Il PCAOB sotto pressione per definire standard di audit aziendali sull’IA

Il Public Company Accounting Oversight Board è arrivato a un punto decisionale senza precedenti sull’IA, dopo anni di monitoraggio prudente. L’immediato titolo di Google News presenta la questione come una richiesta di standard aziendali sull’IA. La domanda reale è più circoscritta, più difficile e più rilevante. Gli auditor possono fare affidamento sull’IA senza indebolire le prove alla base delle loro opinioni?

Questa domanda è ora all’ordine del giorno del PCAOB per la definizione degli standard. Il board ha chiesto alle parti interessate se l’innovazione tecnologica, inclusa l’intelligenza artificiale, richieda ricerca, linee guida o nuovi requisiti. Il periodo di consultazione pubblica si è chiuso il 7 agosto 2026.

I tempi creano un conflitto evidente. Le società di revisione vogliono flessibilità sufficiente per migliorare test, analisi e documentazione. Gli investitori hanno bisogno di regole coerenti per strumenti che possono produrre risposte sicure senza mostrare un ragionamento affidabile. I principi di audit esistenti restano applicabili, ma non risolvono ogni problema specifico dell’IA.

Non si tratta semplicemente di un altro dibattito politico emerso su Google News. È un test per stabilire se la vigilanza finanziaria possa tenere il passo con sistemi che cambiano tra un ciclo di audit e l’altro. Il PCAOB deve decidere quanta valutazione umana, documentazione, validazione e supervisione richieda un audit assistito dall’IA.

Cosa il PCAOB ha effettivamente messo sul tavolo

Il PCAOB non ha adottato standard aziendali sull’IA, ma ha formalmente aperto la strada alla definizione di standard incentrati sull’IA.

Il 23 giugno 2026, il PCAOB ha emesso la sua prima richiesta di commenti pubblici che copre sia le sue agende di definizione degli standard sia quelle di ricerca. La richiesta sollecitava inoltre feedback sul più ampio processo del board per la definizione degli standard.

Il board ha affermato che la sua agenda deve evolvere insieme al contesto dell’audit e dell’informativa finanziaria. La sua attuale agenda di audit identifica l’innovazione tecnologica, inclusa l’IA, come un fattore che può influire sulla qualità dell’audit.

Questa formulazione è importante. Colloca l’IA all’interno della missione del PCAOB di protezione degli investitori, anziché trattare la tecnologia come una scelta interna di produttività per le società di contabilità.

Il PCAOB supervisiona le società registrate che revisionano società quotate e broker e dealer registrati presso la SEC. Non opera come regolatore generale per ogni applicazione aziendale dell’IA. Qualsiasi standard adottato si concentrerebbe sul lavoro di audit, sull’informativa finanziaria, sulla condotta professionale e sui relativi controlli di qualità.

Tuttavia, questa portata si estende comunque alle società quotate. Gli auditor devono comprendere i sistemi che producono informazioni finanziarie e valutare i controlli interni pertinenti. Quando il management utilizza l’IA all’interno di tali sistemi, la tecnologia può incidere sull’audit anche se l’auditor non impiega mai un modello di IA.

Uno strumento di IA potrebbe classificare le spese, stimare gli accantonamenti, individuare transazioni insolite o preparare riconciliazioni. Potrebbe inoltre supportare previsioni utilizzate nei test di impairment. Ogni utilizzo solleva interrogativi sulla qualità dei dati, i controlli di accesso, le modifiche al modello, la revisione umana e la riproducibilità.

L’auditor deve quindi affrontare due compiti distinti. Il primo consiste nel valutare le informazioni del management supportate dall’IA. Il secondo nel controllare qualsiasi strumento abilitato dall’IA utilizzato dal team di audit stesso.

Questi compiti possono intersecarsi. Un auditor potrebbe utilizzare analisi automatizzate per verificare l’output di un processo contabile automatizzato di un’azienda. Se entrambi i sistemi dipendono da dati correlati o modelli simili, l’apparente riscontro potrebbe offrire meno indipendenza del previsto.

