AI für Fonds-Due-Diligence: Aufbau eines Evidenzgraphen aus DDQs, Datenräumen und Gesprächen

1. Due Diligence als Evidenzkette behandeln

Die Fonds-Due-Diligence ist ein Entscheidungsprozess, der auf Nachweisen basiert. Der Investor prüft, ob ein Manager über die Personen, Prozesse, Kontrollen, Anreize, Ressourcen und den Track Record verfügt, um die vorgeschlagene Strategie innerhalb vereinbarter Risikogrenzen umzusetzen. Die Antwort steht selten in einem einzigen Dokument. Sie ergibt sich aus einer Kette, die eine Aussage des Managers mit Belegen, unabhängigen Prüfungen, der Beurteilung durch Prüfer, Ausnahmen und Bedingungen verknüpft.

Das ILPA DDQ 2.0 bietet eine weit verbreitete Fragestruktur für Private Markets sowie einen Anhang mit anzufordernden Dokumenten. Sein Wert geht über die Standardisierung hinaus. Es hilft festzulegen, was gefragt werden sollte, welche unterstützenden Unterlagen erwartet werden können und wie ein Investor Manager vergleichen kann. Ein ausgefüllter DDQ bleibt jedoch eine Erklärung des Managers. Ein belastbarer Due-Diligence-Prozess prüft wesentliche Aussagen gegen Gründungsdokumente, geprüfte Abschlüsse, Portfoliodaten, Richtlinien, Unterlagen von Dienstleistern, regulatorische Offenlegungen, Hintergrundprüfungen und Nachweise aus Gesprächen.

Ein Ordner kann belegen, dass eine Richtlinie existiert. Er zeigt jedoch nicht, welche Frage die Richtlinie beantwortet, ob sie für das vorgeschlagene Vehikel gilt, ob sie im relevanten Zeitraum in Kraft war, ob die Praxis mit der Richtlinie übereinstimmt oder ob ein anderes Dokument ihr widerspricht. Eine Tabellenkalkulation kann Anforderungen verfolgen, doch mit wachsendem Nachweisbestand wird es schwierig, Herkunftsnachweise auf Absatzebene, Versionen, Beziehungen zwischen Entitäten und die Argumentation der Prüfer zu bewahren.

Ein Evidenzgraph löst das Beziehungsproblem. Jedes wichtige Objekt erhält eine stabile Kennung, und jede Verbindung hat einen Typ. Eine Behauptung kann durch eine Richtlinie gestützt, durch ein Gesprächsprotokoll widerlegt und durch einen Side Letter eingeschränkt werden. Eine Schlüsselperson kann Rollen beim Manager, beim Komplementär, im Investmentausschuss und in Portfoliounternehmen innehaben. Eine Bewertungskontrolle kann im DDQ beschrieben, durch eine Richtlinie geregelt und durch Ausschussprotokolle belegt sein. Der Graph bewahrt diese Unterscheidungen.

Der Graph bewahrt Herkunftsnachweise und trennt Erklärungen des Managers, Quellenunterlagen, Feststellungen der Prüfer und genehmigte Entscheidungen.

Tabelle 1. Zentrale Objekte des Evidenzgraphen

Stabile Identifikatoren und datierte Versionen ermöglichen es, die Due-Diligence-Aufzeichnung nach der Genehmigung zu reproduzieren.

2. Die Due-Diligence-Ontologie vor der Auswahl der Technologie definieren

Eine Ontologie legt fest, was das Due-Diligence-Team wissen muss und wie Begriffe miteinander zusammenhängen. Technologie, die vor der Ontologie ausgewählt wird, automatisiert häufig einen inkonsistenten Prozess. Ausgangspunkt ist eine Fragetaxonomie, die Organisation, Eigentümerstruktur, Governance, Strategie, Team, Track Record, Portfolioaufbau, Risiko, Bewertung, Betrieb, Compliance, Cybersicherheit, Dienstleister, Nachhaltigkeit, rechtliche Bedingungen, Gebühren, Interessenkonflikte und Berichterstattung abdeckt.

Die Taxonomie sollte einen Rechtsträger von einer Rolle und eine Rolle von einer Person unterscheiden. Eine Verwaltungsgesellschaft, ein Komplementär, ein Anlageberater, ein Fondsvehikel, ein Carried-Interest-Vehikel und ein Portfoliounternehmen können überschneidende Eigentümer und Direktoren haben. Eine Person kann eine Schlüsselperson nach den Fondsdokumenten, ein stimmberechtigtes Ausschussmitglied und eine Führungskraft eines anderen Rechtsträgers sein. Diese Beziehungen sind wichtig für Governance, Interessenkonflikte, Konzentration und Nachfolge.

Behauptungen benötigen ihre eigene Struktur. Eine Aussage, dass der Manager noch nie einen wesentlichen Cybersicherheitsvorfall erlebt hat, verfügt über einen Urheber, einen Rechtsträgerbezug, einen Zeitraum, eine Definition der Wesentlichkeit und ein Datum. Ohne diese Attribute können spätere Nachweise nicht fair verglichen werden. Eine Aussage zum Brutto-Track-Record sollte Strategie, Attribution, Währung, Bewertungsstichtag, Behandlung von Leverage, Gebühren und Realisierungsstatus angeben. Die Ontologie sollte die Definition zusammen mit der Zahl speichern.

Auch Kontrollen benötigen eine Struktur. Eine Richtlinie ist eine Konzeptionsaussage. Nachweise des Betriebs können Genehmigungen, Logs, Stichproben, Sitzungsprotokolle, Tests, Vorfälle und Abhilfemaßnahmen umfassen. Der Graph sollte daher ein Kontrollziel mit der Richtlinie, dem Kontrollverantwortlichen, den Betriebsnachweisen, dem Testergebnis und der Ausnahme verbinden. Dadurch wird verhindert, dass ein Richtliniendokument als Beweis dafür behandelt wird, dass die Kontrolle wirksam funktioniert hat.

Die Ontologie sollte praktisch bleiben. Jedes Feld benötigt einen Entscheidungsnutzen, einen Berichtszweck oder eine Kontrollanforderung. Übermäßige Felder erzeugen eine falsche Vollständigkeit und verlangsamen Prüfer. Ein kontrolliertes Wörterbuch, ein Änderungsprozess und eine Zuordnung zum DDQ ermöglichen es dem Modell, sich weiterzuentwickeln, ohne frühere Aufzeichnungen zu beeinträchtigen.

