Flux de travail d'IA pour l'éthique, l'indépendance, la confidentialité et l'audit de bout en bout — Intelligence artificielle dans l'audit et l'audit indépendant

Gains :

Capacité à comprendre les principes d'indépendance et de confidentialité dans le cadre de l'utilisation de l'intelligence artificielle et à choisir un véhicule sécurisé, contractuel et suivi d'audit
Capacité à établir un flux de travail de bout en bout qui positionne l'intelligence artificielle avec des portes de vérification tout au long du cycle d'audit, de la planification au rapport
Comprendre que la qualité et la responsabilité de l'audit incombent à l'auditeur indépendant à chaque étape, et que l'intelligence artificielle ne pourra jamais assumer cette responsabilité

Dans cette dernière unité, nous ferons deux choses. Tout d’abord, nous rassemblerons les trois principes fondamentaux que nous avons abordés sporadiquement tout au long du module – l’éthique, l’indépendance et la confidentialité – dans un cadre unique dans le contexte de l’utilisation de l’IA. Ensuite, nous combinerons tout ce que nous avons appris dans un flux de travail unique de bout en bout, de la planification au rapport, en voyant où l'IA s'intègre à chaque étape et les portes de validation à chaque étape. L'objectif est qu'à la fermeture de ce module, vous disposiez d'un modèle de travail audit-IA applicable, holistique et responsable.

Trois principes à travers le prisme de l’IA

Éthique. Les principes de déontologie professionnelle de l’auditeur (intégrité, objectivité, compétence et diligence professionnelles, confidentialité, déontologie) ne sont pas éliminés par le recours à l’IA ; Au contraire, une nouvelle zone de test est née. Il est contraire à l'éthique de présenter les résultats de l'IA comme son propre travail (problématique en termes de compétence professionnelle et de diligence raisonnable), de s'appuyer sur des résultats non vérifiés (manque de diligence raisonnable), de faire de l'IA un bouclier de responsabilité (« AI l'a dit »). L'IA est un outil ; La responsabilité de son utilisation incombe entièrement à l'auditeur.

Indépendance. L'auditeur doit être indépendant, tant en fait qu'en apparence, de l'entreprise qu'il contrôle. Dans le contexte de l’IA, de nouvelles questions se posent : qui fournit l’outil que vous utilisez ? Le fait de s'appuyer sur un outil intégré au système propre de l'entreprise auditée, dont vous ne pouvez pas contrôler les résultats de manière indépendante, porte-t-il atteinte à l'indépendance ? Vos données sont-elles stockées quelque part et utilisées à d’autres fins ? L'indépendance fait partie de la sélection des outils et du flux de données.

Sécurité. Les données d'audit (dossiers clients, données personnelles, secrets commerciaux) sont protégées dans le cadre de la politique de confidentialité et de KVKK. Le téléchargement de données réelles et identifiables dans un outil d’IA accessible au public constitue une violation. Règle : anonymiser, partager un minimum, utiliser des outils sécurisés et contractuels.

Le tableau suivant résume les questions que l’inspecteur devrait se poser lors du choix d’un véhicule sécuritaire :

Question

Pourquoi est-ce important ?

Où vont les données, où sont-elles stockées ?

Confidentialité et KVKK

L’efficacité est-elle utilisée dans la formation des modèles ?

Confidentialité, secret commercial

Existe-t-il un accord de traitement des données et une assurance de confidentialité ?

Conformité juridique/éthique

Une piste d’audit (qui a fait quoi, quand) est-elle conservée ?

Documentation, responsabilité

Puis-je vérifier indépendamment le résultat ?

Indépendance, fiabilité

Est-ce corporate/contractuel ou ouvert à tous ?

Niveau de sécurité général

Attention : Vous travaillez dans un domaine « critique en matière de sécurité et de conformité ». Les résultats de l’audit financier influencent les décisions des investisseurs, des prêteurs et du public. Les résultats de l’IA ne remplacent PAS l’approbation d’un auditeur compétent et indépendant. La décision appartient à la personne ; L’IA est un outil d’aide à la décision et d’accélération.

Flux de travail audit-IA de bout en bout

Combinons toutes les parties du module en une seule boucle. À chaque étape, vous verrez le rôle de l’IA et la porte de vérification qui s’ensuit immédiatement. La porte de vérification est le contrôle que l'auditeur doit réussir avant de déplacer le résultat de cette étape vers l'étape suivante.

