RAPPORT MONDIAL PULSE OF THE PROFESSION 2015 · l'expertise et des éclairages de l'audit interne, dont les responsables pourraient ainsi apporter une plus grande valeur ajoutée

RAPPORT MONDIAL

PULSE OF THE PROFESSION 2015

Saisir les opportunités dans un monde en perpétuelle évolution

JUILLET 2015

Ce rapport est coordonné par la Fondation de la Recherche de

l'IIA™et dans le cadre du Common Body of Knowledge® (CBOK®)


AVERTISSEMENT

Copyright © 2015 par the Institute of Internal

Auditors (IIA), 247 Maitland Avenue,

Altamonte Springs, Floride 32701, États-Unis.

Tous droits réservés. Publié aux États-Unis

d’Amérique. Hormis aux fins du présent

document, le lecteur ne peut reproduire,

redistribuer, afficher, louer, revendre, exploiter à

des fins commerciales ni adapter les données

statistiques et autres informations que contient

celui-ci sans l’autorisation de l'IIA.

À PROPOS DE CE DOCUMENT

Les informations incluses dans ce document sont

de nature générale et ne sont pas censées

correspondre à une personne, une activité d'audit

interne ou une organisation en particulier. Ce

document a pour objectif de partager des

informations, des pratiques, des tendances et des

problématiques d’audit interne. Toutefois,

aucune personne, activité d’audit interne ou

organisation ne doit agir sur la base des

informations fournies dans ce document sans

consultation ou examen approprié. Pour de plus

amples informations, voir www.theiia.

org/goto/globalpulse

À PROPOS DU CBOK

Le CBOK (Common Body of Knowledge) est la plus grande étude actuellement menée sur l'audit

interne à l'échelle mondiale. Réalisée en

collaboration avec les instituts membres de l'IIA partout dans le monde, le CBOK propose

notamment des analyses approfondies menées

auprès des professionnels de l'audit interne et de leurs parties prenantes. Pour de plus amples

informations, voir www.theiia.org/goto/CBOK

À PROPOS DE L'AUDIT

EXECUTIVE CENTER

L'Audit Executive Center® de l'IIA constitue une

ressource essentielle permettant aux responsables

de l'audit interne de mieux réussir. Les

informations, produits et services du Centre leur

permettent de répondre aux enjeux et aux risques

émergents propres à la profession. Pour de plus

amples informations sur le Centre, voir

www.theiia.org/cae

TABLE DES MATIÈRES

Introduction ......................................................................................... 4

Méthodologie et population interrogée ................................................... 5

Prendre en compte les risques émergents ............................................... 6

Obtenir une vision globale des risques à l'échelle de l'organisation ....... 9

Des communications holistiques ouvrent de nouvelles perspectives

pour l’audit interne ................................................................................ 13

Gérer les pressions ................................................................................ 16

Conclusion ............................................................................................ 21

Annexe .................................................................................................. 22

3

http://www.theiia.org/goto/CBOK

http://www.theiia.org/cae

4 THE INSTITUTE OF INTERNAL AUDITORS

INTRODUCTION

Aujourd'hui plus que jamais, le rôle de l'audit interne est rendu plus complexe par

l'évolution perpétuelle de l'environnement économique. De nouveaux risques ne cessent

d’émerger, les parties prenantes exigent une vision exhaustive des risques, de nouveaux

modèles de reporting apparaissent et les responsables de l'audit interne subissent

régulièrement des pressions politiques qui influent sur leur travail.

En réponse à ces préoccupations, l'Audit Executive Center de l'IIA a travaillé cette

année en collaboration avec la Fondation de la Recherche de l'IIA (IIARF) en vue

d'intégrer le questionnaire de l'enquête Global Pulse of Internal Audit à l'édition 2015

de l'étude mondiale du Common Body of Knowledge (CBOK) sur la pratique de

l'audit interne. À cette occasion, nous avons pu interroger un nombre record de

responsables de l'audit interne, dont les réponses sont venues alimenter et enrichir le

rapport Global Pulse of Internal Audit de 2015.

Cette année quatre grands thèmes sont mis en exergue :

• L'émergence rapide de risques nouveaux. L'évaluation annuelle des risques n'est

donc plus suffisante ; les responsables de l'audit interne se doivent d’appréhender

rapidement les risques émergents, revoir fréquemment leurs plans d'audit à la

lumière de ces nouvelles informations et en communiquer les changements aux

principales parties prenantes de manière efficace.

• Les risques ne doivent pas être considérés isolément les uns des autres, mais en

adoptant une vision d'ensemble. C'est de cette même vision d'ensemble dont doit

se doter l'audit interne, par une étroite collaboration avec les autres fonctions

chargées des risques en vue de définir et d'évaluer les risques, mais aussi de

fournir une assurance en la matière.

• Aujourd'hui, les reportings externes des organisations ne se limitent plus aux états

financiers. L’utilisation des rapports intégrés, ou de développement durable, s’est

développée. Ces deux types de reportings auraient tout à gagner à bénéficier de

l'expertise et des éclairages de l'audit interne, dont les responsables pourraient ainsi

apporter une plus grande valeur ajoutée à leur organisation.

• Les pressions politiques représentent un obstacle qui peut être surmonté : pour ce

faire, les responsables de l'audit interne doivent optimiser leurs rattachements

hiérarchiques, réfléchir aux conséquences de leurs décisions en termes

d'objectivité lorsqu'ils réalisent leurs missions, insister pour obtenir toutes les

informations dont ils ont besoin et s'assurer que leur travail est d'une qualité

suffisante pour ne pas être remis en cause.

Nous espérons que l'étude Global Pulse of Internal Audit vous aidera à faire progresser

votre organisation et notre profession.

