AGENTIC GRC - Der nächste Schritt in der GRC Automatisierung
Bei GRC Systemen sieht man den verstärkten Einsatz von künstlicher Intelligenz: In den Systemen selber, oder als Solutions welche die KI Lösungen ergänzen, wie bspw. KI Dashboards, KI Analyselösungen oder komplexen Lösungen die Aufgaben für den Input von GRC Systeme übernehmen oder Entscheidungen für die handelnden Personen vorbereiten.
Agentic GRC geht hier noch einen Schritt weiter: Agenten übernehmen Aufgaben aus den bereits im Unternehmen bestehenden GRC Systemen, bearbeiten diese über Systemgrenzen hinweg, und spielen die Ergebnisse zurück in die GRC Systemen. Der Artikel zeigt die Chancen, Voraussetzungen und aktuelle Grenzen der Automatisierungslösungen auf.
Steigende Arbeitsbelastung in GRC Teams durch Komplexität von Regulator und Technik
Die Ausgangssituation ist bei Banken, Medizinprodukthersteller und kritischer Infrastruktur regualtorisch bedingt gleich
GRC-Teams müssen zunehmend regulatorische, technische und organisatorische Zusammenhänge gemeinsam bewerten, die einzelnen Disziplinen wachsen stärker in gemeinsamen Teams zusammen. Je nach Branche und Anwendungsbereich stellen NIS2, Anforderungen an kritische Infrastrukturen (KRITIS), DORA (Digital Operational Resiliance Act) oder die MDR (Medical Device Regulation) unterschiedliche Anforderungen an die IT Sicherheit, das Management der Risiken, Kontrollen und die Führung von Nachweisen. Die Umsetzung von Regulatorik verlangt zunehmend die ganzheitliche Sicht auf betroffene Geschäftsprozesse und deren Unterstützungsleistungen, von IT-Systemen, Dienstleistern, bis hin zu den konkreten Verträgen die geschlossen wurden. NIS2 adressiert hier u.a. Lieferkettenrisiken, die MDR verlangt von den Medizinproduktherstellern ein ganzheitliches Risikomanagement entlang des Produktlifecycles.
Der personelle Aufwand entsteht in den Unternehmen nicht allein durch die zusätzlichen Vorschriften, sondern durch die immer komplexer werdenden Unternehmensprozesse und IT-Landschaften, welche später in den Kontrollen, Verantwortlichkeiten, Risiko- und Sicherheitsbewertungen, Verträgen, Notfallplänen und Nachweisen abgebildet werden müssen. Die größte Herausforderung liegt unsere Einschätzung darin die Abhängigkeiten zu erkennen, zu bewerten und zu managen.
Nutzung von GRC Systemen wie TopEase als erste Abhilfe
Der Erfolg von GRC Systemen hängt an der Datenvollständigkeit und Datenqualität
Die Nutzung von Governance, Risk und Compliance Plattformen wie TopEase GRC können diese Zusammenhänge abbilden. In TopEase werden beispielsweise Prozesse, deren Verantwortlichkeiten und unterstützenden IT-Assets, OT-Assets, Dienstleister, Verträge, Risiken, Kontrollen und Nachweise modelliert um ein 360 Grad Bild auf das Unternehmen zu erhalten. Dies vereinfacht die Erfüllung von Standards wie NIS2 beispielsweise in der Lebensmittelindustrie, DORA bei Banken oder MDR bei Medizinproduktherstellern, auch regulatorische Nachweispflichten wie das durch die EU verlangte Informationsregister können ausgegeben werden. Der Aufbau und die laufende Wartung und Pflege einer solchen GRC-Umgebung ist jedoch anspruchsvoll. Datenmodelle, Schnittstellen, Berechtigungen und Bewertungsmethoden müssen an die Organisationsanforderungen angepasst werden, Umsysteme via Schnittstellen angebunden werden, existierende Geschäftsprozesse eingebunden werden – und bei Veränderungen muss das System aktualisiert werden. Weiter sind GRC Systeme unserer Erfahrung nach nur so gut wie die Datenvollständigkeit und Datenqualität in den Systemen.
