PCAOB sofre pressão para estabelecer padrões de auditoria de IA corporativa

O Public Company Accounting Oversight Board chegou a um ponto de decisão inédito em relação à IA, apesar de anos de monitoramento cauteloso. A manchete imediata do Google News apresenta a questão como uma demanda por padrões corporativos de IA. A verdadeira pergunta é mais restrita, mais difícil e mais consequente. Os auditores podem confiar na IA sem enfraquecer as evidências que sustentam suas opiniões?

Essa questão agora está na agenda de definição de normas do PCAOB. O conselho perguntou às partes interessadas se a inovação tecnológica, incluindo a inteligência artificial, justifica pesquisa, orientação ou novos requisitos. Seu período de consulta pública foi encerrado em 7 de agosto de 2026.

O momento cria um conflito claro. As firmas de auditoria querem flexibilidade suficiente para aprimorar testes, análises e documentação. Os investidores precisam de regras consistentes para ferramentas que podem produzir respostas confiantes sem demonstrar raciocínio confiável. Os princípios de auditoria existentes continuam válidos, mas não resolvem todos os problemas específicos da IA.

Não se trata simplesmente de mais um debate político levado à tona pelo Google News. É um teste de se a supervisão financeira consegue acompanhar sistemas que mudam entre ciclos de auditoria. O PCAOB precisa decidir quanto julgamento humano, documentação, validação e supervisão uma auditoria assistida por IA exige.

O que o PCAOB realmente colocou em discussão

O PCAOB não adotou padrões corporativos de IA, mas abriu formalmente a porta para a definição de normas voltadas à IA.

Em 23 de junho de 2026, o PCAOB emitiu seu primeiro pedido de comentários públicos abrangendo tanto suas agendas de definição de normas quanto de pesquisa. O pedido também buscou opiniões sobre o processo mais amplo de definição de normas do conselho.

O conselho afirmou que sua agenda precisa evoluir com o ambiente de auditoria e relatórios financeiros. Sua atual agenda de auditoria identifica a inovação tecnológica, incluindo a IA, como um fator que pode afetar a qualidade da auditoria.

Essa linguagem é importante. Ela coloca a IA dentro da missão de proteção aos investidores do PCAOB, em vez de tratar a tecnologia como uma escolha interna de produtividade para firmas de contabilidade.

O PCAOB supervisiona firmas registradas que auditam empresas públicas e corretoras e distribuidoras registradas na SEC. Ele não atua como regulador geral de todas as aplicações corporativas de IA. Quaisquer normas que adote se concentrariam no trabalho de auditoria, nos relatórios financeiros, na conduta profissional e nos controles de qualidade relacionados.

Ainda assim, esse alcance se estende às empresas públicas. Os auditores precisam entender os sistemas que produzem informações financeiras e avaliar os controles internos relevantes. Quando a administração usa IA dentro desses sistemas, a tecnologia pode afetar a auditoria mesmo que o auditor nunca implemente um modelo de IA.

Uma ferramenta de IA pode classificar despesas, estimar provisões, identificar transações incomuns ou preparar conciliações. Ela também pode apoiar previsões usadas em testes de impairment. Cada uso levanta questões sobre qualidade dos dados, controles de acesso, mudanças de modelo, revisão humana e reprodutibilidade.

O auditor então enfrenta duas tarefas distintas. A primeira é avaliar as informações da administração apoiadas por IA. A segunda é controlar qualquer ferramenta habilitada por IA usada pela própria equipe de auditoria.

Essas tarefas podem se cruzar. Um auditor pode usar análises automatizadas para testar a saída de um processo contábil automatizado de uma empresa. Se ambos os sistemas dependem de dados relacionados ou de modelos semelhantes, a aparente corroboração pode oferecer menos independência do que o esperado.

A ação do PCAOB não significa que as normas existentes tenham deixado subitamente de funcionar. Os requisitos relativos a evidências de auditoria, ceticismo profissional, supervisão, documentação, independência e controle de qualidade continuam aplicáveis.

A disputa diz respeito a se esses princípios fornecem clareza operacional suficiente. Uma regra que exige “evidência de auditoria apropriada e suficiente” estabelece o objetivo. Ela não explica automaticamente como os auditores devem validar um modelo em mudança, preservar prompts ou investigar resultados inconsistentes.

