Comité de Auditoría | Empoderando el liderazgo de la IA

Comité de Auditoría Empoderando el liderazgo de la IA

Contenido

Introducción | Responsabilidades | Supervisión | Guía de discusión | Agenda | Recursos | Notas finales

Otros módulos:

Introducción

El uso de la inteligencia artificial (IA) está llegando rápidamente a todos los rincones de la industria de tal manera que afecta las responsabilidades del Comité de Auditoría, tanto directa como indirectamente. Y a medida que pasa el tiempo, los casos de uso de IA se volverán ubicuos. Una empresa ya puede usar IA directamente en sus sistemas financieros, planificación y análisis financieros (FP&A), procesos de auditoría internos, detección de fraude, gestión de activos u otras funciones relacionadas. Además, el uso de la IA por parte de una empresa en sus productos, servicios y operaciones comerciales podría afectar sus resultados financieros y sus decisiones de inversión, y podría requerir controles específicos, auditorías u otro tipo de gestión y supervisión. Cada vez más, los auditores externos están incorporando la IA en el proceso de auditoría en sí, tanto para permitir mejores pruebas de transacciones como para automatizar lo que hoy son las tareas manuales. Es probable que las leyes y normas cambiantes tengan un impacto creciente en los programas de IA, datos y privacidad de la empresa. Este módulo se enfoca en las responsabilidades del Comité de Auditoría específicamente a medida que se cruzan con IA, como se describe más adelante. (La supervisión del riesgo se aborda en un módulo separado).

1

Las empresas están integrando el uso de la IA en todo el negocio.

A medida que se expande el uso de IA por parte de las empresas en las ofertas de productos y servicios, la producción, las ventas y la distribución, el mantenimiento y el control de calidad, la IA tendrá un impacto cada vez mayor en los resultados e informes financieros de la empresa. Por ejemplo, el uso del aprendizaje automático y el análisis de datos en actividades de FP&A promete tener un impacto significativo en las decisiones de inversión de la gerencia en líneas de productos, investigación y desarrollo, enfoques de comercialización y niveles de dotación de personal. Para tomar decisiones acertadas, la gerencia debe entender dónde y cómo se está utilizando la IA, los supuestos subyacentes y los datos utilizados para capacitar a los modelos, por qué se ha elegido un modelo en particular, con qué frecuencia se deben volver a probar y capacitar los modelos, y el valor predictivo realista (o límite) de las herramientas. Pocos miembros del personal de FP&A poseen hoy en día las habilidades técnicas que serán críticas para el éxito en un mundo basado en el análisis predictivo y la IA.

Los estados financieros de la empresa reflejan su desempeño en un período de tiempo determinado y generalmente incluyen comparaciones con un período anterior. Por ejemplo, en Estados Unidos la gerencia debe discutir y analizar los resultados financieros presentes y pasados en los informes de valores. Mientras la IA afecta cada vez más el desempeño financiero, la gerencia enfrentará una mayor complejidad para garantizar la integridad de los estados financieros y proporcionar una divulgación transparente a los inversores, empleados y otras partes interesadas. La transparencia influirá en la selección del modelo, ya que no será aceptable que la gerencia no sepa explicar cómo, por qué o qué sustenta las decisiones materiales o cómo un resultado determinado basado en la IA es coherente con la estrategia comercial de la empresa. Por lo tanto, comprender la forma en que se implementa la IA dentro de una organización es cada vez más importante para comprender los estados financieros. Para cumplir con sus responsabilidades de supervisión, el Comité de Auditoría debe asegurarse de que la gerencia haya tomado las medidas apropiadas para garantizar que el uso de IA no ha comprometido la integridad de los estados financieros.

2

Las funciones de auditoría interna están implementando cada vez más la IA para respaldar el cumplimiento de la ley, detectar fraudes y mitigar riesgos.

