Le PCAOB subit des pressions pour établir des normes d’audit de l’IA en entreprise

Le Public Company Accounting Oversight Board est arrivé à un point de décision inédit concernant l’IA, après des années de surveillance prudente. Le titre immédiat de Google News présente le sujet comme une demande de normes d’IA pour les entreprises. La véritable question est plus circonscrite, plus difficile et plus lourde de conséquences. Les auditeurs peuvent-ils s’appuyer sur l’IA sans affaiblir les éléments probants qui fondent leurs opinions ?

Cette question figure désormais à l’ordre du jour du PCAOB en matière d’élaboration de normes. L’organisme a demandé aux parties prenantes si l’innovation technologique, y compris l’intelligence artificielle, justifie des travaux de recherche, des orientations ou de nouvelles exigences. Sa période de consultation publique s’est achevée le 7 août 2026.

Le calendrier crée un conflit manifeste. Les cabinets d’audit veulent suffisamment de flexibilité pour améliorer les tests, les analyses et la documentation. Les investisseurs ont besoin de règles cohérentes pour des outils capables de fournir des réponses assurées sans exposer un raisonnement fiable. Les principes d’audit existants restent applicables, mais ils ne résolvent pas tous les problèmes propres à l’IA.

Il ne s’agit pas simplement d’un nouveau débat réglementaire révélé par Google News. C’est un test visant à déterminer si la supervision financière peut suivre le rythme de systèmes qui évoluent entre deux cycles d’audit. Le PCAOB doit décider du niveau de jugement humain, de documentation, de validation et de supervision qu’exige un audit assisté par l’IA.

Ce que le PCAOB a réellement mis sur la table

Le PCAOB n’a pas adopté de normes d’IA pour les entreprises, mais il a officiellement ouvert la voie à l’élaboration de normes centrées sur l’IA.

Le 23 juin 2026, le PCAOB a publié sa première demande de commentaires publics couvrant à la fois ses programmes d’élaboration de normes et de recherche. La demande sollicitait également des retours sur le processus plus large d’élaboration des normes de l’organisme.

Le conseil a indiqué que son programme doit évoluer avec l’environnement de l’audit et de l’information financière. Son actuel programme d’audit identifie l’innovation technologique, y compris l’IA, comme un facteur susceptible d’affecter la qualité de l’audit.

Cette formulation est importante. Elle inscrit l’IA dans la mission de protection des investisseurs du PCAOB, au lieu de traiter cette technologie comme un simple choix interne de productivité pour les cabinets comptables.

Le PCAOB supervise les cabinets enregistrés qui auditent les sociétés cotées ainsi que les courtiers et négociants enregistrés auprès de la SEC. Il n’agit pas comme régulateur général de toutes les applications d’IA en entreprise. Toute norme qu’il adopterait porterait sur le travail d’audit, l’information financière, la conduite professionnelle et les contrôles qualité associés.

Toutefois, cette portée s’étend tout de même aux sociétés cotées. Les auditeurs doivent comprendre les systèmes qui produisent les informations financières et évaluer les contrôles internes pertinents. Lorsque la direction utilise l’IA au sein de ces systèmes, la technologie peut affecter l’audit même si l’auditeur ne déploie jamais lui-même un modèle d’IA.

Un outil d’IA peut classer les dépenses, estimer les provisions, repérer des transactions inhabituelles ou préparer des rapprochements. Il peut aussi soutenir des prévisions utilisées dans les tests de dépréciation. Chaque usage soulève des questions sur la qualité des données, les contrôles d’accès, les modifications du modèle, la revue humaine et la reproductibilité.

L’auditeur est alors confronté à deux tâches distinctes. La première consiste à évaluer les informations de la direction étayées par l’IA. La seconde consiste à contrôler tout outil activé par l’IA utilisé par l’équipe d’audit elle-même.

Ces tâches peuvent se recouper. Un auditeur peut utiliser une analyse automatisée pour tester le résultat du processus comptable automatisé d’une entreprise. Si les deux systèmes dépendent de données liées ou de modèles similaires, une corroboration apparente peut offrir moins d’indépendance que prévu.

