Le controle interne-pratique
- 1. INITIATION AU CONTRÔLEINTERNE DES CONCEPTS FONDAMENTAUX AUX ÉVOLUTIONS ACTUELLES
- 2. Le cadre normatifdu contrôle interne Les normalisateurs privés du référentiel du contrôle interne : Etats – Unis: le COSO (Committee Of Sponsoring Organization de la Commission Treadway, groupe de réflexion américain qui a développé un référentiel méthodologique d’analyse du contrôle interne, dénommé “le COSO” publié en 1992 et réformé en 2013. Royaume – Uni: le Comité Cadbury Canada: Le CoCo France: l’IFACI Le cadre réglementaire La loi initiatrice : la loi américaine Sarbanes-Oxley de 2002 Loi française de sécurité financière de 2003 Les autres dispositions françaises spécifiques à certains secteurs économiques HERVÉ BOULLANGER
- 3. Définition 1 ducontrôle interne (définition du COSO) HERVÉ BOULLANGER Processus mis en œuvre par les dirigeants et le personnel d’une organisation, à quelque niveau que ce soit. Destiné à leur donner en permanence une assurance raisonnable quant à la réalisation des objectifs de l’organisation
- 4. Deux types d’objectifspour une organisation - Protéger ses activités contre les risques de toute nature inacceptables pour les parties prenantes (gaspillage ou vol de ressources ou de données, investissements injustifiés, …) - Saisir les opportunités HERVÉ BOULLANGER
- 5. Le contrôle interne: Un concept ancien évoluant vers de nouveaux enjeux Un monde de la communication en temps réel Un environnement évolutif et global Des risques accrus en nombre et importance Des attentes renforcées des parties prenantes et de la gouvernance de l’organisation D’une vision financière vers une approche opérationnelle et stratégique des risques, tournée vers la recherche d’opportunités HERVÉ BOULLANGER
- 6. Évolution récente ducontrôle interne 13 – Evolution du contrôle interne à partir des années 2000 HERVÉ BOULLANGER Menaces Opportunités Financier Opérationnel Stratégique Focalisation classique du risque
- 7. Un exemple derègles classiques de contrôle interne : l’organisation des tâches financières pour garantir la sécurité dans le paiement des dépenses. ● La séparation des tâches ● le contrôle mutuel ● la supervision ● des règles de rotation sur les fonctions sensibles HERVÉ BOULLANGER
- 8. Récapitulation : Lecontrôle interne - un concept à plusieurs entrées Les objectifs : La maîtrise des activités La gestion des risques La performance (efficacité, efficience) Le périmètre : tous les domaines de l’organisation Le champ financier : budgétaire et comptable Le champ opérationnel Les moyens/outils : Les procédures (et organigrammes) ou « process » Les systèmes (informatiques) : pour le budget, la comptabilité, la trésorerie … Les contrôles eux-mêmes : contrôle ex ante ou ex post HERVÉ BOULLANGER
- 9. Exercice – révision: Synthèse des définitions HERVÉ BOULLANGER Périmètre Responsables Objectif Définition Le contrôle interne est l’ensemble des dispositifs (quels qu’ils soient) choisis par l’encadrement et mis en œuvre par les responsables de tout niveau pour maîtriser (control) le fonctionnement de leurs activités. Ces dispositifs sont destinés à fournir une assurance raisonnable quant à la réalisation des objectifs de l’organisation. l’ensemble des dispositifs (quels qu’ils soient) choisis par l’encadrement mis en œuvre par les responsables de tout niveau maîtriser (control) le fonctionnement des activités et fournir une assurance raisonnable quant à la réalisation des objectifs de l’organisation.
