AI pour la due diligence de fonds : construire un graphe de preuves à partir des DDQ, des data rooms et des appels

1. Considérer la due diligence comme une chaîne de preuves

La due diligence de fonds est un processus décisionnel fondé sur des éléments probants. L'investisseur se demande si un gestionnaire dispose des personnes, des processus, des contrôles, des incitations, des ressources et de l'historique de performances nécessaires pour mettre en œuvre la stratégie proposée dans les limites de risque convenues. La réponse figure rarement dans un seul document. Elle ressort d'une chaîne reliant une déclaration du gestionnaire à des documents justificatifs, des vérifications indépendantes, le jugement de l'évaluateur, des exceptions et des conditions.

L'ILPA DDQ 2.0 fournit une structure de questions largement utilisée pour les marchés privés ainsi qu'une annexe des documents demandés. Sa valeur va au-delà de la normalisation. Il aide à définir ce qui doit être demandé, quels documents justificatifs peuvent être attendus et comment un investisseur peut comparer les gestionnaires. Un DDQ rempli reste toutefois une déclaration du gestionnaire. Un processus de due diligence robuste teste les déclarations importantes par rapport aux documents constitutifs, aux comptes audités, aux données de portefeuille, aux politiques, aux dossiers des prestataires de services, aux déclarations réglementaires, aux vérifications des antécédents et aux éléments probants tirés des appels.

Un dossier peut montrer qu'une politique existe. Il ne montre pas à quelle question la politique répond, si elle s'applique au véhicule proposé, si elle était en vigueur pendant la période pertinente, si les pratiques correspondent à la politique ou si un autre document la contredit. Un tableur peut suivre les demandes, mais il devient difficile de conserver la provenance au niveau du paragraphe, les versions, les relations entre entités et le raisonnement de l'évaluateur à mesure que l'ensemble des éléments probants s'accroît.

Un graphe de preuves résout le problème des relations. Chaque objet important reçoit un identifiant stable et chaque lien a un type. Une affirmation peut être étayée par une politique, contredite par une transcription d'appel et nuancée par une lettre annexe. Une personne clé peut occuper des fonctions au sein du gestionnaire, du commandité, du comité d'investissement et des sociétés du portefeuille. Un contrôle de valorisation peut être décrit dans le DDQ, régi par une politique et attesté par les procès-verbaux du comité. Le graphe conserve ces distinctions.

Le graphe préserve la provenance et distingue les déclarations du gestionnaire, les documents sources, les conclusions de l'évaluateur et les décisions approuvées.

Tableau 1. Objets principaux du graphe de preuves

Des identifiants stables et des versions datées permettent de reproduire le dossier de due diligence après approbation.

2. Définir l’ontologie de la due diligence avant de choisir la technologie

Une ontologie énonce ce que l’équipe de due diligence doit savoir et comment les concepts sont liés. Une technologie choisie avant l’ontologie automatise souvent un processus incohérent. Le point de départ est une taxonomie des questions couvrant l’organisation, l’actionnariat, la gouvernance, la stratégie, l’équipe, l’historique de performances, la construction du portefeuille, le risque, la valorisation, les opérations, la conformité, la cybersécurité, les prestataires de services, la durabilité, les conditions juridiques, les frais, les conflits et le reporting.

La taxonomie doit distinguer une entité d’un rôle et un rôle d’une personne. Une société de gestion, un commandité, un conseiller en investissement, un véhicule de fonds, un véhicule de carried interest et une société du portefeuille peuvent avoir des propriétaires et des administrateurs qui se chevauchent. Une personne peut être une personne clé au titre des documents du fonds, un membre du comité de vote et un dirigeant d’une autre entité. Ces relations comptent pour la gouvernance, les conflits, la concentration et la succession.

Les affirmations exigent leur propre structure. Une déclaration selon laquelle le gérant n’a jamais connu d’incident cyber majeur comporte un auteur, un périmètre d’entité, une période, une définition du caractère significatif et une date. Sans ces attributs, les éléments probants ultérieurs ne peuvent pas être comparés équitablement. Une déclaration sur l’historique de performances brut doit préciser la stratégie, l’attribution, la devise, la date de valorisation, le traitement de l’effet de levier, les frais et le statut réalisé. L’ontologie doit stocker la définition à côté du chiffre.

Les contrôles ont aussi besoin d’une structure. Une politique est une déclaration de conception. Les éléments probants de fonctionnement peuvent inclure des approbations, des journaux, des échantillons, des procès-verbaux, des tests, des incidents et des mesures correctives. Le graphe doit donc relier un objectif de contrôle à la politique, au responsable du contrôle, aux éléments probants de fonctionnement, au résultat des tests et à l’exception. Cela évite qu’un document de politique soit considéré comme la preuve que le contrôle a fonctionné efficacement.

L’ontologie doit rester pratique. Chaque champ doit avoir un usage décisionnel, une finalité de reporting ou une exigence de contrôle. Des champs excessifs créent une fausse impression de complétude et ralentissent les évaluateurs. Un dictionnaire contrôlé, un processus de modification et une correspondance avec la DDQ permettent au modèle d’évoluer sans rompre les enregistrements antérieurs.

