Was Durava ist und für wen, wie die KI prüft, was Durava für Risiko, Kontrollen und Compliance bietet, wie Sie Durava an Ihr Haus anpassen, wo Ihre Daten liegen und wie die Einführung abläuft. Die Antworten beschreiben, was die Plattform heute leistet.
Stand: 9. Oktober 2026
Durava ist eine Plattform mit KI für die Interne Revision und für GRC, entwickelt von der Durava GmbH aus Köln, gegründet 2024. Revisionsabteilungen planen, prüfen und berichten damit. Compliance, Risikomanagement, Informationssicherheit, internes Kontrollsystem, Notfallmanagement und Drittparteienmanagement führen damit ihre Bestände. Die KI liest Ihre Unterlagen und Daten, prüft sie gegen Ihr Prüfprogramm und legt das Ergebnis als Entwurf vor, jede Aussage mit Fundstelle. Übernommen wird nur, was ein Mensch bestätigt. Für das regulatorische Berichtswesen gibt es mit Durava Regulatory Reporting ein eigenes Produkt.
Für Häuser mit einer eigenen Revision oder einer zweiten Linie, die nachweisbar prüfen und steuern müssen. Durava ist im Einsatz bei Banken, Versicherungen, IT-Dienstleistern und Wirtschaftsprüfungsgesellschaften. In der Regel nutzt ein Haus Durava entweder als Revisionssoftware oder als GRC-Plattform der zweiten Linie. Keines der beiden setzt das andere voraus. Wer beides nutzt, arbeitet auf einem gemeinsamen Datenbestand.
Ja. Jedes Unternehmen und jeder Mandant ist in Durava ein eigener, getrennter Bestand. Wer für mehrere arbeitet, erhält Zugriff auf genau diese und wechselt zwischen ihnen. Innerhalb eines Hauses ordnet Durava jede Organisationseinheit ihrer zuständigen Gesellschaft zu. Aufsichtsrechtliche Merkmale wie die Art des Instituts pflegen Sie je Gesellschaft, und sie werden nicht stillschweigend auf andere Gesellschaften übertragen.
Nein. Die KI übernimmt das Lesen, Abgleichen und Vorformulieren: Unterlagen sichten, Anforderungen gegen Richtlinien und Nachweise halten, Abweichungen in großen Beständen finden, Feststellungen und Berichtstexte entwerfen. Die Bewertung, die Einstufung und die Freigabe bleiben bei Ihren Fachleuten. Kein Ergebnis der KI wird wirksam, bevor ein Mensch es geprüft und übernommen hat.
Für eine einzelne Frage an ein Dokument ist ein allgemeiner Assistent ein gutes Werkzeug. Eine Prüfung braucht mehr: Prüfprogramm, Sollwerte und Zuschnitt bleiben in Durava stehen und gelten für jede Prüfung gleich, statt in jedem Gespräch neu beschrieben zu werden. Geprüft wird der ganze Bestand, nicht nur das, was in ein Chatfenster passt. Jede Aussage zu Ihren Unterlagen trägt ihre Fundstelle, und Ergebnisse, Freigaben und Maßnahmen bleiben in der Prüfungsakte erhalten. Mehr dazu unter Warum nicht einfach ChatGPT oder Copilot?
Ja. Durava deckt die Revision von der Jahresplanung über Vorbereitung, Durchführung und Bericht bis zur Nachverfolgung der Maßnahmen ab und lässt sich als Hauptsystem nutzen, auch anstelle von Excel, TeamMate, Diligent One, AuditBoard oder anderen Systemen. Bestehende Prüfprogramme, Arbeitspapiere und Vorlagen aus Word, Excel oder PDF lassen sich einlesen. Ihre Umsysteme integrieren wir bei der Einführung.
Die KI bereitet große Mengen an Unterlagen und Daten auf und wertet sie aus: Sie prüft gegen Regelwerke und Hausvorgaben, gewinnt aus Unterlagen Prozesse, Risiken und Kontrollen, deckt Widersprüche zwischen Dokumenten auf und findet Abweichungen in großen Datenbeständen. Zahlen bestimmt sie nicht: Beträge, Fristen, Stichprobenumfänge, Schweregrade und Erfüllungsgrade rechnet Durava nach hinterlegter Methodik. Gleiche Eingabe, gleiches Ergebnis.
