Frédéric Bernard est Docteur ès sciences, ancien auditeur IHEST (promotion Desroches Noblecourt), diplômé ESCP, CESA HEC, Mastère Spécialisé de l’École centrale de Marseille. Il est ancien chargé de cours à l’ESG, NEGOSUP et Centrale Marseille ou il a enseigné le marketing achats, la stratégie et le contrôle interne. Il a occupé pendant trois ans le poste de Président et d’enseignant-chercheur au Centre d’Étude et de Recherche Économique de Marseille dans le domaine des sciences de l’information et de la commu nication. Il est actuellement Directeur Général Délégué au sein de la mutuelle UMC où il est notamment en charge de la supervision du dispositif de contrôle interne. Frédéric Bernard a occupé de nombreuses fonctions de Direction dans les secteurs de la mutualité et de l’assurance ou il a développé des démarches complètes de maîtrise des risques.
Rémi Gayraud, Certified Fraud Examiner, Directeur de la Formation de l’Association des Certified Fraud Examiner en France et intervenant à l’ESCP Europe. Après avoir exercé des responsabilités opérationnelles en finance, en France et à l’étranger en tant qu’Auditeur Interne senior et Directeur Administratif & Financier sur le Moyen-Orient chez SANOFI, il a créé avec 2 associés, CBA Management, cabinet spécialisé en Gouvernance, Risques et Contrôle Interne (GRC), Systèmes d’Information (Aligner la stratégie des systèmes d’information aux objectifs business), Performance Opérationnelle et Fraude Interne. CBA Management a rejoint le 6e réseau mondial d’audit et de conseil.
Laurent Rousseau, Diplômé des Arts et Métiers, est spécialisé dans le conseil aux entre prises devant répondre aux nouvelles réglementations (Sarbanes Oxley, Loi de Sécurité Financière, décret du 13 mars 2006, Solvabilité II…). Ancien collaborateur de CBA Management et conseiller indépendant intervenant pour le groupe Ansemble partenaire du réseau Eurus, 3e groupement national de cabinets indépendants d’expertise comptable et d’audit en France. Il a tour à tour occupé des fonctions opérationnelles puis mana gériales dans le domaine financier (comptabilité, contrôle de gestion et audit) au sein de la Mutualité Fonction Publique Services. Il a notamment assuré la formation au contrôle interne de plus de 400 opérationnels. Il a obtenu le certificat de spécialisation en Gestion de Patrimoine du CESB Paris.
Les auteurs peuvent être contactés à l’adresse suivante : controle-interne@maxima.fr

infos/nouveautés/catalogue : www.maxima.fr
images
8, rue Pasquier, 75008 Paris
Tél. : + 33 1 44 39 74 00 - Fax : + 33 1 45 48 46 88
© Maxima, Paris, 2013.
Tous droits de reproduction, de traduction et d’adaptation réservés pour tous les pays.

ISBN : 978 2 81880 439 1

Préface

Alors que le contrôle interne fait l’ouverture des journaux télévisés et la une de la presse économique la plus réputée, c’est avec un grand honneur que j’ai répondu positivement à la demande de Rémi Gayraud et Frédéric Bernard de préfacer la nouvelle édition de ce manuel de contrôle interne.

En effet, les déficiences de contrôle interne, dont l’une des principales banques françaises a été victime, nous conduisent assez logiquement à mettre en avant ce thème trop souvent en retrait au sein de nos entreprises et organisations.

Le trait ne doit pas être forcé mais le constat s’impose : le contrôle interne ne peut plus se limiter à quelques bonnes paroles et engagements de principes relayés dans un rapport sur le contrôle interne trop souvent perçu comme une obligation de communication. L’obligation n’est pas tant d’émettre un rapport que de mettre en place un véritable dispositif permanent de contrôle interne.

Il est vrai que l’exercice se révèle ainsi bien plus difficile que de consigner à travers quelques pages les descriptions de dispositifs de contrôles opérants de façon tout à fait appropriée dans un environnement parfait… pour ne pas dire trop parfait !

Aussi pour mener à bien cet exercice complexe qu’est la mise en place d’un dispositif permanent de contrôle interne dans un monde en profonde mutation, il convient de disposer de références solides et surtout pragmatiques, concrètes et opérationnelles. C’est l’avantage de l’approche retenue par les auteurs de cet ouvrage : donner au lecteur une boîte à outils pour faciliter la mise en place d’un dispositif de contrôle interne.

Cet ouvrage confère ainsi une « assurance raisonnable » de succès aux projets de mise en œuvre de dispositif de contrôle interne avec des exemples concrets et nourris de démarches visant à familiariser l’ensemble des collaborateurs concernant la nécessité de sécurisation et d’amélioration des modes de fonctionnement.

À ce stade, il convient de souligner quelques idées clefs :

• le contrôle interne n’est pas l’affaire de quelques spécialistes, le contrôle interne est l’affaire de chacun,

• le contrôle interne ne doit pas être imposé mais partagé d’un bout à l’autre de la pyramide / hiérarchie de l’entreprise,

• le contrôle interne n’est pas fait que de procédures, il s’agit avant tout d’un état d’esprit et d’un projet commun au service de l’entreprise.

Il faut également garder à l’esprit que la réalisation d’activités de contrôle n’a de sens qu’au terme d’un exercice approfondi, structuré et documenté d’identification et d’évaluation des risques potentiels auxquels l’organisation pourrait être amenée à faire face. Le principe de proportionnalité est donc primordial pour envisager la nécessité de mettre en place des contrôles parfois complexes et jugés bureaucratiques par les opérationnels.

C’est en cela que l’approche psychologique mise en avant par les auteurs se révèle particulièrement intéressante : les facteurs psychologiques, les modes de management et la nécessité de convaincre les acteurs de l’intérêt de la démarche sont au cœur du déploiement de tout projet de contrôle interne. La capacité de l’encadrement et des dirigeants à véhiculer l’idée de nécessité du contrôle, l’abnégation, la capacité d’écoute et l’ouverture au dialogue de ceux qui vont mettre en place le dispositif seront déterminantes dans la réussite de tout projet.

Mon expérience en matière de contrôle interne dans des environnements/ secteurs très différents (dans l’industrie pharmaceutique et maintenant au sein d’un groupe d’assurance mutualiste) me conduit au constat suivant : il ne peut y avoir d’environnement propice à un dispositif de contrôle interne sans adhésion des collaborateurs à ce dernier. Ce n’est pas le contrôle interne qui façonne les collaborateurs mais bien l’inverse. La culture et les valeurs de l’entreprise ont une place qui ne saurait être négligée.

L’ouvrage présente donc une vision complète du contrôle interne, de ses facteurs de succès, des risques et des méthodes d’identification, d’évaluation et de traitement à travers notamment des questionnaires et référentiels. Il s’agit là d’une boîte à outils et non d’une recette miracle ou d’une méthode livrée clé en main. Chaque organisation en fonction de son histoire, de sa culture et de ses valeurs fera un usage différencié des outils fournis afin d’être en mesure de maîtriser au mieux ses risques, de répondre de façon appropriée à ses obligations en vue d’en tirer un bénéfice.

Si nous prenons l’exemple d’un assureur mutualiste, le cœur de métier est de fournir un produit/service au plus grand nombre de sociétaires en échange d’une cotisation calculée au plus juste : il s’agit là de l’utilité sociale qui est au centre même de la démarche mutualiste. Le cœur de métier n’est pas de faire du contrôle interne et pour autant ce dernier est primordial car il permet de maîtriser au mieux les processus, de renforcer la compétitivité et au-delà d’apporter un meilleur produit/service aux sociétaires dans un environnement en profonde mutation.

Cette mutation dans le secteur de l’assurance se matérialise aujourd’hui par le projet de directive Solvabilité II qui fait de la maîtrise des risques un facteur différenciant entre acteurs et jouera demain sur la compétitivité même à travers les obligations en matière de solvabilité et donc de fonds propres.

Dans ce contexte, à l’heure où les dispositifs de contrôle interne ne permettent pas de façon absolue d’éviter la réalisation de pertes records, au moment où le principe de précaution est érigé en valeur universelle, à l’instant même où l’aversion au risque se fait de plus en plus grande, ne perdons pas de vue que le risque n’est pas seulement un potentiel événement dommageable, il s’agit aussi au-delà de l’incertitude d’une potentielle opportunité, d’une chance.

N’oublions pas qu’« entreprendre c’est prendre un risque, un risque mesuré, mais un risque tout de même. Et quand on prend un risque, on ne peut pas être gagnant à tous les coups. »… de là à conclure à la nécessité de mettre en place des dispositifs adéquats et adaptés de contrôle interne, il n’y a qu’un pas que je franchis volontiers.

Arnaud BOISSON

Responsable du contrôle interne Groupe MACIF

Introduction

Pourquoi une nouvelle édition du livre sur le Contrôle Interne et quel est l’intérêt d’une telle démarche pour les entreprises ?

