Kontrola wewnętrzna w dobie technologii cyfrowych

Wykorzystywanie technologii cyfrowych na potrzeby kontroli wewnętrznej

Dobrze przemyślany program zmian, wspierany i wdrażany przez kierownictwo, ma kluczowe znaczenie dla dostosowania funkcji kontrolnych w jednostce do nowej rzeczywistości oraz przygotowania się na zmiany.

Powstaje pytanie: jak jednostki powinny dostosować kontrolę wewnętrzną, aby zapewnić skuteczną ochronę aktywów, zapobiegać oszustwom, weryfikować dokumentację finansową, monitorować wydajność, zapewnić nieprzerwaną działalność?

Postęp technologiczny wpływa na sposób działania jednostki. Firmy muszą zdawać sobie sprawę z tego, że aby uzyskać odporność biznesową, muszą wprowadzić zmiany w organizacji (w tym zmiany kontroli wewnętrznej).

Korzystanie z technologii cyfrowych umożliwia dostęp do dużej liczby danych, co z kolei wzbudza obawy o wzrost zagrożeń cybernetycznych i bezpieczeństwo informacji, a także uczciwe, etyczne i dopuszczalne korzystanie z tych danych. Wprowadzenie sztucznej inteligencji w celu usprawnienia lub zastąpienia procesu podejmowania decyzji przez ludzi, aby nastąpiło w odpowiedzialny sposób, wymaga oceny czterech kluczowych elementów: uczciwości, wyjaśnialności, bezpieczeństwa i odpowiedzialności.

Najważniejsze nowe technologie i ryzyka ich stosowania

Przetwarzanie w chmurze

Przetwarzanie w chmurze (cloud computing) to niemal nieograniczona moc obliczeniowa, która dzięki potężnym algorytmom pozwala analizować wszystkie dane transakcyjne i „wyłapywać” nietypowe działania. Nie uważa się jej już za technologię wschodzącą, ponieważ korzystanie z niej stało się powszechne na całym świecie. Wiele jednostek korzysta z usług dostawców chmury na swoje potrzeby w zakresie IT – począwszy od infrastruktury, a skończywszy na platformach i oprogramowaniu.

Ryzyko rośnie w razie korzystania z technologii chmury hybrydowej (łączącej chmurę firmową/prywatną z chmurą publiczną) lub ze środowiska wielochmurowego (integrującego wiele chmur publicznych). W takim przypadku nieodzowne jest wdrożenie przez firmy odpowiednich kontroli w celu wzmocnienia własnego środowiska IT. Wielu dostawców usług w chmurze stosuje wysokie standardy kontroli, które udostępnia klientom, np. dokonuje atestacji technologii kontroli, udostępnia narzędzia pomocne przy usprawnianiu kontroli wewnętrznej. Nie zwalnia to jednak jednostek z odpowiedzialności za przeprowadzane przez nie kontrole związane z wykorzystaniem chmury.

Kluczowe zagrożenia, z którymi muszą się zmierzyć jednostki, dotyczą danych. Zagrożenia dla cyberbezpieczeństwa wzrosły, ze względu na korzystanie z infrastruktury innych jednostek i istnienie wielu centrów danych, w których znajdują się aplikacje i dane. Dane osobowe są ustawowo chronione w wielu krajach. Dodatkowo należy zwrócić uwagę na ocenę nieprzewidzianych zagrożeń, np. wynikających z braku wystarczającej znajomości technologii przez personel jednostki.

Drony to bezzałogowe statki powietrzne, które mogą być wyposażone w kontroler naziemny i kamery pokładowe. Pozyskane przez dron dane, takie jak filmy i obrazy, można przesłać do bazy w celu ich analizy. Korzyści ze stosowania dronów to szybkość przechwytywania filmu, obrazu, możliwość dostępu do odległych miejsc (np. na morzu), większa precyzja obserwacji, możliwość inspekcji oraz sprawdzenia zgodności z przepisami dotyczącymi zdrowia i bezpieczeństwa ludzi.

Drony mogą być narażone na szczególne ryzyko spowodowane operowaniem w powietrzu. Władze lotnicze muszą rozwijać systemy sterowania ruchem w powietrzu, zapobiegające kolizjom oraz uwzględniające ryzyka transgraniczne. Prywatność i wykorzystanie danych stanowi wyzwanie, biorąc pod uwagę, że operatorzy dronów zbierają ogromne ilości danych, w tym informacje poufne lub wrażliwe, dotyczące własności bądź ludzkich zachowań.

