Kunstig intelligens (KI) og digitale trusler endrer risikobildet raskere enn noen gang. For internrevisorer, ledere og risikofunksjoner handler utfordringen ikke lenger om hvorvidt noe kan skje, men om organisasjonen er tilstrekkelig forberedt når det skjer.
Å være godt forberedt handler nemlig ikke om teori alene. Det handler like mye om praktiske erfaringer, løsninger og læring fra organisasjoner som allerede arbeider aktivt med å styrke sin digitale motstandskraft og utnytte mulighetene kunstig intelligens gir.
Hvordan man bør innrette seg for å kunne møte truslene var derfor temaet for disse to interessante webinarene 8. og 15. september med godt forberedte og kommuniserte innlegg fra fagpersoner og ledere med sterk dybdekompetanse innenfor fagområdet. Webinarene ble arrangert av IIA Norges nettverk for teknologi og sikkerhet og ledet av nettverksleder Stig J. Sunde.
Ved å lese resten av denne artikkelen vil du få dypere innsikt i problemstillingene som ble behandlet og anbefalingene som ble gitt.
Nye temakrav til internrevisjon av cybersikkerhet
Karl Stefan Afradi fra KPMG presenterte IIAs nye temakrav for cybersikkerhet, som er den første av flere nye obligatoriske temastandarder for internrevisjon. Temakravene er en del av det reviderte International Professional Practices Framework (IPPF) og skal bidra til en mer konsistent og faglig forankret revisjon av sentrale og gjennomgripende risikoer.
Temakravet cybersikkerhet omfatter 17 krav fordelt på tre hovedområder: styring, risikostyring og kontroller. Internrevisjonen skal blant annet vurdere roller og ansvar, strategisk forankring, cyberrisiko og risikoappetitt, tilgangsstyring, sårbarheter, databeskyttelse, hendelseshåndtering og gjenoppretting. Kravene angir hva som skal vurderes, mens omfang, dybde og revisjonsmetodikk fortsatt skal bestemmes ut fra risiko og internrevisors profesjonelle skjønn.
Temakravet er bindende for bekreftelsesoppdrag og anbefalt ved rådgivningsoppdrag. Et viktig nytt element er dokumentasjonsplikten: hvert krav skal vurderes med henblikk på anvendelighet, og eventuelle utelatelser må begrunnes og dokumenteres i arbeidspapirene.
Kravene innebærer dermed økte forventninger til både planlegging, kompetanse og dokumentasjon i internrevisjonen. Samtidig kan dekningen fordeles over flere oppdrag og år og tilpasses virksomhetens risikoprofil. Budskapet er at en ad hoc-basert tilnærming til revisjon av cybersikkerhet ikke lenger er tilstrekkelig da temakravene nå etablerer et felles minimumsnivå for hvordan cyberrisiko skal vurderes.
NSMs tilsyn med digital sikkerhet – erfaringer og typiske funn
Trond Skyseth fra Nasjonal sikkerhetsmyndighet (NSM) forklarte hvordan NSM gjennomfører tilsyn og hvilke svakheter myndigheten ofte avdekker innen digital sikkerhet. NSM er overordnet tilsynsmyndighet etter sikkerhetsloven, og tilsynene skal bidra til forsvarlig sikkerhet, redusert risiko, etterlevelse av regelverket og kontinuerlig forbedring.
Tilsynene er risikobaserte og gjennomføres hovedsakelig som systemrevisjoner gjennom dokumentgjennomgang, intervjuer og stikkprøver. Et sentralt poeng er at sikkerhet må håndteres systematisk og helhetlig: virksomheten må forstå sine verdier, trusler, sårbarheter og avhengigheter, etablere relevante sikkerhetstiltak og beredskap samt kontrollere at tiltakene faktisk virker.
NSMs erfaringer fra tilsynene viser blant annet mangelfulle risikovurderinger, svak ledelsesforankring, utdaterte rutiner og utilstrekkelig sammenheng mellom risikovurderinger og sikkerhetstiltak. Innen digital sikkerhet avdekkes også relativt grunnleggende svakheter som svake passord, mangelfull tilgangsstyring, utilstrekkelig «patching» (forklart: prosessen med å installere små oppdateringer eller feilrettinger på programvare eller systemer for å tette sikkerhetshull, rette feil eller forbedre ytelsen), logging og monitorering, utdatert programvare og mangelfull nettverkssegmentering. Leverandøroppfølging og oversikt over leverandøravhengigheter er ytterligere utfordringer.