Una encuesta reciente de las partes interesadas de auditoría internas indicó que el 13% de los encuestados ya han implementado soluciones de IA como parte de su proceso de auditoría interna, mientras que otro 16% planea hacerlo.[1] Dentro de la función de auditoría interna, las empresas están utilizando IA para recopilar, analizar y actuar sobre grandes cantidades de datos para ayudar a garantizar el cumplimiento legal, detectar el fraude y mitigar los riesgos. Sin embargo, la eficacia de la IA en cada uno de estos casos de uso depende de la disponibilidad y la calidad de los datos requeridos y la capacidad del personal de auditoría interna para revisar, analizar y dar sentido a los resultados. Los jefes de auditoría interna deberán trabajar para recopilar los datos necesarios de una forma que sea compatible con las herramientas de IA que se utilizan para garantizar que los resultados esperados se alcancen de manera confiable. Inicialmente, el uso de IA en las operaciones de auditoría interna implicará poco más que la aplicación de modelos estadísticos y umbrales proporcionados por humanos. A medida que los auditores internos se sientan más cómodos con la ciencia de datos aplicada, utilizarán algoritmos y fuentes de datos cada vez más complejos. Para tener éxito, el personal de auditoría interna y legal requerirá capacitación y habilidades apropiadas para comprender las herramientas, los aportes, las limitaciones y el significado de los resultados con respecto al cumplimiento legal y la detección / prevención del fraude.

3

Se espera que los auditores externos integren rápidamente la IA en todas las partes del proceso de auditoría.

Una encuesta reciente para partes interesadas de auditoría interna indicó que el 13% de los encuestados ya han implementado soluciones de IA como parte de su proceso de auditoría interna, mientras que otro 16% planea hacerlo.[1] Dentro de la función de auditoría interna, las empresas están utilizando IA para recopilar, analizar y actuar sobre grandes cantidades de datos para ayudar a garantizar el cumplimiento legal, detectar el fraude y mitigar el riesgo. Sin embargo, la eficacia de la IA en cada uno de estos casos de uso depende de la disponibilidad y la calidad de los datos requeridos y la capacidad del personal de auditoría interna para revisar, analizar y dar sentido a los resultados. Los jefes de auditoría interna deberán trabajar para recopilar los datos necesarios de una forma que sea compatible con las herramientas de IA que se utilizan para garantizar que los resultados esperados se alcancen de manera confiable. Inicialmente, el uso de la IA en las operaciones de auditoría interna implicará poco más que la aplicación de modelos estadísticos y umbrales proporcionados por humanos. A medida que los auditores internos se sientan más cómodos con la ciencia de datos aplicada, utilizarán algoritmos y fuentes de datos cada vez más complejos. Para tener éxito, el personal de auditoría interna y legal requerirá capacitación y habilidades apropiadas para comprender las herramientas, los aportes, las limitaciones y el significado de los resultados con respecto al cumplimiento legal y la detección/prevención del fraude.

Responsabilidades

De acuerdo con los Principios de Gobierno Corporativo de la OCDE y del G20:[2]

Los miembros de la junta deben actuar con pleno conocimiento de causa, de buena fe, con la diligencia y el cuidado debidos, y en el mejor interés de la empresa y de las partes interesadas. (Principio VI.A)

Estos principios se aplican por igual a los miembros del Comité de Auditoría, que son los principales responsables de:

Supervisar la integridad de todos los estados financieros, el contenido de los informes financieros y la implementación y cumplimiento de los controles internos adecuados
Supervisar las habilidades, la independencia y el desempeño de los auditores externos de la compañía
Supervisar la función de auditoría interna, cuando corresponda
Supervisar los programas y políticas de gestión de riesgos (en tal caso de que la junta no haya constituido un Comité de Riesgos separado)
Supervisar el cumplimiento de las leyes y normas.

