Digitalisering i revisjonsbransjen
Det er liten grunn til å tro at de store revisjonsselskapene med sine ressurser og evner til fornying ikke vil makte å omstille seg til en digital revisjon. Likevel er det overraskende hvor lite bruk det er av digitale verktøy på revisjonsoppdragene. Det reiser spørsmålet om omstillingen går fort nok og hvordan barrierene mot omstilling kan bygges ned.
I denne artikkelen pekes det på at revisjonsbransjen har spesielle utfordringer knyttet til at den er en gjennomregulert bransje underlagt strengt tilsyn og at oppdragsansvarlig revisor ikke har sterke incentiver og kan også ha bevisst eller ubevisst motstand mot å ta i bruk nye analytiske verktøy og teknikker. Det første kan selskapene gjøre lite med, men de kan selv gi sterkere incentiver og bygge ned barrierer i organisasjonen som påvirker endringstakten til en digital revisjon.
NHHs forskningsprosjekt Digital Audit (DigAudit) finansiert av Norges Forskningsråd (NFR) gjennomføres i samarbeid med de fem store revisjonsselskapene og Den norske Revisorforening, se mer på: nhh.no/en/research-centres/digaudit.
Forskningsprosjektet har to hovedformål: 1) Fremskaffe kunnskap om fordeler og utfordringer ved en digitalisert revisjon og få økt innsikt i hva som påvirker de digitale endringsprosessene og 2) innovere masterutdanningen for revisorer slik at fremtidens revisorer er best mulig rustet til en karriere i en digitalisert revisjons- og virksomhetsvirkelighet.
Status for bruk av digitale verktøy i revisjonen
Basert på revisjonen av 2017-årsregnskapet ble bruken av digitale verktøy i revisjonen hos de fem store internasjonale revisjonsselskapene undersøkt. Undersøkelsen ble gjennomført i to steg der vi først intervjuet lederne for revisjon i selskapene og dernest, for 109 varierte revisjonsoppdrag, kartla oppdragsansvarlig revisors og managers syn på bruken av digitale verktøy og deres faktiske bruk av slike verktøy på det utvalgte oppdraget.
Resultatene fra undersøkelsen er blitt presentert og diskutert på en rekke forskningskonferanser og seminarer, for profesjonen og for MRR-studentene. I desember 2020 ble forskningsartikkelen «An Exploratory Study into the Use of Audit Data Analytics on Audit Engagements» basert på undersøkelsen publisert i det anerkjente tidsskriftet Accounting Horizons (Eilifsen, Kinserdal, Messier og McKee, 2020).
Digitale verktøy
Med digitale verktøy menes her databaserte analytiske revisjonsverktøy og -teknikker. I engelskspråklig litteratur nyttes ofte betegnelsen «Audit Data Analytics» (ADA) definert som «the science and art of discovering and analyzing patterns, identifying anomalies, and extracting other useful information in data underlying or related to the subject matter of an audit through analysis, modeling, and visualization for the purpose of planning or performing the audit» (American Institute of Certified Public Accountants (AICPA), 2014). Analytiske teknikker inkluderer fremvoksende teknologier som maskinlæring, kunstig intelligens og blokkjede. Data som nyttes kan være stordata («Big Data») og da brukes på engelsk gjerne betegnelsen «Big Data Analytics» (BDA), men digitale verktøy og -teknikker kan i utgangspunktet nytte alle typer data. Stordata knyttes ofte til dataegenskaper som stort volum, høy velositet (eller hastighet som f.eks. at data registreres i sanntid) og stor variasjon (f.eks. at data er satt sammen fra ulike kilder og at data kan være mer eller mindre strukturerte).
