Contrôle interne Cour N°3

Sommaire 1. Généralité sur le CI - Définition du CI - Les causes d’évolution du CI - Référentiel du CI (COSO) - Les spécificités du CI en AI - Les objectifs du CI 2. Le cadre de maîtrise d’une entité (les composantes du CI) 3. Les acteurs du CI 4. Les étapes de mise en œuvre du CI

questions C’es quoi le CI ? Quel es sa relation avec AI ? Quel rôle joue t il ? Comment aider à mieux maitriser les activités des entreprises ?

1. Définition : Selon l’Ordre des experts comptables français: Le CI est ensemble des sécurités contribuant à la maitrise de l’entreprise Il a pour but d’un coté: - d’assurer la protection - la sauvegarde du patrimoine - la qualité de l’information D’un autre coté: - l’application des instructions de la direction - favorisé l’amélioration des performances il se manifeste par l’organisation, les méthodes et les procédures de chacune des activités de l’entreprise.

Selon Consultative Committee of Accountancy de la Grande Bretagne: Le CI comprend l’ensemble des systèmes de contrôle financiers et autres, mis en place par la direction afin de: - pouvoir diriger les affaires de l’entreprise de façon ordonner et efficace - assurer le respect des politiques de gestion - sauvegarder les actifs - garantir l’exactitude des informations enregistrées

2. Les causes d’évolution du CI - La complexité croissante des entreprises - La dispersion des centres d’activité - La délégation du pouvoir, cette pratique n’es pas sans danger pour l’entreprise, il y a lieur de dire que certain scandale financier revient defois par une perte de contrôle du management sur ces collaborateurs, une perte de contrôle des actionnaires ou autorités de tutelle sur le management - L’évolution et l’étendue des lois, règlements, contraintes professionnelles, budgétaires et sociales, enserrent le gestionnaire dans un réseau de règle à respecter

3. Référentiel du CI (COSO) Création aux USA de la (commission Treadway) au début des années 80 Cette commission s’est développé pour devenir un comité universelle sous le nom de COSO (Committee of Sponsoring Organisation) Cette comité a réuni les experts et des professionnels représentant dans IIA, cabinets comptables et de grandes entreprises américaines. Cette comité a édité tout ces travaux dans un ouvrage sous le titre (la pratique du contrôle interne) Cette ouvrage pause la question suivante ; comment faire pour maitriser aux mieux ses activité ? Cette question s’adresse des responsables et employés de l’entreprise COSO propose un cadre de contrôle, c’est-à-dire il met de l’ordre dans cet ensemble flou de moyens et de pratiques que chacun utilise pour gérer aux mieux ces activités la référentiel international COSO s’est développé pour devenir la COSO 2 en 2003.

4. les spécificités du CI en AI: Elles peuvent s’apprécier sous trois aspects: 4.1 dimension culturelle: L’appréciation de l’auditeur interne du système de CI selon le cadre culturel de son entreprise. On peu considérer qu’il y a deux organisation : - Celles qui sont relativement jeunes, leurs préoccupations : La conquête de marché, d’expansion, développement du CA Dans ces entreprises l’urgence ces la règles donc : les actions et les décisions doivent être facile, souple. Elle fonctionne avec un CI léger peu contraignant Pour les entreprises arrivés a leurs maturités, les risques sont proportionnels à l’importance des affaires, elle s’attache :. A la précision des procédures. Au rationalisation des organisations. L’exhaustivité des informations

4.2 dimension universelle: Le CI concerne toutes les activités de l’entreprise, il se construit avec les même dispositifs, il s’apprécier avec les même outils et les même méthode dans tous les domaines. 4.3 dimension relative: Le CI n’est pas une fin en soi, ce système doit être adapter, des procédures inutiles compliquées, une organisation mise en place exagérer et complexes amènent a un dysfonctionnement, des pertes d’efficacité et d’immobilismes couteux pour l’entreprise.

5. Les objectifs du CI: On peut les regrouper sous 4 rubriques: - Sécurité des actifs - Qualité de l’information - Respect des directives - Optimisation des ressources

5.1 Sécurité des actifs: La première norme de fonctionnement de l’audit (La norme 2110.A2) parle de la protection et la sauvegarde du patrimoine que l’auditeur interne doit contrôler et donner son appréciation. La notion du patrimoine a un sens plus large que les actifs immobilisés tel que les actifs matériels, les actifs immatériels et financiers, elle concerne également : - Les employés qui constituent un patrimoine de l’entreprise; on trouve ici le risque sécuritaire, risque social; - L’image de l’entreprise, certain incident qui peut nuire a l’entreprise; - La technologie; - Les informations confidentielle de l’entreprise;

5.2 la qualité de l’information: Le CI doit garantir la bonne qualité de l’information à savoir: La fiabilité : qui doit comporter un système de preuve La pertinence: l’information ne doit pas être superflu, elle doit être adaptée au but poursuivi La disponibilité a n’importe quel moment L’exhaustivité: car il ne sert à rien d’avoir des informations exactes si elles ne sont pas complètes

5.3 Respect des directives : Elle ne se limitent pas aux lois, règlement et contrats, il peut y avoir des dispositions individuelles ou conjoncturelles. Le CI éviter que les audits de conformité ne révèlent des failles ou des insuffisances dues a l’absence de respect des instructions.