- 10. Ce que n’estpas le contrôle interne L’audit interne L’inspection (lutte contre la fraude) L’audit externe Le contrôle hiérarchique Le contrôle de gestion HERVÉ BOULLANGER
- 11. Définition de l’audit -Expertise professionnelle sous forme d’évaluation ou contrôle - par une personne ou une équipe indépendante - sur la base d’une conformité à une norme ou à des bonnes pratiques - réalisé à la demande des dirigeants ou imposé par un partenaire financier ou par la loi - L'audit peut porter sur : ◦ l'organisation du travail, notamment la répartition des tâches et des responsabilités (audit organisationnel) ; ◦ le respect des procédures ou de la réglementation au sein d'une entité (audit de conformité) ; ◦ la validité des états financiers émis par une organisation (audit financier ou audit légal). ◦ Les trois « e » : efficacité, efficience, économie (audit de performance) «Audit is not control». HERVÉ BOULLANGER
- 12. L’audit peut êtreinterne ou externe «L’audit interne est une activité indépendante et objective qui donne à une organisation une assurance sur le degré de maîtrise de ses opérations, lui apporte ses conseils pour les améliorer, et contribue à créer de la valeur ajoutée. Il aide cette organisation à atteindre ses objectifs en évaluant, par une approche systématique et méthodique, ses processus de management des risques, de contrôle, et de pilotage, et en faisant des propositions pour renforcer leur efficacité». Définition de l’IFACI (institut français de l’audit et du contrôle interne) Les référentiels applicables sont les normes de l’IIA L'audit externe est une activité de contrôle et de conseil menée par une personne extérieure à une organisation. Les référentiels applicables sont les normes ISA. HERVÉ BOULLANGER
- 13. Définition de l’inspection L’inspectionest dépêché par la direction générale pour effectuer des contrôles ponctuels dans les différentes entités de l’entreprise (agences, filiales, services locaux...). Elle examine les comptes, s'assure de l'application de la réglementation et des procédures internes, contrôle le fonctionnement des dispositifs de sécurité et les activités du personnel. L’inspection est un service très présent dans les entreprises ayant un fort risque de fraude interne et externe (ex: banque) et dans l’administration. HERVÉ BOULLANGER
- 14. Définition du contrôlehiérarchique -Le responsable est chargé de diriger les salariés qui lui sont subordonnés, -Chaque employé est tenu de rendre des comptes à son unique supérieur hiérarchique. HERVÉ BOULLANGER
- 15. Définition du contrôlede gestion Définition Système de pilotage en vue d’améliorer le rapport entre les moyens engagés et les résultats obtenus dans le cadre déterminé par une démarche stratégique préalablement fixée. Étapes ● Première étape : définition d’un cadre stratégique - cahier des charges = définition des objectifs (résultats et bénéfices attendus par l’organisation) - planification : quand, comment, par et avec qui : calendrier, ressources allouées, responsables - Mesure : indicateurs de résultats et comptabilité analytique. ● Deuxième étape : suivi des réalisations (exécution du budget et résultats des indicateurs) ● Troisième étape : analyse des résultats, prise d’actions correctives HERVÉ BOULLANGER
- 16. Ponctuelle Direction générale Inspection Périodicité Rattachement Objet Régularité des opérationset honnêteté des personnes Audit Contrôle interne Contrôle de gestion Référentiels Produits finis Métiers Périodique Permanente Permanente Direction générale Intégré dans chaque service Direction financière Organisation, conformité, états financiers et performance Maîtrise des risques Suivi des coûts et des résultats Guides et circulaires internes Normes IIA et ISA COSO + Référentiels CI internes Stratégie interne de l’organisation Sanctions Recommandations Carte des risques et Plan d’action Analyse des indicateurs et compta analytique « Policier » Auditeur Manageur et référent CI Contrôleur de gestion HERVÉ BOULLANGER
- 17. La structuration ducontrôle interne La structuration du CI vue par le COSO, normalisateur international La structuration du CI par les outils du contrôle interne HERVÉ BOULLANGER
- 18. La structuration ducontrôle interne selon le référentiel international COSO Le C.O.S.O. structure l’analyse du contrôle interne selon cinq composantes : 1/ L’environnement de contrôle, 2/ L’évaluation des risques, 3/ Les activités de contrôle, c’est-à-dire la définition des mesures de contrôle interne 4/ L’information et la communication 5/ Le pilotage (du contrôle interne). HERVÉ BOULLANGER
- 19. Représentations traditionnelles des piliersdu contrôle interne selon le COSO HERVÉ BOULLANGER Évaluation
