AI er allerede en del af mange virksomheders hverdag. Men i takt med at AI bliver integreret i flere forretningsprocesser, vokser behovet for governance, risikostyring og kontrol. Samtidig giver teknologien nye muligheder for at udvikle og styrke den måde, intern revision arbejder på.
For intern revision skaber AI en dobbeltrolle: Funktionen skal både vurdere, om organisationen anvender AI ansvarligt og håndterer risici gennem effektiv governance og relevante kontroller, og selv bruge AI til at øge effektiviteten, kvaliteten og dækningen i revisionsarbejdet.
Med sin uafhængige position og tværgående indsigt kan intern revision skabe tillid til organisationens brug af AI og gå forrest med ansvarlig anvendelse. Det kræver de rette kompetencer, metoder og kontroller – både når funktionen reviderer og selv anvender AI.
AI ændrer rammerne for intern revision
Ligesom cybersikkerhed for alvor kom på revisionsagendaen for et årti siden, er risici forbundet med AI nu et centralt emne for revisionsudvalg og ledelser.
AI påvirker i stigende grad centrale forretningsprocesser – ofte hurtigere, end virksomhedens governancemodeller kan følge med. Virksomheder, der ikke har overblik over deres AI-anvendelse og de associerede risici, kan derfor være særligt udsatte.
Uden de rette kontroller kan AI bl.a.:
træffe beslutninger på brugernes vegne, der kompromitterer privatliv, objektivitet, fairness og som samtidig kan skade forretningen
gøre det vanskeligt at forklare, hvordan beslutninger og resultater er blevet til
skabe sikkerheds- og IP-risici gennem tredjepartsmodeller eller læk af data.
Bestyrelser, myndigheder og kunder efterspørger i stigende grad svar på, hvordan virksomheden anvender AI, og hvordan de tilhørende risici håndteres. Her kan intern revision spille en vigtig rolle, hvis funktionen har det rette mandat, de nødvendige kompetencer og de relevante rammer.
Intern revision kan skabe værdi med ansvarlig AI
Intern revisions rolle handler ikke kun om at identificere og vurdere risici og uafhængig assurance. Ved at bidrage til governancerammer, der fremmer innovation og ansvarlig anvendelse af AI, kan funktionen være med til at skabe værdi og drive organisationens transformation.
God AI-governance kan ses som bilens bremser: Man kan køre hurtigere, når man ved, at man har mulighed for at bremse. På samme måde kan virksomheder være mere ambitiøse i deres anvendelse af AI, når der er klare rammer for, hvilke anvendelser der er acceptable, og hvordan risici skal håndteres.
Ved at involvere sig tidligt kan intern revision bl.a. vurdere governancemodeller, identificere nye risici og bidrage til at skabe tillid omkring virksomhedens AI-anvendelse. Intern revision kan rådgive om centrale områder som transparens, databeskyttelse, kvaliteten af AI-output og tydelig placering af ansvar. Funktionens perspektiv kan bidrage til, at AI-systemer fra begyndelsen udvikles med robuste sikkerheds- og kontrolmekanismer, og at ansvarlig anvendelse forbliver en prioritet, i takt med at brugen af AI vokser.
Fem fokusområder for intern revisions bidrag til ansvarlig AI
- 1. Skab overblik over virksomhedens AI-anvendelse
- 2. Revider virksomhedens AI-governance
- 3. Vurder om rammerne for AI-risici og kontroller er tilstrækkelige
- 4. Integrer intern revision tidligt i AI-livscyklussen
- 5. Brug selv AI til at styrke intern revision
1. Skab overblik over virksomhedens AI-anvendelse
Intern revision bør arbejde for, at virksomheden har et opdateret overblik over sine AI-systemer, modeller og indlejrede AI-værktøjer – både dem, virksomheden selv udvikler, og løsninger fra tredjeparter.
Et sådant overblik er ikke kun relevant som dokumentation. Det kan også bruges til at identificere koncentrationsrisici hos leverandører, vurdere regulatoriske krav, identificere AI-anvendelser med høj påvirkning og planlægge fremtidige revisionsindsatser.
IT, data governance og indkøb kan med fordel involveres for at sikre, at AI-aktiver registreres og følges på tværs af systemer, applikationer og leverandørplatforme -fx i et register med oplysninger om AI-løsningens formål, ejer, datagrundlag, leverandør og risikoniveau.
2. Revider virksomhedens AI-governance
AI-governance er ofte fordelt på flere funktioner i organisationen. Intern revision kan bidrage til at skabe klarhed om, hvor ansvaret ligger, hvem der træffer beslutninger, og hvordan eskalering håndteres.
