1
Comit de Ble sur le contrle bancaire
L'audit interne dans les banques et les relations des autorits
de tutelle avec les auditeurs
Aot 2001
2
BANK FOR INTERNATIONAL SETTLEMENTS
AVANT PROPOSLIFACI a le plaisir de vous proposer une traduction
du document du Comit de Ble publi en aot 2001 sous le titre
Internal audit in banks and the supervisors relationship with
auditors . Cette traduction a t ralise par Christiane Dufayet,
auditeur interne au Crdit Foncier de France, avec la contribution
de Florence Bergeret, Responsable de la Recherche de lIFACI ;
quelles en soient remercies. LIFACI, Institut Franais de lAudit et
du Contrle Internes (www.ifaci.com) est, en France, lunique
organisation professionnelle dont la vocation est dassurer la
promotion et le dveloppement de la pratique de laudit interne. Fond
en 1965 sous un statut associatif, lInstitut fdre prs de deux mille
professionnels de laudit issus de plus de six cents organismes des
secteurs public et priv. Au niveau international, il est affili The
Institute of Internal Auditors (IIA) qui regroupe soixante-quinze
mille spcialistes de laudit interne rpartis dans plus de cent vingt
pays. Il est, en outre, lInstitut moteur de lUnion Francophone de
lAudit Interne (UFAI). Fort dune organisation nationale et
rgionale, lIFACI dveloppe son action autour de cinq objectifs
principaux : - contribuer la professionnalisation des auditeurs
internes ; - tre un lieu dchanges professionnels ; - tre un vecteur
de promotion de laudit interne ; - tre le porte-parole auprs des
organismes professionnels et institutionnels, - tre, enfin, un lieu
de rflexion sur la fonction daudit interne et son volution. Ce
dernier objectif est la finalit de lactivit Recherche qui sinscrit
parfaitement dans la devise de lIIA : Le progrs par le partage .
Elle sorganise autour de 8 units de recherche et 6 groupes
professionnels, parmi lesquels le Groupe Banque, fort de quelque
500 adhrents. Ce groupe mne ses rflexions et ses travaux sur divers
thmes, tels que la dtection et la prvention du blanchiment de
largent, la lutte contre la fraude, les rfrentiels des systmes
dinformation, les risques oprationnels ou tout autre thme dactualit
qui sont le plus souvent prsents dans le cadre de runions
dinformation.
3
Louis Vaurs Dlgu Gnral, IFACI
4
Table des matires : Page Introduction 5 Dfinition de l'audit
interne 6 Missions et objectifs de l'audit interne 6 Principes
applicables l'audit interne 8 Principe de permanence et de
continuit 8 Principe dindpendance 8 Charte d'audit 9 Impartialit 9
Comptence professionnelle 10 Champ dintervention 10 Procdure
interne d'valuation des besoins en fonds propres 12 Le
fonctionnement de l'audit interne 13 Mthodes de travail et types
d'audit 13 Analyse des risques et plan d'audit 13 Procdures 14
Management du service d'audit interne 14 Relations entre les
autorits de tutelle, le service d'audit interne et les auditeurs
externes 15 Relations entre les autorits de tutelle et le service
d'audit interne 15 Relations entre les auditeurs internes et les
auditeurs externes 16
5
Relations entre les autorits de tutelle et les auditeurs
externes 16 Coopration entre les autorits de tutelle, les auditeurs
externes et les auditeurs internes 18 Le Comit d'audit 19 Dfinition
19 Composition, pouvoirs et fonctionnement 19 Principales fonctions
19 L'externalisation de l'audit interne 20 Dfinition 20
Externalisation de l'audit interne 20 Externalisation de l'audit
interne dans les banques de petite taille 22
6
Groupe de travail Sujets comptables du Comit de Ble sur la
supervision bancaire Prsident : Prof Arnold Schilder, De
Nederlandsche Bank, Amsterdam Commission Bancaire et Financire,
Bruxelles Office of the Superintendent of Financial Institutions
Canada, Bovolaneas Toronto Commission Bancaire, Paris Deutsche
Bundesbank, Frankfurt am Main Hillen Bundesaufsichtsamt fr das
Kreditwesen, Bonn Hanenberg Banca dItalia, Rome Calandrini Bank of
Japan, Tokyo Financial Services Agency, Tokyo Hayashi Commission de
Surveillance du Secteur Financier, Luxembourg De Nederlandsche
Bank, Amsterdam Dobbyn Banco d'Espaa, Madrid Finansinspektionen,
Stockholm Eidgenssische Bankenkommission, Bern Rieder Bank of
England, London Financial Services Authority, London Chesworth
Board of Governors of the Federal Reserve System, Edwards
Washington, DC Federal Reserve Bank of New York Office of the
Comptroller of the Currency, Washington, DC Blackburn Federal
Deposit Insurance Corporation, Washington, DC Observateurs
Commission Europenne, Bruxelles Pinelli Oesterreichische
Nationalbank, Vienna Hammer Saudi Arabian Monetary Agency, Riyadh
Monetary Authority of Singapore, Singapore Mr Marc Pickeur Ms Donna
Mr Philippe Bui Mr Karl-Heinz Mr Ludger Dr Carlo Mr Hiroshi Ota Mr
Nobuhiro Mr Guy Haas Mr Michael Mr Andr van Dorssen Mr Anselmo Diaz
Mr Hans Hultin Mr Stephan Mr Ian Michael Ms Deborah Mr Gerald Mr
James Beit Mr Zane Mr Robert Storch Mr Vittorio Mr Martin Mr Tariq
Javed Mr Timothy Ng
7
Secretariat Secretariat of the Basel Committee on Banking
Supervision, Mettinger Bank for International Settlements
Mr Bengt A
8
Introduction 1. Au titre de ses efforts constants pour traiter
et promouvoir le contrle bancaire en encourageant de saines
pratiques, le Comit de Bale sur le contrle bancaire ( Le Comit )
publie le prsent document sur l'audit interne dans les banques et
la relation des autorits de tutelle avec les auditeurs internes et
externes. Un contrle interne adquat au sein de la banque doit tre
complt par une fonction d'audit interne efficace qui value, de faon
indpendante, les dispositifs de contrle de l'organisation. Les
auditeurs externes, pour leur part, y contribuent en formulant des
observations sur l'efficacit du dispositif. Le respect de la
rglementation et des procdures ainsi que les actions correctrices
appropries, engages par le management en rponse aux faiblesses du
contrle interne identifies par les auditeurs internes et externes,
rpondent aux proccupations des autorits de tutelle bancaires. En
dfinitive, la coopration entre l'autorit de tutelle, l'auditeur
interne et lauditeur externe optimise la supervision. 2. Les
principes noncs dans ce document sont d'application gnrale mme
s'ils sont destins tre appliqus dans un cadre spcifique de
supervision. L'utilisation de procds de supervision internes ou
externes diffre de faon significative selon les pays. De la mme
faon, le degr d'implication des auditeurs externes dans la fonction
de supervision varie largement. Bien que l'approche choisie par les
superviseurs de chaque pays dpende de ces diffrents facteurs, tous
les membres du Comit sont d'accord sur les principes noncs dans le
prsent document. 3. Ce document fait rfrence une structure
manageriale compose d'un conseil d'administration et dune Direction
Gnrale. Le Comit est conscient qu'il existe des diffrences
significatives dans les structures lgislatives et rglementaires des
diffrents pays en ce qui concerne les fonctions du Conseil
d'Administration et de la Direction Gnrale. Dans certains pays le
Conseil d'Administration a pour principale, voire pour seule
fonction, la supervision des instances excutives (encadrement
suprieur et management dans son ensemble) afin de s'assurer que ces
dernires assument leurs tches. C'est la raison pour laquelle, dans
certains pays, on l'appelle Conseil de Surveillance. Cela signifie
que ce conseil n'a aucune fonction excutive. Dans d'autres pays, en
revanche, le conseil a une comptence plus large en ce qu'il
dtermine les lignes directrices gnrales pour la gestion de la
banque. Compte tenu de ses diffrences, les notions de Conseil
d'Administration et de Direction Gnrale sont utilises dans ce
document non pour identifier des organes de dcision au sens
juridique, mais plutt pour dsigner deux instances de dcision au
sein d'une banque. Les principes poss dans ce document doivent
s'appliquer en conformit avec les structures manageriales des
entreprises de chaque pays. Il serait utile de consulter ce sujet
le document du Comit de Ble "L'optimisation du gouvernement
d'entreprise dans les organisations bancaires " publi en septembre
