PCAOB 面临制定企业 AI 审计标准的压力
尽管多年来一直保持审慎监测，公众公司会计监督委员会如今在 AI 问题上走到了一个前所未有的决策关口。眼前的 Google 新闻标题将此事概括为对企业 AI 标准的诉求。真正的问题则更为具体、更难回答，也更具影响：审计师能否在不削弱其审计意见所依据证据的前提下依赖 AI？
这一问题现已列入 PCAOB 的准则制定议程。该委员会向利益相关方征询意见：包括人工智能在内的技术创新，是否需要开展研究、发布指引或提出新的要求。其公开征求意见期已于 2026 年 8 月 7 日结束。
这一时点带来了明显冲突。审计事务所希望保有足够灵活性，以改善测试、分析和文档编制工作。投资者则需要一致的规则，用以约束那些能够给出自信结论、却无法展示可靠推理过程的工具。现有审计原则依然适用，但并不能解决所有 AI 特有的问题。
这不只是 Google 新闻所呈现的另一场政策争论。它考验的是，财务监管能否跟上那些会在审计周期之间发生变化的系统。PCAOB 必须决定，AI 辅助审计需要达到何种程度的人类判断、文档记录、验证与监督。
PCAOB 实际提出了什么议题
PCAOB 尚未采纳企业 AI 标准，但已正式为聚焦 AI 的准则制定打开了大门。
2026 年 6 月 23 日，PCAOB 发布了首份同时涵盖其准则制定与研究议程的公开征求意见稿。该请求还征求了有关委员会更广泛准则制定流程的反馈。
委员会表示，其议程必须随审计和财务报告环境的发展而演进。其现行审计议程将包括 AI 在内的技术创新列为可能影响审计质量的因素。
这一表述很重要。它将 AI 纳入 PCAOB 保护投资者的使命，而非将其视为会计师事务所内部提升效率的选择。
PCAOB 负责监管为上市公司以及在 SEC 注册的经纪商和交易商提供审计服务的注册事务所。它并非所有企业 AI 应用的一般监管机构。其可能采纳的任何标准都将聚焦审计工作、财务报告、职业操守及相关质量控制。
不过，这一监管范围仍会延伸至上市公司。审计师必须了解产生财务信息的系统，并评估相关内部控制。当管理层在这些系统中使用 AI 时，即便审计师从未部署 AI 模型，该技术仍可能影响审计。
AI 工具可能对费用进行分类、估计准备金、识别异常交易或编制对账。它也可能支持减值测试中使用的预测。每一种用途都会引发有关数据质量、访问控制、模型变更、人工复核和可复现性的问题。
因此，审计师面临两项不同的任务。第一项是评估管理层依托 AI 生成的信息。第二项是控制审计团队自身所使用的 AI 赋能工具。
这两项任务可能相互交织。审计师或许会使用自动化分析来测试公司自动化会计流程的输出。如果两个系统依赖相关数据或相似模型，看似相互印证的结果可能并不像预期那样独立。
PCAOB 的行动并不意味着现有标准突然失效。有关审计证据、职业怀疑、监督、文档记录、独立性和质量控制的要求仍然适用。
争议在于，这些原则能否提供足够明确的操作指引。要求取得“充分、适当的审计证据”的规则确立了目标，但并不会自动说明审计师应如何验证不断变化的模型、保留提示词，或调查不一致的输出。
这一区别很容易在简化的 Google 新闻标题中被忽略。PCAOB 并非在决定是否允许公司使用 AI，而是在决定：在依赖 AI 成为常态之前，审计义务是否需要更清晰、针对 AI 的边界。
这一决定经历了数年的研究铺垫。2024 年 7 月，PCAOB 工作人员公布了与大型审计事务所和上市公司开展沟通所得的观察结果。委员会表示，受访事务所合计审计了大多数发行人市值。
这项生成式 AI 沟通发现，相关使用仍较有限，但发展迅速。事务所通常将生成式 AI 用于行政和研究导向的工作，而非核心审计测试。
上市公司编制者也在探索将其用于各项运营环节。他们的采用计划通常快于其在财务报告中使用生成式 AI 的步伐。
这一差距为监管机构研究该问题提供了时间，但并未消除采取行动的必要性。自沟通开展以来，AI 能力和企业部署均已扩展，而审计标准仍在很大程度上依赖技术中立的原则。