3. Eine Ingestion-Grenze einrichten, die die Quellenintegrität schützt

Der Due-Diligence-Datenbestand kann vertrauliche personenbezogene Daten, Informationen zu Portfoliounternehmen, Rechtsberatung, Investorendaten und kommerziell sensible Modelle enthalten. Die Datenaufnahme beginnt daher mit Berechtigung, Klassifizierung und Zugriff. Das Team sollte dokumentieren, welche Daten verarbeitet werden dürfen, wo sie gespeichert werden dürfen, welches Modell oder welcher Dienst sie erhalten darf, wie lange sie aufbewahrt und wie sie gelöscht werden.

Jede eingegangene Datei sollte in ihrer ursprünglichen Form mit einem kryptografischen Hash, der Eingangszeit, dem Quellort und einer Zugriffskennzeichnung aufbewahrt werden. Eine Arbeitskopie kann für Suche oder Extraktion konvertiert werden. Das Original bleibt der Anker für die Beweisführung. Optische Zeichenerkennung, das Parsen von Tabellenkalkulationen, Transkription und Dokumentkonvertierung können Fehler einführen; abgeleiteter Text sollte einen Verweis auf die Seite, Zelle, Folie oder den Zeitstempel behalten, aus denen er stammt.

Versionskontrolle ist zentral. Dateien im Datenraum können ohne sichtbare Historie ersetzt werden. Eine Richtlinie kann in mehreren Versionen hochgeladen werden. Eine aktualisierte DDQ kann eine Antwort nach einer Beanstandung ändern. Das System sollte frühere Nachweise nicht überschreiben. Es sollte Ersetzungen erfassen, feststellen, was sich geändert hat, und bestimmen, ob frühere Feststellungen überprüft werden müssen.

Gespräche erfordern eine fundierte Governance. Das Team sollte bestätigen, ob eine Aufzeichnung oder Transkription rechtmäßig und vereinbart ist, Transkripttext von Prüfernotizen unterscheiden und Zeitstempel beibehalten. Die Sprecherzuordnung sollte bei wesentlichen Aussagen verifiziert werden. Eine prägnante Gesprächsnotiz kann der maßgebliche Nachweis bleiben, wenn eine Aufzeichnung unangemessen ist.

Dienste von Drittanbietern AI schaffen eine zusätzliche Abhängigkeit. Materialien von IOSCO und FCA betonen Verantwortlichkeit, Kompetenzen, Aufsicht und Risiken durch Dritte. Der Due-Diligence-Verantwortliche sollte Anbieter, zulässige Datenklassen, Sicherheitskontrollen, Vertragsbedingungen, Protokollierung, Modelländerungen, Reaktion auf Vorfälle und Ausstiegsregelungen genehmigen. Sensible Nachweise sollten nicht über ein privates Einzelkonto an einen Consumer-Dienst übermittelt werden.

Tabelle 2. Kontrollierte Datenaufnahme und Provenienzfelder

Abgeleitete Inhalte bleiben mit der unveränderlichen Quelle und deren Zugriffsbedingungen verknüpft.

4. DDQ-Fragen den Nachweisanforderungen zuordnen

Eine DDQ-Abdeckungsmatrix sollte mehr beantworten als die Frage, ob eine Antwort eingegangen ist. Für jede Frage sollte sie den erwarteten Nachweis, die Antwort des Managers, die Quellenabdeckung, die Schlussfolgerung des Prüfers, Ausnahmen und Folgemaßnahmen ausweisen. Eine vollständige Antwort kann ungestützt bleiben; ein Dokument kann relevant sein, ohne die Frage zu behandeln; und eine Antwort kann intern konsistent sein, während sie im Widerspruch zu unabhängigen Aufzeichnungen steht.

Die Matrix beginnt mit der Wesentlichkeit. Fragen, die die rechtliche Existenz, den regulatorischen Status, die Eigentümerstruktur, die Abhängigkeit von Schlüsselpersonen, die Integrität des Track Record, die Bewertung, die Verwahrung, die Kontrolle über liquide Mittel, Interessenkonflikte, Sanktionen, Cyberresilienz und Fondskonditionen betreffen, erfordern in der Regel eine direkte Prüfung. Administrative Positionen mit geringerem Risiko können durch stichprobenbasierte Verifizierung geprüft werden. Die Wesentlichkeit sollte genehmigt werden und angepasst werden können, wenn ein neuer Sachverhalt das Risiko verändert.

Die Abdeckung sollte separate Statuswerte verwenden. Eingegangen bedeutet, dass der angeforderte Punkt vorliegt. Fragenbezogen bedeutet, dass er die Frage behandelt. Gestützt bedeutet, dass die Quelle einen Nachweis für die Aussage liefert. Aktuell bedeutet, dass der Nachweis den relevanten Zeitraum abdeckt. Konsistent bedeutet, dass der Nachweis mit anderen wesentlichen Nachweisen übereinstimmt. Geprüft bedeutet, dass ein verantwortlicher Fachmitarbeiter die Quelle eingesehen und eine Schlussfolgerung dokumentiert hat. Diese Statuswerte sollten niemals zu einem einzigen Prozentsatz zusammengefasst werden.

Die Matrix kann außerdem Nachweisabhängigkeiten aufzeigen. Mehrere Antworten können auf derselben Richtlinie oder demselben Bericht eines Dienstleisters beruhen. Wenn diese Quelle veraltet oder außerhalb des Geltungsbereichs ist, sind mehrere Fragen betroffen. Die Grafik macht diese Abhängigkeit sichtbar und ermöglicht dem Team, alle verbundenen Feststellungen zu aktualisieren, wenn neue Nachweise eingehen.

Ein grüner Eingangsindikator belegt weder das Vorliegen eines Nachweises noch Aktualität, Konsistenz oder eine abgeschlossene menschliche Prüfung.

Tabelle 3. Abdeckungsstatus und erforderliche Maßnahmen des Prüfers

Jeder Status ist unabhängig testbar und kann nach Wesentlichkeit und Workstream berichtet werden.

