L'auto-Évaluation Du Contrôle Interne [PDF]

Zitiervorschau

L E S

C A H I E R S

D E

L A

R E C H E R C H E

GUIDE D’AUDIT

L’auto-évaluation du contrôle interne

Réalisé par une Unité de Recherche de l’IFACI

IFACI – Paris – Octobre 2005 ISBN : 2-915051-09-7 Toute représentation ou reproduction, intégrale ou partielle, faite sans le consentement de l’auteur, ou de ses ayants droits, ou ayants cause, est illicite (loi du 11 mars 1957, alinéa 1er de l’article 40). Cette représentation ou reproduction, par quelque procédé que ce soit, constituerait une contrefaçon sanctionnée par les articles 425 et suivants du Code Pénal.

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

REMERCIEMENTS

L’IFACI tient tout particulièrement à remercier les participants de l’Unité de Recherche qui ont conçu et rédigé ce cahier : -

Jean François Dufour, Directeur Méthodes et Audit Holding, TOTAL SA ;

-

Florence Fradin, Responsable de la Recherche, IFACI ;

-

Eric Freudenreich, Auditeur interne, Vallourec ;

-

Nicolas Guillaume, Associé du Cabinet Sinequa Conseil ;

-

Serge Lahitte, Responsable du développement du contrôle interne, France Telecom ;

-

Michel Metayer, Directeur du Contrôle Général, Casden ;

-

Dominique Mucchielli, Auditeur interne, responsable de la partie réglementation bancaire, Banque Finama ;

-

Kim-Andrée Potvin, Responsable Référentiels et Doctrine d’audit interne, qualité et communication, BNP Paribas ;

-

Grégoire Ponchon, Superviseur audit interne, Areva ;

-

Stéphanie Tricot, Responsable du contrôle interne, Manutan ;

-

Didier Vise, Chef de mission Audit, Cofidis.

Louis Vaurs Délégué Général

GUIDE D’AUDIT

3

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

4

GUIDE D’AUDIT

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

SOMMAIRE

Avertissement ............................................................................................. 7 Introduction ................................................................................................ 8 1. Généralités ............................................................................................ 11 1.1 Place de l’auto-évaluation dans le système de contrôle interne de l’organisation .... 11 1.2 Définition de l’auto-évaluation du contrôle interne ....................................................... 11 1.3 Objectifs de l’auto-évaluation ............................................................................................ 12 1.4 Acteurs dans l’organisation ................................................................................................ 13

2. Elaboration & mise en œuvre de l’auto-évaluation ......................... 16 2.1 Préambule .............................................................................................................................. 16 2.2 Etude préalable ..................................................................................................................... 16 2.3 Méthodes ............................................................................................................................... 19 Questionnaire ............................................................................................................................. 21 Atelier .......................................................................................................................................... 30 Comparaison .............................................................................................................................. 37 Tableau récapitulatif des méthodes ....................................................................................... 39 2.4 Amélioration continue des démarches d’auto-évaluation ............................................. 40

3. Implication de l’audit interne ............................................................ 41 3.1 Rôle de l’Audit Interne sur les différentes phases du processus d’auto-évaluation . 42 3.2 Bénéfices pour l’Audit Interne ........................................................................................... 45 3.3 Risques pour l’Audit Interne .............................................................................................. 47

Conclusion ................................................................................................ 48 Annexes ..................................................................................................... 49 Exemple des différents types de questions possibles ........................................................... 50 Exemple de questionnaire d’auto-évaluation ........................................................................ 51 Exemple de mise en œuvre d’une méthode « atelier » ........................................................ 52

Bibliographie ............................................................................................ 56

GUIDE D’AUDIT

5

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

6

GUIDE D’AUDIT

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

AVERTISSEMENT

Quels sont les objectifs de ce Cahier de la Recherche ? Ce cahier de la recherche est destiné à fournir aux organisations, qui souhaitent mettre en place un système d’auto-évaluation du contrôle interne, des éléments leur permettant d’avoir une vision de ce que représente cette démarche et de choisir la méthodologie la plus adaptée à leur activité, leur taille et leur culture. Il n’y a pas de solution unique. Chaque lecteur pourra tirer de la somme d’expériences présentée dans ce document la solution qui lui convient le mieux.

A qui est destiné ce Cahier de la Recherche ? Le management doit prendre à son compte l’amélioration permanente du contrôle interne. L’auto-évaluation du contrôle interne est l’un des outils lui permettant de s’assurer de la qualité du contrôle interne de son organisation. L’auto-évaluation du contrôle interne est complémentaire de l’action du service d’audit interne qui, lui aussi, réalise par ses missions, mais à un rythme différent, des évaluations du contrôle interne. Ce cahier de la recherche est donc destiné aux directions générales, aux managers de l’organisation, aux directions des risques, aux services d’audit interne et à toute personne impliquée ou souhaitant s’impliquer dans une démarche d’auto-évaluation du contrôle interne. Cette démarche est applicable dans des organisations de toute taille, mais il est nécessaire de tenir compte de la taille ainsi que de la culture de l’organisation pour mettre en œuvre une telle démarche. L’ambition de ce cahier est de promouvoir l’auto-évaluation du contrôle interne, l’IFACI étant convaincu qu’elle permet à une organisation de développer la connaissance de son niveau de contrôle interne et donc d’en améliorer la qualité.

GUIDE D’AUDIT

7

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

INTRODUCTION Dans une organisation, la Direction Générale, et les opérationnels1 pour leur domaine d’activités, définissent des objectifs et identifient les risques qui pourraient empêcher d’atteindre ces objectifs. Afin de couvrir et de maîtriser ces risques, ils mettent en place des mécanismes visant à les réduire (actions internes, assurance, transfert, …). Ce mode de fonctionnement est représenté par le schéma ci-dessous.

Le contrôle du fonctionnement de ces mécanismes est un élément du contrôle interne qui peut se définir comme un ensemble d’actions répétées permettant aux organisations de maîtriser leurs activités. Le contrôle interne fait partie intégrante des opérations quotidiennes. L’auto-évaluation du contrôle interne va permettre aux organisations de s’assurer que le dispositif, représenté ci-dessus, est efficace. L’auto-évaluation ne dispense pas de réaliser les contrôles, intégrés aux opérations, mais vient au contraire en vérifier l’existence et la réalisation. Pour être efficace, une démarche d’auto-évaluation doit intégrer des plans d’action ainsi qu’un système de suivi de leur mise en œuvre. De plus, s’il existe une cartographie des risques dans l’organisation, il est souhaitable d’en vérifier la cohérence avec les résultats de l’auto-évaluation du contrôle interne.

Un opérationnel se définit comme toute personne ayant des actions techniques, commerciales ou de support (ex. : un comptable est un opérationnel de la comptabilité).

1

8

GUIDE D’AUDIT

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

*

* *

Ce cahier de la Recherche est organisé en trois parties : •

Une première partie propose une définition de l’auto-évaluation du contrôle interne et des objectifs qu’elle permet d’atteindre. Les acteurs impliqués dans cette démarche sont identifiés et leurs rôles respectifs sont décrits.

•

La seconde partie décrit trois méthodes issues de l’expérience d’organisations ayant déjà mis en place de telles démarches, à savoir le questionnaire, l’atelier et la comparaison. Chaque méthode a été traitée de manière indépendante et comprend l’ensemble des éléments (conception, déploiement, exploitation) et des acteurs permettant de la mettre en œuvre. Un tableau récapitule ensuite les avantages et les inconvénients de chacune de ces méthodes.

•

La dernière partie traite de l’implication de la fonction d’audit interne dans la démarche d’auto-évaluation du contrôle interne et les bénéfices qu’elle peut en retirer.

GUIDE D’AUDIT

9

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

10

GUIDE D’AUDIT

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

1. GÉNÉRALITÉS

1.1. Place de l’auto-évaluation dans le système de contrôle interne de l’organisation L’auto-évaluation du contrôle interne est l’un des éléments d’appréciation du dispositif de contrôle interne. En effet, le contrôle interne comporte au moins trois groupes d’intervenants : 1.

Les opérationnels : responsables du contrôle interne des activités quotidiennes,

2.

La Direction Générale et la hiérarchie : responsable de l’initialisation et de la mise en œuvre d’une démarche d’auto-évaluation du contrôle interne,

3.

L’Audit Interne : responsable de contrôler périodiquement la qualité du dispositif de contrôle interne.

1.2. Définition de l’auto-évaluation du contrôle interne2 L’auto-évaluation est une démarche initiée par la Direction Générale, supportée par la hiérarchie et mise en œuvre et utilisée par les opérationnels pour évaluer la qualité de contrôle interne de leurs activités. Elle comprend la méthodologie, les résultats (unitaires, agrégés, plans d’action) et les personnes qui la mettent en place. Contrairement aux contrôles qui se font au rythme des opérations, l’auto-évaluation est une démarche périodique. Comme la terminologie l’indique, l’« auto-évaluation » signifie une évaluation par soimême de son propre contrôle interne. Chaque employé impliqué dans le processus opérationnel a toujours la responsabilité de vérifier que les opérations qu’il a traitées le sont conformément aux objectifs et principes du contrôle interne. L’existence des différents organes de contrôle ne peut le dispenser de cette tâche essentielle. Les procédures doivent donc prévoir, de manière claire dans le processus opérationnel, les contrôles qu’il convient de réaliser, la manière de les réaliser et de les valider.

Selon le COSO (Committee of Sponsoring Organizations of the Treadway Commission), le contrôle interne se définit comme un processus mis en œuvre par la direction générale, la hiérarchie, le personnel d’une organisation, et destiné à fournir une assurance raisonnable quant à la réalisation d’objectifs entrant dans les catégories suivantes :

2

==> Réalisation et optimisation des opérations, ==> Fiabilité des informations financières, ==> Conformité aux lois et aux réglementations en vigueur.

a Pour plus d’information sur le COSO, le lecteur peut notamment se référer à l’ouvrage « La pratique du contrôle interne – COSO Report » aux Editions d’Organisation - IFACI et PWC.

GUIDE D’AUDIT

11

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

La démarche d’auto-évaluation est donc effectuée à tout niveau, en fonction des objectifs et des risques identifiés par l’organisation et par l’opérationnel lui-même (en s’assurant de la cohérence entre eux).

1.3. Objectifs de l’auto-évaluation L’auto-évaluation est l’un des éléments de l’évaluation globale de l’organisation. Une des composantes importantes de la qualité de cette évaluation réside dans la sensibilisation du personnel de l’organisation au contrôle interne. Le résultat de l’auto-évaluation peut faire apparaître des zones d’amélioration pour l’organisation. Le rôle de l’auto-évaluation est donc d’inciter les managers à s’impliquer dans le processus de contrôle permanent réalisé par leurs collaborateurs. Sensibiliser, promouvoir, et développer une culture de contrôle interne : ces trois éléments passent nécessairement par une intervention directe de la Direction Générale, et la sensibilisation en est le premier acte. Bien que ces trois éléments impliquent fortement la Direction Générale, l’Audit Interne peut intervenir auprès d’elle en proposant des actions pragmatiques de sensibilisation, de promotion et de développement. Sensibiliser consiste à faire comprendre que le contrôle interne doit être un acte intégré aux missions journalières. Il doit être un réflexe. La mise en place d’un système de contrôle interne est nécessaire pour maîtriser les risques inhérents3 à chaque activité, et pour favoriser la pérennité de l’organisation. Le système de contrôle interne doit être adapté aux enjeux de chacune des entités de l’organisation. Les objectifs de la démarche d’auto-évaluation du contrôle interne varient en fonction des différents acteurs de l’organisation : Les objectifs pour la Direction Générale : •

améliorer les opérations par des plans d’action,

•

bénéficier d’une information sur la qualité du contrôle interne aux différents niveaux de l’organisation et sur l’évaluation des risques (inhérents et résiduels4).

