Prompt engineering en audit externe : méthode et bonnes pratiques

L’audit externe a une finalité propre :  certifier des états financiers et engager la responsabilité professionnelle du commissaire aux comptes ou de l’auditeur externe. Dès lors, la manière de concevoir un prompt engineering en audit externe s’en trouve changée.

En revanche, en audit interne, un prompt peut servir d’outil méthodologique réutilisable au service du scepticisme professionnel. En audit externe, il doit en outre produire des artéfacts de preuve qui résistent à l’inspection d’un régulateur. Par conséquent, le prompt engineering en audit externe devient une pièce du dossier d’audit. Les normes ISA et NEP, la documentation obligatoire et une supervision humaine traçable s’appliquent à lui.

Un prompt n’est pas une preuve.

Pourquoi une méthodologie formelle de prompt engineering en audit externe est indispensable

De fait, un usage non structuré des LLM expose l’auditeur externe à cinq risques spécifiques.

Le risque de preuve insuffisante dans les prompts d’audit externe

D’abord, la norme ISA 500 (NEP 500) impose d’obtenir des éléments probants suffisants et appropriés. Toutefois, le résultat d’un modèle d’IA générative ne constitue pas en soi une preuve d’audit.

Ainsi, l’auditeur doit pouvoir démontrer :

• qui a configuré le modèle
• quelles données il a utilisées,
• quelle version a été exécutée
• et quels paramètres ont été définis.

En conséquence, un résultat produit sans le prompt, la version du modèle et la trace de validation humaine reste insuffisant. Dès lors, personne ne peut le répliquer, le vérifier ou le défendre lors d’une revue.

Sans trace, pas de preuve.

Le risque de documentation non conforme

Ensuite, la norme ISA 230 (NEP 230) exige que le dossier permette à un autre auditeur de comprendre la nature, le calendrier et l’étendue des procédures. De ce fait, un prompt non documenté compromet directement cette reproductibilité. Il en va de même d’une interaction dont on n’a pas conservé les paramètres.

C’est pourquoi le prompt engineering doit laisser des traces documentaires au même titre qu’un programme de travail ou une feuille maîtresse.

Le risque normatif des prompts d’audit externe

Par ailleurs, une référence hallucinée à une NEP, à un article du Code de commerce, à la doctrine ou un référentiel comptable constitue un risque professionnel majeur dans un dossier de certification.

En audit interne, l’imprécision normative reste dans l’organisation. En revanche, en audit externe, elle engage la responsabilité du signataire. Dès lors, les prompts doivent intégrer des garde-fous explicites contre l’invention normative.

Les limites techniques du modèle appliquées au prompt engineering en audit externe

Au-delà de l’hallucination, deux propriétés techniques pèsent directement sur la preuve.

La première est le non-déterminisme. Un même prompt, exécuté deux fois, peut produire des sorties différentes et une température nulle n’en offre pas la garantie. Dès lors, la reproductibilité d’un prompt n’est pas celle d’une procédure classique.

La seconde est la fenêtre de contexte. Même très grande, elle ne garantit pas que le modèle exploite toute l’information fournie. Les performances peuvent se dégrader avec la longueur du texte et le modèle peut passer à côté d’un élément pertinent. Ainsi, un prompt qui noie le modèle dans quatre-vingt pages de documentation n’équivaut donc pas à un prompt ciblé sur les cinq pages utiles. Parce que le modèle ne lit pas comme un humain, la consigne doit rester précise.

Le risque de confidentialité dans l’usage des prompts en audit externe

Le commissaire aux comptes est tenu au secret professionnel pour les faits, actes et renseignements dont il a connaissance à raison de ses fonctions (article L. 821-35 du Code de commerce, ancien L. 822-15). Son client ne peut pas l’en délier. Le consentement de l’entité auditée ne suffit donc pas à légitimer une transmission de données. La violation du secret engage la responsabilité pénale du commissaire aux comptes (article L. 821-7).

Or, un prompt qui contient des données de l’entité les transmet à un tiers : le fournisseur du modèle. Compta Online analyse que ce prestataire ne figure dans aucune des catégories de destinataires auxquelles la loi permet de lever le secret.