- 20. Environnement de contrôle 1.L'organisation démontre son engagement en faveur de l'intégrité et de valeurs éthiques. 2. Le conseil d’administration fait preuve d'indépendance vis-à-vis du management. Il surveille la mise en place et le bon fonctionnement du système de contrôle interne. 3. La direction, agissant sous la surveillance du conseil d’administration, définit les structures, les rattachements, ainsi que les pouvoirs et les responsabilités appropriés pour atteindre les objectifs. 4. L'organisation démontre son engagement à attirer, former et fidéliser des collaborateurs compétents conformément aux objectifs. 5. L'organisation instaure pour chacun un devoir de rendre compte de ses responsabilités en matière de contrôle interne. HERVÉ BOULLANGER
- 21. Évaluation des risques 6.L'organisation spécifie les objectifs de façon suffisamment claire pour permettre l'identification et l'évaluation des risques associés aux objectifs. 7. L'organisation identifie les risques associés à la réalisation de ses objectifs dans l'ensemble de son périmètre de responsabilité et elle procède à leur analyse de façon à déterminer les modalités de gestion des risques appropriées. 8. L'organisation intègre le risque de fraude dans son évaluation des risques susceptibles de compromettre la réalisation des objectifs. 9. L'organisation identifie et évalue les changements qui pourraient avoir un impact significatif sur le système de contrôle interne. HERVÉ BOULLANGER
- 22. Activités de contrôle 10.L'organisation sélectionne et développe les activités de contrôle qui contribuent à ramener à des niveaux acceptables les risques associés à la réalisation des objectifs. 11. L'organisation sélectionne et développe des activités de contrôle général en matière de système d’information pour faciliter la réalisation des objectifs. 12. L'organisation met en place les activités de contrôle par le biais de directives qui précisent les objectifs poursuivis, et de procédures qui mettent en œuvre ces directives. HERVÉ BOULLANGER
- 23. Information et communication 13.L'organisation obtient ou génère puis utilise des informations pertinentes et de qualité pour faciliter le fonctionnement des autres composantes du contrôle interne. 14. L'organisation communique en interne les informations nécessaires au bon fonctionnement des autres composantes du contrôle interne, notamment en ce qui concerne les objectifs et les responsabilités associés au contrôle interne. 15. L'organisation communique avec les tiers au sujet des facteurs qui affectent le bon fonctionnement des autres composantes du contrôle interne. HERVÉ BOULLANGER
- 24. Pilotage 16. L'organisation sélectionne,met au point et réalise des évaluations continues et/ou ponctuelles afin de vérifier si les composantes du contrôle interne sont bien mises en place et fonctionnent. 17. L'organisation évalue et communique les faiblesses de contrôle interne en temps voulu aux responsables des mesures correctrices, notamment à la direction générale et au conseil d’administration. HERVÉ BOULLANGER
- 25. La structuration ducontrôle interne par les outils du contrôle interne ◊ Gouvernance et pilotage du contrôle interne ◊ La cartographie et la documentation des processus ◊ La carte des risques ◊ Le plan d’action ◊ Le reporting des actions et contrôles HERVÉ BOULLANGER
- 26. La gouvernance etle pilotage du contrôle interne 1/ La gouvernance : le comité de maîtrise des risques ● Définit les orientations annuelles du contrôle interne ; ● Constitue une véritable instance de dialogue portant sur les différents chantiers du déploiement du contrôle interne ● Assure la veille et suivre les risques retracés dans la carte des risques, en définissant la stratégie de couverture des risques et en arbitrant les actions prioritaires, retracées dans le plan d’action ; ● Valide la documentation des processus et risques et les outils de contrôle interne propres à l’entreprise. Le comité de gouvernance est placé sous la présidence de la direction générale (SG) et regroupe les responsables de la direction des affaires financières et des autres directions opérationnelles et des représentants des différentes entités de l’entreprise (agences, filiales, services locaux...). HERVÉ BOULLANGER
- 27. La gouvernance etle pilotage du contrôle interne 2/ Le pilotage : La direction du contrôle interne ou de maîtrise des risques/les référents locaux Acteurs de l’organisation chargés d’animer, de diffuser, d’accompagner et de mettre en œuvre le contrôle interne, de suivre les indicateurs de déploiement du CI, régulièrement actualisés, et d’analyser les actions mises en œuvre et des résultats des contrôles internes. -Le Référent promoteur au siège (la DCI est la direction chargée d'impulser la diffusion du contrôle interne dans l’entreprise, mais aussi d'en arrêter la stratégie de déploiement, de valider et de suivre le plan d'action), -Les référents techniques locaux (personnes chargées d'assurer la mission de pilotage, d'animation et d’accompagnement des entités dans le déploiement du contrôle interne et des directions métiers/services gestionnaires). HERVÉ BOULLANGER
- 28.
