Agent wykrywania nadużyć

Organizacje tracą średnio pięć procent rocznych obrotów w wyniku nadużyć. Association of Certified Fraud Examiners w swoim Report to the Nations 2024 oszacowało tę kwotę na podstawie 1 921 zbadanych przypadków o łącznej wartości szkód 3,1 miliarda USD. Większość z nich nie została wykryta przez kontrole wewnętrzne, lecz dzięki sygnałom od informatorów. Systemy regułowe wychwytują to, co znają. To, czego nie znają, pozostaje niewidoczne - często przez lata.

Klasyczne metody kontroli zawodzą z powodu logiki próbkowania

Kontrola oparta na próbkach wychodzi z założenia, że jeśli wystarczająco duży odsetek transakcji jest prawidłowy, można ekstrapolować na całość. Nadużycia obalają to założenie. Fikcyjny dostawca (Phantom Vendor), który przez 18 miesięcy księguje małe kwoty tuż poniżej progu zatwierdzenia, nie pojawia się w żadnej próbie losowej. Splitting progów - na przykład faktura na 9 900 EUR (ok. 10 700 USD) zamiast 10 000 EUR, aby ominąć poziom zatwierdzenia - w analizie pojedynczej transakcji wygląda niepozornie.

Dopiero pełna kontrola wszystkich transakcji czyni te wzorce widocznymi. Nie przez zaostrzenie reguł, lecz przez statystyczne rozpoznawanie anomalii: Który dostawca nie ma ani jednego zamówienia z działu zakupów, ale regularne płatności z księgowości? Które centrum kosztów księguje w piątkowe wieczory, gdy nikt już nie sprawdza? Systemy regułowe nie stawiają tych pytań, ponieważ nikt ich nie sformułował jako reguły.

Dokumenty generowane przez AI zmieniają krajobraz zagrożeń

Do 2024 roku sfałszowane faktury można było rozpoznać rzemieślniczo - błędne czcionki, brakujące pieczątki, niespójne numery VAT. To się fundamentalnie zmieniło. Dokumenty generowane przez AI są dziś wizualnie nie do odróżnienia od prawdziwych, specjaliści ds. przeciwdziałania oszustwom raportują w całej branży znaczący wzrost fałszerstw generowanych przez GenAI w ostatnich dwóch latach. Chris Juneau, SVP w SAP Concur, ujął to krótko: “Do not trust your eyes.”

Dla działów Finance oznacza to nową linię obrony. Fałszywki generowane przez AI przechodzą weryfikację wizualną i często także walidację regułową. Zdradza je niespójność metadanych, nietypowa struktura dokumentów oraz statystyczne anomalie w kontekście - na przykład nowy dostawca, którego pierwsza faktura dokładnie odpowiada wzorcowi kwot istniejącego dostawcy. Ta analiza wymaga AI wyszkolonej w rozpoznawaniu autentyczności dokumentów.

Dziesięć kroków decyzyjnych oddziela sygnał od fałszywego alarmu

Decision Layer rozkłada wykrywanie nadużyć na łańcuch dziesięciu decyzji z trzema typami decydentów. Trzy kroki są regułowe: rozpoznawanie duplikatów, nadużycia kosztowe według zdefiniowanych progów oraz naruszenia Segregation of Duties względem matrycy uprawnień. Pięć kroków wykorzystuje analizę AI: Phantom Vendors, anomalie księgowe, autentyczność dokumentów, Round-Tripping w sieciach płatniczych i zagregowany scoring ryzyka. Dwa kroki leżą po stronie człowieka: decyzja o eskalacji i końcowa ocena, czy alarm jest zasadny.

Konkretny scenariusz: średniej wielkości producent maszyn z 40 000 faktur przychodzących rocznie. Agent rozpoznaje, że dostawca materiałów opakowaniowych od sześciu miesięcy składa faktury o tej samej kwocie netto, ale z lekko zmienionymi opisami artykułów. Jednocześnie analiza sieciowa pokazuje, że konto bankowe tego dostawcy jest powiązane z pracownikiem działu zakupów. Pojedynczo żaden z tych sygnałów nie stanowi dowodu. W kombinacji powstaje wskaźnik ryzyka, który wyzwala eskalację do Compliance Officera.

Compliance Officer decyduje - nie algorytm

Sześć z dziesięciu kroków decyzyjnych wykorzystuje analizę AI. To czyni tego agenta najbardziej zaawansowanym pod względem AI w całym katalogu. Mimo to żaden algorytm nie podejmuje decyzji, czy podejrzenie zostanie zbadane. Decision Layer dokumentuje każdy alarm z wyzwalającym wzorcem, dotkniętymi transakcjami, wskaźnikiem ryzyka i znacznikiem czasu. Compliance Officer ocenia na tej podstawie, czy mamy do czynienia z fałszywym alarmem, czy należy wszcząć dochodzenie.

Ta zasada nie jest opcjonalna. ISA 240 zobowiązuje biegłego rewidenta do oceny ryzyk nadużyć. Udokumentowany, odtwarzalny system wykrywania - z protokołowanymi alarmami, ścieżkami eskalacji i wynikami dochodzeń - stanowi konkretny sygnał skuteczności wewnętrznego systemu kontroli. Kto bezlukowe dokumentuje każdy alarm, wzmacnia nie tylko obronę, lecz także zdolność do kontroli zgodnie z IDW PS 210 i wymogami dotyczącymi systemu wczesnego rozpoznawania ryzyk.