Essa distinção se perde em uma manchete condensada do Google News. O PCAOB não está decidindo se as empresas devem ter permissão para usar IA. Está decidindo se as obrigações de auditoria precisam de limites específicos para IA mais claros antes que a confiança se torne rotineira.

Essa decisão segue vários anos de pesquisa. Em julho de 2024, a equipe do PCAOB publicou observações de contatos com grandes firmas de auditoria e empresas públicas. As firmas contatadas auditavam coletivamente a maior parte da capitalização de mercado dos emissores, segundo o conselho.

O levantamento sobre GenAI identificou uso limitado, porém em rápida evolução. As firmas em geral empregavam IA generativa para trabalho administrativo e voltado à pesquisa, e não para testes centrais de auditoria.

Os preparadores de empresas públicas também exploravam usos em suas operações. Seus planos de adoção muitas vezes avançavam mais rapidamente do que o uso de IA generativa em relatórios financeiros.

Essa diferença deu aos reguladores tempo para estudar a questão. Não eliminou a necessidade de agir. As capacidades de IA e as implementações empresariais se expandiram desde que o levantamento ocorreu, enquanto as normas de auditoria ainda dependem fortemente de princípios neutros em relação à tecnologia.

O PCAOB agora precisa escolher entre pesquisa, orientação da equipe, alterações nas normas existentes ou requisitos específicos. O pedido de junho não predeterminou a resposta. Ele tornou a escolha parte do processo formal de agenda do conselho.

Por que as regras de auditoria existentes enfrentam um teste de estresse com IA

A pressão central decorre da produção variável da IA, de sua transparência limitada e da dependência de controles fora da equipe do trabalho.

O software tradicional de auditoria também pode falhar. Uma planilha mal configurada, um programa de amostragem ou um script de análise de dados pode produzir resultados incorretos. As normas de auditoria já exigem que as firmas avaliem se suas ferramentas funcionam conforme o previsto.

A IA generativa introduz uma combinação diferente de riscos. O mesmo prompt pode produzir respostas diferentes. Os provedores de modelos podem atualizar sistemas sem expor todas as mudanças técnicas. Os resultados podem soar autoritativos enquanto contêm fatos inventados ou conclusões sem respaldo.

Essas características complicam as evidências de auditoria. A evidência precisa ser relevante e confiável para o fim pretendido. Um resumo atraente não é confiável apenas porque é bem escrito ou concorda com a posição da administração.

Um auditor que usa IA para revisar contratos precisa saber se o sistema examinou todas as cláusulas relevantes. A equipe também deve determinar se os documentos-fonte estavam completos e foram processados corretamente.

Um revisor humano não pode resolver esse problema aceitando o resumo final. O revisor precisa de informações suficientes para reconstruir o trabalho, questionar o resultado e identificar termos omitidos ou interpretados incorretamente.

Esse requisito se torna mais difícil quando um fornecedor de IA trata os detalhes do modelo como proprietários. A firma de auditoria pode não ter acesso direto aos dados de treinamento, logs do sistema, métodos de avaliação ou históricos de versões.

A dependência de terceiros não é nova na auditoria. As firmas já dependem de fornecedores de software, infraestrutura em nuvem, especialistas em avaliação e organizações de serviços. Ainda assim, a IA pode distribuir responsabilidades entre mais camadas, mantendo julgamentos importantes difíceis de inspecionar.

A deriva de modelo acrescenta outra complicação. Deriva de modelo significa que o comportamento de um sistema muda à medida que seus dados, sua configuração ou o ambiente ao redor se alteram. Uma validação realizada na implantação pode não sustentar a confiança meses depois.

Portanto, um trabalho de auditoria precisa de controles de mudança. As equipes devem saber qual versão do modelo operou, quais configurações se aplicaram, quem aprovou as mudanças e se as atualizações acionaram novos testes.

A manipulação baseada em prompts cria outra rota para erros. Texto oculto dentro de um documento pode influenciar as instruções de um sistema de IA. Uma ferramenta de revisão de contratos poderia priorizar orientações incorporadas em vez do procedimento pretendido pelo auditor.

O Committee of Sponsoring Organizations of the Treadway Commission abordou essas preocupações em sua publicação de 2026 sobre controles de GenAI. O COSO conectou a governança de IA generativa ao seu estabelecido framework de controle interno.