Entlastung der operativen Tätigkeiten durch GRC as Managed Service
Auch bei einer Betreuung durch einen Managed Service, wie diesen etwa die ACONO für GRC Systeme anbietet, bleiben fachliche und operative Entscheidungen im Unternehmen erforderlich. Die Aufgabe des Dienstleisters ist die Gewährleistung des Betriebs, Übernahme von Pflege- oder Unterstützungsaufgaben, Aufbau neuer regulatorischer Use-Cases oder Beratung bei der Umsetzung von Use-Cases; wir als ACONO sehen unseren Auftrag auch darin Innovation wie KI-Themen in die Unternehmen zu bringen. Die Aufgaben der Risikopflege, Risikoakzeptanz oder Durchführung von Kontrollen, Bewertung und Priorisierung von Maßnahmen muss durch die Verantwortlichen in der Organisation entschieden werden, mit wachsenden Daten wachsen hier auch die Aufgaben. Der Managed Service entlastet hier die Organisation wesentlich im Grundbetrieb und der methodischen Umsetzung, die operative Durchführung obliegt jedoch den Unternehmen.
Mit der KI Entlastung kommt die KI Mehrbelastung durch den EU AI Act
Die Entwicklung der letzten Jahre zeigt wachsende Aufgabenlasten durch steigende Regulatorik, welche auf der einen Seite durch Automatisierung gesenkt werden soll, angefangen bei einfachen RPA Anwendungen, einfache KI Anwendungsfälle, bis hin zu komplexen KI Systemen. Es werden Arbeitsschritte automatisiert, gleichzeitig jedoch auch neue Schnittstellen, Berechtigungen und Abhängigkeiten geschaffen. Neue Fragen müssen beantwortet werden, Themen wie Datenqualität, Modellzuverlässigkeit, und Abhängigkeiten von Modellbetreibern und Hardware oder Cloud-Dienstleister kommen neu auf. Parallel dazu wurde der Overhead weiter vergrößert, indem die EU auch das Thema AI in die Liste der zu regulierenden Themen aufgenommen hat. Herausgekommen ist der EU AI Act, welcher neue Stellen, neue Verfahren, neue Dokumentationen in den Unternehmen bedingt.
Komplexere IT Landschaften führen zu mehr Abstimmbedarfen
Regulatorischer und fachlicher Druck verstärken sich dadurch gegenseitig. Risikoinventare wachsen teilweise exponentiell an, Bewertungen werden komplexer und stärker voneinander abhängig, Kontrollen erfolgen in kürzeren Frequenzen und Kontrollnachweise müssen häufiger aktualisiert werden.Zur Erreichung der Prüfergebnisse und notwendigen Nachweise steigen intern in den Unternehmen die Anzahl der Abstimmungen, Rückfragen und Abstimmungen sowie der Dokumentationsaufgaben. Neben der eigentlichen Prüfung steigt insbesondere die Zahl der Rückfragen, Abstimmungen, Nachverfolgungen und Dokumentationsaufgaben. Ohne geeignete Unterstützung wird es zunehmend schwierig, ein aktuelles und vor allem regulatorisch konsistentem Gesamtbild zu erhalten.
Die Anforderungen an Governance-Experten steigt - und statt Standardisierung kommt Vibe-Coding in den Fachbereichen als Albtraum für IT Verantwortliche und IT Security
Gleichzeitig benötigen Mitarbeiter breiteres Fachwissen als bisher: Regulatorische Anforderungen müssen mit Kenntnissen über Geschäftsprozesse, Informationssicherheit, Datenverarbeitung, technische Systemarchitekturen und Technologien verknüpft werden. Nachdem man davon ausgegangen ist, dass die cloudification der letzten Jahre die IDV Anwendungen (z.B. Scripte in Excel, Anwendungen in Access) ablösen wird und damit das Problem der „unbekannten Softwarelösugen“ zunehmend verschwindet, stehen Governance Mitarbeiten jetzt Vibe-Coding Softwarelösungen gegenüber welche durch Fachbereichsmitarbeiter erstellt werden können, technisch komplexer als jede VBA-Applikation in der Vergangenheit.
Near- oder Offshoring von Governance-Tätigkeiten ist nicht die Antwort - AgenticGRC evtl. schon?
