A mesterséges intelligencia (AI) egyre több üzleti és támogató területen válik alapvető eszközzé: pénzügy, compliance, számvitel, belső ellenőrzés, IT, operáció, kutatás‑fejlesztés és értékesítés is egyre gyakrabban használ AI‑megoldásokat a hatékonyság, sebesség és minőség javítására. A PwC‑nél is így látják, és ugyanilyen tendencia figyelhető meg ügyfeleknél, szolgáltatóknál és partnereknél.
Amint az AI beépül egy üzleti folyamatba, előbb‑utóbb ellenőrzés vagy könyvvizsgálat tárgyává válhat. Ebből következően fontos feltenni és megválaszolni a következő kérdéseket: mit jelent az AI szélesebb körű használata a kapcsolódó auditok és tanúsítási folyamatok szempontjából; milyen változások várhatók a CFO‑k számára a pénzügyi beszámoláshoz kapcsolódó belső kontrollkörnyezetben és azok ellenőrzésében; valamint az audit bizottságok felügyelete képes‑e lépést tartani ezzel a gyorsan változó környezettel.
Az AI alkalmazása komplex kockázati portfóliót hoz magával, és speciális ismereteket igényel. Kevés a precedens és sok a bizonytalanság a vezetés, a tulajdonosok és a külső ellenőrzés részéről. Az AI Governance‑ben és az AI‑alkalmazásokban részt vevő csapatoknak folyamatosan naprakészeknek kell lenniük, hogy a szervezet megfeleljen a kötelező könyvvizsgálatoknak, tanúsítási vagy átvilágítási folyamatoknak és a belső ellenőrzéseknek, különösen amikor a vizsgált folyamatokban AI is részt vesz.
Ez a nyomás érinti a CIO‑k és CFO‑k csapatait, az audit bizottságokat, jogi és compliance egységeket, illetve az Internal Audit csapatokat. Ugyanakkor az ellenőrzésekre való felkészülés — vagy a folyamatos felkészültség és érettség fenntartása — nem jelentheti az innováció megállítását: prioritást, fókuszt és dedikált erőforrásokat igényel a támogató területektől.
Mit kell tudniuk bemutatni a szervezeteknek?
Bár az AI akár döntéshozatalt, ügyfélinterakciókat vagy belső működést támogathat, a szervezetnek képesnek kell lennie bemutatni a könyvvizsgálóknak és belső kontroll szakértőknek, hogyan használja az AI‑rendszereket, valamint hogyan felügyeli, irányítja, dokumentálja és ellenőrzi ezeket. Ezek a demonstrációk alapvető szerepet játszanak a bizalom kiépítésében.
Első lépésként az ellenőrök az AI‑val kapcsolatos szabályzatokat, döntési eljárásokat és keretrendszereket vizsgálják: az AI‑stratégiát, fejlesztési terveket, a tervezett és működő rendszerek katalógusát, a katalógusban felsorolt rendszerek kockázatainak azonosítását és kezelését, a kockázatvállalási hajlandóság meghatározását, illetve a döntéshozatali mechanizmusokat és az erőforrás‑allokációt. Emellett várható, hogy a szervezeteknek dokumentációt kell szolgáltatniuk arról, hogy a kulcskontrollok nemcsak léteznek, hanem hatékonyan működnek: tipikus kérés lehet technikai modell‑dokumentáció, tesztelési anyagok, értelmezhetőségi és torzítási felülvizsgálatok eredményei.
Hogyan építsünk auditkész AI kontrollkörnyezetet?
Függetlenül attól, hogy a szervezet milyen fejlettségi szinten tart az AI‑bevezetésben, érdemes az alábbi tevékenységek mentén felépíteni az auditkész kontrollkörnyezetet:
- Az AI‑felügyeletet integrálni kell a meglévő kockázatmenedzsment és kontrollrendszerekkel. Ez kiterjed a használt eszközökre és modellekre vonatkozó döntésekre, a teljesítménymérésre és monitoringra, valamint a modell kimeneteinek megbízhatóságára, magyarázhatóságára és biztonságára.
- Különös jelentősége van annak, ha az AI közvetlen hatással van a pénzügyi beszámolókba vagy külső közzétételekbe kerülő adatokra. Ilyenkor a releváns belső kockázatkezelési területek — IT, adatvagyon‑gazdálkodás, compliance, belső ellenőrzés — kulcsszerepet játszanak a kockázatok proaktív értékelésében és a kontrollok validálásában.
