AI與自動(dòng)化在IT審計(jì)中的角色探析

人工智能（AI）和自動(dòng)化早已不是遙不可及的未來(lái)概念，而是融入了日常審計(jì)工作的現(xiàn)實(shí)工具。如今，審計(jì)人員借助這些技術(shù)完成各種任務(wù)：快速掃描海量數(shù)據(jù)、全面測(cè)試控制措施、發(fā)現(xiàn)以往需要數(shù)日才能識(shí)別的異常情況。然而，盡管工具有所升級(jí)，許多審計(jì)團(tuán)隊(duì)仍面臨一個(gè)老問題——數(shù)據(jù)量過大，而系統(tǒng)變化之快，遠(yuǎn)超傳統(tǒng)測(cè)試方法所能跟上的節(jié)奏。過去只需審閱幾百條記錄，如今卻要面對(duì)數(shù)百萬(wàn)條，且審計(jì)日志和系統(tǒng)設(shè)置每分每秒都在更新，復(fù)雜性成倍增加。不過，AI 和自動(dòng)化恰恰可能幫助我們應(yīng)對(duì)這種規(guī)模帶來(lái)的挑戰(zhàn)：它們能對(duì)數(shù)據(jù)進(jìn)行分類，并標(biāo)記出異常活動(dòng)，讓審計(jì)人員把精力集中在“為什么出錯(cuò)”上，而不是反復(fù)統(tǒng)計(jì)“出錯(cuò)多少次”。

當(dāng)然，將這些工具用于審計(jì)工作也帶來(lái)了新的挑戰(zhàn)。很多時(shí)候，審計(jì)人員使用的算法和工具并非自己開發(fā)，這就讓人難以確定結(jié)果是如何生成的，以及這些結(jié)果是否真實(shí)、相關(guān)。此外，當(dāng)某項(xiàng)工具或算法在審計(jì)測(cè)試中承擔(dān)了重要角色時(shí)，團(tuán)隊(duì)?wèi)?yīng)遵循哪些標(biāo)準(zhǔn)？為確保 AI 和自動(dòng)化真正助力而非干擾工作，審計(jì)人員必須對(duì)其運(yùn)作方式和潛在短板有基本理解——技術(shù)應(yīng)當(dāng)輔助人類判斷，而非取代它。

審計(jì)語(yǔ)境下的AI與自動(dòng)化

當(dāng)審計(jì)人員提到AI，通常指的是能夠從數(shù)據(jù)中學(xué)習(xí)并不斷優(yōu)化的軟件。具體而言，這類模型可以識(shí)別不符合常規(guī)模式的交易；引擎能讀取文檔并提取關(guān)鍵信息；系統(tǒng)還能預(yù)測(cè)控制措施最可能出現(xiàn)失效的位置。

而自動(dòng)化則幫助審計(jì)人員高效、一致地執(zhí)行重復(fù)性任務(wù)，比如提取日志、匹配發(fā)票與訂單、核對(duì)訪問權(quán)限列表等。這兩類技術(shù)都能讓審計(jì)人員在更短時(shí)間內(nèi)覆蓋更多證據(jù)范圍，但都無(wú)法替代定義這一職業(yè)的核心——專業(yè)判斷。

實(shí)踐中，這些工具的應(yīng)用形式多種多樣：預(yù)測(cè)分析可掃描整個(gè)數(shù)據(jù)集，而非僅靠小樣本抽樣；自然語(yǔ)言處理工具能自動(dòng)高亮文檔中的關(guān)鍵內(nèi)容，大幅減少人工搜索時(shí)間；機(jī)器人腳本可在現(xiàn)場(chǎng)工作開始前就完成數(shù)據(jù)收集與整理，使審計(jì)人員更早獲得信息，并將節(jié)省下來(lái)的時(shí)間用于分析，而非手動(dòng)搬運(yùn)數(shù)據(jù)。