A orientação destaca riscos envolvendo exposição cibernética, raciocínio opaco, deriva de modelo, manipulação de prompts e mudanças frequentes de configuração. Esses são problemas de controle porque podem afetar operações, relatórios e conformidade.

O trabalho do COSO ajuda gestores corporativos a projetar controles internos. Ele não substitui os requisitos do PCAOB para auditores. Os auditores ainda precisam de critérios para avaliar esses controles e determinar como falhas afetam os procedimentos de auditoria.

A supervisão humana continua sendo a questão mais visível. “Humano no circuito” descreve um processo em que uma pessoa revisa ou controla o trabalho de um sistema automatizado. A expressão parece tranquilizadora, mas seu significado prático varia amplamente.

Um revisor que apenas aprova uma conclusão gerada por IA oferece pouca proteção. Uma revisão eficaz exige competência, tempo, evidências e autoridade para questionar o sistema.

Portanto, o PCAOB precisa distinguir a revisão nominal da supervisão substantiva. Também precisa esclarecer quais decisões devem permanecer com profissionais qualificados.

O julgamento profissional não pode se tornar uma aprovação cerimonial ao fim de um fluxo de trabalho automatizado. O sócio responsável pelo trabalho continua responsável pela opinião de auditoria, independentemente de quanta análise um modelo execute.

As normas de documentação enfrentam um teste de estresse relacionado. Os arquivos de auditoria normalmente mostram os procedimentos realizados, as evidências obtidas, as conclusões alcançadas e a revisão concluída. O trabalho assistido por IA também pode exigir prompts, instruções do sistema, históricos de resultados, resultados de validação e tratamento de exceções.

Sem esses registros, uma equipe de inspeção talvez não consiga determinar o que ocorreu. A própria firma de auditoria pode ter dificuldade para reproduzir o procedimento após uma atualização do modelo.

Padrões claros de IA do PCAOB poderiam estabelecer uma base comum de documentação. Também poderiam impedir que as firmas adotassem abordagens incompatíveis que tornam a qualidade da auditoria dependente dos controles preferidos de cada fornecedor.

Princípios versus padrões prescritivos de IA do PCAOB

A principal disputa não é inovação versus regulação. É princípios flexíveis versus requisitos mínimos para ferramentas opacas e em constante mudança.

Os defensores de uma abordagem baseada em princípios têm um argumento plausível. A tecnologia de IA muda rápido demais para normas construídas em torno de modelos, arquiteturas ou recursos específicos de produtos.

Uma regra detalhada pode se tornar obsoleta antes que as firmas concluam sua implementação. Ela também pode desencorajar ferramentas úteis ao forçar cada aplicação a se encaixar em um framework projetado para tecnologias anteriores.

As normas existentes do PCAOB já atribuem responsabilidade aos auditores. Elas exigem evidências apropriadas, ceticismo profissional, supervisão, documentação e gestão da qualidade. Essas obrigações não desaparecem quando um computador executa parte do procedimento.

Essa abordagem pode acomodar novas ferramentas sem reabrir o conjunto de regras após cada lançamento de produto. Ela também mantém o foco regulatório na qualidade da auditoria, e não em modismos tecnológicos.

Órgãos internacionais de definição de normas estão seguindo parte desse caminho. Em agosto de 2026, o International Auditing and Assurance Standards Board propôs revisões em três normas fundamentais.

As propostas de revisões sobre evidência de auditoria abrangem respostas a riscos, evidência de auditoria e procedimentos analíticos. Elas enfatizam informações digitais, confiabilidade das evidências, ceticismo profissional e trabalho assistido por tecnologia.

As propostas continuam baseadas em princípios. Seu objetivo é fazer com que os objetivos existentes funcionem melhor quando empresas e auditores utilizam tecnologia avançada. Os comentários devem ser enviados até 15 de dezembro de 2026.

Esse processo internacional oferece ao PCAOB uma referência útil. Também cria pressão. Se os requisitos globais se tornarem mais claros enquanto os Estados Unidos dependerem principalmente de princípios amplos, empresas multinacionais poderão enfrentar expectativas desiguais.

O argumento em favor de requisitos mínimos prescritivos começa pela consistência. Duas firmas de auditoria podem interpretar “revisão humana apropriada” de maneiras diferentes, especialmente quando seus sistemas de IA têm arquiteturas distintas.

