Audit de conformité

Manuel de mise en œuvre des ISSAI

Version 1, janvier 2022

Initiative de Développement de l’INTOSAI (IDI)

[Link]
Audit de conformité
Manuel de mise en œuvre des ISSAI
Version 1, décembre 2021

2
Table des matières
A propos du Manuel 9

PARTIE A Principes de base de l'audit de conformité

Chapitre 1 : Valeur et avantages des audits de conformité
1.1 Quels sont la valeur et les avantages des audits de conformité? 14
1.2 Quels sont les principaux catalyseurs de la création de valeur grâce aux audits de
conformité ? 17
1.3 Audits de conformité de haute qualité et IFPP 18
Chapitre 2: Concepts généraux de l’audit de conformité
2.1 Les trois parties d’un audit de conformité 23
2.2 Objet et informations sur l'objet de l'audit de conformité 24
2.3 Autorisations et critères dans un audit de conformité 26
2.4 L'audit de conformité en tant que mission d'assurance 28
2.5 Différentes façons de réaliser un audit de conformité 29
2.6 Étapes d'un audit de conformité 33
PARTIE B Gestion de l'audit de conformité par l'ISC
Chapitre 3: Exigences organisationnelles de l'ISC pour la conduite d'un audit de conformité
3.1 Objectivité et éthique de l’auditeur 37
3.2 Compétences de l'équipe d'audit 38
3.3 Risque d'audit et importance relative 38
3.4 Jugement professionnel et scepticisme de l'auditeur 39
3.5 Documentation des travaux d'audit 40
3.6 Communication 41
3.7 Garantir la qualité des audits 42
Chapitre 4: Plan de travail annuel de l'ISC concernant la couverture de l'audit de conformité
4.1 Etablissement des priorités stratégiques de l'ISC 44
4.2 Identification et priorisation des tâches d'audit potentielles 45
4.3 Plan de travail annuel ou pluriannuel de l'ISC 47
4.4 Considérations avant de lancer un audit de conformité individuel 48
PARTIE C Réalisation d'un audit de conformité
Chapitre 5: Planification d'un audit de conformité
5.1 Élaboration de la stratégie d'audit 54
5.2 Élaboration du plan d'audit 56
5.3 Documentation et garantie de la qualité de la stratégie d'audit et du plan d'audit 70
Chapitre 6: Mise en œuvre des procédures d'audit, collecte et évaluation des éléments probants
6.1 Éléments probants 73
6.2 Éléments probants suffisants et appropriés 74
6.3 Techniques de collecte de preuves 76
6.4 Détermination de la taille de l'échantillon 81
6.5 Évaluation des éléments probants et formulation de la conclusion 83
6.6 Garantir la qualité au stade de l'audit sur le terrain 87

Chapitre 7: Etablissement des rapports et suivi des audits de conformité

7.1 Principes d’établissement des rapports 89
7.2 Éléments d'un rapport d'audit de conformité 90

3
 7.3 Rapports des ISC dotées de pouvoirs juridictionnels 96
7.4 Signalement des suspicions de fraude et des actes illicites 96
7.5 Garantir la qualité du rapport d'audit 97
7.6 Communication du rapport aux parties prenantes 98
7.7 Suivi de l'audit 100

PARTIE D Documentation de l'audit de conformité

Chapitre 8: Documentation d'audit
8.1 Exigence en matière d’ISSAI en matière de documentation 104
8.2 Objet de la documentation 105
8.3 Eléments de documentation 106
8.4 Composants des documents de travail 107
8.5 Organisation de la documentation des documents de travail 108
8.6 Conservation des documents 110
8.7 Questions de confidentialité et de transparence 111

4
Liste des figures
Figure 1.1: Valeur et avantages pour tous 15
Figure 2.1: Les trois parties de l'audit de conformité 23
Figure 3.1: Principes fondamentaux de l'audit de conformité 37
Figure 5.1: Processus de planification des audits 53
Figure 5.2: Cadre de contrôle interne 58
Figure 5.3: Le triangle de la fraude 63
Figure 5.4: Processus d'évaluation des risques pour une mission de rapport direct 64
Figure 6.1: Arbre de décision – déterminer la méthode de sélection d'échantillon appropriée82
Figure 7.1: Utilisateurs des rapports d'audit de l'ISC 89

Liste des Illustrations

Illustration 1.1: Chaîne de valeur de l'audit de conformité 16
Illustration 1.2: Vers un audit de conformité de haute qualité 19
Illustration 2.1: Scénario de cas sur l'audit de conformité 30
Illustration 2.2: Combinaison des niveaux d'assurance et des types de mission 32
Illustration 2.3: Étapes d'un audit de conformité 33
Illustration 4.1: Examen des politiques et des risques 44
Illustration 4.2: Identification des tâches d'audit potentielles 46
Illustration 4.3: Détermination de l'importance des risques 46
Illustration 4.4: Classement de la priorité d'une tâche 47
Illustration 5.1: Relation entre le sujet, la portée et les critères 55
Illustration 5.2: Questionnaire de contrôle interne pour une petite entité ou un sujet 59
Illustration 5.3: Détermination de l’importance relative quantitative 67
Illustration 5.4: Matrice de planification des audits 69
Illustration 5.5: Documentation du plan d'audit 70
Illustration 6.1: Procédures de corroboration 79
Illustration 6.2: Modèle de matrice de constatation 84
Illustration 7.1: Principes en matière d’établissement de rapports 89

Liste des pièces

Pièces du chapitre 4
Pièce 4.1 : Documentation d'une tâche d'audit potentielle 114
Pièce 4.2 : Établissement du plan de travail annuel ou pluriannuel 116

Pièces du chapitre 5
Pièce 5.1 : Stratégie d’audit 122
Pièce 5.2 : Comprendre l'entité et son environnement 124
Pièce 5.3 : Comprendre les contrôles internes et l'environnement de contrôle 127
Pièce 5.4 : Évaluation des risques de fraude 130
Pièce 5.5 : Définir l’importance relative au stade de la planification 132
Pièce 5.6 : Registre des risques 134
Pièce 5.7 : Plan d' audit 136

5
Pièces du chapitre 6
Pièce 6.1 : Tester l'efficacité opérationnelle des contrôles 142
Pièce 6.2 : Exécution des procédures d'audit de corroboration 144
Pièce 6.3 : Matrice des constatations de l'audit 147

Liste des annexes

Chapitre 4:
Annexe 4-A : Catégorisation des entités en fonction de la valeur du risque 118
Annexe 4-B : Différentes tâches de l'auditeur dans différents types d'audit de conformité 120

Chapitre 5 : Annexe 5-A : Examen de la qualité de la planification des audits 140

Chapitre 6 : Annexe 6-A : Examen de la qualité des travaux d'audit sur le terrain 149
Chapitre 7 : Annexe 7-A : Examen de la qualité des rapports d'audit 151

Références

1. ISSAI sur [Link]

2. Plan de développement stratégique de l’IFPP de 2017-19

Liste des acronymes

AC Audit de conformité
CAS Sous-comité de l'audit de conformité
COSO Comité des organismes de parrainage
IFPP Forum pour les déclarations professionnelles de l'INTOSAI
INTOSAI Organisation internationale des Institutions supérieures de contrôle des finances
publiques
INCOSAI Congrès international des Institutions supérieures de contrôle
IFPP Cadre des déclarations professionnelles de l'INTOSAI
IDI Initiative de développement de l'INTOSAI
ISSAI Normes internationales des Institutions supérieures de contrôle des finances
publiques
PSC Comité des normes professionnelles
AQ Assurance qualité
RMNC Risque de non-conformité importante
ISC Institution supérieure de contrôle des finances publiques

6
 Déclaration de qualité de la Version 1 du Manuel de mise en œuvre des ISSAI en matière
d’audit de conformité
(… décembre 2021)

Le document conjoint des Présidents des objectifs de l'INTOSAI et de l'IDI intitulé « Assurer la qualité
des biens publics de l'INTOSAI qui sont développés et publiés en dehors de la procédure officielle »
identifie trois niveaux d'assurance qualité, comme suit :

ASSURER LA QUALITÉ DES BIENS PUBLICS DE L'INTOSAI QUI SONT DÉVELOPPÉS ET PUBLIÉS EN
DEHORS DE LA PROCÉDURE OFICIELLE – Niveaux d'assurance de la qualité
Niveau 1 : Les produits qui ont été soumis à des processus d'assurance qualité équivalents à la
procédure régulière de l'INTOSAI, y compris une période prolongée d'exposition publique
transparente (90 jours).
Niveau 2 : Les produits qui ont été soumis à des processus d'assurance qualité plus limités
impliquant des parties prenantes extérieures à l'organisme ou au groupe de travail responsable du
développement initial des produits. Les processus d'assurance qualité peuvent, par exemple,
inclure le pilotage, les tests et l'invitation à formuler des commentaires de la part des principales
parties prenantes, sans toutefois aller jusqu'à une exposition publique complète de 90 jours.
Niveau 3 : Produits qui ont été soumis à des mesures rigoureuses de contrôle de la qualité au sein
de l'organisme ou du groupe de travail responsable de leur développement.

Différents niveaux d'assurance qualité peuvent être appropriés pour différents Biens publics
mondiaux (BPM). Le présent BPM a été développé selon le niveau 1 d'assurance qualité.

Protocole d'assurance qualité : Version 2.0

Le Protocole d'assurance qualité (AQ) des Biens Publics Mondiaux de l'IDI définit les mesures visant à
garantir la qualité en fonction des trois niveaux d'assurance qualité ci-dessus. Pour le niveau 1
d'assurance qualité, ces mesures comprennent : l'approbation par le Conseil d'administration de l'IDI
de la création du BPM ; la formation d'une équipe compétente de développement du produit ; la
révision par des experts externes à l'équipe de développement ; la modification basée sur la révision
; la relecture, l'édition et la traduction du document par des personnes compétentes ; l'exposition
publique pendant une période de 90 jours/consultation des parties prenantes concernées
représentant les points de vue de la plupart des régions, de la plupart des modèles d'audit, des pays
développés et en développement, et du point de vue des organismes mondiaux ; les modifications du
document basées sur les commentaires reçus pendant l'exposition publique ; et les approbations
requises pour la version 1 du BPM.

Mises à jour du présent BPM

Afin de s'assurer que ce BPM reste pertinent, l’IDI entreprendra une révision majeure de ce Manuel
de mise en œuvre des ISSAI relatives aux audits de conformité chaque fois que des changements
seront apportés aux ISSAI relatives aux audits de conformité. Les révisions majeures suivront le
protocole de l'IDI en matière d'assurance qualité. En outre, des révisions légères peuvent être
entreprises selon les besoins. Ces révisions légères ne seront normalement pas soumises à ce
Protocole.

Ce BPM est la propriété de l‘axe de travail des ISC professionnelles de l'IDI, qui est responsable de la
maintenance de ce BPM.

7
Processus de révision de l'assurance qualité

Shourjo Chatterjee (Unité de soutien stratégique, IDI) a entrepris un examen AQ du processus suivi
pour le développement de ce BPM, par rapport à la Version 2.0 du protocole AQ. Le réviseur AQ est
familier avec le protocole d'AQ de l'IDI pour les BPM et n'a pas été impliqué dans le développement
du BPM. Ce processus d'examen AQ est conçu pour fournir à toutes les parties prenantes l'assurance
que l'IDI a mis en œuvre les mesures de contrôle de la qualité mentionnées ci-dessus, conçues pour
répondre au niveau 1 de l'assurance qualité.

Résultats de l'examen de l'assurance qualité

L'examen de l'AQ du processus suivi pour l'élaboration de ce BPM a conclu que le protocole a été
suivi à tous égards comme l'exige le niveau 1 de l'assurance qualité.

Conclusion

Sur la base de l'examen de l'AQ, l’IDI assure aux utilisateurs de ce BPM que ce document a été soumis
à un processus d'assurance qualité équivalent à la Procédure régulière du Cadre des Déclarations
professionnelles de l'INTOSAI (IFPP), y compris une période prolongée d'exposition publique
transparente.

Einar Gørrissen
Directeur Général
Initiative de développement de l'INTOSAI
Janvier 2022

8
 À propos du manuel

À propos du manuel
Contexte

L'IDI a élaboré le premier manuel de mise en œuvre des ISSAI1 pour les audits de conformité (AC) en
2014, dans le cadre de l'initiative de mise en œuvre des ISSAI (programme 3i). À l'époque, le manuel
était basé sur les anciennes normes ISSAI d'audit de conformité de niveau 4 (ISSAI 4100 et 4200), et
sur les normes ISSAI de niveau 3, à savoir l’ISSAI 400 et l’ISSAI 100. Ces normes ont servi de base à la
méthodologie d'audit décrite dans le premier manuel d'audit de conformité.

L'INTOSAI a approuvé la nouvelle norme ISSAI 40002 sur les audits de conformité lors de l'INCOSAI de
2016. En tant que norme faisant autorité pour un audit de conformité, la norme ISSAI 4000 comporte
des changements importants par rapport à la version antérieure des ISSAI relatives aux audits de
conformité. Par la suite, pour refléter les changements apportés aux ISSAI, l'IDI a lancé la révision du
manuel de mise en œuvre des ISSAI relatives aux audits de conformité et a développé ce manuel en
tant que bien public mondial (BPM). Les BPM sont des produits et des outils créés par l'IDI pour
contribuer à la création de connaissances mondiales, au développement des capacités et à
l'amélioration de la performance des ISC.

1
ISSAI - Les Normes internationales des Institutions supérieures de contrôle des finances publiques (ISSAI). La collection complète et
actualisée de normes professionnelles et de lignes directrices sur les meilleures pratiques pour les auditeurs du secteur public
2
[Link]

9
Objectif du manuel

L'objectif de ce manuel est de fournir des conseils pratiques pour suivre un processus d'audit de
conformité conforme à la norme ISSAI 4000 afin d'aider les ISC et leurs auditeurs à réaliser des audits
de conformité conformes à la norme ISSAI. Le manuel intègre une méthodologie d'audit basée sur la
norme ISSAI 4000 qui contient des explications sur le processus d'audit ainsi que des modèles de
documents de travail suggérés.

Processus de développement du manuel

L'IDI a suivi son Protocole pour l'assurance qualité de ses Biens publics mondiaux V2.03 pour le
développement de ce Manuel. La section 6 du protocole - Conversion de produits existants en un Bien
public mondial - détermine la procédure à suivre pour garantir la qualité de cette version du Manuel.
Le processus exige d'abord de développer la Version 0 du Manuel et de l'exposer pour commentaires.
Sur la base des commentaires et des réactions reçus, la Version 0 est ensuite mise à jour et appelée
Version 1 du Manuel.

Une équipe de développement de produit, provenant d'ISC de différentes régions de l'INTOSAI et le

personnel de l'IDI, a élaboré la première version de ce Manuel. Un groupe d'experts en audit de
conformité a revu de manière indépendante le projet de Version 0 du manuel. Après la finalisation de
cette Version 0, l'IDI l'a placée sur son site Internet pour une exposition publique pendant 90 jours.

Au cours de l'exposition, l'IDI a informé les parties prenantes concernées de la disponibilité de la

Version 0 sur le site Web de l'IDI et a demandé leurs réactions et commentaires sur le Manuel. Les
parties prenantes comprennent, entre autres, les ISC, les facilitateurs des ISSAI et les auditeurs qui
sont engagés dans l'initiative de mise en œuvre des ISSAI de l'IDI. Les parties prenantes également
couvertes sont le Secrétariat général de l'INTOSAI, les régions de l'INTOSAI, le Comité des normes
professionnelles de l'INTOSAI, les membres du Sous-comité d'audit de conformité de l'INTOSAI, le
Comité de partage des connaissances de l'INTOSAI, les personnes ressources et les experts de l'IDI et
la communauté des donateurs.

Dans le même temps, l'IDI a traduit la Version 0 du Manuel en espagnol, en arabe et en français et l'a
placée sur le site Internet de l'IDI aux fin d’exposition. L'IDI a envoyé le Manuel aux secrétariats
régionaux de l'OLACEFS, de l'ARABOSAI et du CREFIAF afin de le diffuser auprès des ISC de ces régions
pour recueillir leurs commentaires.

L'IDI reconnaît les précieux commentaires qu'elle a reçus des parties prenantes sur l'exposition de la
Version 0. Ces commentaires sont dûment intégrés, ce qui a permis d'améliorer considérablement le
Manuel et de développer la Version 1. Comme la Version 1 du Manuel remplace désormais la Version
0, l'IDI retire la Version 0 du Manuel à la date de disponibilité de la Version 1.

Contenu du manuel
Le Manuel comporte huit chapitres divisés en quatre parties. La Partie A couvre les bases de l'audit de
conformité et explique les concepts fondamentaux de l'audit de conformité basée sur les ISSAI. La

3
[Link]

10
Partie B destinée à la direction de l'ISC, fournit des conseils sur la gestion de l'audit de conformité par
une ISC.

La Partie C réalisation la conduite de l'audit de conformité et décrit la méthodologie d'audit couvrant

les phases de planification, de collecte et d'évaluation des éléments probants et de rapport. La partie
C comprend également les modèles de documents de travail pertinents (sous forme de Pièces), qui
sont conçus pour accompagner le processus d'audit afin de faciliter l'application des ISSAI dans la
pratique. Les ISC peuvent être amenées à modifier les modèles de documents de travail en fonction
de leur mandat, de la documentation existante et des pratiques d'audit. La Partie D explique le
processus de documentation d'un audit de conformité.

Qui peut utiliser ce manuel?

Ce manuel serait particulièrement utile pour les auditeurs des ISC et les ISC qui ont adopté l'ISSAI 4000
comme normes d'audit faisant autorité ou celles qui prévoient d'adopter l'ISSAI 4000 comme norme
d'audit faisant autorité pour effectuer des audits de conformité. Ce manuel n'est pas un document
faisant autorité. Nous recommandons que les ISC adaptent la méthodologie suggérée dans ce Manuel,
en tenant compte de leur mandat et de leurs exigences en matière de rapport. Les ISC devraient
également l'adapter à leurs pratiques d'audit conformément au contexte et à l'environnement dans
lesquels opère l'ISC.

Comment une ISC peut-elle utiliser et bénéficier de ce Manuel ?

Les ISC peuvent utiliser ce manuel dans son intégralité tel que requis par l'ISC, ou selon leurs besoins,
les parties qui couvrent les différents aspects de la pratique des audits de conformité. En général, les
ISC sont à des niveaux de développement différents dans leur pratique d'audit de conformité, tant en
ce qui concerne les exigences organisationnelles de l'audit que la pratique de l'audit. Les ISC peuvent
utiliser ce manuel en fonction des besoins identifiés pour se conformer aux normes ISSAI.
La Partie B explique les exigences organisationnelles de l'ISC (conformément à l'ISSAI 4000) pour la
réalisation d'un audit de conformité. La direction de l'ISC et le personnel responsable de la
méthodologie peuvent analyser cette partie et déterminer les mesures nécessaires que l'ISC doit
prendre pour satisfaire aux exigences organisationnelles de l'ISSAI 4000. Les exigences
organisationnelles concernant la documentation sont détaillées dans la Partie D pour aider l'ISC à
réaliser des audits conformes aux ISSAI.
Les ISC qui disposent d'une méthodologie d'audit de conformité et qui ont l'intention de réaliser l'audit
selon la méthodologie basée sur la norme ISSAI 4000 voudront peut-être prendre en considération la
Partie C, ainsi que les parties B et D. La Partie C aidera l'ISC à analyser dans quelle mesure la pratique
d'audit de conformité existante de l'ISC correspond à la méthodologie basée sur la norme ISSAI 4000
telle que suggérée dans le Manuel. Grâce à cette analyse, l'ISC peut déterminer sur quels points du
processus d'audit sa méthodologie présente des lacunes dans les aspects requis par la norme ISSAI
4000, tels que décrits dans le Manuel.
Les ISC peuvent utiliser l'Outil d'évaluation de la conformité aux ISSAI pour l'audit de conformité (CA
iCAT)4 afin d’identifier les écarts entre la pratique d'AC de l'ISC et les exigences de l'ISSAI 4000. Le
résultat de l’iCAT révélera les domaines que l'ISC doit aborder pour rendre la pratique d'audit
conforme aux ISSAI.

4
L'outil iCAT en matière d'AC (Version 1) est disponible sur le site web de l'IDI: Compliance Audit iCAT V1 ([Link])

11
 PARTIE A Principes de base de l'audit de conformité

Chapitre 1 : Valeur et avantages des audits de conformité

Chapitre 2 : Concepts généraux de l'audit de conformité

12
 Valeur et avantages des audits de conformité

Chapitre 1

Valeur et avantages des audits de conformité

1.1 Quels sont la valeur et les avantages des audits de conformité ?
1.2 Quels sont les principaux facteurs permettant de créer de la valeur grâce aux audits de
conformité?
1.3 Audits de conformité de haute qualité et IFP

13
Ce chapitre propose une réflexion sur les audits de conformité dans le cadre plus large des audits des
ISC, des normes ISSAI et de la valeur ajoutée des audits de conformité. Le chapitre identifie les
différentes façons dont une ISC peut adopter les ISSAI sur l'audit de conformité, et quand l'ISC peut se
référer aux ISSAI dans ses rapports d'audit de conformité.
Au-delà des exigences des normes, le chapitre réfléchit également à l'impact des audits de conformité,
à l'intégration des considérations de genre et d'inclusion dans les audits de conformité et à la
souplesse des audits de conformité pour répondre aux problèmes émergents comme la pandémie de
la COVID 19.

1.1 Quels sont la valeur et les avantages des audits de conformité

Les Institutions supérieures de contrôle contribuent à la valeur et aux avantages pour tous en exerçant
une surveillance externe indépendante pour garantir la responsabilité, la transparence, l'inclusivité, le
comportement éthique et l'efficacité de la gouvernance publique. Les ISC fournissent une assurance
sur les états financiers des gouvernements et des organismes publics, examinent la conformité aux
lois et règlements applicables et proposent des recommandations pour améliorer l'économie,
l'efficience et l'efficacité de la prestation de services, la gouvernance ou les résultats qui ont un impact
sur les personnes et la planète.

L'audit des entités gouvernementales et du secteur public par les ISC a un impact positif sur la
confiance dans la société, car attire l'attention des gardiens des ressources publiques sur la façon dont
ils utilisent ces ressources. Cette prise de conscience soutient les valeurs souhaitables et étaye les
mécanismes de responsabilité, ce qui conduit à son tour à de meilleures décisions. Une fois que les
résultats des audits des ISC ont été rendus publics, les citoyens sont en mesure de demander des
comptes aux gardiens des ressources publiques. De cette façon, les ISC favorisent l'efficience, la
responsabilité, l'efficacité, la transparence et l'inclusivité des institutions publiques.

L'audit du secteur public est essentiel dans la mesure où il fournit – aux organes législatifs et de
contrôle, aux personnes constituant le gouvernement d’entreprise et au grand public – des
informations et des évaluations indépendantes et objectives concernant la performance des
politiques, programmes ou opérations du gouvernement. L'audit du secteur public est décrit comme
un processus systématique d'obtention et d'évaluation objectives d'éléments probants afin de
déterminer si les informations ou les conditions réelles sont conformes aux critères établis. 5
Bien que les mandats et les cadres juridiques des ISC soient très diversifiés au sein de la communauté
de l'INTOSAI, la norme ISSAI 100 reconnaît trois types d'audits habituellement réalisés par les ISC, à
savoir l'audit financier, l'audit de conformité et l'audit de performance. Les trois types d'audit sont
différents, étant donné que chaque type a son domaine d'intérêt et son approche d'audit.
L'audit financier vise à déterminer si les informations financières d'une entité sont présentées
conformément au cadre réglementaire et d'information financière applicable. Ceci est accompli en
obtenant des éléments probants suffisants et appropriés pour permettre à l'auditeur d'exprimer une
opinion sur l'absence d'anomalies significatives résultant de fraudes ou d'erreurs dans les
informations financières6.
Un audit de performance est un examen indépendant, objectif et fiable pour déterminer si les
entreprises, systèmes, opérations, programmes, activités ou organisations du gouvernement

5
ISSAI 100.18
6
ISSAI 100.22

14
fonctionnent conformément aux principes d'économie, d'efficience et d'efficacité, et si des
améliorations sont possibles.7
Un audit de conformité est une évaluation indépendante visant à déterminer si un sujet donné est
conforme aux autorisations applicables identifiées comme des critères. Il s'agit de déterminer si les
activités, les transactions financières et les informations sont conformes, dans tous leurs aspects
significatifs, aux textes législatifs et réglementaires qui régissent l'entité auditées8.
Obtenir de la valeur et des avantages grâce aux audits
de conformité est un processus complexe. Il nécessite
que plusieurs acteurs, de différentes fonctions,
travaillent ensemble de manière cohérente et
coordonnée. Ces acteurs comprennent à la fois des
acteurs étatiques et non étatiques, comme le montre le
diagramme. Afin de contribuer et d'apporter de la
valeur, un auditeur de conformité doit analyser
l'écosystème dans lequel il opère et déterminer les
acteurs avec lesquels il doit collaborer et les processus
dans lesquels s'engager tout au long de l'audit.
Les audits de conformité peuvent apporter une valeur
ajoutée de différentes manières, par leur couverture,
par les rapports d'audit de haute qualité dans le
domaine public, par les recommandations conduisant à
des cadres de conformité plus transparents,
responsables et inclusifs, par la prise de décision et par
Figure 1.1: Valeur et avantages pour tous
un plus grand respect des autorités applicables par les
personnes constituant le gouvernement d’entreprise.

Les audits de conformité favorisent la transparence

La transparence peut être définie comme le principe fondamental et communément admis de
divulgation visant à mettre à la disposition du public les politiques, les cadres juridiques et
institutionnels et les informations liées aux décisions, de manière compréhensible, accessible et en
temps utile. Grâce aux contrôles de conformité, les ISC peuvent vérifier si les entités contrôlées
respectent les exigences de transparence. Si la publication des rapports d'audit de conformité de l'ISC
conduit à une plus grande transparence, l'action exécutive sur les recommandations faites par l'ISC
conduit à des systèmes de conformité plus transparents à long terme.
Les audits de conformité aident les citoyens à demander des comptes aux personnes constituant le
gouvernement d’entreprise et améliorent les mécanismes de responsabilité dans le secteur public.
La responsabilité concerne la relation entre l'État et ses citoyens, et la mesure dans laquelle l'État doit
répondre de ses actes. Le concept de responsabilité se réfère au cadre juridique et hiérarchique, à la
structure organisationnelle, à la stratégie, aux procédures et aux actions visant à garantir que chaque
organisation qui utilise des fonds publics et prend des décisions qui affectent la vie des gens puisse
être tenue responsable de ses actions. Les principes et concepts nécessaires à la responsabilité du
secteur public sont la transparence, l'équité, l'Probité et la confiance. Les audits de conformité
peuvent garantir la responsabilité en ayant un effet dissuasif grâce à une surveillance adéquate et
régulière de la conformité avec les autorités, les rapports d'audit de conformité peuvent aider les
citoyens à demander des comptes aux personnes constituant le gouvernement d’entreprise et les

7
ISSAI 300.9
8 ISSAI 400.12

15
mesures prises à la suite des conclusions et des recommandations des audits de conformité
conduiront à des systèmes et des actions plus responsables de la part du gouvernement à l'avenir.
Les audits de conformité favorisent l'inclusion
En plus de contribuer à la transparence et à la responsabilité, les audits de conformité peuvent
également contribuer à l'inclusivité. Les auditeurs de conformité peuvent vérifier si les autorisation,
les règles et les règlements qui prévoient l'inclusivité dans différents domaines sont respectées par
personnes constituant le gouvernement d’entreprise. Par exemple, les auditeurs de conformité
peuvent vérifier si le programme socio-économique destiné aux bénéficiaires issus de groupes
vulnérables est mis en œuvre conformément aux exigences et si les bénéficiaires sont authentiques.
Les audits de conformité peuvent également commenter la mesure dans laquelle les considérations
d'inclusion trouvent leur place dans les cadres de conformité du gouvernement.
Les audits de conformité contribuent à un comportement éthique
Se comporter de manière éthique dans toutes les situations est une valeur fondamentale pour chacun,
en particulier pour les personnes constituant le gouvernement d’entreprise. Les audits de conformité
contribuent à améliorer le comportement éthique dans le secteur public en en permettant de
contrôler dans quelle mesure les décisions sont prises en conformité avec les exigences du code
d'éthique applicable et en formulant des recommandations pour améliorer les cadres de conformité
à l'éthique.
Les Audits de Conformité contribuent à la lutte contre la fraude et la corruption
Les audits de conformité ont une valeur à la fois préventive et de détection en cas de fraude et de
corruption dans les institutions publiques. Les ISC peuvent créer des signaux d'alarme, évaluer la
vulnérabilité des systèmes de conformité et tester la conformité réelle afin de détecter les cas de
fraude et de corruption. En fonction de leur mandat et de leurs capacités, les ISC peuvent collaborer
avec les agences de lutte contre la corruption, transmettre leurs conclusions à d'autres autorités pour
des enquêtes complémentaires ou mener elles-mêmes de telles enquêtes.
Les audits de conformité contribuent à la création d'une culture de la conformité
Comme mentionné précédemment, une couverture adéquate des audits de conformité, des audits de
conformité de haute qualité, un suivi mesures exécutives en cas de non-conformité peuvent, à long
terme, contribuer à une plus grande prise de conscience de l'importance de la conformité, avoir un
effet dissuasif sur la non-conformité et favoriser une culture de la plainte au sein des institutions
gouvernementales.
En examinant la transparence, la responsabilité, l'inclusivité et le comportement éthique dans
différents secteurs – santé publique, éducation, infrastructure, technologie, environnement, etc., les
audits de conformité contribuent à la valeur et aux avantages pour les personnes et la planète.
Nous pouvons également examiner la valeur et les avantages des audits de conformité du point de
vue de la chaîne de valeur des produits, des résultats et de la contribution à l'impact. Le diagramme
ci-dessous en donne quelques illustrations.

16
 Illustration 1.1: Chaîne de valeur de l'audit de conformité

Cette chaîne de valeur menant à la valeur et aux avantages pour tous fonctionne sur certaines
hypothèses favorisant l'indépendance et le mandat des ISC, des ressources et des capacités adéquates
des ISC, une méthodologie de contrôle solide, des parties prenantes favorables, la capacité des ISC à
assurer le suivi et des entités auditées qui qui donnent suite aux recommandations des ISC. La
fourniture de valeur est compromise si l'un des maillons de la chaîne ou les hypothèses ne
fonctionnent pas. Cette chaîne de valeur est également affectée par l'environnement politique, social,
économique et culturel du pays.

1.2 Quels sont les principaux facteurs permettant de créer de la valeur grâce aux audits de conformité?

Cette section présente quelques-uns des principaux facteurs permettant de créer de la valeur ou de
contribuer à l'impact des audits de conformité.
1. Mandat et cadre juridique habilitants de l'ISC – L'ISC a besoin d'un mandat et d'une
indépendance lui permettant de déterminer les audits de conformité qu'elle entreprendra, de
décider de la méthodologie et d'avoir le droit de publier son rapport et d'assurer le suivi des
mesures prises.
2. Leadership des ISC - Les dirigeants des ISC jouent un rôle clé dans l'élaboration de la stratégie
de création de valeur, la mobilisation des ressources, la prise de décision et, surtout, dans
l'établissement du ton et d'une culture axés sur la création de valeur.
3. Audits de haute qualité – L'ISC a besoin d'un produit crédible et de haute qualité pour
apporter une valeur ajoutée. La conformité aux normes applicables et la capacité de l'ISC à
démontrer cette conformité par des systèmes de qualité solides sont donc cruciales.
4. Audits de conformité axés sur l'impact – Si les audits de conformité doivent contribuer à
l'impact, l'ISC doit avoir des processus et des pratiques qui intègrent les considérations
d'impact tout au long du processus d'audit. Il s'agit notamment de planifier l'impact, de se
concentrer sur l'impact lors de la réalisation de l'audit et de la rédaction du rapport. Il est
également essentiel de garantir des rapports opportuns qui atteignent un large éventail de
parties prenantes.
5. Engagement des parties prenantes tout au long du processus d'audit – Les ISC ne peuvent
pas apporter de la valeur à elles seules. Il faut une coalition de parties prenantes et un

17
 écosystème entier d'acteurs travaillant ensemble pour que les audits de conformité aient un
impact et une valeur. En gardant cela à l'esprit, il est important pour l'ISC de déterminer les
principales parties prenantes et leur engagement dès le début du processus de contrôle. Cela
peut être fait de manière stratégique pour l'ensemble de la pratique d'audit de conformité et
pour les audits de conformité individuels.
6. Suivi rigoureux des audits de conformité – Le rôle de l'auditeur ne s'arrête pas à la publication
du rapport. Pour que les audits de conformité réalisés par l'ISC aient une valeur ajoutée, les
ISC doit disposer d'un mécanisme de suivi solide qui clarifie les mesures correctives attendues,
assure le suivi avec les responsables et contrôle et mesure les mesures prises à la suite des
conclusions et des recommandations des audits de conformité.
7. Audits de conformité souples et flexibles - Compte tenu du rythme auquel les choses
évoluent de nos jours, il est important que les ISC intègrent des caractéristiques agiles dans
leurs pratiques d'audit de conformité. Veuillez-vous référer au chapitre 4 du guide pratique
de l'IDI sur l'audit de la transparence, de la responsabilité et de l'inclusivité de l'utilisation des
fonds d'urgence pour la COVID-19 (audits TAI) pour en savoir plus sur une approche souple
des audits de conformité (Guide TAI ([Link]) ) .
8. Se concentrer sur les considérations de genre et d'inclusivité – Étant donné que ce sont les
sections vulnérables et marginalisées de la population qui sont les plus touchées par la non-
conformité, le manque de probité et la corruption dans les institutions publiques, nous
pensons qu'il est important que les ISC réfléchissent aux considérations de genre et d'inclusion
dans leur pratique d'audit de conformité. Les ISC peuvent le faire en intégrant ces
considérations dans les audits de conformité dans tous les secteurs et/ou en se concentrant
sur des domaines spécifiques de marginalisation et de vulnérabilité comme sujet des audits
de conformité, par exemple, les audits du paquet socio-économique pendant la COVID 19
pour les mères célibataires. Veuillez-vous référer aux banques de questions d'audit TAI (Bank
de Questions d’audit TAI ([Link])) pour des exemples de questions d'inclusivité qui peuvent
être posées dans les audits de conformité.

18
1.3 Audits de conformité de haute qualité et IFPP
nous avons discuté de la manière dont des audits de conformité de haute qualité étaient essentiels à la fourniture de valeur et d'avantages. Dans cette section,
nous allons explorer le lien entre les audits de conformité de haute qualité et le cadre des prises de position professionnelles de l'INTOSAI. Dans le cadre de cette
exploration, nous examinerons également ce que signifie pour une ISC l'adoption de normes d'audit de conformité, les différentes manières de se référer aux ISSAI
et la mise en place d'une pratique d'audit de conformité conforme aux ISSAI.
Le cadre des déclarations professionnelles de l'INTOSAI (IFPP) se compose des principes de l'INTOSAI (INTOSAI-P), des normes internationales des Institutions
supérieures de contrôle (ISSAI) et des lignes directrices de l'INTOSAI (GUID) :
20
Vers des audits de conformité de haute qualité grâce à une conformité totale aux ISSAI
Le cheminement d'une ISC vers une pratique d'audit de conformité de haute qualité comporte les
éléments clés suivants:

Adoption des ISSAI relatives aux audits de

conformité
L'adoption des ISSAI relatives aux audits de
Assurance
indépendante
conformité fait référence au processus
Mise en de la qualité décisionnel de l'ISC, par lequel elle décide de
œuvre de la des audits de la manière dont elle se référera aux ISSAI dans
pratique de conformité au
moyen de sa pratique d'audit de conformité. Comme
l'audit de
Adoption des conformité mécanismes expliqué dans l'ISSAI 100:8, les ISC peuvent
ISSAI relatives selon les de qualité adopter les ISSAI de différentes manières.
aux audits de normes solides
conformité
Les Principes fondamentaux de l'audit de
conformité (ISSAI 400) fournissent aux ISC
Illustration 1.2: Le cheminement d'une ISC vers des pratiques une base pour l'adoption ou l'élaboration de
d'audit de conformité de haute qualité
normes et de lignes directrices en matière
d'audit de conformité.

Les principes de l'ISSAI 400 peuvent être utilisés de trois manières:

 Comme base pour l'adoption des normes d'audit de conformité (ISSAI 4000) en tant que
normes faisant autorité.
 En tant que base sur laquelle les ISC peuvent élaborer leurs normes d'audit.
 Comme base pour l'adoption de normes nationales cohérentes.
En tant que base pour l'adoption de l'ISSAI 4000 en tant que normes d'audit de conformité faisant
autorité
Les ISC pourraient envisager d'adopter directement l'ISSAI 4000, les normes d'audit de conformité, en
tant que normes d'audit de conformité faisant autorité. Étant donné que l'ISSAI 4000 a été élaborée
pour refléter les meilleures pratiques, les ISC sont encouragées à s'efforcer de les adopter
intégralement comme normes faisant autorité.9
Dans certains environnements, cela peut ne pas être possible en raison de l'absence de structures
administratives de base ou parce que les lois ou règlements n'établissent pas les conditions nécessaires
à la réalisation d'audits selon l'ISSAI 4000. Dans de tels cas, les ISC ont la possibilité d'élaborer des
normes, basées sur ou d'adopter des normes nationales conformes aux Principes fondamentaux
d'audit de conformité - ISSAI 400.10
En tant que base sur laquelle les ISC peuvent élaborer leurs propres normes
Il se peut que certaines ISC réalisent des audits de conformité dans le cadre de leur mandat, mais
qu'elles ne disposent d'aucun cadre d'audit pour soutenir leur travail. Ces ISC peuvent élaborer leurs
normes d'audit de conformité en tenant compte des principes fondamentaux de l'audit de conformité
de la norme ISSAI 400. Les normes ISSAI soulignent la nécessité pour les ISC d'examiner leur mandat,
leurs lois et leurs règlements respectifs lors de l'adoption des normes ISSAI. Ainsi, ces principes ne

9
ISSAI 400.7
10
ISSAI 400.7
remplacent pas les mandats, les règles et les règlements existants qui régissent les pratiques d'audit
des ISC.
En tant que base pour l'adoption de normes nationales cohérentes
Certaines ISC peuvent déjà disposer de leurs propres normes nationales pour la réalisation des audits
de conformité. La norme ISSAI 400 fournit un cadre de référence en tant que principe fondamental
pour ces ISC. Les ISC peuvent analyser leurs pratiques et normes existantes par rapport aux ISSAI,
identifier les lacunes et modifier leurs normes d'audit afin de s'aligner sur les principes de l'ISSAI 400.
Mise en œuvre d’une pratique d'audit de conformité selon les normes
Après avoir pris la décision d'adopter la norme, l'ISC devra mettre en place des mécanismes pour
mettre en œuvre une pratique d'audit de conformité qui réponde aux exigences des normes adoptées.
Pour ce faire, l'ISC a besoin des éléments suivants:
a. Une méthodologie d'audit de conformité alignée sur les normes - la méthodologie définirait
le processus d'audit de conformité et les mécanismes de qualité.
b. Des auditeurs de conformité compétents – un nombre suffisant d'auditeurs de qui possèdent
les compétences requises pour réaliser des audits de conformité et exercer un jugement
professionnel. Veuillez consulter le Cadre de compétences des professionnels de l'audit du
secteur public pour en savoir plus sur les compétences d'un auditeur de conformité
professionnel.
c. Des ressources et processus de soutien pour réaliser les audits de conformité - cela comprend
les ressources financières, l'infrastructure, les services de soutien, etc.

Assurer la qualité des audits de conformité

Pour garantir la qualité des audits de conformité, une ISC doit mettre en place des mécanismes de
contrôle et d'assurance de la qualité. Alors que les contrôles de qualité sont intégrés dans le processus
d'audit de conformité, les mécanismes d'assurance qualité fournissent une assurance indépendante
de l'efficacité des contrôles de qualité.
Les ISC ne peuvent prétendre à la conformité aux normes de l'AC que si leur mécanisme d'assurance
qualité fournit une assurance indépendante que la pratique de l'audit de conformité est pleinement
conforme à toutes les exigences applicables des normes de l'AC.

