Alice Boisson est formatrice à l’IFACI depuis 2018. Spécialiste des sujets digitaux, data, RGPD et IA sans être informaticienne, elle a notamment mis son expertise GRC au service d’entreprises de la tech depuis 15 ans et auprès des directions audit interne (IFACI Certification et coaching). Elle revient sur son parcours, sa vision d’un métier en pleine mutation et sa manière de concevoir la formation.
Comment êtes-vous arrivée à l’audit interne ?
Alice Boisson : Cela a commencé avec un stage chez EY, au sein du département de conseil en audit interne, contrôle interne et gestion des risques, alors que j’étais en école de commerce. J’y ai découvert un métier fascinant qui permet de rencontrer toutes les fonctions d’une organisation et de comprendre comment elle fonctionne. Un semestre d’échange à l’université McGill, au Canada, m’a ensuite permis de suivre des cours de MBA sur l’audit interne. J’y ai découvert les normes de l’IIA, et acquis une bonne préparation pour le CIA, la certification internationale d’auditeur interne, que j’ai obtenue deux ans plus tard (2010).
Et après vos études ?
A.B. : Je suis retournée chez EY, avant de rejoindre des groupes internationaux dans l’agroalimentaire, où j’ai complété mon bagage méthodologique y compris sur la partie IT (usage d’ACL, mise en place de scripts pour l’audit en continu, intervention sur des audits SI). Il y a une quinzaine d’années, j’ai rejoint le secteur de la tech avec comme mission de créer les fonctions contrôle interne, risques ou conformité pour des scaleups de la French Tech. J’intervenais soit après une levée de fonds, quand les investisseurs demandaient de structurer la conformité et la gestion des risques pour sécuriser leur mise de fonds, soit en préparation d’une introduction en bourse, qui exige un cadre de contrôle interne plus mature. Le tout dans des entreprises où les composantes IT et data sont le cœur de l’activité.
Comment s’adapte-t-on à ces environnements quand on n’est pas informaticienne ?
A.B. : Face à un sujet nouveau, je m’appuie toujours sur la méthodologie comme une colonne vertébrale qui guide mon analyse et un questionnement sur le contexte et les enjeux. Au début, j’ai commis l’erreur de vouloir tout faire « by the book », c’est-à-dire en appliquant les concepts à la lettre. Or, il faut replacer la méthode dans le contexte de l’organisation (dans les entreprises de la tech : évolution rapide de l’activité, exigences de croissance et rentabilité, changements réglementaires) et comprendre les attentes des organes de gouvernance (confiance des actionnaires et parfois des régulateurs, soutien direct de l’activité commerciale, maîtrise de l’hypercroissance).
Où en êtes-vous aujourd’hui ?
A.B. : Je suis indépendante depuis trois ans sur des missions d’audit et de conseil en conformité RGPD et EU AI Act, soutien aux fonctions GRC pour la définition de leur feuille de route technologique, intervenante pour IFACI Certification et formatrice pour l’IFACI.
Avec le recul, qu’est-ce qui a le plus changé dans le métier ?
A.B. : À mes débuts, l’audit interne passait des audits plutôt financier à des audits de processus où la place des ERP devenait croissante. La digitalisation des processus a aussi changé l’approche du métier : si j’ai confiance dans mes opérations grâce à un outil, je dois avoir un avis sur la façon dont cet outil a été construit. C’est ce qui a donné davantage d’importance aux profils d’auditeurs informatiques.
Aujourd’hui, on attend davantage de valeur ajoutée de la fonction, d’où l’émergence des missions de conseil.
Faut-il pour autant distinguer auditeurs informatiques et auditeurs métier ?
A.B. : De moins en moins. Avec des ERP ancrés dans les processus, la maîtrise de l’objet informatique à auditer devient un prérequis pour tous. Certains départements d’audit estiment d’ailleurs que cette dichotomie n’apporte pas de valeur, d’autant que ces deux familles ne travaillent pas toujours ensemble. Avec les enjeux autour de la data, on attend aussi des profils capables de mobiliser des techniques d’analyse de données plus avancées.
C’est un point sur lequel je reviens souvent au cours de mes interventions pour l’IFACI.
Quels sujets abordez-vous dans vos formations à l’IFACI ?
A.B. : L’IFACI cherchait un regard sur le digital qui ne soit pas purement informatique. J’ai d’abord animé des formations sur la transformation digitale, puis sur le RGPD. Le catalogue s’est ensuite enrichi avec l’EU AI Act et des formations sur l’usage des LLM dans les métiers de l’audit et du contrôle interne.
Quelle est votre marque de fabrique ?