5.4 Optimisation des ressources: Les ressources sont l’ensemble des moyens humains, matériels ou financiers dont dispose une entité et qu'elle utilise pour atteindre ses objectifs. Le contrôle interne doit permettre de s'assurer que les ressources disponibles : sont adaptées aux objectifs (cohérence avec les objectifs) ; correspondent aux besoins réels de l’entité (adéquation ) a-t-elle des moyens de sa politique? Es ce que les moyens dont dispose l’entreprise sont utilisés de façon optimal?

6. Les composantes du CI Le référentiel COSO pour évaluer l’efficacité du processus de CI d’une entreprise, 5 composantes étroitement liées qui découlent de la manière dont l’activité est gérée. Les 05 composantes du référentiel COSO sont représentés sous forme pyramidale: - un environnement de contrôle favorable - une évaluation des risques - des activités de contrôle - une information et une communication - un pilotage

6.1 environnement de contrôle : Avoir une éthique, une politique, une organisation - Une éthique : l’existence de codes de conduite et de règle d’éthique. les dirigeants doit donner l’exemple non seulement dans les discours mais également dans les comportements avec le personnel les clients les fournisseurs les administrations … - Une politique d’organisation exemplaire : tel que la délégation de pouvoir clairement définis, une adaptation des compétences aux postes attribués, une gestion des RH transparent et connue de tous ces éléments vont constituer le socle sur lequel va se construire le CI

- L’organisation de l’entité: doit exprimer cette politique, La direction, agissant sous la surveillance du conseil d’administration, définie la structure, les rattachements, ainsi que les pouvoirs et les responsabilités appropriés pour atteindre les objectifs. Le CI ne peut exister si les délégations de pouvoir ne sont pas claire et définies, ni respectées, si l’organisation n’est pas adapter aux objectifs

6.2 une évaluation des risques: Pour maîtrisé ses activités et atteindre ses objectifs, c’est de gérer ses risques. Comment mettre en place des dispositifs adéquats selon les risques? Qu’es ce qu’un risque ? L’IFACI définit le risque « c’est la menace qu’ un événement ou une action ait un impact défavorable sur la capacité de l’entreprise à réaliser ces objectifs avec succès »

Quel sont les types des risques (interne et externe) ? a. Risque inhérent : liés au fonctionnement (l’activité, la structure financière …) et liés a l’organisation b. Risque lié au contrôle : il existe malgré le système de CI mise en place c. Risque de non détection: c’est des risques qui ne peut être détectable

Qui doit identifier les risques? RISK MANAGER Celui qui prépare le Terrain pour l’AI: - Identifier les risques - Dessine la cartographie des risques - Définit la politique qui sera appliqué (politique préventif et de protection) Risk MANAGER Responsable opérationnel Auditeur iterne

RESPONSABLE OPERATIONNEL: Celui qui applique la politique du RISK MANAGER - Met en place les moyens pour maîtriser les risques AUDITEUR INTERNE: Celui qui apprécie le travail du RISK MANAGEMENT (la qualité de la cartographie des risques) et le travail du responsable opérationnel (les moyens mise en place) En détectant des lacunes et insuffisances et formule des recommandations.

6.3 Les activités de contrôle: Troisième composante, elle représentent les dispositifs de chaque activité pour mieux gérer cette dernière. Ces dispositifs varient selon l’entité, la nature d’activités selon les habitudes de travaille des managers. 6.4 l’information & communication La transparence doit être la règle : - Pas de rétention de l’information - Le circuit de communication ne doit pas être complexe - L’information ne doit pas être superflue - L’activité ne doit être replis sur elle même

6.5 le pilotage: Chaque responsable doit s’organiser pour gérer sont activité - Définir les taches de chacun - Mettre au point des méthodes de travail - Se doter d’un système d’information pour superviser l’activité de son personnel

7. Les étapes de mise en œuvre du CI: Pilotage Objectifs Moyens Supervision Procédures Organisation Mission Règle a respecter Facteurs de réussite

La direction de l’audit et des risques dans l’organisation de la SNCF Conseil d’administration Comité d’audit Direction de l’audit et des risques AuditsManagement des risques Sécurité des SI du Groupe (Réseau de RSSI)

Résume Pour tout auditeur interne, le CI doit être adapté aux besoins et aux risques qu’une entreprise encourt vis-à-vis de son environnement interne et externe. il n’existe malheureusement pas de recette toute faite pour toutes les entreprises du moment qu’elles sont différentes les unes des autres. Cependant, l’auditeur interne doit veiller à ce que les principes propres à chaque entreprise soient adaptés aux aléas et aux objectifs fixés au préalable. Pour toute entreprise, la structure de base de tout système de CI doit être constituée des éléments suivants :

L’existence d’une structure administrative adéquate : la répartition des tâches au sein de la structure administrative doit être conforme aux principes directifs de l’entreprise. L’existence d’un système de documentation et d’information : la documentation est un élément fondamental pour la fonction d’audit interne. En effet, dans sa démarche d’audit interne, l’auditeur interne devra au préalable collecter tous les documents et tous les flux informationnels s’attachant à chaque activité entreprise par l’entreprise en question. L’existence d’un système d’autorisation et de supervision ; L’existence d’un personnel qualifié ; L’existence d’un système comptable approprié ; L’existence d’une protection adéquate des biens ; L’existence d’un système d’autocontrôle.