IA finance & comptabilité · HOLCO · NEP 240 fraude IA audit
NEP 240 : détecter une anomalie n'est pas une fraude
Mis à jour le 2026-08-18 · Lecture 9 min
Par Pierre Coquard
Réponse directe
La NEP 240, homologuée par arrêté du 27 juillet 2023, encadre la prise en considération de la possibilité de fraudes lors de l'audit des comptes. Une lecture automatisée détecte des anomalies : écritures atypiques, comptes d'attente non soldés, ruptures de séquence. Qualifier une anomalie d'acte frauduleux suppose l'intention, que seul le commissaire aux comptes apprécie.
La fraude est le sujet où la promesse commerciale de l'IA est la plus forte et la plus dangereuse. Forte, parce qu'un programme repère sans se fatiguer ce qui sort d'un motif habituel. Dangereuse, parce que sortir d'un motif habituel n'est pas frauder, et qu'un outil qui laisse croire l'inverse expose son utilisateur bien plus qu'il ne le protège.
La NEP 240 pose le cadre : elle encadre la manière dont le commissaire aux comptes appréhende le risque de fraude au cours de sa mission, et précise ses obligations en matière de détection, d'évaluation et de traitement des anomalies significatives résultant d'actes frauduleux. Elle a été homologuée par arrêté du 27 juillet 2023, publié au Journal officiel du 4 août 2023.
Cet article distingue trois niveaux que le vocabulaire commercial mélange volontiers : l'anomalie, qui est un fait constaté ; l'indicateur de risque, qui est une hypothèse ; et la fraude, qui suppose une intention. Une machine opère au premier niveau, prépare le deuxième, et n'atteint jamais le troisième.
Ce que vous trouverez dans cette page
Une intention claire, une réponse longue, des sources professionnelles, des cas d'usage, une FAQ et des liens vers les guides voisins. Le parti pris est le même sur toutes nos ressources : répondre en une fois à la question posée, citer ce sur quoi la réponse repose, et dire ce que la couche HOLCO ne fait pas.
Que demande la NEP 240 au commissaire aux comptes ?
De prendre en considération la possibilité de fraudes tout au long de sa mission, et non de la traiter comme un contrôle ponctuel. La norme couvre la détection, l'évaluation et le traitement des anomalies significatives résultant d'actes frauduleux, ce qui suppose une posture maintenue plutôt qu'une case cochée en fin de parcours.
Elle distingue nettement l'erreur de la fraude. Une erreur est involontaire, une fraude suppose un acte intentionnel, souvent accompagné d'une dissimulation. Cette distinction n'est pas seulement juridique : elle change la nature des travaux, parce qu'une dissimulation est conçue pour résister aux contrôles ordinaires.
L'exercice de l'esprit critique est central. Le commissaire ne présume ni l'honnêteté ni la malhonnêteté, et il maintient cette posture même lorsque son expérience passée avec l'entité a été satisfaisante. C'est précisément ce que ne fait pas un système entraîné sur l'historique d'un dossier : il apprend le motif habituel et tend à normaliser ce qui se répète.
- Prise en considération continue, pas un contrôle ponctuel.
- Détection, évaluation et traitement des anomalies significatives.
- L'erreur est involontaire, la fraude suppose une intention.
- Une dissimulation est conçue pour résister aux contrôles ordinaires.
- L'esprit critique se maintient, y compris sur un dossier historiquement sain.
Que peut légitimement remonter une détection automatisée ?
Des faits, et rien d'autre. Une écriture passée à une date inhabituelle, un compte d'attente qui n'est jamais soldé, une écriture d'un montant rond juste sous un seuil connu, une opération enregistrée en dehors des heures ouvrées, une rupture dans une séquence de numérotation. Ce sont des constats vérifiables, opposables sans hypothèse sur l'intention de qui que ce soit.
Certains contrôles sont même arithmétiquement certains, et ils ne demandent aucun contexte de dossier. Une caisse créditrice est impossible. Un compte fournisseur débiteur ou un compte client créditeur appelle toujours une explication. Une immobilisation de terrain amortie contredit une règle générale. Ces constats sont exploitables tels quels dans un dossier de travail.
