سينتيا مرهج: من تحليل البيانات إلى كشف المخاطر... هكذا يغيّر الذكاء الاصطناعي عالم التدقيق

في وقت يشهد فيه عالم الأعمال تحوّلاً متسارعاً بفعل الذكاء الاصطناعي، لم تعد هذه التقنيات مجرّد أدوات حديثة تُضاف إلى بيئة العمل، بل أصبحت عاملاً مؤثراً في طريقة إدارة المؤسسات، وتحليل البيانات، واتخاذ القرارات، ومراقبة المخاطر. وفي مجالات المحاسبة والتدقيق والمالية تحديداً، يفتح الذكاء الاصطناعي آفاقاً جديدة أمام المهنيين، من تحليل كميات ضخمة من البيانات واكتشاف الأنماط والاستثناءات، وصولاً إلى أتمتة جزء من المهام وتطوير أساليب التدقيق والاستشارات.

من هذا المنطلق، تبرز تجربة سينتيا مرهج المتخصصة في توظيف الذكاء الاصطناعي في مجالات Accounting وAudit وFinance، حيث تجمع بين خبرتها المهنية في التدقيق وفهمها للتقنيات الحديثة، وتعمل على مساعدة المؤسسات والمهنيين على استخدام الذكاء الاصطناعي بطريقة عملية ومدروسة، بالتوازي مع التركيز على الحوكمة، أمن البيانات وإدارة المخاطر. كما أسست AIKIT LB انطلاقاً من رؤية تقوم على ربط التكنولوجيا بالاحتياجات الفعلية للمهنة، بعيداً عن الاستخدام العشوائي أو الانبهار بالأدوات لمجرّد حداثتها.

في هذا الحوار، تتحدث سينتيا مرهج عن التحوّل الذي أحدثه الذكاء الاصطناعي في عالم التدقيق والمالية، وتشرح أين تكمن الفرص الحقيقية وأبرز المخاطر، وكيف يمكن للمؤسسات أن تدخل هذا العالم بثقة ومسؤولية، بعيداً عن القرارات المتسرّعة والاستخدام غير المدروس.

- في ظلّ التحوّل الرقمي المتسارع، كيف تساهم تقنيات الذكاء الاصطناعي في تطوير عمل التدقيق الداخلي، وما أبرز الفوائد التي يمكن أن تحققها للمؤسسات؟

دعوني أبدأ من نقطة أراها يومياً في عملي. المدقّق الداخلي لطالما اشتغل بالعيّنة. نأخذ ثلاثين أو خمسين حركة من مئة ألف، ونبني رأينا عليها. أدوات تحليل البيانات كسرت هذا القيد قبل سنوات، فصار بإمكاننا فحص المجتمع الإحصائي كاملاً. ما يضيفه الذكاء الاصطناعي فوق ذلك هو طبقتان جديدتان: تعلّم الآلة الذي يكتشف أنماطاً وشذوذاً لم نبرمجه للبحث عنها أصلاً، والنماذج اللغوية الكبيرة التي تفتح أمامنا البيانات غير المهيكلة، أي العقود والمراسلات والمحاضر والسياسات، وهي المساحة التي كانت شبه مغلقة أمام التحليل الآلي.

من هنا تأتي الفوائد الفعلية. الأولى في التخطيط: تقييم المخاطر لم يعد يعتمد على استبيان سنوي وانطباعات، بل على إشارات مستخرجة من البيانات نفسها، فيذهب جهد التدقيق إلى حيث الخطر فعلاً. الثانية هي التغطية المستمرة بدل الفحص الدوري. الـ continuous auditing لم يعد فكرة نظرية، ونستطيع اليوم بناء مؤشرات تلتقط الاستثناءات وقت حدوثها، فيتحوّل التدقيق من نظرة إلى الخلف إلى مرافقة للعمليات وهي تجري. أما الثالثة، وهي الأقلّ حديثاً عنها، فهي الوقت. جزء كبير من ساعات المدقّق يذهب في القراءة والتلخيص وصياغة الملاحظات وتنظيم أوراق العمل. النماذج اللغوية تختصر هذا الجزء بشكل ملموس، وتعيد إلى المدقّق أثمن ما لديه: التفكير والحكم المهني. وليس مصادفة أن المعايير العالمية للتدقيق الداخلي بنسختها الجديدة صارت تتحدّث صراحةً عن الموارد التكنولوجية كمسؤولية على رئيس التدقيق، لا كخيار.