- 29. Documentation et cartographiedes processus Définition : documentation de référence organisée, formalisée et permanente à la disposition des opérationnels décrivant les tâches (procédures et processus de travail) et les types de contrôle périodiques Deux outils : - Les organigrammes fonctionnels : définition et organisation des tâches, des acteurs et des contrôles) ; - Les référentiels de contrôle interne (RCI) : description des processus, procédures et traçabilité des opérations. HERVÉ BOULLANGER
- 30. Documentation des processus Exemple: macro-processus « traitement d’une réclamation individuelle » dans une organisation Chaque macro-processus est subdivisé en processus et sous-processus permettant d’identifier les zones de risques : 1) Traiter le courrier entrant : tri, recevabilité, première mis en l’état, orientation dans les services, choisir un mode d’intervention (téléphone, réponse écrite, traitement local par un responsable territorial…) ; 2) Instruire : mener des investigations, consulter la réglementation, organiser une réunion interne, produire des observations en justice ; 3) Le retour d’instruction : formuler des recommandations pour éviter de nouvelles réclamations, rédiger un courrier de clôture soumis à signature, enregistrer le dossier, le pré archiver. HERVÉ BOULLANGER
- 31.
- 32. Exemple: le processusAchats 20 – Notion de processus HERVÉ BOULLANGER Les structures sont volatiles – Les processus sont stables Direction des achats Direction Logistique Direction Finance Choisir les fournisseurs Émettre les commandes Payer Achats Structure Processus
- 33. La carte desrisques Recense de façon synthétique les risques majeurs et les hiérarchise en croisant les critères suivants : - L’impact potentiel - La probabilité de survenance HERVÉ BOULLANGER
- 34. Top 10 desrisques dans les organisations en 2018 (7ème édition baromètre des risques d'Allianz publié par Allianz Global Corporate & Specialty AGCS) 1/ Interruption d’activités : risques classiques (incendie, catastrophes naturelles, chaîne logistique) comme nouveaux (numérique, interconnexion), mais aussi de « pannes de systèmes informatiques essentiels, d'actes de terrorisme ou de violence politique, de défaillances de qualité des produits ou d'évolutions réglementaires imprévues 2/ Incidents cyber : attaques comme celle de WannaCry ou plus fréquemment aux défaillances de systèmes 3/ catastrophes naturelles, et la montée corrélée des risques liés au changement climatique, à la dixième place 7/ le risque lié aux nouvelles technologies HERVÉ BOULLANGER
- 35. Deux natures derisques peuvent être identifiées : les risques inhérents et les risques résiduels. Le risques inhérent est le risque lié à l’environnement de l’établissement ou à la nature de ses activités. Ex : lacunes de formation et de compétence du personnel, changements non maîtrisés des structures et des dispositifs juridiques, absence de prise en compte des évolutions technologiques, manquements déontologiques et événements extérieurs. Le risque résiduel est le risque qui subsiste après avoir pris différentes mesures à un risque donné. C’est la partie du risque qu’une organisation entend conserver volontairement ou qu’elle doit supporter. HERVÉ BOULLANGER
- 36. Exemple d’identification détailléedes risques résiduels majeurs du processus réclamations R1 : imparfaite reconnaissance du type de courrier réceptionné (administratifs/juridiques/gestion etc.) donc tri inadéquat et risque de manquement à la confidentialité. R2: rattachement erroné et/ou numérisation inadéquate d’un courrier d’instruction ou d’une pièce reçue ultérieurement: source d’erreurs, doublons, perte de temps. R3 : diversité des sources de saisine ( courrier, formulaire, fiche délégué, mails, Gouvernance) qui rendent la procédure plus complexe et qui donne lieu à des doublons, des omissions ou à une retranscription du dossier papier, incomplète ou tardive. R4 : non prise en compte de la pluriqualification du dossier au moment de son orientation. Risque d’absence de traitement ou de traitement inadéquat, connaissance imparfaite de l’activité des différents services de l’organisation. R5 : délais de traitement et d’orientation trop importants à la direction juridique. HERVÉ BOULLANGER
