AI dalam Audit Dalaman: Pemantauan Berterusan dan Pengujian Keseluruhan Populasi

Oleh Jane Ha · Dikemas kini 11 Oktober 2026

AI dalam audit dalaman ialah penggunaan pembelajaran mesin, analitik dan model bahasa untuk menguji kawalan dan transaksi secara berterusan serta merentasi keseluruhan populasi, dan bukannya menyemak sampel kecil sekali setahun, manakala juruaudit kekal bertanggungjawab atas penentuan skop, pertimbangan dan kesimpulan. Perubahannya mudah dinyatakan. Audit tradisional bertanya, "Daripada 60 invois yang kami ambil, berapa yang melanggar peraturan?" Audit dibantu AI bertanya, "Daripada kesemua 400,000 invois, yang mana melanggar peraturan, dan yang mana kelihatan ganjil walaupun lulus?"

Panduan ini ditujukan kepada ketua eksekutif audit, pengurus audit, CFO dan pengawal kewangan (controller) yang ingin tahu apa sebenarnya yang terlibat dalam pemantauan berterusan dan pengujian keseluruhan populasi, di mana AI membantu, dan di mana tidak. Untuk gambaran yang lebih luas, mulakan dengan AI dalam kewangan dan perakaunan. Untuk persekitaran kawalan yang diuji oleh audit, baca AI dan kawalan dalaman.

Fakta Utama

• Piawaian Audit Dalaman Global IIA disusun dalam lima domain dan 15 prinsip (The IIA), dan berkuat kuasa pada 9 Januari 2025 (siaran akhbar The IIA, Januari 2025).
• IIA menerbitkan edisi ketiga Global Technology Audit Guide mengenai pengauditan dan pemantauan berterusan pada 25 September 2025, menggantikan edisi 2015 (The IIA).
• Dalam North American Pulse of Internal Audit 2025, 41% pasukan melaporkan menggunakan AI generatif dalam audit dalaman, tetapi hanya 6% menggunakannya kerap atau secara meluas dalam kerja lapangan dan 13% dalam perancangan (rumusan Optro bagi laporan Internal Audit Foundation).
• Dalam tinjauan yang sama, analisis data ialah kemahiran yang paling ingin ditingkatkan oleh ketua eksekutif audit, dipilih oleh 78% responden (rumusan Optro).
• Persampelan audit ditakrifkan secara rasmi sebagai pelaksanaan prosedur audit ke atas kurang daripada 100% item dalam sesuatu populasi, dan risiko persampelan ialah risiko bahawa kesimpulan daripada sampel berbeza daripada kesimpulan yang akan diberikan oleh keseluruhan populasi (FRC, ISA (UK and Ireland) 530).
• Artificial Intelligence Auditing Framework IIA, yang dikemas kini pada 13 September 2024, merangkumi tadbir urus AI, pengurusan dan fungsi audit dalaman itu sendiri, termasuk AI generatif (The IIA).

Maksud Pemantauan Berterusan dan Pengujian Keseluruhan Populasi

Kedua-dua idea ini berkaitan tetapi tidak serupa.

Pengujian keseluruhan populasi bermaksud menjalankan ujian ke atas setiap rekod dalam set data (semua catatan jurnal, semua pembayaran, semua tuntutan perbelanjaan) dan bukannya sampel terpilih. Sampel memberikan anggaran dengan tahap keyakinan. Ujian keseluruhan populasi memberikan senarai setiap pengecualian. Persampelan ialah alat apabila anda tidak dapat menyemak segala-galanya. Apabila data berada dalam gudang data dan ujian hanyalah satu pertanyaan, selalunya anda boleh.

Pemantauan berterusan bermaksud ujian dijalankan mengikut jadual (harian, mingguan) dan bukannya sekali bagi setiap kitaran audit. Secara tegas, panduan IIA membezakan dua peranan. Pengauditan berterusan ialah apa yang dilakukan oleh audit dalaman untuk memberikan jaminan berterusan. Pemantauan berterusan ialah apa yang dilakukan oleh pengurusan untuk memerhati kawalannya sendiri. Dalam amalan, keduanya berkongsi peralatan, dan program yang baik menyelaraskannya supaya kedua-dua barisan tidak membina ujian yang sama dua kali.

