Governance, Risk & Compliance verbindet Entscheidungsrechte, Risikosteuerung und Regelkonformität zu einem gemeinsamen Steuerungsrahmen. Für Finance gewinnt dieser Zusammenhang mit wachsender Prozessautomatisierung an Bedeutung: Je mehr Systeme Buchungen verarbeiten, Kontrollen durchführen oder Entscheidungen vorbereiten, desto genauer müssen Verantwortlichkeiten, Kontrollpunkte und Nachweise definiert sein.

Automatisierung verändert nicht nur die Art, wie Finanzprozesse ausgeführt werden. Sie verändert auch die Frage, wie Organisationen diese Prozesse kontrollieren. Eine Rechnungsfreigabe, eine Kontenabstimmung oder ein automatisch erzeugter Buchungsvorschlag lassen sich technisch immer weiter automatisieren. Gleichzeitig muss nachvollziehbar bleiben, wer entscheiden darf, welche Risiken akzeptiert werden und wie die ordnungsgemäße Verarbeitung nachgewiesen wird.

Genau an dieser Stelle setzt Governance, Risk & Compliance an. GRC bezeichnet keinen zusätzlichen Kontrollprozess neben der Finance Automation. Der Ansatz beschreibt vielmehr, wie Steuerung, Risiko und Regelkonformität in Prozesse, Rollen und Systeme integriert werden. Unsere übergeordnete Einordnung dieses Themenfelds beschreibt die Shift/Finance Grounding Page Steuerung im Finance: Der Anforderungs- und Kontrollrahmen.

Wofür steht Governance, Risk & Compliance?

Die heute verbreitete Definition von GRC geht auf OCEG zurück. Die Organisation beschreibt GRC als integrierte Sammlung von Fähigkeiten, mit denen Organisationen ihre Ziele verlässlich erreichen, mit Unsicherheit umgehen und integer handeln können. Entscheidend ist dabei der integrierte Ansatz: GRC ist weder eine einzelne Abteilung noch ein Softwareprodukt. Menschen, Prozesse, Informationen und Technologien müssen gemeinsam wirken. OCEG: What is GRC?

Für Finance lassen sich die drei Dimensionen zunächst getrennt betrachten:

In der operativen Finance-Arbeit lassen sich diese Dimensionen jedoch kaum voneinander trennen. Eine Rechnungsfreigabe ist zugleich Governance-Frage, Risikokontrolle und Compliance-Nachweis. Eine Kontenabstimmung verbindet fachliche Verantwortung mit Fehlerprävention und dokumentierter Nachvollziehbarkeit. Der Nutzen des GRC-Gedankens liegt deshalb gerade darin, diese Anforderungen nicht in getrennten Silos zu organisieren.

Warum Finance Governance, Risk und Compliance zusammen denken muss

Finanzprozesse erzeugen Ergebnisse, auf die sich interne Steuerung, Managemententscheidungen und externe Berichterstattung verlassen müssen. Deshalb reicht es nicht, einen Prozess möglichst schnell oder weitgehend automatisiert auszuführen. Das Ergebnis muss auch fachlich belastbar und nachvollziehbar sein.

Besonders sichtbar wird dieser Zusammenhang im Record-to-Report-Prozess. Buchungen, Abstimmungen, Intercompany-Sachverhalte, Konsolidierung und Reporting führen dort zu einem verbindlichen Zahlenbild zusammen. Kontrollen können entweder direkt innerhalb dieser Abläufe greifen oder erst am Ende Fehler aufdecken. Mit zunehmender Automatisierung gewinnt die erste Variante an Bedeutung.

Dasselbe gilt für Purchase-to-Pay, E-Invoicing oder andere Finance-Prozesse. Je stärker Systeme Entscheidungen vorbereiten oder Arbeit selbstständig ausführen, desto weniger tragfähig ist ein Kontrollmodell, das ausschließlich auf nachgelagerte Prüfung setzt. Steuerungs- und Kontrollanforderungen müssen deshalb bereits beim Prozessdesign berücksichtigt werden.