Richard F. Chambers, CIA, QIAL, CGAP, CCSA, CRMA,

Président et CEO

The Institute of Internal Auditors


5

MÉTHODOLOGIE ET POPULATION INTERROGÉE

En collaboration avec l'IIARF, l'Audit Executive Center de l'IIA a intégré les questions de l'enquête Global Pulse of Internal

Audit à l'édition 2015 de l'étude mondiale du Common Body of Knowledge (CBOK) sur la pratique de l'audit interne. Plus de

14 500 réponses exploitables ont été recueillies depuis 166 pays. Toutes les réponses étaient anonymes. L'enquête a été menée

du 2 février au 1er avril 2015 par chaque institut et par l’IIA grâce à différents moyens de communication (courriel, sites

internet, via ses lettres d’information et réseaux soxiaux). Les questionnaires partiellement remplis ont été considérés comme

exploitables dès lors que les informations sur la population interrogée étaient complètes.

Les réponses de 3 344 responsables de l'audit interne (ou personnes occupant une fonction équivalente) et de

1 630 administrateurs ou cadres dirigeants ont été analysées pour l'édition 2015 de l'étude Global Pulse of Internal Audit. Dans

le présent rapport, ces deux groupes seront désignés respectivement comme « les responsables de l'audit interne » et « les

administrateurs ». Sauf mention contraire, les données présentées résultent de l'analyse des réponses de ces deux catégories de

répondants. Pour certains points, seules les réponses des responsables de l'audit interne ont été utilisées. Veuillez noter que les

résultats présentés correspondent à des moyennes de l'ensemble des réponses à l'enquête, qui ne sauraient être généralisées à

l'ensemble de la population des auditeurs internes d'une région donnée.

Les organisations auxquelles appartiennent les responsables de l'audit interne et les administrateurs interrogés présentent des

caractéristiques très variées en termes d'implantation géographique, de forme juridique, de taille et de secteur d'activité. La plus

grande part des personnes interrogées (28 %) ont déclaré travailler principalement en Europe et en Asie centrale.

Viennent ensuite l'Asie orientale/Pacifique et l'Amérique du Nord (20 % des sondés pour chaque catégorie). Les autres

régions étudiées étaient l'Amérique latine/Caraïbes (14 % des sondés), le Moyen-Orient/Afrique du Nord (8 %), l'Afrique

subsaharienne (6 %) et l'Asie du Sud (3 %). Veuillez vous reporter à l’annexe pour plus de détails sur le nombre de participants

par pays ou par territoire.

Les responsables de l'audit interne et administrateurs ayant répondu à l'enquête représentent différents types d'organisations :

35 % sont d’une structure privée non cotée, 33 % d’une entreprise privée cotée et 23 % du secteur public.

Bien que de nombreux responsables de l'audit interne et administrateurs (34 %) aient indiqué que l'organisation dont ils

dépendaient réalisait un chiffre d'affaires annuel supérieur à 1 milliard de dollars, la majorité des personnes interrogées ont

toutefois sélectionné une tranche de chiffre d'affaires bien plus modeste, puisque 34 % d'entre eux citaient un chiffre d'affaires

annuel inférieur ou égal à 100 millions de dollars. De même, la taille des équipes des services d'audit varient fortement, la

majorité (61 %) faisant état d'une équipe d'une à neuf personnes. À noter, toutefois, que 12 % des sondés ont indiqué un

effectif de 50 personnes et plus.

Sur 20 réponses possibles, 29 % des responsables de l'audit interne et administrateurs interrogés provenaient du secteur

de la finance ou de l'assurance. Citons parmi les autres secteurs largement représentés dans l'enquête l'industrie

manufacturière (13 %) et les administrations (8 %).


PRENDRE EN COMPTE LES RISQUES ÉMERGENTS

À l'heure où l'information est accessible instantanément dans le monde entier, des risques

susceptibles d'anéantir des dizaines d'années de création de valeur ajoutée peuvent survenir du

jour au lendemain, de manière toute à fait inattendue. Les coups de théâtre géopolitiques,

macroéconomiques et informatiques sont presque devenus monnaie courante et il se passe

rarement un jour sans l'annonce d'une nouvelle menace mondiale ou d'une cyberattaque.

Qu'il s'agisse de troubles politiques, d'un tremblement de terre ou de l'apparition d'une

pandémie, tous ces facteurs ont des conséquences économiques. La volatilité de ces risques

émergents et en perpétuelle évolution exerce une pression considérable sur les fonctions d'audit

interne, qui doivent affronter des problématiques aussi vastes et diverses que l'identification et

la gestion des risques liés à la mondialisation et à l'interdépendance ou la prolifération de

moyens de communication interconnectés à l’échelle mondiale.

Dans les Normes internationales pour la pratique professionnelle de l'audit interne, l'IIA stipule

que le responsable de l'audit interne doit établir un plan d'audit fondé sur les risques. Il convient

donc de se concentrer sur les aspects d'une organisation les plus susceptibles d'être affectés par

des facteurs risquant de compromettre l’atteinte de ses objectifs, c'est-à-dire les principaux

facteurs de risque. Les risques courants et habituels sont aisément repérés, bien connus et

immédiatement quantifiés. En revanche, les risques émergents, ceux qui n'existaient pas il y a

encore un mois ou un an, sont les plus difficiles à cerner et à mesurer, et c'est précisément pour

cela que la fonction d'audit interne a tout intérêt à se pencher de près sur la question.

Résultats concernant les risques émergents

PLANIFICATION DE L'AUDIT. Les responsables de l'audit interne interrogés ont déclaré se

focaliser principalement sur les risques stratégiques (48 %), liés aux services informatiques (42 %)

et à la gouvernance (32 %), autant de domaines particulièrement exposés aux risques émergents.

Pourtant, selon ces mêmes sondés, la mise à jour de l'évaluation des risques n'est sans doute pas aussi

fréquente qu'il le faudrait, et seuls 23 % d'entre eux font état d'une évaluation continue des risques

(figure 1). Cette situation pourrait expliquer pourquoi la majeure partie des responsables de l'audit

interne indiquent mettre à jour leur plan d'audit une ou deux fois par an au maximum (figure 2). Bien

que les risques évoluent très rapidement, seuls 16 % des responsables de l'audit interne estiment leur

plan d'audit suffisamment flexible pour leur permettre de réagir sans délai à des risques émergents.