5. Verwenden Sie AI für abgegrenzte Nachweisaufgaben

AI ist nützlich, wenn die Aufgabe repetitiv ist, die Evidenz umfangreich ist und die Ausgabe geprüft werden kann. Klassifizierung kann ein Dokument einem Workstream zuordnen. Extraktion kann Namen, Datumsangaben, Gebühren, Verpflichtungen, Dienstleister, Kontrollen und definierte Begriffe identifizieren. Semantisches Retrieval kann Passagen zutage fördern, die für eine Frage relevant sind. Vergleich kann geänderte DDQ-Antworten oder Richtlinienklauseln hervorheben. Entity Resolution kann Verknüpfungen zwischen Personen und Vehikeln vorschlagen. Exception Triage kann fehlende oder widersprüchliche Evidenz für die Prüfung priorisieren.

Das System sollte Retrieval von der Schlussfolgerung trennen. Ein Modell kann Passagen finden, die Bewertungskonflikte behandeln. Es sollte nicht entscheiden, dass Konflikte ausreichend kontrolliert sind, ohne einen genehmigten Test und menschliches Urteilsvermögen. Ein Modell kann berechnen, ob Track-Record-Zeilen mit Summen abgestimmt werden können. Es sollte nicht die Zuordnungsqualität bestimmen, wenn Deal-Rollen, Vorgängerrechte oder Strategiedefinitionen umstritten bleiben.

Prompts und Schemata sollten versioniert werden. Jede Extraktion sollte Modell, Konfiguration, Prompt-Version, Zeitpunkt, Quellenkennungen und Konfidenz- oder Validierungsergebnis angeben. Wesentliche Ausgaben benötigen Quellenangaben auf Seiten-, Absatz-, Zellen- oder Zeitstempel-Ebene. Nicht belegte Modellprosa sollte aus dem Evidenzgraphen ausgeschlossen werden.

Deterministische Prüfungen sollten nach Möglichkeit verwendet werden. Datumsangaben, Summen, doppelte Kennungen, fehlende Spalten, Formelfehler und Cross-Footing lassen sich oft besser mit Code als mit generiertem Text prüfen. AI kann Anomalien erklären, nachdem die Berechnung erhalten wurde. Diese Trennung verbessert die Wiederholbarkeit und verringert das Risiko, dass flüssige Sprache einen numerischen Fehler verdeckt.

Menschliche Prüfer sollten die Quellpassage, den umgebenden Kontext, die vorgeschlagene Extraktion, den Grund für die Übereinstimmung und jegliche widersprüchliche Evidenz erhalten. Prüfaktionen sollten schnell erfasst werden können: akzeptieren, ändern, ablehnen, eskalieren oder Evidenz anfordern. Das System lernt operativ durch kontrollierte Regeln und Vorlagen, nicht durch unsichtbare Änderungen an einem Modell ohne Governance.

6. Quellenkonfidenz abstufen, ohne falsche Präzision zu erzeugen

Quellenkonfidenz ist ein strukturiertes Urteil darüber, wie stark eine Quelle für eine bestimmte Aussage gewichtet werden sollte. Sie ist keine allgemeine Reputationsbewertung. Ein geprüfter Jahresabschluss kann starke Evidenz für historische Salden innerhalb seines Geltungsbereichs liefern. Er kann wenig Evidenz zur aktuellen Kapazität des Teams liefern. Ein Gespräch mit dem Chief Operating Officer kann eine Kontrolle erklären, während operative Stichproben und unabhängige Bestätigung stärkere Evidenz dafür liefern, dass sie funktioniert hat.

Die Konfidenzleiter sollte Autorität, Direktheit, Aktualität, Vollständigkeit, Konsistenz und Anfälligkeit für Konflikte bewerten. Unabhängige regulatorische oder rechtliche Aufzeichnungen können für Status und Eigentum hoch einzuordnen sein. Unterzeichnete Fondsdokumente sind maßgeblich für vertragliche Bedingungen. Geprüfte Abschlüsse sind stark für geprüfte Aussagen. Systemexporte und Stichproben können operative Evidenz stützen, wenn die Datenherkunft verifiziert ist. Richtlinien beschreiben das Design. DDQ-Antworten und Gespräche sind Erklärungen, die je nach Wesentlichkeit eine Bestätigung erfordern.

Eine numerische Bewertung kann die Triage unterstützen, aber die zugrunde liegenden Gründe müssen sichtbar bleiben. Zwei Quellen mit derselben Bewertung können unterschiedliche Schwächen haben. Das Modell sollte eine Konfidenzklasse, Begründung und Prüfer speichern. Die Klasse kann sich ändern, wenn eine Quelle abläuft, eine Ausnahme entsteht oder unabhängige Evidenz eintrifft.

Konfidenz ist aussagespezifisch und kombiniert Quellenautorität mit Direktheit, Aktualität, Vollständigkeit und Konsistenz.

7. Widersprüche und Änderungen als Evidenz bewahren

Widersprüche sind wertvolle Due-Diligence-Signale. Die Teamgröße in einer Präsentation kann von der regulatorischen Einreichung abweichen. Eine DDQ kann angeben, dass die Bewertung unabhängig ist, während Ausschussprotokolle zeigen, dass Investmentfachleute Bewertungen genehmigen. Eine Richtlinie kann jährliche Prüfungen verlangen, während der neueste Bericht älter ist. Ein Gespräch kann eine zuvor gegebene pauschale Antwort relativieren.

Das System sollte jede Aussage, Quelle und jedes Gültigkeitsdatum bewahren. Es sollte eine Ausnahmeverknüpfung erstellen, anstatt den neuesten Text auszuwählen und den Konflikt zu löschen. Der Ausnahmedatensatz sollte das Problem neutral beschreiben, die Quellen anzeigen, angeben, warum der Unterschied relevant ist, den Verantwortlichen identifizieren und den Klärungsstandard erfassen.

Einige Unterschiede sind legitim. Entitätsumfang, Definition, Zeitraum oder Wesentlichkeit können sie erklären. Die Klärung sollte daher feststellen, ob die Angaben abgeglichen wurden, eine Quelle eine andere ersetzt hat, der Unterschied unwesentlich war, eine Behebung akzeptiert wurde oder der Punkt offen bleibt. Das Entscheidungsprotokoll sollte zeigen, zu welcher Schlussfolgerung der Investor gelangt ist und warum.