Les objectifs pour les opérationnels et leur hiérarchie : •

vérifier que l’ensemble de leurs activités est couvert par des dispositifs de contrôle interne qui leur permettent de s’assurer que leurs opérations sont effectuées en utilisant au mieux les actifs de l’organisation, et qu’elles sont menées efficacement et en sécurité.

3 Risques existant en l’absence de toute action prise par le management en vue de diminuer la probabilité d’occurrence ou l’impact. Définition provenant du Cahier de la recherche portant sur l’étude du processus de management et de cartographie des risques, IFACI 2003).

Risques restant après que le management ait entrepris des actions visant à diminuer la probabilité d’occurrence ou l’impact du risque. Définition provenant du Cahier de la recherche portant sur l’étude du processus de management et de cartographie des risques, IFACI 2003).

4

12

GUIDE D’AUDIT

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

Les objectifs pour l’Audit Interne : •

contribuer à l’élaboration du plan annuel ou pluriannuel d’audit par la connaissance qu’elle apporte sur les faiblesses de contrôle interne,

•

affiner, lors de chaque mission d’audit, le périmètre d’intervention en fonction des résultats de l’auto-évaluation du contrôle interne.

Les objectifs pour d’autres fonctions de l’organisation (Direction des risques, Direction Financière, …) •

répondre aux demandes des autorités de tutelle ou de l’administration,

•

obtenir des informations permettant de vérifier la conformité aux réglementations,

•

contribuer à l’évaluation des risques globaux de l’organisation,

•

sensibiliser le management sur l’intérêt du contrôle interne pour optimiser ses propres opérations et le responsabiliser sur sa mise en œuvre.

1.4. Acteurs dans l’organisation Le schéma suivant propose une représentation des acteurs intervenant dans la démarche d’auto-évaluation du contrôle interne :

6

Conseil et/ou Comité d’Audit

Ligne hiérarchique

Opérationnels

GUIDE D’AUDIT

Audit Interne

5

Coordonnateur

4

Remontées des résultats

Remontées des résultats

Hiérarchie

2

3

Direction générale

Remontées des résultats

1

13

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

1 LA DIRECTION GENERALE : •

Elle prend la décision de la mise en œuvre d’une telle démarche et décide de l’utilisation qui en sera faite,

•

Son appui et son soutien sont cruciaux afin que la démarche soit crédible auprès des opérationnels.

2 LA HIERARCHIE : •

Elle apporte son point de vue sur la pertinence des moyens et des méthodes.

•

Elle mobilise ses équipes opérationnelles sur la mise en œuvre et l’évaluation des dispositifs de contrôle interne et éventuellement valide les résultats.

•

L’auto-évaluation est un moyen, pour elle, d’améliorer et de rendre plus sûres et efficaces les opérations.

•

Elle valide les plans d’action définis par les opérationnels et en vérifie la mise en œuvre. .

•

Enfin, elle coordonne en direct toute la démarche d’auto-évaluation du contrôle interne auprès des opérationnels et peut en effectuer une synthèse pour la Direction Générale.

3 LES OPERATIONNELS : •

Ils effectuent les travaux d’auto-évaluation et, le cas échéant, proposent des plans d’action afin de corriger les dysfonctionnements recensés. Ces plans d’action comprennent a minima trois types d’information : 1. Quoi ? Description du plan d’action. 2. Qui ? Identification de la personne responsable de l’action corrective, l’opérationnel par définition, 3. Quand ? Les délais de mise en œuvre des actions d’amélioration doivent être raisonnables.

•

Ils peuvent, en fonction de la stratégie de l’organisation en matière d’auto-évaluation, remonter les résultats à leur ligne hiérarchique, au coordonnateur et/ou à l’Audit Interne (voir ci-dessous).

•

Ils apportent, si nécessaire, leurs points de vue sur les supports de la démarche adoptée.

4 LE COORDONNATEUR : •

14

Il donne les critères de réalisation et coordonne le processus d’auto-évaluation : - conception du référentiel, - définition et mise en œuvre des outils d’évaluation, - formation et information, - support aux utilisateurs, … GUIDE D’AUDIT

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

•

Il est le gardien du processus et du référentiel d’auto-évaluation.

•

L’Audit Interne peut éventuellement être ce coordonnateur.

5 L’AUDIT INTERNE : •

Dans le cas où l’Audit Interne n’est pas coordonnateur du processus, il en est au moins une partie intéressée et peut apporter son expertise au coordonnateur pour les phases amont de construction des référentiels, des outils et des méthodologies. Il est client du processus dont les résultats l’intéressent (voir objectifs).

•

Qu’il soit coordonnateur ou non, l’Audit Interne est une des fonctions les plus légitimes pour parler du contrôle interne puisque cela fait partie de son champ de compétences.

6 LE CONSEIL5 EVENTUELLEMENT VIA LE COMITE D’AUDIT6 : •

En tant qu’organe faisant partie du gouvernement d’entreprise, le Conseil s’intéresse aux résultats de l’auto-évaluation du contrôle interne.

•

Les résultats de l’auto-évaluation peuvent lui être remontés par plusieurs sources : - via la ligne fonctionnelle (l’Audit Interne et/ou le coordonnateur) ; - via la ligne hiérarchique opérationnelle (Direction Générale et/ou hiérarchie).

•

Le Conseil peut porter un jugement afin d’évaluer la qualité du contrôle interne des activités opérationnelles et formuler des recommandations, le cas échéant.

•

Le Conseil peut être à l’origine de la démarche.

L’interaction et la communication entre les différents acteurs sont très importantes afin de garantir le bon déroulement de l’auto-évaluation du contrôle interne. Chaque acteur a son rôle propre et c’est l’addition de toutes ces compétences et actions qui favorise une bonne maîtrise du dispositif. L’articulation du rôle des différents acteurs peut varier selon les méthodes. La section suivante met en exergue les scénarii possibles.

Conseil : Le Conseil est l’organe de direction d’une organisation. Il peut s’agir d’un Conseil d’Administration, d’un Conseil de surveillance ou de l’instance dirigeante d’un organisme public ou d’une association (définition issue du glossaire du classeur des Normes Professionnelles pour la Pratique de l’Audit Interne (IIA).

5

Comité d’audit : on entend par Comité d’audit une émanation du Conseil composée d’une majorité d’administrateurs indépendants. 6

GUIDE D’AUDIT

15

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

2. ELABORATION & MISE EN ŒUVRE DE L’AUTO-ÉVALUATION

2.1. Préambule Il n’existe pas de façon unique de « pratiquer » le contrôle interne. Les dispositifs et contrôles en place dans une organisation se doivent, pour être efficaces, d’être adaptés au secteur d’activité de ladite organisation, à ses risques, et plus généralement à sa « culture ». De même, toute démarche d’évaluation du contrôle interne (ou plus spécifiquement d’auto-évaluation) est à adapter à l’environnement global de l’organisation où on la déploie. La démarche d’auto-évaluation ne peut donc pas être achetée « sur étagère » au risque d’être inefficace. Aussi convient-il de créer un groupe projet chargé d’élaborer et de déployer une démarche d’auto-évaluation du contrôle interne, ce dispositif devant faire l’objet d’une amélioration continue.

ELABORATION

Etude préalable (Choix méthode)

Conception

MISE EN ŒUVRE

Déploiement

Exploitation

Questionnaires Ateliers Comparaison

AMÉLIORATION CONTINUE

2.2. Etude préalable Objectifs L’étude préalable a pour finalité le choix d’une méthode d’auto-évaluation. Cette méthode se doit d’être en adéquation avec les besoins de l’organisation en matière de contrôle interne. Méthodologie Le choix et le contenu de la méthode d’auto-évaluation dépendent de différents critères :

16

GUIDE D’AUDIT

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

1) l’environnement de contrôle interne :

2)

•

système de gouvernance

•

sensibilité au contrôle interne

•

intégrité et éthique

•

référentiel de contrôle interne

•

style de management

•

attentes des acteurs

Les caractéristiques de l’organisation : •

type de structure : matricielle, hiérarchique, centralisée, décentralisée, …

•

secteur d’activité

•

diversité des activités

•

nombre de filiales

•

acteurs du contrôle interne

•

effectifs

3)

Les objectifs fixés par l’organisation en matière de contrôle interne

4)

Les risques de l’organisation et les enjeux associés

5)

Les ressources disponibles :

6)

7)

•

ressources financières

•

ressources humaines

•

ressources techniques

Les systèmes d’informations : •

système informatique de gestion de l’organisation

•

organisation de la communication interne

Les autres démarches en place au sein de l’organisation : •

8)

système qualité

•

management des processus

•

risques opérationnels

•

…

Le reporting souhaité : •

mise en œuvre de la démarche/contenu des résultats

•

niveau fonctionnel/niveau hiérarchique

•

transmis au service d’audit ou non

•

consolidé ou non

GUIDE D’AUDIT

17

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

Certains de ces critères sont développés ci-dessous. La culture et les « manières de procéder » d’une organisation peuvent être profondément marquées par des démarches globales en place dans l’organisation (certification ISO, projet d’organisation, …). Ensuite, le degré de sensibilisation des membres de l’organisation à la notion de contrôle interne a une incidence importante sur la démarche. De même, les caractéristiques de l’organisation doivent être prises en compte. Dans une organisation complexe et ramifiée, il est préférable que la démarche et l’outil utilisés soient identiques pour l’ensemble des entités. Le contenu d’un tel outil se doit d’être structuré, notamment pour en permettre l’exploitation. Son déploiement se fait nécessairement sous la responsabilité du coordonnateur. Il convient aussi de considérer les objectifs fixés en matière de contrôle interne, la sensibilité aux risques de l’organisation et le niveau des contrôles pré-existants. Une démarche d’auto-évaluation peut être complémentaire d’autres démarches. Certaines organisations consacrent, par exemple, des moyens importants à l’élaboration de cartographies des risques. Si tel est le cas, une démarche d’auto-évaluation trop lourde peut créer des redondances. De même, certaines organisations mettent en œuvre - du fait d’obligations particulières (réglementation bancaire,…) - des contrôles de premier niveau et des modes de supervision sophistiqués. Elles peuvent, dès lors, opter pour une démarche d’auto-évaluation adaptée. Les processus sont de plus en plus souvent pris en charge par les systèmes informatiques. Les contrôles (séparation des tâches, exercice des délégations de pouvoirs, etc.) passent donc par l’analyse de ces systèmes, notamment les autorisations d’accès, les attributions de profils utilisateurs, etc. La couverture informatique (homogénéité des outils, diffusion et intégration au sein de l’organisation) est également l’un des critères à prendre en considération. Le reporting peut prendre plusieurs formes tant sur le contenu que sur les circuits d’information mis en place. Que les auto-évaluations soient réalisées dans des organisations vastes et complexes ou dans des structures de taille plus modeste, elles peuvent constituer une source d’information précieuse. Dans les deux cas, les résultats obtenus peuvent permettre de rationaliser les ressources et constituer une valeur ajoutée non négligeable dans l’élaboration des plans d’action globaux et l’optimisation du plan d’audit interne. En effet, ces résultats constituent des indicateurs qui, directement remontés par les opérationnels, sont pris en charge par les services intéressés (audit interne, direction des risques, service qualité, etc,) après vérification de leur fiabilité. Grâce à l’auto-évaluation, ces services peuvent ainsi collecter des informations, cibler plus rapidement et efficacement les actions à mener, les intégrer dans les plans d’action globaux. Dans ce cadre, rationalisation et optimisation constituent une valeur ajoutée, les indicateurs permettant à ces services de construire leur plan d’activité.