Faire référence aux ISSAI dans le rapport d'audit de conformité d'une ISC

Les ISC doivent déclarer les normes qu'elles appliquent lors de la réalisation des audits, et cette
déclaration doit être accessible aux utilisateurs des rapports de l'ISC. Les ISC sont encouragées à faire
de telles déclarations une partie de leurs rapports d'audit11..
Les utilisateurs du rapport d'audit doivent savoir comment les ISC ont réalisé l’audit et quelle
méthodologie elles ont suivie. C'est grâce à cette déclaration que les utilisateurs peuvent avoir
confiance dans les informations fournies dans le rapport d'audit. En effet, ils reconnaissent que les
normes ISSAI exigent de l'ISC qu'elle planifie et réalise l'audit afin d'obtenir une assurance raisonnable
quant à la conformité ou non de l'objet de l'audit avec les autorités compétentes. L'utilisateur
comprend également, par cette déclaration, que l'audit comprend l'examen, par sondage, des
éléments probants à l'appui des constatations et des conclusions formulées dans l'audit. Si l'ISC ne fait

11
ISSAI 100.8

22
pas cette déclaration dans son rapport de contrôle, les utilisateurs ne sauront pas quelle procédure
l'ISC a suivie. En outre, les utilisateurs ne seront pas en mesure de déterminer la qualité des audits
réalisés, ce qui risque d'affecter la crédibilité des rapports d'audit auprès des parties prenantes.
Lorsque l'ISC se conforme aux ISSAI et fait référence aux ISSAI dans son rapport d'audit de conformité,
elle a deux options:

1) Une ISC peut se conformer pleinement à ses normes nationales, ce qui est conforme aux
principes fondamentaux de l'audit : ISSAI 400 pour un audit de conformité. Dans ce cas, l'ISC
peut faire référence dans le rapport d'audit de conformité en déclarant (ISSAI 400.8) :
« Nous avons réalisé notre audit conformément aux [normes nationales du pays], qui sont
fondées sur [ou conformes aux] principes fondamentaux de l'audit de conformité, à savoir la
norme ISSAI 400 des Normes internationales des Institutions supérieures de contrôle des
finances publiques»

2) Pour un audit de conformité, une ISC peut se conformer entièrement aux normes de l'ISSAI
4000 - Normes d'audit de conformité. Dans ce cas, l'ISC peut faire référence en déclarant
(ISSAI 400.9) :
« … Nous avons réalisé nos audits [de conformité] conformément aux normes internationales
des Institutions supérieures de contrôle [sur les audits de conformité].
L'ISSAI 4000.14 stipule que si toutes les exigences pertinentes de l'ISSAI 4000 n'ont pas été respectées,
il ne faut pas faire référence à la norme ISSAI 4000 sans en faire état et sans fournir des explications
supplémentaires sur les conséquences de cette situation. La conformité à l'ISSAI 4000 fait référence à
la conformité d'une ISC à toutes les exigences pertinentes12 de l'ISSAI 4000 dans le cadre d'une mission
d'audit ou de la pratique d'audit de conformité globale de l'ISC13. Cela implique que pour se référer
aux ISSAI dans son rapport d'audit, l'ISC doit avoir soit une pratique d'audit conforme aux ISSAI, soit
un audit spécifique, qui est conforme aux ISSAI. La conformité aux ISSAI dans l'audit et la référence
aux ISSAI doivent être garanties par le mécanisme d'assurance qualité de l'ISC.

12
Les ISC peuvent se conformer à la fois dans le cadre d'un audit de conformité individuel et dans l'ensemble des pratiques d'audit de
conformité
13
La pratique d'audit désigne un ensemble d'audits réalisés dans le cadre d'un même dispositif organisationnel et qui suivent les mêmes
normes, la même méthodologie, les mêmes exigences en matière de compétences pour les équipes d'audit, les mêmes dispositions en
matière de contrôle et d'assurance qualité

23
 Concepts généraux de l'audit de conformité

Chapitre 2

Concepts généraux de l'audit de conformité

2.1 Les trois parties d'un audit de conformité
2.2 Sujet et informations sur le sujet de l'audit de conformité
2.3 Autorisations et critères d’un audit de conformité
2.4 L'audit de conformité en tant que mission d'assurance
2.5 Différentes façons de réaliser un audit de conformité
2.6 Étapes d'un audit de conformité

24
Ce chapitre commence par expliquer les trois parties, le sujet et les critères d'un audit de
conformité. Il présente les différentes approches de la conduite d'un audit de conformité et met en
évidence les deux types de mission, à savoir la mission de rapport direct et la mission d'attestation.
En outre, ce chapitre explique les niveaux d'assurance qui peuvent être fournis dans le rapport
d'audit - raisonnable ou limité. Il examine les options dont dispose un auditeur lorsqu'il décide du
type d'audit de conformité à réaliser. Le chapitre se termine par une illustration du processus d'audit
de conformité.

2.1 Les trois parties d'un audit de conformité

Les audits de conformité sont réalisés en évaluant si les activités, les transactions et les informations
sont conformes, dans tous leurs aspects significatifs, aux textes législatifs et réglementaires qui
régissent l'entité auditée.14 Les normes ISSAI relatives aux audits de conformité identifient les trois
parties liées concernées par un audit et expliquent les relations entre elles. La norme ISSAI 400.35
stipule que « l'audit de conformité repose sur une relation tripartite dans laquelle l'auditeur vise à
obtenir des éléments probants suffisants et appropriés afin de formuler une conclusion destinée à
renforcer le degré de confiance des utilisateurs prévus, autres que la partie responsable, quant à la
mesure ou à l'évaluation d'un sujet par rapport à des critères ».

Dans un audit de conformité:

 L'auditeur fait référence à l'ISC.
 Les utilisateurs prévus sont les personnes, les organisations ou les classes pour lesquelles
l'auditeur prépare le rapport d'audit. En matière d'audit de conformité, le corps législatif, en
tant que représentant du peuple, est l'utilisateur final des rapports d'audit. Toutefois, selon
les normes, il peut également s'agir des organes de contrôle, des personnes constituant le
gouvernement d’entreprise ou du grand public.15
 La partie responsable est le pouvoir exécutif du gouvernement et/ou sa hiérarchie sous-
jacente de fonctionnaires et d'entités responsables de la gestion des fonds publics et de
l'exercice de l'autorité sous le contrôle du pouvoir législatif. Dans le cadre d'un audit de
conformité, la partie responsable est chargée du sujet de l'audit.16

Pouvoir
législatif

Utilisateurs
prévus

Elements
d'un audit
Entité
L’ISC
Partie gouvernementale
Auditeur responsable

Figure 2.1: Les trois parties de l'audit de conformité

14
ISSAI 400.12.
15
ISSAI 100.25.
16
ISSAI 400.37

25
Il est essentiel d'examiner la relation entre les trois parties, les responsabilités de chacune, les attentes
de l'autre et la manière de répondre à ces attentes. Bien qu'il existe différents modèles, le pouvoir
législatif habilite généralement les entités gouvernementales à accomplir des tâches spécifiques en
leur fournissant le budget et en établissant un cadre juridique régissant les dépenses du budget pour
les différents services et activités. La branche exécutive du gouvernement (par exemple, les entités,
les agents publics) est responsable de la gestion des fonds publics. L'exercice de l'autorité des agents
publics est soumis au contrôle du pouvoir législatif. Mais l'établissement de ce contrôle dépend de la
réception d'informations précises et opportunes sur la manière dont les entités s'acquittent de leurs
responsabilités. Le corps législatif a besoin d'informations sur les entités et leurs activités pour prendre
des décisions en matière de politique publique. L'ISC est chargée de fournir ces informations au corps
législatif. En tant que telle, l'ISC doit avoir une bonne compréhension des besoins et des attentes de
ses utilisateurs. L'ISC doit être consciente de l'évolution de l'environnement du gouvernement, de
l'évolution des besoins d'information des utilisateurs et de la manière dont elle peut fournir les
informations appropriées aux utilisateurs par le biais de son rapport d’audit.

2.2 Objet et informations sur le sujet de l'audit de conformité

La responsabilité de l'auditeur dans le cadre d'un audit de conformité consiste à déterminer si les
informations relatives à un sujet particulier sont, dans tous leurs aspects significatifs, conformes aux
critères pertinents tels que les lois, les règlements, les directives et les termes des contrats et des
accords applicables, entre autres.

Le sujet de l'audit est décidé sur la base du mandat de l'ISC, des autorisations pertinentes et de
l'étendue de l'audit. Le contenu et la portée du sujet de l'audit peuvent varier considérablement dans
un audit de conformité.17 Pour les ISC dont le mandat prévoit la réalisation d'audits de conformité, le
choix du sujet doit être basé sur les tâches qui leur sont confiées. Lorsque l'ISC est libre de choisir
l'étendue des audits de conformité, elle met en œuvre les procédures nécessaires pour identifier les
domaines significatifs et pertinents et/ou les domaines présentant un risque potentiel de non-
conformité. A partir du domaine identifié, l'auditeur définit le sujet de l'audit. Le sujet d'un audit de
conformité peut être une entité, des activités, des opérations, des transactions financières ou des
informations.

Une fois le sujet connu, les auditeurs peuvent identifier les autorisations et les critères correspondants
pour l'audit de conformité. L'objectif d'un audit est de fournir à l'utilisateur (ou aux utilisateurs)
prévu(s) des informations sur le respect, par les entités publiques contrôlées et les sujets traités, des
lois, des actes législatifs ou des décisions, des règlements, des politiques, des codes établis et des
conditions convenues. Ces textes constituent les autorisations pertinentes régissant le sujet ou
l'entité.18

Les informations sur le sujet font référence au résultat de l'évaluation ou de la mesure du sujet traité
par rapport aux critères. Dans le cadre d'un audit de conformité, le sujet et les informations sur le
sujet sont associés aux concepts de mission d'information directe et de mission d'attestation (expliqué
à la section 2.5).

Identification du sujet de l'audit de conformité

Pour certaines ISC, c'est la loi ou le mandat de contrôle respectif qui détermine le sujet de l’audit. Dans
d'autres cas, la sélection du sujet de l’audit est un choix stratégique qui se concrétise dans le plan

17 ISSAI 100.28, ISSAI 400.33

18 ISSAI 4000.23

26
annuel de l'ISC, sur la base de l'évaluation des risques et du jugement professionnel. Le sujet doit être
d'une nature telle qu'il permette à l'auditeur de recueillir des éléments probants suffisants et
appropriés pour étayer une conclusion ou une opinion d'audit avec le niveau d'assurance nécessaire.
La façon dont le sujet est sélectionné a une incidence sur l'approche d'audit en ce qui concerne les
éléments probants et les ressources19.

Par exemple, si le sujet d'un audit de conformité consiste en « une entité » et les informations sur le
sujet de l'audit peuvent être considérées comme les « comptes de l'entité » sans définir un champ
d'application plus spécifique. Mais en examinant la définition, il est également possible de considérer
l'« Entité » comme le sujet de l'audit, et les informations en question pourraient être les
activités/transactions de l'entité et toutes les autorisations qui les régissent. Fournir une conclusion
sur un champ d'audit aussi large nécessiterait plus de temps et de ressources pour l'ISC.

C'est la raison pour laquelle les ISSAI reconnaissent la relation entre le sujet et l'étendue des audits de
conformité, afin de réduire le nombre de questions susceptibles d'être contrôlées. Lorsque les
auditeurs planifient un audit de conformité, ils commencent généralement par un sujet général tel
que l'entité. Toutefois, au fur et à mesure qu'ils acquièrent des connaissances au cours du processus
d'audit, ils peuvent modifier l'objet de l'audit et l'étendre à un audit plus ciblé, ce qui rendra les
résultats plus significatifs pour les utilisateurs.

L'étendue de l'audit définit le sujet et ce que l'auditeur va vérifier. L'étendue dépend des besoins de
l'utilisateur ou des utilisateurs prévus, du niveau d'assurance souhaité, du risque évalué, ainsi que des
compétences et des ressources (humaines et financières) disponibles au sein de l'ISC20.

Dans certains pays, le sujet de l'audit de conformité peut être indiqué dans les lois pertinentes, tandis
que pour d'autres, il peut être déterminé par l'évaluation des risques et le jugement professionnel.
Dans certaines ISC, les entités contrôlables peuvent avoir été classées en entités à risque élevé, moyen
ou faible. Ces ISC peuvent choisir de réaliser des audits de conformité des entités à haut risque chaque
année, tandis que les entités à risque moyen ou faible seront contrôlées une fois tous les deux ou trois
ans.

Pour certains sujets, il peut être pertinent d'inclure plus d'une partie responsable, en particulier pour
les sujets où plus d'une entité est impliquée dans le fonctionnement ou l'exécution du budget. Dans
ces cas, le nombre d'utilisateurs prévus peut également augmenter21. Les ISC doivent, en tenant
compte de leur situation et de leur mandat, établir un processus permettant de déterminer
systématiquement le sujet sur lequel portera l'audit de conformité, conformément aux normes ISSAI.
L'auditeur peut considérer la liste suivante de sujets possibles comme une référence:
 La performance financière:
o utilisation des fonds alloués (exécution du budget)
o utilisation des subventions et des prêts
 la Passation de marchés
 La collecte des recettes, par exemple, les taxes, les douanes, les accises.
 Les dépenses
 La prestation de services - médicaux, éducatifs, etc.
 Les plaintes du public
 La protection du patrimoine
 La pertinence des fonctionnaires de l'entité auditée/prise de décision

19
ISSAI 4000.43
20
ISSAI 4000.44
21
ISSAI 4000.106

27
  La santé et sécurité
 La protection de l'environnement
 La cadre de contrôle interne
 Le paiement des prestations sociales, des pensions
 Les caractéristiques physiques, le découpage du territoire, l’accès aux bâtiments
gouvernementaux

2.3 Autorisations et critères d’un audit de conformité

Définition des autorisations

Les textes législatifs sont l'élément le plus fondamental de l'audit de conformité. La structure et le
contenu des textes fournissent les critères d'audit et constituent donc la base de la manière dont
l'audit doit se dérouler dans le cadre d'un dispositif constitutionnel spécifique. En général, les textes
législatifs et réglementaires, les résolutions budgétaires, les politiques, les codes établis, les conditions
convenues ou les principes généraux régissant la bonne gestion financière du secteur public, ainsi que
la conduite des agents publics, font partie des textes législatifs et réglementaires.22

L'étendue du travail de l'auditeur pour acquérir une connaissance suffisante du cadre légal et
réglementaire dépendra de la nature et de la complexité des lois et règlements. Toutefois, l'auditeur
doit comprendre les dispositions de la législation qui sont pertinentes pour la mission d'audit. Dans
tous les cas, l'entité auditée conserve la responsabilité de s'assurer du respect des critères applicables.

Hiérarchie des autorisations

En raison de la diversité des autorisations possibles, celles-ci peuvent avoir des dispositions
contradictoires et faire l'objet d'interprétations divergentes. En outre, les pouvoirs subordonnés
peuvent ne pas être conformes aux exigences ou aux limites de la loi habilitante, et il peut y avoir des
lacunes dans la législation. Pour évaluer la conformité aux autorisations, le vérificateur doit avoir une
connaissance suffisante de la structure et du contenu des autorisations elles-mêmes.23

Lorsque l'auditeur identifie des autorisations contradictoires, il est essentiel de tenir compte de la
hiérarchie des autorisations; le niveau d'autorité le plus élevé prévaudra sur les autorités
subordonnées. Par exemple, si une procédure ou une activité opérationnelle d'un sujet ou d'une entité
a été définie dans la loi, les règlements internes du sujet/de l'entité doivent être conformes à cette
loi. Si ce n'est pas le cas, les auditeurs doivent signaler la contradiction et, si leur mandat le permet,
recommander une modification de l'autorisation subordonnée. Cela peut également constituer une
preuve d'audit si le respect du règlement interne a entraîné une non-conformité avec l'autorisation
supérieure.

De même, lorsque les auditeurs ont des doutes quant à l'interprétation correcte d'une autorisation,
ils doivent examiner l'historique et le contexte de la loi pour comprendre l'intention et les prémisses
avant d'utiliser l'autorisation comme référence. Lorsqu'ils sont confrontés à une telle situation, les
auditeurs peuvent la porter à l'attention de leurs supérieurs afin qu'ils puissent prendre les mesures
appropriées au cours de l'audit.

Critères

22
ISSAI 400.28 and 29.
23
ISSAI 400.30.

28
Les critères sont les points de référence tirés des autorisations utilisées pour évaluer le sujet. Les
critères peuvent être spécifiques ou plus généraux et peuvent être tirés de diverses sources,
notamment des lois, des règlements, des normes, des principes solides et des meilleures pratiques.

Dans les audits de conformité, les critères peuvent différer considérablement d'un audit à l'autre. Les
critères doivent être inclus dans le rapport lui-même, ou le rapport peut y faire référence s'ils sont
contenus dans une assertion de la direction ou s'ils sont autrement disponibles auprès d'une source
fiable et facilement accessible.

Quelle que soit l'option choisie, l'auditeur doit identifier les critères dans le rapport d'audit de
conformité afin que les utilisateurs du rapport puissent comprendre la base du travail et des
conclusions des auditeurs. Les critères doivent être mis à la disposition des utilisateurs prévus afin de
leur permettre de comprendre comment le sujet a été évalué ou mesuré. Sans le cadre de référence
fourni par des critères appropriés, toute conclusion est ouverte à l'interprétation individuelle et à
l'incompréhension. La partie responsable doit pouvoir commenter les critères d'audit avant le début
de l'audit pour s'assurer que l'audit aura l'effet désiré. La communication avec la partie responsable
peut empêcher que les résultats de l'audit soient ignorés dans la discussion sur les critères lorsque les
conclusions sont rapportées.

Si les critères n'ont pas été définis par les autorisations, il est essentiel d'identifier des critères qui
présentent les qualités décrites dans les ISSAI. Les critères doivent être pertinents, complets, fiables,
neutres, compréhensibles, utiles, comparables, acceptables et disponibles.24

Types de critères
L'audit de conformité peut porter sur les aspects liés à la régularité (respect de critères formels tels
que les lois, les règlements et les accords applicables) ou à La probité(respect des principes généraux
régissant la bonne gestion financière et la conduite des agents publics). Les critères de régularité et
de probité sont différents.
Régularité: Les critères de régularité peuvent découler des règles et règlements, des traités
internationaux et autres accords, des codes de conduite25. Ces critères découlent également de la
constitution, de textes réglementaires, d'ordonnances, de directives gouvernementales ou
ministérielles, de lignes directrices et de conditions convenues.
Probité: En fonction du mandat de l'ISC et de la nature des lois et des règlements dans le contexte du
secteur public de l'ISC, l'étendue de l'audit peut inclure des aspects de probité. La probité est définie
comme « le respect des principes généraux régissant la bonne gestion financière et la conduite des
agents publics »26. L'utilisation de La probité comme base de l’audit peut être une pratique courante
dans certaines ISC, mais d'autres peuvent ne pas avoir le mandat nécessaire pour évaluer La probité.
Certaines ISC utilisent cette approche dans les « contrôles de gestion » réalisés à la demande d'un
organe législatif.

Les critères de probité sont soit les principes généralement acceptés, soit les meilleures pratiques
nationales/internationales lorsque l'organe législatif du pays ne les a pas ratifiés. Lorsque le corps
législatif l'approuve, les critères font partie de la réglementation. Dans certains cas, ils peuvent être
non codifiés, implicites ou fondés sur des principes de droit primordiaux, ce qui offre une flexibilité
suffisante aux ISC pour adopter des critères de probité pour un audit pertinent dans leur contexte.

24
ISSAI 4000.118
25
ISSAI 4000.114
26
ISSAI 400.13

29
Cependant, la conformité aux meilleures pratiques peut ne pas être perçue comme obligatoire dans
certaines juridictions ou ne pas être adaptée au mandat de certaines ISC.

L'auditeur peut éprouver des difficultés à envisager les aspects de La probité dans la gestion des
finances publiques. En général, les règles financières du pays, les règles de gestion des dépenses
publiques, les règles de passation des marchés, ou d'autres réglementations et le code de conduite
strict en matière de comportement éthique contiennent des dispositions détaillées.

Extraits de la discussion de la commission des comptes publics d'un pays: Les exemples ci-dessous
mettent en évidence l'aspect de La probité (probité) de l'audit:
« Les auditeurs ont estimé que M... avait autorisé l'imputation à la Société de ses dépenses privées du
montant de xxxx £ et d'autres dépenses privées du montant de xxxx £ pour d'autres membres du
personnel. Le Comité considère que la conduite de M..., alors qu'il était Directeur général..., n'était
pas conforme aux normes attendues de la part de ceux à qui l'on confie l'utilisation des fonds publics,
notamment dans sa gestion des voyages et des dépenses personnelles... ».27

« L'ancien Directeur de l'Institut a pu établir ses propres règles pour le traitement des griefs ou des
plaintes, même pour les plaintes l'impliquant lui-même. En conséquence, certaines personnes ont dû
utiliser des canaux extérieurs tels que la presse... C'était une façon inacceptable de traiter les
préoccupations légitimes du personnel concernant la gestion de l'Institut et sa gouvernance. Nous
considérons qu'il est inapproprié que les indemnités de départ incluent des avantages accrus pour
refléter la situation personnelle des individus. »

« Pour éviter toute question de non-probité, des raisons spécifiques devraient toujours être
enregistrées chaque fois qu'un contrat n'est pas attribué à un soumissionnaire qui a présenté l'offre
la plus basse et qui est jugé capable de satisfaire aux critères de performance clés. Cela permettrait
également d'informer les autres entreprises présélectionnées des raisons pour lesquelles leurs offres
n'ont pas été retenue. »

« ... le catalogue de mauvaise gestion à l'Atelier de formation du Collège, y compris ce qui semble être
un mépris pour les principes de base du contrôle financier, et l'exposition à des conflits d'intérêts
potentiels. Par exemple, plus de xxxx £ ont été payés pour des services de conduite fournis par un fils
du chef de l'Atelier, mais il n'y avait aucune preuve que le travail a été effectué. »

Une fois que l'auditeur a identifié les critères de régularité ou de probité appropriés, il les applique
aux circonstances particulières de chaque audit afin de pouvoir tirer des conclusions significatives.28
La qualité de l'opinion ou de la conclusion de l'auditeur dans le cadre d'un audit de conformité dépend
largement de la manière dont il établit et applique les critères dans le cadre de l'audit.

2.4 L'audit de conformité en tant que mission d'assurance

Les fonctionnaires sont responsables de la gestion des entités gouvernementales dans le respect des
autorisations régissant les activités de l'entité, et de l'atteinte du niveau de performance attendu
d'eux. Si, pour une raison ou une autre, l'entité ne se conforme pas aux autorisations, les
fonctionnaires responsables sont tenus de rendre des comptes.

27
[Link] page 13-14
28
ISSAI 4000.119

30
L'auditeur vérifie une question ou un sujet afin de fournir à l'utilisateur prévu un certain niveau de
confiance quant à la conformité de l'entité aux autorisations applicables. Pour que l'auditeur puisse
conclure sur la conformité de l'entité/du sujet à tous égards importants, il doit disposer d'éléments
probants suffisants pour étayer cette conclusion. Lorsque les utilisateurs (le pouvoir législatif, par
exemple le parlement) ont besoin d'informations sur les opérations de la partie responsable (l'entité),
ils peuvent demander à l'ISC une évaluation indépendante des conditions réelles de la partie
responsable. L'ISC effectue alors un contrôle et fournit une « assurance » sur la situation aux
utilisateurs.
En tant que tel, un audit réalisé par l'ISC est une mission d'assurance. En tant que mission d'assurance,
l'audit de conformité renforce la crédibilité des informations fournies par la partie responsable.
L'auditeur peut fournir cette assurance par le biais d'opinions et de conclusions, qui transmettent
explicitement le niveau de confiance, ou sous d'autres formes.29 L'auditeur vérifiera si les informations
fournies par les entités gouvernementales ou les conditions réelles dans ces entités sont conformes
aux autorisations (les lois et règlements pertinents, etc.). À l'issue du contrôle, l'ISC préparera un
rapport à l'intention des utilisateurs, qui comprendra une conclusion sur le sujet traité. Ainsi,
l'auditeur fournit une « assurance » qui réduit le risque pour les utilisateurs d'utiliser des informations
spécifiques et les aide à prendre des décisions en connaissance de cause.
Dans la norme ISSAI 4000.19(b), il y est ainsi fait référence « ... renforcer le degré de confiance des
utilisateurs prévus ». L'assurance est donc liée à la manière dont l'auditeur peut recueillir des éléments
probants et à la quantité de travail qu'il doit effectuer pour être sûr de ses conclusions. Lorsque
l'auditeur fournit une conclusion avec une assurance raisonnable, il doit décider des techniques
d'audit à utiliser, les combiner, puis être en mesure de conclure que « les informations fournies sont,
à tous égards importants, correctes ».
Les utilisateurs prévus souhaitent être sûrs de la fiabilité et de la pertinence des informations qu'ils
reçoivent et s'en servent comme base de leur prise de décision politique. Les audits fournissent donc
des informations fondées sur des éléments probants suffisants et appropriés et, pour cela, les
auditeurs doivent mettre en œuvre des procédures visant à réduire ou à gérer le risque de parvenir à
des conclusions inappropriées.30
L'auditeur met en œuvre des procédures visant à réduire ou gérer le risque de conclusions erronées,
en reconnaissant qu'en raison des limites inhérentes à tout audit, aucun audit ne peut jamais fournir
une assurance absolue sur l'état du sujet considéré. L'auditeur doit communiquer cette limite de
manière transparente. Dans la plupart des cas, un audit de conformité ne couvre pas tous les éléments
du sujet traité, mais repose sur un certain degré d'échantillonnage qualitatif ou quantitatif..31
Mission d'assurance raisonnable et d'assurance limitée
L'ISSAI 4000.30 stipule que le rapport d'audit de conformité peut fournir aux utilisateurs soit une
assurance raisonnable, soit une assurance limitée. Ces deux niveaux de mission se distinguent par
l'utilisation des types de critères, d'échantillonnage, de procédures de collecte d'éléments probants
et de formats de rapport.
Les deux niveaux d'assurance en matière d'audit de conformité transmettent un message différent
aux utilisateurs. Dans une mission d'assurance raisonnable, l'audit exprime que, selon l'auditeur, le
sujet est ou n'est pas conforme, à tous égards importants, aux critères énoncés. Dans le cas d'une

29
ISSAI 100.32.
30
ISSAI 100.31.
31
ISSAI 400.40.

31
mission d'assurance limitée, l'audit indique que rien n'a été porté à l'attention de l'auditeur pour lui
faire croire que le sujet n'est pas conforme aux critères.

L'auditeur utilise les termes raisonnable ou limité, car même s'il est méticuleux dans son travail, il y a
toujours une chance qu'il ne puisse pas identifier tous les cas de non-conformité et qu'il puisse donc
tirer une conclusion erronée. Il n'est pas possible de fournir une assurance absolue (ou à cent pour
cent). Les niveaux d'assurance seront examinés plus en détail lors de la planification de l'audit, car la
décision de donner une assurance limitée ou raisonnable aura un impact sur la conception de l'audit.
Une assurance raisonnable ou limitée peut être fournie à la fois pour les missions de rapport direct et
d'attestation dans le cadre d'un audit de conformité.32

2.5 Différentes manières de réaliser un audit de conformité

Il existe deux types différents de missions d'audit de conformité : les missions d'attestation et les
missions de rapport direct :33 Les missions d'attestation et les missions de rapport direct diffèrent en
fonction de la personne qui prépare et mesure/évalue le sujet.
 Dans les missions d'attestation, la partie responsable, c'est-à-dire l'entité, mesure le sujet par
rapport aux critères et présente les informations sur le sujet, sur lesquelles l'auditeur recueille
ensuite des éléments probants suffisants et appropriés pour fournir une base raisonnable
pour exprimer une conclusion. Les missions d'attestation peuvent être des missions
d'assurance raisonnable ou limitée.

 Dans les missions de rapport direct, c'est l'auditeur qui mesure ou évalue le sujet par rapport
aux critères. L'auditeur sélectionne le sujet et les critères en tenant compte du risque et de
l'importance relative.
L'auditeur présente le résultat de l'évaluation du sujet par rapport aux critères dans le rapport d'audit
sous la forme de constatations, de conclusions, de recommandations ou d'une opinion. L'audit du
sujet traité peut également fournir de nouvelles informations, une analyse ou un éclairage. 34
L'auditeur peut également exprimer le résultat sous la forme d'une réponse élaborée à des questions
d'audit spécifiques.35
Chaque mission d'assurance (raisonnable ou limitée) est soit une mission d'attestation ou une mission
de rapport direct. Le sujet peut être soit défini dans le mandat de l'ISC, soit sélectionné par l'[Link]
différence entre les deux types d'audit est liée au sujet et aux informations sur le sujet.

Dans les missions d'attestation, l'auditeur atteste les informations sur le sujet, qui peuvent être une
déclaration de conformité dans un cadre de rapport établi et normalisé37. Dans ce cas, les critères
d'audit sont implicitement donnés par la présentation des informations sur le sujet. Dans ces cas,
l'auditeur doit identifier les critères d'audit pertinents pour conclure à l'exactitude des critères fournis
par la partie responsable dans les informations sur le sujet.38

L'exemple ci-dessous illustre un scénario d'audit de conformité pour deux pays dans le cadre d'une
mission de rapport direct et d'une mission d'attestation. Les deux pays ont une partie responsable

32 ISSAI 400.41.
33
ISSAI 100.24.
34
ISSAI 100.29.
35
ISSAI 400.59.
36
ISSAI 4000.31
37
ISSAI 100.30.
38
ISSAI 4000.113

32
similaire à l'entité, ainsi que le même objet et la même étendue de l'audit, mais ils diffèrent quant à
l'aspect des informations sur l'objet.

Le fait de savoir qui prépare les informations sur le sujet influence les décisions d'audit ; dans les deux
scénarios ci-dessous, cette considération conduira soit à une mission de rapport direct, soit à une
mission d'attestation:

Pays X Pays Y
Partie Bureau national des impôts (NTO) Bureau national des impôts (NTO) du
responsable du pays X pays Y
Sujet de l'audit Recettes fiscales de la taxe sur la Recettes fiscales de la taxe sur la
valeur ajoutée (VAT) valeur ajoutée (TVA)
Informations sur - Informations financières relatives aux
le sujet recettes provenant de la TVA
Critères d'audit Loi sur la TVA et autres lois et Loi sur la TVA et autres lois et
règlements régissant la perception règlements régissant la perception
des impôts des impôts
Utilisateur Parlement Parlement

Illustration 2.1: Scénario de cas sur l'audit de conformité

Le scénario du pays X:

Mission de rapport direct

L'Office national des impôts (NTO) du pays X ne publie pas de rapports sur le recouvrement des
impôts. Le site web fournit quelques statistiques, mais celles-ci sont généralement périmées et
peu détaillées. Le NTO fait partie du système budgétaire du gouvernement et, en raison du cadre
de gestion financière, ne produit pas d'états financiers distincts. En raison de la manière dont les
comptes sont préparés, il n'est pas possible d'isoler les recettes fiscales perçues par le NTO des
recettes fiscales provenant d'autres sources. Récemment, le Parlement du pays X a discuté d'une
initiative de réforme qui vise à améliorer la perception des impôts provenant de la TVA. La direction
de l'ISC a décidé de réaliser un audit sur les recettes fiscales de la TVA et de le soumettre au
Parlement.
Dans le scénario présenté ci-dessus, aucune information sur le sujet n'a été mise à disposition par le
NTO (partie responsable), malgré le besoin de cette information. Par conséquent, l'ISC, par le biais de
son audit, a décidé de fournir les informations aux utilisateurs. L'audit évaluera directement les
recettes fiscales de la TVA (sujet de l’audit) sur la base des critères applicables et donnera une
conclusion. Sur la base de l'évaluation du sujet par l'auditeur, l'ISC prépare le rapport d'audit et le
soumet au Parlement.

Cette forme d'audit est appelée mission de rapport direct. Dans une mission d'audit direct, l'audit est
réalisé directement par l'auditeur qui mesure ou évalue le sujet traité, plutôt que sur les informations
relatives au sujet.

Le scénario du pays Y:

33
 Mission d'attestation

L'Office national des impôts (NTO) du pays Y a présenté un rapport au Parlement concernant la
perception des impôts. Les informations thématiques ont été produites par le NTO (partie
responsable) et présentées au Parlement (utilisateurs) sous la forme d'un rapport (ces
informations peuvent également revêtir la forme d'une déclaration, de statistiques, etc.) Lorsque
les fonctionnaires produisaient les informations thématiques, ils étaient tenus de respecter la
législation pertinente et les autres lois et règlements régissant ces recettes fiscales de la TVA.

Les normes font référence à la production d'informations sur le sujet en tant qu' « évaluation du sujet
par rapport à des critères ». Dans le scénario, le NTO a fourni des informations sur le sujet (évaluation),
sous la forme d'un rapport. Dans ce rapport, les fonctionnaires de la partie responsable affirment
explicitement ou implicitement (assertions) que les informations (évaluation) sur les recettes fiscales
de la TVA (objet du rapport) sont vraies et justes à la lumière des lois et règlements (critères).

Le rôle de l'auditeur dans ce scénario est d'attester l'affirmation – sous la forme d'une conclusion ou
d'une opinion – sur la question de savoir si l'affirmation de le NTO (partie responsable) concernant
l'évaluation qu'il a fournie est correcte ou non, et si les fonctionnaires ont effectivement respecté les
lois et règlements comme ils l'ont affirmé (explicitement ou implicitement). Cette conclusion renforce
la confiance du Parlement dans le rapport (informations sur le sujet) qu'il a reçu.

Pour apprécier l'étendue de l'audit de conformité, l'auditeur doit comprendre le lien entre les niveaux
d'assurance et les types d'audit. Le tableau suivant illustre comment l'auditeur peut réaliser ces
niveaux et types d'audit dans la pratique. Chaque audit de conformité réalisé par l'ISC peut entrer
dans l'une des quatre cellules de combinaisons illustrées dans le tableau.

Type de mission
Niveau
Mission
d'assurance
Rapport direct (DR) d’attestation(AE)
Assurance raisonnable
(RA) RA-DR RA-AE

Assurance limitée
(LA) LA-DR LA-AE

Illustration 2.2: Combinaison des niveaux d'assurance et des types de mission dans l'audit de conformité

Audit de conformité - autonome ou combiné à d'autres types d'audits

La norme ISSAI 4000.15 stipule que les audits de conformité peuvent être réalisés soit en tant que
mission autonome selon la norme ISSAI 4000, soit en combinaison avec un audit financier ou de
performance39. Des différentes ISC peuvent utiliser des approches différentes pour réaliser des audits
de conformité en combinaison avec d'autres types d'audit. L'audit de conformité est généralement
réalisé soit : a. comme un audit de conformité distinct, soit b. en relation avec l'audit des états

39
ISSAI 4000.15

34
financiers, soit c. en combinaison avec un audit de performance.40 La norme ISSAI 4000 ne fournit pas
d'explications détaillées sur la manière de réaliser des audits combinés. 41.
Une mission d'audit de conformité autonome est réalisée séparément, et non en conjonction avec un
audit financier (ce qui existe dans certaines ISC) ou un audit de performance. Les normes ISSAI
précisent que l'audit de conformité réalisé de manière indépendante peut être planifié et réalisé
séparément d'un audit d'états financiers et d'un audit de performance. Il peut être réalisé de manière
régulière ou ponctuelle, sous forme d'audits distincts et clairement définis, chacun étant lié à un sujet
spécifique42. La norme ISSAI 4000 explique le processus applicable lorsque les ISC réalisent des audits
de conformité en tant que mission autonome. En conséquence, ce manuel explique la méthodologie
pour réaliser un audit de conformité autonome conformément à la norme ISSAI 4000.

40
ISSAI 4000.27
41
ISSAI 4000.28
42
ISSAI 400.25

35
2.6 Etapes d’un audit de conformité

L'illustration ci-dessous montre le processus d'audit de conformité.

Plan de travail annuel de l'ISC (traité au chapitre quatre)

• Sélectionner les sujets d'audit de conformité
• Plan annuel d'audit de conformité
• Déterminer l'attestation ou le rapport direct
• Déterminer le niveau d'assurance
• Prendre en compte les principes ayant une portée éthique
• Assurer une procédure de contrôle de la qualité

Planification de l'audit individuel Exécution des procédures d'audit et

((traitée au chapitre cinq) collecte des éléments de preuve (traitée au
chapitre six)
• Identifier le sujet sujet, l'étendue et les
critères • Recueillir des éléments probants en appliquant
des procédures d'audit
• Déterminer l'objectif de l'audit
• Mise à jour de la planification et de
• Comprendre l'entité et l'environnement
l'évaluation des risques
• Comprendre le contrôle interne
• Documentation, communication et contrôle de
• Évaluer le risque et l'importance relative qualité continus
• Élaborer une stratégie et un plan d'audit

Évaluation des éléments probants et Rapports et suivi (traitée au chapitre sept)

formulation d'une conclusion (traitée au • Préparer les rapports
chapitre six)
• Inclure les recommandations et les réponses
- Évaluer si des élémnts probants suffisants et de l'entité, le cas échéant
appropriés ont été obtenus • Assurer le suivi des rapports précédents, si
• Considérer l'importance relative aux fins du nécessaire
rapport
• Formuler des conclusions
• Aborder les événements ultérieurs si
nécessaire

Documentation de l'audit (traitée au chapitre huit)

Assurance qualité de l'audit de conformité (traitée au chapitre 9)

Illustration 2.3: Étapes d'un audit de conformité

Plan de travail annuel de l'ISC concernant l'audit de conformité :

À ce stade, l'ISC sélectionne les thèmes/sujets et prépare un plan annuel ou pluriannuel pour un audit
de conformité. L'ISC décide si la mission sera une attestation ou un rapport direct, et si elle fournira
une assurance raisonnable ou limitée dans le rapport. L'ISC prend en compte les principes
d'importance éthique - indépendance et objectivité de l'auditeur, compétence de l'équipe, et s'assure
que des procédures de contrôle qualité sont en place. L'ISC s'assure également que l'équipe peut

36
réaliser l'audit en disposant de la documentation et la communication requises tout au long du
processus.
Planification de l'audit individuel :
Lors de la phase de planification, l'auditeur examine la relation entre le sujet, les critères et l'étendue
de l'audit de conformité. Lors de la planification de l'audit, les auditeurs doivent faire preuve de
jugement professionnel et tenir compte des besoins des utilisateurs prévus du rapport d'audit. Une
fois que les auditeurs ont décidé de l'objet, des critères et de l'étendue de la mission d'audit de
conformité individuelle, ils définissent la stratégie et le plan d'audit. Les auditeurs doivent comprendre
l'entité et son contrôle interne, déterminer l'importance relative, évaluer les risques pour l'entité et
planifier les procédures d'audit dans le cadre de la conception de l'audit.
Collecte des éléments probants :
Au cours de cette phase, les auditeurs recueillent et documentent principalement les éléments
probants afin de formuler une conclusion ou une opinion indiquant si le sujet est, à tous égards
importants, conforme aux critères établis. Dans certains cas, les auditeurs peuvent être amenés à
modifier l'étendue d'un audit de conformité s'ils découvrent des éléments probants suggérant la
nécessité d'un tel changement. Par exemple, lors de la collecte d'éléments probants, si les auditeurs
découvrent des cas indiquant une fraude, ils peuvent être amenés à modifier leurs procédures.
Évaluer les preuves et former des conclusions :
À la fin de la phase d'exécution, les auditeurs examinent les éléments probants pour déterminer s'ils
sont suffisants et appropriés afin de formuler une conclusion ou une opinion sur la conformité du sujet
aux critères établis. À ce stade, les auditeurs tiennent compte de l'importance relative aux fins du
rapport.
Rapports et suivi:
La conclusion ou l'opinion est présentée sous la forme d'un rapport à l'utilisateur prévu. L'auditeur y
inclut les recommandations et les réponses de l'entité à celles-ci, le cas échéant.

L'illustration 2.2 de la page 32 montre les combinaisons de niveaux d'assurance et de types de missions
possibles dans le cadre d'un audit de conformité. Les ISC ne réalisent pas nécessairement toutes ces
combinaisons dans la pratique. Le processus d'audit le plus courant est la mission de rapport direct et
d'assurance raisonnable, qui est expliquée dans ce manuel. Tout en expliquant ce processus, le manuel
inclut également, le cas échéant, le processus d'une mission d'assurance raisonnable et d'attestation.

37
 PARTIE B Gestion de l'audit de conformité au niveau de
l'ISC

Chapitre 3: Exigences organisationnelles de l'ISC concernant la réalisation d'un

audit de conformité
Chapitre 4: : Plan de travail annuel de l'ISC concernant la couverture d'un audit
de conformité

38
Exigences organisationnelles de l'ISC pour la réalisation d'un audit de
conformité

Chapitre 3

Exigences organisationnelles de l'ISC pour la réalisation

d'un audit de conformité
3.1 Objectivité et éthique de l'auditeur
3.2 Compétences de l'équipe d'audit
3.3 Risque d'audit et importance relative
3.4 Jugement professionnel et scepticisme de l'auditeur
3.5 Documentation des travaux d'audit
3.6 Communication
3.7 Gestion de la qualité de l'audit

39
Ce chapitre décrit les principes qui sont fondamentaux pour la réalisation d'un audit. La nature de
l’audit étant itérative et cumulative, les principes fondamentaux sont liés aux exigences
organisationnelles de l'ISC. L'ISC et l'auditeur doivent tenir compte de ces principes avant de
commencer l’audit et à plusieurs reprises au cours de celui-ci43. L'ISC doit s'assurer qu'elle a mis en
place les systèmes et les mécanismes requis et qu'elle dispose d'un personnel compétent pour réaliser
à bien l’audit, en tenant
compte de ces éléments.

L'ISSAI 100 - Principes

fondamentaux de l'audit
du secteur public et l'ISSAI
400 - Principes de l' audit
de conformité mettent en
évidence huit principes de
l'audit de conformité,
comme le montre la figure
3.1. L'ISSAI 4000 inclut ces
principes comme
« exigences générales en
matière d’audit de
conformité »
La mise en œuvre de ces Figure 3.1: Principes fondamental de l’audit de conformité
principes généraux d'audit
de conformité aidera les auditeurs de l'ISC à se conformer aux exigences des ISSAI relatives à une
mission d'audit de conformité individuelle. Ce chapitre explique comment l'ISC et ses auditeurs
peuvent prendre en compte ces principes d'un point de vue organisationnel. Les chapitres pertinents
de ce manuel les développeront plus en détail, aux différents points d'application du processus
d'audit.