لكن أريد أن أكون واضحة في نقطة واحدة، لأنني أعلّمها في كل دورة أقدّمها: الأداة تُشير، والمدقّق يُقرّر. الذكاء الاصطناعي يرفع جودة السؤال الذي نطرحه على البيانات، ويوسّع مساحة ما نراه، لكن التوقيع على التقرير يبقى توقيع المدقّق، ومعه المسؤولية كاملة. المؤسسات التي تفهم هذا التوازن هي التي تجني الفائدة فعلاً.

- ماذا نعني بـ«حوكمة الذكاء الاصطناعي» (AI Governance)، ولماذا أصبحت ضرورة أساسية لضمان الاستخدام الآمن والمسؤول والفعّال لهذه التقنيات داخل المؤسسات؟

حوكمة الذكاء الاصطناعي، بأبسط تعريف أستخدمه، هي الإجابة الموثّقة عن أربعة أسئلة: من يملك القرار باستخدام هذه التقنية، وضمن أي حدود، ومن يراقب النتائج، ومن يُسأل حين يقع الخطأ. إن لم تكن المؤسسة قادرة على الإجابة عن هذه الأسئلة الأربعة كتابةً، فهي لا تملك حوكمة، مهما كانت أدواتها متقدّمة.

وعملياً، أوّل ما أطلبه من أي مؤسسة هو شيء بسيط جداً: سجلّ بحالات استخدام الذكاء الاصطناعي عندها. أين يُستخدَم، ولأي غرض، وبأي بيانات، ومن المسؤول. أغلب المؤسسات تكتشف عند إعداد هذا السجلّ أنها تستخدم الذكاء الاصطناعي في أماكن لم تكن تعرفها.

لماذا صارت الحوكمة ضرورة؟ لأن الذكاء الاصطناعي دخل المؤسسات من الباب الخلفي قبل أن يدخل من الباب الأمامي. الموظفون يستخدمون أدوات عامة على هواتفهم وحواسيبهم قبل أن تُقرّ الإدارة أي سياسة. هذا ما نسمّيه shadow AI، وهو أخطر من أي مشروع رسمي لأنه غير مرئي. بيانات عملاء، أرقام مالية، مسوّدات عقود، كلها قد تُنسخ إلى أدوات لا تعرف المؤسسة أين تُخزَّن ولا كيف تُستخدَم.

هناك سبب ثانٍ يخصّ طبيعة التقنية نفسها. الأنظمة التقليدية إمّا تعمل أو تتعطّل. أما النماذج التوليدية فقد تعطيك جواباً واثقاً وخاطئاً في الوقت نفسه. وفي أغلب الحالات التي رأيتها، الآلة لم تُخطئ، نحن سألناها السؤال الناقص. الحوكمة هي التي تضع الإنسان المناسب في نقطة المراجعة المناسبة قبل أن يتحوّل الجواب إلى قرار.

والسبب الثالث تنظيمي. أطر مثل ISO/IEC 42001 وإطار NIST لإدارة مخاطر الذكاء الاصطناعي وقانون الاتحاد الأوروبي للذكاء الاصطناعي وضعت لغة مشتركة لما هو متوقّع من المؤسسات. وفي لبنان، حتى قبل أي تشريع خاص بالذكاء الاصطناعي، قانون المعاملات الإلكترونية والبيانات ذات الطابع الشخصي ينطبق أصلاً على البيانات التي تمرّ عبر هذه الأدوات. والشركات التي تتعامل مع شركاء دوليين أو مموّلين ستُسأل عن هذه الأمور عاجلاً أو آجلاً. من يبني حوكمته اليوم يبنيها على مهل، ومن ينتظر سيبنيها تحت الضغط.

وللتدقيق الداخلي هنا دور مزدوج أحرص على التنبيه إليه: أن يستخدم الذكاء الاصطناعي في عمله، وأن يقدّم في الوقت نفسه اطمئناناً مستقلاً لمجلس الإدارة بأن حوكمة الذكاء الاصطناعي في المؤسسة موجودة وتعمل. الدور الثاني هو الذي سيميّز وظائف التدقيق في السنوات المقبلة.