18

GUIDE D’AUDIT

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

Ces mêmes résultats peuvent également constituer une base pour la préparation des rapports sur le contrôle interne requis par la réglementation (Loi de Sécurité Financière en France, Sarbanes Oxley Act aux USA,…). Les résultats des auto-évaluations, notamment lorsqu’ils sont consolidés, se doivent d’être sincères et réguliers. La mise en œuvre d’audits de validation permet de s’en assurer. a Acteurs La Direction Générale fixe les objectifs de la démarche et approuve le choix de la méthode. Le coordonnateur pilote l’étude préalable en liaison avec les acteurs de l’organisation. a Facteurs clés de succès La Direction Générale doit être le « sponsor » du projet. Elle positionne la démarche d’auto-évaluation en tant qu’objectif majeur de l’organisation et doit affirmer clairement la légitimité du coordonnateur. Le coordonnateur et les membres de l’équipe projet doivent avoir les compétences nécessaires en terme de contrôle interne et avoir une bonne connaissance de l’organisation. Un document écrit doit formaliser les réflexions issues des réalités de l’organisation.

2.3. Méthodes Ce chapitre s’articule autour de 3 méthodes d’auto-évaluation : le questionnaire, l’atelier, la comparaison. Pour faciliter la compréhension de ce chapitre, vous trouverez ci-après la structure de cette partie :

GUIDE D’AUDIT

19

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

QUESTIONNAIRE 1)

Conception 1.1) Structuration 1.2) Questions 1.3) Acteurs 1.4) Support 1.5) Facteurs clés de succès

2)

Déploiement 2.1) Phasage 2.2) Acteurs 2.3) Facteurs clés de succès

3)

Exploitation des résultats 3.1) Système d’information et pilotage 3.2) Plan d’action 3.2) Fiabilité 3.3) Facteurs clés de succès

ATELIER 1) Conception 1.1) Contenu 1.2) Acteurs 1.3) Support 1.4) Facteurs clés de succès 2) Déploiement 2.1) Phasage 2.2) Acteurs 2.3) Facteurs clés de succès 3) Exploitation des résultats 3.1) Système d’information et de Pilotage 3.2) Plan d’action 3.3) Fiabilité Facteurs clés de succès 3.4)

COMPARAISON 1) Mise en œuvre

TABLEAU RECAPITULATIF DES METHODES

20

GUIDE D’AUDIT

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

QUESTIONNAIRE

1. Conception 1.1 Structuration : Il n’y a pas de méthode prédéfinie pour l’élaboration d’un questionnaire d’auto-évaluation du contrôle interne. Tout dépend de la culture de l’organisation par rapport au contrôle interne, du niveau de couverture recherché, du temps accordé pour la réalisation et la mise en œuvre de l’outil et d’autres paramètres propres à l’organisation. Plusieurs types de structuration de questionnaires sont possibles et par exemple : a A partir des processus de l’organisation Il convient de s’appuyer sur toute cartographie ou liste de processus existante au sein de l’organisation, notamment auprès de la Direction et/ou du responsable Qualité et/ou du responsable des risques, et/ou du responsable de l’organisation s’il(s) existe(nt), ainsi que sur la documentation associée. Il est à noter que, pour faciliter l’utilisation du questionnaire, il est tout à fait possible de regrouper ces processus en trois grandes catégories : processus de management, processus de réalisation ou opérationnels, processus support. Une telle structuration permet d’être au plus près de l’activité des utilisateurs, sans décalage avec un fonctionnement qui leur est familier, ce qui en facilite d’autant plus l’appropriation. Il est important de préciser qu’un travail d’élaboration significatif est nécessaire pour prendre en compte l’ensemble des processus de l’organisation, ce qui nécessite du temps et mobilise des ressources.

GUIDE D’AUDIT

21

Q U E S T I O N N A I R E

Les questionnaires sont des outils concrets et pratiques qui permettent de diffuser rapidement et uniformément dans toutes les structures de l’organisation les points d’attention essentiels en matière de contrôle interne. Leur mise en œuvre permet de déterminer rapidement les forces et faiblesses en matière de contrôle interne et une prise de décision appropriée.

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

Q U E S T I O N N A I R E

a A partir des fonctions ou domaines standards Dans ce cas, il convient de prendre en compte les principales fonctions ou principaux domaines communs à toutes les organisations sans se focaliser sur ceux qui leur sont spécifiques. On peut citer par exemple l’organisation, les investissements, la production, les achats, les ventes, les stocks, le personnel, la trésorerie, l’informatique,… Le principal avantage réside dans l’utilisation d’outils déjà existants, décrits dans certains ouvrages accessibles dans le commerce ; il n’y a donc pas d’investissement lourd ni financier ni humain et la mise en œuvre est quasi immédiate. En revanche, il n’y a pas obligatoirement d’adaptation ni de prise en compte des caractéristiques de l’organisation. a A partir d’un référentiel de contrôle interne Dans ce cas, il convient d’utiliser la structure de ce référentiel, par exemple les cinq composantes7 du cadre de contrôle interne proposé par le COSO. Chacune des deux premières structurations peut également être utilisée en s’appuyant sur les différentes composantes du référentiel de contrôle interne de l’organisation.

1.2 Questions Les questions peuvent être de type fermé (réponses : oui / non / ne sait pas (nsp) ou non applicable (n/a), par exemple) ou de type ouvert (Cf. annexe p. 50). Des questions de type fermé permettent un dépouillement plus systématique et facilitent l’automatisation du traitement des réponses ; en revanche, une très grande précision au niveau de la rédaction des questions est nécessaire pour éviter toute interprétation. Des questions de type ouvert permettent, quant à elles, une plus grande liberté dans les réponses (description, appréciation, etc.), une plus grande richesse d’informations et facilitent l’émergence de bonnes pratiques ; en revanche elles ne permettent pas une automatisation de leur dépouillement et rendent plus complexe l’analyse des réponses. Selon l’organisation et la méthode utilisée pour la mise en œuvre de l’auto-évaluation, il est également possible d’utiliser des questionnaires spécifiques selon le niveau hiérarchique des utilisateurs (par exemple pour la hiérarchie et/ou les collaborateurs,

Selon le COSO Report, le contrôle interne est composé de cinq composantes interdépendantes qui découlent de la façon dont l’activité est gérée et qui sont intégrés aux processus de gestion, à savoir : l’environnement de contrôle, l’évaluation des risques, les activités de contrôle, l’information et la communication et le pilotage. 7

22

GUIDE D’AUDIT

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

pour les fonctions de direction et/ou les opérationnels) ; ceci peut permettre ensuite une analyse croisée fournissant une appréciation plus complète pour une même thématique.

Si la pondération est communiquée, ce système nécessite une vigilance soutenue dans la durée car il comporte le risque d’être, à terme, détourné de son objectif initial, les utilisateurs ne se focalisant que sur les questions à très forte cotation au détriment des autres par exemple. Un exemple de questionnaire est repris en annexe page 51.

1.3 Acteurs Comme cela a été mentionné précédemment, il est souhaitable que cette phase de réalisation du questionnaire soit envisagée sous le mode projet et que par conséquent un coordonnateur soit désigné à cet effet. Le coordonnateur peut être un membre du service d’audit interne ou quelqu’un ayant une bonne connaissance du fonctionnement global de l’organisation et une sensibilité certaine aux problématiques qualité, processus, risques et, bien entendu, au contrôle interne. Ceci doit lui permettre, selon le type de questionnaire choisi, soit de veiller à bien prendre en compte tous les processus ou domaines de l’organisation, soit de transposer de la façon la mieux adaptée à l’organisation les processus ou domaines standards, soit de vérifier le respect du référentiel de contrôle interne choisi. Les auditeurs sont, dans tous les cas, du fait de leur connaissance du contrôle interne et des risques, des acteurs incontournables dans cette phase d’élaboration. Mais ils ne sont pas les seuls ; on peut citer également les contrôleurs de gestion, les responsables de processus, les responsables des risques, les responsables qualité et les experts sur des domaines très spécialisés. Les commissaires aux comptes peuvent être également sollicités pour donner leur avis sur l’élaboration du questionnaire. La contribution de ces acteurs est variable selon le mode de travail retenu par le coordonnateur (travail « en chambre » ou largement participatif, orienté sur un domaine spécifique ou ouvert sur tous les domaines de l’organisation).

GUIDE D’AUDIT

23

Q U E S T I O N N A I R E

Il est enfin possible de pondérer préalablement chacune des questions (note, code couleur,…) afin de donner une priorité marquée sur certains aspects ou contrôles incontournables sur lesquels une attention toute particulière doit être portée. Cette pondération peut, selon la stratégie de l’organisation, être communiquée ou non aux utilisateurs.

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

Q U E S T I O N N A I R E

1.4 Support Dès la phase d’élaboration, il est important de déterminer le support et le mode de diffusion du questionnaire : selon l’organisation (mono site ou multi-sites, nationale ou internationale, …) et la structuration du questionnaire, celui-ci peut être soit un document papier, soit un document électronique, soit un document intégré dans un produit informatique ayant de nombreuses autres fonctionnalités. En tout état de cause, plus le support est simple d’utilisation, plus il est utilisé et meilleure est l’appropriation de la démarche d’auto-évaluation.

