L'IA en audit : où elle aide et où elle crée des risques

L'intelligence artificielle fait de plus en plus partie du travail d'audit, mais pas toujours de la manière spectaculaire que suggèrent les manchettes. Dans beaucoup de cabinets, l'IA apparaît d'abord dans la recherche, le traitement de documents, l'analyse de données, la rédaction ou le soutien administratif. Avec le temps, la même technologie peut s'impliquer davantage dans la planification, l'évaluation des risques et les procédures d'audit.

La question utile pour les équipes d'audit n'est pas de savoir si l'IA a sa place en audit. C'est de savoir où l'IA améliore réellement le travail et où elle crée des risques qui exigent des contrôles plus solides.

Où l'IA peut aider les équipes d'audit

1. Traiter de grands volumes d'information

Les audits font intervenir des registres financiers, des contrats, des écritures comptables, des pièces justificatives, des politiques et d'autres renseignements qu'il peut être difficile d'examiner manuellement à grande échelle.

Des outils automatisés peuvent aider les auditeurs à organiser de vastes ensembles de données, à repérer des tendances, à extraire de l'information et à signaler des éléments inhabituels aux fins d'enquête approfondie. L'International Auditing and Assurance Standards Board, ou IAASB, reconnaît l'intelligence artificielle, l'analyse de données et d'autres outils et techniques automatisés comme des technologies pouvant être utilisées dans le travail d'audit.

Cela peut aider l'auditeur à concentrer son attention. Cela ne signifie pas que chaque élément signalé par le système est une erreur, ni que les éléments non signalés sont automatiquement sûrs.

2. Soutenir la planification et l'identification des risques

L'IA peut aussi appuyer le travail d'audit à ses débuts. Un outil pourrait aider à résumer la documentation de l'exercice précédent, à comparer des renseignements financiers, à organiser des facteurs de risque ou à repérer des opérations qui méritent un examen plus poussé.

Le Public Company Accounting Oversight Board, ou PCAOB, a signalé en 2024 que les cabinets d'audit qu'il a contactés utilisaient l'IA générative principalement pour des activités administratives et de recherche, tandis que plusieurs exploraient aussi son potentiel dans la planification et la réalisation des audits.

Utilisée à bon escient, l'IA peut aider une équipe de mission à faire émerger plus rapidement des questions. L'auditeur doit tout de même décider quels risques importent et quelles procédures sont appropriées.

3. Réduire le travail répétitif

Toutes les utilisations utiles de l'IA n'ont pas à porter un jugement d'audit.

Les équipes peuvent utiliser des outils approuvés pour résumer des documents non sensibles, rédiger des explications internes, classer des documents, préparer des notes de première ébauche ou consulter les directives du cabinet. Retirer une partie du travail répétitif peut donner aux professionnels plus de temps pour les domaines exigeant du jugement, des discussions avec le client et des enquêtes.

C'est souvent un point de départ sensé parce qu'une personne peut vérifier le résultat avant qu'il ne touche l'audit.

Où l'IA crée des risques

1. La dépendance excessive envers la technologie

L'un des risques les plus évidents est de présumer qu'un résultat généré par la technologie est correct parce que le système paraît sophistiqué.

L'IAASB a publié des directives précises sur le risque de dépendance excessive envers la technologie. Les auditeurs doivent toujours faire preuve de jugement professionnel et d'esprit critique professionnel lorsqu'ils évaluent l'information produite par des outils automatisés.

Cela devient particulièrement important avec l'IA générative, qui peut produire un langage assuré même lorsque la réponse sous-jacente est incomplète ou incorrecte.

L'International Ethics Standards Board for Accountants, ou IESBA, a aussi souligné le biais d'automatisation, soit la tendance à favoriser les résultats générés par la technologie même lorsque d'autres renseignements les remettent en question. Ses directives technologiques mettent l'accent sur la compréhension des limites, des hypothèses, de la qualité des données et du niveau de confiance approprié à accorder aux résultats technologiques.

2. Une preuve d'audit faible ou peu fiable

Les résultats de l'IA ne constituent pas automatiquement une preuve d'audit.

Si un outil repère une exception, produit une analyse ou résume de l'information, l'auditeur doit tout de même évaluer si l'information sous-jacente est pertinente et fiable et si la procédure atteint son objectif d'audit.

Pour les audits de sociétés ouvertes américaines, les modifications du PCAOB visant l'analyse assistée par la technologie entrent en vigueur pour les exercices ouverts à compter du 15 décembre 2025. Ces modifications visent à réduire le risque que les auditeurs utilisent des procédures assistées par la technologie sans obtenir d'éléments probants suffisants et appropriés.

