Audit, interne Kontrolle und Anomalieerkennung

Gewinne:

• Möglichkeit, die gesamte Bevölkerung mit KI zu scannen und verdächtige Datensätze gemäß Anomalieregeln zu priorisieren
• Fähigkeit, Audits mit der Disziplin „Markieren und Begründen“ durchzuführen, ohne das Modell zu beurteilen
• Möglichkeit, für jede KI-Ausgabe einen Prüfpfad (Daten, Eingabeaufforderung, Datum, Prüfer) zu führen

Der vielleicht sensibelste Bereich des Rechnungswesens und Finanzwesens ist die Wirtschaftsprüfung: die unabhängige Überprüfung, ob die Aufzeichnungen korrekt, vollständig und konform sind. Künstliche Intelligenz (KI) ist hier ein zweigleisiges Werkzeug. Einerseits ist es sehr leistungsfähig, wenn es darum geht, große Datenstapel auf Anomalien (verdächtige Datensätze, die von den Erwartungen abweichen) zu scannen und Schwachstellen in der internen Kontrolle zu erkennen. Andererseits muss aufgrund der Art der Prüfung auch der eigene Output der KI geprüft werden. In dieser Einheit lernen wir, wie man KI als „Audit-Assistent“ nutzt und einen Prüfpfad führt.

Die Rolle der KI in der internen Kontrolle und Revision

Bei der internen Kontrolle handelt es sich um eine Reihe von Regeln und Prozessen, die zur Verhinderung von Fehlern und Missbrauch eingerichtet wurden (z. B. Aufgabentrennung, Genehmigungsschwellen, Abstimmung). Das Auditing prüft, ob diese funktionieren oder nicht. KI ist dann am effektivsten, wenn sie ganze Populationen scannen kann, während bei der herkömmlichen Prüfung Stichproben (Untersuchung einiger weniger Datensätze aus Hunderten) erforderlich sind. Der Blick auf alle 10.000 Datensätze ist für einen Menschen schwierig, für ein Model jedoch möglich.

Aber der entscheidende Unterschied ist dieser: KI erzeugt Zweifel, kein Urteil. „Diese Platte sieht ungewöhnlich aus“ ist ein Ausgangspunkt; Die eigentliche Prüfungsentscheidung und Beweiserhebung obliegt dem Menschen.

Tipp: Sagen Sie bei Prüfungsaufforderungen: „Nur zeigen und begründen, nicht schlussfolgern/urteilen“. Es wäre sowohl falsch als auch riskant, wenn das Modell eindeutige Aussagen machen würde, wie zum Beispiel „das ist eine Unregelmäßigkeit“; Die Angelegenheit wird durch Ihre Bewertung entschieden.

Schritt für Schritt: Anomalie-Scanning mit KI

1. Definieren Sie Ihren Regelsatz. Was halten Sie für unnormal? Schwelle, Wiederholung, Timing.
2. Scannen Sie die gesamte Bevölkerung. Nicht nur eine Probe, sondern alle.
3. Markieren und begründen Sie. Eine Erklärung, warum es verdächtig ist, für jeden Befund.
4. Priorisieren. Sortieren Sie nach Risiko-/Auswirkungsgröße.
5. Beziehen Sie sich auf die menschliche Überprüfung. Beweise sammeln, eine Entscheidung treffen, dokumentieren.

Schwache Eingabeaufforderung / Starke Eingabeaufforderung

Schwache Aufforderung: Gibt es Unregelmäßigkeiten bei diesen Ausgaben? [Daten]

Dies führt zu einer Antwort, die entweder „keine“ lautet oder zu unbegründeten Anschuldigungen führt, die bei der Prüfung nicht verwendet werden können.

Starke Aufforderung: Ihre Rolle: ein interner Revisionsassistent. Aufgabe: Überprüfen Sie die folgenden Spesenaufzeichnungen anhand der Risikoregel. Regeln: 1) Beträge knapp unter der Genehmigungsschwelle (50.000) (Verdacht aufteilen) 2) Aufzeichnungen, die an Wochenenden oder nach Geschäftsschluss eingegeben werden 3) Ähnliche Beträge, die in kurzen Abständen an denselben Lieferanten wiederholt werden 4) Ungewöhnliche Häufigkeit runder BeträgeAusgabe: Datensatznummer | ausgelöste Regel | Warum ist es verdächtig (1 Satz) |Priorität (hoch/mittel/niedrig)Einschränkung: Einfach markieren und begründen. Ein Urteil fällen wie „es ist eine Unregelmäßigkeit“; Dies sind Kandidaten für eine menschliche Untersuchung. Verwenden Sie nur die Informationen in den Daten.<records> ... </records>

Diese Aufforderung; Es priorisiert Beträge, die knapp unter der Genehmigungsschwelle liegen (das „Splitting“-Zeichen) oder Datensätze, die außerhalb der Geschäftszeiten eingegeben werden, und stellt dem Prüfer eine klare Prüfliste zur Verfügung.

