PCAOB pod presją, by ustanowić standardy audytu AI dla spółek

Rada Nadzoru Rachunkowości Spółek Publicznych stanęła przed bezprecedensową decyzją dotyczącą AI, mimo lat ostrożnego monitorowania tego obszaru. Najnowszy nagłówek w Google News przedstawia sprawę jako żądanie standardów AI dla spółek. Rzeczywiste pytanie jest węższe, trudniejsze i ma większe konsekwencje. Czy audytorzy mogą polegać na AI, nie osłabiając podstaw dowodowych swoich opinii?

To pytanie znalazło się teraz w programie prac PCAOB nad standardami. Rada zapytała interesariuszy, czy innowacje technologiczne, w tym sztuczna inteligencja, uzasadniają badania, wytyczne lub nowe wymogi. Okres konsultacji publicznych zakończył się 7 sierpnia 2026 r.

Termin ten tworzy wyraźny konflikt. Firmy audytorskie chcą wystarczającej elastyczności, by usprawniać testowanie, analizę i dokumentację. Inwestorzy potrzebują spójnych zasad dla narzędzi, które mogą generować pewne siebie odpowiedzi bez przedstawiania wiarygodnego toku rozumowania. Obowiązujące zasady audytu nadal mają zastosowanie, ale nie rozwiązują wszystkich problemów specyficznych dla AI.

Nie jest to po prostu kolejna debata polityczna nagłośniona przez Google News. To test, czy nadzór finansowy może dotrzymać kroku systemom, które zmieniają się między cyklami audytowymi. PCAOB musi zdecydować, ile ludzkiego osądu, dokumentacji, walidacji i nadzoru wymaga audyt wspierany przez AI.

Co PCAOB faktycznie przedstawiła do dyskusji

PCAOB nie przyjęła standardów AI dla spółek, ale formalnie otworzyła drogę do ustanawiania standardów skoncentrowanych na AI.

23 czerwca 2026 r. PCAOB wydała pierwsze zaproszenie do konsultacji publicznych obejmujące zarówno program prac nad standardami, jak i program badawczy. Zaproszenie dotyczyło również opinii na temat szerszego procesu ustanawiania standardów przez radę.

Rada stwierdziła, że jej program musi ewoluować wraz ze środowiskiem audytu i sprawozdawczości finansowej. Jej obecny program audytowy wskazuje innowacje technologiczne, w tym AI, jako czynnik mogący wpływać na jakość audytu.

To sformułowanie ma znaczenie. Umieszcza AI w ramach misji PCAOB polegającej na ochronie inwestorów, zamiast traktować tę technologię jako wewnętrzny wybór zwiększający produktywność firm księgowych.

PCAOB nadzoruje zarejestrowane firmy audytujące spółki publiczne oraz brokerów i dealerów zarejestrowanych w SEC. Nie pełni funkcji ogólnego regulatora każdej korporacyjnej aplikacji AI. Wszelkie przyjęte przez nią standardy koncentrowałyby się na pracach audytowych, sprawozdawczości finansowej, postępowaniu zawodowym i powiązanych mechanizmach kontroli jakości.

Ten zakres nadal jednak obejmuje spółki publiczne. Audytorzy muszą rozumieć systemy generujące informacje finansowe i oceniać odpowiednie kontrole wewnętrzne. Gdy kierownictwo wykorzystuje AI w takich systemach, technologia może wpływać na audyt, nawet jeśli sam audytor nigdy nie wdraża modelu AI.

Narzędzie AI może klasyfikować wydatki, szacować rezerwy, wykrywać nietypowe transakcje lub przygotowywać uzgodnienia. Może również wspierać prognozy wykorzystywane w testach utraty wartości. Każde z tych zastosowań rodzi pytania dotyczące jakości danych, kontroli dostępu, zmian modeli, weryfikacji przez ludzi i odtwarzalności.

Audytor staje następnie przed dwoma odrębnymi zadaniami. Pierwsze polega na ocenie informacji wspieranych przez AI, wykorzystywanych przez kierownictwo. Drugie to kontrolowanie każdego narzędzia wykorzystującego AI, z którego korzysta sam zespół audytowy.

Te zadania mogą się przecinać. Audytor może używać zautomatyzowanej analizy do testowania wyników zautomatyzowanego procesu księgowego spółki. Jeśli oba systemy opierają się na powiązanych danych lub podobnych modelach, pozorne potwierdzenie może zapewniać mniejszą niezależność, niż się oczekuje.