3. Construire une frontière d’ingestion qui protège l’intégrité des sources

Le corpus de due diligence peut contenir des données personnelles confidentielles, des informations sur les sociétés du portefeuille, des conseils juridiques, des données sur les investisseurs et des modèles sensibles sur le plan commercial. L’ingestion commence donc par l’autorisation, la classification et l’accès. L’équipe doit documenter quelles données peuvent être traitées, où elles peuvent être stockées, quel modèle ou service peut les recevoir, combien de temps elles sont conservées et comment elles sont supprimées.

Chaque fichier reçu doit être conservé sous sa forme originale avec un hachage cryptographique, l’heure de réception, l’emplacement source et une étiquette d’accès. Une copie de travail peut être convertie aux fins de recherche ou d’extraction. L’original reste l’ancrage probatoire. La reconnaissance optique de caractères, l’analyse syntaxique de feuilles de calcul, la transcription et la conversion de documents peuvent introduire des erreurs ; le texte dérivé doit conserver un pointeur vers la page, la cellule, la diapositive ou l’horodatage d’origine.

Le contrôle des versions est central. Les fichiers d’une data room peuvent être remplacés sans historique visible. Une politique peut être téléversée en plusieurs versions. Une DDQ mise à jour peut modifier une réponse après une contestation. Le système ne doit pas écraser les preuves antérieures. Il doit consigner les remplacements, identifier ce qui a changé et déterminer si les conclusions antérieures doivent être réexaminées.

Les appels exigent une gouvernance éclairée. L’équipe doit confirmer si l’enregistrement ou la transcription est licite et convenu, distinguer le texte de la transcription des notes de l’évaluateur et conserver les horodatages. L’attribution des locuteurs doit être vérifiée pour les déclarations importantes. Une note d’appel concise peut rester le document de référence faisant foi lorsque l’enregistrement n’est pas approprié.

Les services AI de tiers créent une dépendance supplémentaire. Les documents de l’IOSCO et de la FCA mettent l’accent sur la responsabilité, les compétences, la surveillance et le risque lié aux tiers. Le responsable de la due diligence doit approuver les fournisseurs, les catégories de données autorisées, les contrôles de sécurité, les conditions contractuelles, la journalisation, les modifications de modèle, la réponse aux incidents et les modalités de sortie. Les preuves sensibles ne doivent pas être soumises à un service grand public au titre d’un compte individuel.

Tableau 2. Champs d’ingestion contrôlée et de provenance

Le contenu dérivé reste lié à la source immuable et à ses conditions d'accès.

4. Associer les questions du DDQ aux exigences de preuve

Une matrice de couverture DDQ doit répondre à plus que la simple réception d'une réponse. Pour chaque question, elle doit identifier la preuve attendue, la réponse du gestionnaire, la couverture de la source, la conclusion de l'évaluateur, les exceptions et le suivi. Une réponse complète peut rester non étayée ; un document peut être pertinent sans répondre à la question ; et une réponse peut être cohérente en interne tout en étant en contradiction avec des documents indépendants.

La matrice commence par la matérialité. Les questions touchant à l'existence juridique, au statut réglementaire, à l'actionnariat, à la dépendance à l'égard de personnes clés, à l'intégrité de l'historique de performances, à la valorisation, à la conservation, au contrôle des liquidités, aux conflits, aux sanctions, à la résilience cyber et aux termes du fonds nécessitent généralement un examen direct. Les éléments administratifs à moindre risque peuvent faire l'objet d'une vérification par échantillonnage. La matérialité doit être approuvée et pouvoir être ajustée lorsqu'un fait nouveau modifie le risque.

La couverture doit utiliser des états distincts. Reçu signifie que l'élément demandé a été fourni. Répondant signifie qu'il traite de la question. Étayé signifie que la source fournit une preuve à l'appui de l'affirmation. À jour signifie que la preuve couvre la période pertinente. Cohérent signifie qu'elle concorde avec les autres preuves importantes. Examiné signifie qu'un professionnel responsable a inspecté la source et consigné une conclusion. Ces états ne doivent jamais être réduits à un seul pourcentage.

La matrice peut également identifier les dépendances entre preuves. Plusieurs réponses peuvent s'appuyer sur la même politique ou le même rapport de prestataire. Si cette source est obsolète ou hors périmètre, plusieurs questions s'en trouvent affectées. Le graphe rend cette dépendance visible et permet à l'équipe de mettre à jour tous les constats liés lorsque de nouvelles preuves sont disponibles.

Un indicateur de réception vert n'atteste ni le caractère étayé, ni l'actualité, ni la cohérence, ni l'achèvement d'un examen humain.

Tableau 3. États de couverture et action requise de l'évaluateur

Chaque état est testable indépendamment et peut être rapporté selon le seuil de matérialité et le flux de travail.

5. Utiliser AI pour des tâches de preuve délimitées.

AI est utile lorsque la tâche est répétitive, que les éléments probants sont volumineux et que le résultat peut être contrôlé. La classification peut affecter un document à un flux de travail. L'extraction peut identifier des noms, des dates, des honoraires, des engagements, des prestataires de services, des contrôles et des termes définis. La recherche sémantique peut faire ressortir des passages pertinents pour une question. La comparaison peut mettre en évidence des réponses DDQ ou des clauses de politique modifiées. La résolution d'entités peut proposer des liens entre des personnes et des véhicules d'investissement. Le tri des exceptions peut classer les éléments probants manquants ou contradictoires en vue d'un examen.

