ארגון COSO מעדכן את דרישות המשילות והבקרה הארגונית בעידן הבינה המלאכותית
- 28 ביוני
- זמן קריאה 3 דקות
מאת: טל דולב
30.06.2026
הפרסום החדש של ארגון COSO, שכותרתו "Achieving Effective Internal Control Over Generative AI", מסמן רגע מכונן עבור הנהלות ודירקטוריונים. בעוד שבינה מלאכותית יוצרת (GenAI) חודרת לחדרי הישיבות במהירות חסרת תקדים, המודלים המסורתיים של משילות ארגונית מתקשים לעמוד בקצב. מסמך זה אינו רק מדריך טכני, אלא מפת דרכים אסטרטגית המגדירה מחדש כיצד ארגונים צריכים לנהל סיכונים בעידן של בינה מלאכותית הסתברותית.
המהפכה הנוכחית שונה מקודמותיה. בניגוד לאוטומציה מסורתית (RPA) הפועלת לפי חוקים קבועים (דטרמיניסטית), ה-GenAI פועלת על בסיס הסתברויות, מה שמאפשר לה להיות "טועה בביטחון עצמי מוחלט". COSO מציעה גישה המבוססת על יכולות (Capabilities) ולא על מוצרים, וממפה שמונה סוגי יכולות מרכזיים - מחילוץ נתונים ועד קבלת החלטות אוטונומית - לתוך חמשת רכיבי הבקרה הפנימית המוכרים. המטרה היא להפוך את ה-GenAI מסיכון "בלתי נשלט" לנכס מנוהל שניתן להסתמך עליו לצורך דיווח כספי, תפעול וציות.
מה זה COSO ולמה זה קריטי עבורכם?
לפני שנצלול לפרטי המסמך, חשוב להבין את משקלו של הגוף המנפיק אותו. ארגון COSO (The Committee of Sponsoring Organizations of the Treadway Commission) הוקם ב-1985 כיוזמה של חמישה איגודים מקצועיים מובילים בארה"ב, ביניהם איגוד מבקרי הפנים (IIA) ואיגוד רואי החשבון (AICPA).
המסגרת של COSO ל-Internal Control - Integrated Framework (ICIF) היא הסטנדרט העולמי המוביל לבקרה פנימית. היא משמשת בסיס לציות לחוק סרבנס-אוקסלי (SOX) ומעניקה לדירקטוריונים את הביטחון שהארגון פועל בצורה תקינה, אמינה ואתית. כאשר COSO מפרסמת הנחיות לבינה מלאכותית, היא למעשה קובעת את הסטנדרט שעל פיו ייבחנו מעתה בקרות ה-AI שלכם על ידי מבקרים פנימיים וחיצוניים כאחד.
הרעיון שמאחורי המסמך: הגישה ה"יכולתית"
האתגר המרכזי ש-COSO זיהתה הוא שבינה מלאכותית היא "מטרה נעה". כלים חדשים מופיעים מדי יום, ושמות המותגים משתנים ללא הרף. לכן, המסמך זונח את הדיון בכלים ספציפיים לטובת טקסונומיה מבוססת יכולות. הוא מחלק את השימוש ב-GenAI לשמונה קטגוריות:
חילוץ והזנת נתונים: פרשנות של נתונים לא מובנים (כמו מיילים או חוזים).
טרנספורמציה ואינטגרציה: ניקוי ונירמול נתונים.
עיבוד עסקאות אוטונומי: התאמות ספקים או תביעות ביטוח.
תזמור תהליכי עבודה (Agents): סוכני AI שמבצעים משימות רב-שלביות עם התערבות אנושית מינימלית.
שיפוט ויצירת תובנות: תחזיות שוק וניתוחי עומק.
ניטור מבוסס AI: זיהוי חריגות ושינויים באיכות בזמן אמת.
אחזור וסיכום ידע: הפיכת כמויות עצומות של רגולציה לסיכומים ברי-ביצוע.
שיתוף פעולה אדם-מכונה: כתיבת קוד או ניסוח תכתובות בסיוע AI.