Selon cette analyse, une offre professionnelle payante ne règle donc pas la question. La Haute autorité de l’audit n’a pas, à ce jour, publié de doctrine sur ce point et, Compta Online recommande de solliciter la compagnie régionale.

Enfin, le RGPD ajoute une couche distincte. Le cabinet est le plus souvent responsable de traitement et doit encadrer le recours à un sous-traitant par un contrat conforme à l’article 28. Ce volet ne règle pas, à lui seul, le secret professionnel.

Le risque de surconfiance lié aux prompts d’audit externe

Ce cinquième risque est cognitif plutôt que technique. Plus précisément, une revue systématique de la littérature (Murikah, Nthenge et Musyoka, 2024), fondée sur 83 études publiées entre 2018 et 2023, identifie cinq sources de biais dans les systèmes d’IA appliqués à l’audit :

• lacunes des données,
• manque de diversité démographique,
• corrélations fallacieuses,
• mauvais groupes de comparaison
• et biais cognitifs.

De plus, elle signale l’érosion des compétences et du jugement humains et recommande une supervision humaine associée à l’automatisation.

A cet égard, le biais d’automatisation relève de cette dernière catégorie : l’auditeur accorde un crédit excessif à une sortie qui paraît cohérente et bien rédigée. Certes, la clause de non-invention normative protège contre la référence hallucinée. Cependant, elle ne protège pas contre l’auditeur qui valide une sortie plausible sans la challenger. C’est le pendant humain du risque normatif.

Un cadre professionnel qui structure le prompt engineering en audit externe

D’abord, en France, la CNCC a publié fin 2025 des fiches pratiques sur l’IA générative à destination des commissaires aux comptes. Arnaud Ducap, qui dirige sa commission Transformation numérique et IA, les résume par une philosophie simple : innover sans compromettre la qualité ni la déontologie.

Ensuite, le cahier des charges du HackAudit 2026, le concours étudiant de la CNCC, illustre ce que la profession attend en matière de preuve. Les équipes doivent documenter l’ensemble du workflow (prompts, version du modèle, paramètres, jeu de données, revue humaine) de manière traçable, conformément à la NEP 500 et à l’EU AI Act. Il s’agit d’une exigence de concours, non d’une norme professionnelle. Elle montre néanmoins l’orientation retenue par la profession.

Aux Etats-Unis, le PCAOB a publié en juillet 2024 un Staff Spotlight sur l’IA générative. Selon ce document, le membre de l’équipe qui utilise un outil d’IA reste responsable des résultats et de la documentation du travail. Par ailleurs, les normes actuelles ne sont pas vues comme un frein à son usage. Le PCAOB étudie toutefois, dans un projet de recherche si elles doivent évoluer. Il en découle qu’aucun outil, même performant, ne déplace le niveau de diligence attendu de l’équipe de mission.

Et c’est vrai aux Etats-Unis comme ailleurs.

Par conséquent, face à ces risques, l’audit externe a besoin de bibliothèques de prompts validées, de clauses de non-invention normative, de règles de protection des données, de routines de validation croisée et d’une revue humaine documentée.

Une méthodologie de prompts engineering en audit externe structurée en cinq composants

La méthode des cinq composants offre un cadre accessible pour concevoir des prompts de qualité professionnelle. L’IIA Maroc l’a enseignée, entre autres, lors d’une formation d’avril 2026 destinée aux auditeurs internes. Elle s’adapte à l’audit externe, à condition de penser chaque composant en fonction de l’exigence de preuve défendable.

Concrètement, un prompt engineering en audit externe efficace intègre cinq éléments :

• Rôle ou persona :

Une identité professionnelle pertinente, par exemple, « Agis comme un auditeur financier senior spécialisé dans l’analyse de contrats de reconnaissance du revenu ».

• Objectif :

Des verbes explicites (analyser, identifier, comparer, signaler) et aucune ambiguïté sur le livrable attendu.

• Contexte et sources :

Les informations de l’entité, les référentiels applicables (IFRS 15, ASC 606) et les données brutes nécessaires, préalablement protégées (voir plus bas) et limitées aux extraits utiles.

• Contraintes :

Les limites, les exigences de preuve, le respect du secret professionnel et, systématiquement, une clause de non-invention normative.

