CHAPITRE 3

LA GOUVERNANCE

Objectifs pédagogiques
· Définir la gouvernance et comparer les différents rôles et responsabilités.
· Bien appréhender les divers principes de gouvernance applicables à
toute l'organisation.
· Décrire les évolutions réglementaires et leur impact sur la gouvernance
jusqu'à son état actuel.
· Décrire le rôle de la fonction d'audit interne dans le processus de
gouvernance.

· Savoir où trouver l'information à propos des codes et de la réglementation

relatifs à la gouvernance dans les pays du monde entier.

Commentaire du traducteur
Dans ce document, nous utilisons indifféremment les termes « gouvernement
d'entreprise » et « gouvemance » pour traduire le terme governance.

ENCADRÉ 3-1

DISPOSITIONS DU CRIPP PERTINENTES RELATIVES

AU CHAPITRE 3

Norme 2010 - Planification

Norme 2100 - Nature du travail
Norme 2110 - Gouvernement d'entreprise
Guide pratique : Interaction with the Board
Guide pratique : Assessing Organizational Governance in the Private Sector

L._

Pour réussir, toute organisation doit mettre en place un cadre de référence

générique pour ses décisions, qu'elles soient à long terme ou au jour le jour.
Pensez à la façon dont est structurée une université, ou l'organisation pour
laquelle vous avez travaillé. Réfléchissez aux clubs ou aux équipes de sport
dont vous avez fait partie. Tous avaient une forme de structure qui les a aidés
à réussir.

3-1
 Dans la plupart des organisations, l'audit interne peut constituer
l'un des déterminants essentiels de ce succès. Mais pour bien
comprendre comment, il vous faut au préalable appréhender la
façon dont les organisations sont structurées et opèrent pour
réussir. Certes, la structure effective de l'organisation varie d'une
entité à l'autre, mais toutes doivent établir une structure de
gouvernance d'ensemble afin de satisfaire les besoins des
principales parties prenantes. Cette structure de gouvernance
encadre les activités de ceux qui se chargent quotidiennement de
la gestion des risques inhérents au modèle économique de leur
organisation, à savoir le contrôle interne. Ces éléments sont
illustrés dans l'encadré 3-2.

ENCADRÉ 3-2 PRINCIPAUX ÉLÉMENTS DE LA GOUVERNANCE

J
Comme le montre cette illustration, toutes les activités d'une
organisation ont des enjeux de gouvernance. La structure de
gouvernance peut être axée sur le respect des lois et règlements
des juridictions dans lesquelles l'organisation opère. Les lois et
règlements visent généralement la protection de l'intérêt général.
En outre, le Conseil et la direction générale d'une organisation
peuvent définir les structures de gouvernance de manière à ce
que les besoins des principales parties prenantes soient satisfaits
et que l'organisation opère dans les limites et conformément aux
valeurs fixées par le Conseil et la direction générale.

La gestion des risques constitue la strate suivante de la

structure de gouvernance. Elle vise à :
· détecter et à gérer les risques susceptibles d'entraver la
réussite de l'organisation ;
· à exploiter les opportunités qui conduisent au succès.

3-2 II MANUEL D'A

UDIT INTERNE
 Le management élabore des stratégies afin d'optimiser la
gestion des principaux risques et opportunités. Les activités de
gestion des risques doivent suivre la direction globale imposée
par la structure de gouvernance. La gestion des risques est
traitée en détail au chapitre 4, intitulé La gestion des risques.

Dans l'encadré 3-2, le contrôle interne est représenté au centre,

car le système de contrôle interne constitue une sous-catégorie,
et fait partie intégrante, des activités de gestion des risques. Le
traitement des risques, qui inclut les contrôles, a pour but de
mettre en oeuvre les stratégies de gestion des risques. Pour de
plus amples informations sur les contrôles et le système de
contrôle interne, voir le chapitre 6, Le contrôle interne.

Enfin, les flèches représentent la circulation de l'information à tra-

vers toute la structure de gouvernance. Le Conseil imprime une
orientation à la direction générale, pour la guider dans l'exécution
des activités de gestion des risques. La direction générale donne
à son tour une orientation au niveau de management
responsable des activités de contrôles spécifiques. Les managers
intermédiaires rendent compte à la direction générale de la
réussite de ces contrôles. Et il revient à la direction générale elle-
même de fournir au Conseil une assurance concernant l'efficacité
des activités de gestion des risques. Les flèches à l'intérieur de
l'encadré montrent les flux d'orientation et de responsabilité d'un
niveau à l'autre.

Le présent chapitre décrit précisément la gouvernance, dont il

expose les composantes et principes clés, ainsi que les rôles et
responsabilités qui y ont trait. Des illustrations permettent de
décrire, de manière plus approfondie, comment envisager les
principaux éléments de la gouvernance. Ce chapitre analyse aussi
le rôle d'assurance de la fonction d'audit interne dans la
gouvernance, ainsi que celui que peuvent jouer les autres
missions d'assurance.
Gouvernance (ou
gouvernement
CONCEPTS LIÉS À LA GOUVERNANCE d'entreprise)
Copyright © 2015

Dispositif
Réaliser efficacement des activités internes d'assurance et de comprenant les
conseil requiert de bien comprendre l'activité de l'organisation. processus et les
Eyrolles.

Pour ce faire, il est nécessaire de cerner le fonctionnement de structures mis en

l'organisation selon une perspective descendante. place par le Conseil
Habituellement, le dispositif global permettant ce afin d'informer, de
diriger, de gérer et
fonctionnement est désigné par l'expression « gouvernement
de piloter les
d'entreprise » ou « gouvernance ».
activités de
l'organisation en
vue de réaliser ses
Définition de la gouvernance objectifs.

Comme indiqué dans le chapitre 1, Introduction à l'audit interne,

la gouvernance est un processus piloté par le Conseil qui
OUVERNANCE II 3-3
consiste à autoriser, diriger et surveiller les activités de la
direction générale
LA G
 en vue de réaliser les objectifs de l'organisation. La définition
donnée par l'Organisation de coopération et de développement
économiques (OCDE) est communément admise. Cette
organisation, basée à Paris, regroupe les gouvernements de pays
attachés aux principes de démocratie et d'économie de marché :

« Le gouvernement d'entreprise fait référence aux relations

entre la direction d'une entreprise, son conseil
d'administration, ses actionnaires et d'autres parties
prenantes. Il détermine également la structure par laquelle
sont définis les objectifs d'une entreprise, ainsi que les
moyens de les atteindre et d'assurer une surveillance des
résultats obtenus. »1

Bien qu'il existe beaucoup d'autres définitions de la

gouvernance, la plupart d'entre elles présentent des éléments
communs. [Il est recommandé aux lecteurs de consulter
[Link] all_codes.php pour une liste
complète des codes en vigueur dans le monde entier, dont
beaucoup ont trait à la gouvernante.] Le glossaire des Normes
internationales pour la pratique professionnelle de l'audit interne
(les Normes) de l'IIA décrit la gouvernance comme « le dispositif
comprenant les processus et les structures mis en place par le
Conseil afin d'informer, de diriger, de gérer et de piloter les
activités de l'organisation en vue de réaliser ses objectifs ».2

Dans le cadre du rôle du Conseil en matière d'information et de

direction des activités de l'organisation, les paragraphes qui
suivent à propos de la gouvernance portent sur la façon dont
l'organisation détermine ses objectifs et ses valeurs, et fixe les
limites de sa conduite. Si l'on intègre les différentes définitions de
la gouver-nance ainsi que les éléments connexes, on peut décrire
la gouver-nance au moyen du diagramme présenté à l'encadré 3-
3.
ENCADRÉ 3-3
PRÉSENTATION DE LA GOUVERNANCE

Sous la supervision du
Conseil (et de ses
comités)

Définition Supervision
de du processus
l'orientation de
stratégique gouvernance

,
- ' 1 1 1 1 1 "

3-4 II MANUEL D'A UDIT INTERNE

 Le premier domaine de la gouvernance concerne l'orientation Conseil
stratégique de l'entité. Il revient au Conseil de donner Organe de
l'orientation stratégique et les lignes directrices relatives à la gouvernance d'une
définition des objectifs clés de l'organisation, qui doivent cadrer organisation. Il
avec le modèle économique de l'organisation et les priorités des peut s'agir d'un
parties prenantes. Forts d'expériences diverses et variées, les Conseil
administrateurs sont en position de fournir des informations et d'administration,
d'un Conseil de
une orientation qui doivent permettre à l'organisation de réussir.
surveillance, de
Le Conseil peut également influencer la position de cette
l'organe délibérant
dernière vis-à-vis de la prise de risques et poser des limites en d'un organisme
fonction de l'appétence générale pour le risque et des valeurs public ou d'une
culturelles. Le Conseil doit, par ailleurs, suivre les avancées vers association ou de
la réalisation des buts et objectifs de l'organisation. tout autre organe.

Le deuxième domaine de la gouvernance décrit dans l'encadré Stratégie

est la supervision, qui concerne le rôle du Conseil en matière de Manière dont
gestion et de pilotage des activités de l'organisation. Prolongeant la direction générale
l'encadré 3-3, l'encadré 3-4 présente les principales prévoit de réaliser
composantes de la supervision de la gouvernance. Parce que les objectifs
c'est au niveau de cette supervision que la gestion des risques et de l'organisation.
les activités d'audit interne sont les plus pertinentes, cet aspect
est approfondi à la suite de cet encadré.

Les principaux points à retenir de cette description de la

gouver-nance sont les suivants.
· Le Conseil et ses comités supervisent la gouvernance pour l'en-
semble de l'organisation. Ils donnent une orientation à la
direction générale, lui confèrent le pouvoir de prendre les
mesures nécessaires pour suivre cette orientation et
supervisent les résultats généraux des opérations.
· Après avoir cerné les besoins des principales parties prenantes,
le Conseil s'attache à leur satisfaction. In fine, le Conseil a une
responsabilité fiduciaire vis-à-vis des parties prenantes de
l'organisation, auxquelles il doit rendre compte.
· Au quotidien, la gouvernance est exécutée par le
management. La direction générale et les managers
intermédiaires jouent un rôle important dans la gouvernance,
Copyright © 2015

quoique distinct. Ils exercent leur rôle via les activités de

gestion des risques.
· Les activités d'assurance internes et externes fournissent à
Eyrolles

la direction générale et au Conseil une assurance quant à

l'efficacité des activités de gouvernance.

