Maurice Müller
Senior Content Manager
Maurice Müller ist Journalist und Content-Stratege mit Erfahrung im Print- und Digitalbereich. Bei Formalize verwandelt er komplexe Compliance- und Regulierungsthemen in klare, praxisnahe Inhalte für Compliance-, Risiko- und Sicherheitsexperten in ganz Europa.
Die wichtigsten Erkenntnisse auf einen Blick:
Der Workaround mit Excel und Copilot ist nachweislich gängige Praxis und keine seltene Ausnahme.
Das eigentliche Problem liegt woanders: Ein System, das zwar Informationen speichert, aber keine konkreten Fragen dazu beantworten kann.
Formalize IQ liefert Antworten, die fest in Ihrem eigenen Account verankert sind, anstatt wie generische KI-Modelle den Kontext nur zu erraten.
Jede Antwort ist exakt auf die Berechtigungen der anfragenden Person zugeschnitten. Das ist im GRC-Umfeld wichtiger als fast überall sonst.
Die meisten Compliance-Teams verfügen bereits über alle Informationen, die sie benötigen. Das Register, das Risikoprotokoll, die Nachweise und die Lieferantenverträge sind alle irgendwo abgelegt. Was die meisten Systeme jedoch nicht können, ist die Beantwortung konkreter Fragen zu diesen Daten. Jemand muss die Antwort immer noch manuell suchen und sie zur Sicherheit an drei weiteren Stellen abgleichen. Das kostet viel Zeit, selbst wenn eigentlich alles in Ordnung ist. Und es dauert noch erheblich länger, wenn tatsächlich ein Problem vorliegt. Genau um diese Lücke geht es im weiteren Verlauf dieses Textes. Sie lässt sich heute viel schneller schließen, als die meisten Compliance-Teams ahnen.
Warum exportieren Compliance-Teams nach Excel, nur um eine Frage zu stellen?
Es ist ein vertrautes Muster und weitaus besser belegt, als den meisten Teams bewusst ist. Jemand exportiert ein Register nach Excel und fügt es dann in Copilot ein. Erst danach stellt die Person die Frage, die das eigene System nicht direkt beantworten konnte. Ein Compliance-Leiter drückte es sehr treffend aus: „Ich exportiere die Daten nach Excel und lasse es durch Copilot laufen, weil mein GRC-Tool keine Fragen beantworten kann.“ Andere Teams automatisieren Teile ihres DORA-Register manuell außerhalb ihres regulären Prozesses. Der Grund dafür ist exakt derselbe. Wieder andere exportieren direkt zu einem externen KI-Agenten, weil das schlichtweg schneller geht als ihre bisherige Alternative.
Die Tools mögen sich unterscheiden, aber der Workaround bleibt immer gleich. Ob der Ausgangspunkt nun eine unzureichend genutzte Plattform oder gar keine Plattform ist, spielt dabei keine Rolle, denn das eigentliche Problem ist identisch. Die Informationen sind vorhanden, aber man kann dem System dazu keine direkten Fragen stellen. Dadurch verlagert sich die Arbeit also an einen anderen Ort. Dadurch wird der Prüfpfad mit jedem dieser Schritte ein wenig länger und schwerer nachvollziehbar.
Was bedeutet es eigentlich, Ihr Compliance-Programm zu befragen?
Es bedeutet im Grunde einen eigenen Chat zu haben, der in dasselbe System integriert ist wie Ihre Compliance Daten. Es handelt sich nicht um ein separates Tool, das daneben angehängt wurde. Jede Antwort basiert auf Ihrem eigenen Account: den von Ihnen eingerichteten Frameworks, den von Ihnen zugeordneten Nachweisen und den Unterlagen.
Das ist ein grundlegend anderer Ausgangspunkt als bei einem allgemeinen KI-Tool, das den Kontext nur anhand der gerade eingefügten Texte errät. Es bedeutet aber auch noch etwas anderes. Eine Antwort kann immer nur so gut und aktuell sein wie die Compliance-Arbeit, die sich bereits im Account befindet, was eine ganz bewusste Funktion ist. Genau aus diesem Grund hält die Antwort später auch vor einem Auditor stand und ist nicht nur in diesem kurzen Moment im Chatfenster schnell verfügbar.