La junta debe cumplir ciertas funciones vitales, entre ellas asegurar la integridad de los sistemas de contabilidad y de información financiera de la empresa, incluida la auditoría independiente, y que existan sistemas de control adecuados, en particular, sistemas de gestión de riesgos, control financiero y operacional, y cumplimiento de la ley y las normas pertinentes. (Principio VI.D.7)

Dada la creciente participación de la IA en la actividad comercial, las actividades operativas, la función de auditoría interna y el proceso de los auditores externos de la empresa, con el fin de ayudar a la junta a cumplir con sus responsabilidades con los accionistas y otras partes interesadas, los miembros del Comité de Auditoría deben hacer un esfuerzo diligente y de buena fe para:

Comprender el enfoque de la gerencia para evaluar, implementar y administrar la IA y los riesgos relacionados con la IA en toda la empresa
Revisar los controles internos de la empresa y gestionar los sistemas de inteligencia artificial
Discutir con la gerencia el uso actual y planificado de la IA dentro de la empresa
Discutir el papel de la IA en los procesos de auditoría interna y externa con la empresa pertinente y el personal auditor independiente
Conocer los riesgos, beneficios e incógnitas asociados con el uso de IA como parte de los procesos de auditoría
Discutir el cumplimiento por parte de la gerencia de los requisitos legales y normativos aplicables relacionados con la IA
Incluir en su revisión anual de las habilidades, la independencia y el desempeño del equipo de auditoría externa, el uso del auditor de IA en relación con cualquier trabajo de auditoría de la empresa, así como las capacidades del equipo de auditoría en el uso de los tipos de herramientas de IA que se implementan en el encargo
Requerir que el personal de auditoría interna tenga acceso a capacitación y soporte apropiados.

Además, los miembros del Comité de Auditoría de las empresas que aún no han incorporado IA como parte de las funciones de auditoría interna y gestión de riesgos deben evaluar si la implementación de soluciones de IA es necesaria y/o apropiada para cumplir con sus responsabilidades. Los factores para considerar incluyen:

Los costos de implementar soluciones de IA, sopesados contra los riesgos anticipados y los beneficios percibidos;

Esto incluye comprender como mínimo: a) la capacidad y los límites de las propias herramientas de IA; b) el alcance y la calidad de los datos disponibles para implementar con las herramientas de IA; c) la capacitación y supervisión del personal responsable de implementar las herramientas de IA; d) la capacitación y supervisión de las propias herramientas de IA; y e) cómo se evaluarán los resultados de las herramientas de IA en cuanto a su precisión, transparencia, eficacia e impacto en el negocio.

La eficacia de las soluciones, controles y procesos antifraude y de gestión de riesgos existentes;

La capacidad de tales tecnologías para explicar, describir y atribuir sus resultados y procesos analíticos, y;

Los regímenes normativos aplicables a la empresa y las jurisdicciones en las que opera la empresa.

Por ejemplo, la Ley de Prácticas Corruptas en el Extranjero de EE. UU. dispone que es ilegal para cualquier empresa que tenga valores registrados en los Estados Unidos o que tenga su sede comercial principal dentro de los Estados Unidos, realizar pagos indebidos a funcionarios del gobierno en cualquier parte del mundo. Dado este amplio alcance, las empresas con operaciones significativas en EE.UU. y en todo el mundo pueden beneficiarse de la incorporación de herramientas de análisis de datos basadas en la IA para ayudar a identificar transacciones potencialmente inadecuadas.

El análisis de esta sección se basa en los principios generales de gobierno corporativo, incluidos los Principios de Gobierno Corporativo de la OCDE y el G20, 2015. Este análisis no constituye asesoría legal ni pretende abordar los requisitos legales específicos de ninguna jurisdicción o régimen normativo. Se alienta a las juntas a consultar con sus asesores legales para determinar la mejor manera de aplicar los principios discutidos en este módulo a su empresa.

Supervisión

Recomendaciones para la supervisión responsable de la IA por parte del Comité de Auditoría:

Instrúyase y manténgase informado sobre los avances de IA que puedan afectar la actividad comercial de la empresa, sus informes financieros, el uso de datos, la transferencia y almacenamiento, los riesgos, los beneficios y las consideraciones éticas (como el uso de este kit de herramientas).

Solicite que el Comité de Auditoría reciba informes periódicos de la gerencia sobre el uso de IA por parte de la empresa.

