Un audit traditionnel teste quelques dizaines d'écritures parmi les millions que l'ERP enregistre au cours d'un exercice. L'audit continu procède autrement : les contrôles s'exécutent automatiquement sur la totalité des transactions, à intervalles rapprochés, et signalent les anomalies au moment où elles entrent dans les systèmes.
La méthode repose sur l'automatisation et l'analyse de données. Les preuves d'audit sont collectées directement dans les systèmes de gestion, ce qui permet de repérer les anomalies, les schémas de fraude et les écarts de conformité sans attendre la clôture. Pour une direction financière comme pour une fonction d'audit interne, l'enjeu est de disposer d'une assurance sur les opérations tout au long de l'exercice, et pas seulement aux dates de mission programmées.
Les moteurs réglementaires de l'audit continu
Le référentiel COSO de contrôle interne compte le pilotage parmi ses cinq composantes et distingue les évaluations continues des évaluations ponctuelles. Un dispositif qui se limite à une campagne de tests annuelle laisse donc de côté la moitié de cette composante.
En France, l'article 17 de la loi Sapin II impose aux sociétés de plus de 500 salariés réalisant plus de 100 millions d'euros de chiffre d'affaires huit mesures de prévention de la corruption, dont des contrôles comptables destinés à vérifier que les livres et comptes ne servent pas à masquer des faits de corruption. La directive européenne CSRD élargit de son côté le champ des données soumises à vérification externe au reporting de durabilité, avec les exigences de traçabilité et de fiabilité qui en découlent sur les données sous-jacentes. Pour les filiales de groupes américains cotés, la section 404 du Sarbanes-Oxley Act ajoute une contrainte de preuve : l'efficacité des contrôles doit être documentée et testée sur toute la période couverte, pas seulement à la date de clôture.
Ces trois textes ont un point commun. La fréquence des tests et la conservation des preuves y pèsent autant que la définition des contrôles eux-mêmes.
Qu'est-ce que l'audit continu ?
L'audit continu est un processus automatisé qui évalue de façon systématique et récurrente les procédures, les transactions et les activités financières d'une organisation. Là où un audit traditionnel examine une photographie des opérations à un instant donné, l'audit continu analyse toutes les transactions d'un processus métier sur l'ensemble de la période, à la fréquence de collecte retenue.
Trois mécanismes le rendent possible : l'exécution automatique des tests, l'analyse portant sur la totalité des données, et des alertes paramétrées qui remontent les exceptions dès leur apparition. L'échantillonnage cesse alors d'être le mode d'examen par défaut, et le risque qui lui est associé disparaît, celui de laisser hors du périmètre une anomalie significative.
Les premiers travaux remontent au Continuous Process Auditing System (CPAS), développé à la fin des années 1980 dans les Bell Labs d'AT&T pour la fonction d'audit interne, puis décrit par Miklos Vasarhelyi et Fern Halper dans Auditing: A Journal of Practice & Theory en 1991. Le système surveillait les données de facturation et introduisait déjà les notions de métriques, d'analytique et d'alarmes appliquées à l'information financière. Le domaine a ensuite intégré le machine learning et les techniques de détection d'anomalies multidimensionnelles.
- l'assurance continue des données (CDA), qui vérifie l'intégrité des données circulant dans les systèmes d'information ;
- la surveillance continue des contrôles (CCM), qui vérifie que les contrôles internes fonctionnent comme prévu ;
- la surveillance et l'évaluation continues des risques (CRMA), qui mesure l'exposition de l'organisation à mesure que son activité évolue.
Quels sont les bénéfices de l'audit continu ?
Principaux bénéfices de la mise en œuvre
Mesurer l'efficacité de l'audit continu
Trois indicateurs suffisent à démontrer la valeur d'un programme et à en justifier le financement. Le taux de détection des exceptions mesure la part des violations de règles identifiées avant toute intervention manuelle. Le délai de remédiation compte le nombre moyen de jours entre la détection et la résolution. Le coût par test de contrôle rapporte le coût total du programme au nombre de tests automatisés exécutés.