L A GOUVERNANCE II 3-5
ENCADRÉ 3-4 LES GRANDES COMPOSANTES DE LA SUPERVISION
DE LA GOUVERNANCE

PARTIES PRENANTES

Rôles et responsabilités au sein

Sous la supervision du Conseil
de la gouvernance - Le Conseil et ses comités
------(et de ses comités)
onseit'
Sous la supervision du C La
(et de ses comités)

gouvernance
Managementrelève de la
des risques responsabilité
Assurance
du
Conseil, Direction générale
même si cette responsabilité est souvent

d'audit, par exemple).

z
exercée par le biais de ses divers
La première
Activités
comités (le comité
internes
Activités
externes
des responsabilités
Propriétaires de risques
du Conseil est d'identifier les principales parties
prenantes d'une organisation, à savoir toute partie ayant un
intérêt direct ou indirect dans les activités d'une organisation et
leur résultat. On peut considérer que les parties prenantes pré-
sentent l'une ou plusieurs des caractéristiques suivantes :
· certaines parties prenantes participent directement au
fonctionnement de l'organisation (ex. : collaborateurs) ;
· d'autres parties prenantes ne participent pas directement
au fonctionnement de l'organisation, mais y ont un intérêt,
ce qui signifie que la réussite ou toute autre résultante de
l'activité a une incidence sur ces parties prenantes (ex.:
clients, fournisseurs) ;
· certaines parties prenantes influentes ne sont pas
directement impliquées dans le succès de l'organisation ni
intéressées par celui-ci, mais peuvent néanmoins influencer
certains aspects de l'activité de l'organisation et, par
conséquent, la réussite de cette dernière (ex. : autorités de
régulation).
MANUEL D'A UDIT INTERNE
 Les principales parties prenantes sont les suivantes. PARTIES
PRENANTES
· Les collaborateurs travaillent pour une organisation, et parti-
cipent directement à sa réussite. Les collaborateurs ont intrin- Types de
sèquement intérêt à ce que l'organisation soit prospère et parties
viable, car si celle-ci fait faillite ou doit réduire ses effectifs par prenantes
manque de succès sur le marché, ils risquent de perdre leur - Participation
revenu. Le Conseil doit donc veiller à ce que l'organisation directe.
opère d'une façon qui serve au mieux les intérêts de ses - Intérêt.
collaborateurs. - Influence.

· Les clients sont habituellement l'élément vital de l'activité de

l'organisation et, en tant que tels, ils participent directement
à sa réussite. Les clients ont également un intérêt au succès
d'une organisation, car l'échec de cette dernière peut réduire
le nombre d'options viables qu'ils auront à leur disposition
pour obtenir un bien ou un service de qualité. Moyennant un
paiement, les clients s'attendent à ce que l'organisation, pour
fabriquer des produits sûrs et fiables, fournisse les services
convenus et se conforme à d'autres aspects des contrats et
accords de vente. Parce que l'organisation a des obligations
vis-à-vis de ses clients, le Conseil a pour responsabilité de
veiller au respect de ces obligations.
· Les fournisseurs procurent les biens et services nécessaires à
l'organisation pour mener son activité et participent, par
conséquent, directement à l'activité. Comme les clients, les
fournisseurs ont un intérêt dans la viabilité de l'organisation,
qui constitue pour eux un client. Une organisation a certaines
obligations vis-à-vis de ses fournisseurs, la plus évidente étant
celle de payer les biens et services reçus. Le Conseil doit donc
exercer une responsabilité de supervision afin de s'assurer que
l'organisation respecte ses obligations conformément aux
contrats et accords conclus avec ses fournisseurs.
· Les actionnaires/les investisseurs ne participent pas directe-
ment à l'activité, mais ont un très grand intérêt dans le succès
de l'organisation. En effet, ces parties prenantes ont investi
Copyright © 2015 Eyrolles.

dans l'organisation, que ce soit via des parts du capital, qui

sont des unités de propriété, ou un autre instrument juridique.
Les actionnaires peuvent être des particuliers, des organismes
ou des fonds qui investissent pour le compte d'un groupe
d'investisseurs. Habituellement, les actionnaires ont le droit
d'élire au Conseil les personnes qu'ils jugent à même de servir
et de protéger au mieux leurs intérêts. Donc, parce qu'ils sont
en mesure d'influencer le Conseil, les actionnaires sont
souvent considérés comme les parties prenantes les plus
importantes et les plus puissantes du point de vue du Conseil.
· Les autorités de régulation et de supervision représentent
des organismes publics qui peuvent avoir un intérêt dans la
réussite de l'organisation ou être capables d'influencer cette
réussite. Les règles et règlements qu'elles adoptent
peuvent dicter à une organisation certains impératifs
opérationnels et de
LA G OUVERNANCE II 3-7
 reporting ou influencer les décisions prises par le
management. Aux États-Unis par exemple, la Securities and
Exchange Commission (SEC) exerce une influence sur
l'ensemble des sociétés cotées. Parmi les autorités de
régulation et de supervision qui exercent une influence sur la
plupart des organisations américaines figurent le ministère du
Travail (Department of Labor), l'Agence pour la protection de
l'environnement (Environmental Protection Agency) et
l'Administration de la sécurité et de la santé au travail
(Occupational Safety and Health Administration). En outre,
certains secteurs sont soumis à la surveillance de régulateurs
spécifiques, notamment le secteur bancaire (Federal Deposit
Insurance Corporation et autres) et le secteur des services
publics (par exemple, la Federal Energy Regulatory
Commission et des commissions d'État réglementaires
chargées d'approuver les tarifs facturables aux clients).

Ç .' Commentaire du traducteur

Les administrations fiscales ou chargées de l'application du Code
du travail contrôlent l'application de règles auxquelles toutes les
sociétés doivent se conformer.
Les sociétés cotées ont des exigences spécifiques, notamment en
termes de gouvernante et de communication externe. En France,
l'Autorité des marchés financiers (AMF) influe sur la gouvernante
des sociétés cotées.

En outre, certains secteurs sont subordonnés à des instances de

régulation spécifiques (par exemple, les banques et les assurances sont
soumises à la ....supervision de l'Autorité de Contrôle Prudentiel et de
Régulation - ACPR). }

Ces autorités de régulation et de supervision veillent à ce que les

organisations respectent les réglementations relatives au bien public
et témoignent donc d'un grand intérêt pour les opérations des
organisations. Quasiment tous les pays ou tous les territoires
disposent d'autorités ou d'organes analogues qui adoptent des
réglementations. Le Conseil doit comprendre les exigences
imposées par ces organismes afin de pouvoir exercer ses
responsabilités de supervision.

Les établissements financiers, comme des banques ou d'autres

établissements, peuvent apporter un financement à une
organisation. Les établissements financiers acceptent de financer
une organisation en échange d'une rémunération, le plus
fréquemment sous la forme d'un taux d'intérêt appliqué à
l'encours. Toutefois, ces établissements imposent fréquemment
d'autres clauses (covenant) auxquelles l'organisation doit se
conformer. Celles-ci ont souvent trait à la santé financière et à la
liquidité globale de l'organisation, si bien que les établissements
financiers sont en permanence assurés de la capacité de
l'organisation à rembourser ses dettes. Ils ont ainsi à la fois un
3-8 I I MANUEL D'A intérêt dans le succès de l'organisation et une influence sur la
manière dont l'organisation opérera pour respecter ses accords.
 Le Conseil doit donc exercer une supervision et veiller à ce que la
direction générale soit attentive à toutes les clauses des

UDIT INTERNE
 accords financiers conclus avec ces parties prenantes · De conformité.
influentes et s'y conforme. Par exemple :
contentieux,
Bien que les parties prenantes énumérées ci-dessus soient les plus violation du code de
courantes, il peut en exister d'autres qui ont aussi un intérêt dans conduite, violation
l'organisation ou qui peuvent l'influencer. Il s'agit par exemple des des normes
agences de notation, des associations professionnelles, des ana- environnementales
lystes financiers et des concurrents. Il est essentiel que le Conseil et de sécurité,
fasse les efforts et consacre le temps qui sont nécessaires pour ordonnance
identifier l'ensemble des principales parties prenantes de restrictive, enquête
l'organisation. publique, amendes
et pénalités
Une fois que les principales parties prenantes sont identifiées, le réglementaires,
Conseil doit comprendre leurs besoins et leurs attentes. Certains mise en accusation
sont évidents : par exemple, les clients attendent que les et arrestation.
produits soient exempts de défauts et les fournisseurs attendent
que les créances soient réglées dans les temps. Cependant, des LA G

recherches et analyses peuvent se révéler nécessaires pour

cerner correctement d'autres attentes, telles que les desiderata
des actionnaires (obtenir des dividendes ou plutôt une hausse du
cours de l'action). Le Conseil peut être à même de définir ces
attentes au moyen de discussions internes, mais il peut aussi
avoir besoin de débattre de ces questions directement avec les
principales parties prenantes.

Enfin, le Conseil doit identifier les éventualités qui seraient inac-

ceptables pour les principales parties prenantes. Ainsi, certains
investisseurs seraient insatisfaits si l'organisation était en dessous
de ses objectifs de bénéfices par action sur un trimestre donné,
mais considéreraient encore cela acceptable dans la mesure où ils
admettent que certaines composantes des bénéfices sont plus
volatiles que d'autres. En revanche, ces mêmes investisseurs
pourraient trouver inacceptable que l'organisation n'atteigne pas
ses objectifs de bénéfices sur plusieurs trimestres consécutifs et
risqueraient de s'interroger sur l'opportunité d'un remaniement de
la direction générale. Les éventualités inacceptables peuvent être
aussi bien des résultats qui portent atteinte à l'organisation que
des résultats qui témoignent de l'incapacité de saisir une
Copyright © 2015

opportunité.

