Der NetSuite KI Analyst macht aus dem NetSuite-KI-Connector einen belastbaren Auswertungs-Assistenten: streng lesend, mit einer eigens gebauten Minimalrechte-Rolle und einem Regelwerk, das die stillen Rechenfehler verhindert, die einen KI-Assistenten sonst gefährlich machen.
Oracle liefert die Verbindung. Was fehlt, ist alles danach: eine Rolle, die nicht zu viel darf, und ein Regelwerk, das weiß, wie NetSuite tatsächlich antwortet. Der 4A KI NetSuite Analyst ist genau dieses Paket — installiert, dokumentiert und pro Mandant abgenommen.
Eine deploybare Minimalrechte-Rolle als SDF-Objekt. Jede Berechtigung einzeln geprüft, alles auf Ansicht, die drei Connector-Rechte auf Voll. Onboarding heißt Deployment statt vierzig Klicks in der Berechtigungsliste.
Über 60 dokumentierte Regeln und Fallstricke als Projekt-Instruktion: Auswertungspfade, Standardannahmen, Antwortformat, SuiteQL-Sicherheitskarte. Jede Regel existiert, weil ihr Fehlen in einem echten Konto eine falsche Zahl erzeugt hat.
Ein Verifikationsprotokoll pro Mandant: Berechtigungsprüfungen je Fachbereich, Mehrbuchhaltungs-Kontrolle, Tie-out gegen die eigene Summen- und Saldenliste. Übergabe erst, wenn die Zahlen stimmen.
Die gefährlichen Fehler sehen nicht wie Fehler aus. Kein Error, keine Warnung — nur eine plausible Zahl, die niemand nachrechnet. Vier Beispiele aus der Validierung an echten Produktivdaten:
Die Ausgabe kommt in Zeilenpaaren — die beschriftete Zeile trägt den Wert null, der echte Saldo steht in der Folgezeile. Wer nur die Beschriftung liest, bekommt für jedes Konto eine Null.
Ohne Filter auf den Buchungskreis liefert ein Konto mit zwei Büchern annähernd doppelte Summen. Der Bericht bietet dafür teils gar keinen Parameter an — die Prüfung muss anders laufen.
In gruppierten Berichten landet nicht zugeordneter Umsatz in einem Sammelbucket. Gemessen waren das 85,6 % aller Umsätze — eine „Top-10-Kunden"-Auswertung auf den restlichen 14,4 % führt in die Irre.
Die Berichte gruppieren nach Belegdatum, nicht nach Buchungsperiode — und kein Bericht lässt sich überhaupt nach Periode adressieren. Monatsabschluss-Zahlen müssen deshalb anders geholt werden.
Keine Tabellennamen, keine internen IDs, kein SQL. „Welche Rechnungen sind über 60 Tage offen?" genügt — die Antwort kommt mit Namen, nicht mit Datensatz-Nummern.
Periode, Tochtergesellschaft, Währung, Buchungskreis und Quelle stehen unter jeder Zahl. Sie sehen sofort, welche Frage tatsächlich beantwortet wurde.
Standardbericht → gespeicherte Suche → Einzeldatensatz → SuiteQL als letzte Instanz. Der Analyst nennt die genutzte Stufe — und wann er heruntergefallen ist.
Konsolidierte Zahlen kommen immer aus einem Bericht auf Muttergesellschafts-Ebene, nie aus einer SQL-Summe über Tochtergesellschaften — die addiert bei OneWorld verschiedene Währungen zu einer Zahl ohne Währung.
Kein geratener Kontoname, kein konstruierter Datensatz-Link, keine Datumsreihe, deren Format unklar ist. Wenn etwas nicht abrufbar ist, sagt der Analyst warum.
Was Aufmerksamkeit braucht, wird als HINWEIS gekennzeichnet, Dringendes
als KRITISCH. Unplausible Werte werden benannt, statt geglättet zu werden.