關(guān)鍵風(fēng)險(xiǎn)領(lǐng)域

在將AI和自動(dòng)化用于現(xiàn)場(chǎng)審計(jì)之前，審計(jì)人員必須充分理解其帶來(lái)的若干風(fēng)險(xiǎn)。這些風(fēng)險(xiǎn)未必源于工具本身，而更常來(lái)自其所用數(shù)據(jù)、部署方式以及監(jiān)督水平。無(wú)論公共部門還是私營(yíng)機(jī)構(gòu)的審計(jì)職能，都普遍面臨以下幾類問題。

數(shù)據(jù)中隱藏的偏見

AI系統(tǒng)的學(xué)習(xí)完全依賴于輸入的數(shù)據(jù)。如果底層數(shù)據(jù)包含過時(shí)假設(shè)或帶有偏見的模式，模型就會(huì)原樣復(fù)現(xiàn)。例如，某個(gè)供應(yīng)商可能被反復(fù)標(biāo)記為高風(fēng)險(xiǎn)，并非因其當(dāng)前行為異常，而是因?yàn)槎嗄昵斑z留的日志夸大了其風(fēng)險(xiǎn)。因此，審計(jì)人員必須清楚模型如何得出結(jié)論，且該邏輯能否用通俗語(yǔ)言解釋清楚。無(wú)法追溯或驗(yàn)證的“黑箱”輸出，不適合用于鑒證工作。

要評(píng)估模型結(jié)論是否可靠，審計(jì)人員需檢查輸入數(shù)據(jù)的質(zhì)量與流轉(zhuǎn)過程——包括數(shù)據(jù)來(lái)源、清洗方式和分組邏輯；理解模型生成結(jié)果所依據(jù)的規(guī)則；并審查是否有可用的測(cè)試或驗(yàn)證記錄，以確認(rèn)輸出準(zhǔn)確且無(wú)偏。

垃圾進(jìn)，垃圾出

若輸入模型的數(shù)據(jù)不完整或已過時(shí)，輸出結(jié)果自然也會(huì)失真。字段缺失會(huì)扭曲趨勢(shì)分析，編碼不一致則可能導(dǎo)致兩個(gè)完全相同的事件被誤判為無(wú)關(guān)。多項(xiàng)調(diào)查（包括加拿大政府內(nèi)部審計(jì)師理事會(huì)〔GIACC〕2024年對(duì)公共部門審計(jì)職能的評(píng)估）均指出，數(shù)據(jù)質(zhì)量是阻礙AI應(yīng)用的主要障礙之一。因此，數(shù)據(jù)驗(yàn)證、清洗和訪問控制本身已成為重要的審計(jì)議題。在依賴任何自動(dòng)化結(jié)果前，審計(jì)人員應(yīng)先測(cè)試數(shù)據(jù)管道的完整性。

切勿交出控制權(quán)

自動(dòng)化并不免除責(zé)任。即便大部分測(cè)試由算法完成，審計(jì)人員仍須對(duì)最終結(jié)論負(fù)責(zé)。過度依賴AI可能削弱職業(yè)懷疑精神，因?yàn)楣ぞ咻敵隹此凭_客觀，實(shí)則未必如此。審計(jì)人員應(yīng)將AI視為初步篩選工具，再通過人工復(fù)核、詢問或其他程序驗(yàn)證標(biāo)記事項(xiàng)，確保發(fā)現(xiàn)結(jié)果在具體業(yè)務(wù)背景下合理可信。

法規(guī)正在加速跟進(jìn)

AI相關(guān)的監(jiān)管要求正迅速完善。例如，《歐盟人工智能法案》草案已明確透明度、數(shù)據(jù)治理和風(fēng)險(xiǎn)分級(jí)等義務(wù)，其官網(wǎng)持續(xù)更新進(jìn)展。一旦AI處理個(gè)人數(shù)據(jù)，還需遵守《通用數(shù)據(jù)保護(hù)條例》（GDPR）和加拿大《個(gè)人信息保護(hù)與電子文件法》（PIPEDA）等隱私法規(guī)。未能滿足這些要求，不僅會(huì)損害信任，還可能招致處罰。在審計(jì)規(guī)劃早期就納入合規(guī)檢查，有助于降低此類風(fēng)險(xiǎn)。