חמשת עקרונות היסוד שכל מנהל חייב להכיר
המסמך מדגיש חמישה מאפיינים שמשנים את כללי המשחק של הבקרה:
בינה מלאכותית היא הסתברותית, לא דטרמיניסטית
בניגוד לתוכנות מסורתיות שבהן אותה פקודה תמיד תייצר את אותה תוצאה, GenAI פועלת על ניבוי סטטיסטי. המשמעות למנהלים: אי אפשר לסמוך על ה-Output כעובדה. כל תוצר של המערכת הוא "טענה" הדורשת אימות.
דינמיות מתמדת
מודלים של AI משתנים ברגע שספק חיצוני מעדכן גרסה או ככל שהנתונים משתנים (תופעה המכונה "Model Drift"). המשמעות למנהלים: הערכת סיכונים אינה יכולה להיות אירוע שנתי. היא חייבת להיות רציפה.
יכולת הרחבה (Scalability) - לטוב ולרע
ה-GenAI יכולה להפיץ איכות בשיא המהירות, אך היא יכולה גם לשכפל הטיות (Bias) ושגיאות בקנה מידה עצום. המשמעות למנהלים: טעות קטנה באלגוריתם יכולה להפוך לכשל מערכתי תוך דקות.
חסם כניסה נמוך ו"Shadow AI"
קל מאוד להכניס כלי AI לארגון ללא אישור מחלקת ה-IT. המשמעות למנהלים: המשילות חייבת להגדיר מי רשאי לפתח ומי רשאי להשתמש, תוך קביעת גבולות אתיים ברורים.
ה-AI כמבקר
למרות הסיכונים, ה-AI יכולה לשמש כלי עוצמתי לניטור עצמי, זיהוי חריגות ואימות נתונים בהיקפים שבעבר לא היו אפשריים.
יישום מפת הדרכים: 6 צעדים למנהלים ודירקטורים
COSO
מספקת תוכנית עבודה בת שישה שלבים להטמעת משילות GenAI:
הקמת מבנה משילות (AI Governance): הקמת ועדה חוצת-ארגונים (משפטי, ציות, IT, סיכונים) שתאשר שימושים ותגדיר אסטרטגיה.
מיפוי (Inventory) של מקרי בוחן: זיהוי כל השימושים הקיימים והמתוכננים, כולל איתור "Shadow AI".
הערכת סיכונים לפי רכיבי COSO: ניתוח סיכונים ספציפיים כמו הטיות, "הזיות", דליפת נתונים ותלות בספקים חיצוניים.
תכנון ומיפוי בקרות: הגדרת בקרות מונעות ומגלות, כגון ספי ביטחון (Confidence Thresholds) ואימות אנושי.
הטמעה ותקשורת: הכשרת העובדים לשימוש בטוח, פרסום גילויים נאותים והגדרת ערוצי דיווח על תקלות.
ניטור והסתגלות: מדידה רציפה של ביצועים מול מדדי סיכון (KRIs), ועדכון המודלים בהתאם לשינויים בשוק.
השפעה על הדירקטוריון: משילות בערפל?
הפרסום החדש מעלה את הרף עבור חברי דירקטוריון. מעתה, אחריות הדירקטוריון אינה מסתכמת רק באישור השקעות בטכנולוגיה, אלא בפיקוח פעיל על "סביבת הבקרה" של ה-AI. עליכם לשאול:
האם יש בעלים (Owner) מוגדר לכל מודל AI?
האם ה-Outputs של המערכת משמשים כבסיס להחלטות קריטיות מבלי שבוצעה להם בדיקה אנושית (Human-in-the-loop)?
כיצד הארגון מנהל את הסיכון של צד שלישי כאשר ה-AI מוטמעת בתוך מוצרי מדף?
סיכום: מסיכון לנכס
המסמך של COSO מבהיר כי בינה מלאכותית יוצרת היא כבר לא "העתיד", אלא המציאות הנוכחית בחדרי ההנהלה. ארגונים שישכילו לאמץ את העקרונות הללו לא רק ימנעו כשלים רגולטוריים ומוניטין, אלא יבנו מערכת שקופה ואמינה שתאפשר להם להפיק את המקסימום מהטכנולוגיה. המשילות הארגונית צריכה להשתנות - לא כדי לעצור את החדשנות, אלא כדי לאפשר לה לקרות על קרקע בטוחה.
תגובות