KI im Risikomanagement

KPMG verfolgt KI durch jede Stufe des Risikokreislaufs. Bei der Identifikation (auf Englisch) entwirft sie Prozessabläufe, erkennt neue Risiken und ordnet sie der Risikotaxonomie und den Kontrollen zu. Bei der Bewertung schlägt sie Einstufungen vor und berechnet Risikoindikatoren und Restrisiko. In der Überwachung ersetzt sie Stichtagsberichte durch laufende. In der Future-of-Risk-Umfrage von KPMG nannten 400 Führungskräfte KI und generative KI als wichtigste Technik für ihre neuen Risikoaufgaben der nächsten drei bis fünf Jahre.

KPMG Deutschland nennt die Risikoarten, bei denen Unternehmen sie einsetzen: Kredit-, Markt-, Betrugs-, operationelle und Liquiditätsrisiken (auf Englisch). Fast die Hälfte der Unternehmen in der Studie AI in Finance erkennt Risiken mit KI schneller. In einer Bank reicht der Einsatz von Frühwarnsignalen im Kreditbuch bis zu Stressszenarien und der Prüfung von Verträgen mit IKT-Dienstleistern.

Die Bundesbank-Seite zu Machine-Learning-Methoden (auf Englisch) nennt drei Dokumente. Ein Diskussionspapier zu KI und Machine Learning im Finanzsektor vom November 2020 fragte nach Erklärbarkeit und Daten, die BaFin veröffentlichte im Juni 2021 Prinzipien für Algorithmen in Entscheidungsprozessen, und im Juli 2021 folgte ein gemeinsames Konsultationspapier von BaFin und Bundesbank zu Machine Learning in Risikomodellen. Es betrifft die Modelle für das aufsichtliche Kapital und die internen Steuerungsmodelle.

Im Dezember 2025 ergänzte die BaFin eine Orientierungshilfe zu IKT-Risiken beim Einsatz von KI-Systemen, die ein KI-System als Teil der IKT nach DORA behandelt. Ein Risikomodell mit Machine Learning fällt damit unter zwei Regelwerke: das Modellrisikomanagement für das, was es vorhersagt, und das IKT-Risikomanagement für den Betrieb.

KPMG zählt die neuen Risiken durch KI zu den Herausforderungen, vor denen Risikomanager jetzt stehen. Ein Modell kann abdriften, wenn sich Märkte ändern, und ein Modell ohne Verantwortlichen kann unbemerkt versagen. Banken führen ein KI- und Modellverzeichnis und validieren Modelle vor und nach dem Start.

Modellrisikomanagement beschreibt die Validierungspflicht nach MaRisk und den EZB-Leitfaden zu internen Modellen, KI-Governance in Banken die Frage, wer über einen Anwendungsfall entscheidet und wer ein System abschalten darf.

Kredit-, Markt-, Betrugs-, operationelle und Liquiditätsrisiken nennt KPMG Deutschland. KI funktioniert am besten, wo es viele Daten und ein klares Signal gibt, etwa bei Zahlungen, Marktpreisen oder einem großen Kreditbuch. Bei seltenen Ereignissen, die in der Historie fehlen, hat sie wenig, woraus sie lernen kann.

Nur in manchen Fällen. Anhang III (auf Englisch) nennt bei den Finanzanwendungen das Scoring natürlicher Personen und die Preisbildung in der Lebens- und Krankenversicherung. Ein Modell für Markt- oder Liquiditätsrisiken steht nicht auf der Liste, bleibt aber unter MaRisk, DORA und den Modellrisikoregeln der Bank.