L’intelligence artificielle en audit est entrée par deux portes simultanées : celle des outils de l’auditeur, et celle des systèmes de l’entreprise auditée. La première change la manière de travailler ; la seconde change ce qu’il faut contrôler. Les deux mouvements posent la même question de fond : jusqu’où une machine peut-elle intervenir dans une mission dont la loi confie la responsabilité à une personne physique nommément désignée ? Voici l’état des usages, le cadre normatif qui s’applique en France, et les précautions qu’un cabinet doit prendre avant de déployer quoi que ce soit.
En bref
- La NEP 315 cite expressément les logiciels d’intelligence artificielle parmi les outils et techniques automatisés d’analyse de données.
- Usage le plus mature : le scoring de risque appliqué à l’intégralité des écritures, en remplacement d’une sélection par sondage.
- Trois exigences non négociables : explicabilité, traçabilité, confidentialité.
- La responsabilité de l’opinion reste entière et personnelle : aucun outil ne signe un rapport.
- L’IA dans les systèmes du client crée de nouveaux risques à auditer : contrôles automatisés, estimations produites par des modèles.
Ce que la norme prévoit déjà
Contrairement à une idée répandue, l’audit français n’a pas attendu pour encadrer le sujet. La NEP 315 définit les outils et techniques automatisés comme les outils utilisés par l’auditeur pour mettre en œuvre ses procédures et permettant l’analyse de données — elle mentionne explicitement les logiciels d’intelligence artificielle, les outils analytiques et les robots — en les distinguant des plateformes servant à documenter les travaux. Les dispositions révisées de la NEP 315 et de la NEP 330 renforcent par ailleurs les exigences de compréhension des systèmes d’information : flux de données, contrôles automatisés, gouvernance informatique.
La profession s’est saisie du sujet
La Compagnie nationale des commissaires aux comptes accompagne cette transformation, notamment à travers ses journées consacrées à la confiance numérique, qui réunissent la profession autour de l’impact de l’IA sur les pratiques d’audit et des conditions de son déploiement en cabinet, et à travers son concours étudiant dédié à l’intelligence artificielle appliquée à l’audit. Le cadre de réflexion est donc collectif, et non laissé à l’appréciation isolée de chaque structure.
Usage 1 — Le scoring de risque sur la population entière
C’est l’application la plus aboutie. Plutôt que de sélectionner quelques dizaines d’écritures, l’outil ingère l’intégralité du grand livre et attribue à chaque transaction un score de risque, à partir d’un ensemble de méthodes statistiques et d’apprentissage — analyses de distribution, rapprochements approximatifs, détection de flux rares. L’auditeur concentre alors ses diligences sur les écritures les mieux classées. Le passage du sondage à la couverture intégrale est le changement le plus tangible apporté par ces technologies, et il s’appuie directement sur le fichier des écritures comptables.
Usage 2 — La lecture assistée de documents
Extraction de clauses chiffrées dans les contrats, classement automatique de pièces, comparaison de versions d’états financiers, rapprochement de documents avec une liste de référence. Ces fonctions se sont diffusées dans les outils d’extraction documentaire. Elles font gagner un temps considérable sur des tâches à faible valeur ajoutée, à condition que le résultat soit systématiquement revu : une extraction plausible n’est pas une extraction exacte.
Usage 3 — L’assistance rédactionnelle
Synthèse de notes, reformulation de conclusions, préparation de questionnaires. C’est l’usage le plus banalisé et le plus risqué, parce qu’il touche directement aux documents de travail. Une conclusion rédigée par un outil et validée sans examen critique reste une conclusion non fondée. Le texte doit exprimer le jugement de celui qui l’endosse, ce qui suppose qu’il ait été formé sur les éléments probants du dossier, et non sur la vraisemblance statistique d’une formulation.
Les trois exigences incontournables
| Exigence | Ce qu’elle impose | Question à poser à l’éditeur |
|---|---|---|
| Explicabilité | Comprendre pourquoi un élément a été signalé | Le motif de sélection est-il restitué en clair ? |
| Traçabilité | Rejouer et documenter le traitement | La population, les paramètres et la version sont-ils conservés ? |
| Confidentialité | Protéger le secret professionnel | Où sont hébergées les données, et servent-elles à entraîner des modèles ? |
Tableau donné à titre indicatif, sous réserve de la réglementation en vigueur.
Pourquoi l’explicabilité n’est pas négociable
Un dossier d’audit doit permettre de comprendre la nature, le calendrier et l’étendue des procédures mises en œuvre. Un outil qui signalerait des écritures sans jamais indiquer pourquoi placerait l’auditeur dans une situation intenable : il ne pourrait ni justifier sa sélection, ni démontrer que les zones non retenues l’ont été à bon escient. C’est précisément pour cette raison que les solutions destinées à l’audit restituent les motifs de sélection en langage clair, plutôt qu’un score isolé.
Le risque d’invention et la nécessité du contrôle humain
Les modèles de langage produisent des réponses vraisemblables, ce qui n’est pas la même chose que des réponses exactes. Ils peuvent citer une norme inexistante, inventer un montant cohérent avec son contexte ou résumer un contrat en omettant la clause décisive. Dans un métier où l’exactitude engage une responsabilité, cela impose une règle simple : aucune sortie d’un outil génératif ne doit entrer dans un dossier sans avoir été vérifiée contre la source. Le gain de temps se situe dans la préparation, jamais dans la validation.
