MaRisk AT 4.4.2 · EBA/GL/2021/05 · IDW PS 980 · FINMA-RS 2017/1/2 · FINMA-RS 2023/1 · DORA · DSGVO · GwG/AMLA · EU AI Act 2024/1689

Heterogene Rechtspflichten – konsolidiert, materialitätsbewertet, prüffähig.

Demo vereinbaren Angebot zum Modul anfragen

Avalon Compliance operationalisiert den vollständigen Compliance-Management-Zyklus: Unternehmensprofil, Legal Inventory, Regulatory Catalog, Relevanzanalyse, 5-Kriterien-Materialität, Compliance-Risiko, Pflichtenregister, Policy Mapping, Gap Dashboard, Kontrollplan, Kontrolltests, Evidenz, Findings, POA&M-Maßnahmen, Attestierungen, Fälle, Interessenkonflikte, Zuwendungen, Trainings und gruppenfähige Gremienberichte. KI kann Radar-Treffer und definierte Assessments vorbefüllen – Rechtsauslegung, Freigabe, Override, Sign-off und Berichtsaussage bleiben bei den zuständigen Rollen.

Ein aufsichtsorientierter Compliance-Zyklus verengt jede Rechtsquelle zu Materialität, Risiko, Pflicht, Kontrolle, Test, Finding und Bericht – und konsolidiert die Gesellschaften zu einer steuerbaren Gruppensicht.

Im Kern

Drei Gründe für Avalon Compliance

Dreistufiges Verfahren nach MaRisk AT 4.4.2 und EBA/GL/2021/05 – von Rechtsquelle, Materialität und Risiko bis zu Pflichten, Kontrollen, Tests, Maßnahmen und Wirksamkeitsnachweis.

Operative CMS-Schicht nach IDW-PS-980-Logik: Fristen, Maker-Checker-Freigaben, POA&M, Kontrolltests mit Evidenz, Attestierungen, Fälle, COI/Gifts, Trainings und Management-Reporting.

Gruppenfähige Steuerung mit Longlist, Regulatory Catalog, Methodik, Parametern, Heatmap, Legal-Inventory- und Risk-Score-Vergleich, Control Coverage, Maturity, Copy/Sync und konsolidierten Reports.

KI-Arbeitsmodell

KI bereitet vor. Menschen führen.

Jedes Modul bleibt klassisch bedienbar. Wenn KI aktiviert ist, übernimmt sie operative Vorbereitung und Verdichtung: Vorbefüllungen, Zuordnungen, Zusammenfassungen und Review-Queues. Verantwortliche Rollen prüfen Qualität, treffen die Entscheidung und geben den Nachweis frei.

Was sich im Arbeitsalltag ändert

Weniger manuelle Vorbefüllung, Kopieren und Konsolidieren.
Schnellere Durchläufe, weil Fachrollen vorbefüllte Arbeitsentwürfe statt leere Masken sehen.
Mehr Ressourcen für Steuerung, Qualitätssicherung und prüffähige Entscheidung.

Operative Vorarbeit

KI befüllt definierte Assessment- und Workflow-Felder vor, entwirft Zuordnungen, Texte oder Report-Bausteine und legt Quellen, Begründung und Konfidenz offen.

Menschliche Qualitätssicherung

Fachrollen prüfen, korrigieren, bündeln oder verwerfen. Freigaben, Overrides und rechtlich relevante Entscheidungen bleiben menschlich.

Auditierbarer Nachweis

Input, Vorbefüllung oder Entwurf, Entscheidung, Begründung und Version werden protokolliert. Der Effizienzgewinn kommt ohne Kontrollverlust.

Interessentenperspektive

Für wen dieses Modul gebaut ist

Primär: Compliance Officer, Compliance-Funktion und Compliance-Management in regulierten Gesellschaften – verantwortlich für Rechtsquelleninventar, Pflichten, Materialität, Compliance-Risiko, Kontrollplan, Wirksamkeitsnachweis, Fälle, Maßnahmen, Attestierungen, Trainings und Gremienreporting. Sekundär: Vorstand/Geschäftsführung, CRO, interne Revision, Control Owner und Gruppenfunktionen, die konsolidierte, vergleichbare und prüfbare Steuerung benötigen.

