Continuous Auditing: Wenn das Prüfsystem selbst zum Prüfobjekt wird

Ein Audit schafft Vertrauen nicht durch Daten allein. Vertrauen entsteht, wenn Nachweise bewertet, Abweichungen eingeordnet und Entscheidungen nachvollziehbar gemacht werden. Continuous Auditing überträgt diese Prüflogik von der Stichprobe auf den fortlaufenden Prozess: Statt Prozesse nur punktuell zu betrachten, werden sie kontinuierlich beobachtet, wodurch Abweichungen früher auffallen und Nachweise lückenloser vorliegen. Genau darin liegt der Wert für das Qualitätsmanagement, denn Stichprobenaudits erfassen immer nur einen Ausschnitt. Praktisch umsetzbar wird dieser fortlaufende Blick vor allem durch KI-gestützte Systeme: Sie werten große Datenmengen fortlaufend aus, erkennen Auffälligkeiten und erzeugen Prüfhinweise. Damit entsteht eine neue fachliche Frage: Wer prüft das System, das beim Prüfen hilft?

Diese Frage ist nicht theoretisch. KI-Systeme verändern sich nicht von selbst, aber ihre Aussagekraft kann sich verändern. Datenlagen verschieben sich, Prozesse werden angepasst, Grenzwerte ändern sich, Modelle werden aktualisiert. Was zunächst ein plausibler Hinweis war, kann später ein falscher Alarm oder eine übersehene Abweichung werden. Für QM-Expertinnen und QM-Experten ist das kein fremdes Muster. Es erinnert an eine vertraute Regel: Ein Prüfmittel, dessen Aussagekraft nicht überwacht wird, ist selbst ein Risiko.

Aus der Normungsarbeit zu KI ergibt sich deshalb eine klare Beobachtung: Die entscheidende Herausforderung liegt selten allein in der Technik. Sie liegt in der Übersetzung von Anforderungen in prüfbare Kriterien, belastbare Nachweise, klare Verantwortlichkeiten und wirksame Verbesserungsprozesse. Genau dort beginnt die Stärke des Qualitätsmanagements: aus Anforderungen gelebte Praxis zu machen.

Ein Dashboard ist noch kein Audit

Continuous Auditing wird leicht mit digitalem Monitoring verwechselt. Ein Dashboard zeigt Werte. Ein Audit bewertet Nachweise. Das eine macht sichtbar. Das andere macht bewertbar. Zwischen beiden liegt der eigentliche Prüfprozess. Erst wenn Auditkriterien festgelegt, Nachweise erfasst, Abweichungen bewertet und Maßnahmen nachverfolgt werden, entsteht aus Daten ein auditierbarer Vorgang.

ISO 19011 liefert dafür den passenden Rahmen. Die Norm beschreibt Grundsätze für Audits von Managementsystemen, das Management von Auditprogrammen, die Durchführung von Audits und die Kompetenz von Personen im Auditprozess. Für Continuous Auditing ist vor allem die Logik wichtig: Audits schaffen Vertrauen nicht durch Daten allein, sondern durch Kriterien, Nachweise, Bewertung und Schlussfolgerung.

KI kann helfen, Muster zu erkennen, Datenmengen zu ordnen und Prüfprioritäten vorzuschlagen. Sie kann Hinweise liefern. Die Verantwortung bleibt dort, wo sie hingehört: bei nachvollziehbar handelnden Menschen und Organisationen. Eine von der IDC (International Data Corporation) durchgeführte und vom Softwareentwickler Caseware unterstützte Studie wurde im Februar 2026 veröffentlicht und befragte mehr als 1.000 Fachleute aus Audit und Accounting. Fast zwei Drittel der Befragten halten eine menschliche Validierung von KI-Ergebnissen für erforderlich, wenn diese fachliche Urteile stützen. Die Studie bezieht sich nicht auf QM-Audits. Sie ist deshalb kein direkter Nachweis für das Qualitätsmanagement, stützt aber eine übertragbare Governance-Frage: Wo KI prüfungsrelevante Hinweise liefert, muss Verantwortung nachvollziehbar bleiben.

Continuous Auditing beginnt bei Prüftriggern

Der praktische Einstieg liegt nicht im großen KI-Projekt, sondern im Prüftrigger. Ein Prüftrigger legt fest, wann aus einer Auffälligkeit ein Prüfauftrag wird. Das kann eine Grenzwertverletzung sein, ein ungewöhnlicher Prozessverlauf, eine Häufung von Reklamationen oder ein Lieferantenmuster, das nicht zum bisherigen Verhalten passt.

Der Unterschied ist fachlich wichtig. Monitoring sagt: Hier ist etwas auffällig. Continuous Auditing fragt: Ist diese Auffälligkeit prüfrelevant? Nach welchen Kriterien wird sie bewertet? Welche Nachweise werden benötigt? Wer entscheidet über die Folge? Damit rückt nicht die Technik in den Mittelpunkt, sondern die Prüflogik.

