Matrice Risques-Contrôles : Élaboration et Liaison

1. Qu'est-ce qu'une Matrice Risques-Contrôles (Risk-Control Matrix - RCM) ?

La matrice risques-contrôles est un tableau structuré qui sert à documenter les éléments clés d'un processus audité. Son but est de s'assurer que pour chaque objectif métier, les risques potentiels sont identifiés et couverts par des contrôles internes adéquats.

Pour un auditeur, la RCM est un outil de travail essentiel qui permet de :

• Formaliser la compréhension d'un processus et de son environnement de contrôle.
• Identifier les risques significatifs qui pourraient empêcher l'atteinte des objectifs du processus.
• Cartographier les contrôles existants qui sont censés maîtriser ces risques.
• Révéler les faiblesses potentielles : des risques non couverts (absence de contrôle) ou des contrôles inadaptés.
• Servir de base à la construction du programme de travail (work program) qui détaillera les tests d'audit à réaliser.

Visuellement, une RCM se présente comme un tableau dont les colonnes peuvent varier, mais qui contiennent généralement les informations suivantes :

Les colonnes fondamentales que nous retrouverons presque toujours sont :

1. Objectif du processus : Ce que le processus est censé accomplir.
2. Risque : L'événement potentiel qui menace l'atteinte de l'objectif.
3. Description du contrôle : L'activité mise en place par le management pour maîtriser le risque.
4. Évaluation du contrôle : Une première analyse de la pertinence et de la conception du contrôle.

2. La construction de la RCM : une approche par étapes

La création d'une RCM est un processus logique. Nous allons nous appuyer sur la méthodologie d'audit pour décomposer cette tâche en plusieurs étapes claires.

En s'inspirant de cette lecture, voici les étapes à suivre :

Étape 1 : Identifier les objectifs du processus
Avant de chercher les risques, il faut comprendre la finalité du processus. Par exemple, pour un processus "Achats" (Purchase-to-Pay), les objectifs pourraient être :

• Acheter des biens et services nécessaires à l'activité.
• Obtenir le meilleur rapport qualité/prix.
• Payer les fournisseurs corrects, pour le bon montant et dans les délais convenus.
• Assurer la conformité aux politiques internes et réglementations externes.

Étape 2 : Identifier les risques (inherent risk)
Pour chaque objectif, demandez-vous : "Qu'est-ce qui pourrait mal se passer ?".

• Risque lié à l'objectif "Payer le bon fournisseur" : Paiement d'un fournisseur fictif ou erroné.
• Risque lié à l'objectif "Payer le bon montant" : Paiement d'une facture en double ou pour un montant incorrect.
• Risque lié à l'objectif "Obtenir le meilleur rapport qualité/prix" : Collusion entre un acheteur et un fournisseur, absence de mise en concurrence.

Étape 3 : Identifier les contrôles existants
Il s'agit de recenser les mesures que le management a mises en place pour prévenir ou détecter la survenance des risques identifiés. Ces contrôles peuvent être :

• Préventifs : Ils agissent en amont pour empêcher un risque de se matérialiser (ex: validation d'une commande par un supérieur hiérarchique avant envoi).
• Détectifs : Ils agissent en aval pour identifier une erreur ou une anomalie après qu'elle se soit produite (ex: rapprochement bancaire mensuel pour détecter des paiements non autorisés).

On les identifie via l'analyse de la documentation (procédures, modes opératoires), des entretiens avec les acteurs du processus, ou en réalisant un test de cheminement (walkthrough), que nous verrons dans le prochain module.

Étape 4 : Relier les risques aux contrôles
C'est le cœur du travail. Dans votre matrice, vous allez faire correspondre chaque risque à un ou plusieurs contrôles qui sont censés le couvrir. Un même contrôle peut parfois couvrir plusieurs risques.

Étape 5 : Évaluer la conception du contrôle (première analyse)
À ce stade, vous portez un jugement préliminaire sur la conception du contrôle : semble-t-il, sur le papier, capable d'atteindre son objectif ?

• Le contrôle est-il manuel ou automatisé ?
• À quelle fréquence est-il réalisé (quotidienne, mensuelle, etc.) ?
• Qui est le responsable de son exécution ?
• Le contrôle est-il suffisamment robuste ? (ex: une validation par simple email est moins robuste qu'une validation dans un système intégré comme SAP).

3. Mise en pratique : du modèle simple au cas détaillé

Voyons comment ces étapes se matérialisent dans un document concret.

Un exemple simple : le paiement des factures

La fiche outil "RÉFÉRENTIEL D’AUDIT" du guide méthodologique que nous venons d'étudier propose un excellent exemple de RCM simplifiée.

Ce tableau est un exemple parfait de la logique de la RCM. Analysons la première ligne :

• Objectif : "Payer les factures au bon fournisseur."
• Risque : "Saisie d’un n° de fournisseur erroné au cours de l’enregistrement d’une facture."
• Contrôle : "Vérification que le n° de fournisseur saisi correspond à celui de la facture."

Cette structure claire permet de s'assurer que le risque identifié est bien adressé par une mesure de contrôle spécifique.

Un cas détaillé : le processus de paie

Maintenant, explorons un exemple plus complet et réaliste. Le processus de paie, que vous connaissez de par votre formation et vos stages, est un excellent cas d'étude car il est critique et comporte de nombreux risques.

Prenons un exemple dans le tableau B, que vous venez d'analyser (ID B-3) :

• Risque de contrôle : "La paye de l'employée est erronée, incomplète ou frauduleuse."
• Activité de contrôle : "Élaborer, mettre en œuvre et tenir à jour la répartition appropriée des responsabilités financières." Il s'agit ici du principe de séparation des tâches (segregation of duties).
• Objectif de contrôle : "Toutes les demandes de mesures liées à la paye sont autorisées par des personnes qui se sont vues déléguer le pouvoir de signature financière requis."

Cet exemple montre comment un principe de contrôle interne fondamental (la séparation des tâches) est documenté dans la RCM comme une réponse directe à des risques majeurs (erreur, fraude). C'est ce niveau de détail et de rigueur que vous viserez dans la préparation de vos propres missions d'audit.

Conclusion

Félicitations ! Vous avez maintenant en main l'un des outils les plus puissants de l'auditeur interne. La matrice risques-contrôles n'est pas un simple document ; c'est la formalisation de l'analyse de l'auditeur et la feuille de route qui garantit une mission structurée, exhaustive et ciblée sur les vrais enjeux.

Points clés à retenir :

• La RCM est un document central qui cartographie les objectifs, les risques et les contrôles d'un processus.
• Sa construction suit une démarche logique : Objectifs -> Risques -> Contrôles.
• Elle permet d'identifier les zones de risque non couvertes et de concentrer les efforts d'audit là où c'est le plus nécessaire.
• C'est la base pour élaborer le programme de tests qui sera exécuté durant le fieldwork.

Aperçu de la prochaine leçon :

Nous avons terminé le module sur la planification de l'audit. Notre plan de mission est maintenant solide : nous avons des objectifs, un périmètre, une cartographie des risques et des contrôles. La prochaine étape est de passer à la phase de fieldwork (réalisation). La première leçon du Module 5 nous apprendra à concevoir un questionnaire de prise de connaissance, souvent appelé Internal Control Questionnaire (ICQ). Cet outil nous permettra de collecter les informations nécessaires auprès des équipes opérationnelles pour confirmer et affiner la compréhension de notre RCM avant de commencer les tests.