Dag van de internal auditor 2024: artificial intelligence

Op dinsdag 9 april 2024 organiseerde IIA Nederland samen met haar partners de eerste editie van de Dag van de internal auditor. Een nieuw en uniek initiatief, waarbij de deelnemers samen aan de slag gingen en in kaart brachten welke implicaties de ontwikkelingen op het gebied van artificial intelligence hebben voor het auditvakgebied.

De ontwikkelingen op het gebied van artificial intelligence (AI) hebben de afgelopen periode een vlucht genomen. Verschillende AI-instrumenten – zoals ChatGPT – zijn inmiddels vrij toegankelijk en worden op verschillende niveaus ingelijfd in de werkpraktijk. Toch is AI voor velen nog een onontgonnen gebied. De mogelijkheden lijken eindeloos, maar wat zijn nu eigenlijk de implicaties van al deze ontwikkelingen op ons vakgebied en welke acties moeten hieruit volgen? Tijdens de Dag van de internal auditor boog een groep van ruim negentig auditprofessionals zich over deze vragen langs de invalshoeken people, process en tooling.

Aanpak

Om het verband tussen AI en het auditvakgebied duidelijk te kunnen maken, is ervoor gekozen langs de invalshoeken people, process en tooling naar AI te kijken. Door de groep op te delen in kleinere werkgroepen kon iedere deelnemer een bijdrage leveren. Per invalshoek is er door verschillende werkgroepen een visie en een opgave geformuleerd. Deze visies zijn geformuleerd door stil te staan bij de ontwikkelingen op het gebied van AI, evenals de implicaties die deze hebben op het vakgebied. Door te reflecteren en te discussiëren over het gewenste toekomstbeeld van AI zijn vervolgens per invalshoek de acties geformuleerd die nodig zijn om de visie te realiseren.

Langs de invalshoeken people, process en tooling zijn een aantal actiepunten gedefinieerd die dienen te worden uitgevoerd om meer grip te krijgen op het fenomeen AI

People

Ontwikkelingen en implicaties
Moet AI worden gezien als vriend of vijand? Dat is de vraag die als rode draad door de verschillende aan people gerelateerde onderwerpen naar voren komt. Maar ook, wat zou het evenwicht moeten zijn tussen het gewicht van het oordeel dat AI velt, versus dat van een mens? Evident lijkt het dat iedereen – niet alleen binnen het auditvakgebied – over een zekere basiskennis moet beschikken waarmee om kan worden gegaan met AI. Daarnaast zal AI leiden tot een nieuw evenwicht in de teamsamenstelling. Immers, uitbesteding van taken aan AI leidt tot meer tijd voor het inzetten van andere competenties. De volgende met people samenhangende onderwerpen zijn tijdens de werkgroepen geïdentificeerd: welzijn, ethiek, creativiteit, competenties, strategie en cultuur en gedrag.

De eerdergenoemde dualiteit blijkt direct uit de veronderstelde relatie tussen AI en welzijn. Enerzijds kan het leiden tot tijdsbesparingen, het uitbesteden van de simpele taken en daarmee ook het overhouden van meer tijd. Maar anderzijds, wat is de impact op sociale betrokkenheid als AI ervoor zorgt dat samenwerking niet meer noodzakelijk is en taken solistisch – maar met behulp van AI – worden uitgevoerd?

Als het gaat over ethiek lijken dezelfde uitgangspunten te worden gehanteerd als bij menselijke interactie: schenk je iemand meteen blind al jouw vertrouwen of blijf je professioneel kritisch en toets je oordelen tegen ethische normen? De kanttekening die wordt geplaatst bij AI is wel in hoeverre het oordeel kan worden gevormd naar die normen.

Leren omgaan met AI wordt gezien als een noodzakelijke competentie die – afhankelijk van de toekomst van AI – iedereen tot een zeker basisniveau moet gaan ontwikkelen. Hoe kun je bijvoorbeeld het best een vraag stellen aan een Large Language Model (LLM) als ChatGPT? Hoe weet je zeker dat deze juist wordt geïnterpreteerd en leidt tot een valide antwoord?