Planification et risque (Unité 2). IA : brainstorming sur les risques sectoriels, scénario de matérialité. → Gate : filtrer la liste des risques spécifiques au métier, recalculer chaque multiplication de matérialité.
Préparation des données et tests sur l'ensemble de la population (unité 3). IA : nettoyage des données, application des règles, génération d’exceptions. → Gate : confirmer l'exhaustivité des données par consensus ; Considérez les exceptions comme le début d’une enquête et non comme des conclusions.
Tests d'anomalies et de journaux (unité 4). IA : score d’attention multidimensionnelle. → Gate : gérer les faux positifs ; Examinez chaque enregistrement ayant obtenu un score élevé avec de la documentation.
Procédures analytiques (Unité 8). IA : analyse horizontale/verticale/ratio, hypothèse de divergence. → Porte : garantir l'indépendance des attentes ; tester chaque hypothèse avec des preuves ; approfondir dans le détour inattendu.
Rapprochement et appariement (Unité 7). AI : rapprochement courant/bancaire, correspondance à trois. → Porte : vérifiez la raison de l'article qui ne correspond pas au document ; Ajustez la tolérance en fonction de la réalité de l'entreprise.
Enquête standard (Unité 6). YZ : simplifiez le sujet, orientez-le vers la norme pertinente. → Gate : vérifiez chaque élément/citation/date du texte officiel ; Prenez la citation de la source officielle uniquement.
Dépistage des risques de fraude (Unité 9). AI : Benford, duplication, sous-seuil, analyse de texte. → Porte : évaluer l'adéquation du Benford ; transformer le drapeau rouge en blâme ; recherche avec documentation.
Documentation (Unité 5). IA : squelette du document de travail, édition de notes brutes. → Porte : vous fournissez le contenu ; vous associez des références à des preuves ; Écrivez le résultat et signez-le.
Revue sceptique (Unité 11). AI : partenaire d'interrogatoire de réfutation. → Porte : « Quelle preuve montrerait-il si c'était faux ? » ; Briser le biais de confirmation.
Rapports (Unité 10). YZ : structure des conclusions du DKNEÖ, lettre de recommandations, projet de paragraphe d'opinion. → Porte : vous décidez du type de vue et de son importance ; Examinez chaque phrase avec des preuves ; Tenez-vous derrière votre signature.

Ce cycle a une seule épine dorsale : l’IA génère de la vitesse et du tirant d’eau ; A chaque étape, une porte de vérification introduit le jugement de l'auditeur. Sans portes, le flux de travail est rapide mais peu fiable ; Il est à la fois rapide et durable avec des portes.

trois mini-cases

Cas 1 — Utilisation appropriée de bout en bout. Une équipe d'audit a appliqué ce cycle lors d'un audit d'une entreprise manufacturière de taille moyenne. Lors de la planification, l'IA a donné une ébauche des risques, l'équipe l'a filtrée ; les tests sur l'ensemble de la population ont examiné 180 000 enregistrements, l'exhaustivité étant confirmée par consensus ; L'hypothèse d'une erreur de périodicité dans les procédures analytiques a été confirmée par la preuve ; référence standard confirmée à partir du texte officiel ; documentation rédigée et signée par l'équipe ; L'auditeur responsable s'est prononcé sur l'opinion du rapport. L’IA a considérablement réduit le temps total ; La responsabilité et le jugement incombaient à l’homme à chaque porte.

Cas 2 — Catastrophe de vitesse sans porte. Une autre équipe a utilisé les mêmes outils mais a contourné les portes de vérification : appelés « tests complets » sans vérifier l’exhaustivité des données, exceptions fermées sans examen, attribution standard utilisée sans vérification, rapport d’opinion tiré de la version optimiste de l’IA. L'examen de la qualité a révélé de nombreuses erreurs ; Le travail a été fait à partir de zéro. Le temps perdu était supérieur au temps gagné. Leçon : la vitesse sans portes est une fausse vitesse.