Typische Einsatzfelder für Künstliche Intelligenz sind Anomalieerkennung in Prozessdaten, risikobasierte Prüfpriorisierung, Dokumentenanalyse und Echtzeit-Kennzahlen mit definiertem Eskalationsweg. In allen vier Fällen gilt dieselbe Regel: KI erzeugt keine Konformitätsaussage. Sie liefert Hinweise, die in einem geregelten Auditprozess bewertet werden müssen.

Damit wird Continuous Auditing besonders dort interessant, wo QM-Systeme in ihren Grundlagen bereits reif sind: strukturierte Prozessdaten, definierte Kennzahlen, dokumentierte Abweichungsprozesse, klare Maßnahmenverfolgung und gelebte Wirksamkeitsprüfung. Ohne diese Grundlagen bleibt KI ein helles Suchlicht ohne Prüfauftrag. Mit ihnen kann sie Teil eines belastbaren Prüfprozesses werden.

KI und Normung: Was Continuous Auditing für die Qualitätspraxis bedeutet Wer die Gedanken aus diesem Fachbeitrag weiterverfolgen möchte, hat am 8. Oktober Gelegenheit dazu: Im Mitgliederwebinar „Chili con Q“ richtet Autor Arno Schimmelpfennig den Blick auf die Normung. Woran arbeiten die Gremien gerade, und was davon ist für die Qualitätspraxis in den nächsten Monaten relevant? Teilnehmende erfahren, in welche Richtung sich die Antworten auf die im Beitrag genannten Herausforderungen entwickeln. Jetzt informieren »

Die Normenlage stützt keine Abkürzung, sondern einen Prozess

ISO 9001 enthält keine Vorgaben zum Einsatz von KI im Auditprozess. Die Norm stützt aber zentrale Voraussetzungen, ohne die Continuous Auditing nicht belastbar wird: Prozessorientierung, risikobasiertes Denken, dokumentierte Information, Überwachung, Messung, Analyse, Bewertung, Nichtkonformität, Korrekturmaßnahmen und Verbesserung.

ISO/IEC 42001 ergänzt diese Perspektive für KI. Der Standard beschreibt Anforderungen an ein Managementsystem für künstliche Intelligenz. Dazu gehören Aufbau, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung eines KI-Managementsystems. Für Qualitätsverantwortliche ist daran vor allem die Anschlussfähigkeit interessant: KI-Governance wird nicht als lose Sammlung technischer Kontrollen verstanden, sondern als Managementsystemaufgabe.

ISO/IEC 23894 liefert zusätzlich Leitlinien für das Management von Risiken im Zusammenhang mit KI-Systemen. Die Norm richtet sich an Organisationen, die KI entwickeln, bereitstellen oder nutzen, und beschreibt, wie KI-bezogenes Risikomanagement in bestehende Aktivitäten und Funktionen integriert werden kann. Damit wird eine Brücke zur QM-Praxis sichtbar: Risiken müssen identifiziert, bewertet, behandelt, überwacht und überprüft werden.

Die eigentliche Pointe: Das Prüfsystem wird selbst auditierbar

In einem klassischen Audit prüft ein Auditor einen Prozess, bewertet Nachweise und leitet Schlussfolgerungen ab. In einem KI-gestützten Prüfprozess liefert ein System Hinweise, priorisiert Vorgänge oder erkennt Muster. Der Mensch bewertet diese Hinweise. Damit entsteht ein zweiter Prüfgegenstand: das System, das Hinweise erzeugt. Genau hier wird Continuous Auditing fachlich spannend.

Diese Verschiebung ist aus Normungssicht zentral. Es reicht nicht, ein KI-System einmal zu validieren und anschließend dauerhaft als verlässliche Prüfquelle zu behandeln. Daten verändern sich. Modelle können angepasst werden. Einsatzkontexte verschieben sich. Deshalb muss auch die Aussagekraft des Systems überwacht werden.

Ein sogenannter KI-Drift kann im Managementsystem als mögliche Nichtkonformität des Prüfsystems behandelt werden. Diese Formulierung ist bewusst vorsichtig. Sie behauptet nicht, dass jede Modellveränderung automatisch eine Nichtkonformität ist. Sie beschreibt eine QM-nahe Denkweise: Wenn ein System seine zugesicherte Prüfleistung nicht mehr erreicht, braucht es Bewertung, Dokumentation, Korrektur und Wirksamkeitsprüfung. Nicht mehr, aber auch nicht weniger.

