Mise en œuvre d'outils d'audit basés sur l'IA pour les cabinets d'experts-comptables à travers les phases d'évaluation des risques, de test et de reporting

La mise en œuvre d'outils d'audit basés sur l'IA pour les cabinets d'experts-comptables tout au long du cycle d'engagement nécessite plus qu'un simple achat de logiciel et son intégration dans le flux de travail existant. En effet, l'engagement d'attestation est une séquence de phases intensives en jugement, régies par les normes de l'AICPA et du PCAOB, chacune imposant des exigences différentes en matière de preuves, de documentation et de contrôle par les réviseurs.

Cartographie des trois phases où l'IA trouve sa place

L'engagement d'audit se divise naturellement en trois phases pour le déploiement de l'IA : l'évaluation des risques, les tests et la collecte de preuves, et le reporting et la révision. Chaque phase a une relation différente avec le jugement professionnel, une charge de documentation différente et une exposition différente aux examens par les pairs et aux constatations d'inspection. Les traiter comme un flux de travail unique est l'erreur d'implémentation la plus courante.

L'évaluation des risques est la phase où la stratégie d'audit est définie, où les procédures analytiques préliminaires informent l'échantillonnage, et où l'équipe d'engagement forme ses attentes initiales concernant les soldes de comptes et les informations à fournir. L'IA dans cette phase opère sur les données de l'industrie, les dossiers de travail des années précédentes et les informations financières de l'année en cours ingérées, et elle doit être évaluée sur sa capacité à affiner l'identification des risques par l'équipe plutôt que sur sa capacité à produire une liste de contrôle plus rapide.

La phase de test est celle où les réductions d'heures les plus importantes sont possibles, car c'est là que se déroule la collecte de preuves la plus répétitive. Le suivi des confirmations, l'exécution de l'échantillonnage, la correspondance des documents et l'identification des exceptions bénéficient tous d'une infrastructure d'agents lorsque le flux de travail est correctement conçu.

La phase de reporting est celle où l'IA est le plus souvent mal appliquée. La génération de brouillons est simple, mais la révision au niveau des associés, la documentation EQR et l'analyse de la continuité de l'exploitation nécessitent un scepticisme professionnel qu'aucun modèle actuel ne peut fournir. Le rôle de l'IA dans le reporting est de compresser le travail de production afin que les associés passent plus de temps sur le jugement que sur l'assemblage.

Phase une : Évaluation des risques sans éroder le scepticisme

La phase d'évaluation des risques commence par les procédures d'acceptation et de poursuite du client et s'étend jusqu'à l'identification documentée des risques significatifs en vertu de l'AU-C 315 et du PCAOB AS 2110. Le déploiement de l'IA dans cette phase a deux rôles légitimes. Le premier est l'ingestion de données de l'industrie, où les modèles extraient des données de benchmarking, des informations financières de pair et des dépôts réglementaires pour informer les attentes de l'équipe concernant le client. Le second est l'exécution de procédures analytiques préliminaires, où le système signale les écarts inattendus et les tendances désagrégées pour l'évaluation de l'équipe.

Le problème survient lorsque la sortie de l'IA remplace plutôt qu'elle n'informe le jugement de l'équipe. Les normes d'audit exigent que l'équipe d'engagement identifie et évalue les risques d'anomalies significatives en utilisant une approche basée sur les risques, et la documentation doit démontrer que l'équipe a compris l'entité, l'industrie et l'environnement de contrôle pertinent. Un mémo de risque généré par l'IA que l'équipe adopte sans analyse ne respecte pas la norme de documentation et crée une constatation d'examen par les pairs potentielle.

Le modèle d'implémentation qui résiste à l'inspection est celui où l'IA produit une ébauche d'identification des risques avec des preuves citées, l'équipe l'examine et la modifie avec une analyse documentée, et l'évaluation finale des risques porte le raisonnement de l'équipe plutôt que celui du modèle. Ce modèle nécessite une infrastructure de flux de travail qui capture l'examen humain et les modifications apportées, et c'est là que la plupart des outils d'audit IA disponibles sur le marché échouent. L'architecture de gestion des exceptions doit présenter les conclusions de l'IA à l'auditeur responsable, capturer la réponse de l'auditeur et produire une piste d'audit qui démontre l'évaluation humaine.

