KI-Plattform für Interne Revision und GRC Ihr Team urteilt. Das Lesen übernimmt Durava.
Durava liest, was Ihnen vorliegt: Richtlinien, Verträge, Kontrollnachweise, Berechtigungslisten. Die Plattform hält es gegen Ihr Regelwerk und legt jedes Ergebnis als Entwurf mit Fundstelle vor. Für GRC in der zweiten Linie ebenso wie für die Interne Revision.
| Zeile | Kennung | Name | Rollen |
|---|---|---|---|
| 211 | U-1047 | A. Krüger | Kreditorenstamm |
| 212 | U-1052 | M. Arslan | Zahlungsfreigabe, KreditorenstammAusnahme genehmigt |
| 213 | U-1061 | J. Brandt | Zahlungsfreigabe |
| 214 | U-1068 | B. Weber | Zahlungsfreigabe, KreditorenstammVerstoß |
| 215 | U-1073 | L. Hoffmann | Hauptbuch |
Entwurf zur Durchsicht
Verstoß gegen die Funktionstrennung
B. Weber hält Zahlungsfreigabe und Pflege der Kreditorenstammdaten.
- Berechtigungsliste, Zeile 214
- Unvereinbarkeitsmatrix, Regel 3
Was sich für Ihr Team ändert
Die fachliche Arbeit bleibt bei Ihnen. Was sich ändert, ist der Anteil, der heute aus Lesen, Suchen und Abgleichen besteht.
Bisher: Eine Stichprobe
Jede vorgelegte Zeile
Geprüft wird der ganze vorgelegte Bestand. Befunde, die eine Stichprobe nicht findet, werden sichtbar.
Bisher: Frage für Frage
Ein ganzes Regelwerk auf einmal
Anforderungen und Kriterien laufen über alle Unterlagen zugleich, statt jede einzeln nachzuschlagen. Wo eine Pflicht nicht geregelt ist, fällt es auf.
Bisher: Jedes Jahr von vorn
Die nächste Runde baut auf
Prüfprogramme, Sollwerte, Kontrollen und Nachweise bleiben stehen. Die nächste Prüfung oder Überprüfung beginnt dort, wo die letzte aufgehört hat.
Bisher: Drei Listen, drei Stände
Einmal gepflegt
Eine Kontrolle deckt Anforderungen aus mehreren Regelwerken zugleich ab, ein Nachweis gilt für alle.
Wo setzen Sie an?
Durava trägt die zweite Linie und die Interne Revision. Sie beginnen dort, wo Ihre Aufgabe liegt, und jedes Modul lässt sich einzeln einführen.
Zweite Linie
Governance, Risiko und Compliance
Alle Themen der zweiten Linie auf einem gemeinsamen Bestand von Risiken, Kontrollen und Pflichten.
RisikomanagementInternes KontrollsystemCompliance-ManagementInformationssicherheit (ISMS)Notfallmanagement (BCM)Drittparteien und Auslagerungen
- Eine Kontrolle für mehrere Regelwerke, ein Nachweis für alle
- Kontrollen und Risiken aus Ihren Richtlinien, mit Zitat
- Sie sehen, welche Risiken außerhalb Ihres Risikoappetits liegen und wo eine Toleranzgrenze überschritten ist
- Verträge ausgelesen, bis zum DORA-Informationsregister
Dritte Linie
Interne Revision
Jahresplanung, Prüfung, Bericht und Nachverfolgung in einer Anwendung. Der geprüfte Bereich arbeitet im Portal mit.
JahresplanungPrüfungPortalBerichtMaßnahmenQualitätssicherung
- Eine Jahresplanung, die Sie vor dem Aufsichtsorgan begründen können: woher jedes Thema kommt und was mangels Prüftagen nicht geprüft wird
- Prüfung gegen Ihr Regelwerk über den ganzen vorgelegten Bestand
- Bericht aus Feststellungen, Urteilen und Stellungnahmen, die freigegebene Fassung versiegelt
- Maßnahmen bis zur bestätigten Umsetzung, mit Erinnerung und Eskalation
Zwei Beispiele, eine Arbeitsweise
Eine Aufgabe der zweiten Linie und eine Prüfung der Revision. Beide folgen demselben Muster: Ihr Maßstab, Ihre Unterlagen, Ihr Urteil.
