mardi 9 janvier 2018 - bma-paris.com€¦ · composante du contrôle interne questions génériques...
Post on 07-Nov-2020
3 Views
Preview:
TRANSCRIPT
mardi 9 janvier 2018
Sommaire
BM&AConduite opérationnelle d'un diagnostic du dispositif de contrôle interneRevue Française De Comptabilité - 01/01/2018
4
BM&A
Conduite opérationnelled'un diagnosticdu dispositif decontrôle interneIl relève de la responsabilité des dirigeants de connaîtreles risques auxquels leur entreprise est exposée et deles anticiper plutôt que de les subir, en procédant àdes arbitrages réfléchis et mesurés quant à la manièrede les gérer. L'entreprise qui souhaite évaluer l'efficacitéde son contrôle interne peut alors faire appel à son départementd'audit interne ou à un prestataire externe capable d'exercerun œil critique et constructif sur le dispositif mis en place.
Objectifs de l'évaluationpériodique du dispositifde contrôle interneL'évaluation du dispositif de contrôle interne
a pour objet de s'assurer que la conceptiondu dispositif dans son ensemble (à savoir les
5 composantes du contrôle interne selon le
cadre de référence de l'AMF ou du COSO 1)
est efficace et que les activités de contrôleprévues lors de la phase de conception sonteffectivement mises en œuvre. Les attendus
de cette évaluation seront différents selon lepoint de vue des acteurs de l'organisation.
Objectifs pour la direction générale :
• obtenir une vision d'ensemble sur la qualitédu contrôle interne aux différents niveauxde l'organisation ;
•disposer d'une évaluation du niveaud'exposition résiduel de l'entreprise auxdifférents risques (il s'agit de la criticité desrisques inhérents ou bruts après prise encompte de la qualité du contrôle interne,
dits risques résiduels ou risques nets) ;
• apprécier l'ampleur et le contenu du pland'actions à mettre en oeuvre.
Objectifs pour les opérationnels et le mana-
gement :• s'assurer que les principaux risques de leurs
activités sont couverts par des mesures de
précaution ;• vérifier que les mesures de précaution sont
correctement mises en œuvre ;
• s'assurer que les ressources allouées à la
sécurisation des opérations sont utiliséesde façon optimale.
Objectifs pour l'audit interne :
• identifier précisément les faiblesses de
contrôle interne ;
• enrichir ou amender le plan d'audit del'audit interne et le programme de travail
de chaque mission.
Objectifs pour les autres fonctions de
l'organisation (département des risques,
du contrôle interne...) :
• vérifier la conformité aux lois et réglemen-tations ;
• répondre aux demandes des autorités de
tutelle ;• sensibiliser le management au contrôle
interne, sa mise en œuvre et sa surveillance ;• évaluer la maîtrise du risque de fraude.
Méthodes d'évaluation dudispositif de contrôle interneIl existe deux méthodes d'évaluation, quipeuvent être utilisées seules ou en combi-
naison :• l'auto-évaluation « déclarative » par les
opérationnels eux-mêmes chargés des'assurer au quotidien que les opérationsrelevant de leur périmètre de responsa-
bilité sont traitées conformément auxobjectifs de l'entreprise et dans le respect
des principes du contrôle interne et des
Par Yukiko LegrandSenior manager
BM&A, CIA, CFE,expert-comptable mémorialiste
et Alain NauleauAssocié BM&A,
Pôle Support Opérationnel,en charge de la ligne de service
Processus-Risques-Systèmes d'information
procédures internes de l'entreprise : cette
auto-évaluation peut être déployée sous
la forme d'un questionnaire ou d'ateliers ;
• l'évaluation du dispositif par le biais detests réalisés par un tiers indépendant desopérationnels (interne ou externe), qui va
collecter des preuves probantes sur le res-
pect des politiques et procédures internes
et la mise en œuvre effective des activités
de contrôle.
L'auto-évaluation, organisée sous la forme
de questionnaires ou d'ateliers, est uneméthode efficace dans une organisationoù la culture du contrôle interne est faible.
