Eforturile auditorilor interni se concentrează din ce în ce mai mult pe perturbările digitale, în special cele generate de inteligența artificială (AI), precum și pe incertitudinea geopolitică, potrivit unui nou sondaj.
Sondajul, publicat marți de Institute of Internal Auditors (IIA), a constatat că unele dintre cele mai rapid crescătoare riscuri organizaționale sunt, de asemenea, printre cele mai puțin mature în ceea ce privește guvernanța și acoperirea completă a auditului.
Bazat pe feedback-ul de la peste 3.000 de lideri din domeniul auditului la nivel global, sondajul anual a relevat că perturbarea digitală/AI și incertitudinea geopolitică au înregistrat cele mai mari creșteri ale nivelului de risc comparativ cu anul trecut, ajungând la 58%, respectiv 48%. Cea mai mare creștere a priorității auditului a provenit din partea perturbării digitale.
Un procent mult mai mare de respondenți la sondaj au citat perturbarea digitală ca fiind unul dintre primele cinci riscuri (58%), comparativ cu o prioritate de audit în top cinci (42%). Similar, capitalul uman și incertitudinea geopolitică au avut ratinguri de risc ridicate comparativ cu nivelurile lor de prioritate în audit.
Cele mai rapid schimbătoare riscuri au avut unele dintre cele mai slabe guvernanță și acoperire, conform respondenților. Doar 23% dintre aceștia au evaluat guvernanța perturbării digitale ca fiind gestionată sau optimizată, iar doar 11% au considerat acoperirea auditului intern ca fiind complet adecvată. Pentru incertitudinea geopolitică și macroeconomică, rezultatele echivalente au fost de 29%, respectiv 10%.
Securitatea cibernetică rămâne riscul global principal, cu 80%, în creștere cu șapte puncte procentuale față de anul trecut.
Au existat diferențe regionale distincte. Respondenții din Africa au raportat riscuri legate de fraudă sporită și presiuni financiare; în timp ce auditorii interni din regiunea Asia-Pacific au pus accent pe perturbarea digitală, lanțurile de aprovizionare, reziliența și talentul.
Respondenții din Europa au menționat riscuri cibernetice, geopolitice și de reglementare elevate; în timp ce cei din America Latină au evidențiat riscuri cibernetice, AI, geopolitice și de fraudă.
Respondenții din Orientul Mijlociu au subliniat cum conflictul poate transforma rapid reziliența și lichiditatea; în timp ce respondenții din America de Nord au raportat cel mai mare risc de perturbare digitală.
IIA consideră că mandatul pentru directorii executivi de audit (CAE) este clar: dezvoltarea de planuri dinamice, evaluarea riscurilor ca sisteme interconectate, compararea riscurilor cu maturitatea și acoperirea, coordonarea asigurării pe baza modelului său cu Trei Linii și construirea capacităților necesare pentru a aborda ceea ce organizația devine – nu doar ceea ce a fost istoric.
„Cele mai semnificative evenimente rareori rămân într-o singură categorie”, se arată în raport. „Adopția AI poate crea riscuri legate de date, cibernetică, conformitate, fraudă, talent, terți și reputație. Un eveniment geopolitic poate crea perturbări în lanțul de aprovizionare, volatilitatea prețurilor, presiuni de lichiditate, schimbări de reglementare, întreruperi operaționale și instabilitate socială. Un atac cibernetic poate declanșa pierderi financiare, prejudicii aduse clienților, acțiuni de reglementare și pierderea încrederii. CAE ar trebui să ia în considerare structurarea unor părți ale universului de audit în jurul unor căi sau scenarii de risc. Acest lucru ajută auditul intern să identifice dependențe comune, expuneri cumulative, predări slabe și controale care afectează riscuri multiple.”
În cadrul conferinței recente Financial Services Exchange a IIA din Brooklyn, New York, auditorii interni au discutat despre unele dintre prioritățile pe care le abordează.
