Section III : évaluation du système de contrôle interne

A.    DÉFINITION DU CONTRÔLE INTERNE

3.13.    Selon l‘INTOSAIGOV 9100 « Le contrôle interne est un processus intégré mis en œuvre par les responsables et le personnel d’une organisation et destiné à traiter les risques et à fournir une assurance raisonnable quant à la réalisation, dans le cadre de la mission de l’organisation, des objectifs généraux suivants : 

• exécution d’opérations ordonnées, éthiques, économiques, efficientes et efficaces ; 
• respect des obligations de rendre compte ; 
• conformité aux lois et réglementations en vigueur ; 
• protection des ressources contre les pertes, les mauvais usages et les dommages ». 

3.14.    Selon le référentiel COSO2, « Le contrôle interne est un processus mis en œuvre par le conseil, le management et les collaborateurs, et qui est destiné à fournir une assurance raisonnable quant à la réalisation d’objectifs liés aux opérations, au reporting et à la conformité ».

3.15.    L’évaluation du contrôle interne permet d’apprécier l’organisation comptable et financière, d’en déterminer les forces et les faiblesses et d’orienter en conséquence le programme de contrôle.

3.16.    Le schéma suivant donne le processus d’évaluation du contrôle interne.

Schéma  2 : Processus d’évaluation du contrôle interne

3.17.    L’évaluation du contrôle interne se déroule en cinq (5) étapes successives suivantes :

• prise de connaissance générale de l’environnement du contrôle interne ;
• description et évaluation préliminaire du système de contrôle mis en place ;
• exécution des tests de conformité (ou contrôle de fonctionnement) ;
• exécution des tests de permanence ;
• suivi des recommandations.

B.    PRISE DE CONNAISSANCE GÉNÉRALE DE L’ENVIRONNEMENT DU CONTRÔLE INTERNE

3.18.    Elle a pour objectif de comprendre l’organisation comptable et financière de l’entité auditée.

3.19.    À cette étape l’auditeur collecte l’ensemble des informations documentaires sur le dispositif de contrôle interne mis en place :

• manuels des procédures ;
• cartographie des processus – activités – acteurs ;
• cartographie des risques – méthode d’évaluation ;
• plan d’actions ;
• liste des acteurs du dispositif : référent contrôle interne, audit interne, comité d’audit ;
• tableau de bord du contrôle interne ;
• divers rapports d’audits et d’inspection antérieurs.

C.    DESCRIPTION ET ÉVALUATION PRéLIMINAIRE DU SYSTÈME DE CONTRÔLE INTERNE

3.20.    Les objectifs de cette étape sont :

• d’identifier les forces et les faiblesses du dispositif de contrôle interne ;
• d’évaluer la fonction informatique ;
• de procéder à des tests de procédure sur les points forts.

3.21.    Il convient pour l’auditeur :

• d’évaluer la force du dispositif du contrôle interne : risque possible, résultat de procédures insuffisantes pour réduire le risque potentiel à un niveau acceptable ;
• de prendre connaissance de la cartographie des risques ;
• d’identifier les applications, interfaces manuelles, automatiques, périodicité, acteurs des contrôles, contrôles automatiques ;
• d’appréhender l’organisation de l’exploitation ;
• de comprendre les incidents d’exploitation au cours de l’exercice ;
• de maîtriser les règles de sécurité physique et logique ;
• d’identifier les plans de secours ;
• de procéder à des tests spécifiques sur des applications ;
• de procéder à des tests spécifiques sur des données.
  Un modèle de questionnaire sur le système de contrôle interne est présenté en annexe n°8.

D.    EXÉCUTION DES TESTS DE CONFORMITÉ

3.22.    Pour s’assurer de sa compréhension des procédures, l’auditeur procèdera à des :

• tests de cheminement : retracer point après point une procédure ;
• tests spécifiques : sélection sur certaines activités ou par rapport à certains acteurs ;
• restitutions aux acteurs de l’entité de sa compréhension de la procédure.

3.23.    Les techniques généralement utilisées pour tester l’efficacité du fonctionnement des contrôles clés sont l’enquête, l’observation, la demande d’informations, l’inspection et le contrôle arithmétique. Elles peuvent être combinées (annexe n°9 : Exemples de techniques d’audit). 

E.    EXÉCUTION DES TESTS DE PERMANENCE

3.24.    Les « tests de permanence » consistent à s’assurer de la permanence d’application, sur la période soumise au contrôle, des procédures internes dont les qualités de conception et de fonctionnement conduisent l’auditeur à considérer que les systèmes comptables et de contrôle interne sont correctement conçus et fonctionnent efficacement et que, en conséquence, le risque lié au contrôle estimé n’est pas élevé.