AI in de audit: tussen professioneel hulpmiddel en digitale gemakzucht

AI is in korte tijd onderdeel geworden van het dagelijkse werk van veel auditteams. Dat levert toepassingen op die de kwaliteit en efficiency van een controle kunnen verbeteren, maar ik zie ook ontwikkelingen waar ik mij zorgen over maak. Niet omdat AI niet thuishoort in de audit, maar omdat een krachtig hulpmiddel alleen waarde toevoegt wanneer de gebruiker blijft begrijpen, toetsen en nadenken.

Een paar jaar geleden ging de discussie in de accountancy vooral over de vraag óf we generatieve AI mochten gebruiken. Inmiddels lijkt die fase grotendeels achter ons te liggen. Auditors gebruiken generatieve toepassingen om teksten te analyseren, memo’s voor te bereiden, regelgeving te doorzoeken, data-analyses te ondersteunen en documentatie op te stellen.

Dat is op zichzelf een logische ontwikkeling. Ik gebruik AI zelf ook en zie toepassingen waarmee we sneller kunnen werken en soms tot betere analyses komen. Tegelijkertijd zie ik in auditteams patronen ontstaan die minder positief zijn, niet zozeer omdat de technologie tekortschiet, maar omdat we haar soms gebruiken zonder de professionele discipline die we bij andere controlemiddelen vanzelfsprekend vinden.

Misschien is dit daarom een goed moment om de balans op te maken. Welke toepassingen helpen ons vak daadwerkelijk vooruit en wanneer moeten we ons afvragen of gemak langzaam de plaats van vakmanschap inneemt?

1. Shadow AI: de officiële tool is niet de enige tool

Veel accountantsorganisaties zijn inmiddels voorbij de eerste experimenteerfase. Er is bewust gekozen voor een generatieve AI-oplossing, waarbij is nagedacht over informatiebeveiliging, privacy, toegangsrechten, gegevensverwerking en de vraag welke cliëntinformatie wel en niet mag worden gebruikt.

Op papier lijkt het daarmee goed geregeld, maar in de praktijk ontstaat soms een andere werkelijkheid. Naast de officiële AI-omgeving gebruiken medewerkers ook andere toepassingen. De ene medewerker vindt ChatGPT prettiger, een ander gebruikt Claude en weer iemand anders ontdekt een gespecialiseerde AI-tool die voor een specifieke taak net iets beter lijkt te werken.

Daarmee ontstaat Shadow AI: het gebruik van AI-toepassingen buiten de formeel goedgekeurde en beveiligde omgeving van de organisatie.

Het probleem is breder dan alleen informatiebeveiliging. De organisatie weet niet meer welke informatie in welke omgeving terechtkomt, onder welke voorwaarden gegevens worden verwerkt en welke waarborgen van toepassing zijn. Tegelijkertijd ontstaan buiten de centrale omgeving persoonlijke prompts, werkwijzen en oplossingen die nauwelijks worden gedeeld en daarmee ook niet bijdragen aan gezamenlijke kennisontwikkeling.

Alleen het beschikbaar stellen van een goedgekeurde tool blijkt daarom niet voldoende. Organisaties moeten ook begrijpen waarom medewerkers naar andere toepassingen uitwijken. Misschien werkt de officiële omgeving minder prettig, ontbreken bepaalde functionaliteiten of is onvoldoende duidelijk wat wel en niet is toegestaan. Shadow AI is daarmee niet alleen een beveiligings- en governancevraagstuk, maar ook een signaal over de werkelijke adoptie van de gekozen technologie.

2. Copy, paste, klaar

Misschien maak ik mij over deze ontwikkeling nog wel de meeste zorgen. Een medewerker stelt een vaktechnische vraag aan een taalmodel, krijgt een overtuigend antwoord en verwerkt dat vrijwel letterlijk in een memo of controledossier. De tekst ziet er professioneel uit, verwijst soms zelfs naar regelgeving en leest beter dan wat de medewerker in dezelfde tijd zelf had kunnen schrijven. Wanneer je vervolgens vraagt waarom de conclusie juist is, blijkt het begrip soms veel minder overtuigend dan de tekst.

