Audit Interne Et Référentiels Derisques: Vers La Maîtrise Des Risques Et La Performance de L'audit

Retrouver ce titre sur Numilog.
com
Audit
Organisation
Conseil
Audit interne
et référentiels
derisques
Vers la maîtrise des risques
et la performance de l’audit
Pierre SCHICK
Jacques VERA
Olivier BOURROUILH-PARÈGE
Préface de
Patrick PARENT (AMF)
Avant-propos de
Louis VAURS (IFACI)
2e édition
Retrouver ce titre sur Numilog.com
Du même auteur, Pierre Schick

– Mémento d’audit interne, Dunod, 2007.
– Guide de self-audit, Éditions d’organisation, 2e éd., 2002.
Maquette intérieure : Catherine Combier et Alain Paccoud

Couverture : Didier Thirion/Graphir Design
Mise en pages : Nord Compo
© Dunod, Paris, 2014

ISBN 978-2-10-070802-4
Compléments en ligne
P
rofessionnels, enseignants et étudiants trouveront dans ce livre une
synthèse de ce qu’il faut savoir pour conduire une action de maîtrise
des risques sur les principales activités et processus de l’organisation.
L’ouvrage présente des repères méthodologiques et des fiches pratiques

opérationnelles nécessaires à la conduite d’une mission d’audit, efficace et
efficiente. La méthodologie et les quinze référentiels de risques présentés
s’appuient sur le dispositif de contrôle interne et de gestion des risques
préconisé par l’AMF et le nouveau référentiel COSO.
La nouvelle édition s’enrichit d’un retour d’expérience méthodologique
d’une trentaine de directions d’audit interne.
Pour approfondir le contenu de cet ouvrage et illustrer le propos des auteurs,
vous pouvez accéder à des compléments en ligne régulièrement mis à jour
sur un site dédié :
• contenus multimédias sous forme de vidéos de cours, de démonstrations
ou d’images ;
• exemples d’utilisation de la solution informatique innovante ROK (Risk
Organisation Knowledge) ;
• quiz complet pour contrôler et approfondir vos connaissances ;
• bibliographie sur la maîtrise du risque et le contrôle interne.
Pour cela, visitez le site : http://www.audit-interne-référentiels-risques.com/
III
Préface
I
l est des sujets qui semblent arides, ce qui peut conduire à ne pas réaliser
au premier abord toute la valeur que l’on peut en extraire. Telle pourrait
être la vision que certains ont du contrôle interne en le réduisant au
respect de la conformité à un texte de nature réglementaire. Nul doute
qu’abordé sous cet angle le sujet a peu de chances de séduire le dirigeant
d’entreprise qui, pourtant, devrait être le principal soutien du dispositif de
contrôle interne de son organisation.
En effet, il faut dépasser cette appréhension du contrôle interne pour le

découvrir sous son vrai jour, car le sujet s’avère structurant. Le contrôle
interne joue non seulement un rôle important en ce sens qu’il permet de
réduire les risques d’erreurs, mais il contribue aussi à une meilleure maîtrise
des processus et permet d’améliorer la capacité d’une organisation à réaliser
les objectifs fixés par la Direction Générale.
La maîtrise et la gestion des risques sont devenues un véritable enjeu. Or, si
cet enjeu est essentiel dans le cadre de la conduite des opérations, car celle-ci
doit anticiper au mieux les risques dans un environnement plus large et plus
mouvant, il l’est également au titre de la communication. C’est notamment
le cas vis-à-vis des investisseurs, en capital ou en dette, vers qui les entreprises
se tournent de plus en plus fréquemment pour trouver des financements. En
effet, le marché est désormais très attentif à la façon dont ces risques sont
maîtrisés. Or, l’approche de la gestion des risques est sensiblement différente
d’une entité à une autre selon le niveau de sensibilisation de la Direction
Générale et d’appropriation du sujet par les équipes opérationnelles. Aussi,
le développement de cadres de référence, reconnus par les investisseurs, est
devenu important, car ceux-ci permettent d’assurer une cohérence et une
homogénéité de méthodes de travail.
Cet ouvrage insiste à juste titre sur le fait qu’un dispositif de contrôle interne
ne doit jamais rester statique, car les organisations sont en perpétuelle
évolution et les systèmes doivent en conséquence être constamment
adaptés et modifiés. Par ailleurs, le contrôle interne d’une organisation doit
se concentrer sur les domaines d’importance majeure afin de répondre aux
préoccupations fondamentales des instances dirigeantes. Dans ce contexte,
il est particulièrement utile aux entreprises, et à ceux au sein de celles-ci
V
Préface
qui ont la charge de veiller à la bonne application du dispositif de contrôle