En effet, l'auto-évaluation déclarative peutconstituer une première base du diagnostic,qui présente l'avantage d'impliquer totale-
Notes1. Cadre de référence de l'AMF sur les dispositifs degestion des risques et de contrôle interne, révisé enjuillet 2010, destiné aux sociétés françaises cotéessur un marché réglementé, soumises à l'obligationde rendre compte des procédures de gestion desrisques et de contrôle interne.Le référentiel international COSO 2013. (Committeeof Sponsoring Organizations of the TreadwayCommission), imposé par la loi américaine Sarbanes-Oxley.
Tous droits de reproduction réservés
Revue Française de
PAYS : France PAGE(S) : 35-39SURFACE : 439 %PERIODICITE : Bimestriel
DIFFUSION : 6544
1 janvier 2018 - N°516
Page 4
ment les managers et de les inciter à s'inter-roger quant à la pertinence et l'efficacitédu contrôle interne sur leur périmètre deresponsabilité ainsi que sur la satisfactiondes attentes de la direction générale enmatière de contrôle interne.
Les questionnaires d'auto-évaluation sontdes outils pratiques, qui peuvent êtredéployés rapidement à l'échelle d'un groupeet sont faciles d'utilisation. Toutefois, lequestionnaire devant être applicable au plusgrand nombre, il ne permet d'aborder que lesproblématiques communes et a contrario nepermet pas d'appréhender les spécificités.
Choix de la méthoded'évaluationSi le principe de l'évaluation périodique dudispositif de contrôle interne est générale-ment acquis, le choix de la méthode ainsi quesa mise en œuvre posent un certain nombrede questions aux entreprises.
Enfin, la fiabilité des informations remontéesest, de facto, plus limitée.
Les auto-évaluations organisées sous formed'ateliers offrent l'occasion de s'assurer dela bonne compréhension des conceptsde contrôle interne et des attentes de ladirection en la matière et d'effectuer desrappels le cas échéant. En revanche, cettetechnique ne permet pas d'obtenir unecouverture importante et les informationsremontées sont hétérogènes car fortementdépendantes de facteurs humains tels quela qualité de l'animateur et des participantsainsi que de la dynamique du groupe.
En pratique, le choix de la méthode d'éva-luation dépend de plusieurs facteurs : laculture de l'entreprise, son type de mana-gement, le degré de sensibilisation de sesmembres pour le contrôle interne, la taillede l'entreprise, les moyens et temps allouéspour l'évaluation, les objectifs de l'évaluation
L'évaluation du dispositif sur la base detests permet de pallier les faiblesses del'auto-évaluation, à savoir la fiabilité desrésultats, tout en offrant l'opportunitéd'aborder les spécificités et de faire de lapédagogie lors des entretiens. Toutefois,cette démarche nécessite un travail pré-paratoire significatif, la mobilisation deressources importantes par l'évalué, et dutemps pour être déployée à l'échelle d'uneorganisation.
Le tableau ci-dessous synthétise les princi-paux avantages et inconvénients de chacunedes méthodes.
(niveau de couverture recherché, évaluation
du niveau de conformité du groupe, appré-hension des risques spécifiques), le niveaude formalisation du dispositif du contrôleinterne et des contrôles réalisés, etc.
