Discussie Opinie Vandaag

Interne AI-fraude vraagt om herbezinning van de controleaanpak

AI biedt nieuwe mogelijkheden om de jaarrekeningcontrole efficiënter en effectiever uit te voeren. Organisaties kunnen AI inzetten om afwijkingen eerder te signaleren en processen beter te beheersen, terwijl accountants grotere hoeveelheden data kunnen analyseren. Tegelijkertijd biedt AI nieuwe mogelijkheden voor interne fraude en kan zij bestaande frauderisico’s vergroten. Dat heeft gevolgen voor de aard van de jaarrekeningcontrole.

Muel Kaptein en Leonie Stolk

Volgens de controlestandaarden moet de accountant risico's op afwijkingen van materieel belang identificeren en inschatten, ongeacht of deze voortkomen uit fouten of fraude. Het onderscheid ligt in de intentie: bij fraude is sprake van opzettelijke misleiding. De opkomst van AI kan ertoe leiden dat frauderisico's relatief belangrijker worden ten opzichte van foutenrisico's. Waar AI fouten kan helpen verminderen, kan dezelfde technologie nieuwe mogelijkheden creëren voor fraude. Daardoor kan het risico op afwijkingen van materieel belang als gevolg van interne fraude toenemen.

Onder interne AI-fraude verstaan wij fraude waarbij mensen binnen een organisatie AI inzetten om transacties, vastleggingen, autorisaties of andere controle-informatie te creëren, manipuleren of verhullen.

De fraudedriehoek onder invloed van AI

De mogelijke gevolgen van AI voor interne fraude laten zich goed begrijpen vanuit de klassieke fraudedriehoek: gelegenheid, rationalisatie en druk. AI kan de gelegenheid tot interne fraude vergroten, doordat misleiding sneller, goedkoper en toegankelijker wordt. Het is voorstelbaar dat AI ook rationalisatie vergemakkelijkt, doordat medewerkers meer afstand ervaren tot de gevolgen van hun handelen.

Daarnaast kunnen hogere verwachtingen ten aanzien van de productiviteit met AI de interne druk vergroten. AI kan daarmee niet alleen nieuwe mogelijkheden voor fraude creëren, maar ook omstandigheden versterken die frauderisico's vergroten.

Wat als controle-informatie overtuigend oogt, maar niet authentiek is?

Daarmee komt een fundamentele controlevraag naar voren: hoe stelt een accountant vast dat controle-informatie authentiek is? Een factuur kan authentiek ogen, terwijl deze volledig door AI is gegenereerd. Een klantbevestiging kan overtuigend lijken zonder ooit door een klant te zijn verzonden. AI kan documenten produceren die elkaar naadloos ondersteunen, zonder dat vaststaat wat zich daadwerkelijk heeft voorgedaan. Daardoor biedt onderlinge consistentie minder houvast dan voorheen en wordt het lastiger de herkomst en betrouwbaarheid van controle-informatie vast te stellen.

Naast betrouwbaarheid wordt authenticiteit belangrijker: is controle-informatie daadwerkelijk afkomstig van de bron waarvan zij afkomstig lijkt te zijn? De controlestandaarden verlangen niet voor niets een professioneel-kritische instelling gedurende de gehele controle. De aanstaande ISA 240 (Revised) legt meer nadruk op een fraudegerichte risicobeoordeling, professionele scepsis en alertheid op frauderisicofactoren en aanwijzingen voor fraude. Tegen die achtergrond neemt ook het belang toe van het kunnen vaststellen van de herkomst van controle-informatie.

Van consistentie naar authenticiteit

De centrale controlevraag verschuift. Het gaat niet langer alleen om de vraag of controle-informatie logisch en onderling consistent is. Steeds belangrijker wordt de vraag of de accountant kan vaststellen dat informatie authentiek is en dat de onderliggende transacties of gebeurtenissen daadwerkelijk hebben plaatsgevonden. Dat vraagt om een andere controlebenadering. De accountant zal niet alleen moeten begrijpen welke AI-toepassingen een organisatie gebruikt, maar ook hoe deze transacties, vastleggingen en beheersingsmaatregelen kunnen beïnvloeden. Waar risico's op manipulatie bestaan, kan meer gewicht nodig zijn voor informatie uit onafhankelijke bronnen en verificatie van de herkomst van documenten.

Wanneer AI fouten helpt verminderen, maar fraude gemakkelijker en lastiger detecteerbaar maakt, verschuift de aandacht van fouten naar fraude en van consistentie naar authenticiteit. Dit raakt de kern van het accountantsberoep. De waarde van een controle staat of valt met de kwaliteit van het controlebewijs waarop het oordeel rust. In een omgeving waarin AI overtuigende maar gemanipuleerde informatie kan produceren, gaat het niet langer alleen om de vraag of informatie consistent is, maar vooral of zij authentiek is.

Steeds belangrijker wordt de vraag of controle-informatie authentiek is en of de onderliggende transacties en gebeurtenissen daadwerkelijk hebben plaatsgevonden. Interne AI-fraude vraagt daarom om een herbezinning op de controleaanpak van frauderisico's.