Działania PCAOB nie oznaczają, że istniejące standardy nagle przestały działać. Nadal obowiązują wymogi dotyczące dowodów audytowych, zawodowego sceptycyzmu, nadzoru, dokumentacji, niezależności i kontroli jakości.

Spór dotyczy tego, czy zasady te zapewniają wystarczającą jasność operacyjną. Reguła wymagająca „wystarczających odpowiednich dowodów audytowych” określa cel. Nie wyjaśnia jednak automatycznie, jak audytorzy powinni walidować zmieniający się model, zachowywać prompty lub badać niespójne wyniki.

To rozróżnienie ginie w skróconym nagłówku Google News. PCAOB nie decyduje, czy spółkom należy pozwolić na korzystanie z AI. Decyduje, czy obowiązki audytowe wymagają wyraźniejszych granic specyficznych dla AI, zanim poleganie na niej stanie się rutyną.

Decyzja ta następuje po kilku latach badań. W lipcu 2024 r. pracownicy PCAOB opublikowali obserwacje z konsultacji z dużymi firmami audytorskimi i spółkami publicznymi. Według rady skontaktowane firmy audytowały łącznie większość kapitalizacji rynkowej emitentów.

Badanie GenAI wykazało ograniczone, lecz szybko ewoluujące zastosowanie. Firmy zasadniczo wykorzystywały generatywną AI do prac administracyjnych i badawczych, a nie do kluczowych testów audytowych.

Osoby przygotowujące sprawozdania w spółkach publicznych również analizowały zastosowania w całej swojej działalności. Ich plany wdrożeniowe często postępowały szybciej niż wykorzystanie generatywnej AI w sprawozdawczości finansowej.

Ta luka dała regulatorom czas na zbadanie sprawy. Nie wyeliminowała jednak potrzeby działania. Możliwości AI i wdrożenia korporacyjne rozszerzyły się od czasu tych konsultacji, podczas gdy standardy audytu nadal w dużej mierze opierają się na zasadach neutralnych technologicznie.

PCAOB musi teraz wybrać między badaniami, wytycznymi dla pracowników, zmianami istniejących standardów lub odrębnymi wymogami. Czerwcowe zaproszenie nie przesądzało odpowiedzi. Uczyniło ten wybór częścią formalnego procesu ustalania programu prac rady.

Dlaczego obecne zasady audytu przechodzą test wytrzymałościowy AI

Główna presja wynika ze zmiennych wyników AI, ograniczonej przejrzystości i zależności od kontroli znajdujących się poza zespołem realizującym zlecenie.

Tradycyjne oprogramowanie audytowe również może zawodzić. Źle skonfigurowany arkusz kalkulacyjny, program doboru próby lub skrypt analizy danych może generować nieprawidłowe wyniki. Standardy audytu już wymagają od firm oceny, czy ich narzędzia działają zgodnie z przeznaczeniem.

Generatywna AI wprowadza inną kombinację ryzyk. Ten sam prompt może prowadzić do różnych odpowiedzi. Dostawcy modeli mogą aktualizować systemy, nie ujawniając każdej technicznej zmiany. Wyniki mogą brzmieć autorytatywnie, a jednocześnie zawierać zmyślone fakty lub niepoparte wnioski.

Te cechy komplikują kwestię dowodów audytowych. Dowody muszą być istotne i wiarygodne dla zamierzonego celu. Atrakcyjne podsumowanie nie jest wiarygodne wyłącznie dlatego, że dobrze się je czyta lub że zgadza się ze stanowiskiem kierownictwa.

Audytor wykorzystujący AI do przeglądu umów musi wiedzieć, czy system przeanalizował każdą istotną klauzulę. Zespół musi także ustalić, czy dokumenty źródłowe były kompletne i prawidłowo przetworzone.

Ludzki recenzent nie rozwiąże tego problemu, akceptując końcowe podsumowanie. Musi mieć wystarczające informacje, aby odtworzyć pracę, zakwestionować wynik i zidentyfikować pominięte lub błędnie odczytane warunki.

Wymóg ten staje się trudniejszy, gdy dostawca AI traktuje szczegóły modelu jako informacje zastrzeżone. Firma audytorska może nie mieć bezpośredniego dostępu do danych treningowych, dzienników systemowych, metod oceny ani historii wersji.

Zależność od stron trzecich nie jest nowa w audycie. Firmy już polegają na dostawcach oprogramowania, infrastrukturze chmurowej, specjalistach ds. wyceny i organizacjach usługowych. AI może jednak rozdzielać odpowiedzialność między większą liczbę warstw, jednocześnie utrudniając kontrolę nad kluczowymi osądami.

