L'IA dans l'audit interne

L'audit interne donne au conseil d'administration et à la haute direction une assurance indépendante que les risques sont gérés et contrôle le travail. L'Institut des auditeurs internes (IIA) fixe les normes de la profession. Ses normes mondiales d’audit interne sont entrées en vigueur en janvier 2025, remplaçant le cadre précédent. Ils nécessitent un plan d’audit basé sur les risques, des preuves suffisantes et fiables et une protection des informations confidentielles, et tout cela s’applique lorsque l’IA est utilisée. L'audit continu est l'utilisation par l'audit interne de tests automatisés et récurrents sur les données du système. Les exemples incluent des contrôles quotidiens pour les paiements en double, pour les conflits où une personne occupe des fonctions qui devraient être séparées, ou pour les modifications des coordonnées bancaires du fournisseur suivies du paiement. Cela diffère de la surveillance continue, qui est la propre surveillance continue de la direction. Dans le cadre du modèle à trois lignes de l'IIA, la direction est responsable des contrôles et de la surveillance, tandis que l'audit interne fournit une assurance indépendante. Si l’audit interne crée un outil de contrôle sur lequel la direction s’appuie ensuite, elle devrait en céder la propriété, sinon elle risque de vérifier son propre travail. La planification basée sur les risques constitue la deuxième utilisation majeure. Au lieu d’élaborer le plan annuel principalement à partir d’entretiens, l’IA peut combiner des indicateurs de risque clés, des journaux d’incidents, des constatations antérieures, des résultats de tests de contrôle et des signaux extérieurs. Il classe les domaines à auditer et signale lorsqu’un risque évolue au cours de l’année. Le responsable de l'audit décide toujours du plan et doit être en mesure de l'expliquer. L'IA générative aide à rédiger des programmes d'audit, à résumer les politiques et à transformer les notes des documents de travail en projets de conclusions structurées autour de critères, de conditions, de causes et d'effets. Les risques sont des brouillons contenant des déclarations que les preuves ne soutiennent pas et des données confidentielles collées dans des outils publics. L’audit interne est également de plus en plus sollicité pour auditer l’IA elle-même, y compris la gouvernance des modèles, la qualité et les biais des données. L'IIA a publié un cadre d'audit de l'IA pour soutenir ce travail. Une idée fausse courante est que l’audit continu remplace le plan d’audit. C'est une contribution.