Bezpieczne korzystanie z AI w kancelarii biegłego rewidenta – lista kontrolna
Proszę o wskazówki, jak to pogodzić z obowiązkiem zachowania tajemnicy zawodowej, standardami kontroli jakości i wymogami RODO.
Art. 78 ust. 1 uobr zobowiązuje biegłego rewidenta i firmę audytorską do zachowania w tajemnicy wszystkich informacji i dokumentów uzyskanych w toku świadczenia usług atestacyjnych oraz usług pokrewnych. Obowiązek ten jest nieograniczony w czasie. Art. 78 ust. 2 rozszerza go na inne osoby, którym udostępniono informacje objęte tajemnicą – i tu pojawia się pytanie, czy dostawca usług AI, do którego biegły rewident wgrywa plik klienta, jest taką „inną osobą”. W mojej ocenie jak najbardziej – każde wgranie pliku czy wklejenie fragmentu sprawozdania finansowego to udostępnienie.
Art. 78 ust. 1 uobr zobowiązuje biegłego rewidenta i firmę audytorską do zachowania w tajemnicy wszystkich informacji i dokumentów uzyskanych w toku świadczenia usług atestacyjnych oraz usług pokrewnych. Obowiązek ten jest nieograniczony w czasie. Art. 78 ust. 2 rozszerza go na inne osoby, którym udostępniono informacje objęte tajemnicą – i tu pojawia się pytanie, czy dostawca usług AI, do którego biegły rewident wgrywa plik klienta, jest taką „inną osobą”. W mojej ocenie jak najbardziej – każde wgranie pliku czy wklejenie fragmentu sprawozdania finansowego to udostępnienie.
Konsekwencje naruszenia są surowe – kara pieniężna do 10% przychodów netto firmy audytorskiej, do 250 000 zł wobec biegłego rewidenta osobiście, w skrajnym przypadku skreślenie z rejestru biegłych rewidentów.
Krajowy Standard Kontroli Jakości 1 Zarządzanie jakością dla firm wykonujących badania lub przeglądy sprawozdań finansowych lub zlecenia innych usług atestacyjnych lub pokrewnych (dalej KSKJ 1) zakłada korzystanie z zasobów dostawców zewnętrznych, w tym zasobów technologicznych. Z perspektywy korzystania z narzędzi AI, np. Claude, oznacza to obowiązek zidentyfikowania ryzyk jakości (m.in. ujawnienia tajemnicy zawodowej czy nierzetelnej informacji wygenerowanej przez AI), zaprojektowania reakcji (polityk, procedur, kontroli technicznych) i monitorowania ich skuteczności w ramach corocznej oceny systemu zarządzania jakością przeprowadzanej zgodnie z art. 50 ust. 3 uobr oraz § 53 KSKJ 1.
[1] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (DzUrz UE L 119 z 4.05.2016 r.).
[2] Podręcznik Międzynarodowego kodeksu etyki zawodowych księgowych (w tym Międzynarodowych standardów niezależności), 2022.
RODO[1] wymaga zawarcia z podmiotem przetwarzającym (procesorem) umowy powierzenia przetwarzania danych osobowych – DPA (art. 28) oraz wskazania mechanizmu transferu danych do państw trzecich (art. 44–49).
Niezależnie od uobr i RODO biegły rewident jest też związany postanowieniami sekcji 114 Kodeksu etyki zawodowej[2], gdzie wskazano na poufność jako jedną z pięciu podstawowych zasad etyki zawodowej. KSKJ 1 obejmuje również usługowe prowadzenie ksiąg rachunkowych – działalność, którą wiele małych firm audytorskich łączy z czynnościami rewizji finansowej. Do tej działalności tajemnica zawodowa biegłego rewidenta (art. 78 uobr) nie ma zastosowania wprost, ale obowiązują inne ograniczenia: tajemnica zawodowa doradcy podatkowego (jeśli biegły rewident ma także ten tytuł), tajemnica przedsiębiorstwa klienta oraz pełen reżim RODO.
Wybór właściwego wariantu usługi
Dostawcy systemów AI oferują różne warianty korzystania z usług. W tabeli powyżej zestawiono najistotniejsze cechy poszczególnych wariantów usług oferowanych przez Anthropic (dostawcę Claude).