Jede inhaltliche Aussage zu Ihren Unterlagen ist bis auf die Zeile an ihre Quelle gebunden. Ein Klick öffnet das Originaldokument an dieser Stelle. Findet Durava keinen Beleg, gibt die Plattform keine Aussage aus, statt zu raten. Auch ein Sprachmodell kann sich irren. Die Bindung an die Fundstelle sorgt dafür, dass eine unbelegte Aussage nicht als Ergebnis erscheint und dass Sie jede belegte in Sekunden selbst nachlesen können.
Dann lautet das Ergebnis „nicht beurteilbar“ und nicht „nicht erfüllt“. Das sind gegenteilige Aussagen über die geprüfte Stelle: Im einen Fall fehlt der Prüfung eine Grundlage, im anderen hat der geprüfte Bereich einen Mangel. Durava zeigt dazu an, in welchen Unterlagen gesucht wurde, damit eine leere Trefferliste nicht mit einer nie gestellten Frage verwechselt wird.
Beides. Liegt ein Bestand als Tabelle vor, etwa eine Liste von Berechtigungen, Änderungen oder Zahlungen, prüft Durava jede Zeile gegen Ihre Vorgabe. Das findet Abweichungen, die eine Stichprobe strukturell übersieht. Wo eine Stichprobe methodisch geboten ist, wird ihr Umfang nachvollziehbar berechnet und ihr Ergebnis nach derselben Methodik ausgewertet. Voraussetzung für die Vollprüfung ist, dass der Bestand vorliegt. Über nie eingereichte Unterlagen sagt sie nichts.
Mitgeliefert werden Anforderungskataloge und Prüfprogramme zu zahlreichen Regelwerken. Ein Auszug: DORA samt technischer Standards, NIS2 und BSI-Gesetz, ISO/IEC 27001:2022, MaRisk und § 25a KWG, DSGVO, EU AI Act, Geldwäschegesetz, Lieferkettengesetz, Auszüge aus Solvency II, VAG und IDD sowie die Standards der Internen Revision. Unsere Prüfkataloge und Vorlagen entstehen gemeinsam mit Wirtschaftsprüfungsgesellschaften. Weitere Regelwerke und Ihre Hausvorgaben ergänzen Sie als Katalog ohne Programmierung, oder Sie lassen aus Ihren eigenen Unterlagen ein Prüfprogramm erzeugen und sichten es vor der Übernahme.
Alle gängigen Datei- und Dokumentformate: PDF auch als Scan, Office-Dokumente, Tabellen, Präsentationen, E-Mails und Bilder. Durava liest dabei nicht nur den Text, sondern auch Tabellen und die Gliederung eines Dokuments, damit jede Fundstelle genau dorthin führt, wo sie steht. Ausgewertet werden Unterlagen in deutscher und englischer Sprache.
Auf zwei Wegen. Sie laden Unterlagen direkt in die Prüfung oder in den Bestand hoch, auch viele auf einmal. Die Aufbereitung läuft im Hintergrund, und Sie sehen ihren Fortschritt auf der Seite. Und wir binden Ihre Systeme an, damit Unterlagen und Daten von dort übernommen werden. Das richten wir bei der Einführung mit Ihnen ein. Nachweise, die der geprüfte Bereich liefern soll, fordern Sie über das Portal an. Die Lieferung landet bei der Anforderung und den zugehörigen Prüfschritten.
Über ein eigenes Portal für die geprüften Bereiche. Dort beantworten sie Nachweisanforderungen und Auskunftsersuchen, laden Unterlagen hoch, nehmen zu Feststellungen Stellung, melden den Stand ihrer Maßnahmen und zeichnen Freigaben, bei Abwesenheit auch in Vertretung. Nachweise kommen so aus den Fachbereichen in die Prüfungsakte, statt aus dem Postfach.
Den Prüfungsbericht geben Sie als Word- und als PDF-Datei aus. Jede herausgegebene Fassung wird festgeschrieben und bleibt unverändert abrufbar, und Durava zeigt an, ob sich die zugrunde liegenden Ergebnisse seitdem geändert haben. Aufbau, Erscheinungsbild und Begriffe des Berichts legen Sie in eigenen Berichtsvorlagen fest. Listen und Auswertungen leiten Sie als Excel aus, auf Wunsch in Ihre eigene Excel-Vorlage. Die Formatierung Ihrer Datei bleibt dabei erhalten, und eine bereits bearbeitete Liste lässt sich mit dem neuen Stand fortschreiben.