Las discusiones con la gerencia deben centrarse en: 1) un marco para la gestión y la toma de decisiones relacionadas con la IA; 2) supervisión, calidad y responsabilidad de las herramientas de IA; 3) riesgos para la empresa en relación con el uso de IA; y 4) el impacto de la IA en el desempeño financiero.

Tenga en cuenta los costos y beneficios de implementar soluciones de IA, especialmente en comparación con otras opciones disponibles.

Aliente al personal de auditoría interna a evaluar herramientas potenciales de IA y proporcionar recursos suficientes para garantizar una implementación exitosa.

Discuta regularmente con auditores externos sobre la implementación y la responsabilidad de la IA como parte del proceso de auditoría.

Las discusiones deben centrarse en mantener la supervisión humana del proceso de auditoría, identificando áreas en las que la IA es o no apropiada, las medidas y controles para garantizar que la IA cumpla su propósito previsto y no cause daños no intencionados.

Discuta y comprenda cómo el uso de la IA se cruza con las políticas de datos de la empresa, los requisitos legales y otras reglas de conducta empresarial.

Continúe revisando las normas y procedimientos de gobernanza de la IA a la luz de la evolución de las condiciones comerciales y las tecnologías de IA.

Esto requerirá que los miembros del Comité de Auditoría se mantengan informados sobre el desarrollo de tecnologías de IA tanto en la industria de la compañía como en el campo de la auditoría.

Supervise los avances legales y normativos relacionados con la IA, los datos y la privacidad.

Reconozca que el Comité de Auditoría es en última instancia responsable de ayudar a la junta a supervisar a la gerencia en la preparación de estados financieros precisos y completos, así como de las habilidades, independencia y desempeño de los auditores externos de la empresa.

Guía de discusión

El Comité de Auditoría debe establecer un tiempo a intervalos regulares para considerar las siguientes preguntas sobre los estados financieros y la integridad de la auditoría y la IA:

¿Qué aplicaciones y procesos internos de la empresa utilizan la tecnología de inteligencia artificial hoy en día? ¿Qué usos existen a futuro y/o dentro de los planes de la gerencia a tres y cinco años?
Dentro de la empresa, y para cada herramienta de IA, ¿quién supervisa su uso y evaluación? ¿Qué tan familiarizada está la gerencia con esos usos, cómo se supervisan y siguiendo qué normas y controles internos?
¿Qué controles se han establecido para evaluar y exigir que el uso de la IA alcance su objetivo previsto de forma continua?
¿Qué controles se han establecido para evaluar y exigir que el uso de la IA no cause daños involuntarios?
¿De qué manera (si la hay) afecta la IA a la preparación de los estados financieros de la empresa, directa o indirectamente?
¿Podría la función de auditoría interna de la empresa beneficiarse de la implementación de soluciones de IA (por ejemplo, análisis de datos avanzados para revisar un gran número de contratos y detectar posibles fraudes)? De ser así, ¿quién dentro de la empresa supervisará la implementación de tales herramientas, cuál es su responsabilidad de informar y qué presupuesto debe aprobarse para tales soluciones y la capacitación relacionada del personal de auditoría interna?
¿Cuáles son los riesgos potenciales (si los hay) de usar soluciones de IA como parte de los controles internos y de la función de auditoría interna de la empresa? ¿Qué se puede hacer para mitigar estos riesgos?
¿Permite la gerencia de la empresa que las herramientas de IA se desplieguen de tal manera que sustituyan el juicio y la supervisión independientes de la gerencia?
¿Qué papel juega la IA en la auditoría externa? ¿Qué controles sobre IA tiene el auditor externo de la empresa?
¿La gerencia de la empresa ha discutido adecuadamente con los auditores externos el impacto de las soluciones de IA en los estados financieros de la empresa?
¿Tiene el personal de auditoría externa (incluidos el socio del proyecto y los altos cargos del equipo de auditoría) los conocimientos y la formación necesarios para comprender el uso apropiado y las limitaciones de la IA por parte de la empresa y en la propia auditoría?
A medida que la prevalencia y el número de soluciones de IA siguen creciendo, ¿qué medidas deberá tomar la empresa para asegurar que estas soluciones se implementen de tal manera que permitan al Comité de Auditoría mantener una supervisión efectiva tanto de los controles internos sobre los informes financieros como del proceso de auditoría?
¿Son adecuados los programas de ciberseguridad de la empresa para evitar la manipulación de las fuentes de datos utilizadas para entrenar algoritmos, así como los modelos de IA empleados por la compañía que pueden afectar los estados financieros?
¿Están las políticas de datos de la empresa en línea con el uso de soluciones de IA que pueden afectar a los estados financieros? ¿Cumplen con las normativas aplicables?
¿Existen advertencias adicionales, factores de riesgo u otras exenciones de responsabilidad que deban incorporarse para acomodar el uso (o no uso) de las herramientas de IA para funciones de auditoría particulares?
¿Afecta el uso de las herramientas de IA de alguna manera al cronograma, tiempo o contenido de los procesos y procedimientos del Comité de Auditoría de la empresa?
¿Qué recursos le gustaría al Comité de Auditoría tener para entender y/o mantenerse al día con el uso de la IA dentro de la empresa?
¿Contiene el Comité de Auditoría uno o más miembros con conocimientos y/o experiencia en prácticas relevantes en materia de inteligencia artificial? ¿Ha designado el comité a un miembro responsable de la adquisición de dichos conocimientos?

