Structure du Contrôle Interne et Audit des Risques

Structure du Contrôle Interne

La structure de contrôle interne d'une entité consiste en des politiques et procédures établies pour assurer un niveau d'assurance raisonnable que les objectifs spécifiques de l'entité puissent être atteints. En général, les politiques et procédures pertinentes à un audit se rapportent à la capacité de l'entité à enregistrer, traiter et résumer le rapport de données financières compatibles avec les déclarations contenues dans les états financiers.

Éléments de la structure de contrôle interne

Aux fins d'une vérification des états financiers, la structure de contrôle interne d'une entité comprend les éléments suivants :

• L'environnement de contrôle.
• Le système de comptabilité.
• Les procédures de contrôle.

Cette division de la structure de contrôle facilite la discussion sur la nature et la manière dont le vérificateur l'estime lors d'un audit.

L'environnement de contrôle

L'environnement de contrôle représente l'effet combiné de plusieurs facteurs pour établir l'efficacité des politiques et des procédures spécifiques. Ces facteurs comprennent les suivants :

• Le style de direction et la philosophie de fonctionnement de la gestion.
• La structure organisationnelle de l'entité.
• Le fonctionnement du conseil et de ses comités, y compris le comité de vérification.
• Les méthodes d'attribution de l'autorité et de la responsabilité.
• Les méthodes de contrôle de gestion pour surveiller et suivre la performance, y compris l'audit interne.
• Les politiques et pratiques du personnel.
• Diverses influences externes qui influent sur les activités et les pratiques d'une entité, comme l'examen des organismes de contrôle.

Le système comptable

Le système comptable comprend les méthodes et les registres établis pour identifier, collecter, analyser, classer et enregistrer les opérations de l'entité, afin d'en rendre compte et de maintenir la comptabilité des actifs et passifs. Un système efficace de comptabilité devrait mettre en place des méthodes et des documents qui :

• Identifient et enregistrent toutes les transactions valides.
• Décrivent dans les meilleurs délais toutes les transactions de façon suffisamment détaillée pour permettre un classement adéquat de l'information financière.
• Quantifient la valeur des transactions, afin d'obtenir leur juste valeur monétaire dans les états financiers.
• Déterminent la période pendant laquelle les transactions ont lieu, permettant l'enregistrement dans la période comptable appropriée.
• Présentent correctement les transactions et les documents connexes dans les états financiers.

Les procédures de contrôle

Les procédures de contrôle sont les politiques et procédures supplémentaires à l'environnement de contrôle et au système comptable, mises en place par la direction pour assurer un niveau raisonnable de sécurité afin d'atteindre les objectifs spécifiques de l'entité. Elles peuvent habituellement être classées comme des procédures qui :

• Autorisent dûment les opérations et activités.
• Séparent les fonctions de manière à réduire les possibilités pour toute personne de commettre ou de dissimuler des erreurs ou des irrégularités dans le cours normal de ses fonctions. Cela implique l'affectation à des personnes différentes des responsabilités d'ordonnateur, d'enregistrement des transactions et de garde des actifs.
• Conçoivent et utilisent la documentation et les registres appropriés.
• Mettent en place et maintiennent des dispositifs de sécurité appropriés pour l'accès et l'utilisation des biens et des dossiers.
• Vérifient indépendamment l'enregistrement et l'évaluation correcte des chiffres mentionnés.

Audit des risques et développement

La notion de risque se pose naturellement lors de la revue du contrôle interne. Le vérificateur émet un avis sur les soldes de compte. Étant donné la complexité de la société, le vérificateur ne peut examiner tous les stocks. Pour ce fait, il préfère évaluer le contrôle interne pour rationaliser la validation des équilibres. Toutefois, son avis porte sur les soldes.

De toute évidence, l'auditeur consacre du temps à vérifier le contrôle interne, sur lequel il n'émet pas d'avis direct, ce qui crée un certain risque. Le point de vue classique du risque est limité à trois types :

1. Risque de contrôle (lié au système de contrôle interne).
2. Risque inhérent (lié à la nature de l'entreprise).
3. Risque de détection (lié à l'exercice de la vérification).

Norme NAGA 312 : Évaluation des risques d'audit

La première règle pour l'exécution du travail exige que la vérification soit bien planifiée. Au cours des phases de planification et d'exécution, l'auditeur prend de nombreuses décisions, allant de la stratégie globale aux détails des procédures de vérification spécifiques. Le facteur le plus important est d'évaluer les risques en vigueur qui peuvent influer sur les états financiers.

Cette norme discute de l'importance que les professionnels doivent accorder au risque et à l'importance relative lors de la planification et de l'examen de l'information financière, conformément aux normes de vérification généralement acceptées.