L’action du PCAOB ne signifie pas que les normes existantes ont soudainement cessé de fonctionner. Les exigences relatives aux éléments probants, au scepticisme professionnel, à la supervision, à la documentation, à l’indépendance et au contrôle qualité restent applicables.

Le débat porte sur la question de savoir si ces principes apportent une clarté opérationnelle suffisante. Une règle exigeant des « éléments probants suffisants et appropriés » fixe l’objectif. Elle n’explique pas automatiquement comment les auditeurs doivent valider un modèle évolutif, conserver les prompts ou examiner des résultats incohérents.

Cette distinction se perd dans un titre condensé de Google News. Le PCAOB ne décide pas si les entreprises doivent être autorisées à utiliser l’IA. Il décide si les obligations d’audit nécessitent des limites plus claires et spécifiques à l’IA avant que le recours à celle-ci ne devienne courant.

Cette décision fait suite à plusieurs années de recherche. En juillet 2024, le personnel du PCAOB a publié des observations issues d’échanges avec de grands cabinets d’audit et des sociétés cotées. Selon le conseil, les cabinets contactés auditaient collectivement la majeure partie de la capitalisation boursière des émetteurs.

Les échanges sur l’IA générative ont révélé une utilisation limitée, mais en évolution rapide. Les cabinets employaient généralement l’IA générative pour des tâches administratives et de recherche, plutôt que pour les tests d’audit fondamentaux.

Les préparateurs des sociétés cotées exploraient également des usages dans l’ensemble de leurs activités. Leurs projets d’adoption avançaient souvent plus vite que leur utilisation de l’IA générative dans l’information financière.

Cet écart a donné aux régulateurs le temps d’étudier la question. Il n’a pas supprimé le besoin d’agir. Les capacités de l’IA et les déploiements en entreprise se sont étendus depuis ces échanges, tandis que les normes d’audit reposent encore largement sur des principes neutres sur le plan technologique.

Le PCAOB doit désormais choisir entre la recherche, des orientations du personnel, des modifications des normes existantes ou des exigences dédiées. La demande de juin n’a pas prédéterminé la réponse. Elle a intégré ce choix au processus officiel d’élaboration du programme du conseil.

Pourquoi les règles d’audit existantes sont soumises à un test de résistance par l’IA

La pression centrale découle de la variabilité des résultats de l’IA, de sa transparence limitée et de sa dépendance à des contrôles extérieurs à l’équipe de mission.

Les logiciels d’audit traditionnels peuvent également échouer. Un tableur, un programme d’échantillonnage ou un script d’analyse de données mal configuré peut produire des résultats erronés. Les normes d’audit exigent déjà que les cabinets évaluent si leurs outils fonctionnent comme prévu.

L’IA générative introduit une combinaison différente de risques. Le même prompt peut produire des réponses différentes. Les fournisseurs de modèles peuvent mettre à jour leurs systèmes sans dévoiler chaque changement technique. Les résultats peuvent sembler fiables tout en contenant des faits inventés ou des conclusions non étayées.

Ces caractéristiques compliquent les éléments probants d’audit. Les éléments probants doivent être pertinents et fiables au regard de l’objectif visé. Un résumé attrayant n’est pas fiable simplement parce qu’il est bien rédigé ou qu’il concorde avec la position de la direction.

Un auditeur qui utilise l’IA pour examiner des contrats doit savoir si le système a analysé chaque clause pertinente. L’équipe doit également déterminer si les documents sources étaient complets et correctement traités.

Un examinateur humain ne peut pas résoudre ce problème en acceptant le résumé final. Il lui faut suffisamment d’informations pour reconstituer le travail, contester le résultat et identifier les clauses omises ou mal interprétées.

Cette exigence devient plus difficile lorsqu’un fournisseur d’IA considère les détails du modèle comme exclusifs. Le cabinet d’audit peut ne pas avoir directement accès aux données d’entraînement, aux journaux système, aux méthodes d’évaluation ou aux historiques de versions.