Le système doit séparer la recherche d'informations de la conclusion. Un modèle peut localiser des passages traitant de conflits de valorisation. Il ne doit pas décider que les conflits sont suffisamment maîtrisés sans un test approuvé et un jugement humain. Un modèle peut calculer si les lignes de l'historique de performances se concilient avec les totaux. Il ne doit pas déterminer la qualité de l'attribution lorsque les rôles dans les transactions, les droits des prédécesseurs ou les définitions de stratégie restent contestés.

Les prompts et les schémas doivent être versionnés. Chaque extraction doit indiquer le modèle, la configuration, la version du prompt, l'horodatage, les identifiants de source et le résultat de confiance ou de validation. Les résultats importants doivent comporter des citations au niveau de la page, du paragraphe, de la cellule ou de l'horodatage. La prose non étayée du modèle doit être exclue du graphe d'éléments probants.

Des contrôles déterministes doivent être utilisés dans la mesure du possible. Les dates, les totaux, les identifiants en doublon, les colonnes manquantes, les erreurs de formule et les additions croisées sont souvent mieux testés par du code que par du texte généré. AI peut expliquer les anomalies une fois le calcul conservé. Cette séparation améliore la reproductibilité et réduit le risque qu'un langage fluide masque une erreur numérique.

Les réviseurs humains doivent recevoir le passage source, le contexte environnant, l'extraction proposée, la raison de la correspondance et tout élément probant contradictoire. Les actions de révision doivent être rapides à enregistrer : accepter, modifier, rejeter, faire remonter ou demander des éléments probants. Le système apprend sur le plan opérationnel au moyen de règles et de gabarits contrôlés, et non par des modifications invisibles apportées à un modèle non gouverné.

6. Évaluer la confiance dans les sources sans créer une fausse précision

La confiance dans une source est un jugement structuré sur le poids qu'une source mérite pour une affirmation particulière. Ce n'est pas un score de réputation général. Des états financiers audités peuvent fournir des éléments probants solides sur des soldes historiques dans leur périmètre. Ils peuvent fournir peu d'éléments probants sur la capacité actuelle de l'équipe. Un appel avec le directeur des opérations peut expliquer un contrôle, tandis que des échantillons opérationnels et une assurance indépendante fournissent des éléments probants plus solides quant à son bon fonctionnement.

L'échelle de confiance doit évaluer l'autorité, le caractère direct, l'actualité, l'exhaustivité, la cohérence et la sensibilité aux conflits. Les registres réglementaires ou juridiques indépendants peuvent figurer en haut de l'échelle pour le statut et la propriété. Les documents de fonds signés font autorité pour les termes contractuels. Les comptes audités sont solides pour les assertions auditées. Les exports système et les échantillons peuvent étayer des éléments probants opérationnels lorsque la traçabilité est vérifiée. Les politiques décrivent la conception. Les réponses au DDQ et les appels sont des déclarations qui nécessitent une corroboration selon l'importance relative.

Un score numérique peut aider au tri, mais les raisons sous-jacentes doivent rester visibles. Deux sources ayant le même score peuvent avoir des faiblesses différentes. Le modèle doit stocker une classe de confiance, sa justification et le réviseur. La classe peut changer lorsqu'une source expire, qu'une exception survient ou que des éléments probants indépendants arrivent.

La confiance est propre à chaque affirmation et combine l'autorité de la source avec le caractère direct, l'actualité, l'exhaustivité et la cohérence.

7. Préserver les contradictions et les changements en tant qu'éléments probants

Les contradictions sont des signaux de due diligence précieux. L'effectif indiqué dans une présentation peut différer de celui du dépôt réglementaire. Un DDQ peut indiquer que la valorisation est indépendante, tandis que les procès-verbaux du comité montrent que des professionnels de l'investissement approuvent les valorisations. Une politique peut exiger des tests annuels alors que le dernier rapport est plus ancien. Un appel peut nuancer une réponse générale donnée précédemment.

Le système doit préserver chaque déclaration, sa source et sa date d'effet. Il doit créer un lien d'exception plutôt que de sélectionner le texte le plus récent et de supprimer le conflit. L'enregistrement de l'exception doit décrire le problème de manière neutre, indiquer les sources, préciser pourquoi la différence importe, identifier le responsable et consigner la norme de résolution.

Certains écarts sont légitimes. Le périmètre de l'entité, la définition, la période ou le caractère significatif peuvent les expliquer. Le traitement doit donc déterminer si les déclarations ont été rapprochées, si une source a supplanté l'autre, si l'écart était non significatif, si une mesure corrective a été acceptée ou si le point reste ouvert. Le registre de décision doit indiquer quelle conclusion l'investisseur a retenue et pourquoi.

AI peut détecter des différences sémantiques que la correspondance exacte ne détecte pas, notamment des changements dans des qualificatifs tels que « normalement », « sous réserve d'approbation » ou « dans la mesure du possible ». Il peut également créer de faux conflits lorsque deux déclarations utilisent des périmètres différents. Une revue humaine est essentielle avant l'escalade. Les passages d'origine et le contexte doivent être affichés ensemble.

