În ultimii ani, discuțiile despre inteligența artificială (AI) și audit s-au concentrat în principal pe modul în care auditorii pot folosi AI pentru a lucra mai rapid, a acoperi mai multe tranzacții și a identifica nereguli pe care un ochi uman le-ar putea rata. Aceasta este perspectiva „AI în Audit” – inteligența artificială ca instrument în procesul de audit. Există însă o a doua fațetă, mult mai puțin discutată: „Audit în AI” – ce se întâmplă atunci când auditorii operează într-un mediu tot mai saturat de conținut generat de AI. Auditorii nu dobândesc doar un nou instrument; ei operează într-un mediu în care documentele, identitățile și dovezile pot fi generate, modificate sau fabricate mai ușor ca niciodată. Industria a dedicat mult timp întrebării cum va schimba AI auditul. Acum, trebuie să pună o întrebare la fel de importantă: ce se întâmplă cu auditul atunci când AI schimbă mediul pe care auditorii sunt menționați să-l verifice?
Peisajul financiar se modifică sub picioarele auditului.
Organizațiile devin tot mai digitale, agenții AI înlocuiesc oamenii în procesele decizionale, iar informația se multiplică rapid. În același timp, crearea de dovezi false convingătoare devine mai ușoară și mai ieftină. Declarații bancare falsificate, facturi modificate sau confirmări de audit false necesitau odată timpul, expertiza tehnică și atenția la detalii a fraudatorului. Această barieră a dispărut. AI poate produce acum o scrisoare falsă credibilă, un document de identitate sintetic sau un videoclip realist al unui director de companie în câteva minute, cu un cost aproape zero. Scara acestei schimbări nu mai este teoretică. În ianuarie 2024, un angajat din departamentul financiar al biroului din Hong Kong al unei firme de inginerie cu sediul în Marea Britanie a participat la ceea ce credea a fi o conferință video de rutină cu CFO-ul său și câțiva colegi. Fiecare participant, cu excepția sa, era un deepfake generat de AI, construit din înregistrări video publice ale ședințelor companiei. În timpul apelului, el a fost convins să efectueze 15 transferuri în valoare totală de aproximativ 25,6 milioane USD către conturi controlate de fraudatori. Se poate spera că aceasta a fost o situație rară, dar cercetările Thomson Reuters Institute arată că aproape 43% din tentativele de fraudă detectate împotriva instituțiilor financiare folosesc AI, iar dintre acestea, 29% sunt reușite. Nu a fost compromis niciun sistem; nu a fost furat niciun cont de autentificare. Înșelăciunea a funcționat pentru că a arătat și a sunat exact corect, iar reglementările nu au fost luate în considerare.
Capturi de ecran, PDF-uri și hârtie: o întrebare pe care industria auditului nu o mai poate amâna.
Standardele de audit au considerat dintotdeauna confirmarea externă ca o dovadă solidă, tocmai pentru că provine de la o terță parte independentă, din afara controlului clientului. Dar dacă privim mai atent, cât de mult din această dovadă „externă” ajunge de fapt la auditor astăzi: o captură de ecran a unui portal bancar online, o scrisoare PDF primită prin email, o scrisoare fizică prin poștă sau o semnătură scanată pe un răspuns transmis prin fax.
O captură de ecran nu este o confirmare.
O captură de ecran a unui serviciu bancar online nu este o dovadă că un sold este real și că toate aranjamentele sunt documentate. Clonarea portalului de online banking al unei bănci nu este o sarcină deosebit de avansată și nu a mai fost de ani de zile – este baza unei mari părți a atacurilor de phishing obișnuite. Un domeniu convingător similar, stilizare copiată de pe site-ul real și o pagină de autentificare funcțională pot fi puse la punct într-o după-amiază. Ceea ce s-a schimbat odată cu AI este că producerea „dovezilor” nu mai necesită nici măcar un efort deosebit: instrumentele de generare a imaginilor pot reda acum o fereastră de browser sintetică, arătând un tablou de bord de online banking, complet cu logo-ul, dispunerea băncii respective și orice sold convenabil.
Aparitia nu este autentificare.