• Format de sortie :

Un tableau, une note de synthèse ou une liste d’anomalies potentielles rattachées aux assertions, avec renvoi aux sources. Le résultat sert alors directement dans les papiers de travail.

En complément, le framework CRAFT (Contexte, Rôle, Action Format, Ton) systématise cette construction. Cependant, en audit externe, le contexte doit nommer le référentiel normatif applicable. De plus, le format doit prévoir la traçabilité : références aux sources, repérage des preuves et identification des incertitudes.

Applications concrètes du prompt engineering en audit externe

D’emblée, les cas d’usage portent sur la matière financière et sur les assertions des états financiers. Les exemples de prompts qui suivent sont donc illustratifs. Ils ne constituent pas des modèles normés et doivent être adaptés à chaque mission.

Toutefois, ces cas d’usage traitent l’IA comme un outil de l’auditeur. Or, l’objet de l’audit peut lui-même être un système d’IA de l’entité, par exemple, une reconnaissance de revenus automatisée, un scoring ou des provisions algorithmiques. Ce sujet distinct, qui ne se confond pas avec celui des prompts engineering en audit externe, dépasse le cadre de cet article.

Planification et évaluation des risques (ISA 315) : un cas d’usage du prompt engineering en audit externe

L’IA peut aider à construire un profil de risque préliminaire à partir de tendances financières. On peut lui demander :

Développe un profil de risque de planification pour une société cotée du secteur manufacturier dont la marge brute diminue, les stocks augmentent et qui subit une pression pour atteindre les prévisions de résultats. Identifie les risques potentiels d’anomalies significatives, les assertions concernées et les questions que l’équipe d’audit devrait approfondir.

Ensuite, le résultat sert de point de départ. L’équipe l’évalue au regard des informations réelles de l’entité. Le prompt ne produit pas une conclusion d’audit ; il outille la réflexion.

Analyse de contrats clients et reconnaissance du revenu

L’IA passe au crible de grands volumes de contrats clients et repère les clauses non standard. On peut lui demander :

Analyse ce contrat client et identifie les dispositions susceptibles d’affecter la reconnaissance du revenu, notamment les obligations de prestation, la contrepartie variable, les clauses d’acceptation, les conditions de paiement et les modifications de contrat. Cite les sections pertinentes et identifie les questions nécessitant un complément d’investigation.

Ensuite, l’auditeur vérifie l’analyse contre le contrat lui-même et contre les référentiels applicables. En effet, l’IA ne se substitue pas à la détermination comptable finale.

Revue analytique et détection de signaux faibles

L’IA peut traiter des populations entières de transactions et mettre en évidence des relations atypiques. Exemple fictif : des créances qui croissent deux fois plus vite que le chiffre d’affaires. L’auditeur transforme alors cette observation en hypothèse d’anomalie à tester.

Par ailleurs, le prompt engineering en audit externe doit demander explicitement de distinguer les observations analytiques des conclusions qui exigent des éléments probants supplémentaires.

Revue de documentation et de conclusions

L’IA peut critiquer un projet de note de synthèse ou vérifier la complétude d’un papier de travail. Mais le prompt engineering en audit externe cite la référence normative. Il demande, par exemple, si la documentation satisfait aux exigences de la NEP 230 ou si une conclusion est suffisamment étayée au regard de la NEP 500.

Les bibliothèques de prompts en audit externe

Plusieurs grands cabinets ont commencé à structurer cette pratique. KPMG annonce, pour son outil Clara AI, une bibliothèque de prompts certifiés destinée à garantir cohérence et la répétabilité.

PwC UK décrit, dans son rapport de transparence 2024, un Audit GenAI Hub. L’accès à ChatPwC y suppose une formation préalable, qui couvre le prompt engineering et les règles métier.

Par conséquent, la logique est celle d’une standardisation contrôlée : les prompts ne reposent plus sur l’improvisation individuelle. Le prompt engineering devient ainsi une compétence professionnelle, intégrée aux méthodologies de cabinet.

Bonnes pratiques spécifiques au prompt engineering en audit externe

Au-delà des principes généraux (traçabilité, bibliothèques de prompts, vérification humaine), l’audit externe impose neuf règles supplémentaires. Elles se regroupent en quatre blocs : la preuve et la documentation, la conformité, la gouvernance et le jugement.