8. Créer un processus de traitement des exceptions avec des droits de décision définis

Une exception est un écart significatif, une contradiction, une faiblesse de contrôle, un résultat inexpliqué ou une limitation des éléments probants. Chaque exception doit comporter un type, une gravité, les déclarations concernées, l'impact potentiel sur la décision, un responsable, une date de réponse et un test de clôture. Un document manquant peut être de faible gravité si une autre source fiable traite la question. Un petit écart numérique peut être de forte gravité lorsqu'il révèle un processus d'historique de performances peu fiable.

Le processus doit distinguer les demandes d'éléments probants, l'examen analytique, l'acceptation du risque, les mesures correctives et les conditions du comité d'investissement. Les réviseurs peuvent clore un écart administratif lorsque l'élément requis est reçu. Un conflit significatif peut nécessiter des spécialistes juridiques, conformité, opérationnels, fiscaux, valorisation ou investissement. L'acceptation du risque résiduel relève de l'organe de décision habilité.

Les délais doivent refléter la dépendance à l'égard de la décision. Un point qui empêche l'évaluation doit être résolu avant la recommandation. Une faiblesse corrigeable peut devenir une condition préalable, une obligation au titre d'une side letter ou une action de suivi. Le comité d'investissement doit voir ce qui reste ouvert, qui peut l'accepter et ce qui se passe si la condition n'est pas remplie.

La clôture exige des éléments probants et une autorisation ; la seule réponse d'un responsable ne permet pas de clore une exception significative.

Tableau 4. Exemples de catégories d'exceptions et escalade

Le caractère significatif dépend de la stratégie, de l’investisseur, de la juridiction et du contexte décisionnel.

9. Tester l’historique de performances et les données de portefeuille au moyen du lignage

L’analyse de l’historique de performances exige un chemin allant des indicateurs publiés du fonds et des transactions aux documents sous-jacents. Chaque observation doit identifier l’investissement, le véhicule, la période de détention, la date du flux de trésorerie, la devise, la base brute ou nette, la date de valorisation, les droits d’attribution et la source. Les rendements dérivés doivent conserver le calcul et les données d’entrée.

AI peut aider à cartographier des noms d’investissement incohérents, à classer les flux de trésorerie, à comparer les tableaux de présentation avec les fichiers détaillés et à localiser les explications narratives. Les calculs déterministes doivent reproduire les totaux et les rendements. Les réviseurs doivent tester les changements de définition, les performances des prédécesseurs, les réalisations partielles, les facilités de souscription, le change, les radiations, les véhicules de continuation et la valeur non réalisée.

Les données de portefeuille doivent également être reliées aux affirmations sur la stratégie. Si un gérant décrit un investissement de contrôle sur le marché intermédiaire inférieur, le graphe peut tester la valeur d’entreprise à l’entrée, la détention, la géographie, le secteur et le type de transaction. Si le gérant revendique une création de valeur opérationnelle, l’investisseur peut relier les initiatives aux éléments probants du portefeuille et isoler, lorsque les données le permettent, les effets de marché, de levier, de multiple et de résultats.

L’échantillonnage doit être fondé sur le risque. Les grands gagnants, les radiations, les valeurs aberrantes de valorisation, les transactions avec des parties liées, les transactions modifiées et les investissements proches des dates d’arrêté de reporting méritent attention. Le graphe d’éléments probants doit consigner pourquoi chaque échantillon a été sélectionné et si un problème touche la population au sens large.

10. Relier la due diligence opérationnelle aux éléments probants de contrôle

La due diligence opérationnelle examine si le gérant peut protéger les actifs, calculer les valeurs, contrôler la trésorerie, tenir les registres, respecter les obligations et poursuivre ses activités en cas de perturbation. Le graphe d’éléments probants doit relier chaque objectif de contrôle à son responsable, à sa politique, à son système, à son prestataire de services, aux éléments probants d’exploitation, à l’assurance, aux incidents et aux mesures correctives.

Le contrôle de la trésorerie illustre la méthode. Le gérant peut décrire une double autorisation dans le DDQ et la politique de trésorerie. Le réviseur doit identifier les comptes bancaires, les signataires, l’initiation des paiements, les seuils d’approbation, les procédures de rappel, les revues des accès, la séparation des tâches, les rapprochements, les exceptions et l’historique des incidents. Les échantillons et les journaux testent le fonctionnement. Les rapports des prestataires de services peuvent apporter des éléments probants, sous réserve des considérations de périmètre, de période et de contrôles utilisateurs.

L’externalisation ne transfère pas la responsabilité. Les orientations de la FCA indiquent que les entreprises restent responsables de la gestion des risques découlant de l’externalisation et des accords avec des tiers. Les orientations AI de l’IOSCO soulignent également la responsabilité désignée, les compétences adéquates, les tests, la surveillance et la supervision des prestataires. Le graphe doit montrer la chaîne de dépendance allant du gérant aux administrateurs de fonds, aux dépositaires, aux fournisseurs de technologies, aux fournisseurs de données et aux sous-processeurs.

