En bref. La CNCC et le CPAB canadien recommandent aux cabinets d’audit et d’expertise un usage encadré de l’IA générative : une charte, des outils choisis et paramétrés par le cabinet, l’anonymisation des données, une relecture systématique des résultats et une formation continue. Les deux organismes partent du même principe : l’IA prépare le travail, le professionnel en reste responsable. Leurs recommandations s’appliquent aussi aux directions financières et aux équipes d’audit interne.
Que publient la CNCC et le CPAB sur l’IA ?
La Compagnie nationale des commissaires aux comptes (CNCC) a publié en juin 2025 une série de fiches « IA & Audit : Bonnes pratiques », complétée par une version 2025/2026. Les fiches sont courtes, rédigées simplement et accessibles en ligne. Elles s’adressent à tous les collaborateurs du cabinet, pas seulement aux signataires. Un quiz de quinze questions oriente le lecteur vers l’un des deux parcours :
- Découverte : avantages et limites de l’IA générative, règles fondamentales, premières étapes, cas pratiques bureautiques, comptes rendus de réunion, encadrement du shadow AI.
- Avancé : principes généraux, paragraphes types pour une charte IA, mise en place dans le cabinet, rédaction de consignes structurées (prompts).
Le Conseil canadien sur la reddition de comptes (CPAB, ou CCRC), qui inspecte les dossiers d’audit des sociétés ouvertes au Canada, a publié en septembre 2024 « L’utilisation de l’intelligence artificielle dans l’audit : équilibrer l’innovation et le risque ». Il y constate une adoption encore limitée dans les dossiers inspectés, mais anticipe une hausse rapide.
Quels risques identifient-ils ?
Les deux textes se rejoignent largement.
| Risque | CNCC (2025) | CPAB (2024) |
|---|---|---|
| Confidentialité | Fuite de données, violation du secret professionnel et des données personnelles | Données saisies réutilisées ou divulguées à l’intérieur ou à l’extérieur du cabinet |
| Inexactitudes | Erreurs et hallucinations, vérification humaine systématique | Hypothèses erronées, citations ou appuis fictifs |
| Biais | Biais d’entraînement que l’utilisateur ne maîtrise pas | Analyses faussées, par exemple une détection de fraude qui cible certains groupes |
| Excès de confiance | Reprise de réponses plausibles sans relecture | Esprit critique affaibli par la dépendance à l’outil |
| Explicabilité | Non traitée en tant que telle | Modèles « boîte noire » difficiles à expliquer |
| Usages non contrôlés | Shadow AI, propriété intellectuelle, mise en cause du cabinet | Non traités en tant que tels |
La CNCC précise que l’IA générative est sans doute la forme d’IA la plus risquée pour un cabinet, parce que son interface intuitive permet de soumettre des données sans contrôle. Elle définit le shadow AI comme l’usage de l’IA générative sur un terminal non contrôlé par la DSI du cabinet.
Que recommande la CNCC ?
Une organisation dédiée
Une équipe pluridisciplinaire (métier, informatique, données, cybersécurité, risques et conformité), un référent IA et, le cas échéant, une communauté de « champions IA ». La démarche suit cinq étapes : équipe, projet, documentation, acculturation, suivi et adaptation.
Une charte et des règles sur les données
La CNCC propose des paragraphes types à intégrer à la charte informatique, avec une mise à jour annuelle. La charte définit les données autorisées et interdites et ancre l’anonymisation dans les habitudes. Deux pratiques sont explicitement interdites : soumettre des données non publiques à un outil non sécurisé et intégrer un résultat sans revue critique. Les outils grand public sont à éviter faute de garanties suffisantes, et les outils retenus sont paramétrés pour que les prompts et les données ne servent pas à entraîner les modèles. Notre modèle de charte IA suit la même logique.
La méthode IA_CAC
Cinq réflexes avant chaque usage : Interroger l’utilité, Anonymiser, Contrôler, Ajuster, Consulter en cas de doute. La charte type rappelle que les résultats de l’IA générative « ne sont jamais 100 % justes ».
Une formation obligatoire
Le plan de formation doit intégrer les obligations issues de l’AI Act et une formation à l’éthique de l’IA pour tous les collaborateurs.
Dans un entretien publié par Compta Online en novembre 2025, les responsables de la CNCC résument la ligne : « l’IA prépare, mais l’auditeur reste responsable du travail délivré ». La Compagnie y explique avoir choisi de fixer un cadre plutôt que de recommander des plateformes, les cas d’usage matures restant limités. Elle conseille aussi de ne pas utiliser l’IA dans un domaine que l’on ne maîtrise pas, faute de pouvoir détecter ses erreurs.
