Audit continu

Fonctionnement

Dans les dossiers que nous voyons, l'échec se présente toujours pareil. Une équipe configure trois règles dans le système de facturation au mois de mai, génère un rapport d'exception chaque vendredi, et arrive en novembre avec 1 200 lignes (une usine à gaz d'exceptions) que personne n'a triées. Le rapport est joint au dossier. La revue passe. Mais aucune des règles n'a été reliée à un risque identifié dans le papier de planification. Ce qui se passe réellement, c'est que la règle existe parce que le module ERP la propose, pas parce que l'évaluation des risques l'exige.

L'ISA 315.33(a) impose de comprendre le système d'information de l'entité, y compris ses capacités de contrôle. Si le système de l'entité permet un audit continu, il devient utilisable pour réduire le travail manuel à la clôture. L'ISA 330.29 autorise les tests continus comme moyen de satisfaire aux exigences de procédures substantives. La norme ne dit pas l'inverse : elle ne vous demande pas de configurer des règles parce que la technologie existe.

La zone grise commence à l'étape de la définition des règles. Vous fixez des seuils de montant, des codes comptables interdits, des délais de rapprochement. Le système les applique à chaque transaction enregistrée, et toutes les anomalies sont capturées dans un rapport. Vous testez ensuite le rapport, pas le grand livre. Le seuil choisi n'est jamais innocent : un seuil au doigt mouillé qui ne descend pas en dessous de l'anomalie tolérable de l'ISA 320 fabrique un rapport propre et un dossier creux.

Exemple pratique : Société Méridionale Logistique SARL

Client : distributeur français basé à Marseille, chiffre d'affaires 28 M EUR, référentiel IFRS, exercice 2024.

Étape 1 : identifier la classe de transactions à surveiller

Après la compréhension des risques (l'ISA 315 exige cette compréhension), l'équipe a choisi les factures de vente. Raison : volume élevé (3 200 factures par mois), faible valeur unitaire moyenne (8 800 EUR), mais un risque identifié de reconnaissance anticipée de chiffre d'affaires en fin d'année.

Note de documentation : papier de travail de planification ISA 330, section "Procédures substantives", mention des seuils de test continu et de la raison du choix de cette classe.

Étape 2 : configurer les règles d'audit continu

L'équipe a configuré trois contrôles automatisés dans le système de facturation : - Règle 1 : chaque facture datée dans les 10 jours suivant la clôture mais enregistrée avant la clôture (zone dangereuse ISA 940.A1). - Règle 2 : chaque facture d'un client nouvellement créé dans le dernier trimestre de l'année (clients fictifs). - Règle 3 : chaque facture de plus de 100 000 EUR (anomalies significatives potentielles).

Note de documentation : copie des paramètres configurés dans le système, signée par le gestionnaire informatique et l'auditeur responsable. Approuvée par l'associé responsable.

Étape 3 : laisser le système collecter les données

De janvier à décembre 2024, le système a exécuté ces règles chaque jour de la semaine. 247 transactions ont déclenché au moins une règle au cours de l'année. Ces transactions ont été capturées dans un rapport Excel généré automatiquement tous les vendredis.

Note de documentation : rapport de synthèse du système pour la période complète, joint au dossier permanent sous "Audit continu. Factures de vente : 2024".

Étape 4 : évaluer les anomalies signalées

L'équipe a examiné les 247 transactions. Résultats : - 156 factures tombaient dans la zone dangereuse ISA 940 mais correspondaient à des livraisons légitimes datées avant la clôture (confirmé par bons de livraison). Aucune anomalie. - 68 factures provenaient de clients nouvellement créés. Neuf n'avaient pas de contrat de vente en dossier (anomalie). L'équipe a demandé à la direction de présenter les contrats. Six contrats ont été fournis. Trois factures (21 000 EUR au total) ont été identifiées comme non authentifiées. Elles ont été ajustées. - 23 factures de plus de 100 000 EUR. Aucune anomalie documentée.

Une complication est apparue à cette étape. Trois transactions des 247 ont déclenché deux règles à la fois (une facture supérieure à 100 000 EUR sur un client nouvellement créé, deux variantes du même cas). La question pratique : faut-il les compter comme trois ou comme six anomalies dans la matrice d'exception ? Nous avons retenu trois. La raison : la matrice d'exception sert à tracer le travail substantif effectué, et la même transaction n'exige qu'un seul jeu de procédures même si elle déclenche deux règles. Compter six aurait artificiellement gonflé le numérateur du taux d'exception et faussé le pilotage de l'année suivante.

Note de documentation : matrice d'exception, listant chaque transaction déclenchée, le motif (ou les motifs concomitants), la procédure substantive appliquée, le résultat, et la conclusion.

Étape 5 : intégrer dans la documentation d'audit

Les trois factures annulées (21 000 EUR au total) ont été enregistrées comme anomalies identifiées et rapportées à la direction. Aucune n'était significative au niveau quantitatif (0,07 % du chiffre d'affaires). Mais leur identification reposait sur la procédure d'audit continu, pas sur le jugement ex post facto. L'ISA 330 était satisfait.