Di mana AI berperanan? Analitik berasaskan peraturan sudah boleh menguji keseluruhan populasi: "tandakan sebarang pembayaran melebihi had kelulusan." AI menambah tiga perkara yang sukar dilakukan oleh peraturan:

1. Pengesanan corak tanpa peraturan bertulis. Model anomali menilai setiap transaksi berdasarkan apa yang normal bagi pembekal, pengguna atau akaun itu, jadi ia menonjolkan item ganjil yang tiada siapa terfikir untuk menulis peraturan baginya.
2. Membaca teks tidak berstruktur. Model bahasa boleh membaca kontrak, e-mel, keterangan perbelanjaan dan dokumen polisi, lalu membandingkannya dengan apa yang dinyatakan oleh lejar.
3. Keutamaan. Dengan keseluruhan populasi, anda mungkin mendapat 3,000 pengecualian. Model boleh menyusunnya mengikut kedudukan supaya juruaudit bermula dengan yang paling berkemungkinan benar.

Persampelan berbanding Pengujian Keseluruhan Populasi

Jadual ini menunjukkan mengapa perubahan ini bukan sekadar "lebih banyak ujian." Kerja juruaudit beralih daripada mengambil item kepada memutuskan pengecualian mana yang penting dan mengapa. Risiko persampelan, seperti yang ditakrifkan oleh teks ISA 530 FRC, ialah kemungkinan bahawa kesimpulan berasaskan sampel berbeza daripada apa yang akan ditunjukkan jika semuanya diuji. Ujian keseluruhan populasi menghapuskan risiko khusus itu. Ia menambah risiko lain, yang dibincangkan di bawah.

Di Mana AI Membantu, Mengikut Bidang Audit

Contoh di bawah bersifat ilustrasi, bukan diambil daripada organisasi tertentu.

Akaun belum bayar dan perolehan. Ujian berasaskan peraturan menyemak nombor invois pendua. Model juga menangkap hampir-pendua: jumlah dan pembekal yang sama dengan satu digit bertukar tempat, atau pembelian yang dipecahkan tepat di bawah had kelulusan. Model bahasa boleh membandingkan keterangan invois dengan pesanan belian. Lihat AI dalam akaun belum bayar untuk cara proses itu sendiri diautomasikan, yang mengubah apa yang perlu diuji oleh audit.

Catatan jurnal dan penutupan akaun. Juruaudit sudah lama menguji catatan jurnal manual untuk penanda risiko: dicatat pada waktu ganjil, jumlah bulat, pasangan akaun luar biasa, catatan oleh pengguna yang jarang membuat catatan. Model menilai setiap catatan berdasarkan corak tersebut dan sejarah penyedia. Penutupan akaun hujung bulan ialah tempat kebanyakan pelarasan manual berkumpul, jadi ia memang sesuai untuk difokuskan.

Perbelanjaan dan belanja kad. Daripada mensampel 40 tuntutan, uji setiap tuntutan untuk pelanggaran polisi, resit pendua, perbelanjaan hujung minggu dan ketidakpadanan pedagang. Pengurusan perbelanjaan dengan AI membincangkan kaedah pengesanan dengan lebih terperinci.

Akses dan pengasingan tugas. Bandingkan penetapan peranan pengguna merentasi sistem ERP dan perbankan, dan tandakan individu yang boleh mencipta pembekal sekaligus meluluskan pembayaran. Ini masalah pemadanan data, dan ia berjalan dengan baik mengikut jadual harian.

Hasil dan akaun belum terima. Uji setiap invois berbanding terma kontrak dan rekod penghantaran, dan tandakan nota kredit yang dikeluarkan sejurus selepas akhir suku tahun. Model semakan dokumen boleh membaca klausa kontrak dan membandingkannya dengan tetapan pengebilan.

Penunjuk penipuan. Model boleh menyusun pembekal, pekerja atau transaksi mengikut risiko penipuan untuk disiasat. Anggaplah outputnya sebagai petunjuk, bukan dapatan. Panduan pendamping, pengesanan penipuan dengan AI dalam kewangan, membincangkan kaedah dan kadar ralatnya.