Avantages Inconvénients
Auto-évaluation déclarative - Mode Questionnaire
• Diffusion rapide et facile• Simple d'utilisation• Exploitation des résultats facilitée pour les questions fermées
(de type oui-non-non applicable)• Identification rapide des forces et faiblesses• Questionnement périodique du management sur la maîtrise
de ses opérations• Obtention de la vision du management local sur le niveau de
maîtrise de ses opérations• Engagement de la part du management local
• Sincérité et fiabilité des réponses éventuellement contestable• Degré d'implication variable du management local (par exemple,
si le questionnaire est délégué à un collaborateur et les réponsesne sont pas revues)
• Portée pédagogique limitée• Difficulté pour dimensionner le questionnaire à un nombre de questions
raisonnable tout en couvrant tous les domaines• Difficulté pour rédiger des questions claires,exemptes de toute ambiguïté• Uniformité du questionnaire : impossibilité d'aborder des points
spécifiques à une filiale, division ou unité opérationnelle sauf à déclinerle questionnaire par activités, domaines etc
• Résultatsdifficilement exploitables par l'audit interne ou les auditeursexternes sans travaux complémentaires
Auto-évaluation déclarative - Mode Atelier
• Renforcement de la culture de contrôle interne• Partage de la vision sur les risques et les mesures de précaution
à prendre• Echanges de bonnes pratiques• Forte implication des participants, qui pourront devenir ensuite
les « sponsors » du contrôle interne en dehors des ateliers
• Consommateurs de temps• Couverture très partielle• Difficulté pour choisir les participants• Difficulté pour trouver un animateur disposant de toutes
les compétences nécessaires (connaissance des métiersde l'entreprise, des concepts de contrôle interne et qualité d'animation)
• Résultats non homogènes et fortement dépendants de facteurshumains (qualité des participants et dynamique du groupe)
Evaluation par un tiers sur la base d'entretiens et de tests
• Développement de compétences en interne pour évaluer demanière indépendante un dispositif de contrôle interne
• Fiabilité des résultats• Résultats exploitables par l'audit interne ou les auditeurs
externes• Possibilité d'élargir ou d'adapter les sujets abordés aux
spécificités de chaque structure de l'organisation
• Nécessité de disposer d'une organisation dédiée et formée• Effort important pour définir le périmètre à tester : tronc commun
et spécificités de chaque structure• Effort important pour rédiger les plans de tests• Mobilisation de ressources importantes par l'évalué• Non homogénéité des informations remontées si le périmètre testé
n'est pas identique pour chaque structure
Tous droits de reproduction réservés
Revue Française de
PAYS : France PAGE(S) : 35-39SURFACE : 439 %PERIODICITE : Bimestriel
DIFFUSION : 6544
1 janvier 2018 - N°516
Page 5
En fonction du contexte, il est donc possible
de définir la méthode la plus adaptée.
Le choix de la méthode d'évaluation n'est pas
irréversible : il peut évoluer dans le temps, au
fur et à mesure de la montée en maturité de
l'organisation sur le plan du contrôle interne.
En outre, les deux méthodes (auto-évalua-
tion déclarative versus évaluation par des
tests) ne sont pas exclusives l'une de l'autre.
L'auto-évaluation déclarative peut constituer
une première base du diagnostic. Les résul-
tats de cette auto-évaluation peuvent ensuite
être revus et contrôlés par le biais de tests
par un tiers indépendant (l'audit interne par
exemple), qui va confirmer ou infirmer les
déclarations du management.
Contenu du diagnostic dudispositif de contrôle interneD'un point de vue opérationnel, la démarche
d'évaluation doit nécessairement tenir
compte de la maturité du dispositif de
contrôle interne. Ainsi, l'évaluation com-
mencera par le recensement de l'existant
au regard des 5 composantes du contrôle
interne. Le tableau ci-après donne des
exemples de questions génériques à se poser
dans le cadre d'un diagnostic, déclinées sui-
vant le référentiel COSO (ses 5 composantes
interdépendantes et ses 17 principes).
Composante du contrôle interne Questions génériques à poser dans le cadre d'un diagnostic
1. Environnement de contrôle
Définition - Objectifs :
« L'environnement de contrôle est l'ensemble des normes, des processus et des structures qui constituent le socle de la mise en œuvre du
contrôle interne dans toute l'organisation. »
1. L'organisation démontre son engagement enfaveur de l'intégrité et des valeurs éthiques.
• Existe-t-il un code éthique ? A-t-il été diffusé au personnel ? S'est-on assuré que les règlesont été comprises ?
2. Le conseil fait preuve d'indépendance
vis-à-vis du management. Il surveille la
mise en place et le bon fonctionnementdu système de contrôle interne.
• Le conseil a-t-il défini la stratégie en matière de gestion des risques et l'allocation
de moyens (niveau d'acceptabilité des risques et mode de traitement des risques -
accepter, réduire, supprimer ou transférer le risque) ?
