Environnement de contrôle, évaluation des risques, activités de contrôle, information et communication, pilotage : le référentiel COSO décrypté, avec des exemples concrets pour chaque composante et son utilité pour l'auditeur.
"Le contrôle interne, c'est la séparation des tâches" - c'est la réponse la plus fréquente (et la plus incomplète) des candidats en entretien. La séparation des tâches n'est qu'un exemple d'activité de contrôle, elle-même l'une des cinq composantes d'un système bien plus large : le référentiel COSO. Comprendre son architecture complète change radicalement la façon d'aborder les questions de contrôle interne en entretien technique.
Publié par le Committee of Sponsoring Organizations of the Treadway Commission, le référentiel COSO (dans sa version Internal Control - Integrated Framework, actualisée en 2013) est devenu la référence internationale pour concevoir, évaluer et documenter un système de contrôle interne. Ce n'est pas une norme d'audit à proprement parler - c'est un cadre de référence que les entreprises utilisent pour structurer leur contrôle interne, et que les auditeurs utilisent en miroir pour évaluer sa qualité.
Le COSO définit le contrôle interne comme un processus mis en œuvre par le conseil, la direction et le personnel, destiné à fournir une assurance raisonnable quant à la réalisation d'objectifs dans trois catégories : l'efficacité et l'efficience des opérations, la fiabilité de l'information financière, et la conformité aux lois et réglementations.
C'est le socle de tout le reste - la "culture" de contrôle d'une organisation. Il englobe l'intégrité et les valeurs éthiques promues par la direction, l'engagement envers la compétence, l'implication du conseil et du comité d'audit, la structure organisationnelle et la répartition des pouvoirs et responsabilités.
Un environnement de contrôle faible (une direction qui contourne systématiquement les procédures, une pression forte sur les résultats sans garde-fou éthique) fragilise l'efficacité de toutes les autres composantes, même si elles sont individuellement bien conçues sur le papier. C'est pour cela que l'auditeur évalue toujours l'environnement de contrôle en premier, avant même de s'intéresser aux contrôles spécifiques d'un cycle.
L'entreprise doit identifier et analyser les risques pertinents pour l'atteinte de ses objectifs, y compris les risques liés au changement (nouvelle activité, nouveau système d'information, croissance rapide, fraude potentielle). Une entreprise qui n'a jamais formalisé de cartographie des risques a, par définition, un contrôle interne fragile sur cette composante - même si des contrôles ponctuels existent par ailleurs.
C'est la composante la plus visible, celle que les candidats citent spontanément : les politiques et procédures qui garantissent que les décisions de la direction sont exécutées. Elle inclut :
Le système d'information doit produire une information pertinente et fiable, en temps utile, et la communication doit circuler efficacement à la fois en interne (des opérationnels vers la direction et inversement) et vers l'externe (auditeurs, régulateurs, actionnaires). Un contrôle interne peut être théoriquement bien conçu, mais inefficace si l'information qu'il produit n'atteint jamais les bonnes personnes au bon moment.
Le contrôle interne n'est jamais figé : il doit être évalué en continu (via des activités de supervision courante) et périodiquement (via des évaluations ponctuelles, souvent menées par l'audit interne). Une déficience identifiée doit être communiquée aux personnes responsables de la corriger, avec un suivi de sa remédiation effective.
L'ISA 315 révisée impose à l'auditeur de comprendre chacune des cinq composantes du contrôle interne pertinentes pour l'audit - pas seulement les activités de contrôle. Un exemple concret illustre pourquoi cette approche globale est nécessaire : une société peut avoir des activités de contrôle bien documentées sur le cycle achats (validation hiérarchique, rapprochement bon de commande/facture), mais si l'environnement de contrôle est marqué par une pression forte de la direction pour respecter des objectifs budgétaires, l'auditeur doit s'interroger sur le risque que ces contrôles soient contournés dans les faits, en particulier en fin d'exercice.
Prenons une société qui vient de connaître une croissance rapide de son chiffre d'affaires (+40 % en un an) :
Cette lecture croisée, bien plus riche qu'un simple test de contrôle isolé, est exactement ce qui distingue un raisonnement de niveau senior d'une réponse mémorisée en entretien.
Le contrôle interne et son évaluation structurée font l'objet d'un module dédié dans notre formation Audit Financier, avec des mises en situation construites sur des cas réels d'entreprises en croissance, en restructuration ou en changement de système d'information - les trois contextes où le contrôle interne est le plus souvent mis à l'épreuve.
Photo : Imagine Buddy sur Unsplash
Le cabinet ne prendra pas le temps de t'expliquer les bases une fois lancé. Ceux qui arrivent prêts ont une longueur d'avance - et ça se voit dès la première semaine.
