Patrick Wagener, associe responsable de la qualite chez Reuter & Associes, cabinet de reviseurs d'entreprises agrees etabli a Luxembourg-Ville (38 reviseurs, 142 mandats dont 64 OPC), prepare la premiere inspection CSSF de son systeme de gestion de la qualite depuis l'entree en vigueur d'ISQM 1. Au troisieme jour de l'auto-evaluation, il constate que 19 mandats de fonds a risque eleve n'ont jamais fait l'objet d'une revue de controle qualite de la mission. Avant de fixer le plan de remediation : quel risque qualite ISQM 1 a-t-il omis d'identifier, et a partir de quand l'absence de revue qualite devient-elle une deficience pervasive au sens de la norme ?
ISQM 1 (International Standard on Quality Management 1) remplace ISQC 1 et s'applique aux cabinets depuis le 15 decembre 2022. La logique change radicalement. ISQC 1 imposait des politiques et procedures uniformes. ISQM 1 demande au cabinet de definir des objectifs de qualite, d'identifier les risques propres a sa structure, puis de concevoir des reponses proportionnees. Huit composantes structurent le systeme : gouvernance et leadership, processus d'evaluation des risques, ressources, information et communication, realisation des missions, acceptation et maintien des relations clients, surveillance et remediation. Un cabinet luxembourgeois dont 45 pour cent des mandats sont des OPC ne porte pas les memes risques qualite qu'un cabinet axe sur les PME commerciales.
Risque qualite au sens d'ISQM 1
Un risque qualite est un risque raisonnablement possible d'evenement ou de circonstance, lie aux caracteristiques du cabinet ou de ses missions, qui aurait un effet defavorable sur l'atteinte d'un ou plusieurs objectifs de qualite. Le cabinet doit identifier ces risques au regard de sa nature et de sa complexite : concentration sur l'audit de fonds, recours a des reviseurs de composantes, dependance a des prestataires informatiques externes. A chaque risque identifie correspond une reponse documentee. L'evaluation est continue, pas annuelle.
ISQM 2 regit la revue de controle qualite de la mission, realisee par un reviseur de controle qualite (Engagement Quality Reviewer) independant de l'equipe de mission. Cette revue est obligatoire pour l'audit des etats financiers des entites d'interet public et pour toute autre mission ou le cabinet, dans son evaluation des risques, a identifie un besoin accru de controle. Le reviseur de controle qualite evalue de maniere critique les jugements importants et les conclusions formees par l'equipe. L'associe signataire ne peut dater son rapport tant que la revue n'est pas achevee. A Luxembourg, ou de nombreux OPC ne sont pas formellement des entites d'interet public mais presentent un risque eleve, le cabinet doit definir un critere clair de declenchement de la revue.
| Dimension | ISQC 1 (ancien) | ISQM 1 (depuis 15.12.2022) |
|---|---|---|
| Logique de conception | Politiques et procedures imposees | Objectifs, puis risques qualite, puis reponses |
| Proportionnalite | Exigences uniformes pour tous les cabinets | Adaptee a la nature et la complexite du cabinet |
| Surveillance | Revues de dossiers periodiques par echantillon | Surveillance continue et periodique du systeme |
| Remediation | Corriger les constats sans classification | Analyse des causes profondes, gravite hierarchisee |
| Responsabilite | Associe responsable du controle qualite | Leadership collectif, propriete explicite du systeme |
Depuis la loi du 23 juillet 2016 relative a la profession de l'audit, la CSSF est l'autorite publique de supervision des reviseurs d'entreprises agrees. Elle conduit des inspections qualite et evalue le systeme de gestion de la qualite dans son ensemble, et non plus seulement des dossiers isoles. Depuis ISQM 1, l'inspection porte sur la conception et le fonctionnement du systeme : le cabinet a-t-il identifie ses risques qualite reels, ses reponses sont-elles proportionnees, sa surveillance detecte-t-elle les deficiences, sa remediation traite-t-elle les causes profondes ? L'Institut des reviseurs d'entreprises (IRE) accompagne la profession dans la mise en oeuvre des normes adoptees au Luxembourg.
