Formation IA pour l'audit, le contrôle et la conformité : analyser des populations entières, repérer les anomalies, revoir contrats et pièces, et documenter chaque test pour qu'un autre auditeur puisse le refaire

Que saurez-vous faire à la fin de la formation, et que laisse-t-elle à d'autres ?

Un service d'audit teste depuis toujours une petite partie de ce qu'il contrôle : vingt-cinq factures sur dix mille, une quarantaine de paiements sur une année. L'échantillon n'était pas un choix de principe, mais une limite de temps. Les outils d'analyse de données, et désormais les assistants d'IA qui écrivent ces analyses à la demande, déplacent cette limite : un auditeur qui ne programme pas peut faire tester toute une population en une matinée. Le risque change aussi de nature. Un test faux sur dix mille lignes produit dix mille conclusions fausses, et une réponse d'assistant que personne ne peut refaire ne vaut rien dans un dossier.

Les objectifs se vérifient le dernier après-midi. Chaque participant sait demander une extraction et prouver qu'elle est complète, par les totaux, les bornes et l'empreinte du fichier. Il sait faire écrire par l'assistant un test de doublons, de fractionnement ou de rapprochement entre fichiers, puis l'éprouver sur un jeu où les anomalies sont connues. Il sait trier des exceptions, revenir à un échantillon tiré par un programme quand c'est le bon choix, extraire les clauses d'un lot de contrats en contrôlant l'extraction, et constituer un dossier qu'un collègue refait sans lui.

La formation laisse plusieurs sujets à d'autres. Le responsable qui conçoit les points de validation de son propre circuit apprend sa méthode dans IA dans les processus métier ; ici, on vérifie les contrôles des autres. La charte, l'inventaire des usages et le comité qui encadre l'IA relèvent de Gouverner l'IA dans l'entreprise. La préparation de la saisie et de la clôture par les services comptables est l'objet de IA pour comptables, et l'écriture de requêtes sur une base de données a sa propre fiche, présentée en bas de page.

Elle n'enseigne pas l'audit. Les participants connaissent leurs normes, leurs programmes de travail et leurs critères ; la formation leur apprend à faire travailler un outil sur ce qu'ils savent déjà juger. Elle ne délivre aucune certification professionnelle et ne promet aucune réduction de durée des missions : le gain dépend de la qualité des données, des droits d'extraction obtenus et de la régularité de l'usage. Elle ne remplace pas non plus l'avis d'un juriste sur une question de secret ou de données personnelles.

Pourquoi l'assistant écrit-il le test sans jamais en être le résultat ?

Un modèle de langage produit du texte probable. Quand on lui confie un fichier de vingt mille lignes en lui demandant combien de factures sont en double, il peut répondre un nombre plausible sans avoir comparé chaque ligne, tronquer le fichier sans le dire, ou donner un autre nombre si l'on repose la question le lendemain. Rien de cela n'est acceptable dans un dossier d'audit, où chaque conclusion doit pouvoir être refaite à l'identique. La règle enseignée dès la première matinée est donc simple : l'assistant écrit le test, un programme l'exécute, l'auditeur vérifie le programme.

Concrètement, la demande faite à l'assistant n'est jamais « trouve les doublons », mais « écris la formule, la requête ou le script qui trouve les doublons selon cette définition ». Le résultat est un objet stable : une étape Power Query, une formule de tableur, quelques lignes de Python. On peut le relire, le tester sur un jeu dont on connaît la réponse, le ranger au dossier et le relancer l'an prochain sur la population suivante. Plusieurs assistants exécutent eux-mêmes du code ; même alors, c'est le code produit et son résultat qui vont au dossier, pas la conversation.

