AI w audycie wewnętrznym ISO: co naprawdę przyspiesza, a co tylko wygląda mądrze

Kiedy audytor wewnętrzny mówi „AI mi to sprawdzi”, najczęściej ma na myśli „wkleję dokumenty do chatbota i zobaczę, co wyjdzie”. A przecież sedno audytu nigdy nie leżało w przeczytaniu wszystkich zapisów – tylko w udowodnieniu, że system rzeczywiście robi to, co deklaruje. AI potrafi przyspieszyć to drugie, ale tylko jeśli wiesz, gdzie postawić granicę.

Co AI naprawdę automatyzuje w audycie wewnętrznym

W audycie wewnętrznym AI sprawdza się przede wszystkim tam, gdzie dane są powtarzalne i mają jasne kryteria. Automatyczne testowanie skuteczności kontroli wewnętrznych polega na tym, że model ocenia, czy procedury i procesy są przestrzegane zgodnie z ustalonymi standardami – to nie magiczne „myślenie”, tylko porównywanie zapisów z wymaganiami. Podobnie w audycie dostawców: analiza kontraktów i umów pod kątem kluczowych informacji to zadanie, które model wykonuje szybciej niż człowiek, o ile wcześniej zdefiniujesz, co jest „kluczowe”.

Drugi obszar to wykrywanie anomalii. Model przegląda rejestry niezgodności, karty procesów albo logi systemowe i wskazuje miejsca, które odstają od wzorca – na przykład powtarzające się korekty w tym samym dziale albo wpisy, które nie mają pokrycia w zapisach. To nie zastępuje audytora, ale zawęża listę miejsc do sprawdzenia z kilkudziesięciu do kilku. Trzeci element to ciągły audyt: zamiast raz w roku przeglądać stos dokumentów, model może monitorować wybrane wskaźniki na bieżąco i sygnalizować odchylenia, zanim staną się niezgodnością.

Gdzie AI zawodzi i dlaczego audytor nadal jest potrzebny

Pierwsze ograniczenie jest banalne, ale kosztowne: model nie zna kontekstu. Potrafi wskazać, że dana procedura nie ma podpisu, ale nie wie, że w tej organizacji podpis cyfrowy jest równoważny – chyba że mu to wcześniej wprost powiesz. W audycie wewnętrznym ISO to oznacza, że każde zadanie AI wymaga precyzyjnego zdefiniowania kryteriów, a to samo w sobie jest pracą audytora. Drugie ograniczenie to ryzyko halucynacji: model może „dopowiedzieć” niezgodność, której nie ma, albo pominąć taką, która jest – dlatego każdy wynik AI musi przejść przez weryfikację człowieka, zanim trafi do raportu.

Trzecie ograniczenie wiąże się z poufnością danych. Wrzucenie całej dokumentacji systemu zarządzania do zewnętrznego narzędzia to ryzyko, którego nie da się zbyć samą polityką – trzeba wiedzieć, gdzie dane są przetwarzane i czy dostawca spełnia wymagania RODO. Standardy takie jak ISO 42001 i NIST AI 600 dostarczają wytycznych dotyczących identyfikacji, oceny i zarządzania ryzykiem związanym z AI – ale to nadal wytyczne, nie gotowe rozwiązanie. W praktyce audytor musi sam zdecydować, które zadania można oddać modelowi, a które wymagają jego osądu.

Przykład z praktyki

Zespół jakości u dostawcy motoryzacyjnego przygotowywał się do audytu wewnętrznego IATF 16949. Zamiast ręcznie przeglądać rejestry niezgodności z całego kwartału, najpierw zdefiniował kryteria: jakie wpisy uznajemy za powtarzalne, jakie za wymagające eskalacji, jakie za zamknięte bez działań korygujących. Dopiero potem wrzucił dane do modelu, który wskazał kilkanaście rekordów odbiegających od wzorca. Audytor przejrzał je ręcznie i odrzucił część jako fałszywe alarmy – ale trzy wpisy okazały się rzeczywistymi lukami w działaniach korygujących, które wcześniej umknęły w natłoku dokumentów.

Równolegle ten sam zespół użył modelu do analizy umów z dostawcami pod kątem wymagań specyficznych klienta. Model wyciągnął klauzule dotyczące terminów reakcji na reklamacje i poziomów PPM, ale nie wychwycił jednego zapisu ukrytego w załączniku – bo załącznik nie został wgrany w całości. To pokazuje, że AI działa dobrze tylko na tym, co mu dasz, i nie zastąpi przeglądu kompletności dokumentacji. Ostatecznie audyt wewnętrzny przeszedł sprawniej, ale nie dlatego, że AI „zrobiło audyt”, tylko dlatego, że zespół najpierw uporządkował kryteria, a potem użył modelu jako filtra.

Co z tego wynika

Zanim wdrożysz AI do audytu wewnętrznego, najpierw zdefiniuj kryteria oceny – bez tego model nie będzie wiedział, czego szukać, a Ty dostaniesz ładnie sformatowany, ale bezużyteczny raport. Traktuj AI jako filtr, nie jako decydenta: każde wskazanie modelu musi przejść przez weryfikację audytora, a dokumentacja dotycząca ryzyka związanego z AI powinna być częścią systemu zarządzania, nie dodatkiem. I pamiętaj, że największą wartość daje nie automatyzacja pojedynczego zadania, tylko zmiana sposobu myślenia o audycie – z przeglądu dokumentów na bieżące monitorowanie procesów.