L’intelligence artificielle peut aider une équipe comptable à repérer des opérations atypiques et à prioriser des contrôles, mais une alerte n’est pas une preuve de fraude. L’utilité d’un système dépend des données, des scénarios recherchés, des seuils, de la revue humaine et de son suivi dans le temps. Le bon objectif n’est donc pas de promettre une détection automatique, mais d’améliorer un dispositif de contrôle documenté.
Ce que l’IA peut apporter à la détection
Les contrôles traditionnels utilisent déjà des règles : montant supérieur à un seuil, fournisseur nouveau, paiement le week-end ou séquence de factures inhabituelle. Des méthodes statistiques ou d’apprentissage automatique peuvent compléter ces règles en recherchant des combinaisons moins évidentes, en comparant une opération à des habitudes passées ou en attribuant un score de risque à examiner.
Ces techniques peuvent être étudiées pour plusieurs tâches : classer les alertes, repérer des doublons, rapprocher des données issues de plusieurs systèmes ou détecter une rupture dans un comportement. Elles n’établissent pas l’intention frauduleuse. Une anomalie peut venir d’une erreur de saisie, d’une opération rare mais légitime, d’un changement d’activité ou d’une donnée incomplète.
Fraude, erreur et anomalie : trois notions différentes
Une anomalie est un écart par rapport à une référence. Une erreur est une inexactitude non intentionnelle. La fraude suppose un acte intentionnel. Le système peut signaler un écart ; l’enquête, les pièces, le contexte et les procédures internes servent ensuite à déterminer ce qu’il signifie. Confondre ces notions expose l’entreprise à accuser à tort une personne ou, à l’inverse, à ignorer un montage qui ressemble à une opération normale.
Les normes d’audit rappellent que la responsabilité première de prévenir et détecter la fraude relève de la gouvernance et de la direction, tandis que l’auditeur exerce ses responsabilités propres. Un outil d’analyse ne transfère pas ces rôles. Le document officiel de l’IAASB sur ISA 240 révisée souligne notamment le scepticisme professionnel, l’évaluation du risque et la réponse aux risques identifiés.
Une méthode de mise en œuvre en six étapes
1. Définir le scénario à contrôler
« Détecter la fraude » est trop large. Décrivez une situation observable : changement de coordonnées bancaires suivi d’un paiement, factures proches sous un seuil d’approbation, doublons probables, multiplication d’avoirs ou opérations effectuées avec une combinaison inhabituelle de droits. Pour chaque scénario, précisez la décision attendue : vérifier une pièce, suspendre un paiement selon la procédure existante ou transmettre le dossier à une personne habilitée.
2. Cartographier les données et les accès
Recensez les écritures, factures, référentiels fournisseurs, journaux d’accès et validations réellement disponibles. Documentez leur source, leur qualité, leur durée de conservation et les changements de logiciel. Limitez les accès aux personnes qui en ont besoin. Si des données personnelles sont utilisées, faites examiner la finalité, la base légale, la minimisation, la sécurité et les droits des personnes par les fonctions compétentes.
3. Construire une référence avant le modèle
Mesurez d’abord le fonctionnement du contrôle existant : nombre d’alertes, temps de revue, anomalies confirmées et cas manqués connus. Cette référence permet de comparer une règle simple, un modèle plus complexe et la procédure actuelle. Sans point de comparaison, une démonstration impressionnante ne dit pas si l’outil améliore réellement le travail de l’équipe.
4. Tester faux positifs et faux négatifs
Un faux positif mobilise du temps sur une opération légitime ; un faux négatif laisse passer un cas que le système devait signaler. Le seuil doit être choisi selon le coût et les conséquences de ces deux erreurs, pas seulement pour maximiser un taux global. Testez les résultats par période, entité et scénario pertinent, sans transformer ces segments en critères discriminatoires injustifiés.
Le cadre AI RMF du NIST propose de gouverner, cartographier, mesurer et gérer les risques des systèmes d’IA. Ce cadre volontaire ne certifie pas un outil et ne remplace pas les règles applicables, mais il aide à documenter les responsabilités, les mesures et les actions de maîtrise.
