Les entreprises évoluent dans un environnement instable. Les risques internes et externes auxquels elles sont exposées se multiplient. Marchés financiers volatiles, montée de la concurrence et exigences réglementaires se conjuguent aux incertitudes économiques, géopolitiques et environnementales pour créer un monde de plus en plus incertain.
Quel est dans ce contexte l’objectif de l’audit interne et de son approche par les risques ? Maîtriser l’incertitude, protéger l’entreprise et ses actifs et préserver sa performance. Encore faut-il que le management des risques et les contrôles internes soient efficaces.
À quoi sert l’audit interne ? Qu’est ce qu’une approche par les risques ? Comment réaliser un audit interne basé sur les risques ? Voici quelques clés pour comprendre l’intérêt pour une entreprise d’exploiter l’audit interne comme outil de gestion des risques.
À quoi sert l’audit interne ?
L’audit interne peut être présenté avec une quadruple mission d’assurance, d’évaluation, d’appui et de conseil. Il évalue avec objectivité l’efficacité, la fiabilité et la conformité des activités et des processus internes de l’entreprise. Il permet d’analyser la qualité des dispositifs de contrôles internes et de s’assurer que les principaux risques auxquels l’organisation peut être confrontée sont efficacement gérés.
Le service d’audit interne agit à la demande de la direction générale. Il peut intervenir dans tous les domaines : finances, comptabilité, ressources humaines, commercial, achats,… etc. En détectant les dysfonctionnements, en valorisant les points forts et en émettant des recommandations, l’audit interne vise à préserver, voire accroître, la valeur et la performance de la société. Il apporte une assurance aux dirigeants sur l’efficacité de l’entreprise et la fiabilité de ses systèmes internes de gestion.
Approche par les risques : comment procéder ?
Dans une approche par les risques, l’objectif principal est de donner l’assurance que les risques majeurs auxquels l’entreprise est exposée sont bien identifiés, évalués et gérés.
L’auditeur construit ainsi son plan d’audit en priorisant ses travaux sur les processus les plus à risques. Il s’appuie sur plusieurs techniques d’analyse, par exemple l’analyse de la chaîne de valeur, celle des processus métiers ou celle de la chaîne d’approvisionnement.
L’approche par les risques est aujourd’hui de plus en plus privilégiée en entreprise.
Les 6 étapes d’un audit par l’approche des risques
L’audit est une activité normalisée, soumise à une déontologie, des normes et des bonnes pratiques internationales (IAS). Elles sont notamment regroupées dans le « Livre rouge », diffusé par l’IAA, l’Institute of Internal Auditors. L’auditeur interne suit ainsi une méthodologie précise et structurée.
L’audit par l’approche des risques suit une approche pouvant être schématisée en six étapes principales.
1) La prise de connaissance de la société et de son environnement
Tout audit, qu’il soit mené par une équipe interne ou par des intervenants externes, débute par cette étape, quelle que soit la méthodologie utilisée. Elle consiste pour l’auditeur à prendre connaissance de l’entreprise dans sa globalité. Cela intègre la connaissance de son secteur d’activité, de son environnement réglementaire, de sa nature (gouvernance, organisation interne, mode de financement, investissement, flux d’opérations,…), de ses objectifs et stratégies, de ses méthodes comptables, de ses outils de mesure et de performance, etc.
Réaliser l’audit en interne facilite cette première phase. Un auditeur intégré à l’entreprise en connaît tous les rouages et renforce son expérience au cours des différents audits.