Avec la Loi de Sécurité Financière (LSF) en France et Sarbanes-Oxley aux États-Unis, exigeant un renforcement de la transparence et du contrôle au sein des entreprises, force est de constater qu’il existe un regain d’intérêt pour le Contrôle Interne, et plus particulièrement pour démontrer à tout protagoniste (management, actionnaires, commissaires aux comptes, autorités de bourse) que le dispositif existant est efficace : opérations maîtrisées à tous les niveaux et pour toutes les activités, états financiers fiables et reflétant la réalité économique de l’entreprise.

Ce regain d’intérêt s’appuie sur la mise en place depuis 5 à 6 ans de nouveaux textes réglementaires tels que le décret du 13 mars 2006 dans le domaine de l’assurance, du 19 mai 2008 en mutualité, le Cadre de Référence de l’Autorité des Marchés Financiers du 22 janvier 2007 revu et augmenté en juin 2010, la loi du 3 juillet 2008, l’ordonnance du 8 décembre 2008 et Solvabilité II sans oublier les démarches volontaristes au sein des organisations.

Celles-ci n’ont pas attendu les nouvelles réglementations pour mettre en place les fondements d’un environnement de contrôle. Cette nécessité s’est imposée de manière plus pointue encore lorsqu’il s’agit de groupes dont les organisations et les activités sont de plus en plus complexes.

En effet, dans un contexte de mondialisation croissante, les grands acteurs économiques se doivent aujourd’hui de penser à l’échelle mondiale quand il s’agit d’asseoir leur position dans n’importe quels industries ou secteurs que ce soit. Ce postulat entraîne pour les groupes français de modeler leur organisation de manière flexible et décentralisée afin d’offrir une réelle efficacité lorsqu’il s’agit de gérer des centaines d’entités juridiques à travers le monde et de jongler avec des organisations matricielles de plus en plus complexes impliquant de multiples strates dans les processus de décision. Une nécessaire subsidiarité, reposant sur la délégation des pouvoirs et la responsabilisation à différents niveaux de l’organisation, s’accompagne systématiquement de mesures et de dispositifs de contrôle pour s’assurer justement que les pouvoirs et les opérations délégués obéissent aux règles et entrent dans un cadre qui a été préalablement fixé.

Cet intérêt pour le contrôle interne est également renforcé à cause du contexte économique actuel et de l’ambiance délétère avec pour conséquence une hausse des actes de fraudes au sein des entreprises : + 19 points entre 2009 et 2011 selon l’étude de PWC « Global Economic Crime Survey 2011 ». L’originalité de ce livre est de proposer une démarche pragmatique et opérationnelle afin de définir un cadre de Contrôle Interne au sein d’une organisation et de le mettre en place sur le terrain.

Ce livre présente plusieurs cas opérationnels vécus :

• la mise en œuvre d’un système de contrôle selon les principes du COSO (Committee of Sponsoring Organization of the Treadway Commission) ;

• des exemples d’application de Solvabilité II ;

• une démarche de mise en place d’une gestion des risques de fraude au sein des organisations et un guide d’audit sur la fraude ;

• un cas de mise en œuvre d’une cartographie des risques et d’un projet de Contrôle Interne au sein d’une entreprise de service ;

• une proposition d’organisation d’une Direction de Contrôle Interne ;

• des propositions de questionnaires de Contrôle Interne associés à des risques et des bonnes pratiques.

Ce livre s’adresse principalement aux opérationnels impliqués dans la mise en place d’une démarche de Contrôle Interne, de Gestion des Risques et d’Audit Interne performante au sein d’une organisation, mais également à tout opérationnel cherchant à mieux comprendre les enjeux et objectifs de cette démarche et ainsi sécuriser son environnement de contrôle.

Les auteurs ont voulu rendre cet ouvrage le plus complet, le plus pragmatique et le plus à jour possible notamment vis-à-vis des nouvelles réglementations. Il se veut également très souple dans son mode d’utilisation :

• Si vous êtes dirigeant ou manager, ce livre vous permettra d’approfondir vos connaissances sur le Contrôle Interne et vous servira de guide pour diagnostiquer les risques de votre organisation voire pour mener à bien un véritable projet de mise en place d’un dispositif de Contrôle Interne et de Gestion des Risques.

• Si vous êtes auditeur, ce livre vous assistera utilement dans la phase d’analyse des risques en identifiant les indicateurs et points de contrôle de certaines fonctions.

• Si vous êtes étudiant, ce livre vous permettra de mieux appréhender l’environnement du Contrôle Interne et de la Gestion des Risques.

Enfin, au fil des chapitres, les lecteurs découvriront toute la méthodologie de construction d’une démarche de Contrôle Interne qui peut être synthétisée par le cercle vertueux suivant :

Identification des risques → Quantification des risques → Stratégie de réponses aux risques → Identification des contrôles → Comparaison risques / contrôles → Mise en place des contrôles → Évaluation des contrôles.

Tout en répondant aux contraintes suivantes :

• maîtriser les coûts,

• ne pas empiler ou juxtaposer les systèmes de contrôle,

• tirer un bénéfice économique du contrôle des risques (meilleure qualité, satisfaction client, meilleure formation…),

• éviter la déresponsabilisation des acteurs opérationnels.

Cette nouvelle édition développe notamment le sujet de la gouvernance d’entreprise, une mise à jour des risques de la fraude avec de nombreux points de contrôle, la communication et les considérations psychologiques liées à une démarche de Contrôle Interne.

Cette méthodologie s’organise autour de 8 grands chapitres.

Dans le premier chapitre, nous rappelons les concepts essentiels du Contrôle Interne permanent et notamment les approches dites « classique » et « actuelle » du Contrôle Interne, les modèles COSO & COSO II « Enterprise Risk Management » qui sont les grandes références mondiales à ce jour, le cadre de référence émis par l’Autorité des Marchés Financiers et l’approche moderne et proactive du Contrôle Interne. Nous identifions ensuite les arguments qui militent en faveur de la mise en place d’un dispositif de Contrôle Interne tout en repositionnant le Contrôle Interne vis-à-vis des fonctions transverses au sein des organisations.

Nous réalisons également un zoom sur les nouvelles réglementations : LSF et Solvabilité II, qui ont de fait suscité un regain d’intérêt pour cette fonction en mentionnant les grandes lignes directrices mais également en proposant des exemples d’application de Solvabilité II.

Le chapitre 2, présente les enjeux de la gouvernance d’entreprise dans le cadre du contrôle interne opérationnel. Après avoir fait un tour d’horizon des textes réglementaires nous nous focaliserons plus particulièrement sur les principes de supervision à travers un exemple d’une structure à forme mutualiste.

Le chapitre 3 débute le cycle vertueux tel que décrit précédemment par l’analyse des risques en suivant la méthodologie de Maîtrise Interne des Risques & Sécurité (dite méthode MIRIS). Les concepts et principes de cette méthode y sont décrits dans la première partie alors que la seconde développe les outils permettant d’identifier, d’évaluer et de hiérarchiser les risques. L’objectif est de réaliser une cartographie des risques destinée à sélectionner les actions correctives à mettre en place.

Le chapitre 4 met en exergue les risques de fraudes, risques très spécifiques et devant faire nécessairement l’objet d’une démarche particulière. Nous verrons que la fraude est depuis longtemps un concept connu des entreprises et qui est devenu au fil des ans un vrai phénomène de société.

Nous définirons dans une première partie la notion de fraude en nous appuyant sur des statistiques. Nous tenterons de donner une définition de la fraude, de décrire le profil d’un fraudeur, de proposer une méthodologie afin de rentrer dans une démarche efficace et progressive de gestion des risques de fraude et de comprendre comment prévenir les fraudes internes. La fraude informatique est devenue, ces dernières années, le dernier « joujou » des malfaiteurs et fraudeurs en tout genre. Nous préciserons alors les points sensibles à surveiller et les parades à mettre en place.

Dans une deuxième partie, nous développerons la gestion du risque de fraude, de l’identification à la qualification des risques des fraudes internes et les pratiques liées à la détection et l’instruction à travers les processus d’audit qui expliquent et mettent en exergue les causes des montages frauduleux.

Le chapitre 5 permet de mettre en place une organisation ad hoc afin de piloter l’ensemble du cycle vertueux et permettre ainsi aux opérationnels de s’approprier la démarche de Contrôle Interne et de Gestion des Risques. Le but d’un tel projet est de responsabiliser les opérationnels sur leur environnement de travail : avoir une bibliothèque de procédures, des exigences de bonnes pratiques et des directives dynamiques en temps réel, une auto évaluation de leur environnement de contrôle, l’analyse de leurs risques, et enfin la gestion de leurs axes d’amélioration via des plans d’action. Nous verrons qu’une solution technologique et méthodologique permet d’automatiser la démarche et donc de la rendre plus conviviale.

Le chapitre 6 détaille la mise en œuvre d’un projet de Contrôle Interne en s’appuyant sur une expérience vécue au sein d’une entreprise de service.

Chaque étape du projet est détaillée depuis la phase de lancement, le champ et les objectifs du projet, les modalités de fonctionnement, les facteurs clés de succès jusqu’à la phase de mise en œuvre opérationnelle du dispositif de Contrôle Interne.

La mise en perspective du Contrôle Interne en tant que démarche de changement est également proposée ; en effet si cette démarche est mal appréhendée et mal gérée tout au long du projet, cela représente un frein majeur dans la mise en place d’un dispositif performant de maîtrise des risques.

