Le management des risques chez Flunch, le rôle de l’audit interne
5.2) Identification des risques de l’entreprise
La note interne du 5 mars 1996 (cf. Annexe 7) précise les domaines à auditer et implicitement les risques correspondants de la façon suivante :
- Administration – finance
- Les procédures administratives : caisse, réceptions alimentaires, les frais généraux
- Les imputations comptables : règles d’imputation (provisions) , respect des règles
- Systèmes d’information
- Les applicatifs informatiques
- La qualité de l’information (fiabilité)
- Le suivi de gestion
- Produits
- Le triptyque
- Le respect de la menuthèque
- Détention des marchandises référencées, respect des fournisseurs
- Marketing
- L’image
- Les options marketing
- Ressources humaines
- La paie
- La formation
- La législation sociale
- * Patrimoine
- L’inventaire et l’usage des biens
- *Les « bibles »
- Les logiciels et les méthodes
- Les investissements
Cette identification des domaines à auditer est exhaustive, car elle regroupe l’ensemble des zones à risques de l’entreprise.
Les risques auxquels Flunch est confronté sont de nature diverse. Les problèmes de caisse constituent un problème récurrent en restaurant , en particulier le détournement d’argent par le biais des annulations de tickets ou de produits effectuées après paiement.
Le risque financier est présent en restaurant à cause de la décentralisation du programme caisse qui doit être vérifié. Le risque majeur chez Flunch est la non étanchéité des flux financiers, à savoir l’inadéquation des procédures et le non respect de ces dernières.
Les RFA (Réductions de Fin d’Année) constituent également une zone de risque chez Flunch, de même que l’entente entre fournisseurs. Quant à la Paie, elle constitue une zone de risque en ce qui concerne le paiement des salaires aux bonnes personnes et pour les bons montants.
La société est aussi confrontée aux risques liés aux investissements, de même qu’aux risques liés à la sécurité en particulier informatique. Un autre risque concerne l’utilisation de ressources à fonds perdus par des projets.
Par ailleurs, Flunch est confrontée, comme toute entreprise, aux risques liés aux états financiers (comptabilité, bilan …) , de même qu’au risque de non satisfaction des clients.
L’entreprise est aussi confrontée au risque qualité (qualité des aliments, des plats servis, …) mêlé au risque de sanction (non respect des normes en termes d’hygiène et de sécurité) .
Nous allons maintenant voir quelles mesures sont prises chez Flunch pour maîtriser ces risques, ainsi que la contribution de l’audit interne au management des risques.
5.3) Le management des risques chez Flunch et le rôle de l’audit interne
- Définition de l’audit interne dans l’entreprise Flunch
Lors de la création de la fonction Audit Interne chez Flunch en 1996, une note (cf. Annexe 6) a été rédigée afin de définir les contours de l’audit interne tel qu’il est souhaité par la Direction Générale.
La nécessité de l’audit interne est apparue dans la volonté de disposer d’une structure responsabilisante et respectueuse de ses politiques.
Ainsi, la note sur l’audit interne précise que « cette fonction complémentaire de celle du contrôle de gestion doit garder son indépendance vis-à-vis de l’exploitation. De ce fait, cette mission qui incombait aux contrôleurs de gestion exploitation sera confiée à M. X à compter du 01/02/1996 et rattachée au contrôle de gestion enseigne.
Pour chacun des domaines ci-après :
- Système d’information et procédures,
- Organisation,
- Gestion courante de l’exploitation,
- Politiques de l’entreprise (produits, RH, techniques, …) ,
l’audit en contrôlera la régularité et la sécurité, en évaluera leur efficacité et leur performance, en mesurera les risques.
L’objectif de cette mission est :
- D’informer la structure auditée (DG, contrôle de gestion, restaurant, …) des constats effectués,
- De conseiller la structure auditée sur les redressements à opérer, si nécessaire. »
Dans la note suivante (cf. Annexe 7) , postérieure à la mise en place de l’audit interne, il est précisé que « nous avons voulu que cette mission dépasse le simple cadre financier et concerne chacune des grandes fonctions de l’entreprise ».
Par ailleurs, cette deuxième note reprécise le rôle de l’audit interne et l’état d’esprit dans lequel cette fonction s’inscrit.
Concernant le rôle de l’audit interne, « deux missions essentielles sont confiées à l’audit :
- La première est de s’assurer de l’existence et de la régularité des règles de l’entreprise (Les règles du jeu existent-elles ? Sont-elles claires ? Sont-elles connues ? Sont-elles appliquées ?)
- La seconde est de s’assurer de leur efficacité, c’est-à-dire de l’adéquation des règles et des résultats obtenus, voire d’inciter l’élaboration des règles lorsqu’elles sont absentes.
L’audit interne garantit l’entreprise que l’ensemble des organisations est maîtrisé. Il estime et évalue l’efficacité des contrôles ».
