La fonction d’Audit Interne
Chapitre 1 : La fonction d’Audit Interne
1.1) Définition de l’audit interne
Pour commencer, on ne peut éviter de rappeler la définition du contrôle interne. Le rapport du COSO (cf. Note 1, Annexe 2) définit le contrôle interne comme un processus mis en œuvre par le Conseil d’Administration, les dirigeants et le personnel d’une organisation, destiné à fournir une assurance raisonnable quant à la réalisation des objectifs suivants :
- La réalisation et optimisation des opérations
- La fiabilité des informations financières
- La conformité aux lois et aux réglementations en vigueur.
Selon le rapport du COSO, un contrôle interne efficace repose sur cinq composantes interdépendantes, qui sont les suivantes :
- Environnement de contrôle
- Evaluation des risques
- Activités de contrôle
- Information et communication
- Pilotage
La branche britannique de l’IIA et l’IFACI adhèrent aux concepts et aux dispositifs proposés par le rapport du COSO.
La nouvelle définition de l’Audit interne, dont la version française a été approuvée le 21 mars 2000 par le Conseil d’Administration de l’IFACI, rappelle que « l’audit interne est une activité indépendante et objective qui donne à une organisation une assurance sur le degré de maîtrise de ses opérations, lui apporte ses conseils pour les améliorer, et contribue à créer de la valeur ajoutée.
Il aide cette organisation à atteindre ses objectifs en évaluant, par approche systématique et méthodique, ses processus de management des risques, de contrôle, et de gouvernement d’entreprise, et en faisant des propositions pour renforcer leur efficacité ».
La nouvelle définition reflète non seulement les changements qui se sont déjà produits, mais elle oriente les auditeurs pour l’avenir vers un rôle plus important et plus influent.
L’activité de l’audit interne a radicalement changé au cours de six décennies depuis sa définition initiale dans une Déclaration des responsabilités de l’auditeur interne. Pendant cette période, le champ étroit de cette activité, c’est-à-dire mesurer et évaluer l’efficacité des contrôles, a été largement étendu.
Stimulés par les défis des fournisseurs externes et de leur Direction, les auditeurs internes désormais mettent aussi un accent important sur leur travail avec les clients internes pour améliorer le fonctionnement de leur organisation et y ajouter continuellement de la valeur.
L’entreprise forme un tout : tous les systèmes, toutes les organisations, toutes les fonctions, toutes les opérations, tous les actifs et passifs devant se trouver sous contrôle interne, sont potentiellement soumis à audit.
Refuser ce postulat, c’est accepter d’affronter des risques d’erreur, d’accident ou d’agression non identifiés alors même qu’ils seraient identifiables, puisque aucune opération ni fonction n’est à l’abri de dysfonctionnements.
On peut dire que l’entreprise est en état de contrôle interne, dès lors que dans sa globalité elle s‘est dotée d’une organisation propre à anticiper les risques, à minimiser leurs conséquences et à optimiser ses performances.
Fut-il atteint, cet état de contrôle interne est immédiatement remis en cause, car les facteurs internes et externes qui le déterminent sont en perpétuel changement.
Le contrôle interne doit donc anticiper tout cela continuellement au travers des adaptations d’organisation, de procédures, de délégations de responsabilités et il faut s’interroger en permanence sur son adéquation à la situation, sur son coût qui doit rester acceptable au regard des risques et des enjeux et sur ses éventuels effets de frein à la dynamique de l’entreprise.
Ces considérations expliquent et justifient que la direction générale charge l’audit interne de l’informer des pertes de maîtrise qui apparaissent.
Si le rôle de l’audit est communément reconnu comme corollaire de la décentralisation, on l’évoque plus rarement à propos de l’articulation de l’entreprise entre ses fonctions de vente, de production, etc., articulation qui crée des ruptures dans le flux interne des informations, des biens ou des services produits.
Or ces ruptures, tout comme les partages de responsabilité qui les accompagnent, sont cause de dysfonctionnements : l’entreprise perd toute son efficacité si l’on ne prend garde à ménager les nécessaires coordinations horizontales entre les fonctions. L’audit interne est bien placé pour observer les dérapages à cet égard.
L’audit interne va protéger la rentabilité présente et future en veillant à la qualité de l’information sur laquelle la direction appuie ses décisions et à l’efficacité avec laquelle sont conduites les opérations qui doivent concourir à la réalisation des objectifs de l’entreprise.
Les décisions stratégiques sont de nature auditables, d’autant plus que les risques attachés aux décisions stratégiques sont les plus lourds de conséquences. De tels audits témoignent d’une pratique particulièrement avancée de la fonction.
1.2) Organisation de l’audit interne
- La structure d’audit interne
Les géants de l’économie, employant de 50 000 à plus de 100 000 salariés, adoptent une structure d’audit interne décentralisée auprès de chacune de leurs divisions.
Cela est une nécessité car si l’on admet le ratio, plus ou moins arbitraire mais confirmé par l’expérience, d’un auditeur pour mille salariés, les équipes deviendraient beaucoup trop importantes et trop éloignées des centres de décision pour être pleinement efficaces.
Une direction centrale de l’audit positionnée au niveau de la société-mère assume alors l’animation de l’ensemble de services décentralisés plus proches de leurs interlocuteurs, définit et fait approuver par la direction générale la politique à suivre et veille à son respect.
Un autre cas de figure, de moins en moins fréquent, est celui de services d’audit spécialisés selon la nature des interventions : comptabilité, opérations, gestion, informatique, technique, etc.
La raison invoquée est que pour faire un audit, il faudrait être un expert du domaine audité et que l’on ne peut attendre d’un service généraliste une compétence universelle.
