Évaluation de l'efficacité des contrôles internes (COSO)

Introduction

Dans notre dernière leçon, nous avons appris à classifier les contrôles internes en trois catégories fonctionnelles : préventifs, détectifs et correctifs. Nous avons vu qu'un dispositif de contrôle robuste combine intelligemment ces trois types d'actions pour maîtriser les risques.

Cependant, savoir qu'un contrôle existe ne suffit pas. En tant que contrôleur ou auditeur interne, votre rôle est de juger de sa qualité. La question fondamentale est : ce contrôle est-il efficace ?

L'efficacité d'un contrôle se juge sur deux plans :

1. L'efficacité de sa conception (Design Effectiveness) : Le contrôle est-il, sur le papier, apte à atteindre son objectif ?
2. L'efficacité de son fonctionnement (Operating Effectiveness) : Le contrôle est-il appliqué en pratique, de manière constante et correcte ?

Aujourd'hui, nous nous concentrons sur le premier point. Notre objectif est d'évaluer l'efficacité de la conception d'un contrôle interne en utilisant les critères du COSO.

Imaginez une procédure de contrôle comme une recette de cuisine. L'efficacité de la conception, c'est s'assurer que la recette est bonne : les bons ingrédients, les bonnes quantités, les bonnes étapes. Si la recette est mauvaise, même le meilleur cuisinier ne pourra pas réussir le plat. De même, un contrôle mal conçu ne pourra jamais maîtriser un risque, même si les employés l'appliquent à la lettre. C'est pourquoi cette évaluation est la première étape cruciale de tout audit.

1. Qu'est-ce que l'Efficacité de la Conception (Design Effectiveness) ?

Un contrôle est considéré comme efficacement conçu si, en supposant qu'il fonctionne comme prévu, il est capable de prévenir ou de détecter et corriger en temps opportun les anomalies ou les erreurs qu'il est censé couvrir.

Pour l'évaluer, l'auditeur se pose la question : "Si ce contrôle était exécuté parfaitement, le risque serait-il maîtrisé ?".

• Si la réponse est oui, la conception est probablement efficace.
• Si la réponse est non, il y a une lacune de conception (design deficiency).

Cette analyse se fait avant de tester l'application réelle du contrôle sur un grand nombre de transactions. Nous cherchons à valider la logique et la pertinence du contrôle lui-même.

Pour illustrer comment des professionnels abordent cette tâche, je vous invite à consulter un rapport d'audit réel.

2. Les Critères d'une Conception Efficace

Alors, comment juger concrètement si une "recette" de contrôle est bonne ? Nous utilisons une série de critères, directement inspirés des principes du COSO. Un autre rapport d'audit nous fournit une excellente liste de points à vérifier.

Synthétisons et expliquons ces critères essentiels :

1. Correspondance avec le risque : Le contrôle couvre-t-il directement le risque identifié ? Un contrôle qui valide les accès à un système est inutile si le risque est la saisie de données erronées par un utilisateur autorisé.
2. Fréquence du contrôle : La fréquence d'exécution est-elle suffisante pour détecter les anomalies en temps voulu ? Un rapprochement bancaire annuel est insuffisant pour gérer les risques de liquidité au quotidien. Un contrôle peut être quotidien, mensuel, trimestriel, ou déclenché par un événement.
3. Compétence de l'exécutant : La personne qui effectue le contrôle a-t-elle les connaissances, l'expérience et l'autorité nécessaires pour l'exécuter correctement et identifier les anomalies ? Demander à un stagiaire de valider des transactions financières complexes sans supervision serait une faiblesse de conception.
4. Séparation des fonctions (Segregation of Duties) : C'est un point fondamental que nous avons déjà abordé. Le contrôle est-il effectué par une personne indépendante des fonctions qu'il est censé contrôler ? Par exemple, la personne qui rapproche le compte bancaire ne doit pas être celle qui effectue les paiements.
5. Rapidité d'intervention : Que se passe-t-il lorsqu'une anomalie est détectée ? La conception du contrôle doit inclure une procédure claire et rapide pour enquêter, corriger l'erreur et, si nécessaire, remonter l'information (escalation). Un contrôle détectif sans plan d'action correctif est incomplet.
6. Fiabilité de l'information utilisée : Les données sur lesquelles le contrôle s'appuie sont-elles fiables, complètes et pertinentes ? Un rapprochement basé sur un rapport incomplet ou erroné est lui-même inefficace.
7. Période visée : Le contrôle couvre-t-il la bonne période et la totalité de la population de transactions concernées ?
8. Surveillance (Monitoring) : Existe-t-il un contrôle de supervision ? Un manager revoit-il le travail de l'exécutant, ou au moins les résultats du contrôle (par exemple, un rapport des anomalies détectées) ?