Ainsi, 77 % des responsables de l'audit interne sont susceptibles de ne pas identifier les risques

au bon moment et 84 % adapteraient trop tard leur plan d'audit en cas de crise, telle qu'un échec

dans l’évolution de version du progiciel de gestion intégré (ERP), une cyberattaque de grande

ampleur chez un proche concurrent ou un coup d'État dans un pays où l'organisation aurait des

intérêts économiques. Les responsables de l'audit interne estiment peut-être que de tels

événements n'auront pas d'impact sur leur organisation, et pourtant l'histoire montre que ces

dernières sont souvent prises au dépourvu face à des risques majeurs, en raison d'une confiance

excessive dans leur capacité à s'en prémunir.

7


Figure 1 Fréquence de l'évaluation des risques

Note : Q. 42 : Quelle est la fréquence de l'évaluation des risques réalisée par l'audit interne ?

Responsables de l'audit interne uniquement ; n = 2 941. Pour des raisons d'arrondi, le total sera parfois différent de 100 % pour certaines régions.

Figure 2 Fréquence d'actualisation du plan d'audit

Note : Q. 38 : Comment décririez-vous l'élaboration du plan d'audit au sein de votre organisation ? Responsables de l'audit interne

uniquement ; n = 3 014. Pour des raisons d'arrondi, le total sera parfois différent de 100 % pour certaines régions.


Les services d'audit interne accordent aujourd'hui plus d'attention aux domaines les plus

susceptibles de receler des risques émergents, mais les progrès sont lents. Les services d'audit

interne doivent en effet adapter leurs travaux au rythme de l’évolution des risques, et non à

celui que suivent habituellement leurs processus internes.

Perspectives Compte tenu de la menace, de l'ampleur et de la portée de risques émergents et en perpétuelle

évolution, les fonctions d'audit interne et les organisations dont elles dépendent doivent

impérativement être en mesure d'évaluer les risques en continu et d'y réagir sans délai. Caler

le rythme des travaux d'audit sur celui de l'émergence des risques suppose que les responsables

de l'audit interne développent les facultés d'adaptation de leurs équipes de manière à assurer

en permanence une couverture d'audit appropriée face aux risques les plus graves pour éviter

les mauvaises surprises. Les multinationales, en particulier, doivent absolument réajuster en

permanence leurs plans d'audit en s'appuyant sur ce qui se passe dans leurs entités, dans leurs

secteurs et dans le monde.

Points d’attention pour le responsable de l’audit interne Face aux risques émergents à une vitesse sans précédent et en perpétuelle évolution ; les parties

prenantes redoutent les mauvaises surprises. Le plan d'action suivant est inspiré de la

publication Imperatives for Change: The IIA’s Global Internal Audit Survey in Action1:

• ELABORER dans le service d'audit interne, des processus d'identification et de reporting

des risques émergents :

■ faire figurer l'identification et l'évaluation des nouveaux problèmes parmi les compétences

clés de l'audit interne ;

■ coordonner les activités et fonctions de l'organisation en vue de faire circuler l'information

et de partager les points de vue sur les nouveaux risques ;

■ exploiter les sources de données externes, les connaissances et enjeux métiers pour

faciliter l'identification des problématiques externes émergentes.

• ÉVALUER le processus actuel de révision du plan d'audit interne ; élaborer une approche

permettant d'agir plus vite et de modifier plus souvent le plan d'audit face à l'évolution des

risques de l'organisation.

• COMMUNIQUER avec les principales parties prenantes (direction générale et Conseil)

au sujet de l'évolution des risques et de la nécessité de revoir le plan d'audit en temps voulu ;

■ chercher un arbitrage entre la nécessité pour l'audit interne de respecter à la lettre le plan

annuel d’audit interne et l’impératif de réagir aux risques émergents et en perpétuelle

évolution.

• RENDRE COMPTE aux principales parties prenantes (la direction générale et le Conseil)

de l'évolution des risques en tirant directement les conséquences en termes de révision du plan

d'audit.

1. Richard J. Anderson et J. Christopher Svare, Imperatives for Change: The IIA’s Global

Internal Audit Survey in Action, Altamonte Springs, Fondation de la Recherche de l'IIA, 2011.

9


OBTENIR UNE VISION GLOBALE DES RISQUES À L'ÉCHELLE DE L'ORGANISATION

Pour atténuer les risques, l'un des principaux objectifs du Conseil doit être de se forger

une vision globale des risques de l'organisation. Bien que les fonctions d'audit interne

soient bien placées pour aider le Conseil dans sa mission de surveillance de la gestion des

risques et de la gouvernance, cette position variera en fonction de la nature, de la taille et

du type d'organisation concernée, mais aussi de son marché. Dans les petites structures,

par exemple, les auditeurs internes peuvent apporter aux administrateurs les informations

indépendantes, objectives et fiables, requises pour dresser un tableau complet des risques

de l'organisation. En revanche, une grande structure pourra disposer d'un responsable de

la gestion des risques chargé d'assister régulièrement le Conseil dans ses responsabilités

de surveillance. Dans ce cas, l'audit interne a un rôle moins direct et vient davantage

appuyer le management dans l'identification des risques.

Le mandat de surveillance des risques du Conseil doit également s'adapter à l'évolution

de la réglementation sur les marchés financiers, qui influe sur la maturité relative des

activités de gestion des risques d'une organisation. Par exemple, le Code de gouvernance

publié par le gouvernement britannique2 (« Code britannique ») pour les entreprises

cotées à la Bourse de Londres stipule que le Conseil doit « déterminer la nature et

l'ampleur des principaux risques qu'il est prêt à prendre pour atteindre ses objectifs

stratégiques » et s'assurer de l'existence de « systèmes fiables de contrôle interne et de

gestion des risques ». Le Code britannique attribue également au Conseil la responsabilité

de mettre en place les dispositions relatives aux principes de reporting, de gestion des

risques et de contrôle interne au sein de l'entreprise.