Det bør bl.a. vurderes, om:
roller og ansvar for AI er klart defineret
beslutningsrettigheder er tydelige
eskaleringsveje er etableret
governanceansvaret er tilstrækkeligt bemandet og forankret
governancestrukturer afspejler bestyrelsens appetit for risiko og hastighed
de etablerede governanceprocesser rent faktisk fungerer efter hensigten.
3. Vurder om rammerne for AI-risici og kontroller er tilstrækkelige
AI introducerer nye risikotyper, som ikke nødvendigvis er dækket af virksomhedens eksisterende kontrolmiljø. Det gælder fx datadrift, bias, manglende forklarlighed og uhensigtsmæssig anvendelse.
Intern revision bør derfor vurdere, om virksomhedens eksisterende risikorammer og kontrolmiljø er tilpasset AI. Vurderingen bør omfatte om virksomheden har omsat kravene i EU’s AI-forordning, GDPR og anden relevant regulering til klare politikker, processer og kontroller.
For AI-modeller med stor påvirkning - herunder systemer, der er klassificeret som højrisiko efter EU’s AI-forordning eller er væsentlige for virksomhedens kunder, drift eller risikoprofil - bør revisionen bl.a. se på, om kontrollerne er hensigtsmæssigt designet og fungerer effektivt, og om centrale elementer som træningsdata, valideringsmetoder og beslutningslogik er tilstrækkeligt dokumenteret og underlagt governance.
4. Integrer intern revision tidligt i AI-livscyklussen
Det er ikke længere tilstrækkeligt først at vurdere AI-løsninger, efter de er blevet implementeret.
Intern revision bør involveres tidligere i udviklings- og implementeringsprocessen – særligt når der er tale om AI-anvendelser med høj risiko eller direkte kontakt med kunder. Det kan ske gennem en uafhængig og rådgivende rolle, uden at intern revision overtager ledelsens ansvar for at udvikle, godkende eller drive AI-løsningerne.
Virksomheder kan fx etablere en kontrol og godkendelsesproces inden lancering af AI-systemer med høj risiko eller stor forretningsmæssig betydning med fokus på transparens, det tilsigtede anvendelsesområde og relevante fallbackkontroller. I finansielle virksomheder bør processen desuden omfatte bl.a. regulatorisk klassifikation, uafhængig modelvalidering, datakvalitet, menneskeligt tilsyn, kundehensyn, tredjepartsafhængigheder, robusthed og beredskab ved fejl.
5. Brug selv AI til at styrke intern revision
AI skaber ikke kun nye revisionsrisici. Teknologien giver også mulighed for at øge effektiviteten, kvaliteten og dækningsgraden i intern revisions arbejde. Intern revision kan fx anvende AI-baserede værktøjer til:
test af kontroller
opsummering af dokumentation
identifikation af anomalier
analyse af store datamængder
identificering af mønstre og potentielle risici.
Det kan frigøre tid til mere komplekse revisionsopgaver, udvide revisionens dækning og i højere grad arbejde med rettidige og fremadrettede indsigter.
Sådan kommer I i gang
Efterhånden som AI bliver en stadig mere integreret del af virksomhedens drift, skal intern revision også udvikle sig.
Fremtidens interne revision kræver i stigende grad teknologiske kompetencer, et stærkt fokus på AI-governance og evnen til at revidere et område, der udvikler sig hurtigt. Samtidig skal funktionen kunne anvende AI ansvarligt i sit eget arbejde for at styrke revisionens effektivitet, kvalitet og dækning.
Ved at engagere sig tidligt kan intern revision ikke alene være med til at identificere og reducere AI-relaterede risici, men også fungere som en strategisk sparringspartner. Dermed kan funktionen bidrage til rammer, der understøtter ansvarlig anvendelse af AI og skaber reel forretningsværdi. I PwC kombinerer vi dyb ekspertise inden for intern revision, risikostyring og regulering med stærke kompetencer inden for AI, data og teknologi. Vi hjælper organisationer med både at styrke governance og kontrollen med anvendelsen af AI og med at udnytte AI til at øge effektiviteten, kvaliteten og dækningen i revisionsarbejdet.
Hvis disse eller andre AI-relaterede udfordringer er relevante for jer, tager vi gerne en uforpligtende dialog om, hvordan PwC kan understøtte jeres arbejde med ansvarlig AI og udviklingen af intern revision.
Kontakt os
Kristel Maria Kophmann Jensen
Nicolaj Gudbergsen
Joannes P.W. Buckens