Parce que les diverses parties prenantes auront vraisemblable-

Eyrolles

ment des attentes différentes, on observe aussi des écarts entre

ce que chaque catégorie de partie prenante jugera
inacceptable. Le Conseil devra prendre en compte plusieurs
types de résultats.
· Financiers. Par exemple : bénéfice par action, ratio de
trésorerie, note de solvabilité, retour sur investissement,
disponibilité du capital, exposition fiscale, faiblesses
importantes et transparence de la communication financière.
OUVERNANCE il 3-9
 · Opérationnels. Par exemple : réalisation des objectifs,
utilisation efficiente des actifs, protection des ressources
(couverture par une assurance, dépréciation d'actifs,
destruction d'actifs), protection des personnes (hygiène et
sécurité, arrêts de travail), protection de l'information
(intégrité des données, respect de la confidentialité des
données) et protection de la population (répercussions sur
l'environnement, fermetures d'usines).
· Stratégiques. Par exemple : réputation, viabilité de l'organi-
sation, moral des collaborateurs et satisfaction de la
Appétence clientèle.
pour le risque
Niveau de risque Une fois que le Conseil a posé les limites de ce qui est acceptable
global qu'une pour les principales parties prenantes, il peut établir quels sont les
organisation est seuils de tolérance pour ces différents aspects en fonction de
prête à accepter en l'appétence pour le risque de l'organisation, et les communiquer à
vue de la réalisation la direction générale : ces seuils fixent la marge de manoeuvre au
de ses objectifs. sein de laquelle l'organisation peut opérer. Les concepts d'appé-
tence pour le risque et de tolérance au risque seront approfondis
au chapitre 4, La gestion des risques, mais un exposé succinct de
Tolérance ces concepts facilitera ici la compréhension du rôle du Conseil.
au risque
Niveau de risque et L'appétence pour le risque* se prête bien à une métaphore
d'écart acceptable alimentaire, car on peut facilement l'assimiler à l'envie de manger.
entre les objectifs Cette appétence représente le volume total de nourriture que l'on
et la performance peut consommer pour atteindre certains objectifs, par exemple
réelle ; elle doit être rester en bonne santé et conserver le poids souhaité. Il est
en adéquation possible d'être rassasié en consommant une seule catégorie
avec l'appétence d'aliment (le chocolat, par exemple). Cependant, si l'on peut se
pour le risque de
sentir repu, se nourrir exclusivement de chocolat ne permettra pas
l'organisation.
d'atteindre son objectif à long terme, à savoir rester en bonne
santé et conserver le poids souhaité. Ainsi, le cerveau humain (que
l'on peut comparer au Conseil d'une organisation) définit dans
quelles quantités (y compris maximales et minimales) nous
devons consommer certaines catégories d'aliments. Ces quantités
sont analogues aux seuils de tolérance qui facilitent la réalisation
des objectifs d'une organisation.

En s'appuyant sur les concepts décrits plus haut, le Conseil

exercera au mieux ses responsabilités de gouvernance en :
· établissant un comité de gouvernance :
n ce comité peut être une entité entièrement nouvelle ou
bien une extension d'un comité existant (par exemple de
nombreuses sociétés cotées ont élargi les attributions de
leur comité de nomination pour en faire un comité de
nomination et de gouvernance) ;
n il doit être constitué d'administrateurs indépendants ;
n ce comité doit exercer les responsabilités décrites plus
haut ;

3-10 II MANUEL D'A

 * NdT : Le terme risk appetite est traduit dans d'autres publications par «
appétit pour le risque » (ou « goût pour le risque »).

JDIT INTERNE
 · précisant les exigences de reporting au Conseil :
n le Conseil doit déléguer à la direction générale l'autorité
de gérer l'organisation en respectant les limites de
tolérance qu'il a fixées. La direction générale doit avoir le
pouvoir de prendre les décisions relatives à l'activité
quotidienne, mais doit également bien comprendre les
seuils de tolérance fixés par le Conseil ;
n dans le cadre de sa fonction de supervision, le Conseil doit
également définir des seuils de reporting à l'intention de la
direction générale, à savoir les événements qui doivent
recevoir l'aval du Conseil, lui être directement
communiqués ou simplement synthétisés lors des
réunions trimestrielles ;
· réévaluant régulièrement (généralement tous les ans) les
attentes concernant la gouvernance :
n les attentes des principales parties prenantes peuvent
évoluer et se transformer. Le Conseil doit donc identifier
ces changements et réévaluer l'orientation qu'il donne à
la gouvernance;
n à la suite de ces changements, les seuils de tolérance
fixés par le Conseil doivent également être réévalués.

En résumé, le Conseil joue un rôle essentiel et incontournable

dans la gouvernance. Si la gouvernance ne recouvre pas à la fois
l'autorité, l'orientation et la supervision, elle ne sera pas
suffisamment efficace sur le long terme.
Management des
risques Direction
générale
La direction générale

Une fois que le Conseil a déterminé les seuils de tolérance et le

champ des opérations, il doit déléguer aux membres de la
direction générale le pouvoir de gérer les opérations dans le
respect de ces seuils. La direction générale a alors pour
responsabilité de mettre en oeuvre les orientations données par
le Conseil de façon à atteindre les objectifs de l'organisation,
tout en respectant les seuils de tolérance que celui-ci a définis.
Copyright © 2015

Pour exercer ses responsabilités de gouvernance, la direction

générale est chargée :
Eyrolles

· de veiller à ce que l'ensemble des orientations et des

pouvoirs délégués soient bien compris. La direction générale
doit cerner les attentes du Conseil concernant la
gouvernance, le pouvoir que celui-ci lui a délégué, ses seuils
de tolérance ainsi que les exigences de reporting au Conseil ;
· d'identifier les processus et activités qui, au sein de l'organisa-
tion, font partie intégrante de la mise en oeuvre des
orientations

LA G OUVERNANCE II 3-11
 fixées par le Conseil pour la gouvernance. En d'autres
termes, la direction générale doit déterminer :
n où gérer, au sein de l'organisation, les risques spécifiques
susceptibles d'aboutir à des événements inacceptables ;
n qui est responsable de la gestion de ces risques
(autrement dit, qui sont les « propriétaires de risques », ou
risk owners) ;
n comment ces risques seront gérés.
· d'évaluer quels autres considérations et facteurs pourraient
justifier de déléguer aux propriétaires de risques un seuil de
tolérance inférieur à celui délégué par le Conseil. Le Conseil
peut en effet spécifier que la direction générale doit réaliser
les contrôles lui permettant de s'assurer qu'aucune faiblesse
de contrôle ne dépasse un niveau de sévérité donné.
Néanmoins, désireuse d'éviter une situation dans laquelle de
multiples déficiences de contrôle significatives s'agrégeraient
à un niveau inacceptable, la direction générale peut
commander aux propriétaires de risques de veiller, par leurs
contrôles, à ce qu'aucune déficience ne dépasse un niveau de
sévérité moins élevé ;
· de veiller à ce que suffisamment d'informations soient
recueillies auprès des propriétaires de risques pour satisfaire
Risque aux exigences de reporting au Conseil.
Possibilité
qu'un événement La direction générale exercera au mieux ses responsabilités
survienne et ait un de gou-vernance en :
impact défavorable
sur la réalisation · instaurant un comité des risques :
des objectifs. n ce comité est généralement dirigé par un cadre supérieur :
le directeur des risques, s'il y en a un, ou bien un autre
cadre qui a une vaste responsabilité de supervision des
risques ;
n il est chargé de déterminer si tous les principaux risques
sont identifiés, mis en relation avec des activités de
gestion des risques et assignés à un propriétaire de
risques. Dans le cadre de cette responsabilité, le comité
doit veiller à prendre en considération de manière
exhaustive l'ensemble des éventuelles répercussions des
principaux risques, et non les seuls impacts financiers ;
n il évalue le niveau actuel d'appétence pour le risque de
l'organisation et s'assure que les seuils de tolérance
délégués aux propriétaires de risques permettent de le
respecter ;
· précisant les exigences de reporting :
n les propriétaires de risques doivent comprendre la nature,
le format et le calendrier des communications requises à
propos de l'efficacité des activités de gestion des risques.
De manière générale, ces communications doivent
correspondre au seuil de tolérance délégué aux
3-12 II MANUEL D'A propriétaires de risques ;
JDIT INTERNE
 n ce reporting peut intervenir lors des réunions du comité
des risques programmées à intervalles réguliers ou dans le
cadre de la synthèse des informations à communiquer au
Conseil ;
· réévaluant régulièrement (généralement tous les ans) les
attentes concernant la gouvernance :
n à mesure qu'une organisation évolue et se transforme, la
direction générale doit réexaminer les orientations qu'elle
donne pour la gouvernance, ainsi que les seuils de tolé-
rance correspondants qu'elle a délégués aux propriétaires
de risques. Ces changements peuvent émaner du Conseil
ou d'autres facteurs, externes ou internes. Ils peuvent
appeler l'introduction de nouvelles activités de gestion des
risques ou la modification des activités en place ;
n à la suite de ces changements, les seuils de tolérance
fixés par la direction générale doivent également être
réévalués ;
n cette situation donne également à la direction générale
l'occasion d'évaluer l'efficacité globale du programme
de gestion des risques de l'organisation.

La direction générale joue un rôle indispensable dans la

gestion des risques, qui est une composante clé de la
gouvernance. Pour une description plus précise de ces
concepts relatifs à la gestion des risques, voir le chapitre 4, La Management des
gestion des risques. risques Propriétaires
de risques

Propriétaires de risques

On appelle propriétaires de risques les personnes qui ont la

responsabilité, au quotidien, de veiller à ce que les activités de
gestion des risques permettent de gérer efficacement les risques
conformément aux seuils de tolérance au risque de l'organisation.
Généralement, le directeur général et les autres dirigeants sont,
en fin de compte, les propriétaires de risques au sein de
l'organisation. Cependant, ce terme est utilisé ici pour faire
Copyright © 2015

référence aux personnes qui mènent des activités quotidiennes

dans le but de gérer des risques spécifiques. Ces personnes
doivent identifier, mesurer, gérer et piloter les risques, puis en
rendre compte à leur hiérarchie, habituellement aux membres de
Eyrolles

la direction générale. Dans certains cas, les propriétaires de

risques se situent à un niveau inférieur dans la hiérarchie de
l'organisation. Cependant, ils collaborent avec la direction
générale pour mener à bien les activités de gestion des risques.

