CHAPITRE 2

LE CADRE DE RÉFÉRENCE
INTERNATIONAL DES PRATIQUES
PROFESSIONNELLES : DES LIGNES
DIRECTRICES INCONTOURNABLES
POUR L'AUDIT INTERNE

1
Objectifs pédagogiques
· Connaître l'histoire qui a conduit à l'adoption de lignes directrices
professionnelles pour la pratique de l'audit interne.
e Décrire la structure du Cadre de référence international des pratiques
professionnelles (CRIPP) de l'audit interne et les différents types de lignes
directrices qu'il établit.
® Comprendre la relation entre le CRIPP et la proposition de
valeur de l'audit interne pour les parties prenantes.
· Comprendre les dispositions obligatoires du CRIPP : la définition de l'audit
interne, le Code de déontologie et les Normes internationales pour la
pratique professionnelle de l'audit interne.

· Comprendre les dispositions fortement recommandées du CRIPP : les Modalités

Pratiques d'Application, les prises de position et les guides pratiques.
· Décrire le processus d'actualisation du CRIPP.
· Comprendre en quoi les lignes directrices publiées
par d'autres organisations professionnelles
influencent la pratique de l'audit interne.

La stature et la réputation d'une profession peuvent s'évaluer,

dans une large mesure, à l'aune de la rigueur de sa
déontologie et de ses pratiques. Il en va ainsi, notamment, du
corps médical, des ingénieurs, des professionnels du droit ou
des experts-comptables. Et cela vaut aussi pour les
professionnels de l'audit interne.

Ce chapitre explique en quoi les lignes directrices émises par

l'Institute of Internai Auditors (IIA), traduites en français par
l'IFACI, répondent à des questions telles que :
Que peuvent attendre les parties prenantes des activités
d'audit interne ? e Quelles sont les conditions nécessaires à
la réussite de l'audit interne ?
2-1
 · Quelles sont les qualités requises pour être un bon
auditeur interne ?
· Quelles responsabilités le responsable de l'audit interne
endosse-t-il ?
· Comment le Conseil et la direction générale évaluent-ils les
activités d'audit interne ?
· En bref, comment l'audit interne crée-t-il de la valeur
ajoutée ?

Selon la définition de l'audit interne donnée au chapitre 1, Intro-

duction à l'audit interne, l'audit interne est « ... une activité indé-
pendante et objective qui donne à une organisation une
assurance sur le degré de maîtrise de ses opérations, lui apporte
ses conseils pour les améliorer, et contribue à créer de la valeur
ajoutée ». Les auditeurs internes délivrent ces services à un
IIA (Institute of ensemble varié d'organisations, qui va des sociétés cotées et
Internai Auditors) non cotées au secteur public ou aux entités à but non lucratif. Au
sein de ces organisations, l'audit interne interagit avec diverses
Organisme dont le parties prenantes, qui ont chacune leurs besoins et leurs
siège se situe à
exigences propres. Ces parties prenantes sont des instances
Altamonte Springs
internes, comme le conseil d'administration ou de surveillance*
(Floride) et qui
est reconnu dans
(via le comité d'audit) d'une organisation, la direction générale,
le monde entier le management, ainsi que des acteurs externes, comme les
comme le leader investisseurs, les créanciers, les autorités de régulation et de
de la certification, supervision, les fournisseurs et les clients. Ce chapitre explique
de comment les lignes directrices à l'intention de la profession
l'enseignement, permettent aux auditeurs internes de fournir des services à
de la recherche et valeur ajoutée en répondant aux besoins de ce large éventail de
des orientations parties prenantes.
technologiques
pour la profession
Ce chapitre commence par un historique des lignes directrices
destinées à la pratique professionnelle de l'audit interne, depuis
la création de PIIA, en 1941. Il présente ensuite le CRIPP (Cadre
de référence international des pratiques professionnelles), qui
reflète la nature mondiale de la profession d'audit interne, et
détaille les dispositions obligatoires et les dispositions
fortement recommandées du cadre. Puis, ce chapitre décrit
comment ces lignes directrices sont élaborées et publiées.
Enfin, il explique comment les lignes directrices publiées par
d'autres organisations professionnelles influencent la pratique
de l'audit interne.

HISTORIQUE DES LIGNES DIRECTRICES À

L'INTENTION DES PROFESSIONNELS DE L'AUDIT
INTERNE

La pratique de l'audit interne s'est développée sur une longue

période. Lorsque les organisations ont commencé à s'étendre
et à
 * NdT : Dans la suite du texte, le terme « Conseil » sera utilisé pour
désigner le conseil d'administration ou de surveillance.

MANUEL D'AUDIT INTERNE

2-2 I
 devenir plus complexes, et aussi géographiquement plus
dispersées, leurs dirigeants n'ont pas pu continuer à surveiller
personnellement les opérations dont ils étaient responsables ni
entretenir suffisamment de contacts directs avec tous leurs
subordonnés. Cette distanciation de la direction générale par
rapport aux opérations dont elle était responsable a rendu
nécessaire l'émergence d'autres acteurs de l'organisation qui
l'aident à examiner les opérations et à établir des rapports sur la
base de ces examens. Pour apporter cette aide, ces personnes ont
commencé à mener des activités d'audit interne. Au fil du temps,
ces activités ont été davantage formalisées et, avec la création de
l'IIA aux États-Unis, la pratique de l'audit interne a commencé à se
constituer en profession. Les praticiens se sont progressivement
entendus sur le rôle, ainsi que sur les concepts et pratiques
génériques de l'audit interne.

Peu après la formation de l'IIA, les premières lignes directrices à

l'intention de la profession d'auditeur interne ont été élaborées. Le
premier texte officiel encadrant les pratiques des auditeurs, le Sta-
tement of the Responsibilities of the Internai Auditor (Énoncé des
responsabilités de l'auditeur interne), a été publié en 1947. Ce bref
document définissait les objectifs et le périmètre de l'audit interne.
À mesure que la profession a évolué, ses révisions successives ont
tenu compte de l'élargissement du périmètre d'intervention de la
profession. Ainsi, si la version initiale de 1947 s'attachait essentiel-
lement aux audits financiers, celle de 1957 a été élargie à d'autres
domaines.1 Au fil des ans, le périmètre des activités de l'audit
interne a continué de s'étendre à mesure que la profession
évoluait, et ce Statement of Responsibilities a été révisé en
conséquence, en 1971, 1976, 1981 et en 1990.

En 1968, l'IIA a établi des lignes directrices d'ordre éthique à l'in-

tention de ses membres en publiant un Code de déontologie. Ce
code se composait de huit articles dont les principes
fondamentaux se retrouvent encore dans sa version actuelle.
L'IIA a également précisé les compétences (c'est-à-dire les
connaissances et le savoir-faire) que devaient posséder les
professionnels de l'audit interne avec la publication du Common
Copyright © 2015

Body of Knowledge (CBOK, socle commun de connaissances), en

1972, et la mise en oeuvre du programme de certification de
Certified Internai Auditor (CIA) en 1973. Enfin, en 1978, l'IIA a
publié Les Normes pour la pratique professionnelle de l'audit
Eyrolles.

interne (les Normes de 1978). Celles-ci se composaient de cinq

règles générales et de 25 directives spécifiques sur la manière de
gérer l'audit interne et d'exécuter les missions d'audit. Ces
normes ont été largement adoptées et traduites dans plusieurs
langues par les Instituts nationaux dont l'IFACI. Elles ont, de plus,
été souvent incorporées aux lois et règlements de différentes
entités publiques.

Les Normes de 1978 se sont révélées suffisamment solides

pour accompagner l'évolution de la profession, et sont restées
pratiquement inchangées pendant les 20 années qui ont suivi
leur
LE CADRE DE RÉFÉRENCE INTERNATIONAL DES PRATIQUES PROFESSIONNELLES I I 2-3
publication. Cependant, pour faciliter l'interprétation de ces
normes, l'IIA a publié des documents supplémentaires :
· des règles accompagnant les Normes de 1978 ;
· les Professional Standards Practice Releases —
communiquant la réponse de l'IIA à des questions
fréquemment posées ;
· des prises de position de l'IIA ;
· des études.

À la fin des années 1990, parmi les diverses formes de lignes direc-
trices, on ne savait plus quelles règles primaient sur les autres et on
a relevé des contradictions entre certaines d'entre elles.

De plus, la profession d'audit interne avait commencé à changer

dans les années 1980. Le recours à l'évaluation des risques comme
méthode d'affectation des ressources (approche par les risques) a
rapidement gagné en popularité. Dans les années 1990, des orga-
nisations se sont mises à sous-traiter les activités d'audit interne
auprès de prestataires externes. Le temps consacré aux activités
traditionnelles d'audit a été spectaculairement révisé à la baisse,
tandis que l'on se consacrait de plus en plus à l'efficacité et à l'ef-
ficience des opérations. Aux États-Unis en particulier, des presta-
tions d'audit interne non traditionnelles, comme les programmes
d'auto-évaluation du contrôle interne, les formations sur le contrôle
interne, les conseils concernant les projets de mise en oeuvre de
systèmes, ainsi que les autres activités de conseil, se sont mises à
absorber une part croissante des ressources d'audit interne. Les
Normes de 1978 n'étaient pas adaptées à ce nouvel environnement.

Reconnaissant le rôle important du Statement of Responsibilities, du

Code de déontologie et surtout des Normes de 1978 dans l'évolution
de cette profession internationale qu'était devenu l'audit interne,
l'Institut a mis en place, en 1997, un groupe de travail (Guidance
Task Force) chargé d'étudier les besoins et les mécanismes de
communication des orientations pour l'avenir. Après plus d'un an de
travaux, ce groupe a présenté son rapport, intitulé A Vision for the
Future: Professional Practices Framework for Internai Auditing (« Une
vision pour l'avenir : le Cadre de Référence des Pratiques
Professionnelles de l'audit interne »). Ce rapport proposait une nou-
velle définition de l'audit interne, destinée à remplacer celle conte-
nue dans le Statement of Responsibilities, ainsi qu'une nouvelle
structure permettant de communiquer rapidement des orientations
pertinentes pour la profession. Cette nouvelle définition et cette
structure ont été adoptées en 1999. Leur application a commencé
avec la révision du Code de déontologie en 2000 et l'achèvement de
la rédaction des nouvelles Normes internationales pour la pratique
professionnelle de l'audit interne (les Normes) en 2002.

En 2006, les Normes étaient adoptées au plan mondial, avec des tra-
ductions autorisées dans 32 langues. En outre, de plus en plus de

MANUEL D'AUDIT INTERNE

 pays et de juridictions sur la planète ont intégré les Normes dans des dispositions
des textes de loi et des règlements. Étant donné le statut et la obligatoires est jugé
reconnaissance grandissants de ces lignes directrices, les Instituts fondamental.
ont ressenti le besoin de s'assurer qu'elles étaient claires, L'élaboration de ces
d'actualité, pertinentes et cohérentes à l'échelle internationale. Le dispositions suit un
processus de leur élaboration devait également être suffisamment processus rigoureux, qui
réactif aux besoins de la profession et d'une transparence qui compte notamment une
convienne aux parties prenantes. Un groupe de travail et un période de consultation
comité de pilotage ont été mis en place dans l'optique de réviser la publique. Les dispositions
structure des lignes directrices existantes, ainsi que leur processus fortement recommandées
d'élaboration, de révision et de publication. Cette révision a donné décrivent les pratiques qui
lieu à un nouveau Cadre de référence international des pratiques sous-tendent une mise en
professionnelles (CRIPP) et à la réorganisation du processus oeuvre efficace des
d'élaboration des lignes directrices. Un nouveau groupe, le conseil principes énoncés dans la
de surveillance du CRIPP (IPPF Over-sight Council), composé définition, le Code de
essentiellement de parties prenantes extérieures, a également été déontologie et les
créé, avec pour mission de superviser la définition des lignes Normes. L'ensemble des
directrices incontournables. Instituts d'audit interne
approuve ces dispositions
et incite vivement les
parties prenantes à les
LE CADRE DE RÉFÉRENCE INTERNATIONAL
respecter, tout en
DES PRATIQUES PROFESSIONNELLES
reconnaissant qu'il peut
exister d'autres pratiques
Les composantes du CRIPP sont présentées dans l'encadré 2-1. efficaces. Le processus
Seul cadre de référence reconnu partout dans le monde pour la d'élaboration des
profession d'audit interne, le CRIPP renferme des éléments jugés dispositions fortement
essentiels dès lors que l'on veut exécuter des activités d'audit recommandées est, lui,
interne. Il décrit les compétences dont doivent disposer les moins long, moins
auditeurs internes, les caractéristiques du service qui effectue ces contraignant et plus
activités, la nature des missions d'audit interne et les critères de rapide, car, dans la
qualité permettant de mesurer la performance de ces activités. Le mesure où il ne s'agit pas
CRIPP offre donc des lignes directrices à la profession et définit les de dispositions
attentes des parties prenantes vis-à-vis de la réalisation des obligatoires, elles peuvent
activités d'audit interne. faire l'objet d'une période
de consultation moins
Le CRIPP comporte à la fois des dispositions obligatoires
Copyright © 2015 Eyrolles.

longue par les parties

(définition de l'audit interne, Code de déontologie et Normes) et prenantes.
des dispositions fortement recommandées (Modalités Pratiques
d'Application, prises de position et guides pratiques). Le respect
Cadre de
référence
international
des pratiques
professionnelles
(CRIPP)
Seules lignes
directrices reconnues
partout dans
le monde pour
la profession d'audit
interne. Le CRIPP
est téléchargeable sur
le site de l'IIA
([Link])
et sur le site des
Instituts nationaux
tels que l'IFACI
([Link]).

LE CADRE DE RÉFÉRENCE INTERNATIONAL DES PRATIQUES PROFESSIONNELLES II 2-5

Le CRIPP englobe la totalité des lignes directrices de l'audit
interne publiées par l'IIA et en facilite l'accès pour les profession-
nels de l'audit interne du monde entier. Il constitue le fondement
qui permet à l'audit interne d'exercer ses fonctions et d'assumer
efficacement ses responsabilités. Reflet de la nature mondiale de
la profession d'audit interne, le CRIPP est accepté dans la plupart
des pays, grâce aux traductions officielles de la définition de
l'audit interne, du Code de déontologie et des Normes réalisées
par les Instituts nationaux dans plus de 25 langues.

LE CADRE DE RÉFÉRENCE INTERNATIONAL

DES PRATIQUES PROFESSIONNELLES
Source : [Link]

Cadre de référence
international des
pratiques
professionnelles

Modalités
Pratiques
d'Application

MANUEL D'AUDIT INTERNE

 DISPOSITIONS OBLIGATOIRES

La définition

Le CRIPP donne la définition suivante de l'audit interne :

L'audit interne est une activité indépendante et objective qui

donne à une organisation une assurance sur le degré de maîtrise
de ses opérations, lui apporte ses conseils pour les améliorer, et
contribue à créer de la valeur ajoutée. Il aide cette organisation à
atteindre ses objectifs en évaluant, par une approche systéma-
tique et méthodique, ses processus de management des risques,
de contrôle, et de gouvernement d'entreprise, et en faisant des
propositions pour renforcer leur efficacité.

Cette définition souligne que l'objectif ultime de l'audit interne en

général, et de chaque auditeur interne en particulier, est de créer
de la valeur ajoutée pour l'organisation au moyen d'activités
d'assurance et de conseil. Plus particulièrement, ces activités
permettent de créer de la valeur ajoutée grâce à l'évaluation et
l'amélioration de l'efficacité des processus de gestion des risques,
de contrôle et de gouvernance de l'organisation. Pour la plupart
des organisations, la création de valeur ajoutée n'est évidemment
pas une option. Le management exige de toutes les fonctions de
l'organisation qu'elles créent de la valeur ajoutée avec
transparence. En énonçant expressément que l'audit interne
contribue à créer de la valeur ajoutée et apporte ses conseils pour
améliorer ces processus, la définition ci-dessus met l'accent sur
l'engagement de la profession à répondre aux besoins de
l'organisation.

Toutefois, étant donné que, par leur nature, les activités de l'audit
interne n'ont pas un impact aussi direct que celles des autres fonc-
tions de l'organisation sur les résultats, l'audit interne doit être
capable d'expliquer clairement au management et aux autres
parties prenantes comment il crée de la valeur ajoutée. Pour ce
faire, l'IIA a élaboré une illustration représentant la proposition de
valeur de l'audit interne (encadré 2-2 en page suivante). Cette
Copyright © 2015

illustration décrit de manière succincte comment les concepts

contenus dans la définition de l'audit interne s'associent pour créer
de la valeur ajoutée.
Eyrolles.

La référence faite à l'indépendance et à l'objectivité, ainsi qu'à

l'approche systématique et méthodique adoptée par la
profession, forme la base des activités d'audit interne. Ces
éléments sont détaillés dans les composantes du CRIPP.

Le Code de déontologie

Le Code de déontologie a pour objectif déclaré de promouvoir

une culture de l'éthique dans la profession d'audit interne. Il
comporte
LE CADRE DE RÉFÉRENCE INTERNATIONAL DES PRATIQUES PROFESSIONNELLES II 2-7
ENCADRÉ 2-2 LA VALEUR DE L'AUDIT INTERNE
POUR LES PARTIES PRENANTES

En tant qu'organisation, vous savez qu'il est essentiel de mettre en place

une gou-vernance, un système de gestion des risques et des dispositifs de
contrôle interne efficaces pour assurer la réussite et la pérennité de
l'organisation. L'audit interne aide la direction générale et l'organe de
gouvernance (par exemple le Conseil, le comité d'audit, les entités
publiques) à s'acquitter de leurs responsabilités, en éva luant, par une
approche systématique et méthodique, l'efficacité du système de contrôle
interne et des processus de gestion des risques en termes de conception
et d'exécution.