Analyse du risque d'audit

Le risque d'audit et l'importance relative doivent être analysés conjointement afin de déterminer la nature, la portée et le calendrier des procédures d'audit. L'existence du risque d'audit est définie comme le risque que l'auditeur, par inadvertance, ne réussisse pas à modifier son opinion sur des états financiers nettement erronés. Cela signifie que l'auditeur pourrait conclure que les états financiers sont présentés fidèlement alors qu'ils ne le sont pas.

Évaluation des composantes du risque

Pour établir un cadre, on considère que le risque d'audit comporte les éléments suivants :

1. Le risque inhérent : Il se réfère à la probabilité d'occurrence d'une information financière déformée liée à la nature des transactions ou à des décisions humaines subjectives.
   • Exemples : Méthodes de calcul complexes (amortissements, taxes) ou facteurs humains liés à l'approvisionnement.
2. Le risque de contrôle : Défini comme le degré de compétence de la gestion pour détecter les erreurs. Il dépend directement de la qualité du système de contrôle interne. Le risque est inversement proportionnel à la qualité du système.
3. Le risque de détection : Probabilité que le vérificateur ne détecte pas des situations influant sur la fidélité des états financiers. Il est fonction de l'efficacité des procédures d'audit.

Le risque inhérent et le risque de contrôle existent indépendamment de l'audit, tandis que le risque de détection est lié aux procédures de l'auditeur. Il existe une relation inverse : plus le risque inhérent et de contrôle est élevé, moins le risque de détection acceptable est important.

Planification de l'audit et contrôle interne

L'auditeur doit acquérir une connaissance de toutes les composantes de la structure de contrôle interne pour planifier la vérification. Ces compétences servent à :

• Identifier les types d'erreurs potentielles.
• Considérer les facteurs affectant le risque d'anomalies significatives.
• Concevoir des tests de fond.

Si l'honnêteté de la gestion est mise en doute ou si les dossiers sont insuffisants, l'auditeur peut conclure qu'il n'est pas possible de pratiquer l'audit.

Compréhension de la structure de contrôle interne

Pour forger son opinion, l'auditeur prend en compte les vérifications antérieures, l'industrie de l'entité, le risque inhérent et la complexité des opérations. Plus les systèmes sont sophistiqués, plus il faut d'attention aux éléments de contrôle. Ces connaissances s'obtiennent par :

• Des demandes de renseignements auprès du personnel.
• L'examen des documents et dossiers.
• L'observation des activités.

L'auditeur doit documenter ces connaissances via des organigrammes, des questionnaires ou des protocoles, selon la taille de l'entité.

Contrôle interne et organisation

Une organisation efficace repose sur :

• Des lignes de responsabilité et d'autorité clairement définies par écrit.
• Une indépendance entre l'autorisation, l'exécution et le contrôle des opérations.
• Une supervision efficace des subordonnés.
• Une division rationnelle du travail.
• Un audit interne dépendant du niveau hiérarchique le plus élevé.

Structure de l'organisation et répartition des pouvoirs

La structure organisationnelle fournit le cadre pour planifier et contrôler les opérations. Les méthodes d'attribution des pouvoirs incluent l'examen des politiques d'éthique, des descriptions de postes et de la documentation des systèmes informatiques.

Zones de contrôle dans l'entreprise

Le contrôle fonctionne à tous les niveaux. Les principaux domaines sont :

• Production : Contrôle de la qualité, des coûts, des temps de production, des stocks et de l'entretien.
• Commercial : Contrôle des ventes (par produit, client, territoire), de la publicité et des frais de vente.
• Financier : Contrôle budgétaire et gestion des ressources (capital, flux de trésorerie).
• Ressources Humaines : Contrôle des présences, des vacances et des salaires.

L'approche COSO

Le Committee of Sponsoring Organizations (COSO) de la Commission Treadway a créé un cadre intégré pour répondre aux exigences de l'économie mondiale. Le contrôle interne est un processus visant à assurer l'efficacité opérationnelle, la fiabilité du reporting financier et la conformité aux lois.

Les cinq composantes du COSO I

L'environnement de contrôle donne le ton de l'organisation et fournit la discipline nécessaire. Il dépend de l'intégrité, des valeurs éthiques et de la philosophie de leadership.

L'évaluation des risques consiste à identifier les faiblesses internes et externes. Les objectifs doivent être spécifiques, mesurables et intégrés. L'analyse inclut l'importance, la probabilité et la gestion du risque.

Les activités de contrôle (préventives ou correctives, manuelles ou automatisées) visent à neutraliser les risques liés aux opérations, au reporting et à la conformité.

L'information et la communication assurent que le personnel comprend ses responsabilités. La communication doit être multidirectionnelle (ascendante, descendante et transversale).

La surveillance (ou suivi) assure que le contrôle interne fonctionne correctement dans le temps via des évaluations continues ou spécifiques. Les faiblesses détectées doivent être communiquées aux autorités concernées pour correction.