En bref. Face aux algorithmes d’IA, l’audit interne a deux rôles : utiliser l’IA dans ses propres missions et auditer les systèmes d’IA de l’organisation. Les risques à couvrir sont connus : biais, effet « boîte noire », dérive des modèles et dilution des responsabilités. L’IFACI recommande que l’auditeur intervienne dès la conception des projets, et les travaux plus récents insistent sur la validation humaine, la traçabilité et la qualité des données.
Pourquoi l’audit interne doit-il s’intéresser aux algorithmes ?
Le chapitre publié par Hayk Hovhannisyan, Béatrice Bon Michel (Université Paris Dauphine-PSL) et Nicolas Gasnier-Duparc (Grant Thornton) dans L’état du management 2024 décrit cette double position : l’IA est à la fois un outil dans la démarche d’audit et un objet que l’auditeur devra évaluer de plus en plus souvent. Les auteurs, qui s’appuient sur une enquête menée en 2022 auprès de plus de 120 auditeurs et sur des entretiens d’experts, constatent que les fonctions d’audit interne restent hésitantes. Ils citent trois contraintes : les compétences nécessaires pour utiliser les outils et en contester les résultats, les freins financiers et techniques, et la fiabilité des données.
Le document de l’IFACI « L’auditeur interne et les algorithmes d’IA », rédigé par J.-M. Pluzanski, va plus loin : plus l’IA remplace l’humain dans un processus, plus l’audit interne est nécessaire pour y maintenir une conscience humaine. Il le formule ainsi : une fois en production, l’IA « ne doutera jamais, car elle n’a pas de conscience ».
Quels sont les risques propres aux algorithmes ?
Les biais
Le document de l’IFACI reprend une analyse d’IBM selon laquelle les biais sont inhérents à l’IA, puisqu’elle est conçue par des personnes. Il cite un exemple : un modèle d’assurance qui approuve 91 % des demandes des 31 à 55 ans, contre 52 % pour les 18 à 24 ans. Un modèle entraîné sur des données non représentatives peut discriminer un groupe et exposer l’organisation à un risque financier et de réputation.
La boîte noire
Quand le fonctionnement d’un modèle est opaque, l’organisation ne peut pas juger si ses résultats guident correctement la décision. Elle ne peut pas non plus les expliquer à ses clients, à ses auditeurs ou à sa conformité. L’IFACI présente l’explicabilité comme la réponse à ce problème.
La dérive
Un modèle d’apprentissage automatique peut perdre en exactitude avec le temps, parce que les données réelles s’éloignent de celles de l’entraînement. Le document cite l’ACPR sur ce point.
La responsabilité
Selon le NESTA, cité par l’IFACI, une personne de la direction doit répondre de toute mesure prise à la suite d’une décision algorithmique. Sans ce responsable nommé, une erreur de l’outil n’est attribuée à personne.
Comment l’auditeur interne peut-il intervenir ?
L’IFACI distingue trois modes d’intervention : le conseil, l’audit a posteriori et l’audit en continu. Il insiste sur le premier : les auditeurs doivent être « invités à la table de discussion sur les projets d’IA », dès leur conception. Leur légitimité repose sur leur indépendance, leur objectivité et leur capacité à repérer les signaux faibles. Le document ajoute qu’ils doivent se former pour ne pas dépendre des spécialistes de l’IA.
Le document rassemble aussi des points de contrôle issus de l’ACPR et du NESTA, que nous reprenons dans la grille ci-dessous.
| Risque | Point de contrôle | Origine citée par l’IFACI |
|---|---|---|
| Objectifs mal définis | Conformité des objectifs de l’algorithme aux principes de gouvernance | ACPR |
| Biais | Validation des variables par des experts, suppression des variables qui biaisent | ACPR |
| Discrimination | Contrôle régulier sur un jeu de données étalon | ACPR |
| Surapprentissage | Tests sur des données indépendantes de l’apprentissage | ACPR |
| Dérive | Outils de détection de la dérive dans le temps | ACPR |
| Boîte noire | Explication des critères suivis par l’algorithme | ACPR |
| Niveau de risque | Classement de chaque algorithme sur une échelle de 1 à 5 | NESTA |
| Contrôle externe | Version de test mise à disposition des auditeurs | NESTA |
Vous préférez en parler directement ? Appelez-nous au 01 42 41 85 13, écrivez à contact@pionarius.com ou réservez votre diagnostic IA gratuit de 30 minutes.
Que montrent les travaux plus récents sur l’IA générative ?
