Les responsables de l'audit interne étudient les technologies d'automatisation pour les mêmes raisons que les chefs d'entreprises. Les processus automatisés peuvent s'exécuter en arrière-plan, permettant aux auditeurs d'examiner plus de choses en moins de temps qu'ils ne le pourraient manuellement. De plus, les écarts par rapport aux résultats attendus ou acceptables peuvent être plus rapidement signalés aux auditeurs (en temps quasi réel) qu'avec un examen manuel périodique. Des avantages tels que la surveillance continue, l’automatisation de processus répétitifs et la possibilité de vérifier de grandes quantités d’informations (par opposition à l’échantillonnage) offrent aux départements d’audit interne la possibilité d’élargir leur vision, d’en faire plus avec des ressources limitées et, plus important encore, d’apporter une valeur accrue à l’entreprise.
À la lumière de ces possibilités, l'optimisme concernant l'automatisation dans l'audit interne est naturellement élevé. Dans une étude récente, près de la moitié des professionnels américains du risque et de la conformité, des auditeurs internes, des dirigeants et des membres du conseil d’administration interrogés ont déclaré que leur organisation envisageait de moderniser sa fonction de conformité au cours de la prochaine année.1 Cependant, selon une autre étude, 14 pourcents seulement des fonctions d'audit interne pourraient être considérés comme avancés dans leur adoption de la technologie (y compris l’utilisation de l’automatisation des processus robotiques pour augmenter la vitesse et la couverture de leurs audits), alors que 83 pourcents d’entre eux adoptent des technologies de pointe à un rythme plus lent ou qu’ils n'en ont pas du tout.2
Ces résultats suggèrent que, malgré les avantages promis de l'automatisation, les départements d'audit interne rencontrent des obstacles sur la voie de la réalisation de ces avantages. Trois des principaux obstacles auxquels se heurteront presque toutes les fonctions d'audit interne sont les choix des bons processus à automatiser, le développement de la bonne solution (p. ex., un logiciel) et la gestion des complexes interactions entre les processus automatisés d'audit interne et les autres secteurs de l'entreprise.
Identification et sélection des processus
L'un des défis fondamentaux que les départements d'audit interne doivent relever lors de la mise en oeuvre de l’automatisation des processus robotiques consiste à choisir le ou les processus à automatiser. Sur quoi le département devrait se concentrer ou donner la priorité n’est pas toujours évident.
Par exemple, la mise en oeuvre d'une approche basée sur les risques peut indiquer d'investir des ressources dans le développement de l’automatisation des processus robotiques en fonction des domaines les plus exposés aux risques dans l'organisation. Si les auditeurs internes se penchent sur un domaine où les risques sont élevés, ils veulent alors maximiser l'efficacité des processus d'audit qu'ils utilisent pour effectuer cette tâche.
D'autre part, certaines fonctions d'audit préfèrent concentrer leurs efforts d'automatisation sur les processus d'audit offrant le plus grand potentiel d'efficacité au sein de la fonction d'audit interne. Dans cette optique, si les efforts d’automatisation se concentrent sur l’automatisation des processus les moins utiles ou les moins efficaces pour libérer de la capacité d’audit, cela permet au département d’en faire plus avec des ressources limitées.
Pour compliquer encore plus les choses, le département de l’audit interne n’est peut-être pas le seul à devoir faire des choix. Si le département participe à une initiative d'automatisation de plus grande envergure à l'échelle de l'organisation, des personnes externes au département peuvent avoir leur mot à dire sur les processus à choisir pour l'automatisation.
Même si l'organisation dispose d'un système bien conçu pour sélectionner les processus à automatiser, un bon ensemble de mesures de performance est également nécessaire pour informer ce système et évaluer avec précision les processus qui généreront les meilleurs rendements sur les investissements. De nombreuses entreprises ne disposent pas de suffisamment de données de performances. Ceci peut entraîner le risque d'automatiser les mauvaises tâches.3 Il est fort probable que la décision sera prise en fonction des économies réalisées. Ceci est important pour les départements d'audit interne qui recherchent du financement et du soutien dans leurs efforts d'automatisation. Le mieux qu'ils pourront faire valoir leurs rendements sur les investissements et quantifier les avantages de l'automatisation en termes de réduction des coûts, le plus facile qu'il sera de justifier leurs choix de processus à automatiser.