AI kann semantische Unterschiede erkennen, die exaktes Abgleichen übersieht, einschließlich Änderungen bei Qualifikatoren wie „in der Regel“, „vorbehaltlich Genehmigung“ oder „soweit praktikabel“. Es kann jedoch auch falsche Konflikte erzeugen, wenn zwei Aussagen unterschiedliche Geltungsbereiche verwenden. Eine menschliche Prüfung ist vor der Eskalation unerlässlich. Die Originalpassagen und der Kontext sollten zusammen angezeigt werden.

8. Einen Ausnahme-Workflow mit definierten Entscheidungsrechten erstellen

Eine Ausnahme ist eine wesentliche Lücke, ein Widerspruch, eine Kontrollschwäche, ein unerklärtes Ergebnis oder eine Einschränkung der Nachweise. Jede Ausnahme benötigt eine Art, Schweregrad, betroffene Angaben, mögliche Auswirkungen auf Entscheidungen, einen Verantwortlichen, ein Rückmeldetermin und ein Abschlusskriterium. Ein fehlendes Dokument kann von geringem Schweregrad sein, wenn eine andere zuverlässige Quelle den Sachverhalt abdeckt. Ein kleiner numerischer Unterschied kann von hohem Schweregrad sein, wenn er auf einen unzuverlässigen Track-Record-Prozess hinweist.

Der Workflow sollte zwischen Nachweisanfragen, analytischer Prüfung, Risikoakzeptanz, Behebung und Ausschussbedingungen unterscheiden. Prüfer können eine administrative Lücke schließen, wenn der erforderliche Punkt eingeht. Ein wesentlicher Konflikt kann rechtliche, Compliance-, operative, steuerliche, Bewertungs- oder Investment-Spezialisten erfordern. Die Akzeptanz von Restrisiken obliegt dem autorisierten Entscheidungsgremium.

Fristen sollten die Abhängigkeit von Entscheidungen widerspiegeln. Ein Punkt, der die Bewertung verhindert, sollte vor der Empfehlung geklärt werden. Eine behebbare Schwäche kann zu einer aufschiebenden Bedingung, einer Side-Letter-Verpflichtung oder einer Überwachungsmaßnahme werden. Der Ausschuss sollte sehen, was offen bleibt, wer es akzeptieren kann und was passiert, wenn die Bedingung nicht erfüllt wird.

Der Abschluss erfordert Nachweise und Befugnis; eine Antwort des Managers allein schließt eine wesentliche Ausnahme nicht.

Tabelle 4. Beispielhafte Ausnahmeklassen und Eskalation

Die Wesentlichkeit hängt von der Strategie, dem Anleger, der Jurisdiktion und dem Entscheidungskontext ab.

9. Track Record und Portfoliodaten über Datenherkunft prüfen

Die Track-Record-Analyse benötigt einen Pfad von berichteten Fonds- und Transaktionskennzahlen zu den zugrunde liegenden Unterlagen. Jede Beobachtung sollte die Investition, das Vehikel, den Eigentumszeitraum, das Cashflow-Datum, die Währung, die Brutto- oder Nettobasis, das Bewertungsdatum, die Zurechnungsrechte und die Quelle ausweisen. Abgeleitete Renditen sollten die Berechnung und die Eingabewerte bewahren.

AI kann dabei unterstützen, inkonsistente Investitionsbezeichnungen zuzuordnen, Cashflows zu klassifizieren, Darstellungstabellen mit Detaildateien zu vergleichen und erläuternde Narrative zu finden. Deterministische Berechnungen sollten Summen und Renditen reproduzieren. Prüfer sollten Definitionsänderungen, Vorgängerperformance, Teilrealisierungen, Zeichnungsfazilitäten, Fremdwährungen, Abschreibungen, Continuation Vehicles und unrealisierten Wert testen.

Portfoliodaten sollten auch mit Aussagen zur Strategie verknüpft werden. Wenn ein Manager Control-Investitionen im Lower Mid-Market beschreibt, kann der Graph den Enterprise Value beim Einstieg, Eigentumsverhältnisse, Geografie, Sektor und Transaktionstyp prüfen. Wenn der Manager operative Wertschöpfung beansprucht, kann der Anleger Initiativen mit Portfolio-Belegen verknüpfen und, soweit die Daten es zulassen, Markt-, Leverage-, Multiple- und Ergebniseffekte trennen.

Die Stichprobenauswahl sollte risikobasiert sein. Große Gewinner, Abschreibungen, Bewertungsausreißer, Transaktionen mit nahestehenden Parteien, geänderte Transaktionen und Investitionen nahe den Berichtsstichtagen verdienen Aufmerksamkeit. Der Evidenzgraph sollte festhalten, warum jede Stichprobe ausgewählt wurde und ob ein Problem die Gesamtpopulation betrifft.

10. Operative Due Diligence mit Kontrollnachweisen verknüpfen

Die operative Due Diligence prüft, ob der Manager Vermögenswerte schützen, Werte berechnen, Cash kontrollieren, Aufzeichnungen führen, Verpflichtungen einhalten und den Betrieb auch bei Störungen aufrechterhalten kann. Der Evidenzgraph sollte jedes Kontrollziel mit seinem Verantwortlichen, seiner Richtlinie, seinem System, seinem Dienstleister, seinen Betriebsnachweisen, seiner Assurance, seinen Vorfällen und seiner Behebung verknüpfen.

Die Cash-Kontrolle veranschaulicht die Methode. Der Manager kann eine doppelte Genehmigung im DDQ und in der Treasury-Richtlinie beschreiben. Der Prüfer sollte Bankkonten, Zeichnungsberechtigte, Zahlungsauslösung, Genehmigungsschwellen, Callback-Verfahren, Zugriffsprüfungen, Funktionstrennung, Abstimmungen, Ausnahmen und Vorfallhistorie identifizieren. Stichproben und Protokolle prüfen den Betrieb. Dienstleisterberichte können zusätzliche Nachweise liefern, vorbehaltlich von Umfang, Zeitraum und Erwägungen zu Nutzerkontrollen.

Outsourcing überträgt keine Verantwortlichkeit. Die FCA-Leitlinien stellen klar, dass Unternehmen weiterhin für das Management von Risiken aus Outsourcing- und Drittanbietervereinbarungen verantwortlich bleiben. Die IOSCO-Leitlinien AI betonen ebenfalls benannte Verantwortlichkeit, angemessene Fähigkeiten, Tests, Überwachung und Anbieteraufsicht. Der Graph sollte die Abhängigkeitskette vom Manager zu Administratoren, Custodians, Technologieanbietern, Datenanbietern und Unterauftragsverarbeitern aufzeigen.