Automatyzacja procesów (Robotic Process Automation, RPA), której nie należy mylić z robotami przemysłowymi, jest potężnym narzędziem zapewniającym wykonywanie w krótszym czasie i po niższych kosztach, czasochłonnych i przeprowadzanych dotychczas ręcznie, opartych na regułach, zadań biurowych. Pozwala podsumować działania użytkownika końcowego (zwykle za pomocą graficznego interfejsu użytkownika – Graphical User Interface, GUI), stosującego aplikacje widoczne na ekranie oraz na „poziomie” serwera i baz danych.

Szacuje się, że w skali globalnej można zautomatyzować ok. 45% czynności, oszczędzając koszty siły roboczej o wartości 2 bilionów dolarów. Automatyzacja pracy pozwala jednostkom na cyfryzację kosztownych czynności wykonywanych ręcznie i kontroli wewnętrznych. Zmniejsza też liczbę błędów, poprawia jakość pracy, zapewnia zgodność z przepisami oraz daje satysfakcję klientom, ograniczając liczbę zgłaszanych przez nich zapytań i reklamacji.

Automatyzacja może być stosowana na wszystkich liniach ochrony przed błędami – od kontroli operacyjnych i uzgodnień po audyt wewnętrzny. W przypadku czynności wykonywanych ręcznie ryzyko błędu ludzkiego jest wysokie i – dodatkowo – nie zawsze osiąga się oczekiwany poziom przejrzystości. Obecnie wiele działów finansowych nadal stosuje arkusze kalkulacyjne Excel, mimo że wdrożenie nawet podstawowej automatyzacji znacznie poprawiłoby kontrolę i przejrzystość.

Z uwagi na względną łatwość automatyzacji procesów kluczowe znaczenie ma kontrola dostępu do sterującego nią oprogramowania oraz dokonywania zmian IT. Wielu użytkowników biznesowych może traktować automatyzację jako element systemu (aplikację), którą końcowy użytkownik, niebędący programistą, może modyfikować i przetwarzać w ramach tzw. End-User Computing (EUC), bez jakiejkolwiek kontroli.

Ponieważ na skutek automatyzacji procesów można szybko przetwarzać dużą liczbę transakcji, kluczowe jest jej należyte skonfigurowanie i zaprojektowanie, gdyż błędy w tym zakresie mogą w krótkim czasie ujemnie wpłynąć na miliony transakcji.

Ochrona przed wszystkimi ryzykami automatyzacji może nastąpić w ramach zwykłych kontroli IT. Jednak decyzja o wyborze czynności, które mają być poddane automatyzacji, wykracza poza kompetencje IT i dlatego jednostki same powinny ustalić, które czynności mają zostać zautomatyzowane.

Blockchain (łańcuch bloków) to zdecentralizowana księga kryptograficznie zabezpieczonych transakcji zawartych w sieci między równymi sobie kontrahentami (Peer-to-peer, P2P). Pozwala uczestnikom na zawieranie w sposób przejrzysty bezpiecznych transakcji, bez konieczności sprawowania nadzoru przez centralny organ (stronę trzecią). Sieć węzłów przeprowadza ocenę transakcji i statusu kontrahenta za pomocą odpowiednich algorytmów. Przedmiotem zweryfikowanych transakcji mogą być kryptowaluty, umowy, dokumenty lub inne informacje. Po zweryfikowaniu transakcja jest łączona z innymi transakcjami w celu utworzenia nowego bloku danych w księdze głównej. Jeśli jest zakończona, nowy blok dodaje się, w sposób trwały i niezmienny, do istniejącego łańcucha bloków.

Blockchain można podzielić na kategorie na podstawie modelu uprawnień. Jeśli każda osoba może w nim uczestniczyć i nie musi uzyskiwać pozwolenia na dostęp, blockchain jest publiczny, podobnie jak księga główna i historia transakcji. W przeciwnym razie jest on prywatny. Blockchain publiczny nie ma centralnego organu nadzoru (np. rządu lub banku). Kontrahenci mogą zawierać transakcje bezpośrednio między sobą, korzystając ze zdecentralizowanej księgi. Po zatwierdzeniu transakcji przez wszystkie węzły, zastosowaniu mechanizmów uzgodnienia i dodaniu do księgi nie można zmienić jej zawartości bez naruszenia całego łańcucha – dlatego jest on trwały.