3.1 Objectivité et éthique de l'auditeur

L'ISSAI 4000.45 stipule que : L'auditeur doit se conformer aux procédures pertinentes relatives à
l'objectivité et à l'éthique, qui à leur tour doivent respecter les ISSAI connexes sur l'objectivité et
l'éthique. L'auditeur doit veiller à rester objectif afin que les constatations et conclusions soient
impartiales et soient perçues comme telles par les tiers44.

L'auditeur doit faire preuve de comportement professionnel et de probité, être objectif, posséder les
compétences professionnelles requises et faire preuve de diligence. L'auditeur doit également
maintenir son indépendance en fait et en apparence, ainsi que la confidentialité concernant toutes les
questions d'audit.

Les auditeurs doivent faire preuve d'objectivité dans la sélection de leurs objectifs d'audit et
l'identification des critères. Les auditeurs doivent s'assurer que la communication avec les parties
prenantes ne compromet pas l'objectivité de l'ISC. Les auditeurs doivent également éviter toute
influence indue de la part des parties prenantes dans la formulation d'un rapport équilibré et
maintenir l'objectivité afin que leur travail et leur rapport soient perçus comme impartiaux par les
tiers.

43
ISSAI 100.34
44 ISSAI 4000.48

40
L'ISC doit établir des mesures appropriées pour s'assurer que son personnel suit et respecte les
exigences éthiques. Le code d’éthique de l'ISC peut aider l'auditeur à cet égard. L'ISC peut se référer à
l’INTOSAI-P 10 : Déclaration de Mexico sur l'indépendance des ISC, l’INTOSAI GUID 9030 : Bonnes
pratiques relatives à l'indépendance des ISC et à l’ISSAI 130 : Code d’éthique. Pour garantir
l'objectivité des membres de l'équipe d'audit, les ISC peuvent utiliser des modèles préétablis de
déclaration d'absence de conflit/conflit d'intérêts et de conformité au code d’éthique. En fonction des
exigences de l'ISC, les auditeurs de l'ISC peuvent signer ces déclarations une fois (ou, si nécessaire,
pour des audits individuels au cas par cas) avant le début d'un cycle d'audit.

3.2 Compétences de l'équipe d'audit

L'ISSAI 4000.85 stipule que : L'ISC doit s'assurer que l'équipe d'audit possède collectivement les
compétences professionnelles nécessaires pour réaliser l'audit. L'ISC constitue l'équipe d'audit de
manière à ce qu'elle possède collectivement la capacité, les connaissances, les compétences et
l'expertise requises pour réaliser l'audit conformément aux normes professionnelles. Selon le sujet
traité, cela peut inclure:
a. Des compétences et des capacités d'audit concernant la collecte et l'analyse des données.
b. Des compétences juridiques.
c. Une compréhension et une expérience pratique du type d'audit entrepris.
d. La connaissance des normes applicables et des autorités.
e. La compréhension et l’expérience des différents types d'entités et de leurs opérations.
f. La capacité et l'expérience pour exercer un jugement professionnel.
g. Préparer un rapport d'audit approprié aux circonstances.

L'ISC doit affecter des ressources suffisamment qualifiées et disponibles au moment voulu pour les
différentes phases du processus de contrôle. L'ISC doit recruter du personnel ayant les qualifications
appropriées, offrir des cours de perfectionnement et de formation au personnel, préparer des
manuels et d'autres directives et instructions écrites concernant la conduite des audits, et affecter des
ressources suffisantes et appropriées aux audits. L'ISC doit veiller à ce que les auditeurs maintiennent
leur compétence professionnelle par le biais d'un développement professionnel continu45.

Lorsque les connaissances, les techniques ou les compétences spécialisées requises pour le contrôle
ne sont pas disponibles au sein de l'équipe, l'ISC peut faire appel à des experts externes de différentes
manières, par exemple pour fournir des connaissances ou effectuer des travaux spécifiques.
Lorsqu'une expertise externe est requise, l'ISC évalue si les experts ont l'indépendance, la
compétence, les capacités et l'objectivité nécessaires. L'ISC détermine également si le travail des
experts est adéquat pour le contrôle. L'ISC est responsable des conclusions tirées par les experts
externes lorsqu'ils effectuent des travaux d'audit pour le compte de l'ISC.

3.3 Risque d'audit et importance relative

L'ISSAI 4000.52 stipule que : L'auditeur doit mettre en œuvre des procédures visant à réduire le
risque de produire des conclusions incorrectes à un niveau faible acceptable. En outre, l'ISSAI
4000.58 stipule que : L'auditeur doit prendre en compte le risque de fraude tout au long du
processus d'audit et documenter le résultat de l'évaluation.

45
ISSAI 400.45

41
Le risque d'audit est le risque que le rapport, la conclusion ou l'opinion de l'auditeur soient
inappropriés. Un audit de conformité doit être réalisé de manière à réduire le risque d'audit à un
niveau faible acceptable dans les circonstances de l'audit.
La réduction du risque d'audit comprend l'anticipation des risques possibles ou connus des travaux
envisagés et de leurs conséquences, l'élaboration de procédures pour faire face à ces risques au cours
de l'audit et la documentation de ces risques, ainsi que manière dont ils seront traités. L'auditeur doit
évaluer si l'étendue des travaux réalisés est suffisante. Également, lors de la conclusion, les auditeurs
doivent évaluer s'ils disposent d'éléments probants suffisants et appropriés lorsqu'ils évaluent le sujet
par rapport aux critères pour formuler une ou plusieurs conclusions, en fonction du niveau de risque
concerné.
Dans une mission d'attestation, les trois composantes, à savoir les risques inhérents, les risques de
contrôle et les risques de détection, sont pris en compte ensemble lors de l'évaluation du risque
d'audit. Dans une mission de rapport direct, l'auditeur participe à la production des informations sur
le sujet. L'auditeur peut appliquer le modèle de risque d'audit pour formuler une conclusion sur le
sujet.
L'ISSAI 400.47 stipule : Les auditeurs doivent tenir compte de l'importance relative tout au long du
processus d'audit. La détermination de l'importance relative est une question de jugement
professionnel et dépend de l'interprétation par l'auditeur des besoins des utilisateurs. Le risque
d'audit et l'importance relative sont expliqués plus en détail dans la Partie C, Chapitre 5.

3.4 Jugement professionnel et scepticisme de l'auditeur

L'ISSAI 4000.71 stipule : L'auditeur doit faire preuve de jugement professionnel tout au long du
processus d'audit. En outre, selon l'ISSAI 4000.77 - L'auditeur doit faire preuve de scepticisme
professionnel et garder un esprit ouvert et objectif.
Au cours de l'audit, l'attitude de l'auditeur doit être caractérisée par le scepticisme professionnel et le
jugement professionnel, qui doivent être appliqués lors de la prise de décisions sur la ligne de conduite
appropriée. Les auditeurs doivent faire preuve de la diligence nécessaire pour s'assurer que leur
comportement professionnel est approprié.46

Le scepticisme professionnel et le jugement professionnel sont deux exigences distinctes, différentes

dans leur sens et dans leur application. Cependant, elles se complètent l'une l'autre dans le travail de
l'auditeur.
Le maintien du jugement et du scepticisme professionnels dans le cadre d'un audit de conformité
requiert la capacité d'analyser la structure et le contenu des textes législatifs et réglementaires comme
base pour identifier les critères appropriés ou les lacunes de la législation en cas d'absence totale ou
partielle de textes législatifs et réglementaires. Il faut également être capable d'appliquer les concepts
d'audit de l'approche à un sujet connu ou inconnu

Jugement professionnel

L'auditeur fait appel à son jugement professionnel pour décider du niveau d'assurance, évaluer le
risque et l'importance relative, définir le sujet, la portée et les critères d'audit correspondants. De
plus, l'auditeur utilise son jugement professionnel pour évaluer les procédures nécessaires à la
collecte d'éléments probants suffisants et appropriés et leur évaluation. L'utilisation du jugement

46
ISSAI 100.37

42
professionnel est cruciale lors de l'analyse des éléments probants et de la formation de conclusions
sur la base des constatations47.

Le jugement professionnel est une compétence que l'auditeur acquiert au fil du temps en obtenant
une formation et une expérience pertinentes. C'est pourquoi l'application du jugement professionnel
signifie également l'utilisation de la formation, des compétences et de l'expertise de l'auditeur. En
outre, seul un auditeur possédant les connaissances et l'expertise spécifiques à une circonstance
donnée est censé exercer un jugement professionnel raisonnable dans cette circonstance. En bref, le
jugement professionnel est fonction des circonstances et on ne s'attend pas à ce que chaque auditeur
soit compétent pour chaque mission.
Des personnes bien informées, expérimentées et objectives peuvent parvenir à des conclusions
différentes dans l'application des normes professionnelles, malgré des faits et des circonstances
similaires, cela ne signifie pas nécessairement qu'une conclusion est juste et l'autre fausse. Il faut
s'attendre à ce que l'auditeur pose des questions appropriées pour comprendre les procédures mises
en œuvre et le fondement des conclusions tirées.
La documentation des décisions, fondée sur le jugement professionnel de l'auditeur à différentes
étapes de l'audit, est essentielle pour démontrer qu'un processus solide a été suivi et pour aider à
développer une conclusion bien motivée. Lorsqu'un jugement professionnel est contesté, la
documentation montre l'analyse des faits, des circonstances et des alternatives envisagées ainsi que
le fondement des conclusions tirées.
Scepticisme professionnel
Le scepticisme professionnel est une attitude qui consiste à maintenir un esprit ouvert et objectif en
étant attentif aux conditions, circonstances et informations qui peuvent indiquer une éventuelle non-
conformité due à une erreur ou une fraude. Le scepticisme professionnel est essentiel lors de
l'évaluation d'éléments probants contredisant d'autres éléments probants déjà obtenus, et
d'informations remettant en cause la fiabilité des éléments probants, tels que des documents et des
réponses à des demandes de renseignements48.
L'exercice du scepticisme professionnel est nécessaire pour garantir que l'auditeur évite tout préjugé
personnel et pour s'assurer qu'il ne généralise pas trop lorsqu'il tire des conclusions de ses
observations. En outre, l'auditeur agira de manière rationnelle en se fondant sur une évaluation
critique de tous les éléments probants recueillis.
Lorsqu'ils font preuve de scepticisme professionnel, les auditeurs gardent un esprit ouvert et
raisonnablement interrogatif sans être trop soupçonneux. Les auditeurs ne supposent pas que la
direction est malhonnête et ne croient pas non plus qu'elle est honnête. Les auditeurs gardent
toujours à l'esprit que la fraude peut exister, et ils ne doivent pas se contenter de preuves moins que
convaincantes parce qu'ils croient que la direction est honnête.
Le maintien du scepticisme professionnel tout au long de l'audit est nécessaire pour que l'auditeur
puisse réduire les risques de fraude:
 Ne pas remarquer les circonstances inhabituelles.
 Généraliser à l'excès les conclusions tirées des observations d'audit.
 Utiliser des hypothèses inappropriées pour déterminer la nature, le calendrier et l'étendue
des procédures d'audit et en évaluer les résultats.

47
ISSAI 4000.73
48
ISSAI 4000.78

43
3.5 Documentation des travaux d'audit

L'ISSAI 4000.89 stipule que : L'auditeur doit préparer une documentation d'audit suffisamment
détaillée pour fournir une bonne compréhension des travaux effectués, des éléments probants
recueillis et des conclusions tirées.

Une documentation d'audit suffisante est essentielle à toutes les étapes de l'audit de conformité.
L'objectif de la documentation des travaux d'audit réalisés est d'améliorer la transparence des travaux
réalisés. Elle permet également à un auditeur expérimenté n'ayant aucun lien préalable avec l'audit
de comprendre les questions importantes soulevées au cours de l'audit, les conclusions/opinions
formulées à ce sujet et les jugements professionnels portés pour parvenir à ces conclusions/opinions.

La documentation doit être suffisante pour démontrer comment l'auditeur a défini l'objectif, le sujet,
les critères et l'étendue de l'audit, ainsi que les raisons du choix d'une méthode d'analyse spécifique.
À cette fin, l'auditeur organise la documentation de manière à établir un lien clair et direct entre les
constatations et les éléments probants qui les étayent. Une documentation adéquate de l'audit est
essentielle pour les contrôles de supervision et autres tâches de contrôle et d'assurance qualité. La
Partie D : Chapitre huit fournit des explications supplémentaires sur la documentation.

3.6 Communication

L'ISSAI 4000.96 stipule que l'auditeur doit communiquer de manière efficace avec l'entité auditée et
les personnes constituant le gouvernement d’entreprise tout au long du processus d'audit.

Les étapes de la communication

La communication a lieu à toutes les étapes de l'audit, avant le début de l'audit, pendant la
planification, pendant l'exécution de l'audit et lors de la phase d’établissement des rapports. Toute
difficulté importante rencontrée au cours de l'audit, ainsi que les cas de non-conformité significative,
doivent être communiqués au niveau approprié de la direction ou aux personnes constituant le
gouvernement d’entreprise. L'auditeur doit également informer la partie responsable (c'est-à-dire
l'entité) des critères d'audit.

L'ISSAI 4000.99 stipule que les cas de non-conformité significative doivent être communiqués au
niveau approprié de la direction et (le cas échéant) aux personnes constituant le gouvernement
d’entreprise. D'autres questions importantes découlant de l'audit qui sont directement liées à l'entité
doivent également être communiquées.

Une excellente communication avec l'entité auditée tout au long du processus d'audit peut contribuer
à rendre le processus plus efficace et constructif. Une communication bidirectionnelle efficace est
essentielle pour :
 Aider l'auditeur et les personnes constituant le gouvernement d'entreprise à comprendre les
questions liées à l'audit et leur contexte. En outre, développer une relation de travail
constructive. L'auditeur développe cette relation tout en conservant son indépendance et son
objectivité.
 Renforcer la sensibilité de l'auditeur aux besoins et aux attentes du législateur concernant les
questions communiquées à d'autres, principalement lorsque ces questions peuvent présenter
un intérêt public général.
 Faire participer l'auditeur aux travaux des personnes constituant le gouvernement
d'entreprise afin d'obtenir des informations pertinentes pour l'audit. Par exemple, les
personnes constituant le gouvernement d'entreprise peuvent aider l'auditeur à comprendre

44
 l'entité et son environnement, à identifier les sources appropriées de preuves d'audit et à
fournir des informations sur des transactions ou des événements spécifiques.

Les processus de communication

Les ISC doivent mettre en place un système exigeant de l'auditeur qu'il assure une communication
bidirectionnelle entre lui et les personnes chargées de la gouvernance adéquate pour l'audit. Si la
communication bidirectionnelle n'est pas suffisante, l'auditeur doit prendre les mesures appropriées.
Celles-ci peuvent inclure la communication avec le législateur ou les autorités de régulation
compétentes.
Les questions communiquées par écrit à l'entité auditée peuvent inclure :
 Le sujet de l'audit
 Les critères d’audit
 le niveau d'assurance
 la période de l’audit, et
 les entreprises, organisations et programmes gouvernementaux à inclure dans l'audit, c'est-
à-dire la confirmation des termes de la mission.
La communication de ces questions peut contribuer à une compréhension mutuelle du processus
d'audit et des activités des entités auditées.
La forme de la communication avec les personnes constituant le gouvernement d'entreprise tout au
long du processus d'audit doit être adaptée aux conditions. L'auditeur prend en considération le
moment où il communique et le fait qu'il le fasse oralement, par écrit ou les deux.

3.7 Garantir la qualité de l'audit

L'ISSAI 4000.80 stipule que : L'ISC doit assumer la responsabilité de la qualité globale de l'audit afin de
garantir que les audits sont réalisés conformément aux normes professionnelles, aux lois et aux
règlements applicables et que les rapports sont appropriés aux circonstances.
L'un des défis majeurs auxquels sont confrontées toutes les ISC est de réaliser des audits de haute
qualité de manière constante. La qualité du travail d'audit des ISC affecte leur réputation et leur
crédibilité, et en fin de compte leur capacité à remplir leur mandat. Pour qu'un système de contrôle
de la qualité soit efficace, il doit faire partie de la stratégie, de la culture, des politiques et des
procédures de l'ISC en ce qui concerne la qualité.49
Le contrôle de la qualité fait référence aux processus en cours au sein de l'ISC pour examiner la qualité
à chaque étape de l'audit. Le contrôle qualité vise à s'assurer que l'audit est conforme aux normes
applicables et que le rapport d'audit, la conclusion ou l'opinion émise sont appropriés aux
circonstances. L'ISC doit établir les mécanismes de contrôle de la qualité en tant que fonction
hiérarchique à cette fin, et le rapport d'audit de l'ISC doit être publié après avoir été soumis au
processus de contrôle de la qualité.
Les procédures de contrôle de la qualité peuvent comprendre la supervision, les examens et la
consultation, et peuvent couvrir les étapes de planification, d'exécution et de rapport de l'audit. Le
contrôle de la qualité consiste notamment à vérifier si l'équipe d'audit dispose des compétences
suffisantes et appropriées pour mener l'audit et si elle est capable de sélectionner les critères sans
parti pris. En même temps, si l'équipe a accès à des informations exactes, si elle a tenu compte des
données disponibles et si elle a disposé de suffisamment de temps pour mener à bien la mission
d'audit.

49
ISSAI 140

45
Assurance qualité : Dans le cadre des procédures de contrôle de la qualité, l'ISC peut avoir mis en place
un système d'assurance qualité. L'assurance qualité est le processus établi par une ISC pour s'assurer
que les contrôles de qualité requis sont en place et mis en œuvre de manière adéquate.
L'ISC doit communiquer à son personnel ses politiques et procédures générales de contrôle de la
qualité de manière à obtenir une assurance raisonnable que le personnel a compris et mis en œuvre
ces politiques. Le contrôle de la qualité exige une compréhension claire de la responsabilité de
certaines décisions prises au cours du contrôle. Toute personne impliquée dans l'audit doit identifier
et comprendre sa responsabilité. Les processus de contrôle de la qualité doivent être exécutés et
documentés de manière prescrite. L'ISC peut soutenir ces processus à l'aide de questionnaires et de
listes de contrôle spécifiques.
Ce manuel couvre les processus de contrôle de la qualité pour la réalisation d'un audit de conformité
avec l'examen des documents de travail pertinents. Il fournit des listes de contrôle de la qualité pour
les phases de planification, de réalisation et de rapport de l'audit.
Avec le lancement des Normes internationales de gestion de la qualité (ISQM) 1 & 250, la communauté
internationale de l'audit est en train de passer de systèmes de contrôle et d'assurance de la qualité
fondés sur des processus à une approche de la gestion de la qualité de l'audit fondée sur le risque.
L'INTOSAI travaille à la mise à jour de la norme ISSAI 140. En même temps, l'IDI prévoit de développer
un cadre pour l'utilisation d'une approche basée sur le risque pour assurer la qualité de l'audit. Ce
cadre reflétera les principes clés de la gestion de la qualité des audits et fournira des options aux ISC
ayant des capacités et des contextes différents pour assurer la qualité des audits.

50
Getting Started on the New IAASB Quality Management Standards: An Overview | IFAC

46
Plan de travail annuel de l'ISC pour la couverture de l'audit de
conformité

Chapitre 4

Plan de travail annuel de l'ISC pour la couverture de

l'audit de conformité
4.1 Définition des priorités stratégiques de l'ISC
4.2 Identification et hiérarchisation des tâches d'audit potentielles
4.3 Plan de travail annuel ou pluriannuel de l'ISC
4.4 Considérations avant de lancer un audit de conformité individuel

47
Les ISC planifient généralement leur travail de contrôle sur une base annuelle ou pluriannuelle. Sur la
base du cadre juridique de l'ISC, le plan précise les types d'audit qu'elle peut réaliser - financier, de
conformité ou de performance. L'ISC tient compte des ressources dont elle dispose lorsqu'elle
entreprend les contrôles pour une période donnée. Elle met d'abord de côté les ressources
nécessaires pour accomplir les tâches d'audit obligatoires. Les ressources restantes disponibles
déterminent la mesure dans laquelle l'ISC peut inclure des tâches de contrôle supplémentaires dans
son plan de travail annuel ou pluriannuel. Ce chapitre décrit le processus qu'une ISC peut suivre pour
déterminer les tâches d'audit et préparer un plan annuel ou pluriannuel pour un audit de conformité.
Bien que ce chapitre se limite à l'audit de conformité, un processus similaire peut également être
utilisé pour d'autres types d'audit.
L'ISSAI 4000.64 inclut la sélection de la couverture de l'audit dans les exigences générales d'un audit
de conformité. Elle stipule que - lorsque l'ISC a le pouvoir discrétionnaire de sélectionner la couverture
des audits de conformité, elle doit identifier les domaines qui sont importants pour le ou les
utilisateurs prévus.
Certaines ISC réalisent des audits à la demande de l'organe législatif, par exemple le Parlement, tandis
que d'autres ISC ont la possibilité de choisir la portée de leurs audits de conformité ou les deux.
Lorsque l'ISC a la possibilité de choisir la couverture, elle peut établir un système pour reconnaître les
questions d'audit importantes et les domaines présentant un risque potentiel de non-conformité. Les
étapes de l'identification des tâches d'audit possibles pour les audits de conformité (c'est-à-dire les
sujets) et, par conséquent, de l'élaboration d'un plan annuel, comprennent généralement les
éléments suivants:
i. la définition des priorités stratégiques de l'ISC ;
ii. l'identification et la hiérarchisation des tâches d'audit potentielles ; et
iii. la préparation d'un plan de travail annuel ou pluriannuel.

4.1 Définition des priorités stratégiques de l'ISC

En général, l'ISC établit les priorités stratégiques à partir de l'examen des politiques et des risques. Cet
examen permet de s'assurer que l'ISC sélectionne les tâches de contrôle qui reflètent le mieux les
risques, les intérêts publics, le potentiel de l'ISC à apporter une valeur ajoutée et à contribuer au cadre
de responsabilité du pays. Les priorités stratégiques fournissent une orientation de haut niveau pour
le plan de travail annuel/multi-annuel. Les priorités de l'ISC pourraient inclure, entre autres, les
domaines politiques nécessitant une attention particulière, par exemple, la sécurité sociale, le
logement ; et les risques émergents de l'environnement en évolution dans lequel l'ISC opère, par
exemple, le big data, les nouvelles technologies. Les priorités pourraient également inclure des sujets
d'audit transversaux, par exemple, le genre, le changement climatique, les marchés publics.
L'examen de la politique et des risques tient compte des priorités et des objectifs de développement
stratégique du pays, des intérêts des parties prenantes, des audits réalisés dans les autres pays que
l'ISC considère comme pertinents, ainsi que de l'évolution des pratiques d'audit professionnelles.
L'examen de la politique et des risques doit tenir compte, en particulier, du processus pré législatif
pour déterminer le délai optimal de publication des rapports d'audit afin d'assurer le meilleur impact
possible. Lors de l'examen de la politique et des risques, l'auditeur peut prendre en compte, entre
autres, les éléments suivants51:

51
ISSAI 4000.67

48
 Examen de: Dans les domaines suivants : Produit:
Priorités/intérêts  Intérêts ou attentes publics ou du législateur, Le produit est une
des parties  Objectifs stratégiques du pays, par exemple la réalisation des liste des
prenantes : objectifs de développement durable (ODD) questions/domaines
 L'intérêt des citoyens, l'ISC peut proposer des options sur son à risque, liés aux
site Web pour recueillir les commentaires des citoyens priorités et aux
 Intérêts ou attentes des donateurs ou bailleurs de fonds intérêts des parties
 Intérêts des bénéficiaires de fonds publics prenantes.
 Couverture médiatique sur des questions d'intérêt public
 Non-conformité signalée par des tiers
Modifications du  Développements/changements du cadre juridique dans Le produit est une
cadre juridique différents domaines liste de
et autres  Importance des dispositions spécifiques de la loi et leur problèmes/secteurs
développements interprétation par les entités à risque liés aux
dans le  Principes de bonne gouvernance changements et
domaine :  Autres changements et développements importants dans les développements
différents domaines récents dans le
 Rôles des différents organismes du secteur public, situation et pays.
évolution à cet égard
 Droits des citoyens et des organismes du secteur public
 Violations potentielles des lois et autres réglementations
applicables, ainsi que des accords de financement avec les
donateurs qui régissent l'activité de l'entité, ou la dette publique,
le déficit public et les obligations extérieures
 Projets bénéficiant d'un financement public important
Résultats des  Non-respect des contrôles internes ou l'absence d'un système de Le produit est une
audits récents et contrôle interne adéquat liste des
développements  Constatations identifiées lors des audits précédents de l'ISC questions/domaines
de l'audit :  Travaux d'autres ISC/entités similaires à risque identifiés
 Développements récents dans la profession d'audit dans des audits
 Mandat et couverture de l'audit de l'ISC récents.

Illustration 4.1 : Examen des politiques et des risques

L'examen des politiques et des risques permet de cartographier les principaux développements dans
le pays et d'identifier les questions/secteurs à risque de haut niveau pertinents. Lors de cet examen,
l'auditeur peut analyser les propositions budgétaires, les publications du secteur public et les rapports
d'évaluation. En s'engageant avec les parties prenantes et en prenant part aux discussions dans
différents forums, l'auditeur peut obtenir des informations précieuses qui lui serviront de base pour
sélectionner les sujets appropriés et opportuns et réduire le risque de contrôler des domaines à faible
risque. L'auditeur peut souvent rencontrer des exemples de non-conformité dans le cadre d'autres
types de contrôles effectués par l'ISC. Il peut donc être utile d'inclure ces constatations dans le
processus d'évaluation des risques pour l'année à venir.
Les produits cumulés du processus d'examen des politiques et des risques sont une liste de priorités
stratégiques de l'ISC. L'ISC peut aligner ces priorités sur son plan stratégique pour atteindre les
objectifs opérationnels annuels. Outre les tâches de contrôle, les ISC pourraient envisager d'établir
une approche stratégique pour d'autres activités qu'elles souhaiteraient accomplir, en tant
qu'organisation, à moyen et à long terme. Il peut s'agir, entre autres, du développement de la capacité
de son personnel, de son approche des audits de conformité ou de la garantie qu'un certain
pourcentage du personnel de l'ISC obtienne une qualification professionnelle.

49
4.2 Identification et hiérarchisation des tâches d'audit potentielles

Les ISC doivent tenir compte de leurs priorités stratégiques lors de l'identification des tâches d'audit
possibles. Elle comprend une liste des sujets d'audit proposés, une estimation des ressources
nécessaires pour chacun d'eux et des informations sur leur importance relative. Les tâches de contrôle
peuvent être identifiées en suivant une approche ascendante et descendante , et l'ISC doit
documenter le processus.
L'approche descendante découle du plan stratégique de l'ISC, qui s'étend sur un nombre déterminé
d'années. Le plan stratégique se traduit par des plans et des priorités pluriannuels et annuels. Ces
priorités déterminent ce que l'ISC veut réaliser en tant qu'organisation par le biais de ses contrôles,
en tant qu'objectifs à court, moyen et long terme. Dans le cadre de ce processus, l'ISC identifie les
grands thèmes/domaines d'importance qui présentent un intérêt national ou international, par
exemple, les technologies de l'information, les objectifs de développement durable, l'environnement.
Dans l'approche ascendante, les gestionnaires d'audit proposent des tâches d'audit potentielles.
Celles-ci sont généralement en rapport avec les priorités d'audit établies et donc avec la stratégie de
l'ISC.
L'illustration 4.2 explique les principales caractéristiques des deux approches
Ascendante : Déterminer les tâches d'audit

Descendante : Déterminer la priorité de l'ISC

- Les responsables de l'audit Quels sont les objectifs de
proposent des tâches d'audit l'ISC par le biais de ses audits
potentielles ?
- Pertinentes par rapport aux - Stratégie d'audit de l'ISC
priorités d'audit établies et couvrant un nombre
donc liées à la stratégie de déterminé d'années
l'ISC - Les objectifs à moyen et
- Les propositions couvrent long terme de l'ISC en tant
les éléments essentiels qu'organisation.
- Établies dans des modèles - Identifier les grands
prédéfinis thèmes/domaines

Illustration 4.2: Identification des tâches d’audit potentielles

L' auditeur peut utiliser le modèle fourni dans la Pièce 4.1 : Documentation d'une tâche d'audit
potentielle pour faciliter l'approche ascendante de l'identification des tâches. En outre, un exemple
de processus de catégorisation des entités en fonction de la valeur du risque est fourni à l'annexe 4-
A. Les principaux aspects de l'identification d'une tâche d'audit sont les suivants :
a. Évaluation de la priorité :
L'ISC compare toutes les tâches proposées avec les priorités stratégiques pour la période de
planification respective et évalue la mesure dans laquelle elle couvre les priorités. Cette analyse
permet d'identifier les tâches de contrôle les mieux adaptées aux priorités stratégiques et les priorités
qui n'ont pas été suffisamment couvertes par les tâches d'audit proposées.

50
Une telle analyse doit utiliser un ensemble de critères tels que la pertinence par rapport aux priorités
stratégiques, l'importance des risques, l'intérêt politique/public et la valeur ajoutée potentielle que
l'audit pourrait générer. Cette dernière peut inclure, entre autres, des considérations d'importance
économique, de couverture antérieure et de contrôlabilité. Cette analyse doit également classer les
tâches d'audit proposées et documenter le processus. La pertinence d'une tâche d'audit par rapport
aux priorités stratégiques peut être évaluée comme faible, moyenne ou élevée.
b. Évaluation du risque:
Le risque associé à un sujet d'audit proposé peut être évalué comme étant faible, moyen ou élevé, en
fonction de la probabilité d'occurrence des principaux facteurs identifiés et de leur impact potentiel.
Un auditeur peut documenter l'évaluation du risque d'un sujet en utilisant l'Illustration 4.3 suivante.

Tâche d'audit : ………

Impact potentiel La probabilité d'occurrence
Faible Elevé
Important Risque moyen Risque élevé
Minimal Risque faible Risque moyen
Illustration 4.3 : Détermination de l'importance des risques
c. Évaluation de l'intérêt politique/public:
Les tâches envisagées concernant l'audit doivent intéresser les principales parties prenantes de l'ISC,
telles que le Parlement. L'auditeur délibère sur les décisions prises par le parlement, les rapports et
les documents politiques qu'il a produits comme sources possibles d'information. En même temps,
l'auditeur garde à l'esprit les intérêts de l'exécutif, des médias et l'impact sur la vie des citoyens. Pour
chaque tâche d'audit proposée, l'auditeur doit déterminer le niveau d'intérêt public (faible, moyen ou
élevé).
d. Évaluation de la valeur ajoutée potentielle:
Les ISC peuvent considérer la valeur ajoutée potentielle du sujet en fonction de l'importance
économique du domaine concerné. En outre, les ISC doivent évaluer si le rapport d'audit fournira des
informations nouvelles et utiles aux utilisateurs. Pour cela, les ISC peuvent prendre en compte les
audits, les examens de contrôle et les évaluations qui ont été récemment réalisés ou planifiés par les
ISC et par d'autres organismes. L'ISC peut donner la priorité aux domaines et aux sujets qui n'ont
jamais été contrôlés, qui l'ont été partiellement ou qui l'ont été il y a plusieurs années.
 Considérez l'impact potentiel en termes d'identification des faiblesses et de recommandations.
 L'opportunité est un élément crucial. La sélection des sujets doit correspondre au moment choisi
pour contribuer aux changements, tels que des réformes importantes ou l'introduction de
nouvelles initiatives. Un rapport retardé ne sera pas en mesure d'influencer les événements, et
perd donc de sa pertinence.
 Il convient également de considérer et d'évaluer la contrôlabilité ou la faisabilité, c'est-à-dire de
savoir s'il est techniquement ou pratiquement possible de réaliser le contrôle et si l'ISC dispose des
capacités et des compétences nécessaires. Une expertise externe, par exemple, pourrait être
nécessaire.
Pour chaque tâche, l'ISC doit traduire le résultat de l'évaluation de ces quatre critères préétablis en
un classement de priorité. L'ISC peut attribuer le degré de priorité aux tâches de contrôle en fonction
de la note totale obtenue. Les sujets sont ensuite classés selon leur degré d'importance en fonction
de la note globale. L'illustration 4.4 propose comment l'auditeur peut attribuer le degré de priorité à
une tâche de contrôle particulière en utilisant la note totale.

51
 Tâche d'audit : ………
a. Priorité b. Risque c. Intérêt public d. Valeur ajoutée
But But But But
Faible 1 Faible 1 Faible 1 Faible 1
Moyenne 2 Moyenne 2 Moyenne 2 Moyenne 2
Élevée 3 Élevée 3 Élevée 3 Élevée 3
Note totale:
Illustration 4.4 : Classement de la priorité d'une tâche

4.3 Plan de travail annuel ou pluriannuel de l'ISC

Le plan de travail annuel ou pluriannuel comprend des informations sur les tâches d'audit à réaliser,
une brève description de chaque tâche, les ressources humaines et les autres ressources (par exemple,
les frais de déplacement, l'expertise nécessaire) à affecter à chaque tâche, ainsi que le calendrier prévu
pour la mise en œuvre et l'établissement des rapports.
L'établissement d'un plan de travail annuel ou pluriannuel est basé sur le processus interne de chaque
ISC. L'ISC peut envisager ce qui suit:
 Déterminer le total des ressources en personnel disponibles et établir le nombre standard de
jours (à l'exclusion des jours fériés annuels tels que réglementés par l'ISC) pour le personnel à
plein temps.
 Du total des ressources en personnel disponibles, déduire les ressources nécessaires pour les
tâches obligatoires et les autres tâches récurrentes, y compris les travaux non liés à l'audit. En
outre, allouez d'autres ressources pour ces tâches.
 Après avoir déterminé le personnel restant et les autres ressources, identifiez le nombre de
tâches de contrôle potentielles, classées par ordre de priorité, que l'ISC pourrait réaliser au
cours de la période de planification donnée.
L'ISC peut appliquer ces considérations et documenter le processus en utilisant la Pièce
4.2: Établissement du plan de travail annuel ou pluriannuel.
L'ISC peut envisager de fixer des délais réalistes et de répartir la charge de travail sur la période de
planification. A cette fin, les ISC doivent s'assurer que les ressources allouées à chaque tâche sont
suffisantes en termes de quantité et de qualité. Les ISC peuvent prendre en considération une marge
pour les contingences et les événements imprévus qui pourraient affecter le plan pendant l'exécution
des tâches.
La mise en œuvre du plan de travail annuel ou pluriannuel doit faire l'objet d'un suivi régulier de la
part de l'ISC afin d'informer la direction de l'avancement de la mise en œuvre du plan, de l'utilisation
des ressources, des étapes franchies, des objectifs atteints et des travaux encore en suspens. L'ISC
pourrait établir un système de rapports semestriels sur la mise en œuvre du plan de travail annuel.
Sur la base des résultats du suivi, le plan peut être révisé si les hypothèses sous-jacentes changent, si
le classement des priorités n'est plus valable ou si d'autres raisons de changement nécessaire
deviennent évidentes.

4.4 Considérations avant d'initier un audit de conformité

52
Une fois que l'ISC a établi les exigences organisationnelles pour la réalisation des audits de conformité
(expliquées au chapitre 3), qu'elle a préparé son plan de travail annuel et qu'elle a alloué les ressources
nécessaires, elle commencera à réaliser les audits. A ce stade, l'ISC a également identifié les
sujets/thèmes prioritaires pour les audits de conformité. Avant que les équipes d'audit de conformité
de l'ISC ne commencent à planifier et à réaliser les audits conformément au plan de travail annuel de
l'ISC, la direction de l'ISC peut vouloir s'assurer que les équipes appliquent la méthodologie d'audit de
manière cohérente dans tous les audits de conformité. Pour cela, la direction de l'ISC doit faire des
choix éclairés sur le moment où elle doit réaliser une mission de rapport direct ou une mission
d'attestation, et sur le moment où elle doit fournir une assurance raisonnable ou limitée dans ses
rapports d'audit. En conséquence, la direction pourrait communiquer ces options aux auditeurs et aux
responsables fonctionnels respectifs de l'audit de conformité (ou selon le cas dans les ISC respectives).
Mission de rapport direct ou mission d'attestation
La disponibilité ou non de l'information sur le sujet conduit l'auditeur à décider s'il doit effectuer une
mission d'attestation ou une mission de rapport direct. L'ISC choisira d'effectuer des missions
d'attestation pour les sujets/thèmes prioritaires pour lesquels la partie/entité responsable prépare
l'information, et l'auditeur l'attestera. En l'absence de telles informations, les ISC réalisent des
missions de rapport direct. Conformément à la norme ISSAI 4000, ces deux approches peuvent varier
en ce qui concerne l'échantillonnage d'audit et le processus d'évaluation des risques.

En général, la disponibilité des informations sur le sujet (préparées par l'entité) est limitée pour un
audit de conformité. Dans la plupart des cas, l'auditeur décidera de l'objet du contrôle et formulera
une conclusion à ce sujet. Compte tenu de ce qui précède, l'ISC peut choisir de réaliser ses audits de
conformité planifiés en tant que missions de rapport direct, sauf lorsque les informations à attester
sont disponibles.
Assurance raisonnable ou assurance limitée
La norme ISSAI 4000.121 stipule que : En fonction du mandat de l'ISC, des caractéristiques du sujet
traité et des besoins de l'utilisateur ou des utilisateurs prévus, l'auditeur doit décider si l'audit doit
fournir une assurance raisonnable ou limitée.

En déterminant l'étendue et le sujet d'un audit, l'auditeur prend en compte le niveau d'assurance
fourni. L'ISC décide de réaliser un audit avec une assurance limitée ou raisonnable en tenant compte
des éléments suivants
 les besoins de l'utilisateur prévu
 la disponibilité et l'accès à l'information
 l'étendue des procédures d'audit, et
 la compétence des auditeurs

Besoins de l'utilisateur prévu: L'ISC doit évaluer les besoins des utilisateurs prévus du rapport d'audit
afin de déterminer quel type d'assurance est le plus approprié. Le processus d'évaluation exige une
compréhension des décisions prises par les utilisateurs et du type d'informations qu'ils utilisent pour
prendre leurs décisions. Certaines ISC ont des exigences obligatoires qui définissent déjà le niveau
d'assurance qu'elles doivent fournir dans les rapports.
Disponibilité et accès à l'information : Fournir une assurance raisonnable exige des travaux d'audit
plus étendus52.. Une mission d'assurance raisonnable nécessite que l'auditeur ait accès aux systèmes
et aux processus utilisés dans le domaine concerné (par exemple, les contrôles internes d'une entité)
; elle exige donc davantage d'informations qu'un audit d'assurance limitée, qui se concentre sur un

52
ISSAI 4000.34

53
domaine plus restreint. Ainsi, les limitations d'accès aux données conduiraient probablement à un
audit d'assurance limitée.
L'étendue des procédures d'audit :
Dans le cadre d'une mission d'assurance raisonnable, l'auditeur est susceptible de réaliser le test des
contrôles ainsi que des tests de corroboration détaillés afin de parvenir à une conclusion globale sur
le sujet traité. L'auditeur peut identifier un échantillon de transactions représentatif de la population
totale et extrapoler les résultats de l'échantillonnage à l'ensemble. Dans le cadre d'une mission
d'assurance raisonnable, l'auditeur est susceptible d'évaluer les systèmes et les processus du sujet
considéré pour parvenir à une conclusion globale.

Dans une mission d'assurance limitée, l'objectif est d'obtenir un niveau d'assurance significatif pour
les utilisateurs prévus. L'auditeur recueille des éléments probants suffisants et appropriés pour
répondre à l'objectif de la mission ; toutefois, les procédures sont limitées par rapport à ce qui est
nécessaire pour une mission d'assurance raisonnable53.

Compétence des auditeurs :

Les missions d'assurance raisonnable et d'assurance limitée nécessitent toutes deux un personnel
compétent. La norme ISSAI 4000.85 stipule que l'ISC doit s'assurer que l'équipe d'audit possède
collectivement les compétences professionnelles nécessaires pour réaliser l'audit.
Les ISC peuvent utiliser la matrice des compétences de l'équipe d'audit pour déterminer les
compétences de leurs auditeurs. Sur la base d'un jugement professionnel, la matrice peut inclure
l'évaluation de la capacité des membres à démontrer les compétences transversales et fonctionnelles
requises et à avoir de l'expérience dans la conduite d'audits de conformité, y compris dans le
secteur/domaine contrôlé. Certaines ISC peuvent avoir des équipes d'audit fixes avec des superviseurs
désignés pour une année du cycle d'audit. Dans ce cas, au lieu de sélectionner les équipes d'audit pour
chaque mission, il est suffisant (et gérable) de procéder à la sélection des équipes sur la base de la
matrice de compétences une fois par an. En cas de changement dans la composition de l'équipe, celle-
ci peut être mise à jour périodiquement si nécessaire.
L'annexe 4-B explique les quatre étapes d'un audit de conformité et la manière dont les tâches de
l'auditeur diffèrent à chacune des étapes dans les différents types d'audit de conformité.
Compte tenu de ces questions et du contexte de l'ISC, la direction de l'ISC peut décider que, de
manière générale, les missions d'audit de conformité de l'ISC seront rapport direct - assurance
raisonnable engagements. Et sur la base de cette décision, les équipes de l'ISC lanceront les audits
individuels en tant que missions de rapport direct. La partie C de ce manuel explique la méthodologie
pour mener de telles missions.