Qu'êtes-vous en droit d'attendre de votre service d'audit interne ?

Quelles sont les caractéristiques d'un service d'audit interne mature ?

Quelle valeur unique l'audit interne apporte-t-il spécifiquement aux
parties prenantes ? Votre service d'audit interne est-il à la hauteur de

Assuranc Audit interne = Assurance,

point de vue et objectivité

Les organes de gouvernance et

Audit
la direction générale comptent
sur l'audit interne pour donner
Point de Objectivité une assurance et un point de
vue objectifs sur l'efficacité et
l'efficience des processus de
gouver-nance, de gestion des
risques et de contrôle interne.

Gouvernanc Catalyseu Pointde

e r vue
Assurance

Contrôl
Gestion des e Assurance =
risques Gouvernante,
gestion des risques
et contrôle
L'audit interne donne
une assurance sur les
processus de
gouvernance, de gestion
des risques et de
contrôle de
l'organisation, afin
d'aider cette dernière à
atteindre ses objectifs
liés à la stratégie, aux
opérations, au reporting
et à la conformité.

Mautz, R. K. et Hussein A. Sharaf, The Philosophy of Auditing (Sarasota, Floride :

American Accounting Association, 1961, p. 14).

2-8 II MANUEL D'A UDIT INTERNE

Analyses Évaluations Intégrité

' 4 1 1 11.10e%111111. Objectivité

DevoirIndépendance
de rendre
Point de vue = Cata-
lyseur, analyses compte . 1111.
et évaluations
L'audit interne agit comme un
Objectivité = Intégrité,
catalyseur permettant d'améliorer
devoir de rendre compte
l'efficacité et l'efficience d'une
et indépendance
organisation, grâce à un point de
En faisant preuve
vue et des recommandations fondés
d'intégrité et en
sur des analyses et des évaluations
assumant son devoir
des informations et des processus
de rendre compte,
opérationnels.
l'audit interne crée de
la valeur ajoutée pour
les organes de
gouvernance et la
direction générale, car
il constitue une source
de conseils objective
et indépendante.
 deux volets : des principes fondamentaux et des règles de
conduite. Il va au-delà de la définition de l'audit interne, en
précisant les compétences et les comportements indispensables
chez toute personne exerçant des activités d'audit interne.

Les principes fondamentaux expriment quatre idéaux que les

professionnels de l'audit interne doivent chercher à préserver
lorsqu'ils mènent leurs travaux et qui représentent des valeurs
clés auxquelles les auditeurs internes doivent se tenir s'ils
veulent gagner la confiance de ceux qui se fient à leurs services.
Les règles de conduite décrivent douze normes
comportementales auxquelles les auditeurs internes doivent se
conformer pour mettre en oeuvre ces principes. Les points de
vue peuvent certes diverger sur le fait que telle ou telle mission
d'audit interne sera plus avantageusement exécutée par des
prestataires internes ou externes, mais il est difficile d'imaginer
que les professionnels de l'audit interne puissent s'écarter des
quatre principes et douze règles de conduite décrits ci-après.

Intégrité — D'après le Code de déontologie, « l'intégrité des Intégrité

auditeurs internes est à la base de la confiance et de la crédibilité
Qualité à la base
accordées à leur jugement ».
de la confiance
et de la crédibilité
Les règles de conduite associées au principe d'intégrité accordées au
énoncent que « les auditeurs internes : jugement des
auditeurs internes.
· doivent accomplir leur mission avec honnêteté, diligence
et responsabilité ;
· doivent respecter la loi et faire les révélations requises par
les lois et les règles de la profession ;
· ne doivent pas sciemment prendre part à des activités
illégales ou s'engager dans des actes déshonorants pour la
profession d'audit interne ou leur organisation ;
· doivent respecter et contribuer aux objectifs éthiques et
légitimes de leur organisation ».
Copyright © 2015 Eyrolles.

L'intégrité correspond au « droit d'entrée » des auditeurs

internes. Elle est si fondamentale que, sans elle, il est impossible
d'exercer la profession d'audit interne. En effet, quelle confiance
une partie prenante pourrait-elle accorder à un rapport d'audit
interne qui contiendrait des affirmations intentionnellement
erronées ou trompeuses ? Ou encore, une partie prenante
serait-elle rassurée si un auditeur interne avait été licencié de
son précédent emploi pour avoir fraudé ? Les auditeurs internes
Objectivité
doivent se conformer aux valeurs éthiques de l'organisation afin
de gagner la confiance et le respect nécessaires pour s'acquitter Les auditeurs internes
de leurs responsabilités professionnelles. ne se laissent pas
influencer dans leur
Objectivité — Le Code de déontologie requiert que « les jugement par leurs
auditeurs internes montrent le plus haut degré d'objectivité propres intérêts ou par
professionnelle autrui.

LE CADRE DE RÉFÉRENCE INTERNATIONAL DES PRATIQUES PROFESSIONNELLES Il 2-9

 en collectant, évaluant et communiquant les informations
relatives à l'activité ou au processus examiné. Les auditeurs
internes évaluent de manière équitable tous les éléments
pertinents et ne se laissent pas influencer dans leur jugement
par leurs propres intérêts ou par autrui. »

Les règles de conduite associées au principe d'objectivité

énoncent que « les auditeurs internes :
· ne doivent pas prendre part à des activités ou établir des rela-
tions qui pourraient compromettre ou risquer de
compromettre le caractère impartial de leur jugement. Ce
principe vaut également pour les activités ou relations
d'affaires qui pourraient entrer en conflit avec les intérêts de
leur organisation ;
· ne doivent rien accepter qui pourrait compromettre ou
risquer de compromettre leur jugement professionnel ;
· doivent révéler tous les faits matériels dont ils ont
connaissance et qui, s'ils n'étaient pas révélés, auraient pour
conséquence de fausser le rapport sur les activités examinées
».

L'objectivité est une qualité fondamentale de l'audit interne.

Lorsqu'ils réalisent leurs travaux, il est impératif que les
auditeurs internes soient conscients des menaces potentielles
qui pèsent sur leur objectivité, comme leurs relations
personnelles ou les conflits d'intérêts. Ainsi, accepter des
cadeaux de la part des audités, audi-ter une entité dans laquelle
travaille son conjoint ou s'entendre avec le manager de la
division pour être muté dans la division examinée à la fin de
l'audit, serait perçu comme une atteinte à l'objectivité de
l'auditeur interne. De surcroît, les auditeurs internes doivent
être objectifs dans leurs communications et éviter les for-
mulations trompeuses. Par exemple, il est inadéquat d'affirmer
que les contrôles sur les stocks présentent le même niveau
d'efficacité que lors du dernier audit, en omettant de préciser
Confidentialité
que lors du dernier audit, on avait jugé que les activités de
Les auditeurs internes contrôle n'étaient pas satisfaisantes.
ne divulguent les
informations qu'ils Confidentialité — Le Code de déontologie exige en outre que «
reçoivent qu'avec les les auditeurs internes respectent la valeur et la propriété des
autorisations requises, informations qu'ils reçoivent ; ils ne divulguent ces informations
à moins qu'une qu'avec les autorisations requises, à moins qu'une obligation
obligation légale ou
légale ou professionnelle ne les oblige à le faire ».
professionnelle ne les
oblige à le faire.
Les règles de conduite associées au principe de confidentialité
énoncent que « les auditeurs internes :
· doivent utiliser avec prudence et protéger les informations
recueillies dans le cadre de leurs activités ;
· ne doivent pas utiliser ces informations pour en retirer un
bénéfice personnel, ou d'une manière qui contreviendrait
aux dispositions légales ou porterait préjudice aux objectifs
éthiques et légitimes de leur organisation ».
2-10 II MANUEL D'AUDIT INTERNE
 Pour réaliser ses travaux, l'auditeur interne a besoin d'un accès valides. C'est pourquoi il
illimité à toutes les données pertinentes. Pour lui accorder cet existe des normes
accès, le management doit pouvoir être certain que l'auditeur spécifiques qui imposent
interne ne communiquera pas ou n'utilisera pas ces données aux auditeurs internes
d'une façon qui nuise à l'organisation, viole la législation ou la d'enrichir en permanence
réglementation ou qui se traduise par des gains personnels. De leurs compétences et
même, l'auditeur interne doit protéger les données en sa leurs connaissances.
possession et veiller à ce que les informations confidentielles ne
soient pas divulguées par inadvertance à des parties qui ne Le Code de déontologie
doivent pas en avoir connaissance. Ainsi, l'auditeur doit utiliser s'applique à toutes les
des mots de passe, codages et autres mesures de sécurité s'il a personnes et à toutes les
enregistré dans son ordinateur portable des informations entités qui fournissent des
personnelles identifiables. Dans le même ordre d'idées, un services d'audit interne, et
auditeur interne qui détient des informations confidentielles pas uniquement aux
importantes ne peut les communiquer à des tiers ou les utiliser à membres des Instituts
des fins personnelles (délit d'initié). d'audit interne ou aux
titulaires d'une
Compétence — Enfin, le Code de déontologie exige que « les certification
auditeurs internes utilisent et appliquent les connaissances, les professionnelle telle que le
savoir-faire et expériences requis pour la réalisation de leurs CIA. Cependant, les
travaux ». Instituts n'ont de pouvoir,
en cas d'infraction, que
Les règles de conduite associées au principe de compétence sur leurs membres et les
énoncent que « les auditeurs internes : titulaires de ces
certifications profession-
· ne doivent s'engager que dans des travaux pour lesquels ils
nelles. Toute personne
ont les connaissances, le savoir-faire et l'expérience
relevant de l'autorité de
nécessaires ;
l'Institut et qui violerait le
· doivent réaliser leurs travaux d'audit interne dans le Code de déontologie est
respect des Normes internationales pour la pratique passible de blâme, de
professionnelle de l'audit interne ; suspension de son
adhésion ainsi que de
· doivent toujours s'efforcer d'améliorer leur compétence,
radiation et/ou de
l'efficacité et la qualité de leurs travaux ».
révocation de la
certification, selon la
Les activités d'audit interne peuvent être effectuées par des per-
décision du comité de
sonnes qui font preuve d'intégrité, d'objectivité et de
Copyright © 2015 Eyrolles.

déontologie des Instituts.

confidentialité, mais ces activités n'auront guère de valeur si ces
Il convient également de
personnes n'ont pas les connaissances et les qualifications
noter que le fait qu'un
requises pour accomplir ce travail et en tirer des conclusions
comportement
Compétence
Les auditeurs internes
utilisent et appliquent les
connaissances, les savoir-
faire et expériences requis
pour la réalisation de leurs
travaux.

LE CADRE DE RÉFÉRENCE INTERNATIONAL DES PRATIQUES PROFESSIONNELLES II 2-11

 donné ne figure pas explicitement dans les règles de conduite ne
l'empêche pas d'être inacceptable ou déshonorant, et peut donc
entraîner une action disciplinaire à l'encontre de la personne qui
s'en est rendue coupable.

Les Normes internationales pour la pratique

professionnelle de l'audit interne

Les principes fondamentaux de l'audit interne sont mis en

exergue dans les Normes de l'IIA. L'introduction aux Normes
reconnaît que
«l'audit interne est exercé dans différents environnements juri-
diques et culturels ainsi que dans des organisations dont l'objet,
la taille, la complexité et la structure sont divers. Il peut être en
outre exercé par des professionnels de l'audit, internes ou
externes à l'organisation ». Si les différences entre les
organisations peuvent influencer la pratique de l'audit interne, «
il est essentiel de se conformer aux [Normes] pour que les
auditeurs internes et l'audit interne s'acquittent de leurs
responsabilités ».

L'introduction aux Normes souligne en outre que « les Normes

s'appliquent aux auditeurs internes et à l'activité d'audit interne ».
Tous les auditeurs internes ont la responsabilité de se conformer
aux Normes relatives à l'objectivité, aux compétences et à la
conscience professionnelle individuelles. De plus, ils doivent se
conformer aux Normes relatives aux responsabilités associées à
leur poste. Les responsables de l'audit interne « ont la
responsabilité d'assurer la conformité globale de l'activité d'audit
Les Normes interne avec les Normes et d'en rendre compte ».
Principes obligatoires
constitués «Les Normes ont pour objet :

de déclarations et · de définir les principes fondamentaux de la pratique de

d'interprétations. l'audit interne ;
· de fournir un cadre de référence pour la réalisation et la
promotion d'un large champ d'intervention d'audit interne
à valeur ajoutée ;
· d'établir les critères d'appréciation du fonctionnement de
l'audit interne ;
· de favoriser l'amélioration des processus organisationnels
et des opérations » (Introduction aux Normes).
«Les Normes sont des principes obligatoires constitués :
· de déclarations sur les conditions fondamentales pour la pra-
tique professionnelle de l'audit interne et pour l'évaluation
de sa performance. Elles sont internationales et applicables
tant au niveau du service qu'au niveau individuel ;
· d'interprétations clarifiant les termes et les concepts
utilisés dans les déclarations. »
2-12 II MANUEL D'AUDIT INTERNE
 Ainsi, dans la Norme 2040, Règles et procédures, la déclaration Norme de qualification ou
est : « Le responsable de l'audit interne doit établir des règles et de fonctionnement à
procédures fournissant un cadre à l'activité d'audit interne ». L'in- laquelle elles renvoient, et
terprétation est : « La forme et le contenu des règles et leur code comporte un « A
procédures dépendent de la taille, de la manière dont est » si elles ont trait à des
structuré l'audit interne et de la complexité de ses travaux ». activités d'assurance, et
Dans ce cas, l'interprétation explique que la forme et le contenu un « C » s'il s'agit
adéquats des règles et procédures varient d'une fonction d'audit d'activités de conseil. Ce
interne à l'autre en raison de la taille, de la structure de système de numérotation
l'organisation et du type d'activité. est synthétisé à l'encadré
2.3.
Les Normes incluent un glossaire des termes utilisés dans un
sens spécifique. Les déclarations, leurs interprétations et les
termes définis dans le glossaire doivent être considérés ensemble Les activités
si l'on veut comprendre et appliquer les Normes correctement. d'assurance et de
Les Normes sont reproduites dans leur intégralité à l'annexe A de conseil
ce manuel.
Les deux catégories
Il existe trois types de Normes : d'activités d'audit
· les Normes de qualification, qui « énoncent les caractéris- interne, les activités de
tiques que doivent présenter les organisations et les conseil et d'assurance,
personnes accomplissant des missions d'audit interne » ; ont été présentées dans
le chapitre 1, Intro-
· les Normes de fonctionnement, qui « décrivent la nature duction à l'audit interne.
des missions d'audit interne et définissent des critères de Le glossaire contenu
qualité permettant de mesurer la performance des services dans les Normes les
fournis » ; définit comme suit :
· les Normes de mise en oeuvre, qui « précisent les · activités
Normes de qualification et les Normes de fonctionnement d'assurance — II
en indiquant les exigences applicables dans les activités s'agit d'un examen
d'assurance (A) ou de conseil (C) » (Introduction aux objectif d'éléments
Normes). probants, effectué en
vue de fournir à
Les Normes sont organisées à l'aide d'un système de nombres et
l'organisation une
de lettres. Les Normes de qualification forment la série des 1000
évaluation
et les Normes de fonctionnement la série des 2000. Les Normes
indépendante des
Copyright © 2015 Eyrolles.

de qualification comme les Normes de fonctionnement

processus de
s'appliquent à la fois aux activités d'assurance et de conseil. Les
gouvernement
Normes de mise en oeuvre sont présentées directement sous la
Trois types
de Normes
- Normes
de qualification.
- Normes de
fonctionnement.
- Normes de mise
en oeuvre.

LE CADRE DE RÉFÉRENCE INTERNATIONAL DES PRATIQUES PROFESSIONNELLES II 2-13

 d'entreprise, de management des risques et de contrôle. Par
exemple entrent dans cette catégorie les audits financiers, de
performance, de conformité, de sécurité des systèmes et de due
diligence ;
te activités de conseil - Il s'agit des conseils et services y afférents
rendus au client donneur d'ordre, dont la nature et le champ sont
convenus au préalable avec lui. Ces activités ont pour objectifs de
créer de la valeur ajoutée et d'améliorer les processus de
gouvernement d'entreprise, de management des risques et de
contrôle d'une organisation sans que l'auditeur interne n'assume
aucune responsabilité de management. Quelques exemples : avis,
conseil, assistance et formation.

ILLUSTRATION DU SYSTÈME DE NUMÉROTATION

ENCADRÉ 2-3 UTILISÉ DANS LES NORMES

La
r
1220 - Conscience professionnelle

Les auditeurs internes doivent apporter à leur travail la diligence et le savoir-

faire que l'on peut attendre d'un auditeur interne raisonnablement averti et
compétent. La conscience professionnelle n'implique pas l'infaillibilité.

1220.A3 - Les auditeurs internes doivent exercer une vigilance particulière à

l'égard des risques significatifs susceptibles d'affecter les objectifs, les
opérations ou les ressources. Toutefois, les procédures d'audit seules, même
lorsqu'elles sont menées avec la conscience professionnelle requise, ne

C Activités
d'assurance )
_
1220.A
3
Compétence et
conscience
professionnelle

différence d'objectif entre ces deux types d'activités est claire. Les
activités d'assurance permettent de procurer des évaluations
indépendantes. Les missions de conseil ont pour but d'apporter des
services de conseil, de formation et d'assistance.