L’azione del PCAOB non significa che gli standard esistenti abbiano improvvisamente smesso di funzionare. Restano applicabili i requisiti relativi a prove di audit, scetticismo professionale, supervisione, documentazione, indipendenza e controllo della qualità.

La controversia riguarda se questi principi offrano sufficiente chiarezza operativa. Una regola che richiede “prove di audit sufficienti e appropriate” stabilisce l’obiettivo. Non spiega automaticamente come gli auditor debbano validare un modello in evoluzione, conservare i prompt o indagare output incoerenti.

Questa distinzione si perde in un titolo sintetico di Google News. Il PCAOB non sta decidendo se alle aziende debba essere consentito utilizzare l’IA. Sta decidendo se gli obblighi di audit necessitino di confini specifici per l’IA più chiari prima che il ricorso a tali strumenti diventi ordinario.

La decisione segue diversi anni di ricerca. Nel luglio 2024, il personale del PCAOB ha pubblicato osservazioni derivanti dal confronto con grandi società di revisione e società quotate. Secondo il board, le società contattate revisionavano collettivamente la maggior parte della capitalizzazione di mercato degli emittenti.

L’attività di confronto sulla GenAI ha rilevato un utilizzo limitato ma in rapida evoluzione. Le società impiegavano in genere l’IA generativa per attività amministrative e orientate alla ricerca, piuttosto che per i test di audit fondamentali.

Anche i responsabili della preparazione dei bilanci delle società quotate stavano esplorando utilizzi nelle loro operazioni. I loro piani di adozione spesso avanzavano più rapidamente rispetto all’uso dell’IA generativa nell’informativa finanziaria.

Questo divario ha dato ai regolatori il tempo per studiare la questione. Non ha eliminato la necessità di agire. Le capacità dell’IA e le implementazioni aziendali sono cresciute da quando si è svolto il confronto, mentre gli standard di audit dipendono ancora in larga misura da principi tecnologicamente neutri.

Il PCAOB deve ora scegliere tra ricerca, linee guida del personale, modifiche agli standard esistenti o requisiti dedicati. La richiesta di giugno non ha predeterminato la risposta. Ha reso la scelta parte del processo formale del board per la definizione dell’agenda.

Perché le regole di audit esistenti affrontano uno stress test sull’IA

La pressione centrale deriva dall’output variabile dell’IA, dalla trasparenza limitata e dalla dipendenza da controlli esterni al team dell’incarico.

Anche il software di audit tradizionale può fallire. Un foglio di calcolo, un programma di campionamento o uno script di analisi dati configurati in modo inadeguato possono produrre risultati errati. Gli standard di audit richiedono già alle società di valutare se i loro strumenti funzionino come previsto.

L’IA generativa introduce una diversa combinazione di rischi. Lo stesso prompt può produrre risposte differenti. I fornitori di modelli possono aggiornare i sistemi senza esporre ogni modifica tecnica. Gli output possono suonare autorevoli pur contenendo fatti inventati o conclusioni non supportate.

Queste caratteristiche complicano le prove di audit. Le prove devono essere pertinenti e affidabili per lo scopo previsto. Un riepilogo attraente non è affidabile semplicemente perché si legge bene o concorda con la posizione del management.

Un auditor che utilizza l’IA per esaminare contratti deve sapere se il sistema ha analizzato ogni clausola pertinente. Il team deve inoltre determinare se i documenti di origine fossero completi e trattati correttamente.

Un revisore umano non può risolvere il problema limitandosi ad accettare il riepilogo finale. Il revisore necessita di informazioni sufficienti per ricostruire il lavoro, mettere in discussione l’output e individuare termini omessi o interpretati erroneamente.

Questo requisito diventa più difficile quando un fornitore di IA considera proprietari i dettagli del modello. La società di revisione potrebbe non avere accesso diretto ai dati di addestramento, ai log di sistema, ai metodi di valutazione o alle cronologie delle versioni.

La dipendenza da terze parti non è una novità nell’audit. Le società fanno già affidamento su fornitori di software, infrastrutture cloud, specialisti delle valutazioni e organizzazioni di servizi. Tuttavia, l’IA può distribuire la responsabilità su più livelli mantenendo al contempo difficili da ispezionare valutazioni importanti.