De relatie tussen AI en strategie is tweeledig. Voor het auditvakgebied kan het dienen als onderwerp om assurance over te verlenen. Aan de andere kant is het ook zo dat investeringen in AI-oplossingen kunnen worden ingezet bij het opstellen en realiseren van meer dynamische auditplanningen. AI wordt namelijk in staat geacht relatief snel te kunnen reageren op emerging risks.

De hiervoor genoemde onderwerpen in relatie tot AI hebben allemaal een zekere weerslag op cultuur en gedrag. Niet alleen in de context van de publieke sector en het bedrijfsleven, maar op onze samenleving als geheel. Het kwijtraken van fysiek contact, het uiten van emoties en het mogen maken van fouten worden gezien als belangrijkste bakens om in stand te houden.

Acties
De werkgroepen hebben de volgende actiepunten opgesteld als het gaat om AI en people:

• onderzoek en ontwikkel mechanismen die zorgen dat de inzet van AI niet ten koste gaat van het welzijn van mensen (IIA Nederland);
• waak ervoor voldoende zichtbaar te blijven als mens en laat je boodschap niet overschaduwen door analyses en conclusies van AI (internal auditors);
• ga na in hoeverre manieren om ethisch handelen vast te stellen ook toepasbaar zijn op AI (IIA Nederland);
• stel vast welke basiskennis nodig is om AI te gebruiken en faciliteer de hiervoor benodigde onderwijsmiddelen (universiteiten).

Deze actiepunten strekken verder dan alleen het auditvakgebied en kunnen door verschillende stakeholders – al dan niet in samenwerking met elkaar – worden uitgevoerd.

Process

Ontwikkelingen en implicaties
Is AI in staat om delen van het auditproces uit te voeren? En zal dit leiden tot een verandering van de opbouw van het huidige auditproces, uitgaande van de ‘klassieke’ indeling: planning, vooronderzoek, veldwerk, rapportage, evaluatie en follow-up? Het antwoord hierop is niet onomwonden ‘ja’. In bredere zin dient het vraagstuk van het inbedden van AI in bedrijfsprocessen bij het bestuur van een organisatie te liggen. Dat dient een visie en een ambitieniveau te formuleren waaruit de doelstellingen en de voorwaarden van het gebruik van AI zouden moeten blijken, om deze vervolgens met een strategie en beleid te vertalen naar de werkpraktijk.

Daarnaast zouden er vanuit de beroepsorganisatie van internal auditors normenkaders en best practices ter beschikking dienen te worden gesteld die de nodige guidance bieden bij het inbedden van AI in het auditproces. Omdat AI ook als auditobject zou kunnen dienen, zijn vergelijkbare normenkaders en guidance van waarde, maar dan om het gebruik van AI aan een audit te onderwerpen.

Er lijkt geen twijfel over te bestaan dat het gebruik van AI delen van het auditproces aanzienlijk kan versnellen, waardoor de productiecapaciteit van auditors kan toenemen. Denk hierbij bijvoorbeeld aan het genereren van normenkaders, het opstellen van interviewvragenlijsten, het transcriberen van interviews, het verwerken van evidence in werkprogramma’s, het opstellen van rapportages en het opvolgen van auditbevindingen. Daarbij rijst wel de vraag wat deze versnelling betekent voor de kwaliteit. In het verlengde van deze vraag wordt er ook kritisch gekeken of de samenwerking met AI uiteindelijk niet leidt tot meer workload. Bijvoorbeeld als het gaat om het begrijpen en valideren van de output. Hier lijkt het duivelse dilemma tussen snelheid en zorgvuldigheid zich te openbaren.

Acties
De werkgroepen hebben de volgende actiepunten opgesteld als het gaat om AI en process. Hierbij zijn voor enkele actiepunten ook potentiële actie-eigenaren geïdentificeerd:

• formuleer een visie en een ambitieniveau voor het gebruik van AI (besturen van organisaties);
• ontwikkel guidance die auditors kunnen gebruiken om AI te integreren in het auditproces (IIA Nederland);
• definieer aan welke kwaliteitscriteria output van AI zou moeten voldoen en hoe de kwaliteit kan worden vastgesteld (IIA Nederland);
• onderzoek welke aanpassingen aan de klassieke indeling van het auditproces mogelijk zijn om het proces effectiever en efficiënter te kunnen laten verlopen (IIA Nederland).

