Lorsque j'ai commencé ma carrière d'auditeur interne il y a plus de vingt ans, notre travail reposait principalement sur des échantillons, cinquante transactions par-ci, soixante-quinze par-là, parce que c'était tout ce que nous pouvions réellement traiter. Nous présentions nos conclusions, et la discussion s'arrêtait souvent à « cinq erreurs sur cinquante ». Utile ? Peut-être. Susceptible de conduire à un changement ? Pas vraiment.
Aujourd'hui, ce modèle n'est tout simplement plus adapté. Les volumes de données ont explosé, les risques sont devenus plus complexes et les attentes en matière d'insights d'audit ont considérablement augmenté. Pourtant, beaucoup d'équipes d'audit s'appuient encore sur les mêmes outils et méthodes qu'il y a des années, ce qui les rend vulnérables aux risques et les noie sous un flot de tâches manuelles.
L'audit interne et le manque d'ambition analytique
Lorsque j'interviens lors de conférences de l'Institut des auditeurs internes (IIA) ou de l'ISACA, je pose toujours quelques questions simples. « Combien parmi vous utilisent actuellement l'analytique des données ? » En général, les trois quarts de la salle lèvent la main. Puis je demande : « Combien parmi vous sont satisfaits de l'utilisation qu'ils en font ? ». Il en reste environ la moitié. Enfin : « Combien parmi vous ont l'impression de ne pas atteindre leurs objectifs en matière d'analytique ? » Presque toutes les mains se lèvent à nouveau.
Ça me frappe à chaque fois, car ça révèle ce que j'appelle le fossé de l'ambition analytique. Presque toutes les équipes d'audit veulent utiliser l'analytique des données plus efficacement. Elles ont conscience de son potentiel. Mais elles ont du mal à passer de la vision à la mise en œuvre.
Ce qui freine le plus la maturité analytique, ce ne sont pas les compétences. C'est le fait de penser que l'analytique doit être compliquée. Mais ce n'est pas le cas.
Le problème est en partie structurel : les auditeurs comprennent le métier, mais pas toujours les données. L'IT comprend les systèmes, mais pas toujours le contexte métier. Pour combler ce fossé, il faut plus qu'un accès aux données : il faut pouvoir aligner les objectifs métier sur les objectifs data. Quelles données vous faudra-t-il réellement pour valider vos tests ? Où se trouvent-elles ? Comment les utiliserez-vous pour répondre aux questions métier ?
C'est précisément là que de nombreuses équipes sont à la peine, mais c'est aussi là que l'automatisation analytique peut avoir le plus d'impact. En donnant aux auditeurs la possibilité d'explorer directement les données, sans avoir à attendre l'IT ou des spécialistes du codage, les plateformes comme Alteryx permettent de traduire la connaissance métier en informations exploitables basées sur les données. C'est alors que l'analytique cesse d'être un projet secondaire et s'inscrit dans l'ADN de l'audit.
Des processus manuels aux workflows automatisés
J'ai pu constater moi-même comment l'automatisation redéfinit le champ des possibles pour les équipes d'audit. Un client du secteur bancaire passait six à neuf semaines à vérifier manuellement les accès système de centaines d'employés. Cela nécessitait six personnes à temps plein, une fois par an. Avec un workflow Alteryx, nous avons réduit ce processus à environ une minute et demie.
Le workflow a analysé automatiquement des fichiers texte confus, comparé les accès réels aux modèles basés sur les rôles, puis généré 350 rapports Excel individuels qu'il a ensuite envoyés par e-mail à chaque responsable pour examen. Lorsque nous avons lancé le processus en conditions réelles, l'équipe n'a pas cru qu'il était terminé. Les en convaincre a pris plus de temps que l'exécution du workflow.
C'est ça la vraie valeur de l'automatisation analytique : pas juste la rapidité, mais aussi la confiance. Une fois qu'un workflow existe, il est reproductible, vérifiable et transparent. Vous pouvez retracer chaque étape de la transformation, et vous ne perdez jamais de vue les données sur lesquelles reposent vos résultats.
Un autre exemple qui me vient toujours à l'esprit est celui de Blue Cross Blue Shield, en Arizona. Les équipes d'audit et de conformité étaient submergées par un flot de données enfermées dans des fichiers PDF. Les rapports, factures et documents numérisés devaient tous être ressaisis manuellement dans des feuilles de calcul par les auditeurs, juste pour effectuer des analyses de base. C'était un travail fastidieux, sujet aux erreurs et long, qui nécessitait énormément de temps et d'énergie.
Grâce à Alteryx, l'équipe a entièrement transformé ce processus. Au lieu de taper les informations ligne par ligne, les auditeurs ont automatisé l'extraction des données de ces documents numérisés, convertissant en quelques minutes des PDF non structurés en jeux de données impeccables et exploitables.
Les résultats sont stupéfiants : 935 000 heures de tâches manuelles évitées en une seule année. Cela représente près d'un demi-million de jours de travail récupérés, autant de temps que les auditeurs peuvent passer sur l'analyse, la stratégie et la prévention des risques plutôt sur la saisie de données.
Quand l'automatisation analytique fait évoluer le rôle de l'audit
Lorsque l'équipe d'audit interne adopte l'analytique, elle passe d'une approche rétrospective à une capacité d'anticipation. Nous cessons d'être ceux qui découvrent les problèmes après coup et devenons des partenaires qui font émerger des informations exploitables avant que les problèmes ne s'aggravent.
C'est ce qui me motivait quand j'étais formateur chez Alteryx. Une fois que les équipes ont constaté le gain de temps et la richesse des insights qu'apporte l'automatisation analytique, elles reviennent rarement en arrière.
Récemment, j'ai eu l'occasion de parler de cette évolution dans le cadre du podcast Alter Everything, où nous avons exploré la manière dont l'analytique redéfinit la culture de l'audit interne. Mais la conclusion est simple : vous n'avez pas besoin d'être data scientist pour transformer votre fonction d'audit. Il vous suffit d'avoir le bon état d'esprit et la bonne plateforme pour combler le fossé entre les connaissances métier et les possibilités offertes par les données.
Dernier point à retenir
L'audit interne a toujours été une question de confiance : confiance dans les contrôles, dans les données et dans les décisions. En tirant parti de l'automatisation analytique, nous renforçons cette confiance. Nous allons plus vite, nous améliorons nos tests et nous nous concentrons sur l'essentiel, à savoir aider nos équipes à agir avec confiance et intégrité.
Si vous en êtes encore aux échantillons, il est temps de commencer à explorer l'intégralité de vos jeux de données. Les réponses et les insights s'y trouvent déjà. Il vous suffit d'avoir les bons outils pour les mettre au jour.