Die Verlagerung von Governance-Tätigkeiten ins Ausland kann unter Kostengesichtspunkten zunächst attraktiv erscheinen. Wir verfügen über umfangreiche Offshoring-Experience in der Offshore-Softwareentwicklung in Indien, jedoch ist aus unserer Sicht bei der Verlagerung von Governance, Risk und Compliance Tätigkeiten das Software-Sourcing-Modell nicht übertragbar da es besondere Sorgfalt und spezielles Fachwissen verlangt: Viele Aufgaben setzen ein fundiertes Verständnis deutschsprachiger Rechtsgrundlagen, nationaler Auslegungen und Vorgaben (wie etwa die BSI-Standards) und aufsichtsrechtlicher Erwartungen voraus. Hinzu kommen Kenntnisse der Prüfmethodik, etwa des BSI, sowie die Fähigkeit, Sachverhalte im Austausch mit Prüfern und Fachverantwortlichen präzise zu erfassen, einzuordnen und vor den Prüfern zu vertreten.
Entscheidend ist aus unserer Sicht daher, ob diese Kompetenzen im jeweiligen Team dauerhaft verfügbar sind, und welche Risiken das Shoring tatsächlich mit sich bringt: Sprachliche Hürden, fehlende regulatorische Erfahrung oder häufige Personalwechsel können zusätzlichen Abstimmungsaufwand und Ergebnisrisiken verursachen. Die erhofften Kostenvorteile sollten deshalb nicht nur gegen den Aufwand für Einarbeitung, Steuerung, Qualitätssicherung und Wissenserhalt abgewogen werden – sondern auch gegen mögliche finanzielle Nachteile durch aufsichtsrechtliche Findings und Strafen bei Nichterfüllung der Aufgaben, weil z.B. BSI-Grundlagen falsch interpretiert wurden, Findings nicht beachtet wurden usw. Wer verantwortet final die Sourcing-Entscheidung für den Fall dass es regulatorische Findings oder Strafen gibt, und z.B. die Banklizenz oder Geschäftsgrundlage in Gefahr ist? Ist Regulatorik und Berechtigung der Geschäftsgrundlage tatsächlich das Thema in welchem man Risiken durch kleine Einsparungen eingehen sollte – diese Fragen sollten sich die Unternehmen vor Sourcing-Entscheidungen stellen. Dazu kommen weitere Fragestellungen aus dem Datenschutz oder der Informationssicherheit auf welche im Rahmen des Artikels aus komplexitätsgründen nicht eingegangen werden.
Die richtigen Fragen lauten also:
-welche Tätigkeiten lassen sich onsite durch KI automatisieren oder unterstützen?
-Wie können KI Lösungen eingesetzt werden?
-Können „virtuelle“ Mitarbeiter / Agents zukünftig die Aufgaben übernehmen, und die eigenen Mitarbeiter übernehmen nur die Prüfung und Orchestrierung, also die Wertschöpfung?
KI in GRC Systemen
Wie funktionieren KI gestützte GRC Systeme?
KI-gestützte GRC-Systeme ergänzen Funktionen für Governance, Risikomanagement und Compliance um Verfahren wie maschinelles Lernen, natürliche Sprachverarbeitung und generative KI. Sie können strukturierte Informationen aus Risikoregistern und Kontrollsystemen ebenso verarbeiten wie unstrukturierte Inhalte aus Richtlinien, Verträgen oder Prüfberichten. Ihr Nutzen hängt davon ab, wie diese Fähigkeiten in konkrete Aufgaben eingebunden werden.
In heutige gängigen GRC Systemen wie TopEase GRC gibt es bereits regelbasierte Automatisierungslösungen. Neu hinzu kommt beim KI Einsatz dass die Regeln nicht mehr starr definiert werden, sondern kontextsensitiv sind. So können kontextbasierte Fristen, Schwellwerte, Pflichtfelder oder Freigabeläufe eingebunnden werden. Der Einsatz von künstlicher Intelligenz erweitert diese Möglichkeiten also dort, wo Inhalte unterschiedlich formuliert sind, umfangreiche Texte ausgewertet oder Zusammenhänge vorgeschlagen werden sollen. Die Verfahren ergänzen sich: Ein Modell kann einen Kontrollnachweis inhaltlich einordnen, während feste Regeln Zuständigkeit, Frist und erforderliche Freigaben steuern.
Unterschieden wird zwischen verschiedenen Fähigkeiten, welche für die Ausführung benötigt werden: Klassifikationsmodelle ordnen Dokumente oder Vorgänge unterschiedlichen Kategorien zu, Sprachmodelle erstellen Zusammenfassungen oder Änderungsvorschläge. Ein Prognosemodell kann basierend auf den eigenen Daten in Zusammenhang mit öffentlichen Informationen Entwicklungen einschätzen.