Les techniques employées par l'audit interne pour assister le Conseil dans sa mission de

surveillance des risques vont des simples feuilles de calcul aux systèmes les plus

élaborés ; elles visent toutes à apporter à la fois un aperçu du management des risques à

l’échelle de l’organisation (Enterprise risk management, ERM) et de l'assurance

combinée.

Résultats concernant la vision globale des risques à l'échelle de l'organisation

Étant donné que l’ERM constitue une méthode communément employée pour

cartographier les risques d'une organisation, notre enquête s'est efforcée de donner une

représentation précise des responsabilités actuelles du service d'audit interne dans ce

domaine. Comme le montrent les résultats de l'enquête, 47 % des répondants fournissent

une assurance sur la gestion des risques individuels, 46 % sur la gestion des risques de

manière globale et 56 % apportent des services de conseil sur les activités de gestion des

risques. Lorsqu'on les interroge sur le niveau de maturité relative de leurs processus de

gestion des risques, 37 % des responsables de l’audit interne qualifient ces derniers

d'« informels » ou « en phase de développement », 29 % indiquent disposer de procédures

et de systèmes bien structurés de gestion des risques et 24 % déclarent que

2. The U.K. Corporate Governance Code, Londres, Financial Reporting Council, 2014, p. 17.


Figure 3 Niveau de formalisation des processus de gestion des risques

Note : Q. 58 : Quel est le niveau de formalisation des processus de gestion des risques de votre organisation ?

Responsables de l'audit interne uniquement. n = 2 675. Pour des raisons d'arrondi, le total sera parfois différent de 100 % pour certaines régions.

leur organisation dispose d'un processus formel d'ERM, piloté par un responsable de la gestion

des risques ou une personne occupant un poste équivalent (figure 3).

AUDIT INTERNE ET ERM. Les personnes interrogées se sont également exprimées sur le

lien entre audit interne et ERM au sein de leur organisation ; 12 % des responsables de l'audit

interne et administrateurs sondés indiquent ainsi que ces deux fonctions sont distinctes et

dépourvues d'interaction entre elles. En revanche, 66 % précisent que, bien qu'elles constituent

deux fonctions distinctes, l'audit interne et l'ERM collaborent davantage, grâce à un partage

des actions et des connaissances coordonnées entre les deux équipes. Un pourcentage

nettement plus élevé (72 %) de sondés d'Europe et d'Asie centrale fait état d'une telle relation

de collaboration. Dans le même temps, 15 % des responsables de l'audit interne interrogés

indiquent également être en charge de la gestion des risques de l'entreprise. C’est également le

cas pour 7 % des sondés mais l'organisation envisage de transférer cette fonction vers un autre

service. L'indépendance et l'objectivité constituent des aspects essentiels à prendre en

considération pour les 22 % de participants à l'enquête actuellement responsables de l'ERM.

Le service d'audit interne ne peut auditer les processus dont il a la responsabilité.

11


Figure 4 Projet de mise en œuvre d'un modèle d'assurance combinée ou intégrée

Note : Q. 61 : Votre organisation a-t-elle mis en œuvre un modèle d'assurance combinée ou intégrée ? Seules figurent ci-dessus les réponses des responsables de l'audit interne et des administrateurs.

La réponse « Modèle déjà mis en œuvre ou en cours de mise en œuvre » englobe les personnes ayant répondu « Oui, il est mis en

œuvre », « Oui, mais il n'a pas encore été approuvé par le Conseil ou le comité d'audit » et « Non, mais elle prévoit d'en adopter un au

cours des 2-3 années à venir ». n = 3 795. Pour des raisons d'arrondi, le total sera parfois différent de 100 % pour certaines régions.

AUDIT INTERNE ET ASSURANCE COMBINÉE. Les personnes participant

à l'enquête ont également été interrogées à propos de l'assurance combinée,

comme définit dans le troisième rapport de la Commission King3, « vise à

optimiser la couverture d'assurance apportée par le management et par les

prestataires de services d'assurance internes et externes contre les risques auxquels

est exposée une entreprise ». Plus précisément, il a été demandé aux responsables

de l'audit interne et aux administrateurs si leur organisation appliquait un modèle

formel d'assurance combinée : 49 % ont répondu qu'ils avaient déjà mis en œuvre

un tel modèle, ou qu'ils allaient le faire ; 26 % ont indiqué n'avoir aucune intention

d'en adopter un et 25 % ont avoué ne pas connaître le modèle d'assurance

combinée (figure 4). Soulignons que 57 % des répondants ont également répondu

que leur fonction d'audit interne publiait un rapport d'évaluation de leur système

d'assurance combinée.

Bien que la prise en charge de l'assurance combinée par le service d'audit interne

s'accompagne de bénéfices évidents pour l'organisation, Ernesto Martínez Gómez,

responsable de l'audit interne du groupe Banco Santander et administrateur de

l'IIA, souligne que cette situation « peut remettre en cause l'indépendance de

l'audit interne et affecter son positionnement en tant que véritable prestataire

d'assurance globale.

3. Rapport de la Commission King sur le gouvernement d'entreprise en Afrique du Sud (King Code of Governance Principles), Parklands, Afrique du Sud, Institute of Directors in Southern Africa, 2009.


En effet, l'assurance apportée par le management n'est pas la même que celle fournie par des

auditeurs internes ou externes, dont les niveaux d'indépendance et d'objectivité sont

différents. »

Points d’attention pour le responsable de l’audit interne L'amélioration de la coopération entre les différentes fonctions et la promotion d'un effort

coordonné orienté risque constituent des axes d'intervention d’un audit interne à valeur ajoutée.