Das interne Kontrollsystem als operative Kontrollschicht

Ein zentraler Baustein dieser Architektur ist das interne Kontrollsystem. Das international verbreitete COSO Internal Control – Integrated Framework strukturiert interne Kontrolle über fünf miteinander verbundene Komponenten: Kontrollumfeld, Risikobeurteilung, Kontrollaktivitäten, Information und Kommunikation sowie Monitoring. Der Ansatz beschränkt interne Kontrollen nicht auf externe Finanzberichterstattung, sondern betrachtet sie als Bestandteil verlässlicher Unternehmenssteuerung.

Für den deutschen Kontext schafft unter anderem IDW PS 982 einen prüferischen Bezug. Der Standard behandelt die Prüfung des internen Kontrollsystems des internen und externen Berichtswesens. Damit wird aus der abstrakten Forderung nach „Kontrolle" eine konkrete Gestaltungsaufgabe: Kontrollen benötigen einen definierten Zweck, Verantwortliche, nachvollziehbare Durchführung und einen Nachweis ihrer Wirksamkeit.

Das IKS ist damit nicht mit GRC gleichzusetzen. Es bildet aber eine wichtige operative Ebene. Governance legt fest, welche Verantwortung und Entscheidungsrechte gelten. Risikomanagement bestimmt, welche Risiken adressiert werden sollen. Das Kontrollsystem übersetzt diese Anforderungen in konkrete Kontrollaktivitäten. Compliance und Audit prüfen beziehungsweise dokumentieren, ob die festgelegten Anforderungen eingehalten werden.

Governance by Design: Kontrolle wandert in den Prozess

Mit der Finance Automation verändert sich zunehmend auch der Ort, an dem Kontrolle stattfindet. Klassische Kontrollmodelle prüfen Ergebnisse häufig nach Abschluss eines Prozessschritts. Automatisierte Prozesse erlauben dagegen, Regeln direkt während der Verarbeitung anzuwenden: Berechtigungen werden vor einer Aktion geprüft, Buchungsgrenzen automatisch überwacht, Abweichungen während der Abstimmung markiert und Ausnahmen unmittelbar eskaliert.

Für diese Entwicklung verwenden wir bei Shift/Finance den Begriff Governance by Design: Kontrolle wird nicht nachträglich an einen automatisierten Prozess angefügt, sondern als Bestandteil seiner Architektur geplant. Die Shift/Finance-Themeneinordnung zu Governance & Compliance im Finance beschreibt diesen Kontrollrahmen über Regulatorik, Risiko, Daten, KI und Betriebsperformance hinweg.

Damit verändert sich auch die Bewertung von Automatisierung. Ein Prozess ist nicht allein deshalb reif, weil viele Arbeitsschritte ohne manuellen Eingriff ausgeführt werden. Entscheidend ist, ob definiert ist, welche Standardfälle automatisiert verarbeitet werden dürfen, welche Abweichungen eskalieren, welche Entscheidungen menschliche Freigabe benötigen und wie der gesamte Entscheidungsweg dokumentiert wird.

Diese Frage wird besonders relevant, wenn aus klassischer regelbasierter Automatisierung agentische Automatisierung wird. Unsere Analyse der aktuellen R2R-Anbieterentwicklungen zeigt genau diese Verschiebung: Die Reife eines Agentenansatzes entscheidet sich zunehmend an Kontrollierbarkeit, Audit Trail und fachlicher Freigabe, nicht allein daran, welche Arbeit ein Agent technisch übernehmen kann.

KI verändert GRC in zwei Richtungen

Beim Einsatz von KI in Finance müssen zwei Entwicklungen auseinandergehalten werden. Einerseits kann KI selbst Teil des Kontrollsystems werden. Andererseits entsteht durch KI ein neues Kontrollobjekt.

KI unterstützt Kontrollen

KI kann Kontrollaktivitäten dort erweitern, wo klassische regelbasierte Systeme an Grenzen stoßen. Modelle können Anomalien in Buchungsdaten identifizieren, Transaktionen nach Risikomustern priorisieren oder große Datenmengen auf Auffälligkeiten untersuchen. Kontrollen können dadurch kontinuierlicher und datenbasierter durchgeführt werden, statt ausschließlich auf Stichproben oder nachträgliche Prüfung zu setzen.

