KI und die NVKM: So passt KI-Nutzung in dein Qualitätssystem

Am 1. Januar 2027 läuft das Übergangsrecht der NVKM aus. Ab diesem Datum arbeitet auch das Büro ohne Wta-Zulassung, also die typische Zusammenstellungspraxis, mit einem Qualitätssystem nach den Nadere voorschriften kwaliteitsmanagement. Damit wird 2026 zum Jahr der Umsetzung, dem Jahr, in dem Zielsetzungen, Risiken und Beherrschungsmaßnahmen zu Papier gebracht werden müssen.

Gleichzeitig klopft die KI an die Tür derselben Praxis. Viele Büros fragen sich, ob sie das schon jetzt in ihrem Qualitätssystem regeln müssen. Die Antwort lautet ja. Die gute Nachricht: Der Einsatz von KI fügt sich überraschend sauber in die Systematik ein, die Sie ohnehin gerade aufbauen.

Was am 1. Januar 2027 stehen muss

Die NVKM ersetzt die NVKS und bringt den internationalen ISQM-Ansatz in jedes Büro. Der Kern: Sie legen Qualitätsziele fest, Sie identifizieren und schätzen Qualitätsrisiken ein, Sie richten Beherrschungsmaßnahmen ein und Sie überwachen das Ganze, mit Korrekturmaßnahmen wo nötig. Hinzu kommt eine jährliche Bewertung der Wirksamkeit, die erste folgt nach Ablauf des Geschäftsjahres, in dem Ihr System läuft.

Eine erleichterte Regelung für kleine Büros gibt es nicht mehr, aber das System ist durchaus skalierbar. Sie berücksichtigen die Art und den Umfang Ihres Büros und Ihrer Aufträge. Ein Zusammenstellungsbüro muss nichts über Assurance beschreiben, und die NBA betont, dass Sie keine Software anschaffen müssen: eine Ausarbeitung in Word oder Excel genügt. Beginnen Sie bei Ihren Kernrisiken, statt achtzig Risiken aufzuschreiben.

Für kleine Büros veröffentlichte die NBA im März 2026 zudem einen Stufenplan mit acht Schritten, vom Benennen eines Projektleiters bis zum Einrichten der Überwachung. Wer in der zweiten Hälfte von 2026 beginnt, hat also einen konkreten Fahrplan.

Geben Sie der KI einen Platz in derselben Systematik

Seit Juni 2026 gibt es eine klare Antwort auf die Frage, ob KI in Ihr Qualitätssystem gehört. In ihrem gemeinsamen Leitfaden zur Anwendung von KI schreiben NBA und NOREA, dass eine Prüfungsorganisation die Anforderungen an den Einsatz von KI in das Qualitätsmanagementsystem aufnehmen muss, mit einer expliziten Risikoanalyse für jede KI-Anwendung.

In NVKM-Begriffen ist das vertrautes Terrain. KI-Tools fallen unter die Komponente Mittel, und Sie durchlaufen denselben Weg wie für jedes andere Mittel: Was will ich damit erreichen, was kann schiefgehen, welche Maßnahme setze ich dem entgegen? Der Leitfaden benennt die Risiken, die Sie in jedem Fall abdecken: eine Black Box, die Sie nicht verantworten können, KI-Output, der für sich allein als Prüfungsinformation verwendet wird, und Mandantendaten, die in den Gratisversionen öffentlicher Chatbots landen.

Wir finden, dass Sie KI damit nicht als Bedrohung behandeln müssen. Ein Risiko, das Sie benennen, einschätzen und abdecken, ist genau das, was die NVKM von Ihnen verlangt. Der Unterschied zwischen verantwortungsvollem und unverantwortlichem Einsatz von KI liegt nicht in der Technologie, sondern in der Frage, ob Sie sie beherrschen. Behalten Sie daneben die EU-KI-Verordnung im Blick, die ab August 2027 größtenteils in Kraft treten soll. Was diese von kleineren Organisationen verlangt, lesen Sie in unserem Artikel über die EU-KI-Verordnung.