1.5 Facteurs clés de succès a- Elaboration du questionnaire : Si le questionnaire est élaboré en associant des opérationnels, il est important d’instaurer une relation d’échanges « gagnant/gagnant », d’identifier et de prendre en compte les attentes des utilisateurs dès la conception (ce qui permet une meilleure appropriation de la démarche) et de favoriser un environnement fondé sur la confiance. Par ailleurs, quelle que soit la structuration retenue, il ne faut pas perdre de vue que les dispositifs de contrôle interne doivent constituer le fil conducteur qui sous tend la réalisation du questionnaire. En effet, toute faiblesse de contrôle interne peut induire pour l’organisation des risques multiples (juridique, opérationnel, financier, image, etc.). b - Rédaction des questions : D’une façon générale, il convient de veiller tout particulièrement à la formulation des questions. Il faut éviter de mettre plusieurs idées dans une même question (faites-vous des appels d’offres pour tous les achats supérieurs à un certain montant ?), de poser des questions à réponses multiples ou des questions pouvant être sujettes à interprétation, mal comprises, notamment pour des questions de type fermé. Dans le même sens, il convient d’éviter tout sigle ou abréviation qui ne soit pas compréhensible par tous au sein de l’organisation. En tout état de cause, il convient de les expliciter lors de leur première utilisation. Enfin, si le questionnaire est rédigé en plusieurs langues il doit être validé par les opérationnels du pays concerné d’une part pour éviter des problèmes de traduction et d’autre part pour s’assurer qu’il correspond à la réalité des activités qui seront évaluées.

24

GUIDE D’AUDIT

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

c- Dimensionnement du questionnaire :

d- Manuel de référence : Le questionnaire peut être adossé à un manuel de référence qui détaille l’ensemble des points de contrôle des divers processus de l’organisation. En effet, ce manuel décrit les bonnes pratiques en matière de contrôle interne auxquelles les utilisateurs pourront se reporter soit pour mieux cerner le contenu d’une question soit pour mettre en œuvre les plans d’action correctives.

2. Déploiement 2.1 Phasage 3 phases peuvent être identifiées : 1- phase pilote : Il est vivement recommandé de procéder à une phase pilote avant toute généralisation du déploiement du questionnaire. C’est une phase très importante pour le succès de la démarche et il convient donc de rechercher un site pilote volontaire (et non pas contraint) afin de s’assurer de la qualité de l’outil proposé, de la pertinence de la méthode de diffusion utilisée. Cette démarche permettra de recueillir l’appréciation la plus objective et constructive possible des utilisateurs et de faire toutes les améliorations souhaitables avant déploiement. 2- phase de déploiement : Le déploiement doit être le reflet d’une politique définie par la Direction Générale. Il doit donc être organisé, programmé et précédé d’une information de la Direction Générale à l’intention de la hiérarchie et des opérationnels. Selon la structure de l’organisation, il peut se réaliser soit par un simple envoi du questionnaire (par courrier, par courriel…) soit par une mise à disposition dans une application de type Web.

GUIDE D’AUDIT

25

Q U E S T I O N N A I R E

Il faut veiller à limiter le nombre de questions du questionnaire afin qu’il ne soit pas trop long et éviter ainsi tout rejet éventuel par les utilisateurs, d’où l’importance du choix et de la rédaction des questions. Selon sa nature, le questionnaire ne devrait pas dépasser 200 à 300 questions, pour l’ensemble des thèmes abordés et pas plus de 50 questions par personne.

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

3- phase de mise à jour :

Q U E S T I O N N A I R E

Il convient de prévoir le plus tôt possible les modalités de mise à jour du questionnaire (périodicité, contenu, modalités de remontée des points d’amélioration et modalités de diffusion, pondération, etc). Il est préférable de ne pas faire de mises à jour trop fréquentes (sauf partiellement si besoin) pour laisser aux utilisateurs le temps de l’appropriation et de la mise en œuvre dans l’ensemble de l’organisation (surtout dans les organisations multi-sites et/ou internationales). Une mise à jour annuelle paraît suffisante, sauf évolution significative de l’organisation. Elle sera par ailleurs d’autant plus aisée que le support retenu est facile d’utilisation.

2.2 Acteurs Comme pour la phase de réalisation, il est préférable de désigner un coordonnateur pour l’ensemble de la démarche. Il est conseillé de désigner dans chaque entité un correspondant qui sera chargé de relayer la démarche. Les auditeurs internes peuvent intervenir lors de cette phase de déploiement soit directement en soutien auprès des différentes entités de l’organisation soit indirectement en étant les promoteurs de cette démarche lors des missions d’audit par exemple. Les différents acteurs sollicités lors de la phase de conception du questionnaire peuvent être, chacun à leur niveau, d’excellents relais dans la phase de déploiement. Enfin et surtout, la Direction Générale et/ou les différentes Directions de l’organisation doit (doivent) être moteur dans cette phase en impulsant la mise en œuvre et en y allouant les moyens nécessaires : temps consacré à répondre aux questions, à définir les plans d’action associés et s’assurer de leur mise en œuvre, etc….

2.3 Facteurs clés de succès a Date de lancement : La période de déploiement du questionnaire doit être planifiée de façon :

26

1)

qu’elle ne vienne pas interférer avec d’autres démarches ou actions d’envergure initialisées dans l’organisation (lancement d’un nouveau produit par exemple),

2)

qu’elle n’ait pas lieu à un moment où les acteurs ne sont pas disponibles (au moment des périodes d’arrêtés comptables par exemple) ou bien peu présents (lors des congés d’été par exemple),

GUIDE D’AUDIT

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

3)

qu’elle n’ait pas lieu au moment de réorganisations importantes au sein de l’organisation (avec des mouvements de personnel importants).

Pour accompagner les différentes entités de l’organisation dans le déploiement du questionnaire et assurer une cohérence de présentation sur toutes les notions et les ambitions en termes de contrôle interne, un programme de communication, facilement accessible, peut-être élaboré, utilisant les moyens de communication de l’organisation. Dans le même ordre d’idée, une brève note sur le contrôle interne et le référentiel de contrôle interne choisi par l’organisation, très simple et très pédagogique, illustrée si possible d’exemples concrets et à laquelle chacun pourra à tout moment se référer, peut y être, fort utilement, jointe. Une traduction de tous ces outils en fonction des langues « officielles » de l’organisation, disponible dès le déploiement, ne peut que faciliter l’appropriation sans en retarder la mise en œuvre. a Soutien à la mise en œuvre : Dans la mesure du possible, il est fortement conseillé de prévoir un soutien, même léger, pour aider les utilisateurs dans l’appropriation du questionnaire ou dans sa mise en œuvre. Ce soutien peut être assuré tout d’abord par le coordonnateur lui-même, par les auditeurs internes et par les différents acteurs qui ont contribué à son élaboration. Un guide d’utilisation peut-être rédigé pour aider ces acteurs à mettre en œuvre la démarche.

3. Exploitation des résultats 3.1 Système d’information & pilotage La mise en œuvre du questionnaire doit s’accompagner d’un pilotage et d’un éventuel système d’information approprié en fonction de l’organisation (mono site ou multi-sites, nationale ou internationale, …) et du type de management. Les résultats issus des réponses aux questionnaires peuvent être transmis à la hiérarchie, au coordonnateur8, à l’Audit Interne, à la Direction Générale. Ces résultats doivent servir à identifier les forces et faiblesses de l’organisation, à définir des plans

Au début du processus d’auto-évaluation, le coordonnateur est chef de projet et devient animateur de la démarche. Ce rôle peut être assuré par deux personnes différentes en fonction des phases. 8

GUIDE D’AUDIT

27

Q U E S T I O N N A I R E

a Communication :

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

Q U E S T I O N N A I R E

d’action destinés à améliorer les processus. En fonction de la stratégie de l’organisation, ces résultats peuvent également contribuer à l’élaboration du plan d’audit et à la vérification des cartographies des risques réalisées par ailleurs. Si dans certaines organisations, la diffusion des résultats présente le risque d’influencer les réponses, il peut être préférable de cantonner son utilisation à l’entité en veillant néanmoins à ce qu’il soit un véritable outil de management et de progrès « à la main » des utilisateurs. Dans ce cas, les résultats et les plans d’action doivent être tracés. Il convient de s’assurer a minima de la mise en oeuvre du questionnaire par tous les acteurs de l’organisation.

3.2 Plan d’action Les faiblesses constatées suite aux réponses au questionnaire doivent donner lieu à l’élaboration d’actions correctives. Leur priorisation éventuelle peut être fonction de la pondération des questions. En cas de consolidation des résultats, leur analyse peut permettre l’identification d’actions globales valables pour un ensemble ou plusieurs ensembles d’entités de l’organisation. En tout état de cause, il faut s’assurer que pour chaque action corrective un responsable a été désigné, qu’un planning de réalisation a été défini et que les moyens appropriés nécessaires ont été alloués.

3.3 Fiabilité Bien évidemment la plus grande honnêteté dans les réponses effectuées par chacun au sein de son entité, la plus grande rigueur dans la qualité des informations qui seraient éventuellement transmises aux personnes concernées doivent sans cesse être recherchées. Cette démarche permet à l’organisation, dans l’ensemble de ses composantes, de progresser en matière de contrôle interne et de maîtrise des risques. Il ne faut toutefois pas oublier que l’Audit Interne peut s’assurer soit lors d’une mission spécifique soit à l’occasion de missions sur d’autres thématiques, de la qualité des réponses effectuées et des plans d’action mis en œuvre.

3.4 Facteurs clés de succès a Prise en compte de la culture de l’organisation : Lors de sa mise en œuvre et principalement pour des questions de type fermé, il est recommandé de prendre en considération la culture de l’organisation. En effet, les

28

GUIDE D’AUDIT

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

opérationnels sollicités pour répondre aux questions peuvent être réticents à répondre par « non » ou « ne sait pas », considérant qu’il s’agit là d’une faiblesse dans la qualité de leur travail pouvant être utilisée à leur détriment par la hiérarchie. Dans ce cas, la fiabilité des réponses peut-être altérée et l’utilité de l’exercice en être diminuée. Pour éviter cet écueil, il faut bien veiller à la façon dont sont utilisés les résultats.

Une vigilance particulière peut être portée à l’utilisation qui est faite par la hiérarchie des résultats de ce type de démarche. Il s’agit avant tout d’un outil permettant à l’organisation de progresser dans son fonctionnement et non pas de mettre en exergue les faiblesses individuelles de tel ou tel et de sanctionner les auteurs. Il faut bien être conscient que tout dérapage de cette ligne de conduite entraîne à terme l’échec de la démarche. 2- Durée : Une telle démarche s’inscrit forcément dans la durée. Plus le questionnaire est utilisé, plus il est amélioré, affiné, précis, plus la culture de contrôle interne se développe et plus les progrès accomplis sont manifestes et mesurables. Il faut donc, pour cela, pouvoir effectuer plusieurs « campagnes » successives.

GUIDE D’AUDIT

29

Q U E S T I O N N A I R E

1- Utilisation des résultats :

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

ATELIER

A T E L I E R

Les ateliers sont des outils puissants, notamment en matière de développement et de renforcement de la culture du contrôle interne au sein d’une organisation. Ils constituent tout particulièrement une opportunité rare de construire une vision partagée des risques auxquels une entité est exposée et des réponses à leur apporter en permettant à un groupe d’utilisateurs d’évaluer de manière collective le niveau de contrôle interne de leur activité. Une approche par atelier est à préconiser particulièrement lorsque les participants n’ont pas une forte culture de contrôle interne. Dans ce cas, les ateliers permettent une prise de contact ou d’approfondissement plus graduelle et pédagogique que les autres méthodes. L’atelier permet d’effectuer, si nécessaire, des formations ou encore des rappels en matière de contrôle interne. Les échanges lors des ateliers permettent également de s’assurer que les participants maîtrisent bien tous les concepts en donnant des exemples concrets d’auto-évaluation du contrôle interne au regard des rappels effectués.