En outre du potentiel sur les rendements sur les investissements, le processus en question doit pouvoir compter sur des sources de données fiables et de bonne qualité. La qualité et la fiabilité des données saisies dans un processus automatisé sont les facteurs les plus importants pour déterminer si les utilisateurs seront en mesure de faire confiance à ses résultats4
De nombreuses fonctions d'audit interne analysent les processus actuels et choisissent d’automatiser les processus robotiques qui peuvent les aider à améliorer leurs performances. Cependant, ce n'est pas nécessairement la meilleure approche. Les fonctions d'audit peuvent tomber dans le piège d'une simple mise à niveau d'anciennes procédures avec de nouvelles technologies pour les améliorer progressivement.5 Idéalement, les fonctions d'audit devraient examiner comment l’automatisation des processus robotiques peut les aider à adopter de nouvelles fonctionnalités pour offrir à l'entreprise de la valeur qu'elles ne pouvaient pas fournir auparavant.
Qu'il s'agisse de processus nouveaux ou existants, les départements d'audit interne qui tentent de créer une dynamique sur la voie de l'automatisation doivent rechercher un processus qui :
- a des rendements sur les investissements clairement définissables ;
- se rapporte à un domaine de risque commercial clé pour l'organisation ;
- a des saisies fiables et de bonne qualité ;
- est exigeant en main-d'oeuvre, qui est sujet à l'erreur humaine et qui est généralement inefficace.
Ce sont les domaines que l'audit interne devrait cibler en premier lieu. Les projets formalisés d’automatisation des processus robotiques devraient se concentrer sur un nombre limité d'objectifs à forts impacts pour préserver la dynamique.6
Développement de solutions
Même si un processus peut, en théorie, constituer un candidat idéal pour l’automatisation des processus robotiques, le développement de la technologie pour l'automatiser peut présenter de nombreux défis et choix. En supposant que le personnel d'audit interne ne possède généralement pas l'expertise nécessaire pour écrire des robots qui performent des tâches simples et répétitives et développer des logiciels, ces services devront provenir du personnel informatique et technique de l'entreprise ou d'un fournisseur externe. Chacun présente ses propres défis.
Par exemple, lorsqu'ils exploitent des ressources techniques au sein de leur propre organisation, les départements d'audit interne peuvent se retrouver à la merci du vaste réseau de développement technologique de l'entreprise. La manière dont ce réseau est hiérarchisé peut avoir un impact important sur l'avancement des initiatives d'automatisation de l'audit interne, en particulier si les ressources techniques sont soumises à une pression descendante pour reléguer les projets de peu d'importance en bas de la liste.
Parler la même langue
Lorsqu’il s’agit de l'intelligence artificielle (IA) et de l'automatisation des processus robotiques, l'un des principaux obstacles à surmonter par les départements d'audit interne est simplement de s'assurer que tout le monde comprend ce dont on parle. L'intelligence artificielle, en simples termes, implique un programme qui prend des modèles de données et les apprend pour prendre des décisions éclairées basées sur des règles apprises. Un exemple serait les suggestions d'articles à acheter sur un site Web utilisé régulièrement pour les achats d'un consommateur. Les gens pourraient être influencés par un message du genre « Vous pourriez également aimer... ». Ce concept s’applique au monde des affaires où des schémas établis de processus commerciaux peuvent impliquer l’IA pour prédire des comportements futurs et noter les exceptions au comportement anticipé des systèmes ou des personnes. En revanche, l'automatisation des processus robotiques est souvent utilisée lorsqu'un processus ne nécessite pas de prise de décision pour s'exécuter. Elle utilise des logiciels, souvent appelés des « robots » qui imitent les comportements d'un être humain tels que des étapes séquentielles dans la collecte de données. Cela inclut des publications de rapports ou tout processus répétitif, systématique et basé sur des règles.
