Les expressions audit interne et contrôle interne sont souvent utilisées ensemble, alors qu’elles désignent deux démarches différentes. Le contrôle interne correspond à l’ensemble des règles, procédures, vérifications et comportements destinés à maîtriser les activités d’une organisation. L’audit interne intervient ensuite pour évaluer de manière méthodique si ces dispositifs sont adaptés, correctement appliqués et réellement efficaces.
Cette distinction concerne toutes les structures, y compris les petites entreprises. Une société qui vérifie les coordonnées bancaires d’un fournisseur avant un paiement, qui sépare la préparation d’un virement de sa validation ou qui rapproche régulièrement les factures et les règlements met déjà en œuvre des contrôles internes. Elle ne réalise pas nécessairement un audit interne pour autant.
Le référentiel COSO, largement utilisé pour décrire le contrôle interne, présente celui-ci comme un processus destiné à fournir une assurance raisonnable concernant notamment l’efficacité des opérations, la fiabilité de l’information financière et le respect des lois et règlements. L’Institute of Internal Auditors, représenté en France par l’IFACI, définit pour sa part l’audit interne comme une activité indépendante et objective qui donne une assurance sur le degré de maîtrise des opérations et formule des conseils pour les améliorer.
Le contrôle interne n’est pas un contrôle unique exercé à la fin d’un processus. Il s’agit d’un ensemble cohérent de mesures intégrées au travail courant. Son objectif n’est pas de supprimer tout risque, ce qui serait irréaliste, mais de réduire les risques à un niveau acceptable au regard des moyens et des objectifs de l’organisation.
Dans une petite entreprise, le dispositif peut comprendre :
Un contrôle peut être préventif, lorsqu’il empêche une erreur avant sa réalisation, ou détectif, lorsqu’il permet de repérer une anomalie après coup. Une limite de paiement paramétrée dans un outil constitue un contrôle préventif. Le rapprochement bancaire mensuel constitue plutôt un contrôle détectif.
Le contrôle interne doit aussi tenir compte du risque de contournement. Lorsque la même personne crée un fournisseur, saisit une facture et valide le paiement, le risque de fraude ou d’erreur augmente. Dans une très petite équipe, une séparation complète des tâches n’est pas toujours possible. Il faut alors prévoir une compensation, par exemple une revue régulière par le dirigeant, un accès limité aux fonctions sensibles ou une validation indépendante des opérations importantes.
L’audit interne examine les processus avec une méthode documentée. Il ne consiste pas à rechercher uniquement des fautes individuelles. Il vise à comprendre les objectifs, identifier les risques, apprécier les contrôles existants et proposer des améliorations hiérarchisées.
Une mission d’audit interne peut porter sur la facturation, les achats, la paie, la gestion des accès informatiques, la conformité d’un processus ou la préparation d’un projet. L’auditeur recueille des éléments probants, mène des entretiens, observe les pratiques, analyse des documents et réalise, lorsque cela est pertinent, des tests sur un échantillon d’opérations.
L’indépendance ne signifie pas nécessairement que l’auditeur appartient à une équipe distincte dans tous les cas. Elle suppose surtout qu’il puisse conduire ses travaux sans pression, qu’il n’a pas la responsabilité opérationnelle du processus audité et qu’il présente ses conclusions de manière objective. Une personne qui a conçu une procédure ne devrait pas être la seule à évaluer son propre fonctionnement.
Le rapport d’audit interne doit rester utile à la décision. Il présente généralement le périmètre de la mission, la méthode utilisée, les constats, les risques associés, les recommandations et les actions retenues. Une recommandation pertinente précise le problème à traiter, le responsable de l’action, l’échéance et le moyen de vérifier la mise en œuvre.
| Élément | Contrôle interne | Audit interne |
|---|---|---|
| Nature | Dispositif permanent intégré aux activités | Évaluation périodique ou ciblée |
| Finalité | Prévenir, détecter et corriger les erreurs ou irrégularités | Donner une assurance et formuler des recommandations |
| Responsabilité | Elle appartient aux dirigeants et aux responsables opérationnels | Elle revient à une fonction d’évaluation indépendante des opérations auditées |
| Moment | Avant, pendant ou après l’opération | Après définition d’un périmètre et d’un programme de travail |
| Résultat | Procédures, validations, contrôles et preuves | Constats, conclusions, recommandations et suivi |
Le contrôle interne est donc l’objet principal de l’évaluation, tandis que l’audit interne est une activité qui apprécie la qualité de ce dispositif et, plus largement, la maîtrise des risques. Une entreprise peut avoir des procédures écrites sans exercer un contrôle interne efficace si personne ne les applique ou si les contrôles ne sont jamais revus. À l’inverse, quelques contrôles simples peuvent être efficaces lorsqu’ils correspondent réellement aux risques de l’activité.
La première étape pratique consiste à recenser les processus importants : prospection, vente, achats, production, livraison, facturation, encaissement, ressources humaines, informatique et obligations administratives. Pour chaque processus, il faut se demander ce qui pourrait empêcher l’entreprise d’atteindre son objectif.