1999. 4. Le prsent document constitue un guide de base pour les
autorits de tutelle tout en prcisant leur point de vue sur l'audit
interne dans les banques et les relations entre les superviseurs et
les auditeurs externes et internes. Le Comit encourage les efforts
dploys pour harmoniser et amliorer les normes de l'audit interne au
plan international. Le Comit souhaite quil soit tenu compte des
rgles prudentielles dans le dveloppement des normes nationales et
internationales d'audit interne. 5. Au sein d'une banque, une
fonction d'audit interne organise selon les principes
9
poss dans le prsent document, facilite le travail des autorits
de tutelle de la banque. Un contrle interne structur, associ une
fonction d'audit interne, et un audit externe indpendant
participent un gouvernement d'entreprise sain qui, son tour, peut
contribuer une coopration entre le management de la banque et les
autorits de tutelle. Une fonction d'audit interne efficace est,
pour le management, ainsi que pour les autorits de tutelle de la
banque, une source apprciable d'information sur la qualit du
dispositif de contrle interne. 6. Les principes noncs dans ce
document s'appliquent toutes les banques, y compris celles qui font
partie d'un groupe et aux socits holding dont les filiales sont
majoritairement des banques. 7. Ce document prcise les lignes
directrices publies par le Comit en 1998 et intitules " Dispositifs
de contrle interne au sein des banques", en particulier les normes
de la fonction d'audit interne. Le document de 1998 prvoit des
rgles internationales de supervision de l'valuation du contrle
interne de la banque fondes sur un dispositif de contrle interne
moderne et volu.
La dfinition de l'audit interne :8. En juin 1999, les instances
dirigeantes de lIIA, the Institute of Internal Auditors, ont
approuv la dfinition suivante : "L'Audit Interne est une activit
indpendante et objective qui donne une organisation une assurance
sur le degr de matrise de ses oprations, lui apporte ses conseils
pour les amliorer, et contribue crer de la valeur ajoute. Il aide
cette organisation atteindre ses objectifs en valuant, par une
approche systmatique et mthodique, ses processus de management des
risques, de contrle, de gouvernement d'entreprise, et en faisant
des propositions pour renforcer leur efficacit". 9. L'objectivit et
l'impartialit, primordiales pour le service de l'audit interne dans
le domaine bancaire, n'excluent pas ncessairement la possibilit
quil s'investisse dans une activit de conseil. Conseiller la
Direction Gnrale sur le dveloppement de contrles internes est
souvent une faon peu onreuse de s'assurer que le management prend
une dcision avise quand des mesures de contrle interne apparaissent
ncessaires. Cependant le conseil sous d'autres formes doit rester
une activit annexe la fonction de base de l'audit interne qui est
une fonction indpendante d'valuation au sein d'une banque pour
examiner et valuer ses dispositifs de contrle interne, y compris
dans le domaine du reporting financier. Les auditeurs internes ne
doivent pas se censurer pour analyser et critiquer les dispositifs
de contrle interne mis en uvre par, ou sous l'gide de la Direction
Gnrale, mme sils ont eux-mmes donn des conseils sur les contrles
mettre en place. 10. Certaines banques ont dcid de mettre en place
une auto-valuation des processus de contrle. Cette dmarche peut se
dfinir comme un processus norm qui permet au management et/ou un
service d'analyser ses activits ou ses fonctions et d'valuer
l'efficacit des procdures de contrle interne qui y sont associes.
On peut considrer qu'il s'agit l d'une technique utile pour valuer
l'efficacit du contrle interne, sans que ce soit pour autant un
substitut l'audit interne.
10
Missions et objectifs de laudit internePrincipe n1 Le Conseil
d'Administration de la banque a la responsabilit finale de
s'assurer que la Direction Gnrale tablit et maintient : - un systme
de contrle interne appropri et efficace ; - un processus
d'valuation des divers risques engendrs par les activits de la
banque ; - un systme de comparaison entre les risques et le niveau
de fonds propres de la banque ; - des dispositifs propres s'assurer
du respect des lois, des rglements ainsi que de la rglementation
prudentielle et interne. Au moins une fois par an, le Conseil
d'Administration doit vrifier le systme de contrle interne et le
dispositif d'adquation des fonds propres. 11. Le Conseil
d'administration doit vrifier rgulirement que la banque a mis en
place des dispositifs de contrle interne pour une conduite norme et
prudente des affaires (en se rfrant des objectifs clairement
dfinis). Le Conseil d'Administration doit galement s'assurer que la
banque a mis en place une procdure de limitation des risques par
rapport au niveau des fonds propres de la banque. Enfin, le Conseil
dAdministration doit sassurer que la banque a mis en place des
processus : - pour identifier et contrler, de manire approprie, les
risques inhrents la poursuite de ses objectifs ; - pour tester
lintgrit, la fiabilit et le caractre opportun de linformation
financire et de gestion, et - pour surveiller le respect des lois
et rglements, des rglementations prudentielles, ainsi que des
plans, rgles et procdures internes. Principe n2 La Direction Gnrale
de la banque est responsable de la mise en place d'instruments
d'identification, de mesure, de surveillance et de contrle des
risques encourus par l'entreprise. Au moins une fois par an, la
Direction Gnrale de la banque est tenue de faire un rapport au
Conseil d'Administration sur l'tendue et l'efficacit du dispositif
de contrle interne et d'adquation des fonds propres. 12. La
Direction Gnrale doit mettre en place une structure
organisationnelle qui attribue de faon claire les responsabilits,
tablit les relations hirarchiques et les obligations en termes de
reporting et s'assure que les dlgations de pouvoirs sont
effectivement appliques. La Direction Gnrale est galement
responsable de la mise en place d'instruments d'identification, de
mesure, de surveillance et de contrle des risques. En dfinitive,
elle dfinit la politique de contrle interne approprie et surveille
l'adquation et l'efficacit du dispositif de contrle interne
Principe n3 L'audit interne participe la surveillance permanente du
dispositif de contrle interne et du processus d'valuation interne
des fonds propres de l'tablissement
11
dans la mesure o il fournit une valuation indpendante de leur
adquation et de leur conformit avec les procdures et la politique
dcide par la banque. Dans l'exercice de cette mission, la fonction
d'audit interne aide la Direction Gnrale et le Conseil
d'Administration assumer effectivement et efficacement les
responsabilits dcrites ci-dessus. 13. D'un point de vue gnral, le
champ d'intervention de l'audit interne porte sur les domaines
suivants : l'examen et l'valuation du bien fond et de l'efficacit
des dispositifs de contrle interne ; le contrle de l'application et
de l'efficacit des procdures de management du risque et des mthodes
de mesure du risque ; le contrle du management et des systmes
d'information financire, y compris l'informatique, et les services
de le-banking ; le contrle de la sincrit et de la fiabilit des
enregistrements comptables et des rapports financiers ; le contrle
des moyens de sauvegarde des actifs ; le contrle du systme de
mesure des risques par rapport aux fonds propres de la banque ;
l'valuation de l'intrt conomique et de l'efficacit des oprations ;
les tests la fois sur les oprations et le fonctionnement des
procdures spcifiques de contrle interne ; le contrle des
dispositifs mis en place pour s'assurer quils sont conformes aux
exigences lgales et rglementaires, aux codes de conduite, et la
mise en uvre des politiques et procdures ; le contrle de la
sincrit, de la fiabilit et de l'opportunit des reporting
rglementaires ; la conduite d'enqutes spciales. 14. La Direction
Gnrale doit sassurer que le service daudit interne est tenu
totalement inform des nouveaux dveloppements et produits, des
initiatives et des changements oprationnels, ceci afin dtre sr que
les risques associs sont identifis trs tt.