Wer ein Prüffeld durchsieht, hinterlässt Anmerkungen. Der Prüfer beantwortet sie oder erklärt eine Gegenposition, über die dann entschieden wird. Eine unbeantwortete Anmerkung hält das Einreichen auf, eine nicht erledigte die Freigabe. Steht ein günstiges Urteil über einem bekannten Mangel, lässt sich das Prüffeld nur mit einem Vermerk dazu einreichen. Gibt jemand die eigene Arbeit frei, geht das nur mit Begründung, die im Prüfpfad steht. In beaufsichtigten Häusern sperrt Durava es ganz, solange eine andere geeignete Person im Prüfungsteam ist. Vor dem Abschluss zeigt die Prüfungsakte, was noch offen ist, etwa Entwürfe der KI, die noch niemand gesichtet hat.
Jede Prüfung beurteilen Sie gegen ein QS-Prüfprogramm. Ein Standardprogramm liefert Durava mit, eigene Programme stellen Sie je Prüfungsart aus Ihren Qualitätskriterien zusammen. Zu jedem Kriterium legt die KI auf Wunsch einen Urteilsentwurf mit Fundstelle aus der Prüfungsakte vor, einzeln oder für alle offenen Kriterien auf einmal. Gespeichert wird er erst, wenn die verantwortliche Person ihn übernimmt, und seine Herkunft bleibt sichtbar. Ein ungünstiges Urteil braucht eine Begründung. Ist für eine Prüfung eine QS-Beurteilung verlangt, lässt sie sich erst nach deren Zeichnung abschließen. Wird die Beurteilung für eine Prüfung abgewählt, geschieht das mit Begründung. Den Berichtsentwurf gleicht die KI gegen die Prüfungsdaten und Ihre eigene Prüfliste ab und weist auf Abweichungen hin. Auch Ihre Prüfkataloge prüft Durava auf Güte, etwa ob die Bewertungsstufen klar voneinander abgegrenzt sind. Für die Qualitätsbeurteilung der Revisionsfunktion als Ganzes liegt ein Katalog nach DIIR und GIAS bei, den Sie in die Kriterienliste des DIIR ausleiten.
Risikomanagement, internes Kontrollsystem, Informationssicherheit nach ISO/IEC 27001, Business Continuity Management, Auslagerungs- und Dienstleistermanagement mit DORA-Informationsregister sowie Compliance-Management. Alle arbeiten auf demselben Bestand an Prozessen, Anwendungen, Systemen, Dienstleistern, Kontrollen und Nachweisen. Jedes Modul lässt sich einzeln einführen, und jedes weitere nutzt, was schon da ist. Einen Überblick gibt die Seite GRC-Plattform mit KI.
Die KI liest Richtlinien, Verträge, Prozessbeschreibungen und Prüfberichte und schlägt daraus Kontrollen, Risiken, Vertragsangaben und Zuordnungen zu Regelwerken vor, jeweils mit der Stelle im Original. Übernommen wird nur, was ein Mensch in der Freigabeliste bestätigt. Risikostufen, Kritikalität und Wirksamkeitsurteile legt immer ein Mensch fest, nach der Methode Ihres Hauses. So bleibt jede Einstufung einer verantwortlichen Person zurechenbar.
Ja. Eine Kontrolle lässt sich Anforderungen aus mehreren Regelwerken zugleich zuordnen, etwa ISO/IEC 27001, DORA und NIS2, und ihr Nachweis wirkt dann für alle. Zuordnungen schlägt die KI vor, ein Mensch übernimmt sie. Die Abdeckungsansicht zeigt je Regelwerk, welche Anforderungen noch ohne Kontrolle sind. So pflegen Sie dieselbe Kontrolle einmal statt für jedes Regelwerk neu.