Nachweise zur Betriebskontinuität sollten wichtige Dienstleistungen, Impact-Toleranzen, Menschen, Einrichtungen, Technologie, Informationen und Dritte abdecken. Pläne sollten mit Tests, Feststellungen und Behebung verknüpft werden. Eine erfolgreiche jährliche Übung hat begrenzten Wert, wenn ein kritischer Anbieter ausgelassen oder kein schwerwiegendes Szenario getestet wurde. Der Prüfer sollte festhalten, was getestet wurde und was außerhalb des Umfangs bleibt.

Cyber-Nachweise erfordern kontrollierten Zugriff. Architekturdiagramme, Ergebnisse von Penetrationstests und Vorfallaufzeichnungen können hochsensibel sein. Der Anleger kann eine Schlussfolgerung, eine Nachweis-ID, Umfang, Datum und Prüfer festhalten, ohne Rohmaterial breit offenzulegen. Zugriffskontrollen sollten der Sensibilität der Quelle folgen, während der Ausschuss die entscheidungsrelevanten Feststellungen und Einschränkungen erhält.

11. Eigentum, Governance und Interessenkonflikte als Beziehungen bewerten

Eigentum und Governance sind naturgemäß graphförmig. Der Manager, die Holdinggesellschaft, der Komplementär, Fonds, Carried-Interest-Vehikel, verbundene Unternehmen und Portfoliounternehmen können Eigentümer, Direktoren, Mitarbeiter und Dienstleister gemeinsam nutzen. Ein Beziehungsmodell kann Konflikte und Abhängigkeiten offenlegen, die ein flacher Fragebogen verdeckt.

Wirtschaftliches Eigentum sollte durch maßgebliche Unternehmensunterlagen, Satzungsunterlagen, Cap Tables und der Rechtsordnung angemessene Bestätigungen belegt werden. Die verschärften Standards der FATF betonen angemessene, genaue und aktuelle Informationen zum wirtschaftlichen Eigentum für juristische Personen und Rechtsgebilde. Das Due-Diligence-Team sollte die natürlichen Personen ermitteln, die relevante Einheiten letztlich besitzen oder kontrollieren, und jede Einschränkung der verfügbaren Nachweise dokumentieren.

Die Governance-Analyse sollte formale Befugnisse und praktischen Einfluss abbilden. Ausschussordnungen, Abstimmungsregeln, Quorum, Zustimmungsvorbehalte, Konfliktverfahren und Protokolle legen Ausgestaltung und Funktionsweise fest. Der Graph kann den dargelegten Investmentprozess mit den in Stichproben dokumentierten Entscheidungen vergleichen. Er kann erkennen, wenn eine Person über Origination, Bewertung, Risiko und Endgenehmigung hinweg auftritt und dadurch Bedenken hinsichtlich Konzentration oder Unabhängigkeit entstehen.

Konflikte sollten Transaktionen und Entscheidungen zugeordnet werden. Die Allokation zwischen Fonds, Cross Trades, Continuation Vehicles, verbundenen Dienstleistungen, Finanzierungsvereinbarungen, Co-Investments, persönlichen Investitionen, Bewertung und Gebühren kann unterschiedliche Anreize schaffen. Ein Konfliktregister allein belegt kein wirksames Management. Der Prüfer sollte den Konflikt mit Offenlegung, Genehmigung, Preisbildung, Befangenheitsausschluss, Anlegerzustimmung und operativen Nachweisen verknüpfen.

AI kann den Entitätsabgleich über Datensätze hinweg unterstützen, vorbehaltlich einer Prüfung. Ähnliche Namen, Transliteration, Holdinggesellschaften und gemeinsame Adressen können falsche Übereinstimmungen erzeugen. Jede vorgeschlagene Verknüpfung sollte die übereinstimmenden Attribute und die Konfidenz anzeigen. Wesentliche Eigentumsfeststellungen erfordern maßgebliche Nachweise und menschliche Freigabe.

12. Rechtliche Bestimmungen mit kommerziellen Feststellungen integrieren

Rechtliche Due Diligence und kommerzielle Due Diligence sollten eine kontrollierte Issue Map teilen. Eine kommerzielle Besorgnis hinsichtlich der Teamkonzentration kann teilweise durch Key-Person-Klauseln adressiert werden, wobei die rechtliche Definition, der Auslöser, die Abhilfe und der Ersatzprozess den Schutz bestimmen. Bedenken hinsichtlich der Bewertung können mit Beiratsrechten, Berichterstattung, Prüfung und Abberufungsregelungen zusammenhängen. Bedenken hinsichtlich Interessenkonflikten können mit Zustimmungs-, Offenlegungs- und Allokationsklauseln zusammenhängen.

Der Nachweisgraph sollte jede wesentliche Bestimmung mit ihrer Quellklausel, definierten Begriffen, betroffener Einheit, Bedingung und Auslegung durch den Prüfer speichern. Er sollte die Bestimmung mit dem zugrunde liegenden Risiko und etwaigen Side-Letter-Anfragen verknüpfen. Dadurch kann der Ausschuss erkennen, ob ein Risiko vermieden, gesteuert, bepreist, offengelegt, akzeptiert oder überwacht wird.

AI kann Klauseln abrufen und Dokumente vergleichen, aber die rechtliche Bedeutung hängt vom gesamten Instrument, dem anwendbaren Recht und den Fakten ab. Extrahierte Bestimmungen sollten die umgebende Klausel beibehalten und von qualifizierten Rechtsberatern validiert werden. Eine modellgenerierte Zusammenfassung sollte niemals zum maßgeblichen rechtlichen Nachweis werden.

Änderungen aus Verhandlungen benötigen Versionskontrolle. Das System sollte Entwürfe vergleichen, anzeigen, auf welches Risiko eine Änderung abzielt, und bestätigen, dass das unterzeichnete Dokument die genehmigte Bestimmung enthält. In Korrespondenz ausgehandelte Bedingungen können verloren gehen, wenn sie nicht mit Closing-Deliverables und dem Überwachungsplan verknüpft sind.