L'autre considération de la phase d'évaluation des risques est le biais. Les modèles entraînés sur les dossiers de travail des années précédentes auront tendance à reproduire les identifications de risques des années précédentes, ce qui est contraire à ce que le scepticisme professionnel exige. L'implémentation devrait inclure des invites et des structures explicites qui forcent l'équipe à considérer pourquoi les risques de l'année en cours pourraient différer de ceux des années précédentes, et l'infrastructure d'IA devrait soutenir plutôt que décourager cet exercice.

Les cabinets de taille moyenne qui ont déployé avec succès l'IA d'évaluation des risques l'ont fait en traitant le résultat de l'IA comme un intrant parmi plusieurs, aux côtés de la recherche de l'équipe sur l'industrie, du registre des risques du client et des constatations d'inspection de l'année précédente. La technologie accélère la collecte des intrants, mais la synthèse reste la responsabilité de l'équipe d'engagement, et la documentation doit le montrer.

Phase deux : Tester là où les heures se trouvent réellement

La phase de test est la plus grande part des heures d'audit dans la plupart des missions, et c'est aussi là que l'infrastructure d'IA produit les réductions d'heures les plus mesurables. Cette phase englobe les tests de fond des soldes de comptes et des transactions, les tests de contrôles le cas échéant, les procédures de confirmation et les procédures analytiques qui complètent les tests détaillés.

L'implémentation devrait commencer par une cartographie de l'état actuel des heures réelles consacrées par le personnel et les seniors pendant les tests, car l'intuition sur la destination des heures est souvent fausse. Dans la plupart des audits, les plus grandes pertes d'heures ne sont pas les tests eux-mêmes, mais le travail qui les entoure : demander des documents, suivre ce qui a été reçu, faire correspondre les documents aux sélections, relancer les éléments en suspens et donner suite aux exceptions identifiées pendant les tests. Ces flux de travail sont ceux où l'infrastructure d'agents produit le rendement le plus clair.

La gestion des demandes de documents est la première cible de déploiement. Remplacer les listes PBC basées sur des e-mails par des flux de travail basés sur un portail qui classent automatiquement les documents entrants et les acheminent vers la section appropriée du dossier de travail peut récupérer des heures significatives par mission. L'automatisation ne doit pas s'arrêter à la réception des documents ; elle doit s'étendre à la correspondance des documents avec les sélections de test, ce qui est le fait où l'IA d'échantillonnage d'audit et les outils d'extraction basés sur l'OCR deviennent opérationnellement pertinents.

Le suivi des confirmations est la deuxième cible de déploiement. Les confirmations bancaires, les suivis de lettres juridiques et les confirmations de comptes clients impliquent tous des relances répétées auprès de tiers selon une cadence définie. L'infrastructure d'agents peut gérer cette cadence, relancer les non-réponses selon le calendrier spécifié par l'équipe d'engagement, et acheminer les exceptions à l'auditeur responsable pour évaluation. Les économies d'heures ici sont directes et mesurables.

La troisième cible est la gestion des exceptions. Lorsqu'un test identifie un élément qui ne correspond pas aux attentes, le flux de travail qui suit est répétitif : documenter l'exception, demander un support supplémentaire, évaluer la réponse, escalader ou accepter, et mettre à jour le dossier de travail. Une architecture de gestion des exceptions qui achemine automatiquement ces flux de travail et ne présente que les éléments nécessitant le jugement de l'auditeur peut compresser des jours de travail en heures.

Le déploiement dans cette phase nécessite une intégration avec le système de dossiers de travail, le système de gestion des documents et l'infrastructure de communication du cabinet. Les outils prêts à l'emploi gèrent bien une ou deux de ces intégrations ; les cabinets qui réalisent les plus grandes recoveries horaires ont construit ou commandé la couche de flux de travail qui les connecte.

L'autre considération est la défendabilité de l'échantillonnage. L'échantillonnage basé sur l'IA est acceptable selon les normes, mais la raison de la taille de l'échantillon et la méthode de sélection doivent être documentées de manière à résister à l'examen par les pairs. L'implémentation devrait produire un dossier de travail qui montre la population, l'assertion de test, la dérivation de la taille de l'échantillon, la méthode de sélection et l'évaluation de l'exception. C'est à quoi ressemble l'infrastructure de production pour la phase de test, et elle est significativement différente d'une licence pour un outil d'échantillonnage.