Han understreket også betydningen av beredskap, øvelser og læring etter hendelser. Kontroller og tilsyn har begrenset verdi dersom identifiserte svakheter ikke fører til dokumenterte forbedringstiltak som gjennomføres og verifiseres som virkningsfulle. Målet er en styrt, planlagt, regelmessig og systematisk sikkerhetsstyring som kontinuerlig tilpasses et dynamisk risikobilde.
Automatisering av IT-kontroller – Equinors erfaringer
Bahar Balcioglu fra Equinor presenterte selskapets erfaringer med automatisering av IT-kontroller. Arbeidet startet etter behovet for å utbedre vesentlige svakheter i IT-kontrollene som ble avdekket i 2021. Etter standardisering av kontrollene i 2022 ble så et automatiseringsprogram etablert i 2023, før løsningene gradvis ble skalert opp. Av 225 kontroller er nå 75 prosent automatisert eller delvis automatisert, med en oppgitt tidsbesparelse på hele 70–80 prosent.
Bakgrunnen for satsingen var både sikkerhet, kostnader og hensynet til medarbeiderne. Manuelle kontroller er ressurskrevende å gjennomføre, teste og dokumentere. Automatisering skal samtidig redusere «audit fatigue» og frigjøre tid fra dokumentasjon til mer verdiskapende arbeid.
Equinors prinsipper innebærer blant annet automatisk generering av revisjonsbevis fremfor skjermbilder, innebygde kontroller av datakvalitet og fullstendighet, minst mulig manuell behandling og løsninger som enkelt kan etterprøves av revisor. Samarbeid med ekstern revisor har derfor vært sentralt i utviklingen.
Det ble fremhevet at vellykket automatisering krever mer enn teknologi. Kontrollene må først standardiseres, problemet og gevinstpotensialet må videre være tydelig definert, og virksomheten trenger tverrfaglig samarbeid mellom kontroll- og teknologimiljøene. Endringsledelse, ledelsesforankring og tidlig involvering av revisor er viktige suksessfaktorer.
Neste fase omfatter ytterligere prosesstransformasjon og redesign av kontroller. Equinor ser også for seg bruk av kunstig intelligens til å automatisere både gjennomføring og testing av kontroller, noe som kan representere et nytt steg fra tradisjonell kontrollautomatisering mot mer kontinuerlig og datadrevet kontroll.
Bruk av kunstig intelligens for mer effektiv internrevisjon – Aker BPs erfaringer
Jacopo Paglia og May-Britt Selanger, begge fra Aker BP, forklarte hvordan selskapet anvender kunstig intelligens (KI) for å effektivisere internrevisjonens arbeidsprosesser. KI benyttes som støtte gjennom store deler av revisjonsprosessen, fra planlegging og informasjonsinnhenting til dokumentanalyse, gjennomføring av intervjuer, rapportering og oppfølging.
Ved hjelp av Microsoft Copilot og spesialutviklede KI-agenter kan internrevisjonen søke etter relevant informasjon, analysere og sammenligne dokumenter, oppsummere intervjuer og identifisere gjennomgående funn og risikoforhold. KI kan også bistå med dataanalyse, programmering og utarbeidelse av revisjonsrapporter.
Et sentralt utviklingsområde er agentbasert KI, hvor flere spesialiserte agenter samarbeider om kvalitetssikring og dokumentasjon av revisjonsarbeidet. Målet er å etablere et sammenhengende og etterprøvbart revisjonsspor fra innhentede revisjonsbevis til endelig rapport. I presentasjonen ble det samtidig understreket at KI skal understøtte, ikke erstatte, revisors profesjonelle skjønn og kritiske vurderinger.
Informasjonssikkerhet og konfidensialitet ble fremhevet som avgjørende forutsetninger. Dette omfatter datakvalitet, tilgangsstyring, bruk av godkjente KI-løsninger og kritisk kontroll av KI-genererte resultater for å motvirke feil og hallusinasjoner.