Ein Verbot in der Anweisung ist eine Bitte. Eine fehlende Berechtigung ist eine Sperre. Der NetSuite KI Analyst nutzt beides — und für besonders regulierte Mandanten eine dritte Stufe, in der die Schreibwerkzeuge dem Modell überhaupt nicht angeboten werden.
| Ebene | Was sie verhindert | Wirkung |
|---|---|---|
| 1 · Betriebsanweisung | Absolutes Verbot schreibender Werkzeuge — ohne Ausnahme, auch nicht auf Administrator-Zuruf. | Das Modell versucht es gar nicht erst. |
| 2 · NetSuite-Rolle | Sämtliche Datensatzrechte auf Ansicht. Jeder Schreibversuch scheitert
serverseitig mit INSUFFICIENT_PERMISSION. |
Auch ein umgangenes Verbot ändert nichts. |
| 3 · Werkzeug-Ausblendung (optional) | Ohne das REST-Web-Services-Recht werden die Schreibwerkzeuge dem Modell gar nicht erst angeboten. | Nachweislich abwesend statt nur blockiert. |
Administrator und jede Vollrechte-Rolle werden von NetSuite für den KI-Connector ohnehin abgelehnt. Eine eigens gebaute Rolle ist der einzig unterstützte Weg — wir liefern sie als deploybares Objekt.
Das Regelwerk wurde in produktiven NetSuite-Konten gegen echte Buchungsdaten validiert — inklusive der Fälle, in denen die offizielle Dokumentation nicht mit dem Verhalten des Systems übereinstimmte. Ein Auszug:
| Beobachtung | Konsequenz im Produkt |
|---|---|
| Die Summen- und Saldenliste stimmte über drei Zeitfenster auf den Cent mit einer belegdatums-basierten Abfrage überein — mit der periodenbasierten nie. | Periodenscharfe Fragen laufen über SuiteQL, Bilanzpositionen über Berichte. Beide Wege sind benannt, keiner wird als Prüfung des anderen ausgegeben. |
| Ein Bericht lieferte für eine einzelne Tochtergesellschaft eine Zeile — konsolidiert 70. | Bevor ein Bericht als ungeeignet gilt, wird konsolidiert nachgeprüft. Kein Werkzeug wird an einem zu engen Lauf abgeurteilt. |
| Vergleichsoperatoren erreichen NetSuite teils HTML-maskiert und erzeugen Syntaxfehler, die wie fehlende Funktionsunterstützung aussehen. | Abfragen werden von vornherein so geschrieben, dass das Problem nicht auftritt — statt eine funktionierende Konstruktion irrtümlich aufzugeben. |
| Eine Zeilenbegrenzung wirkt vor der Aggregation: Sie summiert willkürliche 1.000 Zeilen und meldet das als Ergebnis. | Zeilenbegrenzungen sind in Aggregatabfragen ausdrücklich verboten — auch entgegen anderslautender Standardhinweise. |
| Eine Rolle ohne REST-Web-Services erhält auf einen Metadaten-Aufruf immer HTTP 403 — während das Werkzeug sichtbar bleibt. | Der Metadatenpfad wird umgangen; geprüft wird mit einer Ein-Zeilen-Abfrage, die immer verfügbar ist. |
| NetSuite-Connector „out of the box" | NetSuite KI Analyst | |
|---|---|---|
| Berechtigungen | Rolle muss selbst gebaut werden — Administrator wird abgelehnt | Fertige Minimalrechte-Rolle, deploybar, jede Berechtigung geprüft |
| Schreibzugriff | Schreibwerkzeuge sind aktiv | Zwei Sperrebenen, optional dritte |
| Zahlen-Korrektheit | Bekannte Fallstricke bleiben unadressiert | Über 60 dokumentierte Regeln, im Produktivbetrieb validiert |
| Nachvollziehbarkeit | Zahl ohne Umfangsangabe | Umfangszeile und Quellenstufe unter jeder Antwort |
| Leere Ergebnisse | „Keine Daten" — auch wenn es Rechte sind | Unterscheidet fehlende Daten von fehlendem Zugriff |
| Abnahme | Keine | Verifikationsprotokoll je Mandant vor Übergabe |
| Pflege | Eigenverantwortung | Versioniert, nach Release-Wellen nachgeführt |
Ad-hoc-Auswertungen ohne Ticket an die IT — mit einer Umfangsangabe, die vor dem Abschluss standhält.