Ils ont notamment pour responsabilité :

· d'évaluer si les activités de gestion des risques sont conçues
de manière adéquate pour gérer les risques dans le respect
des seuils de tolérance spécifiés par la direction générale.
LA G OUVERNANCE II 3-13
Bien que cette dernière imprime une orientation relative à
ces activités,
 ce sont généralement les propriétaires de risques qui
définissent les tâches spécifiques à accomplir ;
· d'évaluer les capacités actuelles de l'organisation à mener à
bien ces activités de gestion des risques. Cette évaluation doit
prendre en compte la maturité des procédures en place, la
compétence et l'expérience des personnes qui les exécutent,
le caractère suffisant de toutes les technologies d'appui (par
exemple le système informatique) et la disponibilité
d'informations internes et externes étayant la prise de
décisions concernant la gestion des risques ;
· de déterminer si les activités de gestion des risques sont
effectuées conformément à ce qui était prévu, c'est-à-dire
si les personnes et les systèmes appliquent les processus
de manière à permettre d'atteindre les objectifs visés ;
· de mener des activités quotidiennes de pilotage afin
d'identifier rapidement toute anomalie ou tout écart par
rapport aux résultats attendus ;
· de veiller à ce que les informations dont la direction
générale et le Conseil ont besoin soient exactes, facilement
accessibles et transmises à la direction générale en temps
voulu.

Les propriétaires de risques exercent au mieux leurs

responsabilités de gouvernance en :
· présentant au comité des risques des propositions pour la
gou-vernance :
n si une personne est désignée propriétaire de risques, ou si
elle est responsable d'un risque qui, auparavant, ne faisait
pas l'objet d'une gestion des risques et d'un reporting for-
mels, elle doit élaborer une recommandation à l'intention
du comité des risques. Cette recommandation doit couvrir
la nature intrinsèque et la source du risque, son impact
potentiel, les seuils de tolérance envisagés et les activités
de gestion des risques prévues. Ces informations sont
présentées au comité des risques, où elles sont débattues
puis validées ;
· réévaluant régulièrement (au moins tous les ans, plus
souvent si nécessaire) les activités de gestion des
risques :
n le contenu des activités de gestion des risques doit en
permanence correspondre à la stratégie de gestion des
risques appliquée à l'ensemble de l'organisation, et
permettre que les risques soient gérés conformément aux
seuils de tolérance délégués ;
n les capacités de gestion des risques doivent être
réévaluées en fonction de la rotation des effectifs, des
changements de systèmes et des autres événements
susceptibles d'avoir une incidence sur leur maturité et
3-14 II MANUEL D'A leur efficacité ;
JDIT INTERNE
 a les activités de surveillance de la gestion des risques doivent
fournir, en temps opportun, aux propriétaires de risques,
toute information sur l'efficacité des activités de gestion
des risques ;
a le reporting des résultats de la gestion des risques à la direc-
tion générale, au moment opportun et dans les délais
prévus, doit être périodiquement évalué avec la direction
générale, afin d'assurer qu'il répond aux besoins de cette
dernière.

Les propriétaires de risques sont en première ligne de la gestion

des risques et, en tant que tels, sont des acteurs essentiels de la
bonne gouvernance. Leur rôle dans l'exécution et le pilotage des
activités de gestion des risques, ainsi que dans le reporting sur
l'efficacité de ces activités, influence fortement la capacité de
l'organisation à éviter ou atténuer l'impact des événements
inacceptables. Pour une description plus précise de ces concepts
relatifs à la gestion des risques, voir le chapitre 4, La gestion des
risques.
Assurance
4—>
A c ivités
Activités
Les activités d'assurance i n t ernes externes

Les activités indépendantes d'assurance forment la dernière

composante de la gouvernance : elles donnent au Conseil et à Activités
la direction générale une évaluation objective de l'efficacité des d'assurance
activités de gouvernance et de gestion des risques. Elles Examen objectif
peuvent être effectuées par diverses parties, appartenant ou d'éléments
non à l'organisation. Le service qui donne le plus souvent ces probants, effectué en
assurances est l'audit interne. vue de fournir à
l'organisation une
La Norme IIA 2110, Gouvernement d'entreprise, précise à évaluation
indépendante des
propos du rôle de l'audit interne :
processus de
gouvernement
« L'audit interne doit évaluer le processus de gouvernement d'entreprise, de
d'entreprise et formuler des recommandations appropriées management des
Copyright © 2015 Eyrolles

en vue de son amélioration. À cet effet, il détermine si le risques et de contrôle.

processus répond aux objectifs suivants :
· promouvoir des règles d'éthique et des valeurs
appropriées au sein de l'organisation ;
· garantir une gestion efficace des performances de
l'organisation, assortie d'une obligation de rendre compte
;
· communiquer aux services concernés de l'organisation
les informations relatives aux risques et aux contrôles ;
· fournir une information adéquate au Conseil, aux
auditeurs internes et externes et au management, et
assurer une coordination de leurs activités. »

111
LA GOUVERNANCE
Il 3-15
 La Norme IIA 2120, Management des risques, indique : « L'audit
interne doit évaluer l'efficacité des processus de management
des risques et contribuer à leur amélioration. » Ces deux normes
partent du principe que l'audit interne peut réaliser à la fois des
activités d'assurance et de conseil pour une organisation. Le
champ des missions d'assurance exécutées par l'audit interne
dépend (1) de la charte d'audit interne, qui précise le rôle de
l'audit interne dans la gouvernance, et (2) des orientations
spécifiques données par le Conseil s'agissant des attentes
actuelles et à venir pour ces activités. En fonction de ces deux
facteurs, les responsabilités de l'audit interne concernant la
gouvernance peuvent comprendre un ou plusieurs des aspects
suivants :
· déterminer si les diverses activités de gestion des risques sont
conçues de manière adéquate au regard des événements
susceptibles d'avoir des impacts inacceptables ;
· vérifier que les diverses activités de gestion des risques
fonctionnent comme prévu ;
· évaluer l'adéquation de la conception et le
fonctionnement effectif du programme/système de gestion
des risques dans son ensemble ;
· vérifier si les déclarations faites par les propriétaires de
risques à la direction générale au sujet de l'efficacité des
activités de gestion des risques donnent une image exacte
de l'efficacité actuelle de la gestion des risques ;
· vérifier si les déclarations faites par la direction générale au
Conseil au sujet de l'efficacité des activités de gestion des
risques lui apportent les informations qu'il désire concernant
l'efficacité actuelle de la gestion des risques ;
· déterminer si les informations relatives à la tolérance au
risque sont communiquées efficacement et rapidement par le
Conseil à la direction générale, puis par la direction générale
aux propriétaires de risques ;
· déterminer s'il existe des domaines de risques qui ne sont
actuellement pas couverts par le processus de gouvernance,
alors qu'ils le devraient (par exemple, un risque pour lequel
la tolérance et les attentes de reporting n'ont pas été
déléguées à un propriétaire de risques précis).

L'audit interne est un acteur efficace du processus de

gouvernance s'il :
· s'efforce de comprendre pleinement les orientations et les
attentes du Conseil s'agissant de la gouvernance :
n l'audit interne doit comprendre l'orientation donnée à la
direction générale, y compris les seuils de tolérance au
risque et les attentes vis-à-vis du reporting ;

3-16 II MANUEL D'A

JDIT INTERNE
 n en outre, il est important qu'il comprenne ce que le Conseil
attend de lui concernant les missions d'assurance ;
· soutient le programme de gestion des risques établi par le
management :
n compte tenu de certaines similarités avec les activités d'au- Activités
dit interne, la fonction d'audit interne contribue à la structu- de conseil
ration et à la rigueur du programme de gestion des Conseils et services
risques ; y afférents rendus
n elle peut contribuer à sensibiliser le management et les col- au client donneur
d'ordre, dont la
laborateurs aux questions relatives au risque et au
nature et le champ
contrôle ;
sont convenus au
n l'audit interne peut faciliter ou piloter les évaluations des préalable avec lui.
risques au niveau de l'organisation et des différentes Ces activités ont
divisions ; pour objectif
n l'audit interne peut apporter des contributions et mener d'améliorer les
processus de
une surveillance continue et formelle (par exemple par la
gouvernement
participation à un comité directeur sur le risque) ou
d'entreprise, de
informelle (notamment par le biais de discussions management des
régulières avec le management) ; risques et de
· élabore un plan d'audit interne qui englobe de manière appro- contrôle d'une
priée les missions d'assurance concernant la gouvernance et organisation sans
prévoit des communications périodiques à la direction que l'auditeur
interne n'assume
générale et au Conseil au sujet de l'efficacité des activités de
aucune
gestion des risques.
responsabilité de
management.

Modèle des trois lignes de maîtrise

Si, comme indiqué ci-dessus, l'audit interne donne une assurance

précieuse, dans la plupart des organisations, d'autres catégories
de parties prenantes fournissent également une certaine forme
d'assurance (les services chargés de l'environnement et de la
sécurité, les acteurs de l'assurance qualité, les services de contrôle
des transactions, etc.) soit directement au Conseil, soit par des
communications aux membres de la direction générale chargés de
donner une assurance au Conseil. Conscientes que l'assurance
peut émaner d'activités différentes, tant en interne qu'en externe,
Copyright © 2015

de nombreuses organisations ont mis en place différents niveaux

d'assurance pour maîtriser les risques tel que requis ou souhaité
ou pour opérer conformément aux seuils de tolérance au risque de
Eyrolles.

l'organisation. Cette stratégie est souvent désignée comme un

modèle de « lignes de maîtrise multiples ». Le Modèle des trois
lignes de maîtrise illustré dans l'encadré 3-5 est un exemple
classique.
LA G
ENCADRÉ 3-5 MODÈLE DES TROIS LIGNES DE MAÎTRISE

ORGANE DE GOUVERNANCE/CONSEIL/COMITÉ D'AUDIT

Prestataires d'assurance externes

DIRECTION GÉNÉRALE

Ife ligne 2e ligne 3e ligne

de maîtrise de maîtrise de maîtrise
Contrôle financier
Autres contrôles
pilotés par le Gestion des risques
management
Conformité Audit interne
Santé et sécurité
Dispositifs de
Environnement
contrôle interne
Qualité

Global Advocacy Platform (Altamonte

Springs, Floride :
The Institute of Internai Auditors Global, 2012), p.
9. j

L ..._________________________________________________________________________________....d

Dans ce modèle, le rôle du Conseil et de la direction générale

n'est pas différent de celui décrit précédemment. En revanche,
les trois lignes de maîtrise nécessitent une explication.
· La première ligne de maîtrise représente les activités de
contrôle interne réalisées par des collaborateurs et le mana-
gement. Elles comprennent à la fois les activités de contrôle
interne spécifiques, ou « mesures de contrôle interne », et les
contrôles de gestion qui permettent de superviser et de
surveiller les activités individuelles. Les contrôles de la
première ligne de maîtrise sont très importants. Néanmoins,
ils sont réalisés par des collaborateurs et le management qui
en sont directement responsables. C'est pourquoi ils
constituent la ligne de maîtrise la moins indépendante et la
moins objective des trois.
· La deuxième ligne de maîtrise représente les autres acti-
vités d'assurance, telles que celles qui figurent dans l'encadré.
Ces activités sont réalisées par des collaborateurs rattachés à
des niveaux hiérarchiques différents de celui qui est directe-
ment responsable des activités de contrôle interne. C'est pour-
quoi le degré d'indépendance et d'objectivité de cette ligne
est supérieur à celui de la première ligne. Toutefois, les
collaborateurs fournissant une assurance de la deuxième ligne
de maîtrise exercent souvent d'autres responsabilités de
gestion en sus de leurs responsabilités d'assurance.