Il model drift aggiunge un’altra complicazione. Il model drift indica che il comportamento di un sistema cambia al variare dei suoi dati, della configurazione o dell’ambiente circostante. Una validazione eseguita al momento dell’implementazione potrebbe non giustificare l’affidamento sul sistema mesi dopo.

Un incarico di audit necessita quindi di controlli sulle modifiche. I team devono sapere quale versione del modello fosse operativa, quali impostazioni fossero applicate, chi abbia approvato le modifiche e se gli aggiornamenti abbiano attivato nuovi test.

La manipolazione basata sui prompt crea un’altra via verso l’errore. Testo nascosto all’interno di un documento può influenzare le istruzioni di un sistema di IA. Uno strumento di revisione contrattuale potrebbe dare priorità a istruzioni incorporate anziché alla procedura prevista dall’auditor.

Il Committee of Sponsoring Organizations of the Treadway Commission ha affrontato queste preoccupazioni nella sua pubblicazione del 2026 sui controlli della GenAI. COSO ha collegato la governance dell’IA generativa al proprio consolidato framework di controllo interno.

Le linee guida evidenziano rischi che riguardano l’esposizione informatica, il ragionamento opaco, il model drift, la manipolazione dei prompt e frequenti modifiche alla configurazione. Si tratta di problemi di controllo perché possono incidere su operazioni, reporting e conformità.

Il lavoro di COSO aiuta i manager aziendali a progettare controlli interni. Non sostituisce i requisiti del PCAOB per gli auditor. Gli auditor necessitano comunque di criteri per valutare tali controlli e determinare in che modo le carenze incidano sulle procedure di audit.

La supervisione umana resta la questione più visibile. “Human in the loop” descrive un processo in cui una persona esamina o controlla il lavoro di un sistema automatizzato. L’espressione sembra rassicurante, ma il suo significato pratico varia notevolmente.

Un revisore che approva soltanto una conclusione generata dall’IA offre una protezione limitata. Una revisione efficace richiede la competenza, il tempo, le prove e l’autorità per mettere in discussione il sistema.

Il PCAOB deve quindi distinguere tra revisione nominale e supervisione sostanziale. Deve inoltre chiarire quali decisioni debbano restare affidate a professionisti qualificati.

Il giudizio professionale non può trasformarsi in un’approvazione cerimoniale alla fine di un flusso di lavoro automatizzato. Il partner responsabile dell’incarico rimane responsabile dell’opinione di audit, indipendentemente dalla quantità di analisi svolta da un modello.

Gli standard di documentazione affrontano uno stress test correlato. I fascicoli di audit mostrano normalmente le procedure eseguite, le prove ottenute, le conclusioni raggiunte e la revisione completata. Il lavoro assistito dall’IA potrebbe richiedere inoltre prompt, istruzioni di sistema, cronologie degli output, risultati delle validazioni e gestione delle eccezioni.

Senza tali registrazioni, un team ispettivo potrebbe non essere in grado di determinare cosa sia accaduto. La stessa società di revisione potrebbe avere difficoltà a riprodurre la procedura dopo un aggiornamento del modello.

Standard PCAOB chiari sull’IA potrebbero stabilire una soglia comune di documentazione. Potrebbero inoltre impedire alle società di adottare approcci incompatibili che rendono la qualità dell’audit dipendente dai controlli preferiti da ciascun fornitore.

Principi contro standard PCAOB prescrittivi sull’IA

Il confronto principale non riguarda innovazione contro regolamentazione. Riguarda principi flessibili contro requisiti minimi per strumenti opachi e in evoluzione.

I sostenitori di un approccio basato sui principi hanno un argomento credibile. La tecnologia IA cambia troppo rapidamente perché gli standard siano costruiti attorno a modelli, architetture o caratteristiche di prodotto specifici.

Una regola dettagliata può diventare obsoleta prima che le società finiscano di implementarla. Può anche scoraggiare strumenti utili costringendo ogni applicazione a rientrare in un framework progettato attorno a tecnologie precedenti.