En revanche, la différence de structure entre ces deux types d'acti-

vités n'est pas aussi évidente ; elle est illustrée dans l'encadré 2-4.

2-14 II MANUEL D'A UDIT INTERNE

 · la partie qui procède à
l'évaluation, à savoir
la fonction d'audit
interne ;
· la partie/les parties
ACTIVITÉS D'ASSURANCE ET DE CONSEIL qui utilise(nt)
l'évaluation, à savoir
l'utilisateur ou les
utilisateurs.

Ces derniers ne
participent pas
directement à la mission
et, dans certains cas, ne
sont pas identifiés
explicitement.

La relative complexité des

missions d'assurance se
reflète dans les Normes.
L'audit interne doit
planifier et accomplir une
mission d'assurance et en
rapporter les résultats
d'une façon qui satisfasse
La structure des missions de conseil est relativement simple. les besoins des tiers
Ces missions font en général intervenir deux parties : utilisateurs qui ne
participent pas
· la partie sollicitant et recevant le conseil, à savoir le client ;
directement à la mission.
· la partie qui fournit le conseil, à savoir l'audit interne. En outre, l'audit interne
doit prendre soin d'éviter
L'audit interne travaille directement avec le client afin d'ajuster la tout conflit d'intérêts
mission, de sorte qu'elle réponde aux besoins du client. La éventuel avec ces
structure des missions d'assurance est plus complexe. Elles font utilisateurs. Les Normes et
généralement intervenir trois parties : le Code de déontologie
mettent en exergue la
· la partie directement responsable du processus, du
nécessité de faire
système ou autre faisant l'objet de l'évaluation, à savoir
correspondre les intérêts
l'audité ;
des prestataires d'activités
d'assurance et
Copyright © 2015 Eyrolles.
 ENCADRÉ 2-4

LE CADRE DE RÉFÉRENCE INTERNATIONAL DES PRATIQUES PROFESSIONNELLES 'I 2-15

ceux des utilisateurs tiers. En conséquence, les Normes de mise
en oeuvre pour les activités d'assurance sont plus exigeantes et
plus nombreuses que celles relatives aux activités de conseil.

Si les Normes distinguent les activités d'assurance et les activités de

conseil, les missions ont généralement trait, dans la pratique, à des
activités d'assurance et d'amélioration opérationnelle. La proposition
de valeur (encadré 2-2) peut s'appliquer tant au niveau de la fonction
qu'au niveau de la mission. Au niveau de la mission, la valeur ajoutée
résulte d'une assurance et d'un point de vue objectifs. Bien que
certaines missions visent essentiellement à donner une assurance,
elles peuvent également offrir un point de vue à travers des
recommandations et des conseils destinés au management. De
même, si les missions de conseil visent essentiellement à offrir un
point de vue sur une opération ou un processus, elles peuvent égale-
ment donner au minimum une assurance limitée concernant l'effica-
cité de la gestion des risques dans le domaine considéré. S'agissant
des Normes de mise en oeuvre applicables, si l'objectif principal de la
mission consiste à donner une assurance, ce sont les Normes de mise
en oeuvre relatives à l'assurance qui s'appliqueront. En revanche, si
l'objectif principal de la mission consiste à offrir un point de vue (c'est-
à-dire améliorer l'efficacité et l'efficience de l'organisation), ce sont les
Normes de mise en oeuvre relatives au conseil qui s'appliqueront,
étant précisé que, dans pareil cas, le niveau d'assurance obtenu sera
moindre si les Normes de mise en oeuvre relatives à l'assurance ne
sont pas appliquées. Certaines missions sont parfois organisées de
telle manière que les objectifs sont significatifs, tant en termes
d'assurance que de point de vue. Ces missions sont appelées «
missions mixtes ». Le chapitre 15 traite des problématiques liées à
l'organisation des missions mixtes.

L'analyse qui suit sur les Normes de qualification et les Normes de

fonctionnement portera aussi sur les Normes de mise en oeuvre.

Les Normes de qualification

Les Normes de qualification, qui traitent des caractéristiques que

les fonctions d'audit interne et chaque auditeur interne doivent
posséder pour mener à bien des activités d'audit interne
efficaces, se répartissent en quatre grandes catégories :
· 1000 — Mission, pouvoirs et responsabilités ;
· 1100 — Indépendance et objectivité ;
· 1200 — Compétence et conscience professionnelle ;
· 1300 — Programme d'assurance et d'amélioration qualité.

Mission, pouvoirs et responsabilités. L'audit interne doit être

doté d'une charte qui énonce clairement la mission, les pouvoirs

MANUEL D'AUDIT INTERNE

 et les responsabilités de l'audit interne, et qui précise la nature des
activités d'assurance et de conseil réalisées par l'audit interne.
Cette charte doit également prendre acte de la responsabilité qu'a
l'audit interne de respecter la définition de l'audit interne, le Code
de déontologie ainsi que les Normes. Ces informations peuvent
prendre la forme d'un contrat de service lorsque les activités
d'audit interne sont externalisées. Le responsable de l'audit interne
« doit revoir périodiquement la charte d'audit interne et la
soumettre à l'approbation de la direction générale et du Conseil »
(Norme 1000, Mission, pouvoirs et responsabilités). L'approbation
finale de la charte relève du Conseil. La charte d'audit interne est
présentée en détail dans le chapitre 9, La gestion de l'audit
interne.
Indépendance
Indépendance et objectivité. « L'audit interne doit être
Capacité de l'audit
indépendant et les auditeurs internes doivent effectuer leurs
interne à n'être
travaux avec objectivité » (Norme 1100, Indépendance et exposé à aucune
objectivité). Le glossaire des Normes définit l'indépendance et situation susceptible
l'objectivité comme suit : d'altérer, en réalité
ou en apparence,
Indépendance. Capacité de l'audit interne à assumer, de
l'objectivité.
manière impartiale, ses responsabilités.
Objectivité. Attitude impartiale qui permet aux auditeurs Objectivité
internes d'accomplir leurs missions de telle sorte qu'ils soient Attitude impartiale.
certains de la qualité de leurs travaux menés sans le moindre
compromis. L'objectivité implique que les auditeurs internes ne
subordonnent pas leur propre jugement à celui d'autres
personnes.

Il importe de noter qu'indépendance et objectivité sont deux

notions distinctes, mais interdépendantes, essentielles à la
prestation de services d'audit interne qui créent de la valeur
ajoutée : la fonction d'audit interne doit être indépendante et
chaque auditeur interne doit être objectif. Si l'indépendance est
une caractéristique de la fonction d'audit interne, l'objectivité est
une caractéristique de l'auditeur interne. Cette distinction est
Copyright © 2015 Eyrolles.

subtile, mais néanmoins extrêmement importante.

Le degré d'indépendance de l'audit interne dépend du statut rela-

tif de ce service dans l'organisation. La Norme 1110,
Indépendance dans l'organisation, indique que « le responsable de
l'audit interne doit relever d'un niveau hiérarchique suffisant au
sein de l'organisation pour permettre au service d'audit interne
d'exercer ses responsabilités [et] doit confirmer au Conseil, au
moins annuellement, l'indépendance de l'audit interne au sein de
l'organisation ». La Norme 1111, Relation directe avec le Conseil,
précise que le responsable de l'audit interne doit « pouvoir
communiquer et dialoguer directement avec le Conseil ».
Positionner la fonction d'audit interne à un niveau élevé dans
l'organisation permet d'élargir le champ de l'audit et favorise une
prise en compte adéquate des résultats de la mission. À l'inverse,
positionner la fonction d'audit interne plus bas dans l'organisation
augmente sensiblement le
LE CADRE DE RÉFÉRENCE INTERNATIONAL DES PRATIQUES PROFESSIONNELLES II

2-17
risque que des conflits d'intérêts n'entravent la capacité de
l'audit interne à fournir des évaluations et des conseils objectifs.
Ainsi, une fonction d'audit interne qui serait rattachée au
contrôleur de gestion ayant la responsabilité de l'adéquation de
la conception des contrôles relatifs au reporting financier et de
leur fonctionnement effectif aurait du mal à évaluer avec
objectivité ces contrôles.

LES TROIS PILIERS D'UN AUDIT INTERNE EFFICACE

Audit interne efficace

Conscience professionnelle

______________________________________J
Compétence
Indépendance et
objectivité

Comme le montre l'encadré 2-5, l'indépendance/l'objectivité est

l'un des trois piliers sur lesquels repose l'efficacité de l'audit
interne. L'indépendance de l'audit interne vis-à-vis de
l'organisation favorise l'objectivité des auditeurs internes.
L'objectivité est un état d'esprit et elle est définie comme
l'absence de préjugés. Elle suppose le recours à des faits, sans
déformation induite par les sentiments ou les préjugés
personnels.2 Dans la pratique, cela revient à affirmer que, face à
des faits et des circonstances identiques, deux personnes
disposant du même niveau de savoir-faire doivent tirer des
conclusions identiques.

Des conflits d'intérêts peuvent entraver l'indépendance et

l'objectivité. Un conflit d'intérêts est une « situation dans
laquelle un auditeur interne, qui jouit d'une position de
confiance, a un intérêt personnel ou professionnel venant en
concurrence avec ses devoirs et responsabilités » (Interprétation
de la Norme 1120, Objectivité

MANUEL D'AUDIT INTERNE

 individuelle). Les conflits d'intérêts potentiels résultent souvent d'un
concours de circonstances. Des exemples sont cités ci-après.
· On demande au manager d'un service de l'organisation de
devenir responsable de l'audit interne.
· Un collaborateur intègre le service d'audit interne après avoir
travaillé dans un autre service de l'organisation, ou bien il doit
passer par le service d'audit interne dans le cadre de sa
formation.
· On demande à un auditeur interne spécialisé en comptabilité
d'accepter temporairement un poste dans un service
comptable.
· On demande à un auditeur interne ayant une expérience
de gestion d'occuper un poste opérationnel vacant le
temps que l'organisation trouve un remplaçant
convenable.
· On demande à un auditeur interne de concevoir des règles et
des procédures de contrôle dans un service de l'organisation
qui ne dispose pas de l'expertise requise pour combler les
déficiences de contrôle existantes.
· Le responsable de l'audit interne gère, outre l'audit
interne, des fonctions telles que la gestion des risques, la
sécurité ou la conformité.

Les menaces planant sur l'indépendance et l'objectivité découlant de

l'activité peuvent s'expliquer par la nature même du travail. Ainsi, une
personne qui est récemment entrée dans le service d'audit interne peut
se voir demander d'auditer le service dont elle était précédemment
responsable. Dans les faits, elle devrait alors audi-ter son propre travail.

Dans une telle situation, l'objectivité est compromise, car on a parfois du

mal à voir ou à admettre les déficiences ou les erreurs de son propre
travail. Les êtres humains se caractérisent par un biais inconscient à servir
leurs propres intérêts, qui représente une faiblesse cognitive. Ainsi, des
études ont montré qu'il est beaucoup plus difficile de détecter les
faiblesses des systèmes que l'on a soi-même conçus, que les failles dans
les systèmes conçus par d'autres.3
Copyright © 2015

L'indépendance et l'objectivité peuvent également être mises à mal par

des incitations ou des relations personnelles. Les incitations font
référence à des situations dans lesquelles l'auditeur interne a un intérêt
Eyrolles.

économique aux résultats de son travail, susceptible d'altérer son

jugement. Quelques exemples de telles situations sont présentés ci-
après.
· Le management de l'audité promet à l'auditeur interne de
lui offrir un poste ou d'appuyer sa promotion si la mission
se passe bien et si aucun problème n'est décelé.
· Un manager ou un collaborateur offre un cadeau ou rend
un service à un auditeur interne, faisant ainsi pression sur
ce dernier pour qu'il lui rende la pareille.

LE CADRE DE RÉFÉRENCE INTERNATIONAL DES PRATIQUES PROFESSIONNELLES 'I 2-19

 · La structure de rémunération au sein de l'audit interne
accorde des primes en fonction du nombre d'observations
que les auditeurs internes intègrent dans leurs rapports.

Les relations personnelles peuvent être source de conflits

d'intérêts lorsque les auditeurs internes effectuent des missions
dans des services de l'organisation au sein desquels des parents
ou des amis proches travaillent. À cause de ces relations, les
auditeurs internes peuvent être tentés de fermer les yeux sur
certains problèmes ou d'atténuer des conclusions négatives.

Conflit d'intérêts Le responsable de l'audit interne est chargé de protéger la

fonction d'audit interne d'éventuels conflits d'intérêts. La Norme
Toute relation qui n'est
1130.A1 reconnaît que « les auditeurs internes doivent s'abstenir
pas ou ne semble pas
être dans l'intérêt de
d'auditer des opérations particulières dont ils étaient auparavant
l'organisation. responsables. L'objectivité d'un auditeur interne est présumée
altérée lorsqu'il réalise une mission d'assurance pour une activité
dont il a eu la responsabilité au cours de l'année précédente ». La
Norme 1130. A2 indique que « les missions d'assurance
concernant des fonctions dont le responsable de l'audit a la
charge doivent être supervisées par une personne ne relevant
pas de l'audit interne ».

Les normes ayant trait aux activités de conseil ne sont pas aussi
strictes. La Norme 1130.C1 énonce que « les auditeurs internes
peuvent être amenés à réaliser des missions de conseil liées à des
opérations dont ils ont été auparavant responsables ». D'après la
Norme 1130.C2, si leur indépendance ou leur objectivité est
susceptible d'être compromise, ils doivent toutefois en informer le
client donneur d'ordre avant d'accepter la mission.

Les atteintes à l'indépendance ou à l'objectivité, dans les faits ou

en apparence, sont inévitables dans certaines circonstances. La
Norme 1130, Atteinte à l'indépendance ou à l'objectivité, souligne
que, dans ces cas-là, les parties concernées doivent en être
informées de manière précise. Suivant la nature de l'atteinte et
des responsabilités du responsable de l'audit interne vis-à-vis de
la direction générale et du Conseil, telles que spécifiées dans la
charte d'audit interne, le responsable de l'audit interne ne rendra
pas compte à la même personne. Les utilisateurs des services
d'audit interne n'ont ainsi pas à placer indûment une confiance
aveugle dans les résultats des travaux de l'audit interne et
peuvent déterminer par eux-mêmes dans quelle mesure ils
souhaitent se fier à ces travaux.

Compétence et conscience professionnelle. Comme l'illustre

l'encadré 2-5, la compétence et la conscience professionnelle sont
les deuxième et troisième piliers étayant l'efficacité des services
d'audit interne. Les activités d'assurance et de conseil exécutées par
des auditeurs internes ne disposant pas des connaissances, du
savoir-faire et autres compétences requis, ou n'y apportant pas la
diligence et le savoir-faire nécessaires ne seront, pour le moins, pas
d'une grande
 MANUEL D'AUDIT INTERNE

2-20 II
 utilité. Ainsi, les Normes imposent à la fonction d'audit interne et tous les auditeurs internes
aux auditeurs internes de posséder les connaissances, le savoir- ne sont pas censés
faire et les autres compétences nécessaires à l'exercice de leurs posséder l'expertise d'un
responsabilités, et de faire preuve de conscience professionnelle. auditeur dont la
responsabilité première
Les Normes ne définissent pas un ensemble précis de est l'audit informatique ».
connaissances, de savoir-faire ou autres compétences obligatoires. Le chapitre 7, Les risques
Des dispositions fortement recommandées concernant la et les contrôles des
compétence figurent à la Modalité Pratique d'Application 1210-1, systèmes d'information,
Compétence. On trouvera d'autres lignes directrices dans le étudie en détail la nature
Competency Framework de l'IIA (voir chapitre 1, Introduction à des risques SI et les
l'audit interne), ainsi que dans les programmes de préparation aux contrôles que les
examens du CIA.4 organisations peuvent
mettre en place pour
Commentaire du traducteur maîtriser ces risques. Le
chapitre 10, Les preuves
Les programmes de préparation aux examens du CIA sont disponibles en
d'audit et les papiers de
langue française.
travail, propose un aperçu
Le Référentiel de compétences (Competency Framework) est régulièrement
mis à jour. des techniques d'audit
...) informatisées.

L'impératif de compétence
Les Normes imposent notamment, comme compétence
s'applique à l'ensemble de
spécifique, une connaissance des risques de fraude. La Norme
la fonction d'audit interne
1210.A2 stipule que « les auditeurs internes doivent posséder des
aussi bien qu'à chaque
connaissances suffisantes pour évaluer le risque de fraude et la
auditeur interne. Il
façon dont ce risque est géré par l'organisation. Toutefois, ils ne
incombe au responsable
sont pas censés posséder l'expertise d'une personne dont la
de l'audit interne de veiller
responsabilité première est la détection et l'investigation des
à ce que son service
fraudes ». Le chapitre 8, Les risques de fraude et d'actes illégaux, possède les
examine en détail la nature des risques de fraude et des contrôles connaissances, le savoir-
qu'une organisation peut mettre en place pour maîtriser ces faire et les autres
risques. compétences nécessaires
à l'exercice de ses
De même, la Norme 1210.A3 indique que « les auditeurs internes responsabilités
doivent posséder une connaissance suffisante des principaux conformément à la charte.
risques et contrôles relatifs aux technologies de l'information, et Si le service ne dispose
des techniques d'audit informatisées susceptibles d'être mises en pas des compétences
oeuvre dans le cadre des travaux qui leur sont confiés. Toutefois,
Copyright © 2015

nécessaires
Eyrolles.
Compétence

Les connaissances, le
savoir-faire et les autres
compétences
nécessaires à l'exercice
des responsabilités
professionnelles de
l'audit interne.