L’état d’esprit dans lequel doit s’exercer l’audit a été défini en quelques points :
- L’audit s’applique aux organisations et non aux hommes
- L’audit ne peut s’appuyer que sur des faits
- L’audit est garant des procédures, mais il n’en assure pas la rédaction (il ne peut être juge et partie)
- L’ensemble des niveaux de l’organisation peut demander un audit (DG, directions fonctionnelles, exploitation) , l’auditeur quant à lui ne peut que susciter un audit
- L’ensemble des niveaux de l’organisation est destinataire du rapport d’audit.
De plus, cette note apporte des précisions sur les domaines audités. Elle stipule que « l’ensemble des grandes fonctions de l’entreprise est susceptible d’être audité ». Elle définit les domaines audités de la façon suivante :
- Administration – finance
- Systèmes d’information
- Produits
- Marketing
- Ressources humaines
- Patrimoine.
En guise de conclusion, la note estime que « il faut insister sur le fait que plus que « le faire », l’audit s’assurera de la manière dont les choses sont faites pour nous garantir la sécurité de notre organisation ».
- Organisation de l’audit interne dans l’entreprise
L’audit interne est rattaché hiérarchiquement et fonctionnellement à la Direction du Contrôle de gestion chez Flunch.
L’entreprise a adopté une organisation en réseau du contrôle de gestion. Un réseau est un regroupement des restaurants d’une même zone géographique dont le contrôle de gestion est confié à un seul contrôleur de gestion, interlocuteur privilégié des directeurs de restaurants et du directeur de réseau.
Le service de contrôle de gestion est organisé de la façon suivante :
- Le directeur du service qui est chargé de l’animation du service et du contrôle de gestion des restaurants du réseau Provence Côte d’Azur
- Un contrôleur de gestion chargé des objectifs de l’exploitation ainsi que des investissements, en plus du réseau Nord Littoral
- Un contrôleur de gestion chargé des marges alimentaires, en plus des réseaux Sud-Ouest et Bretagne Pays de Loire
- Un contrôleur de gestion chargé des plans, des objectifs du siège et des restaurants à l’étranger, en plus des réseaux Paris et Paris Normandie
- Un contrôleur de gestion en charge du contrôle de gestion commerce ainsi que des réseaux Est et Artois Picardie Champagne
- Un contrôleur de gestion chargé du compte d’exploitation par ligne de produit et des réseaux Rhône Alpes et Centre
- Un contrôleur de gestion chargé du suivi budgétaire du siège
- Un auditeur interne/contrôleur de gestion qui est à la fois chargé de l’audit interne et du contrôle de gestion du réseau Midi-Pyrénées.
- Une secrétaire polyvalente.
L’auditeur interne est partagé entre l’audit interne pour 75 % de son temps et le contrôle de gestion du réseau Midi-Pyrénées pour le reste du temps.
Chez Flunch, le contrôle de gestion ne dépend pas de la direction financière mais il dépend de la direction générale, ce qui lui confère un rôle plus stratégique. Le fait que le directeur du contrôle de gestion soit membre du comité de direction confirme cette orientation stratégique du contrôle de gestion.
Dans ce sens, le fait que l’audit interne soit rattaché au contrôle de gestion n’est pas préjudiciable, car l’audit interne est tout de même en liaison direct avec le sommet de la hiérarchie par le biais du directeur du service.
Le supérieur hiérarchique du directeur de service est le Directeur Général mais il est rattaché fonctionnellement à la direction financière. L’auditeur interne est quelquefois en contact direct avec le Directeur Général, mais le plus souvent le directeur de service est l’intermédiaire.
Il n’y a pas de comité d’audit chez Flunch, mais le comité de direction joue en partie le rôle de comité d’audit. En effet, les attributions du comité de direction en terme de management des risques consistent à être tenu informé du programme annuel de l’Audit Interne, et à être destinataire de ses principaux rapports.
Par contre, il n’y a pas de concertation étroite entre l’Audit Externe et l’Audit Interne sous l’égide du Comité d’Audit.
La maîtrise des risques incombe en partie au contrôle de gestion chez Flunch. Ainsi, certaines missions classiques d’audit interne sont effectuées par le contrôle de gestion, car le service d’audit interne est limité à sa plus simple expression. De plus, le succursalisme favorise les audits opérationnels effectués par les contrôleurs de gestion.
Les contrôleurs de gestion sont chargés des audits opérationnels des restaurants de leur réseau, à savoir 2 audits d’une demi-journée par an par restaurant (ou un audit d’une journée entière).
Les audits opérationnels confiés aux contrôleurs de gestion consistent à contrôler le respect des procédures et des règles d’imputation. Ce ne sont pas de véritables audits, car ils ne font que vérifier un certain nombre de points dans un laps de temps limité sans l’exhaustivité de véritables audits.
Chez Flunch, de par le caractère ponctuel des projets, le contrôle de gestion des projets est rapproché de l’audit interne, en ce sens que c’est l ‘auditeur interne qui en est chargé.
- Le management des risques chez Flunch
Il n’y a pas de gestion globale des risques opérationnels, ceux-ci sont gérés restaurant par restaurant. L’analyse des risques opérationnels est effectuée par les contrôleurs de gestion, dans le cadre de leurs travaux, pour les restaurants de leurs réseaux.