Der größte Beitrag der KI zur Prüfung ist ihr Größenvorteil. Bei einer herkömmlichen Prüfung werden Stichproben durchgeführt, da es physisch nicht möglich ist, alle Aufzeichnungen einzusehen: Möglicherweise werden Hunderttausende Rechnungen geprüft und das Ergebnis auf die gesamte Bevölkerung übertragen. Dies bedeutet, dass eine Unregelmäßigkeit, die außerhalb der Probe liegt, umgangen wird. KI hingegen kann die von Ihnen definierten Regeln in Sekundenschnelle auf alle Zehntausende Datensätze anwenden. Somit entwickelt sich Auditing vom „Ansehen einiger Beispiele und Hoffen“ zum „Scannen jedes Datensatzes und Herausfinden von Ausnahmen“. Es werden jedoch nur Kandidaten für eine Untersuchung gefunden, keine Schlussfolgerungen.

Anomalieregeln, die häufig in der Prüfung verwendet werden

Regel

Was bedeutet es?

Beispiel

Akkumulation unterhalb der Schwelle

Aufteilen, um Genehmigung zu vermeiden

Beträge wie 49.500, 49.800

Anmeldung außerhalb der Öffnungszeiten

Unkontrollierter Eintritt

Samstag 23:40 Rechnung

doppelte Zahlung

Gefahr der Doppelzahlung

Gleiche Rechnung, zwei Belegnummern

Häufigkeit runder Zahlen

Geschätzter/erfundener Betrag

Viele von genau 10.000

Neuer Lieferant + höherer Betrag

Risiko von Geisterlieferanten

200.000 in der ersten Transaktion

Aufgabentrennung und Autoritätskontrolle

Einer der Eckpfeiler der internen Kontrolle ist die Funktionstrennung: Die Personen, die eine Transaktion initiieren, genehmigen und bezahlen, sind unterschiedlich. Wenn dieselbe Person die Rechnung betritt, genehmigt und bezahlt, ist Missbrauch Tür und Tor geöffnet. KI kann Fälle finden, in denen gegen diese Richtlinie verstoßen wird, indem Benutzerinformationen in Transaktionsdatensätzen gescannt werden.

Suchen Sie nach Verstößen gegen die Funktionstrennung in den folgenden Transaktionsdatensätzen: – Transaktionen, die derselbe Benutzer sowohl eingibt als auch genehmigt – Transaktionen, die derselbe Benutzer sowohl genehmigt als auch Zahlungen initiiert – Beträge, die von einer einzelnen Person oberhalb des Autorisierungslimits genehmigt wurden. Ausgabe: Transaktionsnummer | Art des Verstoßes | relevanter Benutzer | PrioritätEinfach aufzeigen und begründen; Liste als Kandidat für die Verurteilung, Überprüfung.

Diese Art des Scannens extrahiert in Sekundenschnelle Muster, die das menschliche Auge in Tausenden von Zeilen niemals erfassen könnte. Aber es gilt das gleiche Prinzip: Das Muster zeigt ein „Muster von Regelverstößen“; Es bleibt jedem selbst überlassen, ob es sich hierbei um ein echtes Problem handelt oder um eine legitime Ausnahme (z. B. erzwungene Doppelrolle in einem kleinen Team).

Audit-Trail-Pflicht

Soll eine KI-Ausgabe in einem Audit verwendet werden, muss sie nachvollziehbar sein: Welche Daten, welche Eingabeaufforderung, welches Modell, welches Datum, wer hat sie überprüft? Ohne diesen Datensatz hat der Ausdruck keine Beweiskraft bei der Prüfung.

Bereiten Sie einen Audit-Trail-Datensatz für diese Analyse vor: – Datenquelle und verwendeter Zeitraum – Zusammenfassung der angewendeten Eingabeaufforderungen/Regeln – Datum der Modellausgabe – Leere Felder für menschliche Überprüfungsschritte (wer, wann, Ergebnis) Exportieren Sie dies als wiederverwendbare Vorlage.

Achtung: Nur weil die KI sagt „Dieser Datensatz ist in Ordnung“, beweist das nicht, dass es dort keine Probleme gibt. Das Modell hat möglicherweise ein Muster übersehen. „KI sagte sauber“ ist keine Zusicherung bei einer Prüfung; Dokumentieren Sie immer die Grenzen des Umfangs und der Methode.

Mini-Hüllen

Fall 1 – Unterschwelliges Fach. Ein interner Prüfer fand durch KI-Scanning in einem Unternehmen mit einer Genehmigungsschwelle von 50.000 TL drei aufeinanderfolgende Rechnungen über 49.200, 49.700, 49.500 TL von derselben Abteilung. Die Untersuchung ergab, dass ein einzelner Kauf im Wert von 145.000 £ in drei Teile aufgeteilt wurde, um einer Genehmigung zu entgehen. Die Regellücke ist geschlossen.

