Welche Kontrollen gibt es, wer führt sie durch, liegt der Nachweis vor, und hält die Kontrolle der Prüfung stand? Die IKS Software von Durava führt das Kontrollregister, sammelt die Durchführungsnachweise der Fachbereiche und zeigt je Kontrolle, worauf ihre Wirksamkeit beruht. Teil der GRC-Plattform mit KI.
Stand: 3. Oktober 2026 · Wo Ihre Daten liegen
Signal an das Risiko; die Neubewertung trifft ein Mensch
Eine IKS-Software führt die Kontrollen eines Unternehmens mit ihren Risiken, Verantwortlichen, Turnus und Nachweisen. Die IKS Software von Durava zeigt je Kontrolle vier Nachweisebenen nebeneinander: Durchführung durch den Fachbereich, Selbsteinschätzung, automatische Messung und Prüfung. Dabei unterscheidet sie zwischen „wird nicht geführt“, „geführt, kein Stand“ und einem vorhandenen Stand. Die KI liest Kontrollen aus Ihren Richtlinien und schlägt sie mit Zitat vor; übernommen wird nur, was ein Mensch bestätigt.
Kontrollen stehen in Richtlinien, Nachweise in Postfächern, Urteile in Prüfberichten. Jede Stelle hat ihren eigenen Stand, und keine weiß von der anderen.
Privilegierte Zugänge werden rezertifiziert.
vierteljährlichRezertifizierung Admin-Konten
jährlichUnberechtigter Zugriff, Kontrolle K-15
wirksamRezertifizierung im 2. Halbjahr nicht nachgewiesen
teilweise wirksamWelche Angabe gilt, klärt sich erst im nächsten Audit.
Fachbereich, zweite Linie und Revision lesen dieselbe Kontrolle.
Sechs Funktionen, jede mit einem Beispiel. Jeder Vorschlag bleibt ein Entwurf, bis ein Mensch ihn übernimmt.
Aus Richtlinien und Prozessbeschreibungen schlägt die KI Kontrollen vor, mit Art, Turnus, Ausführung, verantwortlicher Rolle und den Risiken, die sie begrenzen, jede mit Seite und Zitat. Steht eine ähnliche Kontrolle schon im Register, sehen Sie den Hinweis vor der Übernahme.
Steht Ihre Matrix in einem Dokument, liest die KI Risiken, Kontrollen und ihre Zuordnungen aus. Eine Excel-Matrix liest Durava als Liste oder Kreuztabelle. Alles landet zur Sichtung.
In einer Prüfung beurteilt Durava die Ausgestaltung einer Kontrolle gegen die erwarteten Gestaltungselemente. Die KI benennt Lücken und Stärken, jede mit Zeilenbeleg aus der Kontrollbeschreibung; Aussagen ohne Beleg werden verworfen.
Die KI schlägt die Prüfeinstellung vor: welche Spalten der vorgelegten Liste gemeint sind und welches Prüfmuster greift. Fehlt der Turnus, liest sie ihn mit nachgeprüftem Zitat aus der Verfahrensanweisung. Geprüft wird nach festen Regeln, jede Abweichung einzeln belegt.
Zu einer Kontrolle sucht die Plattform passende Anforderungen in allen übernommenen Regelwerken; auf Wunsch beurteilt die KI, ob die Kontrolle sie inhaltlich trägt. Für offene Anforderungen schlägt sie Kontrollen aus Ihrem Bestand vor.
Der Assistent beantwortet Fragen zum Kontrollregister, findet Kontrollen und fasst ihren Stand zusammen. Anlegen oder ändern darf er nur nach Ihrer Bestätigung.
Wirksamkeit ist keine einzelne Ampel. Die IKS Software zeigt, worauf ein Urteil beruht, und wo nichts vorliegt.
Die Kontrollverantwortlichen belegen, dass die Kontrolle zum fälligen Termin lief; die zweite Linie bestätigt.
Die Kontrollverantwortlichen schätzen ein, ob die Kontrolle wirkt, gestützt auf die dokumentierten Durchführungen.