Daar raken we een fundamenteel probleem in de opleiding van professionals. Een jonge auditor ontwikkelt zich niet alleen door het juiste antwoord te vinden, maar vooral door te begrijpen waarom dat antwoord juist is. Door standaarden te lezen, alternatieven af te wegen, fouten te maken en feedback te krijgen, ontstaat geleidelijk het professionele oordeel dat later nodig is om complexere situaties te beoordelen.

Wanneer AI die tussenstappen structureel overslaat, besparen we vandaag misschien tijd terwijl we tegelijkertijd het risico lopen dat we morgen kennis en vakmanschap tekortkomen.

3. Dan vragen we het toch even aan ChatGPT?

Generatieve AI verlaagt de drempel om informatie te vinden enorm. Dat is prettig, maar kan ook een vorm van gemakzucht in de hand werken. Waarom zelf de relevante passages in de RJ of COS opzoeken wanneer dezelfde vraag binnen enkele seconden aan een taalmodel kan worden gesteld?

Voor een eerste verkenning kan dat uitstekend werken. Het wordt problematisch wanneer het gegenereerde antwoord de gezaghebbende bron vervangt.

Een taalmodel kan helpen om een vraagstuk te structureren, mogelijke relevante bepalingen te identificeren of een eigen redenering kritisch te bevragen. De auditor moet vervolgens zelf naar de relevante bron, vaststellen wat daar daadwerkelijk staat en beoordelen hoe die regelgeving op de specifieke situatie moet worden toegepast.

In een gereguleerd vak moeten we onderscheid blijven maken tussen snel een plausibel antwoord krijgen en een vaktechnische conclusie daadwerkelijk onderbouwen.

4. Als quick & dirty de nieuwe data-analyse wordt

Hetzelfde risico zie ik bij data-analyse. Generatieve AI maakt het steeds eenvoudiger om binnen enkele minuten Python-code, SQL-query’s of complete analyses te laten genereren. Dat is een fantastische ontwikkeling, omdat iemand die nauwelijks programmeert ineens veel gemakkelijker met grote datasets kan werken.De eenvoud aan de voorkant zegt echter niets over de betrouwbaarheid van wat aan de achterkant gebeurt.

Een bestaande workflow in bijvoorbeeld Alteryx of een vergelijkbare analyseomgeving bevat vaak jaren aan opgebouwde logica, waaronder controles op volledigheid, aansluitingen, datatypen, uitzonderingen en reproduceerbare transformaties. Wanneer we zo’n gestructureerde aanpak vervangen door snel gegenereerde code die de gebruiker zelf onvoldoende begrijpt, bestaat het risico dat we snelheid verwarren met kwaliteit.

AI kan data-analyse aanzienlijk versnellen en toegankelijker maken, maar een analyse die onderdeel vormt van een audit moet nog steeds volledig, juist, reproduceerbaar en uitlegbaar zijn. De komst van generatieve AI verlaagt de technische drempel om een analyse te maken, maar verlaagt niet de eisen die we aan de uitkomst daarvan moeten stellen.

5. Het digitale Wilde Westen

Shadow AI krijgt een extra dimensie zodra vertrouwelijke cliëntinformatie in het spel komt. Een medewerker heeft een document, wil daar snel iets mee doen en uploadt het naar een generatieve AI-toepassing. Binnen enkele seconden verschijnt een bruikbare analyse of samenvatting.

De relevante vraag is dan niet alleen of het antwoord goed is, maar ook wat er zojuist met de informatie van de cliënt is gebeurd. Stonden er persoonsgegevens, salarissen, contractvoorwaarden of strategische gegevens in het document? Waar worden die gegevens verwerkt en opgeslagen? Hoe lang worden ze bewaard en waarvoor mag de aanbieder ze gebruiken?

