Equipes de auditoria externa já utilizam a IA para reduzir os ciclos de planejamento, fazer a triagem de solicitações de informações ao cliente (PBC) e elaborar documentação sob pressão de prazos. A responsabilidade profissional permanece inalterada. Segundo as normas do PCAOB, a equipe do trabalho é responsável pela avaliação de riscos, pela suficiência e adequação das evidências de auditoria e pela documentação que fundamenta o relatório. Se o resultado gerado pela IA for incorporado ao fluxo de trabalho sem um lugar definido nessa cadeia de responsabilidade, cria-se um dossiê de evidências que parece completo, mas que não resiste a uma inspeção.
As normas PCAOB AS 2110, Identificação e Avaliação de Riscos de Distorção Relevante, e PCAOB AS 2301, Respostas do Auditor aos Riscos de Distorção Relevante, constituem a base para definir onde a IA pode — e onde não pode — auxiliar. A IA pode acelerar a organização de informações e a identificação de indícios relevantes. No entanto, ela não pode determinar quais riscos são significativos, quais evidências são suficientes ou se os procedimentos oferecem uma resposta adequada. Quando uma equipe trata as conclusões da IA como julgamentos de auditoria, as consequências são concretas: avaliações de risco sem fundamentação, respostas desalinhadas e documentação que não demonstra o raciocínio do auditor.
A IA deve integrar o fluxo de trabalho como uma ferramenta para gerar insumos e identificar padrões, e não como uma fonte de evidências de auditoria. A norma AS 2110 exige que o auditor identifique e avalie riscos com base na compreensão da empresa e de seu ambiente, incluindo os controles internos. A IA pode ajudar a construir essa compreensão mais rapidamente, mas cabe à equipe do trabalho articular a conexão entre os fatos, o risco e a resposta planejada.
A norma AS 2301 exige que o auditor elabore e execute procedimentos que respondam aos riscos avaliados e avalie se as evidências obtidas são suficientes e adequadas. Se o resultado da IA for tratado como evidência, o dossiê não demonstrará como a evidência foi obtida, como foi testada ou por que é confiável. Essa lacuna é exatamente o que as inspeções e as revisões internas de qualidade buscam identificar.
Para fundamentar o restante do curso, mapeie o fluxo de auditoria — da avaliação de riscos à obtenção de evidências — e identifique os pontos em que a documentação deve registrar a avaliação e a aprovação humana.
Na fase de preparação da auditoria, a IA desempenha bem algumas funções específicas. Ela resume grandes volumes de textos padronizados, extrai campos estruturados de documentos repetitivos, identifica anomalias que requerem acompanhamento e elabora rascunhos iniciais para os papéis de trabalho. Cada um desses resultados só é útil se o auditor o avaliar, o corroborar e documentar essa avaliação nos papéis de trabalho.
A distinção é de natureza operacional. A IA elabora o rascunho; o auditor valida. A IA destaca pontos de atenção; o auditor investiga. A IA propõe; o auditor decide. Quando essa fronteira se torna difusa, a equipe de trabalho deixa de documentar seu raciocínio, pois a narrativa gerada pela IA parece completa. O resultado profissional é um papel de trabalho com leitura fluida, mas que não demonstra conformidade com os requisitos de avaliação de risco da norma AS 2110 ou com os requisitos de resposta aos riscos (obtenção de evidências) da norma AS 2301.
Classifique as tarefas comuns assistidas por IA com base no que elas produzem e se podem ser utilizadas para fundamentar evidências de auditoria, nos termos da norma AS 2301, sem a necessidade de procedimentos adicionais.
Considere uma empresa de SaaS de médio porte com múltiplas obrigações de desempenho, modificações contratuais e um processo de fechamento trimestral que sofre atrasos constantes. A equipe pode sentir-se tentada a usar IA para agilizar o planejamento, elaborar questionamentos e preencher previamente papéis de trabalho relacionados à receita. A abordagem justificável consiste em optar por procedimentos assistidos por IA que reduzam o tempo gasto com tarefas administrativas, preservando, ao mesmo tempo, o vínculo documentado pelo auditor entre o risco identificado, a resposta a esse risco e as evidências obtidas.
A questão não é usar ou não a IA. A decisão reside em utilizar a IA para reduzir esforços de baixo valor agregado ou para substituir etapas que as normas AS 2110 e AS 2301 exigem que o auditor execute e documente. Quando ocorre a segunda situação, o trabalho de auditoria falha justamente no aspecto que nenhuma ferramenta consegue suprir: a demonstração do julgamento profissional do auditor nos papéis de trabalho.
Analise opções baseadas em cenários, garantindo que cada escolha esteja vinculada às normas AS 2110 ou AS 2301 e corresponda a um local específico nos papéis de trabalho.