擁抱人工智慧競賽，但不要忽略專案審計

作者 | Nielsen

譯者 | 夏夜

策劃 | Tina

人工智慧為世界各地的業務和組織創造了巨大的機會，那些用到了人工智慧的企業和組織能夠更快更好地應對未來的挑戰和機遇。

在 Nielsen，我們繼續重度依靠人工智慧來掌控資料的力量，但這也僅僅是人工智慧幫助我們所在組織的方式之一。隨著公司發掘出利用人工智慧的新方式，他們需要確保在人工智慧開發過程中管理好任何相關的風險。這就是為什麼我們的內部審計職能已經對人工智慧採取了審計流程。組織必須保持警惕，確保自己在正確的地方做了正確的投資，以此來利用好人工智慧所代表的那些機會，確保精確地評估人工智慧相關的風險，確保人工智慧專案與組織使命、價值觀、文化和更大的技術戰略保持一致。

在這方面，內部審計應該是一個有價值的盟友，但是，從審計角度來看，人工智慧帶來了許多挑戰。首先，人工智慧的定義是有些模糊的。同時，在廣泛的業務活動中，組織正積極地尋求發展或者獲取人工智慧能力，人工智慧程式和流程可能會非常複雜，並且是高技術性的。最後，對於人工智慧是什麼，以及人工智慧能夠做什麼，市場上有許多炒作。

對人工智慧進行審計的實踐正在發展中。至於先進的人工智慧技術，例如機器學習，沒有統一的標準來監管這些人工智慧技術。這些標準，以及審計人工智慧技術的框架正在編寫中。資訊系統審計和控制協會（ISACA：Information Systems Audit and Control Association）已經發布了指引，用於將其已有的 COBIT 框架（用於監管企業級 IT）應用於人工智慧，而內部審計院也提出了一種方法。以此同時，一系列組織，包括 NIST，ISO 和 ASTM，正在起草人工智慧標準。但是，隨著人工智慧審計實踐的不斷髮展，很明顯，內部審計需要繼續明確地關注戰略和監管——確保組織有一個合理的人工智慧戰略，並且有一個魯棒的監管結構來支援戰略的執行。

定義人工智慧

關於什麼是人工智慧，什麼型別的技術應當被認為是人工智慧技術，這些如果沒有普遍共識的話，為人工智慧審計建立標準是很難的。人們不僅對什麼是人工智慧有不同的看法，而且對於人工智慧已經出現了多長時間也有不同看法。有些人採用了一種寬泛的觀點，堅信人工智慧出現的時間比大多數人認為的要早。其他人的觀點則更狹隘一些，認為人工智慧其實還不存在，現在所謂的人工智慧技術實際上是被誤解了。

通常被認為屬於人工智慧領域範疇的技術包括：深度學習、機器學習、影像識別、自然語言處理、認知計算、智慧增強、認知增強、機器增強智慧、增強智慧等等，但是如何對這些技術分類和進行描述，各種訊息來源之間存在著分歧。例如，一些人認為機器人過程自動化（RPA：Robotic Process Automation）是一種人工智慧形式，因為它可以在各類大型資料集上執行高度複雜的演算法，這類程式做決策的方式，讓它看起來像是模擬了智慧。另一方面，其他人，包括 ISACA，不同意這種說法，他們認為“人工智慧並不是基於一系列預定義的規則來執行的”，這種基於規則的功能是“傳統軟體工程的標誌”。

更進一步說，人工智慧本身可以根據技術型別來細分。例如，美國內部審計協會（IIA：Institute of  Internal Auditors）在 2017 年釋出了以人工智慧審計為主題的全球視角和見解報告（Global Perspectives and Insights），該報告引用了人工智慧的四個分類（即：I- 反應性機器，II- 有限記憶，III- 心智理論，IV- 自我意識）。與此同時，Protiviti 公司在 2019 年的一項研究中，選擇將機器學習、深度學習和自然語言處理合為一組，並將這些技術統稱為“高階人工智慧”。

確切地說，人工智慧是什麼，這看起來像是固執己見的人爭論不休的話題，但是，這實際上是和人工智慧內部審計、審計職能所輸送價值，以及滿足利益干係人期望方面是強相關的。當考慮什麼樣子的人工智慧技術需要透過內部審計時，最重要的考慮因素就是要理解一個組織自己是怎樣定義人工智慧的。透過積極主動地發起公開對話，內部審計能夠回答這樣的問題：作為一個組織，當我們說起“人工智慧”時，我們指的是什麼？顯然，對這個問題做出回答的一致性對於管理利益干係人期望是非常重要的，因為這個問題涉及到人工智慧審計的範疇。但是，這個問題的答案還可以提供內部審計的洞察力，即組織對人工智慧的定義是否足夠廣泛——或者足夠狹窄——使其能夠感知市場上的風險。

對人工智慧進行審計

儘管人們對人工智慧本質的看法不盡相同，但當說起人工智慧審計的實踐時，主流指導思想通常都認為內部審計仍應當聚焦在戰略和監管上。

戰略

如果沒有一個清晰的和定期審查的戰略，對人工智慧能力的投資就只會產生令人失望的結果，甚至更糟糕的是，它們可能會導致組織財務上和 / 或名譽上的損害。內部審計感興趣的應當是確認組織是否有人工智慧戰略的文件備案，並基於以下考慮來評估該戰略的力量：