Pentadbiran audit. Model bahasa boleh meringkaskan kertas kerja tahun lepas, merangka langkah ujian daripada huraian kawalan, dan menukar nota temu bual menjadi draf pertama dapatan. Data Pulse daripada IIA Foundation menunjukkan inilah corak awal: penggunaan tersebar nipis merentasi perancangan, kerja lapangan dan pelaporan, dan sedikit pasukan yang menggunakannya dengan banyak dalam mana-mana satu peringkat.

Rupa Pemantauan Berterusan dalam Amalan

Persediaan yang berfungsi mempunyai beberapa komponen yang saling bergantung, dan tiada satu pun yang luar biasa.

• Lapisan data. Ekstrak daripada ERP, sistem pembayaran, HR dan log akses mendarat dalam storan terkawal mengikut jadual. Juruaudit mempunyai akses baca sahaja.
• Perpustakaan ujian. Setiap ujian mempunyai ID, kawalan yang berkaitan, huraian logik, pemilik dan ambang. Sesetengah ujian ialah peraturan. Sesetengah lagi ialah model.
• Baris gilir pengecualian. Keputusan dihantar ke satu tempat dengan status (baharu, sedang disemak, disahkan, ditolak) dan kod sebab bagi setiap keputusan.
• Peraturan penghalaan. Pengecualian berisiko rendah dihantar kepada pemilik kawalan di barisan pertama untuk dijelaskan. Yang berisiko tinggi dihantar kepada audit.
• Papan pemuka untuk jawatankuasa audit. Trend pengecualian mengikut proses dan entiti, masa untuk menyelesaikan, dan isu berulang.

Peraturan penghalaan ialah tempat program berjaya atau gagal. Jika pengurusan memiliki pemantauan dan audit menguji pemantauan itu, anda mendapat penyelarasan tanpa pertindihan. Jika audit menjalankan segala-galanya sendiri, ia berisiko menjadi sebahagian daripada persekitaran kawalan yang sepatutnya dinilainya secara bebas.

Cara Melaksanakannya, Langkah demi Langkah

1. Pilih proses pertama berdasarkan risiko dan kesediaan data. Pilih satu dengan sumber data yang bersih dan berpusat serta kawalan yang jelas. Pembayaran, catatan jurnal dan perbelanjaan ialah permulaan yang lazim. Kesediaan data kewangan untuk AI menyenaraikan perkara yang perlu disemak.
2. Mulakan dengan peraturan, tambah model di mana peraturan tidak mencukupi. Bina semula ujian berasaskan sampel semasa anda sebagai pertanyaan keseluruhan populasi dahulu. Itu sahaja selalunya mengubah apa yang anda lihat. Tambah penilaian anomali di mana terdapat jurang yang jelas.
3. Tentukan apa yang dikira sebagai pengecualian sebelum anda menjalankannya. Tulis objektif kawalan, logik ujian dan ambang. Tanpa itu, anda tidak dapat menjelaskan keputusan kepada pemilik proses.
4. Bandingkan dengan kaedah lama sebagai garis dasar. Jalankan ujian keseluruhan populasi pada tempoh yang telah anda sampel. Bandingkan apa yang ditemui oleh setiap pendekatan.
5. Ukur positif palsu dan laraskan. Jika 90% tanda ditolak, penyemak akan berhenti melihatnya. Laraskan ambang bersama orang yang menyemak baris gilir.
6. Persetujui peranan dengan pengurusan. Tentukan ujian mana yang dimiliki pengurusan sebagai pemantauan, mana yang dimiliki audit sebagai jaminan, dan cara pengecualian dihalakan. Dokumenkannya.
7. Tetapkan tadbir urus model. Rekodkan tujuan, input, pemilik, keputusan ujian dan sejarah perubahan setiap model. AI Auditing Framework IIA ialah senarai semak yang berguna untuk menilai proses yang dibolehkan AI, dan disiplin yang sama terpakai pada model anda sendiri.
8. Sahkan kesimpulan secara manual. Setiap dapatan yang dilaporkan harus dapat dijejaki kepada rekod sumber yang telah dilihat oleh juruaudit, bukan kepada skor model semata-mata.
9. Laporkan dengan cara berbeza. Beralih daripada "kami menguji 40 item dan menemui 2 pengecualian" kepada "kami menguji semua 212,000 item, menemui 340 pengecualian, dan 19 disahkan sebagai ralat."
10. Semak program setiap suku tahun. Periksa liputan, kadar positif palsu, gangguan suapan data dan sama ada ujian masih sepadan dengan kawalan.