interne, de disposer d’outils pratiques et d’éléments de réflexion mis à jour
des meilleures pratiques et tenant compte des développements conceptuels
les plus récents.
Compte tenu de ces éléments, les conditions sont remplies pour que l’audit
interne obtienne la reconnaissance qu’il mérite. L’audit interne ne peut
en effet être réduit à un respect de conformité, fonction certes essentielle,
mais doit prendre en compte les dimensions stratégiques et opérationnelles
afin de remplir pleinement sa mission. Les auteurs présentent les étapes
méthodologiques à respecter pour améliorer l’efficacité de la mission
d’audit interne, tout en recherchant la conformité avec le cadre de référence
international des pratiques professionnelles en la matière. Pour chaque étape,
des conseils et des fiches pratiques complètent opportunément les propos.
En définitive, les actions visant à permettre aux entreprises, qu’elles soient
déjà cotées ou qu’elles l’envisagent pour le futur, de pérenniser, perfectionner
et homogénéiser leurs pratiques en matière de contrôle et d’audit interne
ne peuvent qu’être accueillies favorablement par le régulateur des marchés
financiers. Cet ouvrage y contribue de façon très concrète et pédagogique
et sa lecture sera particulièrement bénéfique à tous ceux qui souhaitent
approfondir leur compréhension des enjeux liés au dispositif de contrôle
interne.
Patrick Parent1
Directeur des Affaires Comptables
Autorité des Marchés Financiers
1 Le contenu de cet ouvrage ne peut engager l’AMF et reste le fruit de ses auteurs.
VI
Avant-propos
D
epuis le début des années 2000, plusieurs réglementations et
législations en provenance des États-Unis (Sarbanes Oxley Act), de
l’Union Européenne (4e et 7e directives) ou de France (loi LSF du 1er août
2003 et la loi du 3 juillet 2008) ont renforcé les exigences en matière de contrôle
interne et de gestion des risques. De manière indirecte, le rôle de l’audit interne
qui est chargé d’évaluer les processus de management des risques, de contrôle
interne et de gouvernement d’entreprise s’en est trouvé accru.
Cet ouvrage traite de l’activité de l’audit interne en s’appuyant sur le cadre
de référence international des pratiques professionnelles (CRIPP) garant de
la qualité des missions d’audit réalisées.
Écrit dans un style imagé et illustré de nombreux schémas et tableaux,
l’ouvrage présente une déclinaison de la méthodologie « Conduite d’une
mission d’audit interne » préconisée par l’IFACI. Il se veut concret, didactique,
utilisant un langage simple qui ne nécessite aucun décodage, et une partie
TIC interactive utilisant des compléments en ligne.
Il présente les étapes méthodologiques à respecter pour améliorer l’efficacité
d’une mission d’audit. Pour chaque étape, des fiches pratiques, des « focus »
et des retours d’expérience, des documents standard illustrent et complètent
les propos. L’ouvrage souligne l’intérêt de développer des outils innovants de
modélisation, d’optimisation et de partage des connaissances permettant de
réconcilier la méthode (la théorie), l’expérience (les référentiels de risques)
© Dunod - Toute reproduction non autorisée est un délit.
et la doctrine (les référentiels de contrôle interne) en démontrant l’intégrité

de l’ensemble tel qu’exposé dans l’ouvrage.
Les dimensions contrôle interne et management des risques sont traitées
en adéquation avec le modèle COSO 2013 (Committee of Sponsoring
Organizations) et le cadre de référence de l’AMF 2010 portant sur les
dispositifs de gestion des risques et de contrôle interne.
L’ouvrage fait preuve incontestablement d’originalité dans l’écriture et la
présentation des concepts.
Il s’agit donc d’un livre utile et opérationnel qu’il convient de saluer.
Louis VAURS1
Président d’honneur de l’IFACI
1 Le contenu de cet ouvrage ne peut engager l’IFACI et reste le fruit de ses auteurs.
VII
Table des matières
Introduction 1
Partie 1 L’environnement de l’audit 5
Chapitre 1 ■ Le périmètre d’intervention de l’audit 7

Le gouvernement d’entreprise 8
Le management des risques 10
Le contrôle interne 18
Chapitre 2 ■ Le positionnement de l’activité d’audit 29

La définition de l’audit interne et son évolution 30
Une profession qui s’appuie sur des normes 34
Les fonctions voisines de l’audit 37
Chapitre 3 ■ L’organisation de l’activité d’audit 49

Le rattachement de l’audit interne 50
La charte de l’audit interne 52
L’organisation des moyens 54
La gestion des auditeurs 56
La communication de l’audit interne 61
Les mesures de satisfaction
et de performance de l’audit 63
Chapitre 4 ■ L’identification des besoins d’audit 69

L’élaboration d’une cartographie des risques 70
L’établissement du plan et du planning d’audit 74
Partie 2 La méthodologie de l’audit 79
Chapitre 5 ■ Les processus de conduite d’une mission 81

Initialisation de la mission 86
Préparation de la mission 88
IX
Table des matières
Lancement de la mission sur site 90

Conduite des vérifications 92
Rédaction des conclusions 94
Suivi de la mission 96
Chapitre 6 ■ Les modalités d’application (MA) 99

Le droit d’accès : la lettre ou l’ordre de mission 100
L’examen de l’activité et son découpage en « objets auditables » 102
Référentiel d’audit : l’élaboration d’un tableau des risques 109
La réunion d’ouverture ou d’installation de l’équipe 117
L’analyse des forces et faiblesses 119
La note ou rapport d’orientation 121
Le programme de vérification 124
La conduite des vérifications et la formalisation des travaux
de contrôle 125
La fiche d’audit et de recommandations : FAR 130
L’ossature du rapport 138
Le compte rendu oral sur site 140
Le rapport d’audit et sa validation 143
Le suivi des recommandations 148
L’état des actions de progrès 151
Chapitre 7 ■ Les documents associés (DA) 157

Ordre de mission 158
Tableau des risques 159
Rapport d’orientation 161
Programme de vérification 163
Budget – planning 165
Feuille de couverture de test 166
Feuille de couverture d’entretien 166
Fiche d’audit et de recommandations 167
Projet de rapport d’audit 168
Rapport d’audit 169
Fiche de suivi des recommandations 175
État des actions de progrès 176
Fiche de conseils de perfectionnement post-audit 178
Questionnaire de satisfaction post-audit 181
X
Partie 3 Les outils de l’audit 185
Chapitre 8 ■ Les techniques d’audit (TA) 187

