Що це була за доповідь

29 жовтня 2026 року в Києві, в Ramada Encore Kyiv, відбулася конференція INTERNAL AUDIT & CONTROL 2026 від Business-Format Group, у залі й онлайн. У сесії «Smart Audit та контроль цифрових процесів» директор Active Audit Agency (Audit3a) Володимир Ткаченко виступив із доповіддю «Smart Audit: як штучний інтелект змінює внутрішній аудит уже сьогодні». Виступ тривав 25 хвилин плюс п'ять хвилин на запитання, українською. Нижче переказ головних думок, які Володимир показав на слайдах.

ШІ в аудиті вже є, а стратегії поки нема

Доповідь почалася з цифр Gartner (опитування 743 фахівців з аудиту під час вебінару Gartner, 2026). 93% опитаних уже якоюсь мірою використовують штучний інтелект (ШІ), а стратегія є лише у 38%. 60% застосовують ШІ для чернеток знахідок і звітів, а для аудиторських тестів лише 30%. Час на текстах ми вже економимо, а сам аудит змінили ще мало.

За тим самим опитуванням, лише 12% використовують ШІ для контролю якості аудиту. Володимир звернув увагу на головне: ШІ найбільше пише тексти і найменше перевіряє, хоча саме перевірка дає цінність. Тож питання, за його словами, вже не в тому, чи використовувати ШІ, а в тому, навіщо. Висока частка використання не дає кращого аудиту, якщо ШІ застосовують лише для зручності.

Було і стає: нова модель аудиту

За тезою доповіді, ШІ змінює не лише швидкість, а й саму модель аудиту:

• було: вибірка, стає: перевірка всієї сукупності даних (популяції);

• було: перевірка раз на рік, стає: безперервний моніторинг ризиків і заходів контролю;

• було: ручний збір доказів перед аудитом, стає: докази, які процес створює сам;

• було: аудитор шукає відхилення, стає: аудитор перевіряє знайдене й оцінює;

• було: звіт з нуля, стає: чернетка за хвилини, а висновок і відповідальність лишаються за людиною.

Професійне судження ШІ не замінює, підпис під висновком ставить аудитор.

Шість сценаріїв, які працюють уже сьогодні

Володимир радив починати з конкретних задач, а не з «великої трансформації». Він показав шість сценаріїв:

• планування і ризики: ШІ зводить звіти, інциденти й зміни регуляцій у чернетку карти ризиків;

• аналіз документів: політики, процедури й договори порівнюються з вимогами ISO, НБУ та актів ЄС (DORA, AI Act, NIS2, GDPR), ШІ готує перелік розбіжностей;

• тестування всієї популяції: аналітика й ШІ шукають аномалії в транзакціях, закупівлях і доступах;

• аналіз доступів: хто має доступ до чого і де конфлікти повноважень;

• докази й робочі документи: збір, прив'язка до вимог, чернетки знахідок;

• звітування: формулювання знахідок, резюме для наглядової ради, переклад.

У кожному сценарії ШІ готує, а людина вирішує: пріоритети, висновок і тон лишаються за аудитором, рішення щодо доступів за власником процесу.

Як це працює в AAA

За словами Володимира, платформа AAA Digital Employee не чат-бот, а цифровий працівник, який веде процес під наглядом людини. Розслідування сповіщень SOC (центру моніторингу безпеки) уже реалізовано: платформа збирає докази з підключених систем і готує запис розслідування, а рішення ухвалює аналітик. Модуль управління вразливостями розроблено. Кроки, виклики моделей і погодження записуються, а на даних клієнта моделі не навчаються. Окремо доповідач згадав проєкт AI-SOC4UA, який AAA виконує в консорціумі з нідерландською DataExpert B.V. за підтримки Netherlands-Ukraine Cybersecurity Fund.

Довіра до ШІ, як він показав, будується поступово: описати процес, налаштувати на інструментах клієнта, спостерігати (ШІ працює паралельно з командою, лише на читання), допомагати (ШІ готує, людина вирішує) і лише потім автоматизувати, на доказах і з можливістю зупинити будь-коли.

Незалежність: ШІ не перевіряє сам себе

Правило незалежності аудитора, за тезою доповіді, поширюється і на ШІ. Інструмент, який виконує контроль, не може сам себе перевіряти. Там, де AAA проводить аудит клієнта, вона не розгортає свого цифрового працівника на тому самому обсязі. Для внутрішніх аудиторів висновок такий: якщо компанія впроваджує ШІ в процеси, функція аудиту має лишатися незалежною від нього, і це варто закласти в положення про внутрішній аудит.

