Face au déferlement de l’IA et à l'explosion des cyber-risques, l’IAASB, le normalisateur mondial de l'audit, engage une refonte de son corpus réglementaire. Le 5 août 2026, il a publié trois exposés-sondages révisant les normes ISA 500, ISA 330 et ISA 520 visant à adapter la preuve d'audit à la montée en puissance des outils technologiques et de l'IA générative, sans céder sur l'exigence de qualité.
À l'heure où les directions financières déploient massivement des systèmes d’intelligence artificielle pour automatiser leur comptabilité et prédire leurs flux de trésorerie, les commissaires aux comptes se retrouvent face à des boîtes noires technologiques, car les méthodes d’audit traditionnelles ont atteint leurs limites. Pour répondre à ce défi, l’International Auditing and Assurance Standards Board (IAASB) vient de franchir un pas décisif en ouvrant la consultation publique pour la révision coordonnée de trois de ses piliers réglementaires : les normes ISA 330, 500 et 520.
En effet, pour l’IAASB, le cadre actuel n'offrait plus de remparts suffisants. Si un auditeur ne peut plus tracer physiquement une transaction parce qu’elle a été générée, validée et enregistrée de bout en bout par un protocole automatisé, comment peut-il certifier les comptes avec un niveau de sécurité raisonnable ?
Les trois textes : ED-500 (2026) sur la preuve d'audit, ED-330 sur les réponses aux risques évalués et ED-520 sur les procédures analytiques — forment le paquet « Audit Evidence and Risk Response Project ». Si leur point de départ est l'alignement avec la norme ISA 315 sur l'évaluation des risques, révisée en 2019, l'IAASB assume une seconde motivation, plus contemporaine, car depuis la dernière refonte de ces standards, remontant pour certains à 2003-2008, l'usage d'outils technologiques tels que l’analyse de données, l’automatisation, et désormais IA générative, a transformé en profondeur la manière dont les auditeurs collectent et exploitent l'information. Les normes actuelles, conçues pour un audit largement manuel, peinent à encadrer cette réalité.
ISA 500 : un modèle de preuve pensé pour résister à l'IA générative
La révision la plus structurante touche à la définition même de la preuve d'audit. L'IAASB distingue désormais l'« information destinée à être utilisée comme preuve d'audit », soit la matière brute collectée, y compris via des outils numériques, de la « preuve d'audit » elle-même, qui n'existe qu'une fois cette information soumise à des procédures d'audit et évaluée quant à sa pertinence et sa fiabilité. Ce modèle dit « input-output » vise justement à absorber la diversité croissante des sources de données que les technologies permettent désormais d'exploiter.
L'IAASB a intégré, en annexe de la norme, un développement inédit consacré spécifiquement à l'usage des outils technologiques dans la conception et l'exécution des procédures d'audit. Le Board y reconnaît une limite importante : les outils d'IA générative bousculent le modèle même d'« input-output » qu'il vient d'ériger en principe, car il devient parfois impossible d'évaluer pleinement le caractère approprié des données entrées dans l'outil, ou de vérifier que celui-ci fonctionne bien comme prévu.
Plutôt que d'imposer une exigence contraignante propre à ces technologies, jugée prématurée face à un paysage encore mouvant, l'IAASB a choisi la voie de la pédagogie et des lignes directrices non normatives, se réservant la possibilité de légiférer plus strictement une fois les usages stabilisés.
Les cinq attributs de fiabilité désormais explicités dans la norme (exactitude, exhaustivité, authenticité, absence de biais et crédibilité) offrent, en attendant, un langage commun pour évaluer, y compris, une information produite ou transformée par un algorithme.
ISA 330 : réguler la fiabilité des contrôles automatisés
La révision de l'ISA 330 porte sur les procédures mises en œuvre face aux risques identifiés. Là encore, la question technologique irrigue le texte. L'IAASB y précise que les contrôles automatisés, réputés plus fiables que les contrôles manuels car moins exposés aux erreurs humaines, ne peuvent plus être considérés comme uniformément stables : dans un environnement technologique en évolution rapide, certains systèmes produisent des résultats variables ou évoluent eux-mêmes dans le temps, ce qui oblige l'auditeur à nuancer sa confiance selon la nature exacte de l'outil testé.
La question la plus sensible du texte est la suppression éventuelle du « filet de sécurité » imposant des procédures substantives sur chaque poste significatif, indépendamment du niveau de risque. Les partisans de sa suppression estiment que, dans un environnement où l'évaluation des risques s'appuie sur des outils plus puissants, ce filet devient redondant. Ses défenseurs, régulateurs en tête, redoutent au contraire qu'une automatisation mal maîtrisée de l'évaluation des risques ne fragilise la robustesse des travaux. L'IAASB, faute de consensus interne, soumet la question aux parties prenantes plutôt que de trancher seul.
Autre clarification directement liée à la numérisation des audits : une procédure analytique substantive, même hautement précise grâce à des données externes fiables mobilisées par un outil technologique, ne pourra jamais, à elle seule, répondre à un risque significatif, elle devra toujours être complétée par un test de détail, quelle que soit la sophistication de l'outil employé.
ISA 520 : encadrer l'analyse simultanée de milliers de données
La refonte de l'ISA 520, norme qui encadre la manière dont l'auditeur compare les chiffres de l'entreprise avec ses propres attentes sectorielles ou historiques, est peut-être celle où l'empreinte de la technologie est la plus directe. L'IAASB y constate que les auditeurs recourent de plus en plus à des outils capables d'analyser des milliers de données de transactions plutôt que des échantillons, ce qui améliore potentiellement la précision de l'identification des risques mais suppose un encadrement plus rigoureux des conclusions à en tirer. Une nouvelle exigence impose ainsi de tirer explicitement les conséquences, pour l'évaluation des risques, des écarts ou incohérences détectés par ces analyses technologiques réalisées en amont de l'audit.
Le texte introduit également une définition autonome de la « procédure analytique substantive », en réaction à des pratiques hétérogènes observées lors d'inspections : certains outils permettent des attentes si précises, à partir de données externes structurées, que la frontière avec un test de détail devient floue, une ambiguïté que l'IAASB entend précisément clarifier avant qu'elle ne s'aggrave avec la diffusion de l'IA.
Une consultation pour une adoption en 2027, sans figer, la révolution technologique
En repoussant toute exigence normative contraignante sur l'IA tout en posant, dans les trois textes, un vocabulaire commun de fiabilité et de précision, l'IAASB assume une stratégie prudente : préparer le terrain réglementaire sans graver dans le marbre des règles qu'une innovation technologique rendrait rapidement obsolètes.
Ce chantier réglementaire s'annonce comme une transformation culturelle majeure pour la profession. La période de consultation publique, ouverte jusqu’au 15 décembre 2026, va permettre aux cabinets d'audit, aux régulateurs et aux entreprises d'ajuster le texte, avant une adoption définitive dont la date d'entrée en vigueur reste à fixer.
Samorya Wilson