53
ISSAI 4000.201

54
 PARTIE C Réalisation d'un audit de conformité
Chapitre 5: Planification d'un audit de conformité
Chapitre 6: Exécution des procédures d'audit, collecte et évaluation des
éléments probants
Chapitre 7: Rapports et suivi de l'audit de conformité

55
 Planification d’un audit de conformité

Chapitre 5

Planification d'un audit de conformité

5.1 Élaboration de la stratégie d'audit

5.2 Élaboration du plan d'audit
5.3 Documentation et garantie de la qualité de la stratégie et du plan d'audit

56
Ce chapitre explique la planification d'une mission individuelle d'audit de conformité. La planification
d'un audit de conformité se fait en deux étapes. Lors de la première étape, les auditeurs élaborent la
stratégie d'audit globale en ce qui concerne la portée, l'importance, le calendrier et la conduite de
l'audit. Dans un deuxième temps, sur la base de la stratégie, les auditeurs préparent un plan d'audit
qui présente une approche détaillée et des étapes spécifiques concernant la nature, le calendrier et
l'étendue des procédures à mettre en œuvre, ainsi que les raisons de leur sélection. Le chapitre
comprend les modèles de documents de travail suggérés pour que les auditeurs puissent documenter
le processus de développement de la stratégie d'audit et du plan.
Les activités de planification varieront, entre autres, en fonction des circonstances de l'audit, de la
complexité du sujet sous-jacent et des critères.
Lors de la planification d'un audit de conformité, les auditeurs de l'ISC prennent généralement en
compte les éléments suivants :

Caractéristiques Étendue, objet et Compréhension

Utilisateurs visés
de l'audit critères de l'entité

Environnement
de contrôle et Composantes du Importance Pertinence du
contrôle interne risque d'audit relative risque de fraude
de l'entité

Fonction et Ressources Nature et Moment et

couverture de nécessaires pour étendue des nature de la
l'audit interne l'audit experts requis communication

Ces éléments sont illustrés à la figure 5.1 comme les étapes génériques d'un processus de planification
d'un audit de conformité.

57
Figure 5.1 Processus de planification de l'audit

L'ISSAI 4000.137 stipule que l'auditeur doit développer et documenter une stratégie d'audit et un plan d'audit qui, ensemble, décrivent la manière dont l'audit
sera réalisé afin de produire des rapports appropriés aux circonstances, les ressources nécessaires à cet effet et le calendrier des travaux d'audit. Le processus
d'élaboration de la stratégie et du plan d'audit est expliqué dans les sections suivantes.
5.1 Élaboration de la stratégie d'audit

La stratégie d'audit est la base permettant de décider s'il est possible d'exécuter l'audit. La stratégie
d'audit décrit ce qu'il faut faire et le plan d'audit décrit comment le faire. Le but de la stratégie d'audit
est de documenter/concevoir les décisions générales prises par les auditeurs. Elle peut contenir les
éléments suivants54:

Elements d'une 1. Caractéristiques de de l'audit de conformité

stratégie d'audit
2. L'objectif de l'audit

3. Le sujet, l'étendue, les critères

4. Les entités couvertes par l'audit

5. Le type de mission

6. Le niveau d'assurance à fournir

7. La composition de l'équipe d'audit

8. Les mécanismes de contrôle de la qualité

9. La communication

10. Les responsabilités en matière de rapports

Une stratégie d'audit facilite la coordination entre les membres de l'équipe d'audit et l'ISC sur
l'approche de l'audit. L'équipe d'audit développe la stratégie d'audit sur la base des exigences
organisationnelles de l'ISC pour la réalisation d'un audit.
1. Caractéristiques de l'audit de conformité : L'équipe d'audit prend en compte le mandat de l'ISC et
le plan stratégique de l'ISC lorsqu'elle détermine les caractéristiques d'un audit. Il comprend une
description introductive de l'audit et un historique.
2. L'objectif de l'audit : L'objectif de l'audit détermine ce à quoi l'auditeur cherche à répondre lors de
l'audit. Les auditeurs veillent à l'objectivité dans la formulation des objectifs d'audit, y compris
l'identification des critères. Les conclusions de l'audit dépendent entièrement des objectifs de l'audit,
et les conclusions sont complètes dans la mesure où les objectifs de l'audit sont satisfaits. L'objectif
d'audit doit pouvoir être répondu et doit identifier l'objet de l'audit, l'entité ou les activités faisant
l'objet de l'audit.
3. Le sujet, l’étendue, les critères : L'objet, l'étendue et les critères sont interdépendants. L'auditeur
délimite l'objet de l'audit de manière à ce qu'il soit suffisamment couvert pour réaliser un audit
significatif et apporter une valeur ajoutée aux utilisateurs prévus.
Sujet : La section 2.2 (Chapitre 2) a introduit le concept de sujet de l’audit. Le plan annuel d'audit de
conformité de l'ISC peut identifier et inclure des sujets de l’audit. Le sujet doit être identifiable et
évaluable par rapport à des critères d'audit appropriés. Il doit être de nature à permettre à l'auditeur
de conclure avec le niveau d'assurance requis.
Etendue: L'étendue de l'audit désigne le domaine, l'étendue et la période couverts par l'audit d'un
sujet donné. La délimitation de l'étendue consiste à réduire le sujet de l'audit à un nombre
relativement restreint de questions importantes en rapport avec l'objectif de l'audit, et qui peuvent
être auditées avec les ressources dont dispose l'équipe d'audit. Dans le cas d'un audit de conformité
multi-entités ou thématique, la portée comprend l'identification des entités qui seront incluses dans
l'audit. Une définition claire de la portée de l'audit est importante pour déterminer le budget, les

54
ISSAI 4000.139

54
ressources humaines et le temps nécessaires à l'audit, ainsi que pour décider de ce que l'auditeur
inclura dans son rapport.
L'énoncé de l'étendue de l'audit doit être clair quant aux domaines connexes mais non inclus dans
l'audit. L'étendue d'un audit de conformité peut être modifiée au cours de l'audit si les auditeurs
identifient des informations importantes qui nécessitent de reconsidérer l'étendue. La section 2.2 du
chapitre 2 explique la délimitation de l'étendue d'un sujet à l'aide d'une illustration.
Critères : La section 2.3 (chapitre 2) explique les pouvoirs et les critères. Pour une mission de rapport
direct, l'auditeur doit s'assurer qu'il existe des critères d'audit correspondants. Le sujet et les critères
d'audit correspondants peuvent déjà être définis par le mandat de l'ISC ou la législation nationale.
Dans une mission d'attestation, les critères d'audit sont implicitement donnés par la présentation des
informations sur le sujet, sur la base desquelles les informations ont été préparées. Dans ce cas,
l'auditeur doit conclure sur l'exactitude des critères implicites dans les informations sur le sujet traité.
Le scénario de cas ci-dessous illustre la relation entre le sujet, l’étendue et les critères :
Exemple : Identification du sujet, de l’étendue et des critères
Cas
L'audit vise à examiner la politique d'achat du National Health Service (NHS) par rapport aux
exigences nationales en matière d'achat, et à déterminer dans quelle mesure les pratiques d'achat
suivies par le NHS sont conformes aux directives relatives aux marchés publics. À cet égard, l'audit
couvrira la politique d'achat ainsi que les étapes de planification et d'approvisionnement du cycle
de vie de l'achat. Il englobera une évaluation de toutes les activités d'achat pour les 18 mois allant
du 1er juillet 2017 au 31 décembre 2018. Le sujet, l'étendue et les critères de l'audit sont les
suivants:
Sujet L'activité, le projet, le processus ou le programme que l'auditeur décide d'examiner.
Dans le cas présent, le sujet est les pratiques d'achat du National Health Service.
Étendue de L'étendue de l'audit explique la couverture et la portée des examens d'audit. Dans le
l’audit cas présent, l'étendue de l'audit est - les étapes de planification et
d'approvisionnement du cycle de vie des achats, couvrant toutes les activités d'achat
pour les 18 mois allant du 1er juillet 2017 au 31 décembre 2018.

Critères Les critères d'audit sont les points de référence utilisés pour mesurer le sujet. Les
critères sont dérivés des autorités (par exemple, les lois et règlements, les politiques,
les directives). Dans le cas présent, les critères découleront de la:
 Section xx des lignes directrices pour les marchés publics
 Section xx des politiques nationales de passation des marchés

Illustration 5.1 : Relation entre le sujet, l’étendue et les critères

4. Les entités couvertes par l'audit: Le sujet concerne un thème ou une entité. Le sujet thématique
peut inclure plusieurs entités à travers le gouvernement, par exemple, l'environnement, les marchés
publics. Ils nécessitent une planification et une exécution minutieuses de l'audit pour s'assurer que
toutes les entités liées au sujet sont couvertes de manière adéquate pour parvenir à une conclusion
d'audit.
5. Le type de mission : l'équipe décide si l'audit est une mission d'attestation ou une mission de
rapport direct compte tenu du sujet traité. L'équipe suit les décisions prises par la direction de l'ISC,
comme expliqué à la section 4.4 (chapitre 4).
6. Le niveau d'assurance à fournir : Dans la plupart des cas, l'équipe d'audit décide de réaliser une
mission d'audit de conformité avec une assurance raisonnable. L'équipe prend en compte le sujet et
les décisions de la direction de l'ISC expliquées dans la section 4.4 (chapitre 4).

55
7. Composition de l'équipe d'audit : L'équipe doit être composée de ressources suffisamment
qualifiées pour réaliser l'audit. L'équipe d'audit détermine s'il est nécessaire de faire appel à des
experts externes pour les compétences qui ne sont pas disponibles au sein de l'équipe. L'équipe prend
en compte la manière dont l'ISC gère les compétences de l'équipe d'audit, comme indiqué dans la
section 3.2 (chapitre 3).
8. Mécanismes de contrôle de la qualité : L'équipe prend en compte le mécanisme de contrôle de la
qualité de l'audit, tel que discuté dans la section 3.7, afin de garantir la réalisation d'un audit de haute
qualité.
9. Communication : L'équipe détermine comment elle communiquera avec l'entité auditée et les
responsables de la gouvernance tout au long du processus d'audit.
10. Responsabilités en matière de rapport : L'équipe détermine à qui et quand le rapport sera
établi, ainsi que la forme sous laquelle il sera préparé.
Comme l'exige l'ISSAI 4000.137, l'équipe d'audit peut documenter la stratégie d'audit couvrant tous
les éléments à l'aide du modèle de document de travail fourni à Pièce 5.1.
Remarque : Dans le cas d'un audit moins compliqué, une petite équipe peut mener l'audit ; avec une
petite équipe, la coordination et la communication entre les membres de l'équipe et la direction de
l'ISC sont plus faciles. Dans ce cas, l'établissement de la stratégie globale d'audit ne doit pas être un
exercice compliqué ni prendre beaucoup de temps. Lorsqu'elle documente la stratégie d'audit,
l'équipe peut modifier la Pièce 5.1, en tenant compte du contexte spécifique de l'audit, du sujet traité,
de la complexité et des critères.

5.2 Élaboration du plan d'audit

Cette section décrit le processus d'élaboration d'un plan d'audit, y compris la documentation requise
du processus avec des modèles de documents de travail. Le résultat de la phase de planification est
un plan écrit pour la réalisation des travaux d'audit sur le terrain. Le plan décrit les risques potentiels
de non-conformité pour l'entité et les procédures d'audit requises concernant les risques identifiés.
La stratégie d'audit constitue un apport essentiel au plan d'audit en définissant les objectifs, la portée,
le sujet et les critères de l'audit. La planification est un processus itératif tout au long de l'audit. Les
auditeurs peuvent être amenés à modifier les objectifs, la portée, la méthodologie et le calendrier au
fur et à mesure de l'avancement de l'audit. Le plan d'audit comprend les éléments suivants (ISSAI
4000.140):

Les éléments d'un Une évaluation des risques, et

plan d'audit :
Une évaluation des contrôles internes pertinents pour l'audit.

Les procédures d'audit conçues en réponse aux risques identifiés.

La nature, le calendrier et l'étendue des procédures d'audit prévues, et

Le moment où les procédures d'audit seront exécutées.

Les éléments probants potentiels à recueillir au cours de l'audit

L'évaluation des risques et du contrôle interne nécessite une connaissance de l'entité ou du sujet
considéré, de ses systèmes de contrôle interne, ainsi que l'identification des risques inhérents, des
risques de contrôle et des risques liés à la fraude. L'auditeur applique ensuite le seuil de signification
fixé aux risques identifiés et conçoit les procédures d'audit pour les risques identifiés. Lors de la
réalisation, l'auditeur met en œuvre les procédures d'audit conformément au plan d'audit, recueille

56
des éléments probants suffisants et appropriés pour atteindre les objectifs de l'audit et tirer une
conclusion sur le sujet considéré.

5.2.1 Connaissance de l'entité ou le sujet

L'ISSAI 4000.131 stipule que l'auditeur doit avoir une connaissance de l'entité auditée et de son
environnement, y compris de son contrôle interne afin de pouvoir planifier et exécuter l'audit de
manière efficace.
L'objectif de la compréhension de l'entité auditée/du sujet est d'identifier les risques de non-
conformité dans l'entité qui détermineront l'approche d'audit.
S'il s'agit d'un audit de conformité thématique (par exemple, marchés publics, genre), qui couvre plus
d'une entité, les auditeurs acquièrent une compréhension de toutes les entités dont les activités
entrent dans le champ de l'audit. Certaines ISC réalisent un audit de conformité portant sur l'utilisation
d'un fonds utilisé par plus d'une entité. Lors de tels audits, l'auditeur peut être amené à prendre en
compte les stratégies, les opérations et la gouvernance de toutes les entités concernées qui utilisent
le fonds
L'auditeur doit comprendre et évaluer si les activités et les
Comprendre l'entité ou le sujet
opérations sont orientées vers la réalisation des buts et des
objectifs de l'entité auditée, ce qui à son tour doit répondre à • Activités pertinentes
toutes les exigences de conformité de l'entité. En outre, l'auditeur • Lois et règlements
• Nature des opérations de
évalue que les actes juridiques appliqués aux opérations de l'entité l'entité
et les autres autorités, telles que les politiques administratives, les • Dispositions en matière de
procédures internes et les instructions/ordonnances, ne gouvernance
contredisent pas les actes juridiques normatifs. • Objectifs et stratégies
• Mesure de performances
Pour acquérir une compréhension de l'entité et de son
environnement, l'auditeur peut prendre en considération les activités, lois et réglementations
pertinentes, d'autres facteurs externes, la nature des opérations de l'entité, les dispositifs de
gouvernance, les objectifs et stratégies ou les mesures de performance55. L'auditeur peut acquérir la
connaissance des éléments suivants :

Cadre juridique Base juridique de l'activité, et parties pertinentes du règlement financier, des
modalités d'exécution et des règlements.

Organisation et
gouvernance Du sujet/de l'activité/de l'entité auditée, y compris la structure opérationnelle,
les ressources, l'organigramme et les modalités de gestion.

Processus
opérationnels/opérations Les politiques, objectifs et stratégies clés, les lieux et les types/volumes/valeurs
des programmes/fonctions/projets.

Analyse des processus Cartes des principaux processus opérationnels, organigrammes, matrices de
opérationnels risques et de contrôle, textes narratifs des processus pour une vue d'ensemble
des fonctions/opérations de l'entité ou du sujet.

Risques
d'entreprise/opérationnels Risques liés aux objectifs et aux stratégies de l'entité qui peuvent entraîner des
non-conformités importantes.

Mesures de la Indicateurs de performance, analyse des écarts pour déterminer si les pressions
performance exercées pour atteindre les objectifs de performance peuvent entraîner des
actions de gestion qui augmentent le risque de non-conformité

55 ISSAI 4000.133

57
Une compréhension approfondie de l'entité auditée telle que décrite dans les lois, les politiques ou
les normes aide les auditeurs à reconnaître les cas de non-conformité et à obtenir des éléments
probants en mettant en œuvre les procédures d'audit. L'équipe d'audit peut documenter le processus
de compréhension de l'entité et de son environnement à l'aide du modèle de document de travail
proposé à la Pièce 5.2

5.2.2 Connaissance du système de contrôle interne

L'ISSAI 4000.134 stipule que: l'auditeur doit acquérir la connaissance du système de contrôle interne
de l'entité en rapport avec l'audit. L'auditeur identifie les contrôles internes qui sont en place pour
réduire le risque de non-conformité aux critères du sujet considéré. En utilisant son jugement
professionnel, l'auditeur décide si le contrôle est pertinent ou non pour l'audit.
Le contrôle interne est un processus nécessaire - une série d'actions qui imprègnent les activités d'une
entité - affecté par la direction et le personnel de l'entité. Il est composé des politiques, des structures,
des procédures, des processus et des tâches qui contribuent à garantir que les directives de gestion
sont mises en œuvre et à améliorer la capacité de l'entité auditée à répondre de manière appropriée
à tout risque de non-conformité. Le contrôle interne est conçu pour faire face aux risques et fournir
une assurance raisonnable que, dans la poursuite de sa mission de l'entité, l'entité vérifiée:
 remplit les obligations de reddition de comptes ;
 se conforme aux lois et règlements applicables ;
 protège les ressources contre les pertes, les abus et les dommages ; et
 exécute des opérations ordonnées, éthiques, économiques, efficientes et efficaces.
L'auditeur procède à une évaluation préliminaire du système de contrôle interne pour :
o comprendre dans quelle mesure les systèmes de contrôle interne s'améliorent d'année en
année.
o conclure sur l'efficacité du système de contrôle interne et identifier les risques de contrôle
o concevoir la nature, le calendrier et l'étendue des procédures d'audit.
L'auditeur peut acquérir une compréhension des cinq composantes interconnectées suivantes du
système de contrôle interne pertinentes pour l'audit56:
1. L'environnement de contrôle
2. Le processus d'évaluation des risques de l'entité
3. Les systèmes d'information et de communication
4. Les activités de contrôle
5. Le suivi des contrôles
En règle générale, les contrôles sont établis au sein de
l'entité pour atténuer les risques. En d'autres termes,
l' « évaluation des risques » de l'entité dans l'organisation
et son fonctionnement crée le besoin de contrôles. Après
avoir identifié les risques auxquels elle est confrontée,
l'entité doit concevoir des contrôles (les activités de
contrôle, par exemple l'approbation, les autorisations, les
vérifications, les examens, la séparation des tâches) pour
atténuer ces risques, et ces contrôles doivent être
partagés par le personnel dans toute l'organisation
(systèmes d'information et de communication). Les
responsables de la gestion de l'entité doivent respecter les règles Figure 5.2 : Cadre de contrôle interne
et ne pas passer outre les contrôles afin de garantir que
« l'environnement de contrôle » de l'entité est efficient et

56
ISSAI 4000.135

58
efficace. La direction de l'entité doit mettre en place un processus de « suivi » des contrôles pour
s'assurer que ceux-ci fonctionnent comme prévu.
L'équipe d'audit peut documenter sa compréhension du système de contrôle interne de l'entité à
l'aide du modèle de document de travail suggéré à la Pièce 5.3.
(Remarque: Pour une petite entité, et si, selon le jugement professionnel de l'auditeur, l'entité ne dispose pas
d'un système de contrôle interne mature couvrant les cinq éléments, l'application de la pièce 5.3 pour
documenter le système de contrôle interne peut ne pas être appropriée. Dans de tels cas, l'auditeur peut
documenter la compréhension du système de contrôle interne en suivant une approche différente comme
expliqué ci-dessous.)

Contrôle interne pour une petite entité ou un petit sujet

Les petites entités peuvent ne pas être en mesure d'appliquer les cinq éléments du référentiel pour le
système de contrôle interne. Elles ne disposent ni d'un système de contrôle, ni d'un système formel
d'évaluation des risques. Certaines entités sont si petites (ou leurs systèmes de contrôle sont si faibles)
qu'elles n'ont souvent aucun contrôle formel en place. Une entité gouvernementale importante et
bien organisée peut gérer l'ensemble du spectre du cadre de contrôle interne parce qu'elle dispose
des ressources financières et humaines nécessaires, d'un leadership et de la crainte très motivante
des autorités de vérifier constamment sa conformité. Ce sont des facteurs qui leur permettent
d'établir le cadre de contrôle dans son intégralité. Dans les petites entités, ou dans celles dont les
systèmes de contrôle sont plus faibles, plutôt que de couvrir l'ensemble des détails des cinq éléments,
les auditeurs peuvent poser les questions suivantes pour comprendre leur système de contrôle
interne.
Composantes Questions à poser
du contrôle
interne
Activités de  Comment l'entité s'assure-t-elle qu'elle se conforme aux règles et
contrôle règlements pertinents pour ses fonctions ? Quels sont les mécanismes dont
elle dispose à cet effet ?
 Comment l'entité s'assure-t-elle que ses mécanismes de contrôle existants
pour se conformer aux règles et règlements fonctionnent de manière
efficace et efficiente?
Evaluation des  Comment l'entité détermine-t-elle qu'une ou plusieurs activités de contrôle
risques spécifiques sont essentielles pour assurer la conformité?
Information et  Comment l'entité informe-t-elle son personnel responsable des opérations
communication qu'une certaine activité/un certain mécanisme de contrôle est nécessaire
pour assurer la conformité?
Suivi  Quel(s) est (sont) le(s) processus utilisé(s) par l'entité pour s'assurer que la
ou les activité(s) de contrôle est (sont) exécutée(s) correctement et de
manière cohérente pour garantir la conformité?
Environnement  Quelle est l'attitude de la direction de l'entité à l'égard des mécanismes de
de contrôle contrôle? (L'environnement de contrôle est un résumé des quatre autres
composantes.)
Illustration 5.2: Questionnaire sur le contrôle interne pour les petites entités ou les petits sujets
L'auditeur peut documenter le système de contrôle interne à l'aide de ce questionnaire, au lieu
d'utiliser la Pièce 5.3, pour les entités/sujets qui n'ont pas de système de contrôle interne établi.

59
5.2.3 Identification et évaluation des risques
L'évaluation des risques guide l'auditeur pour qu'il se concentre sur les questions essentielles du sujet
ou de l'entité à contrôler, compte tenu des contraintes de ressources et de temps. Les résultats des
activités d'identification des risques sont documentés à l'aide des modèles de « compréhension de
l'entité » et de « compréhension du système de contrôle interne de l'entité ». Il s'agit d'identifier les
risques inhérents et les risques de contrôle et de déterminer les risques de détection. Le modèle de
risque d'audit aide les auditeurs à déterminer l'étendue des travaux d'audit à réaliser pour obtenir le
niveau d'assurance souhaité pour leurs conclusions sur le sujet considéré.
Dans une mission d’attestation, le risque d'audit a trois composantes57:
a. le risque inhérent (RI) du sujet considéré ; le risque qu'une non-conformité importante se
produise indépendamment des contrôles internes existants
b. le risque de contrôle (RC) ; le risque que les contrôles internes pertinents associés à l'entité
soient inappropriés ou ne fonctionnent pas correctement pour prévenir un cas de non-
conformité importante
c. le risque de détection (RD) : le risque qu'un cas de non-respect significatif ne soit pas
détecté par l'auditeur, ce qui conduirait à une conclusion/opinion incorrecte.
Les activités d'évaluation du risque comprennent, entre autres, l'enquête (auprès de la direction, des
principaux responsables, de l'audit interne), l'inspection (des locaux de l'entité, des documents et
registres internes, du site web et des médias, des audits précédents), l'observation (des opérations de
l'entité en cours) et l'analyse (des informations financières et non financières à l'aide de procédures
analytiques).

a. Détermination du risque inhérent (RI) du sujet

Les auditeurs estiment le risque inhérent en fonction de leur compréhension des activités de l'entité
et de ses opérations. Le risque inhérent est décrit comme le « risque en l'absence de contrôles ». En
termes d'audit, le risque inhérent est le risque lié à la nature des activités, des opérations et des
structures de gestion - que des non-conformités se produisent si elles ne sont pas empêchées ou
détectées et corrigées par le contrôle interne. L'auditeur peut déterminer les risques inhérents en
considérant les éléments suivants:

 Les risques génériques de l'entité ou du sujet

 Les risques liés à l'« inversion des critères »
 Prévision de ce qui pourrait mal se passer.
 Les résultats d'audits précédents
 Le processus d'évaluation des risques de l'entité
Pour identifier les risques inhérents, l'équipe d'audit peut organiser une séance de remue-méninges
et examiner toutes les conditions et tous les événements de l'entité qui peuvent indiquer des risques
de non-conformité.

Risques génériques de l'entité ou du sujet: Il s'agit des risques qui surviennent chaque fois que l'entité
prend des mesures. Au cours du processus d'identification et d'évaluation des risques, l'auditeur
considère comme risques génériques les risques qui sont intégrés dans la fonction de l'entité ou du
sujet.

Risque d' « inversion des critères »: Il s'agit d'un risque provenant de la prémisse que l'entité pourrait
ne pas se conformer aux autorités, c'est-à-dire aux critères d'audit. Lorsque l'auditeur analyse les

57
ISSAI 4000.54

60
critères applicables à un sujet/une entité, l'inverse de ces critères peut l'amener à envisager les risques
potentiels de non-conformité.

Exemple: le risque d’inversion des critères

Un auditeur évalue si l'entité respecte une réglementation (critère d'audit) qui exige que tous les
bénéficiaires d'un programme d'aide publique, géré par l'entité, aient un revenu annuel inférieur au
seuil de pauvreté. Le critère est ici le niveau de pauvreté fixé par la réglementation. L'inverse de ce
critère (c'est-à-dire le risque inhérent) est que certains bénéficiaires du programme se situent au-
dessus du niveau de pauvreté fixé et ne sont donc pas éligibles au soutien du programme. Le risque
inhérent est que les personnes qui devraient bénéficier du programme n'en bénéficient pas. En outre,
les personnes qui se situent au-dessus du seuil de pauvreté fixé pourraient recevoir des ressources
destinées à aider les pauvres.

Prévoir « ce qui pourrait mal tourner ». L'auditeur fait preuve de scepticisme professionnel en
anticipant les risques de non-conformité dans l'objet de l'audit. Pour évaluer les risques inhérents,
l'auditeur doit analyser l'entité et prévoir ce qui pourrait mal se passer dans l'entité. Les auditeurs
prennent en considération les critères par rapport auxquels ils évaluent le sujet considéré et cherchent
à découvrir l'objectif de ces critères. Qu'est-ce que le législateur ou les autorités ont voulu obtenir
avec cette loi ou ce règlement ? L'auditeur peut alors envisager si l'événement que les régulateurs
essayaient d'empêcher aurait pu se produire.

Résultats d'audits précédents. Les rapports d'audit précédents peuvent également constituer une
bonne mesure de l'évaluation des risques dans le domaine au moment de la planification de l'audit.
L'auditeur doit assurer le suivi des recommandations pour confirmer si les non-conformités
précédentes ont été corrigées ou traitées par l'entité. L'auditeur peut examiner les documents de
travail antérieurs pour établir des liens avec le processus actuel d'évaluation des risques.

Processus d'évaluation des risques de l'entité. Le processus d'évaluation des risques de l'entité, s'il
existe, peut également être une source d'information sur les risques de non-conformité. Le plan
annuel de l'entité peut contenir les risques critiques identifiés pour des domaines particuliers de
l'entité concernée, et son rapport annuel d'activité donne un aperçu des risques critiques rencontrés
et de leur impact sur la réalisation des objectifs de l'entité. Toutefois, l'auditeur doit faire preuve de
scepticisme professionnel, car les risques identifiés par l’entité auditée peuvent ne pas concerner ceux
qui sont importants pour l'audit, et ces informations peuvent être biaisées. L'auditeur peut également
prendre en compte le rapport d'audit interne de l'entité, s'il existe, pour identifier les domaines
potentiels de préoccupation.

En notant tous les domaines potentiels identifiés, l'auditeur disposera d'une liste des risques inhérents
de non-conformité pour l'entité ou le sujet considéré.

b. Identification des risques de contrôle (RC)

Le risque de contrôle est le risque que les contrôles internes pertinents associés aux risques inhérents
soient inappropriés ou ne fonctionnent pas correctement ; et par conséquent, l'entité ne parviendra
pas à prévenir les non-conformités significatives ou à les détecter et les corriger en temps utile.
L'auditeur évalue les risques de contrôle sur la base de la compréhension et de l'évaluation du système
de contrôle interne de l'entité.
Les auditeurs posent des questions sur les contrôles structurés autour des cinq composantes (activités
de contrôle, évaluation des risques, information et communication, surveillance, environnement de

61
contrôle) du système de contrôle interne. L'auditeur cherche avant tout à savoir si, et comment, un
contrôle spécifique prévient ou détecte et corrige une non-conformité. Si un contrôle prévu n'existe
pas, l'auditeur s'enquiert des contrôles compensatoires qui pourraient être en place et qui auraient le
même effet que le contrôle initial.

Tests de cheminement. Pour déterminer le bon fonctionnement du contrôle, l'auditeur effectue des
« tests de cheminement » sur un petit nombre de transactions (si l'objet de l'audit est l'exécution/les
dépenses budgétaires), ou sur les opérations de l'entité auditée. Il convient de noter que l'acquisition
d'une compréhension des contrôles d'une entité ne doit pas être considérée comme un test de leur
efficacité opérationnelle ; ce type de test est effectué dans la phase de réalisation de l'audit.

Concentration sur les contrôles pertinents. L'auditeur ne prend en compte que les contrôles qui sont
pertinents pour l'objectif de l'audit. Il appartient à l'auditeur d'exercer son jugement professionnel
pour déterminer si un contrôle, individuellement ou en combinaison avec d'autres, est pertinent au
regard des risques inhérents au sujet considéré. En outre, l'auditeur détermine quels contrôles doivent
être considérés comme clés. L'auditeur sélectionne un nombre approprié de contrôles clés à tester
afin de s'assurer que tous les risques pertinents sont couverts. En choisissant les contrôles, l'auditeur
peut prendre en compte les éléments suivants:

- Importance du risque lié (importance - Exigences légales et réglementaires applicables

relative)
- Nature de l'activité de l'entité, y compris - Circonstances et composante applicable du
son organisation contrôle interne
- Diversité et complexité des opérations de - Nature et complexité des systèmes qui font
l'entité partie du contrôle interne de l'entité
- Taille de l'entité - Si, et comment, un contrôle spécifique prévient,
ou détecte et corrige les non-conformités

Il existe une relation directe entre les objectifs de l'entité, que celle-ci s'efforce d'atteindre, et les
composantes du contrôle interne, qui représentent ce qui est nécessaire pour atteindre les objectifs.
Toutes les composantes sont pertinentes pour chaque catégorie d'objectifs de l'entité. Lorsqu'on
examine une catégorie - l'efficacité et l'efficience des opérations, par exemple - les cinq composantes
du contrôle interne doivent être présentes et fonctionner efficacement pour conclure que le contrôle
interne des opérations de l'entité est efficace.

c. Le risque de détection (RD)

Le risque de détection est sous le contrôle de l'auditeur. Il s'agit du risque que l'auditeur ne soit pas
en mesure de détecter une non-conformité qui n'a pas été corrigée par les contrôles internes de
l'organisation. La norme ISSAI 4000.52 indique que l'auditeur doit mettre en œuvre des procédures
visant à réduire le risque de produire des conclusions incorrectes à un niveau faible acceptable. La
réduction du risque d'audit comprend58:
 L'anticipation des risques possibles ou connus du travail envisagé et de leurs conséquences,
 L'élaboration de procédures pour faire face à ces risques au cours de l'audit et documentation
de la nature et de la manière dont ces risques seront traités.

58
ISSAI 4000.53

62
L'auditeur peut réduire le risque de détection en contrôlant le sujet de manière planifiée et structurée,
et en identifiant le plus possible les risques inhérents et les risques de contrôle. Dans le modèle
d'assurance de l'audit, un niveau de confiance de 95 % est requis par le biais de procédures de
corroboration ou en combinaison avec des tests de contrôle. Le niveau d'assurance de 95 %
correspond à un risque d'audit de 5 %.
L'auditeur conçoit des procédures d'audit appropriées pour réduire les risques de détection à un
niveau suffisamment bas ; il est recommandé de maintenir le risque d'audit global à 5 %. Toutefois, le
risque de détection ne peut être que réduit, et non éliminé, en raison des limites inhérentes à un audit.
Par conséquent, un certain risque de détection existera toujours.
Afin de renforcer l'efficacité d'une procédure d'audit et de son application, et de réduire la possibilité
que l'auditeur choisisse une procédure d'audit inappropriée ou interprète mal les résultats de l'audit,
il est essentiel de s'assurer que:
 une évaluation adéquate des risques lors de la phase de planification ;
 l'affectation de personnel compétent à l'équipe de mission ;
 que l'auditeur fasse preuve de scepticisme professionnel ; et
 la supervision et la révision des travaux d'audit réalisés.
Le tableau suivant présente les composantes du risque d'audit et l'assurance qui peut être tirée du
test de contrôle et des procédures de corroboration.
Évaluation Évaluation du Assurance de Confiance de l'assurance inhérente Tests de
du risque système de l'évaluation et de contrôle corroboration à
inhérent contrôle combinée des effectuer
interne de risques
l'entité
Adéquat Assurance de Assurance inhérente et Minimal
Faible contrôle élevée assurance de contrôle
Non adéquate Aucune Assurance inhérente, mais pas Standard
assurance de d'assurance de contrôle
contrôle
Adéquat Assurance de Pas d'assurance inhérente, mais Standard
contrôle élevé une assurance de contrôle ; le
Elevé test de contrôle peut être
étendu pour réduire le test de
substance.
Non adéquat Pas Pas d'assurance inhérente, ni Maximal et ciblé
d’assurance de d'assurance de contrôle ;
contrôle l'assurance provient uniquement
du test de substance.

Les auditeurs utilisent ce tableau pour déterminer et développer l'approche d'audit. Il démontre que
l'étendue du travail d'audit est basée sur les risques perçus et l'efficacité des contrôles pour atténuer
les risques. Dans le cas d'un audit où le risque inhérent est élevé et où le contrôle interne n'est pas
adéquat, l'auditeur élabore le plan en tenant compte de l'absence d'assurance inhérente et de
contrôle. L'auditeur réalisera, en appliquant son jugement professionnel, un audit ciblé avec un
maximum de procédures de corroboration, comme expliqué au chapitre 6.

63
d. Identification du risque de fraude
L’ISSAI 4000.58 stipule que l'auditeur doit prendre en considération le risque de fraude tout au long
du processus d'audit et documenter le résultat de cette évaluation. Bien que la détection d'actes
illégaux potentiels, y compris de fraudes, ne soit généralement pas l'objectif principal de l'audit de
conformité, les auditeurs incluent les facteurs de risque de fraude dans leur évaluation des risques et
restent attentifs aux indications d'actes illégaux, y compris de
fraudes, dans le cadre de leurs travaux.

Les auditeurs qui recherchent des risques de fraude importants

doivent faire preuve de scepticisme professionnel, discuter des
problèmes avec la direction, appliquer les tests d'audit de manière
imprévisible et assurer le suivi des contrôles effectués par la direction.
Les auditeurs analysent également les éléments généralement
présents dans une fraude. Ces éléments sont présentés dans ce qui
est communément appelé le triangle de la fraude:
• Incitation ou pression pour commettre la fraude
• L'opportunité de commettre la fraude
• Une attitude ou une rationalisation pour justifier la fraude Figure 5.3: Le triangle de la fraude

L'occasion de commettre la fraude se présente généralement en raison de contrôles internes

inadéquats, inefficaces ou absents. Les auditeurs doivent utiliser leur jugement professionnel pour
évaluer le risque de non-conformité dû à la fraude en fonction de quatre caractéristiques de risque:
• le type de risque concerné ;
• l'importance du risque (importance relative)
• la probabilité que le risque entraîne une non-conformité importante ; et
• l'omniprésence du risque.
Les auditeurs doivent être attentifs à l'éventualité d'une fraude et fixer des priorités fondées sur le
risque pour leurs tests afin de détecter les différents types de non-conformité délibérée possibles et
de rendre compte des rapports financiers frauduleux, des détournements d'actifs et de la corruption.
Les ISC disposant de ressources suffisantes peuvent mettre en place une équipe d'évaluation des
risques qui peut fournir des informations sur les risques de fraude à l'équipe d'audit.
Si des soupçons d'actes illégaux apparaissent au cours de l'audit, l'auditeur peut les communiquer aux
niveaux appropriés de la direction et aux responsables de la gouvernance. Les personnes constituant
le gouvernement d'entreprise sont probablement des organes administratifs situés plus haut dans la
hiérarchie. Lorsque cela est approprié et raisonnable, l'auditeur peut assurer un suivi et vérifier que la
direction ou les personnes constituant le gouvernement d'entreprise ont pris les mesures appropriées
en réponse à la suspicion, par exemple en signalant l'incident aux autorités compétentes chargées de
l'application de la loi. L'auditeur peut également signaler de tels incidents directement aux autorités
compétentes chargées de l'application de la loi59.
Remarque: En raison des différents mandats et structures organisationnelles qui existent au niveau
international, il appartient à l'ISC de déterminer les mesures appropriées à prendre concernant les cas
de non-conformité liés à des fraudes ou à des irrégularités graves.60 Les auditeurs prennent des
mesures pour s'assurer qu'ils répondent de manière appropriée en fonction du mandat de l'ISC et des
circonstances particulières.
L'équipe d'audit peut documenter les risques de fraude à l'aide du modèle de document de travail
propose à la Pièce 5.4.

59
ISSAI 4000.231
60
ISSAI 400

64
L’ISSAI 4000.55 stipule que, dans le cadre d'une mission de rapport direct, l'auditeur peut appliquer le
modèle de risque d'audit pour formuler une conclusion sur le sujet considéré. L'auditeur peut suivre
un processus abrégé, en identifiant et en évaluant les risques inhérents et les risques de contrôle de
l'entité, il peut définir la nature et l'étendue des procédures de collecte d'éléments probants
nécessaires pour tester le respect des critères. Plus le niveau de risque est élevé, plus l'étendue des
travaux d'audit requis pour réduire suffisamment le risque de détection afin d'atteindre le niveau
acceptable de risque d'audit61.
Le processus d'identification et d'évaluation des risques pour la planification d'une mission
d'information directe peut comporter les quatre étapes suivantes 62.

Figure 5.4: Processus d'évaluation des risques pour une mission de rapport direct
Ce processus permet à l'auditeur de commencer avec les connaissances acquises sur le sujet et de se
concentrer finalement sur les risques critiques qui conduisent aux questions d'audit pertinentes.
L'auditeur peut appliquer le processus d'identification des risques inhérents et des risques liés au
contrôle à l'étape 1, en suivant les étapes de la connaissance de l'entité et du contrôle interne, comme
expliqué ci-dessus.

e. Évaluation des risques

L'auditeur évalue tous les risques identifiés lors des étapes précédentes. Dans le cadre de l'évaluation
des risques, l'auditeur détermine, parmi les risques inhérents identifiés, ceux qui, selon son jugement,
requièrent une attention particulière de la part de l'audit (risques significatifs), qui découlent des
risques commerciaux/opérationnels pouvant entraîner un non-respect des règles. L'auditeur doit
évaluer la conception des contrôles connexes et déterminer, par des tests, si ces contrôles ont été mis
en œuvre de manière efficace et continue tout au long de la période considérée.

Par exemple, si l'objet de l'audit porte sur les dépenses de l'entité, l'auditeur doit déterminer si le
risque de non-conformité:
• implique des transactions importantes;

61
ISSAI 4000.56
62 [Link]

65
 • implique des transactions significatives non routinières qui sortent du cours normal des
opérations de l'entité, ou qui semblent inhabituelles ;
• constitue un risque de fraude ; et
• est lié à des développements récents et requiert donc une attention particulière.
L'auditeur prend en compte la complexité des opérations et le degré de subjectivité dans l'évaluation
des informations financières liées aux risques.
L'évaluation des risques, basée sur la détermination des risques significatifs, relève du jugement
professionnel de l'auditeur. Pour déterminer si le risque doit faire l'objet d'un audit, l'auditeur
examine la nature du risque, l'impact probable de la non-conformité potentielle et la probabilité que
le risque se concrétise.

La détermination de la probabilité que les risques se concrétisent est une difficulté fondamentale du
processus d'évaluation des risques. L'auditeur travaillera sur la base d'hypothèses, et ces hypothèses
doivent être raisonnables et documentées.

L'auditeur doit ensuite déterminer l'impact probable, ou les conséquences des risques, sur
l'organisation et la réalisation des objectifs pertinents, si le risque se matérialise.

Exemple: L'auditeur peut déterminer un niveau - élevé, moyen ou faible - d'occurrence

(probabilité) et de gravité (impact) pour chaque risque en utilisant la matrice des risques ci-
dessous. L'évaluation globale des risques est le résultat de la combinaison de ces deux éléments63.
Impact
Probabilité Faible Moyenne Elevée
Faible
Moyenne
Elevée

Évaluation globale du Faible Moyenne Elevée

risque: Le risque peut être Jugement basé sur la Le risque doit être suivi
ignoré caractéristique du risque par l'audit
Une illustration de l'évaluation des risques dans la planification est fournie ci-dessous.