Istnieją zachęty ekonomiczne (zazwyczaj zarabianie kryptowaluty) do zastosowania mechanizmów uzgodnienia, które zabezpieczają sieć. Bitcoin, Litecoin, Ethereum, DASH, Ripple i Hyperledger to przykłady popularnych publicznych łańcuchów bloków. Prywatne łańcuchy bloków stosują tę samą rozproszoną architekturę co publiczne, jednak tylko wybrani uczestnicy mogą się w nich rejestrować i/lub odczytywać transakcje w księdze.

Jedną z największych barier przyjęcia blockchain przez korporacje są obawy dotyczące technologii, a zwłaszcza jej niezawodności, szybkości, bezpieczeństwa, skalowalności, współpracy z innymi systemami i nadzorem regulacyjnym. Technologia blockchain jest jednak obiecująca. Od 2019 r. realizuje się i tworzy wiele projektów blockchain obsługujących dostawy, finansowanie handlu, ubezpieczenia, opiekę zdrowotną, rejestr gruntów, procedury identyfikacji klienta, tożsamość cyfrową i udostępnianie danych.

Chociaż technologia blockchain sama w sobie jest wysoce bezpieczna i niezawodna, to jednak nie zapewnia 100% bezpieczeństwa konta i portfela. Nadzór nad poświadczeniami ma kluczowe znaczenie dla ochrony zasobów cyfrowych przechowywanych w łańcuchu bloków. Inteligentne umowy(3), podobnie jak tradycyjne reguły biznesowe, obarczone są błędami kodowania i niewłaściwej interpretacji wyników. Ponadto, podobnie jak w przypadku każdego zautomatyzowanego systemu, większość awarii występuje w takcie przekazu danych. Niezależnie od poziomu bezpieczeństwa technologii blockchain jednostki powinny dokładnie rozważyć, komu przyznać prawo dostępu do danych i kluczy szyfrujących.

Sztuczna inteligencja (Artificial Intelligence, AI) to program komputerowy, który wykonuje inteligentne czynności, naśladując ludzką logikę i zachowania.

Samouczenie się maszyn (Machine Learning) to umiejętność niezależnego „uczenia się” maszyn bez uprzedniego zaprogramowania.

Głębokie uczenie (Deep Learning) to algorytmy umożliwiające programom naśladowanie zdolności ludzkiego mózgu w celu obserwacji, analizowania, uczenia się i tworzenia.

Zwykle wyróżnia się trzy rodzaje analityki danych (w kolejności rosnącej złożoności):

• opisowa (descriptive analytics) podsumowuje i wizualizuje to, co się wydarzyło,
• predykcyjna (predictive analytics) przewiduje, co się wydarzy,
• nakazowa (prescriptive analytics) dostarcza wytycznych do podjęcia określonych działań.

Wiele jednostek łączy analitykę danych z automatyzacją w celu monitorowania swojej działalności. Przechwytywanie danych z transakcji staje się normą, dlatego monitorowanie transakcji w czasie rzeczywistym lub okresowo może być wykorzystywane do kontroli prewencyjnej i detektywistycznej, umożliwiającej uniknięcie ryzyka. Bogatsze źródła danych i technologie wielkich zbiorów danych (Big Data) umożliwiają stosowanie bardziej wyrafinowanych technik, które odchodzą od analizowania danych z przeszłości, idąc w kierunku przewidywania (predykcji) zagrożeń. Systemy AI umożliwiają stosowanie metod predykcyjnych, wyciągnięcie wniosków z zebranych danych i proponowanie najlepszych działań, jakie należy podjąć, aby osiągnąć cel. Mogą się nauczyć dostosowywania swojego działania dzięki analizie wcześniejszego wpływu na otoczenie.

Jednostki stosują systemy AI do pełnienia funkcji poznawczych (percepcja, rozumowanie, uczenie się i rozwiązywanie problemów) oraz do wspomagania i usprawniania procesu podejmowania decyzji przez ludzi. W ostatnich latach odnotowuje się postępy w stosowaniu sztucznej inteligencji w dziedzinie uczenia się maszyn, w szczególności głębokiego uczenia.

Jednym z kluczowych zagrożeń przy stosowaniu AI jest jej funkcjonowanie na pograniczu dużej niewiadomej. Czy zaufać komputerowi obsługującemu kontrole, jeśli nie da się od razu zaobserwować lub wytłumaczyć, w jaki sposób maszyna podjęła określone decyzje?