En revanche, lorsque le département d'audit interne utilise un fournisseur pour créer des solutions d'automatisation, tous les aspects de la gestion des risques par des tiers, notamment les contrats de niveau de service, la sécurité et la confidentialité, entrent en jeu. En particulier, les mises à jour et les entretiens en cours seront liés à la solution du fournisseur. Il ne sera peut-être plus possible de les importer à l'interne une fois qu'un processus personnalisé d'automatisation aura été établi par le fournisseur. Le département d'audit interne doit donc comprendre les exigences en cours aussi bien que les exigences initiales. De plus, le département d'audit interne doit s'assurer que les besoins sont définis avec précision et que la portée est gérée avec soin afin d'éviter de mettre en oeuvre une solution plus puissante, et donc plus coûteuse, qui n'est pas absolument nécessaire. Il est important de pondérer et d’équilibrer ces compromis avant de s’engager dans un plan d’action sur la voie de l’automatisation.
Les experts en automatisation des processus robotiques insistent sur le fait que les robots ne commettent pas d’erreurs et que, s’ils sont correctement programmés, ils ont le potentiel de gagner du temps aux auditeurs grâce à l’automatisation d’actions systématiques, répétitives et basées sur des règles. Cependant, s’ils sont programmés de manière incorrecte ou incomplète ou s’ils sont modifiés, des erreurs peuvent être introduites durant le processus automatisé. Ces erreurs d'automatisation des processus peuvent perpétuer des erreurs systématiques plus importantes que des processus manuels similaires. Par conséquent, que la solution soit développée en interne ou par un fournisseur, une documentation correcte de chaque étape et règle des processus à automatiser et la vérification de la fonctionnalité du robot doivent être effectuées avant la mise en oeuvre de l'automatisation des processus robotiques. Il est important de comprendre les exigences. Des ressources d'audit interne devront être déployées avant le début du processus de développement de la solution.
Tout au long du processus de développement de la solution, les leaders de l'automatisation de l'audit interne devraient également rester conscients de leurs alternatives. Une solution entièrement personnalisée et automatisée peut en fait ne pas être la solution idéale pour chaque projet d'automatisation. Par exemple, si les 80 pourcents du processus en question peuvent être automatisés assez facilement mais que les 20 pourcents restants représentent un coût relativement élevé, alors l'automatisation des 80 pourcents peut être la solution idéale pour les besoins du département.7 En fait, une automatisation complète peut être indésirable en fonction de la situation. Les processus qui impliquent des décisions que les humains doivent prendre ne sont pas adaptés à l'automatisation totale.8 L'automatisation des processus robotiques n'est pas le seul mode d'automatisation. Le remplacement des systèmes existants ou la création de puissantes interfaces de programmation d'applications peut permettre aux entreprises d'automatiser les processus avec moins d'efforts que de générer des solutions d'automatisation des processus robotiques. Les personnes qui mènent les efforts d’automatisation doivent éviter de se concentrer uniquement sur l’automatisation des processus robotiques.
Enfin, le processus de développement de solutions ne doit pas exclure le personnel de l’audit interne et être réservé aux experts en technologie qui écrivent les logiciels. Il est essentiel que les départements d'audit interne intègrent les utilisateurs prévus dans le processus de développement de la solution et les forment, car, entre autres, une personne doit être en mesure d'évaluer lorsqu'un résultat automatisé est erroné.9 Les fonctions d'audit les plus avancées dans leur utilisation de la technologie développent simultanément leurs employés et leurs processus.10 Non seulement les personnes doivent être formées à l’utilisation d’une solution d’automatisation des processus robotiques, mais il est également essentiel qu’elles comprennent les avantages d’un point de vue stratégique. Si ces processus ne sont pas expliqués correctement, le concept peut générer de l'anxiété (par exemple, ces robots logiciels vont ils éliminer nos emplois ?). Ces préoccupations peuvent contribuer à l'inertie lors du lancement de projets d'automatisation des processus robotiques. Dans tout effort d'automatisation, les avantages de passer moins de temps sur des tâches fastidieuses et répétitives et de libérer du temps pour permettre au personnel de se concentrer sur des activités qui ont une plus grande valeur ajoutée devraient être communiqués tôt et souvent à toutes les personnes concernées.