GRC in der zweiten Linie
Wo haben wir bei DORA noch Lücken?
Der Maßstab
Die Anforderungen der DORA, einzeln erfasst. Sie müssen sie nicht abtippen, sondern wählen aus, welche für Ihr Haus gelten.
Ihre Unterlagen
Ihre Richtlinien und Arbeitsanweisungen. Durava zeigt je Anforderung die Stelle, an der sie bei Ihnen geregelt ist, als Zitat.
Ihre Kontrollen
Jede Anforderung wird einer Ihrer Kontrollen zugeordnet. Eine Kontrolle kann dabei Anforderungen aus mehreren Regelwerken zugleich abdecken, etwa aus DORA, NIS2 und ISO/IEC 27001.
Ihr Urteil
Anforderungen ohne Regelung oder ohne Kontrolle stehen als Lücke da. Wie Sie sie schließen, entscheiden Sie.
Interne Revision
Ist die Funktionstrennung eingehalten?
Ihr Maßstab
Ihr Berechtigungskonzept und Ihre Unvereinbarkeitsmatrix: welche Rollen nicht bei derselben Person liegen dürfen.
Ihre Unterlagen
Die Berechtigungsliste als Export aus Ihrem System, dazu die genehmigten Ausnahmen.
Die Prüfung
Durava hält jede Zeile der Liste gegen jede Regel der Matrix. Eine genehmigte Ausnahme, die am Stichtag gilt, bleibt sichtbar, zählt aber nicht als Verstoß.
Ihr Urteil
Jeder Verstoß steht mit Zeile und Regel am Prüfschritt. Ob daraus eine Feststellung wird, entscheiden Sie.
Worauf Sie sich verlassen können
Ein Ergebnis muss die Rückfrage von Vorstand, Aufsicht und Wirtschaftsprüfung aushalten, ob es aus der zweiten Linie kommt oder aus der Revision. Deshalb gelten für jedes Ergebnis feste Regeln.
- Ohne Fundstelle keine Aussage
- Jede inhaltliche Aussage ist zeilengenau an die Quelle zitiert, ein Klick führt zur markierten Stelle. Findet das System keinen Beleg, verweigert es die Aussage, statt zu raten.
- Nichtwissen bleibt sichtbar
- Fehlt eine Unterlage, lautet das Ergebnis „nicht beurteilbar“ und nie „nicht erfüllt“. Ein fehlender Nachweis wird nicht zum Mangel des geprüften Bereichs.
- Gerechnet, nicht geschätzt
- Risikobewertungen, Erfüllungsgrade, Stichprobengrößen und Schweregrade rechnet die Plattform nach hinterlegter Methodik. Gleiche Eingabe, gleiches Ergebnis. Das Sprachmodell formuliert und findet, es bestimmt keine Zahl.
- Der Mensch entscheidet
- Jede KI-Ausgabe ist ein Entwurf. In den Bestand, die Prüfungsakte oder den Bericht kommt nur, was ein Mensch übernimmt.
- Freigaben mit Funktionstrennung
- Wer einreicht, gibt nicht selbst frei. Lässt Ihr Haus eine Selbstfreigabe zu, verlangt die Plattform einen Vermerk, und beides steht im Prüfpfad.
Gemessen an Ihrem Regelwerk
Maßstab sind zuerst Ihre eigenen Vorgaben: Richtlinien, Arbeitsanweisungen, Kompetenzordnung. Greift zusätzlich eine Regulierung, liegt sie als Prüfprogramm bei.
-
Ihre Vorgaben als Sollwert
Was in Ihren Unterlagen steht, wird zum Maßstab, für die Prüfung der Revision ebenso wie für die Abdeckung eines Regelwerks.
-
Mitgelieferte Kataloge und Prüfprogramme
Für verbreitete Regelwerke, zum Übernehmen und Anpassen. Ein weiteres Regelwerk kommt als Katalogdatei hinzu, nicht als Entwicklungsprojekt.
-
Jede Pflicht bis zur Kontrolle
Hausregeln und geltende Regulierung sind verknüpft bis zur Kontrolle und zur Prüfung. Eine Pflicht ohne Kontrolle fällt auf.