Agenda

Solicitar a la gerencia un informe periódico sobre el uso actual o previsto de la IA dentro de la empresa que: a) asista a las funciones de auditoría interna; b) asista a las funciones de auditoría externa; y c) afecte indirectamente a los informes y resultados financieros de la empresa. Considerar la posibilidad de poner en marcha un tutorial anual sobre las herramientas disponibles. (Ver la guía de discusión, arriba)
Considerar las directrices específicas de la empresa para cualquier herramienta de IA que afecte o pueda afectar a los estados financieros y/o a la información financiera, incluidas las normas para proveedores y auditores externos que utilicen dichas herramientas. Dichas directrices pueden incluir políticas de datos, objetivos de precisión, normas éticas y salvaguardas, requisitos de presentación de informes y de transparencia, la capacidad de interrogar resultados, actualizar requisitos, etc.
Establecer un punto regular en el programa del Comité de Auditoría para revisar los usos actuales y futuros de la IA dentro de la empresa, incluyendo una revisión de cualquier problema o reto que haya surgido con respecto a dicho uso.
Solicitar a la gerencia informes periódicos sobre la implantación y desarrollo de herramientas de IA en la empresa en la medida en que afecten a la función de auditoría.
Solicitar informes regulares de la función legal para obtener una comprensión de los requisitos y normas legales vigentes con respecto al uso de la IA, los cuales pueden diferir de una jurisdicción a otra y pueden cambiar con el tiempo.
Exigir que el código de conducta de la compañía o políticas equivalentes incluyan declaraciones claras sobre el compromiso de la compañía con el uso ético de la IA en los negocios de la compañía.

Recursos

(Enlaces a partir del 20/7/19)

Center for Audit Quality, “Oversight Tool for Audit Committees”.
“Director FAQ: Board Oversight of Emerging Technologies”.
EY Center for Board Matters, “When Boards Look to AI What Should They See”.
JT Kostman, “Future Tech: Unprecedented Opportunities, Unrivaled Threats” NACD Directorship, septiembre/octubre de 2018.
KPMG Board Leadership Center, “Board’s Eye View of Data Analytics”.
The Institute of Internal Auditors, “2018 North American Pulse of Internal Audit, The Internal Audit Transformation Imperative”.

Notas finales

(Enlaces a partir del 20/7/19)

[1] The Institute of Internal Auditors, “2018 North American Pulse of Internal Audit”, p. 13.
[2] G20/OECD Principles of Corporate Governance, 2015.

Otros módulos:

Appreciate