Mit einem Register für operationelle und nicht-finanzielle Risiken, das mit Kontrollen, Prüfungen und Dienstleistern verbunden ist. Jede Bewertung wird als Entwurf erfasst und festgeschrieben, sodass frühere Einschätzungen und der Trend erhalten bleiben. Sie legen Risikoappetit und Toleranzgrenzen fest, erfassen Schadensfälle und holen Einschätzungen der Fachbereiche über Bewertungskampagnen ein. Feststellungen, unwirksame Kontrollen und Schadensfälle erzeugen Risikosignale, die eine Neubewertung anstoßen. Mehr unter Risikomanagement.
Kontrollen stehen mit den Risiken, die sie begrenzen, Verantwortlichen und Turnus im Register. Kontrollverantwortliche reichen Durchführungsnachweise im Portal ein, die zweite Linie bestätigt oder weist mit Begründung zurück. Angemessenheit und Wirksamkeit einer Kontrolle werden getrennt beurteilt. Eine bestehende Risikokontrollmatrix übernehmen Sie aus Excel, und Kontrollen, die nur in Richtlinien beschrieben sind, schlägt die KI mit Zitat vor. Mehr unter IKS Software.
Von der Schutzbedarfsfeststellung je Objekt über die daraus folgenden Sollmaßnahmen bis zur Anwendbarkeitserklärung, in der Sie jede der 93 Maßnahmen aus Anhang A mit Begründung anwenden oder ausschließen. Welche Kontrollen eine Maßnahme umsetzen und wie weit sie umgesetzt ist, liest die Erklärung aus Ihrem Kontrollbestand. Ein Nachweis einer Sicherheitskontrolle wirkt zugleich für NIS2, DORA oder die DSGVO, wenn dieselbe Kontrolle die Anforderung trägt. Mehr unter ISMS Software.
Je Geschäftsprozess erfassen Sie in der Business-Impact-Analyse, welcher Schaden mit zunehmender Ausfalldauer entsteht, und halten fest, wie jede Aussage erhoben wurde. Daraus leitet Durava Wiederanlaufziele ab und hält sie gegen die Zusagen der Systeme und Dienstleister, die den Prozess tragen. Fehlt eine Zusage, gilt sie als offen. Pläne, Übungen und Wiedervorlagen stehen am Prozess und an der Ressource. Mehr unter BCM Software.
Dienstleister, Verträge, Unterauftragnehmer und Nachweise stehen in einer Akte. Ein Mensch stuft Funktionen als kritisch oder wichtig ein, welche Dienstleister sie stützen, leitet Durava über die erfassten Abhängigkeiten ab. Das Informationsregister zeigt je Pflichtangabe, ob sie vorliegt oder fehlt, und lässt sich als Excel-Arbeitsmappe je Vorlage ausgeben. Sorgfaltsprüfungen laufen über Fragenkataloge, Vertragsfristen und Turnus werden überwacht. Mehr unter Drittparteienmanagement.
Fachbereiche sehen im Portal, welche Kontrolldurchführung fällig ist, laden den Nachweis hoch, geben Selbsteinschätzungen ab und melden Kontrollschwächen. Dienstleister beantworten Fragenkataloge über einen zweckgebundenen Link, ohne eigenes Konto. Fristen und Wiedervorlagen erinnern die Verantwortlichen rechtzeitig, danach greift die Eskalationsleiter Ihres Hauses.
Fachbereiche und zweite Linie steuern die Risiken, die Interne Revision prüft unabhängig. In Durava arbeiten beide auf demselben Bestand: Das Urteil der Revision schreibt die Wirksamkeit der geprüften Kontrolle fort, Feststellungen und unwirksame Kontrollen erzeugen Risikosignale, und das Restrisiko aus dem Register fließt in die Prüfungsplanung. Ein Haus kann Durava aber ebenso nur in der zweiten Linie oder nur in der Revision nutzen.
Ja, ohne Programmierung. Welche mitgelieferten Prüfprogramme und Kataloge Sie nutzen, wählen Sie an einer Stelle, und Durava schlägt passend zu Branche und Regulierung eine Auswahl vor. Eigene Prüfprogramme und Prüfungsvorlagen pflegen Sie als eigene Fassungen. Bewertungsleitern für Feststellungen legen Sie selbst fest, ausgehend von Vorlagen etwa nach MaRisk, ISO 31000 oder COSO, und die Behebungsfristen folgen aus Ihrer Leiter. Feststellungskategorien bestimmen Sie ebenso. Die Jahresplanung priorisiert nach Ihren eigenen Kriterien und deren Gewichtung. Für die Angemessenheitsprüfung pflegen Sie einen eigenen Sollkatalog und legen fest, wie streng geprüft wird. Mit welchen Worten Ihr Haus Sachverhalte benennt, die ein Kriterium in Normsprache beschreibt, hinterlegen Sie als Hausbegriffe, damit die Suche in Ihren Unterlagen sie findet.