Odpowiedzialna sztuczna inteligencja. Każda technologia wymaga użytkowania w sposób odpowiedzialny i etyczny. Sztuczna inteligencja nie jest wyjątkiem. Systemy AI wspomagają podejmowanie decyzji przez ludzi i stale uczą się dziś interakcji z nimi i ze środowiskiem. W przyszłości będą prawdopodobnie działać bardziej samodzielnie i podejmować bardziej skomplikowane decyzje, które wcześniej wymagały ludzkiego osądu.

Zanim jednak ludzie będą mogli w pełni korzystać z AI, muszą wiedzieć, czy można jej zaufać. W ostatnich latach wzrosły obawy co do sposobu, w jaki ona działa, gdyż może wpłynąć na prywatność, cyberbezpieczeństwo, zatrudnienie, nierówności (inequality) i środowisko. Konwencjonalne technologie (np. autopiloty lub roboty przemysłowe) działają przy użyciu deterministycznego oprogramowania. Skutki jego stosowania są przewidywalne. Natomiast sztuczna inteligencja jest ze swojej istoty niedeterministyczna. Jeśli jej czynniki wchodzą w interakcję z otoczeniem i się uczą, to ich zachowanie ewoluuje. Jak zatem można zaufać AI?

W odniesieniu do AI mówi się o konieczności minimalizowania uprzedzeń, które mogą skutkować niesprawiedliwymi decyzjami. Ponieważ systemy sztucznej inteligencji są projektowane przez ludzi, to oni przenoszą swoje uprzedzenia do wsadowych danych (training data) AI, na podstawie których się ona uczy. Amerykańska organizacja informacyjna ProPublica za stronniczy rasowo uznała ​​COMPAS – szeroko stosowane w USA przez system penitencjarny narzędzie, które wykorzystuje algorytmy oparte na AI do przewidywania prawdopodobieństwa ponownego popełnienia przestępstwa. Z analizy wynika, że system przeceniał ryzyko recydywy w przypadku oskarżonych Afroamerykanów i zaniżał je w przypadku białych. Firmy powinny sprawdzać zbiory danych i algorytmy pod kątem stronniczości oraz wprowadzić odpowiednie metody jej łagodzenia, aby określonych osób lub ich grup nie stawiać w niekorzystnej sytuacji.

Główne ryzyka. Konsumenci chcą zrozumieć, w jaki sposób modele AI podejmują decyzje, zwłaszcza jeśli wpływają one na ich życie. Rozwój możliwych do zinterpretowania algorytmów AI, których koncepcję, mocne i słabe strony oraz prawdopodobne przyszłe zachowanie można wyjaśnić, staje się obecnie priorytetem zarówno firm technologicznych, jak i instytutów badawczych.

Niektórzy zamiast próbować zrozumieć AI, przyjęli podejście pragmatyczne, pytając o „wyniki”, a nie o to: „jak?”. Przykładowo banki przyjęły systemy przeciwdziałania praniu brudnych pieniędzy, które tradycyjnie sygnalizowały podejrzane transakcje za pomocą reguł opartych na pytaniach o źródła transakcji, ich wartość itp. Podczas testowania AI jedną z metod było porównanie jej wyników z systemem tradycyjnym przez zadanie pytań: „Czy system AI wytwarza takie same alerty, co system oparty na regułach?”, „Czy system AI dostarcza dodatkowych ważnych alertów, których nie wytwarzał system oparty na regułach?” oraz „Czy system AI ignoruje fałszywe alerty zawarte w systemie opartym na regułach?”. Odpowiedzi na te pytania pozwalają na ulepszenie wyników, ale nie na zrozumienie trudnej logiki, na której opiera się system sztucznej inteligencji.

Bezpieczeństwo i ochrona. Uczciwe i wyjaśnialne systemy AI nadal mogą być niebezpieczne w stosowaniu (np. wobec zmiany zbiorów danych wejściowych i algorytmów). Bezpieczeństwo i niezawodność sztucznej inteligencji można jednak poprawić dzięki rygorystycznej ocenie modeli, porównywaniu wydajności i ciągłemu monitorowaniu procesu decyzyjnego.

Firmy muszą ustanowić odpowiedzialność ogółu komórek w przedsiębiorstwie za stosowanie AI i spójność operacji. Obejmuje to zarówno odpowiedzialność wewnętrzną (np. modele zarządcze i organy zatwierdzające), jak i zewnętrzną (wobec podmiotów, które proszą o informacje nt. danych wejściowych, służących do podejmowania decyzji wspieranych przez system AI).