Vous préférez en parler directement ? Appelez-nous au 01 42 41 85 13, écrivez à contact@pionarius.com ou réservez votre diagnostic IA gratuit de 30 minutes.
Que recommande le CPAB ?
Le CPAB ancre ses recommandations dans les normes de contrôle qualité et d’audit :
- Gouvernance : des politiques d’usage responsable, une supervision humaine effective, notamment quand les modèles ou les données changent, et un suivi de l’effet de l’IA sur la qualité des audits.
- Contrôle qualité : tester chaque outil avant usage, vérifier son exactitude et sa fiabilité, et demander un rapport SOC 2 pour les outils achetés.
- Documentation : vérifier l’exhaustivité des données, comparer les extractions avec les documents sources et contrôler toute référence normative fournie par un modèle de langage.
- Scepticisme professionnel : ne pas se fier aux seules conclusions de l’IA et former les auditeurs à contester les résultats.
- Formation : avant le déploiement, puis en continu, sur les capacités et les limites de chaque outil.
Le CPAB conclut que ces outils sont conçus pour améliorer le jugement professionnel, et non pour le remplacer.
Ce que nous en retenons pour les organisations
Ces recommandations ont été écrites pour des cabinets, mais elles valent pour toute direction qui manipule des données sensibles : direction financière, audit interne, juridique, ressources humaines. Trois points nous semblent prioritaires. D’abord, connaître les usages réels avant d’écrire des règles : c’est l’objet de la cartographie des usages. Ensuite, fournir des outils autorisés, faute de quoi le shadow AI s’installe, comme nous l’expliquons dans notre article sur les risques de l’IA en entreprise. Enfin, former sur les cas réels des équipes, et pas seulement sur les règles.
Questions fréquentes
Un cabinet peut-il utiliser ChatGPT pour un dossier client ?
Selon la CNCC, seulement avec un outil sécurisé, choisi et paramétré par le cabinet, sur des données anonymisées et avec une relecture critique. La version grand public est à éviter.
Les fiches de la CNCC sont-elles obligatoires ?
Non. Ce sont des bonnes pratiques. Elles renvoient toutefois à des obligations qui, elles, s’appliquent : secret professionnel, RGPD, AI Act, engagements de la lettre de mission.
Que demander à un éditeur d’outil d’IA ?
Le lieu de stockage et la durée de conservation des données, l’absence d’entraînement sur vos contenus, des garanties écrites au contrat et, comme le suggère le CPAB, un rapport SOC 2.
Ces recommandations concernent-elles l’audit interne ?
Oui. Les risques de confidentialité, d’erreurs et d’excès de confiance sont les mêmes. Les règles de relecture et de documentation se transposent directement.
Passer à l’action
Notre audit IA compare vos pratiques à ces recommandations et propose un plan d’implémentation, avec la priorisation des cas d’usage. Nos formations Inside préparent les équipes, et notre offre d’implémentation accompagne la mise en place des outils. Pour en parler, contactez-nous.
Sources
- CNCC, « IA & Audit : Bonnes pratiques », fiches Introduction, juin 2025 : https://doc.cncc.fr/docs/fiches-bonnes-pratiques-ia-intro/attachments/cncc-fiches-ia-introduction
- CNCC, « IA & Audit : Bonnes pratiques », fiches Avancé, juin 2025 : https://doc.cncc.fr/docs/fiches-bonnes-pratiques-ia-avance/attachments/cncc-fiches-ia-avance
- CNCC, « IA & Audit : Bonnes pratiques 2025/2026 », fiches Avancé : https://doc.cncc.fr/docs/fiches-bonnes-pratiques-ia-niveaa2026/attachments/cncc-fiches-ia-avancev2
- Compta Online, H. Robert, « CNCC : un cadre pour l’usage de l’IA générative en audit », 25 novembre 2025 : https://www.compta-online.com/cncc-fiches-pratiques-ia-generative-ao8232
- Conseil canadien sur la reddition de comptes (CPAB), « L’utilisation de l’intelligence artificielle dans l’audit : équilibrer l’innovation et le risque », septembre 2024 : https://cpab-ccrc.ca/docs/default-source/thought-leadership-publications/2024-use-of-artificial-intelligence-in-the-audit-fr.pdf
Vous préférez en parler directement ? Appelez-nous au 01 42 41 85 13, écrivez à contact@pionarius.com ou réservez votre diagnostic IA gratuit de 30 minutes.
