AICPA a lansat un nou ghid practic menit să ajute auditorii să înțeleagă cum standardele de audit curente, dar și cele care nu se aplică, se raportează la utilizarea inteligenței artificiale (AI). Ghidul abordează atât entitățile care au folosit AI pentru a-și întocmi situațiile financiare, cât și practicienii care utilizează această tehnologie în timpul auditului.
"Instrumentele AI aduc deja beneficii în ceea ce privește eficiența și eficacitatea atât a pregătirii situațiilor financiare, cât și a auditului în mai multe moduri," a declarat Amy Pawlicki, vicepreședinte pentru inovație în asigurări și consultanță la AICPA, într-un comunicat. "Însă, oricât de puternice ar fi, aceste instrumente pot introduce noi riscuri de care auditorii trebuie să fie conștienți pentru a-și îndeplini rolul critic în efectuarea auditurilor situațiilor financiare. Acest ghid practic are scopul de a ajuta auditorii să înțeleagă și să atenueze aceste riscuri într-un mediu în rapidă evoluție."
Prima secțiune subliniază faptul că utilizarea AI de către o entitate nu modifică responsabilitatea managementului pentru situațiile financiare. În general, ghidul analizează modul în care utilizarea AI de către o entitate poate afecta deciziile de acceptare sau de continuare a angajamentului, în ceea ce privește natura și circumstanțele angajamentului, integritatea și valorile etice ale managementului, competențele și seturile de abilități ale managementului, precum și competența și capacitățile echipei de angajament. În acest domeniu, îndrumarea notează că, cu cât entitatea se bazează mai mult pe rezultatele AI în procesul său de raportare financiară, cu atât auditorul poate avea nevoie de mai multe informații pentru a-și informa deciziile de acceptare sau de continuare, cum ar fi capacitatea sa de a aduna dovezi de audit: de exemplu, agenții AI pot fi utilizați în procesele de afaceri fără fluxuri de lucru trasabile. AICPA a menționat că utilizarea intensivă a AI ar putea chiar împiedica capacitatea managementului de a-și înțelege propriile finanțe.
"Când utilizarea AI de către o entitate joacă un rol semnificativ în procesul său de raportare financiară, considerațiile pot fi similare cu cele pentru entitățile care utilizează specialiști externi și modele complexe de evaluare," se arată în ghidul practic. "Dacă managementul nu are înțelegerea acestor modele și a riscurilor potențiale care decurg din utilizarea lor, necesară pentru a-și asuma responsabilitatea pentru rezultate, acest lucru poate indica o lipsă de competențe și abilități adecvate. Același lucru este valabil și pentru AI."
Ulterior, ghidul explorează modul în care AI poate afecta înțelegerea auditorului asupra entității în sine, a mediului său și a sistemului său de control intern, pentru a suplimenta alte resurse legate de evaluarea riscurilor, cum ar fi ghidul AICPA "Risk Assessment in a Financial Statement Audit". Se menționează că înțelegerea de către auditor a modului în care utilizarea AI de către entitate afectează raportarea financiară poate informa identificarea și evaluarea riscurilor de denaturare semnificativă de către auditor. Îndrumarea indică faptul că auditorul ar trebui să efectueze proceduri pentru a obține o înțelegere a anumitor aspecte ale entității și a mediului său, inclusiv "structura organizațională a entității, proprietatea și guvernanța, și modelul său de afaceri, inclusiv gradul în care modelul de afaceri integrează utilizarea IT". Utilizarea IT ar include utilizarea AI de către entitate. Ghidul solicită auditorului să ia în considerare modul în care structura entității poate influența modul în care AI este implementat și monitorizat, precum și dacă entitatea dispune de resursele necesare pentru a sprijini și gestiona integrarea AI. Aceasta include structura organizațională și guvernanța, deoarece o structură organizațională complexă poate amplifica provocările în guvernanța și integrarea AI, în special dacă mai multe departamente sau terți se bazează pe AI. În astfel de cazuri, este important ca entitatea să demonstreze linii clare de responsabilitate - de exemplu, desemnând persoane care decid dacă se bazează pe un anumit rezultat al AI pentru activitățile de raportare financiară și persoane care monitorizează riscurile, cum ar fi cele legate de guvernanța și securitatea modelului. Modelele de afaceri pot, de asemenea, juca un rol, deoarece influențează modul în care entitatea integrează utilizarea IT în interacțiunile sale cu clienții, furnizorii, creditorii și alți stakeholderi prin interfețe IT și alte tehnologii. Riscuri noi sau diferite pot apărea atunci când o entitate utilizează AI - aceste riscuri pot fi relevante pentru înțelegerea modelului de afaceri de către auditor.