Principes applicables l'audit internePrincipe de permanence et
de continuit Principe n4 Toutes les banques doivent disposer d'une
fonction permanente d'audit interne. Dans l'accomplissement de ses
tches et responsabilits, la Direction Gnrale devrait prendre toutes
les mesures ncessaires pour que la banque puisse compter de faon
continue sur une fonction d'audit interne comptente et approprie sa
taille et la nature de ses oprations. Elle doit dgager pour le
service d'audit interne les ressources et les moyens humains
ncessaires la ralisation de ses objectifs. 15. Dans les banques
d'une certaine taille et dans les banques dont l'activit est
12
complexe, les missions d'audit interne doivent normalement tre
conduites par un dpartement d'audit interne disposant dun effectif
plein temps. Dans les banques plus petites, l'audit interne peut
tre externalis auprs d'un prestataire externe. Certains pays
autorisent les petites banques recourir des valuations indpendantes
des lments cls de contrle interne en tant qu'alternative l'audit
interne. 16. Les normes numres dans ce document pour un service
d'audit interne s'appliquent de la mme faon aux activits d'audit
interne externalises. 17. L'application du principe n4 aux groupes
est voque au principe n 9.
Principe d'indpendance Principe 5 La fonction d'audit interne de
la banque doit tre indpendante des activits audites et galement des
processus de contrle de premier niveau. En d'autres termes, l'audit
interne doit bnficier d'un statut appropri au sein de la banque et
conduire ses missions avec objectivit et impartialit. 18. Le
service d'audit interne doit tre en mesure d'exercer sa mission de
sa propre initiative dans tous les services, les tablissements et
les fonctions de la banque. Il doit tre libre de faire un rapport
sur ses rsultats et valuations et de les communiquer en interne. Le
principe d'indpendance implique le rattachement du service d'audit
interne, soit au Prsident de la banque, soit au Conseil
d'Administration, soit son Comit d'audit (s'il existe), en fonction
de la structure de direction de la socit. 19. Le responsable de
l'audit interne doit avoir l'autorisation de communiquer
directement et de sa propre initiative au Conseil d'Administration,
au Prsident du Conseil d'Administration, aux membres du Comit
d'Audit (s'il existe) ou avec les auditeurs externes, selon les
modalits dfinies par chaque banque dans sa charte d'audit. 1 Ce
reporting peut, par exemple, porter sur des dcisions prises par le
management de la banque qui sont contraires aux dispositions lgales
ou rglementaires. 20. Le principe d'indpendance exige galement
l'absence de tout conflit d'intrts entre les auditeurs internes et
la banque. Le niveau de rmunration des auditeurs internes doit tre
cohrent avec les objectifs de l'audit interne. La fonction d'audit
interne doit faire l'objet d'une revue indpendante. Celle-ci peut
tre effectue par une autorit indpendante, par exemple un auditeur
externe ou par le Comit d'Audit, s'il existe.
1 Dans certains pays, la loi encourage les organisations mettre
en place un dispositif de communication largement accessible des
personnes internes ou externes lorganisation et leur permettant de
faire part de problmes importants. Dans ces pays, la loi protge les
employs qui rvlent les irrgularits et les mfaits dont ils ont pu
avoir connaissance.
13
Charte d'audit Principe 6 Toutes les banques devraient disposer
d'une charte d'audit qui mette en valeur le statut et l'autorit de
la fonction d'audit interne au sein de la banque. 21. Une charte
d'audit interne dtermine au minimum : les objectifs et le champ
dintervention de l'audit interne ; la position de l'audit interne
dans l'organisation, ses pouvoirs, ses responsabilits, et ses
relations avec les autres fonctions de contrle ; la responsabilit
du responsable de l'audit interne.
22. La charte doit tre rdige et mise jour priodiquement par le
service d'audit interne ; elle doit tre approuve par la Direction
Gnrale et cette approbation confirme par le Conseil
d'Administration agissant en tant que superviseur, ou par le Comit
d'audit, s'il existe. 23. Dans la charte, la Direction Gnrale de la
banque donne au service d'audit interne le droit de prendre des
initiatives et l'autorise avoir directement accs et communiquer
avec tout membre du personnel, contrler toute activit ou entit de
la banque, avoir accs tout enregistrement comptable, dossier ou
rapport de la banque, y compris l'information destine au
management, et aux minutes de tout organe consultatif ou excutif,
toutes les fois que c'est ncessaire pour l'accomplissement de ses
missions. 24. La charte d'audit doit prvoir les conditions dans
lesquelles le service d'audit peut tre amen exercer une activit de
consultant ou de conseil ou effectuer d'autres tches particulires.
25. La charte doit tre diffuse l'ensemble de l'organisation.
Impartialit Principe 7 La fonction d'audit interne doit tre
objective et impartiale, ce qui signifie que l'audit doit pouvoir
effectuer ses missions sans prjug et sans subir de pression. 26.
Pour tre objectif et impartial le service d'audit interne doit
lui-mme chercher viter tout conflit d'intrts. A cette fin, les
missions des auditeurs au sein du service d'audit doivent changer
priodiquement chaque fois que c'est possible. Les auditeurs recruts
en interne ne doivent pas auditer des activits ou des fonctions
qu'ils ont exerces au cours des douze derniers mois. 27. Le souci
d'impartialit contraint le service d'audit interne ne pas
s'impliquer dans les oprations de la banque, dans les choix ou la
mise en uvre de dispositifs de contrle interne. Dans le cas
contraire, il assumerait une part de responsabilit dans ces
activits, ce qui nuirait l'indpendance de son jugement.
14
28. Nanmoins, le principe d'impartialit ne porte pas atteinte la
possibilit offerte au management de solliciter du service d'audit
interne un avis sur des questions spcifiques relatives aux
principes de contrle interne respecter. La Direction Gnrale peut,
par exemple, pour des raisons d'efficacit, demander un avis quand
elle envisage d'importantes rorganisations, le dmarrage d'activits
nouvelles importantes ou risques, la cration de nouveaux
tablissements pour des activits risques, la mise en uvre ou la
rorganisation des systmes informatiques, de contrle des risques et
de remonte dinformation, etc....Il va de soi que la mise en place
et le dveloppement ventuels de toutes ces mesures est de la
responsabilit des managers. En effet, lactivit de conseil constitue
une tche annexe qui ne doit en aucun cas porter prjudice la mission
principale, la responsabilit ou l'indpendance du service d'audit
interne. Dans ces conditions, les rapports d'audit interne peuvent
contenir des recommandations relatives aux lacunes et faiblesses
releves et des suggestions pour amliorer le contrle interne.
