Le COSO vient de normaliser la gouvernance de l'IA en finance — la plupart des équipes ne font toujours pas confiance aux résultats

Pendant des années, « la gouvernance de l'IA en finance » n'était qu'une diapositive dans une présentation commerciale. Cela a changé le 26 février 2026, lorsque le COSO — l'organisme dont le cadre de contrôle interne intégré (ICIF) sert de socle à la conformité SOX dans le monde entier — a publié Achieving Effective Internal Control Over Generative AI, sa première extension formelle de ce cadre à l'IA. Trois semaines plus tard, FloQast a annoncé qu'il intégrait ce cadre directement dans un produit réel de gestion de clôture comptable. L'écart entre « voici un cadre » et « voici un produit qui l'applique » vient de se réduire à environ sept mois.

Si vous gérez la finance d'une PME sous ERPNext ou Odoo, ou un cabinet comptable qui les accompagne, rien de tout cela n'est abstrait. C'est la même question à l'origine de Razyyn : quand une IA vous donne un chiffre, comment savoir qu'il est juste — et qui est responsable s'il ne l'est pas ?

Le COSO n'a pas inventé un nouveau cadre — il a étendu celui auquel vous répondez déjà

Le COSO n'a pas créé de nouveaux principes pour l'IA. Il a fait correspondre le risque lié à l'IA générative à son cadre de contrôle interne intégré existant, à cinq composantes — le même que vos auditeurs testent déjà pour SOX et les contrôles des états financiers :

L'effet concret : un agent IA qui comptabilise des écritures, signale des anomalies ou répond à des questions financières n'est plus jugé uniquement sur sa justesse. Il est jugé sur sa compatibilité avec un environnement de contrôle que votre auditeur comprend déjà — cartographie des contrôles prête pour l'audit, matrices d'évaluation des risques, procédures de test, tout l'attirail. « Le modèle a généralement raison » n'a jamais suffi à satisfaire cette exigence, et les données d'enquêtes de 2026 le confirment.

L'écart de confiance que ce cadre vise à combler

Le COSO a publié un cadre parce que le problème de confiance est réel et mesuré, pas théorique :

C'est encore plus précis dès qu'on demande ce qui freine réellement l'adoption. Dans le rapport de référence PEX « State of Finance » — 687 responsables finance et opérations — 36 % citent « la confiance dans la justesse des résultats de l'IA » comme le principal frein, devant le coût ou l'effort d'intégration. Seuls 28 % accepteraient de laisser l'IA décider seule d'une question financière courante. Et pour les rapports financiers générés par IA en particulier, 61 % se disent intéressés, mais seuls 14 % utilisent réellement cette capacité — un écart de 47 points entre l'envie et la confiance suffisante pour l'activer.

Ce n'est pas un signal anti-IA. C'est l'équipe finance qui pose exactement la question que le COSO vient de formaliser : non pas « est-ce généralement juste », mais « puis-je le prouver, à un auditeur, à chaque fois ».

Quelqu'un a déjà transformé le cadre en fonctionnalité

La distance entre « le COSO a publié un cadre » et « un éditeur l'a intégré » se mesure normalement en années. Cette fois, en mois. Lors de sa conférence TakeControl des 16 et 17 septembre 2026, FloQast a annoncé qu'il opérationnalisait le cadre GenAI du COSO directement dans sa plateforme — évaluation des risques, environnement et activités de contrôle, surveillance continue intégrés au produit, avec des preuves d'audit générées automatiquement via son intégration Connected Compliance. L'entreprise a aussi recruté Lucia Wind, présidente sortante du conseil d'administration et directrice exécutive du COSO — la personne qui a supervisé la publication du cadre — au poste de SVP, Risk & Audit Advisory.

La fonctionnalité à retenir : l'assistant IA de FloQast vérifie désormais les écritures comptables avant leur validation par un humain, signale les erreurs et anomalies, note le risque d'audit et explique son raisonnement — mais le réviseur humain conserve l'autorité de validation finale. C'est le cadre du COSO en miniature : l'IA vérifie, un humain valide, et chaque étape laisse une trace qu'un auditeur peut suivre.

Pourquoi cela compte même si vous n'achetez pas de logiciel de clôture d'entreprise

La majorité de l'audience de Razyyn ne gère pas un processus de clôture d'une entreprise du Fortune 500 — ce sont des PME et des cabinets comptables sous ERPNext ou Odoo qui ne signeront jamais un contrat FloQast à 50 000 $. Mais le changement de fond s'applique à toute échelle : « expliquez votre raisonnement et montrez votre travail » devient l'attente de base pour toute IA qui touche un grand livre, pas un supplément réservé aux grands comptes.

C'est exactement le réflexe à l'origine de Razyyn, pour la même raison que les chiffres d'écart de confiance ci-dessus existent : une IA qui énonce un chiffre sans montrer comment elle y est arrivée est une boîte noire, et la formule de Sage pour décrire ce changement — « de la boîte noire à la boîte de verre » — est exactement juste. Les agents Analyse et Audit de Razyyn calculent chaque chiffre en Python à partir de vos données comptables réelles d'abord, puis vérifient la narration du modèle par rapport à ce chiffre calculé avant qu'une réponse n'atteigne un utilisateur. Pas parce que le cadre du COSO l'exige à votre échelle — pas encore — mais parce que le même mode de défaillance qu'il vise à intercepter (un chiffre plausible que personne n'a réellement vérifié) est exactement ce qui érode la confiance dans les enquêtes ci-dessus.

Ce qu'il faut concrètement en faire

• Ne déployez rien qui ne peut pas montrer son travail. Si une IA financière vous donne un chiffre, demandez ce qui l'a calculé et si ce calcul est vérifiable indépendamment de la narration du modèle lui-même. Si la réponse est « juste le modèle », c'est exactement l'écart que pointent à la fois le cadre du COSO et 71 % des responsables finance interrogés.
• Pilotez avec un point de contrôle humain, pas une autonomie totale. Les équipes finance les plus avancées ne sont pas celles qui ont donné le contrôle total à l'IA — ce sont celles qui utilisent des seuils échelonnés ou des points de validation, selon les modèles de gouvernance déjà en usage. Commencez étroit : vérification des écritures ou signalement d'anomalies, avec une validation humaine conservée, comme le déploiement de FloQast lui-même.
• Traitez la « traçabilité d'audit » comme une exigence, pas une demande de fonctionnalité. Les équipes qui exigent une traçabilité complète de chaque décision de l'IA n'exagèrent pas — elles représentent la pluralité (47,6 %) des responsables finance interrogés par Sage/IDC, et ce sont elles que le COSO vient précisément de vouloir satisfaire avec son cadre.

Si vous voulez voir à quoi ressemble une réponse validée avant de vous parvenir, dans votre propre instance ERPNext ou Odoo, notre documentation détaille l'installation pour les deux, ou contactez-nous et nous vous montrerons sur vos propres données.

Sources : COSO creates audit-ready guidance for governing generative AI — Journal of Accountancy · COSO Releases Roadmap for Governing Generative AI · The majority of CFOs require human oversight of agentic AI — Anrok · Finance Leaders Demand AI Transparency as 71% Reject Unexplained Decisions — Sage · Finance teams still wary of giving AI control — CFO Dive · FloQast Introduces New AI Accounting Innovations at TakeControl 2026