MaRisk · AT 4.4.2

Was heute bremst

Fragmentiert

Rechtsquellen über Gesellschaften, Excel-Listen und Postfächer verstreut

Uneinheitlich

Materialität je Prüfer neu begründet – ohne reproduzierbare Gewichtung

Verspätet

Gruppensicht erst durch manuelle Tabellenkonsolidierung vor jeder Prüfung

Avalon-Kern

legal source · risk · control · evidence

Materialitäts-Trichter

Drei Stufen verengen eine Norm bis zum belastbaren Risiko-Score

Wählen Sie eine Norm: Das aufsichtsorientierte Verfahren führt sie durch Relevanz, gewichtete Materialität und Risiko – und konsolidiert die Gesellschaften zu einer Gruppensicht.

Norm wählen

Stufe 1 · Relevanz0 / 9 · Hoch

EBA/GL/2021/05

TypBindungsgradGeschäftsmodell

Gate · Mittel/Hoch passiert in die Materialität

Stufe 2 · Materialität0 / 100

LSSV

BMRE

MCIM

RPIM

CMPL

MATL

Avalon-Methodik: AML/Datenschutz/Verbraucherschutz → materiell vorbelegt

Stufe 3 · Risiko0 / 25 · Medium

1Very LowLowMediumHigh25

±Override (Beispieldaten) · wartet auf Entscheidung

Audit · Override mit Pflichtbegründung protokolliert

Gruppenfähige Sicht über fünf Gesellschaften

Gesellschaften 1Gesellschaften 2Gesellschaften 3Gesellschaften 4Gesellschaften 5

Risiken je Stufe (Gruppe)

Critical0

High0

Medium0

Low0

Very Low0

5 Gesellschaften

Beispieldaten · Illustration

Belegt: Verfahren nach MaRisk AT 4.4.2 und EBA/GL/2021/05; Materialitäts-Gewichte 30 · 25 · 20 · 15 · 10; BaFin-relevante Pflichtbereiche (AML/Datenschutz/Verbraucherschutz) werden in der Avalon-Methodik materiell vorbelegt und prüfbar begründet. Avalon unterstützt die Umsetzung; die Konformitätsverantwortung verbleibt beim Kunden.

Kernbausteine

Was dieses Modul für Sie leistet

Avalon-Kern

legal source · risk · control · evidence

Rechtsquellen und Pflichten beherrschbar machen

Company Profile, Longlist, Legal Inventory, Regulatory Catalog, Relevanzanalyse, Pflichtenregister, Fristenkalender, Policy Mapping und Gap Dashboard bringen Regulatorik in eine steuerbare Struktur.

Materialität, Risiko und Wirksamkeit bewerten

Fünf gewichtete Materialitätskriterien, Inherent-/Residual-Risk, Mitigation, Impairment, Expert-Override, Kontrolltests, Evidenz, Signoff und Attestierungen machen Bewertung und Wirksamkeit prüffähig.

CMS-Betrieb und Gremiennachweis führen

POA&M, Fälle, COI/Gifts, Trainings, Audit-Log, Management-Reporting, Gremien-PDFs und Gruppen-Dashboards schließen den Kreis von der Rechtsquelle bis zum laufenden Compliance-Betrieb.

So arbeitet Avalon Compliance

Vom Unternehmensprofil zum konsolidierten Vorstands-Report

Prozesslogik

Jeder Schritt zeigt, welche Vorarbeit entsteht, wer prüft und welcher Nachweis daraus wird.