Dostawca Claude ma siedzibę w USA i udostępnia DPA wyłącznie klientom usług komercyjnych. Konta konsumenckie nie są objęte DPA, co samo w sobie wyklucza ich legalne wykorzystanie do przetwarzania danych klientów firmy audytorskiej (uniemożliwia spełnienie wymogu art. 28 RODO).
Wniosek jest jednoznaczny: korzystanie z konta konsumenckiego (Free, Pro, Max) do pracy z dokumentami klienta firmy audytorskiej jest niedopuszczalne. Tryb Incognito częściowo łagodzi ryzyko, ale nie zapewnia DPA. Minimalnym standardem zgodności jest moim zdaniem plan Claude for Work – Team. Do badań jednostek zainteresowania publicznego rekomendowałbym plan Enterprise z opcją ZDR. Dla zaawansowanych zastosowań programistycznych – analizy plików JPK_KR, JPK_ST_KR, sprawozdań w formacie XML – optymalnym rozwiązaniem jest według mnie Anthropic API z DPA.
Lista kontrolna bezpiecznego korzystania z AI
Przy wdrożeniu narzędzia AI oraz przy okazji corocznej oceny systemu zarządzania jakością warto wypełnić zaproponowaną poniżej listę kontrolną. Została ona zaprojektowana z myślą o małej, mniej złożonej firmie audytorskiej (przy założeniu, że jest ona użytkownikiem Claude, ale oczywiście może to być też inne narzędzie AI). Może mieć przy tym zastosowanie do całej działalności firmy audytorskiej – niezależnie od tego, czy konkretna usługa stanowi badanie, przegląd, inną usługę atestacyjną, usługę pokrewną, czy usługowe prowadzenie ksiąg.
Praktyczne wskazówki
Rozpoczynając korzystnie z Claude, warto mieć na uwadze, że:
- Anonimizacja przez maskowanie kolumn w arkuszu kalkulacyjnym może być skuteczniejsza i tańsza niż najdroższy plan Enterprise. Plik JPK_KR, w którym kolumna „NIP kontrahenta” została zastąpiona skrótem MD5, a kolumna „Nazwa” – identyfikatorami „KONTRAHENT_001”, „KONTRAHENT_002” itd., traci niemal całą wartość poznawczą dla osoby trzeciej, ale w pełni zachowuje wartość analityczną dla biegłego rewidenta.
- Claude jest zaskakująco skuteczny na danych zagregowanych. Przy planowaniu badania, analizie wskaźnikowej, projekcji prognoz rzadko niezbędny jest pełen plik JPK; wystarczy zestawienie na poziomie kont syntetycznych. Tryb Incognito, choć sam nie zapewnia zgodności z RODO, jest rozsądnym wyborem domyślnym dla rozmów ogólnych – pytań o przepis, przeglądu metodologii, draftów pism nieobejmujących danych klienta.
- Najsłabszym ogniwem jest pośpiech, nie technologia. Najczęstszy scenariusz incydentu to wgranie pliku „w pośpiechu”, bez anonimizacji, ze świadomością, że „zaraz to usunę”. Plik zostaje usunięty z interfejsu, ale przez 30 dni (lub dłużej) pozostaje na serwerach Anthropic. Skuteczna reakcja nie polega na zwiększeniu liczby procedur, ale na wprowadzeniu jednej, prostej zasady: każdy plik klienta przechodzi przez dedykowany skrypt anonimizacyjny przed dotknięciem czegokolwiek innego.
Podsumowanie
Generatywne narzędzia AI nie są zagrożeniem dla zawodu biegłego rewidenta – są jego nową rzeczywistością. Wybór nie polega na tym, czy z nich korzystać, lecz jak korzystać odpowiedzialnie. Tajemnica zawodowa wynikająca z art. 78 uobr, KSKJ 1 i RODO nakłada konkretne, możliwe do spełnienia wymagania. Ich realizacja nie oznacza rezygnacji z technologii, a jej świadomego wdrożenia: wyboru właściwego planu, zawarcia umowy powierzenia, zaprojektowania reakcji na ryzyka jakości, dokumentowania monitoringu i reagowania na incydenty. Zaproponowana lista kontrolna może być włączona do dokumentacji systemu zarządzania jakością małej firmy audytorskiej po ewentualnym dostosowaniu do potrzeb jednostki.
Pozostaje pytanie: czy PIBR i PANA nie powinny rozważyć wydania odrębnych wytycznych w tym zakresie. W mojej ocenie byłyby one pożądane.