1. Conception 1.1 Contenu L’atelier peut porter sur tout ou partie d’une entité, d’un processus ou d’un domaine. Sa mise en œuvre nécessite : -

un guide méthodologique décrivant les différentes étapes d’animation de l’atelier (cf. annexe p. 52).

-

un ensemble de modèles devant être complétés lors de la réalisation de l’atelier. Il peut également s’appuyer sur des outils supports à la méthode (par exemple : outils de vote électronique)

Le cœur de cette démarche consiste en la mise au point du guide méthodologique. Tout comme pour le questionnaire, le guide méthodologique peut se structurer par processus, par domaines standards ou à partir d’un référentiel de contrôle interne. Le guide méthodologique doit définir clairement les objectifs et modalités de l’atelier. Il doit également expliciter les concepts et vocabulaires à utiliser lors de l’animation de l’atelier.

30

GUIDE D’AUDIT

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

Le guide méthodologique prévoit en alternance des phases : -

de créativité permettant aux participants de rechercher et recenser les éléments de risque, de maîtrise, de reporting,… suivant le découpage retenu. Pour faciliter les phases de créativité, des modèles de livrables ou des exemples peuvent être proposés au cours de l’atelier,

-

de cotation permettant d’évaluer l’importance relative des éléments identifiés. Des échelles de cotation documentées sont à privilégier afin de limiter le caractère subjectif de l’évaluation,

-

d’identification d’actions à mettre en œuvre.

Il est souhaitable que cette phase soit envisagée sous le mode projet et que par conséquent un coordonnateur soit désigné à cet effet. Le coordonnateur peut être un membre du service d’audit interne ou quelqu’un ayant une bonne connaissance du fonctionnement global de l’organisation et une sensibilité certaine aux problématiques qualité, processus, risques et, bien entendu, au contrôle interne. Ceci doit lui permettre soit de veiller à bien prendre en compte tous les processus ou domaines de l’organisation, soit de transposer de la façon la mieux adaptée à l’organisation les processus ou domaines standards, soit de vérifier le respect du référentiel de contrôle interne choisi. Les auditeurs sont, dans tous les cas, du fait de leur connaissance du contrôle interne et des risques, des acteurs incontournables dans cette phase d’élaboration. Mais ils ne sont pas les seuls ; on peut citer également les contrôleurs de gestion, les responsables de processus, les responsables des risques, les responsables qualité et les experts sur des domaines très spécialisés.

1.3 Support L’ensemble des outils nécessaires à la démarche peuvent être réalisés sur les outils bureautiques habituels de l’organisation et peuvent être diffusés soit en version papier, soit en version électronique. Ce dernier mode de diffusion présente toutefois l’avantage de permettre le renvoi des documents modèles, une fois complétés. Suivant l’organisation et l’implantation du groupe, des versions dans les différentes langues utilisées au sein de l’organisation doivent être rédigées, et validées par les opérationnels des activités qui seront évaluées dans chacun des pays concernés.

GUIDE D’AUDIT

31

A T E L I E R

1.2 Acteurs

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

1.4 Facteurs clés de succès

A T E L I E R

Selon que les résultats de l’auto-évaluation ont vocation à être ou non consolidés au niveau de l’organisation, il est nécessaire de structurer plus ou moins fortement le guide d’animation de l’atelier. Bien que le côté collectif de l’atelier puisse « lisser la subjectivité » de l’évaluation, on risque néanmoins une forte disparité selon les entités. Dans la méthode de cotation, il convient de favoriser les solutions garantissant l’expression de tous les participants. Des systèmes permettant l’interactivité au cours des ateliers peuvent constituer un apport intéressant, pour compléter les méthodes classiques d’animation de réunion (par exemple, systèmes de votes électroniques). De même, ce guide doit être d’autant plus précis que les animateurs de ces ateliers seront différents et plus ou moins formés en amont de la mise en œuvre de l’outil. A cette fin, il est vivement conseillé d’intégrer, dans l’équipe projet, des acteurs ayant l’expérience de l’animation de groupes de travail, ainsi qu’une connaissance suffisante du contrôle interne. Un « rodage » du guide d’animation et des outils à utiliser permettra de les affiner et de les stabiliser avant leur mise en œuvre. Dans le cas d’un déploiement totalement décentralisé, tous les éléments doivent être particulièrement documentés afin de « cadrer » l’atelier et de garantir des livrables homogènes. Pour renforcer l’efficacité de l’atelier, des entretiens bilatéraux peuvent être réalisés en amont pour recenser les attentes des opérationnels et de leur hiérarchie. Ces entretiens permettent de proposer, lors de l’atelier, une première version de livrables qui est discutée par les participants. Cette pratique est particulièrement recommandée dans le cas d’ateliers: regroupant un nombre important de participants, impliquant des participants risquant de ne pas s’exprimer pleinement dans le cadre du groupe, couvrant un périmètre particulièrement important dans des délais limités. Ainsi, les participants peuvent, dans certains cas, réaliser une cotation sur la base d’un référentiel préétabli qui peut, par exemple, se présenter sous forme d’une matrice croisant processus, principaux facteurs de risque et principaux types de contrôles opérationnels à mettre en œuvre. A noter qu’une telle pratique facilite la consolidation des résultats. A l’inverse, une méthode totalement ouverte et libre ne permet pas facilement de consolider les résultats des différents ateliers.

32

GUIDE D’AUDIT

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

2. Déploiement 2.1 Phasage Trois phases peuvent être identifiées. Il convient au préalable de s’assurer que les animateurs des ateliers ont une bonne compréhension du contrôle interne et une maîtrise des techniques d’animation de réunion.

Il est vivement recommandé de procéder à une phase pilote avant toute généralisation. C’est une phase très importante pour le succès de la démarche et il convient donc de rechercher un site pilote volontaire (et non pas contraint) afin de s’assurer de la qualité des outils proposés, de recueillir l’appréciation la plus objective et constructive possible des utilisateurs et de faire toutes les améliorations souhaitables avant le déploiement. A cet effet, des grilles d’évaluation des ateliers seront utilement préparées en amont. b. phase de généralisation : Le déploiement doit être le reflet d’une politique définie par la Direction Générale. Il doit donc être organisé, programmé et précédé d’une information ou d’une directive de la Direction Générale à l’intention de la hiérarchie et des opérationnels. Selon la structure de l’organisation, il peut se réaliser soit par un simple envoi du kit d’animation (par courrier, par courriel…) soit par mise à disposition dans une application de type Web. La gestion de ce déploiement se fera notamment au moyen d’outils de planification permettant de suivre : le périmètre couvert, l’organisation des ateliers, leur tenue effective et la remontée des résultats des travaux. c. phase de mise à jour : Le guide méthodologique, utilisé dans la démarche par ateliers, doit être actualisé (maintien, ajout, suppression) en fonction des éléments identifiés lors de la session précédente. Au fur et à mesure des sessions, les animateurs veilleront à ce que les sujets traités au cours des ateliers soient de plus en plus concrets en raison de la capitalisation sur les éléments recueillis lors des sessions précédentes.

GUIDE D’AUDIT

33

A T E L I E R

a. phase pilote :

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

2.2 Acteurs Le coordonnateur et son équipe projet assurent la formation et l’assistance auprès de l’ensemble des animateurs d’ateliers. Cette action peut prendre la forme d’une formation initiale (par exemple sous forme de séminaire) de l’ensemble des animateurs qui prépareront et animeront les ateliers et en formaliseront les résultats. Cette formation permet d’avoir la vision la plus homogène possible des objectifs de la démarche et des techniques à mettre en œuvre.

A T E L I E R

2.3 Facteurs clés de succès La méthode des ateliers pouvant être moins structurée que celle des questionnaires, il convient d’en encadrer les travaux. Il est recommandé que l’animation des ateliers se fasse en binôme afin de pouvoir animer tout en recueillant l’ensemble des contributions des participants. Le déploiement doit être réalisé à un moment opportun afin que tous les ateliers obtiennent des résultats homogènes et comparables. Le rythme des sessions doit être tel qu’il permette de mettre en évidence les évolutions significatives. L’expérience accumulée permettra de capitaliser et de diffuser les bonnes pratiques rencontrées et les résultats d’entités comparables. La mise en œuvre des ateliers implique de mobiliser, de manière collective, un nombre important d’acteurs de l’organisation dans chaque entité. Cette mobilisation est facilitée par un engagement fort de la Direction Générale.

3. Exploitation des résultats 3.1 Système d’information & pilotage A l’instar des questionnaires, la mise en œuvre de tels ateliers doit s’accompagner d’un pilotage et d’un outil (bureautique ou informatique) de collecte et de traitement des informations approprié en fonction de l’organisation (mono site ou multi-sites, nationale ou internationale, …) et du type de management. Il convient toutefois de noter, comme déjà évoqué ci-dessus, que les résultats de la démarche par atelier sont généralement moins facilement consolidables que ceux de la démarche par questionnaire. En effet, même dans l’hypothèse d’un guide méthodologique extrêmement structuré, l’expérience montre que les résultats sont souvent plus sensibles à la personnalité des participants et dépendants de l’animateur de l’atelier (personnalité, positionnement dans l’organisation…).

34

GUIDE D’AUDIT

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

Si les résultats ne sont pas consolidés, l’atelier devient un véritable outil de management et de progrès « à la main » des utilisateurs, ce qui limite le risque de fausser les résultats de l’exercice (qui doivent être malgré tout tracés et qui seront éventuellement analysés au travers des missions d’audit). Dans ce cas, il convient de s’assurer a minima de la mise en oeuvre de cette méthode par tous les acteurs de l’organisation. S’ils sont consolidés, les résultats issus des ateliers peuvent être transmis au coordinateur, à l’Audit Interne et/ou aux Directions Métier, pour élaborer le plan d’audit et/ou pour définir des actions d’amélioration des processus.

Les faiblesses constatées et /ou zones de « sur contrôle » suite aux travaux de l’atelier doivent donner lieu à l’élaboration de plans d’action correctives priorisés en fonction de la gravité des risques correspondants. En cas de consolidation, le coordonnateur peut réaliser une synthèse des ateliers afin de lancer des actions globales valables pour toutes les entités de l’organisation. En tout état de cause, il faut s’assurer que pour chaque action corrective, un responsable a été désigné, qu’un planning de réalisation a été défini et que les moyens appropriés et nécessaires ont été alloués. Pour le suivi des plans d’action, l’évaluation doit porter à la fois sur leur réalité et leur efficacité au regard des risques à couvrir.

3.3 Fiabilité Par rapport aux autres méthodes d’auto-évaluation, la fiabilité des résultats d’un atelier dépend davantage de facteurs humains tels que : l’expérience et le recul de l’animateur lui conférant une capacité à rendre objective et factuelle l’évaluation du contrôle interne par les participants, les éléments d’expérience mis à disposition des participants, la qualité des outils mis à disposition pour animer cet atelier.