Cas 3 — Négligence de confidentialité et d’indépendance. Un auditeur a utilisé un outil d'IA fonctionnant sur le serveur de l'entreprise qu'il a audité, dont il ne pouvait pas vérifier de manière indépendante, et a traité les données des clients sous leur forme réelle. Tant les données ont été traitées dans un système contrôlé par l'entreprise (question d'indépendance) que les données personnelles elles-mêmes ne sont pas protégées (confidentialité). L'unité qualité a arrêté le processus. La bonne méthode était de travailler avec un outil indépendant et sous contrat avec une piste d'audit et des données anonymisées. Leçon : les outils et les flux de données font partie de l’indépendance et de la confidentialité.

Invite faible/Invite forte

Invite faible :

Je télécharge toutes les données pour que vous puissiez faire l'audit du début à la fin, donnez-moi le résultat.

Problème : télécharge des données réelles/secrètes telles quelles (violation de la vie privée), délègue le jugement à l'IA (violation de l'éthique/de l'indépendance), détruit les portes de vérification. Cela supprime l’essence du contrôle.

Invite puissante (cadre de workflow) :

Votre rôle : vous êtes l'assistant de bout en bout d'un auditeur indépendant. Vous produirez un PROJET et une ANALYSE à chaque étape ; A la fin de chaque étape, vous me rappellerez également la PORTE DE VÉRIFICATION que je dois faire. Le jugement, l'opinion et la conclusion sont les miens.Règles (applicables à chaque étape) :- Je ne vous communique que des données anonymisées ; Pas de vrai nom/TIN/données personnelles. - Aucune fabrication de chiffres, de clauses types, de dates ou de sources ; Si vous n'êtes pas sûr, dites « vérifier ». - Positionnez vos résultats comme « brouillon/exception/hypothèse » et non comme « constatation/conclusion ». Nous partons maintenant de l'étape 1 (planification-risque). Produisez votre plan pour cette étape, en écrivant la porte de vérification que je dois franchir à la fin, élément par élément. Ne passez pas à l'étape 2 tant que je n'ai pas vérifié et confirmé.

Cette invite est puissante car elle configure l'ensemble du flux de travail avec des portes de vérification, corrige l'interdiction d'anonymisation et de fabrication, positionne correctement les sorties et lie la progression à l'approbation de l'auditeur.

Erreurs courantes

Téléchargement de données réelles/secrètes. Violer la vie privée et KVKK en partageant sans anonymisation.
Contourner les portes de vérification. Ignorer la confirmation, la révision et le jugement par souci de rapidité.
Faire de l’IA un bouclier de responsabilité. Déléguer le jugement avec « AI l’a dit » ; violation éthique.
Ne pas remettre en question l’outil et le flux de données. Confiance aveugle dans les outils qui menacent l’indépendance et la sécurité.
Confondre automatisation de bout en bout et sécurité. Demander à l'IA d'effectuer l'audit du début à la fin et de signer le résultat.

Astuce : résumez ce module en une phrase : "L'IA donne le rythme et la rédaction à chaque étape ; à chaque étape, une porte de vérification engage mon jugement ; la signature, la responsabilité et l'opinion restent avec moi." Cette phrase est l’essence même d’une utilisation responsable de l’audit et de l’IA.

En résumé

L'éthique, l'indépendance et la confidentialité sont des principes indispensables de l'audit également avec l'IA : le résultat est le travail de l'auditeur (éthique), l'outil et le flux de données font partie de l'indépendance (indépendance), les données sont anonymisées et traitées avec un outil sécurisé (confidentialité). Toutes les parties du module se combinent en une seule boucle de bout en bout ; L'épine dorsale de cette boucle sont les portes de vérification qui filtrent le projet d'IA à chaque étape via le jugement de l'auditeur. La vitesse sans porte est une fausse vitesse. L’IA est un outil d’aide à la décision et d’accélération ; L’opinion d’audit, le jugement sur les anomalies significatives et la conclusion appartiennent à l’auditeur compétent et indépendant et ne sont pas transférables.