Ce chapitre intègre également des applications au facteur management (construction d’un organigramme, réalisation de fiches de postes, mise en place de mesure de temps) afin de répondre à notre approche concrète et opérationnelle.

Le chapitre 7 aborde un des facteurs clés de succès dans la mise en place d’un dispositif de Contrôle Interne et de Gestion des Risques ; c’est-à-dire la communication et les considérations psychologiques dans tout travail sur le terrain d’identification des risques.

Le Contrôle Interne s’appuie sur deux valeurs fondamentales :

• un état d’esprit : la démarche est participative ;

• des règles éthiques : transparence, rigueur, souplesse, implication et esprit de collaboration.

La mise en place d’un tel dispositif va générer des changements non négligeables en modifiant les habitudes, en entraînant des évolutions dans les méthodes de travail et en demandant davantage de rigueur et de formalisme dans l’exécution des tâches.

Le chapitre 8 propose des questionnaires opérationnels qui répondent aux objectifs de Contrôle Interne tels que définis par le COSO et la Securities Exchange Commission (SEC) :

• respect des règles et réglementations,

• sécurisation des actifs,

• fiabilité des informations comptables et financières,

• efficacité et optimisation des opérations.

Quelques exemples de questionnaires sont alors déclinés par processus de management :

• les processus opérationnels tels que le processus Achats avec ses risques et ses bonnes pratiques, et le processus ressources humaines,

• les processus de certaines fonctions supports : trésorerie, publication et remontées des informations comptables et financières, organisation Comptable et Financière conformément au Guide d’Application de l’Autorité des Marchés Financiers (AMF) ou systèmes d’information.

Enfin, nous mettrons en exergue tout au long du livre que la mise en place d’un dispositif de Contrôle Interne est essentiellement dictée par la complexité des environnements et des risques auxquels toutes les entreprises doivent faire face :

• des catastrophes, rapidement relayés par les médias, ne peuvent plus passer inaperçues (tunnel du Mont Blanc, Erika, incendie du Crédit Lyonnais…) ;

• des exigences plus précises des parties prenantes à l’entreprise en matière d’accès à une information transparente et complète (actionnaires, banques, CAC…) ;

• des critères de jugement sur les organisations traditionnelles mais aussi sur les organismes publics (sang contaminé, vache folle, comptes truqués, fraudes, grippe aviaire…).

Par conséquent, tous les experts s’accordent à dire que dans les entreprises à forte dispersion géographique, à activités diversifiées, à procédures automatiques de pouvoirs devenant la règle, la mise en place de sécurités permanentes devient une obligation si l’on veut assurer la pérennité des activités. Ce constat extérieur ne peut que nous conforter dans le bien fondé de notre démarche. Le Contrôle Interne ne se compose pas de règles figées, mais doit évoluer comme la vie des activités qu’il sert et accompagne. Il suppose, donc, un entretien permanent qui demande un investissement personnel à tous les niveaux de tâches et de responsabilités. D’où la notion, comme le « kaisen » (perpétuel recommencement) en qualité, de Contrôle Interne permanent.

Mais, au-delà des changements, le dispositif de Contrôle Interne va, par une discipline collective de gestion, permettre d’assurer une meilleure efficience des moyens mis en œuvre dans les organisations.

I •

Les concepts essentiels
du contrôle interne permanent

I.1 Éléments de définition du contrôle interne

I.1.1 Les approches dites « classique » et « actuelle » du Contrôle Interne

Le terme Contrôle Interne est la traduction littérale de l’expression anglosaxonne : « Internal Control » (ou Business Control pour les Américains) dans lequel le verbe « to control » signifie conserver la maîtrise de la situation alors qu’en français le mot « contrôle » est davantage compris comme le fait d’exercer une action de surveillance sur quelque chose pour l’évaluer.

Nous vous proposons donc la définition suivante du Contrôle Interne au sens « classique » : le Contrôle Interne est un ensemble de dispositifs ayant pour but, d’un côté d’assurer la protection, la sauvegarde du patrimoine et la qualité de l’information, de l’autre d’assurer l’application des instructions de la Direction et de favoriser l’amélioration des performances.

L’« Internal Control » se traduit dans les faits par deux aspects complémentaires :

• un état d’esprit dont la responsabilité incombe à toute personne exerçant quelque autorité dans l’organisation : planifier les tâches, organiser les responsabilités, conduire les opérations et en contrôler la bonne marche ;

• un ensemble de moyens, mesures et méthodes pour y parvenir.

Deux grandes catégories de contrôles sont reprises au travers de cette approche classique :

• les contrôles administratifs ou opérationnels dont le but est, pour la Direction, de s’assurer de l’atteinte des objectifs fixés à l’aide de pratiques permettant d’accroître l’efficacité dans toutes les fonctions de l’entreprise. Ces pratiques devront être appliquées par du personnel compétent et dont les opérations devront être supervisées et contrôlées ;

• les contrôles comptables ou financiers qui se caractérisent par une organisation et des procédures directement liées à la préservation des actifs et à la fiabilité des états financiers.

À notre avis, l’approche « actuelle » du contrôle interne correspond à la définition proposée par le CNCC (Compagnie Nationale des Commissaires aux Comptes) qui reflète le mieux l’approche actuelle.

« Les procédures de Contrôle Interne impliquent : le respect des politiques de gestion, la sauvegarde des actifs, la prévention et la détection des fraudes, l’exactitude et l’exhaustivité des enregistrements comptables, l’établissement en temps voulu d’informations comptables et financières stables. » (Norme CNCC 2-301 « Évaluation du risque et Contrôle Interne », para 08, Référentiel normatif CNCC, juillet 2003.)

L’approche actuelle est donc plus large que l’approche classique car :

• le Contrôle Interne est abordé en termes de processus et plus seulement en termes de techniques et de dispositifs de sécurité ;

• elle replace l’ensemble du personnel de l’entreprise au cœur du Contrôle Interne.

I.1.2 Le modèle proposé par le COSO

À la suite d’une série de faillites « anormales » aux États-Unis dans les années 80, une commission, sous la responsabilité du sénateur Treadway, entreprend une étude sur un cadre de contrôle. Ce travail aboutit en 1992 au premier instrument de Contrôle Interne : le COSO. La question élémentaire de ce modèle est « comment faire pour maîtriser au mieux ses activités ? ».

Le COSO propose la définition du Contrôle Interne suivante :

Le Contrôle Interne est un processus mis en œuvre par le Conseil d’Administration, les dirigeants et le personnel d’une organisation, destiné à fournir une assurance raisonnable quant à la réalisation des objectifs suivants :

• la réalisation et l’optimisation des opérations,

• la fiabilité des informations financières,

• la conformité aux lois et aux réglementations en vigueur.

Ainsi le Contrôle Interne n’offre pas de garantie absolue car il ne permet pas de réaliser complètement les objectifs fixés par les responsables d’une organisation, mais fournit uniquement « une assurance raisonnable » quant à l’atteinte de ces objectifs.

En ce sens, nous pouvons ajouter que le Contrôle Interne ne rend pas la fraude impossible, ce n’est qu’un moyen préventif de la limiter au maximum ou de la découvrir aussitôt que possible.

Le COSO découpe les éléments du Contrôle Interne en 5 parties :

• environnement de contrôle,

• évaluation des risques,

• activités de contrôle,

• information et communication,

• pilotage.

images Remarque

Le « COSO 2 » est une étude réalisée aux États-Unis à la suite de Sarbanes-Oxley Act (SOX). Il ne propose pas un référentiel de Contrôle Interne (à l’instar du COSO) mais un modèle de gestion des risques. Il s’appuie sur le COSO comme référentiel de Contrôle Interne.

images Environnement de contrôle

L’environnement de contrôle constitue la base de la construction du Contrôle Interne COSO. Cette notion d’environnement de contrôle implique une éthique et une politique générale sensibilisée au contrôle.

L’éthique se diffuse grâce à un conseil d’administration et un management conscients de la nécessité de montrer l’exemple (intégrité) et de déployer une culture de l’entreprise valorisant le besoin de contrôle auprès du personnel.

Une politique s’appuie sur des normes et procédures appropriées, sur un code de conduite valorisant l’adhésion aux valeurs de l’organisation, sur une conception des systèmes et une exploitation quotidienne adaptées à l’organisation et sécurisées, et sur des valeurs humaines.

images Évaluation des risques

L’évaluation des risques réside dans la détection et l’analyse des facteurs susceptibles de perturber la réalisation des objectifs. C’est un processus continu et répétitif.

Les risques couverts sont aussi bien internes qu’externes, avec une attention particulière aux risques spécifiques et aux changements.

La finalité est d’aboutir à une gestion des risques. Cette gestion présuppose la classification en deux grandes catégories : le risque non acceptable et le risque acceptable et résiduel.

L’étape préliminaire et obligatoire à l’évaluation des risques est la définition des objectifs.

images Activités de contrôle

Les activités de contrôle sont le contrôle de la mise en application des normes et des procédures définies par la direction et le management dans la dynamique de la maîtrise des risques.

