Continuous Auditing: Wenn die Prüfung nicht mehr bis zum Jahresende wartet

von Gian Wismer, IFZ – Institut für Finanzdienstleistungen Zug, HSLU

Ein Dienstag im November, neu gedacht

Es ist ein gewöhnlicher Dienstag im November. Um 10:14 Uhr wird in der Kreditorenbuchhaltung eine Rechnung über CHF 48’700 erfasst an einen Lieferanten, dessen Bankverbindung vor zwei Tagen geändert wurde. Früher wäre das frühestens bei der Zwischenprüfung im Herbst aufgefallen, wenn überhaupt. Heute schlägt das System eine Minute später Alarm: geänderte Stammdaten, Betrag knapp unter der Freigabegrenze, Buchung ausserhalb des üblichen Zahlungslaufs. Die Treasury hält die Zahlung an, bevor das Geld das Unternehmen verlässt.

Und die interne Revision? Sie sieht in ihrem eigenen Dashboard, dass die Kontrolle gegriffen hat und dass es bereits der dritte Fall dieser Art in diesem Monat ist. Genau das ist die Grundidee von Continuous Auditing: prüfen, während die Geschäftsvorfälle entstehen, statt Monate später.

Was ist Continuous Auditing?

Continuous Auditing bezeichnet Prüfungshandlungen, die automatisiert und in kurzen Abständen oder nahezu in Echtzeit auf die Daten eines Unternehmens angewendet werden. Neu ist die Idee nicht: Bereits 1991 beschrieben Miklos Vasarhelyi und Fern Halper ein System, das bei AT&T laufend Abrechnungsdaten überwachte. Neu ist, dass Datenverfügbarkeit, Rechenleistung und Analysemethoden das Konzept heute wirtschaftlich machen.

Technisch braucht es drei Bausteine: einen automatisierten Zugriff auf Transaktions- und Stammdaten, meist direkt aus dem ERP-System; Prüfregeln und Analysen wie Schwellenwerte, Abgleiche oder statistische Modelle; und einen Eskalationsprozess, der Auffälligkeiten an die richtigen Personen leitet.

In der Praxis werden drei Begriffe oft vermischt:

Continuous Monitoring: Das Management überwacht die eigenen Prozesse und Kontrollen laufend, im Beispiel oben die Treasury, welche die Zahlung stoppt. Continuous Monitoring ist Teil des internen Kontrollsystems.

Continuous Auditing: Die interne oder externe Revision beurteilt unabhängig und laufend, ob diese Kontrollen wirken und die Daten plausibel sind.

Continuous Assurance: Der Oberbegriff für das Zusammenspiel beider, mit dem Ziel, Verwaltungsrat und Management jederzeit eine verlässliche Aussage über Risiken und Kontrollen zu geben.

Die Unterscheidung ist mehr als Begriffspflege, denn sie entscheidet über die Unabhängigkeit: Wer ein Überwachungssystem betreibt, kann es nicht gleichzeitig unabhängig prüfen.

Warum gerade jetzt?

Diskutiert wird Continuous Auditing seit über 30 Jahren, in der Praxis setzte es sich aber nur langsam durch. In einer Interviewstudie mit 38 Revisorinnen und Revisoren aus neun führenden Revisionsabteilungen hatte 2012 keine einzige Organisation das Stadium eines echten «Continuous Audit» erreicht (Vasarhelyi et al., 2012). Und noch 2026 halten Hu, Vasarhelyi, Wang und Yang fest, dass Continuous Auditing und Continuous Monitoring trotz drei Jahrzehnten Forschung und zahlreicher Pilotprojekte in den Organisationen erst am Anfang stehen (Hu et al., 2026). Drei Entwicklungen verändern diese Ausgangslage:

Daten sind zugänglich. Moderne ERP- und Cloud-Systeme mit standardisierten Schnittstellen machen den laufenden Datenabzug technisch einfach. Was früher ein Integrationsprojekt war, ist heute oft eine Konfiguration.

Analysen werden intelligenter. Machine Learning erkennt Muster, die fixe Regeln übersehen. KI-Agenten können Auffälligkeiten zusätzlich einordnen, passende Belege heranziehen und eine erste Würdigung vorbereiten, ähnlich wie beim Finanzabschluss, den wir in einem früheren Beitrag als Zukunftsbild skizziert haben. Genau hier sehen Hu et al. (2026) den zentralen Beitrag von KI: Sie verkürzt den Weg vom Alarm über die Erklärung bis zur Massnahme, ohne das professionelle Urteil oder die Verantwortung der Prüfenden zu ersetzen.