Tâche de candidature

Mettez le flux de travail de bout en bout en 10 étapes ci-dessus pour votre propre environnement de contrôle sur une seule page ; Pour chaque étape, écrivez (1) le rôle de l'IA, (2) la porte de vérification, (3) l'outil sécurisé que vous utiliserez. Répondez ensuite aux six questions du tableau de sélection de véhicules sûrs pour un véhicule que vous utilisez actuellement (ou envisagez d'utiliser) et prenez une décision motivée quant à savoir si le véhicule est apte à l'inspection.

liste de contrôle

[ ] Éthique : je valide et suis propriétaire des résultats de l'IA ; Je n'ai pas imputé la responsabilité à l'IA.
[ ] Indépendance : j'ai évalué la source et le flux de données de l'outil ; Je peux vérifier indépendamment le résultat.
[ ] Confidentialité : j'ai anonymisé les données ; J'ai conduit un véhicule sécuritaire, sous contrat et suivi d'audit.
[ ] J'ai placé une porte d'authentification à chaque étape du flux de travail de bout en bout.
[ ] Je n'ai raté aucune étape ; J'ai convenu que la vitesse sans porte est une fausse vitesse.
[ ] J'ai formulé moi-même l'opinion, le jugement sur les inexactitudes importantes et la conclusion.
[ ] J'ai répondu aux six questions du tableau de sélection de véhicules sûrs et j'ai évalué l'adéquation du véhicule.

Examen de module

1. Un membre de l'équipe d'audit demande à l'IA d'analyser 180 000 entrées de journal à la recherche d'entrées « inhabituelles » et obtient une liste d'exceptions de 340 enregistrements. Que signifie cette liste en termes de BDS et de responsabilité professionnelle ?

A) Les exceptions sont les points d'interrogation que l'auditeur examinera un par un ; L'évaluation avec preuves et conclusion appartient à l'auditeur ✔
B) Les 340 enregistrements sont considérés comme des erreurs confirmées et sont consignés directement dans le rapport en tant que constatation.
C) Depuis les analyses par intelligence artificielle, ces enregistrements n’ont pas besoin d’être examinés séparément.
D) Le risque d'anomalies significatives est automatiquement éliminé puisque la liste ne contient pas plus de 340

Explication : Les enregistrements marqués par l'intelligence artificielle ne constituent pas un résultat d'audit, mais des points de départ pour l'enquête de l'auditeur. Chaque exception doit être examinée avec des preuves, les faux positifs doivent être éliminés et les conclusions réelles doivent être justifiées. Les opinions et opinions appartiennent à l’auditeur.

2. Un auditeur demande à l’intelligence artificielle à quelle norme relève une matière comptable ; l'intelligence artificielle donne une référence claire comme « TMS 37 article 14/b modifié en 2022 ». Quelle est la bonne approche ?

A) La substance et la date ne peuvent être utilisées sans confirmation du texte standard officiel ; Il existe une possibilité d'hallucinations ✔
B) La référence étant claire, elle est inscrite directement sur le document de travail
C) Si l'intelligence artificielle a donné une date, le changement législatif est certain.
D) L’interprétation standard peut être entièrement laissée à l’intelligence artificielle

Description : L'intelligence artificielle peut composer couramment des nombres, des éléments et des dates standard (hallucination). Chaque référence ne peut être utilisée sans confirmation de la source officielle principale (KGK, texte standard pertinent). L’intelligence artificielle est un guide, pas une source.

3. Pourquoi est-il dangereux de coller le relevé de compte courant de l'entreprise auditée avec les noms des clients, les numéros fiscaux et les montants dans un outil d'intelligence artificielle accessible au public ?

A) Il n’y a pas de problème, car l’intelligence artificielle oublie les données de toute façon
B) Ce n'est répréhensible que si les montants dépassent 1 million
C) Il s'agit d'une violation de la confidentialité et du KVKK ; les données doivent être anonymisées et sécurisées, des outils contractuels doivent être utilisés ✔
D) Si le client a donné son accord, il est libre de télécharger des données sur n'importe quel véhicule.

Description : Les données d'audit sont protégées dans le cadre de la politique de confidentialité et de KVKK ; Le transfert de données vers un serveur externe viole à la fois l’éthique professionnelle et la confidentialité. La bonne façon est d’anonymiser les données et d’utiliser des outils contractuels et sécurisés.

4. Quel est l’un des plus grands pièges lors de l’évaluation des résultats de l’IA en termes de scepticisme professionnel ?