模型自身也需要控制

AI模型會(huì)老化、漂移，甚至可能被惡意篡改。美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院（NIST）發(fā)布的《AI 風(fēng)險(xiǎn)管理框架》（RMF）建議定期測(cè)試、版本管理和防范數(shù)據(jù)投毒及未授權(quán)修改。審計(jì)人員應(yīng)像對(duì)待其他關(guān)鍵IT系統(tǒng)一樣對(duì)待AI模型：審查變更日志、確認(rèn)版本控制機(jī)制，并評(píng)估監(jiān)控流程是否能及時(shí)發(fā)現(xiàn)異常行為。

堅(jiān)守倫理底線

某些AI應(yīng)用會(huì)引發(fā)倫理爭(zhēng)議，尤其是在涉及員工監(jiān)控、生產(chǎn)力數(shù)據(jù)分析或在缺乏上下文的情況下評(píng)估行為時(shí)。為應(yīng)對(duì)這些問題，許多審計(jì)部門已制定AI使用政策，設(shè)立倫理審查委員會(huì)，并規(guī)定重大發(fā)現(xiàn)須經(jīng)人工批準(zhǔn)后方可采取行動(dòng)。遵循經(jīng)濟(jì)合作與發(fā)展組織（OECD）的AI原則，有助于強(qiáng)化問責(zé)制和負(fù)責(zé)任的使用。

治理如何發(fā)揮作用

治理在決定AI與自動(dòng)化是增強(qiáng)還是削弱審計(jì)職能方面起著核心作用。結(jié)構(gòu)化的方法能確保新工具支持審計(jì)目標(biāo)、符合倫理與監(jiān)管要求，并在清晰邊界內(nèi)運(yùn)行。現(xiàn)有治理框架可擴(kuò)展以涵蓋AI引入的新風(fēng)險(xiǎn)與責(zé)任。

通過框架將AI與審計(jì)目標(biāo)對(duì)齊

框架能有效確保AI工具輔助而非取代審計(jì)判斷。COBIT? 是一個(gè)理想的起點(diǎn)，因其將技術(shù)活動(dòng)直接關(guān)聯(lián)到業(yè)務(wù)目標(biāo)。其“評(píng)估、指導(dǎo)與監(jiān)控”（EDM）實(shí)踐幫助審計(jì)團(tuán)隊(duì)明確AI的使用預(yù)期、界定決策責(zé)任，并持續(xù)監(jiān)控工具是否按預(yù)期運(yùn)行。

“構(gòu)建、獲取與實(shí)施”（BAI）域則支持負(fù)責(zé)任的部署。例如，BAI03（管理解決方案識(shí)別與構(gòu)建）強(qiáng)調(diào)在發(fā)布前完成方案設(shè)計(jì)、測(cè)試與審批，這與驗(yàn)證 AI 模型的邏輯、訓(xùn)練數(shù)據(jù)和預(yù)期輸出高度契合；BAI06（管理 IT 變更）則確保所有模型更新均經(jīng)過適當(dāng)審查和記錄，降低“靜默漂移”或未授權(quán)修改的風(fēng)險(xiǎn)。

ISACA的《IT審計(jì)框架》（ITAF）和注冊(cè)信息系統(tǒng)審計(jì)師（CISA?）認(rèn)證體系進(jìn)一步提醒我們：技術(shù)應(yīng)服務(wù)于鑒證目標(biāo)。這些框架強(qiáng)調(diào)證據(jù)、文檔和可重復(fù)測(cè)試的重要性。應(yīng)用于AI時(shí)，意味著必須確保算法輸出可追溯、可驗(yàn)證、可解釋。框架的作用不是讓模型主導(dǎo)結(jié)論，而是將其作為審計(jì)人員綜合判斷中的一個(gè)輸入源。