Conclusion

L'audit continu a identifié une anomalie qu'un échantillonnage classique aurait probablement manquée. Les trois factures non authentifiées seraient sans doute passées inaperçues dans un test de 50 transactions post-clôture.

Ce que les réviseurs et les praticiens se trompent

Sous-traiter le rapport d'exception sans valider les règles. Une équipe a récemment configuré une règle "écarts de prix" et a supposé que toutes les anomalies signalées étaient justifiées. Aucune n'avait été validée. Quand un test de validation a été effectué, 40 % des exceptions étaient du bruit (variations de prix normales acceptées par la direction). Le rapport lui-même était fiable. Les règles n'étaient pas documentées. L'ISA 315.33(a) impose de comprendre comment le système d'information génère les chiffres : configurer un audit continu sans valider les règles, les seuils ou la collecte de données revient à tester un processus que vous ne comprenez pas. La zone grise tient à ce que la norme ne fixe pas de protocole de validation des règles. Le jugement professionnel s'applique au choix des tests de cohérence à effectuer sur un échantillon pilote avant de laisser tourner le système toute l'année.

Configurer la technologie avant d'identifier le risque. Une équipe d'une autre mission a configuré un audit continu pour détecter des anomalies sans définir lesquelles étaient probables. Le résultat : 1 200 exceptions signalées en six mois. Aucune n'a été jugée significative. Les collaborateurs ont passé quatre semaines à évaluer du bruit. La fois suivante, les risques ont été cartographiés d'abord, puis trois règles ont été configurées : 87 exceptions signalées sur la même période, dont neuf ont conduit à des ajustements. La norme est claire en théorie. L'ISA 315 exige l'évaluation des risques avant la conception des procédures. L'ISA 330.29 présuppose que les procédures substantives répondent à un risque identifié. La zone grise ne porte pas sur la séquence (qui est imposée), mais sur la résistance organisationnelle à respecter cette séquence quand le commercial a déjà vendu "l'audit continu" au client.

Pourquoi cette inversion se produit-elle si souvent ? Parce que vendre la mission au partner ou au client suppose de montrer que le cabinet utilise de l'IA et de l'audit continu. La méthodologie qui rattache chaque règle à un risque ISA 315 est invisible au moment de la vente. Le module ERP qui clignote dans la démo, lui, est très visible. La pression structurelle pousse les équipes à configurer d'abord parce que le livrable visible est la règle qui tourne, pas le papier de planification qui la justifie.

Confondre l'audit continu avec la surveillance des contrôles de gestion. L'audit continu teste les transactions. La surveillance des contrôles de gestion teste si les contrôles fonctionnent. Un rapport d'exception qui montre 200 factures avec des délais tardifs n'est pas une conclusion que le contrôle "fonctionne bien". C'est une indication que 200 transactions méritent un examen plus approfondi. L'ISA 330.29 exige une procédure substantive, pas une assurance de fonctionnement du contrôle.

Désaccord légitime entre associés

Une fois les règles validées et reliées aux risques, deux écoles s'opposent sur leur articulation avec le test substantif classique.

L'associé A configure les règles d'audit continu en plus d'un échantillon substantif normal. Sa logique : la défense en profondeur. Si la règle rate une assertion (parce que le seuil est mal calé ou parce que le risque a évolué en cours d'année), l'échantillon classique récupère. Le coût est un dossier plus lourd et des honoraires plus élevés.

L'associé B remplace l'échantillon substantif par les tests continus quand les règles couvrent l'assertion testée de façon démontrable. Sa logique : tester deux fois la même assertion ne crée pas d'assurance supplémentaire et brûle du budget. La position est défendable au sens de l'ISA 330 si la couverture des règles est documentée et si la matrice d'exception trace explicitement chaque assertion.

Les deux positions tiennent. Le choix dépend du profil de risque du dossier et de la maturité du système d'information de l'entité. Sur une première année avec audit continu, le cumul des deux approches est prudent ; sur une troisième année avec règles stables et population qui n'a pas changé, la substitution devient raisonnable.

Termes connexes

- ISA 315 (Révisée 2019) : exigences pour comprendre l'entité et ses systèmes d'information. Fournit le fondement de la conception des procédures d'audit continu. - ISA 330 : norme pour les procédures substantives. L'audit continu est une forme de procédure substantive. - Procédures de test des contrôles : les tests continus peuvent aussi documenter la performance des contrôles, bien que l'ISA 330 les classe d'abord comme procédures substantives. - Seuil de matérialité : les seuils configurés dans un audit continu doivent être liés à l'anomalie tolérable fixée à la phase de planification (ISA 320). - Audit informatisé : terme plus large pour l'utilisation de la technologie en audit. L'audit continu en est un type spécifique.

---