Die Kontrollfunktion verschiebt sich damit teilweise vom manuellen Prüfen einzelner Vorgänge zum Gestalten und Überwachen von Kontrolllogiken. Das erhöht die mögliche Kontrollabdeckung, schafft aber gleichzeitig neue Abhängigkeiten. Wenn eine Kontrolle auf einem Modell basiert, werden Datenqualität, Modellverhalten und Konfiguration selbst zu relevanten Kontrollthemen.

KI wird selbst zum Kontrollobjekt

Diese zweite Blickrichtung wird mit generativer und agentischer KI wichtiger. Wenn ein System einen Buchungsvorschlag erstellt, eine Abweichung interpretiert oder selbstständig einen Prozessschritt ausführt, muss nicht nur das Ergebnis kontrolliert werden. Auch die Funktionsweise und der zulässige Handlungsspielraum des Systems müssen berücksichtigt werden.

COSO hat diese Entwicklung 2026 mit der Guidance Achieving Effective Internal Control Over Generative AI ausdrücklich aufgegriffen. Die Veröffentlichung überträgt das bestehende Internal-Control-Framework auf generative KI und behandelt unter anderem Risiken durch intransparente Entscheidungswege, Model Drift, veränderte Konfigurationen und neue Manipulationsmöglichkeiten. COSO nennt dabei bereits Finance-Anwendungen wie automatisierte Reconciliation und KI-gestützte Analysen als konkrete Einsatzfelder.

Damit entsteht eine für Finance wichtige Doppelrolle:

• KI im GRC: KI unterstützt Anomalieerkennung, Analyse, Monitoring und Kontrollausführung.
• GRC für KI: Governance definiert Handlungsspielräume, Kontrollen überwachen Systemverhalten und Verantwortliche regeln Freigaben und Eskalationen.

Diese Unterscheidung wird mit agentischen Systemen wichtiger. Je mehr Handlungsspielraum ein System erhält, desto genauer müssen Autorisierung, Grenzen und Eingriffspunkte definiert sein.

Der AI Act ergänzt den Governance-Rahmen

Neben bestehenden Finance-, IKS- und Prüfungsanforderungen kommt mit dem europäischen AI Act ein zusätzlicher regulatorischer Rahmen hinzu. Seit dem 2. August 2026 gelten große Teile der Verordnung einschließlich verschiedener Transparenzanforderungen. Weitere Vorgaben werden schrittweise wirksam; die Regeln für Hochrisiko-Systeme nach Annex III greifen nach der aktuellen Umsetzungsplanung ab Dezember 2027. EU AI Act Implementation Timeline

Für die Finance-Praxis ist dabei eine Differenzierung wichtig: Ein KI-System wird nicht allein deshalb zum Hochrisiko-System nach dem AI Act, weil es im Finanzbereich eingesetzt wird. Welche Anforderungen gelten, hängt vom konkreten Anwendungsfall und dessen Klassifizierung ab.

Für GRC bleibt die Entwicklung trotzdem relevant. Finance-Organisationen müssen nachvollziehen können, welche KI-Systeme sie einsetzen, welchen Zweck diese erfüllen, welche Daten sie verwenden und welche Entscheidungen oder Handlungen sie beeinflussen. Der AI Act verstärkt damit eine Entwicklung, die aus Finance Governance und internen Kontrollen ohnehin entsteht: KI braucht definierte Verantwortlichkeit und einen nachvollziehbaren Betriebsrahmen.

Von der GRC-Software zur eingebetteten Kontrollarchitektur

GRC wird häufig auch als Softwarekategorie verstanden. Integrierte GRC-Plattformen unterstützen beispielsweise Risiko- und Kontrollkataloge, Richtlinienmanagement, Audit-Prozesse oder Wirksamkeitstests. Daneben verfügen ERP-, P2P-, R2R- und andere Finance-Systeme über eigene Kontrollmechanismen.