Ein konkretes Beispiel macht dies anschaulicher. Wenn Sie ein herkömmliches KI-Tool fragen, welche Ihrer Lieferanten Zugriff auf Kundendaten haben, kann es nur auf Basis der Daten antworten, die Sie in diesem Moment einfügen. Stellen Sie Formalize IQ dieselbe Frage, berücksichtigt es die Lieferanten, die man tatsächlich bewertet hat, die ihnen bereits zugeordneten Risikodaten und die bereits vorliegenden Nachweise und antwortet auf dieser Grundlage. Es muss nichts eingefügt werden, da diese Informationen bereits im Account vorhanden sind.
Was passiert, wenn zwei Personen mit unterschiedlichen Rollen oder Zugriffsrechten exakt dieselbe Frage stellen?
Diesen Punkt müssen wir in aller Deutlichkeit ansprechen, denn genau danach wird am seltensten gefragt. Fehlt eine strikte Berechtigungsprüfung, verwandelt sich ein Chat für Compliance Aufzeichnungen schnell in eine Hintertür zur Umgehung von Zugriffskontrollen. Man muss nur die richtige Frage stellen, und schon erhält man Informationen, für die man niemals eine Freigabe hatte. Dabei spielt es plötzlich überhaupt keine Rolle mehr, welche Rolle man im System eigentlich hat.
Bei Formalize IQ funktioniert das anders. Wenn zwei unterschiedliche Nutzer dieselbe Frage stellen, erhalten sie auch unterschiedliche Antworten. Jede Antwort beschränkt sich strikt auf die Daten, für die die jeweilige Person eine ausdrückliche Freigabe besitzt. Gerade im GRC-Bereich ist das weitaus entscheidender als bei fast jeder anderen Software. Bei den betreffenden Aufzeichnungen geht es schließlich um Sicherheitsvorfälle, interne Untersuchungen, Lieferantenverträge und Auditfeststellungen. Das sind keine gewöhnlichen Unternehmensdaten. Wer nicht an einer laufenden Untersuchung beteiligt ist, sollte auf eine Frage dazu niemals dieselbe Antwort erhalten wie ein involvierter Mitarbeiter. Und zwar ganz egal, wie diese Frage auch formuliert wird.
Wie funktioniert das bei Formalize IQ konkret?
Zwei Aspekte machen die Antwort nicht nur praktisch, sondern auch vertrauenswürdig.
Erstens basiert alles auf den eigenen Daten und Berechtigungen des Kunden. Das gilt jedes Mal, wenn eine Frage gestellt wird, nicht nur einmal bei der Einrichtung. Zweitens zählt Formalize IQ eine Lösung erst dann als erledigt, wenn sie abgeschlossen und genehmigt ist. Das Durchspielen verschiedener Szenarien und die reine Nutzung des Chats verursachen keinerlei Kosten. Dies führt zu einem zentralen Punkt, den wir ganz klar benennen möchten: Das System ist darauf ausgelegt, Vorschläge zu unterbreiten, nicht eigenständig zu handeln. Nichts wird in einem Datensatz gespeichert, ohne dass eine Person jedes Mal entscheidet, dass dies geschehen soll.
Wir werden die Zeitersparnis nicht beziffern. Jeder Kunde, mit dem wir gesprochen haben, beschrieb die Veränderung anders. Keiner von ihnen nannte uns eine Zahl, die konkret genug war, um sie mit Sicherheit wiederzugeben. Was wir stattdessen sagen können, ist, was tatsächlich passiert. Eine Frage wird gestellt und sie wird direkt aus den eigenen Unterlagen des Kunden beantwortet. Es wird kein separates Toolbenötigt, in das etwas eingefügt werden muss. Auf dem Papier ist es eine kleine Veränderung, im Arbeitsalltag jedoch eine andere Art zu arbeiten.
Erleben Sie live, wie es Ihre eigenen Fragen beantwortet
Bringen Sie eine echte Frage aus Ihren eigenen Compliance-Aufzeichnungen mit. Wir zeigen Ihnen die Lösung lieber in der Praxis, anstatt nur theoretisch darüber zu sprechen.
Wenn Sie speziell mit der ISO 27001 arbeiten, gibt es eine zweite Ebene, die Sie sich ansehen sollten: Wie Formalize IQ sich auf die offizielle Norm stützt und nicht ausschließlich auf Ihren eigenen Account.