Auditorul este, de asemenea, așteptat să înțeleagă cum AI poate afecta procesul de raportare financiară în sine, ceea ce, la rândul său, necesită o înțelegere a modului în care AI afectează și este afectat de sistemul de control intern al entității. Astfel de considerații ar putea include: Cum sunt îndeplinite responsabilitățile de supraveghere legate de AI de către management; Cum a alocat entitatea autoritatea și responsabilitatea legate de AI; Dacă persoanele cu responsabilități legate de AI au cunoștințele și pregătirea adecvată; Dacă entitatea are un proces pentru identificarea AI utilizată de furnizori și alți terți și pentru evaluarea impactului pe care îl poate avea asupra raportării financiare; Dacă entitatea are politici privind angajarea, dezvoltarea și reținerea persoanelor competente în dezvoltarea, implementarea, monitorizarea și utilizarea aplicabilă a AI; sau Ce mecanisme există pentru a trage la răspundere persoanele implicate în evaluarea inițială, aprobarea, instruirea, utilizarea și monitorizarea AI pentru respectarea procedurilor documentate.
Îndrumarea a subliniat, de asemenea, cât de critică este o evaluare completă a riscurilor pentru capacitatea entității de a gestiona riscurile asociate cu utilizarea AI de către aceasta în raportarea financiară. Introducerea unei noi tehnologii precum AI aduce potențialul unor riscuri unice, prin urmare, este important ca auditorul să înțeleagă cum procesul de evaluare a riscurilor al entității ia în considerare riscurile noi sau actualizate introduse de utilizarea AI de către entitate și cum a răspuns entitatea la astfel de riscuri. Un aspect cheie al abordării acestor riscuri, a declarat ghidul, este existența unui nivel adecvat de implicare umană în proces.
"Implicarea umană, cum ar fi revizuirea sau validarea "human-in-the-loop", poate ajuta la abordarea riscurilor legate de date și utilizarea algoritmilor, și poate fi necesar ca entitatea să integreze judecata și expertiza umană în procesele decizionale, în special în domenii unde AI poate avea limitări. Determinarea dacă nivelul de implicare umană este adecvat implică luarea în considerare a naturii și extinderii acestei implicări, precum și dacă sunt implicate persoanele potrivite. Pentru AI utilizată în procesul de raportare financiară, este esențial ca persoana implicată să aibă cunoștințele și expertiza necesare pentru a determina fiabilitatea rezultatelor AI," se arată în ghid.
De asemenea, s-a subliniat necesitatea de a fi deosebit de atent la riscul de fraudă facilitată de AI, cum ar fi personalul care modifică intenționat datele de antrenament AI sau algoritmul pentru a genera bias în model sau care editează atributele din model pentru a clasifica tranzacțiile frauduloase ca fiind legitime. AI poate fi, de asemenea, utilizat în scheme de fraudă mai comune, cum ar fi generarea de documente fictive pentru a susține tranzacții inexistente sau frauduloase. Auditorii au fost, de asemenea, încurajați să ia în considerare alte riscuri, cum ar fi "model drift" (care poate degrada calitatea modelelor AI în timp), guvernanța datelor (deoarece datele proaste pot produce rezultate inexacte care ar putea afecta finanțele entității), corectitudinea (deoarece o entitate ar putea primi penalități financiare pentru rezultate AI biasate), securitatea cibernetică și fluxul de informații (s-a menționat că, în multe cazuri, AI efectuează sarcini, fie în operarea unui proces sau control, fie în generarea de informații, care erau tradițional efectuate de oameni).