L’analyse économique et financière 188
Les volumes et types de transactions 190
Les diagrammes de circulation (flow charts) 191
La grille de séparation des tâches 195
Les interviews 200
Les questionnaires administrés 203
La piste d’audit 206
Les observations physiques 209
Les rapprochements et reconstitutions 211
L’interrogation des fichiers informatiques 213
Les sondages statistiques 214
Chapitre 9 ■ Vers de véritables hubs collaboratifs 219

Une approche contemporaine de l’audit et des risques qui requiert
l’usage d’applicatifs de plus en plus sophistiqués. 220
Vers une révolution des systèmes d’information 223
L’émergence inéluctable d’un hub digital collaboratif orienté 224
Le parallèle avec les outils traditionnels de l’auditeur 239
Synthèse : une tendance lourde prônant l’approche collaborative 240
Chapitre 10 ■ Les référentiels de risques 243

La structuration et le mode d’utilisation des référentiels 244
L’approche par processus-domaines 258
Conclusion générale 351

Quiz 353
XI
Introduction
P
our assurer sa pérennité et son développement, toute organisation,
qu’elle soit publique ou privée, grande ou petite, doit se fixer des
objectifs. Une fois cet horizon stratégique établi, il s’agit de définir
les moyens nécessaires pour y parvenir et de veiller à leur bonne mise
en œuvre. Enfin, il faut s’assurer que l’organisation a atteint ses objectifs
initiaux, afin de « boucler la boucle ». Ce triptyque « Objectifs – Moyens
nécessaires – Pilotage/Contrôle » résume très brièvement la démarche
stratégique traditionnelle pratiquée, de façon plus ou moins formelle, dans
toutes les organisations. Ces préoccupations sont généralement dévolues à
la direction générale et aux instances composant la gouvernance (conseil
d’administration ou de surveillance, comité de direction, comité d’audit…).
Dans nos environnements économiques actuels instables, l’atteinte de ces

objectifs n’est évidemment pas certaine. L’organisation est quotidiennement
confrontée à une multitude de risques, d’importance et de nature très
différentes, qui peuvent perturber, voire rendre impossible, la réalisation de
ses objectifs. Même si l’aversion au risque est dans la nature humaine, en
matière de management la prise de risque est vitale pour l’organisation.
Un mode de gouvernance qui consisterait à ne s’engager dans telle ou telle
orientation stratégique que lorsque toutes les incertitudes sont totalement
levées conduirait, du fait d’un manque de réactivité, bien évidemment à la
remise en cause à terme de la pérennité de l’organisation concernée.

Donc cette prise de risque est inévitable et nécessaire, cependant elle
doit être maîtrisée. Le concept de « contrôle interne », au sens littéral
du terme et pris ici dans son acception la plus large (processus de gestion
des risques, de contrôle et de gouvernance d’entreprise), correspond à la
mise en œuvre de dispositions qui assurent une maîtrise raisonnable des
risques d’une organisation afin de lui permettre d’atteindre ses objectifs. Le
contrôle interne est donc un élément fondamental de l’environnement de
contrôle de toute structure, quels que soient sa taille, son secteur d’activité,
son environnement. Concernant la pérennité et le développement des
organisations, l’absence de préoccupation en matière de contrôle interne
serait tout aussi préjudiciable qu’une frilosité excessive dans la prise de
risques découlant d’une stratégie timorée.
1
Introduction
Enfin le contrôle interne, comme tout système organisationnel, est

naturellement sujet à défaillance. Les évolutions externes ou internes
impactent systématiquement le système de contrôle interne qui doit s’adapter
en permanence. Afin de s’assurer que ces dispositifs de contrôle remplissent
parfaitement leurs rôles, les directions générales des organisations se dotent
d’un « outil » d’évaluation et de surveillance du contrôle interne, il s’agit
bien évidemment de l’activité d’audit interne. Dans ce rôle d’appréciation
de l’existence, de la bonne application et de l’efficience des dispositifs de
contrôle interne, l’audit pourrait donc être qualifié comme étant « le contrôle
du contrôle (interne) ».
Cet enchaînement d’étapes :

OBJECTIFS – RISQUES – CONTRÔLE INTERNE – AUDIT
constitue le fondement du processus de contrôle des organisations.
L’ouvrage s’articule autour de cette logique. Bien qu’il soit centré sur le
métier de l’audit interne, il présente dans un premier temps les concepts
de gouvernement d’entreprise, de management des risques et de contrôle
interne car ils constituent des préalables incontournables pour comprendre
la raison d’être de l’activité d’audit interne. D’ailleurs, la définition de l’audit
interne, qui est présentée par la suite, ne précise-t-elle pas que ces trois
dimensions constituent les principaux champs d’intervention de l’activité
d’audit interne ? Il paraissait donc naturel et logique pour chacun d’eux :
• d’en donner une définition officielle ou institutionnelle ;
• de présenter les cadres de références et modèles les plus reconnus qui les
conceptualisent ;
• de citer les différents acteurs internes et externes qui agissent sur ces trois
registres.
L’ouvrage met ensuite plus particulièrement l’accent sur l’activité d’audit
interne à travers notamment :
• sa méthodologie : encore plus que tous les autres métiers du management
des organisations, l’auditeur interne a besoin et doit suivre une méthodologie
d’investigation précise et détaillée. La définition de l’audit interne parle
« d’approche systématique et méthodique ». Du respect scrupuleux de cette
méthodologie dépend la qualité des missions d’audit réalisées et donc sa
légitimité ;
• ses outils : une méthode pour savoir comment faire c’est bien, mais sans
outils pour aider à sa mise en œuvre c’est insuffisant. Qu’il s’agisse des
outils « traditionnels » (analyses, enquêtes, interviews, sondages statistiques,
piste d’audit, flow charts…) ou de ceux issus des TIC (le concept de « Risk
2
– Organization – Knowledge »), ils constituent tous des compléments

