Agentes de IA para auditoria interna: papéis de trabalho e follow-up

Agentes de IA para auditoria interna podem rascunhar papéis de trabalho a partir de anotações e extratos fornecidos pelo auditor, cruzar arquivos de evidência com os atributos testados e manter atualizado o registro de achados conforme a gestão responde. Eles funcionam melhor quando preparam o material e o encaminham, enquanto o auditor mantém o julgamento, as conclusões, a assinatura e a independência. A pergunta prática para o líder de auditoria é quais etapas podem passar para um agente sem enfraquecer a trilha de evidências que um revisor ou o comitê de auditoria vai ler depois.

Principais pontos

• Um agente deve rascunhar, cruzar e encaminhar trabalho de auditoria. Ele não deve concluir sobre um controle, classificar um achado nem assinar um papel de trabalho.
• O cruzamento de evidências exige uma população definida, uma regra de correspondência escrita e um revisor nomeado para cada exceção.
• O acompanhamento se sustenta quando cada achado tem um responsável, uma data de vencimento e um status que o agente pode ler, mas não alterar por conta própria.
• As permissões devem espelhar o mandato da auditoria: leitura em fontes aprovadas, escrita apenas nas pastas de rascunho e no registro.
• Comece com uma área de controle e um critério de sucesso observável, como toda exceção de um teste ter motivo registrado e revisor definido antes de o papel de trabalho seguir para revisão.

Onde o tempo da auditoria interna realmente vai

Grande parte de um papel de trabalho é montagem. O auditor escreve o objetivo, extrai a população, registra a amostra, copia números de referência para um modelo, cruza capturas de tela e cobra do dono do processo uma aprovação que faltou. Nada disso exige julgamento profissional, mas tudo precisa estar correto, e os erros de montagem são justamente os que geram retrabalho quando um revisor pergunta de onde veio determinado valor. Áreas de qualidade enfrentam padrão parecido nos registros de não conformidade, e por isso a abordagem descrita em Agentes de IA para equipes de SST: incidentes e auditorias é um bom ponto de comparação.

O objetivo realista de uma primeira implantação é gastar menos tempo na montagem e cometer menos erros de transcrição, e não emitir a opinião de auditoria mais rápido. São resultados diferentes, e a ferramenta nunca deve prometer o segundo.

O que um agente deve rascunhar e o que nunca deve decidir

A divisão útil está entre preparar material e decidir qualquer coisa. Um agente pode produzir um primeiro rascunho da narrativa de walkthrough a partir das anotações do auditor, preencher a tabela de atributos com extratos aprovados, listar as evidências referenciadas em cada teste, sinalizar campos faltantes e propor uma lista de perguntas para o dono do controle. Ele não deve decidir se um controle funcionou com eficácia, se uma exceção é um achado, qual a gravidade de um achado ou se a resposta da gestão é adequada. Essas decisões ficam com o auditor e, quando o mandato exige, com o gerente revisor ou com o comitê de auditoria.

Um guia curto de decisão ajuda a delimitar a primeira implantação:

• Rascunhar livremente: narrativa a partir de anotações aprovadas, tabelas de atributos, índices de evidência, listas de perguntas em aberto.
• Rascunhar e encaminhar para revisão: resumos de exceção, redação proposta de achados, pedidos de resposta da gestão.
• Não delegar: conclusões de teste, classificação de gravidade, assinatura, alterações em achado encerrado, qualquer coisa que contrarie um comentário do revisor.

Como o cruzamento de evidências funciona sem enfraquecer a trilha

O cruzamento de evidências economiza a maior parte da comparação manual, e também é onde um erro silencioso tem mais chance de acontecer. Antes de qualquer automação, o método precisa de quatro elementos fixos: a população de onde a amostra saiu, os sistemas de origem autorizados a fornecer evidência, a regra de correspondência de cada atributo e uma regra para quando nada corresponde. Uma regra de exemplo pode relacionar um pagamento a um registro de aprovação por fornecedor, valor e uma data de aprovação anterior ao pagamento. Itens sem correspondência vão para um revisor, e não para um palpite.

A recuperação de documentos é um padrão razoável aqui, porque o agente consulta arquivos que já foram aprovados para o trabalho, em vez de depender do que ele supõe lembrar. Assim, as respostas ficam ancoradas em um conjunto de documentos definido. Cada correspondência deve guardar o identificador do arquivo, a localização dentro dele e a regra que gerou o vínculo, para que o auditor possa refazer a verificação sem precisar perguntar ao agente o que ele quis dizer.

Cenário ilustrativo: uma equipe que testa aprovações de compras entrega ao agente uma população amostrada de registros de pagamento e acesso de leitura pasta de e-mails de aprovação do período testado. A maioria dos registros casa já na primeira regra. Os demais aparecem em uma lista com o motivo de cada não correspondência, como uma aprovação datada depois do pagamento ou um nome de fornecedor grafado de forma diferente no razão. O auditor então decide, item a item, se o controle falhou ou se a evidência está incompleta.

Como acompanhar achados sem perder a responsabilidade

Achados costumam se desviar depois da emissão, e não durante o teste. Um registro mantido em planilha recebe respostas da gestão por e-mail, deixa prazos escorregarem sem registro e encerra itens com base na palavra de alguém. Um agente pode ler o registro, comparar cada item aberto com as datas e os status das fontes aprovadas, preparar rascunhos de lembrete para responsáveis nomeados e gerar a lista de itens vencidos para a pré-leitura da próxima reunião do comitê. Ele não deve encerrar um achado. O encerramento exige evidência revisada pelo auditor, de modo que o papel do agente termina em propor que a evidência seja verificada.