A) La sortie est trop courte
B) L'intelligence artificielle écrit en turc
C) Biais d'automatisation/confirmation : accepter un résultat qui semble fluide et sûr comme étant vrai sans remettre en question ✔
D) Présence d'un tableau dans la sortie

Explication : Le biais d'automatisation et le biais de confirmation conduisent l'auditeur à accepter sans remettre en question un résultat qui semble fluide et confiant. L’auditeur sceptique tente de réfuter les résultats et cherche le contraire. La maîtrise n'est pas la précision.

5. Quel est l'avantage le plus important des tests sur l'ensemble de la population (tester 100 % des données) par rapport à l'échantillonnage ? Mais quelle nouvelle responsabilité cela implique-t-il ?

A) Élimine le risque d’échantillonnage ; cependant, il existe la responsabilité de confirmer l'exhaustivité des données et d'évaluer les exceptions ✔
B) Automatise complètement l'audit et rend le jugement de l'auditeur inutile
C) Il réinitialise la charge de travail car il ne produit aucune exception
D) Donne toujours des résultats précis quelle que soit la qualité des données

Explication : Les tests sur l'ensemble de la population éliminent le risque d'échantillonnage (l'échantillon n'étant pas représentatif de la population). Cependant, l’évaluation du grand nombre d’exceptions qui surviennent lors de la vérification de l’exhaustivité et de l’exactitude des données impose une nouvelle charge à l’auditeur.

6. Quelle est l'approche correcte lors du calcul du montant de matérialité avec l'intelligence artificielle selon BDS 320 ?

A) Le premier montant donné par l'intelligence artificielle est utilisé directement
B) La matérialité est toujours de 5% du chiffre d'affaires et ne nécessite pas de jugement
C) Le calcul de l’importance relative n’est pas nécessaire en audit
D) L'intelligence artificielle calcule des scénarios ; l'indicateur, le pourcentage et la matérialité finale sont le jugement de l'auditeur et le compte est vérifié ✔

Explication : L'importance relative est le résultat d'un jugement professionnel fondé sur l'indicateur et le pourcentage sélectionnés. L'IA peut calculer rapidement différents scénarios, mais le choix de l'indicateur, du pourcentage et du montant final appartient au jugement de l'auditeur et chaque calcul doit être vérifié de manière indépendante.

7. Quel rôle joue la loi de Benford dans la lutte contre la fraude et quelle est sa limite lorsqu'elle est utilisée avec l'intelligence artificielle ?

A) Il s'agit d'un drapeau rouge indiquant des écarts dans la distribution du premier chiffre ; Ce n’est pas seulement une preuve, cela nécessite des recherches ✔
B) Si un écart est constaté, la fraude est réputée confirmée.
C) S'applique à chaque ensemble de données et ne produit jamais de faux positifs
D) Ne peut être utilisé que sans IA

Explication : la loi de Benford donne la distribution attendue des premiers chiffres dans les ensembles de données naturelles ; des écarts peuvent indiquer une éventuelle manipulation. Mais ce n’est qu’un signal d’alarme ; Cela ne constitue pas en soi une preuve de fraude ; cela nécessite une enquête d’un auditeur.

8. Quelle est la structure la plus robuste lors de la rédaction d’un constat d’audit avec l’intelligence artificielle ?

A) La simple phrase « il y a un problème » suffit
B) N'utiliser qu'un langage accusateur envers la direction
C) Structure qui inclut les éléments de situation, de critère, de cause, d'effet et de recommandation d'une manière fondée sur des preuves ✔
D) Expressions générales qui ne contiennent pas de chiffres

Explication : Une constatation efficace comprend la situation (ce qui a été trouvé), le critère (quelle règle a été enfreinte), la cause (cause profonde), l'impact (conséquence/risque) et la recommandation (ce qui devrait être fait). L’IA remplit rapidement ce squelette, mais chaque élément doit être lié à des preuves.

9. Dans le test de correspondance à trois, l'intelligence artificielle compare la commande, le bon de livraison et la facture et trouve 27 articles qui ne correspondent pas. Que signifie ce résultat ?

A) 27 crayons sont une preuve définitive de fraude
B) Puisque l'intelligence artificielle l'a trouvé, aucun examen supplémentaire n'est nécessaire
C) 27 éléments ne sont pas importants car le nombre est faible
D) Les éléments incompatibles sont des différences qui doivent être étudiées ; Il peut y avoir un délai, une livraison partielle ou une erreur, l'évaluation appartient à l'auditeur ✔

Explication : Les éléments incompatibles ne sont pas des erreurs automatiques, mais des différences sur lesquelles l'auditeur va enquêter ; Il peut y avoir un décalage horaire, une livraison partielle ou une erreur réelle. L’intelligence artificielle montre la différence, l’explication et la conclusion appartiennent à l’auditeur.