5. Organiser la revue humaine
Chaque alerte doit conduire à une procédure claire : quelles pièces consulter, qui peut contacter le fournisseur, qui décide d’une suspension, comment consigner l’analyse et comment escalader un soupçon. La personne qui examine le cas doit pouvoir comprendre les principaux facteurs du signal et ne pas être incitée à valider mécaniquement le score.
6. Surveiller le système en production
Les pratiques et les données changent : nouveau plan comptable, fusion d’entités, saisonnalité, évolution des fournisseurs ou modification des circuits d’approbation. Suivez la qualité des entrées, le volume d’alertes, les erreurs confirmées et les changements de comportement. La fiche de la CNIL sur l’utilisation d’un système d’IA en production recommande notamment une surveillance des données et des performances durant le cycle de vie.
Exemple : contrôler un changement de RIB fournisseur
Une entreprise souhaite réduire le risque de paiement vers un compte frauduleux après modification des coordonnées bancaires d’un fournisseur. Elle peut commencer par une règle qui signale tout changement suivi d’un paiement proche dans le temps. Un modèle peut ensuite prioriser les cas selon plusieurs facteurs, comme l’ancienneté du fournisseur, le montant ou l’écart avec les habitudes de paiement.
Le signal ne suffit pas. La procédure doit imposer une vérification par un canal de contact déjà connu, séparer la modification du référentiel et la validation du paiement, conserver la trace de la revue et prévoir une escalade. Cet exemple montre que l’outil complète des contrôles d’organisation ; il ne les remplace pas.
Les limites à anticiper
- Rareté des cas confirmés : les exemples de fraude sont souvent peu nombreux ou mal étiquetés, ce qui limite l’apprentissage et l’évaluation.
- Évolution des comportements : les auteurs adaptent leurs méthodes et les opérations légitimes changent aussi.
- Qualité des données : doublons, champs manquants et référentiels incohérents peuvent produire des alertes trompeuses.
- Opacité : un score difficile à expliquer complique la revue, la contestation et l’audit du dispositif.
- Dépendance fournisseur : l’hébergement, l’accès aux journaux, les mises à jour et la réversibilité doivent être évalués.
- Surveillance excessive : la collecte ne doit pas dépasser ce qui est justifié par le cas d’usage.
Aucun modèle ne garantit l’absence de fraude. Un dispositif robuste combine contrôles d’accès, séparation des tâches, rapprochements, procédures d’alerte, formation et analyse ciblée des données. Pour replacer la détection dans une démarche plus large, consultez l’article sur l’analyse des risques financiers avec l’IA.
Comment décider si un projet est prêt ?
- Le scénario, la décision et le responsable sont-ils définis ?
- Les données sont-elles accessibles, documentées et suffisamment fiables ?
- Les faux positifs et faux négatifs ont-ils été évalués sur des données distinctes ?
- Une procédure humaine traite-t-elle chaque alerte et les contestations ?
- Les accès, journaux, versions et changements sont-ils traçables ?
- Existe-t-il des critères d’arrêt ou de retour à la procédure précédente ?
Si plusieurs réponses sont négatives, commencez par un pilote limité ou renforcez les contrôles existants. Le choix d’un outil vient après le cadrage du risque et du processus.
Quelles compétences développer en comptabilité ?
Les équipes n’ont pas toutes besoin de construire un modèle, mais elles doivent savoir formuler un cas d’usage, questionner les données, lire une matrice d’erreurs, interpréter un score, documenter une revue et reconnaître les situations qui exigent une escalade. Une lecture autonome donne le vocabulaire ; elle ne remplace pas les exercices sur les processus, données et responsabilités propres à l’organisation.
La formation IA comptable iSoluce aborde les applications de l’IA dans les métiers comptables. Vous pouvez aussi consulter le catalogue des formations iSoluce et contacter l’équipe pour préciser les scénarios, le niveau des participants et les limites à intégrer au parcours.
La décision à retenir
L’IA apporte de la valeur lorsqu’elle oriente l’attention vers des cas mieux définis et que l’entreprise sait mesurer ses erreurs. Elle devient risquée lorsqu’un score est traité comme une preuve, que les données sont mal comprises ou que personne n’est responsable de la revue. Commencez par un scénario limité, comparez-le aux contrôles existants et n’élargissez le périmètre qu’après une validation documentée.
French