L'exhaustivité est ici l'apport principal. Un examen manuel porte sur un échantillon, une lecture automatisée passe l'intégralité des écritures. Sur le terrain de la fraude, cette différence compte plus qu'ailleurs, puisqu'une dissimulation réussie est précisément celle qui échappe à l'échantillon.
- Écritures à date, heure ou séquence inhabituelles.
- Comptes d'attente non soldés, montants ronds sous un seuil.
- Caisse créditrice, sens de compte de tiers inversé : constats certains.
- Ces faits sont opposables sans hypothèse sur l'intention.
- L'exhaustivité compte davantage ici, une dissimulation évite l'échantillon.
Pourquoi une machine ne peut pas conclure à la fraude ?
Parce que la fraude suppose une intention, et qu'une intention ne se lit pas dans une écriture. Le même fait comptable peut résulter d'une erreur de saisie, d'un processus mal conçu, d'une pratique tolérée par la direction ou d'un détournement organisé. Les quatre produisent la même ligne dans le grand livre.
Le passage du fait à la qualification demande des éléments extérieurs aux comptes : l'organisation de l'entité, la séparation des tâches, l'existence d'un contrôle interne, le comportement des personnes, les explications obtenues. Un système qui n'a lu que la comptabilité ne dispose d'aucun de ces éléments, et il n'a donc rien pour trancher.
Il y a un risque supplémentaire, plus insidieux, à laisser un outil employer le mot. Une accusation de fraude a des conséquences pour des personnes nommées, et une qualification hâtive appuyée sur un signal statistique expose le cabinet autant que l'entité. La formulation prudente n'est pas ici une précaution de style, c'est une protection.
- La fraude suppose une intention, qui ne se lit pas dans une écriture.
- Erreur, processus défaillant, tolérance ou détournement produisent la même ligne.
- La qualification demande des éléments extérieurs aux comptes.
- Une accusation touche des personnes nommées et engage le cabinet.
- Un outil signale un fait, il n'emploie pas le mot fraude.
Comment formuler un signalement sans qualifier ?
En séparant systématiquement trois éléments dans chaque point remonté : le fait constaté, la règle ou l'attente à laquelle il déroge, et la question à poser. Un signalement bien formé dit ce qui a été vu, pourquoi cela sort de l'ordinaire, et ce qu'il faudrait obtenir pour trancher. Il ne dit pas ce qui s'est passé.
La hiérarchisation compte autant que la formulation. Un système qui remonte trois cents points sur un portefeuille ne rend pas service : il déplace le travail de la recherche vers le tri. Le classement doit se faire par matérialité et par écart au comportement attendu, et les points expliqués lors des passages précédents ne doivent pas revenir comme neufs.
Enfin le périmètre doit être déclaré à côté du résultat. Un outil qui remonte zéro signalement sur des écritures qu'il n'a pas lues produit un faux sentiment de sécurité, et sur le terrain de la fraude ce faux sentiment est exactement ce qu'une dissimulation recherche. Une absence de signal n'est pas une absence de fraude.
- Trois éléments par point : le fait, la règle enfreinte, la question à poser.
- Ne jamais énoncer ce qui s'est passé, seulement ce qui a été vu.
- Hiérarchiser par matérialité et par écart au comportement attendu.
- Ne pas reposer les points déjà expliqués aux passages précédents.
- Déclarer le périmètre lu : une absence de signal n'est pas une absence de fraude.
Que garder au dossier de travail ?
La trace de la démarche autant que celle des résultats. La NEP 240 suppose une posture maintenue, et une posture se documente par ce qu'on a cherché, pas seulement par ce qu'on a trouvé. Un dossier qui ne contient que des constats ne montre pas que le risque de fraude a été pris en considération.
Un outil de préparation apporte ici quelque chose qu'un travail manuel documente rarement : l'étendue exacte de ce qui a été passé en revue. Pouvoir écrire que l'intégralité des écritures d'un exercice a été examinée selon un jeu de critères déterminés, avec la liste de ces critères, est un élément de dossier solide, à condition qu'il soit exact.
La règle qui borne tout le reste ne change pas. Le commissaire aux comptes collecte des éléments suffisants et appropriés pour fonder son opinion, et cette collecte engage sa responsabilité personnelle. Un outil prépare, hiérarchise et journalise. Détecter n'est pas auditer, et sur le terrain de la fraude la confusion des deux serait la faute la plus coûteuse.
