KI im Risikomanagement: Chancen und Herausforderungen

Jeder will KI im Risikomanagement. Nur wenige sind bereit dafür

Alle sind bemüht, KI einzuführen. Doch im Bereich des Third-Party Risk Management (TPRM) könnte dieses Rennen das größte Risiko von allen darstellen.

KI benötigt eine Struktur: saubere Daten, standardisierte Prozesse und konsistente Ergebnisse. Dennoch fehlen den meisten TPRM-Programmen diese Grundlagen. Einige Organisationen haben dedizierte Risikoleiter, definierte Programme und digitalisierte Daten. Andere verwalten Risiken ad hoc über Tabellenkalkulationen und gemeinsame Laufwerke. Einige unterliegen strengen regulatorischen Anforderungen, während andere weitaus größere Risiken akzeptieren. Kein Programm gleicht dem anderen, und die Reife variiert weiterhin stark nach 15 Jahren Aufwand.

Wie man erkennt, ob das Programm bereit für KI ist

Nicht jede Organisation ist bereit für KI, und das ist in Ordnung. Eine aktuelle Studie des MIT hat ergeben, dass 95 % der GenAI-Projekte scheitern. Laut Gartner geben 79 % der Technologieeinkäufer an, dass sie ihren letzten Kauf bereuen, da das Projekt nicht richtig geplant wurde.

Im TPRM ist die Bereitschaft für KI kein Schalter, den man umlegt. Es ist ein Fortschritt und ein Spiegelbild dessen, wie strukturiert, verbunden und geregelt Ihr Programm ist. Zu wissen, wo man steht, ist der erste Schritt, um KI effektiv und verantwortungsbewusst zu nutzen.

In den frühen Phasen sind Risikoprogramme weitgehend manuell, abhängig von Tabellenkalkulationen, institutionalem Wissen und fragmentierter Verantwortung. Es gibt wenig formale Methodik oder konsistente Aufsicht über Drittanbieter-Risiken. Informationen über Anbieter könnten in E-Mail-Threads oder im Kopf einiger Schlüsselpersonen existieren, und der Prozess funktioniert, bis er es nicht mehr tut. In dieser Umgebung wird es KI schwerfallen, Lärm von Einsichten zu trennen, und die Technologie wird Inkonsistenzen eher verstärken als beseitigen.

Wachstum und echte Bereitschaft

Mit dem Fortschritt der Programme beginnt sich eine Struktur zu bilden: Arbeitsabläufe werden standardisiert, Daten digitalisiert und die Verantwortung erstreckt sich über Abteilungen hinweg. Hier beginnt KI, echten Wert zu schaffen. Aber selbst gut definierte Programme bleiben oft isoliert, was die Sichtbarkeit und Einsicht einschränkt.

Wahre Bereitschaft entsteht, wenn diese Silos aufgebrochen werden und die Governance geteilt wird. Integrierte und agile Programme verbinden Daten, Automatisierung und Verantwortung über das gesamte Unternehmen hinweg, sodass KI Fuß fassen kann – indem sie getrennte Informationen in Intelligenz verwandelt und schnellere, transparentere Entscheidungen unterstützt.

Warum Einheitslösungen nicht funktionieren

Selbst wenn zwei Unternehmen agile Risikoprogramme haben, werden sie nicht denselben Kurs für die KI-Implementierung einschlagen, noch werden sie die gleichen Ergebnisse sehen. Jedes Unternehmen verwaltet ein unterschiedliches Netzwerk von Drittanbietern, operiert unter einzigartigen Vorschriften und akzeptiert unterschiedliche Risikoniveaus.

Jede Organisation hat eine Risikobereitschaft, die definiert, wie viel Unsicherheit sie bereit ist zu akzeptieren, um ihre Ziele zu erreichen. Im TPRM bewegt sich diese Grenze ständig. Daher funktionieren Standard-KI-Modelle selten. Die Anwendung eines generischen Modells in einem so variablen Bereich schafft blinde Flecken anstelle von Klarheit, was den Bedarf nach maßgeschneiderten, konfigurierbaren Lösungen erhöht.

Modularer Ansatz zur KI

Der intelligentere Ansatz zur KI ist modular. Setzen Sie KI dort ein, wo die Daten stark und die Ziele klar sind, und skalieren Sie von dort. Häufige Anwendungsfälle sind:

• Lieferantenforschung: Nutzen Sie KI, um Tausende potenzieller Anbieter zu durchforsten und die risikoärmsten, fähigsten oder nachhaltigsten Partner für ein bevorstehendes Projekt zu identifizieren.
• Bewertung: Wenden Sie KI an, um die Dokumentation, Zertifizierungen und Prüfungsnachweise von Anbietern zu bewerten. Modelle können Inkonsistenzen oder Anomalien aufdecken, die auf Risiken hinweisen, und Analysten entlasten, damit sie sich auf das Wesentliche konzentrieren können.
• Resilienzplanung: Nutzen Sie KI, um die Auswirkungen von Störungen zu simulieren. Wie würden Sanktionen in einer Region oder ein regulatorisches Verbot eines Materials Ihre Lieferbasis beeinflussen? KI kann komplexe Handels-, geografische und Abhängigkeitsdaten verarbeiten, um Ergebnisse zu modellieren und Notfallpläne zu stärken.