On peut décliner les activités de contrôle en plusieurs catégories :

• contrôle détectif / contrôle préventif,

• contrôle informatique / contrôle manuel,

• contrôle hiérarchique / contrôle opérationnel.

Une attention particulière sera apportée aux activités informatiques de contrôle. Un exemple de référentiel de Contrôle Interne sur les systèmes d’information avec la formalisation de points de contrôle, de risques associés et de bonnes pratiques est proposé dans le chapitre VII.7.

images Information et communication

L’information doit être pertinente, précise, exacte, en temps voulu et diffusée au bon destinataire. Sa circulation doit être multidirectionnelle (descendante, ascendante et transversale), et intégrer les informations externes.

La communication est l’outil indispensable pour la transmission de l’information – notamment les directives de la Direction Générale – et ses caractéristiques essentielles sont l’efficacité et la clarté.

images Pilotage

Le système de pilotage permet de valider que le Contrôle Interne est efficace. Il doit intégrer le traitement des faiblesses de Contrôle Interne détectées dans le but de renforcer l’atteinte des objectifs.

Ce système permet au management d’assumer son rôle de maître d’œuvre du dispositif de Contrôle Interne.

Cas pratique d’application au sein d’une société industrielle

Une société, acteur majeur sur son marché, « la distribution », a réalisé un diagnostic sur son environnement de Contrôle Interne afin de rédiger son rapport LSF.

Cette société s’appuie sur une organisation décentralisée, une responsabilisation de ses dirigeants et des modes de gestion différents.

Il ressort de ce diagnostic les dysfonctionnements énumérés ci-dessous.

Absence :

• d’acteur fédérateur au siège et de leader du pilotage pour assurer l’harmonie et la cohésion des éléments du Contrôle Interne,

• de cellule dédiée rattachée à la Présidence pour définir et structurer l’environnement de pilotage et de contrôle,

• de répartition des rôles et responsabilités,

• de définitions de poste formalisées,

• de chartes, directives, normes qualité, procédures,

• de délégations de pouvoirs internes et d’engagements formalisés à l’échelle du Groupe,

• de communication sur le Contrôle Interne,

• d’analyse des risques par l’ensemble des fonctions au niveau des entités et du Siège,

• d’un dispositif de détection et de revue régulière des risques liés à l’exploitation.

Aspects à améliorer et/ou à formaliser :

• missions et responsabilités des personnes à clarifier et à formaliser,

• organigrammes avec liens hiérarchiques et fonctionnels à formaliser,

• organigramme juridique du Groupe en cours de mise à jour,

• exhaustivité du périmètre juridique à confirmer,

• non formalisation « strictement nécessaire » de procédures, ne permettant pas de s’assurer que les orientations de la Direction sont mises en œuvre de manière appropriée,

• l’identification et la hiérarchisation des risques pour chaque unité de travail formalisées au sein du Document Unique (décret du 05/11/01) ne sont pas réalisées par chaque entité,

• un processus de recensement formalisé des risques de toute nature susceptibles d’affecter la poursuite de l’activité afin de constituer une première approche de formalisation d’une cartographie globale des risques en vue de :

– dégager une première hiérarchisation,

– s’inscrire dans une dynamique de suivi, d’animation et d’évaluation régulière : cartographie, audits terrain…,

– formaliser les procédures pour servir de référentiel applicable par tous,

– identifier les risques informatiques et mettre en place une charte spécifique au sein des entités opérationnelles,

• les processus « gestion des hommes », « juridique », « achats » et « assurances groupe » ne sont pas encadrés par des procédures,

• l’information sur les événements du Groupe irrigue tous les niveaux de l’entreprise par l’intermédiaire de comités, ateliers de travail et intranet. Cependant l’information relative aux responsabilités des organisations et des hommes est peu diffusée,

• nécessité de méthodes, référentiels communs Groupe formalisés et partagés par tous selon une communication adéquate,

– missions et responsabilités des structures en place (siège, fonctions expertes, plateforme, entités opérationnelles…),

– bonnes pratiques, contrôle de gestion, juridique, fiscal, achats.

L’objectif de ce cas pratique est d’affecter les points de Contrôle Interne en fonction des 5 composantes COSO. La correction proposée est la suivante :

Les cinq éléments suivants doivent être pris en considération pour un dispositif de Contrôle Interne efficace :

• Environnement de contrôle : fondations du dispositif de Contrôle Interne, ce principe fait référence à la sensibilisation du personnel et au besoin de contrôle interne dans l’ensemble de l’organisation du Groupe (éthique, intégrité, conduite, discipline).

• Évaluation des risques : identification et anticipation par le management des facteurs de risques susceptibles d’affecter la poursuite des objectifs.

• Activités de contrôle : définies par l’évaluation des risques, ce principe a trait à l’application des directives, procédures et pratiques permettant de s’assurer que les orientations définies par la Direction sont mises en œuvre de manière appropriée.

• Information et communication : processus permettant de s’assurer que l’information pertinente est identifiée, recueillie et diffusée dans des délais appropriés afin que l’ensemble des organisations du Groupe puisse assumer ses responsabilités.

• Pilotage : outils qui permettent de contrôler et d’évaluer la qualité du Contrôle Interne du Groupe à travers les activités de Supervision exercées par la Direction.

Exemples d’environnement de contrôle déficient :

• missions et responsabilités des personnes à clarifier et à formaliser,

• organigrammes avec liens hiérarchiques et fonctionnels à formaliser,

• organigramme juridique du Groupe en cours de mise à jour,

• exhaustivité du périmètre juridique à confirmer,

• absence/défaut de répartition des rôles & responsabilités,

• absence/défaut de définitions de poste formalisées,

• absence/défaut de délégations de pouvoirs internes et d’engagements formalisées à l’échelle du Groupe.

Exemples d’évaluation des risques déficiente :

• les risques ne sont pas appréhendés par l’ensemble des fonctions au niveau des entités et du Siège dans chaque domaine de compétence,

• un dispositif de détection et de revue régulière des risques liés à l’exploitation n’est pas mis en place,

• l’identification et la hiérarchisation des risques pour chaque unité de travail formalisées au sein du Document Unique (décret du 05/11/01) ne sont pas réalisées par chaque entité,

• un processus de recensement formalisé des risques de toute nature susceptibles d’affecter la poursuite de l’activité n’a pas été initié récemment, qui aurait permis de constituer une première approche de formalisation d’une cartographie globale des risques en vue de : dégager une première hiérarchisation, s’inscrire dans une dynamique de suivi, d’animation et d’évaluation régulière (cartographie, audits terrain…).

Exemples d’activités de contrôle déficientes :

• absence de chartes, directives, normes qualité, procédures,

• non formalisation « strictement nécessaire » de procédures, ne permettant pas de s’assurer que les orientations de la Direction sont mises en œuvre de manière appropriée,

• les procédures existantes ne sont pas suffisamment normées pour servir de référentiel applicable par tous,

• la gestion des systèmes d’information est en cours de mise aux normes avec notamment la mise en place d’une charte informatique et d’un référentiel de Contrôle Interne en cours d’adaptation au sein des entités opérationnelles,

• les processus « gestion des hommes », « juridique », « achats » et « assurances groupe » ne sont pas encadrés par des procédures.

Exemples d’information et de communication déficientes :

Nécessité de méthodes et de référentiels communs formalisés et partagés par tous selon une communication :

• missions et responsabilités des structures en place (siège, fonctions expertes, plateformes, entités opérationnelles…),

• bonnes pratiques,

• contrôle de gestion, juridique, fiscal, achats,

• l’information sur les événements du Groupe irrigue tous les niveaux de l’entreprise par l’intermédiaire de comités, ateliers de travail et intranet. Cependant l’information relative aux responsabilités des organisations et des hommes est peu diffusée.

Exemples de pilotage déficient :

Absence :

• d’acteur siège fédérateur et leader du pilotage pour assurer l’harmonie et la cohésion des éléments du Contrôle Interne,

• de cellule dédiée rattachée directement au Directoire pour définir et structurer l’environnement de pilotage et de contrôle,

• de communication sur le Contrôle Interne.

I.1.3 Le modèle proposé par l’Enterprise Risk Management

L’Enterprise Risk Management, appelé également COSO II, se situe dans le prolongement de l’« Internal Control – Integrated Framework » (COSO).

Comme mentionné précédemment, le référentiel COSO identifie cinq éléments à mettre en place afin de mettre en place un contrôle interne efficace et trois objectifs de contrôle interne :

• réalisation et optimisation des opérations,

• fiabilité des informations financières,

• conformité aux lois et réglementations en vigueur.

L’Enterprise Risk Management ajoute une composante de Gestion des Risques au COSO. En effet, la Gestion des Risques doit s’appuyer sur le Contrôle Interne.

L’Enterprise Risk Management identifie huit éléments et quatre objectifs de contrôle interne :

Les huit éléments sont :

• environnement interne,

• fixation des objectifs,

• identification des événements,

• évaluation des risques,

• traitement des risques,

• activités de contrôle,

• information et communication,

• pilotage.

