Les équipes d’audit externe utilisent déjà l’IA pour raccourcir les cycles de planification, trier les documents fournis par le client (PBC) et rédiger la documentation dans des délais serrés. Les exigences professionnelles demeurent inchangées. Selon les normes du PCAOB, l’équipe de mission est responsable de l’évaluation des risques, de la suffisance et du caractère approprié des éléments probants, ainsi que de la documentation étayant le rapport. Si les résultats générés par l’IA sont intégrés au flux de travail sans place définie dans cette chaîne de responsabilité, vous risquez de constituer un dossier probant qui semble complet mais qui ne pourra pas être défendu lors d’une inspection.
Les normes PCAOB AS 2110 (Identification et évaluation des risques d’anomalies significatives) et PCAOB AS 2301 (Réponses de l’auditeur aux risques d’anomalies significatives) constituent le cadre de référence pour déterminer où l’IA peut apporter son aide et où elle ne le peut pas. L’IA peut accélérer l’organisation des informations et faire émerger des pistes d’analyse. Elle ne peut toutefois pas déterminer quels risques sont significatifs, quels éléments probants sont suffisants, ni si les procédures apportent une réponse adéquate. Lorsqu’une équipe considère les conclusions de l’IA comme des jugements d’audit, les conséquences sont bien réelles : évaluation des risques non étayée, réponses inadaptées et documentation ne reflétant pas le raisonnement de l’auditeur.
L’IA trouve sa place dans le flux de travail en tant qu’outil de génération de données et de détection de modèles, et non comme source d’éléments probants. La norme AS 2110 impose à l’auditeur d’identifier et d’évaluer les risques en se fondant sur une compréhension de l’entreprise et de son environnement, y compris le contrôle interne. Si l’IA peut aider à acquérir cette compréhension plus rapidement, l’équipe de mission doit néanmoins expliciter le lien entre les faits, le risque et la réponse envisagée.
La norme AS 2301 exige que l’auditeur conçoive et mette en œuvre des procédures adaptées aux risques évalués et qu’il évalue si les éléments probants obtenus sont suffisants et appropriés. Si les résultats de l’IA sont traités comme des éléments probants, le dossier ne montrera ni la manière dont ces éléments ont été obtenus et vérifiés, ni les raisons de leur fiabilité. Or, ce sont précisément ces lacunes que les inspections et les revues internes de qualité visent à mettre en évidence.
Pour structurer la suite de la formation, cartographiez le processus d’audit, de l’évaluation des risques jusqu’aux éléments probants, et identifiez les étapes où la documentation doit attester d’une évaluation et d’une validation humaines.
Dans la phase de préparation de l’audit, l’IA excelle dans un nombre limité de tâches. Elle résume de grands volumes de textes uniformes, extrait des champs structurés de documents répétitifs, met en évidence des anomalies nécessitant un suivi et rédige une première version du contenu des dossiers de travail. Chacun de ces résultats n’est utile que si l’auditeur l’évalue, le corrobore et consigne cette évaluation dans les dossiers de travail.
La frontière est d’ordre opérationnel. L’IA rédige ; l’auditeur valide. L’IA signale ; l’auditeur approfondit. L’IA propose ; l’auditeur décide. Lorsque cette frontière s’estompe, l’équipe de mission cesse de documenter son raisonnement, car le récit généré par l’IA semble complet. Il en résulte un dossier de travail dont la lecture est fluide, mais qui ne démontre pas le respect des exigences de la norme AS 2110 en matière d’évaluation des risques ou de la norme AS 2301 concernant les réponses aux risques (éléments probants).
Classez les tâches courantes assistées par l’IA selon les résultats qu’elles produisent et déterminez si elles peuvent servir d’éléments probants d’audit au titre de la norme AS 2301 sans nécessiter de procédures supplémentaires.
Prenons le cas d’une entreprise de taille intermédiaire du secteur SaaS (logiciel en tant que service) présentant de multiples obligations de prestation, des modifications contractuelles et des clôtures trimestrielles systématiquement en retard. L’équipe est tentée d’utiliser l’IA pour accélérer la planification, rédiger des demandes d’information et pré-remplir les dossiers de travail relatifs au chiffre d’affaires. L’approche justifiable consiste à opter pour des procédures assistées par IA qui réduisent le temps consacré aux tâches administratives, tout en préservant le lien documenté par l’auditeur entre le risque identifié, la réponse apportée et les éléments probants recueillis.
La question n’est pas de savoir s’il faut utiliser l’IA, mais si elle est employée pour réduire les tâches à faible valeur ajoutée ou pour remplacer des étapes que les normes AS 2110 et AS 2301 imposent à l’auditeur d’exécuter et de documenter. Dans ce dernier cas, la mission échoue sur un point crucial qu’aucun outil ne peut prendre en charge à votre place : les dossiers de travail ne refléteront pas le jugement de l’auditeur.
Analysez des choix fondés sur des scénarios, où chaque décision doit être reliée aux normes AS 2110 ou AS 2301 et correspondre à un emplacement précis dans les dossiers de travail.