Uma firma pode exigir testes independentes em comparação com resultados conhecidos. Outra pode aceitar documentação do fornecedor e a revisão de um gestor. Ambas poderiam alegar conformidade com o mesmo princípio geral.

Requisitos mínimos poderiam reduzir essa amplitude. Eles poderiam abranger aprovação de modelos, validação periódica, controles de dados, restrições de acesso, gestão de mudanças, retenção de registros e escalonamento de resultados não confiáveis.

Eles também poderiam definir quando a saída de IA não pode servir como evidência sem corroboração. Esse limite ajudaria os auditores a resistir à pressão de transformar ganhos de produtividade em confiança sem respaldo.

No entanto, uma norma detalhada cria seu próprio risco. As firmas podem tratar uma lista de verificação como prova de que um sistema é seguro. O risco de IA depende do contexto, portanto a conformidade com etapas técnicas não pode substituir o ceticismo profissional.

Um modelo usado para formatar um memorando não exige os mesmos controles que um modelo que seleciona lançamentos contábeis para testes. As normas devem preservar essa distinção baseada em risco.

O caminho mais sólido combina princípios com bases exigíveis. Os princípios estabelecem responsabilidade entre tecnologias. As bases abordam pontos previsíveis de falha que as firmas não deveriam poder interpretar de forma conveniente.

Por exemplo, uma norma não precisa nomear um modelo específico. Ainda assim, pode exigir que as firmas identifiquem o modelo e sua versão, validem o uso pretendido, retenham registros relevantes de interação e monitorem mudanças.

Ela pode exigir que as equipes de auditoria testem os resultados em comparação com evidências independentes. Também pode proibir a confiança cega em resumos que a equipe não consiga reproduzir ou explicar.

Essa estrutura apoiaria a inovação sem transformar fornecedores em definidores de normas de facto. As firmas de auditoria poderiam escolher suas ferramentas, mas enfrentariam obrigações consistentes para provar que elas são adequadas à finalidade.

A distinção também importa para firmas menores. Grandes redes podem montar equipes internas de avaliação, negociar acesso com fornecedores e manter plataformas proprietárias. Firmas menores podem depender mais fortemente de produtos comerciais.

Normas vagas podem ampliar essa lacuna de recursos. Firmas menores podem não saber que validação os reguladores esperam até que uma inspeção identifique uma deficiência.

Regras excessivamente complexas podem criar o problema oposto. Os custos de conformidade podem excluir firmas menores de tecnologias úteis e fortalecer a posição de mercado das maiores redes.

Por isso, requisitos escaláveis são essenciais. O nível de testes deve refletir o papel da ferramenta, o risco de distorção relevante e o grau de confiança depositado em sua saída.

Leitores do Google News podem encontrar o debate como um simples apelo por supervisão mais rigorosa. A escolha mais importante diz respeito à arquitetura. O PCAOB precisa de regras específicas o suficiente para serem aplicadas e flexíveis o suficiente para sobreviver ao próximo ciclo de modelos.

O Uso Corporativo de IA Coloca os Auditores nos Dois Lados do Modelo

A IA transforma a auditoria duas vezes: primeiro ao alterar os sistemas de relatórios corporativos e depois ao mudar a forma como os auditores testam esses sistemas.

Empresas públicas já estão usando IA fora da contabilidade. Elas a aplicam em atendimento ao cliente, desenvolvimento de software, marketing, compras, previsão e processamento de documentos.

Algumas dessas atividades acabam afetando as demonstrações financeiras. Uma decisão de precificação apoiada por IA pode alterar a receita. O planejamento automatizado de estoques pode afetar provisões. Previsões geradas podem influenciar estimativas de avaliação e impairment.

O risco para os relatórios financeiros não exige que um sistema de IA registre lançamentos diretamente. Um modelo pode moldar as premissas que a administração posteriormente insere em um processo contábil convencional.

Os auditores precisam rastrear essas conexões. Eles devem identificar onde a IA afeta contas relevantes, estimativas, divulgações ou controles internos sobre relatórios financeiros.

O controle interno sobre relatórios financeiros, ou ICFR, abrange processos concebidos para apoiar demonstrações financeiras confiáveis. Uma aplicação de IA pode alterar o ICFR quando cria, transforma, aprova ou monitora informações relevantes.

