Dokumenty przetworzone przez AI jako dowód w audycie

Definicja: Dopuszczalność dokumentów przetworzonych przez AI jako dowodu w audycie oznacza możliwość oparcia ustaleń na materiale, którego pochodzenie i treść dają się niezależnie zweryfikować oraz odtworzyć bez utraty cech dowodowych i bez niekontrolowanej modyfikacji: (1) autentyczność i identyfikowalność źródła; (2) integralność oraz kontrola zmian i wersji; (3) udokumentowana ścieżka przetworzenia i testy walidacyjne.

Ostatnia aktualizacja: 2026-04-17

Szybkie fakty

• Materiał po przetworzeniu ma wartość dowodową tylko przy zachowaniu możliwości odtworzenia źródła i procesu.
• Kluczowe są logi, metadane, wersjonowanie i kontrola dostępu potwierdzające integralność.
• Przy rozbieżnościach konieczne są dodatkowe procedury, a nie wyłącznie poleganie na wyniku przetworzenia.

Dopuszczalność materiału po przetworzeniu w audycie zależy od tego, czy można wykazać jego wiarygodność bez odwoływania się do deklaracji operatora lub dostawcy narzędzia.

• Źródło: Musi istnieć możliwy do wskazania dokument wejściowy oraz reguły łączenia go z wynikiem przetworzenia.
• Integralność: Powinna być zapewniona kontrola zmian, wersjonowanie i ochrona przed nieautoryzowaną modyfikacją.
• Weryfikacja: Wymagane są testy porównawcze i udokumentowana ścieżka kontrolna umożliwiająca niezależną ocenę.

Dopuszczalność dokumentów przetworzonych przez AI jako dowodu w audycie nie wynika z samego faktu użycia narzędzia, lecz z możliwości udowodnienia, że wynik odpowiada materiałowi źródłowemu i nie został zmieniony poza kontrolą. Ocena koncentruje się na autentyczności źródła, integralności treści oraz odtwarzalności procesu przetworzenia.

W praktyce audytowej spór rzadko dotyczy tego, czy przetwarzanie jest technicznie możliwe, a częściej tego, czy organizacja potrafi pokazać ślad decyzji i korekt oraz zapewnić niezależną weryfikację. Największe ryzyka pojawiają się, gdy dokument po przetworzeniu zaczyna funkcjonować jako jedyne źródło informacji, a plik wejściowy, logi i wersje konfiguracji nie są dostępne.

Dopuszczalność dokumentów po przetworzeniu automatycznym w audycie

Dopuszczalność jako dowód oznacza możliwość obrony ustaleń audytowych na podstawie materiału, który ma wskazane pochodzenie i daje się sprawdzić z użyciem niezależnych testów. Dokument po przetworzeniu może wspierać analizę, lecz jego ciężar dowodowy zależy od tego, czy nie zerwano powiązania z dokumentem wejściowym i metadanymi procesu.

W audycie przydaje się rozróżnienie trzech poziomów: dokumentu źródłowego, wyniku przetworzenia oraz dokumentacji roboczej audytora. Dokument źródłowy stanowi punkt odniesienia, wynik przetworzenia jest wygodną reprezentacją danych, a dokumentacja robocza opisuje, co i w jaki sposób zostało sprawdzone. Zamiana tych ról prowadzi do sytuacji, w której materiał o nieznanym pochodzeniu zaczyna pełnić funkcję „prawdy księgowej”.

Minimalny zestaw kryteriów obejmuje autentyczność, integralność, kompletność i odtwarzalność. Autentyczność dotyczy wskazania, skąd dokument pochodzi i kto miał dostęp do jego utworzenia. Integralność dotyczy braku nieudokumentowanych zmian. Odtwarzalność jest warunkiem praktycznym: gdy nie da się odtworzyć procesu przetworzenia lub porównać wyniku z wejściem, audyt zostaje bez narzędzi kontroli.

Jeśli nie da się wykazać ciągłości między plikiem wejściowym a wynikiem przetworzenia, to najbardziej prawdopodobne jest zakwestionowanie wartości dowodowej materiału.

Wymogi prawne i standardy audytowe dla dokumentów elektronicznych

Wymogi formalne koncentrują się na tym, czy dokument elektroniczny zachował cechy pozwalające uznać go za wiarygodny nośnik informacji. Przy przetwarzaniu danych szczególne znaczenie ma wykazanie, że nie doszło do utraty treści, a ewentualne korekty są identyfikowalne i przypisane do konkretnych osób oraz okresów.