Gli standard PCAOB esistenti attribuiscono già responsabilità agli auditor. Richiedono prove appropriate, scetticismo professionale, supervisione, documentazione e gestione della qualità. Tali obblighi non scompaiono quando un computer svolge parte della procedura.

Questo approccio può accogliere nuovi strumenti senza riaprire il regolamento dopo ogni rilascio di prodotto. Mantiene inoltre l’attenzione normativa sulla qualità dell’audit anziché sulle mode tecnologiche.

Gli organismi internazionali di definizione degli standard stanno seguendo in parte questa strada. Nell’agosto 2026, l’International Auditing and Assurance Standards Board ha proposto revisioni a tre standard fondamentali.

Le proposte di revisione delle evidenze di revisione riguardano le risposte ai rischi, le evidenze di revisione e le procedure analitiche. Sottolineano l'importanza delle informazioni digitali, dell'affidabilità delle evidenze, dello scetticismo professionale e del lavoro assistito dalla tecnologia.

Le proposte restano basate su principi. Mirano a rendere più efficaci gli obiettivi esistenti quando imprese e revisori utilizzano tecnologie avanzate. I commenti devono pervenire entro il 15 dicembre 2026.

Questo processo internazionale offre al PCAOB un utile punto di riferimento. Ma crea anche pressione. Se i requisiti globali diventano più chiari mentre gli Stati Uniti si affidano principalmente a principi generali, le società multinazionali potrebbero trovarsi di fronte ad aspettative disomogenee.

La necessità di requisiti minimi prescrittivi nasce anzitutto dall'esigenza di coerenza. Due società di revisione possono interpretare in modo diverso un'“appropriata revisione umana”, soprattutto quando i loro sistemi di AI hanno progettazioni differenti.

Una società potrebbe richiedere test indipendenti rispetto a risultati noti. Un'altra potrebbe accettare la documentazione del fornitore e la revisione di un responsabile. Entrambe potrebbero dichiarare la conformità allo stesso principio generale.

I requisiti minimi potrebbero restringere questo intervallo. Potrebbero riguardare l'approvazione dei modelli, la convalida periodica, i controlli sui dati, le restrizioni di accesso, la gestione delle modifiche, la conservazione delle registrazioni e l'escalation degli output inaffidabili.

Potrebbero anche definire quando l'output dell'AI non può costituire evidenza senza riscontri. Un simile confine aiuterebbe i revisori a resistere alla pressione di trasformare guadagni di produttività in un affidamento non supportato.

Tuttavia, uno standard dettagliato crea un rischio proprio. Le società potrebbero trattare una checklist come prova che un sistema sia sicuro. Il rischio dell'AI dipende dal contesto, quindi la conformità a passaggi tecnici non può sostituire lo scetticismo professionale.

Un modello utilizzato per formattare un promemoria non giustifica gli stessi controlli di uno che seleziona le registrazioni contabili per i test. Gli standard devono preservare questa distinzione basata sul rischio.

L'approccio più solido combina principi e basi applicabili. I principi stabiliscono la responsabilità in tutte le tecnologie. Le basi affrontano punti di fallimento prevedibili che le società non dovrebbero poter reinterpretare.

Per esempio, uno standard non deve necessariamente nominare un modello specifico. Può comunque richiedere alle società di identificare il modello e la versione, convalidarne l'uso previsto, conservare le registrazioni rilevanti delle interazioni e monitorarne le modifiche.

Può richiedere ai team di revisione di verificare l'output rispetto a evidenze indipendenti. Può anche vietare l'affidamento cieco a sintesi che il team non riesce a riprodurre o spiegare.

Questa struttura sosterrebbe l'innovazione senza rendere i fornitori gli standard setter di fatto. Le società di revisione potrebbero scegliere i propri strumenti, ma avrebbero obblighi coerenti nel dimostrare che tali strumenti sono idonei allo scopo.