LE CADRE DE RÉFÉRENCE INTERNATIONAL DES PRATIQUES PROFESSIONNELLES II 2-21

 pour exécuter tout ou partie d'une mission d'assurance, le
responsable de l'audit interne doit « obtenir l'avis et l'assistance
de personnes qualifiées » extérieures (Norme 1210.A1). Le
chapitre 9, La gestion de l'audit interne examine la possibilité
d'obtenir avis et assistance de la part de prestataires extérieurs.
Lorsque l'audit interne doit réaliser une mission de conseil pour
laquelle il ne possède pas les compétences nécessaires, le
responsable de l'audit interne doit décliner la mission ou obtenir
l'avis et l'assistance de personnes qualifiées (Norme 1210.C1).

Conscience La Norme 1220, Conscience professionnelle, impose aux auditeurs

professionnelle internes d'« apporter à leur travail la diligence et le savoir-faire que
l'on peut attendre d'un auditeur interne raisonnablement averti et
La diligence et le
compétent ». Cela ne signifie pas que les auditeurs internes ne
savoir-faire que l'on
peut attendre d'un
feront jamais d'erreurs factuelles ou de jugement, mais qu'ils feront
auditeur interne preuve du degré d'attention et de compétence attendu d'un
raisonnablement professionnel. Faire preuve de conscience professionnelle ne
averti et compétent. signifie pas non plus que les auditeurs internes examineront
chaque transaction, visiteront chaque site ou s'entretiendront avec
chaque personne travaillant pour l'audité ou le client de la mission.
En revanche, cela signifie qu'ils devront déployer le même degré
d'effort que d'autres professionnels de l'audit interne dans des
situations analogues.

Les Normes définissent les aspects à prendre en considération

lorsque l'on détermine le niveau de soin approprié à apporter aux
missions d'assurance et de conseil. La Norme 1220.A1 indique
que, dans ses missions d'assurance, l'auditeur interne doit «
[prendre] en considération les éléments suivants :
· l'étendue du travail nécessaire pour atteindre les objectifs
de la mission ;
· la complexité relative, la matérialité ou le caractère significatif
des domaines auxquels sont appliquées les procédures
propres aux missions d'assurance ;
· l'adéquation et l'efficacité des processus de gouvernement
d'entreprise, de management des risques et de contrôle ;
· la probabilité d'erreurs significatives, de fraudes ou de non-
conformité ;
· le coût de la mise en place de contrôles par rapport aux

Commentaire du traducteur

a
vantages escomptés ».

CL'analyse coûts/bénéfices des contrôles revient à s'assurer qu'ils sont proportionnés

aux risques encourus et aux seuils de tolérance définis par l'organisation.

L'auditeur interne doit également « envisager l'utilisation de

 techniques informatiques d'audit et d'analyse des données »
(Norme 1220.A2) et « exercer une vigilance particulière à
l'égard

MANUEL D'AUDIT INTERNE

2-22 II
 des risques significatifs susceptibles d'affecter les objectifs,
les opérations ou les ressources » (Norme 1220.A3).

La Norme 1220.C1 indique que, dans ses missions de conseil, Certifications

l'auditeur interne doit « [prendre] en considération les éléments proposées par
suivants : les Instituts
d'audit
· les besoins et attentes des clients, y compris sur la nature, le
calendrier et la communication des résultats de la mission ; — Certified Internai
Auditor (CIA, auditeur
· la complexité de celle-ci et l'étendue du travail nécessaire
interne certifié).
pour atteindre les objectifs fixés ; — Certified
· son coût par rapport aux avantages escomptés. » Governmental Audit
Professional (CGAP,
certification en audit
La Norme 1230, Formation professionnelle continue, stipule que «
des organisations
les auditeurs internes doivent améliorer leurs connaissances,
publiques).
savoir-faire et autres compétences par une formation
professionnelle continue ». Les personnes désireuses de devenir — Certified Financial
auditeur interne et les auditeurs internes qui n'ont pas encore Services Auditor
obtenu de certification professionnelle doivent suivre des cours, (CFSA, certification
une formation, un programme d'apprentissage qui les mettent en en audit des services
financiers).
position d'obtenir une ou plusieurs certifications pertinentes
compte tenu de leurs responsabilités professionnelles. Les Instituts — Certification
d'audit interne organisent plusieurs certifications : le CIA (Certified in Control Self-
Internai Auditor, auditeur interne certifié), le CGAP (Certified Assessment (CCSA,
Governmental Audit Professio-nal, certification en audit des certification en
organisations publiques), le CFSA (Certified Financial Services auto-évaluation
Auditor, certification en audit des services financiers), le CCSA des contrôles).
— Certification in
(Certified in Control Self-Assessment, certification en auto-
Risk Management
évaluation des contrôles) et le CRMA (Certification in Risk
Assurance (CRMA,
Management Assurance, certification en évaluation de la gestion certification en
des risques). D'autres organisations professionnelles proposent évaluation de la
des certifications qui peuvent être utiles aux professionnels de gestion des risques).
l'audit interne. Ainsi, le CISA (Certified Information Systems — Certification
Auditor, certification en audit des systèmes d'information) est professionnelle
décerné par l'ISACA (anciennement connu sous le nom de l'auditeur interne
Copyright © 2015 Eyrolles.

d'Information Systems Audit and Control Association), et la (CPAI).

certification CFE (Certified Fraud Examiner) a été mise en place
par l'Association of Certified Fraud Examiners (ACFE). Les
auditeurs internes qui ont obtenu des certifications
professionnelles doivent remplir certains critères de formation
professionnelle continue pour conserver leur certification. Cette
norme complète la règle 4.3 du Code de déontologie, qui précise
que les auditeurs internes doivent toujours s'efforcer d'améliorer
leur compétence, l'efficacité et la qualité de leurs travaux.

Programmes d'assurance et d'amélioration qualité. Le

concept d'assurance qualité est le même, qu'on l'applique aux ser-
vices d'audit interne, à la fabrication d'un produit ou à la prestation
de quelque service que ce soit. L'assurance qualité permet de
donner l'assurance que le produit ou service possède bien les
caractéristiques ou traits essentiels qu'il est censé posséder. Ainsi,
s'agissant de la production d'un type particulier de boulons en
acier, l'assurance qualité cherchera à s'assurer que les boulons
fabriqués

LE CADRE DE RÉFÉRENCE INTERNATIONAL DES PRATIQUES PROFESSIONNELLES II 2-23

 répondent bien au cahier des charges. Dans le même ordre
d'idées, un programme d'assurance et d'amélioration qualité
d'une fonction d'audit interne « est conçu de façon à évaluer la
conformité de l'audit interne avec la définition de l'audit interne
et les Normes [ainsi que] le respect du Code de déontologie par
les auditeurs internes. Ce programme permet également de
s'assurer de l'efficacité et de l'efficience de l'activité d'audit
interne et d'identifier toutes opportunités d'amélioration »
(Interprétation de la Norme 1300, Programme d'assurance et
d'amélioration qualité).
Assurance
qualité « Le responsable de l'audit interne doit élaborer et tenir
à jour un programme d'assurance et d'amélioration qualité
Activité qui permet de
portant sur tous les aspects de l'audit interne » (Norme
donner l'assurance
que le produit ou
1300, Programme d'assurance et d'amélioration qualité). Le
service possède bien responsable de l'audit interne doit également «
les caractéristiques ou communiquer les résultats du programme d'assurance et
traits essentiels qu'il d'amélioration qualité à la direction générale ainsi qu'au
est censé posséder. Conseil » (Norme 1320, Rapports relatifs au programme
d'assurance et d'amélioration qualité) et il peut « indiquer
que l'activité d'audit interne est conduite conformément aux
Normes internationales pour la pratique professionnelle de
l'audit interne seulement si les résultats du programme
d'assurance et d'amélioration qualité l'ont démontré »
(Norme 1321, Utilisation de la mention « conforme aux
Normes internationales pour la pratique professionnelle de
l'audit interne »).
« Quand la non-conformité de l'activité d'audit interne
avec la définition de l'audit interne, le Code de déontologie
ou encore les Normes a une incidence sur le champ
d'intervention ou sur le fonctionnement de l'audit interne, le
responsable de l'audit interne doit informer la direction
générale et le Conseil de cette non-conformité et de ses
conséquences » (Norme 1322, Indication de non-
conformité).

La Norme 1310, Exigences du programme d'assurance et

d'amélioration qualité, précise que « le programme d'assurance
et d'amélioration qualité doit comporter des évaluations tant
internes qu'externes ». « Les évaluations internes doivent
comporter :
· une surveillance continue de la performance de l'audit
interne ;
· des évaluations périodiques, effectuées par auto-évaluation
ou par d'autres personnes de l'organisation possédant une
connaissance suffisante des pratiques d'audit interne »
(Norme 1311, Évaluations internes).

«Des évaluations externes doivent être réalisées au moins

tous les cinq ans par un évaluateur ou une équipe
d'évaluateurs qualifiés, indépendants et extérieurs à
l'organisation. Le responsable de l'audit interne doit
s'entretenir avec le Conseil au sujet :
 · des modalités et de la fréquence de l'évaluation externe ;
· et des qualifications de l'évaluateur ou de l'équipe
d'évaluation externes ainsi que de leur indépendance y
compris au regard de tout conflit d'intérêts potentiel »
(Norme 1312, Évaluations externes).

MANUEL D'AUDIT INTERNE

2-24 II
 L'encadré 2-6 propose un cadre de référence pour la conception
d'un programme d'assurance qualité, reposant sur le principe de
substituabilité, puisque les composantes de l'assurance qualité
peuvent y remplacer une composante de rang supérieur, à
condition que des critères d'indépendance précis soient respectés.
Ainsi, une évaluation externe peut être remplacée par une
CADRE DE RÉFÉRENCE POUR LA CONCEPTION
évaluation interne tant que les évaluateurs internes sont
indépendants D'UN (en d'autres termes,
PROGRAMME qu'ils n'appartiennent
D'ASSURANCE QUALITÉ pas à la
ligne hiérarchique
Hiérarchieet desn'ont pas de responsabilité
composantes directe vis-à-vis
de l'assurance qualité
de l'aspect du travail qu'ils ont à évaluer). En conséquence, de
Composante du Objectif du Niveau
grandes fonctions d'audit qui comptent plusieurs unités
Source d'audit
contrôle contrôle d'assurance
décentralisées (par exemple en Asie, en Amérique du Nord, en
Professionnalisme Travaux de l'auditeur Personne Amérique Auditeur interne du
(conscience interne
professionnelle)
Sud et en Europe)

Surveillance peuvent Superviseur à

Mission Management de la
continue/Contrôle l'intérieur de la ligne fonction d'audit
par le superviseur
procéder à une hiérarchique

Ensemble des
Évaluation interne Superviseur/Pair en Responsable de
missions ou des dehors de la ligne l'audit interne
hiérarchique
évaluation interneaudits de divisions des travaux
ou des unités
effectués par desd'audit autonomes auditeurs internes lors de
Évaluation externe Fonction d'audit Personnes qualifiées Comité d'audit et
dans son ensemble n'appartenant pas à direction générale
missions l'organisation

d'assurance ou de conseil qui leur ont été confiées. Dans de telles

situations, l'évaluation externe pourrait se concentrer sur le
processus d'assurance qualité de l'audit interne, sur
l'indépendance de la fonction d'audit interne au sein de
l'organisation, sur le processus d'évaluation des risques et sur les
relations avec le comité d'audit et la direction générale. En
revanche, l'évaluation des missions d'assurance et de conseil
réalisées par une petite fonction d'audit interne centralisée devra
être effectuée par des évaluateurs externes qualifiés.

Le chapitre 9, La gestion de l'audit interne, donnera plus de

détail sur la mise en oeuvre des programmes d'assurance et
d'amélioration qualité.
Copyright © 2015 Eyrolles.
 ENCADRÉ 2-6

LE CADRE DE RÉFÉRENCE INTERNATIONAL DES PRATIQUES PROFESSIONNELLES II 2-25

On trouvera d'autres lignes directrices permettant de mener à
bien des revues internes et externes dans le Quality Assessment
Manual de HIA.

Commentaire du traducteur

Plusieurs Instituts proposent des prestations pour l'évaluation indépendante

externe des services d'audit interne. Ainsi, IFACI Certification a développé un
référentiel d'évaluation et le met à jour au rythme de l'évolution des Normes afin
de proposer une certification de services d'audit interne de qualité.

Les Normes de fonctionnement

Les Normes de fonctionnement, qui décrivent la nature des
activités d'audit interne et les critères au regard desquels ces
activités peuvent être évaluées, sont réparties en sept grandes
sections :
· 2000 — Gestion de l'audit interne ;
· 2100 — Nature du travail ;
· 2200 — Planification de la mission ;
· 2300 — Accomplissement de la mission ;
· 2400 — Communication des résultats ;
· 2500 — Surveillance des actions de progrès ;
· 2600 — Communication relative à l'acceptation des risques.

Gestion de l'audit interne. La Norme 2000 indique que c'est au

responsable de l'audit interne qu'il revient de gérer activement
l'audit interne (également appelé « activité d'audit interne » ou «
service d'audit interne » dans les Normes) et de veiller à ce qu'il
apporte une valeur ajoutée à l'organisation. Même lorsque les
activités d'audit interne sont externalisées à un tiers, il faut qu'il y
ait une personne au sein de l'organisation qui soit chargée
d'approuver les contrats de service, de superviser la qualité des
travaux fournis par le prestataire de services, de rendre compte
des résultats de la mission d'assurance et de conseil à la direction
générale et au Conseil, et d'effectuer un suivi des résultats des
missions et des observations. Dans de nombreux cas, cette
personne agit en qualité de responsable de l'audit interne.
Toutefois, si cette personne a des responsabilités qui la mettent
dans une situation de conflit d'intérêts ou si le Conseil gère
l'activité externalisée, le prestataire de services externe doit en
outre « alerter l'organisation qu'elle reste responsable du maintien
d'un audit interne efficace » (Norme 2070, Responsabilité de
l'organisation en cas de recours à un prestataire externe pour ses
activités d'audit interne). L'interprétation de cette Norme spécifie
que : « Cette responsabilité est démontrée par le programme
d'assurance et d'amélioration qualité, lequel évalue la conformité
avec la définition de l'audit interne, le Code de déontologie et les
Normes. »
MANUEL D'AUDIT INTERNE
 La Norme 2000 énonce que « l'activité d'audit interne est
gérée efficacement quand :
· les résultats des travaux de l'audit interne répondent aux
objectifs et responsabilités définis dans la charte d'audit
interne ;
· l'audit interne est exercé conformément à la définition de
l'audit interne et aux Normes ;
· les membres de l'équipe d'audit agissent en respectant le
Code de déontologie et les Normes » (Interprétation de la
Norme 2000, Gestion de l'audit interne).

Les normes suivantes précisent que, pour satisfaire à ses

responsabilités de gestion, le responsable de l'audit interne doit :
· « établir un plan d'audit fondé sur les risques afin de définir
des priorités cohérentes avec les objectifs de
l'organisation » (Norme 2010, Planification) ;
· « communiquer à la direction générale et au Conseil son plan
d'audit et ses besoins, pour examen et approbation, ainsi que
tout changement important susceptible d'intervenir en cours
d'exercice. Le responsable de l'audit interne doit également
signaler l'impact de toute limitation de ses ressources »
(Norme 2020, Communication et approbation) ;
· « veiller à ce que les ressources affectées à cette activité
soient adéquates, suffisantes et mises en oeuvre de manière
efficace pour réaliser le plan d'audit approuvé » (Norme 2030,
Gestion des ressources) ;
· « établir des règles et procédures fournissant un cadre à
l'activité d'audit interne » (Norme 2040, Règles et
procédures) ;
· « partager des informations et coordonner les activités
avec les autres prestataires internes et externes
d'assurance et de conseil [afin d'assurer une couverture
Copyright © 2015 Eyrolles.

adéquate et d'éviter les doubles emplois] » (Norme 2050,

Coordination) ;
· « rendre compte périodiquement à la direction générale et au
Conseil des missions, des pouvoirs et des responsabilités de
l'audit interne, ainsi que du degré de réalisation du plan
d'audit ». Le responsable de l'audit interne « doit plus
particulièrement rendre compte de l'exposition aux risques
significatifs (y compris des risques de fraude) et des contrôles
correspondants ; des sujets relatifs au gouvernement
d'entreprise ; et de tout autre problème répondant à un
besoin ou à une demande de la direction générale ou du
Conseil » (Norme 2060, Rapports à la direction générale et au
Conseil).

Ces responsabilités du responsable de l'audit interne sont

approfondies au chapitre 9, La gestion de l'audit interne.
Nature du travail. La Norme 2100, Nature du travail, reprend
des éléments de la définition de l'audit interne. Elle indique
que

LE CADRE DE RÉFÉRENCE INTERNATIONAL DES PRATIQUES PROFESSIONNELLES 'I 2-27

« l'audit interne doit évaluer les processus de gouvernement d'entreprise, de
management des risques et de contrôle, et contribuer à leur amélioration sur
la base d'une approche systématique et méthodique ».