- 37. Facteurs d’impact 5–Critèresd’impactd’unrisque(1) SIGNIFICATIF TRESSIGNIFICATIF CRITIQUE Financier . Impact négatifsur CA ou marge d'un montant supérieur à MEUR. 2 et inférieur à MEUR. 10 . Audit externe à identifié quelques points d'audit . Impact négatifsur CA ou marge d'un montant supérieur à MEUR. 10 et inférieur à MEUR. 15 . Audit externe à identifié quelques points d'audit importants . Impact négatifsur CA ou marge d'un montant supérieur à MEUR. 15 . Réserves de la part des auditeurs externes Capacité production et délai de livraison . Problème mineur pour produire ou expédier des produits aux clients . Léger retard de production . Difficulté pour produire ou expédier des produits aux clients conformément à certains engagements . Retard de production important . Difficulté pour produire ou expédier des produits aux clients conformément à la pluspart des engagements . Arrêt de la production Qualité service . Pas de réduction dans les litiges clients . Retours clients augmentent jusqu'à X % . Légère augmentation des litiges clients . Retours clients augmentent de X à X % . Augmentation importante des litiges clients . Retours clients augmentent de plus de X % ECHELLECRITERES D'IMPACT HERVÉ BOULLANGER
- 38. HERVÉ BOULLANGER SIGNIFICATIF TRESSIGNIFICATIF CRITIQUE Financier . Impact négatifsur CA oumarge d'un montant supérieur à MEUR. 2 et inférieur à MEUR. 10 . Audit externe à identifié quelques points d'audit . Impact négatifsur CA oumarge d'un montant supérieur à MEUR. 10 et inférieur à MEUR. 15 . Audit externe à identifié quelques points d'audit importants . Impact négatifsur CA oumarge d'un montant supérieur à MEUR. 15 . Réserves de la part des auditeurs externes Capacité productionet délai de livraison . Problème mineur pour produire ou expédier des produits auxclients . Léger retard de production . Difficulté pour produire ouexpédier des produits auxclients conformément à certains engagements . Retard de productionimportant . Difficulté pour produire ouexpédier des produits auxclients conformément à la pluspart des engagements . Arrêt de la production Qualité service . Pas de réductiondans les litiges clients . Retours clients augmentent jusqu'à X % . Légère augmentationdes litiges clients . Retours clients augmentent de X à X % . Augmentationimportante des litiges clients . Retours clients augmentent de plus de X % ECHELLECRITERES D'IMPACT
- 39. HERVÉ BOULLANGER SIGNIFICATIF TRESSIGNIFICATIFCRITIQUE Technologie Retardmineurdanslamiseenplacedes innovationstechnologiques(e-business,etc.) Miseenplacedesystèmesàl'exceptionde certainesfonctionnalités Miseenplacedesystèmessansles principalesfonctionnalités Social Stagnationdunombredejoursdegrève Stagnationdel'absentéisme/motivations Augmentationdunombredejoursdegrève Augmentationdel'absentéisme/implications Forteaugmentationdunombredejoursde grève Forteaugmentationdel'absentéisme/ désintérêt Commercial Partsdemarchéenstagnation Pasdepartsdemarché CRITERES D'IMPACT ECHELLE
- 40. Facteurs de probabilitéde survenance d’un risque (liste non exhaustive) HERVÉ BOULLANGER Pression concurrentielle Rapide évolution technologique Mode de commercialisation Réputation Changement récent d’Organisation Pression environnementale Choix technologiques Complexité, sensibilité des informations Refonte du système d’information Survenance d’un risque important Opinion du dernier Audit Ancienneté du dernier Audit
- 41. Deux modes dereprésentation hiérarchisée de la carte des risques Le graphique Le tableau HERVÉ BOULLANGER
- 42. Représentation hiérarchisée entableau d’une carte des risques Processus Sous-processus N° du risques Libellé du risque Niveau du risque Gestion administrative Réclamations R1 imparfaite reconnaissance du type de courrier R2 numérisation inadéquate d’un courrier R3 Doublon de saisie R4 non prise en compte de la pluriqualification du dossier au moment de son orientation R5 Délais de traitement trop long HERVÉ BOULLANGER
- 43. Présentation de lacarte des risques sous forme graphique 3 – Composantes d’un risque HERVÉ BOULLANGER Faible Modéré Elevé FaibleModéréeElevée Probabilité Impact Probabilité * Impact de l’évènement
- 44.