Comptence professionnelle Principe 8 La comptence professionnelle
de tous les auditeurs internes et de la fonction d'audit interne
dans son ensemble est primordiale pour le bon fonctionnement de la
fonction d'audit interne dans la banque. 29. La comptence
professionnelle de chaque auditeur, sa motivation, sa formation
continue sont des pralables l'efficacit du service d'audit interne.
La comptence professionnelle doit tre estime en tenant compte de la
nature de la fonction et de la capacit de l'auditeur runir
l'information, contrler, valuer et communiquer. A cet gard, il faut
aussi prendre en compte la complexit technique croissante des
activits bancaires et la diversit accrue des tches dvolues l'audit
interne rsultant du dveloppement du secteur financier. 30. La
comptence professionnelle et notamment la connaissance et
l'exprience du service d'audit interne lui-mme mrite une attention
particulire. Le principe nonc implique une comptence suffisante du
service dans son ensemble pour auditer tous les secteurs de la
banque. 31. L'exercice permanent de tches similaires ou un travail
de routine peuvent affecter ngativement le sens critique de
l'auditeur. Il est donc recommand, chaque fois que c'est possible,
de faire tourner l'effectif du service d'audit interne. Les
permutations doivent s'effectuer de faon ne pas compromettre
l'indpendance des auditeurs internes. 32. L'entretien de la
comptence professionnelle suppose une formation continue de chaque
membre de l'quipe. L'ensemble de l'effectif doit avoir des
connaissances jour suffisantes sur les techniques d'audit et les
activits bancaires. Champ dintervention Principe 9 Toutes les
activits et toutes les entits de la banque doivent entrer dans le
champ
15
dintervention de l'audit interne. 33. Aucune des activits ou
entits de la banque, y compris les activits de succursales ou
filiales ainsi que les activits externalises, ne peut tre exclue du
champ dintervention du service d'audit interne. Le service d'audit
interne doit avoir accs tout rapport, dossier ou donne de la
banque, y compris linformation destine au management, ainsi quaux
minutes de tout organe consultatif ou excutif, chaque fois que
c'est utile pour l'excution de sa mission. 34. D'un point de vue
gnral, le champ de l'audit interne comprend le contrle et
l'valuation de la pertinence et de l'efficacit du contrle interne,
et de la faon dont les responsabilits de chacun sont assumes. A
bien des gards, il s'agit d'une analyse du risque du systme de
contrle interne de la banque. 35. Le service d'audit interne doit
valuer, en particulier : la conformit de la banque la rglementation
et aux contrles des risques ( la fois quantifiables et non
quantifiables) ; la fiabilit ( y compris l'intgrit, l'exactitude et
l'exhaustivit ) ainsi que la disponibilit en temps opportun de
l'information financire et de celle destine au management ; la
continuit et la fiabilit des systmes dinformation ; l'organisation
des services.
36. Le service d'audit interne doit se proccuper des
dispositions lgales et rglementaires qui rgissent les oprations de
la banque, les politiques, principes, rgles, lignes de conduite
dictes par les autorits de tutelle relatives l'organisation et la
gestion des banques. Cependant cela ne signifie pas que l'audit
interne doit assumer les fonctions de contrle de la conformit. 37.
Certaines banques ont mis en place des services spars pour contrler
une activit ou une entit spcifique de la banque. De tels services
font partie du dispositif de contrle interne et leur existence ne
dispense pas le service d'audit interne d'auditer ces activits ou
entits spcifiques. Cependant dans un souci d'efficacit, le service
d'audit interne peut, pour effectuer sa tche, utiliser les
informations transmises par les diffrents services de contrle.
Nanmoins, le service d'audit interne conserve l'entire
responsabilit de contrler et valuer le fonctionnement adquat du
dispositif de contrle interne des activits ou entits concernes de
la banque. 38. Si la banque a une succursale importante l'tranger,
le service d'audit interne devra rflchir la mise en place dune
quipe locale pour s'assurer de la continuit et de l'efficacit de
son travail. Elle fera partie du service d'audit interne de la
banque et sera organise dans le respect des principes noncs dans ce
document. 39. En tant qu'entits juridiques distinctes, les filiales
bancaires et non bancaires sont responsables de leur propre contrle
interne et de leur propre fonction d'audit interne dans le respect
des dispositions de ce document ; dans ces filiales, la fonction
d'audit interne peut tre assume par le service d'audit interne de
la maison mre. Quand les filiales disposent de leurs propres
services d'audit interne, ceux-ci doivent rendre compte au
16
service d'audit interne de la maison mre. Dans cette hypothse,
la maison mre doit prendre toutes les mesures ncessaires, sans
prjudice des dispositions et obligations lgales et rglementaires
locales, pour s'assurer que son service d'audit interne a un accs
illimit toutes les activits et entits des filiales et qu'il
effectue des audits sur place intervalles rguliers. 40. Pour les
succursales l'tranger comme pour les filiales, les principes
d'audit interne sont dicts de faon centralise par la maison mre.
Cette dernire doit donner les instructions d'audit pour l'ensemble
du groupe. Le service d'audit interne de la banque maison mre doit
participer au recrutement et l'valuation des auditeurs internes
locaux. 41. Dans l'hypothse d'une structure plus complexe, la
fonction d'audit interne doit tre organise en conformit avec les
principes noncs dans ce document.
Procdure interne d'valuation des fonds propres Principe 10 Dans
le cadre de la procdure interne d'valuation des besoins en fonds
propres de la banque, l'audit interne doit rgulirement contrler de
faon indpendante le processus de management des risques, mis en
place par la banque pour rapprocher le risque du niveau de fonds
propres et la mthode utilise pour surveiller la conformit la
politique de fonds propres dfinie en interne. 42. Les mthodes
d'identification des risques et d'valuation des fonds propres de la
banque diffrent du processus de management des risques qui
habituellement met davantage l'accent sur le contrle des stratgies
commerciales dveloppes pour optimiser l'arbitrage risque /marges
dans les diffrents secteurs de la banque. 43. La banque doit
dsigner de faon claire la personne ou le service responsable du
contrle de l'adquation des fonds propres. Cette tche peut tre
confie au service d'audit interne ou une personne ou un service,
suffisamment indpendants des activits de la banque. 44. L'autorit
de tutelle peut apprcier les mthodes internes d'valuation par une
banque de ses besoins en fonds propres et sa conformit avec les
ratios de fonds propres rglementaires partir du travail effectu par
les auditeurs internes et externes si leur travail a t orient en ce
sens.
17
Fonctionnement de l'audit interne
Mthodes de travail et types d'audit Principe 11 La fonction
d'audit interne suppose l'tablissement d'un plan d'audit, l'examen
et l'valuation de l'information mise disposition, la communication
de ses rsultats, le suivi des recommandations et des questions
traites. 45. On distingue diffrents types d'audit interne. On peut
citer sans prtendre l'exhaustivit : l'audit financier, dont la
finalit est de s'assurer de la fiabilit des procdures comptables,
de l'information et des tats comptables qui en rsultent ; l'audit
de conformit, dont la finalit est de s'assurer de qualit et de la
pertinence des procdures mises en place pour garantir la conformit
aux lois, rglements, politiques et procdures ; l'audit oprationnel
dont la finalit est de s'assurer de la qualit et de la pertinence
des systmes et procdures, d'analyser les structures et
lorganisation, en exerant un esprit critique, d'valuer l'adquation
des ressources et mthodes aux objectifs assigns ; l'audit de
management dont la finalit est d'valuer la qualit de l'approche du
risque et du contrle interne par les managers, dans le cadre des
objectifs de la banque. 46. Le service d'audit interne contrle et
value l'ensemble des activits de la banque dans toutes ses entits.