13. Prüfpfad des Investmentausschusses aufbauen

Der Investmentausschuss benötigt ein prägnantes Entscheidungspaket und einen reproduzierbaren Nachweisdatensatz. Das Paket sollte das vorgeschlagene Commitment, die Strategiepassung, erwartete Rendite und Risiko, zentrale Stärken, wesentliche Ausnahmen, rechtliche Schutzmechanismen, Bedingungen, den Überwachungsplan und die Empfehlung darstellen. Jede wesentliche Aussage sollte mit einer genehmigten Feststellung statt direkt mit Rohausgaben des Modells verknüpft sein.

Der Prüfpfad sollte den Nachweisstand zum Entscheidungsstichtag bewahren. Inhalte des Datenraums können sich ändern, ein Manager kann später Klarstellungen liefern und Marktbedingungen können sich verändern. Die Aufzeichnung sollte angeben, welche Quellen, Versionen und Feststellungen verfügbar waren, welche Fragen offen blieben und welche Annahmen der Ausschuss akzeptiert hat.

Entscheidungsbefugnis und Interessenkonflikte müssen explizit sein. Die Aufzeichnung sollte Teilnehmer, stimmberechtigte Mitglieder, Befangenheitsausschlüsse, Quorum, Abstimmungen, delegierte Angelegenheiten und Bedingungen ausweisen. Eine Ausschussentscheidung kann genehmigen, ablehnen, zurückstellen, weitere Nachweise anfordern, das Commitment reduzieren oder Bedingungen auferlegen. Die Begründung sollte die Verbindung zwischen Nachweisen und Ergebnis erläutern.

Maßnahmen nach der Sitzung sollten zu Verpflichtungen mit Verantwortlichen, Terminen, Nachweisen und Eskalation werden. Eine Genehmigung vorbehaltlich eines Side Letters, einer Richtlinienüberarbeitung, einer Schlüsselpersonalbesetzung oder eines Reporting-Deliverables ist unvollständig, bis die Bedingung erfüllt ist. Der Graph sollte den Abschluss verhindern, wenn Nachweise fehlen, und das Thema erneut öffnen, wenn ein späteres Ereignis die Grundlage der Entscheidung ändert.

Die Aufzeichnung erfasst den Nachweisstichtag, die Entscheidungsbegründung, Bedingungen und Verpflichtungen nach dem Closing.

Tabelle 5. Aufzeichnung des Investmentausschusses und Kontrollverantwortlicher

Der Datensatz sollte im Einklang mit geltendem Recht, Richtlinien und vertraglichen Verpflichtungen aufbewahrt werden.

14. Modelle, Prompts und menschliche Prüfung steuern

Die AI-Komponenten des Due-Diligence-Systems erfordern eine eigene Governance. Das AI-Risikomanagement-Rahmenwerk von NIST ordnet Aktivitäten um Steuern, Zuordnen, Messen und Managen. Sein Generative-AI-Profil hebt Risiken hervor, darunter Konfabulation, Datenschutz, Informationsintegrität, Sicherheit, geistiges Eigentum, schädliche Verzerrung, übermäßige menschliche Abhängigkeit und Abhängigkeiten von Drittanbietern. Diese Risiken schlagen sich direkt in Due-Diligence-Kontrollen nieder.

Governance sollte mit einem Inventar der Modelle und Anwendungsfälle beginnen. Jeder Anwendungsfall benötigt einen Verantwortlichen, zulässige Daten, Entscheidungswirkung, Validierungsmethode, Zugriffsmodell, Anbieter, Änderungsprozess und Stilllegungsplan. Ein Klassifikator, der Dokumente weiterleitet, birgt ein anderes Risiko als ein System, das Anlageentscheidungen entwirft. Letzteres sollte strengeren Beschränkungen und Prüfungen unterliegen.

Tests sollten repräsentative Dokumente, schwierige Layouts, Tabellen, gescannte Dateien, mehrere Sprachen, mehrdeutige Entitäten und bekannte Widersprüche verwenden. Kennzahlen können Extraktionsgenauigkeit, Zitiergenauigkeit, übersehene wesentliche Probleme, falsche Ausnahmen und Übersteuerungsraten der Prüfer umfassen. Ergebnisse sollten nach Dokumenttyp und Anwendungsfall segmentiert werden. Ein hoher Durchschnitt kann Fehler bei den wichtigsten Datensätzen verschleiern.

Die menschliche Prüfung muss substanziell sein. Eine Oberfläche, die einen Prüfer auffordert, Hunderte flüssig formulierte Zusammenfassungen zu genehmigen, kann Automatisierungsbias begünstigen. Prüfer benötigen Quellenkontext, klare Eskalationsgründe und ausreichend Zeit für Widerspruch. Der Prozess sollte Routinegenehmigungen, Meinungsverschiedenheiten, Fehlermuster und Arbeitsbelastung überwachen.

Änderungen an Modellen und Prompts sollten eine angemessene erneute Validierung auslösen. Ein Anbieter kann ein gehostetes Modell oder eine Sicherheitsschicht ändern. Die Firma sollte wissen, wann eine wesentliche Komponente geändert wurde und ob frühere Leistungsannahmen weiterhin gültig sind. Protokolle sollten das für wesentliche Ergebnisse verwendete Modell und die Konfiguration bewahren.

15. Das Nachweissystem und seine Daten sichern

Der Nachweisgraph bündelt wertvolle Informationen. Er kann Identitäten, Eigentumsverhältnisse, Anlageunterlagen, Rechtsdokumente, Cyber-Feststellungen und Entscheidungen des Investmentausschusses enthalten. Die Sicherheitsarchitektur sollte das Least-Privilege-Prinzip, starke Authentifizierung, Verschlüsselung, Protokollierung, Umgebungstrennung, Kontrollen gegen Datenverlust, Backup und getestete Wiederherstellung anwenden.

Der Zugriff sollte nach Workstream und Bedarf erfolgen. Ein Steuerberater benötigt möglicherweise bestimmte Strukturen und Unterlagen. Ein Cyberspezialist benötigt möglicherweise sensible technische Nachweise. Ausschussmitglieder benötigen entscheidungsrelevante Feststellungen und Zugang zu unterstützenden Quellen unter kontrollierten Berechtigungen. Graphverknüpfungen sollten die Zugriffsstufe jedes verbundenen Objekts berücksichtigen und vermeiden, eingeschränkte Informationen über Suchausschnitte oder generierte Zusammenfassungen preiszugeben.