Exemple: Évaluation des risques liés au fonctionnement d'un conseil municipal:

Contexte: L'objet de l'audit est « les opérations d'un conseil municipal » responsable de la
gouvernance de la ville. Le conseil a diverses opérations, par exemple, la gestion des terrains,
la gestion des bâtiments, l'octroi de licences, la perception des revenus, la perception des
impôts. L'exécution du budget et les dépenses font également partie de ses activités.
L'auditeur a centré son audit sur les activités et les services du conseil municipal, en
particulier sur la gestion des terrains et des bâtiments, et sur la manière dont l'entité
respecte les critères applicables à l'accomplissement de ces deux fonctions.

63
[Link]

66
 L'auditeur identifie les risques - en utilisant le processus décrit dans la section 5.2.3 - en
Evaluation évaluant les risques inhérents et les risques de contrôle. Les risques sont identifiés en
des risques: analysant le flux de processus de chaque fonction - gestion des bâtiments, gestion des
terrains tout en comprenant l'entité et son environnement de contrôle. L'équipe d'audit a
évalué les risques et documente les risques significatifs dans le registre des risques. Seuls les
risques identifiés ont été inscrits au registre des risques, et les procédures d'audit ont été
conçues en conséquence. Au cours de l'audit, l'équipe a identifié des risques
supplémentaires pour la gestion des terrains et des bâtiments. L'équipe a documenté les
nouveaux risques et a modifié le plan d'audit en conséquence.
Si l'objet de l'audit est l'exécution des dépenses/budget du conseil, l'auditeur peut effectuer
l'évaluation des risques en prenant en compte toutes les opérations liées aux dépenses.

f. Déterminer l'importance relative

La norme ISSAI 4000.125 stipule que l'auditeur doit déterminer le caractère significatif pour servir de
base à la conception de l'audit et le réévaluer tout au long du processus d'audit. Après avoir
sélectionné les domaines d'audit importants, l'auditeur détermine le caractère significatif64. L'auditeur
sélectionne ensuite le sujet et les critères, en tenant compte du risque et de l'importance relative65.

Évaluation de • Aide l'auditeur à identifier les questions d'audit qui sont importantes
l'importance relative pour le ou les utilisateurs prévus.
dans la phase de • Aide à évaluer les risques importants et à déterminer la nature, le
planification calendrier et l'étendue des procédures d'audit. ISSAI 4000.70

•l'auditeur utilise le caractère significatif pour décider de l'étendue des

procédures d'audit à mettre en œuvre et pour évaluer les éléments
Évaluation de probants.
l`importance relative
dans la phase • Lors de l'évaluation des éléments probants et de la conclusion de
d`exécution l'audit, l'auditeur utilise le caractère significatif pour évaluer l'étendue
des travaux et le niveau de non-conformité afin de déterminer l'impact
sur la conclusion/opinion

•Dans le cas d'une mission d'assurance raisonnable avec rapport direct, la

Évaluer l'importance
conclusion de l'audit exprime l'opinion de l'auditeur selon laquelle le
relative dans les
sujet est ou n'est pas conforme, dans tous ses aspects significatifs, aux
rapports
critères applicables. ISSAI 4000.38

Lors de la planification de l'audit, l'auditeur choisit le caractère significatif en fonction des besoins de
l'utilisateur ou des utilisateurs prévus66. La détermination du caractère significatif est une question de
jugement professionnel et dépend de l'interprétation par l'auditeur des besoins des utilisateurs.
L'utilisateur prévu peut juger qu'un élément est significatif si les informations le concernant sont
susceptibles d'influencer son processus décisionnel.
L’ISSAI 4000.127 stipule que l'importance relative peut porter sur des facteurs quantitatifs tels que le
nombre de personnes ou d'entités concernées par le sujet particulier ou les montants monétaires en
jeu, ainsi que sur le mauvais usage des fonds publics, quel qu'en soit le montant.

Importance relative quantitative:

L’ISSAI 4000.129 stipule que - L'importance relative quantitative est déterminée en appliquant un
pourcentage à un point de référence choisi comme point de départ. Cela implique l'exercice du
jugement professionnel et reflète, selon le jugement de l'auditeur, les mesures que le ou les
utilisateurs de l'information sont le plus susceptibles de considérer comme importantes.

64
ISSAI 4000.128
65
ISSAI 4000.37
66 ISSAI 4000.103

67
L’ISSAI 4000.186 indique que - l'importance relative en valeur peut impliquer, en fonction du sujet
traité, les montants (montants monétaires) ou d'autres mesures quantitatives telles que le nombre
de citoyens ou d'entités concernés, les niveaux d'émission de carbone, les retards concernant les
délais.
L'auditeur peut appliquer le pourcentage seuil entre 0,5 % et 5 % pour l'importance relative
quantitative. Ce choix est une question de jugement, fondé sur l'évaluation par l'auditeur du contrôle
interne, l'évaluation des risques, la sensibilité du sujet traité et les besoins des utilisateurs prévus.
L'auditeur peut appliquer un pourcentage seuil différent en fonction des besoins des utilisateurs. En
plus du pourcentage seuil, un plafond peut également être fixé en termes de montant absolu.
L'importance relative quantitative est principalement utilisée dans les missions d'attestation. Lors de
la réalisation de telles missions, l'auditeur peut vouloir sélectionner des niveaux de signification
distincts pour les catégories de transactions ou de soldes qui sont plus importants pour le ou les
utilisateurs des comptes ou qui présentent un risque de non-conformité plus élevé par nature ou par
contexte. Pour une mission d'information directe, lorsque l'objet de la mission est la dépense d'une
entité, l'auditeur peut appliquer l'importance relative quantitative.

Exemple: Calcul de l‘importance relative quantitative globale

La détermination de l'importance relative quantitative exige que l'auditeur identifie la base de
l'importance relative et le pourcentage à appliquer sur le montant brut. Le pourcentage est
déterminé en fonction de l'état des risques et des contrôles, de la sensibilité du sujet traité et des
besoins des utilisateurs. Dans cet exemple, l'auditeur utilise 1,5%, considérant que le sujet est
relativement sensible.
Sensibilité du sujet
0.5% --------> 5%
Base de l’importance relative Seuil d’ importance relative – 1.5%
Montant brut des dépenses 345 000 000
Niveau d’importance relative 345 000 000 x 1.5% = 5 175 000

Le niveau d'importance relative quantitative est de 5 175 000. Cela signifie que si la valeur de la
non-conformité dépasse cette limite, elle peut être considérée comme importante et affecter la
conclusion de l'audit. Les auditeurs doivent tenir compte du caractère généralisé de la non-
conformité.

Illustration 5.3: Détermination de l’importance relative quantitative

Le niveau d'importance relative influencera la quantité de travail d'audit que l'auditeur entreprendra.
Les fourchettes de pourcentage à utiliser sont fixées par l'équipe d'audit en fonction de la base
d'importance relative adoptée. Le choix du pourcentage doit se fonder sur le profil de risque/les
caractéristiques de l'objet de l'audit, c'est-à-dire sur le niveau d'intérêt du public et du Parlement à
son égard, en particulier si le rapport d'audit doit être utilisé comme un moyen de demander des
comptes à la partie responsable.
Étant donné que les profils de risque, la sensibilité des transactions et l'efficacité des contrôles
internes peuvent être différents selon le domaine concerné, le seuil d'importance relative peut
également être fixé différemment. L'auditeur peut envisager de fixer des seuils de d'importance
relative séparément de l'importance relative globale. Cela peut se faire soit en appliquant le
pourcentage du seuil global utilisé pour déterminer le niveau de d'importance relative global sur la
valeur de la population de ce domaine particulier du sujet considéré, soit si les profils de risque, la
sensibilité et l'efficacité du contrôle interne varient de manière significative, l'auditeur peut appliquer
un pourcentage de seuil approprié pour refléter cette différence.

68
Lors d'un audit de conformité, il peut arriver que l'importance relative quantitative ne s'applique pas
à un sujet particulier faisant l'objet de l'audit. Les aspects qualitatifs de l'importance relative
deviennent alors plus pertinents.

Importance relative qualitative:

L’ISSAI 4000.130 stipule que - dans certains cas, les facteurs qualitatifs sont plus importants que les
facteurs quantitatifs. Les attentes et l'intérêt du public sont des exemples de facteurs qualitatifs qui
peuvent avoir une incidence sur la détermination de l’importance relative par l'auditeur.
L'importance relative des facteurs qualitatifs lors de la détermination de l’importance relative dans un
audit particulier relève du jugement professionnel de l'auditeur. Les facteurs qualitatifs peuvent
inclure:
 La relation entre les différentes parties du sujet si la non-conformité dans un domaine du sujet
affecte les autres.
 La nature de la non-conformité observée à un contrôle lorsque l'information sur le sujet est
une déclaration selon laquelle le contrôle est efficace.
 Si la non-conformité est le résultat d'un acte intentionnel ou non intentionnel.
 Lorsque le sujet est un programme gouvernemental ou une entité, si un aspect particulier du
programme ou de l'entité est significatif au regard de la nature, de la visibilité et de la
sensibilité du programme ou de l'entité.
 Lorsque l'information sur le sujet concerne une conclusion sur la conformité à la loi ou à la
réglementation, la gravité des conséquences de la non-conformité.
Le scénario ci-dessous illustre les aspects de la matérialité qualitative:
Prise en compte de l'importance relative qualitative

Les dispositions d'un code du bâtiment exigent que l'inspecteur du bâtiment effectue plusieurs
inspections annuelles. L'organisme public n'a pas effectué d'inspections au cours des cinq dernières
années. Cette non-conformité peut être significative en raison d'aspects qualitatifs tels que les
implications en matière de sécurité. Bien qu'aucun montant monétaire ne soit en jeu, la non-
conformité peut être considérée comme importante en raison des conséquences potentielles qu'elle
peut avoir sur la sécurité des occupants du bâtiment. En outre, en cas de catastrophe, il existe
également un risque que la non-conformité donne lieu à d'importantes actions en responsabilité, ce
qui pourrait avoir des conséquences financières importantes pour l'agence gouvernementale.

Comme indiqué dans l’ISSAI 4000.127, la nature ou les caractéristiques inhérentes d'un élément ou
d'un groupe d'éléments peuvent également rendre une question importante (importance relative
qualitative). L'importance relative qualitative est déterminée par la nature et le contexte de l'élément
en question.
Important par nature. L'important par nature est lié à des caractéristiques inhérentes et concerne des
questions pour lesquelles il peut y avoir des exigences de divulgation spécifiques ou un intérêt
politique ou public élevé. Il comprend tout soupçon de mauvaise gestion, de fraude, d'illégalité ou
d'irrégularité grave ou de déclaration intentionnelle erronée ou fausse des résultats ou des
informations. L'importance relative peut, par nature, résulter d'une non-conformité:
 de hauts fonctionnaires qui éveillent des soupçons concernant des conflits d'intérêts ;
 qui peuvent suggérer une activité frauduleuse ou la corruption ;
 dans un domaine où il existe un haut degré d'intérêt public ; et
 lorsque la législation ou les règlements indiquent clairement qu'il s'agit d'une infraction grave,
quelle qu'en soit la valeur monétaire.

69
Important par le contexte. L’important par le contexte concerne les éléments qui sont significatifs par
leur circonstance, de sorte qu'ils modifient l'impression donnée aux utilisateurs. Il s'agit de cas où une
erreur ou une non-conformité mineure peut avoir un effet significatif, par exemple une classification
erronée des dépenses en tant que recettes, de sorte qu'un déficit réel est déclaré comme un excédent.
Par exemple, lorsque la valeur totale de la non-conformité est inférieure au seuil d'importance
relative, mais que l'auditeur sait que la partie prenante, telle que le Parlement, a exprimé un intérêt
particulier pour les irrégularités apparentes du sujet traité. L'auditeur considère donc que le problème
est important, même si sa valeur n'est pas significative.
Fixation d'un seuil qualitatif: Parfois, il n'est pas possible d'établir un seuil d'importance relative
quantitative, car la non-conformité ne peut pas toujours être quantifiée par des montants ou des
valeurs monétaires. Il pourrait être plus approprié pour l'équipe d'audit de fixer un taux de non-
conformité tolérable comme seuil, sur le sujet considéré dans son ensemble, et à différents domaines
du sujet considéré, le cas échéant. Toutefois, l'auditeur doit également définir ce qui constitue un cas
de non-conformité significatif. En effet, la hiérarchie et l'importance des non-conformités diffèrent
selon les niveaux d'autorisation, tels que les législations, les réglementations ou les directives
parlementaires..
Si le sujet est sensible et suscite un grand intérêt de la part du Parlement, du public et des médias, un
taux de non-conformité tolérable plus faible impliquera davantage de tests d'audit et une plus grande
assurance sur les domaines évalués.
L’ISSAI 4000.92 stipule que - au stade de la planification de l'audit, la documentation conservée par
l'auditeur doit contenir l'évaluation de l'importance relative du sujet. L'auditeur peut documenter
l'évaluation de l'importance relative au stade de la planification à l'aide du modèle de document de
travail fourni à la Pièce 5.5.

g. Résultat de l'évaluation des risques : registre des risques

Une fois que l'auditeur a identifié et évalué tous les risques, et qu'il a déterminé les risques importants,
les risques sont ensuite répertoriés dans un registre des risques et pris en compte pour les tests
d'audit. Cette liste vise à documenter tous les risques potentiels de non-conformité selon un processus
systématique, étape par étape. L'équipe d'audit peut envisager d'autres formes appropriées de
documentation des risques. À partir du registre des risques, l'équipe d'audit peut approfondir les
risques à l'aide d'un outil suggestif - la matrice de conception de l'audit - avec les procédures d'audit
appropriées à mettre en œuvre et les preuves à collecter. L'équipe d'audit peut documenter les
risques identifiés pour l'audit à l'aide du modèle de document de travail suggéré fourni à la Pièce 5.6.

5.2.4 Concevoir des procédures d'audit pour répondre aux risques évalués
L’ISSAI 4000.149 stipule que - l'auditeur doit planifier des réponses appropriées aux risques évalués
(identifiés et documentés dans le registre des risques). Les réponses aux risques évalués comprennent
la conception de procédures d'audit qui répondent aux risques.
La nature, le calendrier et l'étendue des procédures d'audit à mettre en œuvre peuvent varier d'un
audit à l'autre. Néanmoins, les procédures d'audit de conformité impliquent, en général,
l'établissement des critères pertinents, c'est-à-dire des autorisations qui régissent l'entité, puis
l'évaluation du sujet concerné par rapport à ces autorisations.
L'auditeur peut utiliser une matrice de conception d'audit pour documenter les réponses aux risques
évalués. La matrice fournit une structure pour les éléments essentiels de la conception et rend la
planification systématique et dirigée. L'objectif est de faciliter la communication des décisions
relatives à la méthodologie et de faciliter le travail sur le terrain. Elle décrit les exigences et les

70
procédures nécessaires à la mise en œuvre de l'objectif d'audit et à la réalisation d'évaluations par
rapport aux critères d'audit pour chaque risque identifié dans le registre des risques.
La matrice est flexible, et l'équipe doit mettre à jour ou modifier son contenu au fur et à mesure de
l'avancement des travaux d'audit. Elle établit une relation entre les objectifs de l'audit, les procédures
d'audit et le travail sur le terrain. Elle facilite également la supervision et la révision de l'audit pour le
contrôle de la qualité.
1 2 3 4 5
No. Risques identifiés Critères Eléments Source des Procédures
(extrait du registre probants/ éléments d'audit à
des risques, Pièce 5.6) informations probants/ mettre en
informations œuvre
requises
1. Risque 1
2. Risque 2
3. ...

Illustration 5.4: Matrice de planification de l'audit

Les procédures d'audit comprennent des procédures de corroboration et des tests de contrôle. Les
contrôles de substance comprennent à la fois des tests de détail et des procédures analytiques. Si
l'auditeur a l'intention de s'appuyer sur l'efficacité du fonctionnement du contrôle, il doit obtenir des
preuves de cette efficacité lorsqu'il détermine la nature, le calendrier et l'étendue des procédures de
corroboration. La conception et la mise en œuvre des contrôles clés relatifs au sujet considéré peuvent
être évaluées comme adéquates.
L'équipe d'audit peut documenter les procédures d'audit à mettre en œuvre dans la matrice à l'aide
du modèle de document de travail suggestif fourni à la Pièce 5.7. Sur la base des procédures d'audit
conçues pour les risques identifiés et des éléments probants potentiels à recueillir au cours de l'audit,
les auditeurs réalisent l'audit, qui est expliqué au chapitre 6.

5.3 Documentation et garantie de la qualité de la stratégie d'audit et du plan d'audit

La documentation de la stratégie et du plan d'audit est la dernière étape du processus de planification.

À ce stade, l'équipe d'audit a examiné tous les aspects critiques de l'audit ; les membres de l'équipe
se sont mis d'accord sur ce qu'ils feront au cours de l'audit (documenté dans la stratégie d'audit) et
sur la manière dont ils le feront (documenté dans le plan d'audit).
La planification implique également des considérations liées à la direction, à la supervision et à la
révision de l'équipe d'audit et de son travail. L'auditeur peut préparer la stratégie et le plan d'audit en
un seul document pour approbation par la direction de l'ISC avant de commencer le travail sur le
terrain. Au cours de ce processus, l'auditeur doit examiner le plan et la stratégie d'audit, traiter les
questions importantes soulevées lors de l'examen, de la révision, de la finalisation et de la signature
de la stratégie et du plan par la direction.

71
Toutes les pièces fournies dans ce chapitre serviront de base à l'élaboration du document du plan
d'audit. Les liens entre les pièces à conviction et leurs résultats peuvent être présentés comme suit:

Illustration 5.5: Documentation du plan d’audit

Les Pièces 5.2 à 5.5 identifient les risques pertinents pour l'audit. Les procédures d'audit et les preuves
d'audit à recueillir sont documentées à la Pièce 5.7, ainsi que la matrice. L'auditeur met à jour la
stratégie et le plan d'audit si nécessaire tout au long du processus d'audit.
Le plan d'audit doit être examiné, modifié si nécessaire, et approuvé par le fonctionnaire compétent
qui a l'autorité de supervision de l'équipe d'audit. Si la structure de l'ISC ne dispose pas d'un tel niveau
de supervision, le plan doit être examiné par un autre auditeur de l'ISC ayant une ancienneté et une
autorité suffisantes, qui a réalisé avec succès des audits de type et de complexité similaires et qui est
indépendant de l'équipe d'audit. Toutes ces révisions, ainsi que les approbations éventuelles, doivent
être documentées. Les personnes chargées de l'examen du plan d'audit peuvent prendre en compte
la liste de contrôle de la qualité proposée à l’Annexe 5-A.

72
Exécution de procédures d'audit, collecte et évaluation de éléments
probants

Chapitre 6

Exécution de procédures d'audit, collecte et évaluation

de éléments probants

73
6.1 Éléments probants
6.2 Preuves d'audit suffisantes et appropriées
6.3 Techniques de collecte des éléments probants
6.4 Détermination de la taille de l'échantillon
6.5 Évaluer les éléments probants et tirer des conclusions
6.6 Assurer la qualité des travaux d'audit sur le terrain

Dans la phase de travail sur le terrain, les auditeurs mettent en œuvre les procédures d'audit sur les
risques identifiés dans le plan d'audit. Au cours de cette phase, les auditeurs sélectionnent des
échantillons, si nécessaire, dans le domaine concerné, recueillent des éléments probants et les
évaluent. Ce chapitre commence par présenter les types et les caractéristiques d'éléments probants
suffisants et appropriés. Il décrit ensuite la méthode d'échantillonnage appropriée à utiliser pour un
type de mission particulier. Il explique les différentes techniques de collecte d'éléments probants et
la manière dont l'auditeur peut évaluer les éléments probants recueillis pour former la conclusion
d'une mission de rapport direct.

6.1 Eléments probants

Les éléments probants sont les informations utilisées par l'auditeur pour parvenir aux conclusions sur
lesquelles il fonde sa conclusion ou son opinion. Les auditeurs conçoivent et mettent en œuvre les
procédures d'audit nécessaires pour recueillir des éléments probants suffisants et appropriés afin de
formuler une conclusion ou une opinion sur la conformité d'un sujet aux critères établis, dans tous
leurs aspects significatifs.
Pour couvrir l'étendue de l'audit, l'auditeur doit décider quand les éléments probants sont suffisants
et appropriés pour fournir la base d'une conclusion ou d'une opinion. Dans la phase de planification,
les auditeurs examinent :
a. les contrôles internes mis en place par l'entité auditée pour prévenir, détecter et rectifier les
cas de non-conformité, et
b. s'il existe une unité organisationnelle au sein de l'entité auditée pour la gestion des contrôles
et des autres risques.
Sur la base de cette revue, les auditeurs identifient les risques de contrôle et les autres risques et les
prennent en considération lorsqu'ils commencent à recueillir des éléments probants. Les différents
types d'éléments probants sont les suivants.
Preuves testimoniales : Ces preuves correspondent à ce que le personnel de l'entité auditée dit à
l'auditeur. Bien qu'il s'agisse de la forme la plus faible d'éléments probants, certains témoignages sont
plus forts que d'autres. Par exemple, le personnel qui exécute la tâche peut mieux expliquer comment
la tâche est exécutée que le superviseur du personnel qui sait comment la tâche doit être exécutée.
Les témoignages de deux personnes ou plus sont plus forts que ceux d'une seule personne.
Preuves documentaires : Ce type de preuve est contenu dans les documents. Il s'agit du deuxième
type de preuve le plus solide ; toutefois, il est important de tenir compte de la source du document.
Documents produits par l'entité Les systèmes d'information sont une forme courante de preuve
utilisée par les auditeurs. Les documents provenant de sources externes à l'organisation sont plus
solides que les documents internes ; cependant, ils ne sont pas aussi solides que les documents
envoyés directement aux auditeurs. Par exemple, un employé de l'entité peut produire une facture
provenant d'un fournisseur qui n'existe pas sur le marché.
Preuves physiques : Ce type de preuve est ce que les auditeurs voient ou observent pendant l'audit.
Le plus courant est, par exemple, le décompte des stocks ou l'observation des zones où les produits
chimiques toxiques sont rejetés par une entité. Il s'agit de la forme de preuve la plus solide. L'auditeur
doit tenir compte de ce que les preuves prouvent et de ce qu'elles ne prouvent pas.

74
Éléments probants analytiques : L'auditeur obtient ce type d'éléments probants en comparant, en
calculant ou en analysant autrement les données. Les auditeurs peuvent examiner les comparaisons
entre le budget et les dépenses réelles. Les preuves analytiques prouvent qu'il existe certaines
relations entre les données analysées. L'auditeur poursuit généralement ses investigations pour
identifier les causes de ces relations.
Preuves circonstancielles : Il ne s'agit pas de preuves directes mais liées aux circonstances. Dans ce
cas, l'auditeur présente des preuves d'autres faits qui, sur la base d'une inférence raisonnable, le
conduiraient à croire que le fait visé est prouvé. En d'autres termes, les preuves circonstancielles
désignent toutes les preuves autres que les preuves directes de non-conformité. Ils sont généralement
utilisés pour déterminer les cas de non-conformité dus à une fraude. Par exemple, dans un scénario
de fraude ou de corruption potentielle, il s'agit de preuves du comportement standard, du
manquement de l'employé et des paiements irréguliers.

6.2 Eléments probants suffisants et appropriés

Le caractère suffisant et le caractère approprié sont interdépendants. L'auditeur exerce son jugement
professionnel et son scepticisme en considérant la quantité (caractère suffisant) et la qualité
(caractère approprié) des éléments probants tout en déterminant la nature, le calendrier et l'étendue
des procédures d'audit à mettre en œuvre.
L'auditeur devra souvent combiner et comparer des éléments probants provenant de sources
différentes pour répondre aux exigences de suffisance et de caractère approprié des éléments
probants. La nature et les sources des éléments probants nécessaires sont déterminées par les
éléments suivants:

Etendue de Niveau Importance

Sujet Critères
l'audit d'assurance relative

Caractère suffisant des éléments probants : Quantité

Le caractère suffisant est une mesure de la quantité d'éléments probants nécessaires pour étayer les
constatations et les conclusions de l'audit. Il n'existe pas de formule permettant d'exprimer en termes
absolus la quantité d'éléments probants nécessaire pour être considéré comme suffisant. Pour évaluer
le caractère suffisant des éléments probants, l'auditeur doit déterminer si les éléments probants
recueillis sont suffisants pour persuader une personne bien informée que les constatations sont
raisonnables.67
La quantité d'éléments probants nécessaires est liée à la nature de la mission d'audit. Par exemple,
pour formuler une conclusion dans le cadre d'une mission d'assurance raisonnable, l'auditeur doit
recueillir davantage d'éléments probants que dans le cadre d'une mission d'assurance limitée.68 De
même, une mission d'audit plus étendue nécessite normalement plus d'éléments probants qu'une
mission d'audit plus restreinte.
La quantité d'éléments probants dépend du risque d'audit. Plus le risque est élevé, plus il est probable
que des éléments probants soient nécessaires. Pour ce qui est de la qualité des éléments probants,
plus elle est élevée, moins ils sont nécessaires.69 Toutefois, le fait d'obtenir davantage d'éléments
probants ne compense pas une qualité médiocre.70

67
ISSAI 4000.147
68
ISSAI 4000.146
69
ISSAI 4000.151
70 ISSAI 4000.152

75
Ce qui constitue des éléments probants suffisants et appropriés relève du jugement professionnel de
l'auditeur, et est influencé par les éléments suivants:

Le jugement des L'importance d'une non-conformité potentielle, et

auditeurs sur les
éléments probants la probabilité que la non-conformité ait un effet important sur le sujet traité
est basé sur:
L'efficacité des réponses apportées par l'entité pour faire face au risque de non-
conformité.
L'expérience d'audits précédents avec des non-conformités similaires.

Les résultats des procédures d'audit effectuées.

La source et la fiabilité des informations disponibles.

Le caractère convaincant des éléments probants.

La connaissance de la partie responsable et de son environnement.

Pertinence des éléments probants de l'audit : Qualité

Le caractère Pertinence

approprié est une • La mesure dans laquelle les éléments probants ont une relation logique avec
la question traitée et sont importants pour celle-ci.
mesure de la qualité
• Les éléments probants aident à répondre à l'objectif de l'audit.
des éléments • Les éléments probants s'appliquent à la période examinée
probants. Elle
comprend la Validité
pertinence, la validité • La mesure dans laquelle les éléments probants sont significatifs ou
et la fiabilité.71 constituent une base raisonnable pour mesurer ce qui est évalué.
• Les éléments probants représentent ce qu'ils sont censés représenter

Fiabilité

• La mesure dans laquelle les éléments probants ont été recueillis et produits
selon une méthode transparente.
• Les éléments probants remplissent les conditions de crédibilité.
• La fiabilité des éléments probants dépend de leur source (interne ou
externe), de leur type (physique, documentaire, oral ou analytique) et des
circonstances.

Tout en reconnaissant que des exceptions peuvent exister, les éléments probants sont plus fiables
lorsqu'ils sont:
Obtenus auprès de De l'extérieur de l'entité, par exemple une confirmation reçue d'un tiers, par
sources opposition à une confirmation générée en interne
indépendantes
Sous réserve de Si elle est générée en interne;
contrôles connexes
efficaces

71 ISSAI 4000.148

76
 Obtenus Par exemple, l'observation directe de l'application d'un contrôle, plutôt que,
directement par indirectement, une demande de renseignements sur l'application d'un contrôle.
l'auditeur
Sous forme Qu'ils soient sur papier, électroniques ou sur un autre support, plutôt que des
documentaire déclarations verbales
Fournis dans les Plutôt qu'une photocopie
documents originaux

Autres considérations sur les éléments probants:

Les auditeurs doivent documenter de manière adéquate les éléments probants dans les documents
de travail. Cette documentation comprend les travaux effectués, les constatations et les conclusions,
ainsi que la justification des principales décisions. Les informations qui ne sont pas pertinentes pour
le travail effectué ou les conclusions tirées ne doivent pas être incluses. Les auditeurs prennent
également en compte:
L'obtention de preuves provenant de sources différentes ou de nature
Corroboration des différente peut soit corroborer d'autres preuves, soit indiquer qu'un élément
éléments probants de preuve individuel n'est pas fiable.

Dans les cas où les éléments probants obtenus d'une source sont
Exécution de procédures incompatibles avec ceux obtenus d'une autre source, l'auditeur doit
supplémentaires déterminer quelles procédures supplémentaires sont nécessaires pour
résoudre l'incohérence.
Si les documents produits par la direction sont classés confidentiels, l'auditeur
Utilisation d'éléments ou son supérieur au niveau approprié discutera de la meilleure façon d'utiliser
probants confidentiels ces informations confidentielles.

Éléments probants sur la Les informations et la documentation relatives aux cas de fraude avérée ou
fraude présumée doivent être traitées avec un soin particulier.

6.3 Techniques de collecte des éléments probants

L’ISSAI 4000.144 stipule que l'auditeur doit planifier et mettre en œuvre des procédures afin de
recueillir des éléments probants suffisants et appropriés pour formuler une conclusion avec le niveau
d'assurance sélectionné. L'obtention d'éléments probants suffisants et appropriés est un processus
systémique et itératif car il implique:

Collecte des éléments Évaluation des Réévaluation du

probants éléments probants risque

•En effectuant les •Quant à leur •Recueillir d'autres

procédures d'audit suffisance éléments probants
appropriées (quantité) et leur si nécessaire.
comme prévu. adéquation
(qualité)

77
Lorsque l'auditeur met en œuvre les procédures d'audit planifiées, les éléments probants obtenus
peuvent l'amener à modifier la nature, le calendrier ou l'étendue d'autres procédures d'audit
planifiées. Des informations peuvent être portées à la connaissance de l'auditeur qui diffèrent de
manière significative des informations sur lesquelles l'évaluation des risques a été fondée au départ.
Par exemple, l'étendue des non-conformités que l'auditeur détecte en mettant en œuvre des
procédures d'audit peut modifier le jugement de l'auditeur sur les évaluations des risques et peut
indiquer une faiblesse significative du contrôle interne. Dans de telles circonstances, l'auditeur doit
réévaluer les procédures d'audit prévues sur la base d'une nouvelle prise en compte des risques
évalués.

Techniques de collecte d’éléments probants

L’ISSAI 4000.158 stipule que l'auditeur doit choisir une combinaison de techniques d'audit pour être
en mesure de formuler une conclusion avec le niveau d'assurance choisi.
Les éléments probants peuvent être obtenus par la mise en œuvre d'une variété de techniques.
L'auditeur doit porter un jugement sur la méthode (ou la combinaison de méthodes) de collecte des
éléments probants qui sera suffisamment fiable et doit mettre en balance la fiabilité des éléments
probants et le coût de leur obtention. Les techniques de collecte d'éléments probants les plus
couramment utilisées sont 72 le test des contrôles (observation, inspection, enquête, réexécution) et
les procédures de corroboration (test de détail et procédures analytiques).

Test des contrôles

Le test des contrôles consiste à tester les contrôles que la direction a mis en place pour réduire le
risque de non-conformité ou le risque que l'information sur le sujet considéré soit matériellement
erronée. Pour la plupart des sujets, le test des contrôles clés est un moyen efficace de. 73
Réalisation de tests des contrôles: L'auditeur procède à des tests de contrôle pour confirmer
l'évaluation préliminaire des contrôles clés sur lesquels il a l'intention de s'appuyer. L'objectif des tests
des contrôles est d'évaluer si ces contrôles clés ont fonctionné de manière efficace et continue au
cours de la période examinée.
 Si les tests des contrôles confirment que les contrôles ont fonctionné de manière continue et
efficace tout au long de la période considérée, on peut alors se fier à ces contrôles, et un
minimum de tests de corroboration peut être réalisé. S'il s'avère que ces contrôles n'ont pas
fonctionné de manière continue et efficace tout au long de la période considérée, l'auditeur doit
réévaluer l'approche d'audit et augmenter l'étendue des tests de corroboration à réaliser.
 Les techniques généralement utilisées pour tester les contrôles clés sont l'observation et la
demande de renseignements, l'inspection et le recalcul, ou une combinaison de ces techniques.
L'auditeur peut documenter le test de l'efficacité opérationnelle des contrôles en utilisant le
modèle de document de travail fourni à la Pièce 6.1.
L’observation consiste à regarder un processus ou une procédure exécuté par d'autres personnes.
L'observation fournit des éléments probants sur la performance d'une méthode ou d'un système, mais
elle est limitée au moment où elle a lieu et au fait que l'observation peut avoir une incidence sur la
façon dont le processus ou la procédure est exécuté.74 Dans le cadre d'un audit de conformité, il peut
s'agir, par exemple, d'examiner la manière dont un processus d'appel d'offres est réalisé ou d'observer
la manière dont les paiements de prestations sont traités dans la pratique.

72
ISSAI 4000.160
73
ISSAI 4000.168
74
ISSAI 4000.161

78
L’inspection consiste à examiner les livres, les registres ou les documents, qu'ils soient internes ou
externes, que ce soit sous forme de papier, sous forme électronique ou par un examen physique.
L'auditeur examine la fiabilité de tout document inspecté et reste conscient du risque de fraude et de
la possibilité que les documents examinés ne soient pas authentiques.75 Dans le cadre d'un audit de
conformité, l'inspection peut, par exemple, comprendre l'examen de dossiers ou de documents
pertinents afin de déterminer si les bénéficiaires de prestations remplissent les conditions
d'admissibilité, ou l'examen d'un bien tel qu'un pont ou un bâtiment pour déterminer s'il répond aux
spécifications applicables en matière de construction.
L'enquête consiste à rechercher des informations auprès de personnes pertinentes, tant à l'intérieur
qu'à l'extérieur de l'entité auditée. En fonction du sujet et de l'étendue, les entretiens et les
questionnaires seuls ne constitueront pas, dans la plupart des cas, des preuves suffisantes et
appropriées. Les autres méthodes pertinentes de collecte d'éléments probants à prendre en
considération sont, par exemple, la documentation écrite de l'entité auditée.76 L'enquête est
généralement utilisée de manière extensive tout au long d'un audit et complète d'autres procédures
d'audit. Par exemple, lors de l'observation de processus en cours de réalisation, tels que le processus
de paiement des prestations dans un pays/État, il est possible de demander aux agents comment la
législation pertinente, y compris les modifications et les mises à jour, est identifiée et interprétée.
Les ISC ayant des pouvoirs juridictionnels peuvent utiliser la méthode d'enquête prévue par les lois
régissant les procédures de contrôle. Une enquête peut impliquer la préparation et l'envoi d'une
communication écrite aux personnes responsables concernées, demandant des informations
spécifiques que l'équipe d'audit considère comme nécessaires pour soutenir les conclusions. 77
La confirmation externe représente les preuves d'audit obtenues par l'auditeur en tant que réponse
écrite directe à l'auditeur de la part d'un tiers. L'auditeur obtient un retour d'information directement
des bénéficiaires ou des tiers qui ont reçu les subventions. L'entité auditée affirme qu'elle a été payée
ou confirme que les fonds ont été utilisés dans le but particulier défini dans les termes d'une
subvention ou d'une convention de financement.78
La réexécution consiste à effectuer de manière indépendante les mêmes procédures que celles déjà
réalisées par l'entité auditée, contrôles qui ont été initialement effectués dans le cadre du contrôle
interne de l'entité. La réexécution peut être effectuée manuellement ou par des techniques d'audit
assistées par ordinateur. Lorsque des questions très techniques sont en jeu, des experts externes
peuvent être nécessaires.79
Le recalcul consiste à vérifier l'exactitude mathématique des documents ou des enregistrements. Le
recalcul peut être effectué manuellement ou électroniquement.80 Voici quelques exemples de
recalcul:
 Examen de dossiers individuels pour vérifier si l'entité auditée a pris les bonnes décisions
ou fourni le service approprié conformément aux critères pertinents.
 Réexécution des étapes du processus pour tester le caractère approprié des visas ou des
permis de séjour délivrés.
 Nouveau calcul des déductions fiscales sur la paie du personnel de l'organisme audité pour
confirmer les montants corrects à payer en impôts.

Procédures de corroboration

75
ISSAI 4000.162
76
ISSAI 4000.163
77
ISSAI 4000.171
78
ISSAI 4000.164
79
ISSAI 4000.165
80
ISSAI 4000.166

79
Les procédures de corroboration comprennent les Tests de détails et les Procédures analytiques.
Les Tests de détail consistent à tester des transactions ou des activités détaillées par rapport aux
critères d'audit. Les tests de corroboration doivent toujours être inclus dans les missions
d'attestation.81 Dans la plupart des missions d'information directe, les auditeurs effectuent des tests
de corroboration, car au stade de la planification, lors de l'identification des risques, les auditeurs ont
déterminé que les contrôles internes de l'entité étaient très limités, voire inexistants. Selon la manière
dont l'entité a géré le sujet, les auditeurs peuvent décider de ne pas tester et évaluer séparément les
contrôles internes, mais plutôt d'examiner les contrôles pertinents en même temps que les tests de
corroboration.
Réalisation de tests de corroboration de détail : Les contrôles de substance ont été conçus lors de la
phase de planification pour répondre à l'évaluation des risques correspondants ; leur objectif est de
recueillir des éléments probants pour détecter les cas de non-conformité. Toutefois, quels que soient
le risque évalué et le niveau de confiance, l'auditeur doit concevoir et mettre en œuvre des contrôles
de substance (tests de détail) pour chaque domaine important. Les tests de corroboration
comprennent généralement les éléments suivants:
Test de Domaine
corroboration
Calcul  Réexécution des calculs de créances, de subventions
Analyse (hors  Analyse des résultats des travaux des auditeurs internes et autres.
révision Analyse de la base juridique, des engagements juridiques et budgétaires, de
analytique) l'éligibilité, des procédures d'appel d'offres
Réexécution  Recalcul des transactions déjà inspectées/auditées
Inspection  Actifs physiques
 Contrats
 Créances
 Rapports de contrôle ex-ante et ex-post
 Rapports d'audit (interne et externe)
 Rapports de suivi
 Documents justificatifs, par exemple factures, documents relatifs
aux marchés publics, analyse coûts-avantages, photos, dossiers
des bénéficiaires.
Enquête et  Enquête sur la direction et le personnel de l'entité auditée
confirmation  Circularisation des soldes des comptes bancaires
 Circularisation des créances
Observation  Contrôles sur place
Illustration 6.1: Procédures de corroboration

L'auditeur doit réaliser les tests de corroboration tels qu'ils ont été conçus lors de la phase de
planification, à moins que l'évaluation des résultats des tests de contrôle ne l'oblige à reconsidérer la
nature, le calendrier et l'étendue des tests de détail. L'auditeur peut documenter les tests de
corroboration en utilisant le modèle de document de travail fourni à la Pièce 6.2.
Les procédures analytiques consistent à recueillir des informations auprès de diverses sources afin de
déterminer ce qui est attendu, à comparer la situation réelle avec cette attente, à rechercher les
raisons de toute divergence et à évaluer les résultats. Elles peuvent être utilisées à la fois dans le cadre
de l'analyse des risques et lors de la collecte des éléments probants. Les preuves d'audit peuvent être
obtenues en comparant les données, en examinant les fluctuations ou en identifiant les relations qui
semblent incompatibles avec ce qui était prévu sur la base des données historiques ou de l'expérience

81
ISSAI 4000.167

80
de l'auditeur. Les techniques d'analyse de régression ou d'autres méthodes mathématiques peuvent
aider les auditeurs du secteur public à comparer les résultats réels aux résultats attendu.
Dans le cadre d'une mission d'assurance limitée, les procédures analytiques et les contrôles sont
généralement suffisants pour formuler une conclusion avec une assurance limitée. En revanche, une
conclusion avec une assurance raisonnable doit être formulée sur la base d'une combinaison de
techniques d'audit.82
Toutefois, dans le cadre d'un audit de conformité, les procédures analytiques peuvent, uniquement
dans certaines circonstances, aider l'auditeur à évaluer la conformité. Par exemple, lorsque les
allocations dans le cadre d'un régime de subventions sont soumises à une valeur maximale, et que le
nombre de bénéficiaires est connu, l'auditeur peut utiliser des procédures analytiques pour établir si
le maximum autorisé a été dépassé. Ces techniques ou leurs combinaisons peuvent être utilisées pour
des tests de contrôles ou des procédures de corroboration.
Considérations relatives à la collecte d'éléments probants

L'auditeur peut considérer le niveau de fiabilité des éléments probants comme une ligne directrice
générale, et il peut varier selon les entités. La hiérarchie de la fiabilité des types d'éléments probants
83
:
Niveau de fiabilité Types d’éléments probants
Élevé - Examen physique
- Réexécution
Moyen - Documentation
- Confirmation
- Procédures analytiques
Faible - Enquêtes auprès du personnel ou de la direction de
l'entité
- Observation

Dans certaines situations, l'auditeur peut considérer les confirmations comme une source d'éléments
probants hautement fiable, lorsqu'un tiers indépendant est qualifié pour répondre à la demande de
l'auditeur. Ainsi, le niveau de fiabilité est soumis à un certain nombre d'exceptions compte tenu du
contexte de l'audit.
L'auditeur peut utiliser une ou plusieurs de ces procédures en fonction des risques de non-conformité
aux critères, et d'autres informations sont en cours d'audit. Le tableau suivant84 présente les types
d'éléments probants et les procédures d'audit pertinentes pour les recueillir.
Types d'éléments probants Procédures de collecte des éléments probants
Calculs de l'auditeur Recalcul par l'auditeur
Observation physique, inspection Observation et examen par l'auditeur
Déclarations de parties indépendantes Confirmation par lettre
Déclarations du personnel de l'entité Demande verbale et déclarations écrites
Documents préparés par des parties Examen de documents (Vérification ou
indépendantes traçage)
Documents préparés par l'entité auditée Examen de documents (Vérification ou
traçage)
Relations entre les données Numérisation

82
ISSAI 4000.169
83
William F. Messier, Jr., Services d'audit et d'assurance, une approche systématique, troisième édition, p. 152
84
Jack C. Robertson et Timothy J. Louwers, Services d'audit et d'assurance, dixième édition, p. 93

81
Examen de documents – Repérage
La vérification consiste à ramener l'information d'un document ou d'un enregistrement à un actif, un
document ou un enregistrement qui a été préparé plus tôt. Par exemple, les auditeurs peuvent vérifier
l'information contenue dans un rapport généré par ordinateur en remontant jusqu'aux documents
sources à partir desquels l'information a été saisie dans le système d'information de l'entité et vérifier
la validité des informations.
Examen de documents – Traçage
Le traçage consiste à faire remonter les informations d'un document, d'un enregistrement ou d'un
actif vers un document ou un enregistrement préparé ultérieurement. Par exemple, si l'auditeur
procède à un comptage des stocks, il remontera jusqu'aux registres d'inventaire de l'entité et vérifiera
que l'inventaire est complet, comme l'exigent les registres.
Balayage
Le balayage est la manière dont les auditeurs exercent leur vigilance générale à l'égard des éléments
ou événements inhabituels dans la documentation de l’entité auditée. En général, le balayage est une
approche consistant à « garder les yeux ouverts » pour rechercher tout ce qui est inhabituel. Les
auditeurs doivent tenir compte du fait que la procédure de balayage ne produit généralement pas
d'éléments probants directs en soi, mais qu'elle peut aider l'auditeur à soulever des questions sur
lesquelles il doit obtenir des éléments probants.