Il ne doit donc pas se focaliser sur un seul type d'audit mais
utiliser le type le plus appropri, en fonction de l'objectif
d'audit. En outre, le service d'audit interne ne doit pas se
limiter, cet gard, l'audit des diffrents services de la banque. Il
doit aussi porter une attention particulire l'audit d'une activit
bancaire dans laquelle plusieurs entits de la banque sont engages
Analyse des risques et plan d'audit 47. La direction du service
d'audit interne prpare un plan de toutes les missions effectuer. Le
plan d'audit inclut le calendrier et la dure des missions d'audit
interne planifies. Le plan d'audit est fond sur une analyse
mthodique des risques qui permet l'auditeur interne de bien
apprhender les activits significatives de l'institution et les
risques qui y sont associs. Le management du service d'audit
interne doit tablir les principes applicables la mthode d'valuation
des risques par crit et les mettre jour rgulirement en fonction des
changements dans le systme de contrle interne ou dans les mthodes
de travail, et en intgrant les nouveaux domaines d'activit.
L'analyse du risque porte sur lensemble des activits et entits de
la banque et concerne l'intgralit des systmes de contrle interne.
Un plan d'audit sur plusieurs annes est tabli, en se fondant sur
les rsultats de l'analyse des risques et en tenant compte du degr
de risque inhrent chaque activit. Le plan doit aussi prendre en
compte les dveloppements en projet et les innovations, le taux de
risque gnralement plus lev des nouvelles activits, et l'objectif
d'auditer toutes les activits et entits significatives avec une
priodicit raisonnable (principe du cycle d'audit de trois ans par
exemple). Toutes ses proccupations permettront de dterminer
l'tendue, la nature
18
et la frquence des missions effectuer. 48. Le plan d'audit du
service doit tre raliste c'est dire qu'il doit prvoir du temps pour
d'autres missions et activits telles que des contrles ou des
enqutes spcifiques, des conseils et avis, et la formation. Le plan
comprend un tat dtaill des ressources ncessaires en termes de
personnel et autres ressources. En ce qui concerne les moyens
humains, il faut rflchir non seulement au nombre de personnes mais
aussi aux comptences professionnelles ncessaires. 49. Le plan
d'audit est rdig par le service d'audit interne et approuv par le
prsident de la banque ou par le Conseil d'administration ou par le
Comit d'audit (s'il existe). L'accord sur le plan engage la banque
mettre la disposition du service d'audit interne les moyens
appropris. Le plan d'audit doit tre rgulirement revu et mis jour
chaque fois que c'est ncessaire. Procdures 50. Pour chaque mission,
un programme d'audit doit tre tabli. Le programme dcrit les
objectifs ainsi que le plan de travail estim ncessaire pour les
atteindre. C'est un outil relativement souple qui devra tre adapt
et complt en fonction des risques identifis. 51. Toutes les
procdures d'audit, inhrentes la mission devraient tre documentes
par des papiers de travail. Ceux-ci doivent reflter les contrles
qui ont t effectus et mettre en lumire les constats noncs dans le
rapport. Les papiers de travail doivent tre labors suivant une
mthode bien dtermine. Cette mthode doit permettre de fournir des
informations suffisantes pour vrifier que la mission a t
correctement effectue et permettre d'autres de vrifier son
droulement. 52. Un rapport crit pour chaque mission doit tre rdig
aussi vite que possible. Il est transmis l'audit et ses suprieurs
hirarchiques et, gnralement sous une forme synthtique, la Direction
Gnrale. 53. Le rapport d'audit prsente la finalit et le champ
dintervention de l'audit interne, ses constats et recommandations
et les rponses de l'audit. Il met en vidence les thmes sur lesquels
on est parvenu un consensus la fin de la mission. Le service
d'audit interne prcise l'importance relative des insuffisances
constates et des recommandations proposes. 54. Le service d'audit
interne tient un registre des missions effectues et des rapports
transmis. 55. La direction de la banque doit s'assurer que les
recommandations du service d'audit interne sont mises en uvre de
faon approprie. Elle doit donc approuver une procdure mise en place
par le service d'audit interne pour s'assurer de l'examen et au
besoin du calendrier de mise en uvre des recommandations du service
d'audit interne. 56. Le service d'audit interne suit les
recommandations mises pour voir si elles sont appliques. Un bilan
de la mise en uvre de ces recommandations est communiqu au moins
tous les six mois la Direction Gnrale, au Conseil d'Administration
ou au Comit d'audit, s'il existe, conformment au cadre de
gouvernement dentreprise existant.
19
Management du service d'audit interne Principe 12 Le responsable
du service d'audit interne est le garant du respect par son service
de principes sains d'audit interne. 57. Le responsable de l'audit
interne doit s'assurer du respect de principes sains , tels que les
Normes pour la Pratique Professionnelle de l'Audit Interne de
l'IIA. Il doit veiller la rdaction d'une charte d'audit, d'un plan
d'audit ainsi que de procdures et instructions internes. Il doit se
proccuper continuellement de la comptence professionnelle et de la
formation de son quipe et s'assurer qu'il dispose des moyens
ncessaires. Il doit prter attention la motivation de son quipe et
sa conscience professionnelle. 58. Le service d'audit interne doit
rgulirement faire un reporting la Direction Gnrale ou au Conseil
d'Administration ou au Comit d'Audit, sil existe, sur l'efficacit
du contrle interne et sur l'atteinte des objectifs du service
d'audit interne. Il doit galement les tenir informs de lavancement
du plan d'audit. Dans le cadre de sa fonction de superviseur, le
Conseil d'administration ou le Comit d'Audit doit rgulirement
discuter de l'organisation et des moyens ( la fois humains et
autres ) du service d'audit interne ainsi que du plan d'audit, des
rapports d'activit, de la synthse des recommandations de l'audit
interne et du degr davancement de leur mise en uvre. Relations
entre les autorits de tutelle, le service d'audit interne et les
auditeurs externes Relations entre les autorits de tutelle et le
service d'audit interne Principe n13 Les autorits de tutelle
doivent valuer le travail ralis par le service d'audit interne de
la banque et, si elles en sont satisfaites, lui faire confiance
pour identifier les secteurs comportant des risques potentiels. 59.
Diverses dispositions rglementaires au sujet du contrle interne
dans les banques manent des autorits de tutelle. Bien que la
rglementation soit plus ou moins dveloppe selon les pays, elle
comprend en gnral des principes de base tendant promouvoir un
dispositif de contrle appropri ainsi qu'une rglementation sur les
fonds propres. La plupart des autorits de tutelle ont rdig des
rglements, des pratiques et des procdures dans diffrents domaines
comme le management du risque crdit et les autres risques bancaires
principaux ( tels que les risques sur le march des changes, le
risque de taux, la gestion des liquidits, les systmes informatiques
et de tlcommunication, et la gestion des risques sur le march terme
des instruments financiers). 60. Pour valuer la qualit du contrle
interne, les autorits de tutelle disposent de plusieurs approches.