3-18 l' MANUEL

D'A
 · La troisième ligne de maîtrise représente la forme d'assu-
rance la plus indépendante et la plus objective. L'audit
interne

UDIT INTERNE
 est généralement le seul à être fonctionnellement
rattaché au Conseil et n'exerce pas d'autres
responsabilités de gestion. La troisième ligne de
maîtrise est donc la plus indépendante et la plus
objective des trois.

L'assurance peut également émaner de tiers. Bien

que moins courante que les activités d'assurance
internes, cette assurance demeure néanmoins
importante pour le Conseil. Ainsi, même si les
attestations délivrées par des auditeurs externes
visent en premier lieu à satisfaire des exigences
réglementaires ou contractuelles, ces opinions
peuvent aussi procurer au Conseil et à la direction
générale une assurance quant à l'efficacité des
activités conçues pour maîtriser les risques liés au
reporting financier. De même, des cabinets de
conseil externes peuvent être sollicités et chargés
de donner à la direction générale ou au Conseil une
assurance concernant telle ou telle activité de
gestion des risques. Enfin, les inspecteurs chargés
de la vérification de la conformité aux règles en
vigueur pour le compte d'une autorité de tutelle
donnent aussi certaines formes d'assurance au
management.

Si la multiplicité des niveaux d'assurance est

bénéfique, les organisations doivent néanmoins
veiller à éviter l'excès d'assurance, au risque
d'entraîner une « usure de l'audit » ou une « fatigue
de l'audit ». C'est notamment le cas lorsque les
différentes activités d'assurance ne collaborent pas
et ne sont pas suffisamment coordonnées, à tel
point que certaines d'entre elles deviennent redon- Auditeur externe
dantes et superflues. Certains diront qu'il ne peut y Cabinet d'experts-
avoir trop d'assurance. Les activités d'assurance ont comptables
Copyright © 2015 Eyrolles

cependant besoin de ressources précieuses au sein agréé, chargé par le

de l'organisation, qu'il s'agisse des activités qui Conseil ou la direction
fournissent l'assurance ou de celles qui sont générale de
évaluées. L'assurance a donc un coût qu'il convient l'organisation de
de prendre en compte. procéder à un audit
des états financiers et
de donner une
Afin de lutter contre l'« usure de l'audit », assurance sous la
certaines organisations ont élaboré des modèles forme d'une
d'assurance « combinés » ou « intégrés ». Ces attestation écrite,
modèles varient d'une organisation à une autre et indiquant son opinion
peuvent être mis en oeuvre à grande ou petite quant à la sincérité
échelle. En règle générale, ces modèles permettent des états financiers et
d'appréhender les différents types d'assurance. à leur conformité aux
Selon le niveau de risque évalué et le degré principes comptables
d'assurance fourni, un plan ou un calendrier généralement admis.
coordonné est élaboré. Il indique quand et par
quelle activité d'assurance les évaluations sont réa- OUVERNANCE II 3-19
lisées, et précise à quel moment et dans quelle
mesure les autres activités pourront s'appuyer sur
ses travaux.

Quelle que soit leur structure, les activités

d'assurance indépendantes exécutées par des
auditeurs internes, par d'autres lignes de maîtrise
et par des tiers donnent à la direction générale et
au Conseil de précieuses informations qui leur
permettent de surveiller l'efficacité des activités de
gouvernance et de gestion des risques. Ces activités
d'assurance sont essentielles à la bonne
gouvernance.

LA G
 L'ÉVOLUTION DE LA GOUVERNANCE

Malgré la publicité dont bénéficie la gouvernance depuis quelques

années, le concept de gouvernance efficace ne date pas d'hier.
Les marchés d'actions reposent sur le postulat que les
investisseurs procurent du capital aux organisations en échange
d'un retour sur investissement potentiel. Pour avoir confiance
dans les marchés de capitaux, les investisseurs ont besoin de
disposer de suffisamment d'informations appropriées pour
évaluer les risques et la rémunération potentiels de leurs
investissements. Ils doivent aussi avoir l'assurance que les
conditions sont équitables, c'est-à-dire que tous les investisseurs
pourront effectuer des transactions de manière uniforme et juste.
Diverses réglementations et normes ont été mises en place pour
favoriser la réalisation de cet objectif et renforcer la transparence
de l'information publiée. Souvent, il en est adopté de nouvelles en
réaction à un événement qui s'est produit dans le monde des
affaires, en vue d'éliminer ou de minimiser les répercussions
indésirables de ces événements. L'encadré 3-6 présente certains
des principaux événements qui se sont produits dans le monde
des affaires aux États-Unis, ainsi que les lois qui en ont découlé.
L'Annexe 3-B, « Synthèse des principaux textes en vigueur aux
États-Unis », qui figure à la fin de ce chapitre, résume les prin-
cipales réglementations américaines et décrit chaque loi

Commentaire du traducteur

CL'annexe 3-A présente la synthèse de l'évolution réglementaire

communautaire, française et canadienne.

présentée dans l'encadré 3-6.

La réglementation dans d'autres régions du monde

Des événements du même ordre se sont produits dans les

milieux d'affaires d'autres pays, qui ont incité à voter des
textes de loi. Chaque élément de la législation a été élaboré
dans le but d'améliorer la gouvernance générale, ainsi que les
contrôles de l'établissement des états financiers, et de
renforcer la sincérité et la transparence du reporting financier.

OPPORTUNITÉS POUR UN POINT

DE VUE DE L'AUDIT INTERNE

Comme le montrent les réflexions précédentes, la notion de gou-

vernance est un large concept. Des organisations du monde
entier ont publié leurs principes de gouvernance sur leur site Web
afin de les rendre particulièrement visibles. Une visite de ces
sites permet de comprendre que les conceptions de la
gouvernance ne sont pas homogènes. Quel que soit le type de
3-20 I I MANUEL D'A gouvernance adopté dans une

JDIT INTERNE
 LES PRINCIPAUX ÉVÉNEMENTS QUI SE SONT PRODUITS ENCADRÉ 3-6
DANS LE MONDE DES AFFAIRES AUX ÉTATS-UNIS
ET LES LOIS QUI EN ONT DÉCOULÉ

Principaux événements Lois/Directives

Après l'effondrement des marchés

boursiers américains en 1929 et les faillites
de plusieurs grandes organisations
causées par des fraudes, il a rapidement
été nécessaire de restaurer la confiance Securities Act de 1933
des investisseurs. Les lois qui en ont
découlé visaient à instaurer des conditions Securities Exchange Act
équitables pour les investisseurs de 1934
via la publication, en temps voulu,
d'informations financières cohérentes,
complètes et pertinentes.

L'enquête sur l'affaire du Watergate a

révélé qu'entre le début des années 1970
et 1976, plus de 450 organisations amé-
ricaines ont versé des pots-de-vin ou
effectué des paiements suspects à des
fonctionnaires ou des partis politiques _____________1____________________________(
étrangers.

Plusieurs cas de reporting financier Rapport de la Natio-

inexact, incomplet ou trompeur ont été nal Commission on
_____________Foreign Corrupt Practices
dénombrés. Fraudulent Financial
Reporting (rapport
de la Treadway
Commission) - 1987

[
Plusieurs
Plusieurs établissements d'épargne et de
crédit ont réclamé la mise en place de plans
[ Federal Deposit
de sauvetage par l'État, remettant en Insurance
question la robustesse de leur système Corporation de
Improvement Act
contrôle interne, entre autres choses.
(FDI-CIA) de 1991

[ Le1933
deSarbanes-Oxley
les 2002, ActsAct
qui amende
Securities de
et 1934
Copyright © 2015

[
Faillites et cas de fraude concernant de
grandes organisations américaines (comme Enron
Eyrolles.

Corporation et WorldCom) Les Normes

américaines
de cotation en bourse
(NYSE, AMEX,
[D odd-
Frank Wall Street

_J
La crise financière qui a éclaté fin
20072008 a aggravé la récession Reform and Consumer
mondiale et entraîné la faillite de
Protection Act de
plusieurs organisations renommées.
2010

LA GO U V E R N A N C E I I 3 - 2 1
 organisation particulière, l'audit interne a la possibilité de créer de
la valeur ajoutée en apportant son point de vue sur le processus.
L'encadré 3-7 présente 10 opportunités.

APPORTER SON POINT DE VUE SUR LA GOUVERNANCE

ENCADRÉ 3-7 10 OPPORTUNITÉS POUR L'AUDIT INTERNE

· Apporter des conseils concernant la mise en adéquation des pratiques

actuelles du Conseil avec les meilleures pratiques.
· Apporter une contribution et des conseils concernant la charte du comité
d'audit et d'autres chartes si nécessaire.
· Apporter des conseils concernant la clarté et le caractère approprié du
protocole de communication des problèmes au Conseil ou à ses comités.
· S'assurer que le Conseil et ses comités reçoivent les informations en temps
voulu afin de leur permettre de se préparer plus efficacement pour leurs
réunions.
· Contribuer à la préparation de l'ordre du jour des réunions du Conseil et de
ses comités afin de s'assurer que les thèmes appropriés sont abordés en
temps voulu.
· Déterminer si le reporting destiné au Conseil et à ses comités est
suffisamment transparent afin de s'assurer qu'ils reçoivent les informations
nécessaires pour mettre en oeuvre une gouvernance efficace.
· Apporter des conseils concernant le processus d'auto-évaluation du Conseil
et de ses comités ou le faciliter.
· Communiquer les informations nécessaires pour aider le comité d'audit à
superviser l'audit interne, y compris les informations relatives à son
indépendance dans l'organisation, à l'adéquation et aux compétences de ses
ressources, à son périmètre d'activité et à l'attention accordée par le
management.
· Proposer des publications ou des liens vers d'autres sources d'information qui
peuvent aider le Conseil ou ses comités à se tenir informés sur les pratiques
et risques émergents.
· Apporter une contribution afin d'aider le comité d'audit à superviser les
auditeurs externes et à évaluer leur efficacité.

