Mars 2007 Béatrice Bon-Michel LE CONTROLE INTERNE : DU CONCEPT A LA METHODE D’un point de vue conceptuel, la notion de contrôle interne est relativement ancienne ; Avant 1949, la direction était responsable de la mise en place et du suivi des systèmes et processus, planification et des procédures qui existaient à l’époque : d’un point de vue purement technique, les différents éléments composant le contrôle interne existaient. On peut affirmer plus généralement que l’acte de contrôler existe depuis des siècles. Ce n’est cependant pas avant 1949 qu’une définition est apparue par l’Institute Internal Audit (IIA) où il est fait référence au contrôle interne qui comprend le plan de l’organisation et toutes les méthodes et mesures qui permettent d’assurer la sauvegarde des actifs de l’entreprise. C’est plutôt la perception que l’on a du contrôle interne qui a évolué (S.J. Roots, 1998). Nous sommes résolument passés du contrôle dit répressif avec une vision ex post à un contrôle pro actif, cherchant avant tout à se positionner ex ante. Le contrôleur perd progressivement son rôle de gendarme pour acquérir une fonction d’accompagnateur de l’entreprise, en support de la stratégie et des objectifs de l’entreprise. Dans le domaine du contrôle interne, le cadre fournit par le COSO1 vise à réduire la confusion sur la notion de contrôle interne. Il a été un des premiers référentiels de contrôle à mettre explicitement en exergue le lien entre contrôle interne et objectif. De plus il a accordé une place prépondérante à l’environnement de l’entreprise pour appréhender la qualité d’un dispositif de contrôle interne. En dehors des USA, d’autres organisations ont défini le contrôle interne : au Canada, le Criteria of Control Committee (CoCo) du Canadian Institute of Chartered Accountants (CICA) a publié un guide sur le Contrôle et la gouvernance. En France, l’IFACI2 et l’ordre des experts comptables ont également apporté leur contribution. Plus récemment, la Loi de Sécurité Financière d’août 2003 a précisé certains éléments dans le domaine du contrôle interne. Enfin l’AMF3 a défini un certain nombre de critères définissant le dispositif de contrôle qui se déclinent en un guide méthodologique (janvier 2007). L’objectif de cet article est d’une part de positionner la notion de contrôle interne dans une perspective historique et d’autre part d’apporter les grandes lignes d’une méthode d’évaluation du dispositif de contrôle interne en se basant sur les référentiels qui se sont développés depuis la mise en place du Coso. La méthode d’évaluation découle de la décomposition des éléments constitutifs d’un bon dispositif de contrôle interne, ces éléments étant décomposés selon un ordre logique et dynamique (de l’environnement vers le pilotage). Le contrôle interne dans une perspective historique.

1Pour rappel : COSO (‘Committee of Sponsoring Organization of the treadway Commission’) : groupe de travail né des suites de la Commission Treadway en 1992 ; Ce groupe a donné son nom au référentiel de contrôle. 2 Institut Français de l’Audit et du Contrôle Interne (IFACI) 3 Autorité des Marchés Financiers (AMF)