indispensables à la méthode et l’auditeur interne, en tant que professionnel,
se doit de les connaître et de les utiliser à bon escient afin d’améliorer la
qualité de ses prestations ;
• ses référentiels de risques associés : parmi toutes les aides à la disposition
de l’auditeur interne les référentiels de risques en constituent un élément
essentiel. Véritable cadre de référence dans le déroulement d’une mission
d’audit, les référentiels de risques (qu’ils soient établis en phase de préparation
d’une nouvelle thématique à auditer ou répertoriés dans une bibliothèque
de référentiels existants) représentent une garantie quant à l’exhaustivité des
différents thèmes à auditer, au degré de détail approprié des investigations à
mener ou encore à l’achèvement de la mission dans les délais prévus.
Cette nouvelle édition s’inscrit bien évidemment dans la continuité de la
version précédente. Cependant, nous avons souhaité compléter notre
réflexion en y intégrant deux natures de préoccupations :
D’une part, les « métiers du contrôle », dans nos économies actuelles, sont
en constante évolution. Nous nous devions donc de relater ces évolutions
(lois, règlements, normes…). À ce titre, le présent ouvrage intègre les
avancées normatives actuelles, notamment celles concernant l’actualisation
du modèle de contrôle interne, mondialement connu, le COSO 1 « actualisé
2013 ».
D’autre part, la méthodologie d’audit présentée dans l’ouvrage est le résultat
de nos connaissances et expériences respectives dans ce domaine. Il nous
semblait utile de comparer la méthodologie proposée à celles pratiquées
aujourd’hui par divers services d’audit interne. Cette nouvelle version relate
donc une synthèse de cette démarche de benchmark, réalisée dans un cadre
universitaire auprès d’une trentaine de grandes entreprises nationales et
internationales.
Les auteurs
3
. Introduction
Partie I
L’environ-
nement
de l’audit
5
Chapitre 1
Le périmètre
d’intervention
de l’audit
Executive summary
Les processus de management des risques, de contrôle

et de gouvernement d’entreprise sont les trois principaux
périmètres d’intervention de l’auditeur. Vous trouverez
dans ce chapitre une présentation de ces trois dimensions
avec un accent particulier mis sur le contrôle interne

et ses dernières évolutions.
De nombreuses réflexions, d’une grande richesse, menées
autour de ces concepts par des experts du monde entier
(associations professionnelles, instances régulatrices…),
vous seront ensuite présentées. Ces divers travaux, notamment
les référentiels de contrôle interne, constituent des aides
précieuses lors de la mise en œuvre de ces concepts
dans les organisations.
7
1. Le périmètre d’intervention de l’audit
Le gouvernement d’entreprise
Le Cadre de référence international des pratiques professionnelles de
l’IIA (Institute of Internal Auditors – www.theiia.org), traduit en français
par l’IFACI (Institut Français de l’Audit et du Contrôle Internes – www.
ifaci.com) – voir sa présentation au chapitre 2, paragraphe « Une profes-
sion normée » – donne une définition du gouvernement d’entreprise ou
gouvernance :
« Dispositif comprenant les processus et les structures mis en place par
le Conseil afin d’informer, de diriger, de gérer et de piloter les activités
de l’organisation en vue de réaliser ses objectifs ».
L’OCDE (Organisation de Coopération et de Développement écono-

miques) quant à elle précise :
« Le gouvernement d’entreprise fait référence aux relations entre la di-
rection d’une entreprise, son conseil d’administration, ses actionnaires
et autres parties prenantes. Il détermine également la structure par
laquelle sont définis les objectifs d’une entreprise, ainsi que les moyens
de les atteindre et d’assurer une surveillance des résultats obtenus. »
The European Corporate Governance Institute (www.ecgi.org) réca-

pitule les codes en matière de gouvernement d’entreprise de différents
pays du monde. La prise de connaissance de ces textes atteste d’une
large diversité dans la conception du gouvernement d’entreprise.
Cependant plusieurs principes de base apparaissent souvent et peuvent
constituer un socle commun de connaissance des bonnes pratiques de
gouvernance. L’IIA en a établi, dans son livre blanc, une liste dont nous
présentons ici les principaux éléments :
• s’appuyer sur une organisation qui garantit un bon fonctionnement du
conseil (nombre de membres adéquats, existence d’autres comités éma-
nant du conseil, procédures concernant l’organisation des réunions…) ;
• prévoir que les membres du conseil possèdent les qualifications et
l’expérience appropriées ainsi qu’une bonne connaissance du fonc-
tionnement de l’organisation ;
• mettre à disposition du conseil, les ressources nécessaires pour des
demandes de renseignements complémentaires afin d’en garantir l’in-
dépendance ;
• contribuer à la définition de la stratégie de l’organisation, notamment
en dotant les acteurs de la gouvernance des informations nécessaires
pour se faire ;
8
• contribuer à la définition de la structure organisationnelle qui parti-