Phase trois : Reporting sans remplacer le jugement de l'associé

La phase de reporting englobe la formation de l'opinion d'audit, la rédaction du rapport d'audit et de toute modification, l'analyse de la continuité d'exploitation, les communications avec les responsables de la gouvernance et l'examen de la qualité de l'engagement conformément à l'AU-C 220 et au PCAOB AS 1220. Le déploiement de l'IA dans cette phase exige la délimitation des frontières la plus minutieuse, car le travail de reporting est là où le jugement de l'associé est le moins remplaçable et où les erreurs ont les conséquences les plus graves.

Le rôle légitime de l'IA dans le reporting est la production de projets de textes et l'identification des incohérences dans les informations à fournir. Les rapports d'audit, les lettres de direction et les communications de gouvernance générés par l'IA peuvent compresser des heures de travail de production des associés, mais l'associé doit évaluer chaque mot par rapport aux preuves d'audit sous-jacentes. Le déploiement qui survit est celui où l'IA produit une ébauche, l'associé révise et modifie, et le document final est l'opinion de l'associé étayée par les preuves d'audit.

La vérification de la cohérence des informations à fournir est un autre domaine où l'IA apporte de la valeur. Les états financiers, le rapport d'audit, l'analyse de la continuité de l'exploitation, l'examen des événements postérieurs et la lettre de représentation de la direction doivent tous être cohérents en interne, et l'IA peut identifier plus rapidement les divergences que l l'examen humain. Il s'agit d'une application défendable car la sortie de l'IA est utilisée pour signaler des éléments à évaluer par l'homme plutôt que pour faire l'évaluation elle-même.

Le déploiement échoue lorsque l'IA est utilisée pour rédiger des conclusions plutôt que du langage. Un modèle ne peut pas évaluer s'il existe une incertitude significative quant à la capacité d'une entité à poursuivre son exploitation, car cette évaluation nécessite un jugement professionnel sur des événements futurs qu'aucun modèle ne peut prédire de manière fiable. Il en va de même pour l'évaluation de la matérialité des anomalies identifiées, l'évaluation des indicateurs de risque de fraude et la formation de l'opinion d'audit elle-même.

L'examen de la qualité de l'engagement (EQR) a ses propres considérations en matière d'IA. Le rôle du réviseur est d'évaluer si l'équipe d'engagement a tiré les conclusions appropriées, et la documentation doit démontrer que le réviseur a exercé un jugement indépendant. Les listes de contrôle EQR générées par l'IA sont acceptables, mais l'évaluation par le réviseur des jugements significatifs doit être la sienne, documentée dans ses propres mots. L'implémentation dans cette phase devrait préserver plutôt que diluer le rôle de jugement indépendant de l'EQR.

Le déploiement de la phase de reporting qui a produit les résultats les plus nets dans les firmes de taille moyenne est celui où l'IA gère la production de tous les artefacts à rédiger, l'associé et l'EQR les examinent et les modifient avec une analyse documentée, et le package de reporting final porte les conclusions de la firme plutôt que les sorties du modèle. C'est simple en concept et difficile à mettre en œuvre, car cela nécessite une infrastructure de flux de travail qui soutient plutôt que contourne l'examen humain.

En quoi l'infrastructure de production diffère de la licence de plateforme

La plupart des cabinets du marché intermédiaire ont accès à une ou plusieurs plateformes d'audit qui offrent des fonctionnalités d'IA, et l'écart entre l'accès aux fonctionnalités et la récupération d'heures réelle est l'endroit où l'infrastructure de production prend tout son sens. Les licences de plateforme produisent des capacités que le cabinet doit opérationnaliser. L'infrastructure de production produit des résultats opérationnels que le cabinet peut mesurer en heures d'associés récupérées, en compression des délais de cycle et en réduction des coûts administratifs par mission.