Dryf modelu stanowi kolejne utrudnienie. Dryf modelu oznacza, że zachowanie systemu zmienia się wraz ze zmianami jego danych, konfiguracji lub otaczającego środowiska. Walidacja przeprowadzona przy wdrożeniu może nie uzasadniać polegania na systemie kilka miesięcy później.

Zlecenie audytowe wymaga zatem kontroli zmian. Zespoły muszą wiedzieć, która wersja modelu działała, jakie ustawienia obowiązywały, kto zatwierdził zmiany oraz czy aktualizacje uruchomiły ponowne testy.

Manipulacja oparta na promptach tworzy kolejną drogę do błędu. Ukryty tekst w dokumencie może wpływać na instrukcje systemu AI. Narzędzie do przeglądu umów mogłoby priorytetyzować osadzone polecenia zamiast procedury zamierzonej przez audytora.

Komitet Organizacji Sponsorujących Komisji Treadwaya odniósł się do tych obaw w publikacji z 2026 r. dotyczącej kontroli GenAI. COSO połączyło zarządzanie generatywną AI z ustanowionymi ramami kontroli wewnętrznej.

Wytyczne podkreślają ryzyka związane z ekspozycją cybernetyczną, nieprzejrzystym rozumowaniem, dryfem modelu, manipulacją promptami i częstymi zmianami konfiguracji. Są to problemy kontrolne, ponieważ mogą wpływać na działalność operacyjną, raportowanie i zgodność z wymogami.

Praca COSO pomaga menedżerom spółek projektować kontrole wewnętrzne. Nie zastępuje jednak wymogów PCAOB wobec audytorów. Audytorzy nadal potrzebują kryteriów do oceny tych kontroli i ustalania, jak ich niesprawność wpływa na procedury audytowe.

Nadzór człowieka pozostaje najbardziej widoczną kwestią. „Human in the loop” opisuje proces, w którym człowiek przegląda lub kontroluje pracę zautomatyzowanego systemu. To określenie brzmi uspokajająco, lecz jego praktyczne znaczenie bardzo się różni.

Recenzent, który jedynie zatwierdza wniosek wygenerowany przez AI, zapewnia niewielką ochronę. Skuteczny przegląd wymaga kompetencji, czasu, dowodów i uprawnień do zakwestionowania systemu.

PCAOB musi zatem odróżnić nominalny przegląd od merytorycznego nadzoru. Musi też wyjaśnić, które decyzje muszą pozostać w rękach wykwalifikowanych specjalistów.

Zawodowy osąd nie może stać się ceremonialnym zatwierdzeniem na końcu zautomatyzowanego przepływu pracy. Partner odpowiedzialny za zlecenie nadal odpowiada za opinię audytową, niezależnie od tego, jak dużą część analizy wykonuje model.

Standardy dokumentacji przechodzą powiązany test wytrzymałościowy. Akta audytowe zwykle pokazują wykonane procedury, uzyskane dowody, osiągnięte wnioski i ukończony przegląd. Praca wspierana przez AI może także wymagać promptów, instrukcji systemowych, historii wyników, rezultatów walidacji i obsługi wyjątków.

Bez tych zapisów zespół inspekcyjny może nie być w stanie ustalić, co się wydarzyło. Sama firma audytorska może mieć trudności z odtworzeniem procedury po aktualizacji modelu.

Jasne standardy PCAOB dotyczące AI mogłyby ustanowić wspólny minimalny poziom dokumentacji. Mogłyby również zapobiec przyjmowaniu przez firmy niezgodnych podejść, które uzależniają jakość audytu od preferowanych przez każdego dostawcę mechanizmów kontroli.

Zasady kontra nakazowe standardy PCAOB dotyczące AI

Główny spór nie dotyczy innowacji kontra regulacji. Chodzi o elastyczne zasady kontra minimalne wymogi dla nieprzejrzystych, zmieniających się narzędzi.

Zwolennicy podejścia opartego na zasadach mają wiarygodny argument. Technologia AI zmienia się zbyt szybko, by tworzyć standardy oparte na konkretnych modelach, architekturach lub cechach produktów.

Szczegółowa reguła może stać się przestarzała, zanim firmy zakończą jej wdrażanie. Może też zniechęcać do użytecznych narzędzi, zmuszając każde zastosowanie do ram zaprojektowanych wokół wcześniejszej technologii.

