Comprendre les cadres de contrôle interne
Les cadres de contrôle interne fournissent la structure que les organisations utilisent pour concevoir, mettre en œuvre et évaluer leurs contrôles internes. Un cadre bien choisi permet de garantir que les informations financières sont fiables, que les opérations sont efficaces et que l'organisation se conforme aux lois et réglementations applicables.
Qu'est-ce qu'un cadre de contrôle interne ?
Un cadre de contrôle interne est un ensemble structuré de lignes directrices qui définissent la manière dont une organisation doit établir et maintenir son système de contrôles internes. Il fournit un langage commun pour discuter des contrôles, une méthodologie pour évaluer leur efficacité et une base pour rendre compte aux parties prenantes.
Sans cadre, les organisations risquent d'adopter une approche ad hoc des contrôles qui laisse des lacunes dans la couverture, crée des redondances et rend difficile la communication de l'état de l'environnement de contrôle aux auditeurs, aux régulateurs et au conseil d'administration.
Le cadre COSO
Le cadre du Committee of Sponsoring Organizations of the Treadway Commission (COSO) est le cadre de contrôle interne le plus largement adopté aux États-Unis et dans de nombreux autres pays. Initialement publié en 1992 et mis à jour en 2013, il définit le contrôle interne à travers cinq composantes interdépendantes.
L'environnement de contrôle constitue la base. Il englobe la culture de l'organisation, les valeurs éthiques, la structure de gouvernance et l'engagement des dirigeants envers le contrôle interne. Un environnement de contrôle solide donne le ton à l’ensemble de l’organisation.
L'évaluation des risques est le processus d'identification et d'analyse des risques qui pourraient empêcher l'organisation d'atteindre ses objectifs. Cela comprend l’évaluation de la probabilité et de l’impact des risques et la détermination de la manière dont ils doivent être gérés.
Les Activités de contrôle sont les politiques et procédures qui contribuent à garantir l'exécution des directives de la direction. Ils comprennent les approbations, les autorisations, les rapprochements, la séparation des tâches et les contrôles manuels et automatisés.
Information et communication garantissent que les informations pertinentes circulent dans toute l'organisation en temps opportun. Cela comprend à la fois la communication interne entre les départements et la communication externe avec les régulateurs, les auditeurs et les investisseurs.
Les activités de suivi évaluent si les cinq composantes sont présentes et fonctionnent au fil du temps. Cela comprend un suivi continu au moyen d'activités de gestion régulières et d'évaluations distinctes telles que des audits internes.
Les 17 principes du COSO
La mise à jour de 2013 du cadre COSO a introduit 17 principes qui correspondent aux cinq composantes. Ces principes fournissent des orientations plus spécifiques sur ce à quoi ressemble un contrôle interne efficace dans la pratique. Par exemple, le principe 1 stipule que l'organisation démontre un engagement envers l'intégrité et les valeurs éthiques, tandis que le principe 16 traite de la sélection, du développement et de la réalisation d'évaluations continues et distinctes.
Autres cadres
Bien que le COSO domine aux États-Unis, d’autres cadres répondent à des objectifs ou à des zones géographiques spécifiques.
COBIT (Control Objectives for Information and Related Technologies) se concentre sur la gouvernance et la gestion informatique. Il est particulièrement utile pour les organisations cherchant à renforcer les contrôles sur les systèmes d’information et les risques technologiques.
Le Turnbull Guidance a été largement utilisé au Royaume-Uni avant d'être remplacé par des directives mises à jour. Il souligne la responsabilité du conseil d'administration de maintenir un système de contrôle interne solide et d'évaluer son efficacité.
Le modèle des trois lignes (mis à jour à partir des trois lignes de défense) publié par l'Institut des auditeurs internes fournit un cadre de gouvernance et d'assurance. Il clarifie les rôles et les responsabilités au sein des fonctions de gestion, de gestion des risques et de conformité, ainsi que de l'audit interne.
Choisir le bon framework
Le choix du cadre dépend de plusieurs facteurs, notamment les exigences réglementaires, le secteur d'activité, la taille de l'organisation et la maturité des contrôles existants. De nombreuses organisations utilisent COSO comme cadre principal et le complètent avec COBIT pour les contrôles spécifiques à l'informatique.
Les sociétés cotées en bourse aux États-Unis sont en effet tenues d'utiliser un cadre reconnu tel que le COSO pour leurs évaluations SOX Section 404. La SEC a déclaré que la direction doit utiliser un cadre approprié et reconnu lors de l'évaluation des contrôles internes à l'égard de l'information financière.
Considérations sur la mise en œuvre
L’adoption d’un cadre n’est pas un projet ponctuel. Cela nécessite un engagement continu en matière de documentation, de tests et d’amélioration. Les étapes clés comprennent la mise en correspondance des contrôles existants avec les composants et principes du cadre, l'identification des lacunes, la conception de nouveaux contrôles si nécessaire et l'établissement de processus de surveillance.
La documentation est particulièrement importante. Chaque contrôle doit être lié au risque qu'il traite, à la composante du cadre qu'il prend en charge et aux preuves qu'il produit. Les outils d'audit qui maintiennent des liens traçables entre les contrôles, les preuves et les pièces justificatives rendent ce processus plus gérable, en particulier pour les organisations disposant d'environnements de contrôle complexes.
Le résultat
Un cadre de contrôle interne n’est pas seulement une exigence de conformité. Il s'agit d'un outil de gestion qui, lorsqu'il est correctement mis en œuvre, renforce la gouvernance, améliore l'efficacité opérationnelle et améliore la fiabilité des informations financières. Le cadre que vous choisissez compte moins que la discipline avec laquelle vous l’appliquez.