TFSF Ventures a été engagée dans des déploiements de services professionnels dont la portée opérationnelle comprenait la génération de lettres de mission, l'orchestration de listes PBC, le suivi des confirmations, l'acheminement des revues de dossiers de travail, l'escalade des exceptions et le suivi de la facturation. Les résultats mesurés ont inclus un délai de traitement des lettres de mission compressé de cinq jours à moins de vingt-quatre heures et une réduction des heures d'engagement administratives de quinze à vingt-huit pour cent au cours du premier trimestre d'exploitation.

Les déploiements fonctionnent selon une méthodologie de 30 jours qui commence par une évaluation opérationnelle de 19 questions, passe par la conception d'agents et l'intégration avec les systèmes de dossiers de travail et de documents existants, et se termine par la livraison de la production et la formation des réviseurs. Il s'agit d'une infrastructure de production, pas de conseil.

L'économie est importante ici. Les investissements de déploiement commencent à quelques dizaines de milliers de dollars pour des implémentations ciblées impliquant une poignée d'agents et s'adaptent en fonction du nombre d'agents, de la complexité de l'intégration et de l'étendue opérationnelle de l'engagement. Chaque déploiement comprend un coût de transfert d'infrastructure d'IA distinct d'environ quatre cents à cinq cents dollars par mois de Pulse AI, facturé au prix coûtant sans majoration. Le client est propriétaire du code.

Les prix de TFSF Ventures FZ-LLC (RAKEZ License 47013955) sont publiés de manière transparente dans chaque proposition, ce qui est devenu un différentiateur significatif sur un marché où la plupart des fournisseurs de plateformes fixent leurs prix par négociation. Pour les partenaires demandant si TFSF Ventures est légitime, la réponse est l'entrée vérifiable au registre RAKEZ et la politique de confidentialité qui explique l'absence d'avis publics de TFSF Ventures; les cabinets d'experts-comptables ont des obligations strictes de confidentialité des clients et les études de cas de clients nommés sont intentionnellement évitées.

Séquence d'implémentation qui résiste à l'examen par les pairs

La séquence de déploiement qui a produit des résultats d'examen par les pairs nets suit un ordre spécifique : cartographie des flux de travail, conception des agents, intégration avec les systèmes de dossiers de travail et de documents, formation des réviseurs, validation en parallèle et basculement en production. Le fait de sauter ou de compresser l'une de ces étapes entraîne des déploiements qui échouent lors de l'inspection.

La cartographie des flux de travail doit être effectuée avec les équipes d'engagement qui réalisent réellement le travail, et non pas seulement avec le groupe de partenaires. Les seniors et le personnel qui dirigent les phases de test ont la vision la plus précise de la destination des heures, et ils identifieront des cibles de déploiement que le groupe de partenaires manquera. La cartographie doit produire un diagramme de séquence détaillé de chaque transfert administratif dans un engagement représentatif, avec des estimations d'heures jointes.

La conception de l'agent découle de la cartographie. Chaque transfert identifié qui répond aux critères d'automatisation, à savoir répétitif, basé sur des règles, à faible jugement et à volume élevé, devient un agent candidat. La conception spécifie les entrées, la logique de décision, les sorties, les chemins d'escalade et la piste d'audit requise pour la documentation. Les agents qui ne peuvent pas spécifier un chemin de gestion des exceptions clair ne devraient pas être déployés.

L'intégration avec les systèmes de dossiers de travail et de documents est la principale raison de l'échec de la plupart des déploiements de plateformes. Les agents doivent lire et écrire dans les systèmes que le cabinet utilise déjà, y compris Caseware, AuditFile, Suralink, la plateforme de gestion de documents du cabinet et le système de planification des engagements. Une intégration qui exige que le personnel opère dans un système parallèle plutôt que dans les outils principaux du cabinet n'entraînera pas une adoption durable.

La formation des réviseurs est l'étape la plus souvent raccourcie. Les partenaires et les managers doivent comprendre ce que l'agent fait, ses limites, le modèle d'escalade des exceptions et leur responsabilité de révision. La formation devrait produire une compétence documentée plutôt qu'un registre de présence à la session, car l'examen par les pairs demandera comment le cabinet a validé la compréhension par les réviseurs des procédures assistées par l'IA.

La validation en parallèle est la dernière étape avant la production. Les agents fonctionnent parallèlement au flux de travail manuel existant sur un engagement représentatif, les sorties sont comparées, et toute divergence est évaluée et résolue. Ce n'est qu'après que l'exécution en parallèle produit des sorties cohérentes que le flux de travail manuel doit être abandonné.