Le concours Hackaudit, organisé par la CNCC, publie sur son site les guides d’application produits par les équipes participantes. Le « Guide d’Application de l’IA dans la Mission d’Audit » de l’équipe IAuditor’s, étudiants en master à l’université de Strasbourg, applique l’IA générative à l’audit des informations de durabilité (CSRD, norme ESRS E2 sur la pollution). Il décrit l’intervention de l’IA à chaque étape : préparation, analyse des engagements, comparaison aux normes, repérage des écarts et des incohérences, préparation de questions pour l’entité, brouillon de rapport.
Ses garde-fous rejoignent ceux de l’IFACI : « toutes les conclusions doivent être validées par un humain », et « la responsabilité finale repose sur le commissaire aux comptes ». Il demande de documenter chaque étape pour qu’elle soit justifiable, de vérifier la qualité des données d’entrée et de tenir les référentiels à jour. Il reconnaît aussi ses propres limites : l’outil ne pouvait pas encore s’appuyer sur des rapports CSRD publiés, et le test a porté sur un rapport antérieur aux nouvelles normes. Nous n’en reprenons pas les gains de temps annoncés, faute de méthode de mesure décrite.
La revue de littérature de Mohamed Kharbach et Houria Zaam (2026) relève un écart : selon une revue qu’ils citent, plus de 60 % des grandes entreprises déclarent avoir intégré l’IA à leurs processus d’audit interne, alors que moins de 40 % des auditeurs internes estiment avoir les compétences pour s’en servir efficacement. Les auteurs soulignent que les preuves propres à l’audit interne restent peu nombreuses.
Ce que nous recommandons
- Inscrire les systèmes d’IA dans l’univers d’audit, à partir d’une cartographie des usages à jour.
- Classer chaque système par niveau de risque et cibler les contrôles sur les plus sensibles.
- Exiger un responsable nommé pour chaque algorithme qui influence une décision.
- Associer l’audit interne aux projets dès leur cadrage, comme le recommande l’IFACI.
- Former les auditeurs à contester les résultats d’un modèle, et pas seulement à l’utiliser.
- Traiter les usages non déclarés comme un risque à part entière, décrit dans notre article sur le shadow AI.
Questions fréquentes
Un auditeur interne doit-il savoir coder pour auditer un algorithme ?
Non. Il doit comprendre les principes, poser les bonnes questions et savoir lire des résultats de test. L’IFACI insiste sur la formation pour ne pas dépendre des spécialistes, sans exiger de compétences de développeur.
Qu’est-ce que l’effet « boîte noire » ?
C’est l’impossibilité d’expliquer comment un modèle arrive à son résultat. Il empêche de vérifier la décision et de la justifier auprès des personnes concernées.
Comment détecter un biais ?
En comparant les résultats du modèle selon les groupes concernés, sur un jeu de données de référence contrôlé régulièrement, et en faisant valider les variables par des experts métier.
Faut-il auditer aussi les outils d’IA générative du quotidien ?
Oui, au moins leur cadre d’usage : outils autorisés, données envoyées, règles de relecture. Notre modèle de charte IA donne une base.
Passer à l’action
Notre audit IA peut accompagner votre fonction d’audit interne sur ce sujet : inventaire des systèmes, priorisation, grille de contrôle et plan d’implémentation. Nos formations Inside préparent les auditeurs, et notre offre d’implémentation accompagne la mise en œuvre. Pour en parler, contactez-nous.
Sources
- IFACI, J.-M. Pluzanski, « L’auditeur interne et les algorithmes d’IA », mis en ligne en mars 2021 : https://docs.ifaci.com/wp-content/uploads/2021/03/Lauditeur-interne-et-les-algorithmes-dIA.pdf
- Hackaudit (CNCC), équipe IAuditor’s, « Guide d’Application de l’IA dans la Mission d’Audit », mis en ligne en janvier 2025 : https://www.hackaudit.fr/wp-content/uploads/2025/01/IAuditors_guide.pdf
- Hackaudit, présentation du concours : https://www.hackaudit.fr
- H. Hovhannisyan, B. Bon Michel, N. Gasnier-Duparc, « De l’influence de l’IA sur la démarche d’audit interne », L’état du management 2024, Dauphine Éclairages, 14 mars 2024 : https://dauphine.psl.eu/eclairages/article/vii-de-linfluence-de-lia-sur-la-demarche-daudit-interne
- M. Kharbach, H. Zaam, « Repenser le rôle de l’audit interne à l’ère de l’intelligence artificielle : une revue critique des travaux empiriques et perspectives de recherche », International Journal of Research in Economics and Finance, vol. 3, n° 8-2, août 2026 : https://www.researchgate.net/publication/413648052
Vous préférez en parler directement ? Appelez-nous au 01 42 41 85 13, écrivez à contact@pionarius.com ou réservez votre diagnostic IA gratuit de 30 minutes.
