O que a IA deve fazer com a prova de auditoria.

Pensamos que a ligação útil entre a IA e a prova de auditoria não é o cálculo. É uma ligação que leva de cada conclusão do dossier de auditoria até ao documento que a suporta, para que um revisor possa ver em que assenta cada julgamento. O sócio continua a ponderar essa prova e a tomar a decisão.

Uma coima recente teve a ver com escrutínio, não com somas

O Financial Reporting Council, um organismo independente de supervisão contabilística do Reino Unido, aplicou à Deloitte UK uma coima de 7,9 milhões de dólares (6,05 milhões de libras) por auditorias deficientes ao Go-Ahead Group, como noticia a CFO Dive. As auditorias decorreram num período de quatro anos que terminou em junho de 2020 («during a four year period ending in June 2020»).

Filiais do Go-Ahead retiveram 39,6 milhões de dólares em pagamentos em excesso feitos por erro («retained $39.6 million in erroneous over-payments») e registaram-nos como lucros antes e depois de a Deloitte ser nomeada auditora («the subsidiaries marked them as profits before and after Deloitte was appointed as auditor»). Penrose Foss, que dirige as investigações e a aplicação de sanções no FRC, apontou para decisões e ações do GAG que eram claramente questionáveis («decisions and actions by GAG which were clearly questionable»). Afirmou que algumas das decisões e ações da empresa puseram em risco montantes muito elevados de dinheiro dos contribuintes.

As constatações contra a Deloitte diziam respeito ao que esta fez com essas decisões. Não indagou o suficiente sobre as ações da LSER e da LM («failed to enquire sufficiently into the actions of LSER and LM»), não aplicou ceticismo profissional suficiente («failed to apply sufficient professional scepticism») e não avaliou a prova que indicava a existência de fatores de risco de fraude («failed to evaluate the evidence indicating the existence of fraud risk factors»). Também não se apercebeu de que a empresa tinha a obrigação contratual de agir de boa-fé («failed to appreciate that the company was under a contractual obligation to act in good faith»). Foss descreveu um padrão de falhas muito preocupante da Deloitte na aplicação de escrutínio suficiente («a highly concerning pattern of failure by Deloitte to apply sufficient scrutiny»).

O FRC reduziu a coima, que era de 14,5 milhões de dólares («reduced the penalty from $14.5 million»), com base na cooperação excecional da Deloitte («exceptional cooperation»), no reconhecimento das falhas e na resolução antecipada do processo («admissions and early disposal»). A Deloitte UK afirmou lamentar que aspetos do seu trabalho de auditoria não tenham cumprido os padrões esperados («regrets that aspects of its audit work did not meet the standards expected»).

Trata-se de um caso, e um caso não descreve a aplicação de sanções em auditoria em geral. Mas veja-se a lista de constatações. Nenhuma delas é uma coluna que não batia certo. Dizem respeito a indagações que não foram levadas suficientemente longe, a prova que não foi ponderada e a uma obrigação que não foi reconhecida.

O julgamento falha onde a prova se cala

Na nossa experiência, um dossier de auditoria é feito sobretudo de conclusões. Rédito reconhecido corretamente. Saldo suportado. Sem indícios de fraude. Cada uma é uma frase que alguém escreveu e alguém assinou.

Pensamos que a pergunta que vale a pena fazer a cada uma é simples: suportada em quê. Se a resposta for um documento, a conclusão mantém-se ou cai com esse documento. Se a resposta for a memória de um sénior que entretanto saiu, a conclusão é uma afirmação. Parece correta. Não tem nada por baixo.

Nos dossiers que vemos, é na cadeia entre o julgamento e a prova que a fragilidade se esconde, e essa cadeia tende a ser verificada pela leitura, muitas vezes tarde. Raramente é nas somas que o problema começa.

O que deve fazer um sistema digno de confiança

Cada conclusão deve levar consigo a sua fonte. Uma afirmação no dossier deve remeter para o contrato, a carta do banco, a ata do conselho de administração ou o extrato do razão em que se apoia. O revisor deve poder ler a própria página, e não um resumo dela.

Uma lacuna deve ser mostrada, não preenchida. Quando nenhum documento suporta uma conclusão, um sistema digno de confiança di-lo. Peça ao seu fornecedor que lhe mostre o que acontece quando a prova falta. Pensamos que uma frase confiante sem fonte é a coisa mais perigosa que um dossier pode conter.

A prova que aponta no sentido contrário deve ficar ao lado da conclusão. Uma carta sobre um pagamento recebido por erro, ou uma cláusula que estabelece o dever de agir de boa-fé, tem o seu lugar junto ao julgamento que põe em causa. Não deve ser filtrada como ruído.

O sócio deve decidir. Não pensamos que o software possa ser cético em nome de ninguém. Quando muito, pode tornar a prova em sentido contrário difícil de ignorar e uma conclusão sem suporte fácil de ver. Ponderá-la e assinar continuam a ser trabalho do sócio.

O ceticismo fica com quem assina

A constatação neste caso foi que o auditor não aplicou ceticismo e escrutínio suficientes. Nenhuma ferramenta fornece nem um nem outro. O que uma ferramenta bem construída pode eliminar é a desculpa de que a prova em sentido contrário estava numa pasta que ninguém abriu.

É essa a regra que a Syntexia segue no que constrói: cada resultado remete para o seu documento de origem, e uma pessoa decide sempre. Os dados dos clientes nunca servem para treinar um modelo. O objetivo não é um dossier mais rápido. É um dossier em que cada julgamento consegue mostrar como lá chegou.

Por onde começar

Pegue num trabalho já encerrado. Escolha alguns dos julgamentos que mais pesaram, aqueles sobre os quais um revisor perguntaria primeiro. Para cada um, encontre o documento que o suporta, anote quanto tempo demorou a procura e se chegou mesmo a encontrá-lo.

As respostas dizem-lhe onde o dossier é sólido e onde só convence à leitura. Se quiser conversar sobre o que encontrou, diga-nos.