6.4 Détermination de la taille de l'échantillon

L’ISSAI 4000.172 stipule que l'auditeur doit recourir à des sondages en audit, lorsque cela est
approprié, pour obtenir un nombre suffisant d'éléments permettant de tirer des conclusions sur la
population à partir de laquelle l'échantillon est sélectionné. Lorsqu'il conçoit un échantillon d'audit,
l'auditeur doit tenir compte de l'objectif de la procédure d'audit et des caractéristiques de la
population dont l'échantillon sera tiré.
L'échantillonnage d'audit est défini comme l'application de procédures d'audit à moins de 100 % des
éléments d'une population présentant un intérêt pour l'audit. Un échantillon peut être quantitatif ou
qualitatif, en fonction de l'étendue de l'audit et du besoin d'informations pour analyser le sujet sous
plusieurs angles.
L'échantillonnage quantitatif est utilisé lorsque l'auditeur cherche à tirer des conclusions sur
l'ensemble de la population en testant un échantillon d'éléments sélectionnés dans celle-ci. Dans
l'échantillonnage quantitatif, le risque lié à l'échantillon doit être réduit à un niveau faible acceptable.
Cependant, l'approche technique de l'échantillonnage quantitatif peut nécessiter des techniques
statistiques. Si l'équipe d'audit ne dispose pas des compétences nécessaires pour les appliquer, il peut
être nécessaire de faire appel à un statisticien expert.
L'échantillonnage qualitatif est une procédure sélective menée de manière délibérée et systématique
afin d'identifier les facteurs de variation du sujet traité. L'auditeur peut échantillonner sur la base des
caractéristiques des individus, des groupes, des activités, des processus ou de l'entité auditée dans
son ensemble. L'échantillonnage qualitatif nécessite toujours une évaluation minutieuse et une
connaissance suffisante du sujet traité.
Lorsque l'auditeur sélectionne des cas en vue d'une étude approfondie, il obtient généralement des
échantillons relativement petits qui peuvent répondre à des questions plus exploratoires et fournir de
nouvelles informations, de nouvelles analyses et un nouvel éclairage sur le sujet traité. Il peut être
approprié d'utiliser un échantillonnage fondé sur les risques plutôt qu'une approche statistique lors

82
de la sélection des éléments à tester, par exemple, lorsqu'il s'agit de traiter un risque significatif
spécifique.
Sélection des échantillons à tester
Lorsqu'il décide des éléments de l'échantillon à tester, l'auditeur peut:
 sélectionner tous les éléments (examen à 100 %) ;
 sélectionner des éléments spécifiques ; ou
 utiliser l'échantillonnage d'audit.
Le choix d'une méthode particulière relève du jugement professionnel de l'auditeur, fondé sur
l'évaluation des risques, l'importance relative, l'efficacité de l'audit et le coût. Mais la méthode choisie
doit être efficace pour atteindre l'objectif de la procédure d'audit.
Quand sélectionner tous les éléments - La sélection de tous les éléments est appropriée lorsque le
nombre d'éléments est faible mais de grande valeur, lorsque le risque est élevé ou lorsque les
techniques d'audit assistées par ordinateur (CAAT) permettent de tester efficacement tous les
éléments. Cette méthode est plus courante pour les tests de corroboration (tests de détail) que pour
les tests de contrôle
Quand sélectionner des éléments spécifiques - L'auditeur sélectionne certains éléments dans une
population en raison des caractéristiques spécifiques qu'ils possèdent. Il s'agit généralement
d'éléments de grande valeur ou à haut risque (par exemple, des montants relativement élevés ou
faibles) ou d'éléments qui représentent une grande proportion du sujet traité. Elle est utile pour les
tests de contrôle et les contrôles de substance, ainsi que pour acquérir une connaissance de l'entité
ou pour confirmer l'évaluation des risques par l'auditeur. Bien qu'il s'agisse d'une méthode efficace
de collecte d'éléments probants, elle n'est pas comparable à l'échantillonnage d'audit, et les résultats
ne peuvent donc pas être projetés sur l'ensemble de la population. Toutefois, elle peut jouer un rôle
dans le cadre d'une approche d'audit qui fournit une assurance raisonnable sans recourir à des
méthodes d'échantillonnage d'audit.
Quand utiliser l'échantillonnage d'audit - La méthode d'échantillonnage à utiliser pour sélectionner
l'échantillon doit correspondre aux caractéristiques de la population. L'équipe d'audit doit décider de
la méthode la plus appropriée pour sélectionner les échantillons. L'auditeur peut déterminer la
méthode d'échantillonnage appropriée en utilisant l'arbre de décision ci-dessous.

83
 Figure 6.1: Arbre de décision - déterminer la méthode de sélection d'échantillon appropriée

a. Échantillonnage discrétionnaire (échantillonnage fondé sur le risque) - Consiste à sélectionner

des éléments dans une population conformément à des critères prédéterminés et documentés,
en se fondant sur le jugement de l'auditeur. L'échantillonnage discrétionnaire ou fondé sur le
risque ne peut être utilisé si l'objectif de l'échantillon est d'extrapoler les résultats. Lors de la
communication des résultats, les auditeurs doivent veiller à ce que les lecteurs ne soient pas
induits en erreur en pensant que les résultats sont représentatifs de la population.
b. Échantillonnage aléatoire simple - La principale caractéristique de l'échantillonnage aléatoire
simple est que toutes les transactions ou unités d'échantillonnage ont la même chance d'être
sélectionnées pour le test. Une transaction de grande valeur n'a pas plus de chances d'être choisie
qu'une transaction de faible valeur. Bien que cette méthode soit la plus simple à appliquer, son
utilisation pour des tests de détail est généralement limitée aux situations où les unités
d'échantillonnage constituant une zone du sujet sont assez homogènes.
L'échantillonnage systématique est une méthode d'échantillonnage statistique dans laquelle
chaque élément a une chance égale d'être sélectionné. La mise en œuvre pratique d'une
méthode d'échantillonnage systématique utilise un point de départ aléatoire, puis un intervalle
d'échantillonnage moyen (IAM) pour la progression dans les dépenses. Par exemple, si l'auditeur
souhaite sélectionner 100 articles dans une population de 20 000 articles, l'intervalle uniforme
est de tous les 200 articles. L'auditeur sélectionne le premier article à l'intérieur du premier
intervalle et sélectionne chaque 200ème article. Le premier élément est sélectionné au hasard.
c. Echantillonnage par unités monétaires (MUS) - L'échantillonnage par unités monétaires est une
méthode d'échantillonnage statistique dans laquelle une transaction de grande valeur a plus de
chances d'apparaître dans l'échantillon qu'une transaction de moindre valeur. La probabilité
qu'une transaction soit sélectionnée est directement proportionnelle à sa taille. Toute
transaction supérieure à l'intervalle d'échantillonnage moyen sera certainement sélectionnée.
L'échantillonnage par unités monétaires est plus largement utilisé que l'échantillonnage aléatoire
simple car il est généralement plus efficace, les marges d'incertitude dans les estimations d'erreur
étant généralement plus étroites.

84
 Cependant, les calculs nécessaires à l'extraction d'un échantillon d'unités monétaires peuvent
être lourds, et la méthode est pratique si elle peut être automatisée. De plus, d'un point de vue
statistique, cette méthode n'est valable que pour les populations ayant un faible taux d'erreur.
d. MUS stratifié. L'échantillonnage par unités monétaires stratifiées divise la population en
plusieurs sous-groupes (strates). Les strates doivent être prédéfinies en fonction de différentes
caractéristiques au sein de la population, par exemple, en fonction du risque. L'auditeur doit faire
appel à son jugement professionnel pour déterminer ces caractéristiques, y compris sa
connaissance de la population soumise à l'audit. Dans chaque strate, un certain nombre
d'éléments sont sélectionnés avec MUS. Le nombre d'éléments à sélectionner peut être différent
dans chaque strate.
Pour le type de mission et le sujet considéré, en utilisant l'une de ces méthodes, l'auditeur sélectionne
les échantillons pour mettre en œuvre les procédures d'audit sur les risques identifiés afin de recueillir
des éléments probants suffisants et appropriés.

Considérations relatives à la sélection des échantillons pour les tests

Il est important de noter que la détermination de la taille de l'échantillon nécessite la documentation
des considérations sous-jacentes du sujet considéré. La justification de la taille de l'échantillon utilisé
dans un audit repose sur le jugement de l'auditeur. Elle dépend de facteurs tels que l'importance du
contrôle testé ou le risque de non-conformité significative, qui sont importants pour documenter
l'application des procédures d'échantillonnage.

De plus, les ISC peuvent utiliser leurs directives internes qui aboutissent à une taille d'échantillon
différente de l'approche suggérée ici. Lorsqu'un auditeur détermine la taille d'un échantillon en
utilisant les méthodes suggérées par l'ISC, la base de cette détermination sera également importante
pour documenter les applications et les procédures d'échantillonnage.

6.5 Évaluation des éléments probants et formulation des conclusions

L’ISSAI 4000.179 stipule que, l'auditeur doit comparer les éléments probants recueillis avec les critères
d'audit énoncés afin de formuler des constatations d'audit pour la ou les conclusions de l'audit. Pour
obtenir une vision équilibrée et objective, le processus d'évaluation implique la prise en compte de
tous les éléments probants fournis en relation avec les constatations d'audit. En évaluant l'étendue
des travaux réalisés, l'auditeur détermine s'il est en mesure de tirer une conclusion. Si l'étendue des
travaux est insuffisante, l'auditeur peut envisager de mettre en œuvre des procédures
supplémentaires ou de modifier l'opinion ou la conclusion en raison d'une limitation de l'étendue des
travaux.
Si les éléments probants recueillis sont suffisants et appropriés
Le processus de collecte d'éléments probants se poursuit jusqu'à ce que l'auditeur soit convaincu qu'il
existe des éléments probants suffisants et appropriés pour étayer le niveau d'assurance convenu qui
soutiendra sa conclusion ou son opinion85. L'auditeur fait preuve de scepticisme professionnel tout au
long de l'audit afin de réduire les risques de:
 Négliger des circonstances inhabituelles
 Généraliser à l'excès lorsqu'il tire des conclusions d'observations ;
 Utiliser des hypothèses inappropriées pour déterminer la nature, le calendrier et l'étendue
des procédures et en évaluer les résultats;

85
ISSAI 4000.150

85
Lors de l'évaluation des éléments probants recueillis, l'auditeur fait preuve de scepticisme
professionnel en remettant en question les éléments probants incohérents et la fiabilité des
documents et des réponses aux demandes de renseignements. En outre, l'auditeur évalue le caractère
suffisant et approprié des éléments probants recueillis à la lumière des circonstances.
L'auditeur ne doit pas négliger l'expérience passée quant à l'honnêteté et l'Probité des personnes qui
fournissent les éléments probants. Néanmoins, la conviction que les personnes qui fournissent des
éléments probants sont honnêtes et intègres ne dispense pas l'auditeur de la nécessité de faire preuve
de scepticisme professionnel au cours de l'audit. Il est également important de prendre en compte:
 La nature, le calendrier et l'étendue des procédures utilisées pour obtenir des preuves.
 Si des preuves suffisantes et appropriées ont été obtenues, et
 Si d'autres mesures doivent être prises pour atteindre les objectifs des normes d'audit
pertinentes.
 Les conclusions appropriées à tirer sur la base des éléments probants obtenus.
Dans la mission de rapport direct, les auditeurs planifient les procédures d'audit afin de recueillir des
éléments probants sur les risques identifiés lors de la phase de planification. La stratégie et le plan
d'audit comprennent la matrice de planification de l'audit (illustration 5.7), qui énumère tous les
risques à tester en appliquant diverses procédures d'audit. Une fois que l'auditeur a mis en œuvre les
procédures d'audit pour les risques identifiés, sur la base des informations et de l'analyse de celles-ci,
il formule des conclusions d'audit.
Constatation/observation d'audit
Une constatation d'audit décrit l'écart de conformité, sur la base des informations recueillies lors des
travaux sur le terrain, entre la situation existante et les critères. Les éléments communs d'une
constatation sont les critères (autorités à respecter), la condition (quelle est la situation constatée par
rapport aux critères), la cause (pourquoi il y a un écart par rapport aux critères) et l'effet (quelles sont
les conséquences de la non-conformité).
Les constatations et les informations obtenues au cours de l'audit, les conclusions et les
recommandations peuvent être consignées dans la matrice des constatations. La matrice des
constatations est un outil utile pour faciliter l'évaluation des constatations et déterminer si elles sont
fondées sur des preuves suffisantes et appropriées, ainsi que pour préparer un rapport d'audit
cohérent.
L'exposé des constatations découle des tests de détail (ou des procédures mises en œuvre) pour tous
les risques identifiés. Le tableau ci-dessous présente les éléments d'une matrice de constatations
d'audit.

Question de risque/audit: …….

Constatation
Critères Etat/ Cause Effet
d’audit Preuve

Conclusion:
…..
Recommandation (le cas échéant):
….
Illustration 6.2: Modèle de matrice de constatations

86
L'auditeur détermine les causes du non-respect des règles et son effet. L'effet de la non-conformité
peut être des pertes monétaires ou autres pour l'entité, et il peut également désigner la partie
responsable de la non-conformité. Bien que l'identification de la cause soit importante, il est plus
important de déterminer la cause profonde d'un cas particulier de non-conformité.
L'auditeur peut formuler des recommandations appropriées et applicables en fonction de la cause
fondamentale identifiée. Si la cause profonde ne peut pas être identifiée, une recommandation ne
traitera pas le problème fondamental et l'entité ne parviendra pas à rectifier le cas particulier de non-
conformité. L'identification de la cause fondamentale exige que l'auditeur se concentre sur la cause
sous-jacente du cas de non-conformité, et non sur la cause de surface ou la cause évidente. Le
processus d'analyse des causes profondes est expliqué ci-dessous.

Analyse des causes profondes

La cause profonde est identifiée à l'aide d'outils appropriés d'analyse des causes profondes, par exemple le
brainstorming, le diagramme en arête de poisson, l'organigramme ou la réponse aux "cinq pourquoi". L'outil
des « cinq pourquoi » est l'outil d'analyse des causes profondes le plus simple. Il utilise une méthode de
questionnement pour explorer la relation de cause à effet qui sous-tend le problème. Essentiellement,
l'auditeur continue de demander « pourquoi » jusqu'à ce qu'il parvienne à une conclusion significative. En
général, un minimum de cinq questions doit être posé, bien que des questions supplémentaires soient parfois
nécessaires si la cause réelle n'est pas encore identifiée. Un exemple illustratif 86 est fourni ci-dessous:
Une constatation Le parc de véhicules de l'entité n'a pas atteint l'objectif de disponibilité fixé :
de non- l'entité n'a pas respecté les critères permettant de fournir le service requis avec
conformité la livraison des véhicules.
Cause évidente Parce que l'entité n'avait pas assez de véhicules
Recommandation Visant un symptôme ou une cause apparente :
Identification de L'entité doit s'assurer que le parc de véhicules répond à l'objectif de disponibilité
la cause première fixé de la non-conformité du service des véhicules en utilisant l'outil des « cinq
pourquoi » :
Pourquoi Les véhicules étaient souvent indisponibles en raison de
1 problèmes mécaniques
Pourquoi Il n'y a pas assez de techniciens sur place pour effectuer les
2 réparations mécaniques
Pourquoi Trop peu de techniciens ont suivi une formation au cours des
3 dernières années
Pourquoi Il n'y a pas assez d'instructeurs pour assurer la formation requise
4
Pourquoi De nombreux instructeurs ont pris leur retraite la même année,
5 en l'absence de tout plan de relève ou stratégie de recrutement
Recommandation Visant la cause profonde :
L'entité doit établir un plan de succession et une stratégie de recrutement pour soutenir
les activités de maintenance des véhicules.

En répondant aux cinq « pourquoi » à l'aide de l'analyse des causes profondes, l'auditeur a constaté
que l'entité n'était pas en mesure de fournir le service de véhicules en raison d'une réduction
budgétaire sur la formation des conducteurs. En outre, il n'y avait pas assez de conducteurs qualifiés
pour assurer le service. Si l'auditeur avait terminé l'analyse par le niveau de surface ou la cause
évidente, la recommandation aurait été que l'entité devrait s'assurer que le service des véhicules est
fourni conformément aux règles requises. Comme cette recommandation ne s'attaque pas au
problème central de la non-conformité, elle n'entraînerait aucune amélioration du système de l'entité,
et la non-conformité se reproduirait.

86
[Link]

87
Prise en compte de l’importance relative:
En complétant les matrices de constatations pour les risques identifiés, l'auditeur détermine si les non-
conformités sont significatives ou non. L'auditeur applique ici le concept d'importance relative pour la
valeur et la nature ou le contexte. La norme ISSAI 4000.37 indique que l'auditeur utilise le caractère
significatif pour décider de l'étendue des procédures d'audit à mettre en œuvre et pour évaluer les
éléments probants. Lors de l'évaluation des éléments probants et de la conclusion de l'audit, l'auditeur
utilise le caractère significatif pour évaluer l'étendue des travaux et le niveau de non-conformité afin
de déterminer l'impact sur la conclusion/opinion.

Si le non-respect peut être quantifié, l'importance relative quantitative déterminée au stade de la

planification peut être appliquée. Lorsque le non-respect est non monétaire et qualitatif, l'auditeur
peut appliquer le seuil de signification déterminé lors de la phase de planification. L'auditeur utilise
son jugement professionnel pour déterminer si le non-respect des règles est significatif ou non en
prenant en compte les éléments suivants:

Le montant concerné Il peut s'agir d'un montant monétaire ou d'autres mesures telles que le
nombre de personnes impliquées, les délais en jours ou en temps, etc.
La visibilité et la du sujet de l'audit, et des effets et conséquences de la non-conformité
sensibilité
Les attentes de l'organe législatif, du grand public ou d'autres parties prenantes et
utilisateurs finaux du rapport d'audit
Nature et importance des autorisations régissant le sujet en question

L'auditeur peut documenter ses constatations sur les risques identifiés en utilisant le modèle de
document de travail fourni à la Pièce 6.3: matrice des constatations. Vous trouverez ci-dessous un
exemple de matrice de constatations préparée à partir de l'exemple des opérations d'un conseil
municipal fourni dans le chapitre sur la planification (section 5.2.3-e).

Exemple : Exécution de procédures d'audit pour les opérations du conseil municipal

Question de risque/audit:
L'entité peut ne pas avoir mis en place un dispositif de sécurité incendie adéquat dans les bâtiments achevés.
Constatation
Critères d’audit Etat/ Cause Effet
Preuve
L'équipe d'audit a contrôlé et vérifié les Les autorités municipales De ce fait, les
Selon la clause plans de construction approuvés. De n'ont pas fait respecter cette bâtiments achevés
1.1.20xx de la norme plus, l'équipe a comparé les mises en exigence avant l'approbation sont vulnérables
20xx-Sécurité œuvre de l'exigence lors d'une de l'application des plans et au risque
Incendie « Tous les vérification physique sur des sites des conceptions du bâtiment. d'incendie et aux
nouveaux bâtiments sélectionnés du 20/7/20xx au De plus, la clause ne prévoyait risques potentiels
doivent être équipés 22/7/20xx en conformité avec la clause pas de sanction en cas pour les vies
d'au moins un 1.1.20xx. d'absence d'extincteur ; les humaines.
extincteur à chaque L'équipe a constaté que dans la majorité autorités municipales ne
étage. » des bâtiments, l'équipement de pouvaient pas imposer de
sécurité incendie n'était pas en place sanction dans de tels cas.
comme l'exige la clause.
Conclusion
L'entité ne s'est pas conformée à l'obligation de disposer d'un extincteur au moins à chaque étage du bâtiment,
conformément au paragraphe 1.1.20xx de la norme 20xx- Sécurité Incendie

Recommandation
La direction devrait mettre en place des contrôles appropriés pour s'assurer que les dispositions de la clause sont
strictement respectées dans les approbations futures, en plus d'appliquer la règle de pénalité contre les non-
conformités en conformité avec la clause 1.1.20xx amendée de la clause 20xx - Sécurité Incendie

88
Formulation d'une conclusion générale sur le sujet
L’ISSAI 4000.184 dispose que, sur la base des constatations de l'audit et de l'importance relative,
l'auditeur doit tirer une conclusion sur le fait que le sujet considéré est, à tous égards importants,
conforme aux critères applicables..
L'auditeur formule la conclusion générale, ou opinion d'audit, en évaluant tous les éléments probants
pertinents par rapport à l'importance relative identifiée. Sur la base de l'importance relative, l'auditeur
évalue si les constatations de l'audit sont suffisamment importantes pour conclure sur le sujet.
Lors de l'évaluation des résultats de l'audit de sujets comportant des attributs de conformité non
monétaires, il convient d'utiliser le seuil d'importance relative qualitative (le niveau de non-conformité
tolérable) fixé au stade de la planification. Un seuil peut également être fixé pour chaque domaine
individuel du sujet, ainsi que pour le sujet dans son ensemble. Un seuil d'importance relative pour
chaque domaine du sujet, en plus du seuil d'importance relative global, peut être utile pour évaluer
les résultats de l'échantillon et formuler une conclusion.
Exemple
Si le sujet est la pratique de passation de marchés du Ministère des infrastructures:
o Le seuil global (niveau tolérable de non-conformité) pourrait être fixé à 4%.
o Le seuil pour les domaines individuels du sujet peut être fixé comme suit :
Planification des achats - 3%, Approvisionnement - 5%, Gestion des contrats - 4%
Le seuil pour les domaines individuels doit être fixé après avoir pris en compte les risques impliqués
dans chaque domaine, le statut des contrôles et les antécédents de conformité de l'entité dans ces
domaines.
La formulation d'une conclusion à partir des résultats du test des contrôles est un processus commun
aux missions d'attestation et aux missions d'information directe. C'est le processus d'audit
habituellement suivi pour parvenir à une conclusion d'audit lorsque le test des contrôles et
l'échantillonnage statistique sont utilisés pour des sujets qui sont axés sur la valeur et que les non-
conformités peuvent être quantifiées. Si l'échantillonnage statistique est appliqué dans le cadre d'une
mission d'information directe, que le sujet est axé sur la valeur et que les non-conformités sont
quantifiables, le même processus peut être suivi pour formuler la conclusion.

Pour formuler la conclusion générale, l'auditeur doit calculer le taux réel de non-conformité. Pour cela,
l'auditeur détermine les cas de non-conformité observés lors des tests. Par exemple, si la taille totale
de l'échantillon testé était de 40, et que les cas de non-conformité identifiés étaient de 5, le taux de
non-conformité réel serait alors de (5/40) x100 = 12,50%. Si un échantillonnage discrétionnaire a été
utilisé, l'auditeur peut comparer directement ce taux de non-conformité avec le niveau tolérable de
non-conformité (seuil) fixé pour le sujet traité. Si le taux de non-conformité dépasse le seuil, l'auditeur
peut conclure que le sujet traité n'est pas conforme aux critères établis.
Toutefois, il est possible que les cas de non-conformité identifiés proviennent d'un domaine particulier
du sujet traité et ne soient pas répartis sur l'ensemble du sujet. En d'autres termes, la non-conformité
n'est pas généralisée. Dans ce cas, l'auditeur doit modifier sa conclusion de manière à ce que cela soit
clairement communiqué.
Lorsque l'auditeur peut quantifier le non-respect, la valeur du non-respect est comparée au seuil
d'importance relative qualitative fixé pour former la conclusion. Les auditeurs tiennent également

89
compte du caractère généralisé des non-conformités et peuvent modifier la conclusion en fonction
des circonstances.

6.6 Assurer la qualité au stade du travail d'audit sur le terrain

Assurer la qualité pendant le travail sur le terrain, lors de la collecte et de l'évaluation des éléments
probants, est un élément fondamental de la pratique de l'audit. Une fois les travaux sur le terrain
terminés, le superviseur de l'audit doit examiner tous les aspects des tâches d'audit réalisées au cours
de l'audit, y compris les tests d'audit effectués, les résultats et les documents de travail, et doit
documenter ces examens. Il est utile, dans ce processus de révision, d'identifier les changements et
les améliorations nécessaires pour les audits actuels et futurs. Le réviseur peut utiliser la liste de
contrôle fournie à l'Annexe 6-A pour effectuer un examen de la qualité du travail d'audit sur le terrain.

90
 Rapport et suivi de l'audit de conformité

Chapitre 7

Rapports et suivi de l'audit de conformité

7.1 Principes d'établissement des rapports
7.2 Eléments d'un rapport d'audit de conformité
7.3 Rapports des ISC ayant des pouvoirs juridictionnels
7.4 Signalement des soupçons de fraude et d'actes illicites
7.6 Garantir la qualité du rapport d'audit
7.6 Communiquer le rapport aux parties prenantes
7.7 Suivi de l'audit

91
Ce chapitre couvre les phases de rapport et de suivi du processus d'audit de conformité. Il décrit les
principes d’établissement de rapports, la structure, la forme et le contenu des rapports pour une
mission de rapport direct et une mission d'attestation.
L'ISC fournit des informations aux utilisateurs prévus
(figure 7.1), par le biais de ses rapports d'audit, sur le
respect par les entités contrôlées des décisions
législatives, des lois, des actes juridiques, des politiques,
des codes établis et des conditions convenues.
L'auditeur met en œuvre les procédures d'audit afin de
réduire le risque d'audit et de s'assurer que la conclusion
ou l'opinion fournie dans le rapport est appropriée dans
les circonstances de l'audit. Cette assurance constitue en
fait la base du rapport d'audit de conformité.
Figure 7.1: Utilisateurs des rapports d'audit de
l'ISC
Les auditeurs commencent le rapport par la rédaction des
constatations/observations préliminaires. La direction de
l'ISC approuve les observations initiales, après quoi l'équipe complète les procédures de contradiction
avec l’entité auditée. L'auditeur finalise le rapport pour approbation par l'ISC, le publie et le soumet
aux utilisateurs respectifs conformément au mandat de l'ISC.

7.1 Principes en matière d'établissement des rapports

Pour garantir que le rapport est produit conformément aux normes de qualité et qu'il est pertinent
pour tous ses utilisateurs, il doit se conformer aux cinq principes d'établissement des rapports. La
norme ISSAI 4000.202 stipule que l'auditeur doit préparer un rapport d’audit fondé sur les principes
d'exhaustivité, d'objectivité, d'opportunité, d'exactitude et de contradiction.

exige de l'auditeur qu'il fasse preuve de jugement professionnel et de

scepticisme pour s'assurer que le rapport est correct sur le plan factuel et que
Objectivité les constatations et les conclusions sont présentées de manière pertinente,
équitable et équilibrée.
exige que l'auditeur prenne en compte toutes les constatations d'audit
pertinentes avant de publier son rapport. La relation entre les objectifs de
Exhaustivité l'audit, les constatations et les conclusions doit être complètement et
clairement exposée.

Opportunité exige que l'auditeur prépare le rapport en temps voulu lorsque les
constatations sont applicables et pertinentes pour les utilisateurs prévus.

exige de l'auditeur qu'il vérifie l'exactitude des faits auprès de l'entité auditée
Exactitude et consultation et qu'il s'assure que les constatations donnent une image correcte et logique
de la situation.

Contradiction exige que l'auditeur intègre les réponses de la partie responsable, le cas
échéant, et qu'il donne des réponses et des évaluations de ces réponses.
Illustration 7.1 : Principes en matière d'établissement des rapports
La clé d'un excellent rapport est une communication efficace, avec des constatations et des
conclusions claires et objectives sur les objectifs de l'audit. Il permet au lecteur de comprendre ce qui
a été fait, pourquoi et comment. Il fournit également des recommandations pratiques, sans
compromettre l'objectivité de l'auditeur.

92
Une planification et une conduite appropriées, assorties de mesures de contrôle de la qualité
adéquates au cours du processus, constituent la base d'un rapport d'audit de conformité de qualité.
En outre, les rapports doivent être clairs, rédigés dans un langage simple pour une compréhension
aisée, exempts de toute imprécision ou ambiguïté, concis et équilibrés. Dans son rapport, l'auditeur
doit présenter des arguments convaincants, accompagnés d'exemples illustratifs. Un tel rapport aide
la partie responsable à prendre les mesures correctives appropriées pour traiter les cas de non-
conformité et permet à l'auditeur de planifier le suivi de ses constatations. Lorsqu’il décide de la
manière de préparer le rapport, l'auditeur prend en compte les éléments suivants:

Législation et
Besoins des Niveau d'assurance
Mandat de l'ISC réglementation
utilisateurs fourni
pertinentes

Pratique de l'ISC en
matière Complexité des
Type de mission
d'établissement des problèmes signalés
rapports

7.2 Eléments d'un rapport d'audit de conformité

Compte tenu des types de mission et du degré d'assurance fourni, les rapports d'audit de conformité
peuvent principalement porter sur une assurance raisonnable - mission de rapport direct ou mission
d'attestation. La structure et le contenu de ces deux types de mission sont décrits ci-dessous. Pour
décider de la longueur et de la structure de ses rapports d'audit de conformité, l'équipe d'audit doit
tenir compte du mandat et du cadre juridique de l'ISC, ainsi que des exigences des ISSAI.
Les éléments du rapport d'audit pour une mission de rapport direct87 et une mission d'attestation88
sont les suivants :

87
ISSAI 4000.210
88 ISSAI 4000.218

93
 Mission de rapport direct Mission d'attestation
1. Titre 1. Titre
2. Destinataire
2. Identification des normes d'audit 3. Identification des normes d'audit et du niveau
d'assurance
3. Résumé (le cas échéant)
4. Description du sujet et de la portée (étendue et 4. Description de la documentation sur le sujet et,
limites de l'audit) le cas échéant, du sujet sous-jacent.
5. Étendue et limites de l'audit, y compris la
période couverte
6. Responsabilités de la partie responsable et de
l'auditeur
5. Critères d'audit. 7. Critères d'audit.
6. Explication et justification des méthodes utilisées. 8. Un résumé du travail effectué, et des méthodes
utilisées
7. Résultats.
8. Conclusion(s) fondée(s) sur des réponses à des 9. Opinion/conclusion
questions d'audit spécifiques ou sur une opinion
9. Réponses de l'entité auditée (le cas échéant) 10. Réponses de l'entité auditée (le cas échéant)
10. Recommandations (le cas échéant).
11. Date du rapport
12. Signature

Certains de ces éléments sont communs à la mission de rapport direct et à la mission d'attestation.
Certains éléments sont spécifiques à chaque type de mission. Ils sont expliqués ci-dessous.
7.2.1 Les éléments communs aux missions de rapport direct et d'attestation :
Titre Le titre du rapport mentionne brièvement l'objet du contrôle d'une manière qui peut
être clairement comprise par les lecteurs.
Identification des Dans ses rapports d'audit, l'ISC déclare les normes qu'elle suit lors de la réalisation de
normes d'audit l'audit. De même, dans le rapport d'audit, l'ISC doit faire référence aux normes d'audit
appliquées et qu'elle a suivies lors de la réalisation du contrôle en question.
niveau d’assurance
Un rapport de mission direct diffère d'un rapport de mission d'attestation en ce qui
concerne l'exigence de transmission de l'assurance.
Dans une mission de rapport direct, l'auditeur peut ne pas donner une déclaration
explicite d’assurance sur le sujet, mais il doit fournir aux utilisateurs le degré de
confiance nécessaire. L'auditeur explique explicitement comment les constatations,
les critères et les conclusions ont été élaborés de manière équilibrée et raisonnée, et
pourquoi les combinaisons de constatations et de critères aboutissent à une
conclusion ou à une recommandation globale particulière.
Dans un rapport de mission d'attestation, les opinions et les conclusions doivent
exprimer explicitement le niveau d’assurance.
Description du Le sujet est décrit dans le rapport d'audit. L'introduction du rapport définit l'étendue
sujet et de la de l'audit sous la forme d'une déclaration claire de l'objet, de l'étendue et des limites
portée de l'audit de l'audit. Elle indique également la période couverte par l'audit.
Critères d'audit Les critères par rapport auxquels le sujet est évalué doivent être indiqués dans le
rapport d'audit. Ces critères peuvent être inclus dans le rapport lui-même, ou le
rapport peut y faire référence s'ils sont contenus dans une déclaration de la direction
ou s'ils sont disponibles auprès d'une source fiable et facilement accessible.
Lorsque les critères appliqués dans le cadre de l'audit ne sont pas facilement
identifiables ou qu'ils ont dû être dérivés de sources pertinentes, ils sont clairement

94
 indiqués dans la section correspondante du rapport de l'auditeur. Dans les cas où les
critères sont contradictoires, le conflit est expliqué.
Explication et Le rapport doit comporter une déclaration claire sur les procédures mises en œuvre
justification des pour recueillir des éléments probants en vue de répondre aux questions d'audit. Cela
méthodes utilisées permettra à un utilisateur de lire et de comprendre le rapport et d'avoir confiance
dans l'exactitude des conclusions formulées.
Il est important de rédiger le sommaire méthodologique d'une manière objective qui
permette aux utilisateurs prévus de comprendre les travaux effectués comme
fondement de la conclusion de l'auditeur. Toutefois, le résumé ne doit pas être bref
au point de rendre difficile la compréhension du travail des auditeurs, en particulier
la manière dont ils sont parvenus à une conclusion ou à une opinion.
Conclusion(s) ou La conclusion ou l'opinion est exprimée comme une réponse à des questions d'audit
opinion basée sur spécifiques. La nature de la formulation peut être influencée par le mandat de l'ISC et
les réponses à des le cadre juridique dans lequel l'audit est réalisé. La norme ISSAI 4000.191 stipule que
questions d'audit l'auditeur doit communiquer la conclusion dans un rapport d'audit. La conclusion
spécifiques peut être exprimée sous forme d'opinion, de conclusion, de réponse à des questions
d'audit spécifiques ou de recommandations.
Dans le cadre d'une mission d'audit direct, l'auditeur fournit une assurance en
mesurant le sujet traité par rapport aux critères et formule une conclusion. La
conclusion de l'audit exprime l'opinion de l'auditeur selon laquelle le sujet est ou n'est
pas conforme à tous égards importants aux critères applicables. La conclusion est
exprimée sous la forme de constatations, de réponses à des questions d'audit
spécifiques, de recommandations ou d'une opinion.
Pour les missions d'attestation, le niveau d'assurance sera transmis par l'utilisation
appropriée d'opinions d'audit standardisées. Les formes d'opinion et de conclusion
pour les missions d'attestation sont expliquées à la section 7.2.4.
Réponses de L'incorporation des réponses aux constatations de l'entité auditée fait partie du
l'entité auditée (le principe de contradiction. Il s'agit de se mettre d'accord sur les faits avec l'entité
cas échéant) auditée afin de s'assurer que les constatations sont complètes, exactes et présentées
de manière fidèle. Il s'agit également, le cas échéant, d'intégrer la réponse de l'entité
auditée aux questions soulevées, que ce soit textuellement ou sous forme de résumé.
Le fait de valider en temps utile les constatations constitue la base d'un rapport solide
et réduit le temps nécessaire pour convenir du rapport final avec l'entité auditée.
L'équipe envoie le projet de rapport, avec l'approbation de l'ISC, à l’entité auditée
pour qu'elle le commente. Au cours de la phase d'exécution de l'audit, l'équipe a déjà
discuté des différents résultats avec l'entité. Ainsi, l'entité a été informée de
l'avancement de l'audit.
Le support utilisé pour présenter les conclusions à l’entité auditée peut être basé sur
les formulaires habituels de l'ISC, par exemple une lettre de gestion ou un projet de
conclusions. L’entité auditée est tenue de répondre au projet de rapport. Lorsque
l'équipe reçoit les commentaires de l'entité, l'auditeur analyse la réponse et s'assure
que les questions valables soulevées par l’entité auditée sont prises en compte lors
de la finalisation du rapport.
En vertu du cadre juridique de l'ISC, l'auditeur peut publier le rapport avec les
commentaires dans son intégralité, ou dans un résumé ou une version éditée, ou ne
pas inclure les commentaires.

95
7.2.2 Les éléments spécifiques à une mission de rapport direct :

Résumé Le résumé des travaux effectués et des méthodes utilisées aide les utilisateurs prévus
à comprendre la conclusion de l'auditeur. Par conséquent, le résumé doit donner au
lecteur une brève explication de la manière dont l'audit a été réalisé.

Le résumé comprend un paragraphe sur le contexte de l'entité, expliquant le sujet

principal et son importance. Il comprend également l'objectif, les questions d'audit,
l'approche d'audit, et décrit les principales constatations et conclusions de l'audit
sous une forme résumée, facile à lire et à comprendre. Le lecteur obtient ainsi une
vue d'ensemble des questions essentielles du sujet. Le résumé comprend les
principales recommandations de l'audit et une déclaration confirmant que l'entité
auditée a eu la possibilité de faire des commentaires sur le rapport. Le résumé
compte généralement de deux à trois pages, mais il peut être plus court, en fonction
de l'audit concerné.

Constatations La section des constatations comprend la description par l'auditeur des éléments
probants recueillis par rapport aux critères. Le constat d'audit est structuré de
manière à aider le lecteur à comprendre la question d'audit - avec l'analyse du risque,
sur la base des éléments probants - jusqu'à la conclusion sur le problème. L'auditeur
utilise les matrices de constatation d'audit complétées comme documents de travail
(expliqués au chapitre 6) pour rédiger les constatations. S'il existe une quantité
d'informations importante pour appuyer les conclusions de l'audit, l'auditeur peut
inclure ces informations dans les annexes.

Recommandations Le rapport comprend, le cas échéant, des recommandations visant à apporter des
améliorations. Si ces recommandations peuvent être constructives pour l'entité
auditée, elles ne doivent pas être détaillées au point de nuire à l'objectivité de
l'auditeur lors de futurs audits. Si l'auditeur formule une recommandation spécifique
et que la partie responsable ne la met pas en œuvre mais envisage une autre option,
l'auditeur peut être tenté, lors d'audits ultérieurs, de considérer cela comme une
non-conformité. Dans ce cas, l'essentiel est de déterminer si les recommandations
laissent à l'entité la possibilité d'utiliser le mécanisme qu'elle juge approprié dans les
circonstances pour se mettre en conformité.

Une bonne pratique consiste à discuter des recommandations avec l'entité.

L'auditeur peut supposer que la recommandation suggérée est utile pour l'entité,
mais au cours de la discussion, l'entité peut clarifier l'aspect pratique de la mise en
œuvre de la recommandation ou expliquer les difficultés à le faire. Sur la base de
cette discussion, l'auditeur peut modifier et finaliser les recommandations.

7.2.3 Les éléments spécifiques à une mission d'attestation :

Destinataire Un destinataire identifie la ou les entités auxquelles le rapport d'audit est destiné. Le
rapport d'audit est généralement adressé à la partie responsable, mais dans certains
cas, il peut y avoir d'autres destinataires. Il peut s'agir d'organes législatifs ou de
contrôle, de personnes chargées de la gouvernance, du ministère public ou du grand
public.