La libéralisation accrue du système économique qui confère au marché financier un rôle central dans le financement des entreprises, remet en question les équilibres entre les différents acteurs économiques. Au XIXème siècle, c’est un contrôle simple qui prévaut, avec de petites entreprises dirigées par un employeur qui supervise directement les conditions de la production (Edwards, 1986). Les banques étaient les principales pourvoyeuses de fonds aux entreprises. Il devenait alors nécessaire d’exercer un minimum de contrôle sur les bilans des entreprises : des firmes ‘comptables’ ont commencé à apparaître dont le rôle était d’analyser ces bilans et de fournir une opinion. Progressivement il est devenu irréaliste de chercher à analyser tous les comptes et toutes les transactions : il semblait donc logique de s’assurer que le processus lui-même qui a contribué à la réalisation de ces états était fiable. La notion de ‘contrôle interne’ a ainsi été associée à ces processus. Au début du XXème siècle, les termes de contrôle interne opérationnel et de contrôle interne administratif apparaissent. En 1892, la Grande-Bretagne a publié un livre sur ‘l’Auditing’ qui a été repris en 1909 par un américain, R. Montgomery, livre publié avec pour titre ‘Auditing : Theory and Practice’. Ces ouvrages ont fait référence de nombreuses années en matière de méthodologie d’audit. Après le krach de 1929, il est apparu nécessaire de réguler le développement des marchés financiers. En 1934, les Etats-Unis ont créé la SEC et mis en place un certain nombre de lois afin de favoriser la transparence des états financiers des sociétés cotées. La SEC contribuera également à l’évolution de la perception du contrôle interne par les recommandations qu’elle fera en terme de contenu des états financiers. Elle élargira le champ des responsabilités non pas exclusivement aux seules professions comptables mais également à l’ensemble des intervenants dans les chaînes de transaction. Ce n’est cependant pas avant 1949 qu’une définition est apparue par l’Institute Internal Audit (IIA) où il est fait référence au contrôle interne, contrôle qui comprend le plan de l’organisation et toutes les méthodes et mesures qui permettent d’assurer la sauvegarde des actifs de l’entreprise. Cette définition élargissait considérablement la notion de contrôle interne, au-delà des fonctions comptables et financières. En 1958, le Committee on Auditing Procedure (CAP) a émis la SAP N°29 4 qui distingue : . Le contrôle comptable qui vise à s’assurer de la préservation des actifs et la fiabilité des états financiers, . Le contrôle administratif qui vise à s’assurer de la pertinence des processus opérationnels. Des précisions complémentaires ont été apportées avec la SAP N°33 : l’auditeur externe est concerné principalement par les contrôles comptables. Il peut éventuellement effectuer par sondage des contrôles administratifs si cela peut lui apporter des éléments quant à la fiabilité des états financiers. En 1973, la SAS N°1 (remplaçant la nomenclature SAP) propose des définitions du contrôle administratif et du contrôle comptable. L’évolution apportée par le SAS N°1 est le lien qui est fait entre contrôle comptable et contrôle administratif en expliquant 4 les SAP constituent un ensemble de normes en matière de procédures d’audit. Elles seront remplacées par les Statements on Auditing Standards (SAS), normes définies par l’AICPA aux Etats-Unis. En matière d’audit, l’IAASB a également défini des normes ISA (International Standard on Auditing) au nombre de 40.

comment certaines procédures et processus dédiés aux contrôles comptables pouvaient servir les objectifs de la direction et donc être rattachés aux contrôles administratifs. Les changements dans l’environnement américain liés aux affaires du Watergate ont rendu le public sceptique sur les organisations et leur transparence (Heier J.R. and Sayers D.L., 2003). C’est pourquoi la SEC réagit en 1977 avec le Foreign Corrupt Practices Act (FCPA) : cette loi rend illégal le fait de ne pas avoir de dispositif de contrôle interne adéquat, c’est à dire la relative assurance que les transactions sont réalisées en accord avec le management. La question est alors de savoir ce qu’est un système de contrôle efficace. Le FCPA n’était pas eu un rôle proactif mais a été une réaction aux évènements du marché. L’American Institute of Certified Public Accountants (1978) donne la définition suivante : ’le contrôle interne est formé de plans d’organisation et de toutes les méthodes et procédures adoptées à l’intérieur d’une entreprise pour protéger ses actifs, contrôler l’exactitude des informations fournies par la comptabilité, accroître le rendement et assurer l’application des instructions de la Direction’. En France, l’Ordre des experts comptables (1977) définit le contrôle interne comme ‘l’ensemble des sécurités contribuant à la maîtrise de l’entreprise. En 1979, la SEC propose que les entreprises cotées incluent dans leur rapport une opinion sur leur dispositif de contrôle interne et sur sa concordance avec les règles édictées par le FCPA. L’objectif était de fournir l’information nécessaire aux investisseurs pour évaluer les performances de la direction et la fiabilité des états financiers. Il apparaît alors de plus en plus clairement que la distinction entre contrôle administratif et contrôle comptable devient difficile à tenir. Dans les années 80, de nombreuses entreprises ont commencé à se doter de compétences d’audit interne afin de répondre à ces obligations. Néanmoins, à cette période, les différentes débâcles financières aux USA (qui ont coûté plus de 150 Mrds de USD aux contribuables américains) dont les causes sont diverses (forte volatilité des taux d’intérêt, spéculation …) ont fait ressortir un certain nombre de fraude aux états financiers. C’est pourquoi, en 1985, a été créée la Treadway Commission ; cette commission devait identifier les facteurs qui conduisaient à des états financiers frauduleux et faire des recommandations qui réduiraient ces fraudes. La commission a remis son rapport en 1987 : une des conclusions du rapport était d’avancer que 50% des fraudes découvertes dans les états financiers étaient dues à des dispositifs de contrôle interne déficients. De même il constate la forte diversité des dispositifs de contrôle et de la définition qui en est donnée, provoquant confusion entre auditeurs internes, auditeurs externes et direction générale : on ne parle plus de contrôle administratif ou de contrôle comptable : on parle de contrôle interne. Le rapport Treadway contient 50 recommandations pour réduire le risque de fraude dans les états financiers. Il apporte une précision importante : « le contrôle interne … est destiné à fournir une assurance raisonnable quant à la réalisation des objectifs suivants : la réalisation et l’optimisation des opérations, la fiabilité des informations financières, la conformité aux lois et règlements en vigueur ». Cette définition nuance le rôle du contrôle interne en précisant qu’il n’apporte pas une garantie totale mais une couverture raisonnable des risques. La commission met en avant notamment l’environnement de contrôle et les codes de conduite.