Pour tirer le meilleur parti des opportunités d'amélioration de la gestion des risques, le service

d'audit interne devra :

• COLLABORER avec d’autres fonctions pour mettre sur pied une approche efficace de la

gestion des risques à l'échelle de l'organisation. En pratique, l'audit interne pourra par

exemple se concentrer sur la maîtrise des risques par le contrôle interne, tandis que les

autres fonctions pourront donner une autre perspective. La coordination de toutes les

fonctions impliquées dans l'identification, la gestion et le reporting des risques permet de

dresser un tableau plus complet du management des risques à l'échelle de toute

l'organisation ;

• DÉTERMINER la meilleure manière pour l'audit interne et les autres fonctions

concernées d'apporter un soutien efficace au Conseil dans sa mission de surveillance de la

gestion des risques et de gouvernance. Cette tâche doit tenir compte du degré de maturité

des activités de gestion des risques et de la capacité de l'audit interne et des fonctions de se

coordonner dans le cadre de l’ERM ;

• FAIRE LE LIEN ENTRE LES DIFFÉRENTS TRAVAUX D'ÉVALUATION Le but

ultime du service d'audit interne consiste à réaliser une évaluation indépendante et objective de la gestion

des risques, ce qui englobe les mesures prises dans le cadre de la première et de la deuxième ligne du

modèle des « trois lignes de maîtrise »4

. Si plusieurs fonctions de la seconde ligne de maîtrise

procèdent (sous différentes formes) à des évaluations des risques ou apportent une

assurance (par exemple, des services informatiques et de la gestion des risques en plus de

l'audit interne), une vision globale de toutes ces activités devra être établie à l'intention de

du Conseil ;

• EXAMINER AVEC UN ŒIL CRITIQUE le processus d'évaluation des risques pour

s'assurer que tous les risques significatifs sont correctement identifiés et évalués avant d'être

présentés au Conseil. Réévaluer les méthodes d’identification et de mesure des risques ;

• FAIRE PREUVE DE CRÉATIVITÉ. Il n’y a pas de méthode unique de management des

risques. Il convient d’identifier, d'explorer et d'examiner avec un œil critique différentes

approches pour identifier celle qui sera la plus efficace pour l'organisation.

4. Prise de position de l'IIA, Les trois lignes de défense pour une gestion des risques et un

contrôle efficaces, Altamonte Springs, The Institute of Internal Auditors, 2013.

13


DES COMMUNICATIONS HOLISTIQUES OUVRENT DE

NOUVELLES PERSPECTIVES POUR L'AUDIT INTERNE

Les crises bancaires et autres ont incité les parties prenantes à s'interroger sur les

décisions stratégiques des organisations, et en leur véritable valeur. La valeur d’une

organisation ne se limite pas au reporting et à l'analyse financière mais tient aussi compte

de l'allocation des ressources et de la prise de décision. La capacité de l'organisation à

apporter une vision exhaustive et globale de sa création de valeur gagne aujourd'hui en

importance. Jusqu'ici, certaines organisations publiaient des rapports financiers, de

développement durable, ou d'autres rapports internes ou externes. Aujourd'hui, la

tendance est à l’incoporation d'informations issues de différents rapports, en vue de

présenter une image holistique de la valeur d'une organisation. Cette méthode, appelée

« reporting intégré », désigne simplement un document concis, qui décrit comment

l'organisation compte créer de la valeur à court, moyen et long terme, à partir de six

types de capitaux5.

Bien que relativement récent, le recours au reporting intégré devrait se développer

fortement. Dans le même temps, la publication de rapports de développement durable,

qui servent depuis des années à améliorer les stratégies marketing et la prise de décision,

est également en hausse. Or, ces deux types de rapports ne sauraient se passer des

compétences et des apports de l'audit interne.

Résultats concernant les communications holistiques

REPORTING INTÉGRÉ. Nous avons demandé aux responsables de l'audit interne et aux

administrateurs si leur organisation envisageait de publier un rapport intégré annuel

s'appuyant sur le Cadre de référence international portant sur le reporting intégré publié

fin 2013. À cette question, 30 % des personnes interrogées ont déclaré qu'elles

projetaient de publier un tel rapport cette année ou dans un avenir proche ; notons que

63 % des répondants d'Afrique subsaharienne ont déclaré être en train d'adopter ce cadre

(figure 5).

RAPPORT DE DÉVELOPPEMENT DURABLE. Parallèlement, près de la moitié

(48 %) des responsables de l'audit interne et des administrateurs interrogés ont indiqué

que leur organisation prévoyait de publier un rapport de développement durable cette

année ou à l'avenir (figure 5). Notons qu’en Amérique du Nord seulement 28 % des

répondants ont répondu par l'affirmative à cette question.

5. Cadre de référence international portant sur le reporting intégré, Londres, The International Integrated Reporting Council, 2013.

6. Parmi les responsables de l'audit interne et les administrateurs interrogés en Afrique subsaharienne, 33 % indiquent qu'ils sont implantés en Afrique du Sud. En 2010, la bourse de Johannesburg a adopté les principes du rapport King III, qui préconise l'usage du reporting intégré.


Figure 5 Publication de rapports intégrés et de rapports de développement durable

Note : Q. 69 : Votre organisation prévoit-elle d'établir un rapport annuel intégré se fondant sur le référentiel international de reporting

intégré (< IR >) ? Q. 70 : Votre organisation prévoit-elle de publier un rapport de développement durable ? Les réponses positives

englobent toutes les personnes ayant répondu « Oui, cette année », « Oui, au cours des 2-3 prochaines années » et « Oui, à une

date future encore non définie ». Seules figurent ci-dessus les réponses des responsables de l'audit interne et des administrateurs.

n = 3 746 ; 3 346

L'audit interne, a un positionnement idéal pour contribuer aux rapports intégrés et de développement durable

L'audit interne est plus que qualifié pour accompagner la mise en œuvre du reporting intégré :

comme souligné dans une publication récente de plusieurs Instituts européens, les responsables

de l'audit interne interagissent quotidiennement avec des acteurs clés qui occupent une place

centrale dans le processus de reporting intégré d'une organisation7

. S'il bénéficie de

l'indépendance appropriée et d'une solide connaissance de l'organisation, l'audit interne peut

fournir l'assurance nécessaire pour asseoir la crédibilité du reporting intégré et contribuer à

améliorer la cohérence de la communication entre les différents services. Le même constat

s'applique à peu de chose près au rapport de développement durable. Bien que, jusqu'ici, l'audit

interne n'ait pas été impliqué dans ce type de rapport, il peut y contribuer efficacement en

documentant l'impact de ces questions sur les processus de l'organisation. « Il est impossible

de constituer un rapport intégré pertinent sans avoir une solide compréhension de ses impacts

en termes de développement durable et de la manière dont les processus intègrent des

dimensions environnementales et sociales », souligne Eric Hespenheide, président du comité

consultatif technique du Global Reporting Initiative et ancien associé de Deloitte.