Wanneer medewerkers generatieve toepassingen buiten de gecontroleerde omgeving gebruiken zonder voldoende inzicht in de voorwaarden waaronder gegevens worden verwerkt, kan een digitaal Wilde Westen ontstaan waarin gebruiksgemak het wint van informatiebeveiliging. Zeker binnen de accountancy, waar cliënten ons grote hoeveelheden vertrouwelijke informatie toevertrouwen, vraagt dat om duidelijke grenzen en bewust gedrag.

Dezelfde technologie kan de audit juist beter maken

Deze observaties zijn voor mij geen reden om AI binnen auditteams af te remmen. Integendeel. Ik zie juist toepassingen waarbij dezelfde technologie ons vak kan versterken, mits AI wordt gebruikt als ondersteuning van professioneel handelen en niet als vervanging ervan.

Daarom ook vijf toepassingen waarvan ik denk dat ze wél de goede kant op wijzen.

1. Een eigen conclusie kritisch laten aanvallen

Stel dat een auditteam zelf een position paper heeft opgesteld over omzetverantwoording, continuïteit of een complexe verslaggevingskwestie. In plaats van AI te vragen de analyse en conclusie te schrijven, kan het team het model gebruiken om het eigen werk kritisch te bevragen.

Welke argumenten zijn mogelijk onvoldoende uitgewerkt? Welke alternatieve interpretatie zou iemand kunnen verdedigen? En welke onderwerpen uit de RJ of controlestandaarden lijken relevant en moeten vervolgens in de oorspronkelijke bronnen worden geverifieerd?

AI krijgt daarmee de rol van kritische sparringpartner. De professional blijft verantwoordelijk voor de analyse en raadpleegt zelf de gezaghebbende bronnen, maar krijgt een extra mogelijkheid om de eigen redenering uit te dagen en mogelijke blinde vlekken te herkennen.

2. Sneller door regelgeving navigeren

RJ, COS, wetgeving, interne methodologie en vaktechnische publicaties vormen samen een enorme hoeveelheid informatie. Generatieve AI kan helpen om daarin sneller mogelijke relevante onderwerpen, zoektermen en bepalingen te identificeren.

Het taalmodel is daarbij geen eindstation, maar een navigatiehulpmiddel. De auditor kan sneller bepalen waar hij moet zoeken en besteedt vervolgens zijn tijd aan het lezen, begrijpen en toepassen van de oorspronkelijke bronnen.Dat is wezenlijk iets anders dan een gegenereerd antwoord zonder verdere verificatie overnemen. Goed gebruikt kan AI vaktechnische verdieping juist toegankelijker maken.

3. Standaarddocumenten slimmer onderhouden

Opdrachtbrieven, letters of representation en andere standaarddocumenten bevatten veel passages die jaarlijks nauwelijks veranderen, maar wel moeten blijven aansluiten op actuele omstandigheden, regelgeving en de specifieke opdracht.

Dat is bij uitstek een terrein waarop AI praktisch kan ondersteunen. Vanuit gecontroleerde templates kunnen wijzigingen worden voorgesteld, verschillen met voorgaande versies worden geïdentificeerd en cliëntspecifieke onderdelen sneller worden voorbereid.

De professional beoordeelt de voorgestelde wijzigingen en blijft verantwoordelijk voor de uiteindelijke inhoud. AI neemt hier geen professioneel oordeel over, maar vermindert het handmatige knip-, plak- en vergelijkingswerk rondom dat oordeel.

4. Data-analyse toegankelijker én beter maken

Dezelfde generatieve AI die bij onzorgvuldig gebruik tot quick & dirty analyses kan leiden, kan binnen een gestructureerde aanpak juist veel waarde toevoegen.

Een ervaren data-analist kan AI gebruiken om sneller code te ontwikkelen, documentatie op te stellen, controles toe te voegen of bestaande analyses te verbeteren. Auditors kunnen gemakkelijker hypotheses onderzoeken en samen met dataspecialisten prototypes ontwikkelen, zonder dat daarmee de eisen aan de uiteindelijke analyse veranderen.

Volledigheid, juistheid, reproduceerbaarheid en validatie blijven noodzakelijk. AI vervangt daarmee niet de discipline die in jaren rond data-analyse is opgebouwd, maar kan wel helpen om die discipline efficiënter en breder binnen de audit toe te passen.