A administração deve compreender essa mudança antes que os auditores possam testá-la. Uma empresa não consegue governar um modelo de forma eficaz se não possuir um inventário dos sistemas implantados e de seus responsáveis.

As perguntas básicas são concretas. Quais dados entram no modelo? Quem pode alterar sua configuração? Como as exceções são revisadas? Que evidência demonstra que a saída continua precisa?

As empresas também precisam de processos para incidentes. Os funcionários devem saber onde reportar alucinações, vazamento de dados, uso não autorizado ou comportamento inesperado. Incidentes relevantes não podem permanecer isolados dentro de uma equipe técnica.

A Securities and Exchange Commission já alertou empresas públicas sobre alegações de IA sem respaldo. Seu ex-presidente descreveu o problema como AI washing, quando uma organização exagera seu uso ou suas capacidades de IA.

O alerta de divulgação sobre IA da SEC enfatizou que empresas públicas precisam de uma base razoável para alegações relevantes. Os investidores também precisam de informações específicas de cada empresa sobre riscos relevantes de IA.

Essa questão de divulgação se cruza com a auditoria. Os auditores avaliam demonstrações financeiras e determinadas informações relacionadas, mas não certificam toda declaração corporativa sobre IA.

As normas devem preservar esse limite ao mesmo tempo em que abordam casos nos quais alegações sobre IA afetam estimativas financeiras, controles ou divulgações abrangidas pela auditoria.

O segundo lado do modelo pertence às firmas de auditoria. Elas veem a IA como uma forma de pesquisar populações maiores, resumir documentos, identificar anomalias e reduzir trabalho repetitivo.

Esses usos podem melhorar a cobertura. A amostragem convencional pode examinar apenas parte de uma população de transações. A análise assistida por tecnologia pode examinar cada item registrado e direcionar a atenção para padrões incomuns.

Maior cobertura não produz automaticamente melhores evidências. Um sistema pode aplicar de forma consistente a regra errada a uma população inteira. Também pode gerar falsos positivos demais para uma investigação significativa.

A qualidade da auditoria depende do que as equipes fazem com o resultado. Elas devem compreender o objetivo do procedimento, avaliar exceções e conectar as constatações às afirmações relevantes das demonstrações financeiras.

Agentes de IA elevam ainda mais as apostas. Um agente é um software capaz de planejar e executar várias etapas em direção a um objetivo, às vezes usando ferramentas ou dados externos.

Um agente pode solicitar registros, comparar documentos, sinalizar inconsistências e preparar uma conclusão preliminar. Esse fluxo de trabalho vai além de uma única ferramenta analítica.

A responsabilidade pode se tornar difusa quando o agente decide quais etapas adotar. O auditor ainda deve determinar se os procedimentos foram apropriados e completos.

Uma sequência autônoma também amplia a superfície de ataque. Permissões incorretas, documentos manipulados ou chamadas de ferramentas defeituosas podem contaminar várias etapas antes que uma pessoa revise o resultado.

O National Institute of Standards and Technology oferece uma estrutura voluntária de risco de IA para mapear, medir, gerenciar e governar riscos de IA. Ela fornece às firmas um vocabulário útil para supervisão em nível de sistema.

No entanto, o NIST não determina o que constitui evidência de auditoria suficiente. Um modelo tecnicamente bem governado ainda pode ser inadequado para um procedimento de auditoria específico.

As normas de IA do PCAOB devem conectar a governança de sistemas às obrigações profissionais. Elas devem esclarecer que controles sólidos sobre modelos apoiam, mas não substituem, a avaliação de evidências pelo auditor.

A independência apresenta outra questão ainda não resolvida. Firmas de auditoria frequentemente prestam serviços relacionados à tecnologia enquanto desenvolvem ferramentas para suas práticas de asseguração.

As regras de independência existentes restringem relações e serviços que comprometem a objetividade. A IA acrescenta questões sobre plataformas compartilhadas, dados de treinamento, parcerias com fornecedores e sistemas utilizados tanto pelo auditor quanto pelo cliente.

O uso de tecnologia semelhante não destrói automaticamente a independência. Ainda assim, as firmas precisam de salvaguardas contra auditar premissas ou configurações que ajudaram a criar.