La dépendance à des tiers n’est pas nouvelle dans l’audit. Les cabinets s’appuient déjà sur des fournisseurs de logiciels, des infrastructures cloud, des spécialistes de l’évaluation et des organisations de services. Pourtant, l’IA peut répartir la responsabilité sur davantage de niveaux tout en rendant des jugements importants difficiles à examiner.

La dérive du modèle ajoute une autre complication. Elle signifie que le comportement d’un système évolue à mesure que ses données, sa configuration ou son environnement change. Une validation effectuée lors du déploiement peut ne plus justifier une confiance accordée plusieurs mois plus tard.

Une mission d’audit nécessite donc des contrôles des changements. Les équipes doivent savoir quelle version du modèle a été utilisée, quels paramètres s’appliquaient, qui a approuvé les changements et si les mises à jour ont déclenché de nouveaux tests.

La manipulation fondée sur les prompts crée une autre source d’erreur. Un texte caché dans un document peut influencer les instructions d’un système d’IA. Un outil d’examen de contrats pourrait privilégier des directives intégrées plutôt que la procédure prévue par l’auditeur.

Le Committee of Sponsoring Organizations of the Treadway Commission a traité ces préoccupations dans sa publication de 2026 sur les contrôles de l’IA générative. COSO a relié la gouvernance de l’IA générative à son cadre établi de contrôle interne.

Ces orientations mettent en évidence des risques liés à l’exposition cyber, au raisonnement opaque, à la dérive du modèle, à la manipulation des prompts et aux fréquents changements de configuration. Ce sont des problèmes de contrôle parce qu’ils peuvent affecter les opérations, l’information financière et la conformité.

Les travaux de COSO aident les dirigeants d’entreprise à concevoir des contrôles internes. Ils ne remplacent pas les exigences du PCAOB applicables aux auditeurs. Les auditeurs ont toujours besoin de critères pour évaluer ces contrôles et déterminer comment les défaillances affectent les procédures d’audit.

La supervision humaine reste la question la plus visible. L’expression « human in the loop » décrit un processus dans lequel une personne examine ou contrôle le travail d’un système automatisé. La formule paraît rassurante, mais sa signification pratique varie considérablement.

Un examinateur qui se contente d’approuver une conclusion générée par l’IA offre peu de protection. Une revue efficace exige les compétences, le temps, les éléments probants et l’autorité nécessaires pour contester le système.

Le PCAOB doit donc distinguer une revue nominale d’une supervision substantielle. Il doit également préciser quelles décisions doivent rester entre les mains de professionnels qualifiés.

Le jugement professionnel ne peut pas devenir une approbation cérémonielle à la fin d’un flux de travail automatisé. L’associé responsable de la mission demeure responsable de l’opinion d’audit, quelle que soit la part d’analyse réalisée par un modèle.

Les normes de documentation font face à un test de résistance connexe. Les dossiers d’audit indiquent normalement les procédures réalisées, les éléments probants obtenus, les conclusions atteintes et les revues effectuées. Le travail assisté par l’IA peut aussi nécessiter les prompts, les instructions système, les historiques de résultats, les résultats de validation et le traitement des exceptions.

Sans ces enregistrements, une équipe d’inspection pourrait ne pas être en mesure de déterminer ce qui s’est passé. Le cabinet d’audit lui-même pourrait avoir du mal à reproduire la procédure après une mise à jour du modèle.

Des normes claires du PCAOB sur l’IA pourraient établir un socle commun de documentation. Elles pourraient également empêcher les cabinets d’adopter des approches incompatibles qui feraient dépendre la qualité de l’audit des contrôles privilégiés par chaque fournisseur.

Principes contre normes prescriptives du PCAOB sur l’IA

Le principal débat n’oppose pas l’innovation à la réglementation. Il oppose des principes flexibles à des exigences minimales pour des outils opaques et évolutifs.

Les partisans d’une approche fondée sur les principes disposent d’un argument crédible. La technologie de l’IA évolue trop vite pour des normes construites autour de modèles, d’architectures ou de fonctionnalités de produits spécifiques.

Une règle détaillée peut devenir obsolète avant même que les cabinets n’aient fini de l’appliquer. Elle peut aussi décourager des outils utiles en imposant à chaque application un cadre conçu pour une technologie antérieure.