Zaloguj się
Aby czytać dalej, jeśli masz wykupiony abonament
Kup dostęp do tego artykułu
Cena dostępu do pojedynczego artykułu tylko 12,30
Kup abonament
| Abonamenty on-line | Prenumeratorzy | Członkowie SKwP | ||||||||
|
Bezpłatny dostęp do tego artykułu i ponad 3500 innych, dla prenumeratorów miesięcznika „Rachunkowość". Pomoc w uzyskaniu dostępu:
|
15% rabat na wszystkie zakupy. Zapytaj o kod w swoim Oddziale. Stowarzyszenie Księgowych w Polsce jest organizacją, do której należy ponad 26 000 księgowych, a członkostwo wiąże się z licznymi korzyściami. |
„Rachunkowość” - od 75 lat źródło rzetelnej wiedzy!
Skróty w artykułach
- dyrektywa 112 – dyrektywa Rady 2006/112/WE z 28.11.2006 r. w sprawie wspólnego systemu podatku od wartości dodanej (DzUrz UE L 347 z 11.12.2006 r.)
- dyrektywa 2013/34/UE – dyrektywa Parlamentu Europejskiego i Rady 2013/34/UE z 26.06.2013 r. w sprawie rocznych sprawozdań finansowych, skonsolidowanych sprawozdań finansowych i powiązanych sprawozdań niektórych rodzajów jednostek (...) (DzUrz UE L 182 z 29.06.2013 r.)
- Kc – ustawa z 23.04.1964 r. Kodeks cywilny (DzU z 2023 r. poz. 1610)
- KIMSF – interpretacje Komitetu ds. Interpretacji Międzynarodowej Sprawozdawczości Finansowej
- Kks – ustawa z 10.09.1999 r. Kodeks karny skarbowy (DzU z 2023 r. poz. 654)
- Kp – ustawa z 26.06.1974 r. Kodeks pracy (DzU z 2023 r. poz. 1465)
- Kpc – ustawa z 17.11.1964 r. Kodeks postępowania cywilnego (DzU z 2023 r. poz. 1550)
- Ksh – ustawa z 15.09.2000 r. Kodeks spółek handlowych (DzU z 2022 r. poz. 1467)
- KSR – Krajowe Standardy Rachunkowości
- MSR – Międzynarodowe Standardy Rachunkowości (ang. International Accounting Standards) wydawane od 2002 r. jako MSSF
- MSSF – Międzynarodowe Standardy Sprawozdawczości Finansowej (ang. International Financial Reporting Standards)
- Op – ustawa z 29.08.1997 r. Ordynacja podatkowa (DzU z 2023 r. poz. 2383)
- Ppsa – ustawa z 30.08.2002 r. Prawo o postępowaniu przed sądami administracyjnymi (DzU z 2023 r. poz. 1634)
- rozporządzenie o instrumentach finansowych – rozporządzenie Ministra Finansów z 12.12.2001 r. w sprawie szczegółowych zasad uznawania, metod wyceny, zakresu ujawniania i sposobu prezentacji instrumentów finansowych (DzU z 2017 r. poz. 277)
- rozporządzenie o konsolidacji – rozporządzenie Ministra Finansów z 25.09.2009 r. w sprawie szczegółowych zasad sporządzania przez jednostki inne niż banki, zakłady ubezpieczeń i zakłady reasekuracji skonsolidowanych sprawozdań finansowych grup kapitałowych (DzU z 2017 r. poz. 676)
- rozporządzenie składkowe – rozporządzenie Ministra Pracy i Polityki Socjalnej z 18.12.1998 r. w sprawie szczegółowych zasad ustalania podstawy wymiaru składek na ubezpieczenia emerytalne i rentowe (DzU z 2023 r. poz. 728)
- rozporządzenie z 13.09.2017 r. – rozporządzenie Ministra Rozwoju i Finansów w sprawie rachunkowości oraz planów kont dla budżetu państwa, budżetów jednostek samorządu terytorialnego, jednostek budżetowych, samorządowych zakładów budżetowych, państwowych funduszy celowych oraz państwowych jednostek budżetowych mających siedzibę poza granicami Rzeczypospolitej Polskiej (DzU z 2020 r. poz. 342)
- specustawa – ustawa z 2.03.2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (tekst jedn. DzU z 2023 r. poz. 1327)