Prompt-Injection und bösartige Dokumente erfordern Aufmerksamkeit. Ein Dokument kann Text enthalten, der darauf ausgelegt ist, ein AI-System zu beeinflussen. Die Pipeline sollte Dokumentinhalte als Nachweis und nicht als Anweisung behandeln; Tools isolieren; Aktionen beschränken; Ergebnisse validieren; und vor jeder externen Kommunikation oder Systemänderung eine Genehmigung verlangen. Retrieval sollte einem Modell niemals die Befugnis verleihen, Anfragen zu senden, Datensätze zu ändern oder Feststellungen zu genehmigen.

Die Incident-Response sollte falsche Extraktion, unbefugten Zugriff, Verstoß beim Anbieter, Datenabfluss, Modellausfall und korrumpierte Provenienz abdecken. Der Plan sollte Eindämmung, Beweissicherung, rechtliche und regulatorische Bewertung, Benachrichtigung, Behebung und erneute Validierung festlegen. Der Ausschuss sollte jeden Vorfall verstehen, der die Integrität seines Entscheidungsdatensatzes wesentlich beeinträchtigt.

16. Operative Rollen und Servicelevels gestalten

Ein Evidenzgraph verändert die Arbeitszuweisung. Der Due-Diligence-Sponsor verantwortet die Investmentfrage und die Empfehlung. Workstream-Spezialisten verantworten ihre Feststellungen. Ein Daten- oder Wissensteam pflegt die Ontologie, die Ingestion und die Lineage. Mitarbeitende für Modellrisiko oder Technologierisiko validieren AI-Komponenten. Rechts-, Compliance-, Datenschutz- und Cyber-Teams genehmigen relevante Grenzen. Der Investmentausschuss akzeptiert das verbleibende Investmentrisiko im Rahmen seiner Befugnisse.

Eine RACI-Matrix sollte festlegen, wer Evidenz anfordert, Extraktionen validiert, Ausnahmen klärt, Umfangsänderungen genehmigt und das finale Paket unterzeichnet. Das System sollte verhindern, dass ein Technologieadministrator eine Prüferfeststellung ändert, und dass ein Prüfer Quelldatensätze verändert. Notfallzugriffe sollten protokolliert und überprüft werden.

Servicelevels sollten die Wesentlichkeit priorisieren. Hochriskante Ausnahmen und fehlende Gate-Evidenz erfordern eine schnelle Eskalation. Klassifizierungsfehler mit geringerem Risiko können in eine Stapelkorrektur einfließen. Das Dashboard sollte Alterung, Prüferkapazität, Evidenzabhängigkeiten und Entscheidungsfristen anzeigen, ohne Teams dazu zu verleiten, Probleme nur zur Verbesserung eines Abschluss-Scores zu schließen.

Schulungen sollten die Due-Diligence-Methodik, die Quellenhierarchie, die Systemnutzung, Vertraulichkeit, Modellgrenzen, die Verantwortlichkeit von Prüfern und Eskalation abdecken. Prüfer benötigen ausreichend technisches Verständnis, um Ergebnisse infrage zu stellen, und ausreichend Investmentkontext, um zu erkennen, wann eine Quelle entscheidungsrelevant ist.

17. Durch kontrollierte Stufen umsetzen

Die Implementierung sollte mit einem eng abgegrenzten Anwendungsfall und einer abgeschlossenen Due-Diligence-Akte beginnen. Das Team kann die Fragetaxonomie abbilden, Quellen aufnehmen, bekannte Feststellungen reproduzieren und messen, ob der Graph Retrieval, Abdeckung und Auditierbarkeit verbessert. Historische Tests zeigen Lücken auf, ohne eine laufende Entscheidung zu gefährden.

Die erste Stufe etabliert Quellensicherung, Identifikatoren, Zugriff und Zitationen. Die zweite ergänzt die Zuordnung von Fragen und Behauptungen. Die dritte führt deterministische Validierung und begrenzte AI-Extraktion ein. Die vierte verbindet Ausnahmen und Workstream-Genehmigungen. Die fünfte erzeugt Ausschussansichten aus genehmigten Feststellungen. Überwachungspflichten folgen, sobald der Vor-Investitions-Datensatz stabil ist.

Jede Stufe benötigt Akzeptanzkriterien. Quellenverweise sollten zur richtigen Seite oder Zelle zurückführen. Materielle Extraktionen sollten die genehmigten Genauigkeitsschwellen je Dokumenttyp erfüllen. Widersprüche sollten nicht stillschweigend überschrieben werden. Eingeschränkte Evidenz sollte bei Suche und Export geschützt bleiben. Ausschuss-Output sollte ungeprüfte Feststellungen ausschließen.

Paralleler Betrieb kann erforderlich sein. Der bestehende Due-Diligence-Tracker bleibt maßgeblich, bis das neue System Vollständigkeit, Zuverlässigkeit und Nutzerakzeptanz nachweist. Die Abstimmung zwischen den Systemen sollte dokumentiert werden. Bei der Migration sollten historische Datumsangaben, Autoren, Entscheidungen und Evidenz erhalten bleiben, statt alles in eine Zusammenfassung des aktuellen Zustands umzuwandeln.

Das abschließende Gate ist die operative Resilienz. Das Team sollte Anbieterausfall, Verlust eines Modells, beschädigte Extraktion, nicht zugängliche Datenraum-Links, Personalausfall und kurzfristige Ausschusstermine testen. Ein Due-Diligence-Prozess sollte weiterhin in der Lage sein, eine kontrollierte Entscheidung zu treffen, wenn eine AI-Komponente nicht verfügbar ist.

18. Messen, ob das System Entscheidungen verbessert

Erfolg sollte anhand von Evidenzqualität, Entscheidungskontrolle und Betriebseffizienz gemessen werden. Nützliche Indikatoren sind der Anteil materieller Feststellungen mit Provenienz auf Absatzebene; materielle Fragen, die durch aktuelle Evidenz gestützt werden; mit Abschlussnachweis geklärte Ausnahmen; in die Überwachung übergebene Ausschussauflagen; Override-Raten der Prüfer; Zitationsfehler; und der Zeitaufwand für die Lokalisierung von Quellen.