En premier lieu, « l'audit interne doit évaluer le processus de

gouvernement d'entreprise et formuler des recommandations
appropriées en vue de son amélioration. À cet effet, il détermine
si le processus répond aux objectifs suivants :
· promouvoir des règles d'éthique et des valeurs appropriées
au sein de l'organisation ;
· garantir une gestion efficace des performances de
l'organisation, assortie d'une obligation de rendre compte ;
· communiquer aux services concernés de l'organisation les
informations relatives aux risques et aux contrôles ;
· fournir une information adéquate au Conseil, aux auditeurs
internes et externes et au management, et assurer une
coordination de leurs activités » (Norme 2110, Gouvernement
d'entreprise).

De même, « l'audit interne doit évaluer l'efficacité des processus

de management des risques et contribuer à leur amélioration »
(Norme 2120, Management des risques). « Afin de déterminer si
les processus de management des risques sont efficaces, les
auditeurs internes doivent s'assurer que :
· les objectifs de l'organisation sont cohérents avec sa
mission et y contribuent ;
· les risques significatifs sont identifiés et évalués ;
· les modalités de traitement des risques retenues sont
appropriées et en adéquation avec l'appétence pour le risque de
l'organisation ;
· les informations relatives aux risques sont recensées et
communiquées en temps opportun au sein de l'organisation
pour permettre aux collaborateurs, à leur hiérarchie et au
Conseil d'exercer leurs responsabilités » (Interprétation de
la Norme 2120, Management des risques).

Enfin, « l'audit interne doit aider l'organisation à maintenir un dispositif

de contrôle approprié en évaluant son efficacité et son efficience et en
encourageant son amélioration continue » (Norme 2130, Contrôle).

L'audit interne évalue l'exposition aux risques, ainsi que l'adéqua-

tion de la conception et le fonctionnement effectif des contrôles. «
Cette évaluation doit porter sur les aspects suivants :
· l'atteinte des objectifs stratégiques de l'organisation ;
· la fiabilité et l'intégrité des informations financières et
opérationnelles ;
· l'efficacité et l'efficience des opérations et des programmes ;

MANUEL D'AUDIT INTERNE

 + la protection des actifs ; 4 2400 — Communication
des résultats ;
· le respect des lois, règlements, règles, procédures et
contrats » (Normes 2120.A1 et 2130.A1). a 2500 — Surveillance
des actions de progrès.
Le chapitre 3, La gouvernance, le chapitre 4, La gestion des
risques, et le chapitre 6, Le contrôle interne, proposent un examen Les deux dernières
détaillé des processus de gouvernance, de gestion des risques et sections ont été
de contrôle, et présentent les responsabilités de l'audit interne combinées en une phase
dans l'évaluation de ces processus ainsi que sa contribution à leur de « communication »
amélioration. dans l'encadré 2-7. Les
normes qui ont plus
Le processus d'audit. L'exécution de missions, qu'elles soient spécifiquement trait au
d'assurance ou de conseil, peut être scindée en trois étapes, processus d'audit sont
illustrées à l'encadré 2-7. Les sections suivantes des Normes intentionnellement
de fonctionnement ont directement trait au processus rédigées dans des termes
d'audit : généraux afin de couvrir
tout l'éventail des
4 2200 — Planification de la mission ; missions d'audit interne.
4 2300 — Accomplissement de la mission ;

1
LES DIFFÉRENTES ÉTAPES DU PROCESSUS
D'AUDIT ET LES NORMES CORRESPONDANTES

2200 2300 2400

Planification Accomplissemen Communication

de la mission t de la mission des résultats
2201 Considéra 2310 Identification
tions relatives des informations
Copyright © 2015

2410 Contenu de la
à la planification 2320 Analyse et
communication
2210 Objectifs de
la mission évaluation
2420 Qualité de

2330 Documentation
Eyrolles.

2220 Champ la communication

de 2340 Supervision
2230 de la mission 2421 Erreurs et
Ressources omissions

affectées 2430 Utilisation de

2240 Programme
de travail de
la mention « conduit
la mission

conformément

~ ~ actions de progrès
f
-
.11.....
 ENCADRÉ 2-7

LE CADRE DE RÉFÉRENCE INTERNATIONAL DES PRATIQUES PROFESSIONNELLES II 2-29

La Norme 2200, Planification de la mission, énonce que « les
auditeurs internes doivent concevoir et documenter un plan pour
chaque mission. Ce plan de mission précise les objectifs, le
champ d'intervention, la date et la durée de la mission, ainsi que
les ressources allouées ».

« Lors de la planification de la mission, les auditeurs internes

doivent prendre en compte :
· les objectifs de l'activité soumise à l'audit et la manière
dont elle est maîtrisée ;
· les risques significatifs liés à l'activité, ses objectifs, les res-
sources mises en oeuvre et ses tâches opérationnelles,
ainsi que les moyens par lesquels l'impact potentiel du
risque est maintenu à un niveau acceptable ;
· la pertinence et l'efficacité des processus de gouvernement
d'entreprise, de management des risques et de contrôle de
l'activité, en référence à un cadre ou modèle de contrôle
approprié ;
· les opportunités d'améliorer de manière significative les
processus de gouvernement d'entreprise, de management
des risques et de contrôle de l'activité » (Norme 2201,
Considérations relatives à la planification).

Les normes suivantes s'appliquent à la planification d'une

mission d'audit interne :
· « les objectifs doivent être précisés pour chaque mission »
(Norme 2210, Objectifs de la mission) ;
· « le champ doit être suffisant pour atteindre les objectifs de
la mission » (Norme 2220, Champ de la mission) ;
· « les auditeurs internes doivent déterminer les ressources
appropriées et suffisantes pour atteindre les objectifs de la
mission. Ils s'appuient sur une évaluation de la nature et de la
complexité de chaque mission, des contraintes de temps et
des ressources disponibles » (Norme 2230, Ressources
affectées à la mission) ;
· « les auditeurs internes doivent élaborer et documenter un
programme de travail permettant d'atteindre les objectifs de
la mission » (Norme 2240, Programme de travail de la
mission).

Lorsqu'ils effectuent une mission, les auditeurs internes doivent :

· « identifier les informations suffisantes, fiables, pertinentes
et utiles pour atteindre les objectifs de la mission » (Norme
2310, Identification des informations) ;
· « fonder leurs conclusions et les résultats de leur mission
sur des analyses et évaluations appropriées » (Norme
2320, Analyse et évaluation) ;

MANUEL D'AUDIT INTERNE

« documenter les informations pertii
conclusions et les résultats de la missi
mentation des informations) ;
s'assurer que la mission « [fait] l'objet
priée afin de garantir que les objectifs
assurée et le développement professio
tué » (Norme 2340, Supervision de la n

Pour que les missions d'audit soient utile

être communiqués en temps opportun
au.

Toutefois, il ne suffit pas que les

utilisatet
la communication doit se faire sous une
for
de mauvaise interprétation. La Norme
241
nication, précise que « la communication
d
le champ de la mission, ainsi que les
concli
et plans d'actions ». La Norme 2420,
Qual
indique que « la communication doit
être
concise, constructive, complète et émise
er
la Norme 2421, Erreurs et omissions,
sou]:
nication finale contient une erreur ou une
responsable de l'audit interne doit faire
p
corrigées à tous les destinataires de la
ver

Les auditeurs internes peuvent «

indique
leurs missions sont "conduites
conformém
 Par ailleurs, « le responsable de l'audit interne doit mettre en
place et tenir à jour un système permettant de surveiller la suite
donnée aux résultats communiqués au management » (Norme
2500, Surveillance des actions de progrès). Pour les missions
d'assurance, cela signifie que « le responsable de l'audit interne
doit mettre en place un processus de suivi permettant de
surveiller et de garantir que des mesures ont été effectivement
mises en oeuvre par le management ou que la direction
générale a accepté de prendre le risque de ne rien faire »
(Norme 2500.A1). S'il s'agit de missions de conseil, « l'audit
interne doit surveiller la suite donnée aux résultats des missions
de conseil conformément à l'accord passé avec le client
donneur d'ordre » (Norme 2500.C1).

Le déroulement d'une mission est traité de manière approfondie

dans les chapitres 12, Introduction au processus d'audit, 13, Le
déroulement de la mission d'assurance, 14, La communication
des résultats d'une mission d'assurance et les procédures de
suivi, et 15, La mission de conseil.
Risque I
résiduel Communication relative à l'acceptation des risques (Norme
Part du risque
2600, Communication relative à l'acceptation des risques). Le
inhérent qui risque résiduel est défini comme la part du risque inhérent qui
subsiste après subsiste après prise en compte des modalités de traitement des
prise en compte risques mises en oeuvre par le management. « Lorsque le
des modalités de responsable de l'audit interne conclut que le management a
traitement des accepté un niveau de risque qui pourrait s'avérer inacceptable
risques mises en pour l'organisation, il doit examiner la question avec la direction
oeuvre par le
générale. Si le responsable de l'audit interne estime que le
problème n'a pas été résolu, il doit soumettre la question au
Conseil. » L'identification de ce niveau de risque résiduel peut
résulter d'une mission d'assurance, d'une mission de conseil, de la
surveillance des plans d'actions du management à la suite de
missions d'audit interne antérieures, ou d'autres moyens.
L'interprétation de la Norme 2600 précise que « la réponse au
risque ne relève pas du responsable d'audit interne », mais de la
direction générale et du Conseil.

Commentaire du traducteur

Le traitement des risques est fonction de l'appétence pour le risque et des

seuils de tolérance de l'organisation.

DISPOSITIONS FORTEMENT RECOMMANDÉES

Les dispositions obligatoires du CRIPP (définition de l'audit

interne, Code de déontologie et Normes) sont de nature
relativement générale, car elles sont applicables à toutes les
activités d'audit interne. Des missions d'assurance et de conseil
sont menées dans des organisations variées, par des fonctions
d'audit interne « maison » ou des prestataires extérieurs, dans
des structures centralisées aussi
 MANUEL D'AUDIT INTERNE

2-32 II
 bien que décentralisées, dans divers environnements qui vérifient leur
culturels et juridiques. cohérence avec d'autres
parties du CRIPP. Les
Les dispositions fortement recommandées (Modalités Pratiques Modalités Pratiques
d'Application, prises de position et guides pratiques) donnent des d'Application sont
orientations plus spécifiques et non obligatoires. Elles suggèrent disponibles dans la
en général un mode opératoire. Les dispositions fortement version publiée du CRIPP,
recommandées peuvent ne pas être applicables à certaines qui est généralement
fonctions d'audit interne. Parfois, elles peuvent ne constituer actualisé tous les trois
qu'une des nombreuses solutions applicables. Quoi qu'il en soit, ans. Toutes les Modalités
ces dispositions font autorité, dans le sens où l'IIA les a validées Pratiques d'Application
via un processus d'approbation formel, qui inclut un examen par publiées sont disponibles
l'Ethics Committee (Comité de déontologie) et par l'Internai Audit sur le site Internet de l'IIA
Standards Board (Conseil sur les normes d'audit interne), au et de certains Instituts
cours duquel est vérifiée leur cohérence avec les dispositions locaux tels que l'IFACI.
obligatoires.
L'encadré 2-8 propose un
Les Modalités Pratiques d'Application. Les Modalités Pra- exemple de Modalité
tiques d'Application (MPA) donnent des orientations concises Pratique d'Application. La
quant à la manière d'appliquer les Normes. Elles traitent des MPA 1000-1, La charte
approches, méthodologies et facteurs que l'audit interne doit d'audit interne, donne des
prendre en compte, mais n'ont pas pour objet de détailler des conseils relatifs à la
processus et procédures que l'audit interne devrait suivre. Elles Norme 1000, Mission,
peuvent concerner des missions spécifiques ou préciser des pouvoirs et responsabilité.
pratiques propres à certaines régions géographiques ou à Outre le texte qui expose
certains secteurs. Chaque Modalité Pratique d'Application est le conseil, la MPA contient
mise en relation, au moyen de son numéro, avec une norme, et la norme à laquelle elle se
renvoie également, le cas échéant, au Code de déontologie. réfère et, le cas échéant,
son interprétation. En
C'est au Professional Issues Committee (Comité des questions l'occurrence, la MPA vient
professionnelles) qu'il revient de rédiger les Modalités Pratiques étoffer la norme en y
d'Application. En 2012, 59 Modalités Pratiques d'Application ont apportant des orientations
été publiées. Contrairement aux dispositions obligatoires du supplémentaires
CRIPP, les Modalités Pratiques d'Application ne font pas l'objet concernant la charte
d'une consultation publique. Elles sont néanmoins examinées, d'audit interne.
avant publication, par le Standards Board et l'Ethics Committee,
Copyright © 2015
Eyrolles
Modalités
Pratiques
d'Application
(MPA)
Orientations concises
quant à la manière
d'appliquer
les Normes.

LE CADRE DE RÉFÉRENCE INTERNATIONAL DES PRATIQUES PROFESSIONNELLES II 2-33

ENCADRÉ 2-8 EXEMPLE DE MODALITÉ PRATIQUE D'APPLICATION

MPA 1000-1
Charte d'audit interne Principale Norme de référence
1. L'existence d'une charte d'audit interne 1000 - Mission, pouvoirs
formalisée est essentielle pour la gestion et responsabilités
du service d'audit interne. La charte est La mission, les pouvoirs et les un document officiel
soumis pour avis responsabilités de l'audit interne et acceptation à la direction générale,
doivent être formellement définis et approuvée par le comité d'audit ou le dans une charte
d'audit interne, Conseil. Il précise le rôle du responsable être cohérents avec la définition de
d'audit interne et facilite ainsi l'évaluation l'audit interne, le Code de déontopériodique de la
pertinence de sa mission, logie ainsi qu'avec les Normes. Le de ses pouvoirs et de ses
responsabilités. responsable de l'audit interne doit Son approbation est consignée dans les
revoir périodiquement la charte procès-verbaux du Conseil. Il facilite en d'audit interne et la
soumettre à outre l'évaluation périodique de la perti l'approbation de la direction génénence
de la mission, des pouvoirs et des rale et du Conseil.
ainsi le rôle de l'audit interne. En cas d'in-
responsabilités de l'audit interne, précisant Interprétation
La charte d'audit interne est un terrogation, la charte est la référence écrite document officiel
qui précise la officielle de l'accord passé avec la direction mission, les pouvoirs et les respon-
générale et le Conseil sur le rôle et les res sabilités de cette activité. La charte ponsabilités du
service d'audit interne de définit la position de l'audit interne
l'organisation. dans l'organisation y compris la
2. Le responsable de l'audit interne évalue nature de la relation fonctionnelle
périodiquement si la mission, les pouvoirs, entre le responsable de l'audit et
les responsabilités définis dans la charte interne et le Conseil ; autorise l'ac -
permettent toujours au service d'audit cès aux documents, aux personnes
interne d'atteindre ses objectifs. Il est éga et aux biens, nécessaires à la réa-
lement chargé de communiquer le résultat lisation des missions ; définit le de
cette évaluation périodique à la direc champ des activités d'audit interne.
tion générale et au Conseil. L'approbation finale de la charte
d'audit interne relève de la respon-
Publié en janvier 2009 sabilité du Conseil.

Date de publication : ler janvier 2009 j

Prises

de position Prises de position. Les prises de position de l'IIA donnent des

orientations sur des problématiques qui dépassent la simple carac-
Orientations sur des térisation du travail du responsable de l'audit interne, de la fonction
problématiques qui
d'audit interne et des auditeurs internes individuellement. Elles ne
dépassent la simple
sont pas écrites uniquement à l'intention des auditeurs internes,
caractérisation du travail du
mais aussi pour d'autres parties intéressées, qui ne sont pas
responsable de l'audit interne, de membres de la profession, comme par exemple, la direction
la fonction d'audit interne et des générale, le Conseil et les membres du comité d'audit, ainsi que des
auditeurs internes parties prenantes extérieures, telles que les législateurs, les
individuellement.
autorités de régulation et de supervision ou les autres experts avec
qui les auditeurs internes sont amenés à travailler (notamment les
auditeurs externes et autres prestataires de services participant à
des programmes de conformité et de respect de la déontologie de
l'organisation ou à des initiatives de gestion des risques). Les prises

UDIT INTERNE

2-34 II MANUEL D'A

 de position s'intéressent au rôle de l'audit interne dans le système troisième et la quatrième
de gestion des risques de l'organisation, à la manière dont l'orga- séries traitent
nisation confie des missions à l'audit interne, et aux trois lignes de respectivement des
maîtrise pour une gestion des risques et un contrôle efficaces. problématiques
Elles peuvent traiter de questions importantes comme la générales d'audit interne
gouvernante, la gestion des risques et le contrôle, dans l'optique et des problématiques
d'apporter une clarification et d'améliorer la compréhension qu'en liées au secteur public.
ont les auditeurs internes et les autres parties prenantes. Tous ces guides sont sur
le site Internet de l'IIA ou
C'est souvent le Professional Issues Committee (Comité des de certains Instituts
questions professionnelles) de l'IIA qui est à l'origine des prises de locaux tels que l'IFACI.
position, mais ce peut aussi être tout autre comité international ou L'encadré 2-9 dresse la
Institut local. Les propositions de prises de position doivent être liste des guides pratiques
approuvées par le Professional Guidance Advisory Council (groupe actuels par série. Les
composé des présidents du Standards Board, du Professional guides pratiques
Issues Committee, du Global Ethics Committee et du Public Sector généraux sont traités
Committee, présenté plus loin dans ce chapitre). Le Professional dans les chapitres
Issues Committee est chargé de l'élaboration et de la rédaction suivants. Le chapitre 7,
des prises de position. Les prises de position proposées sont Les risques et les
ensuite examinées par les comités techniques internationaux de contrôles des systèmes
l'IIA (Standards Board, Professional Issues Committee et Ethics d'information, renseigne
Committee), qui vérifient leur cohérence avec le CRIPP. Les prises plus précisément sur ces
de position peuvent également être élaborées et publiées en lignes directrices portant
partenariat avec d'autres organisations professionnelles. sur les systèmes
Contrairement à d'autres types de dispositions fortement d'information.
recommandées, les prises de position doivent être soumises à la
consultation des Instituts IIA locaux et d'autres comités techniques Tout comité technique a la
internationaux pendant une période d'un mois avant d'être possibilité de proposer
publiées. une idée de guide
pratique, mais c'est le
Guides pratiques. Les guides pratiques de l'IIA fournissent des Professional Guidance
lignes directrices détaillées sur des outils et techniques d'audit Advisory Council sus-
interne. Ils se composent de quatre séries. Deux de ces séries mentionné qui en
traitent des problématiques liées aux risques et aux contrôles supervise l'élaboration et
en matière de systèmes d'information : la série des Global la publication. Celui-ci
Technology Audit Guides (Guides pratiques d'audit des approuve le projet et en
Copyright © 2015 Eyrolles

technologies de l'information, GTAG) et celle des Guide to the confie la gestion à l'un de
Assessment of IT Risk (Guide de l'évaluation des contrôles ses comités (le
informatiques généraux basée sur les risques, GAIT). La
Guides pratiques
Lignes directrices
détaillées sur des
outils et techniques
d'audit interne.