Activitățile de control pot fi, de asemenea, puternic influențate de AI. Tipul de AI - inclusiv dacă este determinist sau probabilistic - și modul în care este utilizat va influența natura activităților de control implementate de entitate. Alternativ, auditorul poate identifica controale operate de AI sau care utilizează informații generate de AI care răspund riscurilor de denaturare semnificativă. În general, dacă AI este implicat într-o activitate de control, auditorul trebuie nu numai să înțeleagă activitatea de control, ci și mecanismul AI din spatele acesteia. De exemplu, unele AI pot ajuta la clasificarea cheltuielilor sau la pregătirea accrual-urilor pe baza tiparelor de facturi, sau entitatea poate utiliza controale operate de AI pentru a revizui intrările pentru anomalii.
Auditorii au fost, de asemenea, îndemnați să rețină faptul că riscurile AI pot varia în mare măsură în funcție de tipul de AI utilizat (de exemplu, determinist sau probabilistic), cazul specific de utilizare, dacă AI a fost dezvoltat intern versus achiziționat, sau dacă există o structură agentică suprapusă peste modelul AI. Mai mult, deși ghidul curent cuprinde multe riscuri AI, acesta menționează că o simplă traducere 1:1 nu se aplică întotdeauna, deoarece unele riscuri inerente unui anumit tip de tranzacție pot fi modificate datorită utilizării AI de către entitate. Alte riscuri pot fi create de utilizarea AI de către entitate (de exemplu, riscuri legate de date, transparența modelului sau "model drift").
În ceea ce privește modul în care auditorii ar trebui să răspundă acestor riscuri, ghidul a menționat că, în unele cazuri, un auditor poate fi capabil să testeze substanțial rezultatele AI, dar dacă acest lucru singur nu poate oferi suficiente dovezi de audit, atunci auditorul ar trebui să proiecteze și să efectueze teste de control pentru a obține dovezi adecvate suficiente cu privire la eficacitatea operațională a controalelor. În unele cazuri, controalele mai tradiționale (cum ar fi revizuirea umană sau monitorizarea) pot reduce riscul legat de AI la un nivel acceptabil. În alte cazuri, controalele legate de AI, cum ar fi controalele asupra calității datelor, performanței modelului și salvgardările, pot necesita testare. Cu toate acestea, auditorul nu se poate baza doar pe teste de control. Deoarece unele modele AI pot învăța continuu, pot suferi "drift" și pot avea rezultate probabilistice, strategia pentru testarea și bazarea pe controale operate de AI poate fi diferită de strategia pentru testarea și bazarea pe controale automate tradiționale. Strategia poate diferi, de asemenea, pentru controalele care utilizează informații generate de AI, comparativ cu controalele manuale tradiționale dependente de IT. Între timp, controalele generale tradiționale IT s-ar putea să nu abordeze toate riscurile specifice AI, deci pot fi necesare testări ale controalelor IT legate de AI. Cu toate acestea, capacitatea auditorului de a efectua anumite proceduri poate fi limitată atunci când AI este achiziționat de la un terț. Pot fi necesare proceduri alternative, cum ar fi obținerea unui raport SOC sau a altei atestări sau raport al unei terțe părți. Ghidul a adăugat că, atunci când o entitate utilizează o organizație de servicii pentru a furniza servicii AI sau utilizează o organizație de servicii care folosește AI în cadrul sistemului, un raport al auditorului de servicii devine adesea o dovadă de audit importantă. Dacă auditorul utilizator nu poate obține dovezi adecvate suficiente din raportul auditorului de servicii, pot fi necesare proceduri suplimentare, cum ar fi obținerea unor reprezentări legate de AI de la management, cum ar fi identificarea AI utilizată de entitate. Atunci când ia în considerare dovezi de audit, ghidul a menționat că, cu cât auditorul are mai puțină perspectivă asupra procesului prin care a fost livrat rezultatul, cu atât poate fi mai dificil să se obțină o satisfacție cu privire la rezultat (de exemplu, "black box"-ul AI), astfel încât auditorul poate fi nevoit să identifice modalități de a stabili relații între intrări și ieșiri.