VorarbeitQualitätsprüfungNachweis

01Schritt
1. Unternehmensprofil und Methodik festlegen
Was passiert in diesem Schritt
Pro Gesellschaft pflegen Sie Sektor, Lizenz, Jurisdiktionen und Geschäftsfunktionen; zentral werden Longlist, Parameter, Gewichtungen und Schwellenwerte gesteuert. Damit bewertet jede Gesellschaft individuell, aber auf einer einheitlichen Methode.
02Schritt
2. Rechtsquellen identifizieren und strukturieren
Was passiert in diesem Schritt
Compliance übernimmt Quellen aus Longlist, Import, Regulatory Catalog oder Radar, pflegt Stammdaten und Business-Unit-Anwendbarkeit und übersetzt relevante Quellen in konkrete Anforderungen und Pflichten.
03Schritt
3. Materialität und Risiko bewerten
Was passiert in diesem Schritt
Für relevante Quellen werden 5-Kriterien-Materialität, Inherent Risk, Mitigation, Impairment, Residual Risk und optionaler Expert-Override dokumentiert. Prozessbezug und CIF-Kontext zeigen, wo erhöhte Anforderungen entstehen.
04Schritt
4. Pflichten, Policies und Controls verbinden
Was passiert in diesem Schritt
Pflichten erhalten Owner, Fälligkeiten und Maker-Checker-Freigaben. Policy Mapping und Gap Dashboard zeigen, welche Anforderungen abgedeckt sind, welche Kontrollen greifen und wo neue Maßnahmen nötig werden.
05Schritt
5. Wirksamkeit betreiben
Was passiert in diesem Schritt
Controls werden geplant, getestet, mit Evidenz versehen und signiert. Findings, Gap-Ergebnisse und Fälle erzeugen POA&M-Maßnahmen; Attestierungen, Trainings, COI/Gifts und Fallregister bilden die operative CMS-Schicht.
06Schritt
6. Konsolidieren und berichten
Was passiert in diesem Schritt
Dashboards, Heatmap, Export, Gap-PDF, Management-Report, Gremien-PDF und Gruppenansichten aggregieren Risiken, Pflichten, Kontrollabdeckung, Wirksamkeit, offene Maßnahmen, Attestierungen und Trends für Vorstand, Ausschüsse, Revision und Aufsicht.

Funktionsumfang

Was das Compliance-Modul im Detail leistet

Unternehmensprofil als Bewertungsanker

Pro Gesellschaft werden Sektor, Lizenztyp, Jurisdiktionen, Geschäftsfunktionen und regulatorische Besonderheiten gepflegt. Dieses Profil steuert Relevanzbewertung, Regulatory Radar, optionale KI-Vorbefüllung und Re-Reviews: Ändert sich Geschäftsmodell, Lizenz oder geografischer Scope, werden betroffene Rechtsquellen gezielt wieder in die Prüfung gebracht.

Legal Inventory, Longlist und Import/Export

Gesellschaften übernehmen Rechtsquellen aus einer zentral gepflegten Longlist, legen eigene Quellen an oder importieren Excel-Dateien mit flexiblem Spalten-Mapping. Relevanz und Materialität werden anhand der gepflegten Methodik berechnet, Dubletten werden kontrolliert behandelt, und Exporte liefern das bewertete Inventar inklusive Risikobezug und Business-Unit-Anwendbarkeit.

Regulatory Catalog mit Versionierung und Freigabe

Neben dem Legal Inventory unterstützt Avalon einen Regulatory Catalog für regulatorische Anforderungen und Layer-2-Anforderungen mit Entwurf, Bearbeitung, Versionierung, Officer-Approve und Historie. So werden Quellen nicht nur gesammelt, sondern in versionierte, freigabefähige Anforderungen übersetzt.

Regulatory Radar und Batch Review

Wenn Compliance-KI lizenziert und aktiviert ist, können neue, geänderte oder aufgehobene Rechtsquellen als Radar-Findings geführt werden. Die KI darf betroffene Normen, Begründungen, Konfidenz, Relevanz, Materialität und erste Bewertungsfelder vorbereiten; Compliance nimmt Treffer auf, stellt zurück oder verwirft sie. Bei deaktivierter KI bleiben Longlist, Import und manuelle Anlage vollständig nutzbar.

Relevanzanalyse und Business-Unit-Matrix

Typ, Bindungsgrad und Geschäftsmodellrelevanz ergeben den Relevanz-Score. Zusätzlich wird je Rechtsquelle die Anwendbarkeit pro Business Unit gepflegt – Applicable, Partly Applicable oder Not Applicable. Dadurch wird sichtbar, wo eine Norm tatsächlich wirkt und welche Einheiten in die Bewertung einzubeziehen sind.

5-Kriterien-Materialität mit zentraler Methodik

Fünf gewichtete Kriterien – Legal/Sanction Severity (30 %), Business Model Relevance (25 %), Market/Consumer Impact (20 %), Reputation Impact (15 %) und Change/Complexity (10 %) – plus Supervisory-Importance-Bonus bilden die Materialität. Gewichte, Schwellenwerte und Parameter werden zentral gepflegt; BaFin-relevante Bereiche wie AML, Datenschutz und Verbraucherschutz können methodisch materiell vorbelegt und begründet werden.