La distinzione è importante anche per le società più piccole. Le grandi reti possono creare team interni di valutazione, negoziare l'accesso dei fornitori e mantenere piattaforme proprietarie. Le società più piccole potrebbero dipendere maggiormente da prodotti commerciali.

Standard vaghi possono ampliare questo divario di risorse. Le società più piccole potrebbero non sapere quale convalida si aspettino le autorità di regolamentazione fino a quando un'ispezione non individua una carenza.

Regole eccessivamente complesse possono creare il problema opposto. I costi di conformità potrebbero escludere le società più piccole da tecnologie utili e rafforzare la posizione di mercato delle reti più grandi.

Sono quindi essenziali requisiti scalabili. Il livello dei test dovrebbe riflettere il ruolo dello strumento, il rischio di errori significativi e il grado di affidamento riposto nel suo output.

I lettori di Google News potrebbero incontrare il dibattito come un semplice appello a una supervisione più rigorosa. La scelta più importante riguarda l'architettura. Il PCAOB ha bisogno di regole sufficientemente specifiche da poter essere applicate e sufficientemente flessibili da resistere al prossimo ciclo di modelli.

L'uso aziendale dell'AI pone i revisori su entrambi i lati del modello

L'AI cambia la revisione due volte: prima modificando i sistemi di rendicontazione aziendale e poi cambiando il modo in cui i revisori verificano tali sistemi.

Le società quotate stanno già utilizzando l'AI al di fuori della contabilità. La applicano al servizio clienti, allo sviluppo software, al marketing, agli acquisti, alle previsioni e all'elaborazione dei documenti.

Alcune di queste attività finiscono per influire sul bilancio. Una decisione di prezzo supportata dall'AI può modificare i ricavi. La pianificazione automatizzata delle scorte può incidere sugli accantonamenti. Le previsioni generate possono influenzare le stime di valutazione e impairment.

Il rischio per l'informativa finanziaria non richiede che un sistema di AI registri direttamente le scritture. Un modello può plasmare le ipotesi che la direzione inserisce successivamente in un processo contabile convenzionale.

I revisori devono tracciare questi collegamenti. Devono identificare dove l'AI influisce su voci significative, stime, informative o controlli interni sull'informativa finanziaria.

Il controllo interno sull'informativa finanziaria, o ICFR, comprende processi progettati per supportare bilanci affidabili. Un'applicazione di AI può modificare l'ICFR quando crea, trasforma, approva o monitora informazioni rilevanti.

La direzione deve comprendere tale cambiamento prima che i revisori possano verificarlo. Un'azienda non può governare efficacemente un modello se non dispone di un inventario dei sistemi implementati e dei rispettivi responsabili.

Le domande fondamentali sono concrete. Quali dati entrano nel modello? Chi può modificarne la configurazione? Come vengono riesaminate le eccezioni? Quali evidenze dimostrano che l'output rimane accurato?

Le aziende necessitano anche di processi per la gestione degli incidenti. I dipendenti devono sapere dove segnalare allucinazioni, fughe di dati, utilizzi non autorizzati o comportamenti inattesi. Gli incidenti rilevanti non possono rimanere isolati all'interno di un team tecnico.

La Securities and Exchange Commission ha già avvertito le società quotate riguardo a dichiarazioni non supportate sull'AI. Il suo ex presidente ha descritto il problema come AI washing, quando un'organizzazione esagera il proprio uso o le proprie capacità di AI.

L'avvertimento della SEC sulle informative relative all'AI ha sottolineato che le società quotate necessitano di una base ragionevole per le dichiarazioni rilevanti. Gli investitori hanno inoltre bisogno di informazioni specifiche sull'azienda riguardo ai rischi rilevanti dell'AI.

Questa questione informativa si interseca con la revisione. I revisori valutano i bilanci e alcune informazioni correlate, ma non certificano ogni dichiarazione aziendale sull'AI.

Gli standard devono preservare tale confine affrontando al contempo i casi in cui le dichiarazioni sull'AI influenzano stime finanziarie, controlli o informative coperte dalla revisione.

Il secondo lato del modello appartiene alle società di revisione. Le società vedono nell'AI un mezzo per esaminare popolazioni più ampie, sintetizzare documenti, identificare anomalie e ridurre il lavoro ripetitivo.