3.4 Facteurs clés de succès L’exploitation des résultats dépend de la qualité des informations recueillies et par conséquent de la qualité d’animation de ces ateliers (animation de préférence par un binôme, compétence des animateurs, …).

GUIDE D’AUDIT

35

A T E L I E R

3.2 Plan d’action

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

- Facteurs clés de succès pour les participants : L’exploitation des résultats doit être perçue comme étant source de valeur ajoutée (vision partagée, échanges, intégration dans l’entité…) et permettant la mise en œuvre de plans de progrès. Le coordonnateur doit s’assurer que des plans d’action sont mis en œuvre. - Facteurs clés de succès pour l’organisation :

A T E L I E R

Pour permettre une consolidation et une exploitation des résultats, il convient d’être particulièrement structurant dans la conception du guide méthodologique, dans toutes ses dimensions : préparation du périmètre d’intervention, modélisation de l’activité, modélisation des risques, typologie des plans d’action …

36

GUIDE D’AUDIT

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

COMPARAISON

1. Mise en œuvre Une « comparaison » peut être réalisée en interne ou en externe par le biais d’études, d’enquêtes…. Il convient de veiller à la pertinence des points de comparaison retenus pour la réalisation des travaux (récence des études, cohérence des éléments comparés, …) Elle relève généralement de décisions prises, au cas par cas, par les hiérarchiques d’entités élémentaires souhaitant améliorer leur contrôle interne. En cela, la démarche de comparaison diffère des deux démarches précédemment décrites pour lesquelles l’implication de la direction générale est indispensable. De plus, cette démarche étant réalisée au cas par cas, elle ne nécessite pas de mise à jour régulière. Les auto-évaluations par « comparaison » font donc intervenir, selon les cas : -

le responsable de l’activité et ses collaborateurs,

-

un ou plusieurs experts.

Il n’est pas nécessaire, pour la supervision de cette méthode, de déployer des outils sophistiqués. Pour leur élaboration, une aide extérieure à l’organisation peut parfois s’avérer bénéfique, en fournissant, par exemple, la connaissance des pratiques existantes dans d’autres organisations. Il est préférable de confier la responsabilité d’une démarche de comparaison à une personne connaissant bien l’organisation et sa culture et disposant d’une expertise en matière de contrôle interne. Comme toute démarche d’auto-évaluation, la démarche par comparaison doit faire l’objet d’une organisation stricte (planning, réunions périodiques d’avancement, moyens, ressources allouées…).

GUIDE D’AUDIT

37

C O M P A R A I S O N

La comparaison est une méthode qui permet de bénéficier immédiatement des meilleures pratiques existantes en matière de contrôle interne dans les autres organisations pour un domaine ou un secteur d’activité déterminé sans avoir les contraintes d’élaboration ou de mise en œuvre liées aux autres méthodes. Dans la mesure où cette méthode est difficilement applicable à l’ensemble de l’organisation, il convient de la limiter à une activité, un thème précis (par exemple : approvisionnements, achats, système de délégation de pouvoirs et de séparation des tâches, …).

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

C O M P A R A I S O N

On distingue clairement deux phases devant chacune aboutir à la formalisation d’un document de synthèse : -

Une première phase consistant à réaliser un diagnostic de l’état du contrôle interne au sein de l’organisation (comparativement au contrôle interne en place dans d’autres organisations).

-

Une seconde phase consistant, par une approche méthodique, à définir et mettre en œuvre des plans d’action permettant d’améliorer la qualité du contrôle interne de l’organisation.

A l’issue de ces deux phases, un rapport rendant compte des forces et des faiblesses de contrôle interne constatées doit être formalisé. Il doit intégrer les plans d’action devant être mis en œuvre (responsable(s), délais, ressources…).

38

GUIDE D’AUDIT

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

TABLEAU RÉCAPITULATIF DES MÉTHODES

Préalables recommandés : -

une Direction Générale motivée et impliquée dans la démarche d’auto-évaluation du contrôle interne ;

-

une démarche d’auto-évaluation du contrôle interne définie et communiquée à tous les acteurs.

Méthodes

Avantages

• Structurée et simple d’utilisation, • Conception quasi-immédiate dans le cas de l’utilisation d’un questionnaire standard • Diffusion rapide et uniforme • Remontées des résultats facilitée si utilisation d’un outil Questionnaire • Analyse quantitative des résultats notamment lors de l’utilisation de questions fermées • Exploitation facilitée des résultats • Identification rapide des forces et des faiblesses et des plans d’action qui en découlent.

Atelier

Comparaison

GUIDE D’AUDIT

• Forte pédagogie en matière de contrôle interne • Vision partagée du niveau de contrôle interne • Forte implication et réactivité des participants • Adaptation à l’activité de l’entité • Echange des bonnes pratiques • Possibilité d’ouverture sur des thèmes a priori non prévus.

Inconvénients • Difficulté à dimensionner le questionnaire • Difficulté à rédiger les questions • Les thèmes ne faisant pas l’objet de questions ne sont pas abordés • Sincérité des réponses éventuellement limitée, • Degré d’implication variable selon les répondants. • Pédagogie limitée en matière de contrôle interne.

• Expérience des animateurs (connaissance de l’entreprise, du contrôle interne et aptitude de l’animation) • Difficulté pour obtenir des résultats homogènes et comparables • Consommateur de temps • Difficulté de couvrir l’intégralité des processus • Choix des participants • Difficulté à exprimer publiquement ses opinions

• Identification des bonnes • Généralisation difficile à l’échelle pratiques externes à l’organisation d’un groupe • Evaluation d’une activité, d’un • Consolidation difficile thème donné par rapport à d’autres organisations …

39

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

2.4. Amélioration continue des démarches d’auto-évaluation 2.4.1. Objectifs En ce qui concerne les méthodes de questionnaires et d’ateliers, la démarche d’auto-évaluation du contrôle interne doit faire l’objet d’un suivi dans le temps. Une programmation des futures mises en œuvre est nécessaire pour mesurer les efforts accomplis. Le dispositif d’auto-évaluation doit faire l’objet d’ajustements réguliers, d’amélioration continue. En effet, il doit être toujours en adéquation avec la structure.

2.4.2. Organisation Il convient de prévoir le plus tôt possible les modalités de mise à jour du questionnaire ou du guide méthodologique de l’atelier (périodicité, contenu, modalités de remontée des points d’amélioration et modalités de diffusion, etc.). La périodicité des mises à jour doit être telle qu’elle permet aux utilisateurs de s’approprier la démarche et de la mettre en œuvre dans l’ensemble de l’organisation. Lors des itérations successives, l’organisation doit veiller progressivement à rendre les évaluations de plus en plus précises et enrichies des meilleures pratiques identifiées.

2.4.3. Facteurs clés de succès La pérennité et le développement de la démarche retenue dans l’organisation impliquent :

40

-

l’identification d’un acteur en charge de maintenir et animer le dispositif mis en place,

-

l’existence d’un circuit de communication permettant des échanges permanents entre les parties prenantes du dispositif,

-

la capacité à tenir compte des remarques des opérationnels,

-

l’intégration de la démarche dans les systèmes de management de l’organisation.

GUIDE D’AUDIT

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

3. IMPLICATION DE L’AUDIT INTERNE La mise en œuvre d’un outil d’auto-évaluation dans une organisation peut être assimilée à un processus qui comporte différentes phases. En fonction des phases, l’Audit Interne a un rôle plus ou moins essentiel à jouer. Le tableau ci-dessous propose une représentation du processus de mise en œuvre d’une démarche d’auto-évaluation dans une organisation ainsi que les différents acteurs qui interviennent sur chaque phase. L’implication des divers acteurs dépend comme cela a été mentionné précédemment de la culture de l’organisation et des objectifs de la Direction Générale.

Acteurs

0

Susciter l’intérêt de la démarche auprès de la Direction Générale

Audit Interne

1

Réaliser une étude préalable

Coordonnateur du processus

2

Décider de la mise en œuvre de la démarche

Direction Générale

3

Concevoir la méthode

Coordonnateur du processus

4

Promouvoir la démarche et la méthode

Coordonnateur du processus

5

former à l’utilisation de la méthode

Opérationnels / hiérarchie/ coordonnateur

6

Utiliser la méthode

Opérationnels/ hiérarchie

7

Maintenir la méthode aux conditions opérationnelles

Coordonnateur du processus

8

Utiliser de manière immédiate les résultats

Opérationnels/ hiérarchie

9

Consolider les résultats des différentes auto-évaluations et les diffuser

Coordonnateur du processus / hiérarchie

10

Utiliser les résultats consolidés

Hiérarchie / Audit Interne / Commissaires aux Comptes / Organismes de tutelle/ Direction Générale/ Conseil / Comité d’audit / Directions des risques…

11

Contrôler l’efficacité du processus d’auto-évaluation

Audit Interne

12

13

GUIDE D’AUDIT

Utiliser les résultats de l’autoévaluation pour rédiger les rapports sur le contrôle interne Utiliser les résultats de l’autoévaluation pour construire le plan d’audit

PHASES OPÉRATIONNELLES

Phase

PHASES PROJET

N°de Phase

Audit Interne ou autre acteur selon le secteur d’activité Audit Interne

41

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

Selon les Normes professionnelles de l’audit interne et plus précisément la MPA (Modalité Pratique d’Application) 2120.A1-2, l’audit interne s’investit de façon assez significative dans certains programmes d’auto-évaluation des contrôles. Il peut susciter, concevoir, mettre en place et, en fait, s’approprier le processus, diriger la formation, fournir les animateurs, les secrétaires et les rapporteurs, et coordonner la participation du management et des groupes de travail. Néanmoins, l’Audit Interne peut réduire sa participation et n’intervenir qu’à titre de partie prenante et de « consultant » pour l’ensemble du processus, ainsi que pour vérifier en dernier ressort les conclusions des équipes. Dans la plupart des cas, l’investissement de l’Audit Interne dans le programme d’auto-évaluation des contrôles se situe entre ces deux options.

De part sa sensibilité et sa compréhension du contrôle interne, l’Audit Interne a un rôle essentiel à jouer pour susciter l’intérêt de cette démarche auprès de la Direction Générale (phase 0 du tableau ci-contre). De plus, l’auto-évaluation étant un processus en soi, l’Audit Interne doit contrôler son efficacité (phase 11). Enfin (phases 12 et 13), l’Audit Interne peut utiliser les résultats de l’auto-évaluation pour rédiger les rapports annuels sur le contrôle interne et construire le plan d’audit. En revanche, l’Audit Interne n’est pas obligatoirement le coordonnateur des autres phases du processus. Il peut néanmoins lui apporter son expertise sur la phase de conception de la démarche (phase 3) et il est naturellement l’un des clients du processus dont les résultats l’intéressent (phase 10).