Preuve et documentation des prompts engineering en audit externe

La traçabilité du workflow complet

Le dossier conserve d’abord le prompt final mais aussi la version du modèle, les paramètres de génération (température, etc.) et le jeu de données utilisé. Il identifie l’auditeur qui a exécuté le prompt et garde le résultat produit ainsi que la trace de la revue humaine. Parce que le modèle est non déterministe, on ne peut pas rejouer un prompt pour retrouver la même réponse : la conservation de la sortie exacte est indispensable. C’est à ce prix que la preuve reste défendable face à un inspecteur ou à un régulateur.

La validation par tests parallèles

Pour les procédures significatives assistées par IA, il convient de réaliser des tests parallèles sans IA sur un échantillon. La comparaison des résultats permet ainsi de détecter biais et erreurs. Cette validation croisée constitue un contrôle qualité intégré, non une vérification facultative après coup.

Conformité des prompts d’audit externe

La clause de non-invention normative

Tout prompt qui touche aux NEP, au Code de commerce, à la doctrine ou à un référentiel comptable contient une instruction explicite :  » N’invente aucune référence juridique ou normative ; signale toute incertitude.  » Cette clause est une exigence de fiabilité, pas une précaution facultative.

La protection du secret professionnel et des données

Un prompt d’engineering en audit externe ne contient jamais de données nominatives ou stratégiques non protégées. Cette exigence est une contrainte de conception, pas une précaution accessoire.

Elle suppose d’abord une préparation des données : on expurge, on pseudonymise ou on anonymise avant l’envoi. Une donnée seulement pseudonymisée reste une donnée personnelle au sens du RGPD. Compta Online cite à ce titre l’outil PseudoFEC de la CNCC qui pseudonymise les fichiers des écritures comptables avant leur envoi à un LLM.

Elle suppose ensuite un environnement maîtrisé. Un compte grand public ne convient pas pour des données de clients. Un déploiement privé ou local du modèle constitue une autre piste. A défaut de doctrine publiée, il est prudent de consulter la compagnie régionale avant de généraliser un usage.

Gouvernance des prompts en cabinet d’audit externe

La cartographie des prompts sur les phases de la mission

Un cadre de gouvernance efficace relie chaque type de prompt à une phase de la mission : planification, évaluation des risques, travaux substantifs, revue analytique, rapport. Ainsi, chaque usage de l’IA répond à un besoin méthodologique identifié et reste soumis aux contrôles appropriés.

La gouvernance qualité du cabinet

D’abord, un prompt validé au niveau du cabinet relève de la gouvernance qualité, pas seulement de la méthodologie individuelle. La norme internationale ISQM1, publiée par l’IAASB, demande aux cabinets de mettre en place des politiques et des procédures pour obtenir, développer, maintenir et utiliser des ressources technologiques appropriées, y compris celles que fournissent des prestataires externes.

Ensuite, l’ISA 220 (révisée) traite de l’usage de ces outils au niveau de la mission. En France, ce sont, toutefois les NEP homologuées qui font foi pour le commissaire aux comptes. Et, le référentiel de la H2A ne comporte pas, à ce jour, de norme homologuée de contrôle qualité.

La H2A poursuit la convergence avec les ISA selon le programme de travail 2026. ISQM1 et ISA 220 servent donc ici de convergence internationale.

Par conséquent, la bibliothèque de prompts, la charte d’usage et la liste des outils autorisés font partie du système de gestion de la qualité. La CNCC propose d’ailleurs, dans ses fiches pratiques, un modèle de « charte IA » à intégrer à la charte informatique du cabinet. Elle a aussi publié, lors de la Journée Confiance Numérique de mars 2026, une fiche consacrée à l’encadrement du « shadow IA », c’est-à-dire l’usage d’outils non autorisés dans les cabinets.

Au Royaume-Uni, le FRC a publié le 30 mars 2026 un guide sur l’IA générative et agentique en audit, rattaché aux obligations de l’ISQM (UK) 1. Selon le FRC, c’est la première orientation de ce type émise par un régulateur d’audit. Son message central rejoint celui du PCAOB : la responsabilité réglementaire reste inchangée car l’auditeur humain répond toujours de son travail.