Istniejące standardy PCAOB już przypisują odpowiedzialność audytorom. Wymagają odpowiednich dowodów, zawodowego sceptycyzmu, nadzoru, dokumentacji i zarządzania jakością. Obowiązki te nie znikają, gdy komputer wykonuje część procedury.

Podejście to może uwzględniać nowe narzędzia bez ponownego otwierania zbioru zasad po każdej premierze produktu. Pozwala też utrzymać koncentrację regulacyjną na jakości audytu, a nie na technologicznej modzie.

Międzynarodowi twórcy standardów podążają częściowo tą drogą. W sierpniu 2026 r. International Auditing and Assurance Standards Board zaproponowała zmiany w trzech podstawowych standardach.

Proponowane zmiany dotyczące dowodów badania obejmują reakcje na ryzyko, dowody badania oraz procedury analityczne. Kładą nacisk na informacje cyfrowe, wiarygodność dowodów, zawodowy sceptycyzm i pracę wspomaganą technologią.

Propozycje nadal opierają się na zasadach. Ich celem jest usprawnienie realizacji istniejących celów w sytuacji, gdy przedsiębiorstwa i audytorzy korzystają z zaawansowanych technologii. Uwagi można zgłaszać do 15 grudnia 2026 r.

Ten międzynarodowy proces stanowi dla PCAOB użyteczny punkt odniesienia. Tworzy też presję. Jeśli globalne wymogi staną się bardziej precyzyjne, podczas gdy Stany Zjednoczone będą polegać głównie na szerokich zasadach, międzynarodowe firmy mogą mierzyć się z nierównymi oczekiwaniami.

Argument za nakazowymi minimalnymi wymogami zaczyna się od spójności. Dwie firmy audytorskie mogą odmiennie interpretować „odpowiednią kontrolę człowieka”, zwłaszcza gdy ich systemy AI mają różną konstrukcję.

Jedna firma może wymagać niezależnego testowania na podstawie znanych wyników. Inna może uznać dokumentację dostawcy i przegląd dokonany przez menedżera za wystarczające. Obie mogłyby twierdzić, że spełniają tę samą ogólną zasadę.

Minimalne wymogi mogłyby zawęzić ten zakres. Mogłyby obejmować zatwierdzanie modeli, okresową walidację, kontrolę danych, ograniczenia dostępu, zarządzanie zmianami, przechowywanie dokumentacji oraz eskalowanie niewiarygodnych wyników.

Mogłyby również określać, kiedy wynik AI nie może służyć jako dowód bez potwierdzenia z innych źródeł. Taka granica pomogłaby audytorom przeciwstawiać się presji, by zamieniać wzrost produktywności w nieuzasadnione poleganie na systemie.

Szczegółowy standard stwarza jednak własne zagrożenie. Firmy mogą traktować listę kontrolną jako dowód, że system jest bezpieczny. Ryzyko AI zależy od kontekstu, więc zgodność z technicznymi krokami nie może zastąpić zawodowego sceptycyzmu.

Model używany do formatowania notatki nie wymaga takich samych kontroli jak model wybierający zapisy księgowe do testowania. Standardy muszą zachować to rozróżnienie oparte na ryzyku.

Najsilniejsze podejście łączy zasady z egzekwowalnymi podstawowymi wymogami. Zasady określają odpowiedzialność niezależnie od technologii. Podstawowe wymogi dotyczą przewidywalnych punktów awarii, których firmy nie powinny móc interpretować na własną korzyść.

Na przykład standard nie musi wskazywać konkretnego modelu. Może jednak wymagać od firm identyfikacji modelu i jego wersji, walidacji zamierzonego zastosowania, zachowania odpowiednich zapisów interakcji oraz monitorowania zmian.

Może wymagać od zespołów audytowych testowania wyników względem niezależnych dowodów. Może również zakazywać bezrefleksyjnego polegania na podsumowaniach, których zespół nie jest w stanie odtworzyć ani wyjaśnić.

Taka struktura wspierałaby innowacje, nie czyniąc dostawców faktycznymi twórcami standardów. Firmy audytorskie mogłyby wybierać własne narzędzia, ale musiałyby sprostać spójnym obowiązkom wykazania, że narzędzia te nadają się do zamierzonego celu.

To rozróżnienie ma również znaczenie dla mniejszych firm. Duże sieci mogą budować wewnętrzne zespoły oceny, negocjować dostęp z dostawcami i utrzymywać własne platformy. Mniejsze firmy mogą w większym stopniu zależeć od produktów komercyjnych.