PCAOB 现在必须在研究、工作人员指引、修订现有标准或制定专门要求之间作出选择。6 月的征求意见并未预先确定答案，而是将这一选择纳入委员会正式的议程流程。
为什么现有审计规则正面临 AI 压力测试
核心压力来自 AI 输出的可变性、有限透明度，以及其对业务团队之外控制措施的依赖。
传统审计软件同样可能出错。配置不当的电子表格、抽样程序或数据分析脚本都可能产生错误结果。审计准则已要求事务所评估其工具是否按预期运行。
生成式 AI 带来了一种不同的风险组合。同一提示词可能产生不同答案。模型提供商可以更新系统，而不披露每一项技术变更。输出可能听起来权威，却包含虚构事实或缺乏支持的结论。
这些特征使审计证据变得更加复杂。证据必须就其预定用途而言具有相关性和可靠性。一份看起来出色的摘要，并不会仅因文字流畅或与管理层立场一致就变得可靠。
使用 AI 审阅合同的审计师必须了解，该系统是否检查了每一项相关条款。团队还必须确定源文件是否完整，以及是否得到了正确处理。
人工复核人员不能仅通过接受最终摘要来解决这一问题。复核人员需要获得足够信息，以重建工作过程、质疑输出，并识别被遗漏或误读的条款。
当 AI 供应商将模型细节视为专有信息时，这项要求会变得更难满足。审计事务所可能无法直接访问训练数据、系统日志、评估方法或版本历史。
第三方依赖并非审计中的新问题。事务所早已依赖软件供应商、云基础设施、估值专家和服务机构。然而，AI 可能在更多层级间分散责任，同时使重要判断难以检查。
模型漂移又带来了新的复杂性。模型漂移是指系统的行为会随着其数据、配置或周边环境的变化而变化。在部署时完成的验证，可能无法支持数月后的依赖。
因此，审计项目需要变更控制。团队必须了解使用了哪个模型版本、采用了哪些设置、由谁批准变更，以及更新是否触发了新的测试。
基于提示词的操纵创造了另一条出错路径。文档中的隐藏文本可能影响 AI 系统的指令。合同审阅工具可能优先遵循嵌入式指令，而非审计师预定的程序。
特雷德韦委员会发起组织委员会在其 2026 年生成式 AI 控制出版物中讨论了这些问题。COSO 将生成式 AI 治理与其既有的内部控制框架联系起来。
该指引强调了涉及网络风险暴露、不透明推理、模型漂移、提示词操纵和频繁配置变更的风险。这些都是控制问题，因为它们可能影响运营、报告和合规。
COSO 的工作有助于企业管理者设计内部控制，但并不能替代 PCAOB 对审计师的要求。审计师仍需要标准来评估这些控制，并确定控制失效将如何影响审计程序。
人工监督仍是最引人注目的问题。“人在回路中”描述的是由人员复核或控制自动化系统工作的流程。这个短语听起来令人安心，但其实际含义差异很大。
只批准 AI 生成结论的复核人员几乎无法提供有效保护。有效复核需要具备质疑系统所需的能力、时间、证据和权限。
因此，PCAOB 需要区分名义上的复核与实质性的监督。它还需要明确哪些决定必须由合格专业人员保留作出。
职业判断不能沦为自动化工作流末端的仪式性批准。无论模型完成多少分析，项目合伙人仍须对审计意见负责。
文档记录标准面临着相关的压力测试。审计档案通常展示所执行的程序、获取的证据、得出的结论和完成的复核。AI 辅助工作可能还需要记录提示词、系统指令、输出历史、验证结果和例外处理。
没有这些记录，检查团队可能无法确定发生了什么。审计事务所自身也可能难以在模型更新后复现该程序。
清晰的 PCAOB AI 标准可以建立统一的最低文档记录门槛。它们也可以防止事务所采用彼此不兼容的方法，避免审计质量取决于每个供应商偏好的控制措施。
原则与规定性 PCAOB AI 标准之争
主要争论并非创新与监管的对立，而是灵活原则与针对不透明、不断变化工具的最低要求之间的取舍。
原则导向方法的支持者提出了可信的论据。AI 技术变化过快，围绕特定模型、架构或产品功能制定的标准可能难以跟上。
详细规则可能在事务所完成实施前就已过时。它还可能通过迫使每种应用都适配围绕早期技术设计的框架，从而阻碍有益工具的使用。
现有 PCAOB 标准已经向审计师分配了责任。它们要求适当证据、职业怀疑、监督、文档记录和质量管理。当计算机执行部分程序时，这些义务并不会消失。