Digital revisjon er høyt på agendaen
Undersøkelsen viser at alle de fem selskapene har transformasjon til en digital revisjon høyt på agendaen og at det er et sterkt globalt engasjement i selskapene for dette. Det er imidlertid variasjon mellom selskapene i policyene om hvordan bruken av digitale verktøy i revisjonen implementeres på oppdrag, fra en mer avventende «vent og se»-holdning til etableringen av sentraliserte funksjoner for bruk av digitale verktøy på oppdrag. Ingen av selskapene stiller krav til at det nyttes mer avanserte digitale analyser på oppdragene. Lederne for revisjon i selskapene ga uttrykk for at det var usikkerhet knyttet til hvordan tilsynsmyndighetene vil vurdere og akseptere revisjonsbevis generert av digitale verktøy. Denne usikkerheten kunne påvirke omfanget av bruken av digitale verktøy i revisjonen.
Positive til digitale verktøy, men …
Ledelsen på oppdragene (oppdragsansvarlig revisor og manager) er nokså samstemte i at deres opplæring og kunnskap om bruk av selskapets digitale verktøy er tilfredsstillende og de er generelt positive til bruken av digitale verktøy i revisjonen. De er imidlertid noe mindre positive til bruken av digitale verktøy på det spesifikke oppdraget som inngår i studien, enn generelt.
Et hovedresultat fra undersøkelsen er at bruken av digitale verktøy på oppdrag er relativt begrenset, og at bruken av avanserte verktøy forekommer sjelden. Dette gjelder selv for de oppdragene i undersøkelsen der lederne for revisjon i selskapene forventet mest utstrakt bruk av digitale verktøy. Når revisjonsbevis fra digitale verktøy benyttes, er det mest vanlig å benytte disse som supplerende bevis.
Planlegging, substanstesting og avsluttende handlinger
I planleggingsfasen av revisjonen blir digitale verktøy mest brukt i kartleggingen av virksomheten og dets forretningsprosesser for å identifisere de sentrale risikoene. I substanstestingen brukes digitale verktøy til å teste posteringen av transaksjoner, fastsette utvalgsstørrelser og utvelgelse av enheter til tilfeldige utvalg, og til summering og aggregering av posteringer. I avslutningsfasen av revisjonen blir digitale verktøy primært brukt til å avstemme konti mot underliggende registreringer, i avsluttende analytiske handlinger og ved den avsluttende vurderingen av regnskapet. Mer avanserte analytiske verktøy og teknikker som regresjonsanalyser, klyngeanalyser, prediktive statistiske analyser og automatiserte prosesskartlegginger er lite i bruk, og bruk av tekstanalyse og stordata forekommer svært sjelden.
Digitale verktøy brukes hyppigere på nye klienter
Ikke overraskende brukes digitale verktøy mer hyppig for klienter som har integrerte ERP/IT-systemer. Det samme gjelder for klienter som nylig er vunnet etter anbud. Dette ble satt i sammenheng med at selskapene promoterer bruk av teknologi i revisjonen i anbudsprosessen og at de følger opp dette når oppdraget er vunnet. Samtidig kan det være lettere og mindre kostnadsdrivende å ta i bruk digitale verktøy på nye oppdrag sammenlignet med å endre revisjonsopplegget på løpende oppdrag.
Oppdragsledelsen avgjør
Studien konkluderer med at en mer omfattende bruk av digitale verktøy i revisjonen i stor grad avhenger av om oppdragsledelsen finner dette hensiktsmessig, gitt kravene til revisjonsbevis, kostnadseffektivitet i revisjonen og tilrettelegging for bruk av digitale verktøy. Oppdragsledelsen må være overbevist om at de digitale verktøyene på en kostnadseffektiv måte gir de mest hensiktsmessige revisjonsbevisene. I tilretteleggingen er det viktig at bruken understøttes av revisjonsselskapene (f.eks. i selskapsmetodikkene og internevalueringene), i reguleringene (f.eks. i veiledningen om bruken i revisjonsstandardene) og av tilsynsmyndighetene (f.eks. ved at det gis signaler eller etableres dialog med profesjonen om hvordan tilsynet vil vurdere revisjonsbevis generert av digitale verktøy).