10. Quel est le principe critique lors de la rédaction du document de travail sur l'intelligence artificielle dans le cadre du BDS 230 ?

A) Le texte produit par l'intelligence artificielle est directement le document de travail final
B) Le projet ne constitue pas une documentation valide tant qu'il n'est pas joint aux pièces justificatives et examiné et adopté par l'auditeur ✔
C) Il n'est pas nécessaire d'inclure des références aux preuves dans le document de travail.
D) Il n'est pas important que la documentation soit traçable

Description : Le document de travail doit permettre de retracer le travail effectué, les preuves obtenues et la conclusion atteinte. L'IA rationalise le cadre et le langage, mais le résultat ne constitue pas une documentation valide tant qu'il n'est pas lié aux preuves, examiné et détenu par l'auditeur.

11. Dans les procédures analytiques (BDS 520), l'intelligence artificielle détecte une augmentation de 40 % d'un poste de dépense et explique qu'elle est « probablement due à l'inflation ». Que doit faire l’auditeur ?

A) Accepte la déclaration telle quelle et la ferme.
B) La proposition est une hypothèse ; Ne parvient pas à des conclusions sans enquêter et vérifier les écarts avec des preuves indépendantes ✔
C) Une augmentation de 40 % est toujours normale
D) Si l’intelligence artificielle l’explique, des preuves supplémentaires ne sont pas nécessaires

Explication : L’explication suggérée par l’intelligence artificielle est une hypothèse et non une preuve. L'auditeur ne peut pas tirer de conclusions sans enquêter sur l'écart à l'aide de preuves indépendantes (contrats, factures, informations fournies par la direction et confirmation). Un écart inattendu nécessite une enquête plus approfondie.

12. Au regard du principe d’indépendance, à quoi l’auditeur doit-il prêter attention lors du choix d’un outil d’intelligence artificielle ?

A) Seul le véhicule est gratuit
B) Où vont les données, utilisation dans la formation des modèles, les contrats, la piste d'audit et les assurances de confidentialité ✔
C) Le véhicule est le plus populaire
D) Interface colorée

Explication : L'auditeur doit déterminer où vont les données, si elles sont utilisées dans la formation du modèle, le contrat et la piste d'audit. Un outil intégré au système de l'entreprise auditée, dont les résultats ne peuvent pas être contrôlés par l'auditeur, peut menacer l'indépendance et la confidentialité.

13. L'auditeur évalue un projet d'explication d'écart préparé par l'intelligence artificielle. Quelle technique est la plus efficace pour éviter les biais de confirmation ?

A) Recherchez et fermez une seule instance qui valide la sortie
B) Accepter la sortie sans la lire du tout
C) Essayer de réfuter la conclusion : « Si cela est faux, quelle preuve le démontrerait ? ✔ rechercher des preuves contraires
D) Je cherche juste des fautes d'orthographe

Explication : L'auditeur sceptique essaie de réfuter plutôt que de confirmer le résultat : « Si cette affirmation est fausse, quelle preuve la prouverait ? il demande et cherche des preuves du contraire. C’est l’antidote au biais de confirmation.

14. Comment résumer le rôle des résultats de l’IA dans le domaine de l’audit critique en matière de sécurité et de conformité ?

A) Les résultats de l'intelligence artificielle remplacent l'approbation de l'auditeur et déterminent l'opinion finale
B) L’approbation humaine n’est plus nécessaire en audit
C) L'intelligence artificielle est plus précise que les humains dans toutes les conditions
D) L'IA assure la rédaction/l'analyse/le rythme ; L'opinion et le jugement sont ceux de l'auditeur indépendant, les résultats non vérifiés ne sont pas valables ✔

Divulgation : les résultats de l'intelligence artificielle ne remplacent pas l'approbation d'un auditeur compétent et indépendant ; Le projet fournit une analyse et une rapidité, mais l'opinion d'audit, le jugement sur les anomalies significatives et la conclusion sont humains. Une sortie non vérifiée est comme un document de travail non signé.