IA et audit : cas d’usage, méthode et limites

Dans un processus d’audit, l’intelligence artificielle peut aider à classer des documents, repérer des transactions atypiques ou préparer des rapprochements. Elle ne remplace ni la définition du risque, ni l’évaluation des éléments probants, ni le jugement professionnel de l’auditeur. Les cas d’usage utiles sont donc ceux dont le périmètre, les données, les contrôles et la validation humaine sont explicitement documentés.

Ce que l’IA change réellement dans un audit

Le terme « IA » couvre des techniques différentes : extraction d’informations, apprentissage automatique, traitement du langage ou IA générative. Leur contribution dépend de la tâche. Un modèle peut accélérer un tri ou faire apparaître des éléments à examiner, mais sa sortie reste une information intermédiaire. Elle peut être incomplète, erronée ou sensible aux données et aux paramètres employés.

L’IAASB présente la technologie comme un domaine à intégrer aux travaux d’audit et d’assurance lorsqu’elle est appropriée, tout en faisant évoluer les normes et les ressources associées. Cette position ne signifie pas qu’un outil rend automatiquement un audit plus fiable. La qualité dépend toujours des compétences, de la gouvernance, de la documentation et de l’esprit critique mobilisés.

Trois cas d’usage à instruire, sans résultats inventés

1. Prioriser des transactions atypiques

Un système peut attribuer un score à des écritures à partir de critères définis : montant inhabituel, horaire, combinaison de comptes, doublon présumé ou écart avec un historique. Le gain potentiel se situe dans la priorisation d’un volume important, pas dans la preuve d’une fraude. Une anomalie peut être légitime et une opération irrégulière peut rester proche des habitudes.

Contrôles à prévoir : documenter les données couvertes, tester les faux positifs et faux négatifs sur un échantillon pertinent, conserver la trace des règles ou versions du modèle, puis faire examiner les alertes par une personne compétente. Pour approfondir ce cas, l’article sur l’accélération des vérifications d’audit doit être lu comme un complément opérationnel, non comme une promesse de contrôle permanent.

2. Extraire et rapprocher des informations

La reconnaissance de documents et le traitement du langage peuvent relever une date, un montant, une clause ou une référence dans des factures, contrats et justificatifs, puis proposer un rapprochement avec une écriture. Ce cas peut réduire une partie des manipulations répétitives. Il exige cependant une validation lorsque les formats varient, que le document est de mauvaise qualité ou que la clause doit être interprétée dans son contexte.

Contrôles à prévoir : définir les champs attendus, mesurer la qualité par type de document, signaler les valeurs incertaines, empêcher l’écrasement silencieux d’une donnée source et conserver un lien vers la pièce originale. Le seuil d’acceptation doit dépendre du risque de la tâche, pas d’une confiance générale dans l’outil.

3. Préparer une synthèse de dossier

Une IA générative peut proposer un résumé de notes, relever des thèmes récurrents ou préparer une liste de questions. Elle peut aussi omettre une exception, confondre deux entités ou produire une justification absente des sources. La synthèse ne doit donc pas devenir un élément probant autonome.

Contrôles à prévoir : limiter le corpus aux documents autorisés, exiger des renvois vérifiables vers les sources, interdire l’ajout de faits non présents, relire les passages déterminants et encadrer la conservation des données. L’auditeur reste responsable de la portée de son examen et de ses conclusions.

Méthode de cadrage avant un pilote

1. Partir d’une tâche et d’un risque. Décrivez l’opération actuelle, l’erreur redoutée, le volume et la décision soutenue.
2. Qualifier les données. Identifiez leur origine, leur qualité, les données personnelles ou confidentielles et les droits d’accès.
3. Définir une référence. Constituez des exemples vérifiés permettant de comparer la sortie de l’outil à une appréciation humaine documentée.
4. Fixer les règles d’intervention. Précisez qui examine une alerte, qui peut corriger une donnée et dans quels cas l’outil ne doit pas être utilisé.
5. Tester les limites. Incluez des documents difficiles, des exceptions métier et des cas susceptibles de produire des erreurs discrètes.
6. Décider sur des critères observables. Évaluez la qualité des résultats, le temps complet incluant la revue, la traçabilité, la sécurité et le coût de maintenance.

Gouvernance, réglementation et supervision humaine

Le cadre applicable dépend du système, de son usage et des personnes concernées. Le règlement européen sur l’intelligence artificielle prévoit notamment, pour les systèmes à haut risque relevant de son champ, des exigences portant sur la gestion des risques, les données, la documentation, la journalisation, la transparence et la supervision humaine. Il ne faut pas en déduire que tout outil employé en audit reçoit automatiquement cette qualification : l’analyse doit être menée pour le cas réel et articulée avec les autres règles applicables.

Sur le plan professionnel, l’esprit critique ne peut pas être délégué. Les informations produites par un outil doivent être rapprochées des sources et appréciées au regard des assertions, du risque et du seuil retenu. La personne qui supervise doit avoir les compétences, l’autorité et le temps nécessaires pour contester ou écarter une sortie.

Les limites qui doivent arrêter ou réorienter le projet

• les données de référence sont trop pauvres, instables ou non autorisées pour l’usage envisagé ;
• l’équipe ne peut pas expliquer quelles sources soutiennent une alerte ou une synthèse déterminante ;
• aucune personne n’est clairement responsable de la validation et du traitement des exceptions ;
• le fournisseur ne permet pas d’évaluer la sécurité, la conservation, les versions ou les changements importants ;
• le temps de correction et de revue annule l’intérêt observé pendant le pilote.

Développer les compétences avant de généraliser

Lire des exemples aide à identifier des possibilités, mais ne suffit pas pour concevoir un test, interroger la qualité des données, choisir des contrôles et documenter une décision. La formation IA dans le conseil et l’audit présente le parcours actuellement proposé par iSoluce ; son programme reste la référence pour vérifier les objectifs et modalités, sans présumer d’un résultat dans une organisation donnée.

Il est également possible d’examiner les outils et technologies d’intégration de l’IA dans le conseil, de comparer les parcours dans le catalogue des formations digitales ou de présenter un besoin à iSoluce. Le bon point de départ n’est pas « automatiser l’audit », mais une tâche circonscrite, un risque explicite et un protocole de validation proportionné.