- 45. F A IB L E impact Probabilité Fort Mod éré Faible Modéré Fort R2 R1 R4 R7 R5 R8 R9 R11 Exemple de graphique pour le traitement des réclamations individuelles R10 R12
- 46. Étapes du processusRisques dans le processus achats Spécifications techniques du besoin Inutilité du marché, Imprécision ou critères excessifs dans le recensement du besoin, absence de transparence pour les candidats, absence d’efforts dans le sourcing, divulgation d’informations confidentielles, possibilités cachées d’élargissement ultérieur du contrat Catégories de marché :. Montage contractuel inadapté aux besoins (type juridique, durée, allotissement…), non respect des seuils de mise en concurrence. Publicité de l’appel d’offre Absence de formalisme et de clarté dans le dossier de consultation (pondération et hiérarchisation des critères, système de notation des offres…) Sélection des candidats Choix injustifiable techniquement et juridiquement, phase de négociation non transparente Attribution du marché Mauvaise information des candidats éliminés, non-respect des délais, contrat mal rédigé, Exécution du marché Mauvaise réception physique des prestations, gonflement artificiel du volume des travaux, mauvaise qualité, Absence de sanctions ou sanctions impropres du titulaire : Pénalités de retard et résiliation du marché, bons de commande non conformes, Dérapage financier par rapport au budget initial… Archivage Pertes et manquants, mauvaise traçabilité des échanges avec le prestataire, HERVÉ BOULLANGER
- 47. Méthode pour établirla carte des risques 1/ Faire un état des lieux de l’ensemble des risques, sans porter de jugement et en laissant la place à l’expression de tous. 2/ Sélectionner les risques à plus fort enjeux (en croisant impact et probabilité de survenance) HERVÉ BOULLANGER
- 48. Le plan d’actionet de contrôles - détaille les mesures à mettre en œuvre pour fiabiliser les procédures, maîtriser les risques et obtenir une assurance raisonnable de maîtrise des risques. - désigne les acteurs responsables de la mise en œuvre des actions et les échéances. - se fonde sur les constats opérés par les acteurs du contrôle interne et les auditeurs. HERVÉ BOULLANGER
- 49. Plan d’action (volethors contrôles) Exemple : service réclamations A1 : 5 actions à mettre en place pour réduire le risque d’erreur sur la destination du courrier 1) réduire les délais de traitement : identifier les délais constatés à chaque stade de transmission du dossier créé. Former l’équipe courrier à l’usage de fiches de procédure. 2) Mettre en place des directives à destination du service courrier. 3) Sensibiliser les correspondants à la personnalisation de leurs envois (en mentionnant la qualification du service). 4) Numériser tous les courriers de l’entreprise, y compris administratifs. 5) Faire mention du caractère confidentiel du courrier (courrier détenu). A2 : 2 actions identifiées pour réduire le risque de mauvais rattachement d’une pièce associée à un dossier déjà existant: systématiser les numérisations du courrier entrant (voir action supra) et assurer un contrôle de supervision renforcé pour les documents difficilement identifiables. HERVÉ BOULLANGER
- 50. Plan d’action (volethors contrôles) service réclamations A3: 2 actions à mettre en œuvre pour réduire la complexité de la procédure de saisine: prévoir un retour systématique de tous les documents de nature juridique à la direction juridique. Instaurer une procédure pour les transmissions urgentes en cas de numérisation des courriers transmis par d’autres voies (mails, gouvernance, etc.). A4 : 1 action identifiée pour réduire le risque de traitement inadéquat d’un dossier en lieu en lien avec la pluri qualification de ce dernier: renforcer les moyens d’analyse à disposition des agents de la direction juridique en s’appuyant notamment sur la mission expertise placée auprès du secrétaire général. A5 : 1 action à mettre en place pour réduire les délais de traitement de la direction juridique: réexaminer et simplifier l’ensemble des procédures mises en œuvre au sein du service. HERVÉ BOULLANGER
- 51. Le volet contrôlesdu plan d’action Types de contrôles ● Les contrôles de 1er niveau (auto contrôle, contrôle mutuel) : contrôles préventifs et détectifs intégrés au fonctionnement courant du service ● Les contrôles de 2ème niveau : contrôle de supervision contemporain et à posteriori effectués par les chefs de service et fixés en lien avec le référent contrôle interne ● Les contrôles de 3ème niveau : équipe extérieur au service dédiée aux contrôles ● Les contrôles des SI : contrôle de saisie, de cohérence des données Objet - séparer les tâches incompatibles pour organiser des contrôles mutuels, - définir précisément les modalités de contrôle attendues de chacun, - insérer dans la procédure des contrôles-clé. HERVÉ BOULLANGER