这种方法可以在每次产品发布后无需重新修订规则手册的情况下适应新工具。它也使监管重点保持在审计质量上，而非技术潮流上。
国际准则制定机构正沿着这一路径推进一部分工作。2026 年 8 月，国际审计与鉴证准则理事会提议修订三项基础性准则。
拟议的审计证据修订涵盖风险应对、审计证据和分析程序，重点关注数字信息、证据可靠性、职业怀疑态度以及技术辅助工作。
这些提议仍以原则为基础，旨在让现有目标在企业和审计师使用先进技术时发挥更好作用。征求意见截止日期为 2026 年 12 月 15 日。
这一国际进程为 PCAOB 提供了有益参照，也带来了压力。如果全球要求变得更清晰，而美国主要依赖宽泛原则，跨国事务所可能面临不一致的预期。
制定明确最低要求的理由，首先在于一致性。两家审计事务所对“适当的人类审查”可能有不同解读，尤其当其 AI 系统采用不同设计时。
一家事务所可能要求针对已知结果进行独立测试；另一家则可能接受供应商文档和经理审查。两者都可能声称遵守了同一项一般原则。
最低要求可以缩小这种差异范围，可能涵盖模型审批、定期验证、数据控制、访问限制、变更管理、记录留存，以及对不可靠输出的升级处理。
它们还可以界定何时 AI 输出若无佐证便不得作为证据。这类边界有助于审计师抵御将生产率提升转化为缺乏依据的依赖所带来的压力。
然而，详细的准则也会带来自身风险。事务所可能将核对清单视为系统安全的证明。AI 风险取决于具体情境，因此遵守技术步骤不能替代职业怀疑态度。
用于格式化备忘录的模型，不应与用于筛选待测试会计分录的模型适用相同控制要求。准则必须保留这种基于风险的区分。
最有力的路径是将原则与可执行的基线要求相结合。原则为各类技术确立责任，基线则应对事务所不应自行弱化解释的可预见失效点。
例如，准则无需点名特定模型，但仍可要求事务所识别模型及其版本、验证预定用途、保留相关交互记录，并监控变更。
它还可以要求审计团队利用独立证据测试输出，并禁止盲目依赖团队无法复现或解释的摘要。
这种结构既能支持创新，也不会让供应商成为事实上的准则制定者。审计事务所可以自行选择工具，但必须一致地证明这些工具适合其用途。
这种区分对小型事务所同样重要。大型网络可以组建内部评估团队、协商获得供应商访问权限，并维护专有平台。小型事务所则可能更依赖商业产品。
模糊的准则可能扩大这种资源差距。小型事务所在检查发现缺陷之前，可能并不清楚监管机构期待何种验证。
过于复杂的规则则可能造成相反问题。合规成本可能使小型事务所无法使用有价值的技术，并巩固最大型网络的市场地位。
因此，可扩展的要求至关重要。测试程度应反映工具的角色、重大错报风险，以及对其输出的依赖程度。
Google News 读者或许会将这场辩论视为对更严格监管的简单呼吁。更重要的选择关乎架构。PCAOB 需要制定既足够具体、便于执行，又足够灵活、能够经受下一轮模型周期考验的规则。
企业使用 AI 让审计师站在模型的两端
AI 会以两种方式改变审计：首先改变企业报告系统，随后改变审计师测试这些系统的方式。
上市公司已经在会计以外的领域使用 AI，包括客户服务、软件开发、营销、采购、预测和文档处理。
其中一些活动最终会影响财务报表。AI 辅助的定价决策可能改变收入；自动化库存规划可能影响准备金；生成式预测可能影响估值和减值估计。
财务报告风险并不要求 AI 系统直接记账。模型可以影响管理层随后纳入传统会计流程的假设。
审计师必须追踪这些联系。他们需要识别 AI 在何处影响重大账户、估计、披露，或财务报告内部控制。
财务报告内部控制，即 ICFR，涵盖旨在支持可靠财务报表的流程。当 AI 应用创建、转换、批准或监控相关信息时，便可能改变 ICFR。
管理层必须在审计师测试变更之前理解这种变更。如果企业没有已部署系统及其负责人的清单，就无法有效治理模型。
基本问题都很具体：哪些数据进入模型？谁可以修改其配置？例外情况如何审查？哪些证据表明输出仍然准确？
企业还需要建立事件处理流程。员工必须知道应向何处报告幻觉、数据泄露、未经授权的使用或意外行为。重大事件不能一直孤立在技术团队内部。
