Les enjeux actuels du contrôle interne et les conséquences en audit

Avec le développement croissant des technologies informatiques, de nouvelles formes de délinquance sont apparues et touchent de plus en plus les organisations. Aucun secteur d'activité n'est épargné. Le contrôle interne, comme l'audit interne, peuvent être des remparts face aux attaques dont l'organisation serait l'objet, en prévoyant pour le premier et en évaluant pour le second les mesures sécurisant l'environnement informatique, que ce soit au niveau des collaborateurs que vis à vis des tiers avec lesquels la structure est en relation. Les auditeurs s'assureront notamment qu'existe une politique de sécurité des systèmes d'informations connue de tous et dont le respect fait l'objet de contrôles préventifs, avec entre autre l'interdiction ou à la surveillance de l'utilisation de supports amovibles par le personnel, et de mesures détectives à partir d'outils recensant toute opération atypique.

La modélisation est de plus en plus est employée par les organisations pour le pilotage de leurs activités, sur base de simulations et de calculs destinés à améliorer la prise de décisions. Les modèles, en intégrant une multitude de données et de situations, augmentent les capacités prédictives des entités qui les utilisent, à condition de les maîtriser. Le risque en effet est de ne pas être en mesure de gérer les masses d'informations employées et les traitements associés, ceci conduisant à produire des états erronés pour décider. L'audit doit donc vérifier qu'existent des dispositifs visant à garantir la qualité des données tout au long de l'établissement des reporting. Des contrôles permanent sont ainsi à positionner en amont de l'intégration des données dans les outils de modélisation, mais aussi durant les traitements et en aval, une fois les résultats produits.

Les fournisseurs bien souvent s'intègrent aux process d'une organisation dès lors que celle-ci a atteint une taille importante nécessitant des traitements opérationnels plus techniques et complexes. Cette intégration des prestataires est destinée à mieux répondre aux besoins de l'entité et ainsi à participer à une chaîne de valeur plus productive, donc à priori compétitive. Les interdépendances entre les parties prenantes dans ce cas sont fortes, d'où des cahiers des charges spécifiques pour encadrer les relations entre les tiers. En conséquence, il est impératif pour une organisation de mettre en place des dispositifs de suivi stricts et rigoureux concernant la qualité des prestations réalisées par les fournisseurs, avec l'obtention de garanties par les sous-traitants sur leur capacité à couvrir les risques inhérents à leurs activités. L'auditeur quant à lui s'assurera que la revue des prestations essentielles au sein de son organisation est effective et conduit à des plans d'actions si nécessaire, voire à des ajustements contractuels substantifs. L'audit pourra également être amené à réaliser une mission d'assurance directement chez un ou plusieurs fournisseurs, dès lors que ce type d'intervention est incluse dans les contrats de prestations.

Rappelons qu'un des objectifs du contrôle interne porte sur la qualité des informations, notamment celles qui sont reportées aux instances dirigeantes et celles communiquées à l'extérieur de l'organisation. Ces dernières sont de plus en plus volumineuses compte tenu de la complexité croissante des opérations économiques. En outre, la nature des données diffusées a évolué. Les mentions dites qualitatives ont pris une place et une importance de plus en plus conséquentes dans les reportings comparativement aux éléments financiers. Cette évolution oblige à adapter les dispositifs de contrôle en matière d'informations. La nature du risque reste certes la même, soit de produire des informations non conformes à la réalité. Par contre, les sources d'erreur se sont multipliées puisque les communications institutionnelles accordent aujourd'hui autant d'importance aux résultats financiers des activités qu'à leurs effets, notamment sur l'environnement. Cette diversité des informations entrantes, traitées, sortantes, nécessite d'élargir les poins de contrôle interne et par conséquent d'audit. L'auditeur interne, en plus d'évaluer l'efficacité et l'efficience des process sur un plan quantitatif, doit dorénavant conclure sur la capacité de son organisation à produire toutes les éléments de reporting extra-financier.