[Voir la prise de position « Le rôle de l'audit interne dans le

gouvernement d'enintitulée Making the Most of the Internai Audit

Function. et celle de l'ECI1A (Confédération européenne des

instituts d'audit interne) et d'ecoDa (Confédération européenne

des associations d'administrateurs) treprise» publiée par l'IFAO et

IVA (Institut Français des Administrateurs), Commentaire du

traducteur RÉSUMÉ

Les organisations doivent veiller à mettre en oeuvre des structures

de gouvernance et un dispositif de gestion des risques efficaces.
La structure de gouvernance encadre les activités de ceux qui se
chargent quotidiennement de la gestion des risques inhérents au
modèle économique de leur organisation. Il convient de piloter ces
activités afin d'en assurer la cohérence. Les trois éléments qui
composent la gouvernance peuvent être représentés comme dans
l'encadré 3-8.

UDIT INTERNE
3-22 II MANUEL D'A
 PRINCIPAUX ÉLÉMENTS DE LA ENCADRÉ 3-8
GOUVERNANCE

La gouvernance fait référence aux relations entre la direction

générale de l'organisation, son Conseil et ses parties prenantes.
Le Conseil « supervise » la gouvernance. Il doit comprendre les
besoins et les attentes des diverses parties prenantes et
s'efforcer d'y répondre. Il doit donc bien préciser ses
orientations, apporter ses conseils pour la fixation des objectifs
de l'organisation, instaurer des limites à la conduite de
l'organisation et inciter la direction générale à concrétiser son
orientation. La direction générale exécute les activités de
gestion des risques afin de respecter les orientations données
par le Conseil. Ces activités peuvent être menées à bien par les
propriétaires de risques à un niveau inférieur de l'organisation,
mais la direction générale est responsable en dernier ressort de
l'efficacité des activités de gestion des risques. Enfin, les acteurs
internes et externes des activités d'assurance, et en particulier
les auditeurs, peuvent donner à la direction générale et au
Conseil plusieurs niveaux d'assurance concernant l'efficacité des
activités de gestion des risques. Ces niveaux d'assurance
Copyright © 2015

peuvent être considérés comme étant inclus dans un « modèle

de lignes de maîtrise multiples ». Il convient néanmoins de
veiller à ne pas donner un excès d'assurance, au risque
Eyrolles.

d'entraîner une « usure de l'audit » car, selon l'expression bien

connue, « trop de contrôle tue le contrôle ».

Pour finir, le rôle de l'audit interne dans la gouvernance apparaît

essentiel. Ce rôle sera davantage mis en évidence au chapitre 4,
La gestion des risques et au chapitre 6, Le contrôle interne. Pour
illustrer le fait que l'audit interne est un élément clé de la
gouvernance, l'encadré 3-8 comprend un intitulé supplémentaire.

OUVERNANCE II 3-23
LA G
 14;1:11_____________ANNEXES
ANNEXE 3-A : SYNTHÈSE DE L'ÉVOLUTION DE LA RÉGLEMENTATION
COMMUNAUTAIRE, FRANÇAISE ET CANADIENNE

Les directives européennes

Des textes relatifs à la gouvernance et au contrôle interne ont été adoptés au niveau européen.
· La directive 2014/56/CE du 16 avril 2014 modifie la directive 2006/43/CE dite huitième directive sur
le contrôle légal des comptes annuels et consolidés. Cette directive vise notamment :
- l'instauration d'un comité d'audit et la définition de son rôle ;
- l'établissement d'un rapport par le contrôleur légal des comptes au comité d'audit sur les
aspects touchant au contrôle, en particulier les faiblesses significatives du contrôle interne
au regard du processus d'information financière.

Les mesures précisées en 2014 concernent plus particulièrement le renforcement de

l'indépendance des contrôleurs légaux et l'amélioration de la valeur informative du rapport d'audit.
· La directive 2006/46/CE du 14 juin 2006 modifiant notamment la 4e et la 7e Directives relatives
aux comptes annuels et aux comptes consolidés des sociétés prévoit que «toute société dont les
titres sont admis à la négociation sur un marché réglementé inclut une déclaration sur le
gouvernement d'entreprise dans son rapport de gestion. Cette déclaration forme une section
spécifique du rapport de gestion et contient (...) une description des principales caractéristiques
des systèmes de contrôle interne et de gestion des risques de la société dans le cadre du
processus d'établissement de l'information financière» (...) Les sociétés concernées doivent
préciser à quel code de gouvernement d'entreprise elles sont soumises et doivent rendre compte
de l'application de ce code selon le principe « appliquer ou expliquer» (« comply or explain »).
· La directive 2009/138/CE « Solvabilité 2 » du 25 novembre 2009, concerne les sociétés d'assurance et
de réassurance opérant dans l'Union européenne. Au-delà des exigences quantitatives portant sur la
solvabilité des entreprises assujetties et des normes de reporting réglementaire, elle précise les
attentes du législateur en termes de système de gouvernance auxquelles devront se soumettre les
sociétés concernées. L'article 47 de cette directive vise explicitement la mise en place d'une fonction
d'audit interne qui a pour mission d'évaluer l'adéquation et l'efficacité du système de contrôle interne
Copyright © 2015 Eyrolles.

et les autres éléments du système de gouvernance.

Le cadre réglementaire international du secteur bancaire (Bâle III)

· Bâle III » est un ensemble de mesures faisant suite au dispositif Bâle II, publié en 2004, que le Comité de
Bâle sur le contrôle bancaire a élaboré pour renforcer la réglementation, le contrôle et la gestion des
risques dans le secteur bancaire. « Ces mesures ont pour objet :
· d'améliorer la capacité du secteur bancaire à absorber les chocs résultant des tensions
financières et économiques, quelle qu'en soit la source ;
· d'améliorer la gestion des risques et la gouvernance;
· de renforcer la transparence et la communication des banques.»

3-24 MANUEL D'AUDIT INTERNE

 ANNEXES [ L
________e
Les lois et le code de gouvernement d'entreprise publiés en France
· La loi sur les Nouvelles Régulations Économiques (NRE) de mai 2001 a sensiblement modifié le
fonctionnement du conseil d'administration, en dissociant les fonctions exécutive et de contrôle. Elle
a eu pour effet de renforcer l'indépendance des administrateurs par rapport au président.
Corrélativement, elle a accru la transparence par rapport aux actionnaires (par exemple en matière
de rémunération des dirigeants, ou sur les conséquences sociales et environnementales de leurs
activités).
· La Loi de Sécurité Financière (LSF, 1 er août 2003) couvre trois volets principaux : la modernisation
des autorités de contrôle des marchés financiers, la sécurité des épargnants et le contrôle légal des
comptes ainsi que la transparence et la gouvernance d'entreprise. Ce dernier volet s'adresse non
seulement aux sociétés faisant appel public à l'épargne, mais à toutes les sociétés anonymes ;
comme la loi américaine Sarbanes-Oxley, la LSF repose principalement, en la matière, sur :
- une responsabilité accrue des dirigeants ;
- un renforcement du contrôle interne : le président du conseil d'administration ou du conseil
de surveillance doit rendre compte, dans un rapport, des procédures de contrôle interne
mises en place dans l'entreprise ;
- une réduction des sources de conflits d'intérêts.
· L'ordonnance (n°2008-1278) du 8 décembre 2008 transpose en droit français la directive (n°
2006/43/ CE, cf sup.), dite huitième directive sur le contrôle légal des comptes. Cette ordonnance
consacre pour les sociétés faisant appel public à l'épargne l'obligation d'un comité d'audit, dont la
mission est : d'assurer le suivi du processus d'élaboration de l'information financière et de
l'efficacité des systèmes de contrôle interne et de gestion des risques, de suivre le contrôle légal
des comptes annuels et, le cas échéant, des comptes consolidés, et de suivre le respect du
principe d'indépendance des commissaires aux comptes.
· La loi du 3 juillet 2008 portant diverses dispositions d'adaptation du droit des sociétés au droit
communautaire (dite « loi DDAC ») transpose la directive 2006/46CE du 14 juin 2006 en précisant
les obligations des organes d'administration et de surveillance des sociétés faisant appel public à
l'épargne de rendre compte, dans un rapport, de la composition, des conditions de préparation et
d'organisation des travaux du conseil, ainsi que des procédures de contrôle interne et de gestion
des risques mises en place par la société, en détaillant notamment les procédures qui sont
Copyright © 2015 Eyrolles.

relatives à l'élaboration et au traitement de l'information comptable et financière pour les comptes

sociaux et, le cas échéant, pour les comptes consolidés.
· Le code AFEP-MEDEF de gouvernement d'entreprise des sociétés cotées révisé en 2013. Ce code
a été élaboré à la demande de l'Association Française des Entreprises Privées (AFEP) et du
Mouvement des Entreprises de France (MEDEF). Il complète et actualise les recommandations du
rapport « Vienot » et vise à préciser certains principes de bon fonctionnement et de transparence
propres à améliorer la gestion des entreprises et à répondre à la demande des investisseurs et du
public. ([Link]

Des réglementations similaires dans d'autres pays

En Belgique

· La loi du 08 janvier 2009 transpose la directive 2006/43/CE

· La loi du 06 avril 2010 transpose la directive 2006/46/CE

LA GOUVERNANCE 3-25
 Le ANNEXES

Au Luxembourg
· La loi du 18 décembre 2009 transpose la directive 2006/43/CE
· La loi du 29 mai 2009 et la loi du 10 décembre 2010 transposent la directive 2006/46/CE

En Suisse
· La directive sur la corporate govemance : Dans le même esprit que la directive européenne
2006/46/CE, la Suisse a publié en 2014 une directive qui contraint les entreprises à fournir des
informations sur la « corporate govemance » et notamment des données sur la direction et le
contrôle de l'émetteur à l'échelon le plus élevé de l'entreprise. Elle présente les thèmes qui doivent
être abordés par les entreprises dans leur rapport de gestion tels que la structure du groupe et
l'actionnariat, la structure du capital, la composition, l'organisation et les rémunérations du conseil
d'administration et de la direction générale, l'organe de révision (commissaires aux comptes) et la
politique d'information. Le principe du « comply or explain » est repris dans cette directive.