Les éléments probants de continuité d’activité doivent couvrir les services importants, les tolérances d’impact, les personnes, les installations, la technologie, l’information et les tiers. Les plans doivent être reliés aux tests, aux constats et aux mesures correctives. Un exercice annuel réussi a une valeur limitée s’il a omis un prestataire critique ou n’a pas testé un scénario sévère. Le réviseur doit consigner ce qui a été testé et ce qui reste hors périmètre.

Les éléments probants en matière de cybersécurité nécessitent un accès contrôlé. Les schémas d’architecture, les constats de tests d’intrusion et les registres d’incidents peuvent être très sensibles. L’investisseur peut consigner une conclusion, un identifiant d’élément probant, le périmètre, la date et le réviseur sans exposer largement les éléments bruts. Les contrôles d’accès doivent suivre la sensibilité de la source, tandis que le comité d’investissement reçoit le constat pertinent pour la décision et les limites.

11. Évaluer la détention, la gouvernance et les conflits sous l’angle des relations

L’actionnariat et la gouvernance se prêtent naturellement à une représentation sous forme de graphe. Le gestionnaire, la société holding, le commandité, les fonds, les véhicules de carried interest, les entités affiliées et les sociétés en portefeuille peuvent partager des actionnaires, des administrateurs, des salariés et des prestataires de services. Un modèle de relations peut révéler des conflits et des dépendances qu’un questionnaire statique masque.

La détermination des bénéficiaires effectifs doit s’appuyer sur des documents d’entreprise faisant foi, des documents constitutifs, des tables de capitalisation et des confirmations adaptées à la juridiction. Les normes renforcées du GAFI mettent l’accent sur des informations adéquates, exactes et à jour sur les bénéficiaires effectifs des personnes morales et des constructions juridiques. L’équipe de due diligence doit identifier les personnes physiques qui détiennent ou contrôlent en dernier ressort les entités concernées et documenter toute limite des éléments de preuve disponibles.

L’analyse de la gouvernance doit cartographier l’autorité formelle et l’influence réelle. Les mandats des comités, les règles de vote, le quorum, les matières réservées, les procédures de gestion des conflits et les procès-verbaux établissent la conception et le fonctionnement. Le graphe peut comparer le processus d’investissement déclaré aux décisions consignées dans les échantillons. Il peut identifier les cas où une même personne intervient dans l’origination, la valorisation, le risque et l’approbation finale, ce qui crée des préoccupations de concentration ou d’indépendance.

Les conflits doivent être rattachés aux transactions et aux décisions. L’allocation entre fonds, les transactions croisées, les véhicules de continuation, les services fournis par des affiliés, les accords de financement, les co-investissements, les investissements personnels, la valorisation et les frais peuvent créer des incitations divergentes. Un registre des conflits ne suffit pas à établir une gestion efficace. L’évaluateur doit relier le conflit à la divulgation, à l’approbation, au prix, à la récusation, au consentement des investisseurs et aux éléments de preuve opérationnels.

AI peut faciliter la résolution d’entités entre les dossiers, sous réserve de validation. Des noms similaires, la translittération, les sociétés holding et les adresses communes peuvent produire des correspondances erronées. Chaque lien proposé doit afficher les attributs correspondants et le niveau de confiance. Les conclusions importantes sur l’actionnariat exigent des preuves faisant foi et une validation humaine.

12. Intégrer les clauses juridiques aux conclusions commerciales

La due diligence juridique et la due diligence commerciale doivent partager une cartographie contrôlée des points d’attention. Une préoccupation commerciale liée à la concentration de l’équipe peut être traitée en partie par des clauses relatives aux personnes clés, mais la définition juridique, le déclencheur, la mesure corrective et le processus de remplacement déterminent la protection. Une préoccupation de valorisation peut être liée aux droits du comité consultatif, aux obligations d’information, à l’audit et aux dispositions de révocation. Une préoccupation liée à un conflit peut être liée aux clauses de consentement, de divulgation et d’allocation.

Le graphe de preuves doit stocker chaque clause importante avec sa clause source, ses termes définis, l’entité concernée, la condition et l’interprétation de l’évaluateur. Il doit relier la clause au risque sous-jacent et à toute demande de side letter. Cela permet au comité de voir si un risque est évité, maîtrisé, intégré dans le prix, divulgué, accepté ou surveillé.

AI peut extraire des clauses et comparer des documents, mais la signification juridique dépend de l’ensemble de l’instrument, du droit applicable et des faits. Les clauses extraites doivent conserver la clause environnante et être validées par un conseil qualifié. Un résumé généré par un modèle ne doit jamais devenir le document juridique de référence.

Les modifications issues de la négociation doivent faire l’objet d’un contrôle de version. Le système doit comparer les versions préliminaires, indiquer le risque auquel une modification répond et confirmer que le document signé contient la clause approuvée. Les conditions négociées par correspondance peuvent être perdues si elles ne sont pas liées aux livrables de clôture et au plan de suivi.

13. Constituer la piste d’audit du comité d’investissement

Le comité d’investissement a besoin d’un dossier de décision concis et d’un dossier de preuves reproductible. Le dossier doit indiquer l’engagement proposé, l’adéquation à la stratégie, le rendement et le risque attendus, les principaux atouts, les exceptions importantes, les protections juridiques, les conditions, le plan de suivi et la recommandation. Chaque affirmation importante doit renvoyer à une conclusion approuvée plutôt que directement à la sortie brute du modèle.