Ein regelmäßiger Abgleich gemessener Werte mit gepflegten Soll-Werten zeigt, ob ein messbarer Zustand im Soll liegt.
Die Revision prüft Angemessenheit und Wirksamkeit unabhängig; ihr Urteil schreibt die Wirksamkeit der Kontrolle fort.
Vom Kontrollregister bis zum Wirksamkeitsbericht, jeder Baustein mit einem Beispiel aus der Arbeit.
Kontrollen mit Art, Turnus, Ausführung und Prüfungsaussage, geordnet in anpassbaren Kontrollbereichen. Der Startbestand bringt 9 Bereiche mit 43 Gruppen mit.
Fällige Durchführungen erscheinen nach Turnus im Portal der Fachbereiche. Die Kontrollverantwortlichen laden den Nachweis hoch; die zweite Linie bestätigt oder weist mit Begründung zurück, auf Wunsch im Vier-Augen-Prinzip.
Eine Vorgabe Ihres Hauses und Regeln nach Art, Ausführung und Kontrollbereich bestimmen, wie oft und ab wann eine Kontrolle zu prüfen ist.
Die Wirksamkeit prüfen Sie über Grundgesamtheit, Stichprobe und Abweichungsquote, auch geschichtet. Das Urteil schreibt die Wirksamkeit der Kontrolle fort, mit dem Vermerk, dass es aus der Prüfung stammt.
Die Matrix entsteht aus den Zuordnungen im Register: welche Kontrolle welches Risiko begrenzt, und welche Risiken noch ohne Kontrolle sind, auch nur die kritischen.
Mängel stufen Sie von „kein Mangel“ bis „wesentliche Schwäche“ ein, Maßnahmen führen Sie mit Verantwortlichen, Frist und Status. Der IKS-Wirksamkeitsbericht fasst den Stand mandantenweit zusammen, auf Wunsch mit einem Würdigungsentwurf der KI, als PDF oder Word.
Matrix importieren, Kontrollen aus Richtlinien vorschlagen lassen und bestätigen.
Bereiche, Verantwortliche und Turnus festlegen, Risiken zuordnen.
Fachbereiche reichen im Portal ein, die zweite Linie bestätigt.
Angemessenheit und Wirksamkeit beurteilen, Bericht ausgeben.
Dieselbe Zugriffskontrolle trägt Anforderungen aus MaRisk, DORA und ISO/IEC 27001. Sie wird einmal geführt, ihr Nachweis zählt für alle.
Ordnen Sie eine Kontrolle Anforderungen aus mehreren Regelwerken zu, wirkt ihr Durchführungsnachweis für alle. Passende Zuordnungen schlägt die Plattform vor; übernommen werden sie von einem Menschen. Wie die Abdeckung je Regelwerk aussieht, zeigt das Compliance-Management.
Die Fachbereiche führen ihre Kontrollen durch und belegen sie im Portal. Die zweite Linie pflegt Kontrollen und Turnus, bestätigt Nachweise und berichtet über die Wirksamkeit. Die Interne Revision prüft auf genau diesen Kontrollen, und ihr Urteil kommt am Kontrollregister an.
Kontrollen sind den Risiken zugeordnet, die sie begrenzen. Ist eine Kontrolle nicht wirksam, entsteht ein Signal an die betroffenen Risiken.
Prüfung mit Stichprobe, Beleg und Urteil; Feststellungen und Maßnahmen bleiben mit der Kontrolle verknüpft.
Die Sicherheitskontrollen des ISMS sind Kontrollen im IKS; die Anwendbarkeitserklärung liest ihren Stand aus dem Register.
Übernommene Strategien und Pläne werden Kontrollen mit Prüf-Turnus, im Kontrollbereich „Betriebsfortführung und Wiederanlauf“.
Abweichungen aus den Prüfberichten der Dienstleister übernehmen Sie als Risiko oder als eigene Kontrolle in dasselbe Register.
