राष्ट्रीय वित्तीय रिपोर्टिंग प्राधिकरण (एनएफआरए) ने वैधानिक ऑडिट में प्रौद्योगिकी के उपयोग के लिए 10 सिद्धांत निर्धारित किए हैं, जिसमें इस बात पर जोर दिया गया है कि डेटा एनालिटिक्स, स्वचालित उपकरण और तकनीकों, कृत्रिम बुद्धिमत्ता, जेनरेटिव एआई और एजेंटिक एआई की बढ़ती स्वीकार्यता ऑडिट राय के लिए ऑडिटर की जिम्मेदारी या पेशेवर संदेह का प्रयोग करने की आवश्यकता को कम नहीं कर सकती है।
ऑडिट में प्रौद्योगिकी पर अपनी पहली स्टाफ श्रृंखला में, जिसका शीर्षक ऑडिट में प्रौद्योगिकी अपनाने के लिए सामान्य सिद्धांत है, एनएफआरए ने ऑडिट योजना और जोखिम मूल्यांकन, वास्तविक और नियंत्रण परीक्षण, ऑडिट साक्ष्य के मूल्यांकन और रिपोर्टिंग में प्रौद्योगिकी के उपयोग को कवर करते हुए एक सिद्धांत आधारित रूपरेखा तैयार की है।
दस्तावेज़ में कहा गया है कि प्रौद्योगिकी नमूना लेने के बजाय संपूर्ण जनसंख्या परीक्षण को सक्षम करके, जोखिम की पहचान में तेजी लाने और पेशेवर निर्णय की आवश्यकता वाले क्षेत्रों के लिए लेखा परीक्षकों के समय को मुक्त करके ऑडिट दक्षता में सुधार कर सकती है। साथ ही, यह प्रौद्योगिकी अपनाने से उत्पन्न होने वाले जोखिमों को चिह्नित करता है, जिसमें स्वचालन पूर्वाग्रह, अपारदर्शी या गैर नियतात्मक आउटपुट, मॉडल बहाव, डेटा गोपनीयता जोखिम और संभावना है कि प्रौद्योगिकी पर अत्यधिक निर्भरता पेशेवर संदेह को गहरा करने के बजाय कम कर सकती है।
यह ढांचा प्रौद्योगिकी तटस्थ और परिणाम केंद्रित है और पारंपरिक कंप्यूटर असिस्टेड ऑडिट तकनीकों और डेटा एनालिटिक्स से लेकर मशीन लर्निंग, जेनरेटिव एआई और एजेंटिक एआई तक की प्रौद्योगिकियों पर लागू होता है। यह घर में विकसित किए गए, तीसरे पक्ष के विक्रेताओं से लाइसेंस प्राप्त या किसी फर्म या नेटवर्क फर्म की कार्यप्रणाली में एम्बेडेड उपकरणों पर समान रूप से लागू होता है।
लेखापरीक्षक का उत्तरदायित्व प्रत्यायोजित नहीं किया जा सकता
दस्तावेज़ में एक केंद्रीय सिद्धांत यह है कि उपयोग की गई तकनीक की परिष्कार की परवाह किए बिना, ऑडिट राय की जिम्मेदारी ऑडिटर की रहती है।
दस्तावेज़ में कहा गया है, “प्रौद्योगिकी पेशेवर निर्णय को सूचित और तेज कर सकती है; हालाँकि, यह इसका विकल्प नहीं हो सकती है और अनुचित निष्कर्ष को समझाने के लिए इसका इस्तेमाल नहीं किया जा सकता है।”
इसमें कहा गया है कि “ऑडिट रिपोर्ट पर हस्ताक्षर किए गए हैं, और राय एक पहचाने गए ऑडिटर की है, न कि किसी तकनीक या उपकरण की जिसने इस तक पहुंचने में सहायता की है।”
एनएफआरए यह भी स्पष्ट करता है कि प्रौद्योगिकी से उत्पन्न जानकारी कम स्पष्ट सीमा नहीं रखती है। स्वचालित उपकरणों और तकनीकों के आउटपुट को ऑडिट साक्ष्य, या ऑडिट साक्ष्य के लिए इनपुट माना जा सकता है, केवल तभी जब ऑडिटर उनकी प्रासंगिकता और विश्वसनीयता का मूल्यांकन करता है, स्रोत को समझता है, हेरफेर या त्रुटि के जोखिम का आकलन करता है और उचित परीक्षण करता है।