Blockchain kann die Nachvollziehbarkeit der Datengrundlage erhöhen. Laufende Prüfung ist nur so gut wie die Integrität der Daten, auf die sie zugreift. Blockchain basierte Aufzeichnungen machen nachträgliche Änderungen sichtbar und können Prüfern direkten Zugriff geben. Die Einschränkung gehört dazu: Eine Blockchain garantiert, dass Daten nach der Erfassung unverändert bleiben, nicht, dass sie bei der Erfassung korrekt waren.

Welche Möglichkeiten entstehen?

1. Vollprüfung statt Stichprobe

Die klassische Prüfung zieht Stichproben, weil Zeit und Budget begrenzt sind. Continuous Auditing analysiert jede Buchung, jede Rechnung, jede Stammdatenänderung. Die Frage verschiebt sich von «Haben wir etwas gefunden?» zu «Warum weicht genau dieser Fall ab?».

2. Frühwarnung statt Nachbetrachtung

Fehler und Unregelmässigkeiten werden erkannt, solange sie noch korrigierbar sind. Typische Anwendungsfälle sind doppelte Zahlungen, geänderte Lieferantenbankdaten, ein umgangenes Vier-Augen-Prinzip oder manuelle Journalbuchungen kurz vor Periodenende. Die Revision kann ihre Ressourcen dorthin lenken, wo die Daten tatsächlich auf ein Problem hinweisen, statt einem starren Jahresplan zu folgen.

3. Wirksamkeit des IKS laufend belegen

Statt einmal im Jahr zu testen, ob eine Kontrolle funktioniert hat, zeigt Continuous Auditing, ob sie jeden Tag funktioniert. Das stärkt die Berichterstattung an den Verwaltungsrat und liefert eine solide Grundlage, wenn die Revisionsstelle bei der ordentlichen Revision die Existenz des IKS bestätigt (Art. 728a OR).

4. Neue Prüfungsleistungen

Für Prüfungsgesellschaften öffnet sich ein Markt für laufende Assurance, etwa zu ESG-Kennzahlen, Lieferketten oder KI-Systemen selbst. Die Forschung spricht bereits von «Continuous Auditing of Artificial Intelligence», also der laufenden, automatisierten Überprüfung, ob ein KI-System relevanten Normen entspricht (Minkkinen et al., 2022).

Was bremst die Umsetzung?

Datenqualität. Continuous Auditing setzt saubere, vollständige und zugängliche Daten voraus. Heterogene Systemlandschaften und Nebenbuchhaltungen in Excel sind gerade in KMU eher die Regel als die Ausnahme.

Alarmflut. Schlecht kalibrierte Regeln erzeugen Hunderte Warnungen pro Woche. Ohne Priorisierung entsteht Alarmmüdigkeit, und die wirklich relevanten Fälle gehen unter.

Rollen, Kompetenzen und Standards. Definiert die Revision Regeln, die das Management operativ nutzt, verschwimmt die Grenze zwischen Kontrolle und Prüfung, heikel vor allem für externe Prüfer, deren Unabhängigkeit das Schweizer Recht streng regelt. Hinzu kommt: Fachleute, die Prüfungs- und Datenkompetenz verbinden, sind knapp. Und die Prüfungsstandards sind weitgehend auf periodische Prüfungen ausgelegt; wie laufend gewonnene Nachweise in ein Prüfungsurteil einfliessen, ist in vielen Punkten noch offen.

Fazit: Laufend prüfen, bewusst urteilen

Continuous Auditing ist keine Zukunftsvision mehr, sondern eine realistische Option, vor allem für Unternehmen mit moderner Systemlandschaft und eigener interner Revision. Es ermöglicht Vollprüfungen, frühere Warnungen und ein laufend belegtes internes Kontrollsystem.

Quellen

Hu, X., Vasarhelyi, M. A., Wang, X. & Yang, Y. (2026). Continuous Artificial Intelligence-Based Reporting, Monitoring, and Assurance. Journal of Emerging Technologies in Accounting, 23(1), 1–14. doi.org/10.2308/JETA-2025-058

Minkkinen, M., Laine, J. & Mäntymäki, M. (2022). Continuous Auditing of Artificial Intelligence: a Conceptualization and Assessment of Tools and Frameworks. Digital Society, 1(3), 21. doi.org/10.1007/s44206-022-00022-2

Vasarhelyi, M. A., Alles, M., Kuenkaikaew, S. & Littley, J. (2012). The acceptance and adoption of continuous auditing by internal auditors: A micro analysis. International Journal of Accounting Information Systems, 13(3), 267–281.

Vasarhelyi, M. A. & Halper, F. B. (1991). The Continuous Audit of Online Systems. Auditing: A Journal of Practice & Theory, 10(1), 110–125.