Le aziende affidano sempre più compiti completi ad agenti IA, dal monitoraggio di informazioni fino all’esecuzione di determinate azioni. Questa autonomia pone domande concrete ai team che li implementano: quali compiti delegare loro, da quale momento è necessaria una validazione umana e come evitare che si riduca a un semplice clic. Gaetan Fron, Senior Sales Manager per Francia, Belgio e Lussemburgo di Diligent, editore di soluzioni di governance, gestione del rischio e conformità (GRC), dettaglia gli usi osservati nei team di audit e gestione del rischio.
Agenti che vanno oltre le risposte
Gli agenti non si limitano più a rispondere a domande. Possono monitorare informazioni, coordinare processi, preparare il lavoro ed evidenziare la prossima azione da intraprendere. Con Diligent One, agenti specializzati possono aiutare i team di gestione del rischio a passare da valutazioni periodiche a un monitoraggio continuo: monitorano i dati relativi ai rischi, puliscono i dati registrati, coordinano le valutazioni, sollecitano le azioni in ritardo, segnalano i problemi ai responsabili interessati e indicano i rischi emergenti.
Per quanto riguarda l’audit interno, questi agenti possono aiutare a pianificare e realizzare gli audit più rapidamente, identificando i rischi pertinenti, associandoli agli obiettivi di audit e collegando i controlli esistenti. Facilitano anche la raccolta degli elementi probatori, i test e la formulazione dei risultati. Il tutto è coordinato dall’agente di orchestrazione di Diligent One, che permette ai professionisti di esprimere le proprie esigenze in linguaggio naturale, cioè con le proprie parole piuttosto che con comandi tecnici. Gli agenti si basano sui dati GRC memorizzati nella piattaforma, il che fornisce loro il contesto aziendale necessario, senza sostituirsi al giudizio umano.
Dove fissare il limite
Si distinguono spesso tre livelli: l’agente che suggerisce, quello che prepara un lavoro e quello che esegue un’azione senza una preventiva validazione. Per Gaetan Fron, il limite dipende dalle conseguenze dell’azione piuttosto che dalla sua complessità. Un agente può monitorare, organizzare, redigere e formulare raccomandazioni in background. Può anche eseguire compiti di routine e reversibili, come inviare promemoria o preparare un processo di lavoro, nell’ambito di autorizzazioni chiaramente definite.
Al contrario, qualsiasi azione che modifichi l’esposizione ai rischi dell’organizzazione, cambi un dato registrato, impegni l’azienda o porti alla pubblicazione di un rapporto ufficiale deve, a suo avviso, richiedere una approvazione umana esplicita. « Gli agenti possono occuparsi del lavoro; le decisioni che impegnano l’organizzazione rimangono di competenza delle persone. »
Per valutare un lavoro preparato da un agente senza averne seguito lo svolgimento, ogni raccomandazione deve presentare gli elementi probatori su cui si basa, spiegare cosa la giustifica ed essere accompagnata da una cronologia delle azioni. Le persone incaricate della validazione devono poter mettere in discussione la fonte, le ipotesi e l’azione proposta, e non solo cliccare su « approva ». Secondo Gaetan Fron, l’approccio di Diligent si basa su risultati le cui fonti sono citate e tracciabili, che l’utente può correggere o scartare, con fasi di approvazione per le azioni che impegnano l’organizzazione.
Un lavoro ri-centrato sull’analisi
Il giudizio umano rimane indispensabile ogni volta che è coinvolta una responsabilità. I professionisti devono interpretare il contesto, determinare ciò che conta e assumersi le conclusioni presentate ai dirigenti, ai consigli di amministrazione o alle autorità di regolamentazione.
La delega cambia, secondo Gaetan Fron, la natura stessa del lavoro. I team passano dalla gestione amministrativa dei processi all’azione strategica: invece di richiedere elementi probatori, aggiornare registri o preparare presentazioni, i professionisti del rischio e dell’audit possono analizzare le cause profonde dei problemi, anticipare i rischi emergenti e spiegare alla direzione le vere sfide. L’obiettivo, precisa, non è ridurre il numero di esperti, ma permettere loro di concentrare la propria competenza laddove crea più valore.
Per un team che inizia, raccomanda di partire da un caso d’uso chiaro e ben delimitato, il cui valore sia facilmente percepibile e il cui risultato sia facilmente verificabile. Una volta padroneggiato questo primo caso, il perimetro può essere ampliato gradualmente, mantenendo la responsabilità umana sulle decisioni che impegnano l’organizzazione.