Kontrola AI powinna obejmować dane wejściowe, algorytmy, procesy i założenia sprawozdawcze. Testowanie i monitorowanie kontroli wymaga powołania interdyscyplinarnych zespołów grupujących specjalistów ds. audytu, specjalistów ds. procesów biznesowych i personel techniczny, gdyż podejmowanie decyzji na podstawie sztucznej inteligencji musi być możliwe do audytowania i prześledzenia, szczególnie w sytuacjach krytycznych.

Cały proces, który prowadzi do decyzji opartych na AI, wymaga udokumentowania. Można to osiągnąć już dzisiaj, jednak w ciągu następnych kilku lat działy kontroli wewnętrznej i zewnętrzne firmy audytorskie z pewnością opracują bardziej wyrafinowane metody i mechanizmy audytowania AI(4).

Bezpieczeństwo cybernetyczne i informacyjne

Nadrzędnym problemem przy stosowaniu wszystkich technologii cyfrowych jest zapewnienie bezpieczeństwa cybernetycznego i informacyjnego. Dane, które powstają w wyniku cyfryzacji, są stale zagrożone włamaniem hakerów, szantażem przestępców czy utratą na skutek dostępu do nich nieautoryzowanych użytkowników, zarówno wewnętrznych, jak i zewnętrznych.

Bezpieczeństwo cybernetyczne i informacyjne wchodzi w zakres ochrony przed ryzykiem, a odpowiedzialność za ochronę spoczywa na firmie. Jednak technologie, które narażają jednostki na ryzyka, mogą być również wykorzystane do ochrony przed ryzykiem.

Systemy i dane

Zdaniem 76% dyrektorów generalnych dane mają kluczowe znaczenie i są ważne dla zrozumienia ryzyka, na jakie jest narażona firma; jedynie 22% z nich uważa, że dane z ich firm są odpowiednie.

Jednostki często zdają sobie sprawę, że barierą przy stosowaniu analityki danych są same dane. Ważna jest dostępność i jakość danych, ale procesy biznesowe jednostki są zwykle ubogie w dane. Poza wdrożeniem systemu planowania zasobów przedsiębiorstwa (Enterprise Resource Planning, ERP) do tworzenia i wzbogacania danych, istnieją także inne metody umożliwiające szybsze osiągnięcie tego celu. Są to:

• Pozyskiwanie danych ze źródeł zewnętrznych. Niektóre firmy zajmujące się usługowo danymi dostarczają analityczne dane wyjściowe. Inne sprzedają własne dane. Istnieją także platformy handlowe, umożliwiające jednostkom kupowanie i sprzedawanie danych firmowych.
• Digitalizacja zapisów ręcznych. Techniki sztucznej inteligencji obejmują optyczne rozpoznawanie znaków (Optical Character Recognition, OCR), co służy digitalizacji zapisów ręcznych, a także przetwarzanie języka naturalnego (Natural Language Processing, NLP), co umożliwia zrozumienie kontekstu języka użytego w dokumencie. Dzięki tym zabiegom kluczowe dane mogą zostać przechwycone z nieustrukturyzowanych dokumentów tekstowych.
• Wzbogacanie danych. Dane firmowe można poddać działaniom „inżynierii danych”, np. przez zamieszczenie w dokumentach nowego pola, wykorzystywanego do analiz. Nowym polem może być np. „czas potrzebny na opłacenie faktury”, który można ustalić na podstawie zawartych w dokumentach danych typu „termin płatności faktury” lub „termin otrzymania należności objętych fakturą”. Korzystając z tego nowo utworzonego pola, jednostki mogą poprawić swoje przepływy pieniężne, lepiej reagując na wczesne i opóźnione płatności lub wpływy z faktur.