- 52. Représentation hiérarchisée entableau d’une carte des risques comprenant un plan d’actions Processus Sous- processus N° du risque s Libellé du risque Nivea u du risque Actions à mettre en œuvre Respon sables des actions Gestion administrative Réclamations R1 imparfaite reconnaissance du type de courrier Réaliser une fiche procédure DCI R2 numérisation inadéquate Contrôle de supervision DAF R3 Doublon de saisie Numérisation systématique DSI R4 non prise en compte de la pluriqualification du dossier Passage obligé à la DJ DJ R5 Délais de traitement trop long Former l’équipe DRH HERVÉ BOULLANGER
- 53. Méthode pour établirle plan d’action 1/ Dégager des pistes d’actions permettant: - soit de réduire la probabilité de réalisation du risque, - soit de réduire l’impact du dysfonctionnement par rapport à l’objectif du processus. 2/ Sélectionner les actions prioritaires en fonction des résultats attendus et du coût de chaque mesure et les points de contrôles importants à mettre en œuvre HERVÉ BOULLANGER
- 54. L’actualisation annuelle dela carte des risques et du plan d’action - Enrichir la version antérieure à partir des évolutions observées tirées de l’analyse des résultats et des audits de l’année précédente - Redéfinir l’échéancier du fait de contraintes imprévues, - Expurger les risques devenus faibles et les actions ayant déjà été réalisées. HERVÉ BOULLANGER
- 55. Exemple détaillé :une centrale d’achat Distribution de la carte des risques et du plan d’action d’une centrale d’achat : commentaire et réponse aux questions HERVÉ BOULLANGER
- 56. Le reporting desactions et contrôles ● Créer des indicateurs clés pour : rendre compte du déploiement des outils de contrôle interne, mesurer l’évolution des risques et la réalisation des actions, relever les anomalies identifiées par les contrôles. ● Agréger au niveau du siège, ces informations et procéder à leurs analyse. ● Transmettre régulièrement ces analyses aux instances de gouvernance. HERVÉ BOULLANGER
- 57.
- 58.
- 59. Formation des auditeursexternes HERVÉ BOULLANGER
- 60. Erreurs classiques dansl’élaboration de la carte des risques et du plan d’action - Carte des risques : les risques sélectionnés ne sont pas ceux à plus fort enjeux (en croisant impact et probabilité de survenance) ; - Plan d’action : Les actions ne permettent pas de réduire ni la probabilité de réalisation du risque ni son impact. Il n’y a pas de contrôles prévus. - Ensemble : Ni les risques ni les actions ne sont SMART HERVÉ BOULLANGER
- 61. Risques, Actions etquestions de l’auditeur = SMART HERVÉ BOULLANGER Simple, Spécifique, formulé avec précision et sans ambiguïté (clair) Mesurable, Spécifique, vérifiable, préciser la qualité ou la quantité Atteignable, mais Ambitieux (pour être motivant) Réaliste, Compatibles avec les Ressources affectées et la situation actuelle, fondé sur des indices Temporellement défini, inscrits dans des délais avec une date limite, révisable
- 62. Évaluation du contrôleinterne 18 – Les 5 âges du contrôle Interne HERVÉ BOULLANGER Le degré O . absence de procédures . Contrôle à l’initiative de chacun . Pas d’identification des risques Les balbutiements . procédures non exhaustives et non communiquées . un système de contrôle réduit . des risques connus mais non formalisés La maturité . des procédures formalisées, mises à jour et communiquées: système animé . un système de contrôle opérationnel autant que financier . une réflexion généralisée sur les risques Les premières poussées . des procédures formalisées et communiquées . un système de contrôle organisé à partir d’informations financières . une formalisation des principaux risques Le champion . réflexion de tous sur les procédures . un système de pilotage orienté vers l’autocontrôle . la formalisation de la carte des risques . pas de fonction contrôle interne . des opérationnels réfractaires au mot contrôle « La gestion de crises » . une fonction contrôle interne informelle entre les mains de « bénévoles » . des objectifs opérationnels « La culture orale » . La fonction contrôle interne rattachée aux finances . des objectifs formalisés et suivis « La gestion orientée finance » . une fonction contrôle interne / contrôle de gestion rattachée à la DG . Formalisation, contractualisation d’objectifs opérationnels « La gestion contractuelle » . Un contrôle de gestion en réseau . Une veille permanente des services « Le management des risques » Management des risques CI Absence de CI Qualification de l’organisation