Cette discipline règle aussi la question de la confidentialité. Un assistant à qui l'on décrit la structure d'un fichier, ses colonnes et trois lignes fictives peut écrire un script complet sans jamais voir les données réelles, qui restent sur le poste de l'auditeur. C'est la méthode par défaut de la formation pour les populations sensibles : la paie, les comptes de clients, les transactions d'une banque. Seuls les participants dont le service a autorisé un outil pour les données réelles l'utilisent sur des extraits pseudonymisés.

Une réponse d'IA peut-elle servir d'élément probant ?

Pas à elle seule. La norme 14.1 de l'IIA, dans sa version française publiée par l'Institut, demande des informations pertinentes, fiables et suffisantes, et précise qu'une information est d'autant plus fiable qu'elle est obtenue directement par l'auditeur ou d'une source indépendante, corroborée, et tirée d'un système doté de contrôles efficaces. Une phrase générée par un assistant ne remplit aucune de ces conditions : elle n'est ni une source, ni une observation, ni une pièce. Elle peut orienter une recherche, résumer un document que l'auditeur a lu, proposer une hypothèse ; la preuve reste la pièce, l'extraction contrôlée ou la confirmation obtenue.

Côté audit externe, la norme ISA 500 demande, lorsqu'on utilise une information produite par l'entité, d'évaluer si elle est suffisamment fiable, en obtenant au besoin des éléments sur son exactitude et son exhaustivité. Une extraction de l'ERP est exactement cela, d'où le temps consacré le premier après-midi aux contrôles de complétude. Le sujet bouge : le 5 août 2026, l'IAASB a publié un exposé-sondage qui révise ISA 330, ISA 500 et ISA 520 pour tenir compte de l'usage croissant de la technologie, avec une nouvelle définition de l'élément probant ; les commentaires sont attendus jusqu'au 15 décembre 2026.

Tant que ces textes restent des propositions, la formation s'en tient aux normes en vigueur et à une prudence simple. Ce que l'IA a produit est traité comme le travail d'un assistant débutant : utile, rapide, et revu avant de compter. Les participants apprennent à écrire au dossier ce que l'outil a fait, ce que l'auditeur a vérifié et sur quoi repose la conclusion. Pour les questions d'interprétation des normes, ils restent tenus par la doctrine de leur ordre professionnel, de leur direction de l'audit ou de leur cabinet.

Comment revoir des contrats et des pièces avec l'IA sans laisser passer une clause ?

La revue de contrats est l'usage où l'assistant fait gagner le plus de temps à un responsable conformité ou à un auditeur, et celui où il se trompe le plus discrètement. Il lit vite, résume bien, mais peut attribuer à un contrat la pénalité d'un autre, ignorer une annexe, ou déclarer « aucune clause de révision des prix » parce qu'elle figure dans un tableau mal reconnu. La méthode enseignée part donc d'une grille fermée : une liste de questions précises, la même pour tous les contrats, et pour chaque réponse la page et le paragraphe où elle se trouve.

Le tableau obtenu n'est pas une conclusion, mais une liste de vérifications. L'auditeur relit lui-même un sous-ensemble de contrats tirés au hasard, compare ligne à ligne et compte les erreurs. Si elles dépassent le seuil fixé avant l'exercice, tout le lot est relu, ou la grille est reformulée et l'extraction refaite. Les valeurs qui portent un risque, comme un montant plafond, une date d'échéance ou une clause d'exclusivité, sont vérifiées sur la pièce dans tous les cas. Ce partage permet de lire cent contrats au lieu de dix, sans prétendre que la machine les a lus à la place de l'auditeur.

L'intérêt principal vient ensuite, quand on confronte les contrats aux paiements. Un prix unitaire facturé au-dessus du prix convenu, un contrat échu qui continue d'être réglé, un fournisseur payé sans contrat au-delà du seuil prévu par la politique d'achats : ces écarts ne se voient qu'en croisant les deux sources. Les pièces posent des questions voisines. Une facture photographiée, un reçu manuscrit ou un relevé en mauvais état se lisent mal ; la formation apprend à mesurer le taux d'erreur de lecture sur ses propres documents avant de décider ce qui peut être confié à l'outil.