Éviter les problèmes futurs
Bien que les départements d'audit interne ne disposent généralement pas de l'expertise nécessaire pour développer en interne des solutions technologiques, ils jouent néanmoins un rôle essentiel dans le succès ultime d'une solution d'automatisation. Le personnel de l’audit devrait communiquer leurs besoins et objectifs aux développeurs de logiciels tout au long du projet et non pas seulement au début. L'utilité d'une solution technologique sera directement liée à la capacité des utilisateurs et des experts en audit d'expliquer, étape par étape, comment un processus est conduit de bout en bout. Si le département de l'audit interne ne prend pas soin de définir minutieusement et précisément ses besoins, la solution technologique qui en résultera échouera. Des captures d'écran et des enregistrements vidéo du personnel effectuant les tâches peuvent être utiles dans ce processus. Des modèles et des exemples complétés sont également des moyens utiles pour illustrer les phases de découverte et d’évaluation de projets potentiels d’automatisation. Avant la programmation, une révision technique par les personnes responsables de la rédaction des codes de programmation est également une étape nécessaire. Il est également utile de disposer d'un personnel de sensibilisation dédié aux initiatives d'automatisation à l'échelle de l'entreprise pour diffuser des informations sur ce que l'automatisation des processus robotiques peut et ne peut pas faire pour les équipes de l'entreprise.
Interactions des processus
Évaluer un processus d'automatisation en soi peut être assez complexe. Cette évaluation est souvent compliquée par des interactions avec d'autres domaines. Les robots (dans le contexte de l'automatisation des processus robotiques) sont totalement indépendants de la technologie et peuvent être utilisés dans n'importe quelle application. Ainsi, ils peuvent fonctionner dans toutes les fonctions et dans toutes les applications.11
Cependant, les interactions d'un processus peuvent ne pas être entièrement technologiques. Par exemple, des considérations doivent être prises pour respecter la conformité juridique et réglementaire. Dans l'un des ateliers d'audit interne, une équipe était motivée à travailler à l'automatisation d'un processus consistant à collecter manuellement des données d'audit sur des formulaires en papier. Lorsque cette équipe a commencé à développer un formulaire électronique pouvant être rempli sur une tablette et ensuite téléchargé sur un lecteur de stockage dans le nuage où les données structurées pourraient être utilisées pour des analyses plus poussées, elle a rencontré un obstacle lorsqu'elle a découvert que leur plan était en conflit avec la politique de l'entreprise interdisant la transmission d’informations personnellement identifiables sur le lecteur de stockage dans le nuage. Il a donc fallu envisager d’autres approches.
Un autre aspect de l’interaction des processus est que, si les départements d’audit interne cherchent à automatiser des processus liés à des domaines spécifiques des activités de l’entreprise, ils doivent prendre en compte le risque que ces solutions deviennent obsolètes si l’activité change. Lorsque les activités changent, les membres du personnel de l'audit interne peuvent être assignés à d'autres tâches d'audit. Mais, la réorientation d'une solution technologique conçue pour effectuer une tâche et l'exécuter d'une autre façon peut ne pas être aussi simple. Cela signifie que les fonctions d'audit interne doivent s'aligner sur la stratégie de gestion de l'entreprise avant de poursuivre des initiatives d'automatisation liées à l'audit interne d'un secteur d'activité donné.
Conclusion
Les avantages potentiels de l'automatisation pour l'audit interne sont réels et bien documentés. Les obstacles rencontrés par les départements d'audit interne pour tirer parti des avantages de l'automatisation sont tout aussi réels mais peut-être moins bien documentés.