Les normes existantes du PCAOB attribuent déjà la responsabilité aux auditeurs. Elles exigent des éléments probants appropriés, du scepticisme professionnel, de la supervision, de la documentation et une gestion de la qualité. Ces obligations ne disparaissent pas lorsqu’un ordinateur exécute une partie de la procédure.

Cette approche peut intégrer de nouveaux outils sans rouvrir le recueil de règles après chaque lancement de produit. Elle maintient également l’accent réglementaire sur la qualité de l’audit plutôt que sur les tendances technologiques.

Les organismes internationaux de normalisation suivent en partie cette voie. En août 2026, l’International Auditing and Assurance Standards Board a proposé des révisions de trois normes fondamentales.

Les propositions de révision des éléments probants d’audit couvrent les réponses aux risques, les éléments probants d’audit et les procédures analytiques. Elles mettent l’accent sur l’information numérique, la fiabilité des éléments probants, l’esprit critique professionnel et le travail assisté par la technologie.

Les propositions restent fondées sur des principes. Elles visent à améliorer l’application des objectifs existants lorsque les entreprises et les auditeurs utilisent des technologies avancées. Les commentaires sont attendus d’ici le 15 décembre 2026.

Ce processus international constitue une référence utile pour le PCAOB. Il crée également une pression. Si les exigences mondiales deviennent plus claires tandis que les États-Unis s’appuient principalement sur de grands principes, les entreprises multinationales pourraient être confrontées à des attentes inégales.

L’argument en faveur de minimums prescriptifs commence par la cohérence. Deux cabinets d’audit peuvent interpréter différemment l’expression « examen humain approprié », en particulier lorsque leurs systèmes d’IA reposent sur des conceptions différentes.

Un cabinet pourrait exiger des tests indépendants par rapport à des résultats connus. Un autre pourrait se contenter de la documentation du fournisseur et de l’examen d’un responsable. Tous deux pourraient se déclarer conformes au même principe général.

Des exigences minimales pourraient réduire cet éventail. Elles pourraient couvrir l’approbation des modèles, la validation périodique, les contrôles des données, les restrictions d’accès, la gestion des changements, la conservation des dossiers et l’escalade des résultats non fiables.

Elles pourraient également définir les situations dans lesquelles un résultat produit par l’IA ne peut pas constituer un élément probant sans corroboration. Une telle limite aiderait les auditeurs à résister à la pression visant à transformer des gains de productivité en une confiance non étayée.

Toutefois, une norme détaillée crée son propre danger. Les cabinets pourraient considérer une liste de contrôle comme la preuve qu’un système est sûr. Le risque lié à l’IA dépend du contexte ; le respect d’étapes techniques ne peut donc pas remplacer l’esprit critique professionnel.

Un modèle utilisé pour mettre en forme une note ne justifie pas les mêmes contrôles qu’un modèle sélectionnant des écritures de journal à tester. Les normes doivent préserver cette distinction fondée sur le risque.

L’approche la plus solide combine principes et socles contraignants. Les principes établissent les responsabilités pour l’ensemble des technologies. Les socles répondent aux points de défaillance prévisibles que les cabinets ne devraient pas pouvoir écarter par interprétation.

Par exemple, une norme n’a pas besoin de nommer un modèle précis. Elle peut néanmoins exiger que les cabinets identifient le modèle et sa version, valident l’usage prévu, conservent les enregistrements d’interaction pertinents et surveillent les changements.

Elle peut exiger que les équipes d’audit confrontent les résultats à des éléments probants indépendants. Elle peut aussi interdire de s’appuyer aveuglément sur des synthèses que l’équipe ne peut ni reproduire ni expliquer.

Cette structure soutiendrait l’innovation sans faire des fournisseurs les normalisateurs de facto. Les cabinets d’audit pourraient choisir leurs outils, mais seraient soumis à des obligations cohérentes pour démontrer que ces outils sont adaptés à leur finalité.