Un résultat d'IA d'apparence précise peut tout de même reposer sur des données sources faibles ou une procédure inappropriée.

3. La confidentialité du client et la sécurité des données

Les équipes d'audit manipulent régulièrement des renseignements confidentiels de nature financière, opérationnelle, ainsi que des renseignements sur les employés et les clients. Téléverser cette information dans un outil d'IA peut créer des préoccupations en matière de confidentialité et de sécurité si le produit, le compte ou le flux de travail n'a pas été approuvé.

Les consultations du PCAOB sur l'IA générative ont noté que les cabinets reconnaissaient la nécessité d'une supervision solide pour gérer les risques, y compris la confidentialité et la sécurité des données.

Avant d'utiliser l'IA avec des renseignements de mission, les équipes devraient comprendre quelles données l'outil reçoit, si elles sont conservées, qui peut y accéder, si elles servent à améliorer le modèle et quels tiers pourraient les traiter.

Une fonctionnalité d'IA pratique ne devrait pas contourner les exigences habituelles du cabinet en matière de confidentialité et d'examen des fournisseurs.

4. Des systèmes opaques et des explications difficiles

Certains outils d'IA peuvent produire des résultats sans qu'il soit facile pour un auditeur de comprendre comment le résultat a été obtenu.

Cela crée un problème lorsque l'équipe de mission doit contester le résultat, documenter son utilisation ou expliquer pourquoi une conclusion était raisonnable.

Les travaux technologiques actuels de l'IAASB examinent précisément les technologies complexes et opaques comme les outils habilités par l'IA dans le cadre de la gestion de la qualité de l'audit. Ces travaux étudient comment les technologies émergentes interagissent avec les normes de gestion de la qualité et les responsabilités liées aux missions.

Les cabinets d'audit devraient donc voir au-delà du simple fait qu'un outil fonctionne pendant une démonstration. Ils doivent comprendre comment son utilisation s'intègre au système de gestion de la qualité du cabinet.

Une façon pratique d'introduire l'IA dans un audit

Commencez par un cas d'usage défini plutôt que de donner à une équipe une permission générale d'utiliser l'IA.

Pour chaque utilisation proposée, cernez la tâche, l'information que l'outil reçoit, le résultat attendu, qui l'examine, ce qui pourrait mal tourner et quelle preuve doit être conservée. Déterminez si le résultat est un soutien administratif ou s'il touche une procédure ou une conclusion d'audit.

Les utilisations à risque plus élevé devraient faire l'objet de plus de tests, de documentation, de supervision et d'examen technique.

Les équipes d'audit devraient aussi savoir quand ne pas utiliser l'IA. Si l'outil ne peut pas protéger les données en cause, si son résultat ne peut pas être vérifié adéquatement ou si l'équipe ne comprend pas assez bien ses limites pour s'y fier, une procédure manuelle ou plus établie peut être plus appropriée.

L'IA peut rendre le travail d'audit plus rapide et plus analytique, mais l'efficacité n'est pas synonyme de qualité d'audit. Les meilleurs cas d'usage sont ceux où la technologie aide les auditeurs à traiter l'information ou à concentrer leur attention, alors que l'esprit critique professionnel, l'évaluation de la preuve, la confidentialité et le jugement final demeurent entre les mains de l'équipe de mission.

Le risque de confidentialité dans le travail d'audit a un problème de synchronisation en son cœur. Dès qu'un auditeur colle les écritures comptables d'un client, les clauses d'un contrat ou des dossiers d'employés dans un outil d'IA et soumet la requête, cette information a déjà échappé au contrôle du cabinet, et aucune politique de fournisseur ni examen a posteriori ne peut la récupérer. C'est le principe sur lequel Sanitized AI est bâti : le contrôle doit agir avant la soumission de la requête, en interceptant et en caviardant les renseignements confidentiels de mission afin qu'une fonctionnalité d'IA pratique ne contourne jamais discrètement les exigences du cabinet en matière de confidentialité et d'examen des fournisseurs.

Ce trimestre, prenez un cas d'usage d'IA approuvé qui touche des renseignements de mission et cartographiez précisément quelles données l'outil reçoit avant l'envoi de la requête, puis décidez ce qui ne devrait jamais l'atteindre en premier lieu. Si vous souhaitez voir comment ce contrôle avant soumission fonctionne face à de véritables flux de travail d'audit, demandez une démonstration.