7. Améliorer le reporting intégré – La valeur ajoutée de l'audit interne, IIA-France, IIA-Pays-

Bas, IIA-Norvège, IIA-Espagne, IIA-Royaume-Uni et Irlande, 2015.

15


L'intérêt croissant pour ces rapports donne aux responsables de l'audit interne

l'occasion de s'impliquer davantage dans l'organisation, d'apporter leur point de vue

sur l’impact des risques liés au développement durable et de fournir une assurance

sur la fiabilité des données sociales et environnementales. En outre, l'engouement

pour les rapports intégrés et de développement durable permet à l'audit interne de

contribuer à des « prises de décision plus éclairées », comme l'affirme la lettre de

mission d'une société leader du secteur technologique.

Points d’attention pour le responsable de l’audit interne Face aux exigences croissantes en matière de reporting intégré et de développement

durable partout dans le monde, les responsables de l'audit interne peuvent faire preuve

de leadership dans ces domaines en adoptant le plan d’action suivant :

• DEVELOPPER une solide compréhension des rapports intégrés et de

développement durable grâce à l’évaluation de la culture de l'organisation et à des

interactions avec les parties prenantes, pour bien appréhender les impacts sur

l'activité ;

• IDENTIFIER les informations extra-financières, les processus et procédures

utiles pour le traitement de ces données, mais aussi les opportunités d’activités de

conseil de la part de l'audit interne ;

• COLLABORER avec les principales parties prenantes pour déterminer si l'audit

interne peut fournir une assurance sur la qualité des données existantes et des

systèmes de gestion (par exemple, via un audit de la chaîne d'approvisionnement) ;

• METTRE EN PLACE une stratégie d'audit globale en termes d'assurance et de

conseil, portant sur les processus et systèmes étayant des rapports intégrés et de

développement durable. Solliciter l'avis des parties prenantes pour s'assurer d'être

en phase avec leurs attentes.


GÉRER LES PRESSIONS

Pour réussir, les responsables de l'audit interne doivent réagir efficacement aux pressions

politiques, ce qui leur permettra d'aborder un vaste éventail de questions sensibles susceptibles

de toucher leur organisation. Comme le souligne un rapport récemment publié par la Fondation

de la Recherche de l'IIA8, certains responsables de l'audit interne font preuve du courage et de

la diplomatie requis pour naviguer avec succès dans les méandres du pouvoir. Pourtant,

l'actualité cite régulièrement des cas de responsables de l'audit interne qui semblent avoir

échoué sur ce plan. Les facteurs de réussite dans ce domaine sont multiples : rattachements

hiérarchiques, objectifs individuels et de l'organisation, et soutien du Conseil – sans parler du

respect des Normes citées plus haut.

Les réponses à l’enquête mettent l'accent sur certains domaines auxquels les responsables de

l'audit interne devraient davantage s'intéresser pour réagir efficacement face aux pressions

politiques.

Résultats concernant les pressions sur les responsables de l'audit interne

RATTACHEMENTS HIÉRARCHIQUES - Le positionnement de l'audit interne au sein de

l'organisation joue un rôle déterminant dans sa capacité à s'acquitter efficacement de sa

mission. À la question de savoir quel est leur principal rattachement fonctionnel, 72 % des

responsables de l'audit interne (ou équivalents) indiquent dépendre du comité d'audit (ou

équivalent) ou du Conseil (figure 6). Une telle configuration est idéale car elle permet au

responsable de l'audit interne de solliciter l'avis, le conseil et le soutien de parties prenantes

essentielles peu susceptibles a priori d'exercer des pressions injustifiées sur le processus

d'audit. En revanche, 19 % des personnes interrogées déclarent être placées sous la

responsabilité fonctionnelle d’un directeur général, d’un président ou encore du chef d’un

établissement public, tandis que 4 % citent le directeur financier.

Pour s'acquitter efficacement de leur mission, les responsables de l'audit interne ne devraient

pas être sous influence de ceux qu'ils sont censés contrôler. Pour ce faire, le type de

rattachement est essentiel, mais n’est pas suffisant pour leur garantir toute liberté d'action. Pour

les 72 % de responsables de l'audit interne placés sous la responsabilité d'un organe de

surveillance, la relation doit être solide, ouverte, collaborative et honnête, autant de facteurs

qui contribuent à soutenir une approche courageuse de l'audit. A cette fin, il importe de nouer

et d'entretenir des liens professionnels étroits avec les principaux organes de surveillance. Par

ailleurs, 29 % des responsables de l'audit interne interrogés déclarent dépendre aussi bien

fonctionnellement qu'administrativement du management de l'organisation, ce qui laisse à

penser qu'ils pourraient avoir beaucoup plus de difficultés à s'affranchir des pressions

politiques.

8. Larry Rittenberg et Patricia K. Miller, The Politics of Internal Auditing, Altamonte Springs,

Fondation de la Recherche de l'IIA, 2015.

17


PLAN DE CARRIÈRE - D'après les résultats de l'enquête, 29 % des responsables de l'audit

interne seraient soumis à des pressions politiques en vue de modifier une conclusion ou un rapport

d'audit. Il est évident que de telles pressions peuvent être lourdes de conséquences, allant de la

disgrâce à la rétrogradation ou au licenciement. Interrogés sur leur plan de carrière, 72 % des

responsables de l'audit interne déclarent prévoir de rester dans ce métier au cours des cinq

prochaines années, 9 % indiquent envisager de le quitter et le reste ne sait pas, ou bien prévoit

d'endosser des fonctions différentes (figure 7).