Es gibt jedoch auch Grenzen: Nicht jede Anwendung besitzt alle der beschriebenen Fähigkeiten, nicht jedes Modell lernt während des Betriebs weiter, nicht jedes Modell ist für alle Tätigkeiten geeignet. Darüber hinaus gibt es Unterschiede zwischen kommerziellen Modellen oder Open Source Modellen. Änderungen an Modellen, Wissensbeständen und Konfigurationen benötigen unternehmenseigene Prüf-, Freigabe- und Dokumentationsverfahren.
Als durchgehendes Beispiel dient die regelmäßige Überprüfung einer internen Richtlinie zum Berechtigungsmanagement. Dafür müssen externe Anforderungen, die aktuelle Richtlinienfassung, zugeordnete Kontrollen und vorliegende Nachweise zusammengeführt werden. An diesem Ablauf lässt sich zeigen, welchen Beitrag klassische Automatisierung, KI und Agenten jeweils leisten können.
Use-Case: Externe Prozessmodellierung mittels KI
Ein weiteres Beispiel ist die Erstellung oder Aktualisierung von Prozessmodellen. Dazu übernimmt ein KI-gestützter Workflow relevante Daten aus dem bestehenden GRC-System in ein dediziertes GRC KI System, welches speziell z.B. von ACONO auf die GRC Use Cases ausgelegt wurde und idealerweise on-premise betreibbar ist. Sprachmodelle strukturieren die erhaltenen Informationen, interagieren mit dem User im Chat-Modus, erstellen daraus Prozessmodelle, schlagen dem User geeignete Assets vor, und gleichen die Ergebnisse mit freigegebenen Prozess-Repositories und Referenzmodellen ab. Auf dieser Grundlage entwickelt die KI Optimierungsvorschläge für die Prozessmodelle bis hin zur Repräsentation der Prozesse in Notationen wie BPMN 2.0 und überträgt die überarbeiteten Modelle als Entwürfe zurück in das GRC-System wie z.B. TopEase. Innerhalb des GRC systems erfolgt die eigentliche Governance: Der zuständige Prozessverantwortliche prüft die Vollständigkeit, die fachliche Richtigkeit, Governance-Vorgaben, und erteilt die Freigabe. Die Versionierung erfolgt innerhalb der GRC Systeme, sie bilden somit weiterhin den Kern der regulatorischen Landschaft, während sich einzelne Vorbereitungstätigkeiten (z.B. Modelleriung der Prozesse) zum Erhalt des Ergebnisses (Freigabe, Veröffentlichung und Versionierung der Prozesse) innerhalb der GRC Plattformen verbleiben. Die GRC Plattformen sind somit weiterhin Single-Source-of-Truth, und der relevante Einstiegspunkt für Auditoren.
Datenqualität und Integration als Schlüsselfaktoren für den KI Einsatz
Die erzielbare Qualität der Ergebnisse des Einsatzes von KI Lösungen die in GRC Systemen oder mit GRC Plattformen arbeiten hängt wesentlich von den verfügbaren Daten und ihrem fachlichen Zusammenhang ab. Risikoregister, Kontrollkataloge, Prozessmodelle, Asset-Datenbanken / CMDBs, Dokumentenablagen und Ticketsysteme verwenden oftmals unterschiedliche Bezeichnungen und Identifikatoren. Ohne verlässliche Zuordnung kann ein System eine Maßnahme dem falschen Risiko zuweisen oder veraltete Nachweise als aktuell behandeln.
Für einen ersten Anwendungsfall muss nicht zwangsläufig die gesamte Datenlandschaft vereinheitlicht werden. Erforderlich ist zunächst eine belastbare Grundlage für den gewählten Prozess. Dazu gehören eindeutige Identifier, Versionsstände (insbesondere bei Risiko-, Prozess- und Kontrollregistern), Zuständigkeiten, Zugriffsrechte und die Struktur des übergreifenden Datenmodells. Informationen können weiterhin in ihren führenden Systemen verbleiben, sofern Schnittstellen und Zuordnungen zuverlässig funktionieren.
Eine KI-Komponente kann damit auch bereits bestehende GRC-Plattformen erweitern. Wir empfehlen zur Ergänzung bestehender GRC Plattformen eine übergreifende System- und Datenflussarchitektur aufzubauen, um die Datenströme und Entscheidungen in den Systemen auch für Auditoren nachvollziehbar zu gestalten.