A mesma disciplina aparece em IA para escritório de projetos PMO: status e riscos com evidência, que mostra como compromissos são acompanhados por muitos responsáveis. A lógica se transfere quase diretamente para o follow-up de auditoria.

Como proteger a independência e as aprovações

A independência é em parte organizacional e em parte técnica. A função de auditoria deve controlar diretamente as permissões do agente, em vez de tomar emprestado o acesso de um usuário da operação com direitos mais amplos. Um padrão prático é acesso somente leitura às pastas de evidência aprovadas, escrita apenas na área de rascunho dos papéis de trabalho e no registro, nenhum acesso aos sistemas de pagamento ou aprovação em si e um log de cada ação com o processo ou a pessoa que a solicitou. As orientações da OWASP sobre autorização são uma referência sólida para verificar cada ação contra uma política explícita, em vez de confiar em quem fez o pedido.

Os documentos de evidência também criam um risco de entrada. Um arquivo enviado por uma unidade de negócio pode conter texto que tente instruir o agente, por exemplo uma nota pedindo que ele marque um item como aprovado. Trate o conteúdo dos documentos como dado a ser resumido, nunca como instrução. As orientações da OWASP sobre prevenção de injeção de prompt tratam dessa classe de problema. Para governança de forma mais ampla, o Framework de Gestão de Riscos de IA do NIST oferece um vocabulário comum para mapear riscos, medi-los e atribuir responsáveis.

Como operar tudo como uma operação gerenciada

Comece pequeno e deixe o escopo explícito. Uma primeira frente razoável cobre uma área de controle, um conjunto de evidências e um papel de agente com fronteira definida. A sequência abaixo mantém o auditor no comando:

• Escreva a linha do mandato sob a qual o agente opera, incluindo o que ele pode rascunhar e encaminhar e o que nunca pode decidir.
• Liste as fontes aprovadas para cada atributo e a regra de correspondência que se aplica a cada um.
• Defina um critério de sucesso que você consiga observar, como todo item sem correspondência ter motivo e revisor registrados antes de o papel de trabalho ser enviado.
• Rode o agente primeiro em um teste já encerrado e compare as correspondências dele com os resultados obtidos pelo próprio auditor.
• Revise a lista de exceções, os logs e os erros antes de ampliar o escopo para trabalhos em andamento.
• Agende uma revisão de permissões em cadência fixa e reexecute a avaliação sempre que um sistema de origem mudar.

A Be Human trata isso como operação gerenciada. A primeira frente define um papel útil, a memória e as ferramentas de que ele precisa, seus limites de aprovação e um critério de sucesso observável. Monitoramento, avaliações recorrentes, manutenção das integrações, revisão de permissões e melhorias controladas mantêm então o agente alinhado ao mandato conforme as fontes e o escopo de auditoria mudam. A Be Human não substitui o julgamento do auditor. Ela mantém o acesso, os logs e os rascunhos do agente dentro de regras que a função de auditoria define e pode inspecionar.

Como escolher a primeira tarefa de auditoria para um agente

A primeira tarefa costuma ser a etapa menos dependente de julgamento que já tem uma fonte limpa, como montar o índice de evidências de um teste que a equipe já executou antes. Compare a saída do agente com o resultado do próprio auditor nesse mesmo teste e amplie o escopo somente quando as exceções que ele sinalizar forem as que um revisor teria levantado. Procure a etapa em que a equipe mais gasta horas copiando e conferindo, porque é ali que a ajuda na redação dá retorno mais cedo. Faça o diagnóstico gratuito de IA da Be Human para identificar a primeira tarefa de auditoria que vale a pena passar para um agente.

Perguntas frequentes

Um agente de IA pode assinar um papel de trabalho de auditoria interna? Não, e ele não deve ser configurado para isso. O agente pode rascunhar a narrativa, montar o índice de evidências e sinalizar aprovações faltantes, mas a assinatura pertence ao auditor e ao gerente revisor, conforme o mandato da auditoria. Deixar essa linha explícita nas permissões e no modelo do papel de trabalho torna o processo mais fácil de defender depois.

Como manter o cruzamento de evidências auditável? Registre, para cada correspondência, o arquivo de origem, a localização dentro dele, a regra aplicada e a pessoa que revisou qualquer exceção. Mantenha os itens sem correspondência em uma lista visível, em vez de deixar o agente escolher o candidato mais próximo. O auditor deve conseguir refazer qualquer correspondência a partir do registro armazenado, sem perguntar ao agente.

O que acontece quando o agente e o auditor discordam? A conclusão do auditor prevalece, e a divergência é registrada como retorno para a próxima avaliação. Se a divergência revelar um padrão repetido, como um campo de origem lido de forma inconsistente, a correção passa pelo processo de mudança, e não por uma edição silenciosa das instruções. Divergências são uma evidência útil sobre se o escopo do agente precisa de ajuste.

Essa abordagem serve para uma equipe pequena de auditoria interna? Pode servir, desde que o primeiro escopo seja estreito. Uma equipe pequena se beneficia mais de tarefas de rascunho e follow-up que consomem tempo sem alterar conclusões. Alguém ainda precisa ser responsável pelas permissões e pela revisão dos logs, mesmo que esse papel seja exercido em tempo parcial.

Orientação editorial Be Human. Exemplos são ilustrativos, salvo atribuição explícita. Fontes oferecem contexto; a implementação depende do seu processo.