Dokument elektroniczny, także przetworzony przez system informatyczny, jest dowodem, jeżeli spełnia wymagania ustawowe dotyczące autentyczności i integralności.

W organizacji audytowanej standardem obrony jest spójny zestaw polityk: klasyfikacja dokumentów, zasady dostępu, wersjonowanie oraz retencja. Sam zapis „plik został wygenerowany automatycznie” nie rozstrzyga niczego, jeśli brakuje metadanych i rejestrów zdarzeń. W praktyce liczą się takie artefakty jak: historia modyfikacji, identyfikator procesu, uprawnienia użytkowników, protokoły importu i eksportu, a także reguły, według których wynik był korygowany.

Istotne jest też rozdzielenie ról. Gdy ta sama osoba importuje dokument, koryguje rozpoznane pola i zatwierdza wynik do rozliczeń, audyt traci mechanizm wzajemnej kontroli. Lepszym standardem jest zatwierdzenie przez inną funkcję lub przynajmniej formalny zapis akceptacji wraz z uzasadnieniem i wskazaniem źródła, na którym oparto korektę.

Test spójności metadanych z rejestrem zdarzeń pozwala odróżnić kontrolowane przetworzenie od nieudokumentowanej edycji bez zwiększania ryzyka błędów.

Jak weryfikować autentyczność i integralność dokumentu po przetworzeniu automatycznym

Weryfikacja powinna wykazać zgodność wyniku z dokumentem wejściowym oraz zachowanie śladów kontroli w systemie przechowywania. Audytorsko najsłabsze są sytuacje, w których dostępny jest wyłącznie „ładny” wynik, a wejście zostało zastąpione lub usunięte po imporcie.

Diagnoza zaczyna się od zidentyfikowania dokumentu źródłowego wraz z jego nośnikiem i kontekstem biznesowym. Dla faktur i rozrachunków oznacza to wskazanie pliku, kanału pozyskania i relacji do zapisów księgowych. Dalej następuje porównanie pola po polu, ze szczególną uwagą na wartości krytyczne: kwoty netto i brutto, stawki podatku, walutę, daty, NIP, numer dokumentu, listę pozycji oraz załączniki. W audycie nie wystarcza porównanie „sumy z nagłówka”, jeżeli ryzyko dotyczy detali pozycji.

Kryterium	Co podlega sprawdzeniu	Typowy dowód weryfikacyjny
Powiązanie z wejściem	Identyfikator dokumentu źródłowego i reguła mapowania na wynik	Rejestr importu, identyfikator procesu, repozytorium pliku wejściowego
Zgodność treści	Kwoty, daty, strony transakcji, pozycje i załączniki	Porównanie pól, próbkowanie, protokół rozbieżności
Integralność	Brak nieudokumentowanych zmian wyniku i wejścia	Historia zmian, kontrola dostępu, niezmienność magazynu danych
Odtwarzalność procesu	Możliwość powtórzenia przetworzenia w tym samym reżimie	Wersja konfiguracji, logi procesu, raport walidacji
Obsługa wyjątków	Jak zapisano korekty i ręczne decyzje	Lista korekt, akceptacje, uzasadnienia i ślady użytkownika

Analiza metadanych obejmuje daty utworzenia i modyfikacji, identyfikatory wersji, uprawnienia oraz ślad użytkownika. Jeśli system umożliwia eksport logów, przydatne są zdarzenia: import, klasyfikacja, korekta, zatwierdzenie, ponowne przeliczenie i eksport do ksiąg. Przy czerwonych flagach, takich jak brak logów, ręczne nadpisy bez uzasadnienia czy niejednoznaczne mapowanie pól, materiał powinien zostać oparty na dodatkowych źródłach albo odrzucony.

Jeśli rozbieżność dotyczy pól krytycznych i nie ma wiarygodnej historii korekt, to najbardziej prawdopodobne jest uznanie wyniku za niewystarczający dowód.

Procedura budowy ścieżki kontrolnej dla dokumentów po przetworzeniu automatycznym

Ścieżka kontrolna ma pokazać, że przetworzenie było procesem nadzorowanym, a nie jednorazowym zdarzeniem bez śladów. Dla audytu liczą się trzy grupy artefaktów: dane wejściowe, wynik oraz rejestry opisujące, co działo się pomiędzy.