Barrierer og psykologiske mekanismer
Selv om tiltakene over ble realisert, er det likevel et åpent spørsmål om det vil være tilstrekkelig til at digitale verktøy tas i bruk i revisjonen i et så stort omfang som både selskapene selv og andre argumenterer for at det er behov for. En rekke forskningsarbeider har derfor satt søkelyset på og forsøker å svare på om revisorer i en profesjonell sammenheng er utsatt for de samme barrierene og psykologiske mekanismene når ny teknologi skal tas i bruk som det har vist seg at «folk flest» og andre yrkesgrupper er utsatt for. DigAudit-studier med et slikt siktemål diskuteres i det følgende.
Algoritme-aversjon
En voksende forskningslitteratur finner at individer ofte er utsatt for såkalt algoritme-aversjon – en større tilbøyelighet til å stole på råd fra mennesker enn fra datadrevne algoritmer selv om rådene fra de to kildene er identiske. Tendensen til å desavuere råd fra automatiserte beslutningsprosesser forsvinner ikke selv i situasjoner der det er kjent at algoritmen har høyest treffsikkerhet. Psykolog og forsker Hallgeir Sjåstad (2019) diskuterer fire psykologiske faktorer som kan forklare fenomenet algoritme-aversjon: 1) overdreven tillit til menneskelige eksperter, 2) ulik vekting av maskinelle feil over menneskelige feil, 3) sosiale behov og 4) frykten for tapt individualitet.
Han anbefaler derfor at det «for å utvikle gode beslutningssystemer som er til mer hjelp enn skade, trengs det nøye tilpasning til disse psykologiske faktorene gjennom systematisk utprøving i kontrollerte eksperimenter.»
I en fersk revisjonsstudie undersøkes det om revisors vurderinger knyttet til komplekse regnskapsestimater påvirkes av om revisjonsbevis som ikke understøtter ledelsens vurderinger, kommer fra et kunstig intelligens-firmaverktøy (noe de store revisjonsfirmaene investerer massivt i) eller fra firmaets menneskelige spesialister (Commerford, Dennis, Joe og Ulla, 2020). I et eksperiment dokumenteres det, i tråd med hypotesen om revisors algoritme-aversjon, at i denne situasjonen (hvor andre faktorer ellers er like) vil revisor foreslå beløpsmessige mindre endringer i ledelsens regnskapsestimat når revisjonsbevis kommer fra et kunstig intelligensverktøy enn fra menneskelige spesialister. Dette er selvfølgelig ikke noen ønsket situasjon.
Psykologiske studier viser imidlertid at brukerne blir mer tilbøyelige til å stole på en algoritme dersom det er en viss interaksjon mellom brukerne og algoritmeverktøyet. Dette gjelder selv om interaksjonen ikke nødvendigvis påvirker rådet som algoritmen gir. Interaksjon i seg selv påvirker tilliten til algoritmen. I en pågående DigAudit-studie undersøker vi om revisors tillit til råd fra «spesialister», som enten er menneskelige eller et kunstig intelligensverktøy, påvirkes av om revisor får mulighet til å delta med input til spesialistene og om dette kan motvirke algoritme-aversjon.
Status quo
Mange studier i psykologi har vist at individer i vurderingssituasjoner tenderer mot å velge status quo (dvs. tilstand som noe befinner seg i, uforandret stilling eller tilstand) heller enn forandring. Tidligere forskning i revisjon viser at revisorer har en tendens til å lene seg for sterkt på sine tidligere vurderinger når de møter nye utfordringer. Studier viser for eksempel at revisor velger å nytte de samme revisjonshandlingene som i siste års revisjon (kjent som «SALY», «Same as Last Year»), selv om det foreligger informasjon om at disse handlingene ikke lenger er de mest egnede, dvs. revisor velger status quo. En slik tilbøyelighet blant revisorer til å velge status quo, kan bidra til å forklare at hensiktsmessige digitale verktøy ikke tas i bruk i tilstrekkelig omfang.