- كيف يتقاطع التدقيق الداخلي مع تدقيق تكنولوجيا المعلومات (IT Audit) في عصر الذكاء الاصطناعي، وما أبرز المخاطر الرقمية التي ينبغي على المدققين الانتباه إليها؟

انتقلت من التدقيق المالي إلى تدقيق تكنولوجيا المعلومات عام 2014، وكان الفصل بين المجالين وقتها واضحاً: فريق يفحص الأرقام وفريق يفحص الأنظمة. اليوم هذا الفصل لم يعد ممكناً. حين يكون النموذج هو من يصنّف المعاملات أو يقيّم مخاطر العميل أو يقترح القيد المحاسبي، فإن السؤال المالي والسؤال التقني صارا سؤالاً واحداً: هل يمكن الوثوق بهذا الناتج، ولماذا؟

الطريقة التي أشرح بها هذا التقاطع بسيطة. تدقيق الذكاء الاصطناعي يقوم على ثلاث طبقات: الضوابط العامة لتكنولوجيا المعلومات التي يعرفها مدقّق الـ IT جيداً، من إدارة الوصول وإدارة التغيير واستمرارية التشغيل، ثم حوكمة البيانات التي تغذّي النموذج، ثم حوكمة النموذج نفسه. الطبقة الأولى قديمة لكنها تكتسب معنى جديداً: إدارة التغيير مثلاً لم تعد تخصّ الكود فقط، بل تخصّ الـ prompts وإعدادات النموذج والبيانات التي دُرِّب عليها. وهنا يحتاج المدقّق الداخلي أن يفهم ما يكفي عن كيفية عمل النموذج ليطرح الأسئلة الصحيحة، ويحتاج مدقّق تكنولوجيا المعلومات أن يفهم أثر الأعمال ليعرف أي خطأ تقني يستحقّ الاهتمام. لهذا السبب تحديداً حصلت على شهادة AAIA من ISACA، لأن المهنة تحتاج إلى من يقف في المنطقة الوسطى بين الاثنين.

أما المخاطر التي أضعها في مقدّمة أي برنامج تدقيق، فأوّلها تسرّب البيانات عبر الأدوات: ما الذي يُرسَل إلى النموذج، وأين يُحفَظ، وهل يُستخدَم في تدريب نماذج أخرى. وثانيها الاعتماد الأعمى على المخرجات، أي غياب نقطة مراجعة بشرية حقيقية لا شكلية، خصوصاً مع ميل النماذج التوليدية إلى اختلاق معلومات بثقة تامة. وثالثها التحيّز في النموذج، وهو خطر يصعب رؤيته لأنه لا يظهر في معاملة واحدة بل في نمط عبر آلاف المعاملات. ورابعها تدهور أداء النموذج مع الوقت، أو ما يُعرف بـ model drift، حين تتغيّر البيانات الواقعية عمّا دُرِّب عليه النموذج ولا ينتبه أحد. وخامسها الهجمات الموجّهة إلى النموذج نفسه، مثل الـ prompt injection، حيث يُدسّ في مستند أو رسالة نصّ يغيّر سلوك الأداة دون علم مستخدمها. وسادسها الاعتماد على مزوّد خارجي واحد قد يغيّر شروطه أو نموذجه دون إشعار كافٍ.

وأضيف خطراً أخيراً غالباً ما يُنسى: قابلية التتبّع. إذا سألتك لجنة التدقيق بعد سنة لماذا اتُّخذ قرار معيّن بمساعدة نموذج ما، هل تستطيع إعادة بناء المسار؟ إن كان الجواب لا، فهذه ملاحظة تدقيق قبل أن تكون مسألة تقنية.

- كيف يغيّر الذكاء الاصطناعي مجال الاستشارات (AI Consultancy)، وما الدور الذي يمكن أن تؤديه الاستشارات المتخصصة في مساعدة الشركات على تبنّي حلول الذكاء الاصطناعي بطريقة مدروسة وفعّالة؟

أعتقد أن التغيير الأكبر هو انتقال القيمة من "المعرفة بالتقنية" إلى "المعرفة بالعمل". قبل سنوات كان المستشار يُدفَع له لأنه يعرف الأداة. اليوم الأداة متاحة للجميع، وما يحتاجه العميل هو من يفهم عملياته المالية والرقابية بعمق ويعرف أين يضع الذكاء الاصطناعي بحيث يضيف قيمة، وأين يبقيه بعيداً.

أسّست AIKIT LB على هذه الفكرة بالذات. أنا لست بائعة تقنية، أنا مدقّقة تعمل داخل المهنة، وأنقل إلى المحاسبين والمدقّقين ما جرّبته بنفسي على ملفات حقيقية. الفرق مهم، لأن الشركات في لبنان والمنطقة تعبت من العروض اللامعة التي لا تعرف كيف تُطبَّق على دفتر يومية حقيقي أو على ملف تدقيق حقيقي.

