Le sujet produit beaucoup de littérature et peu de méthode. On lit que l'intelligence artificielle va « redéfinir la transparence » sans jamais lire ce qu'un auditeur peut effectivement faire lundi matin, ni ce qu'il n'a pas le droit de faire.
Cet article prend le problème par l'autre bout : ce qui fonctionne aujourd'hui dans un cabinet marocain, ce qui reste hors de portée, et les conditions auxquelles un usage est défendable devant un confrère, un client ou un juge.
01Le cadre réel de l'audit au Maroc
Avant de parler d'outils, deux points de cadrage, souvent énoncés de travers y compris dans la presse professionnelle.
| Idée répandue | Ce qu'il en est |
|---|---|
| « Le Code de commerce impose la vérification des comptes par un auditeur externe » | L'obligation de désigner un commissaire aux comptes résulte de la loi n° 17-95 sur les sociétés anonymes et de la loi n° 5-96 pour les SARL et autres formes. Toute société anonyme est concernée dès sa constitution, quelle que soit sa taille ; une SARL l'est au-delà de 50 millions de dirhams de chiffre d'affaires hors taxes. |
| « Les normes IFRS structurent la comptabilité marocaine » | Le référentiel de droit commun est le Code Général de Normalisation Comptable. La très grande majorité des entreprises marocaines n'est pas soumise aux IFRS : il ne s'agit pas d'une difficulté d'application, mais d'une absence d'assujettissement. Les IFRS concernent des périmètres définis, notamment les établissements de crédit et certains comptes consolidés. |
Pourquoi commencer par là dans un article sur l'intelligence artificielle ? Parce que la question de l'outil vient après celle du référentiel. Un algorithme qui teste des écritures ne sait pas si le référentiel applicable est le CGNC ou un autre : c'est l'auditeur qui le détermine, et c'est lui qui répond du choix.
Le détail des seuils de désignation figure dans notre page sur le commissariat aux comptes.
02Trois familles d'outils, trois maturités
Parler d'« IA » en bloc empêche de raisonner. Trois technologies distinctes coexistent, et elles n'ont ni le même degré de maturité, ni les mêmes risques.
| Famille | Ce qu'elle fait | Maturité en cabinet |
|---|---|---|
| Analyse de données | Tests exhaustifs sur un grand livre, rapprochements automatiques, contrôles de séquence, analyses de cohérence entre fichiers. | Opérationnelle. C'est ici que se trouve l'essentiel du gain réel, et cela ne relève pas à proprement parler de l'IA. |
| Apprentissage automatique | Détection de schémas inhabituels dans de gros volumes, scoring de risque sur des populations de transactions. | Émergente. Utile sur de forts volumes, peu pertinente sur une PME dont le grand livre tient en quelques milliers d'écritures. |
| IA générative | Reconnaissance et extraction de pièces, aide à la rédaction, synthèse documentaire. | À encadrer. Gain réel sur la saisie et la documentation, mais c'est la famille qui pose le plus de difficultés de confidentialité. |
Le gain le plus important n'est pas le plus spectaculaire
Dans nos missions, ce qui change concrètement la qualité d'un audit, ce n'est pas un modèle prédictif : c'est la possibilité de passer d'un échantillon à une population complète sur des tests simples. Contrôler la totalité des écritures d'un exercice au regard de critères objectifs apporte davantage qu'un score de risque dont personne ne peut expliquer la construction.
03Le test des écritures de journal
C'est le cas d'usage le plus mûr, et celui que nous recommandons de traiter en premier. Les normes d'audit imposent à l'auditeur, au titre du risque de fraude, de tester les écritures comptables — notamment celles passées en fin de période, hors des processus habituels, ou par des utilisateurs inattendus.
Historiquement, ce test se faisait sur échantillon, faute d'outil. Aujourd'hui, il peut porter sur l'intégralité du journal. Voici les critères que nous appliquons.
Deux précisions qui évitent le contresens le plus fréquent.
- Un signal n'est pas une anomalie, et une anomalie n'est pas une fraude. Une écriture passée un dimanche peut être parfaitement justifiée. L'outil produit une liste à examiner, pas une conclusion.
- Tester 100 % d'une population ne donne pas 100 % d'assurance. L'exhaustivité porte sur le test, pas sur le référentiel de comparaison ni sur la qualité des données sources. C'est une amélioration de couverture, pas une garantie.
Ce type de test croise directement les contrôles décrits dans notre article sur l'audit interne en PME : comptes utilisateurs nominatifs, absence de compte administrateur partagé, traçabilité des écritures.