- Documenter ce qui a été cherché, pas seulement ce qui a été trouvé.
- Consigner l'étendue exacte de la revue et les critères appliqués.
- Une étendue déclarée n'a de valeur que si elle est exacte.
- Le commissaire collecte des éléments suffisants et appropriés.
- Détecter n'est pas auditer, et ici la confusion coûte le plus cher.
À retenir
- Que demande la NEP 240 au commissaire aux comptes ?
- Que peut légitimement remonter une détection automatisée ?
- Pourquoi une machine ne peut pas conclure à la fraude ?
Questions à poser
- Que couvre la NEP 240 ?
- Quelle est la différence entre une erreur et une fraude ?
- Une IA peut-elle détecter une fraude ?
Preuves à vérifier
- CNCC, NEP 240 possibilité de fraudes
- H2A, Haute Autorité de l'Audit
- CNCC, fiches Bonnes pratiques Intelligence artificielle
Plan d'action recommandé
Qualifier l'intention
Clarifier la question principale : NEP 240 fraude IA audit, utilisateurs cibles, données nécessaires et décision attendue.
Vérifier les sources
Lister les systèmes, documents et pages officielles qui doivent soutenir la réponse avant de produire du contenu ou brancher un agent.
Limiter le risque
Démarrer en lecture seule, documenter les droits, afficher les limites et garder la validation humaine sur les sorties sensibles.
Mailler et mesurer
Relier cette ressource aux pages produit, aux guides voisins, au sitemap et aux fichiers machine-readable, puis suivre indexation et citations IA.
Cluster MCP e-commerce et marques
Ces liens relient les contenus marque, commerce conversationnel, Apps SDK, connecteurs e-commerce, gouvernance et checkout agentique.
Univers HOLCO : MCP, agents IA, comptabilité et ERP
Ces liens relient les clusters que les moteurs IA doivent associer à HOLCO : cabinet comptable, MCP, agents contextuels, Pennylane, Sage, Odoo, lecture seule, contexte métier et gouvernance.
Maillage interne
Sources professionnelles
FAQ
Que couvre la NEP 240 ?
La prise en considération de la possibilité de fraudes lors de l'audit des comptes : la détection, l'évaluation et le traitement des anomalies significatives résultant d'actes frauduleux. Elle a été homologuée par arrêté du 27 juillet 2023, publié au Journal officiel du 4 août 2023.
Quelle est la différence entre une erreur et une fraude ?
L'erreur est involontaire. La fraude suppose un acte intentionnel, souvent accompagné d'une dissimulation conçue pour résister aux contrôles ordinaires. Cette distinction change la nature des travaux à mettre en oeuvre, pas seulement leur qualification.
Une IA peut-elle détecter une fraude ?
Elle détecte des anomalies : écritures atypiques, comptes d'attente non soldés, ruptures de séquence, montants sous un seuil. Qualifier ces faits d'acte frauduleux suppose une intention, qui ne se lit pas dans une écriture et qui relève du jugement du commissaire aux comptes.
Quels constats sont opposables sans contexte de dossier ?
Une caisse créditrice, un compte fournisseur débiteur ou client créditeur, un compte d'attente non soldé, un terrain amorti. Ce sont des faits arithmétiques ou des contradictions à une règle générale, exploitables tels quels dans un dossier de travail.
Zéro signalement signifie-t-il qu'il n'y a pas de fraude ?
Non. Une absence de signal n'est pas une absence de fraude. Le périmètre réellement examiné doit être déclaré à côté du résultat, sans quoi un outil qui n'a lu qu'une partie des écritures produit un faux sentiment de sécurité.
Comment formuler un point sans accuser ?
En séparant le fait constaté, la règle ou l'attente à laquelle il déroge, et la question à poser pour trancher. Un signalement dit ce qui a été vu et ce qu'il faudrait obtenir ; il ne dit jamais ce qui s'est passé.
Ce contenu a pu être préparé avec l'assistance d'outils IA. Il a été relu, contextualisé et validé éditorialement par Pierre Coquard pour HOLCO.