La piste d’audit doit conserver l’état des preuves à la date de clôture de la décision. Le contenu de la data room peut changer, le gestionnaire peut fournir des précisions ultérieures et les conditions de marché peuvent évoluer. Le dossier doit identifier les sources, versions et conclusions disponibles, les points restés ouverts et les hypothèses acceptées par le comité.

L’autorité de décision et les conflits doivent être explicites. Le dossier doit identifier les participants, les membres votants, les récusations, le quorum, les votes, les questions déléguées et les conditions. Une décision du comité peut approuver, rejeter, reporter, demander des preuves supplémentaires, réduire l’engagement ou imposer des conditions. La justification doit expliquer le lien entre les preuves et le résultat.

Les actions post-réunion doivent devenir des obligations assorties de responsables, de dates, de preuves et d’un processus d’escalade. Une approbation subordonnée à une side letter, à une révision de politique, au recrutement d’une personne clé ou à un livrable de reporting n’est pas complète tant que la condition n’est pas satisfaite. Le graphe doit empêcher la clôture lorsque des preuves manquent et rouvrir le point lorsqu’un événement ultérieur modifie la base de la décision.

Le registre consigne la date d'arrêté des éléments probants, la justification de la décision, les conditions et les obligations post-clôture.

Tableau 5. Registre du comité d'investissement et responsable du contrôle

Le dossier doit être conservé conformément à la loi applicable, aux politiques et aux obligations contractuelles.

14. Encadrer les modèles, les prompts et la revue humaine

Les composants AI du système de due diligence nécessitent leur propre gouvernance. Le cadre de gestion des risques AI du NIST structure l’activité autour des fonctions gouverner, cartographier, mesurer et gérer. Son profil génératif AI met en évidence des risques tels que la confabulation, la confidentialité des données, l’intégrité de l’information, la sécurité, la propriété intellectuelle, les biais préjudiciables, la dépendance excessive des humains et les dépendances vis-à-vis de tiers. Ces risques se traduisent directement par des contrôles de due diligence.

La gouvernance doit commencer par un inventaire des modèles et des cas d’usage. Chaque cas d’usage doit avoir un responsable, des données autorisées, un impact décisionnel, une méthode de validation, un modèle d’accès, un fournisseur, un processus de modification et un plan de retrait. Un classificateur qui aiguille des documents présente un risque différent d’un système qui rédige des conclusions d’investissement. Ce dernier doit être soumis à des restrictions et à une revue plus strictes.

Les tests doivent utiliser des documents représentatifs, des mises en page difficiles, des tableaux, des fichiers numérisés, plusieurs langues, des entités ambiguës et des contradictions connues. Les indicateurs peuvent inclure la précision d’extraction, la précision des citations, les problèmes importants manqués, les fausses exceptions et les taux de correction manuelle par les réviseurs. Les résultats doivent être segmentés par type de document et par cas d’usage. Une moyenne élevée peut masquer des défaillances sur les dossiers qui comptent le plus.

La revue humaine doit être substantielle. Une interface qui demande à un réviseur d’approuver des centaines de résumés fluides peut créer un biais d’automatisation. Les réviseurs ont besoin du contexte source, de motifs d’escalade clairs et de suffisamment de temps pour contester. Le processus doit surveiller les validations de complaisance, les désaccords, les schémas d’erreur et la charge de travail.

Les modifications des modèles et des prompts doivent déclencher une revalidation proportionnée. Un fournisseur peut modifier un modèle hébergé ou une couche de sécurité. Le cabinet doit savoir quand un composant important a été modifié et si les hypothèses de performance antérieures restent valables. Les journaux doivent conserver le modèle et la configuration utilisés pour les résultats importants.

15. Sécuriser le système de preuves et ses données

Le graphe de preuves concentre des informations précieuses. Il peut contenir des identités, des participations, des dossiers d’investissement, des documents juridiques, des constats en cybersécurité et des décisions de comité. L’architecture de sécurité doit appliquer le moindre privilège, une authentification forte, le chiffrement, la journalisation, la séparation des environnements, des contrôles de perte de données, des sauvegardes et une restauration testée.

L’accès doit être fonction de l’axe de travail et des besoins. Un conseiller fiscal peut avoir besoin de structures et de dossiers spécifiques. Un spécialiste en cybersécurité peut avoir besoin de preuves techniques sensibles. Les membres du comité ont besoin de constats utiles à la décision et d’un accès aux sources justificatives dans le cadre d’autorisations contrôlées. Les liens du graphe doivent respecter le niveau d’accès de chaque objet connecté et éviter toute fuite d’informations restreintes via les extraits de recherche ou les résumés générés.

L’injection de prompts et les documents malveillants exigent une attention particulière. Un document peut contenir du texte conçu pour influencer un système AI. La chaîne de traitement doit traiter le contenu des documents comme des preuves, et non comme des instructions ; isoler les outils ; restreindre les actions ; valider les résultats ; et exiger une approbation avant toute communication externe ou modification du système. La récupération d’informations ne doit jamais donner à un modèle le pouvoir d’envoyer des demandes, de modifier des dossiers ou d’approuver des constats.