Ja. Im Risikomanagement bestimmen Sie Bewertungsleiter, Risikoappetit und Toleranzgrenzen, Schadensarten, Risikotaxonomie und Messprofil sowie die Regeln, nach denen Risiken den Prüfobjekten zugeordnet werden. Für das interne Kontrollsystem legen Sie Kontrollbereiche und den Prüfturnus der Kontrollen fest. Im Auslagerungsmanagement richten Sie die Kritikalitätsleiter für Dienstleister samt Turnus und Vorwarnfrist ein, im Notfallmanagement die Ableitung der Wiederanlaufziele. Eigene Arten von Prüfobjekten legen Sie mit eigenen Feldern an, mit Auswahlwerten, Pflichtangaben und auf Wunsch als gewichteter Risikofaktor.
Ja. Welche Objekte eine Freigabe brauchen, über welche Stufen sie läuft und wer zeichnet, bestimmen Sie je Objektart, bei Bedarf je Organisationseinheit. Eigene Abläufe gestalten Sie in einem grafischen Ablauf-Designer. Mitgelieferte Abläufe dienen als Ausgangspunkt, und Verbesserungen von uns erreichen Sie als neue Fassung, die Sie übernehmen oder lassen. Erinnerungen und Eskalationsleitern legen Sie je Fristart fest. Für Ihre Prüfungen bestimmen Sie Terminplan, Ankündigung, Turnus der Statusberichte, Fristen für Entwurf, Schlussbericht und Stellungnahme sowie die QS-Pflicht. Rollen legen Sie selbst an und weisen ihnen Rechte zu. Jede Einstellung einer Prüfung erklärt, was sie bewirkt.
Ja. Aufbau, Erscheinungsbild, eigene Abschnittsarten, Abkürzungsverzeichnis und die Bezeichnungen, mit denen Ihr Bericht Bewertungen und Zustände nennt, legen Sie in eigenen Berichtsvorlagen fest. Eigene Excel-Dateien nehmen Sie als Ausgabevorlage auf und ordnen die Felder zu. In welchem Stil die KI Feststellungen und andere Texte entwirft, bestimmt eine Schreibrichtlinie je Feld. Die Vorgaben der Plattform übernehmen, ersetzen oder ergänzen Sie, und Vorschläge dafür leitet Durava aus Schreibproben Ihres Hauses ab.
In Microsoft-Azure-Rechenzentren in der EU: Datenbanken und Dateien in Frankfurt mit Sicherungskopie in Berlin, der Suchindex der Unterlagen in Schweden. Die Sprachmodelle laufen über Azure OpenAI, verarbeitet in der EU-Datenzone und bereitgestellt in Schweden. Welcher Dienst welche Daten an welchem Ort verarbeitet, steht in unserer Liste der Unterauftragsverarbeiter, die Sie auf Anfrage erhalten.
Nein. Wir trainieren keine KI-Modelle mit Ihren Daten. Für die Sprachmodelle in der EU-Datenzone sagt Microsoft zu, Eingaben und Ausgaben nicht zum Training zu nutzen. Zusätzlich ist für Durava die Speicherung von Eingaben zur Missbrauchsüberwachung bei Microsoft abgeschaltet.
Ja. Durava betreibt ein nach ISO/IEC 27001 zertifiziertes Informationssicherheits-Managementsystem. Das Zertifikat erhalten Sie auf Anfrage. Die Plattform läuft in Rechenzentren von Microsoft Azure, die ihrerseits nach ISO/IEC 27001 zertifiziert sind.
Alle Daten sind bei der Übertragung (TLS 1.2 oder höher) und bei der Speicherung verschlüsselt. Die Daten jedes Kunden sind auf Datenbankebene strikt von denen anderer Kunden getrennt. Angemeldet wird über den Identitätsanbieter Ihres Hauses, zum Beispiel Microsoft Entra ID. Mehr-Faktor-Anmeldung und Zugriffsregeln steuern Sie selbst. Innerhalb von Durava regeln Rollen und Berechtigungen, wer was sehen und ändern darf.
