SOX 管理テストにおける AI

サーベンス・オクスリー法の第 404 条では、通常は COSO 2013 の枠組みに照らして、財務報告に係る内部統制 (ICFR) を評価することが経営者に義務付けられています。より大規模な申告者の場合は、外部監査人がその評価を証明することも求められます。監査人は、PCAOB AS 2201 に基づいてこの作業を行います。統制のテストには、通常、ウォークスルーを通じてプロセスを理解し、統制が適切に設計されているかどうかを評価し、期間全体にわたって効果的に運用されているかどうかをテストすることが含まれます。 AIは3つの場面で役に立ちます。まずはウォークスルードキュメント。 Speech-to-Text および言語モデルは、インタビューやシステム文書からプロセスの説明、フローチャート、リスク管理マトリックスを作成できます。ただし、ドラフトはウォークスルーではありません。 AS 2201 では、ウォークスルーは、観察、検査、および再実行とともに照会を使用して、トランザクションのプロセスを追跡します。第二に、証拠の検討です。文書抽出では、承認、日付、チケットフィールド、調整を読み取ることができ、ルールでは 25 人のサンプルではなく母集団全体の属性をチェックできます。 3 番目に、職務の分離です。ツールは ERP セキュリティ データを分析し、ベンダーの作成や支払いの承認など、競合する機能を持つユーザーを見つけます。特殊なアクセス ガバナンス製品が SAP やその他の ERP に対してこれを実行し、AI がカスタム トランザクションとグループ ロールの解釈を支援します。いくつかの注意事項が適用されます。テストに使用されるシステム生成レポートは、エンティティによって作成された情報であり、その完全性と正確性をテストする必要があります。経営者がAIを活用して統制を行う場合、AI自体にもIT全般の統制や変更管理が必要となる。監査人が AI を使用して実行されるテスト管理を使用する場合、他者の能力と客観性を含め、他者の成果を利用するための AS 2201 のフレームワークが適用されます。よくある誤解は、自動化によって制御が効果的になるということです。テストを高速化するだけです。 2 つ目は、全集団検査により、例外が管理欠陥であるかどうか、もしそうであればその深刻度を判断する必要がなくなることです。