La réponse aux incidents doit couvrir l’extraction incorrecte, l’accès non autorisé, la compromission d’un fournisseur, la fuite de données, la défaillance d’un modèle et la provenance corrompue. Le plan doit identifier le confinement, la préservation des preuves, l’évaluation juridique et réglementaire, la notification, la remédiation et la revalidation. Le comité doit comprendre tout incident qui affecte matériellement l’intégrité de son dossier de décision.

16. Concevoir les rôles opérationnels et les niveaux de service

Un graphe de preuves modifie la répartition du travail. Le sponsor de la due diligence est responsable de la question d’investissement et de la recommandation. Les spécialistes des axes de travail sont responsables de leurs constats. Une équipe données ou connaissance maintient l’ontologie, l’ingestion et le lignage. Les responsables du risque de modèle ou du risque technologique valident les composants AI. Les équipes juridique, conformité, confidentialité et cybersécurité approuvent les périmètres concernés. Le comité d’investissement accepte le risque d’investissement résiduel dans les limites de ses attributions.

Une matrice RACI doit identifier qui demande les preuves, valide l’extraction, résout les exceptions, approuve les modifications de périmètre et signe le dossier final. Le système doit empêcher un administrateur technologique de modifier la conclusion d’un réviseur et empêcher un réviseur de modifier les enregistrements sources. Les accès d’urgence doivent être journalisés et revus.

Les niveaux de service doivent prioriser la matérialité. Les exceptions à risque élevé et l’absence de preuves conditionnantes nécessitent une escalade rapide. Les erreurs de classification à moindre risque peuvent être traitées par correction par lots. Le tableau de bord doit afficher l’ancienneté, la capacité des réviseurs, les dépendances entre preuves et les échéances de décision sans inciter les équipes à clôturer des problèmes uniquement pour améliorer un score d’achèvement.

La formation doit couvrir la méthodologie de due diligence, la hiérarchie des sources, l’utilisation du système, la confidentialité, les limites des modèles, la responsabilité des réviseurs et l’escalade. Les réviseurs doivent disposer d’une compréhension technique suffisante pour contester les résultats et d’un contexte d’investissement suffisant pour reconnaître lorsqu’une source est pertinente pour la décision.

17. Mettre en œuvre par étapes contrôlées

La mise en œuvre doit commencer par un cas d’usage restreint et un dossier de due diligence complet. L’équipe peut cartographier la taxonomie des questions, ingérer les sources, reproduire des constats connus et mesurer si le graphe améliore la recherche d’informations, la couverture et l’auditabilité. Les tests historiques révèlent les lacunes sans mettre en danger une décision en cours.

La première étape établit la conservation des sources, les identifiants, l’accès et les citations. La deuxième ajoute la mise en correspondance des questions et des affirmations. La troisième introduit une validation déterministe et une extraction AI encadrée. La quatrième relie les exceptions et les approbations des axes de travail. La cinquième génère des vues pour le comité à partir des constats approuvés. Les obligations de suivi s’appliquent une fois le dossier pré-investissement stabilisé.

Chaque étape nécessite des critères d’acceptation. Les pointeurs de source doivent renvoyer à la page ou à la cellule correcte. Les extractions significatives doivent respecter les seuils d’exactitude approuvés par type de document. Les contradictions ne doivent pas être écrasées silencieusement. Les preuves à accès restreint doivent rester protégées lors de la recherche et de l’exportation. Les résultats destinés au comité doivent exclure les constats non révisés.

Une exploitation en parallèle peut être nécessaire. Le suivi de due diligence existant reste la référence jusqu’à ce que le nouveau système démontre son exhaustivité, sa fiabilité et son adoption par les utilisateurs. La réconciliation entre les systèmes doit être documentée. La migration doit préserver les dates, les auteurs, les décisions et les preuves historiques plutôt que de tout convertir en un résumé de l’état actuel.

Le dernier point de contrôle est la résilience opérationnelle. L’équipe doit tester la défaillance d’un fournisseur, la perte d’un modèle, une extraction corrompue, des liens de data room inaccessibles, l’absence de personnel et des délais urgents pour le comité. Un processus de due diligence doit rester capable d’aboutir à une décision contrôlée lorsqu’un composant AI est indisponible.

18. Mesurer si le système améliore les décisions

Le succès doit être mesuré à l’aune de la qualité des preuves, du contrôle des décisions et de l’efficacité opérationnelle. Les indicateurs utiles incluent le pourcentage de constats significatifs avec une provenance au niveau du paragraphe ; les questions significatives étayées par des preuves actuelles ; les exceptions résolues avec des preuves de clôture ; les conditions du comité transmises au suivi ; les taux de dérogation des réviseurs ; les erreurs de citation ; et le temps consacré à localiser les sources.

La rapidité seule est une mesure faible. Un dossier plus rapide peut être moins bon si des synthèses non étayées passent la revue. Le système doit mesurer les problèmes significatifs manqués, la confiance excessive, les exceptions non révisées et les reprises. Un échantillonnage qualité par un réviseur indépendant peut comparer les conclusions aux sources et évaluer si le niveau de confiance déclaré est justifié.