Welche Risiken gibt es beim KI Einsatz für GRC Systeme?
Für Governance, Risk und Compliance Use-Cases reicht eine durch KI-Modelle plausibel formulierte Antwort nicht aus. Die Benutzer müssen erkennen können, auf welcher Grundlage und welcher Methodik ein Ergebnis entstanden ist, welche Grenzen gelten und wie sie das Ergebnis validieren können. Bei generativer KI ist insbesondere zu berücksichtigen, dass überzeugend formulierte Inhalte sachlich falsch sein können. Das NIST beschreibt dieses Risiko in seinem Profil für generative KI als „Confabulation“ (siehe NIST AI 600-1)
Nachvollziehbarkeit entsteht daher erst durch überprüfbare Quellenbezüge, dokumentierte Eingaben, nachvollziehbare Versionierung, sowie dokumentierte Aktionen und Freigaben. Eine nachträglich erzeugte Erklärung des Modells ist für sich genommen kein verlässlicher Nachweis seines tatsächlichen Entscheidungswegs. Auch technische Erklärungsverfahren müssen danach beurteilt werden, welche Fragen sie beantworten und wo ihre Aussagekraft endet. Wichtig ist auch die Einbeziehung des zur Entscheidungsfindung verwendeten Modells – dieses sollte im Idealfall auch historisiert werden, um später die Ergebnisse nochmals prüfen zu können. Insbesondere bei Cloud-Modellen ist dies technisch oftmals nicht möglich.
Welche rechtlichen Anforderungen für gelten, ist anhand des konkreten Systems und seines jeweiligen Use-Cases abzuprüfen. Der Einsatz in einer regulierten Branche wie in der IT-Sicherheit oder dem Notfallmanagement eines Finanzinstitutes macht eine GRC-Anwendung nicht automatisch zu einem Hochrisiko-KI-System. Für die Einordnung nach der europäischen KI-Verordnung sind insbesondere die Zweckbestimmung und die gesetzlichen Einstufungskriterien relevant.
Chancen durch Agentic GRC
Was ist Agentic GRC?
Agentic GRC erweitert den Einsatz von einzelnen spezialisierten KI Lösungen oder Task-Ausführungen um die eigenständige Bearbeitung ganzer fachlicher Aufgaben oder Aufgabenketten durch sogenannte „Agenten“ (Bots) innerhalb festgelegter (System-)Grenzen. Während eine KI-Anwendung beispielsweise eine Richtlinie analysiert oder eine Risikobewertung vorbereitet, kann ein agentisches System mehrere Arbeitsschritte miteinander verbinden: Es werden eigenständig durch den Agenten die für die Aufgabe benötigten Informationen beschafft, die Vollständigkeit der Informationen überprüft, Rückfragen gestellt und bearbeitet, Ergebnisse dokumentieren und der Vorgang zur (menschlichen) Freigabe übergeben. Hierbei kann der Agent auch einzelne Aufgaben durch Sub-Agenten ausführen lassen.
Eine solche Umgebung kann als zusätzliche Ausführungsebene neben bestehenden GRC-Plattformen wie z.B. TopEase betrieben werden. Über eingerichtete Schnittstellen wie z.B. REST) übernehmen die Agents Aufgaben aus dem GRC-System, bearbeiten sie mithilfe zugelassener Werkzeuge und Datenquellen nach einem festen Schema (Skill) und übertragen Ergebnisse, Nachweise oder Statusaktualisierungen zurück in die GRC Plattform. Die zu Grunde liegende GRC-Plattform bleibt dabei das führende System für die Erfüllung der regulatorischen Anforderungen, von Freigaben bis zur Nachvollziehbarkeit ist die gesamte regulatorische Dokumentation im GRC System. Die Durchführung einzelner Aufgaben hingegen wird nicht mehr nur durch Mitarbeiter übernommen, sondern durch Agenten.
Hermes Agent im GRC Umfeld
Was ist Hermes Agent?
Die ACONO arbeitet derzeit mit Hermes Agent als technischer Grundlage für Agentic GRC Architekturen. Darüber hinaus gibt es andere Agentenlösungen wie OpenClaw, vor Einsatz sollte jeweils die Lösung gegenüber dem geplanten Einsatzprofil evaluiert werden.