Przeszkodą w analizie danych może być ich niska jakość. Wyniki analizy będą bezużyteczne, jeśli dane wejściowe są nieprawidłowe. Aby rozwiązać ten problem, wskazane jest:

• oczyszczenie danych historycznych z przeszłych transakcji; umożliwia to korzystanie z nich na potrzeby miarodajnych analiz, zarówno opisowych (przedstawienie przeszłości), jak i predykcyjnych (przedstawienie przyszłości); dane z przeszłości mogą być także przydatne do „trenowania” algorytmów maszyn, aby mogły przewidywać i prognozować przyszłość,
• zapewnienie dobrej jakości danych w przyszłości dzięki wprowadzeniu procedur nadzoru nad nimi, co pozwala traktować dane jako zasoby i umożliwić dalsze analizy; jednostki muszą podejść do nadzoru nad danymi całościowo i ustalić, kto jest za nie odpowiedzialny i kto jest ich właścicielem oraz dokonywać ciągłej oceny krytycznych danych; firmy coraz częściej wyodrębniają funkcję dyrektora ds. danych, gdyż zdają sobie sprawę, że jest to zadanie złożone, którego realizacja wymaga stałej pieczy.

Wpływ na interesariuszy

Dział finansowy będzie w przyszłości korzystał z nowych technologii cyfrowych do poprawy jakości procesów i kontroli. Automatyzacja zadań pozwoli się skupić na działaniach tworzących wartość dodaną w partnerskich relacjach z biznesem. Dyrektor finansowy i dział finansów odgrywają kluczową rolę przy wprowadzaniu kultury kontroli w jednostce i tworzeniu klimatu otwartości na zmiany. Księgowi powinni rozważyć, czy dostęp do dokumentów w formie papierowej jest potrzebny.

Audyt wewnętrzny powinien podchodzić do nowych technologii dwojako. Po pierwsze wziąć pod uwagę nowe lub podwyższone ryzyko, jakie stwarzają technologie stosowane przez firmę, oraz sposób zabezpieczenia się przed tymi zagrożeniami. Powinien zadać sobie pytanie, czy personel audytu wewnętrznego ma odpowiednie umiejętności do kontroli nowych technologii, takich jak AI i blockchain, aby sprostać nowym zagrożeniom.

Po drugie działy audytu wewnętrznego, które są zaawansowane w korzystaniu z analityki danych, powinny tworzyć systemy audytu umożliwiające przeprowadzanie kontroli z regularną częstotliwością lub w trybie ciągłym. Jest to wykonalne, gdy testy analizy danych można wbudować w skrypty uruchamiane w dowolnym momencie.

Audytorzy zewnętrzni oprócz przeprowadzania własnych kontroli mogą polegać na uznanych przez nich za skuteczne kontrolach wewnętrznych stosowanych przez jednostki. Audytorzy często opierają się na systemach i kontrolach IT, gdyż wykorzystywanie przez firmę nowych technologii nie zmienia podstawowych zagrożeń, jakie rodzi środowisko kontroli IT. Jednak ryzyko nadmiernego zaufania do skuteczności kontroli wewnętrznej wzrosło ze względu na powszechność technologii i wielość sposobów korzystania z nich.

Dla audytorów zewnętrznych kluczowe domeny kontroli sytemu IT to jego projekt, bezpieczeństwo, nadzór nad zmianami i działaniem IT. Dwie lub trzy dekady temu audyty zewnętrzne wymagały udziału specjalistów SAP, dziś mogą potrzebować osób z wiedzą z zakresu blockchain.

Oprócz znajomości metod badania ogólnego środowiska kontroli IT audytorzy muszą mieć odpowiednie kwalifikacje pozwalające na badanie projektu i działania zautomatyzowanych elementów kontroli. Potrzebna jest dobra znajomość danej technologii, aby wyniki audytu miały odpowiedni poziom pewności.

Nawet jeśli firmy nie wdrożyły w pełni technologii cyfrowych, niezależne audyty mogą być przeprowadzane z wykorzystaniem technologii, którą posługuje się audytor podczas badania nowoczesnych technologii. Narzędzia stosowane do takiego audytu stają się coraz bardziej wyrafinowane, m.in. dzięki korzystaniu z dronów i AI. Zapewniają one pożytek w postaci wysokiego poziomu pewności, jaki audyt może osiągnąć, i wzrostu wydajności badania.

Wyzwania dla jednostek

Nowe technologie cyfrowe zmieniły sposób współpracy człowieka z maszyną, kreując nowe role, przynosząc nowe konflikty i definiując na nowo zaufanie. Dlatego firmy powinny się skoncentrować na tworzeniu kultury innowacji i przyjmowania nowych technologii przez personel.

Kreowanie pozytywnych ludzkich doświadczeń ma kluczowe znaczenie dla podniesienia „ilorazu cyfrowego”. Jednak klientom, pracownikom i kulturze korporacyjnej nadal poświęca się mniej uwagi niż strategii wdrażania i stosowania technologii, co spowalnia integrację technologii cyfrowych z innymi rozwiązaniami stosowanymi w jednostce.

