Par Jean Latorzeff, membre du groupe de travail HackAudit de la CNCC, Partner at Forvis Mazars Group (Banking / AM + Innovation Watch and product owner).
La preuve d’audit en commissariat aux comptes désigne l’ensemble des éléments probants collectés par le commissaire aux comptes (CAC) pour fonder et documenter son opinion sur la régularité, la sincérité et l’image fidèle des comptes.
L’exercice de la profession de commissaire aux comptes est encadré par les NEP (Normes d’Exercice Professionnel) qui s’inspirent très largement des ISA (International Standards on Auditing)
, leur équivalent au niveau international (ces dernières sont souvent plus détaillées et nous vous en recommandons la lecture). Le Code de Commerce codifiait déjà certaines obligations professionnelles du CAC et les NEP sont maintenant elles aussi codifiées dans le code de commerce (partie réglementaire). Elles ont donc force de loi.
La NEP 230 — Documentation de l’audit des comptes — reprend les dispositions de l’article D.821-182 du code de commerce qui impose que chaque mission de certification des comptes donne lieu à la constitution d’un dossier de travail contenant la documentation de l’audit des comptes. L’objectif est d’étayer l’opinion et démontrer que l’audit a été réalisér dans le respect des textes légaux et réglementaires et conformément aux NEP. Pour cela il faut notamment que toute autre personne ayant une expérience de la pratique de l’audit et n’ayant pas participé à la mission puisse comprendre à la lecture du dossier comment l’audit a été planifié et réalisé et notamment
- la nature, le calendrier et l’étendue des procédures mises en œuvre,
- les caractéristiques qui permettent d’identifier les éléments qu’il a testés afin de préciser l’étendue des procédures mises en œuvre ;
- les résultats de ces procédures et les éléments collectés.
Le commissaire aux comptes formalise également dans son dossier les échanges intervenus avec la direction de l’entité ou avec d’autres interlocuteurs au titre des éléments significatifs des comptes.
Il formalise la documentation sur un support papier, un support électronique ou tout support permettant de conserver l’intégralité des données lisibles pendant la durée légale de conservation du dossier (6 ans et plus).
Il faut donc bien comprendre que
- le CAC est soumis à une obligation de formalisation qui devient un instrument de défense lorsqu’il est mis en cause ;
- ce qui n’est pas documenté n’existe pas ;
- la traçabilité des travaux et leur documentation sont donc deux éléments indispensables qui permettent au CAC de prouver qu’il a été diligent (c’est-à-dire qu’il a respecté les NEP).
La documentation porte sur de nombreux aspects de préparation (connaissance de l’entité, analyse des risques, définition de la stratégie d’audit et d’un programme de travail). Elle porte aussi sur les travaux mis en œuvre :
- l’évaluation du contrôle interne (test de procédures) lorsqu’il souhaite s’appuyer sur des contrôles existants au sein de la société : il s’agit ici d’apprécier si le contrôle interne couvre bien les risques que le CAC cherche à couvrir (conception et application) et qu’il a été correctement mis en œuvre (test de plusieurs occurrences).
- ses propres contrôles de substance (procédure analytique ou test de détail).
- La procédure analytique consiste à apprécier des informations financières à partir de leurs corrélations avec d’autres informations ou à l’analyse des variations ou des tendances inattendues. (par exemple si le prix de l’essence est de X et que la société de transport a parcouru Y kilomètres, le montant des frais de carburants devrait être proche ou égal à X * Y). Cela suppose d’avoir obtenu un confort suffisant sur le fait que X et Y sont des valeurs fiables.
- Les tests de détail : sondages sur pièces, recalculs, analyses de documents / reportings, demandes de confirmation de tiers, inventaire …
Les travaux que le CAC met en œuvre ont pour objectif de collecter des éléments de preuves ou des présomptions quant au respect d’une ou plusieurs assertions (NEP 500 — Caractère probant des éléments collectés —), sachant que les assertions sont les critères dont la réalisation conditionne la régularité, la sincérité et l’image fidèle des comptes : réalité des opérations (+ droits sur les actifs), exhaustivité (+ obligations sur les passifs), mesure-évaluation (bon montant), classification (bon compte), césure (bon exercice/année), présentation et intelligibilité pour l’information en annexe. Ces éléments doivent être suffisants et appropriés pour lui permettre de fonder son opinion sur les comptes.
Le caractère approprié est fonction de la qualité des éléments collectés, c’est-à-dire de leur fiabilité et de leur pertinence. Le degré de fiabilité des éléments collectés dépend de leur origine, de leur nature et des circonstances particulières dans lesquelles ils ont été recueillis. Ainsi, en principe :
- les éléments externes à l’entreprise auditée (documents clients, fournisseurs, avocats, banque ….) sont plus fiables que ceux d’origine interne (factures). Pour les éléments de preuve interne, le CAC collecte en plus des éléments concernant leur exactitude et leur exhaustivité (la signature client sur un bon de livraison par exemple) ;
- les éléments collectés d’origine interne sont d’autant plus fiables que le contrôle interne est efficace (ce qui suppose qu’il ait été testé par le CAC);
- bien entendu, les éléments obtenus directement par le commissaire aux comptes, par exemple lors d’une observation physique, sont plus fiables que ceux obtenus par des demandes d’information ;
- les éléments collectés (ou information) sont plus fiables lorsqu’ils sont étayés par des documents ;
- les documents originaux sont plus fiables que ceux constitués de copies.
La NEP 501 — Caractère probant des éléments collectés : applications spécifiques — donne des illustrations spécifiques à des cas particuliers : inventaire physique des stocks, analyse des procès ou contentieux et litiges, revue des immobilisations financières, des informations sectorielles données dans l’annexe des comptes.
On pourra retenir que les preuves d’audit doivent être conservées, que l’on doit comprendre quelles assertions elles permettent de couvrir, quelle est leur source (interne, externe, mixte), leur mode d’obtention (direct ou par demande), s’il s’agit d’originaux ou de copies falsifiables, et si elles sont corroborées par d’autres sources ou travaux.
Au cas particulier des preuves d’audit générées par l’IA il convient de retenir les éléments suivants : reproductibles, traçables, documentées. La réponse à un prompt ou la production d’un agent IA ne peut pas être utilisée comme une preuve d’audit si elle ne respecte pas a minima ses caractéristiques (ceci ne préjugeant par ailleurs pas de la qualité et de la pertinence du résultat produit)
Donc posez-vous la question : est-ce un élément de preuve formalisé, disponible, opposable à un tiers ?