O PCAOB deveria examinar essas relações antes que as práticas de mercado se consolidem. Adaptar controles de independência depois que as firmas construírem plataformas interconectadas será mais difícil.

O Que a Orientação de Auditoria de IA Ainda Não Pode Garantir

Nenhuma norma pode eliminar alucinações, opacidade ou viés de automação; portanto, o teste é saber se as regras tornam as falhas visíveis e controláveis.

Os defensores de uma rápida definição de normas não devem exagerar o que uma nova regra pode alcançar. A regulamentação não pode garantir que um sistema de IA se comportará de forma consistente em todas as situações.

Ela também não pode tornar todos os modelos plenamente explicáveis. Alguns sistemas continuam difíceis de interpretar mesmo quando os desenvolvedores fornecem ampla documentação técnica.

Uma exigência de explicabilidade pode se tornar sem sentido, a menos que a norma defina qual decisão deve ser explicada. Os auditores raramente precisam de uma explicação completa de cada parâmetro do modelo.

Eles precisam de informações suficientes para entender por que o sistema é adequado a um procedimento. Também precisam de evidências de que sua saída permanece confiável em condições relevantes.

O viés de automação cria um problema humano distinto. As pessoas tendem a atribuir peso excessivo a recomendações geradas por computador, especialmente quando os sistemas parecem confiantes ou sofisticados.

A revisão obrigatória não elimina esse viés. Revisores podem buscar confirmação em vez de tentar refutar uma resposta gerada por IA.

Por isso, as firmas devem incorporar contestação ao fluxo de trabalho. Um revisor pode comparar a saída com evidências independentes, usar casos de teste deliberadamente difíceis ou investigar resultados contraditórios.

O treinamento também importa. Contadores não precisam se tornar engenheiros de modelos, mas devem compreender limitações relevantes para o trabalho que lhes foi atribuído.

O mesmo vale para os sócios responsáveis pelo trabalho. Eles não podem delegar todo o entendimento técnico a especialistas e manter apenas a responsabilidade formal pela opinião de auditoria.

As normas devem estabelecer expectativas de competência sem presumir que um único programa de treinamento serve para todas as ferramentas. O conhecimento exigido deve refletir a função e o risco do sistema.

A concentração de fornecedores apresenta outra incerteza. Várias firmas podem depender do mesmo provedor de nuvem ou modelo fundacional. Um defeito compartilhado poderia afetar muitos trabalhos ao mesmo tempo.

Controles tradicionais no nível do trabalho podem não detectar essa exposição sistêmica. O PCAOB talvez precise de mecanismos de compartilhamento de informações que lhe permitam identificar padrões entre firmas sem expor dados confidenciais de clientes.

Os métodos de inspeção também precisarão mudar. Os inspetores devem avaliar a governança das ferramentas e a execução de trabalhos individuais. Uma não pode substituir a outra.

Uma firma pode manter um excelente processo central de aprovação enquanto uma equipe de trabalho usa a ferramenta incorretamente. Outra ferramenta pode ser adequada para um procedimento, mas não confiável para uma finalidade diferente.

Os reguladores precisam de especialização técnica para fazer essas distinções. Eles não deveriam depender inteiramente das firmas ou dos fornecedores que supervisionam para obter explicações sobre o comportamento dos modelos.

As normas também podem criar uma falsa sensação de conforto para os conselhos corporativos. Uma opinião de auditoria limpa não significa que todos os sistemas de IA dentro de uma empresa sejam seguros, justos, protegidos ou estejam em conformidade legal.

A auditoria financeira aborda objetivos definidos de reporte. Uma governança de IA mais ampla inclui privacidade, discriminação, propriedade intelectual, cibersegurança, proteção do consumidor e resiliência operacional.

Os leitores devem evitar reduzir esses campos a um único rótulo. Uma “auditoria de IA” pode se referir a uma auditoria financeira que utiliza IA, a uma auditoria da governança de IA ou a uma avaliação de um produto de IA.

A opinião da Bloomberg Tax tratava da primeira categoria e das implicações da IA corporativa para os relatórios financeiros. Ela não estabeleceu um regime abrangente de garantia para todos os algoritmos.