I en DigAudit-studie søker vi å avklare om revisors manglende bruk av digitale verktøy skyldes tendensen til status quo heller enn andre forklaringer, som revisors mangel på erfaring eller fortrolighet med bruken. Dersom status quo-hypotesen får støtte, kan sterkere incentiver til førstegangsbruk av digitale verktøy bidra til å forsere transformasjonen til en digital revisjon.
Innovativt tankesett og målkonflikter
For å kunne trekke ut innsikten fra analyser generert av digitale verktøy stilles det krav til revisors innovative tankesett («mindset»). Med innovativt tankesett menes egenskaper som kreativitet, kritisk tenking, fleksibilitet og problemløsningsevner. Det er for eksempel lett å tenke seg at slike egenskaper kommer til nytte ved tolkning av et stort sett av visualiserte data.
En sideeffekt av bruk av digitale verktøy i revisjonen er at revisor får kunnskap og innsikt i klientens virksomhet som kan være svært nyttig og skape merverdi for klienten. Dersom dette fører til at revisor får for sterkt fokus på å gi merverdi for klienten, kan det skape en målkonflikt for revisor som svekker revisors profesjonelle skepsis og dermed kvaliteten av revisjonen.
En pågående DigAudit-studie undersøker 1) om et innovativt tankesett ved bruk av digitale verktøy fører til større fleksibilitet og bedre vurderinger i revisjonen, 2) om en målkonflikt som følge av økt fokus på merverdi for klienten fra den innsikten det digitale verktøy gir, svekker revisors profesjonelle skepsis og 3) om én av de motstridende effektene i 1) og 2) dominerer.
Tilsynsrisiko
Revisor er opptatt av å unngå kritikk av revisjonen som følge av tilsyn. Studier viser at revisorer endrer revisjonens innhold når det foreligger tilsynsrisiko, dvs. en forventning om tilsyn. Det er også indikasjoner på at revisorer er bekymret for mulig overdreven skepsis og kritikk fra tilsynsmyndighetene når bruken av digitale verktøy i revisjonen undersøkes. Dette kan føre til at revisor vegrer seg for å ta i bruk digitale verktøy der det ellers er hensiktsmessig å bruke disse. En DigAudit-studie undersøker om tilsynsrisiko påvirker revisors valg mellom bruk av digitale verktøy og tradisjonelle revisjonshandlinger.
Annen DigAudit-forskning
Utover forskning som direkte fokuserer på den digitale transformasjonsprosessen av revisjonen, omfatter DigAudit-forskningsprogrammet prosjekter som har fokus på de digitale prosessene hos klienten som har betydning for revisor. I det neste hovedavsnittet presenteres to prosjekter som fokuserer på virksomhetens cybersikkerhet og revisors attestasjon av denne.
I tillegg til litteraturstudier (f.eks. Knudsen, 2020), tar forskningen opp en rekke andre DigAudit-problemstillinger. Disse inkluderer hvordan revisors honorarer påvirkes av om avdekkede svakheter i den interne kontrollen er IT-relaterte eller ikke (Navarro, Robb, Sutton og Weisner, 2020), om revisor i en profesjonell sammenheng lar sine vurderinger påvirkes av irrelevant positiv eller negativ informasjon om klienten («dilution») og hvordan en slik uønsket effekt kan reduseres (Eilifsen, Kochetova og Messier, 2019)*Det er antatt at risikoen for en slik utvanningseffekt av revisors vurderinger vil tilta som følge av den dramatisk økte tilgangen på informasjon/data og analysemuligheter som igjen øker revisors tilfang av både diagnostisk og ikke-diagnostisk informasjon om mulige feil i regnskapet (Brown-Liburd, Issa og Lombardi, 2015). og betydningen for revisjonen av at revisor ikke møter klienten personlig og ikke fysisk er til stede hos klienten («remote auditing») slik at revisjonen må gjennomføres virtuelt.