cipe à la réalisation de la stratégie de l’organisation ;
• instaurer une politique de gouvernement d’entreprise concernant la
surveillance des résultats obtenus ;
• prévoir les interactions nécessaires entre le conseil, la direction et les
auditeurs internes et externes (via un comité d’audit) ;
• contribuer à la mise en œuvre d’un système de contrôle interne effi-
cace supervisé par la direction ;
• définir les politiques et pratiques de rémunération, notamment celles
concernant la direction générale, en accord avec les valeurs éthiques, les
objectifs, la stratégie et l’environnement de contrôle de l’organisation ;
• communiquer, dans l’ensemble de l’organisation, une culture de la
déontologie, les valeurs de l’organisation et la nécessité de l’exempla-
rité de la direction ;
• faire appel de manière efficace aux auditeurs internes qui doivent dis-
poser par ailleurs d’une indépendance pour garantir leur objectivité et
de ressources suffisantes pour mener à bien leur mission ;
• faire appel de manière efficace aux auditeurs externes en s’assurant
de l’adéquation de leur indépendance, de leurs ressources et de leur
champ d’activité.
• définir et mettre en œuvre des politiques, processus et responsabilités
en matière de management des risques au niveau du Conseil et dans
l’ensemble de l’organisation ;
• communiquer de manière appropriée les informations pertinentes
aux parties prenantes ;
• comparer les processus de gouvernement d’entreprise de l’organisa-
tion avec les bonnes pratiques reconnues et les réglementations en
vigueur.
Tous ces principes concourent à une bonne gouvernance. Comme
nous le verrons ultérieurement lors de la présentation de l’audit interne
(chap. 2, paragraphe « La définition de l’audit interne »), la gouvernance
constitue un des trois domaines d’intervention de l’auditeur interne,
probablement moins fréquemment couvert que ne le sont les deux
autres : le management des risques et le système de contrôle interne.
Cependant dans le cas d’une mission d’audit interne qui concernerait
spécifiquement cette dimension, la liste des principes énumérés précé-
demment pourrait constituer un premier guide d’investigation, l’audi-
teur interne s’assurant de l’existence, de la diffusion et de l’efficience de
tous ces principes et bonnes pratiques.
9
Au sein du gouvernement d’entreprise, le comité d’audit tient une

place prépondérante. La transposition en droit français (article 14 de
l’ordonnance du 8 décembre 2008 et articles L 823-19 et L 823-20 du
code de commerce) de la 8e directive européenne du 17 mars 2006 (obli-
gation pour toute société faisant appel public à l’épargne de disposer
d’un comité d’audit) a permis une clarification au niveau du position-
nement, du rôle et de la composition des comités d’audit en France,
ainsi que de la compétence de ses membres. Plus récemment, un groupe
de travail, sous l’égide de l’AMF, a publié à l’été 2010, un « Rapport sur
le comité d’audit » qui précise les modalités de fonctionnement de ce
comité (périmètre d’intervention, composition, démarche de mise en
œuvre…). Il est disponible sur le site www.amf-france.org.
Résultats d’une enquête réalisée par le cabinet KPMG

sur les comités d’audit.
À la question : « Quelles sont les trois zones d’attention qui sont prioritaires sur
les ordres du jour des réunions de vos comités d’audit ? »
• « La gestion du risque en général » recueille une large majorité avec 70 % des
réponses (près des trois quart aux États-Unis) ;
• « Les enjeux des états financiers (juste valeur, dépréciation des actifs, informa-
tions en annexe) » arrive en deuxième préoccupation avec 40 % ;
• Enfin « les conséquences des évolutions réglementaires (domaines de la santé,
de l’environnement, de l’énergie, de la réglementation financière) sur l’infor-
mation financière de la société, la conformité, les risques et les procédures de
contrôle » ne représentent que 30 % des réponses.
Enquête KPMG (www.kpmg.com)1
Le management des risques

Le concept de risque
Il n’y a de risque que par rapport à l’atteinte d’un objectif ou plus pré-
cisément que par rapport à la conséquence dommageable de ce risque
quant à l’atteinte d’un objectif.
1 Sources : Enquête réalisée en septembre 2010, concernant les pratiques des comités d’audit en
France et dans le monde. Pour la 5e édition de l’enquête, 1 212 personnes membres de comités d’audit
ont été interrogées dans 38 pays différents.
10
L’IIA et l’IFACI, dans le glossaire des normes définissent le risque

comme : « la possibilité que se produise un événement susceptible
d’avoir un impact sur la réalisation des objectifs ».
Prenons un exemple dans notre quotidien : la notion de risque est
associée d’une part à celle d’incertitude et d’événement incertain : « il
risque de pleuvoir » et d’autre part à ce que l’on encourt si l’événe-
ment se réalise : « je risque de me faire tremper ». Dans notre exemple
l’objectif est implicite : « rester sec et net », mais il aurait mieux valu
l’expliciter.
« Événement incertain qui a une conséquence dommageable quant
à l’atteinte d’un objectif », est-on exhaustif dans l’appréciation des dif-
férents paramètres liés au concept de risque ? Non : « On ne se fait pas
tremper parce qu’il a plu mais parce qu’à la fois il a plu et on n’avait pas
de parapluie. » L’absence de parapluie devient l’une des causes, et à y
réfléchir c’est la cause maîtrisable, donc la cause intéressante.
« Je me suis fait tremper parce que je n’avais pas de parapluie. »
La cause est l’absence de parapluie, la pluie n’est que la circonstance.
Nous donnerons donc la définition suivante du concept de risque :
« Le risque est un concept signifiant la possibilité que la combinaison
d’un événement incertain et d’un mode de fonctionnement aléatoire ait
pour conséquence la non atteinte d’un objectif. »
Évident ?
Non, puisque l’on trouve dans la presse des déclarations du genre :
telle entreprise est tombée en faillite parce que ses clients ne la payaient
pas, ou telle autre a perdu des parts de marché sur sa nouvelle activité
pourtant extrêmement innovante au profit d’un concurrent très agres-

sif. Est-ce la faute des clients si la première entreprise est tombée en
faillite, ou d’une part à son système de suivi des factures et de relance
des impayés et d’autre part à son système de gestion des clients qui
la laissait continuer à vendre à des mauvais payeurs ? Et la seconde
n’aurait-elle pas dû protéger son innovation par des brevets avant de
lancer cette activité qui a nécessité des budgets importants en matière
de Recherche & Développement ? La pluie, le client mauvais payeur, le
concurrent agressif « copieur de nouvelles idées », le comptable qui ins-
crit un montant erroné ou l’impute à un compte erroné ne sont pas des
facteurs de risque : ce sont des événements (et même des événements
banals) que l’entreprise doit pouvoir détecter, voire anticiper, pour y
faire face.
11
combiné à…
Un événement une cause :

incertain : l’absence de
la pluie… parapluie…
entraîne une conséquence :