Les quatre objectifs sont d’ordre :

• stratégiques,

• opérationnels,

• reporting,

• et conformité.

images Environnement interne

Il constitue comme dans le référentiel COSO les fondements du contrôle interne et appréhende la Gestion du Risque telle qu’orchestrée par la direction générale, le conseil d’administration ou le conseil de surveillance.

images Fixation des objectifs

Les objectifs de l’entreprise doivent être fixés en fonction de l’appétence de l’organisation pour les risques. Ce sont ces objectifs qui déterminent les risques acceptables et en conséquence le dispositif de contrôle interne à mettre en place afin de circonscrire les risques.

images Identification des événements

Il s’agit d’identifier l’univers de risques applicable à l’ensemble de l’organisation et de ses activités et de regrouper et classifier de façon matricielle :

• par grandes familles de risques :

– Stratégique.

– Financier.

– Juridique & réglementaire.

– Opérationnel (processus opérationnels des activités & métiers).

– Image.

– Humain & politiques sociétales.

– Environnement.

– Sanitaire.

• par nature de risques :

– Internes (endogènes

– Externes (exogènes

images Évaluation des risques

Il s’agit d’évaluer de manière « brute » – sans dispositif de maîtrise des risques –, l’exposition de l’organisation à l’univers des risques :

• impact (et sévérité de l’impact) : majeur, significatif, limité,

• quantification (optionnel selon l’historique de sinistralité) : en pourcentage du résultat opérationnel et/ou en valorisation de l’exposition,

• probabilité de survenance : très rare, rare, probable, très probable.

images Traitement des risques

Il s’agit de proposer une classification de l’univers de risques selon la nature des risques intrinsèques et inhérents aux processus en adéquation avec la stratégie de réponse aux risques retenue :

• supprimer le risque,

• transférer le risque,

• ou circonscrire en interne les risques.

images Activités de contrôle / information et Communication / Pilotage reprennent les mêmes définitions que le COSO

I.1.4 Dispositif de Contrôle Interne : Cadre de Référence de l’Autorité des Marchés Financiers (AMF)

Le nouveau cadre de référence proposé par l’AMF aux sociétés françaises cotées est une édition revue et augmentée du cadre de référence publié en janvier 2007. Il tient compte de l’évolution législative et règlementaire intervenue depuis 2007. La loi du 3 juillet 2008 et l’ordonnance du 8 décembre 2008 ont transposé en droit français les directives européennes qui imposent de nouvelles obligations aux sociétés cotées en matière de gestion des risques et qui prévoient les missions du comité d’audit.

Il est à noter également qu’un guide de mise en œuvre du cadre de référence de 2007 adapté aux valeurs moyennes et petites (VaMPs) a été publié par l’AMF en janvier 2008.

Ce groupe de travail de « place » a formalisé un nouveau cadre de référence de contrôle interne et de gestion des risques qui comprend :

• des principes généraux de contrôle interne et de gestion des risques ;

• deux questionnaires de portée générale, l’un relatif au contrôle interne comptable et financier, l’autre afférent à l’analyse et à la maîtrise des risques, composante essentielle de tout dispositif de contrôle interne ;

• un guide d’application relatif au contrôle interne et à la gestion des risques de l’information comptable et financière publiée par les émetteurs.

images Des principes généraux de gestion des risques

« La gestion des risques est l’affaire de tous les acteurs de la société. Elle vise à être globale et doit couvrir l’ensemble des activités, processus et actifs de la société.

La gestion des risques est un dispositif dynamique de la société, défini et mis en œuvre sous sa responsabilité.

La gestion des risques comprend un ensemble de moyens, de comportements, de procédures et d’actions adaptés aux caractéristiques de chaque société qui permet aux dirigeants de maintenir les risques à un niveau acceptable pour la société.

Le risque représente la possibilité qu’un événement survienne et dont les conséquences seraient susceptibles d’affecter les personnes, les actifs, l’environnement, les objectifs de la société ou sa réputation.

La gestion des risques est un levier de management de la société qui contribue à :

• créer et préserver la valeur, les actifs et la réputation de la société,

• sécuriser la prise de décision et les processus de la société pour favoriser l’atteinte des objectifs,

• favoriser la cohérence des actions avec les valeurs de la société,

• mobiliser les collaborateurs de la société autour d’une vision commune des principaux risques et les sensibiliser aux risques inhérents à leur activité. »

(Cf. document : Les Dispositifs de gestion des risques et de contrôle interne : cadre de référence 2010.)

images Des principes généraux de contrôle interne

« Le contrôle interne est un dispositif de la société, défini et mis en œuvre sous sa responsabilité.

Il comprend un ensemble de moyens, de comportements, de procédures et d’actions adaptés aux caractéristiques propres de chaque société qui :

• contribue à la maîtrise de ses activités, à l’efficacité de ses opérations et à l’utilisation efficiente de ses ressources, et

• doit lui permettre de prendre en compte de manière appropriée les risques significatifs, qu’ils soient opérationnels, financiers ou de conformité. Le dispositif vise plus particulièrement à assurer :

• la conformité aux lois et règlements ;

• l’application des instructions et des orientations fixées par la direction générale ou le directoire ;

• le bon fonctionnement des processus internes de la société, notamment ceux concourant à la sauvegarde de ses actifs ;

• la fiabilité des informations financières.

Le contrôle interne ne se limite donc pas à un ensemble de procédures ni aux seuls processus comptables et financiers.

La définition du contrôle interne ne recouvre pas toutes les initiatives prises par les organes dirigeants ou le management comme par exemple la définition de la stratégie de la société, la détermination des objectifs, les décisions de gestion, le traitement des risques ou le suivi des performances. »

(Cf. document : Les Dispositifs de gestion des risques et de contrôle interne : cadre de référence 2010.)

• Périmètre du contrôle interne

Il appartient à chaque société de mettre en place un dispositif de Contrôle Interne adapté à sa situation.

Dans le cadre d’un groupe, la société mère veille à l’existence de dispositifs de Contrôle Interne au sein de ses filiales. Ces dispositifs devraient être adaptés à leurs caractéristiques propres et aux relations entre la société mère et les filiales.

• Composantes du dispositif de Contrôle Interne

La Direction Générale ou le Directoire conçoivent le dispositif de Contrôle Interne. Celui-ci fait l’objet d’une communication adéquate en vue de sa mise en œuvre par le personnel.

Le niveau d’implication des Conseils d’Administration ou de Surveillance en matière de Contrôle Interne varie d’une société à l’autre. Il appartient à la Direction Générale ou au Directoire de rendre compte au Conseil (ou à son comité d’audit lorsqu’il existe) des caractéristiques essentielles du dispositif de Contrôle Interne. En tant que de besoin, le Conseil peut faire usage de ses pouvoirs généraux pour faire procéder par la suite aux contrôles et vérifications qu’il juge opportuns ou prendre toute autre initiative qu’il estimerait appropriée en la matière.

Le Contrôle Interne est d’autant plus pertinent qu’il est fondé sur des règles de conduite et d’intégrité portées par les organes de gouvernance et communiquées à tous les collaborateurs. Il ne saurait en effet se réduire à un dispositif purement formel en marge duquel pourraient survenir des manquements graves à l’éthique des affaires.

Le dispositif de Contrôle Interne, qui est adapté aux caractéristiques de chaque société, doit prévoir :

• une organisation comportant une définition claire des responsabilités, disposant des ressources et des compétences adéquates et s’appuyant sur des procédures, des systèmes d’information, des outils et des pratiques appropriés ;

• la diffusion en interne d’informations pertinentes, fiables, dont la connaissance permet à chacun d’exercer ses responsabilités ;

• un système visant à recenser et analyser les principaux risques identifiables au regard des objectifs de la société et à s’assurer de l’existence de procédures de gestion de ces risques ;

• des activités de contrôle proportionnées aux enjeux propres à chaque processus et conçues pour réduire les risques susceptibles d’affecter la réalisation des objectifs de la société ;

• une surveillance permanente du dispositif de Contrôle Interne ainsi qu’un examen régulier de son fonctionnement. Cette surveillance, qui peut utilement s’appuyer sur la fonction d’audit interne de la société lorsqu’elle existe, conduit, le cas échéant, à l’adaptation du dispositif de Contrôle Interne.

La Direction Générale ou le Directoire apprécient les conditions dans lesquelles ils informent le Conseil des principaux résultats des surveillances et examens ainsi exercés. (Source : Le Dispositif de Contrôle Interne : Cadre de référence.)

images Un guide d’application relatif au contrôle interne de l’information comptable et financière :

Les processus traités dans ce guide peuvent être synthétisés comme suit :

images Deux questionnaires de portée générale, l’un relatif au contrôle interne comptable et financier, l’autre à l’analyse et à la maîtrise des risques :

Quelques questions relatives au contrôle interne comptable et financier sont présentées ci-dessous :

• Système d’information comptable et financier

• Les procédures et les systèmes d’information sont-ils développés avec pour objectif de satisfaire aux exigences de fiabilité, de disponibilité et de pertinence de l’information comptable et financière ?

• Les systèmes d’information relatifs à l’information financière et comptable font-ils l’objet d’adaptations pour évoluer avec les besoins de la société ?

• La Direction Générale s’est-elle assurée que les obligations de conservation des informations, données et traitements informatiques concourant directement ou indirectement à la formation des états comptables et financiers étaient respectées ?