LE CADRE DE RÉFÉRENCE INTERNATIONAL DES PRATIQUES PROFESSIONNELLES II 2-35

 Professional Issues Committee en règle générale). Les comités
les plus souvent sollicités pour rédiger des guides pratiques
sont le Professional Issues Committee (Comité des questions
professionnelles) et le Public Sector Committee (Comité du
secteur public). Avant d'être publiés, les guides sont examinés
par le Standards Board et l'Ethics Committee qui vérifient leur
cohérence avec le CRIPP. Contrairement aux dispositions
obligatoires du CRIPP et aux prises de position, les guides ne
font pas l'objet d'une consultation publique.

Autres documents. L'IIA publie également des documents qui ne

font pas partie du CRIPP, mais qui peuvent être utiles aux profes-
sionnels de l'audit interne et aux parties prenantes. Ces documents
sont disponibles sur le site Internet de l'IIA dans la section « Lea-ding
Practices ». À l'heure actuelle, les sujets traités concernent des
problématiques liées à la pratique de l'audit interne dans le secteur
public, ainsi que des lignes directrices applicables à diverses pro-
blématiques liées à la participation de l'audit interne aux mesures
prévues aux termes des sections 302 et 404 de la loi Sarbanes-
Oxley.

ACTUALISATION DU CADRE DE RÉFÉRENCE

INTERNATIONAL DES PRATIQUES
PROFESSIONNELLES

Le CRIPP n'entend pas être un corpus statique de lignes

directrices de référence, mais veut évoluer en même temps que
la profession d'audit interne, à mesure que les professionnels
s'adaptent à un environnement en constante mutation.

Le Professional Guidance Advisory Council est chargé de coordon-

ner le lancement, l'élaboration, la publication et la mise à jour des
lignes directrices constitutives du CRIPP et qui font autorité. Ce
Council se compose du vice-président du Professional Practices
Committee et des présidents des quatre comités techniques inter-
nationaux, à savoir le Global Ethics Committee (Comité mondial de
déontologie), l'International Internai Audit Standards Board (IASB),
le Professional Issues Committee (Comité des questions
professionnelles) et le Public Sector Committee (comité du secteur
public). Les trois premiers ont la responsabilité directe de tenir à
jour les pans spécifiques du CRIPP.

Chaque année, le Professional Guidance Advisory Board conçoit

un plan de travail pour l'année qui vient, ainsi qu'un projet de plan
pour les deux années suivantes, traçant les grandes lignes du travail
de l'Ethics Committee, de l'Internat Audit Standards Board et du
Profes-sional Issues Committee. En outre, le Council coordonne la
révision de toutes les lignes directrices existantes sur un cycle de
trois ans.

2-36 II M A N U E L D ' A UDIT INTERNE

Le Global Ethics Committee (Comité mondial de déonto-
logie). La mission du Global Ethics Committee, qui consiste à
 GTAG 7 : L'infogérance, r édition
GTAG 6 : Gérer et auditer les
vulnérabilités des technologies de
l'information

GUIDES PRATIQUES GTAG 5 : (remplacé par le guide

pratique intitulé « L'audit des
Global Technology Audit
risques d'atteinte à la vie privée »,
Guides (Guides pratiques d'audit
des technologies de l'information,
e édition)

GTAG) GTAG 4 : Management de l'audit des

Général
systèmes d'information
GTAG 17 : Auditing IT Governance
GTAG 3 : Audit continu :
GTAG 16 : Data Analysis répercussions sur l'assurance, le
Business Continuity Management
Technologies pilotage et l'évaluation des risques
Sélectionner, utiliser et développer des GTAG 15 : Information Security GTAG 2 : Contrôles de la gestion du
modèles de maturité : un outil pour les Governance changement et des patchs : un
missions d'assurance et de conseil GTAG 14 : Auditing User-developed facteur clé de la réussite pour toute
Applications organisation, 2e édition
Integrated Auditing
GTAG 13 : Fraud Prevention and GTAG 1 : Les contrôles des systèmes
L'audit des risques d'atteinte à la vie Detection in an Automated World r
d'information, édition
privée, e édition GTAG 12 : Audit des projets SI Guide to the Assessment of IT
GTAG 11 : Élaboration d'un plan Risk (Guide de l'évaluation des
Élaborer le plan stratégique de l'audit interne
d'audit des SI contrôles informatiques géné-
Assessing Organizational Governance in the
raux basée sur les risques, GAIT)
Private Sec for GTAG 10 : Gestion de la continuité
d'activité
The GAIT Methodology
Évaluer les programmes et les activités GTAG 9 : Gestion des identités GAIT for IT General Control Deficiency
relatifs à l'éthique et des accès Assessment
GAIT for Business and IT Risk (GAIT-P)
GTAG 8 : Audit des contrôles
Programme d'assurance et d'amélioration
applicatifs
qualité

Coordinating Risk Management and Assurance

Reliance by Internai Audit on Other Assurance
Providers

Indépendance et objectivité

Interaction with the Board

Assisting Small Internai Audit Activities in

Implementing the International Standards for
the Professional Practice of Internai Auditing
Auditer l'environnement de contrôle
Measuring Internai Audit Effectiveness and
Efficiency

Évaluer l'adéquation du management des

Copyright © 2015 Eyrolles.

risques en utilisant la norme ISO 31000

Chief Audit Executives — Appointment,
Performance, Evaluation, and Termination
Auditer la rémunération et les avantages

Secteur public

Assessing Organizational Governance

in the Public Sector How to Build a
Strategic Competency Plan in the
Public Sector
 ENCADRÉ 2-9

LE CADRE DE RÉFÉRENCE INTERNATIONAL DES PRATIQUES PROFESSIONNELLES II

 répondre aux besoins des professionnels de l'audit interne dans le
monde entier, est axée sur le Code de déontologie de l'audit
interne : ce comité doit le tenir à jour, en favoriser la
compréhension et le respect, évaluer les plaintes relatives à la
violation de ce Code, enquêter et imposer des sanctions, et
promouvoir la déontologie comme partie intégrante du processus
de gouvernance. Il doit effectuer une révision formelle du Code de
déontologie tous les trois ans. Tout changement dans le Code de
déontologie, comme l'intégration de nouvelles règles, se fait sur
l'initiative de ce comité. L'adoption de nouvelles règles nécessite
une période de consultation de 90 jours, durant laquelle le public
peut formuler des commentaires. La validation finale revient au
Conseil d'administration de l'IIA. En outre, ce comité évalue, en
cas de besoin, la conduite des adhérents, des candidats à une
certification professionnelle et des titulaires d'une telle
certification.

L'International Internai Auditing Standards Board (Conseil

international sur les normes d'audit interne). Ce comité a
pour mission de publier, de réviser et de promouvoir les Normes
professionnelles de l'audit interne dans le monde entier. Il doit
procéder à une révision des Normes tous les trois ans. Il prend
l'initiative de publier de nouvelles normes et de modifier les
normes existantes, sur lesquelles le public peut formuler des
commentaires pendant une période de consultation de 90 jours.
La consultation publique implique une traduction vers l'espagnol,
le français et, souvent, vers d'autres langues majeures parlées
par les adhérents (par exemple, le chinois, l'italien, l'allemand, le
japonais, etc.). Après prise en compte des réactions, un vote à la
majorité du comité est nécessaire pour l'adoption définitive.

Le Professional Issues Committee (Comité des questions

professionnelles). Ce comité a pour mission d'orienter la
réflexion et de donner en temps voulu des lignes directrices aux
membres de la profession et aux parties prenantes sur les
méthodes, techniques et positions de référence incluses dans le
CRIPP et de formuler des commentaires ou de soutenir des
positions sur d'autres sujets qui influencent la profession d'audit
interne. Il prend l'initiative des Modalités Pratiques d'Application,
les rédige, les tient à jour et révise toutes les MPA existantes
selon un cycle de trois ans. C'est également ce comité qui est à
l'initiative des prises de position et des guides pratiques de l'IIA.
Les avant-projets d'éventuelles MPA, les prises de position et les
guides pratiques sont diffusés, avant publication, auprès de
l'Ethics Committee et de l'International Internai Audit Standards
Board, qui doivent vérifier qu'ils ne sont en rien contradictoires
avec les dispositions obligatoires existantes. Les prises de

2-38 II M A N U E L D ' A JDIT INTERNE

position bénéficient aussi
d'une période de 30 jours
de consultation publique
auprès des Instituts
locaux de l'IIA.
 Le processus d'élaboration des dispositions obligatoires et fortement
recommandées incluses dans le CRIPP est résumé à l'encadré 2-10.

Pour améliorer la transparence des lignes directrices faisant autorité

pour la profession et rehausser la confiance que les législateurs, les
autorités de régulation et de supervision ainsi que les autres uti-
lisateurs des services d'audit interne y accordent, le 2006 Vision for
the Future Task Force (groupe de travail 2006 Vision pour le futur)
de l'IIA a recommandé l'instauration d'un comité de surveillance
indépendant. Le Conseil de surveillance du CRIPP (IPPF Oversight
Council) représente les intérêts des parties prenantes extérieures à
la profession d'audit interne et veille au respect du protocole mis en
place pour l'élaboration, la publication et la mise à jour du CRIPP.5 La
majorité des membres sont des parties prenantes réputées à
travers le monde, parmi lesquelles l'International Federation of
Accountants, la Banque mondiale, l'Organisation de coopération et
de développement économique (OCDE), la National Association of
Corporate Directors (NACD) et l'International Organisation of
Supreme Audit Institutions (INTOSAI). Les représentants du Conseil
de surveillance du CRIPP observent comment les lignes directrices
sont définies et certifient que les procédures prévues sont
respectées avant la publication des dispositions obligatoires.

Étant donné la montée en puissance de la profession d'audit

interne, le CRIPP, et plus précisément les Normes professionnelles
de l'audit interne, sont de plus en plus largement reconnus comme
la référence mondiale pour la pratique de l'audit interne.
· Le Trésor national de l'Afrique du Sud impose à toutes les
entités du secteur public de pratiquer l'audit interne
conformément à la définition qu'en donne l'IIA et en se
référant aux Normes.6
· Le rapport King II approuve la définition de l'audit interne et
les Normes de l'IIA pour les sociétés cotées en Afrique du
Sud.7
· Un rapport de 2007 du Conseil de l'Europe recommande aux
États membres que les fonctions d'audit interne soient
établies au niveau local et régional, conformément aux
Copyright © 2015

normes internationales généralement acceptées, telles que

celles publiées par l'IIA.8
· La Finnish Financial Supervision Authority (autorité de super-
Eyrolles

vision financière finlandaise), qui régule les marchés financiers

et les banques, les sociétés d'investissement et la Bourse de
Finlande, impose que les entités disposent d'une fonction
d'audit interne et recommande que cette fonction respecte les
Normes de l'IIA.9
· Le gouvernement du Canada et ses ministères ont adopté
le CRIPP pour leurs travaux de vérification interne. 1°
LE CADRE DE RÉFÉRENCE INTERNATIONAL DES PRATIQUES PROFESSIONNELLES I I 2-39
 PROCESSUS D'ÉLABORATION
ENCADRÉ 2-10 DES DISPOSITIONS DU CRIPP

Élément du CRIPP/
Processus Approbation finale
responsabilité

Définition

Le Conseil d'administration instaure

Conseil d'administration
un groupe de travail spécial :
de I'llA
90 jours de consultation publique

Code de déontologie

Élaboré et actualisé par le Global

Global Ethics Conseil d'administration
Ethics Committee: 90 jours de
Committee de I'llA
consultation publique

Normes internationales pour la pratique professionnelle de l'audit interne

International Internai Audit

Élaborées et actualisées par
Standards Board
International Internai l'International Internai Audit
Le Conseil de surveillance du
Audit Standards Board Standards Board :
CRIPP (IPPF Oversight Council)
90 jours de consultation publique
approuve le processus

Prises de position

C'est essentiellement le Professional

Issues Committee qui les élabore,
mais les Instituts locaux ou d'autres
comités peuvent en prendre
Professional Issues l'initiative :
- versions préliminaires examinées IIA Executive Committee
Committee
par l'Ethics Committee et le
Standards Board pour vérifier
l'absence de contradiction ;
- 30 jours de consultation publique
auprès des Instituts locaux.

Modalités Pratiques d'Application

Élaborées et actualisées par le

Professional Issues Committee : -
versions préliminaires examinées
Professional Issues par l'Ethics Committee et le Professional Guidance I
Committee Standards Board pour vérifier Advisory Council
l'absence de contradiction ; - pas
Il
de soumission supplémentaire.

Guides pratiques

Le Professional Guidance Advisory

Council est chargé de leur
élaboration, de leur approbation et
de leur actualisation.
- Le Council confie l'élaboration
de tel ou tel guide à un comité
Professional Guidance Professional Guidance
technique international.
Advisory Council Advisory Council
- Versions préliminaires
examinées par l'Ethics Committee
et le Standards Board pour vérifier
l'absence de contradiction. - Pas
de soumission supplémentaire.

2-40 II M A N U E L D ' AUDIT INTERNE

 « Si les Normes sont
rCommentaire du traducteur conjointement utilisées avec
des dispositions d'autres
En France, la promulgation (2001) et l'application à toute l'administration (2006) de
la Loi Organique relative aux Lois de Finance (LOLF) entraînent le développement,
organes de référence, les
au sein du secteur public, d'une véritable fonction d'audit interne. Cette communications de l'audit
structuration s'est poursuivie en 2011 avec le décret du 28 juin 2011 et la circulaire interne peuvent, le cas
du Premier ministre du 30 juin 2011 relatifs à l'audit interne dans l'administration de échéant, citer l'utilisation
l'État. En juin 2013, le Comité d'harmonisation de l'audit interne a publié le Cadre d'autres normes. S'il y a des
de Référence de l'Audit Interne de l'État qui s'appuie très largement sur les contradictions entre les
dispositions obligatoires du CRIPP. Normes et ces autres
Au Canada, selon la politique sur la vérification interne du Conseil du Trésor du dispositions, les auditeurs
Canada (CT) en vigueur depuis le 1er avril 2012, les administrateurs généraux
internes et l'audit interne
s'assurent « que la fonction de vérification interne du ministère est conforme à la
doivent se conformer aux
présente politique ainsi qu'à toutes les directives ou normes qui y sont associées,
y compris les Normes relatives à la vérification interne
Normes et peuvent
sein du gouvernement du Canada ». respecter les autres disposi-
tions si celles-ci sont plus
exigeantes. »
NORMES PUBLIÉES PAR D'AUTRES ORGANISATIONS Les Normes
professionnelles de
L'IIA reconnaît que d'autres organisations publient l'audit interne sont
des lignes directrices qui peuvent être pertinentes des principes
pour la profession d'audit interne. De fait, obligatoires, conçus
certaines fonctions d'audit interne doivent pour être utilisés par
respecter, en plus du CRIPP, d'autres lignes l'audit interne dans
directrices pour la profession. Il s'agit, par une multitude
exemple, des Governmental Auditing Standards (Normes d'organisations
d'audit public) de l'U.S. Government Accountability Office opérant au sein
(GAO), des Standards for the Professional Practice of Envi- d'environnements
ronmental, Health and Safety Auditing (Normes pour la juridiques et
pratique professionnelle de l'audit concernant culturels variés.
l'environnement, la santé et la sécurité) et des C'est pourquoi il
normes publiées par l'Organisation internationale existe peu voire pas
de normalisation (ISO). Ainsi, aux États-Unis, il de conflit direct
n'est pas rare que des organismes publics locaux entre les Normes
et d'État incorporent dans leur charte les Normes de professionnelles de
l'IIA et les Governmental Auditing Standards (Yellow Book) l'audit interne et les
publiés par le Government Accountability Office.
Copyright © 2015 Eyrolles.

normes publiées par

d'autres
L'introduction aux Normes professionnelles de l'audit organisations
interne indique la marche à suivre lorsque plusieurs professionnelles.
normes s'appliquent :
U.S. GAO
(Government
Accountability
Office)
Organisme qui publie
des normes relatives
aux audits publics
(Yellow Book).