Procedura operacyjna zaczyna się od zdefiniowania dopuszczalnych wejść: formatów plików, minimalnej czytelności skanów, kanałów pozyskania oraz zasad uzupełniania braków. Następnie potrzebny jest rejestr procesu z identyfikatorem, znacznikami czasu, rolą operatora, konfiguracją oraz wersją narzędzia. Jeśli organizacja dopuszcza korekty ręczne, warto wymagać oznaczenia pól zmienionych i wskazania podstawy korekty, choćby w postaci notatki zatwierdzającej i odwołania do dokumentu źródłowego.

Wprowadzenie AI w audycie wymaga od audytorów zapewnienia niezależnej weryfikacji prawidłowości przetworzonych danych oraz stosowania dodatkowych procedur kontrolnych.

Walidacja jakości powinna mieć ustalone progi: zasady próbkowania, tolerancje rozbieżności, przypadki wymagające pełnej kontroli oraz tryb obsługi wyjątków. Przy materiałach o wysokiej istotności sprawdza się podejście dwuetapowe: automatyczne testy spójności, a później kontrola wybranych dokumentów przez osobę niezależną od operatora. Do archiwum powinny trafić: plik wejściowy, wynik, logi, raport walidacji oraz ślad zatwierdzeń.

Jeśli rejestr procesu zawiera wersję konfiguracji i komplet logów, to test odtwarzalności pozwala odróżnić błąd narzędzia od błędu proceduralnego bez zwiększania ryzyka.

W obszarach, w których rośnie udział automatyzacji przetwarzania dokumentów, opis porządkujący role i kontrolę bywa uzupełniany o zasady księgowość AI oraz o identyfikację miejsc, gdzie powstaje największe ryzyko korekt. Takie ujęcie pomaga rozdzielić etap rejestracji dokumentu od etapu weryfikacji i zatwierdzenia. Różnice między danymi wejściowymi a wynikiem stają się wtedy mierzalne i łatwiejsze do udokumentowania.

Jakie dokumenty najczęściej budzą zastrzeżenia w audycie i dlaczego

Najczęściej kwestionowane są dokumenty, w których nawet drobna rozbieżność przekłada się na istotne skutki podatkowe lub finansowe. Ryzyko rośnie, gdy dokument ma wiele pól krytycznych, występują załączniki lub treść zawiera elementy niejednoznaczne, takie jak warunki umowne i klauzule.

Do grupy podwyższonego ryzyka zwykle należą faktury kosztowe z wieloma pozycjami, umowy i aneksy, protokoły odbioru oraz dokumenty korygujące. Zastrzeżenia często wynikają z trzech źródeł: braku pełnego zestawu załączników, nieczytelnych skanów oraz równoległych wersji dokumentu krążących w obiegu. Błędy przetworzenia mają charakter konkretny: błędny NIP, pomylona data sprzedaży, błędna waluta, pominięte pozycje, nieprawidłowa stawka podatku. Są to rozbieżności, które trudno „wyjaśnić” bez wskazania, gdzie i kiedy doszło do korekty.

Dobór testów zależy od typu dokumentu. Dla faktur pomocne jest krzyżowanie z rejestrem zakupów, płatnościami i potwierdzeniem istnienia kontrahenta. Dla umów istotne są wersje i podpisy, a także kompletność załączników. W ocenie krytyczności błędu znaczenie ma to, czy dotyczy podstawy rozliczenia, czy elementu opisowego, który nie wpływa na rezultat księgowy.

Przy braku załączników i rozbieżnościach pól rozliczeniowych najbardziej prawdopodobne jest, że potrzebne będą dodatkowe procedury potwierdzające przed uznaniem materiału za dowód.

Jak wybierać źródła do uzasadnienia dowodowego w audycie: raport, ustawa czy dokumentacja systemu?

Dobór źródeł do uzasadnienia dowodowego powinien opierać się na hierarchii i weryfikowalności, a nie na popularności publikacji. Największą moc argumentacyjną mają akty prawne i oficjalne wytyczne, ponieważ definiują wymagania i język, którym posługują się instytucje kontrolne. Dokumentacja systemu informatycznego ma znaczenie wtedy, gdy opisuje mechanizmy kontroli: logowanie zdarzeń, wersjonowanie, uprawnienia i odtwarzalność przetworzenia.

Różnice dotyczą przede wszystkim formatu, łatwości weryfikacji i sygnałów zaufania. Źródła normatywne zwykle mają stabilne brzmienie, wskazany organ i datę, a także dają się przywołać wprost przy sporze o definicję autentyczności lub integralności. Dokumentacja techniczna bywa wersjonowana i pozwala pokazać, jakie ślady pozostawia proces, ale wymaga sprawdzenia zgodności z konfiguracją używaną w organizacji. Raporty branżowe dostarczają kontekstu, opisują ryzyka i praktyki, lecz rzadko przesądzają o wymaganiach formalnych.