रिपोर्ट में कहा गया है, “प्रौद्योगिकी से उत्पन्न जानकारी के लिए कोई अलग, निचली साक्ष्य पट्टी नहीं है।”
व्यावसायिक संदेह को प्रौद्योगिकी पर नहीं थोपा जा सकता
दस्तावेज़ स्वचालन पूर्वाग्रह को एक प्रमुख जोखिम के रूप में पहचानता है, यह देखते हुए कि धाराप्रवाह और अच्छी तरह से प्रस्तुत मशीन आउटपुट लेखा परीक्षकों को मानव द्वारा तैयार की गई जानकारी पर लागू होने की तुलना में कम चुनौती के साथ प्रशंसनीय दिखने वाले परिणामों को स्वीकार करने के लिए प्रोत्साहित कर सकता है।
रिपोर्ट में कहा गया है, ”प्रौद्योगिकी से ऑडिटर की ओर से पेशेवर संदेह की उम्मीद नहीं की जा सकती है।” रिपोर्ट में कहा गया है कि आउटपुट पर भरोसा करने वाले व्यक्ति को इसका प्रयोग करना चाहिए, भले ही तकनीक से उत्पन्न परिणाम कितना भी ठोस प्रतीत हो।
दस्तावेज़ यह मानने के प्रति भी सावधान करता है कि प्रौद्योगिकी उपकरण के माध्यम से किया गया पूर्ण जनसंख्या परीक्षण वास्तविक जोखिम मूल्यांकन की आवश्यकता को समाप्त कर देता है।
इसमें कहा गया है कि ऑडिटरों को समय-समय पर उस वर्गीकरण का परीक्षण किए बिना किसी टूल की वस्तुओं के वर्गीकरण को कम जोखिम के रूप में स्वीकार नहीं करना चाहिए। यह कंपनियों को स्वतंत्र मूल्यांकन किए बिना किसी उपकरण की सटीकता या विश्वसनीयता के संबंध में विक्रेता के दावों पर भरोसा करने के प्रति भी आगाह करता है।
लेखापरीक्षा प्रौद्योगिकी के लिए जोखिम आधारित शासन
एनएफआरए ने सत्यापन, प्रमाणन और समीक्षा आवश्यकताओं को ऑडिट गुणवत्ता के लिए एक प्रौद्योगिकी उपकरण के जोखिम के अनुपात में लागू करने का आह्वान किया है।
दस्तावेज़ कम जोखिम वाले उपकरणों, जैसे कि अनुवाद सहायता, और उच्च जोखिम वाले अनुप्रयोगों, जैसे कि एजेंटिक उपकरण, जो नमूनों का चयन और परीक्षण करते हैं, के बीच अंतर करता है और कहता है कि उन्हें समान स्तर की जांच के अधीन नहीं किया जाना चाहिए।
रिपोर्ट में कहा गया है कि किसी फर्म के गुणवत्ता नियंत्रण या गुणवत्ता प्रबंधन प्रणाली को प्रौद्योगिकी को एक संसाधन के रूप में सामान्य रूप से मानने के बजाय परिभाषित जोखिम प्रतिक्रियाओं के साथ एक विशिष्ट जोखिम क्षेत्र के रूप में प्रौद्योगिकी के उपयोग की पहचान करनी चाहिए।
तैनाती से पहले शासन व्यवस्था आनी चाहिए
फ़्रेमवर्क के लिए कंपनियों को लाइव संलग्नक पर उपयोग करने से पहले अपनी नीतियों के अनुसार प्रौद्योगिकी उपकरणों को मान्य और अनुमोदित करने की आवश्यकता होती है।
इसमें कहा गया है कि किसी टूल में भौतिक परिवर्तन, जिसमें मॉडल अपडेट, डेटा स्रोतों में परिवर्तन या विक्रेता परिवर्तन शामिल हैं, को पुनर्वैधीकरण को ट्रिगर करना चाहिए। दस्तावेज़ में कहा गया है कि कार्यान्वयन से पहले प्रारंभिक सत्यापन को निरंतर विश्वसनीयता का आधार नहीं माना जा सकता है।