5. AI als extra paar ogen

Een controledossier bevat grote hoeveelheden informatie. Risicoanalyses, notulen, contracten, procesbeschrijvingen, data-analyses, memo’s en conclusies moeten uiteindelijk gezamenlijk een logisch en consistent verhaal vormen.

Juist daar kan AI helpen om mogelijke inconsistenties te signaleren. Is een belangrijk risico uit de planning terug te vinden in de uitgevoerde werkzaamheden? Sluit een conclusie aan op informatie die elders in het dossier staat? Wordt een belangrijke gebeurtenis in verschillende documenten op dezelfde manier beschreven?

AI bepaalt daarmee niet of voldoende en geschikte controle-informatie is verkregen en de uitkomst van zo’n analyse is op zichzelf geen controlebewijs. Het kan de auditor wel wijzen op onderdelen van het dossier die nadere aandacht verdienen, waarna de professionele beoordeling bij de auditor blijft.

En ondertussen ontstaat AI-moeheid

Naast goed en minder goed gebruik zie ik inmiddels nog een andere ontwikkeling. Binnen hetzelfde auditteam kan de ene auditor dagelijks met AI werken, terwijl een ander er nauwelijks belangstelling voor heeft. Sommigen experimenteren voortdurend met nieuwe toepassingen, terwijl anderen na jaren van AI-presentaties, pilots, prompts en steeds weer nieuwe tools langzaam afhaken.

Die AI-moeheid is niet eens zo vreemd. Niet iedere nieuwe toepassing verdient aandacht en niet ieder proces wordt beter wanneer we er AI aan toevoegen.

Organisaties zouden daarom misschien minder moeten sturen op meer AI gebruiken en veel preciezer moeten bepalen waar AI aantoonbaar kwaliteit, efficiency of inzicht toevoegt. Dat vraagt ook om keuzes: welke toepassingen ondersteunen we centraal, welke kennis willen we delen, welke toepassingen staan we niet toe en op welke onderdelen van het werk vinden we dat de professional het denkwerk nadrukkelijk zelf moet blijven doen?

Een duidelijke koers helpt om zowel enthousiasme zonder voldoende discipline als weerstand tegen technologie die daadwerkelijk nuttig kan zijn te voorkomen.

AI vraagt om méér vakmanschap, niet minder

Na een paar jaar experimenteren wordt voor mij steeds duidelijker dat de belangrijkste vraag niet meer is óf auditors AI gaan gebruiken. Dat gebeurt inmiddels en zal alleen maar verder toenemen. De relevante vraag is hoe we ervoor zorgen dat de technologie het vak versterkt zonder tegelijkertijd vaardigheden uit het vak te halen.

Wanneer we AI gebruiken om zonder voldoende begrip antwoorden te produceren, gezaghebbende bronnen over te slaan, moeilijk reproduceerbare analyses te maken of vertrouwelijke informatie achteloos te delen, kan de tijdwinst uiteindelijk ten koste gaan van kwaliteit, veiligheid en vakontwikkeling.

Wanneer dezelfde technologie wordt gebruikt om eigen conclusies kritisch te laten bevragen, sneller door complexe regelgeving te navigeren, routinematig werk te verminderen, gestructureerde data-analyse toegankelijker te maken en mogelijke inconsistenties in een dossier te signaleren, ontstaat een heel ander beeld.

We komen daarmee misschien in een volgende fase van het gebruik van AI in de audit. De periode waarin vrijwel iedere nieuwe AI-toepassing automatisch innovatief voelde, loopt langzaam ten einde. Het onderscheid zal steeds meer komen te liggen tussen professionals die AI simpelweg gebruiken en professionals die begrijpen wanneer, waarom en onder welke voorwaarden ze AI kunnen inzetten.

Voor een vak waarin vertrouwen, controle-informatie, kennis en professioneel oordeel uiteindelijk bepalend zijn voor kwaliteit, is dat mij betreft wel precies de ontwikkeling die we nodig hebben.