurückführen, die es erzeugt hat. Das Modell rechnet niemals heimlich im Kopf und reicht Ihnen eine selbstbewusste Vermutung. Genau darin liegt der Sinn, die Berechnung über eine deterministische Engine statt über das LLM laufen zu lassen, und genau das macht eine ausgewiesene Zahl verteidigungsfähig statt bloß plausibel.

Bei den Grenzen sollte man ehrlich bleiben. Nichts davon beurteilt, ob Ihre Emissionsmethodik solide oder Ihre Wesentlichkeitsanalyse vollständig ist; das sind Entscheidungen, die Ihr Team verantwortet. Was die Architektur garantiert, ist enger gefasst und für ein Testat dennoch nützlicher: dass jede Zahl, die Sie ausweisen, zurückverfolgt, reproduziert und als seit ihrer Erzeugung unverändert nachgewiesen werden kann.

Das Fazit

Die Prüfungssaison 2026 ist der erste echte Test dafür, ob KI-gestütztes Nachhaltigkeitsreporting der Prüfung standhält. Bestehen werden nicht die Unternehmen mit der beeindruckendsten KI. Bestehen werden jene, die ohne Zögern auf die Frage „Woher stammt diese Zahl?” antworten können, für jede Zahl auf der Seite, und das schon bei der ersten Nachfrage. Wenn Ihre derzeitigen ESG-Werkzeuge saubere Antworten liefern, aber keine Beweiskette, dann haben Sie ein 2026-Problem, das keine noch so gründliche Methodikarbeit lösen wird.

Wenn Sie sehen möchten, wie versionierte Quellen, eine deterministische Berechnungs-Engine und ein Audit-Trail von der Zelle bis zur Quelle an Ihren eigenen Zahlen aussehen, buchen Sie eine Demo und bringen Sie die Zahl mit, die Ihr Prüfer am ehesten hinterfragen wird.