2) L’identification des domaines à risques
Cette étape de l’audit consiste en l’identification et l’évaluation des domaines et processus de l’entreprise où les risques sont les plus élevés. Ceux-ci varient par nature d’une organisation à une autre, selon par exemple les objectifs de l’entreprise et de son secteur d’activité. Ces risques peuvent être de différentes natures : risques financiers, opérationnels, réglementaires, commerciaux, de conformité, de réputation,…
Les risques sont hiérarchisés dans une matrice des risques. Cet outil opérationnel joue un rôle central dans le suivi des risques majeurs identifiés, ainsi que la bonne mise en œuvre et l’efficacité des recommandations des audits menés. Pour réaliser cette matrice, l’auditeur interne peut s’appuyer sur la cartographie des risques. Cette représentation graphique et visuelle recense et hiérarchise l’ensemble des risques internes et externes auxquels l’entreprise peut être confrontée. Ceux-ci sont structurés selon leur criticité. Celle-ci s’évalue en fonction de la gravité de leur impact et de la probabilité de leur survenance. Pour être pertinente, cette cartographie doit être actualisée régulièrement. L’audit interne peut contribuer à sa mise à jour.
3) La construction du plan d’audit et la préparation d’une mission d’audit
Le plan d’audit détaille les attentes des parties prenantes, la stratégie générales des d’audit, le plan d’audit, généralement pluri-annuel. Pour un audit donné, la phase préparatoire va permettre de définir de façon plus affinée le périmètre à couvrir et le programme de travail, intégrant les modalités de tests à mener.
Dans le cadre de l’approche par les risques, le plan d’audit et ses différentes déclinaisons sont déterminés en fonction des risques et priorités identifiés en amont.
4) La réalisation de l’audit interne
L’auditeur déroule le programme de travail, selon la nature de travaux ayant été identifiés. Le panorama des travaux est extrêmement large depuis l’analyse de documents, la demande d’informations, l’animation d’entretien, la compréhension de niveau de séparation des tâches… jusqu’à l’observation physique permettant de vérifier l’existence et l’efficacité des contrôles mis en œuvre.
5) L’élaboration et la mise en œuvre d’une stratégie de gestion des risques
L’audit interne donne lieu à un rapport d’audit. En fonction des résultats de ses travaux, l’auditeur conclut son intervention par une formalisation de ses constats et des recommandations associées. Celles-ci peuvent notamment viser à :
- Approfondir et renforcer la performance des dispositifs de contrôles et processus existants
- Mettre en place les contrôles internes manquants ou défaillants pour mieux gérer les risques
- Réduire les éventuels surcontrôles qui consomment des ressources excessives
6) Le suivi de l’audit interne et des recommandations
L’auditeur interne assure le suivi des recommandations de l’audit, déclinées sous forme de plans d’actions détaillés. Il a ainsi en charge le pilotage du suivi de l’avancement des différentes actions identifiées.
Simplifier et réduire les risques de l’audit interne
La gestion des risques est une activité devenue incontournable dans toute organisation, quels que soient sa taille et son secteur d’activité. Une mission d’audit interne basée sur l’approche des risques exige une organisation et un suivi fiable et rigoureux.
L’outillage peut dans ce contexte être un levier fort de performance d’une mission. Toutefois, un logiciel d’audit interne doit être au service de l’auditeur, sans complexifier la démarche ou apporter de contraintes trop fortes. Il doit permettre de simplifier la gestion et le suivi de sa mission, mais aussi de réduire le risque inhérent à l’audit.
La possibilité de personnalisation d’un outil est déterminante. Qu’il s’agisse des modalités de description de la définition des objectifs, de la méthodologie, des documents et livrables attendus, de la formalisation du planning, des étapes et échéances, des modes de communication avec les contributeurs, … : en quelques clics, l’auditeur doit pouvoir créer et modifier les données et les champs.
Les fonctionnalités collaboratives facilitent les échanges, le partage des documents et la mise à jour des plannings. Les relances automatisées libèrent l’esprit de l’auditeur.
Les vues synthétiques et par filtre simplifient la supervision et le reporting. Les modalités de restitution sous des formats visuels facilitent la communication. Utiliser un logiciel dédié à l’audit interne, personnalisable et simple à utiliser, c’est ainsi s’offrir un vrai gain de productivité et de temps pour se recentrer sur son objectif et les actions à forte valeur ajoutée.