Au Canada
· Loi sur les sociétés par actions Québec: la loi sur les sociétés par actions (LSA) est entrée en vigueur le
14 février 2011. Cette nouvelle loi, s'inspirant de son équivalent fédéral (Loi canadienne sur les
sociétés par actions) modernise le cadre législatif en vigueur au Québec en matière de droit des
entreprises en remplaçant certaines parties de l'ancienne loi sur les compagnies. Elle confie au conseil
d'administration tous les pouvoirs nécessaires à la gestion de la société mais permet également aux
actionnaires de s'approprier tout ou partie des pouvoirs du conseil d'administration par le biais d'une
convention unanime d'actionnaires. S'ils exercent ce droit, les actionnaires assument directement la
conduite des activités de l'entreprise et la surveillance des dirigeants de la société.
· Entre 2004 et 2005, à l'initiative des ACVM (Autorités canadiennes en valeurs mobilières),
plusieurs règlements sont entrés en vigueur :
- Règlement 52-108 sur la surveillance des vérificateurs ;
- Règlement 52-109 sur l'attestation de l'information présentée dans les documents annuels
et intermédiaires des émetteurs ;
- Règlement 52-110 sur le comité de vérification ;
- Règlement 58-101 sur l'information concernant les pratiques en matière de gouvernance ;
Copyright © 2015 Eyrolles.

- Instruction générale 58-201 relative à la gouvernance ;

- Politique sur la vérification interne : selon cette politique du Conseil du Trésor du Canada (CT) en
vigueur depuis le 1 er avril 2012, « les administrateurs généraux reçoivent pour leur ministère, et le
contrôleur général, pour l'ensemble du gouvernement, une assurance indépendante de la
vérification interne et des conseils du comité de vérification, au sujet de l'efficacité des processus
de gestion des risques, de contrôle et de gouvernance mis en place ». Les exigences liées à la mise
en oeuvre de cette politique sont reprises dans la Directive sur la vérification interne qui précise les
rôles et les responsabilités des principaux acteurs de la vérification interne, la composition des
comités de vérification et le contenu des rapports annuels.

Au Maroc
· La loi 20-05 publiée en 2008 modifie la loi 17-95 promulguée en 1996 et concerne les sociétés
anonymes. Elle définit les fonctions et pouvoirs des organes de direction et de surveillance des
sociétés ainsi que les informations à destination des actionnaires et les modalités de contrôles

3-26 MANUEL D'AUDIT INTERNE

 ANNEXES [

__________e
des sociétés anonymes notamment le rôle et la désignation des commissaires aux
l
comptes. Ainsi, l'article 76 précise que :« Les administrateurs non dirigeants sont
particulièrement chargés, au sein du conseil, du contrôle de la gestion et du suivi des
audits internes et externes. Ils peuvent constituer entre eux un comité des
investissements et un comité des traitements et rémunérations. »

ANNEXE 3-B : SYNTHÈSE DES PRINCIPAUX TEXTES EN VIGUEUR AUX ÉTATS-

UNIS Securities Act de 1933

Cette loi fédérale a été votée après l'effondrement des marchés de 1929 et la crise qui a
suivi. Le krach a soulevé de graves questions sur l'efficacité de la gouvernance concernant
la cession des valeurs mobilières. Cette loi a été promulguée par le président Franklin D.
Roosevelt dans le cadre du « New deal », qui était destiné à restaurer la stabilité et la
confiance des investisseurs sur les marchés des valeurs mobilières. Cette législation avait
deux grands objectifs :
· renforcer la transparence des états financiers afin que les investisseurs puissent prendre
des décisions éclairées à propos des titres échangés en bourse ;
· introduire des textes visant à prévenir la fraude, les déclarations mensongères et autres
manoeuvres frauduleuses dans la vente de valeurs mobilières sur les marchés ouverts au
public.

Securities Exchange Act de 1934

Le Securities Exchange Act de 1934 était destiné à définir la gouvernance des

transactions sur les valeurs mobilières sur le marché secondaire (après l'émission) et à
régir les différentes bourses afin de protéger les investisseurs. C'est à partir de cette loi
que la Securities and Exchange Commission (SEC) a été créée. La SEC a pour mission de
faire appliquer la législation sur les valeurs mobilières, qui prévoit des obligations portant
sur l'enregistrement de toute valeur cotée sur les bourses aux États-Unis, le reporting
financier, la sollicitation de procurations pour le vote des actionnaires, les dépôts de
Copyright © 2015

garantie et l'audit. Contrairement au Securities Act de 1933, qui régit les émissions
primaires, le Securities Exchange Act de 1934 régit les opérations secondaires sur titres
entre des personnes généralement indépendantes de l'émetteur. Les gains et les pertes
sur le marché secondaire se comptent en plusieurs centaines de milliards.
Eyrolles.

Foreign Corrupt Practices Act

En raison de pratiques douteuses de financement des campagnes électorales par des

organisations ou de corruption d'agents étrangers, au milieu des années 1970, la SEC et
le Congrès des États-Unis ont adopté une réforme du financement des campagnes
électorales et le Foreign Corrupt Practices Act (FCPA) de 1977, qui pénalise la corruption
internationale et impose aux organisations de mettre en oeuvre des programmes de
contrôle interne. Plus particulièrement, le FCPA impose aux sociétés cotées «d'établir et
de tenir à jour des livres, des registres et des comptes qui, avec un degré de détail
raisonnable, doivent être le reflet exact et équitable des transactions et cessions d'actifs
de l'émetteur » 3. Cette loi élargit le champ des contrôles internes, qui doivent donner
l'assurance

LA GOUVERNANCE 3-27
 ANNEXES

raisonnable que les transactions sont dûment autorisées et correctement enregistrées, que
la sécurité physique des actifs est assurée et qu'un contrôle périodique est effectué sur les
actifs enregistrés.

Rapport de la National Commission on Fraudulent Financial Reporting

(rapport de la Treadway Commission)

Une initiative du secteur privé, appelée la National Commission on Fraudulent Financial

Reporting (ou Treadway Commission) a été lancée en octobre 1985. Sa mission consistait à
identifier les facteurs susceptibles de favoriser le reporting financier frauduleux et les
mesures de nature à faire reculer l'incidence de ces facteurs. La Commission a étudié les
affaires portées devant la SEC pendant les années qui ont précédé la présentation de son
premier rapport, en 1987. Ce rapport préconisait que les organisations membres de la
Treadway Commission collaborent à l'élaboration d'un référentiel intégré, et formulait des
recommandations à l'intention des sociétés cotées, des cabinets d'experts comptables
indépendants, de la SEC et d'autres autorités de régulation et de supervision, ainsi que les
établissements de formation.

À la suite de ce rapport, le Committee of Sponsoring Organizations of the Treadway

Commission (COSO) a été créé. Le COSO se composait de l'American Institute of Certified
Public Accountants (AICPA), de l'American Accounting Association (AAA), de Financial
Executives International (FEI), de l'IIA et de l'Institute of Management Accountants (IMA). Le
COSO a commandité l'élaboration d'un référentiel de contrôle interne, qui a été rendu
public en 1992 sous le titre Internai Control - Integrated Framework. Ce référentiel est
devenu le seul référentiel de contrôle interne accepté de tous aux États-Unis, et constitue
le principal cadre de référence utilisé au plan mondial. Une version actualisée de ce
référentiel, mis à jour en 2012, a été publiée au premier trimestre 2013. Elle formalise les
17 principes associés aux cinq composantes du contrôle interne présentées dans le
référentiel initial.

FDICIA

Le Federal Deposit Insurance Corporation Improvement Act de 1991 impose aux

Copyright © 2015

établissements de dépôts assurés par la FDIC dont les actifs dépassent 500 millions de
certifier que leur système de contrôle interne est efficace. Il demande aussi aux auditeurs
externes d'attester de la véracité des critères de qualité retenus par le management
Eyrolles.

concernant l'efficacité du système de contrôle interne. De nombreux aspects de cette loi ont
ultérieurement été repris dans la loi Sarbanes-Oxley de 2002.

Sarbanes-Oxley Act de 2002

Après une succession de faillites retentissantes et de cas de reporting financier

frauduleux concernant de grandes organisations américaines (par exemple Enron Corp.,
Tyco, WorldCom), le Congrès américain a voté une loi dont l'objectif global est de
renforcer la responsabilité du directeur général et des directeurs financiers concernant
l'intégrité du reporting financier et de restaurer la confiance des investisseurs dans les
marchés financiers. Cette loi, le Sarbanes-Oxley Act, contient de nombreuses sections qui
définissent des règles pour divers aspects de la gouvernance des sociétés cotées. Les
deux sections qui ont le plus attiré l'attention du public sont les sections 302 et 404.

3-28 MANUEL D'AUDIT INTERNE

 ANNEXES

· La section 302 impose au directeur général (CEO) et aux directeurs financiers (CFO) des
sociétés cotées de certifier chaque trimestre, dans le cadre de la présentation des
résultats trimestriels (rapport 10-K), l'efficacité des contrôles et procédures liés à la
communication externe qui ont été mis en place en vue de la préparation de cette
déclaration.
· La section 404 requiert que, dans le cadre de la présentation des résultats financiers
annuels (rapport 10-K), l'organisation précise les critères de qualité concernant l'efficacité
du contrôle interne relatif au reporting financier. Plus particulièrement, cette section
impose à la plupart des organisations de renforcer la documentation et les tests relatifs
aux dispositifs de contrôle interne pour étayer les critères de qualité requis.

Normes américaines de cotation en bourse

Les principales places boursières américaines (le NYSE [New York Stock Exchange] et le
NASDAQ [National Association of Securities Dealers Automated Quotations]) ont publié des
normes que toute organisation publique désireuse d'être cotée sur ces marchés doit
respecter. Ces normes de cotation en bourse couvrent des sujets tels que l'organisation et
les responsabilités du Conseil et du comité d'audit, le code de conduite, les prêts personnels
aux cadres dirigeants, la nécessité d'une fonction d'audit interne et les stock options.