« se faire tremper ».
Figure 1.1 – Le concept de risque
Événements incertains Facteurs de risques /

/ Circonstances / Modes de
Incidents avérés ou fonctionnement
potentiels aléatoires
Impact dommageable
Objectif compromis
Figure 1.2 – Du concept de risque à sa définition
Les facteurs de risque qui, combinés à la survenance de ces événe-

ments, vont ou ne vont pas entraîner de conséquences dommageables,
sont tous à rechercher dans l’organisation et le fonctionnement de l’en-
tité auditée, c’est le rôle de l’auditeur.
Prenons un exemple : nous redoutons que la salle informatique
prenne feu puis l’ensemble du bâtiment.
Pour pallier les risques, nous allons prendre des mesures qui consti-
tuent des éléments du dispositif de contrôle interne à mettre en place :
• prévention pour éviter l’incendie : panneaux d’interdiction de manipu-
ler des matières inflammables à proximité de la salle, sensibilisation/
formation du personnel concerné au risque incendie ;
12
• détection pour s’apercevoir que l’incident redouté est survenu malgré

les mesures de prévention : détecteurs de fumées et de chaleur ;
• protection pour limiter les dégâts occasionnés par l’incendie : sprin-
klers et diffuseurs de gaz inertes, portes coupe-feu… À noter que s’as-
surer est une mesure de protection : cela limite le coût des dégâts à la
franchise.
Cette typologie, qui provient des assureurs, donne de l’imagination
à l’auditeur, tant dans sa recherche des facteurs de risques que dans
celle des solutions à proposer : un seul type de mesure est rarement
efficace, il faut souvent les combiner. Il faut même parfois lutter contre
le réflexe naturel : la salle informatique est trop près des cuves à mazout
et en dessous du niveau de ruissellement des eaux, l’accident n’est pas
encore survenu mais la situation est trop exposée, il faut déménager la
salle (prévention) ? Il est bien plus économique d’accepter les risques
d’incendie et d’inondation et d’organiser un système de back-up réguliè-
rement testé (protection) !
La figure 1.3 résume donc les différents éléments conceptualisant la
notion de risque.
Combinant avec ce qui précède, nous aurons l’équation fondamen-
tale :
Événement Cause
(ou circonstance) + (ou facteur de risque) = Conséquence
et trois types de mesures pour pallier les facteurs de risques : préven-

tion, détection, protection.
Détection Prévention
Manifestation Facteurs de risques

Fait Cause
Circonstance / événement organisationnelle
Impact
Conséquence
Protection
Figure 1.3 – Le risque et ses composantes
13
Le management des risques

Résultats d’une enquête réalisée par le cabinet
PricewaterhouseCoopers sur l’état de la profession d’audit
interne.
80 % des interviewés considèrent que les menaces se multiplient, mais seule-

ment 12 % pensent très bien les gérer.
Les risques considérés comme croissants les plus souvent cités concernent :
– l’incertitude économique ;
– les réglementations et politiques gouvernementales ;
– la sécurité et la confidentialité informatique ;
– la protection des données ;
– les dépenses publiques et la fiscalité ;
– la concurrence ;
– le changement de comportement des consommateurs ;
– les marchés financiers ;
– les grands projets (type ERP)
– les ressources clés et le droit du travail
Enquête PwC1
En matière de management des risques, le modèle COSO « ERM »

(Committee Of Sponsoring Organizations of the Treadway Commis-
sion, « Enterprise Risk Management »), dit COSO-II (2005) constitue
une référence internationale pour sa mise en œuvre.
Ce cadre de référence donne du management des risques d’une orga-
nisation, la définition suivante :
« Un processus, mis en œuvre par le conseil d’administration, la
direction générale, le management et l’ensemble des collaborateurs, pris
en compte dans l’élaboration de la stratégie de l’organisation ainsi que
dans toutes les activités et conçu pour identifier les événements poten-
tiels pouvant affecter l’organisation et gérer les risques dans les limites
de son appétence pour le risque afin de donner une assurance raison-
nable quant à la réalisation des objectifs de l’organisation. »
Ce modèle est traditionnellement représenté par un cube (fig. 1.4).
1 Sources : 9e rapport annuel sur l’état de la profession d’audit interne. Enquête réalisée en 2013 par
le cabinet PricewaterhouseCoopers auprès de 1 100 directeurs d’audit interne et 630 parties prenantes
(directeurs généraux, présidents de comité d’audit, membres de conseil d’administration, directeurs
financiers et directeurs des risques) représentant 18 secteurs d’activité et 60 pays différents.
14
■ Face supérieure du cube : les objectifs de l’organisation

• objectifs stratégiques : objectifs de niveau le plus élevé, liés à la stratégie
de l’organisation ;
• objectifs opérationnels : objectifs généraux concernant l’utilisation effi-
cace et efficiente des ressources ;
• objectifs de reporting : objectifs axés sur la fiabilité des informations
financières (externes et internes) ;
• objectifs de conformité : objectifs visant à la conformité aux lois et règle-
ments en vigueur.
s
e ns ion ité
égi tio at res rm
at a m è fo
tr ér fo
r ci on
S Op In finan C
Environnement de contrôle
UNITÉ DE GESTION
Définition des objectifs
Identification des événements FILIALE