Warum nicht einfach ChatGPT oder Copilot?
Für eine einzelne Frage an eine einzelne Datei ist ein allgemeiner KI-Assistent das richtige Werkzeug. Er macht den Einzelnen schneller, die Arbeit selbst macht er nicht größer.
Der Unterschied liegt nicht darin, ob eine KI rechnen und formulieren kann. Er liegt darin, dass in Durava nicht übersprungen werden kann, was ein Ergebnis verteidigbar macht.
Für regulierte Häuser
Gebaut für Banken, Versicherungen und andere Finanzunternehmen sowie für Einrichtungen unter NIS2.
Banken
MaRisk, DORA, GwG
Revision und zweite Linie, risikoorientiert nach Ihren Kriterien.
Für BankenVersicherungen
Solvency II, IDD, DORA
Revision und zweite Linie, bis zur Quelle belegt.
Für VersicherungenIndustrie
IKS, LkSG, Exportkontrolle
Kontrollen und Revision über alle Standorte, einheitlich dokumentiert.
Zum Internen KontrollsystemSicherheit und Betrieb
Zertifiziert, in der EU betrieben, mit menschlicher Letztentscheidung. Datenblatt, Sicherheitskonzept, Betriebs- und Berechtigungskonzept, das Zertifikat und die Liste der Unterauftragsverarbeiter erhalten Sie auf Anfrage, auch vor einer Demo.
Zertifiziertes Managementsystem für Informationssicherheit
Zertifikat auf AnfrageDatenschutz
- Gespeichert in der EU: Datenbank und Dateien in Deutschland, Suchindex in Schweden
- Strikte Datentrennung je Mandant auf Datenbankebene
- Vertrag zur Auftragsverarbeitung
Technische Sicherheit
- Verschlüsselt bei Übertragung und Speicherung
- Anmeldung über Ihr Microsoft Entra ID, mit Mehr-Faktor-Anmeldung
- Rollenbasierte Zugriffe, ein Prüfpfad für jede Änderung
KI-Governance
- Konform zum EU AI Act
- Wir trainieren keine KI-Modelle mit Ihren Daten. Für die Sprachmodelle in der EU-Datenzone sagt Microsoft dasselbe zu.
- Jede KI-Ausgabe ist ein Entwurf, entschieden wird vom Menschen
Ein Produkt, Ihre Betriebsart
Mit jeder Stufe wächst Ihre Kontrolle über den Betrieb, und der Anteil, den Sie selbst tragen.
Ihre Kontrolle
StandardSaaS
Durava hostet und betreibt die Plattform vollständig. Datenbank und Dateien in Deutschland, Suchindex in Schweden, KI in der EU-Datenzone. Kein IT-Aufwand bei Ihnen.
Ihre Kontrolle
OptionSaaS Dedicated
Eigene Infrastruktur und Datenbank für Ihr Haus, getrennt von anderen Mandanten. Betrieb und Updates übernimmt Durava.
Ihre Kontrolle
OptionEigene Azure-Umgebung
Durava läuft im Azure-Abonnement Ihres Hauses, die Daten bleiben in Ihrer Umgebung.
Ihre Kontrolle
Nur auf AnfrageOn-Premise
Betrieb in Ihrem eigenen Rechenzentrum. Ob und in welchem Zuschnitt das für Ihr Haus möglich ist, auch für die KI-Verarbeitung, klären wir im Einzelfall.
Partner und Netzwerk
So fangen Sie an
Der Einstieg ist kein Integrationsprojekt. Begonnen wird mit dem, was bei Ihnen vorliegt.
-
Stammdaten als Liste
Organisation, Prozesse, Systeme, Risiken und Kontrollen, so wie Sie sie heute in Excel führen.
-
Ihre Unterlagen
Richtlinien, Verträge und Nachweise, die ohnehin vorliegen. Eine Anbindung an Ihre Systeme ist möglich, für den Einstieg aber nicht nötig.
-
Ein Ausschnitt Ihrer Arbeit
Ein Regelwerk, das Ihr Haus abdecken muss, oder eine Prüfung aus Ihrem Plan. Wir gehen ihn gemeinsam durch, danach entscheiden Sie.