Nieprecyzyjne standardy mogą pogłębiać tę lukę zasobów. Mniejsze firmy mogą nie wiedzieć, jakiej walidacji oczekują regulatorzy, dopóki kontrola nie wykaże nieprawidłowości.

Nadmiernie złożone zasady mogą stworzyć odwrotny problem. Koszty zgodności mogą wykluczyć mniejsze firmy z korzystania z użytecznej technologii i wzmocnić pozycję rynkową największych sieci.

Dlatego niezbędne są skalowalne wymogi. Poziom testowania powinien odzwierciedlać rolę narzędzia, ryzyko istotnego zniekształcenia oraz stopień polegania na jego wynikach.

Czytelnicy Google News mogą spotkać się z tą debatą jako z prostym wezwaniem do zaostrzenia nadzoru. Ważniejszy wybór dotyczy architektury. PCAOB potrzebuje zasad wystarczająco konkretnych, by można je było egzekwować, i wystarczająco elastycznych, by przetrwały kolejny cykl rozwoju modeli.

Korporacyjne wykorzystanie AI stawia audytorów po obu stronach modelu

AI zmienia audyt dwukrotnie: najpierw przez przekształcanie systemów sprawozdawczości korporacyjnej, a następnie przez zmianę sposobu, w jaki audytorzy testują te systemy.

Spółki publiczne już wykorzystują AI poza księgowością. Stosują ją w obsłudze klienta, tworzeniu oprogramowania, marketingu, zakupach, prognozowaniu i przetwarzaniu dokumentów.

Niektóre z tych działań ostatecznie wpływają na sprawozdania finansowe. Wspierana przez AI decyzja cenowa może zmienić przychody. Zautomatyzowane planowanie zapasów może wpływać na rezerwy. Generowane prognozy mogą oddziaływać na szacunki wyceny i utraty wartości.

Ryzyko dla sprawozdawczości finansowej nie wymaga, aby system AI bezpośrednio księgował zapisy. Model może kształtować założenia, które kierownictwo później wprowadza do konwencjonalnego procesu księgowego.

Audytorzy muszą prześledzić te powiązania. Powinni identyfikować miejsca, w których AI wpływa na istotne konta, szacunki, ujawnienia lub kontrole wewnętrzne nad sprawozdawczością finansową.

Kontrola wewnętrzna nad sprawozdawczością finansową, czyli ICFR, obejmuje procesy zaprojektowane w celu wspierania wiarygodnych sprawozdań finansowych. Aplikacja AI może zmieniać ICFR, gdy tworzy, przekształca, zatwierdza lub monitoruje istotne informacje.

Kierownictwo musi rozumieć tę zmianę, zanim audytorzy będą mogli ją przetestować. Spółka nie może skutecznie zarządzać modelem, jeśli nie posiada wykazu wdrożonych systemów i ich właścicieli.

Podstawowe pytania są konkretne. Jakie dane trafiają do modelu? Kto może zmienić jego konfigurację? Jak są analizowane wyjątki? Jakie dowody pokazują, że wyniki pozostają dokładne?

Spółki potrzebują również procesów obsługi incydentów. Pracownicy muszą wiedzieć, gdzie zgłaszać halucynacje, wycieki danych, nieuprawnione użycie lub nieoczekiwane zachowanie. Istotne incydenty nie mogą pozostawać odizolowane w zespole technicznym.

Komisja Papierów Wartościowych i Giełd już ostrzegała spółki publiczne przed niepopartymi dowodami twierdzeniami dotyczącymi AI. Jej były przewodniczący określił ten problem jako AI washing, czyli sytuację, w której organizacja wyolbrzymia wykorzystanie AI lub jej możliwości.

Ostrzeżenie SEC dotyczące ujawnień na temat AI podkreślało, że spółki publiczne potrzebują racjonalnej podstawy dla istotnych twierdzeń. Inwestorzy potrzebują również specyficznych dla danej spółki informacji o istotnych ryzykach związanych z AI.

Ta kwestia ujawnień łączy się z audytem. Audytorzy oceniają sprawozdania finansowe i pewne powiązane informacje, ale nie poświadczają każdego firmowego oświadczenia dotyczącego AI.

Standardy muszą zachować tę granicę, jednocześnie uwzględniając przypadki, w których twierdzenia o AI wpływają na szacunki finansowe, kontrole lub ujawnienia objęte audytem.

Druga strona modelu należy do firm audytorskich. Firmy postrzegają AI jako sposób na przeszukiwanie większych populacji, podsumowywanie dokumentów, identyfikowanie anomalii i ograniczanie powtarzalnej pracy.

