Impact des technologies sur la documentation de l'audit

Le conseil des normes internationales d'audit et d'assurance de l'IFAC propose un guide pour permettre aux auditeurs de comprendre comment l'utilisation des technologies peut affecter la documentation de l'audit.

Disponible en anglais, le document n'a aucune valeur normative et est simplement fourni à titre d'information pour aider les auditeurs.

Il est diffusé parce que les procédures d'audit mises en ½uvre peuvent être manuelles ou automatisées ou résulter d'une combinaison entre les deux.

Documentation de l'audit : l'absence de distinction selon les procédures manuelles ou technologiques utilisées

La norme NEP 230 qui reprend la norme ISA 230, objet de la réflexion de l'IFAC, ne fait pas de distinction selon que les outils et techniques utilisés dans les procédures d'audit sont manuels ou technologiques.

Pourtant, selon le groupe de travail, l'utilisation des technologies peut avoir un impact sur la nature et l'utilité de la documentation de l'audit dès lors qu'il s'agit par exemple :

• d'étayer la conclusion tirée par l'auditeur quant à l'atteinte de ses objectifs généraux ;
• d'attester que l'audit a été planifié et réalisé conformément aux normes applicables et aux exigences des textes légaux et réglementaires applicables ;
• d'aider l'équipe de mission dans la planification et la réalisation de l'audit ;
• d'aider les membres de l'équipe de mission qui sont chargés de la supervision à diriger et à superviser les travaux d'audit et à s'acquitter de leurs responsabilités concernant la revue des travaux ;
• permettre à l'équipe de rendre compte de ses travaux ;
• conserver un dossier des points importants pour les audits futurs ;
• permettre la mise en ½uvre de revues de contrôle qualité de la mission et d'inspections ;
• permettre la conduite d'inspections externes, conformément aux exigences des textes légaux.

Il n'est pas fait de distinction non plus lorsque l'auditeur doit consigner par écrit les caractéristiques distinctives des éléments spécifiques testés.

Les technologies en cause sont les algorithmes, l'intelligence artificielle, les drones ou encore l'utilisation de grandes quantités de données dans le cadre d'un inventaire qui ne devraient pas être documentés de la même manière que des contrôles ou comptages manuels.

Comment l'utilisation des technologies devrait affecter la documentation de l'audit

Avec les dernières technologies, les auditeurs peuvent être amenés à analyser de grandes quantités de données, avec des outils novateurs et pour atteindre des objectifs très différents.

L'analyse de données permet, par exemple, de vérifier que toutes les transactions ont été effectuées aux heures de bureau depuis le même ordinateur pour détecter la fraude.

Ces analyses tout comme leurs objectifs peuvent être extrêmement variés, surtout lorsque l'on commence à parler de big data.

Si les normes d'exercice professionnel n'obligent pas à documenter l'audit différemment dans ces conditions, il est tout de même recommandé, selon ce groupe de travail de l'IFAC, de documenter les résultats de ces analyses.

La documentation est alors possible via la visualisation qui peut prendre la forme d'un export des résultats sur excel ou word.

Ainsi, la documentation de l'audit devrait décrire les procédures utilisées et la manière d'arriver aux conclusions. Pour répondre aux exigences de forme, de contenu et d'étendue de la documentation, l'utilisation de technologies devrait contenir :

• le nom des outils et techniques utilisés et la description de la base de données utilisée et analysée ;
• les détails de la capture, de l'extraction des données et la manière dont les données ont été obtenues, validées et rapprochées ;
• les détails des filtres ou segments appliqués et le processus de réflexion suivi par l'auditeur ;
• la nature des procédures exécutées et la visualisation ou la table des matières de l'analyse qui en résulte en rapport avec les procédures en cours ;
• la participation de prestataires de services tiers à la réalisation de services d'extraction de données et la manière dont les données ont été jugées exactes et complètes.

Ces différences sont rendues nécessaires, en partie parce que le jugement professionnel ne sera pas le même selon les techniques utilisées. Le groupe de travail donne l'exemple de l'inventaire annuel réalisé par l'homme qui en analyse ensuite les résultats et celui réalisé à partir d'un drone et des images compatibles avec l'intelligence artificielle.

Il sera parfois nécessaire de documenter les étapes utilisées par le personnel pour faire fonctionner le drone, les techniques utilisées pour le placer et lui permettre d'obtenir la meilleure vue pour estimer les quantités en stock et d'ajouter pourquoi et comment l'IA a été jugée appropriée pour analyser les images.

D'autres éléments de réflexion sont donnés sur la question de l'approbation de l'entreprise dans la mise en ½uvre de traitements via ces technologies.