AICPA a recunoscut că există un grad de judecată în ceea ce privește locul de unde se colectează informațiile care urmează să fie folosite ca dovezi, și că sursele netradiționale de informații ar putea fi necesare.
Atunci când auditorii folosesc ei înșiși AI într-un angajament, ghidul a menționat că aceștia sunt în continuare supuși cerințelor de management al calității. Când o firmă de CPA utilizează un instrument AI pentru a obține dovezi de audit, în funcție de cazul de utilizare, aceasta ar putea dori să implementeze anumite politici și proceduri de management al calității, cum ar fi stabilirea persoanei din firmă responsabilă pentru crearea instrumentelor AI dezvoltate intern sau achiziționarea de instrumente AI comerciale de la terți; stabilirea unui proces pentru autorizarea instrumentelor AI și comunicarea informațiilor respective intern; stabilirea politicilor privind utilizarea AI și ce constituie și ce nu o utilizare acceptabilă a instrumentelor AI specificate; și comunicarea acestor informații intern sau stabilirea unui proces sau a unor controale pentru revalidarea periodică și monitorizarea performanței instrumentelor AI utilizate. La planificarea unui audit, ghidul a afirmat că echipele ar putea face brainstorming cu privire la oportunitățile de a utiliza instrumente AI de uz general în audit (de exemplu, utilizarea chatbot-urilor pentru cercetare) și pentru efectuarea de diverse proceduri de audit în scopul obținerii de dovezi de audit sau pentru a determina care domenii ale auditului prezintă cea mai mare oportunitate de îmbunătățire a calității sau de generare a eficienței prin utilizarea instrumentelor AI. Ghidul a menționat, de asemenea, că, într-un audit al situațiilor financiare, un instrument AI poate fi utilizat pentru a ajuta auditorul să evalueze dacă un alt instrument AI funcționează corect. Auditorii ar putea folosi un instrument AI pentru a efectua o procedură și un alt instrument AI pentru a verifica dacă procedura a fost efectuată corect și dacă rezultatele procedurii au sens. În astfel de situații, al doilea instrument AI nu reduce sau înlocuiește responsabilitățile auditorului pentru supervizare și revizuire.
În final, AICPA a declarat că, atunci când auditorul intenționează să utilizeze AI în desfășurarea angajamentului, secțiunea AU-C 210 nu impune divulgarea instrumentelor sau tehnologiilor specifice care vor fi utilizate în audit, inclusiv AI. AI este tratat ca alte instrumente și tehnici de audit, cum ar fi Excel și software-ul de audit. Scrisoarea de angajament se concentrează pe ceea ce face auditorul, nu pe modul în care auditorul intenționează să efectueze procedurile. Cu toate acestea, în timp ce AU-C 210 nu impune auditorului să divulge în scrisoarea de angajament că va utiliza AI în audit, divulgarea poate fi necesară prin legi, reglementări aplicabile, acorduri contractuale sau politici ale firmei. De exemplu, unele state au legi care impun profesioniștilor licențiați să furnizeze clienților lor o notificare prealabilă privind anumite utilizări ale AI; astfel de notificări pot fi incluse în scrisoarea de angajament.
Mai multe îndrumări, inclusiv o analiză aprofundată a evaluării riscului de denaturare semnificativă și a evaluării dovezilor de audit atunci când o companie utilizează AI, vor fi adăugate la secțiunea unu a ghidului în viitor. În plus, se așteaptă să fie adăugate mai multe întrebări și răspunsuri la secțiunea privind implicațiile utilizării AI în procesul de audit.