Przy źródłach, które nie mają wersji i jednoznacznego autorstwa, najbardziej prawdopodobne jest powstanie luki dowodowej mimo poprawnego opisu ryzyka.

QA: dopuszczalność materiałów po przetworzeniu automatycznym jako dowodów audytowych

Czy materiał po przetworzeniu może zastąpić dokument źródłowy w audycie?

Zastąpienie dokumentu źródłowego jest ryzykowne, jeśli wynik przetworzenia nie zachowuje pełnej treści i nie ma możliwości odtworzenia wejścia. Dopuszczalność rośnie, gdy istnieje spójne powiązanie między wejściem a wynikiem oraz komplet logów i metadanych. Przy braku tych elementów wynik pełni raczej rolę pomocniczą niż dowodową.

Jakie elementy ścieżki kontrolnej są minimalnie wymagane do weryfikacji?

Minimalnie potrzebne są: dokument wejściowy, wynik przetworzenia oraz rejestr zdarzeń pokazujący import, korekty i zatwierdzenia. Ważne są identyfikatory wersji, znaczniki czasu i informacja o uprawnieniach, które pozwalają przypisać działania do osób. Bez tych danych nie da się wykazać integralności i ciągłości procesu.

Kiedy rozbieżność w danych dyskwalifikuje materiał jako dowód audytowy?

Rozbieżność dyskwalifikuje materiał, gdy dotyczy pól wpływających na wynik rozliczeniowy, a nie istnieje wiarygodna historia korekt ani potwierdzenie z dokumentu źródłowego. W takim układzie audyt wymaga wsparcia innymi dowodami albo ponownego pozyskania i przetworzenia wejścia. Drobne różnice opisowe mogą być akceptowalne, jeśli nie zmieniają treści istotnej i są wyjaśnione.

Czy podpis elektroniczny jest konieczny dla dokumentów po przetworzeniu?

Konieczność podpisu zależy od rodzaju dokumentu oraz tego, czy organizacja wymaga formalnego zatwierdzenia w określonej formie. W wielu scenariuszach większe znaczenie ma integralność repozytorium i identyfikowalność zmian niż sam podpis na wyniku przetworzenia. Jeśli podpis występuje, powinien być elementem spójnego procesu, a nie jedynym zabezpieczeniem.

Jak długo należy przechowywać dokument wejściowy, wynik przetworzenia i logi?

Okres przechowywania powinien uwzględniać wymagania dla dokumentacji księgowej i audytowej oraz możliwość odtworzenia ustaleń po czasie. W praktyce powinny być dostępne zarówno pliki wejściowe, jak i wynik wraz z logami, co najmniej przez okres, w którym może dojść do kontroli lub sporu. Jeśli logi są rotowane, konieczne jest ich archiwizowanie w sposób zapewniający niezmienność.

Jakie są najczęstsze błędy proceduralne przy przygotowaniu materiału do audytu?

Częstym błędem jest brak rozdzielenia ról, przez co korekty i zatwierdzenia nie mają niezależnej kontroli. Problematyczne bywa też nadpisywanie wyników bez wersjonowania oraz przechowywanie wyłącznie plików wynikowych bez wejścia i logów. W takich warunkach nawet poprawny wynik nie ma stabilnej obrony dowodowej.

Źródła

• Ustawa o dokumentach elektronicznych, ISAP, publikacja w Dzienniku Ustaw
• European Court of Auditors, Artificial Intelligence in auditing: Risks and opportunities
• IFAC, Artificial Intelligence and the Future of Accountancy (opracowanie dot. audytu i rachunkowości)
• KPMG, AI w audycie finansowym. Prawo i praktyka
• Ministerstwo Finansów, FAQ do ustawy o dokumentach elektronicznych

Podsumowanie

Dokument po przetworzeniu automatycznym może mieć znaczenie dowodowe w audycie, jeśli istnieje możliwość wskazania źródła, utrzymania integralności i odtworzenia procesu przetworzenia. Decydujące są logi, metadane, wersjonowanie oraz udokumentowane testy porównawcze. Materiały o wysokiej wrażliwości rozliczeniowej wymagają ostrzejszych progów walidacji i częściej dodatkowych dowodów wspierających.

+Reklama+