Risikobewertung mit Live-Berechnung, Prozessbezug und Override

Für materielle Rechtsquellen entstehen Risikoszenarien mit Inherent Risk aus Eintrittswahrscheinlichkeit und Financial/Regulatory/Reputational Impact. Mitigationen, Impairments und Residual Risk werden live berechnet; optionale Prozessverknüpfungen zeigen erhöhte Anforderungen bei kritischen oder wichtigen Funktionen. Nur Compliance Officer können per ±8 Expert-Override mit Pflichtbegründung übersteuern; Finalisierung sperrt die Bewertung.

Pflichtenregister mit Fristen und Maker-Checker

Pflichten werden mit Owner, Fälligkeit, Wiederholungslogik, Status und Evidenz geführt. Ein Maker-Checker-Prozess ermöglicht Submit, Approve oder Reject im Vier-Augen-Prinzip; Änderungen an freigegebenen Pflichten setzen den Freigabestatus zurück. Fristenkalender und Reminder machen fällige oder überfällige Pflichten operativ steuerbar.

Policy Mapping, Gap Dashboard und Policy Impact

Rechtsquellen und Pflichten werden auf Policies, Kontrollen und Coverage abgebildet. Das Gap Dashboard zeigt fehlende Abdeckung, offene Anforderungen und Umsetzungsbedarf; Gap-PDFs und Mappings schaffen die Brücke zwischen regulatorischer Anforderung, interner schriftlicher Ordnung und wirksamer Kontrolle.

Kontrollplan mit ISMS-Verknüpfung und Findings

Für High- und Critical-Risiken dokumentieren Sie Controls mit Ziel, Typ, Frequenz, Laufzeit, Testmethode, Status, Reporting-Pflicht und Control Owner. Bestehende ISMS-Maßnahmen können als Kontrollbezug wiederverwendet werden. Findings F0-F4, Critical-Exposure-Widgets und Statusübersichten zeigen, wo Kontrollen wirken und wo Handlungsbedarf besteht.

Kontrolltests, Evidenz und Wirksamkeitssignoff

Kontrollen werden nicht nur angelegt, sondern getestet: Testzyklen, Testdatum, Tester, Ergebnis, Evidenz-Upload, Wirksamkeitsrating, nächster Testtermin und Zwei-Stufen-Signoff schließen die Überwachungslücke. Terminale Testnachweise werden eingefroren; Defizite können automatisch Maßnahmen auslösen.

POA&M- und Maßnahmensteuerung

Findings, Gap-Ergebnisse, Kontrolltests oder Fälle erzeugen strukturierte Maßnahmen mit Owner, Fälligkeit, Priorität und Status. Das Action Board zeigt offene, überfällige und abgeschlossene Maßnahmen und ersetzt lose Remediation-Freitexte durch einen steuerbaren Plan-of-Action-and-Milestones-Prozess.

Attestierungen für Pflichten und Kontrollen

Compliance Officers erstellen Attestierungskampagnen für Pflichten- und Kontroll-Owner. Zuweisungen werden per Fan-out erzeugt, Owner bestätigen Umsetzung oder Kontrollstand mit optionaler Evidenz, und Kampagnen lassen sich aktivieren, auswerten und schließen – inklusive Fristenlogik und Completion-Status.

Fälle, Vorfälle, Interessenkonflikte und Zuwendungen

Compliance-Fälle, Vorfälle und Verstöße werden mit Referenznummer, Vertraulichkeit, Notizen, Evidenz, Maßnahmen und Vier-Augen-Schließung geführt. Zusätzlich unterstützt das Modul Self-Service-Register für Interessenkonflikte und Zuwendungen mit Officer-Review, Freigabe oder Ablehnung und personenbezogener Sichtbarkeitssteuerung.

Trainings, Awareness und Nachweise

Schulungskampagnen werden im Compliance-Modul geplant, aktiviert, zugewiesen und geschlossen. Nutzer sehen ihre Schulungen, können Abschlüsse bestätigen und Zertifikate hochladen; Compliance erhält Completion-Rate, offene Zuweisungen und prüffähige Awareness-Nachweise.