Questi utilizzi possono migliorare la copertura. Il campionamento convenzionale può esaminare solo una parte della popolazione delle transazioni. L'analisi assistita dalla tecnologia può vagliare ogni elemento registrato e indirizzare l'attenzione verso modelli insoliti.

Una copertura più ampia non produce automaticamente evidenze migliori. Un sistema può applicare in modo coerente una regola sbagliata all'intera popolazione. Può anche generare troppi falsi positivi per consentire un'indagine significativa.

La qualità della revisione dipende da ciò che i team fanno con il risultato. Devono comprendere lo scopo della procedura, valutare le eccezioni e collegare le risultanze alle pertinenti asserzioni di bilancio.

Gli agenti AI alzano ulteriormente la posta. Un agente è un software in grado di pianificare ed eseguire più passaggi verso un obiettivo, talvolta utilizzando strumenti o dati esterni.

Un agente potrebbe richiedere registrazioni, confrontare documenti, segnalare incoerenze e preparare una bozza di conclusione. Questo flusso di lavoro va oltre un singolo strumento analitico.

La responsabilità può diventare sfumata quando l'agente decide quali passaggi intraprendere. Il revisore deve comunque stabilire se le procedure fossero appropriate e complete.

Una sequenza autonoma amplia anche la superficie di attacco. Autorizzazioni errate, documenti manipolati o chiamate di strumenti difettose possono contaminare più fasi prima che una persona esamini il risultato.

Il National Institute of Standards and Technology offre un quadro volontario sui rischi dell'AI per mappare, misurare, gestire e governare i rischi dell'AI. Fornisce alle società un vocabolario utile per la supervisione a livello di sistema.

Tuttavia, il NIST non determina cosa costituisca un'evidenza di revisione sufficiente. Un modello ben governato dal punto di vista tecnico può comunque essere inadatto a una particolare procedura di revisione.

Gli standard del PCAOB sull'AI devono collegare la governance dei sistemi agli obblighi professionali. Dovrebbero chiarire che solidi controlli sui modelli supportano, ma non sostituiscono, la valutazione delle evidenze da parte del revisore.

L'indipendenza presenta un'altra questione irrisolta. Le società di revisione spesso forniscono servizi legati alla tecnologia mentre sviluppano strumenti per le proprie pratiche di assurance.

Le regole di indipendenza esistenti limitano rapporti e servizi che compromettono l'obiettività. L'AI solleva interrogativi su piattaforme condivise, dati di addestramento, partnership con fornitori e sistemi utilizzati sia dal revisore sia dal cliente.

L'uso di tecnologie simili non distrugge automaticamente l'indipendenza. Tuttavia, le società necessitano di salvaguardie contro la revisione di ipotesi o configurazioni che hanno contribuito a creare.

Il PCAOB dovrebbe esaminare questi rapporti prima che le pratiche di mercato si consolidino. Adeguare retroattivamente i controlli di indipendenza dopo che le società avranno costruito piattaforme interconnesse sarà più difficile.

Ciò che la guida alla revisione dell'AI non può ancora garantire

Nessuno standard può eliminare allucinazioni, opacità o bias di automazione; il test è quindi se le regole rendano i fallimenti visibili e contenibili.

I sostenitori di una rapida definizione degli standard non dovrebbero sovrastimare ciò che una nuova regola può conseguire. La regolamentazione non può garantire che un sistema di AI si comporti in modo coerente in ogni situazione.

Non può neppure rendere ogni modello pienamente spiegabile. Alcuni sistemi rimangono difficili da interpretare anche quando gli sviluppatori forniscono ampia documentazione tecnica.

Un requisito di spiegabilità può diventare privo di significato se lo standard non definisce quale decisione debba essere spiegata. I revisori raramente hanno bisogno di una descrizione completa di ogni parametro del modello.

Hanno invece bisogno di informazioni sufficienti per comprendere perché il sistema sia idoneo a una procedura. Hanno inoltre bisogno di evidenze che il suo output rimanga affidabile nelle condizioni pertinenti.