Les résultats des décisions appellent à la prudence. La performance d’un fonds est influencée par les marchés, la stratégie et des événements échappant à la due diligence. L’organisation peut néanmoins vérifier si les risques identifiés ont été suivis, si les conditions ont été remplies, si des incidents ultérieurs étaient annoncés dans les preuves et si la justification d’origine reste reproductible.

Un graphe de preuves efficace crée une mémoire institutionnelle. Il permet à l'investisseur de comparer les représentations entre les fonds et les millésimes, d'identifier les faiblesses récurrentes de contrôle, de mettre à jour les constats lorsqu'un prestataire de services ou une personne change et de transposer les conditions préalables à l'investissement dans la phase de détention. La valeur commerciale provient d'un accès plus rapide à des preuves fiables, d'une remise en question plus robuste et d'un processus décisionnel plus défendable.

Le principe directeur est simple : AI peut organiser, récupérer, comparer et proposer ; des professionnels responsables inspectent les sources, résolvent l'incertitude et décident. Le graphe de preuves donne à ces professionnels un enregistrement structuré qui reste utilisable après la fermeture de la salle de données et la fin de la réunion du comité.

Références

1. Institutional Limited Partners Association, Questionnaire de due diligence 2.0, 1er novembre 2021. https://ilpa.org/resources-tools/resource-library/due-diligence-questionnaire/
2. Institutional Limited Partners Association, ILPA DDQ 2.0, novembre 2021. https://ilpa.org/wp-content/uploads/2021/11/ILPA-DDQ-2.0.pdf
3. National Institute of Standards and Technology, Cadre de gestion des risques liés à l'intelligence artificielle 1.0, janvier 2023. https://doi.org/10.6028/NIST.AI.100-1
4. National Institute of Standards and Technology, Cadre de gestion des risques liés à l'intelligence artificielle : Profil pour l'intelligence artificielle générative, juillet 2024, mis à jour en avril 2026. https://doi.org/10.6028/NIST.AI.600-1
5. National Institute of Standards and Technology, Manuel du cadre de gestion des risques AI, ressource à jour. https://airc.nist.gov/airmf-resources/playbook/
6. Organisation internationale des commissions de valeurs, L'utilisation de l'intelligence artificielle et de l'apprentissage automatique par les intermédiaires de marché et les gestionnaires d'actifs, septembre 2021. https://www.iosco.org/library/pubdocs/pdf/IOSCOPD684.pdf
7. Organisation internationale des commissions de valeurs, L'intelligence artificielle sur les marchés de capitaux : cas d'usage, risques et défis, mars 2025. https://www.iosco.org/library/pubdocs/pdf/IOSCOPD788.pdf
8. Organisation internationale des commissions de valeurs, Boîte à outils de supervision pour l'utilisation de AI sur les marchés de capitaux, mai 2026. https://www.iosco.org/library/pubdocs/pdf/IOSCOPD810.pdf
9. Autorité européenne des marchés financiers, Déclaration publique sur l'utilisation de l'intelligence artificielle dans la fourniture de services d'investissement de détail, 30 mai 2024. https://www.esma.europa.eu/document/public-statement-ai-and-investment-services
10. U.S. Securities and Exchange Commission, Observations issues des examens de conseillers en fonds privés, 27 janvier 2022. https://www.sec.gov/compliance/risk-alerts/observations-examinations-private-fund-advisers
11. U.S. Securities and Exchange Commission, Alerte sur les risques : processus de due diligence des conseillers en investissement pour la sélection d'investissements alternatifs, 28 janvier 2014. https://www.sec.gov/newsroom/press-releases/2014-14
12. U.S. Securities and Exchange Commission, Formulaire ADV et ressources relatives à l'enregistrement des conseillers en investissement, ressources à jour. https://www.sec.gov/investment/registration-forms-investment-advisers
13. Financial Conduct Authority, Externalisation et résilience opérationnelle, mis à jour le 14 juillet 2026. https://www.fca.org.uk/firms/outsourcing-and-operational-resilience
14. Financial Conduct Authority, SYSC 8.1 Exigences générales en matière d'externalisation, manuel FCA en vigueur. https://handbook.fca.org.uk/handbook/sysc8/sysc8s1
15. Financial Conduct Authority, Priorités réglementaires : Buy side de gros, mars 2026. https://www.fca.org.uk/publication/regulatory-priorities/wholesale-buy-side-report.pdf
16. Groupe d'action financière (GAFI), Bénéficiaires effectifs, normes et orientations en vigueur. https://www.fatf-gafi.org/en/topics/beneficial-ownership.html
17. Groupe d'action financière (GAFI), Les Recommandations du GAFI, mises à jour en février 2025. https://www.fatf-gafi.org/en/publications/Fatfrecommendations/Fatf-recommendations.html
18. Groupe d'action financière (GAFI), Orientations sur les bénéficiaires effectifs des personnes morales, mars 2023. https://www.fatf-gafi.org/en/publications/Fatfrecommendations/Guidance-Beneficial-Ownership-Legal-Persons.html
19. Organisation internationale de normalisation, ISO/IEC 42001:2023 Technologies de l'information, Intelligence artificielle, Système de management, aperçu actuel. https://www.iso.org/standard/81230.html
20. Banque des règlements internationaux, L'utilisation de l'intelligence artificielle à des fins de politique publique, 10 octobre 2025. https://www.bis.org/publ/othp100.htm