Confirmările pe hârtie prezintă o vulnerabilitate care precede AI cu decenii: o scrisoare poate fi interceptată oriunde pe parcursul rutei sale fizice – în poștă, într-o cameră de corespondență comună, uneori de către cineva cu acces la ambele capete, apoi înlocuită discret cu un răspuns fabricat. Ceea ce adaugă AI nu este interceptarea, ci pasul de falsificare care urmează. Replicarea antetului, sigiliului și a blocului de semnătură al unei instituții specifice necesita odată un anumit talent artistic pentru a ieși bine. Acum, un model generativ poate reproduce designul vizual exact al papetariei unei bănci dintr-un singur exemplu scanat și poate crea un extras de cont bancar cu tranzacții care se reconciliază cu soldurile/aranjamentele fictive. Riscul fizic a existat întotdeauna. Acum este dublat de un pas de falsificare care durează minute în loc de talent real.
Credibilitatea poate fi impersonată.
Confirmările prin email se bazează pe o singură presupunere: că un răspuns de la o adresă aparține persoanei pe care acea adresă o implică. Această presupunere este fragilă de ani de zile. Domeniile similare, spoofing-ul numelui de afișare și conturile de email compromise sunt instrumente standard în atacurile de tip business email compromise, o categorie de fraudă care costă organizațiile miliarde de dolari pe an, fără niciun ajutor din partea AI. Ceea ce schimbă AI este fluiditatea, făcând diferențierea și mai dificilă.
Încrederea trebuie verificată, nu asumată.
Din ce în ce mai mult, firmele răspund acestor riscuri prin adoptarea unor procese de confirmare electronică concepute pentru a autentifica atât sursa unui răspuns, cât și calea pe care acesta o parcurge pentru a ajunge la auditor. Obiectivul nu este simpla digitalizare, ci păstrarea integrității dovezilor obținute independent într-un mediu în care fabricarea și impersonarea devin mai ușoare și mai puțin costisitoare. Pentru a fi clar, AI oferă auditorilor și noi instrumente pentru a detecta anomaliile, a identifica tipare neobișnuite și a investiga potențialele fraude mai eficient. Dar, pe măsură ce capacitățile de detectare se îmbunătățesc, se îmbunătățesc și capacitățile de înșelăciune. Problema nu este dacă AI ajută auditorii. Este dacă dovezile în sine rămân de încredere atunci când costul fabricării se apropie de zero. Acesta este sensul practic al auditului în AI: întrebarea nu mai este doar dacă un auditor a obținut o confirmare, ci dacă acea confirmare poate fi urmărită și autentificată, înapoi la partea pe care pretinde că vine.
De ce confirmarea electronică validată end-to-end contează mai mult ca niciodată.
Dacă o parte a ecuației de audit – înregistrările, documentele și declarațiile proprii ale clientului (dovezi interne) – devine din ce în ce mai greu de crezut în mod implicit, profesia trebuie să impună celeilalte părți un standard mai înalt, nu unul mai jos. Cealaltă parte este confirmarea independentă de la terțe părți: dovezi care provin direct de la bancă, de la contrapartidă sau de la instituția însăși, printr-un canal pe care clientul nu îl poate influența și care este conceput pentru a atenua oportunitățile de manipulare sau impersonare. Acesta este motivul pentru care confirmarea electronică validată end-to-end nu mai este un flux de lucru „frumos de avut”. Din ce în ce mai mult, firmele tratează confirmarea nu doar ca pe o procedură de audit, ci ca pe o parte a infrastructurii lor generale de risc. Pe măsură ce frauda devine mai sofisticată și autoritățile de reglementare impun o supraveghere mai strictă asupra dovezilor de la terți, întrebarea nu mai este cât de rapid poate fi obținută o confirmare, ci cât de încrezători putem fi în autenticitatea sa.
Companiile care integrează confirmarea în centrul designului lor de audit – nu ca pe un element dintr-o listă de verificare a lucrărilor de teren, ci ca pe o decizie în etapa de planificare privind punctele unde încrederea trebuie să fie absolută – sunt cele ale căror opinii vor conta în continuare. Acolo trebuie să se concentreze atenția industriei în prezent.