Criticité et clôture des écarts d’audit IA

La criticité dérive de l’effet plausible, de sa vraisemblance, de son étendue et de la capacité réelle des contrôles à prévenir, détecter et corriger l’écart. La règle est annoncée dans le mandat ou le programme de travail. Elle doit conduire à la même classe lorsque les mêmes faits et hypothèses sont rejoués.

Un désaccord sur la criticité n’est pas absorbé dans une moyenne. Les parties identifient le fait contesté, la preuve manquante ou l’hypothèse différente. La conclusion conserve la position résiduelle si le contradictoire ne la résout pas.

Le responsable du périmètre peut corriger une erreur factuelle, fournir une pièce, contester une interprétation ou accepter le constat. Sa réponse est instruite et conservée. L’auditeur reste responsable de la formulation finale, de la criticité proposée et des limites ; la direction reste responsable de la décision et de l’acceptation éventuelle du risque.

Une promesse de correction, un ticket fermé ou une nouvelle procédure ne suffisent pas. La clôture exige une décision explicite, un responsable, une échéance, une preuve de mise en œuvre et un test de vérification réussi — ou une acceptation de risque formalisée par l’autorité compétente.

La note de conclusion sépare les faits établis, les interprétations, les éléments non vérifiés et les désaccords persistants. Elle précise le niveau d’assurance obtenu et le risque résiduel, puis relie chaque décision à l’autorité qui la porte. La traçabilité ne sert pas à allonger le rapport : elle permet de défendre pourquoi le système a été maintenu, limité ou refusé.