Le taux d'exception a vocation à baisser avec le temps. S'il stagne, deux explications sont à examiner : un paramétrage de règles inadapté, ou l'absence de traitement des causes racines par les responsables de processus. Au-delà de ces trois indicateurs, les organisations chiffrent le retour sur investissement à partir des montants de fraude évités, des sommes récupérées et des heures d'audit économisées.
Audit continu ou audits périodiques : ce qui change
Un cycle d'audit trimestriel crée un angle mort de près de trois mois : une défaillance de contrôle survenue au lendemain d'une revue attendra la revue suivante pour être vue. Sur un cycle annuel, le délai monte à onze mois. Entre-temps, les écritures erronées s'accumulent et les schémas frauduleux s'installent.
Les audits périodiques renseignent sur l'état du dispositif de contrôle aux dates de test. Ils ne disent rien des dérives survenues entre deux passages, alors que c'est précisément là que se logent les défauts de paramétrage et les contournements de procédure.
Audit continu ou tests manuels : ce qui change
Les procédures d'audit manuelles mobilisent des ressources importantes sur la collecte, le rapprochement et la mise en forme des données, autant de tâches sans lien direct avec l'analyse. L'automatisation absorbe cette charge et applique les mêmes règles de façon uniforme à toutes les transactions et à toutes les entités du périmètre.
La répartition de la charge dans l'année change elle aussi. Les audits manuels créent des cycles d'effectifs en dents de scie, avec des pics en fin d'exercice et des creux le reste de l'année. L'audit continu étale le travail sur douze mois, ce qui stabilise les plannings et limite l'épuisement des équipes en période de clôture.
Comment mettre en œuvre l'audit continu dans une entreprise ?
Exemples concrets de mise en œuvre
Établissements financiers et détection de la fraude
Les banques, y compris les banques mutualistes et coopératives, appliquent l'audit continu à la surveillance des transactions. Le criblage automatisé par règles et l'analyse comportementale repèrent les opérations structurées, les virements géographiquement atypiques et les fréquences d'opérations anormales dès qu'ils se produisent. Une opération suspecte peut alors être bloquée avant que les fonds ne quittent les comptes.
Industrie manufacturière et environnements multi-entités
Les groupes industriels qui exploitent de nombreuses filiales et plusieurs instances ERP déploient l'audit continu sur les droits d'accès utilisateurs et les tests de séparation des tâches, simultanément sur tous les sites. Les violations d'accès et les dérives de configuration apparaissent en quelques heures.
Gestion de la facturation et des paiements dans le secteur de la santé
Les mutuelles et organismes de santé qui traitent des volumes élevés de remboursements utilisent l'audit continu pour repérer les paiements en double et les erreurs de facturation que les rapprochements manuels laissent passer. La détection des doublons combine reconnaissance de motifs, rapprochement des règlements d'un même fournisseur et analyse des dates.
Services financiers et surveillance de la conformité
Les sociétés de services financiers réunissent prévention de la fraude et surveillance anti-blanchiment dans un dispositif unique, assorti d'une notation des risques clients actualisée. Cette consolidation raccourcit les délais de déclaration de soupçon à Tracfin et renforce le dispositif LCB-FT.
Gérer les défis de mise en œuvre et les pièges courants
Le premier écueil tient à une automatisation laissée sans jugement humain. Des règles mal calibrées produisent des faux positifs en volume, qui saturent les équipes et érodent la confiance dans le dispositif.
Viennent ensuite les problèmes de qualité des données. Des référentiels incohérents, des champs manquants ou des enregistrements incomplets font échouer les contrôles automatisés ou produisent des résultats inexploitables. La validation des données doit être traitée comme un prérequis du déploiement, avec des procédures établies avant le lancement.
L'inflation des règles constitue le troisième risque : un excès de contrôles génère des alertes trop nombreuses, qui noient les exceptions à traiter. Commencer par les zones à risque élevé, puis élargir sur la base de résultats démontrés, limite cet effet.
La conduite du changement reste le défi le plus sous-estimé. L'audit continu modifie le rythme de travail des fonctions d'audit et impose aux responsables de processus une visibilité sur leurs opérations qu'ils n'avaient pas jusque-là. Présenter la démarche comme un outil d'amélioration des processus, avec des restitutions utiles aux opérationnels, facilite l'adhésion.