En 1988, l’AICPA’s Auditing Standards Board (ASB) américain continue dans ce sens en publiant 8 nouveaux règlements, afin notamment de répondre aux critiques qui avaient été faites vis à vis de la profession des auditeurs pour ne pas avoir prévenu sur les défaillances institutionnelles : ces normes mettent l’accent sur la responsabilité de l’auditeur, sur la nécessité de communication avec le Comité d’audit. En avril 1988, la norme SAS N°55 ne parle plus de contrôle administratif et contrôle comptable. Elle parle d’environnement de contrôle, de système comptable et de procédures de contrôle. Cette norme réaffirme le rôle de la Direction dans le dispositif de contrôle. Après la publication du rapport Treadway, COSO a été mis en place pour développer le suivi de ces recommandations. Ce comité était présidé par un représentant de l’AICPA, marquant ainsi l’influence de la profession d’audit dans ce Comité. Parallèlement au développement de ces dispositifs aux USA, d’autres pays ont promu le contrôle interne : le Canada, le Royaume-Uni et l’Australie. Jusque dans les années 70-80, le contrôle interne était une préoccupation principalement des professions liées à l’audit et au système d’information. Les auditeurs voulaient bénéficier de l’approche la plus pertinente en matière de contrôle interne pour évaluer les états financiers. En France, l’Ordre des experts comptables (1977) définit le contrôle interne comme ‘l’ensemble des sécurités contribuant à la maîtrise de l’entreprise’. En 1992, le COSO publie ‘Internal Control-Integrated Framework’ (ce qu’on appelle également Coso Report) : ce document définit les trois objectifs majeurs du contrôle interne : . Efficacité et performance des opérations . Fiabilité des états financiers . Conformité vis à vis des lois et règlements. En juillet 2002, suite à différents scandales qui ont à nouveau mise en défaut la fiabilité des états financiers (ENRON notamment) et la problématique des conflits d’intérêt, le congrès américain a voté une nouvelle loi, le Sarbannes Oxley Act : le congrès américain a souhaité renforcer la réglementation et encadrer la fonction d’auditeurs. La responsabilité de la Direction est réaffirmée en ce qui concerne la mise en place, l’évaluation et le pilotage du dispositif de contrôle interne. La loi vise à réduire l’écart entre les contrôles menés par les opérationnels et la direction qui prend les décisions stratégiques de gouvernance. Le régulateur a souhaité entre autre réglementer le contrôle des comptes pour les sociétés cotées : cette loi demande à la direction de s’assurer que leur dispositif de contrôle interne permet de produire des états financiers fiables. Il s’agit de fournir une évaluation sur les contrôles et les procédures et le dispositif de contrôle interne des états financiers5. Dans le même esprit, la France a adopté la loi N° 2003-706 en août 2003 dite de Sécurité Financière (LSF) qui assujettie toutes les sociétés anonymes faisant appel public à l’épargne à de nouvelles mesures d’information. Elle s’inspire en partie du dispositif anglo-saxon et vise à adapter la législation française à un environnement économique et financier en constante évolution.

