Un audit expert system est un logiciel qui reproduit le raisonnement d’auditeurs expérimentés sous forme de règles « si… alors », pour aider à évaluer un risque, juger un contrôle interne ou orienter une opinion. Il propose une conclusion argumentée, et l’auditeur garde la décision comme la responsabilité.
L’expression recouvre deux situations : le système expert qui assiste l’auditeur, et l’audit d’un système expert déjà en service dans l’entreprise. Les deux sont traités ici.
Ce qu’on appelle un système expert en audit
Un système expert est un programme qui émule la décision d’un spécialiste humain en raisonnant sur des connaissances, stockées surtout sous forme de règles et non dans un code procédural classique. Le principe vient de la recherche en intelligence artificielle symbolique, et la technique s’est répandue dans les entreprises au cours des années 1980.
En audit, la différence avec un logiciel de contrôle ou un tableur tient à la nature de ce qu’il manipule. Un tableur calcule sur des chiffres, alors que le système expert enchaîne des raisonnements qualitatifs : la nature de l’activité, la qualité du contrôle interne ou l’historique du client pèsent dans la conclusion.
Base de connaissances, moteur d’inférence, interface : comment il raisonne
Trois composants se partagent le travail. La base de connaissances contient les faits et les règles, rédigées avec des auditeurs expérimentés. Le moteur d’inférence applique ces règles aux faits connus pour en déduire de nouveaux. L’interface pose les questions à l’auditeur et affiche le résultat.
Le moteur travaille de deux façons. En chaînage avant, il part des faits saisis (par exemple le chiffre d’affaires et l’absence de séparation des tâches) et applique les règles jusqu’à une conclusion. En chaînage arrière, il part d’une conclusion possible, comme un risque élevé, et vérifie si les conditions sont réunies, quitte à demander à l’auditeur le fait qui manque.
Cette mécanique a un intérêt direct pour un dossier de travail : le système peut dire quelles règles il a appliquées pour arriver à sa conclusion. Formaliser ainsi le savoir-faire d’un expert du référencement ou d’un auditeur revient au même exercice : transformer une pratique de métier en règles écrites, discutables et révisables.
Les étapes de la mission où il intervient
La littérature a surtout appliqué ces systèmes aux étapes où le jugement pèse le plus : l’évaluation du risque d’audit, la fixation du seuil de signification, l’évaluation du contrôle interne, le choix des procédures à mener et l’aide à la formulation de l’opinion. Le système sert aussi à documenter le raisonnement dans le dossier.
Des systèmes ont aussi été conçus pour l’audit des systèmes d’information et pour l’audit de sécurité, où les règles portent sur les droits d’accès, les sauvegardes ou la séparation des environnements. Pour situer la démarche d’ensemble, la page sur l’audit fondé sur les systèmes décrit comment l’auditeur s’appuie sur la qualité des dispositifs de contrôle plutôt que sur le seul contrôle des opérations.
Ce qu’il apporte, ce qu’il ne sait pas faire
Le premier apport est l’homogénéité des jugements : deux équipes qui interrogent le même système sur un cas comparable obtiennent la même grille de lecture. Il fait gagner du temps sur les situations courantes, et il aide à former les auditeurs juniors, qui voient le raisonnement se dérouler règle après règle.
Les limites sont connues depuis les premiers déploiements :
- Recueillir la connaissance auprès des experts est difficile, parce que ces derniers sont rares et peu disponibles.
- La maintenance coûte cher : une règle devient fausse dès qu’une norme ou une pratique change, et décider où insérer une nouvelle règle n’a rien d’évident.
- Quand la base grossit, vérifier que les règles ne se contredisent pas devient un problème lourd.
- La connaissance reste superficielle, et un cas atypique peut recevoir une réponse inadaptée.
Reste le risque de confiance excessive. La conclusion d’un système expert est une aide, et le jugement professionnel de l’auditeur, tout comme sa responsabilité, restent entiers.
Auditer un système expert avant de s’y fier
Quand une entreprise confie des décisions à un système expert (acceptation de crédit, détection de fraude, classement de risques), ce système devient lui-même un objet d’audit. Le premier contrôle porte sur la validation de la base de règles : chaque règle correspond-elle à la pratique ou à la norme en vigueur, et les règles se contredisent-elles ?
Il faut ensuite vérifier la traçabilité des conclusions : le système doit conserver les faits saisis et les règles appliquées, afin qu’une décision puisse être rejouée. La gestion des versions de la base entre aussi dans le périmètre, ainsi que les contrôles d’accès, puisque modifier une règle revient à modifier la décision.
Enfin, l’auditeur confronte le système aux exigences de conformité réglementaire applicables au secteur, notamment sur la protection des systèmes critiques et la preuve des contrôles effectués.
Système expert et IA d’apprentissage dans l’audit d’aujourd’hui
Les modèles appris sur des données fonctionnent autrement : ils analysent des populations entières d’écritures et repèrent des anomalies, sans règle écrite à l’avance. Le système expert, lui, ne sait faire que ce que ses règles prévoient, mais chaque conclusion s’explique.
Cette explicabilité garde sa valeur dans un dossier d’audit, où l’auditeur doit pouvoir justifier ce qui fonde son opinion. Un audit expert system reste donc pertinent partout où le raisonnement doit être relu règle par règle, quitte à le coupler avec des outils d’analyse de données.