96
 Étendue et limites Le rapport présente la portée de l'audit comme une déclaration claire de l'objectif,
de l'audit, y de l'étendue et des limites de l'audit en termes de conformité du sujet aux critères.
compris la période L'introduction comprend également la période couverte par l'audit.
couverte

Responsabilités de L'identification des responsabilités relatives informe les utilisateurs prévus que la
la partie partie responsable est en charge du sujet sous-jacent. Elle confirme également que
responsable et de le responsable de la vérification ou de l'évaluation est chargé de la mesure ou de
l'évaluation du sujet par rapport aux critères applicables et que le rôle de l'auditeur
l'auditeur
est d'exprimer de manière indépendante une opinion/conclusion sur les informations
relatives au sujet. Ces responsabilités peuvent être exprimées comme suit :
Responsabilité de la partie responsable : Selon [les termes de l'accord avec
l'organisation XYZ en date du [Link].20XX], la direction de l'organisme public ABC est
responsable de [la préparation de comptes complets conformément aux termes de
l'accord].
Responsabilité de l'auditeur : Notre responsabilité consiste à exprimer de manière
indépendante une conclusion/opinion sur [les comptes du projet] sur la base de notre
audit. Nos travaux ont été réalisés conformément aux [normes ISSAI relatives aux
audits de conformité]. Les normes exigent que nous nous conformions aux règles
d'éthique et que nous planifiions et réalisions l'audit de manière à obtenir une
assurance raisonnable que [l'utilisation des fonds du projet est conforme, à tous
égards importants, aux termes de la convention de financement datée du
[Link].20XX].
Un audit implique la mise en œuvre de procédures visant à recueillir des éléments
probants suffisants et appropriés pour justifier notre conclusion. Les procédures
mises en œuvre dépendent du jugement professionnel de l'auditeur, y compris
l'évaluation du risque de non-conformité significative, qu'elle soit due à une fraude
ou à une erreur. Les procédures d'audit que nous avons mises en œuvre sont celles
que nous estimons appropriées en la circonstance. Nous estimons que les éléments
probants recueillis sont suffisants et appropriés pour fonder notre conclusion.

Date du rapport Le rapport d'audit doit être daté. L'auditeur doit s'assurer que le rapport n'est pas
daté avant d'avoir recueilli des éléments probants suffisants et appropriés pour
appuyer son opinion/conclusion.

Signature Le rapport d'audit doit être signé par une personne habilitée à le faire, à savoir le chef
de l'ISC ou une personne à qui le pouvoir a été délégué.

7.2.4 Opinion/conclusion dans une mission d'attestation

Dans une mission d'attestation, l'auditeur fournit une assurance en faisant une déclaration claire sur
le niveau d'assurance, par le biais d'opinions ou de conclusions standardisées.
En formulant son opinion, l'auditeur prend en compte le niveau d'assurance fourni. Une opinion est
une déclaration écrite claire exprimée dans un format standardisé, qu'elle soit modifiée ou non. Le
rapport d'audit indique si les cas de non-conformité sont généralisés.
Opinion sans réserve :
Lorsqu'aucun cas significatif de non-conformité n'a été identifié, l'opinion est sans réserve89. Un
exemple de formulaire d'opinion sans réserve pour une mission d'assurance raisonnable (où le libellé
approprié est inséré entre parenthèses, le cas échéant) peut être le suivant :
Opinion sans réserve

89
ISSAI 4000.193

97
 « À notre avis, [le sujet de l'entité auditée] est conforme, à tous égards importants, aux
[critères appliqués]. »

Opinion avec réserves :

L’auditeur modifie son opinion90 dans les cas suivants :
a) Cas significatifs de non-conformité, et pour
b) Limitation de l'étendue.
a. Pour les cas significatifs de non-conformité, selon l'ampleur de la non-conformité, cela peut
entraîner :

i. Une opinion avec réserve ii. Une opinion défavorable

Si les écarts de conformité sont importants, Si les écarts de conformité sont importants
mais non généralisés, l'opinion est la et généralisés, l'avis est le suivant :
suivante :
« À notre avis, [le sujet] n'est pas conforme,
« Sur la base des travaux d'audit réalisés, à tous égards importants, aux (critères
nous avons constaté qu'à l'exception de appliqués) ... et les écarts de conformité sont
[décrire l'exception], le sujet de l'entité généralisés. »
auditée est conforme, à tous égards
importants, aux [critères appliqués] ... » ou

b. Pour la limitation du champ d'application, selon l'étendue de la restriction, cela peut entraîner :

iii. Une opinion avec réserve iv. Un avis de responsabilité

Si l'auditeur n'a pas été en mesure de Si l'auditeur n'est pas en mesure de recueillir
recueillir des éléments probants suffisants des éléments probants suffisants et
et appropriés, et que les effets possibles appropriés sur la conformité aux textes
sont importants, mais non généralisés, législatifs et réglementaires, et que les effets
l'opinion est la suivante : possibles sont importants et généralisés,
l'opinion est la suivante :
« A notre avis, à moins de [décrire
l'exception], l'auditeur n'a pas été en « Nous n'exprimons pas d'opinion sur le
mesure de recueillir des éléments probants sujet. Nous n'avons pas été en mesure de
suffisants et appropriés, et les effets recueillir des éléments probants suffisants et
possibles sont importants, mais pas appropriés pour fonder une opinion... ».
généralisés », ou
Conclusion :
Les conclusions de la mission d'attestation sont présentées de la même manière que pour une mission
de rapport direct. Les conclusions exprimées sous une forme appropriée à une mission d'assurance
raisonnable comprennent les éléments suivants:
 Lorsqu'elles sont exprimées en termes de sujet sous-jacent et des critères applicables, « A
notre avis, l'entité s'est conformée, à tous égards importants, aux critères. »
 Lorsqu'elles sont exprimées en termes d'informations sur le sujet et les critères applicables,
« A notre avis, la prévision de l'activité de l'entité est correctement préparée, à tous égards
importants, sur la base des critères ».

90
ISSAI 4000.194

98
7.2.5 Mission d'assurance limitée
Dans une mission d'assurance limitée, le format d'une opinion non modifiée peut être le suivant :
« Sur la base des travaux réalisés décrits dans le présent rapport, nous n'avons pas relevé
d'éléments nous amenant à considérer que le sujet traité n'est pas conforme, à tous égards
importants, aux [critères appliqués] ».
Une opinion avec réserve pourrait stipuler que :
« Sur la base des travaux réalisés décrits dans le présent rapport, à l'exception de [décrire
l'exception], rien n'a été porté à notre attention qui nous amène à considérer que le sujet traité
n'est pas conforme, à tous égards importants, aux [critères appliqués] »91.
Dans une mission d'assurance limitée, l'auditeur recueille des éléments probants suffisants et
appropriés pour répondre à l'objectif de la mission ; toutefois, les procédures sont limitées par rapport
à ce qui est nécessaire pour une mission d'assurance raisonnable.

91
ISSAI 4000.195

99
7.3 Rapports des ISC disposant de pouvoirs juridictionnels

L’ISSAI 4000.221 stipule que, dans les ISC disposant de pouvoirs juridictionnels, l'auditeur doit tenir
compte le rôle du procureur ou des personnes chargées de traiter les questions de jugement au sein
de l'ISC, et doit également inclure, le cas échéant, les éléments suivants dans les missions de rapport
direct et d'attestation :

Structure du rapport : Les ISC disposant de pouvoirs juridictionnels

1. Identification des parties responsables et de l'entité auditée
2. La ou les personnes responsables impliquées et leurs responsabilités
3. Identification des normes d'audit appliquées pour la réalisation des travaux
4. Les responsabilités de l'auditeur
5. Un résumé des travaux effectués
6. Les opérations et procédures, etc. qui sont affectées par les actes de non-conformité et les éventuels
actes illicites. Ceci doit inclure, le cas échéant
o Une description de la constatation et de sa cause ;
o L'acte juridique qui a été enfreint (les critères d'audit) ;
o Les conséquences des actes de non-conformité et des éventuels actes illégaux.
7. Les personnes responsables et leurs explications concernant leurs actes de non-conformité et leurs
éventuels actes illégaux, le cas échéant
8. Le jugement professionnel de l'auditeur qui détermine s'il existe une responsabilité personnelle
concernant les actes de non-conformité
9. La valeur de la perte/du mauvais usage/dommage créés et le montant à payer en raison de la
responsabilité personnelle
10. Toute mesure prise par les personnes responsables pendant l'audit pour réparer la perte/le mauvais
usage/le dommage créés
11. Les arguments de la direction sur la non-conformité/les actes illégaux

Lors des contrôles effectués par les ISC disposant de pouvoirs juridictionnels, les utilisateurs des
rapports d'audit de conformité comprennent le procureur ou les personnes chargées de traiter les
questions de jugement au sein de l'ISC.
Les ISC disposant de pouvoirs juridictionnels peuvent déterminer la responsabilité personnelle pour
les actes de non-conformité. Il s'agit généralement des propositions et des décisions finales - sur la
responsabilité personnelle et les sanctions - prises dans le cadre d'une procédure juridictionnelle. La
responsabilité personnelle peut être mesurée par l'étendue de la participation de la personne à une
transaction non conforme (illégale, inutile, excessive, extravagante, déraisonnable) comme indiqué
dans les documents de transaction qu'elle a signés.
Dans son rapport, l'auditeur doit expliquer les méthodes utilisées pour déterminer si chaque personne
responsable impliquée dans l'administration, la gestion, l'utilisation ou le contrôle de fonds ou de
biens publics est responsable ou non des actes de non-conformité.

7.4 Signalement des fraudes et des actes illégaux présumés

La norme ISSAI 4000.225 stipule que, lors de la réalisation d'audits de conformité, si l'auditeur
rencontre des cas de non-conformité qui peuvent être révélateurs d'actes illégaux ou de fraudes, il
doit faire preuve de prudence professionnelle et communiquer ces cas à l'organisme responsable.
L'auditeur doit veiller à ne pas interférer avec d'éventuelles procédures judiciaires ou enquêtes
futures.

100
Signalement d'actes illicites présumés
Bien que la détection d'actes illicites potentiels et de fraude, ne soit pas l'objectif principal de la
réalisation d'un audit de conformité, l'auditeur inclut les facteurs de risque de fraude dans son
évaluation des risques. L'auditeur reste attentif aux indices d'actes illégaux, y compris de fraude, dans
l'exercice de ses fonctions.
Les auditeurs peuvent envisager de consulter un conseiller juridique ou les autorités réglementaires
compétentes. En outre, ils peuvent communiquer leurs soupçons aux responsables appropriés de la
direction ou aux personnes constituant le gouvernement d'entreprise, puis assurer un suivi pour
vérifier que les mesures appropriées ont été prises. En raison des différents mandats et structures
organisationnelles qui existent au niveau international, il appartient à l'ISC de déterminer les mesures
appropriées concernant les cas de non-conformité liés à une fraude ou à de graves irrégularités.
Un tribunal peut déterminer si une transaction particulière est illégale et constitue une infraction
pénale. Mais les ISC disposant de pouvoirs juridictionnels peuvent également conclure qu'une
transaction spécifique est illégale. L'ISC peut justifier l'imposition de sanctions à la personne
responsable et déterminer les remboursements de fonds, les actifs détournés et les paiements indus
ou abusifs.
Bien que les auditeurs ne déterminent pas si un acte illégal constitue une infraction pénale ou si une
responsabilité civile a été engagée, ils ont la responsabilité d'évaluer si les transactions concernées
sont conformes aux lois et règlements applicables. Ils doivent également déterminer si elles
constituent des infractions qui conduiront le tribunal à imposer des sanctions ou le remboursement
de paiements indus ou impropres ou d'actifs détournés.
Les actes frauduleux sont, par nature, non conformes à la réglementation en vigueur. L'auditeur peut
également établir que les transactions pour lesquelles une fraude est suspectée, mais pas encore
prouvée, ne sont pas conformes aux autorisations. La fraude entraîne généralement la formulation
d'une réserve sur l'opinion de conformité dans le rapport de l'auditeur.

Les ISC disposant de pouvoirs juridictionnels

Si des soupçons d'actes illégaux apparaissent au cours de l'audit, l'auditeur peut les communiquer aux
responsables appropriés de la direction et aux personnes constituant le gouvernement d'entreprise.
Les personnes constituant le gouvernement d'entreprise sont probablement des organes
administratifs situés plus haut dans la hiérarchie. Lorsque cela est approprié et raisonnable, l'auditeur
peut assurer un suivi et vérifier que la direction ou les personnes constituant le gouvernement
d'entreprise ont pris les mesures appropriées en réponse à la suspicion, par exemple en signalant
l'incident aux autorités compétentes chargées de l'application de la loi. L'auditeur peut également
signaler de tels incidents directement aux autorités compétentes chargées de l'application de la loi.

7.5 Assurer la qualité du rapport d'audit

Il est essentiel pour l'auditeur de s'assurer de la qualité du rapport d'audit en tenant compte des
principes d'établissement des rapports. Toutes les constatations et conclusions doivent être appuyées
par des éléments probants adéquats et fiables dans les documents de travail de l'audit. Les questions
d'audit signalées doivent être analysées et conclues de manière adéquate. Les points de vue sur les
questions importantes exprimés par les auditeurs au cours de l'audit doivent être mentionnés et
discutés dans le rapport. L'auditeur doit reconnaître les preuves contradictoires importantes et
expliquer pourquoi elles ont été rejetées ou n'ont pas été prises en compte dans les conclusions du
rapport. Les normes relatives à l'importance relative et à la signification dépendront de la nature de
l'audit et du type de rapport ou autre produit.

101
Le projet de rapport préparé par l'équipe doit être soigneusement revu par le chef
d'équipe/superviseur et par un auditeur expérimenté et indépendant de l'équipe d'audit. L'équipe
doit répondre de manière appropriée à tout commentaire de cet examinateur. Lors de cet examen,
les commentaires de l'examinateur et les mesures qui y ont été prises doivent être documentés et
conservés dans les documents de travail de l'audit.
Après avoir été révisé en interne, le projet de rapport doit être transmis à l'entité auditée, pour
examen et commentaires dans un délai déterminé. Les commentaires reçus de l'entité auditée doivent
être soigneusement examinés par l'auditeur. Les désaccords factuels doivent être résolus, ce qui peut
nécessiter des travaux d'audit supplémentaires. Le rapport d'audit doit être ajusté, si nécessaire, en
réponse aux commentaires de l'entité auditée.
L'examinateur peut utiliser la liste de contrôle fournie à l'Annexe 7-A pour procéder à un examen de
qualité du rapport d'audit.

7.6 Communiquer le rapport aux parties prenantes

C'est une bonne pratique pour l'ISC de développer une stratégie ou une politique de communication
afin de fournir des conseils sur la manière de collaborer avec l’entité auditée et les parties prenantes
concernées pendant le processus de rapport. La communication avec les principales parties prenantes
est expliquée ci-dessous.

L'entité auditée Le processus de communication entre l'auditeur et l’entité auditée commence dès la
phase de planification de l'audit et se poursuit tout au long du processus d'audit. L'ISC
doit toujours donner aux entités contrôlées la possibilité de commenter les résultats,
les conclusions et les recommandations du contrôle. Après avoir publié le projet de
rapport, l'ISC doit demander à la direction de l'entité de fournir, dans un délai précis,
des commentaires sur l'accord ou le désaccord avec la validité et l'exhaustivité du
contenu du projet de rapport.
L'équipe d'audit peut rencontrer les responsables de l'entité pour discuter des
commentaires de l'entité, pour en avoir une compréhension approfondie et pour
obtenir toute information supplémentaire importante liée aux commentaires. En cas
de conflit, il faut s'efforcer de résoudre les opinions contradictoires pour que l'image
finale soit aussi fidèle et juste que possible. Ces réunions sont généralement limitées
en nombre et doivent être programmées dans une période qui respecte le calendrier
de production du rapport de l'ISC.

L'organe législatif La communication avec l'organe législatif, comme le parlement, est tout aussi
importante car c'est le parlement qui utilisera les rapports de l'ISC pour améliorer la
gestion et la responsabilité du gouvernement. Si les rapports sont ignorés ou si les
informations sont mal comprises, les ressources de contrôle peuvent être gaspillées
et la crédibilité de l'ISC peut être remise en question.
Les ISC aident les organes législatifs, tels que les comités des comptes publics (PAC),
en informant les membres du parlement et en leur fournissant des informations
pertinentes sur les conclusions des audits. Outre la communication préalable, il est
essentiel que le ou les représentants des ISC assistent aux audiences du PAC au cours
desquelles les rapports d'audit sont discutés.

Les médias Lorsque le rapport est déposé au Parlement, il devient un document public. Le
rapport et les communiqués de presse sont publiés dans les médias. L'ISC doit
s'assurer que les informations fournies aux médias sont opportunes, précises et
claires. En fournissant ces informations, l'ISC doit être réceptive, utile et informative,
sans compromettre son indépendance ou sa neutralité politique ni porter atteinte au

102
 privilège parlementaire. La communication avec les médias est facilitée par les
moyens suivants :
 Répondre aux demandes de renseignements des médias
 Elaborer des communiqués de presse en collaboration avec les équipes
d'audit
 Organiser et gérer les événements médiatiques tels que les conférences de
presse et les interviews.
 Aider le personnel à élaborer des questions et des réponses dans les lignes
médiatiques
 Fournir au personnel une formation aux médias
 Suivre l'actualité et les débats publics concernant l'ISC
 Informer la haute direction des questions émergentes dans les médias.
 Réaliser des analyses de médias pour aider à améliorer le développement des
messages

Les citoyens et Les citoyens sont une source d'idées pour l'audit du secteur public, une source de
autres parties demande d'audit et des utilisateurs des rapports d'audit. Ils peuvent être contactés
directement ou par le biais d'organisations non gouvernementales qui les
prenantes représentent. Selon les circonstances dans le pays de l'ISC, cette communication peut
inclure un mélange d'entretiens télévisés, d'articles, de brochures et une utilisation
du site Internet de l'ISC.
D'autres parties prenantes pertinentes sont les représentants de la communauté
universitaire. Ils possèdent des connaissances spécialisées dans des domaines d'audit
spécifiques et peuvent fournir un point de vue plus objectif, moins limité par des
intérêts personnels. Les organisations non gouvernementales peuvent constituer
une source d'idées utile. Elles peuvent avoir mené leurs recherches par le biais
d'enquêtes et d'études de cas et disposer d'un éventail de contacts pertinents. La
société civile peut être amenée à faire pression sur le corps législatif pour qu'il agisse,
en particulier si l'ISC fournit des informations sur un sujet qui l'intéresse.

103
7.7 Suivi de l'audit

Quelque temps après la publication d'un rapport d'audit, l'ISC doit prendre les dispositions
appropriées pour déterminer les mesures éventuelles prises par l’entité auditée pour corriger les
problèmes révélés dans le rapport d'audit et l'effet que ces mesures ont pu avoir. La norme ISSAI
4000.232 stipule que l'auditeur doit décider de donner suite aux
opinions/conclusions/recommandations relatives aux cas de non-conformité figurant dans le rapport
d'audit, le cas échéant.
Il convient de noter que le processus de suivi peut ne pas être applicable dans tous les cas et à toutes
les ISC. Le mandat de l'ISC, ainsi que la nature de l'audit, détermineront si un suivi est pertinent. Par
exemple, si l'ISC a pour mandat de réaliser un audit de conformité des entreprises publiques (SOE) ou
des entreprises du secteur public (PSU), l'ISC peut réaliser des audits de suivi de ces entités.
Pourquoi le suivi ?
L'ISC a pour rôle de contrôler les dispositions prises par la partie responsable en réponse aux questions
soulevées dans un rapport d'audit. La nécessité d'effectuer un suivi des cas de non-conformité signalés
précédemment varie en fonction de la nature du sujet, de la non-conformité identifiée et des
circonstances particulières de l'audit. Le processus de suivi facilite la mise en œuvre efficace des
mesures correctives. Il fournit un retour d'information utile à l'entité auditée, aux utilisateurs du
rapport et aux auditeurs pour la planification des audits futurs. Le suivi a des objectifs différents pour
les trois parties :

Pour la partie Démontrer l'efficacité de l'entité auditée à traiter les problèmes. L'un des objectifs est
responsable: d'encourager une réponse appropriée aux conclusions de l'audit de la part de l’entité
auditée ou d'autres entités responsables. Si l’entité auditée a pris des mesures pour
surmonter les problèmes constatés au cours d'un contrôle, il convient que l'ISC
reconnaisse ce fait. Si, par contre, l’entité auditée n'a pas agi en réponse à l'audit, il est
également judicieux que l'ISC indique que le ou les problèmes persistent.

Pour l'utilisateur Fournir une mise à jour sur ce qui a été réalisé par la partie responsable et les lacunes
prévu : existantes, le cas échéant.

Pour l'auditeur : Evaluer l'efficacité de son audit. Un autre objectif du suivi de l'audit est de jeter les
bases des futurs travaux d'audit. Si l'on pense que les problèmes précédemment
divulgués ont été résolus, les travaux d'audit ultérieurs dans ce domaine peuvent ne
nécessiter que des tests minimaux pour confirmer que le problème ne persiste plus. Si
le problème n'a pas été résolu, des travaux d'audit supplémentaires peuvent être
justifiés pour établir la nature et l'importance du problème, afin de susciter une
réponse plus appropriée de la part de l'entité auditée.

Ce qu'il faut suivre

Le suivi vise à déterminer si l'entité auditée a répondu de manière adéquate aux questions soulevées
dans un rapport d'audit spécifique.
Les auditeurs assurent généralement le suivi des :
 Recommandations du rapport d'audit
 Questions soulevées par les utilisateurs prévus, par exemple, le corps législatif, le comité
des comptes publics ou le public.
Il est important de noter que l'auditeur peut élargir son champ d'application pour inclure d'autres
aspects pertinents en dehors de ses recommandations. L'essentiel ici est de déterminer si l'entité
s'est conformée à toutes les directives nécessaires.

104
Quand effectuer le suivi
La décision de savoir quand effectuer un suivi dépend de plusieurs facteurs. Si l'audit était une mission
d'attestation ponctuelle, le suivi peut ne pas être nécessaire. Toutefois, si les auditeurs constatent des
écarts importants ayant des implications pour les citoyens, même si la mission d'audit est ponctuelle,
ses résultats doivent faire l'objet d'un suivi. Si la mission est une mission directe et qu'elle est menée
à des périodes spécifiques, alors un suivi peut être nécessaire.
L'auditeur doit laisser à la partie responsable suffisamment de temps pour mettre en œuvre les
recommandations tout en veillant à ce que le suivi soit pertinent pour les utilisateurs prévus.
L'auditeur doit exercer son jugement professionnel à cet égard. Certaines ISC peuvent, en fonction de
la fréquence d'une mission d'audit, mener des procédures de suivi lors de la réalisation des audits en
cours.

Comment assurer le suivi

Les ISC peuvent établir des politiques et des procédures pour effectuer le suivi. L'auditeur peut
préparer un plan d'audit identifiant les ressources à utiliser, les recommandations et les conclusions
d'audit à examiner, ainsi que le délai d'exécution.
Certaines procédures d'audit qui ont été utilisées lors de la mission d'audit initiale peuvent être
applicables lors du suivi. L'auditeur doit se renseigner pour déterminer si ces procédures sont
adéquates. D'autres processus de suivi peuvent inclure des examens et des évaluations internes
préparés par l'entité auditée ou par d'autres.
Quelle que soit la forme, l'auditeur doit recueillir des éléments probants suffisants et appropriés pour
justifier ses constatations et ses conclusions. Le rapport de suivi peut suivre les mêmes lignes
hiérarchiques que la mission d'audit, y compris la soumission aux utilisateurs prévus.
L'ISC peut décider, sur la base des résultats du suivi, de continuer à contrôler les mesures de mise en
œuvre de l’entité auditée ou prendre la décision d'entreprendre une toute nouvelle mission d’audit.
Dans le cas de contrôles effectués régulièrement, les procédures de suivi peuvent faire partie de
l'évaluation des risques de l'année suivante.

105
 PARTIE D Documentation de l'audit de conformité

Chapitre 8 : Documentation de l'audit

106
 Documentation de l’audit

Chapitre 8

Documentation de l’audit
8.1 Exigences des ISSAI en matière de documentation
8.2 Objectif de la documentation
8.3 Éléments de la documentation
8.4 Composants des documents de travail
8.5 Organisation de la documentation des documents de travail
8.6 Conservation des documents
8.7 Questions de confidentialité et de transparence

107
Le présent chapitre explique la documentation et les documents de travail d'un audit de conformité,
tels qu'ils sont requis par les normes ISSAI et les bonnes pratiques pertinentes. Une documentation
appropriée tout au long d'un audit - de la planification au rapport - constitue la base d'un audit de
grande qualité, qui aura la crédibilité souhaitée auprès des utilisateurs.

Au cours du processus d'audit, les auditeurs recueillent des éléments probants et les organisent dans
les dossiers, soit sur papier, soit sous forme électronique. Toutefois, il arrive souvent qu'un auditeur
se demande : « Que dois-je documenter exactement? » Les ISSAI répondent à cette question pour
aider l'auditeur à documenter avec les documents de travail requis. La Partie C du présent manuel
identifie la documentation et les mesures de contrôle de la qualité nécessaires aux différentes phases
de l'audit à l'aide de modèles de documents de travail suggestifs. Ce chapitre décrit en outre comment
l'auditeur peut prendre des dispositions pour disposer d'une documentation adéquate afin de garantir
la qualité globale de l'audit.
Les normes ISSAI fournissent des orientations concernant le contenu, la séquence et le format de la
documentation d'audit. Les ISSAI laissent la forme de la documentation à l'appréciation
professionnelle des auditeurs et de l'ISC. Souvent, les auditeurs doivent faire preuve d'innovation dans
la documentation pour appuyer leurs conclusions d'audit. Le présent chapitre traite de l'objectif et
des éléments de la documentation, ainsi que des composants des documents de travail.

8.1 Exigences des ISSAI en matière de documentation

L’ISSAI 4000.89 stipule que l'auditeur doit préparer une documentation d'audit suffisamment détaillée
pour permettre une bonne compréhension des travaux effectués, des éléments probants recueillis et
des conclusions tirées. L'auditeur doit établir la documentation d'audit en temps voulu, la tenir à jour
tout au long de l'audit et compléter la documentation des éléments probants à l'appui des conclusions
de l'audit avant la publication du rapport d'audit.

La documentation Une explication du sujet de l'audit.

d'audit comprend,
Une évaluation des risques, une stratégie et un plan d'audit, ainsi que des
le cas échéant (ISSAI
documents connexes.
4000.90):
Les méthodes appliquées ainsi que l'étendue et la période couverte par l'audit.
La nature, le moment et l'étendue des procédures d'audit mises en œuvre.
Les résultats des procédures d'audit mises en œuvre et les preuves obtenues.
L'évaluation des éléments probants formant des constatations, des conclusions et
des recommandations.
Les jugements portés dans le cadre du processus d'audit et le raisonnement qui les
sous-tend.
La communication avec l'entité auditée et le retour d'information de sa part
Des examens de supervision et autres mesures de contrôle de la qualité.

La documentation doit être suffisante pour démontrer comment l'auditeur a défini l'objectif d'audit,
le sujet, les critères et l'étendue, ainsi que les raisons pour lesquelles une méthode d'analyse
spécifique a été choisie. À ce titre, la documentation doit être organisée de manière à établir un lien
clair et direct entre les constatations et les éléments probants qui les étayent (ISSAI 4000.91).

En ce qui concerne spécifiquement la phase de planification de l'audit, la documentation conservée

par l'auditeur doit contenir (ISSAI 4000.92) :

108
 a) Les informations nécessaires à la compréhension de l'entité auditée et de son
environnement, qui permettent l'évaluation du risque.
b) L'évaluation de l'importance relative du sujet.
c) L'identification des sources possibles d’éléments probants.
d) Le calendrier, le registre de l'examen sur dossier et des entretiens, le procès-
verbal de la réunion et la matrice de planification de l'audit.
L'auditeur doit adopter des procédures appropriées pour préserver la confidentialité et la sécurité de
la documentation d'audit. Il la conserve pour une période suffisante afin de répondre aux besoins des
exigences légales, réglementaires, administratives et professionnelles en matière de conservation de
documents et de permettre la conduite des activités de suivi de l'audit (ISSAI 4000.93).
La documentation des décisions critiques qui ont été prises est essentielle pour démontrer
l'indépendance et l'impartialité de l'auditeur dans son analyse. L'existence de questions sensibles
exige la documentation des faits pertinents pris en compte par l'auditeur pour choisir une ligne
d'action ou prendre une décision spécifique. De cette façon, les actions et les décisions sont expliquées
et transparentes (ISSAI 4000.94).
Dans le cas des ISC disposant des pouvoirs juridictionnels, la documentation nécessaire pour fournir
des propositions de responsabilité personnelle ne relève pas de la présente norme professionnelle
(ISSAI 4000.95).

Selon les normes, les aspects essentiels de la documentation et des documents de travail sont :

Documentation
Objectif de la Éléments de la Organisation de la Maintien de la
des étapes de
documentation documentation documentation confidentialité
l'audit

Ces aspects sont décrits ci-dessous.

8.2 Objectif de la documentation

La norme ISSAI 4000.90 stipule que l'objectif de la documentation est:

 D'améliorer la transparence des travaux réalisés, et

 De permettre à un auditeur expérimenté n'ayant aucun lien préalable avec l'audit de
comprendre les questions soulevées par l'audit.
Elle rend les tâches d'audit importantes plus faciles à gérer et aide le superviseur de l'audit et le
réviseur à formuler leurs commentaires. Le processus de préparation et de révision de la
documentation d'audit contribue à la qualité d'un audit. La documentation d'audit sert à:

 Fournir un support pour le rapport des auditeurs.

 Aider les auditeurs à mener et à superviser l'audit.
 Aider le contrôleur de la qualité dans la revue de la qualité de l'audit.

Revue de la qualité de l'audit

109
L'équipe d'audit, les superviseurs de l'équipe, les gestionnaires, les examinateurs de la qualité de
l'audit et les pairs examinateurs sont les principaux utilisateurs des documents de travail de l'audit.
Du point de vue de l'utilisateur, l'auditeur doit réfléchir à ce que les examinateurs voudraient voir et
aux exigences auxquelles ils voudraient que l'équipe d'audit se conforme. Pour un audit de conformité,
le point de référence est constitué par les exigences de la norme ISSAI 4000.
Les ISSAI exigent des auditeurs qu'ils conservent la documentation d'audit de manière à ce qu'un
auditeur expérimenté soit en mesure de la suivre et de la comprendre. Un auditeur qualifié est une
personne (interne ou externe à l'ISC) qui possède les compétences et les aptitudes qui lui auraient
permis de réaliser l'audit. Ces compétences et aptitudes comprennent la compréhension:

de
Du processus des normes et
Du sujet l'environnement
d'audit exigences légales
de l'entité auditée

Les auditeurs doivent bien documenter chaque étape du processus d'audit. Une documentation
adéquate aide les examinateurs à comprendre ce qui a été fait, comment cela a été fait et pourquoi
cela a été fait.
En général, l'ISC prépare un ensemble standardisé de documents de travail (dans le cadre de la
documentation d'audit) et détermine ce qui les rend conformes et satisfaisants pour le superviseur ou
l'examinateur. Le fait de définir des attentes claires en matière de documentation et de les
communiquer à son personnel facilitera considérablement le processus d'examen de la qualité, tant
pour les auditeurs que pour les réviseurs.

8.3 Éléments de la documentation

La documentation de l'auditeur concernant les éléments probants relatifs au non-respect identifié ou

suspecté des textes législatifs et réglementaires peut inclure, par exemple, des copies de registres ou
de documents, des comptes rendus d'entretiens avec la direction, les personnes constituant le
gouvernement d'entreprise ou d'autres parties à l'intérieur ou à l'extérieur de l'entité.
Les auditeurs sont tenus de consigner par écrit les procédures d'audit mises en œuvre, les éléments
probants obtenus et les conclusions tirées concernant les critères d'audit de conformité utilisés dans
l'audit. Les auditeurs élaborent et conservent des documents qui montrent clairement que le travail a
effectivement été effectué.
Pour déterminer la nature et l'étendue de la documentation d'un audit de conformité, les auditeurs
peuvent prendre en compte les éléments suivants :
Nature des procédures d'audit mises en œuvre ;
Risques des cas de non-conformité importants et de la réponse des auditeurs aux risques
évalués ;
Mesure des éléments sur lesquels le jugement professionnel a été appliqué (lors de la prise de
décisions) ;
Importance relative des preuves obtenues par rapport aux critères.

Comme mentionné ci-dessus, la documentation doit être suffisamment détaillée pour permettre à un
auditeur expérimenté, sans connaissance préalable de l'audit, de comprendre:

110
 La relation entre le sujet, les critères et l'étendue de l'audit ;

L'évaluation des risques ;

La stratégie et le plan d'audit ;

La nature, le calendrier, l'étendue et les résultats des procédures effectuées ;

Les éléments probants obtenus à des fins de soutien de la conclusion ou de l'opinion

de l'auditeur ;
Le raisonnement qui sous-tend les questions pour lesquelles l'auditeur a exercé son
jugement professionnel ;
Les conclusions connexes.

8.4 Composants des documents de travail

Sur la base des normes et des meilleures pratiques, voici quelques éléments communs des documents
de travail que la plupart des documents d'audit suivent :

Le document de travail comporte:

• Nom de l'audit, titre, initiales de l'auditeur

• Date d'achèvement, numéro de page et référence
• Source, objectif, procédures, résultats, conclusions
• Références croisées dans les deux sens

Le document de travail est:

• Soigné et lisible
• lié au programme d'audit.
• Compréhensible sans explications supplémentaires

Dans les documents de travail:

• Les calculs sont vérifiés

• Les documents sources sont inclus si nécessaire
• Si un document a été produit par l'entité, il est inscrit sur le document de travail
• Une revue a été effectuée et tous les points ont été vérifiés.

Source, objectif, procédures, résultats et conclusions du document de travail.

La source, l’objectif, la procédures, les résultats et les conclusions doivent être inclus sur la première
page de chaque document de travail unique. Chaque élément doit répondre à ce qui suit:

111
 Source Objectif Procédures Résultats Conclusion
•Où l'auditeur a-t- •À quelle question •Qu'a fait •Quels ont été les •Quelle est la
il obtenu les ce document de l'auditeur sur ce résultats des réponse aux
éléments travail cherche-t-il document de procédures ? questions posées
probants figurant à répondre ? travail ? dans l'objectif ?
dans le document •Pourquoi ce •Quelle procédure •Quels ont été les •L'étape a-t-elle
de travail ? document de l'auditeur a-t-il résultats de été satisfaite ?
•Qui les a remis à travail a-t-il été utilisée ? l'application de la •Qu'est-ce que
l'auditeur ? créé et pourquoi •Quelles ont été procédure? l'auditeur a fait
•Quels éléments ce travail a-t-il été les étapes et les des questions
probants effectué ? procédures soulevées ?
l'auditeur a-t-il •Quelle étape détaillées que •L'auditeur a-t-il
examinés ? satisfait-il? l'auditeur a transformé les
•Où se trouvent les effectuées? problèmes en
éléments constatation?
probants et
comment
l'auditeur peut-il
les retrouver?

Ces informations sont utiles au superviseur ou à l'examinateur de l'audit, car sans ces éléments, le
superviseur ou l'examinateur devra émettre des hypothèses lors de l'examen des documents de
travail. L'auditeur doit faciliter la tâche de l'examinateur pour qu'il parvienne à ses conclusions et le
guider pour qu'il suive le processus sans heurts.
Le lien entre les éléments est également essentiel. Lorsque le lien est correctement établi, l'objectif
et les conclusions correspondent, de même que les procédures et les résultats. Cela démontre la clarté
de la pensée et soutient les conclusions logiques de l'auditeur. Dans la plupart des cas, les matrices de
constatations d'audit (expliquées au chapitre 7) couvrent ces éléments dans le cadre d'un audit de
conformité.

8.5 Organisation de la documentation des documents de travail

Selon les normes ISSAI, la documentation doit être organisée de manière à établir un lien clair et direct
entre les constatations et les éléments probants qui les appuient. C'est l'auditeur qui détermine
comment procéder, en suivant le système ou les pratiques en vigueur dans l'ISC. L'auditeur peut avoir
préparé de nombreux documents de travail à l'appui de l'audit, mais pour que
l'examinateur/superviseur puisse les comprendre et les analyser, il doit les expliquer et les organiser
systématiquement. L'utilisation d'une note de synthèse peut faciliter ce processus.
Note de synthèse
La note de synthèse peut également être appelé feuille d’introduction, formulaire de conclusions ou
mémo de tête, en fonction des pratiques et des normes de l'ISC. Le mémo résume un groupe de
documents de travail. Notez que l'ISC peut également avoir des composants dans la note de synthèse
qui diffèrent de ceux décrits ici.
Les notes de synthèse aideront le superviseur ou l'examinateur à mener à bien le processus d'examen
de manière efficace et effective. En outre, la préparation de ces mémos oblige les auditeurs à exprimer
clairement leurs jugements et à documenter les décisions prises lors de la réalisation de l'audit, ce qui
facilite la reconnaissance du lien logique entre les documents de travail.
Dans la hiérarchie des documents de travail, la note de synthèse vient généralement en troisième
position, même si elle peut être rédigée en dernier. La hiérarchie est la suivante:

112
 Objectif de l'audit

Programme d'audit basé sur le plan

Note de synthèse

Documents de travail détaillés

Exemple: Note de synthèse

Lors de l'audit d'un service d'achat, après avoir recueilli les informations et évalué
Objectif de
les risques, l'auditeur décide que l'objectif est de déterminer - si le service d'achat
l'audit
respecte les politiques d'achat requises.
Sous cet objectif, il y a trois sous-objectifs à déterminer :
Sous-
objectifs  Les achats d'équipement dépassant 9000 $ sont-ils effectués conformément à
la politique ?
 Les procédures d'achat établies par l'entité sont-elles conformes à la politique
?
 Les contrats professionnels sont-ils attribués conformément à la politique ?
Documents L'auditeur préparera un ensemble de documents de travail pour soutenir chaque
de travail sous-objectif et utilisera des lettres pour désigner les groupes de documents de
travail, par exemple :
1. L'ensemble de documents de travail A répond au sous-objectif 1 : si les achats
d'équipement dépassant 9000 $ ont été effectués conformément à la politique.
2. L'ensemble de documents de travail B répond au sous-objectif 2 : les
procédures d'achat sont-elles rédigées conformément à la politique ?
3. L'ensemble de documents de travail C répond au sous-objectif 3 : les contrats
professionnels sont-ils conformes à la politique ?
La note de synthèse pour le sous-objectif 1 résume ce que la série de documents de
travail A a accompli et comment l'auditeur a répondu à l'objectif d'audit, avec tous
les éléments probants correspondants. Ensuite, les notes A-1, A-2, A-3, etc.
expliquent l'exécution et les résultats de chaque procédure d'audit.

113
La note de synthèse est une sorte de version narrative du programme d'audit et, dans la hiérarchie,
elle peut se situer au-dessus ou au-dessous du programme. La hiérarchie des documents de travail
pourrait ressembler à ceci :

Note de
synthèse

Programme
d'audit

A1 A2 A3 A4

A1-1 A3-1 A4-1 A4-2

A1-2 A3-2 A4-1-1

A1-3 A3-3 A4-1-2

Il peut y avoir une note de synthèse « méta » ou principale qui résume les séries de documents de
travail A, B et C et qui traite de l'objectif général de l'audit : « Le service des achats respecte-t-il les
politiques importantes? » L'auditeur peut préparer une note de synthèse pour chaque procédure
d'audit. La série A-4 de document de travail ci-dessus contient de nombreux documents de travail et
peut justifier un résumé pour aider l'examinateur à trier le groupe et à discerner ce que l'auditeur a
fait.

Éléments d'une note de synthèse : La note de synthèse comprend les composants du document de
travail - source, objet, procédure, résultats et conclusion - avec une description narrative de ces cinq
composants dans chaque document de travail. Vous trouverez ci-dessous un exemple de note de
synthèse pour la série A.

Exemple : format de document de travail

Source Entretiens, observations et contrôles décrits dans la série A de documents de
travail.
Objectif Répondre au sous-objectif « Les achats d'équipement dépassant 9000 $ sont-ils
effectués conformément à la loi de l'État? »
Procédure Nous avons rempli les étapes du programme dans le domaine décidé, qui nous
invitait à :
 Réitérer l'étape 1
 Réitérer l'étape 2
 Réitérer l'étape 3
Résultats Nous avons relevé plusieurs éléments significatifs de non-conformité :
 Résumer les résultats de l'étape 1
 Résumer les résultats de l'étape 2
 Résumer les résultats de l'étape 3

114
 Conclusion Le service des achats ne s'est pas conformé à la section XX (II) de la politique
d'achat concernant les achats d'équipement dépassant 9000 $. En particulier, le
service a permis à la même personne d'initier, d'approuver et de recevoir des
achats d'équipement supérieurs à 9 000 $. Cette question a été développée en
une constatation pour le rapport.

La note de synthèse peut:

Etre la source d'une première version du rapport

• Au lieu de faire référence à une constatation dans un document de travail en dehors de la
note de synthèse, l'auditeur peut l'inclure dans la note de synthèse, ou encore
• peut formaliser la section où l'auditeur traite de l'objectif et de la conclusion et l'ajouter
ultérieurement au rapport.
Etre détaillée ou résumée
• Une note de synthèse peut être une reformulation de chaque document de travail qui la
sous-tend, plus une conclusion générale qui résume l'ensemble, ou
• Il peut s'agir d'une conclusion globale qui résume l'ensemble. Un bon moyen de déterminer
le niveau de détail que a note de synthèse doit contenir est de se référer aux pratiques
définies au sein de l'ISC.
Couvrir le contenu requis des documents de travail
• La norme exige que l'auditeur documente les éléments suivants dans les documents de
travail:
• Objectif, étendue et méthodologie
• Nature, calendrier et étendue des procédures
• Les éléments probants obtenus et leur source, ainsi que les conclusions tirées.
• La justification des jugements, constatations, conclusions et recommandations importants
• Preuve de la surveillance prudentielle

Bien que les normes n'exigent pas la tenue d'une note de synthèse, celle-ci peut être considérée
comme une bonne pratique pour l'auditeur qui facilitera le travail de l'examinateur. Les auditeurs
pourraient envisager que les matrices de constatations d'audit couvrent la partie des exigences en
matière de documentation dans les documents de travail détaillés et justificatifs.