DIVISION
ENTREPRISE
Évaluation des risques
Traitement des risques
Activités de contrôle
Information et Communication
Pilotage
Figure 1.4 – Le cube du COSO-II

■Face avant du cube : les composantes du management

des risques
• un environnement interne de contrôle qui constitue le fondement struc-
turel du système de management des risques et qui intègre des aspects
très divers tels que la culture du risque et l’appétence pour le risque,
l’intégrité et les valeurs éthiques, l’engagement de compétence, la
structure organisationnelle, les délégations de pouvoirs et de respon-
sabilités, la politique de ressources humaines, la fixation des objectifs ;
• une identification des événements susceptibles d’affecter l’atteinte des
objectifs de l’organisation. Il s’agit aussi bien d’événements pouvant
avoir un impact négatif que d’événements pouvant avoir un impact
15
positif, c’est-à-dire des opportunités à saisir que le management doit

intégrer dans sa stratégie. Ces événements peuvent être de différentes
natures : économiques, environnementaux, politiques, sociaux, tech-
nologiques… ;
• une évaluation des risques, c’est-à-dire une appréciation quantitative de
la probabilité d’occurrence et de l’impact de ces événements ;
• un traitement des risques, c’est-à-dire la décision qui doit être prise suite
à l’évaluation des risques. Parmi les alternatives possibles, on choi-
sira entre l’évitement (supprimer le risque en cessant l’activité à l’ori-
gine du risque), la réduction (mettre en œuvre des dispositions pour
réduire la probabilité et/ou l’impact du risque), le partage (recours à
l’assurance, à des opérations de couvertures ou l’externalisation de
l’activité concernée) ou enfin l’acceptation (compte tenu du coût
des dispositions à mettre en œuvre, l’organisation préfère accepter le
risque en l’état) ;
• des activités de contrôle : il s’agit des politiques et procédures mises
en place qui permettent de s’assurer que les risques sont bien maîtri-
sés. Ces dispositions regroupent des modalités telles que : Les revues
du management, la supervision directe d’une activité ou d’une fonc-
tion, la séparation des tâches, les contrôles intégrés dans le traitement
de l’information, les contrôles physiques, les indicateurs de perfor-
mance ;
• l’information et la communication : Les informations pertinentes sont
identifiées, saisies et communiquées dans un format et dans des délais
permettant à chacun de s’acquitter de ses responsabilités ;
• le pilotage : Il s’agit aussi bien des activités quotidiennes de contrôle
par le management que des démarches d’auto-évaluation ou encore
de l’intervention des auditeurs internes ou externes.
Enfin, la face latérale du cube (Filiale, Unité de gestion, Division,
Entreprise) symbolise le caractère multidimensionnel du management des
risques et la nécessité de l’adapter à l’entité concernée. De nombreux
paramètres peuvent impacter le management des risques tels que la
taille de l’organisation, sa culture du contrôle, son secteur d’activité, les
réglementations en vigueur.
On notera enfin que le modèle COSO « ERM » ne constitue pas la
seule référence en matière de management des risques. Des alternatives
existent : l’Association européenne des risk managers FERMA (Federation
of European Risk Management Associations) propose son modèle. De
la même manière l’ISO (International Standard Organization) propose
16
un modèle dans le cadre des normes ISO 31000 : 2009 sur le manage-
ment des risques. En 2010, un groupe de travail, sous l’égide de l’AMF,
a proposé un cadre de référence concernant « les dispositifs de gestion
des risques et de contrôle interne ». Ce document, disponible sur le site
de l’AMF, actualise le cadre de référence de contrôle interne publié en
janvier 2007 (que nous présenterons au chapitre suivant) et développe
une approche de la gestion des risques dans une vision commune des
deux dimensions.
Mais qu’en est-il de la prise en charge de cette dimension manage-
ment des risques dans les organisations ?
De nombreux acteurs, principalement internes, interviennent dans
ce processus. Parmi les principaux on citera :
• le conseil d’administration et ses émanations (comité des risques, comité
d’audit…) qui exercent une surveillance (examen du portefeuille
de risques au regard de l’appétence de l’organisation pour ceux-ci,
contrôle de la qualité du processus de management des risques pour
les risques connus) ;
• le management : au niveau de la direction générale en tant qu’ultime
responsable de l’efficacité du management des risques. Au niveau des
différentes directions en tant que responsables de la mise en œuvre
des dispositifs concernés sur le terrain ;
• la direction des risques (fonction risk management) qui assure une coor-
dination centralisée du management des risques ;
• la direction financière, plus particulièrement sur les volets « Repor-
ting des informations financières » et « Conformité aux lois et règle-
ments » ;
• les auditeurs internes dont le rôle est d’apprécier l’efficacité du proces-

