Quando l’AI cambia il modo di decidere: come evolve l’Internal Auditing

Internal Auditing nell’era dell’AI: cos’è il rischio epistemico organizzativo

L’evoluzione dell’Internal Audit riflette quella del contesto organizzativo.

L’intelligenza artificiale non trasforma soltanto i processi, ma anche il modo in cui le organizzazioni costruiscono informazioni, interpretazioni e giudizi.

Se i modelli di AI Governance si concentrano sull’affidabilità dei sistemi, dei dati e dei controlli, emerge una questione ulteriore: la possibile compromissione della capacità dell’organizzazione di produrre, comprendere e verificare autonomamente la conoscenza su cui fonda le proprie decisioni.

Da questa prospettiva, prende forma il concetto di rischio epistemico organizzativo, inteso come possibile vulnerabilità del processo di formazione del giudizio.

Il presente contributo propone quindi una riflessione sulla possibile evoluzione dell’oggetto dell’assurance, mantenendosi pienamente coerente con il mandato dell’Internal Audit delineato dai Global Internal Audit Standards, senza ipotizzare un ampliamento delle responsabilità della funzione.

Dal controllo dei processi al controllo della decisione: una possibile evoluzione dell’assurance

L’evoluzione dell’oggetto dell’assurance riflette quella dell’Internal Audit.

Nel tempo il campo di osservazione della funzione si è progressivamente ampliato dalla verifica delle operazioni alla valutazione dei processi, dei rischi e dei sistemi di governance.

I Global Internal Audit Standards consolidano oggi tale evoluzione attribuendo all’Internal Audit il compito di valutare indipendentemente l’efficacia della governance, della gestione del rischio e del controllo interno.

L’intelligenza artificiale rappresenta un ulteriore passaggio evolutivo.

Nelle organizzazioni ad alta intensità di conoscenza il valore dipende sempre più dalla qualità del processo decisionale e i sistemi di intelligenza artificiale contribuiscono direttamente alla costruzione della conoscenza organizzativa, ricercando informazioni, sintetizzando contenuti, individuando correlazioni e formulando raccomandazioni che influenzano il giudizio umano.

Se una parte crescente del valore deriva dalla qualità del sistema decisionale, la sola valutazione dei processi potrebbe non essere più sufficiente.

Accanto ai controlli emerge quindi l’esigenza di verificare se il sistema di governance continui a garantire le condizioni che rendono il processo di formazione del giudizio autonomo, consapevole e verificabile.

Da questa prospettiva prende avvio la riflessione sviluppata nel presente contributo: se l’intelligenza artificiale modifica il modo in cui le organizzazioni costruiscono la conoscenza, anche l’oggetto dell’assurance potrebbe essere chiamato a evolvere.

Il rischio epistemico organizzativo: una nuova prospettiva per l’assurance

Se l’intelligenza artificiale modifica il modo in cui le organizzazioni costruiscono conoscenza e formulano giudizi, diventa necessario interrogarsi anche sull’adeguatezza delle categorie con cui l’Internal Audit interpreta i rischi emergenti.

Le classificazioni tradizionali riconducono tali rischi entro categorie consolidate – operative, tecnologiche, informatiche, reputazionali o di compliance – concentrando l’attenzione soprattutto sugli effetti prodotti sui processi organizzativi.

I modelli generativi introducono tuttavia una discontinuità significativa. La tecnologia non si limita più ad automatizzare attività o ad ampliare la capacità di elaborazione delle informazioni, ma partecipa direttamente alla costruzione della conoscenza organizzativa, influenzando il processo attraverso cui vengono formulate valutazioni e decisioni.

Lettura della trasformazione attraverso due prospettive della teoria dell’organizzazione

La bounded rationality di Herbert Simon evidenzia come le organizzazioni
compensino i limiti cognitivi dei decisori mediante procedure, competenze e assetti organizzativi.

L’intelligenza artificiale modifica oggi tale equilibrio assumendo un ruolo crescente nella ricerca, selezione e interpretazione delle informazioni. Analogamente, il sensemaking di Karl Weick consente di interpretare l’intelligenza artificiale come un elemento che partecipa alla costruzione delle interpretazioni condivise su cui si fondano le decisioni organizzative.

Il concetto di rischio epistemico organizzativo

In questo contesto può essere introdotto il concetto di rischio epistemico organizzativo, inteso come il rischio che l’organizzazione perda progressivamente la capacità di produrre, comprendere, verificare e mettere criticamente in discussione la conoscenza su cui fonda le proprie decisioni, sviluppando una crescente dipendenza cognitiva dai sistemi di intelligenza artificiale.

Più che riguardare l’errore della decisione o il malfunzionamento della tecnologia, tale vulnerabilità interessa le condizioni cognitive che precedono la decisione stessa.

Un sistema di intelligenza artificiale può infatti risultare tecnicamente affidabile, conforme ai requisiti normativi e correttamente governato, ma modificare progressivamente il modo in cui l’organizzazione interpreta il contesto, valuta le alternative e costruisce il proprio giudizio professionale.

Internal Auditing per valutare l’efficacia dei processi di AI governance

Questa prospettiva si inserisce coerentemente nell’evoluzione delineata dai Global Internal Audit Standards, che attribuiscono all’Internal Audit il compito di valutare l’efficacia dei processi di governance, gestione del rischio e controllo interno nella creazione e protezione del valore.

