Planification de l'audit annuel : Risques et ressources.

Introduction

Dans la leçon précédente, nous avons appris à construire une matrice des risques, ou heat map, pour visualiser et hiérarchiser les risques d'une organisation. Nous avons vu que cet outil est essentiel pour identifier les zones où le residual risk (risque résiduel) reste élevé, signalant des priorités d'action.

Aujourd'hui, nous allons franchir l'étape suivante, une étape cruciale qui transforme l'analyse en action. L'objectif de cette leçon est d'élaborer un plan d'audit annuel en sélectionnant des missions basées sur la cartographie des risques et les ressources disponibles. Nous allons apprendre à passer de notre heat map à un calendrier concret de missions d'audit, un document qui constitue la feuille de route du département d'audit interne pour l'année à venir. C'est une compétence fondamentale pour tout futur Contrôleur Interne.

1. Le Processus de Planification de l'Audit

L'élaboration du plan d'audit n'est pas un exercice ponctuel, mais un processus structuré qui part d'une vision large de l'organisation pour arriver à une liste de missions spécifiques. Ce processus garantit que les efforts d'audit sont concentrés là où ils apportent le plus de valeur ajoutée.

Pour comprendre ce processus, nous allons nous appuyer sur un guide très pratique qui détaille les étapes clés.

Comme vous l'avez lu, le processus de planification peut être résumé en quelques grandes étapes :

1. Définir l'univers d'audit (audit universe) : Identifier toutes les activités, processus et entités qui pourraient potentiellement être audités.
2. Évaluer les risques : C'est ce que nous avons fait avec la heat map.
3. Sélectionner les missions : Choisir les sujets d'audit prioritaires.
4. Estimer les ressources : Évaluer la capacité de l'équipe d'audit.
5. Rédiger et valider le plan : Formaliser le tout dans un document officiel.

2. Sélectionner les Missions d'Audit

La heat map est notre point de départ. Les risques situés dans la zone rouge (criticité élevée) et orange (criticité modérée) sont les candidats naturels pour des missions d'audit. Cependant, le score de risque n'est pas le seul critère. Un auditeur expérimenté prend en compte d'autres facteurs pour affiner sa sélection.

Voici les principaux critères à considérer en plus de la heat map :

• Préoccupations du management et du comité d'audit : La direction générale ou le comité d'audit peuvent demander des audits sur des sujets spécifiques qu'ils jugent stratégiques ou préoccupants.
• Exigences réglementaires : Certains audits sont obligatoires (par exemple, dans le secteur bancaire ou pour la sécurité des systèmes d'information).
• Date du dernier audit : Pour assurer une couverture complète de l'audit universe sur le long terme, il est bon de ne pas laisser un processus clé sans audit pendant trop d'années, même si son risque perçu est modéré.
• Changements significatifs : Le lancement d'un nouveau produit, l'implémentation d'un nouvel ERP (comme SAP, que vous connaissez) ou une réorganisation sont des événements qui créent de nouveaux risques et justifient un audit.
• Résultats d'audits précédents : Des faiblesses majeures identifiées par le passé peuvent justifier un audit de suivi (follow-up audit) pour vérifier la mise en place des plans d'action.
• Auditabilité (Auditability) : La mission est-elle réalisable ? Avons-nous accès aux données et aux personnes nécessaires ? Les critères d'évaluation sont-ils clairs ?

En combinant la heat map avec ces facteurs, vous passez d'une simple liste de risques à une liste réfléchie de missions d'audit potentielles.

3. L'Équation Cruciale : Aligner Missions et Ressources

Avoir une liste de 20 missions d'audit potentielles est une bonne chose, mais si votre équipe ne peut en réaliser que 8 par an, vous devez faire des choix. C'est là qu'intervient l'estimation des ressources, un exercice très concret.

La ressource principale en audit est le temps des auditeurs, généralement budgété en jours-hommes (ou personnes-jours).

Le guide que nous étudions a une section dédiée à cette étape critique.

Le processus est donc le suivant :

1. Estimer le coût de chaque mission potentielle : Par exemple, l'audit du cycle purchase-to-pay pourrait nécessiter 50 jours-hommes, tandis qu'un audit ciblé sur les notes de frais pourrait en demander 20.
2. Calculer la capacité totale disponible : Nombre d'auditeurs × nombre de jours travaillés par an, en soustrayant les congés, les formations, les tâches administratives, etc.
3. Arbitrer et prioriser : Vous comparez le besoin total des missions potentielles à votre capacité. Si le besoin dépasse la capacité, vous devez faire des arbitrages :
   • Reporter les audits moins critiques à l'année suivante.
   • Réduire le périmètre (scope) de certains audits pour les rendre moins coûteux en temps.
   • Combiner des audits sur des thèmes similaires.

Cette phase de confrontation entre les risques et les ressources est au cœur de l'élaboration d'un plan d'audit réaliste et pertinent.

4. Formalisation du Plan d'Audit Annuel

Une fois les choix effectués, le tout est formalisé dans un document : le plan d'audit annuel. Ce document est ensuite présenté au management et soumis à l'approbation du comité d'audit.

Voici à quoi ressemble un plan d'audit annuel concret.

Comme vous pouvez le voir, le plan est plus qu'une simple liste. Pour chaque mission, il précise les objectifs, le calendrier et les ressources allouées.

Vision Pluriannuelle

Souvent, ce plan annuel s'intègre dans une vision à plus long terme (par exemple, 3 ans) pour assurer une rotation et une couverture complète de l'audit universe.

Pour finir, je vous propose d'analyser en détail un modèle de plan d'audit, qui synthétise tout ce que nous avons vu.

Conclusion

Félicitations ! Vous savez maintenant comment transformer une analyse de risques en un plan d'audit annuel stratégique et réalisable. C'est le passage de la théorie à la pratique, un pont entre l'identification des problèmes et le lancement des actions pour les résoudre.

Points clés à retenir :

• Le plan d'audit annuel est la feuille de route de la fonction d'audit interne.
• Sa construction commence par les risques prioritaires identifiés sur la heat map, mais intègre aussi d'autres facteurs (demandes du management, obligations, etc.).
• L'étape cruciale est la confrontation entre la liste des missions souhaitables et les ressources disponibles (personnel, budget en jours-hommes).
• Le plan final détaille pour chaque mission ses objectifs, son calendrier et son budget.
• Ce plan annuel fait souvent partie d'une stratégie pluriannuelle pour assurer une couverture complète de l'organisation.

Aperçu de la prochaine leçon :

Maintenant que nous avons notre plan annuel et que nous avons sélectionné la mission "Audit du cycle Achats", que faisons-nous ? La prochaine étape est de préparer cette mission spécifique. Notre prochaine leçon portera donc sur la manière de formuler les objectifs et de définir le périmètre (scope) d'une mission d'audit spécifique. Nous allons zoomer du plan global à la planification d'une seule mission.