एसओएक्स नियंत्रण परीक्षण में एआई

सर्बनेस-ऑक्सले अधिनियम की धारा 404 में प्रबंधन को वित्तीय रिपोर्टिंग (आईसीएफआर) पर आंतरिक नियंत्रण का आकलन करने की आवश्यकता होती है, आमतौर पर सीओएसओ 2013 ढांचे के खिलाफ। बड़े फाइलर्स के लिए, उस मूल्यांकन को प्रमाणित करने के लिए बाहरी ऑडिटर की भी आवश्यकता होती है। ऑडिटर यह काम पीसीएओबी एएस 2201 के तहत करते हैं। किसी नियंत्रण के परीक्षण में आमतौर पर प्रक्रिया को वॉकथ्रू के माध्यम से समझना, यह मूल्यांकन करना शामिल होता है कि क्या नियंत्रण ठीक से डिज़ाइन किया गया है, और यह परीक्षण करना कि क्या यह पूरी अवधि में प्रभावी ढंग से संचालित होता है। AI तीन जगहों पर उपयोगी है। सबसे पहले, वॉकथ्रू दस्तावेज़ीकरण। वाक्-से-पाठ और भाषा मॉडल साक्षात्कार और सिस्टम दस्तावेज़ों से प्रक्रिया विवरण, फ़्लोचार्ट और जोखिम-नियंत्रण मैट्रिक्स का मसौदा तैयार कर सकते हैं। हालाँकि, ड्राफ्ट कोई पूर्वाभ्यास नहीं है। एएस 2201 के तहत एक पूर्वाभ्यास प्रक्रिया के माध्यम से लेनदेन का अनुसरण करता है, जिसमें अवलोकन, निरीक्षण और पुन: प्रदर्शन के साथ पूछताछ का उपयोग किया जाता है। दूसरा, साक्ष्य समीक्षा. दस्तावेज़ निष्कर्षण अनुमोदन, तिथियां, टिकट फ़ील्ड और सुलह पढ़ सकता है, और नियम 25 के नमूने के बजाय पूरी आबादी में विशेषताओं की जांच कर सकते हैं। तीसरा, कर्तव्यों का पृथक्करण। उपकरण परस्पर विरोधी क्षमताओं वाले उपयोगकर्ताओं को खोजने के लिए ईआरपी सुरक्षा डेटा का विश्लेषण करते हैं, जैसे विक्रेता बनाना और भुगतान स्वीकृत करना। विशिष्ट एक्सेस-गवर्नेंस उत्पाद एसएपी और अन्य ईआरपी के लिए ऐसा करते हैं, और एआई कस्टम लेनदेन और समूह भूमिकाओं की व्याख्या करने में मदद करता है। कई सावधानियाँ लागू होती हैं। सिस्टम-जनरेटेड रिपोर्टें जो किसी भी परीक्षण को फीड करती हैं, इकाई द्वारा उत्पादित जानकारी होती हैं, और उनकी पूर्णता और सटीकता का परीक्षण किया जाना चाहिए। यदि प्रबंधन नियंत्रण करने के लिए एआई का उपयोग करता है, तो एआई को स्वयं आईटी सामान्य नियंत्रण और परिवर्तन प्रबंधन की आवश्यकता होती है। जब ऑडिटर एआई के साथ किए गए परीक्षण प्रबंधन का उपयोग करता है, तो दूसरों के काम का उपयोग करने के लिए एएस 2201 की रूपरेखा लागू होती है, जिसमें दूसरों की क्षमता और निष्पक्षता भी शामिल होती है। एक आम ग़लतफ़हमी यह है कि स्वचालन नियंत्रण को प्रभावी बनाता है। यह केवल उनका तेजी से परीक्षण करता है। दूसरा यह है कि पूर्ण-जनसंख्या परीक्षण यह निर्णय लेने की आवश्यकता को हटा देता है कि क्या अपवाद नियंत्रण कमियां हैं, और यदि हां, तो कितनी गंभीर हैं।