रिपोर्ट में कहा गया है, “तैनाती से पहले किसी उपकरण की मंजूरी केवल एक शुरुआती बिंदु है और यह अपने आप में एक संपूर्ण अभ्यास नहीं है।”
अंतर्निहित प्रणालियों में परिवर्तन की गति के साथ-साथ कुछ प्रौद्योगिकियों की अनुकूली और गैर-नियतात्मक प्रकृति को देखते हुए, लेखा परीक्षकों से अपेक्षा की जाती है कि वे पूरे कामकाजी जीवन में उपकरण के प्रदर्शन की निगरानी करें और आवश्यकता पड़ने पर उपकरण को फिर से अनुमोदित करें।
दस्तावेज़ यह भी कहता है कि प्रौद्योगिकी से उत्पन्न आउटपुट के लिए आवश्यक व्याख्या और दस्तावेज़ीकरण की सीमा ऑडिट राय के लिए उस आउटपुट की भौतिकता के अनुपात में होनी चाहिए।
डेटा सुरक्षा की जिम्मेदारी ऑडिट फर्मों की रहती है
एनएफआरए ने इस बात पर जोर दिया है कि ऑडिट फर्म तीसरे पक्ष और क्लाउड आधारित सिस्टम सहित प्रौद्योगिकी उपकरणों के माध्यम से संसाधित ग्राहक और व्यक्तिगत डेटा की सुरक्षा के लिए जिम्मेदार हैं।
दस्तावेज़ में कहा गया है कि ऐसे डेटा को प्रासंगिक नैतिक सिद्धांतों, डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023 और अन्य लागू क्षेत्रीय आवश्यकताओं के तहत फर्मों की गोपनीयता दायित्वों के अनुसार संरक्षित किया जाना चाहिए।
रिपोर्ट में कहा गया है, “एक कंपनी ग्राहक और व्यक्तिगत जानकारी की सुरक्षा के लिए अपनी जिम्मेदारी के विकल्प के रूप में विक्रेता की सेवा की शर्तों (सत्यापन के बिना) या टूल की सुविधा पर भरोसा नहीं कर सकती है।”
यह ढांचा एक उपयुक्त सूचना सुरक्षा ढांचे की भी मांग करता है जिसमें क्लाउड होस्टेड और तीसरे पक्ष के टूल शामिल हों, जिसमें सीमा पार डेटा ट्रांसफर पर विशेष ध्यान दिया जाए जहां विक्रेता का बुनियादी ढांचा या मॉडल भारत के बाहर होस्ट किया जाता है।
परिवर्तन के लिए ऑडिट दस्तावेज़ीकरण और प्रशिक्षण
दस्तावेज़ में कहा गया है कि प्रौद्योगिकी को अपनाने के लिए ऑडिट फर्मों की गुणवत्ता, दस्तावेज़ ऑडिट कार्य, प्रशिक्षण कर्मियों और प्रदर्शन की निगरानी के तरीके में पहचाने जाने योग्य परिवर्तनों की आवश्यकता होती है।
ऑडिट दस्तावेज़ीकरण प्रथाओं को एक संरचित प्रारूप की ओर बढ़ना चाहिए जो एक अनुभवी ऑडिटर को यह समझने की अनुमति देता है कि किसी विशिष्ट संतुलन या दावे को संसाधित करने के लिए किस उपकरण का उपयोग किया गया था और परिणामी आउटपुट पर लागू मानव समीक्षा की सीमा क्या है।
एनएफआरए निरंतर व्यावसायिक विकास में प्रौद्योगिकी साक्षरता को शामिल करने का भी आह्वान करता है, जिसमें प्रशिक्षण की भूमिका अलग-अलग हो।
तैयारीकर्ताओं को प्रौद्योगिकी के सुरक्षित और प्रभावी उपयोग में प्रशिक्षित किया जाना चाहिए, समीक्षकों को महत्वपूर्ण मूल्यांकन और पूर्वाग्रह जागरूकता में, और शासन और प्रकटीकरण निर्णय में भागीदार भागीदारों को प्रशिक्षित किया जाना चाहिए।