ETSI TS 104 008 macht diese Richtung besonders deutlich: Die technische Spezifikation zu Continuous Auditing Based Conformity Assessment (CABCA) für KI-gestützte Systeme wurde im Januar 2026 veröffentlicht. Sie beschreibt ein Verfahren, mit dem Anforderungen an KI-Systeme über deren Lebenszyklus kontinuierlich überwacht und in messbare Nachweise übersetzt werden können. Das Fraunhofer Institut für Offene Kommunikationssysteme (FOKUS) ordnet CABCA ausdrücklich als Ansatz ein, der unter anderem ISO/IEC 42001, ISO 19011, ISO 9001 und den EU AI Act berücksichtigt.

Prozessreife entsteht nicht durch Automatisierung allein

Für Unternehmen lassen sich drei Reifestufen unterscheiden: Auf der ersten Stufe liegen Prozessdaten vor, werden aber manuell oder nur anlassbezogen ausgewertet. Diese Stufe wirkt unspektakulär, ist aber entscheidend. Hier entscheidet sich, ob Daten vergleichbar sind, Begriffe einheitlich verwendet werden und Grenzwerte fachlich belastbar sind.

Auf der zweiten Stufe entstehen automatisierte Berichte und Dashboards. Kennzahlen werden sichtbar, Trends lassen sich schneller erkennen. Continuous Auditing beginnt aber erst, wenn aus einer Kennzahl ein definierter Prüfweg folgt. Ohne Prüftrigger, Zuständigkeit und Dokumentation bleibt es beim Monitoring.

Auf der dritten Stufe verbindet die Organisation Anomalieerkennung mit Eskalationsroutine. Auffälligkeiten werden systematisch erkannt, fachlich bewertet, dokumentiert und bei Bedarf in Maßnahmen überführt. KI priorisiert, Menschen beurteilen. Das Managementsystem sorgt dafür, dass Verantwortung sichtbar bleibt und nicht im System verschwindet.

Qualitätsmanagement muss sich nicht neu erfinden

Continuous Auditing ist keine Abkürzung um das Audit herum. Es ist eine Verdichtung des Auditgedankens unter digitalen Bedingungen. Aus Datenpunkten müssen auditierbare Nachweise werden. Aus Auffälligkeiten müssen bewertete Abweichungen werden. Aus KI-Hinweisen müssen verantwortete Entscheidungen entstehen.

Gerade darin liegt die Chance für das Qualitätsmanagement. Es muss sich nicht als technische Disziplin neu erfinden. Es kann seine Stärke einbringen: Anforderungen klären, Kriterien festlegen, Nachweise bewerten, Nichtkonformitäten behandeln, Maßnahmen nachverfolgen und Wirksamkeit prüfen.

Die Normungsdebatte zu KI zeigt, wie wichtig diese Fähigkeit wird. Je dynamischer KI-Systeme werden, desto weniger genügt eine einmalige Prüfung dieser Systeme. Konformität, Risiko und Leistungsfähigkeit müssen über den Lebenszyklus hinweg nachvollziehbar bleiben. Continuous Auditing bietet dafür eine praktische Denkfigur, aber keine einfache Lösung.

Für Qualitätsverantwortliche entsteht daraus ein konkreter Auftrag: nicht auf fertige KI-Lösungen für Continuous Auditing warten, sondern die Prüflogik selbst gestalten. Wer Auditprogramm, Datenqualität, Prüftrigger, Modellüberwachung und Governance zusammendenkt, macht Continuous Auditing zu mehr als einem technischen Versprechen. Dann wird es zu dem, was Qualitätsmanagement im besten Sinn leisten kann: Vertrauen in belastbare Entscheidungen schaffen.

Vom Stempel-Audit zum Continuous Auditing – Normung und KI neu denken Der EU AI Act wird ab August 2026 durchgesetzt – doch wie verändert Künstliche Intelligenz das Audit selbst? Auf dem 9. DGQ-Qualitätstag am 19. November zeigt Arno Schimmelpfennig aus seiner Arbeit in der DIN-Themengruppe KI in der Normenpraxis (TGKI), wie sich Konformitätsprüfungen vom punktuellen Stempel-Audit hin zu einem kontinuierlichen, KI-gestützten Monitoring entwickeln können. Nach einem Impuls zu regulatorischen Anforderungen, neuen Prüfungsverfahren und der unverzichtbaren Rolle des Menschen im System erarbeiten die Teilnehmenden gemeinsam Chancen, Hürden und erste Schritte für ein Continuous Auditing im eigenen Unternehmen. Jetzt informieren »

 

Über den Autor:
Arno Schimmelpfennig weiß, wohin KI-Standards sich entwickeln — er gestaltet sie mit. Als KI-Normungsexperte leitet er die DIN-Themengruppe KI in der Normenpraxis (TGKI) und ist Beirat im Ausschuss Normenpraxis Deutschland (ANP) mit 350 Experten. Im Führungskreis der Regionalgruppe ANP-N Bayern verbindet er Normungsarbeit und Industriepraxis. Autor, Dozent und — beim DGQ-Qualitätstag 2026 — Referent zu Continuous Auditing: Schimmelpfennig bringt normative Perspektiven in die Qualitätspraxis.