Figure 6 Rattachements fonctionnels des responsables de l'audit interne

Note : Q. 74 : Quel est le principal rattachement fonctionnel du responsable de l'audit interne ou de son équivalent au sein de votre

organisation ? Responsables de l'audit interne uniquement. L'étude définissait le rattachement fonctionnel comme « la surveillance des

pouvoirs et des responsabilités de la fonction d'audit interne, notamment l'approbation de la charte d'audit interne, le plan d'audit, l'évaluation

et la rémunération du responsable de l'audit interne ». n = 2 599. Pour des raisons d'arrondi, le total sera parfois différent de 100 % pour

certaines régions.

Hormis les responsables de l'audit interne envisageant de quitter la profession, la plupart des chefs

des services d'audit rencontrent des difficultés liées à des pressions politiques. Les 72 % des

responsables de l'audit interne prévoyant de rester dans le métier doivent étudier des propositions

d'évolution de carrière ou des options externes si leur employeur ne souhaite pas respecter leur

indépendance face aux pressions politiques. Les responsables de l'audit interne prévoyant de

quitter le métier (y compris ceux qui lesquels cette fonction n'est qu'une étape dans leur carrière)

doivent décider si leurs responsabilités à ce poste doivent l'emporter sur les possibilités

d'évolution à long terme dans l'organisation qui les emploie.

SOUTIEN ET ACCÈS - Les résultats de l'enquête concernant le soutien du Conseil à l'audit

interne laissent à penser que cet aspect pourrait être problématique : en effet, si un peu plus de la

moitié (57 %) des responsables de l'audit interne interrogés déclarent avoir le soutien

inconditionnel du Conseil pour passer en revue les règles et procédures de gouvernance de

l'organisation, ils sont tout de même 43 % à indiquer ne bénéficier que d'un soutien partiel, voire

inexistant. Les règles et procédures de gouvernance entraînent souvent les auditeurs internes dans

des domaines qui touchent directement à la direction de l'organisation, tels que la rémunération

des dirigeants, les programmes à caractère éthique, la libre circulation de l'information entre la

direction et le Conseil, l'exemption de certaines obligations accordée aux


Figure 7 Proportion de responsables de l'audit interne prévoyant de rester dans la profession

63 %

75 %

85 %

74 %

67 %

74 % 77 %

72 %

Asie de l'Est et Pacifique

Europe et Asie centrale

Amérique latine et

Caraïbes

Moyen-Orient et Afrique du

Nord

Amérique du Nord

Asie du Sud

Afrique subsaharienne

Moyenne mondiale

Note : Q. 36 : Pour les cinq années à venir, quels sont vos projets professionnels liés à l'audit interne ? Seules figurent ci-dessus les réponses des responsables de l'audit interne. n = 3 108.

Figure 8 Proportion de responsables de l'audit interne déclarant disposer d'un accès illimité

aux informations

34 %

60 % 57 %

48 %

65 %

38 %

58 %

54 %


Europe et Asie

centrale

Amérique latine et Caraïbes

Moyen-Orient et Afrique du

Nord

Amérique du Nord

Asie du Sud


Moyenne mondiale

Note : Q. 53 : À votre avis, le département d'audit interne de votre organisation a-t-il complètement et librement accès aux biens et aux documents des salariés nécessaires à la réalisation des activités d'audit ? Seules figurent ci-dessus les réponses des responsables de l'audit interne. n = 2 765.

19


dirigeants, etc. Le soutien du Conseil est absolument essentiel si le responsable de l'audit

interne rencontre des points sensibles dont le traitement exige du courage.

L'enquête demandait également aux sondés dans quelle mesure ils avaient accès aux

documents et biens nécessaires à la réalisation de leurs audits internes. Une faible

majorité (54 %) des responsables de l'audit interne a déclaré disposer d'un accès total

et sans restriction aux documents et aux biens dans le cadre de leur mission (figure 8),

ce qui signifie que, dans une petite moitié des organisations, les responsables de l'audit

interne ne peuvent pas nécessairement obtenir des salariés toute la documentation

professionnelle requise, alors qu'un accès sans restriction est essentiel pour les

auditeurs internes.

RESPECT DES NORME - Les responsables de l'audit interne qui ne craignent pas de

déplaire sont remis en cause par le management, et doivent donc appuyer leurs travaux sur

une solide documentation. La meilleure protection contre des travaux incomplets,

inappropriés et mal structurés réside dans un respect rigoureux des Normes évoquées plus

haut. Pour ce faire, il importe de se conformer à un programme d'assurance et d'amélioration

qualité robuste. Or, lorsqu'on leur pose la question, seuls 34 % des responsables de l'audit

interne déclarent disposer d'un programme bien défini (figure 9). Un autre tiers des sondés

explique que ce programme est en cours d'élaboration, tandis que le tiers restant signale

l'existence de mesures ad hoc, voire l'absence totale de programme. Pourtant, si les

processus d'audit ne peuvent résister à l'examen des parties prenantes, leurs responsables

auront du mal à adopter des positions courageuses.

Figure 9 Niveau de maturîté du programme d’assurance et d’amélioration qualité

Note : Q. 47 : Quel est le niveau de développement du programme d’assurance et d’amélioration qualité au sein de votre organisation ?

Responsables de l'audit interne uniquement. Dans la catégorie « Bien défini » figurent également les réponses « Bien défini, comprend une revue

externe de la qualité » et « Bien défini, comprend une revue externe de la qualité et un lien officiel avec des activités continues d'amélioration et

de formation du personnel ». n = 2 833.


Points d’attention du responsable de l’audit interne

Bien que toutes les organisations soient différentes, tous les responsables de l'audit interne

doivent renforcer leur capacité à faire face aux questions sensibles. Pour ce faire, il leur est

recommandé de :

• METTRE EN PLACE des rattachements et des relations qui confèrent à l'audit interne

l'indépendance requise pour aborder directement les questions sensibles avec les membres

de l'organe de surveillance (par exemple, le Conseil). Il leur faut éviter de dépendre

excessivement des organigrammes ;

• RÉFLÉCHIR aux conséquences que des questions sensibles pourraient avoir sur leur rôle

ou sur leur carrière. Ce point concerne en particulier les responsables de l'audit interne qui

souhaitent changer de service tout en restant dans la même organisation ;

• OBTENIR le soutien des parties prenantes et les autorisations nécessaires pour auditer les

risques majeurs à l'échelle de toute l'organisation ;

• S'ASSURER que le service d'audit interne dispose d'un programme d'assurance et

d'amélioration qualité robuste permettant de confirmer que les audits sont menés avec un

degré d'exigence suffisant pour résister à l'examen des parties prenantes.