Vous trouverez ci-après d’autres exemples de questions relatives à l’analyse et à la maîtrise des risques :

• Analyse des principaux risques

• Pour les principaux risques identifiés, l’entreprise réalise-t-elle une analyse des incidences potentielles (chiffrées ou non, financière ou non financière), et du degré de maîtrise estimé ?

• L’analyse des risques tient-elle compte des évolutions internes ou externes à la société ?

• Ces analyses donnent-elles lieu à des actions spécifiques ? La responsabilité de ces actions est-elle définie ? Le cas échéant, la mise en œuvre de ces actions est-elle suivie ? (Source : Le Dispositif de Contrôle Interne : Cadre de référence.)

I.1.5 L’approche moderne et proactive du Contrôle Interne

Notre vision du Contrôle Interne s’inscrit bien évidemment dans le cadre général énoncé par les approches précédentes mais nous voudrions montrer qu’une autre voie à dominante plus opérationnelle est également possible. C’est pourquoi, nous préférons recentrer notre définition sur la maîtrise permanente des activités dans une acceptation très large grâce à une méthodologie rigoureuse d’évaluation des risques.

Nous vous proposons donc la définition suivante : « Le Contrôle Interne est une démarche de détermination des risques ayant pour objectif la maîtrise permanente des activités. »

De facto, il convient tout d’abord de quantifier, d’évaluer et de hiérarchiser les différents risques identifiés en utilisant une méthodologie rigoureuse. Ce travail est mené à l’aide d’une méthodologie de Maîtrise Interne des RIsques et Sécurité dite méthode MIRIS qui est très largement développée dans le chapitre II ci-après.

Sur un plan purement théorique, elle se caractérise également par trois aspects : une finalité, des objectifs à atteindre et des principes d’organisation.

images Les caractéristiques du Contrôle Interne

• Permanence : le Contrôle Interne s’inscrit dans la continuité et la pérennité de l’organisme, il doit s’adapter à l’évolution de l’environnement de l’organisation.

• Universalité : le Contrôle Interne concerne l’ensemble des activités de l’entreprise et doit être mis en œuvre par l’ensemble du personnel.

• Indépendance : les objectifs du Contrôle Interne doivent être respectés quels que soient les moyens et les méthodes de l’entreprise.

• Harmonie : le Contrôle Interne doit être adapté aux caractéristiques de l’entreprise et à son environnement.

images Les objectifs du Contrôle Interne

• Existence : vérifier la réalité des données saisies, transmises et traitées.

• Exhaustivité : enregistrement de toutes les données justifiées et seulement celles-là.

• Intégrité des données : vérifier que les données sont exactes et correctement évaluées.

• Autorisation : s’assurer que les tâches sont effectuées par les personnes habilitées.

images Les principes d’organisation

• Séparation des tâches : faire intervenir plusieurs secteurs ou plusieurs personnes dans les phases successives de réalisation.

• Supervision : obtenir la garantie de la qualité des tâches exécutées.

• Dispositif : ensemble des mesures prises, des moyens mis en œuvre dans le but d’atteindre les objectifs de Contrôle Interne.

De plus, certains facteurs de base peuvent également être considérés comme essentiels au bon fonctionnement du processus de Contrôle Interne :

• une organisation logique qui établit clairement les responsabilités et sépare nettement les différentes fonctions au sein de l’entreprise. En effet, l’un des concepts de base du Contrôle Interne est qu’une même personne ne doit pas avoir la responsabilité, à tous les stades, d’une transaction de son origine à son aboutissement.

• une structure adéquate, un manuel de procédures décrivant dans le détail les schémas des circuits des informations. L’uniformité de traitement de l’information est une condition nécessaire à la fiabilité des documents comptables. Cette homogénéité ne pourra cependant être obtenue que si la manière de traiter les informations est connue des employés chargés de l’appliquer. Le moyen le plus efficace reste l’écrit.

I.2 L’intérêt général d’une démarche de contrôle interne

I.2.1 Rôles et valeur ajoutée du Contrôle Interne

Comme énoncé précédemment, le Contrôle Interne est un processus mis en œuvre par le conseil d’administration, les dirigeants et le personnel d’une organisation, destiné à fournir une assurance raisonnable quant à la réalisation des objectifs suivants :

• permettre la réalisation et l’amélioration des opérations,

• garantir l’intégrité, la pertinence et la permanence des informations,

• assurer la protection et la sauvegarde du patrimoine,

• assurer l’application des lois, des réglementations en vigueur et des instructions de la Direction Générale.

On ne peut donc plus considérer le Contrôle Interne comme une démarche isolée. Le Contrôle Interne est un ensemble d’actions/décisions qui se doit d’être pris en compte dans toutes les activités de l’organisation. Il est ainsi intégré aux procédures. Par conséquent, le Contrôle Interne est un moyen pour arriver à des fins ; il n’est pas une fin en soi.

Le Contrôle Interne est un processus transversal mis en œuvre par le Conseil d’Administration, les dirigeants, le personnel et notamment les « process owners » (propriétaires de processus). Dans le même temps, de nouveaux acteurs interviennent dans le processus de Contrôle Interne tels que le législateur et les autorités de tutelle, les organisations professionnelles et le comité d’audit. Ces nouveaux acteurs donnent au Contrôle Interne une dimension obligatoire et incontournable instaurant de nouvelles contraintes pour les entreprises.

Quelles sont les principales limites de l’apport d’un dispositif de Contrôle Interne ?

Tout d’abord, un système de Contrôle Interne, si perfectionné soit-il, n’est pas systématiquement respecté :

• une intention de nuire peut enrayer le processus,

• les risques ne sont jamais mis sous contrôle dans leur intégralité,

• un processus de Contrôle Interne ne prévient pas des erreurs de jugements,

• le Contrôle Interne ne prévient pas des évolutions externes à l’organisation.

Ensuite, les objectifs sont souvent distincts les uns des autres mais ils doivent se recouper de manière homogène dans l’organisation générale, ce qui n’est pas forcément le cas si ces objectifs deviennent contradictoires. Par exemple, un objectif de séparation des tâches répondant à une problématique purement Contrôle Interne mais nécessitant des moyens supplémentaires peut être arbitré avec un objectif d’amélioration de la performance conduisant à restreindre les moyens.

I.2.2 Positionnement du Contrôle Interne vis-à-vis des fonctions transverses (audit, qualité, contrôle de gestion, déontologie…)

images Le Contrôle Interne et l’Audit Interne

Le dispositif de Contrôle Interne est complété par la fonction d’Audit Interne, organe indépendant au sein de l’organisation, rattaché de préférence à la Direction Générale et véritable pierre angulaire de l’édifice. Ces missions sont d’être garantes du respect et de la bonne application des règles du Groupe et d’évaluer l’efficacité de règles locales qui ont été édictées et mises en œuvre sur le terrain.

L’Audit Interne (ou le Contrôle Interne de second degré) évalue le degré de maîtrise des opérations au sein d’une organisation, lui apporte ses conseils pour les améliorer, et contribue à créer de la valeur ajoutée.

L’Institut de l’Audit Interne (IFACI) précise, quant à lui, que : « L’Audit Interne est une activité indépendante et objective qui donne à une organisation une assurance sur le degré de maîtrise de ses opérations, lui apporte ses conseils pour les améliorer, et contribue à créer de la valeur ajoutée.

Il aide cette organisation à atteindre ses objectifs en évaluant, par une approche systématique et méthodique, ses processus de management des risques, de contrôle, et de gouvernement d’entreprise, et en faisant des propositions pour renforcer leur efficacité. »

(Définition approuvée le 21 mars 2000 par le Conseil d’Administration de l’IFACI. Traduction de la définition internationale approuvée par l’IIA le 29 juin 1999.)

L’Audit Interne évalue donc la maîtrise du processus de Contrôle Interne.

images Le Contrôle Interne et la qualité

Le système de management par la qualité est l’élément du système de management de l’organisme qui se concentre sur l’obtention des résultats, en s’appuyant sur les objectifs qualité, pour satisfaire, selon les cas, les besoins, les attentes ou exigences des parties intéressées.

Il repose en général sur 8 grands principes :

• orientation client,

• leadership,

• implication du personnel,

• approche par processus,

• management par approche système,

• amélioration continue,

• approche factuelle pour la prise de décision,

• relation mutuellement bénéfique avec les fournisseurs.

images Le système de management de la qualité apparaît comme une composante du système de Contrôle Interne focalisée sur la dimension « respect des objectifs qualité » et ciblée sur les attentes des clients et des autres parties intéressées.

images Le Contrôle Interne et la Gestion des Risques

La Gestion des Risques est une politique d’entreprise qui permet d’assurer la continuité de l’activité coûte que coûte. Il lui est nécessaire d’avoir une vision globale de l’activité dans son actualité et par rapport à des situations extrêmes afin de pouvoir apporter des solutions concrètes.

