理论与实践
IIA《人工智能审计框架》主要观点和内容综述中国人民银行金溪县支行 邓鹰峰
经济与社会发展研究摘要：2017年12月20日，IIA发布《全球视角和见解：人工智能审计框架》，对人工智能审计的目标和程序做出框架性规定。笔者对其中主要观点和内容进行编译，以期为国内探索开展人工智能审计提供有益借鉴。关键词：人工智能；审计
一、《框架》的人工智能概念及目标
IIA《框架》所指的人工智能包括机器学习以及与人工智能相关的术语，内部审计的作用在于“帮助组织评估和理解人工智能在短期、中期或长期会对组织产生怎样的正面或负面的影响。”
二、《框架》主要观点和内容综述
（一）人工智能战略
一个组织的人工智能战略是该组织大数据战略的一个延伸。由于每个组织利用人工智能的方式不同，因此各个组织的人工智能战略都是不同的。
1.网络抵御风险能力
组织防范、应对网络攻击，及在攻击后恢复的能力，正变得越来越重要。首席审计官们需要确保团队有网络安全能力，持续监控人工智能和网络安全风险，并向高级管理层和董事会汇报风险级别及应对措施。
2.人工智能方面的能力要求
就内部审计行业而言，具有人工智能专业方面的人才储备较少。组织需要加强对员工的培训，加深员工对人工智能的理解。员工需要知道人工智能是如何工作的；了解人工智能的风险和机遇；确定人工智能的有效性；必要时能够建议或采取纠正措施。内部审计和第一、二道防线部门都需要这种能力。内审人员还应鉴定为组织提供人工智能的第三方厂商是否能够胜任该工作。内部审计在评估组织的人工智能战略之前，应当通过风险评估来确定自己的审计规划，并考虑是否将人工智能纳入审计计划中。人工智能审计业务规划应符合IIA 标准2200 中业务规划的要求。
（二）治理
人工智能治理指的是对组织的人工智能活动进行指导、管理和监控的框架和程序。人工智能治理包括:建立问责、责任和监督机制；帮助人工智能相关责任人获得必要的技能和专业知识；确保人工智能活动、决策和行为符合组织的价值观、道德、社会责任和法律责任。人工智能的策略和程序应当应用在人工智能整个生命周期中。
1.问责制、责任和监督
人工智能可能会造成很大的正面或负面影响。董事会和高级管理层对组织的人工智能造成的影响负责。在评估人工智能治理水平时，内部审计人员可以利用三道防线模型。这·298·
三道防线以及高级管理层、董事会、外部审计人员和监管机构都发挥了作用。内部审计人员应当了解每一个角色以及内部审计与该角色的关系。
（1）监管机构
在国家和地方各级，监管机构负责通报并控制特定的活动（如银行业务，医疗保健或食品安全）。监管机构通过开展研究，参与制定标准和指导以及与利益相关者沟通等活动进行“告知”；通过监督、制定和执行监管等活动来“控制”。迄今为止，还没有专门针对人工智能的规定。但已经意识到人工智能审计的重要性。
（2）管理层/董事会/审计委员会董事会负责审视组织的人工智能业务。董事会应与高级管理层一起制定组织的人工智能战略。内部审计必须认识和了解人工智能的情况，特别是组织的人工智能活动,除了为人工智能活动提供确认外，还应提供咨询服务，以帮助董事会履行好其职责。高级管理层也应制定人工智能的目标，制定和实施人工智能战略计划。内部审计应充分了解高级管理层的人工智能计划，考虑治理、风险管理和内部控制的有效性，内部审计应当是高级管理层值得信赖的顾问。
（3）“三道防线”
第一道防线：运营管理层应当负责管理人工智能的日常风险。内部审计应评估第一道防线的人工智能政策和程序，验证控制目标是否充分，并按照设计进行运作。第二道防线：合规、道德、风险管理和信息隐私和安全等措施是第二道防线，用于防范人工智能相关方面的风险。内部审计应评估第二道防线的策略和程序，确保控制目标充分，控制程序正常运作。第三道防线：内部审计应对组织的人工智能治理、风险管理和内部控制的有效性提供独立的确认。监管机构和标准制定机构已经认识到人工智能在风险管理和合规方面的潜力。
（4）外部审计
外部审计作为第三方机构，就财务报表是否按照适用的财务报告框架或规定编制发表意见。对于人工智能，外部审计师最有可能关注结果，例如人工智能模型的风险管理或估值背后的算法，以及这些算法对财务报表是否产生重大影响。
2.合规性
法规通常滞后于技术变革，人工智能也不例外。隐私法规（如美国1996 年制定的医疗电子交换法案（HIPAA），和将于2018 年5 月生效的欧盟一般数据保护法案），这可能会使人工智能的运用变得更加复杂。这两个法案都保护个人隐私信息，而这些信息通常为人工智能提供数据来源。例如，金融稳定委员会《人工智能和金融服务的机器学习》报告表明，欧盟制定的一般数据保护条例的部分内容与人工智能相关:禁止处理敏感类型的个人数据；数据主体有权要求算法对自动决策的理由给出解释；数据主体可以要求自主决策权，即使企业提供了自动选择或决策服务。即使现行法规没有针对人工智能的具体法律条文，组织也应该了解人工智能活动是否符合现行法律的精神。当新法规正在制定和生效时，考虑现行法律精神的积极做法将帮助组织变得灵活。
（三）数据架构和基础设施
人工智能数据架构和基础设施需要注意以下事项：数据的访问方式（元数据、类、唯一标识符和命名规范）；数据全生命周期（包括数据收集、使用、存储和销毁）中的隐私和安全；数据全生命周期中，数据所有者和使用者的角色和权限。为确保人工智能成功应用在公司业务，组织应关注软件开发的三个主要领域：
1.数据整合
将多种来源的数据整合到应用和系统中。2.应用现代化
应用软件需要及时更新以满足需求。3.员工教育
软件开发人员、项目经理和其他技术人员需要学习，以跟上机器学习及各类IT技术的最新趋势。
（四）数据质量
数据的完整性、准确性和可靠性对人工智能算法尤为重要。人工智能系统需要大量的高质量数据，这些数据必须是格式化数据。除了格式化数据，人工智能还使用非结构化数据。根据IIA的“全球科技审计指南：理解和审计大数据”的描述，“非结构化数据来源各异，结构不同，更难以处理，因此需要研发新方法分析和处理这些数据”。组织可以使用机器学习来提高数据质量，例如，在企业的多个部门之间，同一个供应商可能使用多个不同的名称，可以使用机器学习快速将供应商名称归一化。
IIA《人工智能审计框架》主要观点和内容综述