美国证券交易委员会已经警告上市公司不要提出缺乏依据的 AI 主张。其前主席将这一问题称为 AI 洗白，即组织夸大其 AI 使用情况或能力。
SEC 的AI 披露警告强调，上市公司必须对重大主张具有合理依据。投资者也需要获得有关重大 AI 风险的公司特定信息。
这一披露问题与审计相交。审计师评估财务报表和某些相关信息，但不会为企业关于 AI 的每一项声明背书。
准则必须保留这一界限，同时处理 AI 主张影响审计涵盖的财务估计、控制或披露的情形。
模型的另一端属于审计事务所。事务所将 AI 视为搜索更大总体、总结文档、识别异常以及减少重复性工作的方式。
这些用途可以提高覆盖范围。传统抽样可能只检查交易总体的一部分；技术辅助分析则可以筛查每一笔已记录项目，并将注意力引向异常模式。
更大的覆盖范围并不会自动产生更好的证据。系统可能在整个总体中一贯地应用错误规则，也可能产生过多不利于有意义调查的误报。
审计质量取决于团队如何处理结果。他们必须理解程序目的、评估例外情况，并将发现与相关财务报表认定联系起来。
AI 智能体进一步提高了风险。智能体是一种能够为实现目标规划并执行多个步骤的软件，有时会使用外部工具或数据。
智能体可能请求记录、比对文档、标记不一致之处，并准备结论草稿。这种工作流程超出了单一分析工具的范畴。
当智能体决定采取哪些步骤时，责任可能变得模糊。审计师仍必须确定相关程序是否适当且完整。
自主执行的序列也扩大了攻击面。错误权限、被篡改的文档或有缺陷的工具调用，可能在人工审查结果前污染多个阶段。
美国国家标准与技术研究院提供了自愿性的AI 风险框架，用于映射、衡量、管理和治理 AI 风险。它为事务所提供了开展系统层面监督的有用术语体系。
然而，NIST 并不决定何为充分的审计证据。技术治理完善的模型，仍可能不适合某项特定审计程序。
PCAOB 的 AI 准则必须将系统治理与职业义务连接起来。它们应明确，健全的模型控制可以支持审计师对证据的评估，但不能替代这种评估。
独立性提出了另一项尚未解决的问题。审计事务所在为鉴证业务开发工具的同时，往往也提供技术相关服务。
现有独立性规则限制会损害客观性的关系和服务。AI 则增加了关于共享平台、训练数据、供应商合作关系，以及审计师和客户共同使用系统的问题。
使用相似技术并不会自动破坏独立性。然而，事务所需要防范审计由其协助创建的假设或配置。
PCAOB 应在市场惯例固化之前审视这些关系。待事务所建立相互连接的平台后再改造独立性控制，将更加困难。
AI 审计指引仍无法保证什么
没有任何准则能消除幻觉、不透明性或自动化偏见，因此关键在于规则是否能让失效变得可见且可控。
支持快速制定准则的人不应夸大新规则能够实现的效果。监管无法保证 AI 系统在每一种情境下都始终表现一致。
它也无法让每个模型都完全可解释。即使开发者提供大量技术文档，一些系统仍然难以解读。
除非准则界定必须解释的决策，否则可解释性要求可能失去意义。审计师很少需要完整说明每一个模型参数。
他们需要足够的信息，以理解系统为何适合某项程序；还需要证据证明其输出在相关条件下仍然可靠。
自动化偏见造成了另一种人类问题。人们往往会对计算机生成的建议赋予过高权重，尤其当系统看似自信或复杂时。
强制审查并不能消除这种偏见。审查者可能会寻找确认，而不是试图证伪 AI 生成的答案。
因此，事务所必须将质疑机制设计进工作流程。审查者可以将输出与独立证据进行比较、使用刻意设置的高难度测试案例，或调查相互矛盾的结果。
培训同样重要。会计师不必成为模型工程师，但必须了解与其所分配工作相关的局限性。
项目合伙人也是如此。他们不能在仅保留审计意见形式责任的同时，将所有技术理解都委托给专家。
准则应在不假定一项培训计划适用于所有工具的前提下，为胜任能力设定预期。所需知识应反映系统的角色和风险。
供应商集中度带来了另一项不确定性。多家事务所可能依赖同一云服务提供商或基础模型。一个共同缺陷可能同时影响许多业务。
传统的业务层面控制可能无法发现这种系统性暴露。PCAOB 或许需要信息共享安排，使其能够在不暴露机密客户数据的情况下识别跨事务所模式。