La Gestion des Risques repose sur une auto-identification des risques afin de bâtir une autoprévention de ces risques.

images Le Contrôle Interne versus la Gestion des Risques est alors un outil indispensable dans l’élaboration d’une politique de contrôle des risques.

images Le Contrôle Interne et la déontologie

Le contrôle éthique et déontologique se porte garant que l’organisation (et ses collaborateurs) se conforme à la lettre et à l’esprit de tous les codes, lois, règlements, normes et bonnes pratiques professionnelles. Cette fonction garantie que l’activité est exercée avec intégrité et professionnalisme.

Son responsable devra précisément identifier les points de contrôle déontologiques.

images Le Contrôle Interne se doit d’intégrer la définition des règles et le cadre de référence de la fonction déontologie dans la mise en place des procédures.

Le déontologue doit donner un avis sur une situation. La tendance actuelle dans les organisations est la nomination d’un déontologue qui se porte garant de tout manquement significatif, vis-à-vis des régulateurs extérieurs.

images Le Contrôle Interne et le contrôle de gestion

Le contrôle de gestion est un processus visant à mieux connaître et mieux comprendre l’activité de l’entreprise. Ses actions prennent place tant en prévisions et travaux préalables qu’en constatations postérieures, tant en réflexions, analyses et conseils qu’en production de tableaux de bord et de commentaires.

Il intègre les données comptables mais aussi les éléments commerciaux, techniques, qualitatifs et humains.

Il se doit de donner une meilleure visibilité générale afin de permettre à l’organisation une réactivité accrue par rapport aux risques et opportunités.

images Le Contrôle Interne est un outil pour garantir au contrôle de gestion la fiabilité des informations traitées et pour améliorer la réalisation des objectifs.

I.2.3 Zoom sur les aspects réglementaires : Loi de Sécurité Financière, travaux de la Communauté européenne et Solvabilité II

images La loi de Sécurité Financière

• Les principes fondateurs

À l’instar de la loi Sarbanes-Oxley, la LSF se veut « une réponse, à la fois politique et technique, à la crise de confiance dans les mécanismes du marché et aux insuffisances de régulation dont le monde économique et financier a pris conscience1 » suite à divers scandales financiers et à l’effondrement de grandes entreprises multinationales.

Pour les pouvoirs publics, il convenait de « réguler le capitalisme2 », de rétablir le « pacte de confiance dans l’économie de marché3 » et de faire de cette crise boursière une opportunité pour progresser.

La LSF, votée le 1er août 2003, impose au Président du Conseil d’Administration ou de Surveillance de toute société anonyme de rendre compte :

• des conditions de préparation et d’organisation des travaux du Conseil,

• des procédures de Contrôle Interne mises en place au sein de la société.

Trois articles majeurs au sein de ce texte de loi concernent particulièrement les sociétés anonymes :

• Art 117 (texte original) : le Président du Conseil (d’Administration des sociétés anonymes et des sociétés faisant appel public à l’épargne ; le Président de leur Conseil de Surveillance) doit rendre compte dans un rapport présenté à l’Assemblée Générale, des conditions de préparation et d’organisation des travaux du Conseil ainsi que des procédures de Contrôle Interne mises en place par la société.

• Art 120 (texte original) : le commissaire aux comptes doit vérifier la sincérité des informations et déclarations contenues dans le rapport du Président pour ce qui est des procédures de Contrôle Interne relatives à l’élaboration et au traitement de l’information comptable et financière et présenter ses observations dans son rapport annuel.

• Art 122 (texte original) : instauration de l’AMF (Autorité des Marchés Financiers) qui se substitue à la COB (Commission des Opérations de Bourse) et au CMF (Conseil des Marchés Financiers) et qui devra établir chaque année un rapport sur la base des informations qui auront été publiées.

Le Sénat revient sur la loi, un an après sa promulgation, et fait un bilan de sa mise en œuvre dans un rapport d’information nº 431 (2003-2004), de M. Philippe MARINI, Sénateur de l’Oise, au nom de la commission des finances du Sénat.

Il en ressort que les acteurs de la vie financière se sont rapidement appropriés la loi, avec notamment la création rapide de l’AMF dès novembre 2003.

Il en ressort également que l’ensemble des entreprises est maintenant sensibilisé au renforcement des obligations en matière d’information sur le Contrôle Interne et sur l’organisation des travaux du Conseil, mais que subsistent des difficultés d’interprétation et d’application avec notamment le « faux-débat » sur la sémantique « rendre compte » : description ou évaluation du Contrôle Interne ?

Extraits :

« iii. fiabiliser la chaîne de valeur de l’information financière

a. le renforcement des obligations en matière d’information sur le contrôle interne et sur l’organisation des travaux du conseil

Des difficultés d’application et d’interprétation

Description ou évaluation : un faux débat.

« Sans doute faut-il relativiser le débat entre description et évaluation qui est souvent présenté de manière trop caricaturale. Il ne s’agit naturellement pas de demander à l’entreprise de procéder à une autocritique qui pourrait avoir des effets destructeurs. Il s’agit d’encourager l’adoption d’une perspective dynamique orientée vers le progrès, plutôt que figée sur l’existant. Le consensus en faveur d’une démarche descriptive ne doit pas constituer un prétexte à l’adoption d’une démarche superficielle qui constituerait alors une formalité supplémentaire à la charge des entreprises, sans véritablement induire en contrepartie de conséquences sur leurs comportements et leurs méthodes. »

« L’exigence d’une analyse suffisamment fine et d’une perspective dynamique devrait permettre de dépasser le débat stérile entre description et évaluation. »

Néanmoins cette loi pose une question d’interprétation fondamentale : qu’entend-on par Procédure de Contrôle Interne ?

Plusieurs définitions existent. On peut reprendre celle de la CNCC ou du COSO, ou encore celle du MEDEF (Mouvement des Entreprises Française) qui en a restreint le champ :

« Les procédures de Contrôle Interne veillent à ce que les actes de gestion ou de réalisation des opérations ainsi que les comportements des personnels, s’inscrivent dans le cadre défini par les orientations données aux activités de l’entreprise par les organes sociaux, par les lois et les règlements applicables, et par les valeurs, normes et règles internes de l’entreprise.

Par ailleurs, elles permettent de vérifier que les informations comptables, financières et de gestion communiquées aux organes sociaux de la société reflètent avec sincérité l’activité et la situation de l’entreprise. »

D’autre part, il est intéressant de noter que le champ d’application de la LSF a été limité aux sociétés anonymes faisant appel public à l’épargne (APE) dans le cadre de la loi Breton du 26 juillet 2005.

• La LSF et son rapport

La LSF impose de produire un rapport joint au rapport de gestion des sociétés conformément aux dispositions des articles L. 225-37 et L. 225-68 du Code du commerce au titre des exercices ouverts à partir du 1er janvier 2003.

Sous la responsabilité du Conseil d’Administration (ou de Surveillance), il revient à la Direction Générale / Directoire de définir et de mettre en œuvre des procédures de Contrôle Interne adéquates et efficaces.

Il appartient au Président du Conseil d’Administration ou de Surveillance d’en rendre compte dans son rapport.

La responsabilité civile collective des administrateurs / membres du Conseil de Surveillance peut être engagée, sans occulter celle du Directeur Général / Directoire, pour toute faute commise dans l’exécution de leur mandat (notamment défaut de Contrôle Interne).

• La LSF et la diffusion de son rapport

Aux termes des articles L. 225-37 et L. 225-68 du Code de Commerce, le rapport du Président doit être joint au rapport de gestion du Conseil d’Administration (ou de Surveillance). Dans le cas d’une société tête de Groupe, il est également joint au rapport sur l’activité du Groupe.

En conséquence, il va suivre les règles de publicité suivantes :

• envoi aux actionnaires sur leur demande ou mise à leur disposition (art. 135 du décret du 23 mars 1967),

• présentation (et non lecture) à l’Assemblée Générale ordinaire annuelle des actionnaires (art. L. 225-100),

• dépôt au greffe du Tribunal de commerce (art. L. 232-23).

Le Conseil d’Administration (ou de Surveillance) doit-il formellement prendre connaissance du rapport ?

La loi reste muette sur ce point. Néanmoins, il serait préférable que le rapport soit officiellement présenté au Conseil d’Administration (ou de Surveillance) et, plus précisément, à l’occasion de l’arrêté des comptes annuels.

L’art. L. 621-18-3 du Code monétaire et financier prévoit que les sociétés cotées rendent publiques les informations dans les conditions fixées par le règlement général de l’AMF (Autorité des Marchés Financiers) : mise à disposition sous format électronique sur le site de l’AMF, et sur le site de l’émetteur lorsqu’il dispose d’un tel site.

• La LSF et le rôle des commissaires aux comptes

Les Commissaires aux Comptes (CAC) doivent faire part de leurs propres observations sur le rapport du Président « pour celles des procédures de Contrôle Interne qui sont relatives à l’élaboration et au traitement de l’information comptable et financière » (article L. 225-235 du Code de Commerce et art. 120 de LSF) :

• le CAC doit lui aussi rédiger un rapport spécial, lequel sera joint à son rapport général. Dans ce cadre, il est nécessaire que le CAC dispose des informations utiles à son établissement (la CNCC précise que le contenu du rapport du président doit être suffisamment documenté afin de permettre aux CAC de mettre en œuvre leurs diligences),

• selon l’ANSA (Association Nationale des Sociétés Anonymes), « le CAC n’a pas à porter de jugement sur l’efficacité du Contrôle Interne et doit se borner à vérifier l’exactitude factuelle des informations contenues dans le rapport ; en cas d’inexactitude, il doit la signaler ».