• 它是否清晰描述了人工智慧活動的預期結果？

• 它是否包含了識別和解決人工智慧威脅與機遇的計劃？

• 它是在商業主管和技術主管之間協作開發的嗎？

• 它是否與組織的使命、價值觀和文化保持一致 / 相容？

• 它是否會被稽核並更新？

• 它是否考慮了利用人工智慧技術所需的各項支援能力？

組織需要他們的內部審計部門詢問這些型別的問題，而且不止一次詢問，需要反覆的詢問。研究繼續表明，組織希望他們的內部審計部門具有更多前瞻性，並提供更多價值，因為這涉及到評估戰略風險。在說起支援能力時，應該注意到，2019 年董事會成員和 C-level 領導（如 CEO、CTO 等）最關心的是，他們現有的運營和基礎設施將無法得到調整，從而能在“天賦異稟的數字”競爭對手中達到預期業績。因此，內部審計員可以而且應該不斷地處理這類問題——即組織的人工智慧戰略是否恰當，以及是否具有實際可執行性。

監管

和其他任何主要系統一樣，組織需要為人工智慧活動建立起恰當的監管體系，確保組織對人工智慧具備恰當的控制和責任，並且判斷人工智慧專案是否如預期那樣運轉，以及是否實現了人工智慧專案的目標。

同樣，沒有可靠的模板來管理人工智慧。一位專家寫道，“劇本還沒有寫出來”。但是，內部審計人員應該從大資料入手，探索業務主管的謹慎態度，即他們為支援人工智慧應用而開發一套魯棒的監管體系所持有的謹慎態度。

大資料組成了人工智慧的基礎能力，這意味著組織應當對他們的資料監管體系給予更多的關注。內部審計應當理解組織是如何確保他們的資料基礎設施有能力適應人工智慧活動的規模和複雜性（這個規模和複雜性是之前在人工智慧戰略中設定好的）的。同時，內部審計應當理解組織如何管理資料質量和一致性的風險，包括資料採集控制、訪問許可權、資料儲存、分類（即命名）、編輯和處理規則。內部審計還應當考慮安全性、網路彈性和業務持續性，並評估組織在多大程度上準備處理資料威脅，這些資料威脅包括對資料準確性、完備性和可用性的威脅。

人工智慧的價值和效能還取決於演算法質量和計算準確度，人工智慧在大資料上應用這些演算法。組織必須擁有演算法開發和質量控制的文件化方法，以此確保這些演算法被正確編寫，結果沒有偏差，並且恰當地使用了資料。內部審計還應當理解如何驗證人工智慧系統決策的正確性，以及在這些決策受到挑戰時，是否能夠為其辯護。

除了監管資料和人工智慧演算法，還應當檢查監管體系，以確定其是否滿足以下方面：

• 明確建立了義務、責任和監督機制。

• 恰當地記錄和遵守了策略及流程。

• 那些負責人工智慧的人具備必要的技能和專業知識。

• 人工智慧活動和人工智慧相關的決策及行為，符合組織的價值觀、倫理、社會和法律責任。

• 任何供應商都接受第三方風險管理流程。

審計部門

為了有效地對人工智慧進行審計，內部審計職能必須確保他們擁有（或者能夠獲取）足夠的資源，知識和技能來圍繞人工智慧進行審計，即使審計員工並不總是具有專家級的知識。這個已經被證明是很有挑戰的了。根據 2018 年《北美內部審計脈動》（North American Pulse of Internal Audit），78% 的首席審計執行官表示，招聘到具備資料探勘和分析能力的員工是極其困難的。不管怎樣，內部審計部門都應該透過培訓和人才招聘來穩步增加其人工智慧專業水平，因為在未來幾年內，組織對人工智慧的依賴只會增加。

人工智慧審計的成功並不是直接依賴專業技術知識。成功取決於對戰略、監管、風險和過程質量的評估——從獨立的、跨部門的觀點來看，所有這些都是內部審計所擅長的。當涉及到人工智慧時，內部審計應該繼續聚焦這些事情。

現在是時候關注人工智慧審計了

儘管市場變化迅速，人工智慧有時還定義含糊，但是內部審計卻能夠提供有價值的、基本的合理保障，能確保他們服務的組織在正確的方向上對人工智慧進行投資，在涉及到人工智慧時能夠考慮到風險和機遇，並在業務目標上給予強大的執行力。內部審計師越早這麼做越好，因為各種形式的人工智慧並不會消失。人工智慧的勢頭在上升。內部審計職能應當與其他業務流程一樣，習慣於圍繞人工智慧進行審計和提供保障，因為在未來幾年，越來越多的業務領域都將以某種方式利用人工智慧技術。儘管新的技術和風險層出不窮，但關注戰略和監管將使審計員能夠做到上述這點。

原文連結：

https://mp.weixin.qq.com/s/7JlMFZDved-N3oo_ZV7tMQ