Il bias di automazione crea un problema umano distinto. Le persone tendono ad attribuire un peso eccessivo alle raccomandazioni generate dal computer, in particolare quando i sistemi appaiono sicuri o sofisticati.

La revisione obbligatoria non elimina tale bias. I revisori potrebbero cercare conferme anziché tentare di confutare una risposta generata dall'AI.

Le società devono quindi progettare la verifica critica nel flusso di lavoro. Un revisore potrebbe confrontare l'output con evidenze indipendenti, utilizzare casi di test deliberatamente difficili o indagare risultati contraddittori.

Anche la formazione conta. I contabili non devono diventare ingegneri dei modelli, ma devono comprendere le limitazioni pertinenti al lavoro loro assegnato.

Lo stesso vale per i partner dell'incarico. Non possono delegare tutta la comprensione tecnica agli specialisti conservando soltanto la responsabilità formale del giudizio di revisione.

Gli standard dovrebbero stabilire aspettative in materia di competenza senza presumere che un unico programma di formazione sia adatto a ogni strumento. Le conoscenze richieste dovrebbero riflettere il ruolo e il rischio del sistema.

La concentrazione dei fornitori presenta un'altra incertezza. Diverse società potrebbero affidarsi allo stesso provider cloud o allo stesso modello di base. Un difetto condiviso potrebbe influenzare molti incarichi contemporaneamente.

I controlli tradizionali a livello di incarico potrebbero non cogliere questa esposizione sistemica. Il PCAOB potrebbe aver bisogno di accordi di condivisione delle informazioni che gli consentano di identificare modelli tra le società senza esporre dati riservati dei clienti.

Anche i metodi di ispezione dovranno cambiare. Gli ispettori devono valutare la governance degli strumenti e l'esecuzione dei singoli incarichi. L'una non può sostituire l'altra.

Una società può mantenere un eccellente processo centrale di approvazione mentre un team di incarico utilizza lo strumento in modo errato. Un altro strumento può essere adatto a una procedura ma inaffidabile per uno scopo diverso.

Le autorità di regolamentazione necessitano di competenze tecniche per operare queste distinzioni. Non dovrebbero dipendere interamente dalle società o dai fornitori che supervisionano per ottenere spiegazioni sul comportamento dei modelli.

Gli standard possono anche creare una falsa sensazione di sicurezza nei consigli di amministrazione. Un giudizio di revisione senza rilievi non significa che ogni sistema di AI all’interno di un’azienda sia sicuro, equo, protetto o conforme alla legge.

La revisione finanziaria affronta obiettivi di rendicontazione definiti. Una governance dell’AI più ampia comprende privacy, discriminazione, proprietà intellettuale, cybersecurity, tutela dei consumatori e resilienza operativa.

I lettori dovrebbero evitare di ricondurre questi ambiti a un’unica etichetta. Un “AI audit” può riferirsi a una revisione finanziaria che utilizza l’AI, a una verifica della governance dell’AI o a una valutazione di un prodotto di AI.

L’opinione di Bloomberg Tax riguardava la prima categoria e le implicazioni dell’AI aziendale per l’informativa finanziaria. Non istituiva un regime di assurance completo per ogni algoritmo.

Questa limitazione rafforza la necessità di una terminologia precisa. I regolatori dovrebbero identificare l’obiettivo, l’oggetto della verifica, i criteri, le evidenze e il soggetto responsabile ogni volta che descrivono l’assurance sull’AI.

La principale domanda scettica resta l’implementazione. Anche standard sensati falliranno se le aziende documenteranno la conformità senza modificare il modo in cui i team validano e sottopongono a verifica critica gli output dell’AI.

I risultati delle ispezioni forniranno l’evidenza più chiara. Carenze ricorrenti legate a log mancanti, validazione debole o revisioni superficiali dimostrerebbero che i soli principi non sono sufficienti.

Al contrario, prove di un’adozione controllata e di attività di revisione affidabili sosterrebbero un approccio più flessibile. Il PCAOB dovrebbe restare disposto ad adeguare i requisiti man mano che tali evidenze si sviluppano.