Vom Risiko zur Maßnahme: das halten Sie fest

Arbeiten Sie mit einem KI-Connector an Ihrem Buchhaltungspaket, dann schreiben sich die Beherrschungsmaßnahmen fast von selbst.

Wer nutzt den Connector und mit welchen Rechten. Legen Sie fest, welche Mitarbeiter Zugriff haben und was sie dürfen. Bei Exact AI Connect stellen Sie Schreibrechte pro Rolle ein, setzen Mitarbeiter bei Bedarf auf Nur-Lesen und begrenzen die Anzahl der Änderungen pro Tag. Wie Sie das einrichten, lesen Sie in unserem Artikel über das Einstellen von Rechten.

Ein Bestätigungsschritt vor jeder Änderung. Die KI führt niemals etwas unaufgefordert durch. Jede Erstellung oder Änderung ist zunächst ein Vorschlag, den ein Mitarbeiter ausdrücklich bestätigt. Das ist eine Beherrschungsmaßnahme im Sinne der NVKM, und sie steckt im System selbst statt in einer Anweisung, die jemand vergessen kann.

Eine Lieferantenbeurteilung. Behandeln Sie den KI-Connector wie jede Serviceorganisation, mit der Sie arbeiten. Fragen Sie nach ISO 27001-Zertifizierung und einem unabhängigen Pentest. Exact AI Connect hat beides. Fragen Sie auch nach der Datenspeicherung. Bei Essentials werden keine Finanzdaten gespeichert, jede Frage geht direkt an das Buchhaltungspaket. Bei Analytics laufen die großen Analysen auf einer gesicherten Kopie der Buchhaltung innerhalb der EU, die gelöscht wird, sobald Sie aufhören.

Dokumentation der Nutzung. Der Leitfaden will, dass nachvollziehbar ist, wie KI-Ergebnisse beurteilt und genutzt wurden: welche Prompts, welche Verifizierungsschritte, welche Schlussfolgerung. Beginnen Sie praktisch, mit einem festen Satz von Kontrollfragen, den das Büro validiert hat. So wächst von selbst der Promptkatalog, den der Leitfaden verlangt, und jeder Mitarbeiter weiß, welche Fragen unter die Richtlinie fallen.

Drehen Sie es um: KI als Verbündeter Ihrer Überwachung

Derselbe Leitfaden beschreibt KI nicht nur als zu beherrschendes Risiko, sondern auch als Hilfsmittel bei der Qualitätssicherung selbst. KI darf Dossierdokumentation auf Inkonsistenzen und fehlende Belege hinweisen, solange die Anwendung nur Vorschläge macht und nichts selbstständig anpasst. Und der NBA-Stufenplan betont, dass die Überwachung skalierbar sein darf, passend zum Umfang und zu den Risiken Ihres Büros.

Dazu kommt ein praktischer Vorteil, der selten genannt wird. KI-Nutzung über einen Connector mit festen Rechten und einem Bestätigungsschritt ist reproduzierbares Verhalten, und reproduzierbares Verhalten lässt sich beschreiben, prüfen und bewerten. Einzelne Ausschneide- und Einfüge-Sitzungen in einem kostenlosen Chatbot kann man das nicht. Das Büro, das seine KI-Nutzung kanalisiert, hat bei der jährlichen Bewertung mehr zu zeigen mit weniger Aufwand.

Beispiel-Prompts für Ihren Promptkatalog

Validierte Kontrollfragen sind der erste Baustein einer beherrschten KI-Nutzung. Sie passen in nahezu jedes Zusammenstellungsdossier:

Gibt es in dieser Buchhaltung Buchungen auf dem Interimskonto?

Welche Sachkonten weichen dieses Jahr um mehr als 25 Prozent vom Vorjahr ab?

Welche Debitoren stehen länger als 60 Tage offen?

Stellen Sie die Abstimmungskontrollen für das Dossier zusammen: USt-Rubriken, Zwischenkonten, Debitoren-/Kreditoren-Alter.

Möchten Sie es selbst ausprobieren? Starten Sie kostenlos mit Exact AI Connect →