S’agissant de la publicité attachée au rapport spécial du CAC, ce dernier étant généralement joint au rapport général, suivra les mêmes règles de publicité :

• envoi aux actionnaires sur leur demande ou mise à leur disposition (art. 135 du décret du 23 mars 1967),

• présentation à l’Assemblée Générale ordinaire annuelle des actionnaires (art. L. 225-100),

• dépôt au greffe du Tribunal de commerce (art. L. 232-23).

• La LSF et les sanctions

Comme beaucoup de dispositifs mis en place ces dernières années par le législateur, le non établissement du rapport sur les procédures de Contrôle Interne n’entraîne pas de sanction particulière, mais uniquement une mention de carence portée dans le rapport spécial du Commissaire aux Comptes, et une éventuelle responsabilité civile du Président si un tiers intéressé s’estime lésé par une telle carence ou, éventuellement, par la production d’un rapport fallacieux.

Pour ce qui concerne les sociétés cotées, en revanche, outre la sanction du marché, seront éventuellement applicables les sanctions prévues dans le cadre de la diffusion de fausses informations de nature à modifier le fonctionnement du marché, infraction sanctionnée à la fois par une ordonnance du 28 septembre 1967 et un règlement COB – loi du 2 août 1989 –, revêtant ainsi une double qualification : pénale et administrative.

Néanmoins, l’intérêt est également en interne dans la mesure où le dispositif doit automatiquement entraîner les entreprises à s’interroger sur la pertinence de leur Contrôle Interne, à en vérifier l’efficacité et donc à améliorer leur sécurité juridique. C’est une opportunité à saisir pour un Groupe afin de s’assurer de la maîtrise de ces risques et de sensibiliser les opérationnels à leur environnement de contrôle et aux notions de Contrôle Interne.

images Ordonnance du 8 décembre 2009

Cf. Annexe nº 1.

images Solvabilité II

Depuis 2005, le monde des assurances est entré – comme l’on déjà fait les bancassureurs avec le projet Bâle II – dans une logique de renforcement des exigences en matière de suivi des risques et de Contrôle Interne. Plus particulièrement, c’est l’analyse même de la solvabilité des entreprises d’assurance4 qui va connaître de profondes mutations. Ces mutations touchent autant les aspects qualitatifs relatifs à la Gouvernance et au Contrôle Interne (Pilier 2), que les méthodes et règles d’analyse quantitatives de la solvabilité (Pilier 1).

Le présent document propose une synthèse des travaux en cours sur ces points.

images Rappel des principales caractéristiques de Solvabilité I

L’analyse de la solvabilité telle que requise par les autorités de contrôle françaises, en application des Directives Européennes « Solvabilité 1 » des années 1970 (mises à jour en 2002 et 2003) repose sur les principes suivants :

• Justesse du provisionnement

Il s’agit de s’assurer que les engagements pris par l’organisme d’assurance sont bien identifiés et que les provisions constituées sont « bonnes ». Cela nécessite, sur ce dernier point, de disposer de données fiables, d’utiliser des méthodes actuarielles usuelles et de retenir des hypothèses prudentes.

• Respect de règles quantitatives et qualitatives sur les actifs admis en représentation des engagements

Les actifs (incorporels, immobiliers, mobiliers, réassurance, etc.) doivent répondre à des règles stricts d’investissement (règles de dispersion, de diversification, de congruence, etc.).

• Respect des exigences de marge de Solvablité

L’entreprise d’assurance doit faire état d’une bonne couverture des exigences de marge de solvabilité à court, moyen et long termes. En d’autres termes, les Fonds Propres (et d’autres éléments tels que les titres subordonnés, la réserve de capitalisation et aussi, ce qui est plus discutable, les plus-values latentes) doivent être significativement supérieurs à l’exigence de marge de solvabilité.

Cette dernière correspond, suivant les activités, à un pourcentage des provisions en Vie, des cotisations ou de la charge de sinistres en Non Vie (cf. état ministériel C6).

Ces dispositions ont été enrichies en 2003 avec la mise en place du test d’exigibilité (cf. état ministériel C6 bis). En cas de risque de liquidité avéré, les autorités de contrôle peuvent demander des compléments de fonds propres.

L’ensemble de ces éléments doit être détaillé dans le rapport de solvabilité annuel.

L’approche « Solvabilité 1 », qui n’a pas failli à ce jour en France, présente néanmoins des limites indéniables :

• Le système des ratios utilisé pour calculer l’exigence de marge de solvabilité s’applique à des grandeurs comptables telles que les provisions, alors même que cette notion n’est pas homogène à travers l’Europe. Plus généralement, les systèmes comptables ne sont pas encore comparables (malgré les normes IFRS pour les comptes consolidés des entreprises faisant appel public à l’épargne), ne serait-ce par exemple qu’au niveau du traitement des actifs (valeur comptable vs valeur historique).

• Les risques ne sont pas toujours appréhendés dans le détail et de manière explicite mais au travers de méthodes et d’hypothèses « prudentes ».

• L’approche Solvabilité 1 ne pénalise pas systématiquement les entreprises qui sous-provisionnent ou qui sous-tarifient les risques, mais pénalise en revanche les entreprises qui tarifient ou provisionnent avec des marges de prudence importantes.

La Commission Européenne a donc annoncé son intention de présenter une directive5 en matière d’assurance « Solvabilité II » dont les effets sont présentés comme pouvant modifier en profondeur le contexte de l’exercice de l’activité d’assurance.

Le Comité Européen des Contrôleurs des Assurances et des Pensions professionnelles (CEIOPS), au sein duquel l’ACP (Autorité de Contrôle Prudentiel) est le représentant français, est régulièrement consulté par la Commission Européenne pour lui apporter avis et éclairages durant la phase de préparation de cette directive. Le CEIOPS a ainsi été mandaté pour mener des études quantitatives d’impact (QIS Quantitative Impact Studies) auprès des compagnies d’assurance, des mutuelles et des institutions de prévoyance.

La quatrième étude QIS4 se déroulera d’avril à juillet 2008. Un pré-cahier des charges est disponible depuis fin décembre 2007.

images Les principes de Solvabilité II

Le projet Solvabilité II offre avant tout un cadre formel pour la gestion des risques au sein des entreprises d’assurance, tant sur le plan quantitatif que sur le plan qualitatif. Les principes d’analyse sont les suivants :

• L’ensemble des risques devra être étudié

La directive propose sa classification des risques et distingue les risques techniques et financiers d’une part et les risques opérationnels d’autre part (cf. figure 1). Ces derniers constituent ce que l’on nomme le Pilier 2 de la future Directive.

Nous ne présenterons pas dans ce qui suit l’exhaustivité du contenu du pilier 2 car il concerne essentiellement la maîtrise des activités et la mise en place d’un dispositif de contrôle interne (partie largement développée dans l’ensemble de l’ouvrage).

Néanmoins, en synthèse, le pilier 2 impose une connaissance exhaustive et une maîtrise totale des risques et aborde cette maîtrise en imposant la mise en œuvre de procédures de Contrôle Interne et de gestion des risques opérationnels : processus, personnes, systèmes d’information, sécurité physique, événements externes…

Les principaux thèmes mis en avant dans le cadre de l’évolution des règles de solvabilité sont :

• la gouvernance des organismes d’assurance,

• le contrôle et la gestion des procédures, des risques et des aspects financiers,

• la mise en place de modèles internes de gestion des risques.

• Les risques devront être étudiés de manière prospective

Il s’agira d’appréhender les conséquences sur la situation nette de l’entreprise de la survenance des risques analysés.

• La richesse économique de l’organisme d’assurance devra être supérieure à une exigence extra-comptable

La norme Solvabilité II propose une refonte complète du cadre comptable, qui devient davantage économique.

La richesse de l’assureur correspondra à la différence entre les actifs et les passifs (en valeur de marché). Malgré une volonté de convergence entre le cadre comptable Solvabilité II et celui des normes IFRS (encore en cours de discussion pour les contrats d’assurances), des divergences pourraient subsister dans les modalités de calcul de la valeur des passifs principalement.

D’autres éléments seront pris en compte dans la mesure de la richesse, s’ils sont effectivement mobilisables en cas de problèmes (certains titres subordonnés notamment). Certains éléments de richesse moins « sûrs » a priori (comme par exemple la faculté d’effectuer des rappels de cotisations en cas de forte sinistralité) pourront également être pris en compte, dans des proportions moindres.

1. Communication de F. Mer au Conseil des ministres du 5 février 2003.

2. Entretien avec M. Prada, président de l’AMF.

3. Discours de F. Mer devant l’Assemblée Nationale, le 29 avril 2003.

4. Les trois familles d’assureurs sont visées par les réformes en cours : mutuelles (Code de la Mutualité), Institutions de Prévoyance (Code de la Sécurité Sociale), Compagnies d’Assurances (Code des Assurances).

5. Cf. projet de Directive proposé par la Commission Européenne proposée le 10 juillet 2007.