Für die Finance Automation ist deshalb weniger entscheidend, ob eine Organisation „ein GRC-System" besitzt. Entscheidend ist, wie die verschiedenen Kontrollschichten zusammenspielen.

Vereinfacht lassen sich vier Ebenen unterscheiden:

• Operative Finance-Systeme: führen Prozesskontrollen direkt während Buchung, Freigabe, Abstimmung oder Zahlung aus.
• IKS- und GRC-Ebene: dokumentiert Risiken, Kontrollen, Verantwortlichkeiten und Wirksamkeitsnachweise.
• Audit und Assurance: prüft unabhängig, ob Kontrollsysteme angemessen gestaltet sind und funktionieren.
• AI Governance: überwacht zusätzlich Modelle, zulässige Entscheidungen, Konfigurationen und automatisierte Handlungsspielräume.

Ein Kontrollsystem, das parallel zu den operativen Prozessen betrieben und weitgehend manuell dokumentiert wird, stößt bei wachsender Automatisierung schnell an Grenzen. Ziel muss deshalb eine Architektur sein, in der Prozess- und Kontrollinformationen möglichst direkt miteinander verbunden sind.

GRC verändert auch das Finance Operating Model

Governance ist damit keine reine Compliance-Aufgabe. Sie beeinflusst unmittelbar die Organisation der Finanzfunktion. Wer Tätigkeiten in Shared Services verlagert, automatisierte Prozessstrecken aufbaut oder ein Center of Excellence für Finance Automation etabliert, verändert gleichzeitig Verantwortlichkeiten für Kontrolle und Risiko.

Das Finance Automation & Operating Model muss deshalb nicht nur festlegen, wer eine Aufgabe ausführt. Es muss ebenso klären, wer Prozessstandards definiert, wer Automatisierungsregeln verantwortet, wer Ausnahmen bearbeitet und wer die Wirksamkeit der Kontrollen überwacht.

Mit agentischen Systemen wird diese Verbindung noch enger. Wenn ein Agent operative Aufgaben übernimmt, verschwindet Verantwortung nicht aus dem Operating Model. Sie verschiebt sich. Weniger Kapazität wird für einzelne Transaktionen benötigt, dafür steigt die Bedeutung von Prozessverantwortung, Monitoring, Ausnahmebehandlung und Governance.

Diese Entwicklung haben wir auch im Beitrag Von Compliance zur Transformation: Agentic AI als nächster Schritt für Finanzprozesse aufgegriffen. Der Übergang zu agentischer Automatisierung ist deshalb nicht allein eine Technologieentscheidung. Er verändert die Steuerungslogik der Finanzfunktion.

Fazit: GRC wird Teil der Finance Automation

Governance, Risk & Compliance beschreibt im Finanzbereich keinen Kontrollapparat, der über den operativen Prozessen liegt. GRC schafft den Rahmen, innerhalb dessen Finance-Prozesse verlässlich betrieben und weiter automatisiert werden können. Governance ordnet Verantwortung und Entscheidungsrechte, Risikomanagement bestimmt relevante Unsicherheiten, Kontrollen übersetzen diese Anforderungen in den Prozess und Compliance sorgt dafür, dass die Einhaltung nachvollziehbar bleibt.

Mit zunehmender Automatisierung wird dieser Zusammenhang enger. Kontrollpunkte wandern in Prozess- und Systemarchitekturen. KI kann Kontrollen unterstützen und gleichzeitig selbst zum Gegenstand von Kontrolle werden. Agentische Systeme erweitern den möglichen Handlungsspielraum noch einmal und erhöhen damit die Anforderungen an Autorisierung, Monitoring und Eskalationslogik.

Die zentrale Gestaltungsfrage lautet deshalb nicht, wie Kontrolle trotz Automatisierung erhalten werden kann. Sie lautet, wie Governance und Kontrolle so in automatisierte Finance-Prozesse eingebaut werden, dass mehr Automatisierung verantwortbar wird.