Le succès commence par le choix du bon processus à automatiser. Il se poursuit par la documentation méticuleuse et la cartographie du processus actuel et par la définition des exigences de la technologie d'automatisation pour garantir son fonctionnement et sa satisfaction aux besoins des utilisateurs. Au-delà des tests élémentaires effectués par les utilisateurs, les utilisateurs devraient être intégrés au processus de développement de solutions pour qu'ils comprennent non seulement comment utiliser l'outil, mais également ses avantages stratégiques et les conséquences potentielles d'un mauvais fonctionnement du système. Enfin, les interactions de plus grande envergure du processus à automatiser doivent être prises en compte pour éviter toute surprise.
Avec une planification et une évaluation minutieuses, les solutions d'automatisation utilisant des outils tels que l'automatisation des processus robotiques ont le potentiel de rationaliser les processus d'audit et de gestion et d'améliorer l'efficacité de la surveillance des contrôles. Les décisions sur les processus à automatiser devraient prendre en compte les avantages, les risques et les compromis. Bien que de nombreux processus puissent être automatisés, un processus discipliné de hiérarchisation doit exister pour choisir les processus à automatiser pour que ces efforts en vaillent la peine.
Bibliographie
1 Salierno, D.; « Tech Adoption Falls Short », Internal Auditor, vol. 75, publication 5, octobre 2018, p. 11 à 12
2 PricewaterhouseCoopers, « 2018 State of the Internal Audit Profession Study », https://www.pwc.com/sg/en/publications/state-of-internal-audit-profession-study-2018.html
3 Ramamurthy, R.; « RPA—Five Biggest Hurdles and How to Overcome Them », LinkedIn.com, le 17 avril 2017, https://www.linkedin.com/pulse/rpa-five-biggest-hurdles-how-overcome-them-ravi-ramamurthy/
4 McCollum, T.; « Audit in an Age of Intelligent Machines », Internal Auditor, décembre 2017
5 PricewaterhouseCoopers, « Revolution Not Evolution: Breaking Through Internal Audit Analytics' Arrested Development », janvier 2018, https://www.pwc.com/us/en/services/risk-assurance/library/internalauditanalyticsrevolution.html
6 Applied AI Blog, « 14 RPA Pitfalls and the Checklist for Avoiding Them [2019 Update] », le 31 décembre 2018, https://blog.appliedai.com/rpa-pitfalls/
7 Ibid.
8 Shacklett, M.; « Business Process Automation: Where It Works, and Where It Doesn't », ZDnet.com, le 3 août 2015, https://www.zdnet.com/article/business-process-automation-where-it-works-and-where-it-doesnt/
9 Op cit McCollum
10 Campbell, J.; « Intelligent Automation/RPA and Use for Internal Controls », séminaire sur la fraude et la sécurité organisé par le chapitre IIA Ouest de la Floride et le chapitre ISACA Ouest de la Floride, le 6 décembre 2018
11 Ibid.
Wade Cassels, CISA, CFE, CIA
Il est un auditeur de haut rang en informatique chez Nielsen. Il prend en charge la mission d'audit externe pour l'informatique ainsi que les rapports et les communications de l'audit interne chez Nielsen.
Jane Traub, CCSA, CIA
Elle est directrice de l'audit interne chez Nielsen. Elle dirige des initiatives d'automatisation des audits internes, elle gère les missions d'audit de l'équipe globale des médias et elle veille au respect du code de conduite.
Kevin Alvero, CISA, CFE
Il est un vice-président supérieur de l'audit interne, de la conformité et de la gouvernance chez Nielsen. Il dirige le programme d'audit interne de la qualité chez Nielsen et ses initiatives de conformité aux normes de l'industrie incluent les produits et services globales des médias de la société.
Jessica Fernandez, CISA
Elle est vice-présidente de l'audit interne chez Nielsen. Elle dirige toutes les missions d'audit interne et externe portant sur les produits et services avancés de télévision numérique chez Nielsen.