Cette distinction compte aussi pour les petits cabinets. Les grands réseaux peuvent constituer des équipes internes d’évaluation, négocier l’accès des fournisseurs et maintenir des plateformes propriétaires. Les petits cabinets peuvent dépendre davantage de produits commerciaux.

Des normes vagues peuvent creuser cet écart de ressources. Les petits cabinets peuvent ne pas savoir quel niveau de validation les régulateurs attendent jusqu’à ce qu’une inspection relève une déficience.

Des règles excessivement complexes peuvent créer le problème inverse. Les coûts de conformité peuvent exclure les petits cabinets de technologies utiles et renforcer la position des plus grands réseaux sur le marché.

Des exigences évolutives sont donc essentielles. Le niveau de test devrait refléter le rôle de l’outil, le risque d’anomalie significative et le degré de confiance accordé à ses résultats.

Les lecteurs de Google News pourraient percevoir ce débat comme un simple appel à une surveillance plus stricte. Le choix le plus important concerne l’architecture. Le PCAOB a besoin de règles suffisamment précises pour être appliquées et suffisamment flexibles pour survivre au prochain cycle de modèles.

L’utilisation de l’IA par les entreprises place les auditeurs des deux côtés du modèle

L’IA transforme l’audit à deux reprises : d’abord en modifiant les systèmes de reporting des entreprises, puis en changeant la manière dont les auditeurs testent ces systèmes.

Les entreprises cotées utilisent déjà l’IA en dehors de la comptabilité. Elles l’appliquent au service client, au développement logiciel, au marketing, aux achats, aux prévisions et au traitement des documents.

Certaines de ces activités finissent par affecter les états financiers. Une décision tarifaire appuyée par l’IA peut modifier les revenus. Une planification automatisée des stocks peut affecter les provisions. Des prévisions générées peuvent influencer les estimations de valorisation et de dépréciation.

Le risque lié au reporting financier n’exige pas qu’un système d’IA enregistre directement des écritures. Un modèle peut façonner les hypothèses que la direction intègre ensuite dans un processus comptable conventionnel.

Les auditeurs doivent retracer ces liens. Ils doivent identifier les cas où l’IA affecte des comptes significatifs, des estimations, des informations à fournir ou les contrôles internes relatifs à l’information financière.

Le contrôle interne relatif à l’information financière, ou ICFR, couvre les processus conçus pour étayer des états financiers fiables. Une application d’IA peut modifier l’ICFR lorsqu’elle crée, transforme, approuve ou surveille des informations pertinentes.

La direction doit comprendre ce changement avant que les auditeurs puissent le tester. Une entreprise ne peut pas gouverner efficacement un modèle si elle ne dispose pas d’un inventaire des systèmes déployés et de leurs responsables.

Les questions fondamentales sont concrètes. Quelles données alimentent le modèle ? Qui peut modifier sa configuration ? Comment les exceptions sont-elles examinées ? Quels éléments montrent que les résultats restent exacts ?

Les entreprises ont également besoin de processus de gestion des incidents. Les employés doivent savoir où signaler les hallucinations, les fuites de données, les usages non autorisés ou les comportements inattendus. Les incidents significatifs ne peuvent pas rester isolés au sein d’une équipe technique.

La Securities and Exchange Commission a déjà mis en garde les entreprises cotées contre les affirmations non étayées concernant l’IA. Son ancien président a qualifié ce problème d’AI washing, lorsqu’une organisation exagère son utilisation ou ses capacités en matière d’IA.

L’avertissement de la SEC sur les communications liées à l’IA a souligné que les entreprises cotées doivent disposer d’une base raisonnable pour leurs affirmations significatives. Les investisseurs ont également besoin d’informations propres à chaque entreprise sur les risques significatifs liés à l’IA.

Cette question de divulgation recoupe celle de l’audit. Les auditeurs évaluent les états financiers et certaines informations connexes, mais ils ne certifient pas toutes les déclarations d’entreprise concernant l’IA.

Les normes doivent préserver cette limite tout en traitant les cas où des affirmations sur l’IA affectent des estimations financières, des contrôles ou des informations à fournir couvertes par l’audit.