Sehen Sie Durava an Ihren eigenen Unterlagen.
Wir zeigen die Plattform an Ihren Listen und Dokumenten, zugeschnitten auf Ihre Anforderungen.
Häufige Fragen
Für wen ist Durava?
Für regulierte Unternehmen, vor allem Banken, Versicherungen und andere Finanzunternehmen sowie Einrichtungen unter NIS2. Dort für die Interne Revision und für GRC in der zweiten Linie: Risikomanagement, Internes Kontrollsystem, Compliance, Informationssicherheit, Notfallmanagement und Drittparteien.
Was macht Durava für GRC in der zweiten Linie?
Risikomanagement, Internes Kontrollsystem, Compliance, Informationssicherheit, Notfallmanagement und Drittparteien arbeiten auf einem Bestand von Risiken, Kontrollen und Pflichten. Anforderungen eines Regelwerks werden Ihren Richtlinien und Kontrollen zugeordnet, eine Kontrolle gilt für mehrere Regelwerke, Kennzahlen laufen gegen Ihren Risikoappetit, das Notfallmanagement zeigt je Prozess Stand und nächsten Schritt, und Dienstleisterverträge werden bis zum DORA-Informationsregister ausgelesen. Jedes Modul lässt sich einzeln einführen.
Müssen Revision und GRC gemeinsam eingeführt werden?
Nein. Durava lässt sich in der zweiten Linie oder in der Internen Revision einsetzen, jedes Modul auch einzeln. Arbeiten beide im selben Haus, teilen sie Objekte, Kontrollen und Nachweise, und das Urteil der Revision schreibt die Wirksamkeit der geprüften Kontrolle fort.
Ersetzt Durava unsere Revisions-, Risiko- oder Compliance-Funktion?
Nein. Die Plattform nimmt Lese- und Verwaltungsarbeit ab: Unterlagen sichten, Anforderungen zuordnen, Nachweise zusammentragen. Die fachliche Bewertung, die Risikoakzeptanz und das Prüfungsurteil bleiben bei den Verantwortlichen.
Wie läuft der Einstieg?
Der Einstieg ist kein Integrationsprojekt. Begonnen wird mit Stammdaten als Liste, Ihren Unterlagen und einem Regelwerk, das Ihr Haus abdecken muss, oder einer Prüfung aus Ihrem Plan. Eine Anbindung an Ihre Systeme ist möglich, für den Einstieg aber nicht nötig.
Wo werden meine Daten gespeichert?
Gespeichert in der EU (Datenbank und Dateien in Deutschland, Suchindex in Schweden), KI in der EU-Datenzone. Betrieb dediziert oder in Ihrer eigenen Azure-Umgebung möglich, im eigenen Rechenzentrum nur auf Anfrage. Wir trainieren keine KI-Modelle mit Ihren Daten, und Microsoft sagt dasselbe für seine Modelle zu.
Wie nachvollziehbar sind die KI-Ergebnisse?
Jede inhaltliche Aussage ist zeilengenau an die Quelle zitiert, ein Klick führt zur Stelle im Dokument. Findet das System keinen Beleg, verweigert es die Aussage, statt zu raten. Fehlt eine Unterlage, lautet das Ergebnis „nicht beurteilbar“ und nie „nicht erfüllt“.
Was unterscheidet Durava von ChatGPT?
Für eine einzelne Frage an eine einzelne Datei ist ein allgemeiner KI-Assistent das richtige Werkzeug. Durava lässt ein ganzes Regelwerk oder Prüfprogramm über den gesamten Bestand laufen, misst an Ihren Richtlinien und Ihrer Bewertungsleiter und legt jedes Ergebnis als Entwurf ab, den ein Mensch übernimmt und freigibt.
Welche Regelwerke sind mitgeliefert?
Anforderungskataloge unter anderem zu DORA, NIS2, ISO/IEC 27001, den MaRisk, der DSGVO und dem Geldwäschegesetz, für die Revision dazu Prüfprogramme etwa zu DORA, MaRisk und DSGVO. Ihr Haus übernimmt, was für es gilt, und passt es an. Eigene Regelwerke und interne Vorgaben kommen hinzu.