Hermes Agent unterstützt unterschiedliche Agentenprofile, Agenten mit eigenem Memory und wiederverwendbare Skills, über die sich fachliche Aufgabenbereiche und deren Arbeitsverfahren konfigurieren lassen. Darauf aufbauend ist es möglich eigene spezialisierte Agenten wie z.B. einen Agent für das Notfallmanagement oder die IT-Sicherheit einzurichten, welcher dann in diesem Aufgabengebiet abgegrenzte Aufgaben anhand seiner Skills ausführt. Die hierfür notwendigen fachlichen Verfahren (z.B. Risikomanagement), unternehmensspezifischen Regeln und Schnittstellen müssen entwickelt und auf den Unternehmens-Use-Case sowie die jeweilige technische Umgebung und die zu Grunde liegenden Modelle abgestimmt werden. Unsere Erfahrung zeigt, dass die Ergebnisse auch stark von den zu Grunde liegenden Modellen abhängen, selbst bei gleicher Skill-Library und gleicher Agentenkonfigurationen. Wir empfehlen vor Produktiveinsatz daher einen Model-Agent-Fit durchzuführen, um später im Echtbetrieb auch die gewünschten Arbeitsergebnisse in der gewünschten Qualität und Zeit zu erhalten.
Welche Agents könnte man im GRC Umfeld einsetzen?
Denkbar sind im GRC Bereich beispielsweise spezialisierte Agenten für OpRisk-Tätigkeiten, Notfallmanagement, Pflege der Prozesslandkarte, Pflege der Asset-Landschaft, oder der Durchführung von Systemdokumentationen. Jeder Agent erhält einen definierten Aufgabenbereich, passende fachliche Skills und die dafür erforderlichen Werkzeug- und Datenzugriffe. Ein Agent für Notfallmanagement könnte etwa bestehende Notfallpläne auf Vollständigkeit prüfen, Änderungen an Prozess- und Systemabhängigkeiten auswerten oder die Vorbereitung einer Notfallübung unterstützen.
Was sind Hermes Agent Skills?
Ein fachlicher Skill ist deutlich mehr als eine allgemeine Aufforderung wie „Erstelle eine Risikobewertung“. Innerhalb des Skills wird spezifiziert welche Informationen für die Skillausführung benötigt werden, welche Methodik verpflichtend anzuwenden ist, wie Unsicherheiten oder Fehler behandelt werden und welche Bestandteile das Ergebnis enthalten muss, sowie welche Abnahmekriterien zu erreichen sind. Skills können auch Referenzbibliotheken oder Musterergebnisse mitgegeben werden, einzelne Skills können auch aus einem großen Umfang an einzelner Dateien bestehen oder eigene Datenbank beinhalten.
Die ACONO verfügt über umfangreiche Erfahrung in der Erstellung komplexer Skills, und kann auch anhand von Skill Temples die Umsetzung von AgenticGRC in Hermes Agent unterstützen.
Wie grenzt sich Agentic GRC von Workflowengines ab?
Bei klassischen Workflows wie Beispielsweise n8n Workflows werden Auslöser, Verarbeitungsschritte und Verzweigungen überwiegend vorab modelliert und somit fest definiert. Agent Solutions wie beispielsweise Hermes Agents verfolgen einen agentenzentrierten Ansatz: Ein Agent erhält einen Auftrag, fachliche Skills und freigegebene Werkzeuge und bestimmt innerhalb dieser festen Vorgaben die nächsten Bearbeitungsschritte. Die Abgrenzung ist jedoch fließend, da auch n8n KI-Agenten und dynamische Werkzeugnutzung unterstützt.
Im Rahmen von GRC Use-Cases können sich beide Ansätze ergänzen: n8n übernimmt beispielsweise den geregelten Datenaustausch mit der GRC-Plattform sowie festgelegte Abläufe der Datenaufbereitung und Datenzusammenführung, während ein spezialisierter Hermes-Agent eine Risikobewertung vorbereitet, Informationslücken erkennt und erforderliche Nacharbeiten mit human Interaktion oder sub-agents koordiniert.
Entscheidend ist, welche Schritte verbindlich vorgegeben sein sollen und wo eine flexible, kontextabhängige Bearbeitung sinnvoll ist.
Was sind Multi-Agenten Systeme?