• Existe-t-il un dispositif de gestion des risques (comprenant une organisation,
un processus et un pilotage dédiés) ?
• Existe-t-il un dispositif de contrôle interne pour chacune de ses 5 composantes ?
3. Le management, agissant sous la
surveillance du conseil, définit les
structures, les rattachements ainsique les pouvoirs et les responsabilités
appropriés pour atteindre les objectifs.
• Existe-t-il un organigramme à jour ?
• Les rôles et responsabilités de chacun sont-ils clairement définis et communiquésaux personnes (fiches de poste) ?
• Les délégations de pouvoirs et de signatures, y incluant les limites d'autorisation,sont-elles formalisées et actualisées ?
• La séparation des fonctions est-t-elle assurée, y compris dans les systèmes d'information ?
4. L'organisation démontre sonengagement à attirer, former et
fidéliser des personnes compétentes
conformément
aux objectifs.
• Existe-t-il un processus visant à identifier les ressources humaines nécessaires (effectifs etcompétences) au regard de la taille, de la complexité des activités et des évolutions à venir ?
• Existe-t-il une politique pour identifier des hommes-clés, les former et les fidéliser ?
• Le responsable de la gestion des risques dispose-t-il de compétences suffisantes et
a-t-il l'appui du conseil et de la direction pour exercer ses missions à tous les niveaux de
la hiérarchie de l'organisation ?
5. L'organisation instaure pour chacunun devoir de rendre compte de ses
responsabilités en matière de contrôle
interne.
• Les rôles et responsabilités de chacun en matière de gestion des risques et de contrôle
interne sont-ils clairement définis et communiqués aux personnes concernées ?
2. Evaluation des risques
Définition - Objectifs :
« L'évaluation des risques implique un processus dynamique et itératif d'identification et d'analyse des risques susceptibles d'affecter la
réalisation des objectifs. Le management tient compte des éventuelles évolutions dans l'environnement externe et dans son propre modèle
économique susceptibles de l'empêcher d'atteindre ses objectifs. »
6. L'organisation définit des objectifs
de façon suffisamment claire pour
permettre l'identification et l'évaluation
des risques susceptibles d'affecter leurréalisation.
• L'entité a-t-elle défini et communiqué ses objectifs stratégiques ?
• Ses objectifs stratégiques ont-ils été déclinés en objectifs opérationnels ?
Ont-ils été communiqués ?
Tous droits de reproduction réservés
Revue Française de
PAYS : France PAGE(S) : 35-39SURFACE : 439 %PERIODICITE : Bimestriel
DIFFUSION : 6544
1 janvier 2018 - N°516
Page 6
7. L'organisation identifie les risquessusceptibles d'affecter la réalisation de ses
objectifs dans l'ensemble de son périmètreet procède à leur analyse de façon àdéterminer comment ils doivent être gérés.
• Existe-t-il une organisation et un processus d'identification des risques / facteurs
de risque sur l'ensemble du groupe ?
• Quelles sont les parties prenantes à l'élaboration de la cartographie des risques ?
• Existe-t-il une analyse d'impact pour chaque risque / facteur de risque ?
8. L'organisation intègre le risque de fraudedans son évaluation des risques.
• La cartographie des risques intègre-t-elle le risque de fraude ?
• Existe-t-il une cartographie des risques dédiée au risque de fraude ?
9. L'organisation identifie et évalue leschangements qui pourraient avoir unimpact significatif sur le système decontrôle interne.
• La cartographie des risques est-elle régulièrement mise à jour ?
• Les déficiences constatées sont-elles prises en compte dans le cadre de la mise à jour ?
• La mise à jour de la cartographie des risques tient-elle compte des évolutionsexternes ou internes ? (par exemple, prise en compte d'un changement de
réglementation tel que le risque de corruption suite à la loi Sapin II
ou d'une nouvelle activité acquise)
3. Activités de contrôle
Définition - Objectifs :« Les activités de contrôle désignent les actions définies par les règles et procédures, qui visent à apporter l'assurance raisonnable que lesinstructions du management pour maîtriser les risques susceptibles d'affecter la réalisation des objectifs sont mises en oeuvre. »
10. L'organisation sélectionne et développedes activités de contrôle qui visentà maîtriser et à ramener à un niveau
acceptable les risques susceptiblesd'affecter la réalisation des objectifs.
