Unternehmen übertragen zunehmend komplette Aufgaben an KI-Agenten, von der Überwachung von Informationen bis zur Ausführung bestimmter Aktionen. Diese Autonomie wirft für die Teams, die sie einsetzen, konkrete Fragen auf: Welche Aufgaben sollen delegiert werden, ab wann ist eine menschliche Validierung erforderlich und wie lässt sich vermeiden, dass diese zu einem bloßen Klick verkommt. Gaetan Fron, Senior Sales Manager für Frankreich, Belgien und Luxemburg bei Diligent, einem Anbieter von Lösungen für Governance, Risikomanagement und Compliance (GRC), erläutert die beobachteten Anwendungen in Audit- und Risikomanagementteams.
Agenten, die über Antworten hinausgehen
Die Agenten beschränken sich nicht mehr darauf, Fragen zu beantworten. Sie können Informationen überwachen, Prozesse koordinieren, Arbeiten vorbereiten und die nächste erforderliche Aktion hervorheben. Mit Diligent One können spezialisierte Agenten Risikomanagementteams dabei unterstützen, von periodischen Bewertungen zu einer kontinuierlichen Überwachung überzugehen: Sie überwachen risikobezogene Daten, bereinigen erfasste Daten, koordinieren Bewertungen, mahnen verspätete Aktionen an, eskalieren Probleme an die zuständigen Verantwortlichen und melden neu auftretende Risiken.
Im Bereich der internen Revision können diese Agenten helfen, Audits schneller zu planen und durchzuführen, indem sie relevante Risiken identifizieren, diese mit den Audit-Zielen verknüpfen und bestehende Kontrollen zuordnen. Sie erleichtern auch die Sammlung von Nachweisen, Tests und die Formulierung von Feststellungen. Das Ganze wird vom Orchestrierungsagenten von Diligent One koordiniert, der es Fachleuten ermöglicht, ihre Bedürfnisse in natürlicher Sprache auszudrücken, also mit ihren eigenen Worten statt mit technischen Befehlen. Die Agenten stützen sich auf die in der Plattform gespeicherten GRC-Daten, was ihnen den notwendigen Geschäftskontext gibt, ohne das menschliche Urteilsvermögen zu ersetzen.
Wo die Grenze liegt
Oft werden drei Ebenen unterschieden: der Agent, der vorschlägt, derjenige, der eine Arbeit vorbereitet, und derjenige, der eine Aktion ohne vorherige Validierung ausführt. Für Gaetan Fron hängt die Grenze eher von den Konsequenzen der Aktion ab als von ihrer Komplexität. Ein Agent kann im Hintergrund überwachen, organisieren, Texte verfassen und Empfehlungen formulieren. Er kann auch routinemäßige und reversible Aufgaben ausführen, wie das Senden von Erinnerungen oder die Vorbereitung eines Arbeitsprozesses, im Rahmen klar definierter Berechtigungen.
Jede Aktion hingegen, die die Risikoexposition der Organisation verändert, eine erfasste Daten ändert, das Unternehmen bindet oder zur Veröffentlichung eines offiziellen Berichts führt, sollte seiner Ansicht nach eine explizite menschliche Genehmigung erfordern. « Die Agenten können die Arbeit übernehmen; Entscheidungen, die die Organisation binden, bleiben in der Verantwortung der Menschen. »
Um eine von einem Agenten vorbereitete Arbeit zu bewerten, ohne ihren Verlauf verfolgt zu haben, muss jede Empfehlung die zugrundeliegenden Nachweise darlegen, ihre Begründung erklären und mit einem Aktionsverlauf versehen sein. Die für die Validierung zuständigen Personen müssen die Quelle, die Annahmen und die vorgeschlagene Aktion hinterfragen können und nicht nur auf « genehmigen » klicken. Laut Gaetan Fron basiert der Ansatz von Diligent auf Ergebnissen, deren Quellen zitiert und nachvollziehbar sind, die der Nutzer korrigieren oder verwerfen kann, mit Genehmigungsschritten für Aktionen, die die Organisation binden.
Eine Arbeit, die sich auf die Analyse konzentriert
Das menschliche Urteilsvermögen bleibt unverzichtbar, sobald eine Verantwortung übernommen wird. Fachleute müssen den Kontext interpretieren, bestimmen, was wichtig ist, und die Schlussfolgerungen gegenüber der Geschäftsführung, dem Aufsichtsrat oder den Regulierungsbehörden vertreten.
Die Delegation verändert laut Gaetan Fron die Natur der Arbeit selbst. Die Teams wechseln von der administrativen Prozessverwaltung zum strategischen Handeln: Statt Nachweise anzufordern, Register zu aktualisieren oder Präsentationen vorzubereiten, können Risiko- und Audit-Fachleute die Ursachen von Problemen analysieren, neu auftretende Risiken antizipieren und der Geschäftsführung die eigentlichen Herausforderungen erklären. Das Ziel, so präzisiert er, sei nicht, die Anzahl der Experten zu reduzieren, sondern ihnen zu ermöglichen, ihre Expertise dort zu konzentrieren, wo sie den größten Wert schafft.
Für ein Team, das gerade beginnt, empfiehlt er, mit einem klaren und gut abgegrenzten Anwendungsfall zu starten, dessen Wert leicht erkennbar und dessen Ergebnis einfach überprüfbar ist. Sobald dieser erste Fall gemeistert ist, kann der Umfang schrittweise erweitert werden, wobei die menschliche Verantwortung für Entscheidungen, die die Organisation binden, erhalten bleibt.