Comment protéger le secret professionnel et les données quand l'IA entre dans la mission ?

L'auditeur manipule ce que l'organisation a de plus confidentiel : paie, comptes de clients, contrats, soupçons de fraude. La norme 5.2 de l'IIA lui demande de respecter la confidentialité, la vie privée et la propriété de l'information recueillie, de ne rien divulguer à des parties non habilitées et de gérer le risque d'une divulgation par inadvertance ; le responsable de l'audit interne doit s'assurer que les personnes qui collaborent avec la fonction respectent les mêmes exigences. Un service d'IA hébergé à l'extérieur entre dans ce cadre : ce qu'il fait des données se vérifie avant d'y verser le moindre fichier.

Pour la profession comptable de la zone OHADA, le code d'éthique publié en application du règlement n° 01/2017/CM/OHADA fait de la confidentialité un principe fondamental et cite l'article 717 de l'Acte uniforme relatif aux sociétés commerciales, qui astreint le commissaire aux comptes et ses collaborateurs au secret pour les faits dont ils ont connaissance en raison de leurs fonctions. Le même code demande de prendre garde à une révélation par inadvertance. Une conversation avec un assistant grand public, ouverte sur un compte personnel, en est une forme moderne.

Les lois sur les données personnelles s'ajoutent au secret. Au Bénin, la loi n° 2017-20 portant code du numérique soumet, à son article 391, le transfert de données personnelles vers un État tiers à une protection jugée équivalente ; dans l'Union européenne, le RGPD impose la minimisation des données et un contrat avec tout sous-traitant. D'où trois réponses travaillées en séance : faire écrire le test sans montrer les données réelles, pseudonymiser l'extrait quand l'outil doit les voir, ou garder l'analyse sur un modèle installé dans le service. Le choix est noté au dossier pour chaque test.

La formation peut-elle être financée par un fonds de formation continue ?

Cela dépend du pays, du fonds et du dossier de l'organisation, et aucune prise en charge n'est promise ici. En Côte d'Ivoire, la page du FDFP sur le plan de formation, consultée le 5 octobre 2026, ouvre ce dispositif aux entreprises qui justifient du paiement régulier de leurs deux taxes de formation, et le remboursement n'intervient qu'après contrôle du fonds et approbation de sa Commission permanente. Au Sénégal, le 3FPT propose un guichet pour le personnel des entreprises, avec une demande en ligne.

Au Bénin, le décret n° 2022-286 du 11 mai 2022 a approuvé les statuts du FODEFCA, guichet de la formation professionnelle continue du secteur privé, qui laisse une part du coût à la charge du bénéficiaire. En France, France Compétences rappelle que l'accès aux fonds publics ou mutualisés exige, depuis le 1er janvier 2022, un prestataire certifié Qualiopi ; Richard SALANON ne détient pas cette certification et n'est agréé par aucun fonds africain. Le budget se construit donc sans aide, puis le fonds est interrogé par écrit, programme et devis en main.

Pour une formation d'auditeurs, le lien avec le poste se démontre facilement : le programme montre des tests et des dossiers de travail, et les participants exercent des fonctions de contrôle. Les feuilles de présence, le programme détaillé, la liste des documents produits et les attestations sont fournis dans tous les cas. Les règles connues de chaque dispositif sont rassemblées sur la page consacrée à la formation en entreprise.

Connexion, droit OHADA, données : que change le terrain en Afrique francophone et en Europe ?

Dans beaucoup de services d'audit d'Afrique de l'Ouest et centrale, la connexion reste irrégulière et les extractions sont lourdes. La méthode de la formation en tient compte : les populations ne transitent pas par un assistant en ligne, seuls la description des colonnes et quelques lignes fictives le font, et le script s'exécute sur le poste. Un test reste donc utilisable quand le réseau tombe. Les fichiers d'exercice sont copiés en local avant la session, et les séances à distance se préparent avec des extractions envoyées à l'avance.