值得注意的是，NIST AI RMF 提出了全生命周期風(fēng)險(xiǎn)管理；ISO/IEC 27001:2022 仍適用于信息安全與變更管理；而ISO/IEC 42001:2023則新增AI系統(tǒng)管理的具體要求。結(jié)合這些框架與標(biāo)準(zhǔn)，審計(jì)人員可更有效地定制適合自身環(huán)境的審查方法。

重視倫理與專業(yè)指引

對(duì)使用AI的審計(jì)人員而言，倫理正成為一項(xiàng)核心能力。培訓(xùn)內(nèi)容越來(lái)越多地涵蓋如何識(shí)別有害偏見、保護(hù)敏感數(shù)據(jù)。那些將倫理準(zhǔn)則嵌入培訓(xùn)體系的組織，往往在使用AI時(shí)表現(xiàn)出更清晰的決策、更完善的文檔和更強(qiáng)的問責(zé)意識(shí)。

公平、透明、問責(zé)和人類監(jiān)督的價(jià)值無(wú)論如何強(qiáng)調(diào)都不為過。國(guó)際內(nèi)部審計(jì)師協(xié)會(huì)（IIA）的《AI審計(jì)框架》提出了評(píng)估算法決策、驗(yàn)證數(shù)據(jù)質(zhì)量、確保AI結(jié)果可解釋且有據(jù)可依的具體做法。ISACA?也通過相關(guān)指引強(qiáng)調(diào)負(fù)責(zé)任使用、規(guī)范文檔記錄，以及在AI輔助測(cè)試中保持人類主導(dǎo)責(zé)任。此外，從事支付卡行業(yè)（PCI）相關(guān)評(píng)估的審計(jì)人員還可參考PCI安全標(biāo)準(zhǔn)委員會(huì)將于2025年發(fā)布的《在PCI評(píng)估中整合人工智能》指南，其中提供了在符合PCI要求前提下使用AI的實(shí)用建議。

這些原則共同確保：AI工具在提升鑒證效能的同時(shí)，不會(huì)削弱職業(yè)道德與專業(yè)義務(wù)。

彌合差距

傳統(tǒng)審計(jì)方法默認(rèn)每個(gè)環(huán)節(jié)都依賴人工判斷。AI的引入改變了這一動(dòng)態(tài)——自動(dòng)化推理必須經(jīng)過驗(yàn)證。許多團(tuán)隊(duì)通過人工抽樣復(fù)核AI輸出來(lái)彌補(bǔ)這一缺口，尤其當(dāng)模型標(biāo)記異常或劃分風(fēng)險(xiǎn)等級(jí)時(shí)。IIA更新的指引也提供了將此類核查融入標(biāo)準(zhǔn)鑒證流程的實(shí)例。如今，記錄AI如何貢獻(xiàn)審計(jì)證據(jù)、以及驗(yàn)證其假設(shè)所采用的程序，已成為審計(jì)工作的必要組成部分。

熟悉數(shù)據(jù)與模型

隨著AI在審計(jì)中日益普及，審計(jì)人員需具備對(duì)模型行為的基本理解。他們不必會(huì)寫代碼，但應(yīng)能解讀模型輸出，并對(duì)異常結(jié)果提出質(zhì)疑。GIACC的調(diào)查顯示，審計(jì)人員對(duì)培養(yǎng)此類技能的興趣顯著上升，反映出這些工具正快速融入日常鑒證活動(dòng)。