5 Certaines sections, telles les 301, 302, 404 et 406 traitent plus spécifiquement de l’audit interne.

Certaines mesures ont trait au processus de décision des organes dirigeants. Le président du conseil d’administration, comme celui du conseil de surveillance, doivent désormais rendre compte dans leur rapport à l’assemblée générale, des méthodes d’organisation des travaux du conseil et des procédures de contrôle interne mises en place par la société. La loi cependant ne précise pas le contenu ni la nature des informations à apporter. L’approche du contrôle interne dans sa dimension historique amène aux conclusions suivantes : l’acte de contrôler est ancien. Cependant c’est au fur et à mesure des différents scandales financiers que le concept de contrôle interne a véritablement pris forme. Il y a tout d’abord eu une évolution de la perception du contrôle avec la prise de conscience qu’il ne s’agissait pas uniquement de contrôles des états financiers ou des procédures. De plus la prise de conscience a porté sur les conséquences que des failles dans les contrôles pouvaient amener. Il a fallu alors définir ce qu’il fallait entendre et attendre du ou des contrôles. Fort des différentes définitions fournies par les divers organismes nationaux et internationaux, les entreprises ont eu alors besoin qu’un guide leur soit fourni pour mettre en place ces principes (ce fut le rôle du Coso et dernièrement de l’AMF avec son guide méthodologique). Vers la mise en place d’une méthodologie Une des évolutions majeures dans la perception du contrôle interne est liée à la notion de ‘dispositif’. Il est d’ailleurs imparfait de parler du contrôle interne de l’entreprise : il s’agit du dispositif de contrôle interne de l’entreprise. Cet abus de langage amène un certain nombre de collaborateurs de l’entreprise à ne pas se sentir concerné par le contrôle interne : ils ne se sentent pas inclus par le dispositif global de contrôle. Or nous savons que le contrôle interne n’est pas l’apanage des seuls auditeurs ou contrôleurs internes. Le COSO (1992) a fourni une définition du contrôle interne comme étant un processus mis en place par la Direction et le personnel afin de fournir une assurance raisonnable6 quant à la réalisation des objectifs pour les trois catégories d’objectifs suivants : des objectifs opérationnels (réalité et rentabilité des opérations), des objectifs en terme de reporting financiers (fiabilité des états financiers) et des objectifs de conformité (conformité aux lois et règlements). Cette définition, qui a été depuis reprise un grand nombre de fois sous des formes et formats variés, renferme les critères d’appréciation de la pertinence d’un dispositif de contrôle : . Le lien entre contrôle et objectif, . La notion de processus, . L’implication de l’ensemble du personnel, . La typologie des principaux objectifs du contrôle. Objectif et contrôle Il y a une relation inséparable entre le fait de contrôler et l’objectif du contrôle : mettre sous contrôle, être maître de. Toutes les définitions sur le contrôle interne le définissent en terme de réalisations d’objectifs. Plus l’organisation est importante, plus les objectifs sont nombreux et variés. Il est parfois surprenant de constater 6 ‘internal control is a process, effected by an entity (...) to provide reasonable assurance regarding the achievement of objectives’

pourtant comme cette notion d’objectifs n’est pas toujours considérée comme prioritaire : le collaborateur qui ne connaît pas précisément ses objectifs a du mal à saisir ce qui peut alors perturber la réalisation de ces mêmes objectifs. L’auditeur interne qui ne commence pas par cerner les objectifs du secteur à auditer ne peut pas alors appréhender correctement les risques … il en est ainsi de tout acte qui ne peut se concevoir sans compréhension des objectifs. En matière de contrôle, il n’y a pas de contrôles corrects sans objectifs précis et clairs. La notion de processus Le contrôle interne est un processus. C’est donc un moyen pour arriver à une fin et non une fin en soi. Le contrôle interne représente une succession d’actions qui permet à l’entreprise de réaliser son activité. Le contrôle interne est intégré dans la planification des activités. Ce dispositif n’est pas un ajout imposé par le régulateur mais intrinsèquement lié au bon déroulement de la transaction. Le contrôle interne : une gestion par l’ensemble des collaborateurs de l’entreprise Le contrôle interne ne se résume pas à un manuel de procédures formelles mais il est la résultante de l’action de chacun à tous les niveaux. Il est définit par la direction (qui en assume la responsabilité) et la hiérarchie mais parallèlement, il affecte l’action de tout collaborateur (définition des responsabilités, gestion des limites …). Le contrôle interne : une assurance raisonnable Il ne constitue pas une garantie totale pour la direction. Toute définition du contrôle interne trouve en elle-même ses limites : le contrôle prévient les risques, il ne les supprime pas tous : la nature humaine est faillible, l’environnement évolue et les situations ne sont pas toujours celles qui étaient prévues : le cas de la Barings où un seul homme a réussi, par le jeu des options, à mettre un établissement en faillite en est une illustration. Eliminer tous les incidents serait donc utopiques et coûteux et tous les jours, l’entreprise peut être confrontée à des incidents qui ne la perturbent pas de manière irrémédiable. La typologie des objectifs du dispositif de contrôle Le dispositif de contrôle interne doit permettre d’assurer7 : . La rentabilité et l’efficacité des activités : il s’agit là d’objectifs de performance dans l’utilisation des actifs et autres ressources ainsi que dans la protection de l’établissement vis-à-vis des pertes. Le processus de contrôle cherche à s’assurer que l’ensemble du personnel œuvre avec efficience et intégrité à la réalisation des objectifs, sans occasionner des coûts imprévus ou excessifs ni privilégier d’autres intérêts que ceux de la banque. . La fiabilité, l’exhaustivité et l’actualité des données financières et des informations destinées à la direction : l’objectif d’information porte sur la préparation de rapports pertinents, fiables indispensables à la prise de décision. Ils recouvrent la nécessité d’établir des comptes annuels, des états financiers qui soient fiables pour les actionnaires, les autorités de contrôle et autres parties extérieures. . La conformité aux lois et réglementations applicables : l’objectif de conformité est fondamental pour éviter d’une part le risque d’image et le coût financier des éventuelles sanctions.