Cybersikkerhet
Svikt som følge av angrep eller av andre årsaker, i virksomheters og institusjoners cyber-sikkerhetssystemer, kan få store konsekvenser – og slik svikt har økt kraftig i omfang. Investorer er derfor opptatt av cybersikkerheten i de selskapene de investerer i. Mot denne bakgrunnen har revisjonsselskapene begynt å tilby attestasjonstjenester rettet mot selskapenes kommunikasjon av kvaliteten av sine cyber-sikkerhetssystemer.
En DigAudit-studie undersøker om ledelsens frivillige attestasjon av cyber-sikkerhetssystemene påvirker investorenes vurderinger og beslutninger, og om det har betydning om attestasjonen er forventet eller ikke av investorene (Navarro og Sutton, 2020).*For dette studiet som inngår i Patricia Navarro’s (University of Nevada Las Vegas/NHH) doktorgradsavhandling, ble hun tildelt «2021 American Accounting Association (AAA) Accounting Information System (AIS) Best Dissertation Award».
Studien finner at etter at et cyber-sikkerhetsbrudd har funnet sted, har investorene større tiltro til ledelsen dersom cyber-sikkerhetssystemet tidligere var blitt frivillig attestert enn om de ikke var det. Effekten var størst der en slik attestasjon ikke var forventet (ikke var norm i selskapets bransje). Dette bekrefter at investorene er opptatt av cybersikkerhet og at det har verdi at cyber-sikkerhetssystemene er attestert av revisor.
Det er en økende bekymring for sårbarheten fra cybertrusler som følge av virksomhetenes avhengighet av sikkerheten i eksterne samarbeidspartneres cyber-sikkerhetssystemer. Mot denne bakgrunn utstedte den amerikanske revisororganisasjonen AICPA i 2020 en veiledning for attestasjon av virksomhetens system og kontroller for håndtering av cyberrisiko hos partnere i forsyningskjeden (AICPA, 2020).
En DigAudit-studie forsøker å forstå hvilke faktorer i forsyningskjeden og hvilke forhold knyttet til cyberrisiko som påvirker etterspørselen etter attestasjon og lanserer en teori for attestasjonsetterspørselen (Hampton, Sutton, Arnold og Khazanchi, 2020). Det ble samlet inn data om problemstillingen fra 250 respondenter med profesjonell erfaring med cyberrisiko i forsyningskjeden. Resultatene støtter teoriens hypoteser. Tilliten mellom partene i forsyningskjeden og omfanget av cyberrisiko er viktige drivere av etterspørselen etter attestasjon av virksomhetens håndtering av cyberrisiko i forsyningskjeden.
Utdanning av revisorer
Kurset i digital revisjon i MRR ble bygget fra grunnen av for fire år siden i tett dialog og med hjelp fra revisjonsbransjen i Norge. Vår oppfatning er at NHH er langt fremme blant internasjonale «business schools» med et slikt kurs. Kurset legger vekt på praktisk bruk av dataanalyser og verktøy i en revisjonskontekst og hvordan dette kan innpasses i revisjonsprosessen for å gi tilstrekkelig revisjonsbevis. I kurset har det vært nødvendig å utarbeide egne datasett og cases. Casematerialet fra kurset har vært presentert på konferanser for datalæringsmidler og publisert i tidsskrift (McKee, 2020). For eksempel, i et case tok foreleser utgangspunkt i et virkelig selskap og utarbeidet et syntetisk datasett der feilinformasjon var lagt inn i regnskapet. Revisjonskonteksten for caset var planlegging og risikoanalyse. Caset ga mulighet til å analysere en populasjon enten ved Excel-pivottabeller og/eller ved klyngeanalyse og bruk av R-programmeringsspråk og RStudio eller SPSS-programvare. Analysen ved bruk av Excel-pivottabeller er nokså rett frem og gir studentene god anledning til å ta stilling til planleggingsspørsmål. Bruk av klyngeanalyse med R eller SPSS er mer krevende, og erfaringen er at det gir studentene god trening i bruk av klyngeanalyse for planleggingsformål.