21


CONCLUSION

Dans le contexte économique actuel, avec ses risques émergents et ses mutations

perpétuelles, l'audit interne doit faire preuve de davantage de réactivité et d'inventivité.

Les responsables de l'audit interne qui assument pleinement leur responsabilité d'assister

le Conseil dans sa mission de surveillance des risques sont bien placés pour évoluer dans

cet environnement dynamique. C'est pourquoi l'édition 2015 de l'étude Global Pulse of

Internal Audit s’engage à avoir une vision globale des risques et une planification

flexible de l'audit, et privilégie l’extension du champ de l'audit interne ainsi que le

courage de résister aux pressions politiques.

Qu'il s'agisse de jauger les risques émergents à travers une évaluation formelle ou des

discussions informelles, les responsables de l'audit interne doivent utiliser ces

informations pour adapter leur plan d'audit en conséquence. Plus le profil de risque

d'une organisation est fluctuant, plus son plan d'audit doit être adaptable et réactif. À

l'heure où l'audit interne élargit son périmètre d'action pour intégrer les risques métiers,

la priorité de ses responsables devrait être de fournir une assurance en matière

d'évaluation de ces risques, et ce, quelle que soit la personne chargée de les gérer.

Cependant, il est indispensable que l’implication de l'audit interne dans le management

des risques à l’échelle de l’organisation ou dans l'assurance combinée ne mette jamais

en péril son indépendance ni son objectivité.

L'intégration des informations financières et extra-financières dans la prise de décision

est un véritable enjeux métier. Plus précisément, les parties prenantes s'intéressent

davantage aux informations extra-financières, telles que celles dans les rapports intégrés

ou de développement durable. C'est l'occasion pour l'audit interne d'étendre son champ

d'action en fournissant une assurance dans des domaines qui n'étaient pas abordés

jusqu'ici. La première étape consiste à comprendre les impacts du développement

durable sur l'organisation et à déterminer si l'audit interne peut soutenir l’évaluation des

risques associés.

Pour répondre à l'évolution des exigences à l’égard de la profession, les responsables de

l'audit interne se doivent également de résister aux pressions politiques qu'ils subissent

dans l'exercice de leurs fonctions. Pour lutter contre ces pressions, l'audit interne doit

mettre en œuvre des mécanismes de défense appropriés – à savoir l'indépendance, le

soutien du Conseil et un processus qualité. Si le responsable de l'audit interne arrive à

agir sur ces leviers, il pourra également influer sur la capacité de son service à accéder

aux informations internes et préserver l'objectivité de leurs décisions.

En résumé, comme l'expliquait Douglas Anderson, ancien responsable de l'audit interne

et chef de file reconnu de la profession : « Ce n'est pas le moment pour les auditeurs

internes de se montrer trop confiants. Le monde change rapidement autour de nous et

nous devons non seulement y réagir, mais nous y préparer. Focalisez-vous sur les risques,

sur le périmètre de votre mission et sur la manière dont vous pouvez réagir face aux

pressions politiques ».


ANNEXE


RAI et administrateurs

Europe et Asie

centrale


Amérique latine

et Caraïbes


Moyen-Orient et

Afrique du Nord


Amérique du Nord


Asie du Sud




n = 977 n = 1 355 n = 675 n = 394 n = 999 n = 166 n = 317

Australie ...............62 Autriche ...............37 Argentine ............61 Israël ...................58 Canada ..............119 Bangladesh..........24 Afrique du Sud ....106

Chine...................290 Croatie ................21 Brésil ...................92 Oman .................24 États-Unis ……..880 Inde ................128 République unie de Tanzanie.........55

Indonésie..............52 République Tchèque .............24

Chili .....................70 Arabie Saoudite ..119 Autres .................14 Ouganda.............20

Japon .................176 Danemark............30 Colombie …..........55 Émirats arabes Unis…… ...........120

Zimbabwe............36

Malaisie ................81 Estonie................25 Costa Rica .........56 Autres ................73 Autres ................100

Nouvelle-Zélande…22 France ...............124 Équateur .............38

Philippines............23 Allemagne..........126 El Salvador..........33

Singapour .............49 Grèce...................57 Mexique...............77

Taïwan ........ .....179 Italie ....................82 Nicaragua ..........20

Autres .................43 Lettonie................22 Panama .............32

Pologne ...............41 Pérou ..................45

Roumanie ............23 Uruguay.............25

Russie ..................27 Autres .................71

Serbie .................22

Slovénie ..............31

Espagne ............128

Suède................35

Suisse …….......166

Turquie ......................69

Ukraine..............21

Royaume-Uni.......47

Autres ...............197

Note : Q. 6 : Dans quelle région exercez-vous votre activité professionnelle ? Les participants ont indiqué leur région avant de sélectionner un pays ou un

territoire spécifique. Les réponses ont été examinées région par région (au nombre de sept, telles que définies par la Banque mondiale). Seules figurent ci-

dessus les réponses des responsables de l'audit interne et des administrateurs. La rubrique « Autres » désigne les pays et les territoires pour lesquels moins de

23


20 réponses ont été reçues. n = 4 883. Hors participants n'ayant pas indiqué de région.


SIÈGE MONDIAL

247 Maitland Avenue

Altamonte Springs, FL 3270 1-420I

www.globaliia.org

2015.0718

http://www.globaliia.org/

Documents

RAPPORT MONDIAL PULSE OF THE PROFESSION 2015 · l'expertise et des éclairages de l'audit interne, dont les responsables pourraient ainsi apporter une plus grande valeur ajoutée