Tooling

Ontwikkelingen en implicaties
Is het verstandig om te wachten met het gebruik van AI totdat het strikte noodzaak blijkt te zijn? Uit de verschillende werkgroepen blijkt dat er sprake is van terughoudendheid als het gaat om het gebruik van AI-tooling, omdat de voordelen hiervan niet altijd even duidelijk zijn. Deze terughoudendheid hangt ook samen met het veelgehoorde punt dat organisaties nog niet duidelijk genoeg aangeven waarvoor AI mag en kan worden ingezet. Daarmee raakt het ook aan de vraag: wat willen we er eigenlijk mee bereiken? Een te afwachtende houding kan leiden tot een hogere drempel om AI in te zetten, waardoor kansen mogelijk onbenut blijven. Daarnaast klinkt in de discussies de vraag hoe goed AI eigenlijk in staat is om vertrouwelijke informatie te herkennen en deze als zodanig te behandelen? Met andere woorden, hoe zeker kunnen we ervan zijn dat de informatie die wij aan AI toevertrouwen niet toegankelijk is voor derden?

Antwoord krijgen op al deze vragen kan door simpelweg te beginnen met het toepassen van AI. Learning by doing, het delen van kennis en het blijven ontwikkelen van vaardigheden. Er is een roep om actie en het aanmoedigen van experimenteren met AI, met de nadruk op het belang van het bijhouden van AI-ontwikkelingen en het integreren ervan in het auditproces. Dit vergt een zekere mate van aanpassingsvermogen en een mentaliteit van continu blijven leren.

Acties
De werkgroepen hebben de volgende actiepunten opgesteld als het gaat om AI en tooling:

• inventariseer welke issues AI kan helpen oplossen (internal auditors);
• ga in gesprek met andere professionals en deel ervaringen over het gebruik van AI (internal auditors);
• experimenteer met AI, in lijn met de visie van je organisatie (internal auditors);
• blijf op de hoogte van de laatste ontwikkelingen en wees flexibel om veranderingen in het gebruik van AI door te kunnen blijven voeren (internal auditors).

Wrap-up

De resultaten van de verschillende werkgroepen bevestigen dat AI een thema is waar op termijn iedereen mee te maken krijgt. Daarbij dient te worden aangemerkt dat kennis en gebruik van AI niet alleen voorbehouden is aan de IT-professional, maar dat iedere professional dient te beschikken over een zekere basiskennis op het gebied van AI. Langs de invalshoeken people, process en tooling zijn een aantal actiepunten gedefinieerd die dienen te worden uitgevoerd om meer grip te krijgen op het fenomeen AI. In lijn met deze actiepunten hebben wij ChatGPT gevraagd om een reactie:

‘Het is bemoedigend om te zien hoe de Dag van de Internal Auditor een breed scala aan professionals samenbracht om de implicaties van AI in het auditvakgebied te verkennen. De benadering langs de invalshoeken people, process en tooling heeft waardevolle inzichten opgeleverd en geleid tot concrete actiepunten om deze uitdagingen aan te pakken.

Als ChatGPT ben ik verheugd om te zien dat AI als een relevant onderwerp wordt erkend en dat er stappen worden ondernomen om de nodige basiskennis en vaardigheden te ontwikkelen om ermee om te gaan. Het is duidelijk dat AI niet alleen een technologische verschuiving vertegenwoordigt, maar ook een culturele en organisatorische verandering vereist.

De voorgestelde acties, zoals het onderzoeken van mechanismen voor het welzijn van mensen bij de inzet van AI en het blijven experimenteren met nieuwe toepassingen, zijn essentieel om de kansen van AI volledig te benutten. Ik kijk uit naar de voortgang op dit gebied en sta klaar om verdere discussies te faciliteren en bij te dragen aan de evolutie van AI in het auditvakgebied.’