Test d'efficacité opérationnelle : exécution sur échantillon

1. Du Design à l'Efficacité Opérationnelle

Un test of operating effectiveness a pour but de vérifier si un contrôle interne a été exécuté comme prévu, de manière cohérente, par les personnes habilitées, et ce, sur toute la période couverte par l'audit.

La distinction avec le test of design (que l'on évalue via un walkthrough test) est fondamentale et constitue une source d'erreur fréquente pour les auditeurs débutants.

• Test de Conception (Design) : Le contrôle est-il bien conçu pour prévenir ou détecter une anomalie ? C'est une question de capacité. On le vérifie souvent sur une seule transaction.
• Test d'Efficacité Opérationnelle (Operating Effectiveness) : Le contrôle a-t-il fonctionné en pratique, à chaque fois qu'il aurait dû ? C'est une question de performance et de continuité. On le vérifie sur un échantillon représentatif.

Comme vous l'avez lu, le test of design vérifie si le contrôle "existe" et est bien pensé, tandis que le test of operating effectiveness vérifie s'il "fonctionne" réellement au quotidien.

2. Le Cadre du Contrôle : Les Trois Niveaux

Pour bien situer notre test, il est utile de le replacer dans l'architecture globale du contrôle interne. Le guide de l'Agence Française Anticorruption (AFA) décrit un modèle à trois niveaux de contrôle, que vous retrouverez dans la plupart des grandes organisations.

Pour résumer ce que vous venez de lire :

• Contrôles de 1er niveau : Ce sont les contrôles opérationnels, intégrés au processus quotidien (ex: un manager qui approuve une note de frais). Ils sont exécutés par les équipes elles-mêmes.
• Contrôles de 2ème niveau : Ce sont des contrôles de supervision, qui vérifient que les contrôles de 1er niveau sont bien effectués. Ils sont réalisés par des fonctions indépendantes des opérations (Contrôle Interne, Conformité, Qualité). Nos tests of operating effectiveness sont typiquement des contrôles de 2ème niveau.
• Contrôles de 3ème niveau : C'est le domaine de l'Audit Interne. L'audit interne s'assure que l'ensemble du dispositif de contrôle (niveaux 1 et 2) est bien conçu, efficace et adapté aux risques.

En tant qu'auditeur interne, vous réaliserez des tests of operating effectiveness pour fonder votre opinion sur l'efficacité du contrôle interne global.

3. Méthodologie : Exécuter le Test Étape par Étape

L'exécution d'un test d'efficacité opérationnelle est une démarche rigoureuse et structurée. Reprenons la méthodologie proposée par l'article de FormaConseils.

Voici les étapes clés que nous allons suivre :

1. Décrire le contrôle et son objectif : Cette étape est normalement déjà réalisée lors de la phase de planification et du walkthrough test.
2. Définir les critères de réussite : Que signifie "réussir" le test pour une transaction ? La présence d'une signature ? Un log système ? Une date correcte ? Cela doit être binaire et non-ambigu.
3. Définir la population et sélectionner l'échantillon : La population est l'ensemble des transactions où le contrôle aurait dû s'appliquer (ex: toutes les factures de l'année). L'échantillon est ensuite sélectionné en utilisant les techniques que nous avons vues dans la leçon 5.4, en ajustant la taille selon le risque et la fréquence du contrôle.
4. Définir la preuve attendue (audit evidence) : Quel document, quel enregistrement allons-nous inspecter pour vérifier que le contrôle a bien été appliqué ?
5. Exécuter le test : C'est l'action ! Pour chaque élément de l'échantillon, on inspecte la preuve et on note si le critère de réussite est atteint.
6. Documenter et conclure : Les résultats sont consignés dans les papiers de travail (working papers). Toute non-conformité est une exception (ou déviation) qui doit être analysée.

4. Mise en Pratique : Tester le Contrôle des Factures

Appliquons cette méthodologie à un scénario concret.

Contexte : Mission d'audit du cycle Purchase-to-Pay.
Contrôle à tester : "Toute facture d'un montant supérieur à 10 000€ doit être formellement approuvée par le Directeur Financier (DAF) avant sa mise en paiement pour s'assurer de la validité et de l'opportunité de la dépense."