यह रूपरेखा किसी फर्म की गुणवत्ता प्रबंधन प्रणाली के वार्षिक मूल्यांकन में नेतृत्व को सूचित रुझानों के साथ प्रौद्योगिकी से संबंधित निष्कर्षों के मूल कारण विश्लेषण की भी मांग करती है।
प्रौद्योगिकी विक्रेताओं की अधिक जांच
एनएफआरए ने ऑडिट फर्मों से तीसरे पक्ष के प्रौद्योगिकी प्रदाताओं की निगरानी को मजबूत करने का आह्वान किया है।
प्रौद्योगिकी विक्रेताओं के साथ अनुबंध में डेटा सुरक्षा, बौद्धिक संपदा, व्याख्यात्मक दस्तावेज तक पहुंच, ऑडिट अधिकार और व्यापार निरंतरता को संबोधित किया जाना चाहिए, जिसमें फर्म के प्रत्यक्ष नियंत्रण के बाहर नींव मॉडल पर निर्मित उपकरणों पर विशेष ध्यान दिया जाना चाहिए।
दस्तावेज़ में कहा गया है कि जहां किसी उपकरण को नेटवर्क या सामान्य प्रौद्योगिकी प्लेटफ़ॉर्म के माध्यम से केंद्रीय रूप से अनुबंधित किया जाता है, तो फर्म को यह प्रदर्शित करने में सक्षम होना चाहिए कि नेटवर्क स्तर पर उचित परिश्रम और संविदात्मक सुरक्षा आवश्यक सामग्री को पूरा करती है।
जब भी कोई सामग्री प्रौद्योगिकी अद्यतन उपकरण के व्यवहार को बदल सकता है, तो रूपरेखा संस्करण नियंत्रण और आंतरिक संचार की भी मांग करती है।
प्रौद्योगिकी मौजूदा ऑडिट मानकों को प्रतिस्थापित नहीं करती है
एनएफआरए ने स्पष्ट किया है कि दस्तावेज़ में निर्धारित सिद्धांत एक अलग प्रौद्योगिकी आधारित ऑडिट ढांचा नहीं बनाते हैं। सिद्धांत उन दायित्वों को दोहराते हैं या स्पष्ट करते हैं जो ऑडिटिंग पर मानकों, गुणवत्ता नियंत्रण पर मानकों और प्रौद्योगिकी सक्षम ऑडिट प्रक्रियाओं के संदर्भ में प्रासंगिक नैतिक सिद्धांतों के तहत पहले से मौजूद हैं।
दस्तावेज़ में कहा गया है कि समग्र उद्देश्य यह सुनिश्चित करना है कि ऑडिट की राय गुणवत्ता नियंत्रण या प्रबंधन की एक प्रणाली के तहत, बिना किसी पेशेवर संदेह के प्राप्त और मूल्यांकन किए गए पर्याप्त उचित ऑडिट साक्ष्य पर टिकी रहे, जिसने इस्तेमाल की जा रही तकनीक से जुड़े जोखिमों को अवशोषित कर लिया है।
यह किसी विशिष्ट उपकरण, विक्रेता या तकनीक के उपयोग को अनिवार्य या प्रतिबंधित नहीं करता है। हालाँकि, ऑडिटर अंतर्निहित ऑडिटिंग मानकों की आवश्यकताओं के अनुपालन के विकल्प के रूप में प्रौद्योगिकी के उपयोग को नहीं मान सकते हैं।
एनएफआरए ने दस्तावेज़ की स्थिति भी स्पष्ट की है। इसमें कहा गया है कि स्टाफ सीरीज़ का उद्देश्य अपनी शिक्षा, प्रशिक्षण, सेमिनार और वकालत पहल के हिस्से के रूप में ऑडिटिंग मानकों और ऑडिट गुणवत्ता के बारे में जागरूकता को बढ़ावा देना है।
दस्तावेज़ एनएफआरए, प्राधिकरण या सरकार के कार्यकारी निकाय की नीति, मानक, सिफारिश या बयान नहीं है, और लागू कानूनों, नियमों और विनियमों के तहत लेखा परीक्षकों या लेखा परीक्षा फर्मों के किसी भी दायित्व के विकल्प के रूप में जारी नहीं किया गया है।