In tale quadro, il rischio epistemico organizzativo non rappresenta una nuova categoria di rischio, bensì una possibile chiave interpretativa attraverso cui leggere l’impatto dell’intelligenza artificiale sulla capacità del sistema di governance di preservare l’autonomia, la comprensibilità e la verificabilità del processo di formazione del giudizio.

Il successivo contributo svilupperà tale prospettiva analizzando le condizioni organizzative che consentono di preservare la qualità del processo di formazione del giudizio e discutendo le implicazioni di tale prospettiva alla luce dei Global Internal Audit Standards e dei più recenti Statements of Position dell’Institute of Internal Auditors.

Decision Assurance: l’evoluzione dell’assurance nell’era dell’AI

La Decision Assurance non sostituisce le forme tradizionali di assurance, ma ne rappresenta una possibile chiave interpretativa dell’evoluzione dell’assurance, coerente con la crescente centralità dei processi di formazione della conoscenza nelle organizzazioni che impiegano sistemi di intelligenza artificiale.

L’affermazione dell’intelligenza artificiale ha favorito lo sviluppo di modelli di AI Governance orientati a garantire affidabilità, trasparenza, sicurezza e conformità dei sistemi algoritmici.

Dal punto di vista dell’Internal Audit, tuttavia, la governance dell’algoritmo rappresenta soltanto una componente di un sistema decisionale la cui affidabilità dipende dall’interazione tra persone, competenze, dati, processi, responsabilità, cultura organizzativa e tecnologie.

Questa impostazione appare coerente con il recente Statement of Position dell’Institute of Internal Auditors dedicato all’Enterprise Risk Management, che interpreta l’ERM come un insieme coordinato di attività integrate piuttosto che come una funzione organizzativa.

Analogamente, anche il sistema decisionale può essere considerato il risultato dell’interazione di molteplici componenti organizzative.

Distinguere tra giudizio e decisione in questo contesto

Il giudizio rappresenta il processo attraverso cui vengono interpretate le informazioni, valutate le alternative e costruite le motivazioni della scelta; la decisione ne costituisce l’esito.

L’intelligenza artificiale interviene prevalentemente sul primo livello, influenzando il modo in cui il giudizio viene elaborato prima ancora che la decisione sia formalmente assunta.

Da questa prospettiva nasce il concetto di Decision Assurance, inteso come una prospettiva di assurance orientata a valutare se il sistema di governance continui a preservare le condizioni organizzative necessarie affinché il processo di formazione del giudizio rimanga autonomo, comprensibile, contestabile e responsabilmente esercitato nell’interazione con sistemi di intelligenza artificiale.

L’ evoluzione dell’oggetto dell’assurance con la Decision Assurance

La Decision Assurance non introduce una nuova funzione né un autonomo dominio di audit.

Essa propone una possibile evoluzione dell’oggetto dell’assurance, coerente con i Global Internal Audit Standards, orientando l’attenzione non al merito delle decisioni o alla correttezza tecnica degli algoritmi, bensì alla capacità del sistema di governance di preservare le condizioni organizzative che rendono possibile un giudizio affidabile, una supervisione umana effettiva e un utilizzo consapevole dell’intelligenza artificiale.

Internal Audit ai tempi dell’AI: focus dalle operazioni ai processi

L’intelligenza artificiale non modifica soltanto il modo in cui le organizzazioni svolgono i propri processi, ma anche quello attraverso cui costruiscono conoscenza, formulano giudizi e assumono decisioni.

Muovendo da questa premessa, il presente contributo ha proposto il concetto di rischio epistemico organizzativo quale possibile vulnerabilità emergente e la Decision Assurance quale prospettiva interpretativa dell’evoluzione dell’oggetto dell’assurance.

La proposta non introduce nuove categorie di rischio né amplia il mandato dell’Internal Audit.

Essa suggerisce una possibile rilettura dell’assurance pienamente coerente con i Global Internal Audit Standards, in cui l’attenzione si estende alle condizioni organizzative che consentono al sistema di governance di preservare autonomia di giudizio, comprensibilità, verificabilità e responsabilità del processo decisionale.

Se l’evoluzione dell’Internal Audit ha progressivamente ampliato il proprio oggetto di osservazione dalle operazioni ai processi, dai processi ai rischi e ai sistemi di governance, l’intelligenza artificiale potrebbe rappresentare una nuova fase di tale percorso evolutivo, rendendo sempre più rilevanti, ai fini dell’assurance, le condizioni organizzative che presidiano la formazione del giudizio.

Il modello proposto ha natura prevalentemente teorica e richiederà ulteriori approfondimenti concettuali ed empirici.

Il secondo capitolo completa il modello teorico qui delineato, sviluppando i concetti di resilienza cognitiva organizzativa, Cognitive Governance e Integrated Assurance, studiando le ricadute per il ruolo dell’Internal Audit alla luce dei Global Internal Audit Standards e proponendone una prima traduzione metodologica per l’attività di assurance, attraverso possibili evidenze osservabili e quesiti di approfondimento coerenti con i Global Internal Audit Standards.