检查方法也需要改变。检查人员必须同时评估工具治理和具体业务的执行情况，二者不能相互替代。
一家事务所可能维持出色的集中审批流程，但某个业务团队仍可能错误使用工具。另一项工具可能很适合某项程序，却不适合不同用途。
监管机构需要技术专长来作出这些区分。他们不应完全依赖受监管事务所或供应商来解释模型行为。
标准同样可能给企业董事会带来虚假的安心感。一份无保留审计意见并不意味着公司内部的每一个 AI 系统都安全、公平、可靠，或符合法律要求。
财务审计针对的是明确界定的报告目标。更广泛的 AI 治理则涵盖隐私、歧视、知识产权、网络安全、消费者保护和运营韧性。
读者不应将这些领域简单归为一个标签。“AI 审计”可能是指使用 AI 进行的财务审计、对 AI 治理的审计，或对 AI 产品的评估。
Bloomberg Tax 的评论涉及的是第一类，即企业 AI 对财务报告的影响。它并未为每一种算法建立全面的保证机制。
这一局限性进一步说明，使用精确术语至关重要。监管机构在描述 AI 保证时，应明确目标、审计对象、评估标准、证据和责任方。
最核心的质疑仍然在于实施。即使标准设计合理，如果企业只是记录合规情况，却不改变团队验证和质疑 AI 输出的方式，标准也会失效。
检查发现将提供最清晰的证据。若反复出现缺失日志、验证薄弱或审查流于形式等缺陷，将表明仅靠原则并不足够。
反之，若有证据显示采用过程受到控制，且审计工作可靠，则可支持更灵活的做法。PCAOB 应随着相关证据的发展，继续保持调整要求的意愿。
Google News 热度过后值得关注的三大信号
下一阶段将由 PCAOB 的议程、国际审计提案以及检查证据共同定义。
第一个信号是 PCAOB 对其 2026 年征求意见程序的回应。该委员会必须决定，AI 是成为研究项目、工作人员指引计划，还是正式的准则制定事项。
正式项目将强化这样一种观点：现有要求需要更清晰的适用指引。工作人员指引则表明，委员会目前认为解释现有规则是更快的解决办法。
仅被列为研究项目可以保留灵活性，但也会让企业拥有更大的裁量空间。读者应审视项目范围，而不仅是其名称。
最有价值的范围应同时覆盖审计师使用的 AI，以及嵌入企业财务报告流程的 AI。还应考虑文档记录、验证、监督、独立性和供应商控制。
第二个信号是国际审计证据咨询的结果。IAASB 提出的修订方案为技术辅助工作提供了一个以原则为基础的模型。
若利益相关方给予强力支持，将说明审计师和投资者认为现代化的证据规则是可行的基础。若各方要求更详细的 AI 要求，则会暴露这种方法的局限性。
PCAOB 无需照搬国际准则。然而，若缺乏解释地出现差异，可能会增加全球审计的复杂性，并为同一技术创造不一致的预期。
第三个信号将来自检查和执法。监管机构需要真实证据，证明 AI 是否导致审计缺陷，或是否帮助团队识别重大问题。
相关指标包括验证失败、文档缺失、监督薄弱、不当依赖以及未披露的利益冲突。监管机构还应追踪 AI 改善总体测试或欺诈检测的案例。
这种平衡的证据至关重要。规则应回应已经证实的风险，而不应假定每一项 AI 辅助程序都会降低质量。
企业不应等待最终准则出台。财务负责人现在就可以盘点重要的 AI 使用场景、明确责任归属、保留变更历史，并测试相关控制措施。
审计委员会可以询问管理层：AI 在何处影响估计、对账、披露和控制监测；也可以询问外部审计师，他们自身的工具是如何受到治理的。
审计机构应记录预期用途、局限性、验证结果、访问控制和所需的人工审查，并保留足够的信息，以重建重要的 AI 辅助审计程序。
支持这些审查的知识工作者需要可靠的记录。维护良好的 AI 知识库 可以整理政策、评估、事件、审批和模型变更，而不会取代正式的审计文档。
当 Google News 的关注度消退后，关键问题并不是 PCAOB 是否会在抽象层面“监管 AI”。而是该委员会能否在自动化工作嵌入审计证据之前，建立可验证的责任机制。
关注议程、国际咨询和检查记录。这些信号将共同表明，灵活原则是否仍然足够，还是可执行的 PCAOB AI 准则已不可避免。