L'une d'entre elles consiste valuer le travail du service d'audit
interne, y compris les contrles des dispositifs d'identification,
de mesure, de suivi et de contrle des risques mis en place par la
Direction Gnrale. Si elles sont satisfaites de la qualit du travail
du service d'audit interne, les autorits de tutelle peuvent
utiliser les rapports d'audit interne comme premier lment pour
identifier les lacunes de contrle dans la banque ou pour identifier
les zones de risque potentiel que les auditeurs internes
20
n'ont pas contrles rcemment. Principe n 14 Les autorits de
tutelle doivent consulter priodiquement les auditeurs internes pour
s'enqurir des zones de risque identifies et des mesures prises.
Elles peuvent s'entretenir cette occasion de l'tendue de la
collaboration entre le service d'audit interne de la banque et les
auditeurs externes. 61. Cette consultation est fondamentale dun
point de vue prudentiel sachant quune politique hasardeuse peut
nuire la protection des dposants et autres cranciers, aux intrts
des actionnaires, et au fonctionnement correct du systme de crdit.
Bien que la mission du service d'audit interne soit vaste, il
nappartient pas ce dernier d'tablir la politique interne de la
banque. De mme, il ne peut, en gnral, contester les orientations
politiques, l'exception des rgles relatives au contrle interne, ou
critiquer l'opportunit de certaines dcisions politiques. Nanmoins,
cette rgle n'empche pas le service d'audit interne de ragir et
d'informer le Conseil d'Administration ou son Comit d'Audit, s'il
existe, chaque fois que le management de la banque prend des
dcisions contraires aux dispositions lgales ou rglementaires, ou la
politique dcide par la banque et ses procdures crites. 62. Il est
de bonne pratique chaque fois que le chef du service d'audit
interne change de fonction, que les autorits de tutelle soient
informes, en temps opportun, par la direction de la banque des
circonstances qui ont conduit cette mesure. Lorsque le responsable
du service d'audit est relev de ses fonctions, l'autorit de tutelle
devrait envisager de le rencontrer. Principe n15 Les autorits de
tutelle sont encourages organiser des runions rgulires pour
s'entretenir des problmes d'ordre politique avec les responsables
d'audit interne des banques sous leur contrle. 63. Les responsables
d'audit interne des banques devraient sunir pour organiser des
consultations sectorielles avec les autorits de tutelle en vue de
s'entretenir de sujets d'intrts communs. Relations entre les
auditeurs internes et les auditeurs externes Principe n 16 Les
autorits de tutelle doivent encourager les contacts entre les
auditeurs internes et externes de faon rendre leur collaboration
aussi relle et efficace que possible. 64. Les auditeurs externes
ont une influence notable sur la qualit des contrles internes, en
raison de leurs activits d'audit et notamment, de leurs entretiens
avec la direction gnrale et le Conseil d'Administration ou le Comit
d'Audit, sil existe, ainsi que par leurs recommandations pour
l'amlioration du contrle interne.
21
65. Il est en gnral admis que l'audit interne est utile pour
dterminer la nature, le calendrier et l'tendue des procdures
d'audit externe. Cependant, lauditeur externe (le Commissaire aux
comptes en France) est seul responsable de son opinion sur les tats
financiers. Lauditeur externe doit tre avis des travaux daudit
interne, avoir accs aux rapports pertinents et tre tenu inform de
tout problme significatif qui a retenu l'attention de l'auditeur
interne et qui pourrait avoir une incidence sur son travail. De
mme, lauditeur externe doit informer l'auditeur interne de tout
problme important qui pourrait le concerner. 66. Le responsable de
l'audit interne doit s'assurer que le travail des auditeurs
internes ne fait pas double emploi avec celui des auditeurs
externes. La coordination entre les services d'audit ncessite des
rencontres priodiques pour s'entretenir de questions d'intrt
commun, procder l'change des rapports d'audit et des notes de la
direction et convenir de techniques, mthodes et terminologie
communes. Relations entre les autorits de tutelle et les auditeurs
externes Principe n17 Les travaux effectus par un auditeur externe
pour le compte d'une autorit de tutelle doivent avoir un fondement
lgal ou contractuel. Toute mission assigne par les autorits de
tutelle lauditeur externe doit tre complmentaire ses travaux
d'audit habituels et correspondre sa sphre de comptences. 67. Selon
la norme IAPS 1004 (International Auditing Practice Statement) de
lIFAC, International Federation of Accountants, intitule "la
relation entre les autorits de tutelle de la banque et les
auditeurs externes des banques" (en cours de rvision), les autorits
de tutelle et les auditeurs externes ont des proccupations
complmentaires : la notion de stabilit de l'tablissement bancaire
pour l'autorit de tutelle est complmentaire de la notion de
"continuit de l'exploitation" de lauditeur externe. En effet, les
processus de contrle interne qui permettent dassurer la fois un
management sr et prudent et ltablissement dtats financiers fiables
sont complmentaires. En outre, l'existence d'un systme comptable
adquat intresse aussi bien les autorits de tutelle que les
auditeurs externes. 68. Le rle exact des auditeurs externes varie
d'un pays l'autre. Il est constant, nanmoins, qu'on attend d'eux
une comprhension accrue du systme de contrle interne de la banque
dans la mesure o lexactitude des tats financiers en dpend. On
attend galement de leur part un rapport sur les insuffisances
matrielles identifies, l'attention de la Direction Gnrale et, dans
beaucoup de pays, l'attention des autorits de tutelle. La Direction
Gnrale et le Conseil d'Administration ou son Comit d'audit, s'il
existe, doivent s'assurer de la mise en uvre des mesures prconises
pour remdier aux dficiences de contrle interne soulignes dans les
rapports des auditeurs externes. Cette fonction d'alerte de la part
des auditeurs externes s'intgre dans la fonction prventive des
autorits de tutelle. 69. Dans beaucoup de domaines, les travaux de
l'autorit de tutelle et de lauditeur externe peuvent tre
mutuellement utiles. Les auditeurs externes peuvent trouver des
indications utiles dans les informations recueillies par l'autorit
de tutelle la suite d'une inspection sur place, d'entretiens avec
le management ou toute autre communication avec
22
la banque. Dans les pays o les auditeurs externes entretiennent
d'troites relations avec les autorits de tutelle, ils sont
frquemment conduits exprimer leur avis sur le fonctionnement et la
qualit du service d'audit interne. Les notes de la Direction Gnrale
et autres rapports donnent aux autorits de tutelle un aperu
intressant du contrle interne de la banque. 70. Dans certaines
circonstances, lauditeur externe prend conscience que des
informations qu'il a obtenues peuvent tre intressantes pour
l'autorit de tutelle ou requrir de sa part des mesures urgentes.