LE CADRE DE RÉFÉRENCE INTERNATIONAL DES PRATIQUES PROFESSIONNELLES II 2-41

ISACA Lorsqu'il existe des différences, il s'agit généralement de règles
plus exigeantes pour un principe particulier. Ainsi, la Norme S9.10
(Information
de l'ISACA (Information Systems Audit and Control Association)
Systems Audit impose aux auditeurs des systèmes d'information d'obtenir, au
and Control moins tous les ans, une déclaration écrite qui reconnaisse la res-
ponsabilité du management dans la conception et la mise en
Association) oeuvre du contrôle interne afin de prévenir et de détecter tout acte
illé-ga1.11 Les Normes professionnelles de l'audit interne
Organisme qui publie des
n'imposent pas spécifiquement d'obtenir une déclaration écrite de
normes, règles et
la part du management, mais l'obtention de ce document n'est
procédures relatives à
l'audit des systèmes
nullement contradictoire avec ces Normes.
d'information.
Normes relatives à l'audit interne des administrations
publiques. Aux États-Unis, le Government Accountability Office
(GAO) publie des normes destinées aux audits des entités
publiques, généralement appelées normes du Yellow Book (normes
du livre jaune) en raison de la couverture jaune de l'ouvrage qui les
compile. Les normes du Yellow Book s'appliquent aux audits
financiers fédéraux, aux audits de performance (ou opérationnels)
et à d'autres activités liées à l'audit. La législation fédérale améri-
caine impose aux auditeurs, travaillant au niveau fédéral ou non, de
se conformer aux normes du Yellow Book pour les audits des
organisations, programmes et fonctions fédéraux. Ces normes sont
généralement pertinentes, et leur utilisation est recommandée,
pour les auditeurs ou experts-comptables des entités publiques à
l'échelon local ou des États, pour la plupart des audits d'adminis-
trations publiques à l'échelon local ou de l'État. Le Yellow Book
reconnaît explicitement que les Normes professionnelles de l'audit
interne sont pertinentes pour l'audit des entités publiques ; cepen-
dant, en cas de conflit ou lorsque les normes du Yellow Book sont
plus strictes, il impose le respect de ces dernières. Par exemple,
selon les Normes professionnelles de l'audit interne, des évalua-
tions externes doivent être effectuées tous les cinq ans, mais le Yel-
low Book en fixe la fréquence à trois ans.

À l'instar des États-Unis, la plupart des pays disposent d'un

ensemble de normes destinées à l'audit des entités et marchés
publics. Beaucoup ont pris modèle sur les principes établis par l'in-
ternational Organization of Supreme Audit Institution (INTOSAI).
Tout comme le Yellow Book, ces normes tendent à se concentrer
sur les audits de performance et financiers à l'intention des
utilisateurs extérieurs.

Normes relatives à l'audit des systèmes d'information.

L'audit des systèmes d'information informatisés fait partie
intégrante du travail de l'audit interne. Bien que les Normes
professionnelles de l'audit interne procurent un cadre de référence
suffisant pour l'audit des systèmes informatisés, l'ISACA
(Information Systems Audit and Control Association) donne des
lignes directrices plus détaillées et plus spécialisées. Les Normes
de l'ISACA sont tout à

UDIT INTERNE

2-42 I I MANUEL D'A

 fait similaires aux Normes professionnelles de l'audit interne, à
ceci près qu'elles s'appliquent à un domaine bien plus précis.
L'ISACA publie des « normes », des « règles » et des « outils et
techniques d'assurance et d'audit des systèmes d'information »
relatifs à l'audit des systèmes d'information. Les « règles » de
l'ISACA énoncent des informations plus spécifiques sur la manière
d'appliquer ces « normes » et requièrent que l'on justifie tout écart
le cas échéant. Les « outils et techniques d'assurance et d'audit
des systèmes d'information » donnent des exemples de ce qu'un
auditeur des systèmes d'information est amené à faire lorsqu'il
réalise une mission d'audit, mais il ne s'agit pas d'impératifs. À
l'heure actuelle, il n'y a pas d'incompatibilité entre les Normes de
l'ISACA et les Normes professionnelles de l'audit interne. Les
fonctions d'audit interne qui travaillent sur les systèmes
d'information doivent avoir connaissance des lignes directrices de
l'ISACA et envisager de les adopter pour leur travail d'audit sur les
systèmes d'information.
BEAC (Board of
Normes pour la pratique professionnelle de l'audit concer- Environmental,
nant l'environnement, la santé et la sécurité. Le Board of Health, and
Environmental, Health and Safety Auditor Certifications (BEAC, Safety Auditor
Conseil de certification des auditeurs de l'environnement, de la Certifications)
santé et de la sécurité) a établi des Standards for the Professional
Conseil de certification
Practice of Environmental, Health and Safety Auditing (Normes
qui publie des normes
pour la pratique professionnelle de l'audit concernant l'environne-
visant à répondre aux
ment, la santé et la sécurité) visant à répondre aux besoins des besoins des
professionnels de l'audit dans les domaines de l'environnement, professionnels de
de la santé et de la sécurité. Dans certaines organisations, ce l'audit dans les
sont des services autres que l'audit interne qui donnent domaines de
l'assurance que l'organisation respecte les lois et règlements l'environnement, de la
relatifs à la protection de l'environnement, à la santé et à la santé et de la sécurité.

sécurité. D'autres organisations estiment qu'il est de la

responsabilité de l'audit interne de donner cette assurance.
Lorsque l'audit interne effectue une mission portant sur
l'environnement, la santé ou la sécurité, il peut s'appuyer sur les
PCAOB (Public
Copyright © 2015 Eyrolles.

Normes du BEAC pour orienter son action. Celles-ci ne sont pas

Company
contradictoires avec les Normes professionnelles de l'audit
Accounting
interne.
Oversight
Board) et AICPA
Normes relatives aux audits financiers. Actuellement, ce sont
(American
le Public Company Accounting Oversight Board (PCAOB) et l'Arne-
Institute of
rican Institute of Certified Public Accountants qui fixent les normes
relatives aux audits des états financiers des organisations aux États- Certified Public
Unis. Dans d'autres pays, des normes pour les audits des états Accountants)
financiers sont également fixées séparément. Cependant, comme Organismes qui
pour les normes comptables, certaines initiatives tentent d'har- publient les normes
moniser les normes d'audit financier entre plusieurs pays. Ainsi, relatives aux audits
l'International Auditing and Assurance Standards Board (IAASB, des états financiers
Conseil des normes internationales d'audit et d'assurance), qui fait des organisations
partie de l'International Federation of Accountants (IFAC), publie des aux États-Unis.

normes d'audit internationales qui sont adoptées par un certain

nombre de pays. Bien que ces normes concernent directement
LE CADRE DE RÉFÉRENCE INTERNATIONAL DES PRATIQUES PROFESSIONNELLES II 2-43
I FAC l'audit externe des états financiers, elles peuvent également avoir
une influence sur les travaux d'audit interne, en particulier pour les
(International Federation of
normes qui portent sur la coordination entre l'audit interne et
Accountants)
externe.
Organisme qui publie

des normes d'audit internationales Ç.n. Commentaire du traducteur

En France, la Loi de Sécurité Financière (2003) a confié l'élaboration des Normes
adoptées par d'exercice professionnel (NEP) à la Compagnie nationale des commissaires aux comptes
(CNCC), qui les transmet au Garde des Sceaux pour homologation après avis du Haut
un certain nombre de
Conseil du Commissariat aux Comptes (H3C).
pays.

Autres lignes directrices pertinentes. Les lignes directrices

publiées par d'autres organisations professionnelles peuvent
également se révéler pertinentes pour les auditeurs internes.
· L'Organisation internationale de normalisation (ISO) définit
des normes pour les audits qualité et environnementaux.
· Standards Austr•alia publie des normes sur les processus
de gouvernance et de gestion des risques.
· Le Committee of Sponsoring Organizations of the Treadway
Commission (COSO) a édité des référentiels ayant spécifique-
ment trait au contrôle interne et à la gestion des risques.
· La Society of Corporate Compliance and Ethics (SCCE)
formule des lignes directrices à l'intention des spécialistes
de la déontologie et de la conformité.
· La Health Care Compliance Association (HCCA) propose des
normes de conformité à l'intention des professionnels du
secteur de la santé.
· Le Comité de Bâle sur le contrôle bancaire a établi des
normes spécifiques (appelées Bâle I, Bâle II et Bâle III) pour
l'audit interne des systèmes de gestion des risques et
d'évaluation des établissements bancaires et financiers.

Ç.. Commentaire du traducteur

En France, l'AMF (Autorité des marchés financiers) a publié le cadre de référence de
gestion des risques et du contrôle interne qui s'applique à toute société cotée.

Ce ne sont là que quelques-unes des organisations qui publient des

lignes directrices pertinentes pour les auditeurs internes. Ces derniers
doivent avoir connaissance de ces organisations et de la nature des
lignes directrices qu'elles publient. Les auditeurs internes qui opèrent
dans certains pays ou dans certains secteurs doivent être au courant
des lignes directrices existantes autres que le CRIPP de l'IIA et qui
sont pertinentes pour leurs travaux.

UDIT INTERNE

2-44 II MANUEL D'A

 RÉSUMÉ

Ce chapitre visait à présenter en détail le Cadre de référence inter-

national des pratiques professionnelles de l'audit interne (CRIPP).
Ce cadre de référence contient deux types de dispositions : des
dispositions obligatoires et des dispositions fortement
recommandées, qui permettent à l'audit interne d'effectuer des
activités d'assurance et de conseil créatrices de valeur ajoutée.
Les dispositions obligatoires sont la définition de l'audit interne, le
Code de déontologie et les Normes. Les dispositions fortement
recommandées sont constituées des Modalités Pratiques
d'Application, des prises de position et des guides pratiques. Ce
chapitre présente en outre le processus par lequel les Instituts
d'audit interne tiennent à jour et développent le CRIPP, ainsi que
les lignes directrices publiées par des organisations
professionnelles autres que l'IIA et susceptibles d'intéresser les
auditeurs internes.

Le Code de déontologie expose les principes déontologiques et les

règles de comportement pertinents pour la pratique de l'audit
interne. Les Normes de qualification permettent de comprendre les
caractéristiques essentielles que doivent regrouper la fonction
d'audit interne et les auditeurs internes pour proposer des activités
d'assurance et de conseil efficaces. Les Normes de fonctionnement
donnent les lignes directrices de référence sur la manière de gérer
l'audit interne et de mener des missions d'assurance et de conseil.
Les Normes de mise en oeuvre précisent les Normes de qualifica-
tion et les Normes de fonctionnement, en donnant des orientations
qui s'appliquent soit aux activités d'assurance soit aux activités de
conseil. Les Modalités Pratiques d'Application, les prises de position
et les guides pratiques donnent des orientations utiles aux audi-
teurs internes lorsqu'ils appliquent la définition de l'audit interne, le
Code de déontologie et les Normes professionnelles de l'audit
interne. Enfin, les normes publiées par d'autres organisations qui
sont pertinentes pour les auditeurs internes ont été présentées.

Le CRIPP, en particulier les Normes professionnelles de l'audit

interne et les Modalités Pratiques d'Application, seront examinés
Copyright © 2015

de façon plus approfondie dans la suite de cet ouvrage.

Eyrolles

LE CADRE DE RÉFÉRENCE INTERNATIONAL DES PRATIQUES PROFESSIONNELLES II 2-45

 h
. . Questions de révision

1. Comment la nécessité de parler d'activités d'audit interne est-elle apparue ?

2. Quelles sont les six composantes du Cadre de référence international des

pratiques professionnelles de l'audit interne ? Quelles sont les dispositions obligatoires ? Quelles
sont les dispositions fortement recommandées ?

3. En vous appuyant sur la proposition de valeur de l'audit interne, expliquez en

quoi celui-ci crée de la valeur ajoutée pour l'organisation.

4. Quel est l'objectif du Code de déontologie ?

5. Énoncez les quatre principes fondamentaux du Code de déontologie. Pourquoi

les auditeurs internes doivent-ils s'efforcer de respecter ces règles ?

6. Quel est l'objectif des Normes professionnelles de l'audit interne ? Expliquez

la différence entre Normes de qualification et Normes de fonctionnement.

7. Quelle est la différence entre activités d'assurance et activités de conseil ?

Pourquoi les Normes de mise en oeuvre ne sont-elles pas les mêmes dans les deux cas ?

8. Quelle est la définition de l'indépendance dans son acception relative à l'audit

interne ? Quelle est la définition de l'objectivité dans son acception relative
à l'audit interne ?

9. Que signifie l'expression « conflits d'intérêts » ? Comment ces conflits

d'intérêts surviennent-ils ?

10. Que signifie le terme « compétence » ? Que signifie l'expression «conscience professionnelle
»?

11. Quel est l'objectif du programme d'assurance et

Copyright © 2015 Eyrolles.

d'amélioration qualité de la fonction d'audit interne ?

12. Quelles sont les sept grandes sections des Normes de fonctionnement ?

13. Identifiez les Normes de fonctionnement qui ont spécifiquement trait aux
points suivants :
a. planification de la mission ;
b. accomplissement de la mission ;
c. communication des résultats.

14. Quelle est la relation entre les Normes et les Modalités Pratiques d'Application ?

2-46 MANUEL D'AUDIT INTERNE

 Questions de révision

1 5. Définissez les prises de position. Définissez les guides pratiques.

16. Quelles sont les responsabilités du Professional Guidance Advisory Council ?

17. Précisez la mission des comités suivants :

a. Global Ethics Committee ;
b. International Internai Audit Standards Board ;
c. Professional Issues Committee.

18. Quelles organisations, autres quel/IA, ont publié des lignes directrices pertinentes pour les
Copyright © 2015 Eyrolles.

auditeurs internes ?
LE CADRE DE RÉFÉRENCE INTERNATIONAL DES PRATIQUES PROFESSIONNELLES 2-47
 xe • Questions à choix multiples

Sélectionnez la meilleure réponse pour chacune des questions suivantes.

1. L'un des principaux objectifs des Normes professionnelles de l'audit interne est de :
a. Promouvoir la coordination des efforts d'audit interne et externe.
b. Proposer une base pour l'évaluation des performances de l'audit interne.
c. Renforcer la cohérence dans les pratiques d'audit interne.
d. Codifier les pratiques existantes.

2. Dans le CRIPP, lesquels des éléments suivants sont des « dispositions

obligatoires» ?
I. Les Modalités Pratiques d'Application.
Il. Le Code de déontologie.
III. La définition de l'audit interne.
IV. Les Normes professionnelles de l'audit interne.
a. I, Il et IV
b. Il et IV.
c. 11,111etIV.
d. I, II, III et IV.

3. Un auditeur interne procure des services relatifs à l'impôt sur le revenu pendant la
période des déclarations fiscales. Pour laquelle des activités suivantes considérera-t-on
plus vraisemblablement que l'auditeur interne viole le Code de déontologie ?
a. Remplir, contre rémunération, la déclaration d'impôts sur le revenu
personnelle de l'un des managers d'une division de l'organisation.
b. Être invité par une station de radio locale pour débattre de questions
fiscales et de planification de la retraite.
c. Être rémunéré pour dispenser un cours du soir sur la fiscalité à
l'Institut universitaire voisin.
d. Travailler le week-end pour un ami qui possède un petit cabinet
d'expert-comptable.

4. Un auditeur interne est en train d'auditer une division dont le directeur financier est
un ami intime. L'auditeur apprend que son ami doit être remplacé après une série de
négociations pour un contrat sensible avec le ministère de la Défense et relaie cette
Copyright © 2015 Eyrolles.

information à son ami. Quel est le principe du Code de déontologie qui a été violé ?
a. L'intégrité.
b. L'objectivité.
c. La confidentialité.
d. La vie privée.

2-48 MANUEL D'AUDIT INTERNE

 Questions à choix multiples •____________ xe
5. Lors de l'exécution d'une mission d'assurance, les Normes professionnelles de
l'audit interne requièrent que l'auditeur interne fasse preuve de conscience
professionnelle. Parmi les propositions suivantes, laquelle désigne un élément que
l'auditeur interne peut laisser de côté lorsqu'il détermine en quoi consiste l'exercice
de la conscience professionnelle dans les missions d'assurance concernant des
opérations de trésorerie ?
a. Le comité d'audit souhaite être assuré que les opérations de trésorerie
sont bien conformes à une nouvelle politique appliquée aux instruments
financiers.
b. La direction de la trésorerie n'a pas mis en place de politique de
gestion des risques.
c. Les auditeurs externes demandent à voir le rapport et les papiers de
travail de la mission.
d. La fonction de trésorerie vient d'achever la mise en place d'un
nouveau système de suivi des investissements en temps réel.