„Există întreaga profesie a auditului intern în întreaga lume, dar considerăm sincer că una dintre principalele noastre sarcini este să oferim asigurare independentă organismelor de guvernanță, inclusiv consiliilor de administrație și Congresului și legislatorilor”, a declarat Terry Grafenstine, vicepreședinte executiv și CAE la PenFed Credit Union, în timpul unei sesiuni. „Suntem independenți și prezentăm faptele, doar faptele.”
Ea l-a întrebat pe Rep. Mike Lawler, R-New York, despre domeniile în care Congresul sau autoritățile de reglementare ar putea conta mai mult pe auditorii interni pentru a oferi o funcție de asigurare independentă, în loc să adauge noi cerințe directe de raportare și reglementări.
„Cred că guvernul în ansamblu are nevoie de audituri interne tot timpul și, sincer, este subutilizat, atât în ceea ce privește cheltuielile zilnice, cât și din punct de vedere al bugetării”, a răspuns Lawler. „Atunci când apare o problemă, munca depusă de auditorii interni pentru a analiza în profunzime faptele, datele, informațiile este vitală. Sunt conștient în prezent de ceva din districtul meu unde se efectuează un audit intern și acesta a descoperit deja numeroase lucruri, și este un lucru bun. Adesea, oamenii se tem de el pentru că va expune lucruri. Dar pentru mine, acest lucru este vital. Altfel, continui să faci aceleași greșeli sau, mai rău, nu sunt greșeli, ci sunt intenționate. Cred că transparența și responsabilitatea sunt critice în orice faci, inclusiv în sectorul privat, dar mai ales în sectorul public când vorbim despre utilizarea banilor contribuabililor. Cred că auditul intern ar trebui să fie o funcție mult mai mare și ar ajuta la ghidarea multor decizii care se iau în guvern, dacă ar fi mai prevalent ca o funcție anuală.”
În unele cazuri, auditorii interni trebuie să efectueze audituri în timp real, de exemplu, atunci când apare o criză bruscă, cum ar fi o pandemie.
„Chiar și astăzi, au loc incidente în industrie și chiar și la noi la bancă, și vom efectua un audit în timp real, dacă este necesar”, a declarat Christopher Paulison, vicepreședinte executiv senior și CAE la US Bank. „Avem flexibilitate cu planul nostru de audit, astfel încât, atâta timp cât rămânem în buget și într-un trimestru, putem muta unele lucruri. Trebuie doar să le raportez comitetului de audit, astfel încât să vadă transparența acestui lucru. Dar uneori voi urgenta un audit pur și simplu pentru că văd ceva legat de alinierea strategiei noastre care trebuie să aibă loc acum, sau există un risc ridicat, așa că efectuăm audituri în timp real.”
Produsele și serviciile unei companii client pot genera, de asemenea, riscuri.
„În ceea ce privește produsele și serviciile, aceștia cântăresc în auditul intern pentru a vedea dacă există produse duplicate, dacă există riscuri”, a spus Charmone Adams, partener în practica de servicii de consultanță în risc la Grant Thornton. „Dacă nu, atunci este din partea organismelor de reglementare și așa mai departe. Mai important, dacă lansăm un produs nou, va genera aceasta o povară mai mare din perspectiva scrutinului de conformitate pe termen lung?”
AI este văzută din ce în ce mai mult ca unul dintre cele mai mari riscuri, și nu doar pentru companii.
„Cred că toți trebuie să ne concentrăm mult timp pe AI și, cu adevărat, nu doar pe guvernanța AI, și să ne asigurăm că atunci când echipa dvs. utilizează AI, are controalele potrivite implementate în întreaga organizație, sau riscul este să nu utilizați AI și veți rămâne în urmă, dar cu adevărat cum AI amplifică toate acele riscuri din jurul său”, a declarat Stacy Schabel, președinta consiliului global al IIA, vicepreședinte senior și CAE la Jackson Financial. „Toate acestea sunt riscuri foarte importante. Tot trebuie să ne concentrăm pe ele, dar trebuie să ne asigurăm că ne gândim cum AI amplifică fiecare dintre acestea.”