Brak umiejętności cyfrowych jest zwykle wymieniany jako jedna z najważniejszych barier w uzyskaniu oczekiwanych wyników z inwestycji w nowe technologie. Poza umożliwianiem zdobycia „cyfrowych umiejętności” jednostki powinny wykorzystywać talenty tych pracowników, których automatyzacja nie zastąpi w najbliższym czasie. W jednostce przyszłości, w której ludzie i technologia będą współistnieć i współpracować, cechy ludzkie – takie jak kreatywność, empatia i etyka – staną się ważniejsze niż kiedykolwiek wcześniej.

Główne wnioski

1. Nie ma wątpliwości, że wytyczne COSO(5) nie zmieniają się wraz z zastosowaniem technologii cyfrowych i są nadal aktualne, odpowiednie i skuteczne. Nie oznacza to jednak, że nowe technologie nie zmienią środowiska kontroli wewnętrznej. Wpływają bowiem na sposób jej projektowania, wdrażania i przeprowadzania, biorąc pod uwagę większą dostępność informacji i stosowanie zautomatyzowanych procedur. W dobie cyfrowej technologii powstają warunki do poprawy efektywności, zakresu i trwałości kontroli wewnętrznej.

2. Nawet jedynie podstawowa automatyzacja może poprawić kontrolę wewnętrzną dzięki zaszczepieniu w jednostce dyscypliny i standaryzacji procesów. Jednak sam proces kontroli i jego elementy sterujące muszą być – przed rozważeniem i wprowadzeniem automatyzacji – odpowiednio zaprojektowane. Automatyzacja słabo działającej kontroli wewnętrznej przynosi efekt przeciwny do zamierzonego i zwiększa ryzyko.

3. Wiele jednostek już obecnie wdraża lub bada nowe technologie i celowość ich stosowania w działalności lub do procesów kontrolnych. Przykładowo sztuczna inteligencja służy do wykrywania anomalii procesów, a technologia dronów do inspekcji i nadzoru.

4. Gdy dostawy są połączone z internetem rzeczy (internet of things) za pomocą łańcucha bloków (blockchain) kontrole obejmują cały ekosystem firm i osób wchodzących ze sobą w interakcje za pośrednictwem technologii. Granica między kontrolą wewnętrzną i zewnętrzną ulega zatarciu. W rezultacie koncepcja kontroli „wewnętrznej” może wymagać ponownego przemyślenia i odpowiedniej modyfikacji.

5. W dobie cyfrowej technologii nadzór nad danymi i kultura kontroli nabierają większego znaczenia, ponieważ więcej mechanizmów kontrolnych jest osadzonych w zautomatyzowanych systemach. Należy jednak zachować zawodowy sceptycyzm, aby móc kwestionować zautomatyzowany system i potrafić określić, kiedy się myli.

6. Ciągłe testowanie i monitorowanie działania kontroli wewnętrznej wymaga powołania interdyscyplinarnych zespołów mających umiejętności audytorskie – ułatwia to testowanie kontroli, nadzorowanie procesów oraz budowanie systemów kontroli opartych na technologiach cyfrowych.

Zdaniem 85% dyrektorów sztuczna inteligencja w ciągu najbliższych 5 lat znacząco zmieni sposób prowadzenia działalności. Nie ulega wątpliwości, że technologie cyfrowe mogą poprawić jakość, dokładność i skuteczność kontroli wewnętrznej. Jednostki muszą wiedzieć, jak je bezpiecznie osadzić w ramach kontroli, uwzględniając ryzyko spowodowane ich stosowaniem. Powinny rozważyć – poza kwestiami ryzyka – jak stosować technologię w sposób odpowiedzialny i etyczny, szczególnie w przyszłości, gdy maszyny będą działać bardziej autonomicznie.

Nie da się uniknąć stosowania technologii cyfrowych, a ci, którzy nie zainwestują w nie, stracą. Obserwujemy szybki rozwój nie tylko kontroli zarządczych, lecz także sposobu prowadzenia firm. Ograniczenia wynikają jedynie z szybkości działania ludzi.

System kontroli wewnętrznej

Zbudowanie i zapewnienie skutecznego działania kontroli wewnętrznej to dziś nieodzowny element funkcjonowania każdej jednostki.