A.B. : J’essaie avant tout de faire comprendre la philosophie et la logique d’un contenu plutôt que de le faire apprendre par cœur. Un référentiel de contrôle valable aujourd’hui peut être obsolète dans six mois, selon les évolutions de contexte et des risques sur les sujets IT. Si l’on comprend la mécanique, on peut adapter à son organisation. Sur l’IA, par exemple, mon but n’est pas d’apprendre à appliquer un guide, mais d’apprendre à identifier les enjeux et les questions à se poser. Qu’est-ce qui est important ? Comment challenger l’information ? Ensuite seulement, on peut construire son approche d’audit, en piochant dans les ressources.
Quelles idées reçues devez-vous le plus souvent corriger au cours des formations ?
A.B. : La première, c’est que la conformité freinerait les opérations, ou ne serait que de la paperasse. Or un risque de non-conformité est un risque opérationnel ! Et la conformité n’est pas qu’un sujet juridique : sans dialogue avec les opérations, elle produit des dispositifs inefficaces. La seconde idée reçue, c’est que le digital, la data et l’IA seraient réservés aux techniciens. Je suis la preuve du contraire, et je ne suis pas la seule dans la communauté IFACI.
Qu’est-ce que la pédagogie de l’IFACI vous permet de faire que vous ne pourriez pas faire ailleurs ?
A.B. : D’abord, tous les formateurs IFACI sont des praticiens, plutôt seniors : au-delà de la méthodologie, ils savent ce qui marche à l’usage. Ensuite, l’IFACI nous demande chaque année de remettre à jour le catalogue à partir des retours des apprenants, qui attendent d’ailleurs de plus en plus de mise en pratique. Enfin, les formations en intra de l’IFACI offrent la possibilité d’adapter le contenu sur mesure aux enjeux de l’organisation et à la maturité de ses équipes.
L’IA a-t-elle changé votre façon de concevoir vos formations ?
A.B. : Profondément. J’utilisais les assistants conversationnels, Copilot, ChatGPT ou Gemini, depuis 2024 et l’IA agentique depuis cet été. Concrètement, l’IA m’aide pour la veille sur les guides méthodologiques, les bonnes pratiques et défaillances, pour concevoir des cas pratiques ancrés sur des exemples réels ou mettre en pratique les guides d’audit, personnaliser les formations et produire plus rapidement. Elle me permet aussi de consolider les retours des apprenants et mes notes dans un objectif d’amélioration continue.
Vous formez aussi les auditeurs à ces outils. Avec quel accueil ?
A.B. : L’évolution a été spectaculaire. En 2024, la réaction première était : « Ça existe, mais je sais faire mon travail, je n’en ai pas besoin. » En 2025, elle s’est transformée en une interrogation très concrète : « Je vois les bénéfices. Comment je l’utilise ? » Face à la demande, nous avons mis en œuvre fin 2025 deux modules, que j’ai co-construits et que je co-anime : l’un sur GAIA, l’autre sur les LLM en général. Et là encore, tout va vite. En début d’année, certains participants n’avaient encore jamais écrit un prompt ou testé de cas d’usage pour leur activité. En septembre, la majorité avait déjà utilisé ces outils et commençaient à s’intéresser à l’IA agentique.
Y a-t-il un moment où vous sentez qu’un participant a vraiment compris un point difficile ?
A.B. : Cela arrive souvent, et c’est sur les LLM que c’est le plus parlant. Nous expliquons, sans jargon, ce que ces outils sont et ne sont pas : les risques, les précautions à prendre, la vérification des résultats… Et là, souvent, ça se débloque. En une demi-journée, certains débutants repartent avec des cas d’usage et des pistes pour commencer. C’est ce qui distingue cette formation d’une offre sur étagère : elle est pensée par des auditeurs et des contrôleurs internes, pour des auditeurs et des contrôleurs internes.
Si un jeune auditeur démarrait aujourd’hui, que lui conseilleriez-vous ?
A.B. : Formez-vous aux fondamentaux ! La méthodologie pour faire un audit, et comment on le fait bien. C’est ce socle qui m’a permis d’aborder des sujets pour lesquels je n’avais pas réellement de formation initiale. Ensuite, apprenez à bien utiliser l’IA et l’analyse de données. Ces compétences ne peuvent plus rester la prérogative des auditeurs informatiques, et les outils actuels facilitent beaucoup de choses. Enfin, trouvez des pairs et échangez. Beaucoup d’auditeurs travaillent seuls et ne confrontent pas leur pratique à ce qui se fait ailleurs. C’est dommage, car il n’y a pas toujours une réponse unique.