- A folyamattulajdonosoknak és kontrollgazdáknak érteniük kell az AI‑rendszerek kockázatait, és magabiztosan kell részt venniük az audittervezésben és a vizsgálatokon. Bizonyos szerepkörökön (pl. IT, információbiztonság, adatvédelem, jog, compliance) specifikus tudás szükséges az AI hatásainak megmagyarázásához és a kockázatkezelési tevékenységek bemutatásához.
Nyilvántartás, katalógus és „árnyék‑AI”
A szervezetnek naprakészen kell tudnia, hol és hogyan használ AI‑t, mely folyamatokra és döntésekre van hatása, és milyen jellemzőkkel bír az adott alkalmazás. A cél egy olyan katalógus létrehozása, amely bemutatja az AI‑használat folyamatait és az egyes esetek kockázati szintjét. Ideális esetben ez a katalógus segít az érintetteknek — fejlesztőknek, projektmenedzsereknek, compliance csapatnak — és jelöli a könyvvizsgálati vagy pénzügyi kontrollok (például Sarbanes–Oxley, SOX) szempontjából releváns eseteket.
A nyilvántartás nem támaszkodhat kizárólag önbejelentésre: ki kell alakítani egy ellenőrzési folyamatot az úgynevezett „árnyék‑AI” feltérképezésére, valamint fel kell tárni a harmadik féltől származó eszközökbe rejtett AI‑funkcionalitást vagy nem engedélyezett bevezetésekből eredő eseteket. A központosított katalógus jó gyakorlat, de a katalógust validáló, jól dokumentált folyamatok kritikus kontrollt jelentenek — különösen SOX‑elvárások esetén.
Kockázatosabb AI‑típusok és arányos kontrollok
Nem minden AI egyforma; a kontrolloknak arányosnak kell lenniük az egyes AI‑alkalmazások karakterisztikájához. A centralizált kockázatértékelés és egységes taxonómia segít priorizálni, mely modelleknél van szükség szigorúbb tesztelésre vagy metaadat‑validálásra. Különösen fontos bemutatni, hogyan fejlesztették, vezették be és tesztelték az adott eszközt, és ennek megfelelően hogyan épült ki a kontrollkörnyezet.
Dokumentációs példák és modellek validálása
Ha az AI kimenetei bekerülnek a pénzügyi kimutatásokba, a modelltervezés és a kimenetek validálása kritikus. A vizsgálatok gördülékenyebbek lesznek, ha a csapat felkészült és megfelelő dokumentációval rendelkezik. Tipikus dokumentumok, amelyek alátámaszthatják az AI‑eredmények megbízhatóságát:
- Ellenőrzött és jóváhagyott modellkockázat‑értékelési dokumentumok
- Hibák/javítások regisztere és ellenőrzési dokumentumok
- Hibanaplók és eszkalációs dokumentáció
- Mintavételes tesztelési dokumentumok és humán tesztelések, bizonyítékokkal (adatintegritás‑ellenőrzés, felülvizsgálati lépések, kivételkezelés)
- Monitoring és ellenőrzési jelentések küszöb‑ és határértékekkel
- Mitigációs, fallback kontrollok dokumentációja és döntések
- Frissített SOX‑dokumentáció, amely tükrözi az AI által támogatott folyamatokat
Mivel sok AI‑rendszer probabilisztikus működésű és nem determinisztikus, a könyvvizsgálók különösen érdeklődnek az ellenőrzési mechanizmusok részletei iránt, amikor az AI kulcsfontosságú kontrollt egészít ki vagy helyettesít. Generatív AI használata esetén a fókusz a pontosság és a hallucinációk (téves tartalom) kiküszöbölése lesz.
Összegzés
Az AI üzleti bevezetése erőforrásokat és tudatosságot igényel a kontrollok és auditkész állapot fenntartásához. A szervezeteknek integrált irányítást, naprakész katalógust, arányos kontrollokat és részletes dokumentációt kell kialakítaniuk, továbbá biztosítaniuk kell, hogy a folyamattulajdonosok és kontrolgazdák magabiztosan tudják bemutatni az AI‑alkalmazások hatását a könyvvizsgálók és belső ellenőrök felé — különösen ott, ahol az AI hatással van a pénzügyi beszámolásra vagy SOX‑szempontból releváns kontrollokra.