Ризики й тіньовий ШІ

ШІ знімає частину рутини і додає ризики, які аудит має контролювати. Доповідь назвала шість, і кожному відповідає проста дія:

• вигадані факти й посилання: перевіряти кожен факт за першоджерелом;

• конфіденційні дані в публічних чат-ботах: лише корпоративні інструменти з договором і без навчання на ваших даних;

• «чорна скринька»: фіксувати запит, джерела й рішення людини;

• якість даних: перевіряти дані першими, бо ШІ підсилює помилки;

• надмірна довіра: людина в контурі для кожного висновку;

• тіньовий ШІ: реєстр ШІ-інструментів, якими працівники користуються насправді.

Аудит самого ШІ: що перевіряти вже зараз

Аудитори хочуть перевіряти ШІ, але поки не впевнені, як. За опитуванням Gartner, у якому взяли участь 102 керівники внутрішнього аудиту (оприлюднене у квітні 2024 року), не більше 11% тих, хто вважає ризик ШІ дуже важливим, дуже впевнені, що можуть надати щодо нього впевненість. Уже зараз, за доповіддю, варто перевіряти реєстр ШІ-систем (включно з тіньовим ШІ), класифікацію ризику, оцінку впливу перед запуском, людський нагляд, постачальників моделей, моніторинг якості та інциденти.

ISO/IEC 42001: рамка, яку можна аудитувати

Для ШІ вже є стандарт, такий само зрозумілий, як ISO 27001. ISO/IEC 42001:2023 став першим міжнародним стандартом системи управління штучним інтелектом (AIMS). Він має ту саму структуру, що ISO 27001 і ISO 9001, тож вбудовується в наявну систему управління. Додаток A містить 38 контролів у дев'яти групах: від політики й оцінки впливу до даних, життєвого циклу та третіх сторін. Внутрішній аудит (пункт 9.2) і аналіз з боку керівництва (пункт 9.3) обов'язкові. Для внутрішнього аудитора це готовий набір критеріїв.

Поруч стоять ISO/IEC 42005:2025 про оцінку впливу систем ШІ та ISO/IEC 42006:2025 з вимогами до органів, що сертифікують AIMS. Завдяки 42006 сертифікат 42001 стає порівнянним із сертифікатом 27001.

Впровадження 42001 дає реєстр систем ШІ і ролей, класифікацію за EU AI Act, оцінку впливу до запуску, правила людського нагляду та доказову базу для регулятора, клієнтів і аудиторів. Як вимоги EU AI Act стосуються вашої компанії, пояснюємо на сторінці EU AI Act compliance. Володимир додав, що AAA почала із себе: ISO 9001, 27001, 27701 і 42001 будуються як одна система, а оцінку впливу платформи й внутрішній аудит AIMS виконують не розробники.

Регуляторний календар

Вимоги до ШІ вже діють, частину строків перенесли, але не скасували. EU AI Act чинний з 1 серпня 2024 року, заборони й ШІ-грамотність персоналу з 2 лютого 2025, прозорість (стаття 50) з 2 серпня 2026. За Digital Omnibus (Регламент (ЄС) 2026/1744) високий ризик переносять на 2 грудня 2027 та 2 серпня 2028, а НБУ очікує від банків ризик-орієнтованого ШІ з людським наглядом.

З чого почати: 90 днів

Почніть з малого і міряйте якість, а не кількість використань. План з доповіді:

• перші два тижні: політика використання ШІ в аудиті (інструменти, заборонені дані, документування) і навчання команди;

• перший місяць: обрати два-три сценарії з найбільшим ефектом і зафіксувати поточні витрати часу;

• другий місяць: пілот на реальному аудиті паралельно з ручною перевіркою;

• третій місяць: оцінити якість, повноту, знахідки й час, ухвалити рішення масштабувати;

• паралельно: реєстр ШІ-систем компанії та план аудиту ШІ з ISO/IEC 42001 як критеріями.

Gartner (11 серпня 2026) радить пов'язувати ШІ з якістю аудиту та інсайтами щодо ризиків, а не міряти успіх лише використанням.

Запис і наступний крок

Запис трансляції конференції є на YouTube. Якщо ви готуєте аудит кібербезпеки або оцінку відповідності вимогам щодо ШІ, напишіть нам, і ми обговоримо, з чого почати саме у вас.