As empresas estão a confiar cada vez mais tarefas completas a agentes de IA, desde a monitorização de informações até à execução de determinadas ações. Esta autonomia coloca questões concretas às equipas que os implementam: que tarefas delegar-lhes, a partir de que momento é necessária uma validação humana e como evitar que esta se reduza a um simples clique. Gaetan Fron, Senior Sales Manager para França, Bélgica e Luxemburgo da Diligent, editora de soluções de governação, gestão de riscos e conformidade (GRC), detalha os usos observados nas equipas de auditoria e gestão de riscos.
Agentes que vão além das respostas
Os agentes já não se limitam a responder a perguntas. Podem monitorizar informações, coordenar processos, preparar o trabalho e destacar a próxima ação a realizar. Com o Diligent One, agentes especializados podem ajudar as equipas de gestão de riscos a passar de avaliações periódicas para um acompanhamento contínuo: monitorizam os dados relativos aos riscos, limpam os dados registados, coordenam as avaliações, seguram as ações em atraso, reportam os problemas aos responsáveis e sinalizam os riscos emergentes.
No que diz respeito à auditoria interna, estes agentes podem ajudar a planear e realizar auditorias mais rapidamente, identificando os riscos relevantes, associando-os aos objetivos da auditoria e relacionando os controlos existentes. Também facilitam a recolha de evidências, os testes e a formulação das conclusões. O conjunto é coordenado pelo agente de orquestração do Diligent One, que permite aos profissionais expressar as suas necessidades em linguagem natural, ou seja, nas suas próprias palavras em vez de comandos técnicos. Os agentes baseiam-se nos dados de GRC armazenados na plataforma, o que lhes dá o contexto de negócio necessário, sem substituir o juízo humano.
Onde colocar o limite
Distinguem-se frequentemente três níveis: o agente que sugere, o que prepara um trabalho e o que executa uma ação sem validação prévia. Para Gaetan Fron, o limite depende das consequências da ação e não da sua complexidade. Um agente pode monitorizar, organizar, redigir e formular recomendações em segundo plano. Também pode executar tarefas rotineiras e reversíveis, como enviar lembretes ou preparar um processo de trabalho, no âmbito de autorizações claramente definidas.
Por outro lado, qualquer ação que altere a exposição ao risco da organização, modifique um dado registado, comprometa a empresa ou conduza à publicação de um relatório oficial deve, na sua opinião, exigir uma aprovação humana explícita. « Os agentes podem assumir o trabalho; as decisões que comprometem a organização continuam a ser da responsabilidade das pessoas. »
Para avaliar um trabalho preparado por um agente sem ter acompanhado o seu desenvolvimento, cada recomendação deve apresentar as evidências em que se baseia, explicar o que a justifica e ser acompanhada de um histórico das ações. As pessoas responsáveis pela validação devem poder questionar a fonte, as premissas e a ação proposta, e não apenas clicar em « aprovar ». Segundo Gaetan Fron, a abordagem da Diligent baseia-se em resultados cujas fontes são citadas e rastreáveis, que o utilizador pode corrigir ou rejeitar, com etapas de aprovação para as ações que comprometem a organização.
Um trabalho recentrado na análise
O juízo humano continua a ser indispensável sempre que uma responsabilidade está em causa. Os profissionais devem interpretar o contexto, determinar o que é importante e assumir as conclusões apresentadas aos dirigentes, aos conselhos de administração ou às autoridades reguladoras.
A delegação muda, segundo Gaetan Fron, a própria natureza do trabalho. As equipas passam da gestão administrativa dos processos para a ação estratégica: em vez de solicitar evidências, atualizar registos ou preparar apresentações, os profissionais de risco e auditoria podem analisar as causas profundas dos problemas, antecipar os riscos emergentes e explicar à direção os verdadeiros desafios. O objetivo, especifica, não é reduzir o número de especialistas, mas permitir-lhes concentrar a sua experiência onde esta cria mais valor.
Para uma equipa que está a começar, recomenda começar por um caso de uso claro e bem delimitado, cujo valor seja facilmente percetível e cujo resultado se possa verificar facilmente. Uma vez dominado este primeiro caso, o perímetro pode ser alargado progressivamente, mantendo a responsabilidade humana sobre as decisões que comprometem a organização.