3.1. Rôle de l’Audit Interne sur les différentes phases du processus d’auto-évaluation 3.1.1. Phases sur lesquelles l’Audit Interne est nécessairement le coordonnateur a Susciter la démarche Comme indiqué dans le tableau (phase 2), il incombe à la Direction Générale de décider de la mise en place d’une démarche d’auto-évaluation du contrôle interne au sein de l’organisation. En revanche, l’Audit Interne doit être à même de susciter l’intérêt d’une telle démarche auprès de la Direction Générale. L’Audit Interne a un rôle à jouer en matière de diffusion de la culture de Contrôle interne et en cela une démarche d’auto-évaluation peut contribuer efficacement au développement du contrôle interne dans l’organisation.

Pour ce faire, l’Audit Interne doit communiquer à la Direction Générale les bénéfices attendus de la mise en place d’une telle démarche, lui montrer en quoi celle-ci lui permet d’instaurer un environnement de contrôle et d’apporter une assurance que les risques liés à la réalisation des objectifs et les contrôles associés font l’objet d’un suivi et d’une amélioration continue.

42

GUIDE D’AUDIT

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

La Direction Générale bénéficie ainsi d’un meilleur niveau d’informations sur la réalité de son contrôle interne et son efficacité et peut s’appuyer sur les résultats des auto-évaluations pour rédiger les rapports sur le contrôle interne. (Loi de Sécurité Financière, réglementation bancaire, SarbanesOxley). a Etre destinataire des résultats de l’auto-évaluation La transmission des résultats de l’auto-évaluation est fonction de la stratégie de l’organisation. En fonction de leur culture, certaines organisations choisissent de ne pas transmettre à l’Audit Interne ces résultats de façon à éviter des distorsions dans les réponses apportées par les opérationnels. Il est donc nécessaire, si on souhaite que les résultats des auto-évaluations soient transmis au service d’Audit Interne, de communiquer auprès des opérationnels sur la finalité de la démarche. D’une façon générale, il est bénéfique pour l’Audit Interne d’être destinataire de ces résultats qui représentent pour lui une source d’information significative sur l’état du contrôle interne, les bonnes pratiques existantes et qui lui permettent d’être plus efficace (cf. partie 3.2 ci-dessous). a Contrôler l’efficacité du processus d’auto-évaluation Comme le montre le tableau ci-dessus, l’auto-évaluation du contrôle interne est un processus à part entière de l’organisation. A ce titre, le processus d’auto-évaluation est auditable de manière à s’assurer de son efficacité comme tous les autres processus de l’organisation. Cependant, en fonction du degré d’implication de l’Audit Interne dans la mise en œuvre de ce processus, il peut être difficile pour l’Audit Interne qui devient juge et partie. Il faut veiller dans ce cas à affecter des équipes différentes sur les phases de conception de l’outil et d’évaluation du processus. En effet, plus l’investissement de l’Audit Interne dans la démarche d’auto-évaluation est important, plus le responsable de l’Audit Interne doit s’assurer de l’objectivité de l’équipe qui conduira une mission d’évaluation de la démarche. (MPA 2120.A1.2). a Utiliser les résultats de l’auto-évaluation pour rédiger les rapports sur le contrôle interne Selon la MPA 2120 A1-1 « Evaluer les processus de contrôle interne et en rendre compte », le Responsable de l’audit interne doit présenter à la Direction Générale et au Conseil, généralement une fois par an, un rapport sur l’état des processus de management des risques et de contrôle de l’organisation. Ce rapport doit souligner l’importance du rôle joué par les processus de management des risques et de contrôle dans la réalisation des objectifs de l’organisation. Il doit également mentionner les principaux travaux réalisés par l’Audit Interne et les autres sources importantes d’informations sur lesquelles repose l’opinion d’assurance d’ensemble.

A la lecture de cette Modalité Pratique d’Application, on comprend aisément que les résultats des travaux d’auto-évaluation sont, au même titre que les résultats des missions d’au-

GUIDE D’AUDIT

43

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

dit, une source importante d’informations à partir desquelles l’Audit Interne va pouvoir rédiger son rapport sur le contrôle interne à destination du Conseil ou des autorités de contrôle.

3.1.2. Phases sur lesquelles l’Audit Interne peut être associé a Réaliser une étude de faisabilité Comme mentionné dans la partie 2, il est nécessaire avant de mettre en place une démarche d’auto-évaluation, de s’assurer de l’adéquation des besoins réels de l’organisation avec la stratégie globale en matière de contrôle interne. Pour ce faire, un certain nombre de réflexions doivent être conduites avant de choisir une méthode d’auto-évaluation. Ces réflexions permettent d’établir un profil de l’organisation en fonction de différents éléments, notamment l’environnement de contrôle interne, la connaissance des risques, le niveau de contrôle attendu et la finalité des résultats. Du fait de sa connaissance globale de l’organisation, l’Audit Interne peut être partie prenante dans cette phase et apporter son expertise au coordonnateur du processus. a Concevoir la méthode Comme indiqué en partie 2, il existe différentes méthodes d’auto-évaluation (questionnaires, ateliers, comparaison). Selon la stratégie de l’organisation, l’Audit Interne peut en être le concepteur. En tout état de cause, l’Audit Interne doit être associé à la création de la méthode. En effet, par son expérience et sa sensibilité au contrôle interne, l’Audit Interne est à même d’aider les opérationnels à identifier les points de contrôle clés sur lesquels la méthode d’auto-évaluation doit porter. De plus, l’élaboration des questionnaires ou encore la rédaction des questions qui seront abordées au cours des ateliers peut être organisée selon un référentiel de contrôle interne comme par exemple les cinq composantes du COSO. On peut également s’appuyer, pour la rédaction des questions, sur le référentiel d’audit si celui-ci décrit les processus utilisés pour la structuration de la méthode retenue. L’Audit Interne doit veiller à ce que les questions posées suivent les composantes du référentiel choisi par l’organisation et permettent réellement d’obtenir une évaluation du contrôle interne. a Promouvoir la démarche et la méthode d’auto-évaluation Comme toute « nouveauté », la mise en œuvre de la démarche nécessite un promoteur. Un travail important de communication doit être réalisé auprès de l’ensemble du personnel de l’organisation afin qu’il s’approprie la méthode d’auto-évaluation choisie. En effet, les futurs utilisateurs (opérationnels et leur hiérarchie) n’ont pas toujours une culture de contrôle interne suffisante, il est donc nécessaire de les former ou du moins de les sensibiliser au contrôle interne et à la finalité de l’auto-évaluation. L’Audit Interne peut prendre en charge la formation d’un groupe d’animateurs qui sera chargé de démultiplier cette formation à l’ensemble des personnes qui utiliseront la méthode d’auto-évaluation. Cependant, le rôle principal de l’Audit Interne ne consiste pas à former l’ensemble des utilisateurs à l’auto-évaluation.

44

GUIDE D’AUDIT

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

Il semble important que, dans le cadre de ces sessions de formation, certains messages soient transmis aux futurs utilisateurs : a.

L’auto-évaluation est un moyen mis à disposition des opérationnels pour qu’ils testent régulièrement le niveau de contrôle interne de leur entité ;

b.

L’auto-évaluation doit être pilotée par la hiérarchie puisque c’est elle qui supervise la mise en œuvre des actions correctives ;

c.

La démarche d’auto-évaluation n’est efficace que dans la mesure où l’ensemble des acteurs concernés apportent une contribution positive tant pour l’animation que lors de la remontée des informations.

d.

L’auto-évaluation s’inscrit dans une démarche d’amélioration continue du contrôle interne qui vise à rendre les opérations plus sûres et plus efficaces. L’auto-évaluation est un outil pour les opérationnels eux-mêmes et ne se substitue pas aux travaux de l’Audit Interne qui a la responsabilité de vérifier périodiquement et de façon indépendante la qualité du contrôle interne de l’organisation.

3.2.

Bénéfices pour l’Audit Interne

3.2.1. Disposer d’une information régulière sur l’état du contrôle interne Selon la méthode utilisée, l’Audit Interne aura à disposition une information plus ou moins régulière de l’état du contrôle interne : -

plus ou moins fine selon la méthode et le niveau d’implication de l’audit dans le processus,

-

plus ou moins étendue selon le niveau de déploiement dans l’organisation.

Dans tous les cas, l’auto-évaluation peut enrichir les données à disposition de l’Audit Interne pour la rédaction des rapports internes et externes sur l’état du contrôle interne. L’auto-évaluation met à disposition des éléments supplémentaires pour répondre aux autorités de tutelle et être conforme aux réglementations. L’auto-évaluation contribue à l’évaluation de l’efficacité du dispositif de management des risques et de contrôle de l’organisation. Elle permet d’évaluer de façon plus complète la couverture des risques, en confrontant le résultat des travaux des auditeurs à la vision de tous les acteurs de l’organisation.

3.2.2. Affiner le plan d’une mission d’audit Dans la mesure où ils sont communiqués à l’Audit Interne, les résultats de l’auto-évaluation du contrôle interne d’un processus peuvent être pris en compte dans l’étape de prise de connaissance par les auditeurs. Si la culture de l’organisation le permet, la remise du dernier rapport d’auto-évaluation de l’entité auditée peut faire partie des documents que l’auditeur demande au démarrage d’une mission.

GUIDE D’AUDIT

45

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

On peut concevoir aussi que le plan de certaines missions d’audit intègre la revue de l’efficience du processus d’auto-évaluation afférent au périmètre audité. Enfin, les résultats validés de l’auto-évaluation doivent permettre à l’auditeur d’orienter la construction du plan d’une mission d’audit par la mise en évidence de risques nouveaux.

3.2.3. Collecter les bonnes pratiques L’atelier et la comparaison permettent une collecte directe des bonnes pratiques de l’entité en matière de contrôle interne. Par ces méthodes, l’Audit Interne a accès à ces informations s’il est impliqué directement dans le processus. Dans ce cas, et chaque fois qu’il en a connaissance, l’Audit Interne peut diffuser les bonnes pratiques dans l’organisation et jouer alors pleinement son rôle de conseil.

3.2.4. Promouvoir la fonction d’audit interne L’Audit Interne trouve dans la démarche d’auto-évaluation les moyens de promouvoir le contrôle interne en en propageant la culture dans l’organisation. Par le brassage et le partage des idées, l’auto-évaluation crée un langage commun entre l’Audit Interne et les opérationnels. Selon les options choisies, l’auto-évaluation permet d’accroître la visibilité de l’Audit Interne auprès de la hiérachie et des opérationnels. Plus l’Audit Interne s’implique dans la démarche : animation d’ateliers, conception des questionnaires avec les opérationnels, assistance des collaborateurs pour remplir ces questionnaires…, plus il est reconnu comme un professionnel du contrôle interne apte à conseiller les opérationnels et la hiérarchie. De ce fait, l’audit interne élargit son champ d’action aux missions de conseil (cf. Norme 1000) De plus, les compétences de l’auditeur interne, selon la méthode et le niveau d’implication choisis, sont enrichies du fait des formations et des ateliers qu’ils animent.