L’autre versant du modèle concerne les cabinets d’audit. Les cabinets voient dans l’IA un moyen d’examiner des populations plus vastes, de synthétiser des documents, d’identifier des anomalies et de réduire les tâches répétitives.

Ces usages peuvent améliorer la couverture. L’échantillonnage classique peut n’examiner qu’une partie d’une population de transactions. L’analyse assistée par la technologie peut passer en revue chaque élément enregistré et orienter l’attention vers des schémas inhabituels.

Une couverture accrue ne produit pas automatiquement de meilleurs éléments probants. Un système peut appliquer de manière cohérente une règle erronée à l’ensemble d’une population. Il peut aussi générer trop de faux positifs pour permettre une enquête utile.

La qualité de l’audit dépend de ce que les équipes font du résultat. Elles doivent comprendre l’objectif de la procédure, évaluer les exceptions et relier les constatations aux assertions pertinentes des états financiers.

Les agents d’IA augmentent encore les enjeux. Un agent est un logiciel capable de planifier et d’exécuter plusieurs étapes vers un objectif, parfois en utilisant des outils ou des données externes.

Un agent peut demander des dossiers, comparer des documents, signaler des incohérences et préparer un projet de conclusion. Ce flux de travail dépasse le cadre d’un simple outil analytique.

La responsabilité peut devenir floue lorsque l’agent décide des étapes à suivre. L’auditeur doit toujours déterminer si les procédures étaient appropriées et complètes.

Une séquence autonome élargit également la surface d’attaque. Des autorisations incorrectes, des documents manipulés ou des appels d’outils défaillants peuvent contaminer plusieurs étapes avant qu’une personne n’examine le résultat.

Le National Institute of Standards and Technology propose un cadre volontaire de gestion des risques liés à l’IA pour cartographier, mesurer, gérer et gouverner ces risques. Il offre aux cabinets un vocabulaire utile pour la supervision au niveau des systèmes.

Toutefois, le NIST ne détermine pas ce qui constitue des éléments probants d’audit suffisants. Un modèle bien gouverné sur le plan technique peut néanmoins être inadapté à une procédure d’audit particulière.

Les normes du PCAOB sur l’IA doivent relier la gouvernance des systèmes aux obligations professionnelles. Elles devraient préciser que des contrôles solides sur les modèles soutiennent, sans remplacer, l’évaluation des éléments probants par l’auditeur.

L’indépendance constitue une autre question non résolue. Les cabinets d’audit fournissent souvent des services liés aux technologies tout en développant des outils pour leurs pratiques d’assurance.

Les règles d’indépendance existantes restreignent les relations et services qui compromettent l’objectivité. L’IA soulève des questions concernant les plateformes partagées, les données d’entraînement, les partenariats avec des fournisseurs et les systèmes utilisés à la fois par l’auditeur et le client.

L’utilisation de technologies similaires ne détruit pas automatiquement l’indépendance. Les cabinets doivent néanmoins disposer de garanties contre l’audit d’hypothèses ou de configurations qu’ils ont contribué à créer.

Le PCAOB devrait examiner ces relations avant que les pratiques de marché ne se figent. Adapter a posteriori les contrôles d’indépendance sera plus difficile une fois que les cabinets auront construit des plateformes interconnectées.

Ce que les orientations d’audit sur l’IA ne peuvent toujours pas garantir

Aucune norme ne peut éliminer les hallucinations, l’opacité ou le biais d’automatisation ; la véritable question est donc de savoir si les règles rendent les défaillances visibles et maîtrisables.

Les partisans d’une normalisation rapide ne devraient pas surestimer ce qu’une nouvelle règle peut accomplir. La réglementation ne peut pas garantir qu’un système d’IA se comportera de manière cohérente dans toutes les situations.

Elle ne peut pas non plus rendre chaque modèle entièrement explicable. Certains systèmes restent difficiles à interpréter, même lorsque leurs développeurs fournissent une documentation technique exhaustive.

Une exigence d’explicabilité peut perdre tout son sens si la norme ne définit pas la décision qui doit être expliquée. Les auditeurs ont rarement besoin d’une description complète de chaque paramètre d’un modèle.