Garder cette grille d'analyse en tête vous permettra d'évaluer méthodiquement n'importe quel contrôle.

3. Le Test de Cheminement (Walkthrough Test) : Confirmer la Conception

Pour évaluer la conception, l'auditeur ne se contente pas de lire la procédure. Il doit vérifier que le contrôle est bien mis en place tel que décrit. La technique privilégiée pour cela est le test de cheminement (walkthrough test).

Un walkthrough consiste à suivre une seule transaction de son initiation à sa conclusion dans les états financiers, en passant par toutes les étapes du processus.

Exemple : Pour tester le processus d'achat, vous pourriez :

1. Sélectionner une facture fournisseur payée.
2. Demander le bon de paiement, la facture, le bon de réception (Goods Receipt Note) et le bon de commande (Purchase Order) correspondants.
3. Interviewer l'employé des comptes fournisseurs pour qu'il vous montre comment il a effectué le rapprochement (three-way match).
4. Interviewer le manager pour comprendre comment il approuve la commande.
5. Vérifier dans le système (ex: SAP) les traces électroniques de ces étapes.

L'objectif du walkthrough n'est pas de vérifier si le contrôle a fonctionné pour cette transaction, mais de confirmer votre compréhension du processus et de la conception des contrôles. Il permet de répondre à des questions comme : "La procédure dit que le manager signe le bon de commande. Est-ce vraiment ce qui se passe ? Qui le fait en son absence ? La signature est-elle une simple formalité ou une vraie vérification ?".

4. Mise en Pratique : Évaluation d'un Contrôle du Cycle Achats

Mettons maintenant nos connaissances en action avec un cas pratique qui devrait vous être familier.

Processus : Paiement des factures fournisseurs dans une entreprise de taille moyenne.
Risque : Payer une facture pour des marchandises non commandées ou non reçues, ou payer un montant incorrect.
Contrôle (tel que décrit par l'entreprise) : "Avant chaque paiement, le comptable fournisseurs doit effectuer un rapprochement à trois voies (three-way match). Il compare la facture du fournisseur, le bon de commande généré par le service achats, et le bon de réception enregistré par l'entrepôt. En cas de divergence, la facture est bloquée et une investigation est lancée par le responsable comptable."

Évaluons la conception de ce contrôle en utilisant notre grille d'analyse :

Conclusion de notre évaluation :
La conception de ce contrôle semble correcte sur le principe, mais présente plusieurs faiblesses potentielles qui doivent être investiguées. Des recommandations pourraient porter sur la formalisation du processus d'investigation et l'ajout d'un contrôle de supervision.

5. Formaliser la Conclusion sur la Conception

Après votre analyse, vous devez conclure. Le rapport d'audit de la Commission canadienne des grains nous donne un bon aperçu des conclusions possibles.

En vous basant sur la lecture du rapport (LINK), notamment l'annexe B, vous pouvez voir comment les faiblesses sont classifiées. Pour la conception, les conclusions les plus courantes sont :

• Efficace : Le contrôle, tel que conçu, est capable de maîtriser le risque.
• Lacune de la conception (Design Gap ou Deficiency) : Le contrôle est manquant ou mal conçu et ne peut pas, même s'il fonctionne parfaitement, maîtriser le risque.

Conclusion

Félicitations ! Vous avez franchi une étape majeure. Vous ne vous contentez plus d'identifier les contrôles, vous êtes maintenant capable de porter un jugement professionnel sur leur conception.

Points clés à retenir :

• L'évaluation de l'efficacité d'un contrôle se fait en deux temps : d'abord la conception (design), puis le fonctionnement (operation).
• Un contrôle est efficacement conçu s'il est capable, sur le papier, de prévenir ou détecter les risques.
• L'évaluation de la conception se fait via une grille d'analyse rigoureuse : adéquation au risque, fréquence, compétence, séparation des tâches, processus de suivi et supervision.
• Le test de cheminement (walkthrough test) est la technique clé pour confirmer la compréhension du processus et la mise en place effective du contrôle tel qu'il a été conçu.

Aperçu de la prochaine leçon :

Maintenant que nous savons évaluer une "recette", il est temps de voir si le "cuisinier" la suit correctement. La prochaine leçon portera sur l'efficacité du fonctionnement des contrôles (operating effectiveness). Nous verrons comment, une fois la conception validée, l'auditeur utilise des tests de contrôle (tests of controls) et des techniques d'échantillonnage (audit sampling) pour s'assurer que le contrôle est appliqué de manière constante et efficace dans la durée.