Plusieurs d'entre elles sont numres dans l'ISA 260 (International
Standards on Auditing, IFAC) Communications of Audit Matters with
those charged with Corporate Governance 2. Afin de complter les cas
recenss dans L'ISA 260, on peut citer les hypothses suivantes
susceptibles d'intresser les autorits de tutelle : information
rvlant une carence conduisant la non satisfaction de lune des
exigences ncessaires pour l'agrment bancaire ; conflit grave au
sein des instances dirigeantes ou dpart inattendu d'un cadre
responsable d'une fonction cl ; information rvlatrice d'un possible
non-respect de la loi, des rglements, des statuts de la banque, de
la charte ou du rglement intrieur ; intention signale de lauditeur
externe (Commissaire aux comptes) de dmissionner ou changement de
celui-ci ; modification radicale dans la politique de risque de la
banque et mergence de risques latents. 71. Dans beaucoup de pays,
il est attendu ou exig de rapporter aux autorits de tutelle, en
temps voulu, les lments ci-dessus mentionns.2 Par exemple :
lapproche gnrale et le champ dintervention de l'audit interne, y
compris toute limite attendue et toute exigence supplmentaire ; le
choix ou les changements des principes et mthodes comptables qui
ont ou sont susceptibles d'avoir une incidence matrielle sur la
prsentation des tat financiers de l'entit. l'incidence potentielle
sur les tats financiers des risques significatifs avrs ou latents
tels que les litiges en cours ; les ajustements proposs par
l'audit, qu'ils aient ou non t retenus par l'entit, qui ont ou
pourraient avoir une incidence significative sur les tat financiers
de l'entit ; incertitudes matrielles, lies la conjoncture,
susceptibles de jeter un doute sur la capacit de l'entreprise
assurer sa continuit dexploitation ; dsaccords avec la Direction
Gnrale sur des sujets qui pris individuellement ou globalement
peuvent avoir une incidence significative sur les comptes annuels
de l'entit ou sur le rapport de lauditeur externe. Les informations
communiques doivent prciser si le diffrend a t ou non rsolu, et la
signification de la question souleve ; modifications du rapport de
lauditeur externe demandes ; autres sujets mritant l'attention de
ceux qui sont chargs du gouvernement d'entreprise, tels que
dfaillances matrielles du contrle interne, doutes sur l'honntet de
l'encadrement, fraude dans laquelle l'encadrement est impliqu et
tous autres sujets identifis dans le cadre de la mission
daudit.
-
-
23
72. Le fondement de la relation entre les autorits de tutelle et
les auditeurs externes se trouve dans la Norme IAPS 1004 (en cours
de rvision). Il est primordial que toute tche que lauditeur externe
accomplit pour le compte de l'autorit de tutelle repose sur un
cadre lgal ou un accord contractuel entre la banque et l'autorit de
tutelle. Le texte lgal ou contractuel doit aborder la question de
la confidentialit. Il est galement important de prciser que le
travail de lauditeur externe pour l'autorit de tutelle doit tre
complmentaire de son travail d'audit habituel et relever de sa
comptence. Les demandes de l'autorit de tutelle doivent tre
clairement dfinies. 73. Dans certains pays, le rle de lauditeur
externe comprend des tches additionnelles d'un intrt particulier
pour l'autorit de tutelle telles que : la revue des mthodes
utilises par la banque pour tablir ses normes de rentabilit ;
lvaluation de l'adquation entre l'organisation et le dispositif de
contrle interne ; lvaluation du respect par la banque des lois et
rglements ; lvaluation du dispositif de contrle interne de la
banque ( y compris le service d'audit interne) ; lexpression d'une
opinion sur l'observation des rgles comptables appropries. 74. Il
est recommand que des dispositions lgales soient prises en faveur
des auditeurs externes afin qu'ils ne puissent tre tenus
responsables des informations rvles de bonne foi aux autorits de
tutelle, en application des lois et rglementations en vigueur. 75.
Les autorits de tutelle peuvent dtenir des informations qui peuvent
aider lauditeur externe comprendre leurs proccupations ou qui
peuvent avoir une influence significative sur leur travail d'audit
ou leurs autres responsabilits en matire de reporting. Il est
important qu'existe une voie lgale pour permettre l'autorit de
tutelle de rvler ces informations aux auditeurs externes lorsque
cela lui permet de mieux atteindre ses objectifs. Coopration entre
les autorits de tutelle, les auditeurs externes et les auditeurs
internes. Principe n 18 La coopration entre autorit de tutelle,
auditeur externe et auditeur interne a pour objectif de rendre les
travaux de toutes les parties concernes plus rationnels et
efficaces afin d'optimiser le contrle. La coopration peut se
matrialiser par des runions priodiques. 76. L'objectif de la
coopration est de rendre la contribution de tous les intervenants
concerns plus efficiente et efficace afin d'optimiser le contrle de
l'autorit de tutelle, mme si chaque intervenant assume en priorit
ses propres responsabilits. 77. Dans certains pays, cette
coopration se matrialise par des rencontres priodiques. Il se peut
que l'autorit de tutelle juge la prsence de la Direction Gnrale
opportune lors de ces rencontres. Au cours de ces runions, chacun
apporte des informations sur des domaines d'intrt commun et une
attention particulire est porte aux domaines qui seront contrls et
sur le calendrier de travail. Les trois parties en prsence voquent
aussi la mise en uvre par l'organisation des recommandations des
auditeurs internes et externes
24
78. La coopration prsuppose une relation de confiance entre la
banque, lauditeur externe et l'autorit de tutelle. Sans confiance,
la coopration n'est pas possible. En consquence, l'autorit de
tutelle attend de la Direction Gnrale de la banque une information
sur les dcisions, les faits ou les dveloppements qui pourraient
avoir une influence significative sur la situation de la
banque.
Le Comit d'audit Dfinition 79. Le comit d'audit est
habituellement considr comme une manation du Conseil
d'Administration ; il est compos de directeurs n'ayant pas de
fonction oprationnelle et indpendants de la Direction Gnrale.
Cependant, sa composition et sa dnomination peuvent varier selon
les pays. Principe 19 La cration d'un comit d'audit permanent est
une solution pour rsoudre les difficults pratiques qui peuvent tre
gnres par la mission, dvolue au Conseil d'Administration, de crer
et maintenir un dispositif de contrle appropri. En outre, un tel
comit renforce la fois le contrle interne et l'audit interne et
externe. Les banques sont en consquence incites mettre en place un
comit d'audit permanent, surtout si leurs activits sont complexes.
Les filiales des banques doivent rflchir l'opportunit de crer un
comit d'audit au sein de leur Conseil d'Administration.
Composition, pouvoirs et fonctionnement 80. Pour la cration d'un
comit d'audit, le Conseil d'Administration devrait tablir une
charte crite, indiquant la composition du Comit d'audit, ses
pouvoirs et ses devoirs, ainsi que les modalits du reporting au
Conseil d'Administration. Ce document devrait tre approuv par le
Conseil d'Administration, revu et mis jour priodiquement. 81. Un
comit d'audit devrait tre compos d'au moins trois membres du
Conseil d'administration qui ne font pas ou n'ont pas fait partie
de la Direction Gnrale de la banque. Lorsque la prsence au Comit
d'audit de dirigeants de lorganisation est autorise par les lois et
rglements nationaux, ils ne doivent pas reprsenter la majorit des
membres. Les membres doivent avoir des comptences compatibles avec
les obligations du comit. Lun d'entre eux, au moins, doit avoir des
comptences financires, comptables ou d'audit. Pour des raisons
d'efficacit, les personnes suivantes devraient tre autorises
assister rgulirement aux runions du Comit d'audit : le Prsident
Directeur Gnral ou un membre de la Direction Gnrale, le responsable
de l'audit interne et lauditeur externe. 82. Le comit d'audit peut
demander avoir accs tout document ou tableau de bord et donner tout
ordre de mission ou d'enqute. Le Comit d'audit rend compte
rgulirement au Conseil d'Administration.
25
Principales fonctions 83. Le Comit d'Audit doit encourager la
communication entre les membres du Conseil d'administration, la
Direction Gnrale, le service d'audit interne, lauditeur externe et
les autorits de tutelle. 84. Le Comit d'Audit approuve la charte
d'audit interne, le plan d'audit ainsi que le budget ncessaire
(moyens humains et matriels). Il est destinataire des rapports
d'activit et de la synthse des principales recommandations de
l'audit interne ainsi que des plans d'action du management pour les
mettre en uvre. 85. Lauditeur externe prsente son plan d'audit au
Comit d'Audit et l'informe de ses conclusions et recommandations.