Fall 2 – Ghost-Lieferantenschild. AI hat mit hoher Priorität darauf hingewiesen, dass bei der ersten Transaktion 200.000 TL an einen neu im System hinzugefügten Lieferanten gezahlt wurden. Die Überprüfung ergab, dass der Lieferant seriös ist und unter Vertrag steht. Der Alarm war falsch, aber die Steuerung funktionierte ordnungsgemäß. Lektion: Nicht jedes Zeichen ist ein Verbrechen, aber jedes Zeichen sollte untersucht werden.

Fall 3 – Zusammenbruch der undokumentierten Ausgabe. Ein Team reichte die KI-Anomalieliste zur Prüfung ein, zeichnete jedoch nicht die Eingabeaufforderung und die Daten auf, mit denen sie erstellt wurde. Der externe Prüfer akzeptierte den Ausdruck nicht als Beweismittel. Analysewiederholung mit Audit-Trail. Lektion: Es gibt keine Ausgabe, die im Audit nicht überwacht werden kann.

Fall 4 – Verstoß gegen die Aufgabentrennung. Bei einem internen Kontrollscan wurden 37 Transaktionen in einer kleinen Filiale gefunden, bei denen derselbe Mitarbeiter die Rechnung eingegeben, genehmigt und die Zahlung veranlasst hatte. Die Untersuchung ergab, dass der Mitarbeiter keine böswillige Absicht hatte, sondern diese Rollen aufgrund von Personalmangel übernahm. Dennoch war das Risiko real; Das Unternehmen schloss die Lücke, indem es die Zahlungsfreigabe in die Mitte verlagerte. Lektion: Kontrolldefizite sind auch ohne Böswilligkeit gefährlich; KI findet das Muster, Menschen entwerfen die Lösung.

Häufige Fehler

• Um das Modell zu beurteilen. Zu sagen „es handelt sich um eine Unregelmäßigkeit“ ist sowohl falsch als auch riskant; Markieren Sie es einfach.
• „KI sagte, es sei sauber“-Versicherung. Es kann sein, dass das Modell verfehlt hat; Ein sauberes Ergebnis ist kein Beweis.
• Kein Audit-Trail führen. Wenn Daten, Eingabeaufforderung, Datum und Prüfer nicht aufgezeichnet werden, ist die Ausgabe kein Beweismittel.
• Zu denken, jedes Zeichen sei ein Verbrechen. Die Anomalie ist ein Kandidat für eine Untersuchung; Beweise bestimmen die Entscheidung.
• Den Umfang nicht dokumentieren. Welche Datensätze gescannt wurden und das Limit der Methode soll geschrieben werden.

Zusammenfassend

• KI ist leistungsstark beim Auffinden von Anomalien, indem sie in einem Audit die gesamte Bevölkerung scannt. geht über das Sampling hinaus.
• Das Modell erzeugt Zweifel, kein Urteil; Verwenden Sie es mit der Regel „Nur zeigen und begründen“.
• Anomalieregeln (Rückstand unter dem Schwellenwert, Registrierung außerhalb der Geschäftszeiten, doppelte Zahlung) sollten im Voraus definiert werden.
• Es ist obligatorisch, für jede KI-Ausgabe einen Prüfpfad (Daten, Eingabeaufforderung, Datum, Validator) zu führen; Eine nicht nachvollziehbare Ausgabe ist kein Beweis.
• „KI sagte sauber“ ist keine Zusicherung; Dokumentieren Sie immer die Grenzen des Umfangs und der Methode.

Anwendungsaufgabe

Bereiten Sie eine Spesenabrechnung mit 30–50 Zeilen vor. wissentlich in eine doppelte Zahlung aufteilen und diese tätigen. Führen Sie mit der leistungsstarken Eingabeaufforderungsvorlage einen Anomalie-Scan durch und prüfen Sie, ob das Modell Ihre Fallen erkennt und priorisiert. Füllen Sie dann die Audit-Trail-Vorlage aus und listen Sie die Ergebnisse als „Kandidaten zur Überprüfung“ auf (ohne ein Urteil zu fällen).

Checkliste

• [ ] Ich habe die Anomalieregeln (Schwellenwert, Timing, Wiederholung) vordefiniert.
• [ ] Ich habe die gesamte Bevölkerung gescannt, ich habe mich nicht mit der Stichprobenerhebung begnügt.
• [ ] Ich habe das Modell daran gehindert, ein Urteil zu fällen; Ich habe es gerade markieren und ausrichten lassen.
• [ ] Ich habe für jedes Ergebnis einen Prüfpfad (Daten, Eingabeaufforderung, Datum) aufgezeichnet.
• [ ] Ich habe diejenigen, die als „Bewertungskandidaten“ markiert sind, dem menschlichen Urteil überlassen.
• [ ] Ich habe den Umfang des Scans und die Einschränkungen der Methode dokumentiert.