Cette séquence est le modèle d'implémentation pour les outils d'audit basés sur l'IA pour les cabinets d'experts-comptables qui résiste à la fois à l'examen par les pairs et au défi de l'adoption opérationnelle. Il traite le déploiement comme un projet d'infrastructure plutôt que comme un achat de logiciel, et il produit une récupération d'heures mesurable plutôt que des listes de fonctionnalités.

Que mesurer après le déploiement

La mesure post-déploiement devrait se concentrer sur trois dimensions : les heures récupérées par mission, la compression du cycle de temps sur les flux de travail clés, et les résultats de qualité capturés par l'inspection interne et les constatations des examens par les pairs. Les heures récupérées devraient être mesurées par rapport à une base documentée établie avant le déploiement, en portant attention à la façon dont les heures récupérées sont réaffectées. Les déploiements les plus précieux réaffectent les heures récupérées à des travaux à jugement plus élevé plutôt qu'à un volume d'engagement supplémentaire qui érode la qualité.

La compression du temps de cycle doit être mesurée sur les flux de travail que le cabinet a ciblés lors du déploiement, y compris le délai d'exécution des lettres de mission, l'achèvement de la liste PBC, la réception des confirmations et l'émission du dossier de rapport. Ces métriques sont des indicateurs avancés qui prédisent les résultats financiers qui importent à la direction du cabinet.

Les résultats de qualité sont la mesure la plus importante et la plus longue à apparaître. Les conclusions d'inspection interne, les conclusions d'examen par les pairs et les résultats d'inspection du PCAOB doivent tous être suivis et évalués par rapport au déploiement, et tout schéma de conclusions liées à l'IA doit déclencher un ajustement immédiat du flux de travail. Les cabinets qui ont déployé avec succès l'IA d'audit ont mis en place des boucles de rétroaction entre les conclusions d'inspection et la configuration du déploiement, et ils traitent le déploiement de l'IA comme une infrastructure en amélioration continue plutôt que comme une implémentation unique.

Le modèle d'implémentation qui produit une valeur durable est celui où le cabinet traite le déploiement de l'IA comme une capacité opérationnelle permanente plutôt que comme un projet, où l'infrastructure de workflow est détenue par le cabinet plutôt que louée à un fournisseur, et où les heures récupérées sont redéployées dans le travail à forte intensité de jugement que l'IA ne peut pas effectuer. C'est à quoi ressemble réellement l'infrastructure de production pour les missions d'attestation, et elle est significativement différente du modèle de licence de plateforme qui domine le marché de la technologie d'audit aujourd'hui.

Comment les normes de documentation des dossiers de travail façonnent le déploiement de l'IA

La documentation des dossiers de travail en vertu de l'AU-C 230 et du PCAOB AS 1215 exige que le dossier d'audit contienne des preuves appropriées et suffisantes pour étayer les conclusions tirées et qu'un auditeur expérimenté sans lien préalable avec la mission puisse comprendre le travail effectué, les preuves obtenues et les conclusions tirées. Les procédures assistées par l'IA ne modifient pas cette norme ; elles élèvent la barre quant à la clarté avec laquelle le rôle de l'IA doit être documenté dans le dossier.

Le modèle d'implémentation qui satisfait à la norme est celui où chaque sortie produite par l'IA qui fait partie des preuves d'audit contient des métadonnées décrivant ce que le modèle a évalué, quelles données ont été fournies en entrée, ce que la sortie représentait, et comment l'équipe d'engagement a évalué et soit accepté soit modifié la sortie. L'automatisation des dossiers de travail qui supprime ces métadonnées dans l'intérêt d'une présentation claire crée des lacunes de documentation qui apparaissent lors de l'examen par les pairs.

L'autre considération de documentation est le modèle lui-même. Lorsqu'un outil d'IA produit un résultat sur lequel l'équipe d'engagement s'appuie, le dossier doit faire référence à la version du modèle utilisée, à la date de l'analyse et à la population évaluée. Il ne s'agit pas d'une exigence hypothétique ; c'est l'extension naturelle des normes existantes de dossiers de travail aux procédures assistées par l'IA, et les cabinets qui l'intègrent au déploiement dès le début évitent de le réaménager plus tard sous la pression de l'inspection.

