10 материалов по внутреннему аудиту, рискам, контролю и ИИ.
RSS-лента · Telegram-канал @smartaudit2035
10 сентября Институт внутренних аудиторов провёл бесплатный вебинар с участием около 130 специалистов; спикер — Алексей Коряков . Ключевой тезис: привычный подход «поиска виноватых» в инцидентах тормозит развитие систем, и аудиторам нужен переход к анализу ошибок и предотвращению повторений. Запись и материалы доступны членам ИВА в «Личном кабинете». *(ИВА России
Совместное исследование Б1, ГК «Солар», Ассоциации ФинТех и HiveTrace по ~60 организациям из финансов, ритейла, промышленности, телекома и госсектора показало разрыв между использованием ИИ и контролем: лишь 30% компаний разрешают работу с ИИ с мониторингом, а в 42% либо нет технического контроля, либо политик использования ИИ вообще. Основной моделью защиты остаются собственные разработки , а рынок технологий защиты ИИ в России в 2026 году оценивается в 1–4 млрд рублей в комплексных проектах. Для внутреннего аудита это готовая база бенчмарков по зрелости ИИ-контролей. *(Б1
С следующего года оценка ФНС для участников госзакупок станет обязательной, её результаты будут автоматически передаваться в единую информационную систему. Бизнес на совместном заседании с «Опорой России» заявил о проблемах методики: формальное сравнение средней зарплаты с региональной без учёта неполной занятости занижает оценки, а снижение допустимого порога налоговой задолженности с 25% до 1% балансовой стоимости активов может отсечь микрофирмы из-за копеек пеней. В ФНС ответили, что спорные оценки можно будет оспаривать и корректировать. *(Право.ру
Компания адаптировала консалтинговый подход для самостоятельной онлайн-оценки: тест занимает около 15 минут, включает восемь блоков и даёт ИТ-руководителю сводную оценку и приоритеты развития. В качестве драйверов названы ужесточение регулирования, рост стоимости оборудования и развитие ИИ-проектов, из-за которых бизнесу недостаточно стабильной работы сервисов — нужны прозрачные инвестиции и контролируемые риски. Может служить отправной точкой для планирования аудитов ИТ-управления.
Адвокатское бюро «Павел Хлюстов и Партнёры» запустило анонимный опрос лиц, столкнувшихся с корпоративными конфликтами; срок до 20 октября. Цель — установить реальные причины, последствия и способы разрешения конфликтов, которые за 30 лет накоплены отечественным бизнесом. Выявление повторяющихся закономерностей и механизмов быстрого урегулирования напрямую относится к повестке аудита корпоративного управления.
С июля 2027 года в выписках, поступающих в налоговую службу вместе с данными об операциях с цифровыми рублями, появятся IP- и MAC-адреса, номер телефона, данные SIM-карты и другие идентификаторы устройства. Это позволит сопоставлять разные счета, выявлять скрытые доходы и случаи, когда кошельком фактически пользуется другой человек, хотя сами по себе такие данные доказательством нарушения не станут. Компаньонам и комплаенсу стоит заранее учесть новый уровень прозрачности платежей.
Исследование 1000 ИТ-, данных и security-руководителей крупных организаций Европы, Ближнего Востока и Африки показало: две трети компаний видят, что сотрудники строят агентные ИИ-воркфлоу, которые компания не может полностью отследить. На фоне расширения compliance-обязанностей 37% лидеров отмечают рост стресса, а 40% опасаются личной ответственности за регуляторные сбои, связанные с ИИ. Классический «теневой ИИ» — область, где аудит может дать независимую оценку контроля быстрее, чем службы безопасности.
Wiz Research выяснила, что почти 1 из 10 интернет-видимых серверов LiteLLM принимал демонстрационный административный ключ sk-1234, а из 294 проверенных инстансов 191 вообще не имели установленного ключа. Обладатель такого ключа получает все API-ключи провайдеров на сервере, а в тестах исследователей добирался и до IAM-учётных данных облачной машины. Хрестоматийный кейс дефолтных конфигураций в новых ИИ-инфраструктурных компонентах — предмет для чек-листов ИТ-аудита. *(The Hacker News
Ошибка в открытом инструменте для запуска ИИ-кодинг-агентов давала песочничному агенту одной командой снять ограничение через собственный веб-интерфейс на той же машине — и выполнять команды вне рабочей директории без подтверждения пользователя. Уязвимость работала при стандартной установке до исправления 27 августа и эксплуатировалась через текст, подброшенный агенту в непроверяемых файлах. Практический вывод для аудита ИИ: изоляция агентов должна проверяться на возможность «самоотключения» защит.
Голландская служба по защите данных оштрафовала Uber на 825 млн евро за использование автоматизированного принятия решений: система деактивировала аккаунты водителей на основе низких клиентских оценок. Один из крупнейших privacy-штрафов прямо касается алгоритмического управления персоналом. Для аудиторов это маркер: модели scoring'а сотрудников и подрядчиков теперь предмет отдельной оценки соответствия и рисков. *(Compliance Week