La confidentialité, sujet de fond pour un cabinet
Le commissaire aux comptes est tenu au secret professionnel. Soumettre à un service tiers des comptes non publiés, des contrats ou des données de paie constitue un transfert d’informations sensibles qui doit être examiné avant tout usage : localisation de l’hébergement, chiffrement, sous-traitants, durée de conservation, et surtout usage éventuel des données pour entraîner des modèles. Un outil gratuit dont le modèle économique repose sur les données traitées est, de ce point de vue, à écarter.
La responsabilité ne se délègue pas
C’est le point cardinal. La mission légale est confiée à un professionnel identifié, qui signe et engage sa responsabilité. Aucune norme n’admet qu’une conclusion soit imputée à un outil, et aucun outil ne dispose de la capacité juridique d’émettre une opinion. L’intelligence artificielle modifie la façon d’obtenir des éléments probants ; elle ne modifie ni les diligences requises, ni la personne qui en répond.
L’autre versant : l’IA chez l’entité auditée
Le sujet est au moins aussi important, et beaucoup moins traité. Les entreprises intègrent des modèles dans leurs propres processus : scoring de crédit client, prévision de la demande alimentant la valorisation des stocks, détection d’anomalies dans les paiements, estimation de provisions. Cela crée des risques nouveaux pour l’auditeur : sur quelles données le modèle a-t-il été calibré, qui valide ses résultats, existe-t-il un contrôle humain, comment les écarts sont-ils traités ? Ces questions relèvent de l’appréciation du contrôle interne et de l’audit des systèmes d’information.
Les estimations produites par un modèle
Lorsqu’une estimation comptable — dépréciation de créances, provision, valorisation — résulte d’un traitement algorithmique, l’auditeur doit apprécier le caractère raisonnable des hypothèses comme il le ferait pour tout autre calcul. La difficulté tient à l’opacité : un modèle non documenté par l’entreprise est, en pratique, une estimation dont les hypothèses ne sont pas justifiées. Cela peut conduire à des travaux complémentaires substantiels, voire à une limitation dans la formation de l’opinion.
Un cadre réglementaire européen en construction
Le règlement européen sur l’intelligence artificielle instaure une approche par niveaux de risque, avec des obligations qui se déploient progressivement selon les catégories de systèmes concernés. Pour un cabinet comme pour une entreprise, la conséquence pratique est identique : il devient nécessaire de savoir quels systèmes d’IA sont utilisés, à quelle fin, et avec quel niveau de supervision humaine. Tenir un inventaire de ces usages est un réflexe de gouvernance qui deviendra rapidement un attendu.
Ce qui change vraiment dans les cabinets
Trois évolutions se dessinent. Le temps se déplace de l’exécution vers l’analyse et le jugement. Les compétences évoluent : comprendre un flux de données et interroger un jeu d’écritures devient aussi utile que maîtriser une technique comptable. Enfin, la documentation gagne en importance, puisqu’il faut désormais expliquer non seulement ce qui a été testé, mais comment l’outil a désigné ce qui devait l’être. La loi de Benford illustre bien cette exigence : un test statistique sans documentation de ses conditions d’application n’a aucune valeur probante.
Ce que l’entreprise auditée peut anticiper
Trois réflexes suffisent à aborder le sujet sans le subir. Recenser les traitements automatisés qui influent sur les comptes, en distinguant les règles paramétrées des modèles apprenants. Documenter qui valide leurs résultats et selon quels critères : un contrôle humain non tracé équivaut, pour un tiers, à une absence de contrôle. Conserver la capacité d’expliquer un chiffre sans dépendre de l’outil qui l’a produit. Une comptabilité tenue au fil de l’eau avec un cabinet d’expertise comptable et des justificatifs dématérialisés et indexés restent, de ce point de vue, la meilleure protection : ils permettent de remonter à la pièce, quel que soit le traitement intermédiaire.
Questions fréquentes
L’intelligence artificielle peut-elle certifier des comptes ?
Non. La certification est un acte juridique accompli par un professionnel désigné, qui engage sa responsabilité. Les outils, quels qu’ils soient, contribuent à l’obtention d’éléments probants ; ils ne formulent pas d’opinion.
Les normes françaises encadrent-elles ces outils ?
Oui. La NEP 315 cite les logiciels d’intelligence artificielle parmi les outils et techniques automatisés permettant l’analyse de données, et les distingue des plateformes de documentation. Elle exige par ailleurs une compréhension approfondie du système d’information de l’entité.
Peut-on utiliser un assistant génératif grand public en mission ?
C’est fortement déconseillé dès lors que des données clients sont en jeu : le secret professionnel impose de savoir où vont les informations et si elles servent à entraîner des modèles. À défaut de garanties contractuelles claires, l’usage doit être exclu.
Comment documenter un test réalisé avec un outil d’IA ?
En conservant la population traitée, les paramètres et la version de l’outil, les critères ayant conduit à signaler les éléments retenus, les diligences complémentaires menées et les conclusions. Un résultat non reproductible n’est pas documentable.
Faut-il auditer l’IA utilisée par l’entreprise cliente ?
Il faut en tenir compte dès lors qu’elle influe sur l’information financière : contrôles automatisés, estimations comptables, détection d’anomalies. L’auditeur apprécie la gouvernance du modèle, la qualité des données et l’existence d’une supervision humaine.
En résumé
L’intelligence artificielle est déjà nommée par les normes françaises d’exercice professionnel, et son usage le plus mature — le scoring de risque appliqué à l’intégralité des écritures — fait passer l’audit du sondage à la couverture complète. Trois exigences en conditionnent l’emploi : expliquer pourquoi un élément a été signalé, tracer le traitement, protéger les données. La responsabilité, elle, ne se délègue à aucun outil. Le cabinet Paris Ouest Audit intègre ces technologies dans ses missions avec ces précautions ; découvrez nos expertises.