7 Repris en partie dans les recommandations du comité de Bâle de 1988

Le cadre du dispositif de contrôle interne étant ainsi posé, il reste la problématique de l’application concrète de ce dispositif. Le Coso a ainsi défini 5 (puis 8 avec le Coso II8) éléments d’un dispositif de contrôle efficace : . L’environnement du contrôle (intégrité, valeurs éthiques, compétences et environnement), . L’évaluation des risques (mise en place de cartographie des risques, évaluation et suivi) . Le contrôle opérationnel (autorisations, justifications comptables, séparation des fonctions) : dans le contrôle opérationnel, le Coso distingue le ‘hard control’, c'est-à-dire le contrôle formel, tangible et facile à évaluer et mesurer, du ‘soft control’, contrôle informel, lié notamment à la culture de l’entreprise, aux comportements des individus. . L’information et la communication : cela permet à l’entreprise de gérer, de suivre et de contrôler les opérations. . Le pilotage : le processus de contrôle doit être piloté afin de faire l’objet de réajustements éventuels et de lui permettre d’être réactif et dynamique. Le Coso (et l’AMF dernièrement) détaille précisément le contenu de chacun de ces éléments fournissant ainsi un guide pour la mise en place et l’appréciation du dispositif de contrôle interne. Ainsi l’élément Environnement est-il le premier de la liste et cet aspect, même s’il est parfois négligé dans la réalité quotidienne de l’entreprise, est fondamental et constitue à ce titre le fondement de tout le dispositif : la définition des objectifs de l’entreprise, la répartition des responsabilités, la gestion des compétences, l’organisation de plus haut au plus bas de la hiérarchie … La gestion des risques est ensuite au cœur du dispositif : seule une évaluation correcte de ses risques permet à l’entreprise d’adopter une stratégie pertinente. Les contrôles opérationnels qui sont ceux qui viennent spontanément à l’esprit lorsque le terme de ‘contrôle’ est utilisé (avec notamment les fameuses ‘procédures’, bête noire des chefs de service) sont des éléments essentiels parmi d’autres. L’information et la communication ont suffisamment fait l’objet d’intérêt qu’il ne s’agit plus de produire de l’information mais d’accroître sa qualité (dans le fond et la forme). Enfin seul un pilotage efficace permet au dispositif de contrôle de s’inscrire dans une perspective dynamique et de suivre l’évolution de l’entreprise afin de coller au plus près la réalité de cette dernière. Les grandes évolutions dans la perception du contrôle qui ont abouti à la rédaction de méthodologies constituent une avancée significative pour la mise en place d’un dispositif de contrôle et permettent de disposer d’outils d’appréciation de la pertinence de ces dispositifs. La perception du contrôle interne a notamment évolué vers la prise en compte des objectifs de l’entreprise. Il n’y a pas de contrôle sans objectif et nous pourrions effectuer un rapide raccourci en précisant qu’il y a difficilement d’objectifs réalisables sans la composante contrôle interne. Chaque

8 Le Coso II en 2002 est venu complété le Coso I en positionnant clairement la gestion des risques comme un élément essentiel du dispositif de contrôle. Le Coso II introduit la notion de Enterprise Risk Management Framework (ERM) repris ensuite dans un grand nombre de démarche risque. Les 3 éléments supplémentaires sont à rattacher à la gestion des risques : identification des risques, gestion des risques et pilotage des risques. Le Coso II

étape est essentielle pour apprécier un dispositif : les étapes seront plus ou moins détaillées selon la taille du secteur ou de l’entreprise mais il est nécessaire de ne pas s’affranchir d’un élément. L’ordre des étapes est également important : de la définition des objectifs au pilotage du dispositif en passant par les contrôles au quotidien et la supervision. Tout en laissant une grande liberté, les clés de compréhension et de mise en place d’un dispositif de contrôle sont clairement définies dans ces référentiels. Elles reposent sur des principes de saines logiques qui positionnent le dispositif de contrôle comme l’ossature nécessaire à la réalisation des objectifs de l’entreprise, ossature qui nécessite des articulations flexibles pour suivre les mouvements de l’entreprise.