Bei umfangreicheren Abläufen können spezialisierte Agenten unterschiedliche Aufgaben übernehmen. Ein Agent agiert als Orchestrator, und übergibt die Aufgaben an einzelne darauf spezialiserte Agenten. Beispielsweise erschließt ein Agent externe Anforderungen indem er Vorgabendokumente prüft sowie das Internet nach neuen Anforderungen oder Risiken crawlt und die Ergebnisse in einer Datenbank erfasst, ein weiterer Agent sucht anhand der Datenbankergebnisse passende Kontrollen, ein dritter Agent bereitet daraufhin die Nachweise anhand der Systemlandschaft auf. Der Orchestrator übernimmt hierbei die übergreifende Steuerung, koordiniert Abhängigkeiten, prüft die Übergaben und nimmt das Ergbnis anhand fest definierter Ergebnisparameter ab.
Diese Aufteilung erhöht jedoch auch den Abstimmungsbedarf innerhalb der Agentenlösung. Jeder Auftrag benötigt Ziel, Umfang, Quellenrahmen, Ausgabeformat und überprüfbare Abnahmekriterien. Ergebnisse anderer Agenten dürfen nicht allein wegen ihrer internen Herkunft als richtig gelten. Quellenbelege, offene Fragen und Unsicherheiten müssen bei der Übergabe erhalten bleiben.
Mehr Agenten bedeuten deshalb nicht automatisch bessere Ergebnisse. Für überschaubare Prozesse kann ein einzelner Agent mit begrenzten Werkzeugen ausreichen. Eine Aufteilung wird sinnvoll, wenn sie fachliche Zuständigkeiten oder Prüfaufgaben tatsächlich verbessert. Ausführung und Review sollten so gestaltet sein, dass Fehler nicht lediglich von einem Agenten an den nächsten weitergereicht werden.
In unserem Artikel beschreiben wir wie wir eine eigene Orchestrierung für Hermes Agents entwickelt haben und wie diese umgesetzt ist:
Sicherheit, Eskalation und menschliche Aufsicht von Agentic GRC
Die Nutzung von Agentic GRC verändert die Verteilung von Arbeit innerhalb der GRC-Funktion, da Aufgaben die bisher manuell erledigt wurden von automatisierten und KI-gesteuerten Agenten übernommen werden. Fachliche Kompetenz wird weiterhin benötigt, um Anforderungen einzuordnen, Bewertungsmaßstäbe festzulegen und Ergebnisse zu hinterfragen und zu prüfen. Zusätzlich entstehen Aufgaben bei der Pflege von Wissensbeständen, der Bewertung von Fehlermustern und der Freigabe von Änderungen an automatisierten Abläufen. Das Aufgabenspektrum sowie das hierfür notwendige Technologieverständnis der handelnden Personen erweitert sich somit wesentlich.
Verantwortlichkeiten sollten zwischen Prozesseigentümern, GRC-Fachfunktionen, IT-Betrieb sowie Datenschutz und Informationssicherheit abgestimmt werden. Die Entwicklung oder Nutzung eines Agenten ersetzt keine organisatorische Zuständigkeit. Auch bestehende Anforderungen an Funktionstrennung und unabhängige Prüfung müssen im automatisierten Prozess erkennbar bleiben.
Für Anwender sind konkrete Schulungsinhalte hilfreich:
-Welche Ergebnisse darf ich übernehmen?
-Wann muss ich Quellen prüfen?
-Wie melde ich einen Fehler? Wie lernt der Agent von Fehlern?
-Wann stoppe ich den Workflow?
Die ACONO unterstützt Sie gerne im Aufbau von der Agenten-Kompetenz sowie der Agenten-Umgebungen z.B. mit Hermes Agent in Ihrem Unternehmen.
Wie kann Agentic GRC eingeführt werden?
1. Definition von Use-Cases für GRC Agenten
Die Einführung von Agentic GRC startet mit der Definition der geeigneten Use-Cases. Gemeinsam mit den Verantwortlichen aus den Fachbereichen werden in Workshops verschiedene Use-Cases definiert: Hierbei berücksichtigen wir Aufgaben, erwartete Ergebnisse, benötigte Daten und Systemzugriffe sowie die Grenzen der selbstständigen Bearbeitung. Besonders geeignet ist ein wiederkehrender, klar abgegrenzter und repetitiver Prozess. Besonders am Anfang empfehlen wir nicht mit komplexen oder Fachbereichsübergreifenden und sehr schnittstellenintensiven Prozessen zu starten. Ideal zum Einstieg sind sehr zeitaufwändige Prozesse, welche z.B. umfangreichen Online-Research oder umfangreiche Dokumentenbearbeitung, Analyse und Ergebnisaufbereitung beinhalten. Sobald ein Use-Case identifiziert und vereinbart wurde, werden die fachlichen Abnahmekriterien, Zuständigkeiten und erforderliche Freigaben definiert.
