Suivi des recommandations d'audit : Conception du processus

1. Le "Pourquoi" et le "Qui" du Processus de Suivi

Avant de concevoir le processus, il est essentiel de comprendre son rôle et les responsabilités associées.

Pourquoi le suivi est-il indispensable ?

• Clôturer la boucle de l'audit : Il garantit que les faiblesses identifiées sont corrigées.
• Assurer la mitigation des risques : C'est la preuve que les actions correctrices ont bien réduit l'exposition de l'entreprise aux risques.
• Renforcer la responsabilité du management (accountability) : Il formalise l'engagement des audités à mettre en œuvre les plans d'action.
• Démontrer la valeur de l'audit interne : Un suivi efficace prouve que l'audit n'est pas une simple "case à cocher" mais un véritable levier de performance.

Qui est responsable ?

La responsabilité est partagée, et il est crucial de bien distinguer les rôles :

• Le Management (les audités) : Ils sont responsables de la mise en œuvre des actions correctives. Ce sont eux qui "possèdent" le risque et l'action.
• La fonction d'Audit Interne : Elle est responsable du suivi et de la vérification de la mise en œuvre. L'auditeur ne met pas en œuvre les actions lui-même pour préserver son indépendance, mais il s'assure qu'elles sont bien appliquées.
• Le Comité d'Audit (Audit Committee) et la Direction Générale : Ils assurent la supervision du processus. Ils s'appuient sur les rapports de suivi de l'audit interne pour s'assurer que le management prend ses responsabilités, notamment pour les risques les plus élevés.

2. Les Étapes Clés pour Concevoir un Processus de Suivi Structuré

Un processus de follow-up efficace n'est pas une série d'e-mails informels. C'est une approche méthodique. Nous allons la décomposer en s'inspirant de bonnes pratiques.

Le document suivant, bien qu'orienté vers l'évaluation de programmes, propose un cadre de suivi des recommandations parfaitement transposable à l'audit interne.

En nous basant sur cette lecture et les normes d'audit, voici les phases essentielles que vous devez maîtriser pour concevoir votre processus.

Phase 1 : Exiger un Plan d'Action Formalisé (Action Plan)

Tout suivi commence par un engagement clair de la part du management. Cet engagement prend la forme d'un plan d'action. Il est généralement discuté lors de la réunion de clôture de la mission.

Un plan d'action efficace doit répondre, pour chaque recommandation, aux questions suivantes :

• Quoi ? L'action corrective spécifique que le management s'engage à prendre.
• Qui ? Le responsable (owner) de la mise en œuvre de l'action. Il doit s'agir d'une personne nommément désignée, pas d'un service entier.
• Quand ? La date d'échéance (due date) à laquelle l'action sera terminée.

Phase 2 : Mettre en Place un Outil de Suivi Centralisé

Pour suivre des dizaines, voire des centaines de recommandations issues de multiples audits, un outil centralisé est indispensable. Dans de nombreuses organisations, il s'agit d'un fichier Excel partagé ou, de plus en plus, d'un module dans un logiciel d'audit.

Le guide du Trésor québécois propose un excellent modèle pour cet outil.

Votre tableau de suivi (recommendation tracking file) devrait contenir au minimum les champs suivants :

Phase 3 : Vérifier la Réalisation des Actions ("Trust but Verify")

Il ne suffit pas que le management déclare une action "réalisée". Le principe de l'auditeur est "Trust, but verify". La nature de la vérification dépend de l'importance du risque.

• Pour un risque faible : Une confirmation par e-mail ou la réception d'un document mis à jour (ex: une procédure) peut suffire.
• Pour un risque élevé : Une vérification plus approfondie est nécessaire. Cela peut inclure :
  • Un test de cheminement (walkthrough test) du nouveau processus.
  • Un re-test du nouveau contrôle sur un petit échantillon pour s'assurer de son efficacité opérationnelle (operating effectiveness).
  • Une inspection physique (ex: vérifier l'installation d'une caméra de sécurité).

Cette vérification doit être documentée avec des preuves tangibles dans vos papiers de travail de suivi.

Phase 4 : Communiquer sur l'Avancement (Reporting)

Le suivi doit faire l'objet d'un reporting régulier (souvent trimestriel) au Comité d'Audit et à la Direction Générale. Ce rapport doit être synthétique et aller à l'essentiel. Il ne s'agit pas de lister toutes les recommandations, mais de mettre en lumière les tendances et les points de blocage.

Votre reporting doit répondre à des questions clés :

• Combien de recommandations sont en retard (overdue) ?
• Quelles sont les recommandations critiques/majeures qui sont en retard ?
• Quels départements ont le plus de mal à respecter les échéances ?
• Quel est le délai moyen de résolution des constats ?

Le tableau de bord suivant est un excellent exemple de la manière de visualiser ces indicateurs.

Conclusion

Vous savez maintenant comment transformer une recommandation d'audit en une amélioration concrète et vérifiable. Le processus de suivi n'est pas une tâche administrative ; c'est le mécanisme qui assure la pertinence et l'impact de l'audit interne au sein de l'organisation.

Points clés à retenir :

• Le suivi (follow-up) est une exigence de la norme IIA 2500, cruciale pour la valeur ajoutée de l'audit.
• La responsabilité est partagée : le management met en œuvre, l'audit interne vérifie et suit.
• Un processus de suivi structuré repose sur quatre piliers : un plan d'action formel, un outil de suivi centralisé, une vérification rigoureuse des actions, et un reporting synthétique au Comité d'Audit.
• Le niveau de vérification par l'auditeur doit être proportionnel au niveau de risque de la recommandation initiale.

Aperçu de la prochaine leçon :

Nous avons vu comment assurer la qualité et l'impact de nos missions grâce au suivi. La prochaine étape logique est de nous interroger sur la qualité de notre fonction d'audit dans son ensemble. Dans la prochaine leçon, nous aborderons le Programme d'Assurance et d'Amélioration de la Qualité (QAIP), un cadre qui permet d'évaluer et d'améliorer en continu la performance du département d'audit interne. Le processus de suivi que nous venons de voir est d'ailleurs une des composantes clés de ce programme.