04Ce que l'IA ne déplace pas
C'est le point que les articles enthousiastes omettent systématiquement, et c'est pourtant celui qui structure toute la question.
| Élément | Effet de l'outil |
|---|---|
| La responsabilité de l'opinion | Aucun. L'auditeur signe. Un outil défaillant, mal paramétré ou mal compris n'est pas une cause exonératoire. |
| L'obligation de collecter des éléments probants suffisants et appropriés | Aucun. Un résultat produit par un outil doit être compris, documenté et justifié comme n'importe quel autre travail. |
| Le jugement professionnel | Aucun. Qualifier une anomalie, apprécier un caractère significatif, arbitrer une provision : rien de tout cela ne s'automatise. |
| L'indépendance | Aucun. Elle s'apprécie sur les liens et les missions, pas sur les moyens techniques employés. |
| La documentation du dossier | Alourdi, plutôt qu'allégé. Il faut désormais documenter aussi l'outil, ses paramètres, la population traitée et le traitement des exceptions. |
Un résultat inexplicable n'est pas un élément probant
Si l'auditeur ne peut pas expliquer comment une conclusion a été obtenue — quelles données, quels critères, quel traitement des exceptions —, la feuille de travail correspondante ne vaut rien. Elle ne résistera ni à une revue de dossier, ni à une contestation, ni à un contrôle de qualité.
C'est la raison pour laquelle nous privilégions les traitements explicables et reproductibles — des règles écrites, appliquées à une population identifiée — plutôt que des modèles dont la logique interne échappe à celui qui signe.
05Secret professionnel : la ligne à ne pas franchir
Voici le sujet dont ne parle aucun article marocain sur l'IA et l'audit, et qui est pourtant le plus opérant au quotidien.
L'expert-comptable est tenu au secret professionnel. Par ailleurs, les données qu'il traite relèvent, pour tout ce qui concerne des personnes physiques, de la loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, dont la Commission Nationale de contrôle de la protection des Données à caractère Personnel assure le respect.
Conséquence directe et concrète : déposer un grand livre, une balance, un fichier de paie ou un contrat client dans un service d'IA grand public revient à communiquer ces informations à un tiers. Que ce tiers soit une machine ne change rien à la qualification.
- Ce qui est proscrit : coller des données identifiantes ou des informations couvertes par le secret dans un outil public, sans encadrement contractuel ni maîtrise du lieu et de la durée de conservation.
- Ce qui est envisageable : un traitement local, ou un service contractualisé avec des engagements écrits sur la non-réutilisation des données, leur localisation et leur suppression — après information du client.
- Ce qui est neutre : l'usage d'outils sur des contenus non confidentiels — recherche documentaire, rédaction de texte générique, mise en forme.
Le sujet rejoint celui que nous traitons dans notre article sur la cybersécurité et l'audit financier.
Vos données comptables circulent-elles correctement ?
Revue de vos flux de données, de vos accès et de vos habilitations, et cadrage des outils utilisés au regard du secret professionnel et de la loi 09-08.
06Cinq conditions d'un usage défendable
- La donnée source est maîtrisée. On sait d'où vient le fichier, qui l'a extrait, et il est rapproché de la comptabilité avant tout traitement. Un test exhaustif sur un extrait incomplet ne prouve rien.
- Les critères sont écrits. Les règles appliquées figurent au dossier, en clair, avec leurs paramètres. Elles doivent pouvoir être rejouées par un tiers.
- Les exceptions sont traitées une à une. Chaque signal fait l'objet d'une conclusion documentée. Une liste de deux cents anomalies sans traitement individuel n'est pas un travail d'audit.
- La confidentialité est assurée par le lieu du traitement et par un engagement contractuel, et le client en est informé.
- La conclusion reste humaine. L'outil fournit des éléments ; l'appréciation du caractère significatif et la formulation de l'opinion relèvent de l'auditeur, qui signe.
Ces cinq conditions ne sont pas des précautions rhétoriques. Ce sont les questions qu'un contrôle de qualité posera, et celles qu'un avocat adverse posera en cas de mise en cause.
07Ce que cela change pour l'entreprise auditée
Du côté du client, trois effets concrets, dont deux sont contre-intuitifs.
- Les demandes portent davantage sur des fichiers que sur des classeurs. Extraction complète du grand livre, journaux détaillés, fichiers de paie, historiques d'accès. Une entreprise dont l'outil ne permet pas d'exporter proprement ralentit sa propre mission.
- Les incohérences internes ressortent toutes. Là où un échantillon laissait passer, un test exhaustif ne laisse rien. Ce n'est pas une mauvaise nouvelle : mieux vaut que ce soit l'auditeur qui les trouve.
- La qualité des accès devient visible. Comptes partagés, utilisateurs génériques, écritures passées sous un identifiant collectif : autant de points qui, jusqu'ici, n'étaient examinés que ponctuellement.
La conséquence pratique pour un dirigeant tient en une phrase : ce qui se prépare, ce n'est pas l'audit, c'est le système d'information. Des comptes nominatifs, des exports fiables et une piste d'audit propre valent plus, le jour de la mission, que n'importe quelle explication.
08Le vrai accélérateur : la donnée structurée
Un dernier point, et c'est peut-être le plus important pour les trois prochaines années.
Les outils d'analyse butent aujourd'hui sur une difficulté simple : les données d'entrée sont hétérogènes. Factures en formats divers, mentions incomplètes, identifiants approximatifs. Une part significative du temps est consacrée à fiabiliser avant d'analyser.
Le déploiement de la facturation électronique change cette équation. Une facture émise dans un format structuré et validée avant transmission arrive déjà normalisée. Ce n'est pas l'intelligence artificielle qui transformera l'audit des PME marocaines : c'est le format des factures qu'elles échangeront. L'analyse en tirera parti ensuite.