الدور الذي أراه للاستشارات المتخصصة له ثلاثة أوجه. الأول هو تحديد الأولويات، لأن أغلب المؤسسات تبدأ من السؤال الخاطئ: "أي أداة نشتري؟" بينما السؤال الصحيح هو "أي عملية تستنزف وقتنا وتتكرّر ويكون الخطأ فيها قابلاً للاكتشاف والتصحيح بأقلّ كلفة؟" هناك نبدأ. والثاني هو بناء الإطار الحوكمي بالتوازي مع أول حالة استخدام، لا بعدها، أي السياسة والصلاحيات ونقاط المراجعة، وهو ما يُهمَل غالباً في حماسة البداية ثم يُدفَع ثمنه لاحقاً. والثالث، وأراه الأهم، هو تمكين الفريق نفسه. الاستشارة الناجحة هي التي تجعل العميل أقلّ حاجة إليك مع الوقت، لأن فريقه صار يعرف كيف يسأل ويقيّم ويقرّر.

وسأضيف ملاحظة صريحة: التبنّي المدروس أبطأ في البداية وأسرع في النهاية. من يقفز إلى الأتمتة الكاملة في الشهر الأول غالباً ما يعود بعد ستة أشهر ليصلح ما كُسر.

- مع تعدّد أدوات ومنصات الذكاء الاصطناعي المتاحة في السوق، ما المعايير التي يجب على المؤسسة اعتمادها لاختيار الأداة الأنسب لاحتياجاتها، وكيف يمكن التأكد من أمانها وقدرتها على تحقيق قيمة فعلية؟

أستخدم مع عملائي تسلسلاً بسيطاً، وأبدأ فيه من حيث لا يبدأ أغلب الناس. المعيار الأول هو البيانات قبل الوظائف. قبل أن أنظر إلى ما تفعله الأداة، أسأل: أين تُخزَّن بياناتي، وهل تُستخدَم في تدريب النموذج، وهل يمكنني حذفها، وأي اختصاص قانوني ينطبق عليها. إن لم يكن الجواب مكتوباً وواضحاً في شروط الخدمة وفي اتفاقية معالجة البيانات، فالأداة مستبعدة مهما كانت قدراتها. وبحكم خلفيتي في التدقيق، أطلب أيضاً تقارير الطرف الثالث المستقلة للمزوّد، مثل تقرير SOC 2 أو شهادة ISO 27001، لأن وعود صفحة الأمان في الموقع لا تكفي. المعيار الثاني هو الملاءمة للحاجة الفعلية، لا للحاجة المتخيَّلة. أطلب دائماً تجربة الأداة على مهمّة حقيقية من عمل المؤسسة، بملف حقيقي ومُنقَّح من أي بيانات حساسة، لا على عرض توضيحي أعدّه المزوّد. الفارق بين الاثنين صادم أحياناً. المعيار الثالث هو الشفافية وقابلية التدقيق. هل تحتفظ الأداة بسجلّ لما جرى؟ هل يمكن تتبّع من طلب ماذا ومتى وما كان الناتج؟ بالنسبة إلى مدقّقة مثلي، الأداة التي لا تُنتج أثراً قابلاً للمراجعة لا تصلح لأي عملية ذات أثر مالي.

المعيار الرابع هو الضوابط المؤسسية: إدارة الصلاحيات، والتكامل مع أنظمة الهوية الموجودة، وإمكانية ضبط ما يُسمَح به وما لا يُسمَح. الحساب الفردي على أداة عامة يختلف جذرياً عن النسخة المؤسسية من الأداة نفسها، وكثيرون لا ينتبهون لهذا الفرق. والمعيار الخامس هو الكلفة الكاملة، لا سعر الاشتراك فقط: وقت التدريب، والتكامل، والمراجعة البشرية المطلوبة، وكلفة الخروج إن قرّرت المؤسسة تغيير المزوّد لاحقاً.

أما التأكد من القيمة الفعلية، فوصفتي بسيطة: حدّد مقياساً واحداً قبل البدء، ساعات موفَّرة أو أخطاء مكتشفة أو زمن إنجاز، وقِسه قبل الأداة وبعدها على الفترة نفسها. إن لم يتحرّك الرقم بعد ثلاثة أشهر، فالمشكلة إمّا في الأداة أو في طريقة استخدامها، وكلاهما يستحقّ المراجعة قبل تجديد الاشتراك.

في النهاية، الأداة الأنسب ليست الأقوى ولا الأشهر. هي التي يستطيع فريقك أن يفهم حدودها، ويثق بها ضمن تلك الحدود، ويتحمّل مسؤولية ما ينتج عنها.