Takie zastosowania mogą poprawić zakres badania. Konwencjonalne próbkowanie może obejmować tylko część populacji transakcji. Analiza wspomagana technologią może przeskanować każdą zarejestrowaną pozycję i skierować uwagę na nietypowe wzorce.

Szerszy zakres nie prowadzi automatycznie do lepszych dowodów. System może konsekwentnie stosować niewłaściwą regułę wobec całej populacji. Może też generować zbyt wiele fałszywych alarmów, aby umożliwić sensowne badanie.

Jakość audytu zależy od tego, co zespoły robią z wynikiem. Muszą rozumieć cel procedury, oceniać wyjątki i łączyć ustalenia z odpowiednimi twierdzeniami dotyczącymi sprawozdania finansowego.

Agenci AI dodatkowo podnoszą stawkę. Agent to oprogramowanie, które potrafi planować i wykonywać wiele kroków w kierunku celu, czasem z użyciem zewnętrznych narzędzi lub danych.

Agent może zażądać dokumentacji, porównać dokumenty, oznaczyć niespójności i przygotować projekt wniosku. Taki przepływ pracy wykracza poza pojedyncze narzędzie analityczne.

Odpowiedzialność może się zacierać, gdy agent decyduje, jakie kroki podjąć. Audytor nadal musi ustalić, czy procedury były odpowiednie i kompletne.

Autonomiczna sekwencja rozszerza również powierzchnię ataku. Nieprawidłowe uprawnienia, zmanipulowane dokumenty lub błędne wywołania narzędzi mogą skażać kilka etapów, zanim człowiek sprawdzi wynik.

National Institute of Standards and Technology oferuje dobrowolne ramy zarządzania ryzykiem AI, służące do mapowania, mierzenia, zarządzania i nadzorowania ryzyk AI. Dają one firmom użyteczne słownictwo dla nadzoru na poziomie systemu.

NIST nie określa jednak, co stanowi wystarczający dowód badania. Model dobrze zarządzany pod względem technicznym może nadal nie nadawać się do konkretnej procedury audytowej.

Standardy PCAOB dotyczące AI muszą połączyć zarządzanie systemem z obowiązkami zawodowymi. Powinny wyjaśniać, że solidne kontrole modeli wspierają, ale nie zastępują, oceny dowodów dokonywanej przez audytora.

Niezależność stanowi kolejną nierozstrzygniętą kwestię. Firmy audytorskie często świadczą usługi związane z technologią, jednocześnie opracowując narzędzia dla swojej praktyki atestacyjnej.

Istniejące zasady niezależności ograniczają relacje i usługi, które naruszają obiektywizm. AI rodzi pytania dotyczące współdzielonych platform, danych szkoleniowych, partnerstw z dostawcami oraz systemów używanych zarówno przez audytora, jak i klienta.

Korzystanie z podobnej technologii nie niszczy automatycznie niezależności. Firmy potrzebują jednak zabezpieczeń przed audytowaniem założeń lub konfiguracji, które same pomogły stworzyć.

PCAOB powinien zbadać te relacje, zanim praktyki rynkowe się utrwalą. Dostosowanie kontroli niezależności po tym, jak firmy zbudują wzajemnie powiązane platformy, będzie trudniejsze.

Czego wytyczne dotyczące audytu AI wciąż nie mogą zagwarantować

Żaden standard nie jest w stanie wyeliminować halucynacji, nieprzejrzystości ani uprzedzeń automatyzacji, dlatego kluczowe pytanie brzmi, czy zasady sprawiają, że awarie są widoczne i możliwe do opanowania.

Zwolennicy szybkiego ustanawiania standardów nie powinni przeceniać tego, co może osiągnąć nowa zasada. Regulacja nie może zagwarantować, że system AI będzie zachowywał się konsekwentnie w każdej sytuacji.

Nie może też uczynić każdego modelu w pełni wyjaśnialnym. Niektóre systemy pozostają trudne do interpretacji, nawet gdy twórcy dostarczają rozbudowaną dokumentację techniczną.

Wymóg wyjaśnialności może stać się bez znaczenia, jeśli standard nie określa decyzji, która musi zostać wyjaśniona. Audytorzy rzadko potrzebują pełnego opisu każdego parametru modelu.

Potrzebują natomiast wystarczających informacji, aby zrozumieć, dlaczego system nadaje się do danej procedury. Potrzebują również dowodów, że jego wyniki pozostają wiarygodne w odpowiednich warunkach.