Ainsi, le risque est identifié par le contrôleur de gestion, mais l’auditeur interne prend ensuite en charge les dossiers (dans la mesure de ses moyens) .
En effet, lorsque l’auditeur est débordé, soit le contrôleur de gestion effectue la mission d’audit interne mais avec une efficacité moindre de par son manque de compétences spécifiques, soit le risque est ignoré aux dépends de l’entreprise.
En général, le contrôleur de gestion détecte les fraudes à partir des journaux électroniques disponibles dans le restaurant, c’est-à-dire uniquement sur les transactions de quelques jours, alors que l’auditeur interne entre plus dans le détail, il peut remonter jusqu’à plusieurs mois en arrière.
Les risques globaux concernant la société sont dans la sphère d’intérêt de la Direction Générale (ex : problème de caisse généralisé) . Par contre, les problèmes particuliers (ex : problème de caisse dans un restaurant) se traitent à des niveaux moindres que la Direction Générale, comme la Direction de Réseau pour l’exemple cité.
Les responsabilités et les pouvoirs en matière d’acceptation et de management de certains risques, notamment pour les investissements, sont définis dans des procédures, précisant entre autres les personnes habilitées à prendre certains risques précis. Mais l’étendue des risques soumis à des procédures est encore trop restreinte.
Il y a des actions de sensibilisation et de formation aux risques concernant les procédures caisse pour assurer l’étanchéité des flux financiers.
Il existe des formations destinées aux responsables de restaurant qui sont ensuite chargés de mener le transfert de compétence vers les opérationnels (contrôle des tickets en restaurant, consignes de sécurité…) .
Par contre, il n’y a pas de documentation sur les risques dans l’entreprise, en particulier sur les risques significatifs réellement produits. De plus, les risques ne figurent pas de manière explicite à l’ordre du jour des réunions de la direction. Mais leur prise en compte dans les décisions est tout de même implicite.
Il y a des plans prévisionnels à 5 ans dans la société. Ces derniers donnent à la direction générale une vision de l’entreprise à très long terme, le plan à 5 ans reflète la stratégie.
Mais il n’y a pas de processus formalisé de management des risques. Par exemple, il n’y a pas de référentiel de management des risques commun à toute l’entreprise, mais chaque domaine a son propre référentiel.
Par ailleurs, Flunch fait également appel à des auditeurs externes. Ces derniers interviennent à plusieurs niveaux chez Flunch :
- KPMG pour l’audit comptable
- Institut Pasteur pour lutter contre le risque alimentaire
- Qualimétrie pour veiller à la propreté et au respect des procédures
- Satiscope pour mesurer la satisfaction des clients
KPMG, chargé de l’audit légal, va plus loin que le minimum légal. Les autres auditeurs externes sont consultés volontairement, sans aucune contrainte.
Aux yeux des dirigeants, les auditeurs externes constituent une force de proposition complémentaire de l’audit interne pour s‘assurer que les risques sont maîtrisés et ils apportent une crédibilité supplémentaire aux conclusions de l’audit interne sur la maîtrise des risques.
Les dirigeants expliquent ainsi le faible développement de l’audit interne chez Flunch, estimant que les auditeurs externes complètent l’audit interne, notamment dans la gestion des risques.
L’auditeur interne collabore avec les auditeurs de KPMG pour les audits de restaurants. Ainsi, il donne son accord sur le rapport d’audit de KPMG et réagit à ce sujet. De plus, il rencontre une ou deux fois par an des auditeurs de KPMG concernant l’audit financier. Par contre, l’auditeur interne ne collabore pas avec les autres consultants.
Flunch ne confie pas les audits stratégiques au service d’audit interne mais à des consultants extérieurs à l’entreprise, car ce type d’audit touche à la direction générale. Un audit stratégique demandé récemment concernait la meilleure organisation de l’entreprise.
- Le rôle de l’audit interne dans le management des risques chez Flunch
L’auditeur interne effectue des audits de caisse (détection de fraudes, contrôle des procédures de typage des articles) suite à des suspicions de mauvaises pratiques. Chez Flunch, la principale mission de l’audit interne est donc d’assurer l’étanchéité des flux financiers, à savoir l’adéquation des procédures et le respect de ces dernières.
Ponctuellement, l’auditeur interne mène des audits des frais généraux (frais de déplacement,…) ainsi que des audits de procédures dans les services qui en font la demande. Par ailleurs, l’auditeur interne est aussi chargé d’audits des comptes (contrôle du respect des procédures et règles d’imputation).
Mais ces missions ne constituent pas les priorités de l’audit interne et elles deviennent alors subsidiaires par manque de temps.
L’audit qualité et l’audit informatique sont très spécifiques et de ce fait ils ne sont pas du ressort de l’audit interne.
Le service d’audit interne effectue des missions à la demande des gens intéressées. En général, ce sont les responsables de service ou la Direction Générale qui demandent la réalisation d’un audit. L’auditeur interne peut également susciter l’intérêt chez les responsables pour la réalisation d’un audit.
Il n’y a pas de culture de l ‘audit interne ni du contrôle interne dans l’entreprise, c’est pourquoi on ne peut pas parler de management des risques chez Flunch.