Dashboards, Heatmap, Export und Gremienreporting

Dashboard, interaktive 5×5-Heatmap, Exportseite, PDF-/Excel-Exporte, Dashboard-Excel, Gap-PDF und Management-/Gremienreporting führen KPI, Risiken, Control Coverage, Wirksamkeit, Attestierungen, offene Pflichten, offene Maßnahmen und Trends zusammen. Berichte entstehen aus der Datenbasis, nicht aus nachträglicher Tabellenkonsolidierung.

Gruppensteuerung, Methodik und Copy/Sync

Jede Gesellschaft arbeitet tenant-isoliert; die Gruppe steuert Longlist, Parameter, Bewertungsmethodik und konsolidierte Ansichten zentral. Admin-Views liefern Group Dashboard, Heatmap, Legal-Inventory-Vergleich, Risk-Score-Vergleich, Control Coverage, Maturity, Copy/Sync für Legal Inventory, Risk Templates und Control Templates sowie konsolidierte Excel-Reports.

Eigenes Rollenmodell und revisionssicherer Audit-Trail

Compliance Officer, Compliance Analyst, Compliance Viewer und Compliance Control Owner sind strikt von ISMS-Rollen getrennt. Rechte steuern Sichtbarkeit, Bearbeitung, Export, Override, Finalisierung, Freigabe, Testsignoff und Rollenverwaltung. Jede relevante Änderung, Freigabe, Ablehnung, KI-Evidence, Override und Exporthandlung ist im Audit-Log nachvollziehbar.

Typische Szenarien

Wann Compliance im Avalon-Einsatz ist

Bankengruppe vor der MaRisk-Prüfung

Eine Gruppe aus Vollbank, Fondsgesellschaft und IT-Dienstleister muss aufsichtlich nachweisen, dass jede Gesellschaft ihre Rechtspflichten materialitätsbewertet steuert. In Avalon übernehmen die Gesellschaften aus der gemeinsamen Longlist ihre Normen, bewerten individuell – dieselbe Verordnung kann für die Vollbank High (Score 20), für die Fondsgesellschaft Medium (Score 12) sein – und das Gruppen-Dashboard liefert eine konsolidierte, prüffähige Gesamtsicht ohne manuelle Tabellenkonsolidierung.

Neue Regulierung mit kontrollierter Übernahme

Eine EU-Verordnung oder ein BaFin-/FINMA-Rundschreiben wird relevant. Avalon führt die Quelle im Regulatory Catalog, zeigt Version und Historie, übernimmt sie ins Legal Inventory, bewertet Relevanz und Materialität und erzeugt daraus Pflichten mit Owner, Fälligkeit und Maker-Checker-Freigabe. Wenn KI aktiv ist, entstehen Vorbefüllungen als Arbeitsentwürfe, nicht als automatische Rechtsentscheidung.

Materialität, die im Audit standhält

Ein Prüfer hinterfragt, warum ein Risiko herabgestuft wurde. In Avalon ist jede Materialitäts- und Risikobewertung mit fixen Gewichten reproduzierbar; ein Expert-Override ist nur mit schriftlicher Pflichtbegründung und ausschließlich durch den Compliance Officer möglich, finalisierte Bewertungen sind gesperrt, und das Audit-Log protokolliert jede Änderung auf Entitätsebene.

Kontrollen, Tests und Attestierungen schließen den Kreis

Aus einem High-Risk entsteht ein Kontrollplan mit Control Owner, Testmethode, Evidenz, Wirksamkeitssignoff, Findings, POA&M und Attestierungskampagne. Vorstand, Revision und Aufsicht sehen nicht nur eine Bewertung, sondern die komplette Spur von Rechtsquelle, Risiko, Pflicht, Kontrolle, Test, Maßnahme und Bestätigung.

Compliance-Betrieb jenseits der Risikoanalyse

Fälle, Verstöße, Interessenkonflikte, Zuwendungen und Schulungskampagnen werden im selben Modul geführt. Vertrauliche Fälle bleiben rollenbasiert sichtbar, COI/Gifts laufen über Self-Service und Officer-Review, Trainings erzeugen Zertifikatsnachweise – alles in der gleichen Auditspur wie Pflichten und Kontrollen.