• Des mesures de précaution ont-elles été définies en réponse à l'évaluation des risques,
y compris le risque de fraude ?
• Existe-t-il une analyse d'impact du risque résiduel (i.e après prise en compte
des mesures de précaution) ?• Les activités de contrôle définies sont-elles mises en œuvre ? Leur mise en œuvre
est-elle supervisée ?
11.L'organisation sélectionne et développedes contrôles généraux informatiquespour faciliter la réalisation des objectifs.
• L'organisation dispose-t-elle d'un processus et de contrôles permettant de sécuriserles accès physiques et logiques ?
• L'organisation dispose-t-elle d'une méthodologie et d'un processus de gestion
des changements et des évolutions de ses systèmes et applications ?
• L'organisation dispose-t-elle d'une méthodologie et d'un processus de gestiondes projets informatiques ?
• L'organisation a-t-elle mis en place des contrôles garantissant l'intégrité des sauvegardes
en fonction de la criticité des données ?• L'organisation a-t-elle mis en place des moyens assurant une continuité de services
sur tout ou partie des ressources en fonction de leur criticité métier ?• L'organisation a-t-elle mis en place des moyens pour se protéger des attaques internes
ou externes ?• L'organisation a-t-elle mis en place un processus pour garantir la conformité
aux différentes réglementations en vigueur (RGDP par exemple) ?
12.L'organisation déploie les activitésde contrôle par le biais de règles quiprécisent les objectifs, et de procéduresqui permettent de mettre en œuvre cesrègles.
• Le dispositif de contrôle interne s'appuie-t-il sur un référentiel de contrôle interne(reconnu ou propre à l'entité) ?
• Existe-t-il un manuel des procédures de contrôle interne permettant de faire le lien entreles objectifs, les risques et les activités de contrôle attendues ?
4. Information et communication
Définition - Objectifs :<•<• La communication est à la fois interne et externe et fournit à l'organisation l'information nécessaire à l'exercice de ses contrôles courants. Lacommunication permet aux collaborateurs de comprendre les responsabilités liées au contrôle interne et leur importance pour la réalisationdes objectifs. »
13. L'organisation obtient, produit et utilisedes informations pertinentes et dequalité pour faciliter le fonctionnementdu contrôle interne.
• Existe-t-il un dispositif de suivi des indicateurs-clés de performance de la gestiondes risques et du contrôle interne ?
• Le conseil (ou le comité d'audit) est-il régulièrement informé de l'efficacité du dispositif(indicateurs, avancement du plan d'audit, avancement des plans de remédiation, risquesavérés... ) ?
Tous droits de reproduction réservés
Revue Française de
PAYS : France PAGE(S) : 35-39SURFACE : 439 %PERIODICITE : Bimestriel
DIFFUSION : 6544
1 janvier 2018 - N°516
Page 7
14. L'organisation communique en internel'information nécessaire au bon
fonctionnement du contrôle interne,notamment les informations relatives
aux objectifs et aux responsabilitésdu contrôle interne.
• L'analyse de risques et le plan de réponse aux risques sont-ils partagés par la directionavec les personnes chargées de sa mise en œuvre ?
• Chaque collaborateur a-t-il connaissance du manuel des procédures de contrôle interneet des activités de contrôle dont il a la charge ?
15. L'organisation communiqueaux tiers les éléments qui peuventaffecter le fonctionnementdu contrôle interne ?
• Les fournisseurs sont-ils informés du code de conduite de l'entité ?
• Existe-t-il des canaux de communication pour les tiers, tel un dispositif d'alerte ?
5. Pilotage
Définition - Objectifs :
« L'organisation procède à des évaluations continues et ponctuelles, ou à une combinaison de ces deux formes d'évaluation pour assurer quechacune des cinq composantes du contrôle interne et les principes qui leur sont associés sont mis en place et fonctionnent. Les constats sont
évalués et les déficiences sont communiquées en temps voulu, les points importants étant signalés à la direction générale et au conseil. »
16. L'organisation sélectionne, développeet réalise des évaluations continues et/ou ponctuelles pour s'assurer que lescomposantes du contrôle interne sontmises en place et fonctionnent.