Tre segnali da osservare dopo il ciclo di notizie di Google News

La prossima fase sarà definita dall’agenda del PCAOB, dalle proposte internazionali in materia di revisione e dalle evidenze emerse dalle ispezioni.

Il primo segnale è la risposta del PCAOB al suo processo di consultazione del 2026. Il consiglio deve decidere se l’AI diventerà un progetto di ricerca, un’iniziativa di linee guida per lo staff o un elemento formale di definizione degli standard.

Un progetto formale rafforzerebbe l’argomento secondo cui i requisiti esistenti necessitano di un’applicazione più chiara. Le linee guida per lo staff indicherebbero che il consiglio considera attualmente l’interpretazione il rimedio più rapido.

Una designazione esclusivamente di ricerca preserverebbe la flessibilità, ma lascerebbe anche alle aziende maggiore discrezionalità. I lettori dovrebbero esaminare l’ambito del progetto, non solo la sua etichetta.

L’ambito più utile affronterebbe sia l’AI utilizzata dai revisori sia l’AI integrata nell’informativa finanziaria aziendale. Dovrebbe inoltre considerare documentazione, validazione, supervisione, indipendenza e controlli sui fornitori.

Il secondo segnale è l’esito della consultazione internazionale sulle evidenze di revisione. Le revisioni proposte dall’IAASB offrono un modello basato su principi per il lavoro assistito dalla tecnologia.

Un forte sostegno da parte degli stakeholder dimostrerebbe che revisori e investitori considerano le regole modernizzate sulle evidenze una base praticabile. Richieste di requisiti più dettagliati sull’AI metterebbero in luce i limiti di tale approccio.

Il PCAOB non deve copiare gli standard internazionali. Tuttavia, divergenze non spiegate potrebbero complicare le revisioni globali e creare aspettative incoerenti per la stessa tecnologia.

Il terzo segnale arriverà dalle ispezioni e dall’applicazione delle norme. I regolatori hanno bisogno di evidenze concrete sul fatto che l’AI contribuisca alle carenze di revisione o aiuti i team a individuare problemi rilevanti.

Gli indicatori pertinenti includono validazioni fallite, documentazione mancante, supervisione debole, affidamento inappropriato e conflitti non dichiarati. I regolatori dovrebbero inoltre monitorare i casi in cui l’AI migliora i test sull’intera popolazione o il rilevamento delle frodi.

Queste evidenze equilibrate sono importanti. Le regole dovrebbero rispondere a rischi dimostrati senza presumere che ogni procedura assistita dall’AI riduca la qualità.

Le aziende non dovrebbero aspettare lo standard definitivo. I responsabili finanziari possono già censire gli utilizzi rilevanti dell’AI, definire le responsabilità, conservare le cronologie delle modifiche e testare i controlli pertinenti.

I comitati di revisione possono chiedere al management dove l’AI influenzi stime, riconciliazioni, informative e monitoraggio dei controlli. Possono inoltre chiedere ai revisori esterni come siano governati i loro strumenti.

Le società di revisione dovrebbero documentare gli usi previsti, le limitazioni, i risultati della validazione, i controlli di accesso e la revisione umana richiesta. Dovrebbero conservare informazioni sufficienti per ricostruire le procedure rilevanti assistite dall’AI.

I knowledge worker che supportano queste verifiche necessitano di registrazioni affidabili. Una base di conoscenza AI ben gestita può organizzare policy, valutazioni, incidenti, approvazioni e modifiche ai modelli senza sostituire la documentazione formale di revisione.

La domanda chiave, dopo che l’attenzione di Google News sarà svanita, non è se il PCAOB “regolerà l’AI” in astratto. È se il consiglio stabilirà responsabilità verificabili prima che il lavoro automatizzato venga integrato nelle evidenze di revisione.

Osservate l’agenda, la consultazione internazionale e i risultati delle ispezioni. Insieme, questi segnali mostreranno se i principi flessibili restano sufficienti o se standard PCAOB sull’AI applicabili e vincolanti diventano inevitabili.