Offene Posten, Auftragsbestand, Liquiditätslage — in der Sprache des Geschäfts, nicht des ERP.
Eine dokumentierte Rolle statt einer selbstgebauten. Rollout als Deployment, nicht als Klickstrecke.
Offene Bestellungen, Wareneingänge, Bestände je Lagerort — ohne die typischen Doppelzählungen.
Features aktivieren, die MCP-Standard-Werkzeuge installieren, Altbestände bereinigen. Wir machen die NetSuite-Seite zuerst fertig — die KI-Seite scheitert sonst auf verwirrende Weise.
Die Minimalrechte-Rolle wird deployt, pro Mandant zugeschnitten und jedem verbindenden Nutzer zugewiesen. Mehrbuchhaltung, Tochtergesellschafts-Beschränkungen und Anlagenbuchhaltung werden dabei einzeln geprüft.
Connector verbinden, Projekt anlegen, Betriebsanweisung hinterlegen. Wir setzen außerdem die Token-Laufzeit hoch, damit aus dem Standardverhalten kein Zwei-Tages-Rhythmus beim Neuanmelden wird.
Verifikationsprotokoll je Fachbereich, Tie-out gegen Ihre eigene Summen- und Saldenliste, kurze Einweisung für das Team. Danach: laufende Pflege nach jeder Release-Welle.
Nein. Alle Datensatzrechte der Rolle stehen auf Ansicht, jeder Schreibversuch scheitert serverseitig. Zusätzlich verbietet die Betriebsanweisung schreibende Werkzeuge ausnahmslos. Auf Wunsch konfigurieren wir eine dritte Stufe, in der die Schreibwerkzeuge dem Modell gar nicht erst angeboten werden.
Es werden ausschließlich die Daten abgerufen, die eine konkrete Frage beantworten — über den offiziellen Oracle-NetSuite-Connector, authentifiziert per OAuth 2.0 je Nutzer. Es gibt keine Kopie Ihrer Daten bei uns, keinen Zwischenspeicher und keine Drittanbieter-Brücke im Datenpfad.
Ja — Connectors sind ab Claude Pro verfügbar, im kostenlosen Plan nicht. In Team- und Enterprise-Organisationen muss ein Owner den NetSuite-Connector zunächst für die Organisation freigeben; jede Person authentifiziert sich danach einzeln.
Ja, und genau dort zahlt sich das Regelwerk aus. Bei mehreren Buchungskreisen ist der Filter auf den Buchungskreis zwingend — sonst verdoppeln sich Summen still. Bei OneWorld kommen konsolidierte Zahlen ausschließlich aus einem Bericht auf Muttergesellschafts-Ebene, weil eine Summe über Tochtergesellschaften verschiedene Währungen addieren würde.
Ein Refresh überschreibt die Sandbox mit der Produktion — Installation, Rolle, Rollenzuweisungen und die OAuth-Freigabe sind danach weg, sofern sie nicht auch in der Produktion existieren. Das ist eingeplant: die Wiederherstellung ist Teil des Betriebs, nicht ein Zwischenfall.
Dann sagt der Analyst ausdrücklich, dass „keine Zeilen" auch „keine Berechtigung" heißen kann, und nennt den Menüpfad zur Prüfung. Genau diese Unterscheidung fehlt im Standardverhalten — und sie ist der Unterschied zwischen einer offenen Frage und einer falschen Geschäftsaussage.
Die Betriebsanweisung ist versioniert. Nach jeder NetSuite-Release-Welle und bei jeder neuen Erkenntnis aus dem Betrieb aktualisieren wir sie und spielen sie bei Ihnen nach. Wir führen je Mandant Dokumentversion, NetSuite-Release und Prüfdatum mit.
In einem 30-minütigen Termin zeigen wir den NetSuite KI Analyst live und prüfen, was in Ihrem Konto vorbereitet werden muss. Auf Wunsch mit Pilot in Ihrer eigenen Umgebung.