Le droit des affaires est commun à une grande partie de la clientèle. Selon la page de l'OHADA consultée le 5 octobre 2026, le règlement n° 01/2017/CM/OHADA, adopté à Conakry le 8 juin 2017 et entré en vigueur le 1er janvier 2018, harmonise les normes, le code d'éthique et le système d'assurance qualité des professionnels de la comptabilité et de l'audit. Ce code définit la mission d'audit en référence, à titre d'exemple, aux normes internationales d'audit ISA. Des auditeurs de plusieurs pays de la zone peuvent ainsi partager une session et une même bibliothèque de tests, chacun vérifiant auprès de son ordre les textes qui le lient.

Les données suivent les lois nationales. Une population de paie ou de clients contient des données personnelles, et leur envoi vers un service hébergé hors du pays relève, au Bénin, de la loi n° 2017-20, comme du RGPD en Europe. Les monnaies comptent aussi : un franc CFA sans décimales, des montants en euros avec virgule, des séparateurs de milliers différents d'un logiciel à l'autre ; une conversion mal faite produit de faux doublons ou en masque de vrais. Enfin, le règlement européen sur l'IA concerne les services d'audit installés en Europe ou qui y interviennent.

Selon les questions et réponses de la Commission européenne mises à jour le 27 juillet 2026, l'obligation de maîtrise de l'IA de son article 4 est applicable depuis le 2 février 2025, avec contrôle et sanctions à partir du 3 août 2026 ; l'omnibus numérique sur l'IA, entré en vigueur mi-juillet 2026, la maintient pour les fournisseurs et les utilisateurs professionnels mais n'impose plus de niveau « suffisant ». Un service d'audit qui utilise ces outils a donc intérêt à garder la trace de la formation de ses membres, ce que l'attestation et le programme permettent.

Pourquoi suivre cette formation avec Richard SALANON ?

Richard SALANON est consultant en digitalisation et développeur logiciel, basé à Cotonou, au Bénin. Il crée des sites, des applications web et mobiles, des automatisations et des intégrations d'intelligence artificielle, déploie Odoo et Dolibarr, et forme les équipes à ces outils, pour des entreprises d'Afrique francophone, d'Europe et du Canada.

Il construit lui-même les systèmes que les auditeurs examinent : il déploie Odoo et Dolibarr, écrit les extractions et les connecteurs qui relient un logiciel de gestion à d'autres outils, et intègre l'IA dans des logiciels existants. Il sait donc où se cachent les tables utiles, comment se fabrique une extraction incomplète et ce qu'un script peut prouver ou non. Il a créé Wapy, un assistant WhatsApp à intelligence artificielle pour les entreprises d'Afrique francophone, et il est co-fondateur d'Audyxa. Formé à EPITECH (2022), il compte 6 ans d'expérience dans le numérique, déclare avoir formé plus de 200 personnes et a travaillé dans 15 pays.

Un point doit être clair : Richard SALANON n'est ni auditeur, ni commissaire aux comptes, ni expert-comptable, et ne signe aucune opinion. Il forme à l'usage des outils, à leur contrôle et à la traçabilité de leur emploi ; l'appréciation des risques, le choix des procédures et les conclusions restent l'affaire des auditeurs formés et de leurs normes. Il n'est certifié par aucun éditeur et ne se présente comme partenaire officiel d'aucun. Son parcours est détaillé sur la page Richard SALANON, et les pays où il intervient sur celle des zones d'intervention.

Les autres formations du domaine sont réunies sur la page IA dans vos systèmes existants, et l'ensemble du catalogue sur celle des formations. Quand un test doit devenir un contrôle automatique branché sur l'ERP, il relève d'une mission d'intégration de l'IA en entreprise. Pour choisir l'assistant que le service autorisera, le comparatif ChatGPT, Claude et Gemini résume les offres.