Board-ready Management-Reporting

Für Gremienberichte zählen nicht nur Risikoscores, sondern Trends, offene Pflichten, offene Maßnahmen, Wirksamkeitsgrad, Attestierungsquote und Control Coverage. Avalon erzeugt Management- und Gremienreports aus Snapshots und Live-Daten, sodass der Bericht keine manuell nachgebaute Excel-Geschichte mehr ist.

Verbindungen

Wie dieses Modul mit Avalon zusammenspielt

Compliance wirkt als Querschnitt – Avalon verbindet Regulatorik mit den Disziplinen, die sie operativ erfüllen.

Prozessmanagement

Kritische und wichtige Geschäftsprozesse bringen erhöhte regulatorische Anforderungen mit. Verändert sich ein solcher Prozess in seiner Kritikalität, behalten Sie die betroffenen Compliance-Bewertungen im Blick – damit keine Rechtspflicht durch organisatorische Änderungen aus dem Fokus gerät.

ISMS

Bereits umgesetzte Sicherheitsmaßnahmen aus dem ISMS lassen sich in der Compliance-Risikobewertung als wirksame Mitigation anrechnen, und umgekehrt zahlen Compliance-Befunde auf die Wirksamkeitsbewertung der Maßnahmen ein. So bewerten Sie eine Maßnahme einmal und nutzen ihren Nachweis modulübergreifend (modulübergreifende Integration).

AI Governance

Ist eine Rechtsquelle KI-bezogen (z. B. EU AI Act, DSGVO Art. 22), wird sie als relevante Obligation im AI-Governance-Modul verknüpft; umgekehrt können AI-Governance-Obligations auf Compliance-Controls verweisen. So laufen regulatorische Rechtspflichten und KI-Governance-Sicht zusammen, statt getrennt voneinander gepflegt zu werden (modulübergreifende Integration).

Präsentationen

Management- und Gremienreports aus Compliance – Risiken, offene Pflichten, offene Maßnahmen, Control Coverage, Wirksamkeit, Findings, Attestierungsstatus und Trends – können in managementtaugliche Unterlagen überführt werden. KI kann Narrativentwürfe vorbereiten; Compliance und Management prüfen Aussage, Datenstand und Freigabe.