• Existe-t-il un département d'audit interne ? Son rattachement hiérarchique permet-ilde garantir son indépendance ? Les pouvoirs qui lui sont accordés lui permettent-ilde couvrir tous les domaines ?
• Existe-t-il des procédures d'auto-évaluation / d'évaluation des activités de contrôle ?Sont-elles revues par l'audit interne ou par un prestataire externe ?
17.L'organisation évalue et communique lesdéficiences de contrôle interne en tempsvoulu aux responsables des mesures
correctives, y compris le cas échéant à ladirection générale et le conseil.
• Existe-t-il un processus de recensement et d'analyse des incidents ?
• Existe-t-il des plans de remédiation (précisant la personne en charge, la nature de l'actionet l'échéance) ? Font-ils l'objet d'un suivi régulier ?
les intéressés ont compris ses apports et que
les moyens engagés ou les efforts consentis
sont adaptés au niveau de risque identifié.
^
Les référentiels disponibles, tels que le COSO
ou le cadre de référence de l'AMF, sont desguides structurants qui facilitent la réalisationdes diagnostics de dispositifs de contrôle
interne, car les concepts qui y sont définissont largement répandus et partagés.Toutefois, le diagnostic du contrôle interne
doit être adapté au contexte et à la maturitéde chaque structure. Il nécessite égalementun travail important de préparation, d'accom-
pagnement voire de pédagogie. C'est à cettecondition que le diagnostic peut constituerun réel outil de pilotage de l'amélioration de
la performance. •
Points d'attention pour lamise en œuvre du diagnosticPour garantir le succès d'un diagnostic
portant sur le dispositif de contrôle interne,les trois points suivants, facteurs clés desuccès, nécessitent une attention particulière
en ce qui concerne l'accompagnement et lapréparation de la démarche.
Rôle de sponsor de la directionLa direction doit être un sponsor impliquédès le début du diagnostic dans la définition
des domaines à couvrir. Ainsi, le périmètre dudiagnostic doit être validé par la direction :quelle(s) composante(s) ? quel(s) proces-sus ? quelle(s) entité(s) ? quel calendrier ?
Par ailleurs, la direction générale doit claire-
ment se positionner comme « sponsor » dela démarche et être perçue comme telle parles entités afin qu'elles perçoivent les enjeux
du diagnostic et y consacrent les effortsnécessaires.
Importance du travail préparatoire
Des travaux préparatoires importants et
structurants sont à prévoir par l'évaluateur :• prise de connaissance de l'ensemble de la
documentation y afférente ;
• détermination de la méthode d'évaluation
afin de concilier précision, niveau de risque,effort de réalisation, déficiences déjàconstatées sur le périmètre et calendrier
global ;• adaptation des questions génériques pré-
sentées ci-avant ;
• identification des activités de contrôle clésà tester par processus métier ;
• Rédaction des plans de tests lecas échéant(correspond au programme de travaildétaillé de l'évaluateur).
Une fois la méthode de l'évaluation définie,celle-ci doit être communiquée le plus tôt
possible à l'entité afin qu'elle mobilise lesressources nécessaires et adéquates.
Inscrire le diagnostic dans unedémarche de progrès continu
Au-delà de la simple annonce du lancement
de la démarche, la direction générale doitrappeler que le diagnostic s'inscrit dans unedémarche d'amélioration continue, a fortiori
lorsqu'il s'agit du premier diagnostic, avecdes apports à tous les niveaux de l'organi-sation. Cette communication contribue àinscrire le contrôle interne dans une dyna-
mique de fond, mieux acceptée dès lors que
Tous droits de reproduction réservés
Revue Française de
PAYS : France PAGE(S) : 35-39SURFACE : 439 %PERIODICITE : Bimestriel
DIFFUSION : 6544
1 janvier 2018 - N°516
Page 8
top related