Uprzedzenie automatyzacji tworzy odrębny problem ludzki. Ludzie mają tendencję do przypisywania nadmiernej wagi rekomendacjom generowanym komputerowo, zwłaszcza gdy systemy sprawiają wrażenie pewnych siebie lub zaawansowanych.

Obowiązkowy przegląd nie eliminuje tego uprzedzenia. Osoby dokonujące przeglądu mogą szukać potwierdzenia, zamiast próbować podważyć odpowiedź wygenerowaną przez AI.

Firmy muszą zatem wbudować zakwestionowanie wyników w przepływ pracy. Osoba dokonująca przeglądu może porównać wynik z niezależnymi dowodami, stosować celowo trudne przypadki testowe lub badać sprzeczne rezultaty.

Znaczenie ma również szkolenie. Księgowi nie muszą stawać się inżynierami modeli, ale muszą rozumieć ograniczenia istotne dla przydzielonej im pracy.

To samo dotyczy partnerów odpowiedzialnych za zlecenie. Nie mogą przekazać całego technicznego zrozumienia specjalistom, zachowując jedynie formalną odpowiedzialność za opinię z audytu.

Standardy powinny określać oczekiwania dotyczące kompetencji, nie zakładając, że jeden program szkoleniowy pasuje do każdego narzędzia. Wymagana wiedza powinna odzwierciedlać rolę i ryzyko systemu.

Koncentracja dostawców stanowi kolejną niepewność. Kilka firm może polegać na tym samym dostawcy chmury lub modelu bazowym. Wspólna wada mogłaby wpłynąć jednocześnie na wiele zleceń.

Tradycyjne kontrole na poziomie zlecenia mogą nie wychwycić tej systemowej ekspozycji. PCAOB może potrzebować mechanizmów wymiany informacji, które pozwolą mu identyfikować wzorce między firmami bez ujawniania poufnych danych klientów.

Metody kontroli również będą musiały się zmienić. Inspektorzy muszą oceniać zarówno zarządzanie narzędziami, jak i realizację poszczególnych zleceń. Jedno nie może zastąpić drugiego.

Firma może utrzymywać doskonały centralny proces zatwierdzania, podczas gdy zespół realizujący zlecenie używa narzędzia nieprawidłowo. Inne narzędzie może dobrze nadawać się do jednej procedury, lecz być niewiarygodne w innym zastosowaniu.

Regulatorzy potrzebują wiedzy technicznej, aby dokonywać tych rozróżnień. Nie powinni całkowicie polegać na firmach ani dostawcach, których nadzorują, w kwestii wyjaśnień dotyczących zachowania modeli.

Standardy mogą również tworzyć fałszywe poczucie bezpieczeństwa wśród rad nadzorczych spółek. Czysta opinia z badania nie oznacza, że każdy system AI w firmie jest bezpieczny, sprawiedliwy, chroniony ani zgodny z prawem.

Badanie sprawozdań finansowych dotyczy określonych celów sprawozdawczych. Szersze zarządzanie AI obejmuje prywatność, dyskryminację, własność intelektualną, cyberbezpieczeństwo, ochronę konsumentów i odporność operacyjną.

Czytelnicy nie powinni sprowadzać tych obszarów do jednej etykiety. „Audyt AI” może oznaczać badanie finansowe wykorzystujące AI, audyt zarządzania AI lub ocenę produktu AI.

Opinia Bloomberg Tax dotyczyła pierwszej kategorii oraz konsekwencji korporacyjnego AI dla sprawozdawczości finansowej. Nie ustanowiła kompleksowego systemu zapewnienia dla każdego algorytmu.

To ograniczenie wzmacnia argument za precyzyjną terminologią. Organy regulacyjne powinny wskazywać cel, przedmiot, kryteria, dowody i podmiot odpowiedzialny za każdym razem, gdy opisują zapewnienie dotyczące AI.

Podstawowe sceptyczne pytanie nadal dotyczy wdrożenia. Nawet rozsądne standardy zawiodą, jeśli firmy będą dokumentować zgodność bez zmiany sposobu, w jaki zespoły weryfikują i kwestionują wyniki AI.

Ustalenia z inspekcji dostarczą najjaśniejszych dowodów. Powtarzające się uchybienia związane z brakującymi logami, słabą walidacją lub powierzchownym przeglądem pokażą, że same zasady są niewystarczające.