- 63. Évaluation du contrôleinterne par l’auditeur HERVÉ BOULLANGER 1/ Comprendre le processus 2/ Identifier et évaluer les risques 3/ Identifier les dispositifs de maîtrise 4/ Tester la bonne application des dispositifs 5/ Conclure sur la fiabilité du contrôle interne Restituer le processus dans l’organisation et les conflits d’intérêt Décomposer le processus en sous- processus et étapes Identifier les flux d’information et contrôles adéquats Comprendre l’utilisation du système d’information Comprendre les contraintes de ressources Analyser les outils de pilotage par niveaux de responsabilité et fonctions
- 64. Questionnaire type d’évaluationdu contrôle interne HERVÉ BOULLANGER
- 65. Item Questions Piècesà présenter 1. Pilotage du contrôle interne 1.1. Existe-t-il au sein de votre organisme une structure de pilotage du contrôle interne ? Si oui, quelle est sa composition, son rôle et à quelle fréquence se réunit-elle ? 1.2. Existe-t-il un référent contrôle interne ? Si oui, quel est son champ d’action, ses moyens et son positionnement au sein de l’établissement ? (Décrire) Quelles actions particulières ce référent a-t-il mené vis-à-vis des services opérationnels de l’établissement depuis 20yy? 1.3. Quel est le rôle du de la direction financière dans l’organisation du contrôle interne et dans l’actualisation et la formalisation des outils du contrôle interne ? Documentation de présentation ou d’organisation du contrôle interne au sein de votre organisme HERVÉ BOULLANGER
- 66. Items Questions Pièces 2. Actualisati onet formalisati on des cartes des processus et des risques 2.1. Décrire la démarche mise en place par votre organisme pour recenser et actualiser ses processus de gestion à enjeux financiers significatifs et pour identifier, évaluer et hiérarchiser les risques pesant sur ces processus. 2.2. L’établissement dispose-t-il d’une carte des risques unique qui regroupe dans un même document les risques métiers et les risques comptables ? 2.3. De quand la dernière actualisation de ces cartes (processus et risques) date-t-elle ? La périodicité est-elle annuelle ? Cette actualisation fait-elle l’objet d’une validation par la structure de pilotage du CI? Sinon, qui valide les risques majeurs identifiés ? Procédure d’actualisation de la carte des processus et de la carte des risques La carte des processus actualisée, si elle existe Dernières cartes des risques actualisées HERVÉ BOULLANGER
- 67. 3. Plan d’action ducontrôle interne 3.1. Quels sont les acteurs et l’organisation de la mise à jour et du suivi du plan d’action du contrôle interne de votre organisme ? Qui définit et valide les actions à mettre en œuvre, les responsables des actions et les échéances ? Comment s’assure-t-on que tous les risques figurant dans la carte des risques font l’objet d’une ou plusieurs actions inscrites au plan d’action ? Comment s’assure-t-on de la cohérence avec la carte des risques ? 3.2. À quelle fréquence le plan d’action est-il mis à jour ? Son actualisation fait-elle l’objet d’une validation par la structure de pilotage du CI. De quand date la dernière mise à jour du plan d’action ? 3.3. Toutes les actions du plan d’action comportent-elles un niveau de priorité, une échéance et un responsable ? 3.4. Quelles ont été les principales difficultés rencontrées depuis 20yy dans la mise en œuvre du plan d’action ? 3.5. La structure de pilotage est-elle régulièrement informée de l’état d’avancement des actions du plan d’action ? Une analyse des éventuels retards dans la mise en œuvre du plan d’action lui est-elle communiquée ? Tout document d’organisation, CR ou PV de réunions décrivant la mise à jour du plan d’action ou les acteurs qui en sont chargés Derniers plans d’action actualisés Procédure d’actualisation du plan d’action HERVÉ BOULLANGER
- 68. 4. Le reportin g du contrôle interne. 4.1.Un dispositif de reporting du contrôle interne a-t- il été mis en place? Sous quelle forme de support ce reporting est-il formalisé ? Quelles sont les informations fournies par le reporting ? À quelle fréquence ? Quels en sont les destinataires ? Les éléments issus du reporting font-ils l’objet d’une synthèse et d’une analyse ? Si oui, à quelle fréquence ? Quels ont été sur la période 20xx-2016 les principaux enseignements tirés du reporting ? Des suites y ont- elles été données (actions correctrices, audits pour en rechercher les causes, etc.) ? Tous documents relatifs au reporting du CI (textes, procédures, restitutions, etc.) Synthèse et analyse le cas échéant des reportings 20dd et 20zz de l’établissement HERVÉ BOULLANGER