Had dan Perangkap

Pengujian keseluruhan populasi kedengaran seperti kepastian. Ia bukan.

• Set data yang lengkap tidak sama dengan jaminan yang lengkap. Anda menguji setiap rekod dalam ekstrak. Jika ekstrak terlepas satu sistem, entiti atau proses manual, populasi itu tidak lengkap. Padankan bilangan rekod dan jumlah dengan lejar sebelum anda mempercayai ujian.
• Kawalan yang tiada dalam data. Semakan pengurusan, kelulusan melalui e-mel dan pemeriksaan fizikal meninggalkan sedikit jejak berstruktur. Analitik tidak dapat menguji apa yang tidak direkodkan.
• Positif palsu. Beribu-ribu pengecualian boleh menimbus yang benar. Baris gilir yang disusun mengikut kedudukan membantu, tetapi hanya jika kedudukan itu dilaraskan dan disemak.
• Output kotak hitam. Jika model menandakan sesuatu catatan dan tiada siapa dapat menjelaskan sebabnya, anda tidak boleh menyokong dapatan dengannya. Pilih kaedah yang sebabnya kelihatan, atau tambah lapisan penjelasan dan sahkan berbanding dokumen sumber.
• Ralat model bahasa. Tulisan yang kedengaran betul masih boleh salah. Satu catatan pengamal yang diterbitkan oleh IIA mengenai setahun penggunaan AI dalam audit memberi amaran tentang output yang digilap tetapi menyembunyikan ralat, dan mengesyorkan agar ia disemak seperti draf rakan sekerja junior (Internal Auditor, Disember 2025). Anggap dapatan dan ringkasan yang dirangka model sebagai draf.
• Kebebasan. Jika audit membina dan menjalankan pemantauan yang sepatutnya dimiliki pengurusan, ia mengambil peranan pengurusan. Pastikan garis pemisah jelas.
• Privasi dan keselamatan data. Data gaji, pembekal dan pelanggan yang dimasukkan ke dalam model atau alat luar memerlukan kawalan akses dan kelulusan yang sama seperti mana-mana sistem sensitif lain.
• Hanyutan model. Perubahan perniagaan (modul ERP baharu, aliran penerimaan pembekal baharu) menggeser apa yang dianggap normal. Model yang dilatih sebelum perubahan akan melabel secara salah selepasnya.
• Jurang kemahiran. Responden Pulse menamakan analisis data sebagai kemahiran yang paling ingin mereka tingkatkan. Alat tanpa orang yang boleh mentafsir dan mencabarnya menghasilkan laporan yang tidak ditindaki.
• Dakwaan berlebihan. "Kami menguji segala-galanya" hanya benar untuk populasi dan ujian yang sebenarnya anda jalankan. Nyatakan apa yang dilindungi.

Apa yang Perlu Diukur

• Liputan: bahagian transaksi dalam skop yang diuji, dan bahagian kawalan utama yang mempunyai ujian automatik.
• Kualiti pengecualian: pengecualian yang dibangkitkan, disahkan, ditolak, dan kadar positif palsu bagi setiap ujian.
• Kelajuan: masa dari peristiwa hingga tanda, dan dari tanda hingga penyelesaian.
• Isu berulang: kawalan yang sama gagal dalam unit yang sama, yang menandakan punca utama dan bukan kejadian sekali.
• Peralihan usaha: jam juruaudit yang dialihkan daripada pemilihan sampel dan ujian semula kepada siasatan.
• Kesihatan data: kegagalan suapan, rekod yang hilang dan ketidakpadanan penyesuaian.

Langkah Seterusnya

Jika anda hanya melakukan satu perkara suku tahun ini, pilih satu proses, bina semula ujian sampelnya sebagai pertanyaan keseluruhan populasi, dan bandingkan dapatannya dengan sampel tahun lepas. Kemudian baca AI dan kawalan dalaman untuk sisi reka bentuk kawalan, pengesanan penipuan dengan AI dalam kewangan untuk kaedah siasatan, dan AI dalam kewangan untuk gambaran tadbir urus merentasi fungsi.