Eine Kontrolle deckt Anforderungen aus mehreren Regelwerken zugleich; die Abdeckung zeigt je Regelwerk, was offen ist.
Durava ist für Ihr Haus selbst ein Dienstleister. Deshalb stehen hier die Fakten, die Ihre eigene Sorgfaltsprüfung braucht.
Datenbanken und Dateiablage in Microsoft-Azure-Rechenzentren in Frankfurt und Berlin, der Suchindex der Unterlagen in Schweden. Verschlüsselt bei Übertragung und Speicherung.
Sprachmodelle über Azure OpenAI, verarbeitet in der EU-Datenzone, bereitgestellt in Schweden. Eingaben werden nach Zusage von Microsoft nicht zum Training genutzt.
Anmeldung über das Microsoft Entra ID Ihres Hauses. Mehr-Faktor-Anmeldung und Zugriffsregeln steuern Sie selbst.
Strikte Datentrennung je Mandant auf Datenbankebene; manipulationsgeschützter Prüfpfad mit Prüfsummen-Kette. Auf Wunsch im Azure-Abonnement Ihres Hauses.
Datenblatt, Sicherheitskonzept, Betriebs- und Berechtigungskonzept sowie die Liste der Unterauftragsverarbeiter stellen wir Ihnen auf Anfrage bereit, auch bevor Sie eine Demo vereinbaren. Die Liste nennt Ort und Garantie jedes Dienstes, auch der Graph-Datenbank: Rechenzentrum in den Niederlanden, Anbieter mit Sitz in den USA, abgesichert über EU-Standardvertragsklauseln.
Ein internes Kontrollsystem ist die Gesamtheit der Regelungen und Kontrollen, mit denen ein Unternehmen sicherstellt, dass seine Prozesse ordnungsgemäß, wirtschaftlich und regelkonform ablaufen und wesentliche Risiken begrenzt werden. Für Kreditinstitute verlangen § 25a KWG und die MaRisk ein angemessenes und wirksames IKS; für Finanzunternehmen kommen die Anforderungen aus DORA an das IKT-Risikomanagement hinzu. Eine IKS-Software führt dafür Kontrollen, Verantwortliche, Turnus und Nachweise an einer Stelle.
Das COSO-Rahmenwerk „Internal Control Integrated Framework“ (Fassung 2013) des Committee of Sponsoring Organizations of the Treadway Commission beschreibt fünf Komponenten eines wirksamen IKS: Kontrollumfeld, Risikobeurteilung, Kontrollaktivitäten, Information und Kommunikation sowie Überwachung. Es ist international der verbreitetste Bezugsrahmen für interne Kontrollen. In der IKS Software von Durava stehen die Kontrollaktivitäten mit den Risiken, die sie begrenzen, im Register; Durchführungsnachweise, Selbsteinschätzung und Prüfung bilden die Überwachung ab.
Eine Risikokontrollmatrix ordnet jedem Risiko die Kontrollen zu, die es begrenzen, und macht sichtbar, welche Risiken noch ohne Kontrolle sind. In Durava entsteht sie aus den Zuordnungen im Kontroll- und Risikoregister, auf Wunsch gefiltert auf die kritischen Risiken ohne Kontrolle. Eine bestehende Matrix übernehmen Sie aus Excel, als Liste oder Kreuztabelle, oder lassen sie von der KI aus einem Dokument auslesen.
Die Angemessenheit (Test of Design) beurteilt, ob eine Kontrolle so gestaltet ist, dass sie das Risiko begrenzen kann. Die Wirksamkeit (Test of Effectiveness) beurteilt, ob sie im Prüfungszeitraum tatsächlich so durchgeführt wurde. In Durava wird die Angemessenheit in einer Prüfung gegen die erwarteten Gestaltungselemente beurteilt; die KI benennt Lücken und Stärken, jede mit Beleg aus der Kontrollbeschreibung. Die Wirksamkeit prüfen Sie über Grundgesamtheit, Stichprobe und Abweichungsquote. Das Urteil fällt immer ein Mensch.