Regulatorik im Detail

Welche Rahmenwerke das Compliance-Modul abbildet

MaRisk AT 4.4.2
EBA/GL/2021/05
IDW PS 980
FINMA-RS 2017/1/2
FINMA-RS 2023/1
DORA
DSGVO
GwG/AMLA
EU AI Act 2024/1689

MaRisk AT 4.4.2: Das dreistufige Verfahren – Relevanzanalyse, Materialitätsbewertung, Risikobewertung – ist direkt aus MaRisk AT 4.4.2 abgeleitet und als durchgängiger Workflow im Modul verankert. Die Kontrollfunktion erhält damit eine prüffähige, methodisch konsistente Gesamtsicht über die Compliance-relevanten Rechtsnormen.
EBA/GL/2021/05: Die Bewertungskriterien und Gewichtungen der Materialitätsbewertung orientieren sich an EBA/GL/2021/05. Die fünf Kriterien mit ihren fixen Gewichten und der Supervisory-Bonus bilden die regulatorisch vorgezeichnete Logik ab – konfigurierbar über die zentrale Methodik, damit Änderungen einmal gepflegt und gruppenweit gelten.
IDW PS 980: Das Modul unterstützt die operative CMS-Logik aus Risikoanalyse, Programm, Kommunikation, Überwachung und Verbesserung: Pflichten, Fristen, Maker-Checker-Freigaben, Kontrolltests, Evidenzen, Attestierungen, Fälle, Maßnahmen und Management-Reporting werden als zusammenhängende Nachweiskette geführt. IDW PS 980 ist ein Prüfungsstandard, keine Regulatorik; Avalon liefert die strukturierte Nachweisbasis.
FINMA-RS 2017/1 / 2017/2 – Corporate Governance, Risikomanagement und internes Kontrollsystem: Im Schweizer Banken- und Versicherungsperimeter lassen sich FINMA-Rundschreiben als Rechts- bzw. Aufsichtsquellen im Legal Inventory führen, bewerten und Kontrollen zuordnen. FINMA-RS 2017/1 ist für Banken, FINMA-RS 2017/2 für Versicherer insbesondere für Governance-, Risiko- und IKS-Anforderungen relevant; die konkrete Materialität und Auslegung werden kundenspezifisch gepflegt.
FINMA-RS 2023/1 – Operationelle Risiken und Resilienz: FINMA-RS 2023/1 kann im Schweizer Finanzmarktperimeter als relevante Rechts- bzw. Aufsichtsquelle geführt und mit Risiken, Kontrollen, Reviews und Nachweisen verbunden werden. Die operative Resilienzbewertung liegt fachlich in den passenden Avalon-Modulen; Compliance hält die regulatorische Quelle und ihre Kontrollabdeckung nachvollziehbar.
DORA: DORA-relevante Anforderungen können als Rechtsquellen und Pflichten im Compliance-Inventar geführt werden. Die fachliche Umsetzung von ICT-Risiko, BCM und IKT-Drittdienstleistersteuerung erfolgt in IT Risk Management, BCM und TPRM; Compliance liefert Materialität, Kontrollabdeckung und Gremiennachweis.
BaFin-relevante Pflichtbereiche: Geldwäscheprävention (AML), Datenschutz und Verbraucherschutz sind in der Avalon-Methodik als materiell vorbelegt, damit besonders aufsichtsrelevante Themen nicht allein durch eine Schwellenwertlogik herausfallen. Die Vorbelegung ist methodisch nachvollziehbar und mandantenspezifisch prüfbar.
GwG / AMLA: Geldwäsche- und AMLA-relevante Quellen werden im Compliance-Inventar als Rechtsquellen und Pflichten geführt. Die operative AML-Programmlogik – EWRA, Fälle, STR-Entscheidungen, Screening-/TM-Schnittstellen und Board-Reporting – ist im dedizierten Geldwäschemodul abgegrenzt.
EU AI Act 2024/1689: KI-bezogene Rechtsquellen lassen sich im Rechtsquelleninventar erfassen und bewerten; solche Normen werden als relevante Obligation im AI-Governance-Modul verknüpft, damit regulatorische und KI-Governance-Sicht zusammenlaufen. Die fachliche EU-AI-Act-Governance wird im dedizierten AI-Governance-Modul live geführt und dort mit Registry, Klassifizierung, Pflichten, Reviews und Nachweisen abgegrenzt.
DSGVO: Datenschutz ist in der Avalon-Methodik als materiell vorbelegbarer Bereich führbar und kann als Kategorie im Rechtsquelleninventar gepflegt werden. Der Betrieb erfolgt On-Premise mit kontrollierter Datenresidenz – Ihre Rechts- und Bewertungsdaten verbleiben in Ihrer Hoheit.

Avalon unterstützt die Umsetzung dieser Rahmenwerke. Die Konformität bleibt in der Verantwortung Ihrer Organisation.

KI-PlattformEntscheidungshoheit: Mensch entscheidetStatus: Live mit Rollout-Scope

KI mit Kontrolle: Vorbefüllung nach Methodik, keine Rechtsentscheidung

Im Compliance-Modul funktioniert jeder Workflow vollständig ohne KI. Wenn Compliance-KI lizenziert und aktiviert ist, befüllt sie definierte Prozess- und Assessmentfelder vor: Radar-Findings, Kandidaten aus Rechtsquellen, Relevanz, Materialität, Risikoszenario, Impact, Pflichten, Gap-Hinweise, Kontrollbezüge und Review-Queues. Die KI arbeitet innerhalb der gepflegten Methodik und erstellt prüfbare Arbeitsentwürfe mit Quellen, Begründung und Konfidenz; sie entscheidet nicht über Rechtsauslegung, Materialität, Override, Maker-Checker-Freigabe, Test-Signoff oder Gremienbericht.

Optionaler KI-Baustein

KI bereitet den Compliance-Zyklus vor – Compliance gibt frei

KI ist im Compliance-Modul eine optionale Vorbefüllungs- und Review-Schicht: Sie kann Radar-Treffer, Rechtsquellen, Relevanz, Materialität, Risiken, Pflichten, Gap-Hinweise und Kontrollbezüge vorbereiten. Rechtsauslegung, Maker-Checker-Freigabe, Override, Finalisierung und Gremienfreigabe bleiben bei den zuständigen Rollen.

