Intern kontroll och AI

Kontrollplanen skrevs innan stödet fanns. Den nämner det inte.

Intern kontroll är de ordningar som gör att verksamheten går att lita på: att en uppgift utförs av någon med rätt till den, att utfallet går att följa, och att en avvikelse upptäcks av någon annan än den som orsakade den. Ansvaret ligger på styrelsen eller nämnden, och det ändras inte av att ett arbetsmoment utförs av en modell.

Det som ändras är underlaget kontrollen vilar på. En kontroll prövar en handling mot något jämförbart, och ett utfall som inte går att återskapa har ingenting att jämföras med.

Kontrollen prövas alltså inte på om ni använder AI väl. Den prövas på om ni kan visa vad som hände. Skillnaden märks först när någon utifrån frågar, och då är svaret redan bestämt av hur lösningen byggdes.

Ett underlag ni inte kan återskapa är inte ett svagt underlag. Det är ett underlag som inte går att granska, och en kontrollmiljö där en del inte går att granska är otillräcklig i den delen.

Så här går det fel

Vid en granskning dras ett stickprov. I flera ärenden har handläggaren byggt sitt förslag på en sammanställning som stödet tog fram.

Sammanställningen finns inte sparad, bara det färdiga förslaget. Granskaren ser att ett beslut fattades och av vem, men inte vad personen hade framför sig. Ingen påstår att besluten blev felaktiga. Rapporten skriver att den interna kontrollen inte kan bedömas i den delen, och det är den formuleringen som går vidare.

Vad det innebär juridiskt

Skyldigheten att se till att den interna kontrollen är tillräcklig är författningsreglerad och går inte att lägga på en leverantör. I en kommun ligger den på varje nämnd enligt kommunallagen 6 kap. 6 §, och revisorerna granskar enligt 12 kap. 1 § om den interna kontrollen inom nämnderna är tillräcklig. I ett bolag ska styrelsen enligt aktiebolagslagen 8 kap. 4 § se till att organisationen är utformad så att förhållandena kontrolleras på ett betryggande sätt. En granskning prövar det underlag som kan visas. Kan ett utfall som påverkat ett beslut inte återskapas saknar granskningen det den ska pröva, och bristen redovisas oavsett om något blev fel.

Det här måste någon bestämma

Att ett AI-stött moment behandlas som ett kontrollmoment och skrivs in i samma plan som era övriga: vad som kontrolleras, av vem, hur ofta, och vad som rapporteras uppåt.

Vilka beslut som inte får vila på ett utfall som inte går att återskapa. Skriv det som en gräns och inte som en ambition.

Vem som utför kontrollen, och att det inte är den som äger lösningen. En kontroll utförd av den som svarar för utfallet är ingen kontroll. Och vad som når styrelsen och hur ofta, samt att en utebliven avvikelse redovisas som ett utfall och inte som tystnad.