86. Le Comit d'audit dbat rgulirement sur : - le fonctionnement du
dispositif de contrle interne ; - les activits du service d'audit
interne ; - les zones de risque oprationnelles, couvrir dans l'anne
par l'audit interne ou externe ; - la fiabilit et la sincrit de
l'information financire diffuse au management et l'extrieur ; -
tous les problmes significatifs comptables ou daudit identifis par
les travaux d'audit interne ou externe ; - la conformit de la
banque avec les dispositions lgales ou rglementaires, ses statuts,
sa charte et les rglements ou rgles institues par le conseil
d'administration. 87. Le comit d'audit doit rdiger des
recommandations au Conseil d'Administration pour la dsignation de
lAuditeur externe. Le comit d'audit fixe et revoit rgulirement les
termes de son contrat. 88. Certaines autorits de tutelle
s'attachent rencontrer rgulirement le prsident du comit d'audit de
chaque banque pour faciliter leur comprhension du processus de
gouvernement dentreprise et du fonctionnement de la banque. Ces
runions donnent l'opportunit au comit d'audit de s'entretenir de
toute difficult rencontre avec le management de la banque et aux
autorits de tutelle de se forger une opinion sur l'efficacit du
Comit d'Audit. L'externalisation de l'audit interne Dfinition : 89.
Un accord d'externalisation de l'audit interne est un contrat pass
entre l'tablissement et un prestataire de services extrieur pour
fournir des services d'audit interne. 90. Une externalisation cible
et limite (sous-traitance) peut tre trs profitable lorsqu'elle
apporte, par exemple, une mission d'audit spcifique, des
connaissances et un savoir-faire trs spcialiss, qui ne sont pas
disponibles en interne. En revanche, l'externalisation n'est pas
sans risque pour la banque, tel que perte ou affaiblissement du
contrle sur l'activit daudit interne externalise. Ce risque doit
tre gr et matris.
26
En outre, l'externalisation peut porter atteinte aux pouvoirs
des autorits de tutelle pour obtenir des informations ou exiger des
changements dans la manire dont l'activit externalise est mene.
L'externalisation des activits essentielles de la banque, et
notamment laudit interne, peut affaiblir les fondements mmes de son
droit exercer ses activits. Externalisation de l'audit interne
Principe 20 Que les activits daudit interne soient externalises ou
non, le Conseil dAdministration et la Direction Gnrale gardent la
responsabilit finale dassurer que le dispositif de contrle interne
et laudit interne sont appropris et fonctionnent efficacement. 91.
Certains pays exigent que le service d'audit interne d'une banque
ait les comptences et des moyens suffisants pour auditer les
activits cls de la banque et pour valuer le fonctionnement et
l'efficacit du contrle interne de ces activits. Cependant, il est
couramment accept qu'un expert externe (dans le cadre dune opration
de sous-traitance) puisse effectuer des missions que l'audit
interne n'a pas les moyens de raliser (ou des moyens insuffisants).
Nanmoins, les recommandations ci-aprs relatives l'externalisation
de l'audit interne, s'appliquent ce cas despce. En tout tat de
cause, le responsable de l'audit doit s'assurer, dans la mesure du
possible, que les connaissances mises en uvre par l'expert profite
son service en faisant participer, si possible, la mission confie
l'expert un ou plusieurs auditeurs de son quipe. 92. Il se peut
que, dans d'autres pays, les banques confient lentire activit de
l'audit interne un prestataire extrieur. Dans ces conditions,
l'entreprise devra conserver un cadre expriment la tte de l'audit
interne avec une petite quipe d'auditeurs internes. Le prestataire
extrieur a un rle d'assistance auprs des auditeurs pour dterminer
les risques auditer. Il recommande et met en uvre les audits
approuvs par le responsable de l'audit et tablit avec lui des
rapports conjoints l'attention du Conseil d'Administration ou du
Comit d'Audit. Nanmoins, il est inhabituel dans beaucoup de pays,
sinon dans la plupart, qu'une grande banque ayant une activit
internationale, externalise, en totalit ou en grande partie, la
fonction d'audit interne. 93. Plusieurs pays exigent que le
prestataire extrieur soit totalement indpendant de lauditeur
externe, de l'entreprise ou du groupe de ce dernier. D'autres
admettent des contrats d'externalisation avec le mme groupe ou
cabinet que celui qui audite les comptes. Nanmoins, comme ce
contrat est de nature compromettre en fait ou en apparence
l'indpendance de l'auditeur externe, les banques concernes
devraient se rfrer aux rgles sur l'indpendance publies par les
instances professionnelles comptentes des auditeurs externes ou par
les autorits de tutelle des banques ou autres autorits
gouvernementales. 3 94. Le prestataire extrieur doit tre une
entreprise comptente, financirement saine,3 Par exemple le projet
de recommandation de la Commission Europenne sur l'indpendance
rglementaire des auditeurs et les obligations d'indpendance des
auditeurs dictes aux Etats Unis par la SEC (Securities and Exchange
Commission).
27
disposant des connaissances et de l'expertise appropries. 95. Il
convient d'tablir un contrat crit entre le prestataire extrieur et
la banque. La Direction Gnrale devra s'assurer que la banque signe
un contrat valable, pour une dure suffisante, avec un prestataire
qui a les comptences professionnelles requises en fonction des
caractristiques de la banque concerne. 96. Le contrat devra dfinir
les missions et responsabilits du prestataire externe et prvoir, de
faon explicite, l'approbation pralable de la Direction Gnrale
l'analyse du risque effectue par le prestataire extrieur et au plan
daudit qui a t tabli. 97. Le contrat devra prvoir, galement, l'accs
tout moment aux dossiers concerns du prestataire de service, y
compris son plan de travail et ses papiers de travail, par la
Direction Gnrale ou son reprsentant, lauditeur externe ou son
reprsentant et les autorits de tutelle. 98. Le contrat prvoira
l'engagement du prestataire mettre en uvre les moyens ncessaires
pour accomplir sa mission selon le plan d'audit. Un avenant sera
ncessaire pour modifier les termes du contrat, particulirement pour
approfondir les travaux d'audit si des problmes significatifs se
rvlent. 99. Quand une organisation a recours l'externalisation,
cela augmente ses risques oprationnels. Les autorits de tutelle
souhaitent que les banques analysent l'impact que cette situation
aura sur la cartographie des risques et le dispositif de contrle
interne. Dans l'hypothse dune rupture soudaine du contrat,
l'organisation devrait avoir un plan d'urgence. En raison des
possibilits offertes en matire d'audit interne de faire appel
d'autres fournisseurs, le plan d'urgence fera rfrence, le plus
souvent, un prestataire remplaant. Etant donn le temps qui sera
ncessaire pour recourir un autre prestataire, la banque devra
envisager un recours temporaire accru ses propres auditeurs
internes. Externalisation de l'audit interne dans les petites
banques 100. On admet gnralement, pour certaines petites banques
dont la taille et l'tendue des risques ne justifient pas de confier
la fonction d'audit interne une personne temps complet,
d'externaliser toutes les activits d'audit interne auprs d'un
prestataire extrieur. Tous les principes relatifs l'audit interne
restent applicables lorsque l'intgralit des activits d'audit
interne est externalise. 101.Dans cette hypothse, la Direction
Gnrale est responsable de la prise en compte des recommandations de
l'audit et de la dsignation des personnes qui seront charges de les
mettre en oeuvre.