Geschwindigkeit allein ist ein schwaches Maß. Ein schnelleres Paket kann schlechter sein, wenn nicht gestützte Zusammenfassungen die Prüfung passieren. Das System sollte übersehene materielle Probleme, falsche Sicherheit, ungeprüfte Ausnahmen und Nacharbeit messen. Qualitätsstichproben durch einen unabhängigen Prüfer können Schlussfolgerungen mit Quellen vergleichen und bewerten, ob die angegebene Konfidenz gerechtfertigt ist.

Entscheidungsergebnisse erfordern Vorsicht. Die Fondsperformance wird von Märkten, Strategie und Ereignissen außerhalb der Due Diligence beeinflusst. Die Organisation kann dennoch testen, ob identifizierte Risiken überwacht wurden, ob Auflagen erfüllt wurden, ob spätere Vorfälle in der Evidenz vorweggenommen wurden und ob die ursprüngliche Begründung reproduzierbar bleibt.

Ein effektiver Evidenzgraph schafft institutionelles Gedächtnis. Er ermöglicht es dem Investor, Darstellungen über Fonds und Vintage-Jahrgänge hinweg zu vergleichen, wiederkehrende Kontrollschwächen zu identifizieren, Erkenntnisse zu aktualisieren, wenn ein Dienstleister oder eine Person wechselt, und Vorinvestitionsbedingungen in die Eigentümerphase zu überführen. Der kommerzielle Wert entsteht aus schnellerem Zugriff auf verlässliche Nachweise, stärkerer kritischer Hinterfragung und einem belastbareren Entscheidungsprozess.

Das leitende Prinzip ist einfach: AI darf organisieren, abrufen, vergleichen und vorschlagen; verantwortliche Fachleute prüfen Quellen, klären Unsicherheiten und entscheiden. Der Evidenzgraph gibt diesen Fachleuten eine strukturierte Aufzeichnung, die auch nach Schließung des Datenraums und Ende der Gremiensitzung nutzbar bleibt.

Quellen

1. Institutional Limited Partners Association, Due-Diligence-Fragebogen 2.0, 1. November 2021. https://ilpa.org/resources-tools/resource-library/due-diligence-questionnaire/
2. Institutional Limited Partners Association, ILPA DDQ 2.0, November 2021. https://ilpa.org/wp-content/uploads/2021/11/ILPA-DDQ-2.0.pdf
3. National Institute of Standards and Technology, Rahmenwerk für Risikomanagement bei künstlicher Intelligenz 1.0, Januar 2023. https://doi.org/10.6028/NIST.AI.100-1
4. National Institute of Standards and Technology, Rahmenwerk für Risikomanagement bei künstlicher Intelligenz: Profil für generative künstliche Intelligenz, Juli 2024, aktualisiert April 2026. https://doi.org/10.6028/NIST.AI.600-1
5. National Institute of Standards and Technology, AI-Risikomanagement-Rahmenwerk-Playbook, aktuelle Ressource. https://airc.nist.gov/airmf-resources/playbook/
6. International Organization of Securities Commissions, Die Nutzung von künstlicher Intelligenz und maschinellem Lernen durch Marktintermediäre und Vermögensverwalter, September 2021. https://www.iosco.org/library/pubdocs/pdf/IOSCOPD684.pdf
7. International Organization of Securities Commissions, Künstliche Intelligenz an den Kapitalmärkten: Anwendungsfälle, Risiken und Herausforderungen, März 2025. https://www.iosco.org/library/pubdocs/pdf/IOSCOPD788.pdf
8. International Organization of Securities Commissions, Aufsichts-Toolkit für die Nutzung von AI an den Kapitalmärkten, Mai 2026. https://www.iosco.org/library/pubdocs/pdf/IOSCOPD810.pdf
9. European Securities and Markets Authority, Öffentliche Erklärung zur Nutzung künstlicher Intelligenz bei der Erbringung von Anlagedienstleistungen für Privatkunden, 30. Mai 2024. https://www.esma.europa.eu/document/public-statement-ai-and-investment-services
10. U.S. Securities and Exchange Commission, Beobachtungen aus Prüfungen von Beratern für private Fonds, 27. Januar 2022. https://www.sec.gov/compliance/risk-alerts/observations-examinations-private-fund-advisers
11. U.S. Securities and Exchange Commission, Risikohinweis: Due-Diligence-Prozesse von Anlageberatern bei der Auswahl alternativer Anlagen, 28. Januar 2014. https://www.sec.gov/newsroom/press-releases/2014-14
12. U.S. Securities and Exchange Commission, Formular ADV und Ressourcen zur Registrierung als Anlageberater, aktuell. https://www.sec.gov/investment/registration-forms-investment-advisers
13. Financial Conduct Authority, Auslagerung und operationelle Resilienz, aktualisiert am 14. Juli 2026. https://www.fca.org.uk/firms/outsourcing-and-operational-resilience
14. Financial Conduct Authority, SYSC 8.1 Allgemeine Anforderungen an Outsourcing, aktuelles FCA-Handbuch. https://handbook.fca.org.uk/handbook/sysc8/sysc8s1
15. Financial Conduct Authority, Regulatorische Prioritäten: Wholesale Buy Side, März 2026. https://www.fca.org.uk/publication/regulatory-priorities/wholesale-buy-side-report.pdf
16. Financial Action Task Force, Wirtschaftliche Eigentümerschaft, aktuelle Standards und Leitlinien. https://www.fatf-gafi.org/en/topics/beneficial-ownership.html
17. Financial Action Task Force, Die FATF-Empfehlungen, aktualisiert im Februar 2025. https://www.fatf-gafi.org/en/publications/Fatfrecommendations/Fatf-recommendations.html
18. Financial Action Task Force, Leitlinien zur wirtschaftlichen Eigentümerschaft juristischer Personen, März 2023. https://www.fatf-gafi.org/en/publications/Fatfrecommendations/Guidance-Beneficial-Ownership-Legal-Persons.html
19. Internationale Organisation für Normung, ISO/IEC 42001:2023 Informationstechnik, Künstliche Intelligenz, Managementsystem, aktuelle Übersicht. https://www.iso.org/standard/81230.html
20. Bank für Internationalen Zahlungsausgleich, Der Einsatz künstlicher Intelligenz für Zwecke der Politikgestaltung, 10. Oktober 2025. https://www.bis.org/publ/othp100.htm