Ils ont besoin de suffisamment d’informations pour comprendre pourquoi le système est adapté à une procédure. Ils ont également besoin d’éléments montrant que ses résultats restent fiables dans les conditions pertinentes.

Le biais d’automatisation crée un problème humain distinct. Les personnes ont tendance à accorder un poids excessif aux recommandations générées par ordinateur, en particulier lorsque les systèmes paraissent confiants ou sophistiqués.

Un examen obligatoire n’élimine pas ce biais. Les examinateurs peuvent chercher une confirmation plutôt que tenter d’infirmer une réponse générée par l’IA.

Les cabinets doivent donc intégrer la remise en question au flux de travail. Un examinateur peut comparer les résultats à des éléments probants indépendants, utiliser des cas de test délibérément difficiles ou examiner des résultats contradictoires.

La formation est également importante. Les comptables n’ont pas besoin de devenir des ingénieurs en modèles, mais ils doivent comprendre les limites pertinentes pour les travaux qui leur sont confiés.

Il en va de même pour les associés responsables de la mission. Ils ne peuvent pas déléguer toute compréhension technique à des spécialistes tout en ne conservant qu’une responsabilité formelle pour l’opinion d’audit.

Les normes devraient fixer des attentes en matière de compétences sans présumer qu’un seul programme de formation convient à chaque outil. Les connaissances requises devraient refléter le rôle et le risque du système.

La concentration des fournisseurs représente une autre incertitude. Plusieurs cabinets peuvent dépendre du même fournisseur de cloud ou du même modèle de fondation. Un défaut partagé pourrait affecter de nombreuses missions simultanément.

Les contrôles traditionnels au niveau de la mission peuvent ne pas détecter cette exposition systémique. Le PCAOB pourrait avoir besoin de mécanismes de partage d’informations lui permettant d’identifier des tendances entre cabinets sans exposer les données confidentielles des clients.

Les méthodes d’inspection devront également évoluer. Les inspecteurs doivent évaluer la gouvernance des outils et l’exécution de chaque mission. L’une ne peut pas se substituer à l’autre.

Un cabinet peut maintenir un excellent processus central d’approbation alors qu’une équipe de mission utilise mal l’outil. Un autre outil peut être bien adapté à une procédure, mais peu fiable pour un objectif différent.

Les régulateurs ont besoin d’une expertise technique pour établir ces distinctions. Ils ne devraient pas dépendre entièrement des cabinets ou des fournisseurs qu’ils supervisent pour obtenir des explications sur le comportement des modèles.

Les normes peuvent également créer un faux sentiment de sécurité chez les conseils d’administration. Une opinion d’audit sans réserve ne signifie pas que chaque système d’IA au sein d’une entreprise est sûr, équitable, sécurisé ou conforme à la loi.

L’audit financier répond à des objectifs de reporting définis. Une gouvernance plus large de l’IA englobe la protection de la vie privée, la discrimination, la propriété intellectuelle, la cybersécurité, la protection des consommateurs et la résilience opérationnelle.

Les lecteurs devraient éviter de regrouper ces domaines sous une seule étiquette. Un « audit de l’IA » peut désigner un audit financier utilisant l’IA, un audit de la gouvernance de l’IA ou une évaluation d’un produit d’IA.

L’analyse de Bloomberg Tax concernait la première catégorie et les implications de l’IA d’entreprise pour l’information financière. Elle n’a pas établi un régime d’assurance complet pour chaque algorithme.

Cette limite renforce l’argument en faveur d’une terminologie précise. Les régulateurs devraient identifier l’objectif, l’objet, les critères, les éléments probants et la partie responsable chaque fois qu’ils décrivent une assurance liée à l’IA.

La principale question sceptique reste celle de la mise en œuvre. Même des normes pertinentes échoueront si les entreprises documentent leur conformité sans modifier la manière dont les équipes valident et remettent en question les résultats de l’IA.

Les constats d’inspection fourniront les éléments les plus probants. Des déficiences récurrentes impliquant des journaux manquants, une validation insuffisante ou un examen superficiel montreraient que les principes seuls ne suffisent pas.