2. Aufsetzen Hermes Agent Testumgebung
Basierend auf der Architekturentscheidung (lokales Modell vs. Cloud, vs. Hybrid) wird eine kontrollierte Testumgebung eingerichtet. Im regulierten Bereich empfehlen wir die Verwendung von dedizierter KI hardware, diese sollte use-case spezifisch dimensioniert werden. Anschließend wird die Agentenstruktur entwickelt, notwendige Skills definiert und entwickelt, Datenanbindungen durchgeführt, Orchestrierung aufgesetzt, Berechtigungen und Ablagestrukturen eingerichtet. Die Agents werden mit verschiedenen Modellen getestet, um einen möglichst großen Agent-Model-Fit zu erreichen. Entscheidend sind neben Ergebnisqualität und Token-Consumption (=Kosten) auch Verarbeitungsgeschwindigkeit, Datenschutzanforderungen und die zuverlässige Nutzung der vorgesehenen Werkzeuge. Die Auswahl erfolgt damit anhand des konkreten Anwendungsfalls und der technischen Rahmenbedingungen.
3. Fachliche und technische Betreuung durch ACONO
ACONO verwendet hierfür die Regulatory Transformation Capability in Form des von ACONO entwickelten RegRISEFramework um die Methodik zu gewährleisten, über das ACONO eigene Service Center, welches u.a. auch den Betrieb von GRC Software für große Financial Services Kunden abwickelt, wird die technische Betreuung der Umgebung sichergestellt. Die Regulatory Transformation Capability unterstützt die Übersetzung regulatorischer und fachlicher Anforderungen in konkrete Prozesse, Kontrollen und Umsetzungsschritte. Das technische Service Center begleitet das Projekt kontinuierlich bei Einrichtung, Integration, Fehleranalyse, Anpassungen bis hin zur Dokumentation und Wissenssicherung über die Hermes Agent Umgebung. Das RegRISE Framework bildet den gemeinsamen methodischen Rahmen, damit Anwendungsfälle, Anforderungen, Tests und Freigaben einheitlich bearbeitet und nachvollziehbar dokumentiert werden.
4. Durchführung Pilotbetrieb
Vor dem Pilotbetrieb wird der bestehende Ablauf als Vergleichsgrundlage erfasst, um anschließend das KI Ergebnis gegen die Ist-Prozesse benchmarken zu können, sowie die Potentiale der Umgebung klar herausarbeiten zu können. Hierbei wird sichtbar, welche Skills und Aufgaben bereits funktionieren, welche Informationen fehlen, welche Skill oder Agent-Profile geschärft werden müssen oder übergreifende Orchestrierungen oder Modelle angepasst werden müssen.
5. Erhalt Entscheidungsgrundlage für Einführungsentscheidung
Ziel ist eine validierte Entscheidungsgrundlage für den Einsatz einer Agentic GRC Lösung für die vorab definierten Use-Cases. Die Entscheidungsgrundlage enthält neben der reinen Kostensicht auch Analysen zu Durchlaufzeiten, Ausgabequalität, Anpassungskomplexität, sowie notwendige menschliche Tätigkeiten.
ACONO unterstützt bei der Aufbereitung der Learning aus dem Pilotbetrieb sowie der Erstellung der Entscheidungsgrundlage und berät in der weiteren Ausgestaltung, Einführung und im Service & Betrieb der Agentenlösung.
Wie kann Agentic GRC Ihr Unternehmen entlasten?
Sie möchten Routineaufgaben automatisieren, Ihre bestehende GRC-Plattform um KI-Agenten erweitern oder zunächst geeignete Anwendungsfälle identifizieren?
ACONO begleitet Sie von der fachlichen Konzeption über die Testumgebung bis zur Integration und laufenden Betreuung. Gemeinsam prüfen wir, wo KI und Hermes Agents Ihre GRC-Prozesse unterstützen können und welche Voraussetzungen dafür erforderlich sind.
Vereinbaren Sie ein unverbindliches Erstgespräch zu Ihren Anwendungsfällen.