La formation et le seuil de compétence

Par ailleurs, fixer un seuil de compétence avant d’autoriser un prompt en mission relève de la gouvernance des ressources humaines, pas seulement de la méthodologie. Les fiches pratiques de la CNCC suivent un cheminement progressif. Une étape introductive comprend un questionnaire d’auto-évaluation. Un niveau « découverte » aborde les avantages, les limites et les règles fondamentales d’usage. Un niveau avancé traite de l’intégration de l’IA dans les prestations de commissariat aux comptes. La CNCC y ajoute des programmes validés par la CNCC Formation.

De plus, l’IA Act donne à cette exigence une base juridique. Son article 4 impose aux fournisseurs et aux déployeurs de prendre des mesures pour s’assurer, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA chez leur personnel. Il s’applique depuis le 2 février 2025, indépendamment du classement à haut risque. Le règlement (UE) 2026/1744 du 8 juillet 2026 dit « Omnibus numérique sur l’IA », est entré en vigueur le 27 juillet 2026. Il recalibre cet article : l’obligation de prendre des mesures demeure, mais sans garantie d’un niveau de compétence pour chaque individu.

Concrètement, un cabinet peut conditionner l’accès aux prompts de sa bibliothèque à un parcours de formation, de l’auto-évaluation jusqu’à l’usage en mission.

Jugement et prompt engineering en audit externe

La lutte contre la surconfiance dans l’usage des prompts en audit externe

Certes, la clause de non-invention est nécessaire, mais elle ne suffit pas. Pour limiter le biais d’automatisation, le prompt et la méthode prévoit des garde-fous :

• Le prompt demande au modèle d’indiquer ses hypothèses, ses incertitudes et les éléments qui contredisent sa conclusion.
• L’auditeur retrouve chaque point retenu dans la pièce source avant de l’intégrer au dossier.
• Le papier de travail consigne ce que l’auditeur a challengé, corrigé ou écarté.

En définitive, une revue humaine purement formelle ne suffit pas. La trace doit montrer un véritable esprit critique.

La distinction entre support analytique et jugement d’audit

Le prompt engineering en audit externe est un outil de support à l’analyse, jamais un substitut au jugement professionnel. L’IA identifie des zones de risque, propose des procédures préliminaires et structure une analyse. En revanche, elle ne détermine pas si les éléments probants sont suffisants et ne forme pas l’opinion d’audit. Le prompt doit donc outiller le scepticisme professionnel, non le contourner.

Conclusion : le prompt engineering en audit externe comme gouvernance de la preuve

Pour conclure, le prompt engineering en audit externe ne se réduit pas à une compétence technique. Il s’inscrit dans une gouvernance de la preuve. Le prompt devient une pièce de dossier d’audit, soumise aux NEP et aux normes ISA, à la documentation obligatoire et à une supervision humaine traçable.

D’une part, trois risques tiennent à l’outil plus qu’à la mission. Les limites techniques du modèle fragilisent la preuve. Le secret professionnel limite ce qu’un prompt peut contenir. La surconfiance limite ce que l’auditeur doit accepter d’une réponse.

D’autre part, le règlement européen sur l’IA (AI Act) complète ce cadre sans le bouleverser. L’audit légal ne figure pas parmi les usages à haut risque de son annexe III. Or, les obligations les plus lourdes des déployeurs, celles de l’article 26, visent ces systèmes.

Pour l’usage en mission, l’article 4 est l’obligation directement pertinente : il impose de veiller à la maîtrise de l’IA par le personnel. L’article 50 impose, en revanche, une transparence sur les contenus synthétiques destinés au public, comme les deepfakees ou les textes publiés pour informer sur les questions d’intérêt public. Le marquage de ces contenus pèse sur le fournisseur de l’outil, non le cabinet. En principe, l’article 50 ne vise donc que des usages périphériques du cabinet, comme sa communication publique, et non le dossier de mission.

Enfin, la distinction avec l’audit interne reste structurante. L’audit interne conçoit des prompts comme des instruments méthodologiques. L’audit externe doit produire des artéfacts défendables. Leur valeur ne tient pas à l’élégance de la formulation, mais à la capacité de démontrer, pièce par pièce, que le travail d’audit a été réalisé, documenté et supervisé. A cette condition, l’IA générative renforcera la qualité de la certification au lieu de l’affaiblir.