Dodd-Frank Act

Selon le résumé de cette loi de large portée, l'objectif du Dodd-Frank Act consiste à «
instaurer un environnement économique solide afin de créer des emplois, protéger les
consommateurs, restreindre l'influence de Wall Street, limiter les primes démesurées,
mettre fin aux plans de sauvetage et à l'importance systémique des établissements
financiers, [et] éviter une autre crise financière » 4. A la date de publication de la troisième
édition du présent manuel, les règles relatives à sa mise en oeuvre sont encore en cours de
rédaction.
Copyright © 2015
Eyrolles.
LA GOUVERNANCE 3-29
h Questions de révision

1. Pourquoi y a-t-il des flèches partant dans les deux sens entre les différentes
composantes de la gouvernance décrites à l'encadré 3-2 ?

2. Comment l'OCDE définit-elle la gouvernance ?

3. Quelle est la différence entre les deux domaines de gouvernance décrits à

l'encadré 3-3 ?

4. Comment l'IIA définit-il la gouvernance ? En quoi le schéma de l'encadré 3-3

illustre-t-il cette définition ?

5. Quelles sont les trois différentes catégories de parties prenantes que le Conseil
doit comprendre ? Donnez des exemples pour chaque catégorie.

6. Quels types de résultats le Conseil doit-il prendre en compte pour comprendre les
attentes des parties prenantes ?

7. Dans la gouvernance, quelles sont les principales responsabilités :

a. du Conseil ?
b. de la direction générale ?
c. des propriétaires de risques ?

8. Quel rôle joue l'audit interne dans la gouvernance ?

9. Outre l'audit interne, quelles sont les autres fonctions internes qui peuvent
donner une assurance indépendante au Conseil ou à la direction générale ?

10. Quelles sont les trois lignes qui composent le modèle des trois lignes de maîtrise ?

11. Qu'est-ce qu'un modèle d'assurance combiné ? Pourquoi certaines

Copyright © 2015 Eyrolles.

organisations utilisent-elles un tel modèle ?

12. Citez quelques-uns des principaux textes en vigueur aux États-Unis qui ont
été adoptés en réponse à des événements défavorables survenus dans le
monde des affaires.

3-30 MANUEL D'AUDIT INTERNE

 Questions à choix multiples •___________ xe
Sélectionnez la meilleure réponse pour chacune des questions suivantes.

1. Parmi les éléments suivants, lequel ne désigne pas un rôle approprié

pour le Conseil d'une organisation ?
a. Évaluer et valider les objectifs stratégiques.
b. Influencer la philosophie de prise de risque de l'organisation.
c. Donner une assurance directement à des tiers quant à l'efficacité des
processus de gouvernance de l'organisation.
d. Instaurer des limites générales de conduite en dehors desquelles
l'organisation ne doit pas s'aventurer.

2. Parmi les éléments suivants, lesquels relèvent normalement des responsabilités

de gouvernance de la direction générale ?
I. Déléguer des seuils de tolérance au risque directement aux managers
des risques.
II. Piloter quotidiennement les performances des activités spécifiques de
gestion des risques.
III. Instaurer un comité de gouvernance au sein du Conseil.
IV. Veiller à ce que des informations suffisantes soient collectées pour
étayer les rapports remis au Conseil.
a. I et IV.
b. Il et III.
c. I, II et IV
d. I, II, III et IV.

3. La compagnie d'électricité ABC vend de l'électricité à des clients résidentiels et

fait partie d'une association sectorielle qui donne des orientations aux
compagnies d'électricité et aux groupes de pression de ce secteur et facilite la
coopération entre ses membres. Du point de vue d'ABC, cette association
Copyright © 2015 Eyrolles.

sectorielle est une partie prenante de quel type ?

a. Elle participe directement au fonctionnement de l'organisation.
b. Elle a un intérêt dans le succès de l'organisation.
c. Elle influence l'organisation.
d. Ce n'est pas une partie prenante.

LA GOUVERNANCE
ye • Questions à choix multiples

4. Qui a la responsabilité de définir les objectifs stratégiques d'une organisation ?

a. Le Conseil.
b. La direction générale.
c. Un consensus entre les niveaux hiérarchiques.
d. Le Conseil et la direction générale conjointement.

5. Qui doit, en dernier ressort, repérer les principaux risques nouveaux ou émergents
qui doivent être couverts par le processus de gouvernance de l'organisation ?
a. Le Conseil.
b. La direction générale.
c. Les propriétaires de risques.
d. L'audit interne.

6. L'audit interne ne devrait pas :

a. Évaluer les processus de gouvernance et de gestion des risques
de l'organisation.
b. Apporter des conseils sur la façon d'améliorer les processus de gouvernance
et de gestion des risques de l'organisation.
c. Superviser les processus de gouvernance et de gestion des risques
de l'organisation.
d. Coordonner ses activités en matière de gouvernance et de gestion des
risques avec celles de l'auditeur externe.

7. Parmi les propositions suivantes, laquelle ne pourrait être considérée comme

une première ligne de maîtrise selon le Modèle des trois lignes de maîtrise ?
a. Un contrôleur de gestion au niveau des divisions effectue une revue réciproque
pour s'assurer de la conformité aux normes de contrôle financier.
Copyright © 2015 Eyrolles.

b. Un collaborateur du service de la comptabilité fournisseurs examine les

pièces justificatives avant de traiter une facture à régler.
c. Un superviseur du service de la comptabilité effectue une revue mensuelle
afin de s'assurer que tous les rapprochements ont été réalisés correctement.
d. Un ouvrier de la chaîne de production inspecte les produits finis afin de
s'assurer que les normes de qualité de l'organisation ont été respectées.

3-32 MANUEL D'AUDIT INTERNE

 Thèmes de discussion •________________ •
1. Décrivez de quelles manières le modèle économique d'une organisation peut
influer sur son approche de la surveillance de la gouvernance. Donnez des
exemples en mettant en évidence les différences entre les sociétés cotées et
les autres.

2. Expliquez pourquoi il est important, du point de vue de la gouvernance, que des

administrateurs externes indépendants siègent au Conseil.

3. Étant donné qu'habituellement les administrateurs n'ont aucune interface directe

avec les principales parties prenantes, comment le Conseil peut-il faire pour
comprendre les attentes de ces dernières ? Comment ce processus peut-il varier
entre les différentes catégories de parties prenantes décrites dans ce chapitre ?

4. Dans l'encadré 3-4, l'audit interne est inclus dans le cadre des activités d'assurance.
Étant donné ce rôle d'assurance, décrivez les avantages et les inconvénients d'une
situation dans laquelle le responsable de l'audit interne rend compte au Conseil (ou
à l'un de ses comités), par comparaison à la situation dans laquelle il rend compte
au directeur financier. Étayez votre réponse avec les concepts décrits dans la
Norme 1100, Indépendance et objectivité.

5. La gouvernance des systèmes d'information (SI) est devenue un thème à la mode ces
dernières années. En vous aidant du cadre de référence de la gouvernance
présenté dans l'encadré 3-4, personnalisez chacune des composantes afin de
décrire comment elles pourraient spécifiquement être liées aux objectifs et aux
risques d'une organisation concernant la gouvernance des SI.

6. La Cour des comptes du pays ABC a publié un rapport sur la coopérative

électrique XYZ, grand producteur d'électricité détenu par ses membres. Ce rapport
examine le travail effectué par MNO Consulting, qui a constaté de nombreuses
faiblesses dans le contrôle interne. La Cour des comptes confirme la conclusion de
MNO, et rejoint ses recommandations concernant le manque général de contrôle
interne efficace. La Cour des comptes recommande en particulier que l'assemblée
Copyright © 2015 Eyrolles.

législative du pays adopte une loi contraignant les coopératives à :

· former un Conseil et se doter d'un comité d'audit distinct ;
· employer un auditeur interne qui rend compte au Conseil.

Le journaliste d'un quotidien local a quelques questions à vous poser :

a. Normalement, quelles sont les responsabilités du Conseil concernant
le contrôle interne ?
b. Pourquoi la Cour des comptes souhaite-t-elle que le Conseil de toutes
les coopératives emploie un auditeur interne ?

LA GOUVERNANCE 3-
 Thèmes de discussion

7. Le responsable de l'audit interne de

l'organisation PJS collabore avec la
direction générale et le Conseil pour
élaborer un modèle d'assurance
combiné et vous demande des
conseils. Il souhaite notamment que
vous répondiez aux questions
suivantes.
a. Dans un modèle d'assurance
combiné, l'audit interne devrait-il
reporter les missions d'assurance
dans les domaines déjà couverts
par d'autres prestataires
d'activités d'assurance ?
b. Quels sont les facteurs
susceptibles d'influencer la
décision du responsable de l'audit
interne quant au report d'une
mission d'assurance ?
c. Quels services l'audit interne
peut-il fournir en
remplacement d'une mission
d'assurance ?

8. Indiquez comment les textes de loi

contribuent à améliorer la
gouvernance. Expliquez en quoi
certains textes peuvent avoir des
conséquences inattendues en
matière de gouvernance.
Copyright © 2015 Eyrolles.
3-34 MANUEL D'AUDIT INTERNE
ÉTUDES DE
CAS
 Étudiez les règles régissant la gouvernance en Australie, en Afrique du Sud et
en Europe (plus particulièrement au Royaume-Uni et en France). Effectuez des
recherches supplémentaires sur Internet afin de répondre aux questions
suivantes.
CAS N° 1

1. Quels événements ont poussé chacun de ces pays à adopter ces règles ?

2. Expliquez en quoi ces textes sont similaires.

3. Décrivez au moins une différence notable entre chacun de ces textes.

4. Selon vous, parmi ces textes, lequel pose les exigences les plus complètes
concernant la gouvernance ? Pourquoi ?

Le site Internet de l'IIA comprend différents blogs. L'un d'entre eux est consacré
à la gouvernance ([Link]/blogs/marks) . Rendez-vous sur ce blog,
consultez les trois dernières publications, ainsi que les commentaires y
CAS N° 2 afférents, et préparez-vous à en discuter en cours.
Copyright © 2015
Eyrolles.