Gjennom innlegget ble det illustrert hvordan målrettet bruk av KI-agenter kan bidra til økt effektivitet, mer systematisk analyse og bedre kvalitetssikring, samtidig som at ansvaret for revisjonens konklusjoner fortsatt ligger hos internrevisor.
KI styring i praksis – Gjensidiges tilnærming
Øystein Endal fra Gjensidige forklarte hvordan styringen av kunstig intelligens integreres i virksomhetens eksisterende styringssystem fremfor å etableres som en separat struktur. Rammeverket omfatter blant annet styrende dokumenter, organisering, risikoappetitt, KI-register, risikovurderinger, livsløpsstyring av modeller, hendelseshåndtering samt opplæring og kompetanse.
Gjensidiges KI-policy bygger på seks sentrale prinsipper: proporsjonalitet, rettferdighet og ikke-diskriminering, transparens og forklarbarhet, menneskelig oppsyn, data governance og dokumentasjon samt robusthet og ytelse. Disse prinsippene danner fundamentet for ansvarlig utvikling og bruk av KI i virksomheten.
Et sentralt styringsverktøy er selskapets AI-register, som gir oversikt over KI-systemer, modeller og anvendelsestilfeller samt tilhørende konsekvensvurderinger og risikoreduserende tiltak. Alle KI-systemer risikoklassifiseres i henhold til EUs forordning om kunstig intelligens (KI-forordningen). I tillegg gjennomføres blant annet konsekvensvurderinger basert på EIOPAs (den europeiske tilsynsmyndigheten for forsikring og tjenestepensjon) etiske retningslinjer, vurderinger av grunnleggende rettigheter, FRIA (Fundamentale Rettigheter og Interesser-Avveining), personvernkonsekvensvurderinger (DPIA) og vurderinger av IT-sikkerhet.
Konsekvensvurderingene omfatter både hvordan KI kan påvirke berørte personer og hvilke forretningsmessige, finansielle, juridiske og omdømmemessige konsekvenser bruken kan få for selskapet. Faktorer som profilering, automatisert beslutningsstøtte, personopplysninger, modellkompleksitet og datakilder inngår i vurderingene.
Presentasjonen fremhevet samtidig betydningen av de tre forsvarslinjene, samarbeid og kompetansebygging. Gjensidiges tilnærming illustrerer dermed hvordan styring av bruk av KI kan gjøres til en integrert del av ordinær virksomhets- og risikostyring, samtidig som kravene til ansvarlig og etterprøvbar bruk av KI ivaretas.
Revisjon av kunstig intelligens – nye risikoer og krav til internrevisjonen
Carsten Maartmann-Moe i Advisense presenterte hvordan internrevisjonen bør tilnærme seg revisjon av anvendelsen av kunstig intelligens. Et sentralt budskap var at KI-risiko omfatter langt mer enn etterlevelse av EUs KI-forordning. Virksomhetene må også håndtere risiko knyttet til informasjonssikkerhet, personvern, feilaktige beslutninger, leverandøravhengighet og stadig mer autonome KI-systemer.
KI introduserer nye utfordringer gjennom blant annet uforutsigbare resultater, manglende forklarbarhet, hallusinasjoner, datalekkasjer og risiko for at KI-agenter utfører handlinger uten tilstrekkelig kontroll. Disse risikoene bør integreres i virksomhetens eksisterende risikostyring og revisjonsplanlegging.
Han anbefalte revisjon på tre nivåer: virksomhetens overordnede KI-styring, det enkelte KI-systemet og praktisk testing av kontrollenes effektivitet. Internrevisjonen må gå utover gjennomgang av policyer og rutiner og innhente konkrete revisjonsbevis gjennom systemlogger, valideringsresultater, testing av sikkerhetsmekanismer og kontroll av menneskelig overprøving.
Det ble særlig fremhevet at menneskelig kontroll bare har verdi dersom medarbeiderne har kompetanse, informasjon og myndighet til å utfordre og overprøve KI-genererte beslutninger.
Advisenses erfaringer viser også betydningen av tydelig KI-strategi, fullstendig oversikt over KI-anvendelser og risikobaserte kontrolltiltak gjennom hele systemenes livsløp.
Hovedbudskapet var at internrevisjonen må utvikle teknisk kompetanse og bevege seg fra dokumentbasert kontroll til praktisk testing og mer kontinuerlig revisjon av KI-systemenes faktiske funksjon og risiko.