6. Dans laquelle des situations suivantes l'auditeur interne risque-t-il de

manquer d'objectivité ?
a. Un collaborateur de la comptabilité de la paie aide un auditeur interne
à vérifier le stock physique des petits moteurs.
b. Un auditeur interne discute d'un problème significatif avec le vice-
président à qui l'audité rend compte, avant de rédiger son rapport d'audit.
c. Un auditeur interne recommande des normes de contrôle et des mesures
de performance pour un contrat avec une organisation chargée du traitement
de la paie et des avantages sociaux.
d. Un ancien membre du service Achats examine le contrôle interne
relatif aux achats quatre mois après avoir été transféré au service d'audit
interne.

7. Parmi les éléments suivants, lequel ou lesquels fait/font partie des Normes ?
Copyright © 2015 Eyrolles.

I. Les déclarations.
Il. Les interprétations.
III. Le glossaire.
a. I uniquement.
b. Iet11.
c. I et III.
d. I, Il et III.
LE CADRE DE RÉFÉRENCE INTERNATIONAL DES PRATIQUES PROFESSIONNELLES
xe • Questions à choix multiples

8. D'après les Normes, à quoi le responsable de l'audit interne doit-il penser

lorsqu'il prête attention à la conscience professionnelle, lors de la planification d'une mission
d'assurance ?
a. L'opportunité pour les collaborateurs de l'audit interne
d'effectuer une formation croisée.
b. Le coût de la mise en place de contrôles par rapport aux avantages escomptés.
c. Les opportunités d'emploi dans des services qui peuvent être
intéressants pour les auditeurs internes affectés à la mission.
d. La possibilité de proposer des activités de conseil à l'audité.

9. Parmi les différentes catégories de dispositions suivantes du CRIPP, laquelle ou

lesquelles doit/doivent être soumise(s) aux divers Instituts nationaux de l'IIA avant d'être publiée(s) ?
I. Une nouvelle Modalité Pratique d'Application.
Il. Une nouvelle Norme.
III. Une nouvelle prise de position.
IV. Une nouvelle définition dans le glossaire des Normes.
a. III uniquement.
b. Il et IV.
c.11,111etIV.
d. I, Il, III et IV.

10. Lequel des éléments suivants est nécessaire pour que l'audit interne puisse
fonctionner conformément aux Normes?
a. Évaluer tous les ans l'efficacité du comité d'audit.
b. Publier tous les ans une opinion globale sur l'adéquation du
système de contrôle interne de l'organisation.
c. Obtenir une déclaration annuelle reconnaissant la responsabilité
Copyright © 2015 Eyrolles.

du management dans la conception et la mise en oeuvre des contrôles destinés

à empêcher les actes illégaux.
d. Déterminer si la gouvernance des systèmes d'information
vient étayer et renforcer les stratégies et objectifs de
l'organisation.

2-50 MANUEL D'AUDIT INTERNE

 Thèmes de discussion
w
1. Pourquoi est-il important qu'une profession telle que l'audit interne publie
des normes ?

2. Référez-vous à l'annexe A, « Le Code de déontologie », et répondez aux questions

suivantes
a. Pourquoi est-il important que la profession d'audit interne se dote
d'un code de déontologie ?
b. En quoi les principes fondamentaux diffèrent-ils des règles de conduite ?
c. Qui doit respecter le Code de déontologie ?
d. Quelles sont les conséquences d'une violation du Code de déontologie ?

3. En quoi le Code de déontologie diffère-t-il des Normes dans la manière de régir

le comportement et les activités des auditeurs internes ?

4. La participation d'un responsable de l'audit interne à un programme de stock-

options constitue-t-elle une violation du Code de déontologie ou des Normes ? Expliquez votre
réponse.

5. Le responsable de l'audit interne de Sargon Products est rattaché

administrativement au directeur financier, et sur le plan fonctionnel, au comité
d'audit. Le périmètre des activités d'assurance de l'audit interne inclut des missions
financières, opérationnelles et sur la conformité.
Y a-t-il atteinte à l'objectivité de l'auditeur interne dans chacune des situations
décrites ci-dessous ? Explicitez brièvement votre réponse.
a. On demande souvent aux auditeurs internes d'enregistrer des écritures
comptables relatives à des transactions complexes, pour lesquelles
les comptables de l'organisation n'ont pas l'expertise suffisante.
[Link] comptable effectue le rapprochement des relevés bancaires
mensuels de l'organisation. Un auditeur interne examine ces
Copyright © 2015 Eyrolles.

rapprochements afin de s'assurer qu'ils ont été réalisés correctement.

6. Examinez l'encadré 2-8 et répondez aux questions suivantes :

a. Pourquoi est-il important que l'audit interne dispose d'une charte ?
b. Quelles informations la charte d'audit interne doit-elle contenir ?

LE CADRE DE RÉFÉRENCE INTERNATIONAL DES PRATIQUES PROFESSIONNELLES 2-51

 _________________• Thèmes de discussion

7. Vous faites partie d'un service d'audit interne qui compte trois personnes et le
directeur général de votre organisation vous demande d'auditer le contrôle interne des activités de
négociation et de couverture sur les matières premières de l'organisation ; or, personne au sein du
service ne dispose d'une formation dans ce domaine.
a. Reportez-vous à l'annexe B, « Les Normes internationales pour la
pratique professionnelle de l'audit interne ». Quelle(s) norme(s) consulteriez-
vous pour obtenir des orientations par rapport à la situation décrite ci-dessus ?
Expliquez.
b. Reportez-vous à la liste des Modalités Pratiques d'Application sur le site
Internet de l'IIA ([Link]) ou d'autres Instituts (par exemple,
[Link]). Quelle(s) Modalité(s) Pratique(s) d'Application consulteriez-vous
Copyright © 2015 Eyrolles.

pour obtenir des orientations ? Expliquez.

2-52 MANUEL D'AUDIT INTERNE
 ÉTUDES DE CAS

CAS N° 1 En 1999, le Wall Street Journal (7 avril 1999, page cl) décrivait l'affaire
(désormais réglée) U.S. Securities Exchange Commission (SEC) contre W.R. Grace & Co., la SEC
affirmant que l'organisation s'était livrée à de la «gestion de bénéfices » dans son unité National
Medical Care.

Au début des années 1990, les cadres de W.R. Grace & Co. ont eu des doutes quant aux
performances de l'unité National Medical Care Inc. de l'organisation. Le problème était le suivant :
les résultats progressaient trop vite. Les bénéfices augmentaient de plus de 30 % par an, dépassant
donc l'objectif de croissance de l'unité. Alors que la plupart des organisations se seraient extasiées
devant ces résultats, les cadres de Grace ont craint que l'unité ne puisse les pérenniser. Ils ont donc
discrètement escamoté ces bénéfices excédentaires dans une réserve à usage général, dans laquelle
ils pourraient puiser ultérieurement d'une façon qui masque les problèmes réels, notamment le
ralentissement des bénéfices.

Cette accumulation de bénéfices a rapidement été découverte par les auditeurs externes, qui ont, à
plusieurs reprises, indiqué à Grace que ce n'était pas bien, comme le montrent les notes internes du
Cabinet d'audit. Mais au lieu de tenir bon, les comptables ont déclaré que les états financiers étaient
satisfaisants...

Les notes internes de l'organisation et du Cabinet d'audit, ainsi que les extraits des dépositions, font
apparaître un dysfonctionnement du contrôle interne chez Grace et des distorsions bien plus graves
dans les bénéfices que ce qui avait été mis au jour précédemment. Au moins six auditeurs externes
et Norman Eatough, ancien responsable de l'audit chez Grace, ont mis en doute la légalité des
opérations comptables chez Grace...

Certains professionnels soulignent que l'initiative de la SEC revient à faire beaucoup

de bruit pour très peu, remarquant que les organisations ont une certaine marge de
manoeuvre pour adopter les techniques comptables qui leur permettront d'afficher
des bénéfices réguliers, tant que ces ajustements ne sont pas « importants ». C'est un
Copyright © 2015 Eyrolles.

élément assez flou des règles de présentation de l'information dans la législation sur
les valeurs mobilières ; les comptables définissent souvent les ajustements importants
comme les événements qui ont un impact sur les bénéfices supérieurs à 5 ou 10 %.

« N'importe quel directeur financier a géré les bénéfices d'une façon qui, aujourd'hui,
mettrait la SEC dans tous ses états, et la pousserait à crier à la fraude », affirme
Wallace Timmeny, juriste...

Pendant ce temps, M. Eatough, responsable de l'audit interne chez Grace, s'inquiétait de plus en plus
(dans un rapport au directeur financier, il a mis en évidence ce qu'il a appelé un « report délibéré de
revenus comptabilisés »). Cependant, craignant pour son poste, il s'est abstenu d'employer le mot
«fraude »...12

Ar LE CADRE DE RÉFÉRENCE INTERNATIONAL DES PRATIQUES PROFESSIONNELLES 2-53

 ÉTUDES DE CAS

Que conseilleriez-vous à M. Eatough de faire dans cette situation ? Justifiez votre conseil par
les orientations fournies dans le CRIPP, avec des renvois à des sections précises des Normes
et du Code de déontologie, et en prenant en compte d'autres considérations pratiques.

CAS N° 2 13 Mark Hobson est un auditeur interne employé chez Comstock Industries. Il
s'apprête à achever l'audit de la division Avil, mené sur les cinq premières semaines de
l'année. La division Avil est l'une des trois divisions de production de Comstock ; elle fabrique
des stocks permettant de fournir environ 50 % des ventes de Comstock. Outre les divisions de
production, Comstock compte deux divisions de marketing (national et international) et une
division de service technique qui offre un soutien technique à travers le monde. Chaque client
est dirigé vers la division de production la mieux adaptée, qui fait office de fournisseur pour
ce client. La division production décide ensuite du crédit à accorder à ce client, expédie la
marchandise sur la base d'un bon de commande obtenu du représentant commercial et
collecte les sommes à percevoir du client au moment où elles sont dues. Cette méthode
permet de vérifier commande après commande que le plafond du crédit n'est pas dépassé sur
la base des commandes reçues du client.

Deux observations potentielles

Deux éléments inquiètent Mark. Premièrement, un volume important (en valeur) du

stock de pièces A2 était toujours dans les comptes Avil à la fin de l'exercice, alors
que le composant de la machine Fasttac, dans lequel étaient utilisées les pièces A2,
est désormais considéré comme faisant partie de la première génération, et n'est
donc plus fabriqué. La politique de l'organisation requiert une sortie immédiate du
bilan de tous les éléments de stock obsolètes. Deuxièmement, certains comptes
clients toujours répertoriés comme recouvrables à la fin de l'exercice dataient de
plus de 180 jours. Toutes les créances clients sont dues sous 30 jours, ce qui est la
Copyright © 2015 Eyrolles.

règle dans le secteur. Mark pense que nombre de ces créances anciennes sont
irrécouvrables.

C'est l'assistante administrative du manager de la division, Brenda Wilson, qui a

effectué le classement par échéance des créances clients et non le comptable de
la division, comme c'est la pratique. Ce dernier a refusé de discuter des
circonstances des actes de Brenda.

Mark a programmé un rendez-vous avec Brenda pour discuter des points qui lui posent problème.

2-54 MANUEL D'AUDIT

INTERNE
 ÉTUDES DE CAS

«— Eh bien, Mark, répond Brenda, je sais que la politique requiert que les éléments de stock obsolètes soient sortis
du bilan, mais en ce qui concerne la pièce A2, c'est juste qu'elle n'est pas utilisée en ce moment. Il se peut que nous
recommencions à fabriquer ces composants du Fast-tac. Qui sait ? Les cravates larges sont de nouveau à la mode,
n'est-ce pas ? Fast-tac pourrait bien en faire autant. Il y a beaucoup de clients, en particulier dans le tiers monde, qui
trouvent que ces machines de deuxième et de troisième générations coûtent très cher à entretenir. Ce que je veux
dire, c'est qu'il y a une politique qui indique qu'un élément de stock obsolète doit être sorti du bilan, mais qu'il n'y en
a aucune qui définit ce qu'est une pièce obsolète.

— Et pour ce qui est de ces créances clients, poursuit-elle, c'est certainement là aussi
une décision arbitraire. Qui sait si ces créances seront recouvrées ? On est un peu en
récession, en ce moment, mais quand les choses commenceront à se redresser, nous
parviendrons sûrement à en recouvrer quelques-unes. Il n'y a même pas une politique,
dans cette division, sur les sorties de bilan, j'ai vérifié. Rien ne dit que je dois les sortir
du bilan. Alors, de quel droit pouvez-vous me dire ce que j'ai à faire ?

— Brenda, soyez honnête. Vous savez bien que ces pièces ne seront plus
jamais utilisées. Et vous savez que ces créances sont irrécouvrables.

— Écoutez, Mark, concède Brenda, on n'est qu'à deux semaines de la clôture de

l'exercice. Laissons les choses en l'état jusqu'à après clôture, comme ça, tout le
monde pourra avoir sa prime. Après, je le promets, je me pencherai à nouveau sur les
stocks et les créances. Je les sortirai du bilan après la fin de l'exercice, après la
publication des états financiers. Personne ne sera au courant. Et après tout, ça ne fait
de mal à personne, n'est-ce pas ? »

Le manager de la division

Mark poursuit son audit, rédige son rapport avec les observations concernant le stock et les
créances clients, et le passe en revue avec le manager de la division, Hal Wright. Hal est
manifestement perturbé.

«— Dites donc, Mark, cela n'aurait pas pu tomber à un plus mauvais moment. Nos chiffres viennent
d'être acceptés par les auditeurs externes. Il y avait un gars, là-bas, pour faire le dénombrement
Copyright © 2015 Eyrolles

des stocks en novembre et Brenda a déjà envoyé son tableur sur les créances clients en fin
d'exercice au siège. Personne là-haut, ni dans notre groupe ni dans l'équipe d'audit du cabinet
d'experts-comptables, n'a émis la moindre critique. Si vous commencez à remuer tout ça, surtout
maintenant, on va se faire attraper par les auditeurs externes avec nos sorties de bilan et nos
créances clients, ils vont corriger les bénéfices et ça va coûter extrêmement cher à tout le monde.
Et, Mark, admettez que la question n'est pas non plus vraiment tranchée. Je veux dire, vous
pourriez rédiger un rapport qui appelle à une politique plus claire, mais pas à des sorties de bilan
spécifiques. C'est à des kilomètres de votre

LE CADRE DE RÉFÉRENCE INTERNATIONAL DES PRATIQUES PROFESSIONNELLES 2-55

 ÉTUDES DE CAS

champ d'intervention. Je vous le promets, nous regarderons tout cela après que nos états auront été
acceptés. Mais pour le moment, je pense que les managers de la division ont travaillé dur et j'ai l'intention
de me battre pour protéger la petite prime qu'ils vont bientôt recevoir. Si nous procédons aux sorties de
bilan, comme vous le suggérez, ces primes partiront en fumée et les actionnaires vont y perdre aussi. Le
bénéfice par action va dégringoler. Ils pourraient même fermer la division. Ce n'est pas ce que vous voulez,
n'est-ce pas ?

— Eh bien, Hal, je pourrais formuler mes observations comme dans le projet de rapport, mais y ajouter votre
réponse. » Soudain, Hal se met en colère. « Quoi ? Et laisser les membres du comité d'audit statuer sur cette
question ? Ils n'ont rien à voir avec cela. Ils ont accepté le rapport du Cabinet d'audit. Si vous voulez que le
comité d'audit soit content, écoutez-moi et laissez tomber cette histoire d'ajustement. »

La directrice de l'audit interne

Soucieux, Mark a repoussé la finalisation de son rapport et discuté de sa version préliminaire avec Gail Wu,
directrice de l'audit interne. Gail n'est pas auditrice de formation : elle a été promue directrice de l'audit
interne depuis le service financier de l'organisation, afin qu'elle comprenne mieux les relations
opérationnelles. Gail est néanmoins très intelligente, et Mark a toujours respecté son opinion. La discussion
s'est tenue par téléphone, Mark étant toujours au siège de la division Avil, et Gail dans les bureaux de
l'organisation.

«— Mark, Hal a raison. Si, au final, vous dénoncez les primes du management, nous pouvons dire
adieu à toute la survaleur que je me suis efforcée de bâtir pour ce service. Tout sera directement jeté
par les fenêtres.

— Gail, je sais que vous essayez d'améliorer la situation, mais Hal est intraitable. En ce qui le concerne, la
seule observation qu'il est prêt à accepter dans le rapport concernerait les
déficiences de la politique, sans qu'il soit fait mention de l'ajustement nécessaire
sur le stock ou les créances clients. »

Et Gail de mettre un terme à la discussion...

Copyright © 2015 Eyrolles

« Eh bien, faites ce que vous avez à faire. Mais j'insiste pour que vous soumettiez
un rapport qu'Hal ait accepté et signé. Je ne veux pas mettre le feu aux poudres.
Je ne veux pas avoir à expliquer au Conseil que je dois gérer des électrons libres
alors que tout le monde pleure après sa prime.»

1. Référez-vous au Code de déontologie. Identifiez trois règles de conduite

pertinentes dans ce cas. En prenant ces règles de conduite comme contexte,
discutez des questions éthiques soulevées par cette affaire.

2-56 MANUEL D'AUDIT INTERNE

 ÉTUDES DE CAS

2. Indiquez comment le dilemme

déontologique auquel Mark est confronté
aurait pu être évité. En d'autres termes,
discutez de ce que le management de
Comstock et/ou l'audit interne auraient pu
Copyright © 2015 Eyrolles
faire pour réduire le risque de survenue
d'une telle situation.

3. Indiquez clairement ce que vous feriez

si vous vous trouviez à la place de Mark.
Expliquez brièvement pourquoi.