sus de management des risques ;
• les auditeurs externes dans le cadre de leur mission légale notamment
au niveau de la fiabilité des informations financières.
Concernant la répartition des rôles en matière de prise en charge du
management des risques, nous nous devons également de souligner les
travaux menés conjointement par FERMA et l’ECIIA (European Confede-
ration of Institutes of Internal Auditing). Cette réflexion a donné lieu à la
publication, en septembre 2010, de recommandations : Monitoring the
effectiveness of internal control, internal audit and risk management systems.
L’idée maîtresse de cette étude repose sur le concept des « trois lignes de
défense » en matière de maîtrise des risques : les managers et opération-
nels responsables des processus, les fonctions support et l’audit interne.
17
Le contrôle interne
Il est usuel de dire que le contrôle interne est un procédé, mis en œuvre par
les dirigeants et le personnel d’une organisation, à quelque niveau que ce
soit, destiné à leur donner en permanence une assurance raisonnable que :
• Les opérations sont réalisées, sécurisées, optimisées et permettent
ainsi à l’organisation d’atteindre ses objectifs de base, de performance,
de rentabilité et de protection du patrimoine ;
• Les informations financières et opérationnelles sont fiables, et les lois,
les réglementations et les directives de l’organisation sont respectées.
Le contrôle interne est un état à atteindre et à maintenir, c’est un
moyen et non un but. La mise en place du contrôle interne fait partie
intégrante des attributions de tout responsable. Dans cette mission l’or-
ganisation peut se doter par ailleurs d’un service ad hoc chargé de définir
et de coordonner la mise en œuvre des dispositifs composant le système
et d’en assurer la maintenance. Dans ces conditions on veillera à ce que
l’existence d’un tel service ne conduise pas à la désappropriation ou au
désintérêt du concept de contrôle par les responsables fonctionnels ou
opérationnels.
En toutes circonstances, tout responsable doit se poser la question
suivante :
« Dans quelle mesure mon organisation, mes méthodes de travail,
mes dispositifs de mesure et de contrôle, mon implication personnelle…
me donnent-ils une assurance raisonnable quant à :
• la pertinence de mes objectifs : cohérence avec les finalités de l’orga-
nisation ?
• l’adéquation « moyens/objectifs » : efficience de l’organisation, adap-
tation des structures, coordinations des tâches ?
• la bonne mise en œuvre des moyens : efficacité du pilotage, existence
d’objectifs, animation et suivi ?
• la qualité et la fiabilité des informations pour prise de bonnes déci-
sions ?
• le respect des principes, politiques, lois, règlements… d’origine
interne et externe ?
• la protection et la sauvegarde du patrimoine humain, financier, maté-
riel, immatériel (image, savoir faire, informations…) ? »
Pour la mise en œuvre d’un bon contrôle interne nous disposons
d’un certain nombre de modèles conceptuels ou référentiels. Parmi les
plus connus et usités nous citerons :
18

Audit Interne Et Référentiels Derisques: Vers La Maîtrise Des Risques Et La Performance de L'audit

Transféré par

Droits d'auteur :

Formats disponibles

Audit Interne Et Référentiels Derisques: Vers La Maîtrise Des Risques Et La Performance de L'audit

Transféré par

Informations du document

Titre original

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

Audit Interne Et Référentiels Derisques: Vers La Maîtrise Des Risques Et La Performance de L'audit

Transféré par

Droits d'auteur :

Formats disponibles

Retrouver ce titre sur Numilog.

Du même auteur, Pierre Schick

Maquette intérieure : Catherine Combier et Alain Paccoud

© Dunod, Paris, 2014

L’ouvrage présente des repères méthodologiques et des fiches pratiques

Pour cela, visitez le site : http://www.audit-interne-référentiels-risques.com/

En effet, il faut dépasser cette appréhension du contrôle interne pour le

qui ont la charge de veiller à la bonne application du dispositif de contrôle

et la doctrine (les référentiels de contrôle interne) en démontrant l’intégrité

Table des matières

Partie 1 L’environnement de l’audit 5

Chapitre 1 ■ Le périmètre d’intervention de l’audit 7

Chapitre 2 ■ Le positionnement de l’activité d’audit 29

Chapitre 3 ■ L’organisation de l’activité d’audit 49

Chapitre 4 ■ L’identification des besoins d’audit 69

Partie 2 La méthodologie de l’audit 79

Chapitre 5 ■ Les processus de conduite d’une mission 81

Table des matières

Lancement de la mission sur site 90

Chapitre 6 ■ Les modalités d’application (MA) 99

Chapitre 7 ■ Les documents associés (DA) 157

Partie 3 Les outils de l’audit 185

Chapitre 8 ■ Les techniques d’audit (TA) 187

Chapitre 9 ■ Vers de véritables hubs collaboratifs 219

Chapitre 10 ■ Les référentiels de risques 243

L’approche par processus-domaines 258

Conclusion générale 351

Dans nos environnements économiques actuels instables, l’atteinte de ces

remise en cause à terme de la pérennité de l’organisation concernée.

Enfin le contrôle interne, comme tout système organisationnel, est

Cet enchaînement d’étapes :

– Organization – Knowledge »), ils constituent tous des compléments

Les processus de management des risques, de contrôle

avec un accent particulier mis sur le contrôle interne

1. Le périmètre d’intervention de l’audit

L’OCDE (Organisation de Coopération et de Développement écono-

The European Corporate Governance Institute (www.ecgi.org) réca-

• contribuer à la définition de la structure organisationnelle qui parti-

1. Le périmètre d’intervention de l’audit

Au sein du gouvernement d’entreprise, le comité d’audit tient une

Résultats d’une enquête réalisée par le cabinet KPMG

Le management des risques

L’IIA et l’IFACI, dans le glossaire des normes définissent le risque

pourtant extrêmement innovante au profit d’un concurrent très agres-

1. Le périmètre d’intervention de l’audit

Un événement une cause :

entraîne une conséquence :

Figure 1.1 – Le concept de risque

Événements incertains Facteurs de risques /

Figure 1.2 – Du concept de risque à sa définition

Les facteurs de risque qui, combinés à la survenance de ces événe-

• détection pour s’apercevoir que l’incident redouté est survenu malgré

et trois types de mesures pour pallier les facteurs de risques : préven-

Manifestation Facteurs de risques

Figure 1.3 – Le risque et ses composantes

1. Le périmètre d’intervention de l’audit

Le management des risques

80 % des interviewés considèrent que les menaces se multiplient, mais seule-

En matière de management des risques, le modèle COSO « ERM »