Z kolei dowody kontrolowanego wdrażania i rzetelnej pracy audytowej przemawiałyby za bardziej elastycznym podejściem. PCAOB powinien pozostać gotowy do dostosowywania wymogów wraz z rozwojem tych dowodów.

Trzy sygnały, które warto obserwować po cyklu informacyjnym Google News

Kolejną fazę określą agenda PCAOB, międzynarodowe propozycje dotyczące audytu oraz dowody z inspekcji.

Pierwszym sygnałem będzie odpowiedź PCAOB na proces konsultacji z 2026 roku. Rada musi zdecydować, czy AI stanie się projektem badawczym, inicjatywą wytycznych dla pracowników czy formalnym punktem prac nad standardami.

Formalny projekt wzmocniłby argument, że istniejące wymogi wymagają jaśniejszego zastosowania. Wytyczne dla pracowników wskazywałyby, że rada obecnie postrzega interpretację jako szybsze rozwiązanie.

Klasyfikacja wyłącznie jako projekt badawczy zachowałaby elastyczność, ale pozostawiłaby firmom większą swobodę. Czytelnicy powinni analizować zakres projektu, a nie tylko jego nazwę.

Najbardziej użyteczny zakres obejmowałby zarówno AI wykorzystywane przez audytorów, jak i AI osadzone w korporacyjnej sprawozdawczości finansowej. Powinien również uwzględniać dokumentację, walidację, nadzór, niezależność i kontrolę dostawców.

Drugim sygnałem będzie wynik międzynarodowych konsultacji dotyczących dowodów audytowych. Proponowane przez IAASB zmiany oferują model oparty na zasadach dla pracy wspomaganej technologią.

Silne poparcie interesariuszy pokazałoby, że audytorzy i inwestorzy postrzegają zmodernizowane zasady dotyczące dowodów jako praktyczną podstawę. Żądania bardziej szczegółowych wymogów dotyczących AI ujawniłyby ograniczenia tego podejścia.

PCAOB nie musi kopiować standardów międzynarodowych. Niewyjaśnione rozbieżności mogłyby jednak skomplikować globalne audyty i stworzyć niespójne oczekiwania wobec tej samej technologii.

Trzeci sygnał pochodzić będzie z inspekcji i działań egzekucyjnych. Organy regulacyjne potrzebują rzeczywistych dowodów na to, czy AI przyczynia się do uchybień audytowych, czy pomaga zespołom identyfikować istotne problemy.

Odpowiednie wskaźniki obejmują nieudaną walidację, brakującą dokumentację, słaby nadzór, niewłaściwe poleganie na wynikach oraz nieujawnione konflikty. Organy regulacyjne powinny również śledzić przypadki, w których AI poprawia testowanie całych populacji lub wykrywanie oszustw.

Te wyważone dowody mają znaczenie. Przepisy powinny odpowiadać na wykazane ryzyka, nie zakładając, że każda procedura wspomagana przez AI obniża jakość.

Firmy nie powinny czekać na ostateczny standard. Liderzy finansowi mogą już teraz sporządzić wykaz istotnych zastosowań AI, określić odpowiedzialność, zachowywać historię zmian i testować odpowiednie kontrole.

Komitety audytu mogą pytać kierownictwo, gdzie AI wpływa na szacunki, uzgodnienia, ujawnienia i monitorowanie kontroli. Mogą również pytać zewnętrznych audytorów, w jaki sposób zarządzane są ich własne narzędzia.

Firmy audytorskie powinny dokumentować zamierzone zastosowania, ograniczenia, wyniki walidacji, kontrole dostępu i wymagany przegląd przez człowieka. Powinny zachowywać wystarczające informacje, aby odtworzyć istotne procedury wspomagane przez AI.

Pracownicy wiedzy wspierający te przeglądy potrzebują wiarygodnych zapisów. Dobrze utrzymana baza wiedzy AI może porządkować zasady, oceny, incydenty, zatwierdzenia i zmiany modeli, nie zastępując formalnej dokumentacji audytowej.

Kluczowe pytanie po wygaśnięciu uwagi Google News nie brzmi, czy PCAOB będzie „regulować AI” w abstrakcyjnym sensie. Chodzi o to, czy rada ustanowi weryfikowalną odpowiedzialność, zanim zautomatyzowana praca zostanie osadzona w dowodach audytowych.

Obserwuj agendę, międzynarodowe konsultacje i wyniki inspekcji. Łącznie te sygnały pokażą, czy elastyczne zasady pozostają wystarczające, czy też egzekwowalne standardy PCAOB dotyczące AI staną się nieuniknione.