Les risques peuvent être classés par famille :
Chaque risque peut être évalué selon sa probabilité et son impact. Il est préférable d’utiliser une échelle simple et documentée, par exemple faible, moyen ou élevé, plutôt que de produire une note très précise sans données suffisantes. L’objectif est de déterminer les sujets qui nécessitent une action prioritaire.
La cartographie doit rester vivante. Elle mérite une mise à jour après un changement d’outil, une nouvelle activité, une croissance rapide, un incident, une réorganisation ou une modification réglementaire. Un tableau de quelques pages peut être plus utile qu’un document volumineux qui n’est jamais relu.
La formalisation ne doit pas transformer chaque action en parcours administratif. Pour une petite structure, une matrice de responsabilités, une liste de contrôle et un dossier de preuves peuvent suffire. La priorité est de rendre les règles compréhensibles et applicables, y compris lorsque le dirigeant n’est pas disponible.
Une mission commence par une lettre de cadrage ou un document équivalent. Celui-ci précise le sujet, les objectifs, la période examinée, les personnes rencontrées, les documents attendus et les limites de la mission. Cette étape évite de confondre audit d’un processus, contrôle comptable ponctuel et recherche d’une fraude.
Le programme de travail peut suivre la démarche suivante :
Les tests doivent être adaptés au risque. Pour un processus de paiement, l’auditeur peut examiner l’existence d’une facture, la réalité de la livraison, la validation prévue et la concordance avec le règlement. Pour les accès informatiques, il peut vérifier les comptes actifs, les profils attribués et la suppression des droits lors d’un départ.
Un écart n’a pas toujours la même gravité. Il faut distinguer l’absence de procédure, la procédure inadaptée, la non-application ponctuelle et la défaillance répétée. Cette qualification permet d’éviter les recommandations disproportionnées et de concentrer les efforts sur les faiblesses qui exposent réellement l’activité.
Un contrôle interne efficace laisse une trace suffisante pour démontrer qu’il a été effectué. Il peut s’agir d’une validation dans un logiciel, d’un rapprochement signé, d’une liste de contrôle datée, d’un compte rendu de revue ou d’un historique de modification. La preuve doit être accessible, protégée contre les altérations injustifiées et conservée selon les règles applicables à l’activité.
Quelques indicateurs peuvent aider à suivre la maîtrise des risques :
Ces indicateurs ne doivent pas devenir des objectifs isolés. Une baisse du nombre d’anomalies peut traduire une amélioration, mais aussi un contrôle moins rigoureux ou une remontée d’information insuffisante. Il faut donc les interpréter avec leur contexte et vérifier la qualité des données utilisées.
Le suivi des recommandations est une étape à part entière. Une action clôturée doit être accompagnée d’une preuve et, lorsque le risque le justifie, d’un nouveau test. La simple annonce d’une procédure ne suffit pas à établir qu’elle fonctionne.
La première erreur consiste à copier un modèle de procédure sans l’adapter à la réalité de l’activité. Un dispositif trop complexe sera contourné ou abandonné. La deuxième est de confondre confiance et absence de contrôle. Les contrôles protègent l’entreprise et ses salariés ; ils ne constituent pas automatiquement une mise en cause personnelle.
D’autres difficultés reviennent souvent :
Il faut également distinguer audit interne, audit externe, contrôle fiscal et commissariat aux comptes. Le commissaire aux comptes exerce une mission légale d’audit des comptes selon le cadre qui lui est applicable. L’audit interne appartient au dispositif de pilotage et d’amélioration de l’organisation. Ces interventions peuvent se compléter, mais elles n’ont ni le même objectif, ni le même mandat, ni les mêmes responsabilités.
Les questions juridiques, fiscales, comptables et financières doivent être examinées avec le professionnel compétent. Un article informatif ne remplace pas une analyse adaptée à la situation de l’entreprise.
Non. La création d’un service dédié n’est pas nécessaire dans toutes les structures. Une petite entreprise peut commencer par une revue périodique des processus sensibles, réalisée par une personne qui n’en assure pas directement l’exécution, ou avec l’appui ponctuel d’un intervenant compétent.
Non. Il concerne aussi les ventes, les achats, les stocks, les ressources humaines, les systèmes informatiques, les contrats et la continuité d’activité. La comptabilité constitue toutefois un domaine prioritaire, car les erreurs peuvent affecter les décisions et les obligations déclaratives.
Non. Il est préférable de formaliser en priorité les processus présentant un risque important, les tâches sensibles, les opérations réalisées par une seule personne et les situations qui surviennent rarement mais dont les conséquences seraient lourdes.
Il peut révéler des indices ou des faiblesses favorisant une fraude, mais il ne garantit pas la détection de toutes les fraudes. Une mission spécifiquement consacrée à la fraude nécessite un périmètre, des compétences et des procédures adaptés. En cas de suspicion, un avis professionnel doit être recherché rapidement.
La fréquence dépend du niveau de risque et de la fréquence des opérations. Les contrôles liés aux paiements, aux accès informatiques et aux encaissements peuvent être suivis régulièrement. Une revue globale est particulièrement utile après une croissance, un changement d’outil, une réorganisation ou un incident.