In der Abschlussprüfung nach ISA [DE] 315 (Revised 2019): Der Prüfer verschafft sich ein Verständnis vom rechnungslegungsbezogenen IKS und beurteilt Ausgestaltung und Implementierung relevanter Kontrollen. Der Standard hat IDW PS 261 n.F. für Geschäftsjahre abgelöst, die am oder nach dem 15. Dezember 2021 beginnen. Freiwillige Systemprüfungen regeln IDW PS 980 (Compliance-Management-System), IDW PS 981 (Risikomanagementsystem), IDW PS 982 (internes Kontrollsystem des internen und externen Berichtswesens) und IDW PS 983 (internes Revisionssystem). Gemeinsam ist ihnen die Trennung von Angemessenheit und Wirksamkeit, die Durava je Kontrolle getrennt führt.
Im Portal für die Fachbereiche sieht jeder Kontrollverantwortliche, welche Durchführung nach Turnus fällig ist, lädt den Nachweis hoch und reicht ihn zur Attestierung ein. Die zweite Linie bestätigt den Nachweis oder weist ihn mit Begründung zurück, auf Wunsch im Vier-Augen-Prinzip. Jede Handlung bleibt im Verlauf stehen. Zusätzlich können Kontrollverantwortliche eine Selbsteinschätzung mit Beleg abgeben und Kontrollschwächen melden.
Eine Matrix als Excel-Datei liest Durava als Liste oder als Kreuztabelle; steht sie in einem Dokument, liest die KI Risiken, Kontrollen und ihre Zuordnungen aus. In beiden Fällen landen die Vorschläge zur Sichtung, und Sie übernehmen, was Sie bestätigen. Kontrollen, die nur in Richtlinien beschrieben sind, liest die KI als Vorschlag mit Zitat aus. So beginnen Sie nicht bei null, und jede übernommene Kontrolle bleibt mit ihrer Quelle verbunden.
Das legt Ihr Haus fest. In der IKS Software von Durava gibt es dafür eine Vorgabe Ihres Hauses und Regeln nach Art, Ausführung und Kontrollbereich einer Kontrolle; daraus folgt die erste Fälligkeit. Kontrollen, die nach diesen Regeln nie prüffällig würden, erscheinen als eigener Hinweis in der Aufgabenliste.
Ja. Die KI liest Richtlinien und Prozessbeschreibungen und schlägt Kontrollen vor, mit Art, Prüfungsaussage, Turnus, Ausführung, verantwortlicher Rolle, den begrenzten Risiken und dem Zitat aus dem Dokument. Die Vorschläge landen in einer Freigabeliste; steht eine ähnliche Kontrolle schon im Register, erscheint ein Hinweis. Übernommen wird nur, was ein Mensch bestätigt.
Mitgeliefert sind Anforderungskataloge zu MaRisk und § 25a KWG, DORA, ISO/IEC 27001:2022, NIS-2 und dem BSI-Gesetz, der DSGVO, dem Geldwäschegesetz und dem Lieferkettengesetz; sie werden je Haus übernommen. Eine Kontrolle kann mehreren Anforderungen zugleich zugeordnet werden, ein Nachweis wirkt dann für alle. Ihre Kontrollen ordnen Sie nach eigenen, anpassbaren Kontrollbereichen; eigene Regelwerke und interne Vorgaben importieren Sie selbst.
Schließt die Revision ein Prüffeld mit einem Urteil zu einer verknüpften Kontrolle ab, schreibt dieses Urteil die Wirksamkeit der Kontrolle fort, mit dem Vermerk, dass das Urteil aus der Prüfung stammt. Das Prüfungsergebnis ist eine der vier Nachweisebenen der Kontrolle. Ist die Kontrolle ganz oder teilweise unwirksam, entsteht zudem ein Signal zur Neubewertung der betroffenen Risiken.
Sehen Sie in einer persönlichen Demo, wie die IKS Software von Durava Kontrollen, Durchführungsnachweise und Prüfungsurteile je Kontrolle zusammenführt.