Oppsummering
Siden oppstarten har DigAudit satset på høykvalitet forskning og er i dag et ledende europeisk senter for forskning på den digitale transformasjonsprosessen i revisjon. Dette har vært mulig med den finansielle støtten fra NFR, det tette og gode samarbeidet med revisjonsselskapene og ved etableringen av et høykompetent internasjonalt forskerteam. Samtidig har NHH integrert kunnskapen fra DigAudit-forskningen i MRR. Denne kompetanseoverføringen til neste generasjon revisorer har klart styrket utdanningen.
«Business schools» ute i Europa og internasjonalt er i ferd med å utvikle kunnskapsmiljøer tilsvarende DigAudit og internasjonalt samarbeid etableres. I utgangspunktet strekker NFR-bevillingen seg til inn i 2022. Basert på de gode erfaringene med DigAudit er det et sterkt ønske om å videreføre det fagmiljøet har bygget opp og det jobbes aktivt for å realisere dette.
Referanser
American Institute of Certified Public Accountants (AICPA) and AICPA Assurance Services Executive Committee (ASEC) Emerging Assurance Technologies Task Force. 2014. Reimagining Auditing in a Wired World. White paper. New York, NY: AICPA.
American Institute of Certified Public Accountants (AICPA). 2020. SOC for Supply Chains Backgrounder. New York, NY: AICPA.
Commerford, B. P., S. A. Dennis, J. R. Joe og J. Ulla. 2020. Man Versus Machine: Complex Estimates and Auditor Reliance on Artificial Intelligence. Tilgjengelig på SSRN: https://papers.ssrn.com/sol3/papers.cfm?abstract_id=3 422 591
Eilifsen, A., F. Kinserdal, T. E. McKee og W. F. Messier Jr. 2020. An Exploratory Study into the Use of Audit Data Analytics on Audit Engagements. Accounting Horizons 34(4) (December): 75–103.
Eilifsen, A., N. Kochetova og W. F. Messier Jr. 2019. Mitigating the Dilution Effect of Non-Diagnostic Information on Auditors’ Judgments Using a Frequency Response Mode. Behavioral Research in Accounting 31(2) (Fall): 51–71.
Hampton, C., S. G. Sutton, V. Arnold og D. Khazanchi. 2020. Cyber Supply Chain Risk Management: Toward an Understanding of the Antecedents to Demand for Assurance. Journal of Information Systems.
Norges Handelshøyskole (NHH). 2021. Digital Audit Research Project (DigAudit). www.nhh.no/en/research-centres/digaudit/
McKee, T. E. 2020. Analyzing An Audit Population Via Either Excel Pivot Tables and/or R Language Cluster Analysis. Current Issues in Auditing (In Press. Published online early).
Knudsen, D. R. 2020. Elusive Boundaries, Power Relations, and Knowledge Production: A Systematic Review of the Literature on Digitalization in Accounting. International Journal of Accounting Information Systems 36.
Brown-Liburd, H., H. Issa, og D. Lombardi. 2015. Behavioral Implications of Big Data’s Impact on Audit Judgment and Decision Making and Future Research Directions. Accounting Horizons 29 (2): 451–468.
Navarro, P., S. W. G. Robb, S. G. Sutton og M. M. Weisner. 2020. The Cost Stickiness of Information Technology Material Weaknesses: An Intertemporal Comparison between IT-related and Other Material Weaknesses. International Journal of Accounting Information Systems 37.
Navarro, P. og S. G. Sutton. 2020. Investors’ Judgment and Decisions after a Cybersecurity Breach: Understanding the Value Relevance of Cybersecurity Risk Management Assurance.
Sjåstad, H. 2019. Algoritme-aversjon. Magma 8: 63–70.