Was jemand sehen und ändern darf, regeln Rollen, die Sie je Person vergeben und an Ihr Haus anpassen. Unterlagen und Nachweise einer Prüfung sehen nur die Mitglieder des Prüfungsteams und Personen mit dem Recht für alle Prüfungen, etwa die Revisionsleitung. Eine Freigabe an weitere Personen ist befristet, begründet und im Prüfpfad festgehalten. Risiken, die allein aus der Arbeit der zweiten Linie stammen, etwa aus der Dienstleistersteuerung oder dem Notfallmanagement, fließen nicht von selbst in die Prüfungsplanung der Revision. So bleibt die Revision in ihrem Urteil unabhängig.
Ja. Durava hält fest, wer wann was angelegt, geändert, übernommen oder freigegeben hat, in einer eigenen Datenbank getrennt von den Fachdaten. Die Einträge sind über eine Prüfsummen-Kette verbunden: Eine nachträgliche Änderung lässt sich mit der eingebauten Integritätsprüfung erkennen. Für Qualitätssicherung und externe Prüfer leiten Sie einen Auszug als Datei aus.
Den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit den technischen und organisatorischen Maßnahmen, die Liste der Unterauftragsverarbeiter mit Ort und Garantie jedes Dienstes sowie Datenblatt, Sicherheitskonzept, Betriebs- und Berechtigungskonzept. Sie erhalten die Unterlagen auf Anfrage, auch bevor Sie eine Demo vereinbaren. Ob die Nutzung von Durava für Ihr Haus eine Auslagerung oder eine IKT-Dienstleistung im Sinne von DORA ist und welche Funktionen sie stützt, beurteilen Sie. Die Unterlagen sind darauf ausgelegt.
Sie entscheiden, ob wir Ihre Daten zurückgeben oder löschen. Die Rückgabe erfolgt in einem gängigen, maschinenlesbaren Format. Die vollständige Löschung bestätigen wir auf Anfrage schriftlich. Fristen und Ausnahmen, etwa für gesetzliche Aufbewahrungspflichten, regelt der Auftragsverarbeitungsvertrag.
Ja, im Azure-Abonnement Ihres Hauses. Die Daten bleiben dann in Ihrer Umgebung, und Sie wählen die Region selbst. Wir liefern die Bereitstellung vorkonfiguriert und unterstützen bei der Einrichtung. Einen Betrieb im eigenen Rechenzentrum besprechen wir auf Anfrage.
Wir beginnen mit einer Demo an Ihren eigenen Unterlagen. Danach führen Sie eine echte Prüfung oder einen Ausschnitt Ihres GRC-Bestands als Pilot mit Durava, und wir werten ihn gemeinsam aus. Eine Anbindung an Ihre Systeme ist möglich, für den Einstieg aber nicht nötig: Durava arbeitet mit den Unterlagen, die Sie ohnehin haben. Prüfprogramme, Bewertungsleitern und Vorlagen richten wir mit Ihnen nach Ihrem Haus ein.
Für die Nutzung in unserer Cloud genügt ein aktueller Browser, installiert wird nichts. Die Anmeldung läuft über den Identitätsanbieter Ihres Hauses, zum Beispiel Microsoft Entra ID. Für den Betrieb in Ihrer eigenen Azure-Umgebung brauchen Sie ein Azure-Abonnement. Die Bereitstellung liefern wir vorkonfiguriert und richten sie mit Ihnen ein.
Sie erhalten ein Angebot, das auf Ihr Haus und den Einsatzbereich zugeschnitten ist. Sprechen Sie uns an, wir zeigen Ihnen Durava gern vorab in einer Demo.
Ja. In einer 30-minütigen Demo sehen Sie Durava an Ihren eigenen Unterlagen. Passt es, folgt ein Pilot mit einer echten Prüfung und eine gemeinsame Auswertung. Die Demo ist unverbindlich.
Schreiben Sie uns, oder sehen Sie Durava in einer persönlichen Demo an Ihren eigenen Unterlagen.