La question posée donc est celle de la nature même de l’audit interne qui ne fait pas appel prioritairement à une expertise dans une discipline particulière mais à des techniques d’analyse de portée générale.
Pour autant, une expertise peut se révéler utile voire indispensable mais elle est alors connexe à la technique d’audit et non l’inverse, et selon les besoins l’équipe d’audit généraliste pourra accueillir en son sein un expert de telle discipline particulièrement présente dans l’entreprise, ou former un auditeur dans cette discipline, ou encore solliciter ponctuellement l’assistance d’un spécialiste.
Certes, une organisation construite sur le modèle de services d’audit spécialisés n’est pas sans avantages. Mais il est pour le moins souhaitable, si on l’adopte, qu’un responsable, en quelque sorte conscience de l’ensemble des risques présents et futurs, assume la coordination nécessaire auprès de la direction générale. En tout état de cause, il faut éviter de rattacher un service d’audit spécialisé à la structure qu’il est chargé d’auditer.
Mais les choses étant tellement liées et dépendantes les unes des autres, il apparaît qu’une organisation construite autour de services spécialisés est moins à même d’identifier les dysfonctionnements qui surviennent en chaîne et que l’efficacité optimale est obtenue si les aspects comptables, opérationnels, gestion, informatique, sont abordés concomitamment au cours de la même mission d’audit.
Cela plaide en faveur d’un service généraliste qui doit alors se mettre en état de répondre à l’ensemble de ces objectifs. C’est en tout cas ainsi que la plupart des entreprises organisent leur audit interne, les autres estimant sans doute que leur choix répond mieux aux exigences de leur réalité.
- Le rattachement de l’audit interne
Le rattachement de la fonction d’audit interne peut paraître un facteur déterminant pour le succès de sa mission. Il est logique et souhaitable d’apporter à l’audit tout le poids que peut lui conférer un rattachement au niveau hiérarchique le plus élevé : président ou directeur général.
Cela contribue à assurer son indépendance vis-à-vis des autres directions en même temps que son interdépendance avec elles, cela confirme son caractère pluridisciplinaire et cela donne du poids à ses recommandations.
Pour autant, ce n’est pas là une condition essentielle car ces objectifs peuvent également être atteints si le rattachement est autre : tout est question d’opportunité et surtout d’hommes.
Lorsqu’il n’est pas rattaché au président ou au directeur général, l’audit interne dépend le plus souvent de la direction financière, sans que cela préjuge d’un champ d’activité limité à l’audit financier, ne serait-ce que parce qu’une direction financière se trouve obligatoirement impliquée dans les opérations commerciales et industrielles.
Si toutefois du fait d’un tel rattachement, l’audit était confiné aux aspects procéduriers et comptables des activités sans pouvoir satisfaire les besoins d’audit d’efficacité des responsables opérationnels, ces derniers auraient recours à des interventions extérieures ou créeraient leur propre structure d’audit. Ce qui au total serait moins performant et plus coûteux.
En réalité, c’est l’esprit du rattachement, le comportement de celui auquel le service est rattaché et la force de caractère des auditeurs qui garantissent son indépendance et donc son efficacité.
Cet esprit est concrétisé dans les entreprises américaines par une dépendance fonctionnelle à l’égard du comité d’audit pour les aspects essentiels de la gestion du service tels que l’établissement du plan d’audit, le suivi des recommandations, et la nomination du directeur de l’audit interne. Le rattachement hiérarchique est alors une question tout à fait secondaire.
Les comités d’audit sont la forme la plus élaborée de l’organisation de l’audit. La peur du gendarme en est à l’origine aux Etats-Unis : des administrateurs ayant été poursuivis pour des infractions relatives à l’information financière et à la corruption commises à leur insu par la direction de l’entreprise, ils se sont préoccupés de surveiller d’un peu plus près la manière dont les choses se passaient sur ces plans, puis d’une façon générale dans le management et le fonctionnement des sociétés dont ils assument en définitive la responsabilité.
Tout cela fait maintenant l’objet de réglementations très précises et les comités d’audit américains sont composés exclusivement d’administrateurs n’exerçant pas de responsabilités de management mais ayant une compétence particulière dans la gestion.
Leurs attributions s’étendent bien sûr également à l’audit externe et constituent de fait un véritable contre-pouvoir.
Quel que soit le rattachement, il est judicieux de préciser dans une charte d’audit la mission du service, ses responsabilités et les conditions dans lesquelles il les exerce. Cela constitue une sorte de règle du jeu et des relations entre l’audit interne, sa hiérarchie et ses interlocuteurs, notamment les audités.
Cette charte doit être largement diffusée et commentée afin que chacun connaisse bien la légitimité et la place que la direction générale accorde à la fonction.
L’animation du service doit s’appuyer sur une structure d’autant plus hiérarchisée que l’équipe est nombreuse. Informelle dans les petits services, elle doit être très affirmée dès que l’on dépasse 20 ou 30 auditeurs et ressemble alors à ce que l’on trouve dans les cabinets : superviseurs, chefs de mission, seniors.
Par ailleurs, afin de répondre à la préoccupation de compétence technique déjà évoquée, certains articulent leur organisation autour de cellules spécialisées dans les différentes fonctions de l’entreprise (production, comptabilité-finance, informatique, etc.) .
D’autres préfèrent conserver une unicité de structure et préserver ainsi le caractère généraliste du service et des auditeurs. Une fois de plus, à chacun de faire le choix qui lui convient le mieux, mais on gagne en efficacité chaque fois que l’on peut privilégier une approche généraliste.
