Sophie est contrôleuse de gestion dans une ETI de 200 salariés. Ce matin, elle découvre que trois paiements fournisseurs ont été émis en doublon pour un total de 42 000 €. La banque peut en récupérer une partie, mais le DG lui pose la question directe : « Comment ça a pu arriver sans que personne ne le détecte ? » Avant de lire : qui, dans votre entreprise, est responsable du contrôle interne — le DAF, l'audit interne, ou tout le monde à la fois ?
Contrôle interne
Processus intégré mis en œuvre par le conseil d'administration, la direction et l'ensemble du personnel d'une organisation, conçu pour fournir une assurance raisonnable quant à la réalisation des objectifs liés aux opérations, au reporting et à la conformité. Il ne s'agit pas d'un département ni d'une fonction isolée, mais d'un ensemble de mécanismes intégrés aux activités quotidiennes de l'entreprise.
Le contrôle interne n'est pas la vérification comptable, ni la prévention de la fraude seule. C'est un processus continu, imbriqué dans les opérations, qui vise à sécuriser la réalisation des objectifs stratégiques et opérationnels. Chaque collaborateur, du dirigeant à l'opérationnel, en est un acteur.
| Catégorie | Description | Exemples concrets | Parties prenantes principales |
|---|---|---|---|
| Opérations | Efficacité et efficience des activités opérationnelles, y compris la sauvegarde des actifs | Optimiser les délais de livraison, réduire les pertes de production, protéger les stocks contre le vol | Direction opérationnelle, responsables de sites |
| Reporting | Fiabilité, exactitude et ponctualité de l'information financière et non financière | Comptes annuels conformes aux normes, reporting de gestion fiable, déclarations fiscales exactes | Direction financière, commissaire aux comptes, régulateurs |
| Conformité | Respect des lois et réglementations applicables à l'organisation | Conformité RGPD, respect du Code du travail, réglementations sectorielles ACPR/AMF | Direction juridique, compliance officer, régulateurs |
| Risques opérationnels (processus, qualité, fraude) | 40 |
|---|---|
| Risques financiers (liquidité, crédit, marché) | 25 |
| Risques de conformité (réglementaire, juridique) | 20 |
| Risques stratégiques (concurrence, marché, réputation) | 15 |
Plusieurs référentiels encadrent la conception et l'évaluation du contrôle interne. Le COSO 2013 est le référentiel international de référence, structuré autour de 5 composantes et 17 principes. En France, le cadre AMF (2007, mis à jour 2010) s'impose aux sociétés cotées. L'IFACI et les normes IIA constituent le cadre de référence de la profession d'audit interne.
| Référentiel | Émetteur | Champ d'application | Spécificité |
|---|---|---|---|
| COSO 2013 | Committee of Sponsoring Organizations | International, toutes organisations | 5 composantes, 17 principes, approche intégrée |
| Cadre AMF | Autorité des Marchés Financiers | Sociétés cotées en France | Rapport du Président sur le contrôle interne obligatoire |
| Normes IIA / IFACI | Institute of Internal Auditors / IFACI | Fonctions d'audit interne | Normes de qualification, de fonctionnement et de mise en œuvre |
| ISO 31000 | Organisation internationale de normalisation | International, toutes organisations | Cadre de management des risques, complémentaire au COSO |
Le contrôle interne est le dispositif global qui sécurise les opérations. L'audit interne est une activité indépendante et objective d'assurance et de conseil — c'est la troisième ligne de défense. La gestion des risques est le processus d'identification, d'évaluation et de traitement des risques.
Modèle des trois lignes (IIA, 2020)
Cadre de gouvernance qui distingue : la première ligne (management opérationnel — propriétaire des risques et des contrôles), la deuxième ligne (fonctions de surveillance : conformité, contrôle de gestion, risk management), la troisième ligne (audit interne — assurance indépendante). Le conseil d'administration et la direction générale assurent la gouvernance d'ensemble.
Le directeur d'usine (1re ligne) applique les procédures de contrôle qualité. Le responsable QHSE et le contrôleur de gestion (2e ligne) supervisent les indicateurs et proposent des améliorations. L'audit interne (3e ligne) réalise une mission annuelle pour vérifier si les procédures sont à jour, les contrôles réellement appliqués et les anomalies traitées dans les délais.
Le contrôle interne n'est pas une fin en soi. C'est un moyen au service de la maîtrise des activités, de la fiabilité de l'information et de la conformité aux lois et règlements.
1. Environnement de contrôle (culture, éthique, compétences). 2. Évaluation des risques (identification et analyse). 3. Activités de contrôle (procédures préventives et détectives). 4. Information et communication (flux ascendants, descendants, transversaux). 5. Pilotage (évaluations continues et ponctuelles du dispositif).
Quelles sont les trois catégories d'objectifs du contrôle interne selon le COSO ?
Bonne réponse : Opérations, reporting, conformité
Le COSO définit trois catégories d'objectifs : l'efficacité et l'efficience des opérations, la fiabilité du reporting (financier et non financier), et la conformité aux lois et réglementations applicables.
Dans le modèle des trois lignes de l'IIA, qui constitue la troisième ligne de défense ?
Bonne réponse : L'audit interne
Le modèle des trois lignes de l'IIA (2020) distingue : 1re ligne (management opérationnel), 2e ligne (fonctions de surveillance : conformité, risk management) et 3e ligne (audit interne, qui fournit une assurance indépendante).
Pourquoi dit-on que le contrôle interne ne fournit qu'une assurance « raisonnable » ?
Bonne réponse : Parce que les limites intrinsèques (collusion, management override, erreur humaine) empêchent toute garantie absolue
Le contrôle interne a des limites intrinsèques : risque de collusion, passage outre des contrôles par la direction (management override), rapport coût/bénéfice et erreurs humaines.
Conseiller Solva — fondements et référentiels du contrôle interne
Questions suggerees