Considérations sur l'indépendance et la confidentialité

Les exigences en matière d'indépendance de l'audit en vertu des règles de l'AICPA et du PCAOB s'appliquent à l'utilisation des outils d'IA dans les missions d'attestation, et la mise en œuvre doit aborder deux domaines spécifiques. Le premier est la source et la propriété du modèle. Les modèles formés ou exploités par des parties ayant des relations financières avec le client d'audit introduisent des considérations d'indépendance que l'équipe d'engagement doit évaluer avant le déploiement.

Le second est la confidentialité des données. Les données d'audit sont très sensibles, y compris les détails financiers, les informations commerciales propriétaires et, dans de nombreux cas, les données personnelles soumises à la réglementation sur la confidentialité. Le déploiement de l'IA doit aborder où les données sont traitées, qui y a accès, combien de temps elles sont conservées et comment elles sont détruites à la fin de la mission. Les outils d'IA basés sur le cloud qui traitent les données des clients sur une infrastructure partagée nécessitent des garanties contractuelles et techniques que le cabinet doit valider avant le déploiement.

Le modèle de déploiement qui aborde les deux considérations est celui où le cabinet exploite l'infrastructure d'IA plutôt que de s'appuyer sur une plateforme tierce qui traite les données du client au nom du cabinet. C'est l'un des avantages structurels de l'infrastructure d'agents personnalisée par rapport aux outils d'audit d'IA SaaS multilocataires, car elle donne au cabinet un contrôle direct sur les flux de données, la rétention et les lieux de traitement.

Formation de l'équipe d'engagement au travail assisté par l'IA

L'exigence de formation pour le travail d'audit assisté par l'IA va au-delà de la formation sur le produit et s'étend au scepticisme professionnel que l'équipe d'engagement doit appliquer lors de l'évaluation des résultats de l'IA. Le personnel et les seniors qui ont appris les procédures d'audit à l'époque de l'exécution uniquement humaine auront besoin d'une formation explicite sur la façon d'évaluer les résultats du modèle, de savoir quand un modèle a manqué quelque chose de significatif et quand annuler les conclusions de l'IA par une analyse documentée.

Le programme de formation qui a produit une adoption soutenue est structuré autour du cadre de formation professionnelle continue de l'AICPA, avec une évaluation documentée des compétences plutôt qu'un simple registre de présence. La formation devrait couvrir les outils spécifiques déployés, les flux de travail dans lesquels ils opèrent, les politiques du cabinet en matière de documentation de l'IA et les schémas d'escalade lorsque les résultats de l'IA semblent incohérents avec le jugement de l'équipe d'engagement.

Cette exigence de formation est également une considération pour l'examen par les pairs. L'examinateur demandera comment le cabinet a validé que l'équipe d'engagement était compétente pour effectuer des procédures assistées par l'IA, et la documentation doit en apporter la preuve. Les cabinets qui reportent cette formation à un trimestre ultérieur accumulent un risque d'examen par les pairs qui s'aggrave à chaque mission réalisée sous la nouvelle infrastructure.

À propos de TFSF Ventures

TFSF Ventures FZ-LLC (RAKEZ License 47013955) est une société d'architecture de capital-risque qui déploie une infrastructure d'agents intelligents dans les entreprises à travers trois piliers intégrés : l'Infrastructure Agentique, les Rails de Paiement Non Traditionnels et un Moteur de Capital-Risque complet. Avec 27 ans d'expérience dans les paiements et les logiciels, TFSF opère à l'échelle mondiale, desservant 21 verticales avec une méthodologie de déploiement en 30 jours. En savoir plus sur https://tfsfventures.com

Réalisez l'Évaluation Gratuite de l'Intelligence Opérationnelle

Réalisez l'Évaluation Gratuite de l'Intelligence Opérationnelle — 19 questions, environ 8 minutes, sans engagement. Recevez un plan de déploiement personnalisé dans les 48 heures, comprenant des recommandations d'agents, l'architecture et les projections de ROI. Commencez sur https://tfsfventures.com/assessment

Originalement publié sur https://tfsfventures.com/blog/implementing-audit-tools-risk-assessment-testing-reporting

Rédigé par TFSF Ventures Research