- uobr – ustawa z 11.05.2017 r. o biegłych rewidentach, firmach audytorskich oraz nadzorze publicznym (DzU z 2023 r. poz. 1015)
- uor – ustawa z 29.09.1994 r. o rachunkowości (DzU z 2023 r. poz. 120)
- updof – ustawa z 26.07.1991 r. o podatku dochodowym od osób fizycznych (DzU z 2022 r. poz. 2647)
- updop – ustawa z 15.02.1992 r. o podatku dochodowym od osób prawnych (DzU z 2022 r. poz. 2587)
- upol – ustawa z 12.01.1991 r. o podatkach i opłatach lokalnych (DzU z 2023 r. poz. 70)
- US GAAP – Amerykańskie Standardy Rachunkowości (ang. Generally Accepted Accounting Principles)
- ustawa akcyzowa – ustawa z 6.12.2008 r. o podatku akcyzowym (DzU z 2023 r. poz. 1542)
- ustawa emerytalna – ustawa z 17.12.1998 r. o emeryturach i rentach z Funduszu Ubezpieczeń Społecznych (DzU z 2023 r. poz. 1251)
- ustawa KAS – ustawa z 16.11.2016 r. o Krajowej Administracji Skarbowej (DzU z 2023 r. poz. 615)
- ustawa o KRS – ustawa z 20.08.1997 r. o Krajowym Rejestrze Sądowym (DzU z 2023 r. poz. 685)
- ustawa o PCC – ustawa z 9.09.2000 r. o podatku od czynności cywilnoprawnych (DzU z z 2023 r. poz. 170)
- ustawa o VAT – ustawa z 11.03.2004 r. o podatku od towarów i usług (DzU z 2023 r. poz. 1570)
- ustawa o zfśs – ustawa z 4.03.1994 r. o zakładowym funduszu świadczeń socjalnych (DzU z 2023 r. poz. 998)
- ustawa zasiłkowa – ustawa z 25.06.1999 r. o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa (DzU z 2022 r. poz. 1732)
- ustawa zdrowotna – ustawa z 27.08.2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych (DzU z 2022 r. poz. 2561)
- usus – ustawa z 13.10.1998 r. o systemie ubezpieczeń społecznych (DzU z 2023 r. poz. 1230)
- uzpd – ustawa o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne
- Założenia koncepcyjne MSSF – Założenia koncepcyjne sprawozdawczości finansowej (Conceptual Framework for Financial Reporting)
- CEIDG – Centralna Ewidencja i Informacja o Działalności Gospodarczej
- EOG – Europejski Obszar Gospodarczy
- FEP – Fundusz Emerytur Pomostowych
- FGŚP – Fundusz Gwarantowanych Świadczeń Pracowniczych
- FP – Fundusz Pracy
- FS – Fundusz Solidarnościowy
- IASB – Rada Międzynarodowych Standardów Rachunkowości
- IS – izba skarbowa
- KAS – Krajowa Administracja Skarbowa
- KIS – Krajowa Informacja Skarbowa
- KNF – Komisja Nadzoru Finansowego
- KRBR – Krajowa Rada Biegłych Rewidentów
- KRS – Krajowy Rejestr Sądowy
- KSB – Krajowe Standardy Badania
- MF – Minister Finansów
- MPiPS – Minister Pracy i Polityki Społecznej
- MRiF – Minister Rozwoju i Finansów
- MRiPS – Minister Rodziny i Polityki Społecznej
- MSiG – Monitor Sądowy i Gospodarczy
- NSA – Naczelny Sąd Administracyjny
- PANA – Polska Agencja Nadzoru Audytowego
- PIBR – Polska Izba Biegłych Rewidentów
- PKD – Polska Klasyfikacja Działalności
- pkpir – podatkowa księga przychodów i rozchodów
- PPK – pracownicze plany kapitałowe
- RM – Rada Ministrów
- SA – sąd apelacyjny
- sf – sprawozdanie finansowe
- skok – spółdzielcza kasa oszczędnościowo-kredytowa
- SN – Sąd Najwyższy
- SO – sąd okręgowy
- TK – Trybunał Konstytucyjny
- TSUE – Trybunał Sprawiedliwości Unii Europejskiej
- UCS – urząd celno-skarbowy
- UE – Unia Europejska
- US – urząd skarbowy
- WDT – wewnątrzwspólnotowa dostawa towarów
- WNT – wewnątrzwspólnotowe nabycie towarów
- WSA – wojewódzki sąd administracyjny
- zfśs – zakładowy fundusz świadczeń socjalnych