Essa limitação reforça a necessidade de terminologia precisa. Os reguladores devem identificar o objetivo, o objeto, os critérios, as evidências e a parte responsável sempre que descreverem a garantia relacionada à IA.

A principal questão cética continua sendo a implementação. Mesmo normas sensatas falharão se as empresas documentarem a conformidade sem mudar a forma como as equipes validam e questionam os resultados da IA.

As conclusões das inspeções fornecerão as evidências mais claras. Deficiências recorrentes envolvendo logs ausentes, validação fraca ou revisão superficial mostrariam que os princípios, por si só, são insuficientes.

Por outro lado, evidências de adoção controlada e de trabalho de auditoria confiável sustentariam uma abordagem mais flexível. O PCAOB deve permanecer disposto a ajustar os requisitos à medida que essas evidências se desenvolvem.

Três Sinais para Observar Após o Ciclo de Notícias do Google News

A próxima fase será definida pela agenda do PCAOB, por propostas internacionais de auditoria e pelas evidências das inspeções.

O primeiro sinal é a resposta do PCAOB ao seu processo de comentários de 2026. O conselho deve decidir se a IA se tornará um projeto de pesquisa, uma iniciativa de orientação da equipe ou um item formal de definição de normas.

Um projeto formal fortaleceria o argumento de que os requisitos existentes precisam de uma aplicação mais clara. A orientação da equipe indicaria que o conselho atualmente vê a interpretação como a solução mais rápida.

Uma designação apenas de pesquisa preservaria a flexibilidade, mas também deixaria as empresas com maior discricionariedade. Os leitores devem examinar o escopo do projeto, não apenas seu rótulo.

O escopo mais útil abordaria tanto a IA utilizada por auditores quanto a IA incorporada aos relatórios financeiros corporativos. Também deveria considerar documentação, validação, supervisão, independência e controles de fornecedores.

O segundo sinal é o resultado da consulta internacional sobre evidências de auditoria. As revisões propostas pelo IAASB oferecem um modelo baseado em princípios para o trabalho assistido por tecnologia.

Um forte apoio das partes interessadas mostraria que auditores e investidores veem regras modernizadas de evidência como uma base viável. Exigências por requisitos de IA mais detalhados revelariam os limites dessa abordagem.

O PCAOB não precisa copiar as normas internacionais. No entanto, divergências sem explicação poderiam complicar auditorias globais e criar expectativas inconsistentes para a mesma tecnologia.

O terceiro sinal virá das inspeções e da fiscalização. Os reguladores precisam de evidências reais sobre se a IA contribui para deficiências de auditoria ou ajuda as equipes a identificar problemas materiais.

Os indicadores relevantes incluem validação malsucedida, documentação ausente, supervisão fraca, confiança inadequada e conflitos não divulgados. Os reguladores também devem acompanhar casos em que a IA melhora os testes de população ou a detecção de fraudes.

Essa evidência equilibrada é importante. As regras devem responder a riscos demonstrados sem presumir que todo procedimento assistido por IA reduz a qualidade.

As empresas não devem esperar pela norma final. Líderes financeiros podem inventariar usos materiais de IA, definir responsabilidades, reter históricos de mudanças e testar controles relevantes agora.

Os comitês de auditoria podem perguntar à administração onde a IA influencia estimativas, reconciliações, divulgações e o monitoramento de controles. Também podem perguntar aos auditores externos como suas próprias ferramentas são governadas.

As firmas de auditoria devem documentar usos pretendidos, limitações, resultados de validação, controles de acesso e a revisão humana exigida. Devem preservar informações suficientes para reconstruir procedimentos materiais assistidos por IA.

Os profissionais do conhecimento que apoiam essas revisões precisam de registros confiáveis. Uma base de conhecimento de IA bem mantida pode organizar políticas, avaliações, incidentes, aprovações e alterações de modelos sem substituir a documentação formal de auditoria.

A questão-chave depois que a atenção do Google News diminuir não é se o PCAOB “regulará a IA” em abstrato. É se o conselho estabelecerá responsabilidade verificável antes que o trabalho automatizado se incorpore às evidências de auditoria.

Acompanhe a agenda, a consulta internacional e o histórico de inspeções. Juntos, esses sinais mostrarão se princípios flexíveis continuam suficientes ou se normas de IA do PCAOB, aplicáveis e fiscalizáveis, se tornarão inevitáveis.