Reuter & Associes (38 reviseurs, 142 mandats dont 64 OPC) mene son auto-evaluation ISQM 1 et identifie trois ecarts critiques. Premierement, le processus d'evaluation des risques n'est pas formalise : aucune identification documentee des risques qualite lies a la concentration sur les fonds ; delai estime de remediation, six a huit semaines. Deuxiemement, le critere de declenchement de la revue ISQM 2 n'a pas ete applique a 19 mandats de fonds a risque eleve, faute de procedure ecrite. Troisiemement, le programme de surveillance repose encore sur l'echantillonnage de dossiers sans indicateurs de qualite d'audit ; un tableau de bord doit etre construit (temps de mission, taux de reprise, constats par associe signataire).
⚠️Traiter ISQM 1 comme une simple mise a jour du manuel ISQC 1
→ ISQM 1 n'est pas un manuel revise mais un systeme de management avec son propre cycle de conception : objectifs, risques qualite, reponses, surveillance. Reecrire d'anciennes politiques ne suffit pas. Le cabinet repart des objectifs de qualite, identifie ses risques propres et concoit des reponses sur mesure.
⚠️Limiter la revue ISQM 2 aux seules entites d'interet public formelles
→ ISQM 2 exige une revue pour les EIP, mais aussi pour toute mission ou le cabinet a identifie un besoin accru de controle. Au Luxembourg, de nombreux OPC ne sont pas des EIP au sens formel mais portent un risque eleve. Le cabinet doit ecrire un critere de declenchement et l'appliquer a tous les mandats concernes.
⚠️Corriger les constats de surveillance sans analyse des causes profondes
→ ISQM 1 impose d'identifier la cause profonde des deficiences, pas seulement le symptome. Si les evaluations des risques sont systematiquement insuffisantes, la cause peut etre une formation lacunaire ou l'absence de modele de supervision. La remediation doit traiter la cause, sinon le constat reapparait a l'inspection suivante.
La norme ISA 220 revisee precise la responsabilite de l'associe signataire au niveau de chaque mission. Il ne suffit pas que le cabinet dispose d'un systeme ISQM 1 conforme : l'associe doit s'impliquer suffisamment tout au long de la mission, evaluer si les ressources affectees sont appropriees, exercer une supervision et une revue effectives, et conclure que les jugements importants et le rapport sont fondes. Pour un mandat de fonds complexe, l'associe signataire doit notamment s'assurer que l'equipe maitrise l'evaluation des instruments financiers et la lecture du compte rendu analytique de revision.
Le lien entre ISQM 1 et ISQM 2 est souvent mal compris. ISQM 1 est le systeme du cabinet, qui doit exister independamment de toute mission. ISQM 2 est une reponse parmi d'autres a un risque qualite : la revue de controle qualite de la mission. Un cabinet ne peut pas se contenter d'une revue ISQM 2 bien executee si son systeme ISQM 1 n'identifie pas correctement les risques. A l'inverse, un systeme ISQM 1 robuste qui ne declenche jamais de revue ISQM 2 sur des mandats de fonds a risque eleve revele une defaillance de conception.
Specialiste audit Luxembourg — gestion de la qualite ISQM 1 / ISQM 2 et ISA 220 revisee
Questions suggerees
Un cabinet luxembourgeois oriente fonds n'applique la revue ISQM 2 qu'aux entites d'interet public formelles et laisse 19 mandats OPC a risque eleve sans revue. Quel est le defaut au regard d'ISQM 1 et ISQM 2 ?
Bonne réponse : Le critere de declenchement ISQM 2 omet les missions a risque accru identifiees par le cabinet, ce qui revele une defaillance de conception ISQM 1
ISQM 2 exige une revue pour les EIP et pour toute mission ou le cabinet a identifie un besoin accru de controle. Beaucoup d'OPC luxembourgeois ne sont pas des EIP formels mais portent un risque eleve. Omettre le critere de declenchement revele une defaillance de conception du systeme ISQM 1.