始終以判斷為核心

自動(dòng)化可以提升效率，但無(wú)法替代人類判斷。當(dāng)工具標(biāo)記出異常，審計(jì)人員必須判斷其含義，以及是否真正構(gòu)成控制缺陷。批判性思維和分析推理能力的培訓(xùn)，有助于審計(jì)人員正確解讀系統(tǒng)輸出，確保結(jié)論有充分支撐。

通過認(rèn)證與實(shí)踐學(xué)習(xí)

專業(yè)機(jī)構(gòu)正通過定向培訓(xùn)縮小技能差距。例如，ISACA推出的“AI審計(jì)專家認(rèn)證”（AAIA?）專注于如何審計(jì)和治理AI系統(tǒng)。其他有益的發(fā)展方向包括數(shù)據(jù)分析、風(fēng)險(xiǎn)建模和AI倫理。一些審計(jì)團(tuán)隊(duì)還安排員工輪崗至IT、數(shù)據(jù)分析或數(shù)據(jù)治理崗位，讓他們?cè)谌蘸笤u(píng)估這些系統(tǒng)前，先獲得一手操作經(jīng)驗(yàn)。

來(lái)自一線的經(jīng)驗(yàn)

審計(jì)人員正根據(jù)自身監(jiān)管環(huán)境、數(shù)據(jù)成熟度和日常鑒證挑戰(zhàn)，積極探索AI應(yīng)用。例如，英國(guó)政府內(nèi)部審計(jì)署（GIAA）利用自然語(yǔ)言處理工具，自動(dòng)總結(jié)冗長(zhǎng)報(bào)告并提煉風(fēng)險(xiǎn)主題。

過去，審計(jì)團(tuán)隊(duì)在規(guī)劃和咨詢性復(fù)核階段需耗費(fèi)大量時(shí)間閱讀大量敘述性文檔，人工閱讀既限制覆蓋范圍，又影響一致性。為此，GIAA開發(fā)了一套基于AI的“洞察引擎”，能在過去一個(gè)小團(tuán)隊(duì)審閱少量報(bào)告的時(shí)間內(nèi)，處理并總結(jié)上百份報(bào)告。該工具幫助審計(jì)人員擴(kuò)大覆蓋范圍、縮短規(guī)劃周期、更快識(shí)別重復(fù)出現(xiàn)的主題。當(dāng)然，資深審計(jì)師仍會(huì)復(fù)核并驗(yàn)證AI生成的洞察，確保最終決策由人類判斷主導(dǎo)。

這一案例充分體現(xiàn)了自動(dòng)化與人工監(jiān)督結(jié)合的價(jià)值：機(jī)器加速閱讀，而人確保上下文與判斷不失真。

結(jié)語(yǔ)

AI與自動(dòng)化正在重塑IT審計(jì)。它們能擴(kuò)大測(cè)試覆蓋面、縮短現(xiàn)場(chǎng)工作時(shí)間、提升洞察深度。但同時(shí)，也帶來(lái)了新風(fēng)險(xiǎn)——如數(shù)據(jù)偏見、黑箱模型、以及復(fù)雜的合規(guī)要求。COBIT、NIST AI RMF、ISO/IEC標(biāo)準(zhǔn)等指引，為負(fù)責(zé)任地采納這些技術(shù)提供了堅(jiān)實(shí)基礎(chǔ)。

成功的關(guān)鍵在于將創(chuàng)新與強(qiáng)有力的治理、訓(xùn)練有素的團(tuán)隊(duì)相結(jié)合。從小處著手、提升數(shù)據(jù)質(zhì)量、規(guī)范方法記錄，有助于維護(hù)審計(jì)的公信力。只要部署得當(dāng)、使用得法，自動(dòng)化非但不會(huì)威脅審計(jì)職業(yè)，反而能讓審計(jì)人員騰出更多時(shí)間去質(zhì)疑、去建議——而這，正是審計(jì)價(jià)值的核心所在。

來(lái)源：ISACA微信公眾號(hào)

編輯：孫哲

目前190000+人已關(guān)注我們，您還等什么？