Application de la méthodologie :

1. Objectif du contrôle : Maîtriser les dépenses significatives.
2. Critère de réussite : La facture présente une preuve formelle d'approbation par le DAF (signature sur le document papier/PDF, ou validation tracée dans le workflow de l'ERP SAP).
3. Population et échantillon :
   • Population : Une extraction de SAP nous donne la liste de toutes les factures payées > 10 000€ sur les 12 derniers mois. Il y en a 450.
   • Échantillon : Le contrôle est jugé critique. En se référant à notre méthodologie d'échantillonnage, nous décidons de tester un échantillon de 40 factures, sélectionnées de manière aléatoire.
4. Preuve attendue : Pour chaque facture de l'échantillon, nous demanderons à la comptabilité de nous fournir la pièce justificative numérisée et/ou de nous montrer le log d'approbation dans SAP.
5. Exécution du test : L'auditeur examine les 40 factures une par une et vérifie la présence de la preuve d'approbation.
6. Documentation : L'auditeur doit documenter son travail de manière précise. Pour cela, il utilise un papier de travail (working paper).

Voici un exemple de working paper standard utilisé pour documenter les tests.

Dans notre exemple, l'auditeur remplirait ce document ainsi :

• Objective of the Workpaper : "To test the operating effectiveness of the control requiring the CFO's approval for all invoices exceeding €10,000."
• Sample : "A random sample of 40 invoices was selected from a population of 450 invoices > €10,000 paid during FY2023."
• Work Performed : "For each selected invoice, we inspected the supporting documentation to verify the presence of the CFO's formal approval (signature or SAP workflow validation)."
• Results : "Out of 40 invoices tested, 38 were compliant. Two exceptions were noted:
  • Invoice INV-45612 (€12,500) did not have evidence of CFO approval.
  • Invoice INV-78901 (€25,300) was approved by the Head of Accounting, not the CFO."

5. Analyser les Écarts (Exceptions)

Trouver des exceptions n'est pas un échec, c'est le but même du test ! L'étape suivante est cruciale : comprendre ces exceptions.

Pour chaque écart, l'auditeur doit mener l'enquête :

• Questionner : "Pourquoi ces deux factures n'ont-elles pas suivi le processus standard ?" On interroge les personnes concernées (le comptable, le DAF...).
• Identifier la cause racine (root cause) :
  • Pour l'INV-45612, le DAF était en congé et son remplaçant n'avait pas les droits dans SAP. La facture a été payée pour ne pas pénaliser le fournisseur. C'est un problème de processus (gestion des délégations).
  • Pour l'INV-78901, c'était une urgence et le DAF n'était pas joignable. Le chef comptable a pris la responsabilité. C'est un contournement volontaire du contrôle.
• Évaluer l'impact : Le risque s'est-il matérialisé ? Dans ces cas, les dépenses étaient légitimes, donc pas d'impact financier direct. Cependant, le risque de paiement d'une facture non valide a augmenté.
• Qualifier l'exception : L'écart est-il isolé (un oubli ponctuel) ou systémique (dû à une faille dans le système ou le processus) ? Le premier cas est un problème de délégation non gérée, potentiellement systémique. Le second est un contournement, qui pourrait aussi être une pratique courante en cas d'urgence.

En fonction du nombre et de la nature des exceptions, l'auditeur conclura si le contrôle est efficace, efficace avec des faiblesses, ou inefficace. Cette conclusion sera un des éléments clés du rapport d'audit.

Conclusion

Aujourd'hui, nous avons franchi une étape majeure en passant de la théorie du contrôle à sa vérification pratique.

Points clés à retenir :

• Le test of operating effectiveness a pour but de vérifier si un contrôle a été appliqué de manière constante et correcte sur une période donnée.
• Il se distingue du walkthrough test qui, lui, évalue la conception du contrôle.
• Son exécution suit une méthodologie rigoureuse : définition des critères, échantillonnage, inspection des preuves et documentation.
• Le papier de travail (working paper) est l'outil indispensable pour documenter les tests, les résultats et les conclusions.
• Les exceptions ne sont pas des erreurs d'audit, mais des informations précieuses qui doivent être analysées pour en comprendre la cause et l'impact.

Aperçu de la prochaine leçon :

Nous avons exécuté notre test et collecté des preuves (signatures, logs, etc.). Mais comment être sûr que ces preuves sont de bonne qualité ? Une signature peut-elle être falsifiée ? Un log système est-il plus fiable qu'une confirmation verbale ? La prochaine leçon portera sur l'évaluation des preuves d'audit (audit evidence) selon les critères de suffisance, de fiabilité et de pertinence.