3.2.5. Affiner le plan d’audit Selon les Normes professionnelles de l’Audit Interne, l’auto-évaluation du contrôle interne doit permettre d’orienter différemment ou d’élargir le champ de l’évaluation des processus de contrôle. Sans être en aucune façon un objectif pour l’Audit Interne, les résultats obtenus, la fréquence des tests d’auto-évaluation comme la méthode choisie vont naturellement influencer l’élaboration du plan d’audit. Une fois le processus d’auto-évaluation conforme aux règles et aux performances attendues par l’organisation, le plan d’audit peut être orienté par les résultats de l’auto-évaluation dans la mesure ou des risques nouveaux sont identifiés. On peut par exemple envisager, selon la culture de l’organisation, d’intégrer dans le plan d’audit des contrôles de la mise en place des actions correctives issues de l’auto-évaluation d’un processus.

46

GUIDE D’AUDIT

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

3.3. Risques pour l’Audit Interne Bien que l’Audit Interne soit un acteur essentiel dans le processus d’auto-évaluation, il est important que son investissement soit mesuré de manière à garder une certaine indépendance et objectivité notamment dans le cadre de l’évaluation du processus. L’Audit Interne ne doit pas non plus se substituer aux opérationnels qui vont mettre en œuvre les méthodes d’auto-évaluation. Si l’Audit Interne est trop présent dans le processus d’auto-évaluation, les opérationnels risquent de ne pas s’approprier la démarche. La prise de conscience du contrôle interne attendue risque de ne pas se matérialiser. Enfin, bien que les résultats des auto-évaluations soient une source d’informations pour l’Audit Interne, il doit avant toute utilisation, en vérifier la fiabilité.

GUIDE D’AUDIT

47

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

CONCLUSION

En résumé, il n’existe pas UNE solution en matière d’auto-évaluation du contrôle interne, le lecteur doit trouver LA solution qui convient à son organisation. Ce cahier de la recherche, nous l’espérons, lui donnera des clefs pour la conception et la mise en œuvre d’une telle démarche.

Nous estimons que pour la réussite de ce projet quatre conditions doivent impérativement être remplies :

48

1)

La Direction Générale doit décider de la mise en place de la démarche et communiquer sur les objectifs poursuivis.

2)

Le personnel doit être impliqué dès la conception de la méthode choisie ce qui lui permet de s’approprier le processus d’auto-évaluation du contrôle interne d’une manière plus pragmatique et plus efficace.

3)

Le choix de la démarche doit être adapté à l’organisation (taille, structure, activités,…).

4)

L’auto-évaluation, pour être efficace et mesurer l’évolution de la qualité du contrôle interne, doit se construire dans le temps.

GUIDE D’AUDIT

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

ANNEXES

GUIDE D’AUDIT

49

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

EXEMPLE DES DIFFÉRENTS TYPES DE QUESTIONS POSSIBLES Dans le cadre de la mise en œuvre d’une démarche par questionnaire, plusieurs types de questions peuvent être utilisées pour traiter un même point. Ci-dessous quelques exemples autour d’un « classique » : le rapprochement bancaire. Ces exemples partent de questions descriptives vers des questions plus évaluatives en matière de contrôle interne. Comme déjà indiqué, les questions peuvent être fermées, ouvertes ou « mixtes » 1) Existe-t-il une procédure de rapprochement bancaire ? Oui Non Nsp

2) À quelle fréquence sont réalisés les rapprochements bancaires ?

Pas de rapprochement réalisé Quotidien Hebdomadaire Mensuel

3) Quelle est la qualité des rapprochements bancaires réalisés ? Elevée Moyenne Faible

4) Décrivez la procédure de rapprochement bancaire mise en ?uvre dans votre entité _______________________________________________________________________________ _______________________________________________________________________________ _______________________________________________________________________________ _______________________________________________________________________________ Comment jugez vous cette situation ? (Donner une note de 1 à 4)

50

GUIDE D’AUDIT

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

EXEMPLE DE QUESTIONNAIRE D’AUTO-ÉVALUATION Macro-Activité de Management : PILOTER L’ENTITE

Oui

Non

NSP

1. Les ambitions de l’entité sont-elles formalisées ? 2. Les ambitions de l’entité sont-elles cohérentes avec la stratégie de la Direction ? 3. Les ambitions et décisions prises par l’entité sont-elles cohérentes avec les données légales et réglementaires ? 4. Y a-t-il un ou plusieurs indicateurs associés à chaque ambition ? 5. L’efficacité des actions engagées dans le cadre des ambitions de l’entité est-elle mesurée ? 6. Les ambitions donnent-elles lieu systématiquement à fixation d’objectifs chiffrés ? 7. L’organigramme de l’entité est-il à jour ? 8. La réalité de la séparation des fonctions incompatibles est-elle vérifiée dans l’organisation de l’entité mise en place ? 9. Y a-t-il quelqu’un formellement en charge de la gestion des délégations de pouvoirs et signatures (DP / DS) ? 10. Les délégations de signatures sont-elles traduites dans le SI (habilitations, paramétrage des seuils,…) ? 11. Les délégations de pouvoirs et signatures sont-elles en permanence à jour ? 12. Les pouvoirs et signatures sont-ils délégués à des personnes disposant des compétences requises ? 13. Les fiches de poste précisent-elles le champ des responsabilités de chacun ainsi que les missions associées ? 14. L’évaluation des risques est-elle un outil de pilotage utilisé par le Directeur et son Comité de Direction sur l’ensemble des processus ? 15. L’évaluation des risques est-elle un outil de pilotage utilisé par le Directeur et son Comité de Direction sur l’ensemble des projets ? 16. Existe-t-il une analyse en Comité de Direction de la performance de l’entité en terme d’évaluation des risques ?

GUIDE D’AUDIT

51

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

EXEMPLE DE MISE EN ŒUVRE D’UNE MÉTHODE « ATELIER »

Afin d’assurer le déploiement et la mise en œuvre de la démarche d’auto-évaluation du contrôle interne, le coordonnateur procédera en plusieurs étapes :

Participants

Ateliers

Opérationnels

Plan d’Action

Les responsables de services et toute personne concernée qui se trouvent dans le périmètre de la mission.

Afin de former, guider et conseiller les opérationnels dans la mise en œuvre de la démarche d’auto-évaluation du contrôle interne, le coordonnateur animera des ateliers sous forme interactive et dynamique.

Les opérationnels devront coordonner les activités auprès de leurs équipes et organiser l’application de la démarche. Le coordonnateur devra ensuite valider leurs propositions.

Un plan d’Action sera élaboré afin de suivre le déploiement jusqu’à sa complète mise en œuvre.

1

2

3

52

4

GUIDE D’AUDIT

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

EXEMPLE DE MISE EN ŒUVRE D’UNE MÉTHODE « ATELIER » (SUITE)

Définition de la situation cible : Calendrier

Phase 1

XX/XX/XX : Fin des ateliers

• Réflexion et analyse des opérationnels afin de déterminer comment déployer la démarche d’auto-évaluation du contrôle interne au sein de leurs activités.

Phase 2

XX/XX/XX : Validation par le coordonnateur des propositions et constitution d’un plan d’action

• Les opérationnels devront coordonner les activités de déploiement auprès de leurs équipes et organiser l’application des principes de la démarche.

XX/XX/XX : Plan d’action mis en œuvre + Note de synthèse et plan de suivi

GUIDE D’AUDIT

53

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

EXEMPLE DE MISE EN ŒUVRE D’UNE MÉTHODE « ATELIER » (SUITE)

Ce qui est attendu des participants concrètement Phase 1 : Réflexion et analyse des opérationnels afin d’identifier quels éléments d’auto-évaluation du contrôle interne devront être déployés au sein de leurs activités. Ils devront pour ce faire animer et coordonner les activités auprès de leurs équipes afin d’identifier, par rapport à leurs risques et priorités, quels éléments de contrôle interne doivent être mis en place et évalués au sein de leurs services : • L’identification des procédures à mettre en place ; • Les contrôles (de premier et de deuxième niveaux) qui sont nécessaires à la sécurisation des opérations ; • L’identification de la nécessité de mettre en place des principes de délégation ; • S’assurer que la séparation de fonctions est respectée entre autorisation, exécution et contrôle ; • Auto-évaluer les éléments de contrôle interne existants ou nouvellement déployés.

Phase 2 : Mise en œuvre et déploiement de ce qui aura été défini en phase 1. • Les opérationnels devront d’abord faire part de leurs propositions d’application au coordonnateur qui validera l’ensemble des mesures proposées à l’intégration de la démarche d’auto-évaluation du contrôle interne. • Enfin, les opérationnels devront coordonner les activités de déploiement auprès de leurs équipes et organiser l’application des principes d’auto-évaluation du contrôle interne définis en phase 1.

54

GUIDE D’AUDIT

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

EXEMPLE DE MISE EN ŒUVRE D’UNE MÉTHODE « ATELIER » (SUITE)

Définition de la situation cible L’objectif est : 1.

Que les opérationnels aient une bonne connaissance de leurs risques ;

2.

Qu’ils mettent en place un dispositif pour les maîtriser à l’aide de procédures, de référentiels d’instructions, de contrôles, de principe de délégation, de séparation de fonctions,...

3.

Qu’ils soient capables à tout moment de mesurer ces risques (auto-évaluation) à l’aide d’indicateurs puisque chaque responsable, à son niveau, a le devoir d’un contrôle efficace des activités qui sont placées sous sa responsabilité.

L’objectif n’est pas : 1.

De mettre en place des contrôles sur toutes les activités car cela empêcherait la fluidité des opérations ;

2.

De formaliser l’ensemble des processus par des procédures lourdes car cela n’apporterait pas de valeur ajoutée ;

3.

De se lancer dans la mise en place d’un dispositif mesurant toutes les opérations qui serait trop complexe à mettre en place et à suivre.

GUIDE D’AUDIT

55

L’ A U T O - É VA L U AT I O N D U C O N T R Ô L E I N T E R N E

BIBLIOGRAPHIE

1. Ouvrages • Normes Professionnelles de l’Audit Interne (IFACI) • La pratique du contrôle interne – COSO Report (IFACI- PwC- Editions d’Organisation) • Théorie et Pratique de l’audit interne – 5ème édition ( Jacques Renard -Editions d’Organisation) • Guide du self Audit (Olivier Lemant – Pierre Schick- IFACI) • Cahier de la Recherche « Etude du Processus de Management et de Cartographie des Risques » (IFACI) • Control Self Assessment Workshop facilitator’s guide (IIA) • A perspective on control self assessment (IIA) • Control Self Assessment : A practical guide (IIA) • Control Self Assessment : Experience, Current Thinking, and Best Practices (IIA) • Control Self Assessment – Making the CHOICE (IIA) • Control Self Assessment- Threats, Tips and Techniques (IIA)

2. Revue « Audit Interne » • Juin 2001 – « L’auto-évaluation, du chemin au boulevard » - Marc Jouffroy • Février 2000 – « L’auto-évaluation – une démarche innovante » - Laurent Arnaudo

Réalisation : Ebzone Communication ([email protected]) Impression : Compédit Beauregard S.A. - 61600 La Ferté-Macé N° d’imprimeur : 4475

56

GUIDE D’AUDIT