Wo KI im Prozess eingreift

Unternehmensprofil, Rechtsquellen und Modulkontext steuern die Vorbefüllung.
Relevanz-, Materialitäts-, Risiko-, Pflicht-, Gap- und Kontrollfelder werden reviewfähig vorbereitet.
Freigaben, Overrides, Rechtsauslegung, Test-Sign-off und Berichtsaussagen bleiben menschlich.

Assessment-VorbefüllungVORSCHLAG

Schutzbedarfs-Assessment

Vorbefüllt

Methode: CIA · Maximumprinzip · VVT-0091

IHRE ENTSCHEIDUNG

On-Premise · kein Datenabfluss · EU-AI-Act-konform

Ohne KI

Compliance Officers übernehmen Normen aus Longlist, Import, Regulatory Catalog oder Radar und bewerten sie manuell.
Relevanz, Materialität, Risiko, Pflichten, Kontrollen, Tests, Attestierungen und Maßnahmen werden klassisch gepflegt.
Reports entstehen aus finalisierten Bewertungen, Kontrollständen, Testnachweisen und Audit-Logs.

Mit KI

KI bereitet betroffene Normen, Gesellschaften, Pflichten, Materialität, Risiken und Gap-Hinweise als Arbeitsentwürfe vor.
Batch-Reviews bündeln offene Entwürfe mit Quellen, Begründung, Konfidenz und Review-Status.
Compliance verlagert Arbeit von Recherche und Datenerfassung auf Prüfung, Entscheidung und Wirksamkeitssteuerung.

Dual Path: Longlist, Import, Regulatory Catalog, Risiko, Pflichten, Controls, Tests, Attestierungen und Reporting funktionieren auch bei deaktivierter KI vollständig manuell.
Human-in-the-Loop: KI-Vorbefüllungen, Radar-Funde, Gap-Hinweise und Control-/Policy-Arbeitsentwürfe werden erst nach Review übernommen; Compliance prüft, editiert oder verwirft jeden Wert.
Audit-Trail und Gatekeeping: KI-Evidence, Annahmen, Ablehnungen, Overrides, Signoffs und methodische Abweichungen werden nachvollziehbar protokolliert; nicht freigegebene Entwürfe verändern keine finalisierten Bewertungen.

Wie KI mit Kontrolle bei Avalon funktioniert

Häufige Fragen zum Compliance-Modul

Aus einer zentralen Longlist von Rechtsquellen – etwa MaRisk, DORA, DSGVO, KWG, GwG und BaFin-Rundschreiben. Eigene Quellen und interne Richtlinien sind strukturiert ergänzbar.

Über das Pflichtenregister, Policy Mapping, Gap Dashboard und den Kontrollplan. Pflichten erhalten Owner, Fälligkeiten, Maker-Checker-Freigaben und werden mit Kontrollen, Tests, Evidenzen, Findings und Maßnahmen verbunden – eine Kontrolle kann mehrere Pflichten abdecken.

Neue Quellen lassen sich strukturiert aus der zentralen Longlist übernehmen, per Excel importieren, im Regulatory Catalog versionieren und nach derselben Relevanz-, Materialitäts- und Risiko-Methodik bewerten. Optional aktivierte KI unterstützt bei Radar-Treffern und Vorbefüllungen; sie ersetzt keine fachliche Rechtsbewertung und jeder Arbeitsentwurf wird erst nach Prüfung übernommen.

Ja. PDF-/Excel-Exporte, Gap-PDF, Management- und Gremienreports sowie gruppenfähige Dashboards entstehen aus den bewerteten Rechtsquellen, Pflichten, Kontrollen, Testnachweisen, Attestierungen, Fällen, Maßnahmen und Audit-Logs. Exportrechte bleiben rollenbasiert gesteuert.

Module

Welches Modul passt zu Ihrem nächsten Schritt?

Wir zeigen Ihnen Avalon entlang Ihrer aktuellen Fragestellung – konkret, in Ihrem Kontext, ohne Standard-Sales-Demo.

On-Premise
Human-in-the-Loop
EU-AI-Act-Governance

Kostenlosen Demo-Termin vereinbaren Angebot anfragen

On-Premise · KI-Inferenz auf Ihrer Appliance