Jeder dieser Anwendungsfälle liefert Wert, wenn er absichtlich eingesetzt und von Governance unterstützt wird. Die Organisationen, die im Bereich KI in Risiko- und Lieferkettenmanagement echten Erfolg haben, sind nicht die, die am schnellsten automatisieren. Sie sind die, die klein anfangen, absichtlich automatisieren und häufig anpassen.

Aufbau verantwortungsvoller KI im TPRM

Wenn Organisationen beginnen, mit KI im TPRM zu experimentieren, balancieren die effektivsten Programme Innovation mit Verantwortung. KI sollte die Aufsicht stärken und nicht ersetzen.

Im Third-Party Risk Management wird der Erfolg nicht nur daran gemessen, wie schnell Sie einen Anbieter bewerten können, sondern auch daran, wie genau Risiken identifiziert und wie effektiv Korrekturmaßnahmen umgesetzt wurden. Wenn ein Anbieter ausfällt oder ein Compliance-Problem Schlagzeilen macht, fragt niemand, wie effizient der Prozess war. Sie fragen, wie er regiert wurde.

Diese Frage, „wie wird es regiert“, wird zunehmend global. Mit der beschleunigten Einführung von KI definieren Regulierungsbehörden weltweit, was „verantwortungsvoll“ bedeutet, auf sehr unterschiedliche Weise. Die EU-KI-Verordnung hat mit einem risikobasierten Rahmen den Ton angegeben, der Transparenz und Verantwortung für Systeme mit hohem Risiko fordert. Im Gegensatz dazu verfolgt die Vereinigten Staaten einen dezentraleren Ansatz, der Innovation neben freiwilligen Standards wie dem NIST-Rahmen für KI-Risikomanagement betont. Andere Regionen, wie Japan, China und Brasilien, entwickeln ihre eigenen Varianten, die Menschenrechte, Aufsicht und nationale Prioritäten in unterschiedliche Modelle der KI-Governance integrieren.

Für globale Unternehmen bringen diese unterschiedlichen Ansätze neue Komplexitätsebenen mit sich. Ein Anbieter, der in Europa tätig ist, könnte strengen Berichtspflichten unterliegen, während einer in den USA lockerere, aber immer noch sich entwickelnde Erwartungen hat. Jede Definition von „verantwortlicher KI“ fügt Nuancen hinzu, wie Risiken bewertet, überwacht und erklärt werden müssen.

Wie man anfängt

Um verantwortungsvolle KI zur Realität zu machen, sind mehr als nur politische Aussagen erforderlich. Es bedeutet, die richtigen Grundlagen zu schaffen: saubere Daten, klare Verantwortlichkeiten und kontinuierliche Aufsicht. So sieht das aus:

• Von Anfang an standardisieren: Stellen Sie saubere, konsistente Daten und abgestimmte Prozesse her, bevor Sie automatisieren. Implementieren Sie einen schrittweisen Ansatz, der KI schrittweise in Ihr Risikoprogramm integriert, indem Sie jede Phase testen, validieren und verfeinern, bevor Sie skalieren. Die Datenintegrität, -privatsphäre und -transparenz sollten von Anfang an nicht verhandelbar sein. KI, die ihre Entscheidungsfindung nicht erklären kann oder auf nicht verifizierten Eingaben basiert, bringt Risiken mit sich, anstatt sie zu reduzieren.
• Klein anfangen und oft experimentieren: Erfolg bedeutet nicht Geschwindigkeit. Starten Sie kontrollierte Pilotprojekte, die KI auf spezifische, gut verstandene Probleme anwenden. Dokumentieren Sie, wie Modelle abschneiden, wie Entscheidungen getroffen werden und wer dafür verantwortlich ist. Identifizieren und mildern Sie die kritischen Herausforderungen, einschließlich Datenqualität, Datenschutz und regulatorischer Hürden, die die meisten generativen KI-Projekte daran hindern, Geschäftswert zu liefern.
• Immer regieren: KI sollte helfen, Störungen vorherzusehen, nicht mehr zu verursachen. Behandeln Sie KI wie jede andere Form von Risiko. Stellen Sie klare Richtlinien und internes Fachwissen auf, um zu bewerten, wie Ihre Organisation und ihre Drittanbieter KI nutzen. Während sich die Vorschriften weltweit weiterentwickeln, muss die Transparenz konstant bleiben. Risikoleiter sollten in der Lage sein, jede KI-gesteuerte Einsicht auf ihre Datenquellen und Logik zurückzuführen, um sicherzustellen, dass Entscheidungen der Prüfung durch Regulierungsbehörden, Vorstände und die Öffentlichkeit standhalten.

Es gibt kein universelles Konzept für KI im TPRM. Die Reife, das regulatorische Umfeld und die Risikobereitschaft jedes Unternehmens bestimmen, wie KI implementiert wird und welchen Wert sie liefert, aber alle Programme sollten mit Absicht aufgebaut werden. Automatisieren Sie, was bereit ist, regieren Sie, was automatisiert ist, und passen Sie sich kontinuierlich an, während sich die Technologie und die Regeln darum herum weiterentwickeln.