À l’inverse, des preuves d’une adoption maîtrisée et de travaux d’audit fiables appuieraient une approche plus flexible. Le PCAOB devrait rester disposé à ajuster ses exigences à mesure que ces éléments se précisent.

Trois signaux à surveiller après le cycle médiatique de Google News

La prochaine phase sera définie par l’agenda du PCAOB, les propositions internationales d’audit et les éléments issus des inspections.

Le premier signal sera la réponse du PCAOB à son processus de consultation de 2026. Le conseil doit décider si l’IA devient un projet de recherche, une initiative d’orientation du personnel ou un sujet officiel d’élaboration de normes.

Un projet formel renforcerait l’argument selon lequel les exigences existantes nécessitent une application plus claire. Des orientations du personnel indiqueraient que le conseil considère actuellement l’interprétation comme le remède le plus rapide.

Une désignation limitée à la recherche préserverait la flexibilité, mais laisserait aussi davantage de latitude aux entreprises. Les lecteurs devraient examiner le périmètre du projet, et pas seulement son intitulé.

Le périmètre le plus utile couvrirait à la fois l’IA utilisée par les auditeurs et l’IA intégrée au reporting financier des entreprises. Il devrait également prendre en compte la documentation, la validation, la supervision, l’indépendance et les contrôles des fournisseurs.

Le deuxième signal sera le résultat de la consultation internationale sur les éléments probants d’audit. Les révisions proposées par l’IAASB offrent un modèle fondé sur des principes pour les travaux assistés par la technologie.

Un fort soutien des parties prenantes montrerait que les auditeurs et les investisseurs considèrent des règles modernisées en matière d’éléments probants comme une base praticable. Des demandes d’exigences plus détaillées sur l’IA révéleraient les limites de cette approche.

Le PCAOB n’a pas besoin de copier les normes internationales. Toutefois, une divergence inexpliquée pourrait compliquer les audits mondiaux et créer des attentes incohérentes pour une même technologie.

Le troisième signal viendra des inspections et des mesures d’application. Les régulateurs ont besoin d’éléments concrets pour déterminer si l’IA contribue aux déficiences d’audit ou aide les équipes à identifier des problèmes significatifs.

Les indicateurs pertinents comprennent les validations défaillantes, la documentation manquante, une supervision insuffisante, une confiance inappropriée et les conflits non divulgués. Les régulateurs devraient également suivre les cas où l’IA améliore les tests sur l’ensemble de la population ou la détection des fraudes.

Ces éléments équilibrés sont importants. Les règles devraient répondre aux risques démontrés sans supposer que chaque procédure assistée par l’IA réduit la qualité.

Les entreprises ne devraient pas attendre la norme finale. Les responsables financiers peuvent dès maintenant recenser les usages importants de l’IA, définir les responsabilités, conserver les historiques de modification et tester les contrôles pertinents.

Les comités d’audit peuvent demander à la direction où l’IA influence les estimations, les rapprochements, les informations à fournir et le suivi des contrôles. Ils peuvent également demander aux auditeurs externes comment leurs propres outils sont gouvernés.

Les cabinets d’audit devraient documenter les usages prévus, les limites, les résultats de validation, les contrôles d’accès et l’examen humain requis. Ils devraient conserver suffisamment d’informations pour reconstituer les procédures importantes assistées par l’IA.

Les travailleurs du savoir qui soutiennent ces examens ont besoin de dossiers fiables. Une base de connaissances IA bien entretenue peut organiser les politiques, les évaluations, les incidents, les approbations et les modifications de modèles sans remplacer la documentation formelle d’audit.

La question essentielle, une fois l’attention de Google News retombée, n’est pas de savoir si le PCAOB va « réglementer l’IA » dans l’abstrait. Elle est de savoir si le conseil établira une responsabilité vérifiable avant que le travail automatisé ne soit intégré aux éléments probants d’audit.

Surveillez l’agenda, la consultation internationale et les résultats des inspections. Ensemble, ces signaux montreront si des principes flexibles restent suffisants ou si des normes PCAOB contraignantes sur l’IA deviennent inévitables.