Quel est l'impact de la surveillance continue sur les stratégies de préparation à l'audit ?
La préparation à l'audit a longtemps été cyclique, avec une intensification des travaux à l'approche des dates de mission. La surveillance continue en fait un état permanent : la documentation et les preuves alimentent au fil de l'eau des référentiels centralisés, au lieu d'être reconstituées dans l'urgence.
Les auditeurs qui accèdent à des preuves organisées et à jour passent moins de temps sur les demandes d'informations et bouclent leurs travaux plus vite. L'audit interne y gagne aussi sur la planification. Un plan annuel construit sur une cartographie des risques établie une fois par an peut être révisé en cours d'année à partir des résultats de contrôle réellement observés, ce qui permet d'affecter les ressources aux défaillances constatées.
Comment les plateformes de surveillance de la conformité facilitent-elles l'audit continu ?
Rôle des plateformes GRC dans l'audit continu
Les plateformes de gouvernance, risque et conformité regroupent dans un système unique les activités d'audit, les évaluations de risques et la surveillance de la conformité. Elles automatisent la collecte, l'analyse et le reporting des preuves d'audit, et fournissent des référentiels de contrôle centralisés alignés sur les standards du marché comme le COSO et le COBIT.
Certaines d'entre elles appliquent des techniques de machine learning à la hiérarchisation des travaux d'audit, en fonction d'évaluations de risques mises à jour en permanence. Elles font également le lien entre les constats d'audit et la gestion des risques : les constats alimentent la cartographie, qui oriente à son tour la planification des missions.
Comment les plateformes d'analyse d'audit soutiennent la surveillance continue
Les plateformes d'analyse d'audit comme Supervizor interviennent sur un périmètre plus resserré, celui de l'analyse des transactions financières et du test des contrôles. Elles passent en revue l'intégralité des écritures et remontent les anomalies qui appellent une investigation.
Supervizor exécute plus de 350 contrôles préconfigurés basés sur les risques, qui couvrent les principaux cycles financiers : procure-to-pay, order-to-cash, record-to-report, trésorerie, TVA, notes de frais et droits d'accès utilisateurs. Ces contrôles se relancent à chaque nouvelle collecte de données, sans déclenchement manuel.
La plateforme se connecte aux principaux ERP, dont SAP (ECC6 et S/4HANA), Oracle (Cloud et E-Business Suite), NetSuite et Sage, avec une mise en correspondance et une standardisation automatiques des données, y compris le plan de comptes. Les exceptions identifiées sont ensuite classées, investiguées et traitées dans des flux de travail tracés, qui produisent des preuves d'audit directement exploitables lors des contrôles réglementaires.
Quelle est la différence entre surveillance continue et audit continu ?
Les deux termes sont souvent employés l'un pour l'autre, alors qu'ils recouvrent des objectifs, des responsabilités et des livrables différents.
La surveillance continue sert au management à réagir aux incidents. L'audit continu sert aux auditeurs à réunir les preuves qui étayent leurs conclusions de conformité et à documenter le dispositif face aux régulateurs.
Les deux fonctions gagnent à partager la même infrastructure analytique. Le management s'appuie sur la détection d'anomalies pour identifier les transactions à investiguer, l'audit interne utilise les mêmes résultats pour évaluer l'efficacité des contrôles. Les travaux ne sont pas dupliqués et les deux fonctions raisonnent sur des données identiques.
Conclusion
Passer de l'audit périodique à l'audit continu suppose trois engagements : un travail préalable sur la qualité des données, un investissement technologique connecté aux ERP en place, et un accompagnement des responsables de processus, dont l'activité sera désormais analysée en permanence.
Les organisations qui franchissent cette étape couvrent 100 % des transactions au lieu d'un échantillon, voient remonter les écarts en quelques jours au lieu de les découvrir à la clôture, et répartissent la charge d'audit sur toute l'année. Pour une fonction d'audit interne, le premier test utile consiste à comparer le nombre de transactions réellement examinées l'an dernier au nombre total de lignes passées dans l'ERP sur la même période.
.jpg){kind=icon}