8.6 Conservation des documents

Certaines ISC peuvent disposer de politiques et de procédures conformes à leur législation et aux
normes d'audit pour conserver la documentation de leur travail. Les politiques de conservation de la
documentation garantissent que les documents pertinents sont disponibles pour être utilisés pendant
un certain nombre d'années après un audit. Ces politiques et procédures décrivent généralement:

 Les documents couverts dans leur champ d'application

 La forme sous laquelle les documents seraient conservés/archivés
 La période pendant laquelle les documents sont conservés
 Comment accéder à ces documents en cas de besoin

L'auditeur doit vérifier si l'ISC dispose de politiques et de procédures de conservation des documents
et si elles sont adéquates ou non. En cas de manquements, l'ISC peut envisager de renforcer ses
politiques et procédures par des exigences suffisantes en matière de conservation des documents
d'audit.

115
Ces exigences peuvent être dues à l'importance historique de certains types de documents qui, par
exemple, peuvent nécessiter une conservation indéfinie dans les archives nationales du pays. Il peut
également y avoir des exigences supplémentaires liées aux classifications de sécurité nationale,
notamment en ce qui concerne le mode de conservation de la documentation. Les auditeurs doivent
se familiariser avec la législation applicable en matière de conservation de la documentation.

8.7 Questions de confidentialité et de transparence

Les ISC doivent s'assurer que les auditeurs se conforment aux exigences éthiques visant à préserver la
confidentialité des informations recueillies au cours de la documentation d'audit. L'auditeur doit
maintenir cette confidentialité à moins que l'entité ne l'autorise expressément à divulguer ces
informations ou qu'il y ait une obligation légale ou professionnelle de le faire. Il existe un besoin
permanent dans le secteur public d'équilibrer la confidentialité avec le besoin de transparence et de
responsabilité. L'équilibre entre la confidentialité et la transparence requiert un jugement
professionnel afin de s'assurer que les documents de nature confidentielle sont identifiés et traités
comme tels, tout en permettant un accès approprié. Il est donc essentiel pour l'auditeur de se
familiariser avec les politiques et les procédures de l'ISC en matière de confidentialité. Les procédures
de l'ISC peuvent inclure les types de documents d'audit à considérer comme confidentiels et les types
de documents d'audit à mettre à la disposition du public.

L'ISC doit définir clairement les responsabilités en matière d'autorisation de divulgation de la

documentation d'audit et les procédures de mise à disposition de ces informations si nécessaire. En
outre, les auditeurs peuvent avoir des obligations légales supplémentaires en matière de
confidentialité. Ces responsabilités peuvent être fondées sur le mandat de l'ISC ou sur la législation
relative aux secrets officiels ou à la vie privée. Une telle législation peut, par exemple, concerner les
audits des organismes de défense, de santé, de services sociaux ou fiscaux.

Les auditeurs se familiarisent avec les exigences locales particulières liées à la confidentialité
auxquelles ils sont soumis. Ils se familiarisent également avec toute législation qui autorise l'accès du
public à la correspondance d'audit. Ce type de communication peut inclure des lettres à destination
et en provenance de l'entité auditée, ou d'autres parties, liées à la collecte d'éléments probants, ainsi
que des considérations et des jugements relatifs à des questions d'audit. Dans le secteur public, les
entités peuvent être tenues par la loi de répondre aux demandes d'accès à la documentation d'audit
reçues de tiers. Les tentatives de tiers peuvent être particulièrement délicates, car ils essaient
d'obtenir indirectement des informations de l'ISC lorsque celle-ci n'est pas en mesure de les obtenir
directement de l’entité auditée.

En principe, lorsque l’entité auditée a l'obligation légale de recueillir et de conserver certaines

informations, les demandes d'informations émanant de tiers sont généralement transmises à l’entité
auditée. Dans les situations où les auditeurs envisagent d'accorder l'accès à la documentation d'audit,
ils consultent généralement les parties concernées (telles que l'entité auditée à laquelle la demande
se rapporte) avant de divulguer les informations en question.

Dans certains environnements, l'ISC sous-traite une partie de ses responsabilités d'audit à des
auditeurs du secteur privé. L'acceptation de telles nominations exige généralement que l'auditeur
sous contrat qui effectue le travail reconnaisse que la documentation d'audit peut être soumise à une

116
inspection par l'ISC. La documentation de l'audit peut également faire l'objet d'une enquête par les
agences qui ont le droit légal d'accéder aux informations liées aux fonctions de l'auditeur.

117
 Pièces et annexes

Pièces et annexes

REMARQUE : Cette section comprend les modèles de documents de travail, sous forme de Pièces et
Annexes, tels que mentionnés dans les chapitres respectifs du manuel. Les modèles sont conçus pour
faciliter l'application pratique des exigences des ISSAI en matière d'audit de conformité. Veuillez noter
que les modèles de documents de travail sont suggestifs, et non prescriptifs, pour une documentation
appropriée de l'audit. Les ISC peuvent être amenées à modifier les modèles de documents de travail
pour les rendre conformes à leur mandat et à leurs pratiques d'audit, et à les aligner sur leurs
documents de travail actuels.

118
Pièces du Chapitre 4 : Plan de travail annuel de l'ISC concernant la couverture
de l'audit de conformité

Pièce 4.1 : Documentation d'une tâche d'audit potentielle

Pièce 4.2 : Élaboration du plan de travail annuel ou multi-annuel

Annexe 4-A : Catégorisation des entités en fonction de la valeur du risque

Annexe 4-B : Différentes tâches de l'auditeur dans différents types d'audit de conformité

119
Pièce 4.1 : Documentation d'une tâche d'audit potentielle
Exigence en matière d’ISSAI : ISSAI 4000.64

Tâche d'audit évaluée par Signature Examinée et approuvée par Signature

Nom:
Désignation:
Date:

Tâches d'audit potentielles

Unité d'organisation Titre de la tâche Référence :

Lien avec la priorité stratégique de l'ISC :

I - Domaine/champ d'audit
Activités principales:
Cadre légal :
Informations financières et autres:
Rôles et responsabilités:
II - Motifs de l'audit
Risques
Pertinence:
Intérêt du public et des
parties prenantes Importance relative:

Valeur ajoutée potentielle Audits précédents:

(y compris l'impact,
l’opportunité et la Opportunité:
couverture)
III - Organisation de l'audit
Question d'audit (question principale et sous-questions éventuelles) ou ce qui pourrait être évalué par l'audit:
Critères d'audit (ou les sources des critères) :
Principales sources d’éléments probants:
Organismes contrôlés :

IV – Remarques
Faisabilité (difficultés éventuelles de l'audit/problèmes de contrôlabilité...):
Estimation des ressources d’audit:
Utilisation des résultats d'audits déjà réalisés :

Yes

No

V - Membres de l'équipe

120
Guide de processus pour compléter le modèle de documentation de la tâche d'audit

L'objectif du modèle Documenter le processus d'identification des tâches d'audit potentielles. Il peut y
avoir différentes tâches d'audit identifiées par différentes équipes de l'ISC. Ce
processus doit être répété pour chaque tâche d'audit identifiée afin de permettre à
la direction de se mettre d'accord sur une liste de tâches d'audit. Le superviseur ou la
direction abordera les tâches définies dans le cadre de la planification générale d'un
audit de conformité au niveau de l'ISC.

Exigence en matière ISSAI 4000.64

d’ISSAI

Guide Considérez l'explication fournie dans la section 4.2 du chapitre 4 ainsi que ce guide
de processus. Sur la ligne supérieure, indiquez le lien avec les priorités stratégiques
de l'ISC. Ce lien peut provenir du plan stratégique de l'ISC, qui a identifié les principaux
domaines prioritaires sur lesquels l'ISC se concentrera au cours de sa période de
planification stratégique. S'il n'y a pas de lien apparent avec le plan stratégique, mais
que l'équipe estime que le sujet doit être considéré, écrivez-en la raison.
Ligne I Fait référence aux principales activités du domaine d'audit, aux
informations juridiques, financières et autres informations
pertinentes, ainsi qu'à la personne responsable du domaine. Cela
donnera une vue d'ensemble du domaine à examiner.
Ligne II Les risques critiques perçus à ce stade sur le terrain. Également
l'intérêt du public et des parties prenantes, ou toute valeur ajoutée
potentielle, notamment l'impact, l'opportunité et la couverture.
L’importance relative par nature est également couverte à ce stade
de la planification au niveau de l'ISC.
Ligne III Fait référence à la manière dont l'audit serait organisé. À ce stade, il
n'est pas nécessaire d'être précis, les questions d'audit provisoires
pourraient être évaluées, ainsi que les critères d'audit possibles, les
sources potentielles d’éléments probants et les entités contrôlées
dans le cadre de l'audit.
Ligne IV Les difficultés concevables de l'audit. La contrôlabilité, les
ressources d'audit et l'utilisation possible des résultats d'audit
existants. Cela aidera la direction à décider si elle doivent être
incluses dans le plan.
Ligne V Inclure les informations sur les membres de l'équipe qui ont proposé
les tâches à auditer.

Revue Une personne de grade supérieur à celui de l'auditeur peut examiner la proposition
en gardant à l'esprit le contexte de l'ISC et en faisant preuve de pragmatisme. Cela
peut être documenté dans le modèle. Il sera basé sur la structure de l'ISC et la
composition des équipes d'audit. L'examinateur signe la proposition et l'envoie à la
direction ou au superviseur.

Conclusion Le superviseur de l'audit et la direction doivent déterminer si la tâche proposée est

susceptible d'être auditée. Ce processus aidera la direction à aligner les priorités
stratégiques fixées par le plan stratégique et à atteindre les objectifs prévus.

121
Pièce 4.2 : Établissement du plan de travail annuel ou pluriannuel
Exigence en matière d’ISSAI : ISSAI 4000.64

Plan élaboré par Signature Examinée et approuvée Signature

Evalué par par
Nom:
Désignation:
Date:

Période du plan annuel:

(………..)
Tâches planifiées
et ressources
Description Nombre total Nombre Coûts Date de Date de Commenta
de total de (voyag début fin ires
personnes- personnes- es, prévue prévue
semaines semaines experts
pour pour la , etc.)
l'ensemble phase de
de la mission. planification
Tâches non Exemple:
liées à Planification
l'audit annuelle
Tâche 2 etc.
Total des
tâches non
liées à
l'audit
Tâches Tâche 1
d'audit Tâche 2 etc.
obligatoires Total des
tâches
obligatoires
Tâches Tâche 1
d'audit Tâches 2
sélectionnées etc.
Total des
tâches
sélectionnées
Fonctions de Exemple:
soutien Services
juridiques

Services
informatiques
etc.
Soutien
Total
Total des ressources

122
Conclusion
Les tâches d'audit annuelles et pluriannuelles et les ressources correspondantes ont été préparées en
tenant compte de ce qui précède.

(Signature) (Signature)
Nom: Examinateur:
Date: Date:

123
Guide de processus pour compléter le plan de travail annuel ou pluriannuel

L'objectif du modèle L'objectif est de préparer un plan de travail qui inclut toutes les tâches de l'ISC et de
guider la manière dont l'ISC peut identifier les ressources pour les tâches d'audit
sélectionnées dans les audits de conformité.

Exigence en matière ISSAI 4000.64

d’ISSAI

Guide La période du plan d'audit est mentionnée plus haut. Les tâches programmées sont
consignées dans les lignes, et les ressources nécessaires dans les colonnes. Les lignes
sont expliquées ci-dessous. Les colonnes relatives aux ressources comprennent la
personne-semaine, le coût et le calendrier. Celles-ci sont couvertes avec les tâches
dans les lignes ci-dessous:

Ligne 1 Indiquez toutes les tâches non liées à l'audit que l'ISC effectue. Il peut
s'agir du plan annuel de l'ISC, de travaux administratifs, de
formations, d'autres travaux de consultation, de tâches spécifiques
attribuées par les parties prenantes sans rapport avec l'audit, etc.
Pour chaque tâche non liée à l'audit, complétez la ligne
correspondante en tenant compte des colonnes de ressources, par
exemple les personnes-semaines requises, les coûts et le calendrier.
Une fois que toutes les tâches sont enregistrées avec les ressources,
additionnez les colonnes dans la ligne « total » pour toutes les tâches
non liées à l'audit.
Ligne 2 De même, écrivez toutes les tâches d'audit obligatoires que l'ISC est
tenue de réaliser chaque année en vertu de son mandat légal. Il peut
s'agir d'un audit financier, d'un audit de performance, d'un audit de
conformité et d'autres exigences d'audit mandatées par la
législation. Remplissez la colonne des ressources pour chaque tâche
et calculez le total des ressources de toutes les tâches obligatoires.
Ligne 3 La ligne des tâches d'audit sélectionnées doit être remplie de
manière similaire. Pour chaque tâche choisie, remplissez les
colonnes avec les personnes-semaines, les coûts et les délais.
Calculez le total des ressources requises pour les tâches
sélectionnées.
Ligne 4 Complétez les ressources requises pour toutes les fonctions de
soutien de l'ISC. Celles-ci comprennent les services informatiques,
juridiques, de conseil, de formation externe, etc. Additionnez les
lignes pour chaque service afin d'obtenir une vision complète des
ressources requises pour assurer les fonctions de soutien.
Ligne 5 Déterminez les ressources totales requises par l'ISC pour mener à
bien toutes les activités ou tâches. A partir de là, il sera évident de
savoir de quelles ressources dispose l'ISC et ce dont elle aura besoin
pour accomplir les tâches obligatoires, les tâches non liées à l'audit
et les fonctions de soutien. Déduisez tout cela des ressources totales,
et les ressources restantes peuvent être affectées aux tâches d’audit
sélectionnées.

Conclusion générale Sur la base des informations recueillies dans le tableau, et de l'analyse des ressources,
par le membre de les ressources disponibles pour les tâches sélectionnées sont déterminées et
l'équipe d'audit soumises à approbation.

124
Revu par le Le superviseur l'examine et l'envoie à la direction de l'ISC pour qu'elle en tienne
superviseur compte dans les futures tâches d'audit des équipes.

125
Annexe 4-A :

Catégorisation des entités en fonction de la valeur du risque 92

Les entités auditées sont classées en entité contrôlable principale, unités d'audit et unités de mise en œuvre. Les
unités d'audit sont basées sur la délégation de pouvoirs, l'autonomie fonctionnelle et l'importance opérationnelle.
Les entités contrôlées sont classées en entités à haut, moyen et faible risque, en se basant traditionnellement sur
les niveaux de budget et de dépenses. La base de données gouvernementale sur les dépenses des entités facilite
l'application du cadre d'analyse des risques.
Évaluation du risque inhérent : Les dépenses sont réparties dans les
Grandes catégories de dépenses:
comptes de toutes les entités sous 70 postes principaux de dépenses I. Services et avantages du personnel
différents pour toutes les entités auditées. Ces 70 postes de II. Dépenses administratives
dépenses principaux dans les comptes sont regroupés en sept III. Services et fournitures contractuels
grandes catégories de dépenses: IV. Subventions
V. Autres dépenses
Les dépenses de chaque entité auditée sont identifiées et évaluées VI. Acquisitions d'actifs et de dépenses
en capital.
en fonction de sept paramètres de risque inhérent sur une échelle
VII. Ajustements comptables
de 1 à 5.
No. Facteur de risque Remarques Evaluation
inhérent de risque
(1 à 5)
1 Estimation Les transactions et les décisions impliquant une estimation
présentent un risque inhérent plus élevé.
2 Discrétion Les transactions impliquant des pouvoirs discrétionnaires
comportent un risque inhérent de mauvaise utilisation de tels
pouvoirs.
3 Complexité de la Les transactions telles que l'acquisition de capital, l'exécution de
transaction projets sont complexes et présentent donc un niveau de risque
inhérent plus élevé.
4 Transfert de Certaines entités ne font que transférer des fonds aux agences de
fonds mise en œuvre et ne mettent pas en œuvre de
projets/programmes et présentent un risque faible.
5 Implication Les agences privées engagées dans l'exécution de programmes
d'agences privées peuvent avoir des intérêts qui entraînent un risque inhérent plus
élevé.
6 Ressources Les entités confrontées à une grave pénurie de main-d'œuvre
humaines peuvent manquer de diligence raisonnable, ce qui entraîne un
risque inhérent plus élevé.
7 Relations Les entités ayant des relations publiques directes présentent un
publiques risque inhérent relativement plus élevé en raison de l'influence
directes extérieure, etc.
Le risque inhérent aux dépenses principales Evaluation de
risque/35

Sur la base du score de risque inhérent de chaque catégorie de dépenses primaires de l'entité, la valeur totale du
risque inhérent de l'entité est calculée en additionnant la valeur du risque inhérent de toutes les catégories de
dépenses primaires de cette entité et en la multipliant par les dépenses réelles.

92
Sur la base de la présentation faite par l'ISC de l'Inde lors de la XVe réunion du Sous-comité d'audit de conformité, les 9 et 10 octobre 2018, au
Luxembourg

126
 Catégorie de Nom de la catégorie du premier poste Evaluation Dépenses Dépenses
dépenses de dépenses du risque réelles pondérées en
inhérent fonction des
risques
I Services et avantages du personnel R1 E1 R1*E1
II Dépenses administratives R2 E2 R2*E2
III Services et fournitures contractuels R3 E3 R3*E3
IV Subventions R4 E4 R4*E4
V Autres dépenses R5 E5 R5*E5
VI Acquisition de biens d'équipement R6 E6 R6*E6
VII Ajustements comptables R7 E7 R7*E7
Valeur du risque inhérent = Grand Total

Évaluation du risque de contrôle : Les entités dont l'environnement de contrôle est faible présentent un risque de
contrôle plus élevé. Le risque de contrôle est évalué à travers quatre paramètres :
• Dépenses et contrôles associés
• Contrôles liés à la technologie
• Produits des audits internes et externes
• Autres facteurs
Chaque paramètre comporte des sous-paramètres, dont le nombre total est de 100.
Contrôle du facteur de risque Evaluation Contrôle du facteur de risque Note de
du risque risque
Dépenses et contrôles associés (1 à 5) Audit interne/externe (1 à 5)
Procédure et contrôle budgétaire Audit interne / inspection
Augmentation des dépenses Qualité de la tenue des dossiers
Cas de fraude signalés, etc. Observations d'audit
Blocage des fonds / Certificats d'utilisation Évaluation à partir des rapports
en attente d'audit de performance et des
évaluations
Contrôles relatifs à la technologie (1 à 5) Autres facteurs (1 à 5)
Transfert direct des prestations aux Évaluation basée sur l'analyse des
bénéficiaires données
Liaison des bénéficiaires à un identifiant Mécanisme de contrôle de la qualité
unique
Utilisation de l'appel d'offres électronique Pénurie de ressources humaines
pour les achats
Suivi en ligne du programme Rapports des médias
Prestation de services en ligne
Système de gestion des finances publiques
Utilisation de la télédétection/du SIG
Contrôles informatiques- évaluation sur la
base d'un audit informatique
Risque de contrôle = Note totale de risque de contrôle / 100

Valeur du risque et classement des entités

Après le calcul des risques inhérents et des risques de contrôle, la note de risque de l'entité auditée peut être faite
comme suit :

127
 La note de risque de l'entité =
(Note totale de risque inhérent de l'entité en No. Classement Plafond de risque en US$
valeur monétaire) X (Note du risque de contrôle de
1. Haut risque 3.5 million
l'entité)
2. Moyen risqué 70,000 à 3.5 million
3. Faible risque En-dessous de 70,000
Classement de l'entité auditée par catégorie de risque

Les entités auditées sont classées en risque élevé, moyen et faible sur la base de la note de risque. La
périodicité de l'audit et la composition de l'équipe d'audit sont décidées en fonction du niveau de
catégorisation des risques.

128
Annexe 4-B : Différentes tâches de l'auditeur dans les différents types d'audit de
conformité
Étapes Assurance raisonnable (RA) Assurance limitée (LA)
de Rapport direct - RA Mission d'attestation - RA Rapport direct - LA Mission d'attestation - LA
l'audit
L'auditeur sélectionne le sujet La partie concernée L'auditeur choisit le sujet et La partie concernée
et fournit des informations sur présente des fournit des informations sur le présente des informations
le sujet. renseignements sur le sujet, sujet. sur le sujet sur lequel
sur lesquels l'auditeur l'auditeur recueille ensuite
recueille ensuite des des éléments probants
éléments probants suffisants et appropriés.
suffisants et appropriés.
Procédures plus étendues dans Procédures plus étendues Procédures moins Procédures moins
Planification

l'évaluation des risques, la dans l'évaluation des approfondies dans l'évaluation approfondies dans
connaissance de l'entité et de risques, la connaissance de des risques, la connaissance l'évaluation des risques, la
son environnement, l'entité et de son de l'environnement de l'entité connaissance de
l'évaluation du contrôle environnement, l'évaluation et l'évaluation du contrôle l'environnement de
interne. du contrôle interne. interne. l'entité, l'évaluation du
contrôle interne.
Le modèle des trois L'auditeur doit couvrir les Le modèle des trois L'auditeur doit aborder les
composantes des risques trois composantes du composantes des risques trois composantes du
d'audit (risques inhérents, de modèle de risque. d'audit (risques inhérents, de risque.
contrôle et de détection) peut contrôle et de détection) peut
être utilisé. être utilisé.
La combinaison de différentes La combinaison de Il est possible de conclure sur Il est possible de conclure
techniques d'audit est différentes techniques la base des procédures sur la base des procédures
importante d'audit est importante. analytiques et de l'inspection analytiques, des tests de
Collecte des éléments probants

corroboration et
d'inspection.
Les tests de corroboration Les procédures analytiques et Les tests de corroboration,
doivent toujours être inclus. les inspections sont les procédures analytiques
suffisantes. et les inspections sont
suffisants
L'auditeur recueille des L'auditeur recueille des Les procédures sont limitées Les procédures sont
éléments probants suffisants éléments probants par rapport à ce qui est requis limitées par rapport à ce
et appropriés pour conclure suffisants et appropriés pour une mission d'assurance qui est requis pour une
que le sujet est conforme, à pour conclure que le sujet raisonnable. mission d'assurance
tous égards importants, aux est conforme, à tous égards raisonnable.
critères appropriés définis. importants, aux critères
appropriés identifiés.
La conclusion est exprimée L'auditeur fournit une La conclusion est exprimée L'auditeur fournit une
sous la forme de constatations, garantie soit par des sous la forme de constatations, garantie soit par des
Évaluer les éléments probants et

de réponses à des questions opinions normalisées, soit de réponses à des questions opinions normalisées, soit
formuler les conclusions

d'audit spécifiques, de par des conclusions. Une d'audit spécifiques, de par des conclusions. Une
recommandations ou d'une opinion est normalement recommandations ou d'une opinion est normalement
opinion.. utilisée. opinion. utilisée.
La conclusion de l'audit La conclusion/opinion de La conclusion indique que rien La conclusion/opinion
exprime l'opinion de l'auditeur l'auditeur exprime l'opinion qui ne soit pas conforme aux indique que rien n'a été
selon laquelle le sujet traité est selon laquelle les critères d'audit n'a été porté à porté à la connaissance de
ou n'est pas conforme, à tous informations sur le sujet l'attention de l'auditeur. l'auditeur qui ne soit pas
égards importants, aux critères considéré sont/ne sont pas conforme aux critères
applicables. conformes aux critères d'audit.
applicables.
Structure du rapport dans Structure du rapport dans Structure du rapport dans Structure du rapport dans
l’ISSAI 4000.210 l’ISSAI 4000.218 l’ISSAI 4000.210 l’ISSAI 4000.218
Rapport et suivi

L'auditeur doit indiquer de L'auditeur fournit une L'auditeur doit indiquer L'auditeur fournit une
manière implicite si la garantie en faisant une explicitement si la conclusion garantie en faisant une
conclusion est donnée avec déclaration claire sur le est donnée avec une garantie déclaration claire sur le
une garantie limitée ou niveau d'assurance. limitée ou raisonnable. niveau d'assurance.
raisonnable.
L'auditeur peut fournir une L'auditeur peut fournir une
assurance soit : a. en formulant assurance soit par

129
des conclusions qui indiquent a. des conclusions qui
explicitement le niveau transmettent explicitement le
d’assurance, ou niveau d'assurance, ou
b. en expliquant comment les b. en expliquant comment les
constatations, les critères et les constatations, les critères et
conclusions ont été élaborés. les conclusions ont été
élaborés.
Un rapport d'assurance limitée Un rapport d'assurance
exprime la nature limitée de raisonnable exprime la
l'assurance fournie. nature limitée de
l'assurance fournie.

130
Pièces justificatives du Chapitre 5 : Planification d'un audit de conformité

Pièce 5.1 : Stratégie d'audit

Pièce 5.2 : Compréhension de l'entité et de son environnement
Pièce 5.3 : Comprendre les contrôles internes et l'environnement de contrôle
Pièce 5.4 : Évaluation des risques de fraude
Pièce 5.5 : Définition de l'importance relative au stade de la planification
Pièce 5.6 : Registre des risques
Pièce 5.7 : Plan d'audit

Annexe 5-A : Examen de la qualité de la planification de l'audit

131
Pièce 5.1 : Stratégie d'audit
Exigence en matière d’ISSAI : ISSAI 4000.137

Nom de l'entité
Période d'audit

Matrice de stratégie d'audit préparée par Signature Revue et approuvée par Signature
Nom:
Désignation:
Date:

No 1 2 3
Eléments de la stratégie de l'audit Description Commentaires
1 Caractéristiques de l'audit
2 Objectif de l'audit
3 Le sujet, la portée et les critères de l'audit
4 Les entités couvertes par l'audit
5 Le type de mission
6 Le niveau d'assurance à fournir
7 Composition de l'équipe d'audit
8 Mécanismes de contrôle de la qualité de
l'audit
9 Communication avec l'entité auditée et les
responsables de la gouvernance
10 Responsabilités en matière de rapports
Autres questions importantes, le cas
échéant

132
Guide de processus permettant de compléter le modèle de stratégie d'audit:

L’objectif du L'objectif de ce modèle de document de travail est de préparer une stratégie d'audit
remplissage du modèle globale détaillant les éléments de la stratégie et de déterminer la manière dont
chaque élément aura un impact sur la planification et la réalisation de l'audit, ainsi
que sur la phase d'établissement du rapport de l'audit.
Exigence de l'ISSAI ISSAI 4000.137

Guide
Colonne 2 Décrire en fonction des décisions prises sur chaque élément de la
stratégie mentionnée dans la colonne 1.
Colonne 3 Fournir des commentaires au cas où l'auditeur pense que les
éléments stratégiques auront un impact sur la phase de planification
et de réalisation de l'audit.

Conclusion Le chef de l'équipe d'audit et le superviseur doivent conclure qu'une attention

suffisante a été accordée à tous les domaines importants ayant une incidence sur
l'audit, et qu'une stratégie appropriée a été mise en place pour traiter les questions
susceptibles d'influencer la planification et la réalisation de l'audit. Le document de
travail sur la stratégie d'audit doit être mis à jour en permanence.

Éléments probants du Le tableau indiquant le nom de la personne qui a préparé et documenté le matériel
préparateur et et le nom du réviseur doivent être complétés à la fin.
l'examinateur

133
Pièce 5.2 : Connaitre l'entité et son environnement
Exigence de la norme ISSAI : ISSAI 4000.131

Nom de l'entité
Période d'audit

Préparée par Signature Revue et approuvée par Signature

Nom:
Désignation:
Date:

Questions Description
Le cadre juridique de l'entité
1. La législation qui autorise l'entité et les activités
autorisées par la législation.
2. Les règlements émis en vertu de la législation
d'autorisation et leur incidence sur les activités de
l'entité.
3. Comment l'entité se conforme-t-elle au cadre
juridique?

4. Existe-t-il une disposition dans le règlement

concernant les règles de gestion financière ?

Les objectifs et stratégies de l'entité

5. Les objectifs de l'entité.

6. Les politiques et stratégies clés permettant

d’atteindre les objectifs
L'organisation et la gouvernance de l'entité
7. Les structures de gouvernance de l'entité.

8. La structure opérationnelle, l'organigramme et les

modalités de gestion
9. Les ressources financières, humaines et autres

Les processus opérationnels et opérations de l'entité

10. Quelle est la nature des activités de l'entité? Les
fonctions de base de l'entité.
11. Comment les domaines d'audit importants sont liés
aux activités de l'entité.
12. Les types de programmes, de fonctions, ou de projets
gérés par l'entité.
13. Les descriptions de processus permettant d'avoir une
vue d'ensemble des fonctions/opérations de l'entité
ou du sujet.

134
 Questions Description
14. Les cartes des processus opérationnels essentiels, les
organigrammes des opérations.
15. Les risques opérationnels liés aux objectifs et aux
stratégies de l'entité qui peuvent entraîner des non-
conformités importantes.
Les systèmes de gestion financière de l'entité
16. Le cadre d'information financière utilisé par l'entité
pour l'établissement des rapports financiers.
17. Le processus de budgétisation de l'entité.

18. Système comptable de l'entité, exigences en matière

de rapports et date limite de présentation des
rapports.
19. L'audit interne et la fonction d'audit externe de
l'entité
Les mesures de performance de l'entité
20. Comment la performance de l'entité est-elle évaluée
et examinée ?
21. Quelles sont les exigences de l'entité en matière de
rapports sur la performance ?
22. Existe-t-il des objectifs de performance susceptibles
d'entraîner des actions de gestion augmentant le
risque de non-conformité ?

La liste des risques significatifs affectant l'entité (liés aux risques inhérents).

135
Guide de processus permettant de compléter le modèle de connaissance de l'entité et de son
environnement:

L'objectif général L'objectif de ce modèle de document de travail d'audit est d'établir et de documenter
de remplissage du une connaissance de l'entité et de son environnement pertinent dans le cadre d'un audit.
modèle La norme ISSAI 4000.131 exige de l'auditeur qu'il évalue le risque de non-conformité à
travers la connaissance de l'entité et de son environnement.
[Remarque : Le modèle peut être adapté en fonction des sujets, par exemple pour un
programme, une opération particulière d'une entité, un contrat, pour la passation de
marchés.]
Exigence en ISSAI 4000.131
matière d’ISSAI
Ligne directrice L'auditeur doit connaître l'entité et son environnement pour évaluer le risque de non-
conformité de ses opérations et de ses activités financières,
Sur la base de la liste fournie dans le modèle ci-dessus, l'auditeur peut acquérir une
connaissance générale de l'entité, en tenant compte des facteurs internes et externes.
L'auditeur doit comprendre l'activité principale de l'entité. En documentant sa
compréhension de l'entité et de son environnement, l'auditeur doit garder à l'esprit les
risques liés à l'entité (risques opérationnels ou risques liés à l'entité) qui peuvent survenir
au cours de ses opérations et qui peuvent entraîner une -conformité significative de
l'entité.
Considérer la liste des documents sources fournie dans le tableau ci-dessous comme
étant une source possible de recherche et de documentation des informations requises.
Conclusion L'équipe doit s'assurer que cette documentation est liée à l'évaluation du risque de non-
conformité significative (risques inhérents) et à l'évaluation de l'environnement de
contrôle.
Éléments probants Le tableau indiquant le nom de la personne qui a préparé et documenté le matériel et le
du préparateur et nom du réviseur doivent être remplis à la fin.
du réviseur

Sources potentielles de documents pour comprendre l'entité :

No. Documents
1 Mandat, rôles et responsabilités de l'organisation
2 Projet d'états financiers
3 Budget approuvé du gouvernement, des projets et des ONG
4 Les documents du plan
5 Liste des principales activités réalisées au cours de la période à auditer
6 Organisation du projet
7 Comptes des subventions et des emprunts
8 Les documents du projet
9 Liste des lois, règles et règlements pertinents et applicables
10 Accords de prêts et de subventions
11 Comptes du fonds du budget consolidé
12 Autres sources de financement de l'entité
13 Liste des principales agences encourant des dépenses

136
 14 Procès-verbal de la réunion d'examen
15 Dossiers de correspondance importants
16 L'exigence standard en matière de rapports financiers
17 Procédures de transfert de fonds, y compris le remboursement et les reversements.
18 Rapports d'audit antérieurs et rapports d'audit interne
19 Liste des comptes et relevés bancaires
20 Règles et règlements financiers
21 Règles de passation des marchés

Pièce 5.3 : Connaissance des contrôles internes et de l'environnement de contrôle

Référence aux ISSAI : ISSAI 4000.134

Nom de l’entité
Période d’audit

Préparée par Signature Examinée et approuvée Signature

par
Nom:
Désignation:
Date:

[Remarque : les concepts fondamentaux du cadre de contrôle interne sont formulés sous la forme de 17 principes associés
aux cinq composantes du cadre93. Les questions ci-dessous sont basées sur ces principes qui sont pertinents pour toutes
les entités et doivent être présents, fonctionner et opérer ensemble de manière intégrée pour avoir un système de
contrôle interne efficace].

Questions sur les composantes du contrôle interne Description

L'environnement de contrôle :
1. Comment l'entité assure-t-elle son engagement envers
l'Probité et les valeurs éthiques?
2. Quels sont les mécanismes/organisme qui assument
les responsabilités de surveillance de la conception, de
la mise en œuvre et de la conduite du contrôle interne
par la direction de l'entité?
3. Comment la structure organisationnelle de l'entité et
l'attribution des pouvoirs et des responsabilités
contribuent-elles à maintenir un environnement de
contrôle approprié ?
4. Comment les politiques et les procédures de l'entité en
matière de ressources humaines démontrent-elles
l'engagement à avoir la compétence et le niveau requis
d'aptitudes et d'expertise ?
5. Comment l'organisation fait-elle respecter l'obligation
de rendre des comptes sur la conduite générale, et
tient-elle les individus responsables de leurs
responsabilités en matière de contrôle interne?

93
[Link]

137
 Questions sur les composantes du contrôle interne Description

Evaluation des risques:

6. L'entité dispose-t-elle d'un processus d'évaluation des
risques et prend-elle en compte les risques importants
pouvant compromettre la réalisation de ses objectifs?
7. Comment la direction utilise-t-elle le processus
d'évaluation des risques pour identifier, analyser et
répondre efficacement aux risques de non-
conformité?
8. Comment la direction de l'entité prend-elle en compte
les fraudes potentielles dans l'évaluation des risques
pouvant compromettre la réalisation de ses objectifs?
9. Comment la direction identifie et analyse -t-elle les
changements susceptibles d'avoir un impact significatif
et le contournement des contrôles internes?
Activités de contrôle:
10. Comment l'entité sélectionne-t-elle et développe-t-
elle les activités de contrôle qui contribuent à
l'atténuation des risques pouvant compromettre la
réalisation de ses objectifs?
11. L'entité s'assure-t-elle que les activités de contrôle
général sont conçues efficacement et fonctionnent
comme prévu afin de traiter les risques liés à
l'utilisation de la technologie?
12. Comment l'entité, à travers ses politiques qui
définissent ce qui est attendu et ses procédures qui
mettent en œuvre ces politiques, assure-t-elle la
sélection, le développement et le déploiement
d'activités de contrôle appropriées dans les domaines
de risques significatifs?
Information and communication:
13. Comment l'entité obtient-elle ou génère et utilise-t-
elle des informations pertinentes et de qualité
permettant de soutenir le fonctionnement du contrôle
interne ?
14. Comment l'entité communique-t-elle en interne les
informations, y compris les objectifs et les
responsabilités en matière de contrôle interne,
nécessaires pour soutenir le fonctionnement du
contrôle interne?
15. Comment l'entité communique-t-elle avec les parties
externes sur les questions affectant le fonctionnement
du contrôle interne?
Suivi:
16. Comment l'entité choisit-elle, développe-t-elle et
effectue-t-elle des évaluations continues et distinctes

138
 Questions sur les composantes du contrôle interne Description
permettant de vérifier si les composantes du contrôle
interne sont présentes et fonctionnent?
17. Comment l'entité évalue-t-elle les déficiences du
contrôle interne et les communique-t-elle à temps aux
parties chargées de prendre des mesures correctives, y
compris la direction générale et l'organe directeur, le
cas échéant?

139
Guide du processus pour compléter le modèle de compréhension du contrôle interne:

L'objectif du Ce modèle permet de comprendre les cinq composantes interdépendantes du

remplissage du système de contrôle interne d'une entité. Le rôle de l'auditeur dans ce système se
modèle concentre sur les contrôles internes des opérations de l'entité, sur l'information
financière et sur les processus en place.
Référence aux ISSAI ISSAI 4000.134
Guide Environnement
L'environnement de contrôle est l'ensemble des normes,
de contrôle
processus et structures qui constituent la base de la mise en
œuvre du contrôle interne dans l'organisation. La haute
direction donne le ton au sommet en ce qui concerne
l'importance du contrôle interne et les normes de conduite
attendues.
Evaluation des L'évaluation des risques est un processus dynamique et itératif
risques d'identification et d'analyse des risques pouvant compromettre
la réalisation des objectifs de l'entité, qui sert de base à la
détermination de la manière dont ces risques doivent être
gérés.

Activités de Les activités de contrôle sont les actions établies par les
contrôle politiques et les procédures visant à garantir que les directives
de la direction destinées à atténuer les risques liés à la
réalisation des objectifs sont appliquées. Les activités de
contrôle sont réalisées à tous les niveaux de l'entité et à
différentes étapes des processus d'affaires, ainsi que dans
l'environnement technologique.
Information et L'information est nécessaire à l'entité pour assumer ses
communication responsabilités en matière de contrôle interne en vue de la
réalisation de ses objectifs. La communication a lieu aussi bien
en interne qu'en externe et permet à l'organisation de disposer
des informations nécessaires à la réalisation des contrôles
quotidiens. La communication permet au personnel de
comprendre les responsabilités du contrôle interne et leur
importance dans la réalisation des objectifs.
Activités de Des évaluations continues, des évaluations séparées ou une
suivi combinaison des deux sont utilisées pour vérifier si chacune des
cinq composantes du contrôle interne, y compris les contrôles
visant à affecter les principes au sein de chaque segment, est
présente et fonctionne. Les constatations sont évaluées et les
déficiences sont communiquées à temps, les questions
sérieuses étant signalées à la direction générale et au conseil
d'administration.
Conclusion L'équipe d'audit conclut sur les domaines importants de l'environnement de contrôle
en cours d'évaluation.
Éléments probants du L'équipe, le réviseur - généralement le superviseur de l'audit, doit signer ce document
préparateur et du pour s'assurer que le travail effectué par l'équipe a été revu et documenté.
réviseur

140
Pièce 5.4: Evaluation des risques de fraude
Exigence en matière d’ISSAI: ISSAI 4000.58

Nom de l’entité
Période d’audit

Préparée par Signature Revue et approuvée par Signature

Nom:
Désignation:
Date:

[La liste de contrôle ci-dessous n'inclut pas toutes les questions nécessaires pour évaluer les risques de fraude dans
une organisation. Cela pourrait nécessiter des questions de suivi qui dépendent des réponses aux questions
précédentes. Par conséquent, les auditeurs peuvent s'en servir comme point de départ pour créer leurs outils et
réfléchir à l'identification des risques de fraude qui peuvent s'appliquer à l'entité ou au sujet]

Questions Description
1. L'entité a-t-elle mis en place une structure de gouvernance
en matière de fraude qui attribue les responsabilités
relatives aux enquêtes sur les fraudes?
2. L'entité a-t-elle mis en place une politique en matière de
fraude?
3. L'entité a-t-elle identifié les lois et règlements relatifs à la
fraude dans les juridictions où elle opère?
4. Le programme de gestion de la fraude de l'entité inclut-il
une coordination avec, le cas échéant, sa fonction d'audit
interne?
5. L'entité dispose-t-elle d'une ligne d'assistance
téléphonique en cas de fraude?
6. La responsabilité en matière de détection, de prévention,
de réponse et de sensibilisation antifraude a-t-elle été
attribuée au sein de l'entité?
7. La direction de l'entité encourage-t-elle la sensibilisation et
la formation antifraude au sein de l'organisation?
8. Quels processus ont été mis en place pour identifier et
répondre aux risques de fraude dans l'entité?
9. Des programmes périodiques de sensibilisation et de
formation antifraude sont-ils proposés à tous les
employés?
10. Les responsables de la prévention, de la détection et de
l'investigation des fraudes disposent-ils d'outils
automatisés?
11. La direction de l'entité a-t-elle identifié les types de risques
de fraude potentiels dans ses domaines de responsabilité?
12. La direction de l'entité a-t-elle mis en place des contrôles
appropriés afin de prévenir, détecter et enquêter sur les
fraudes?

141
 Questions Description
13. La direction de l'entité dispose-t-elle des compétences
appropriées pour mener des enquêtes sur les fraudes?
14. La direction de l'entité évalue-t-elle périodiquement
l'efficacité et l'efficience des contrôles de fraude?
15. Les documents de travail et les documents justificatifs
relatifs aux enquêtes sur les fraudes sont-ils sécurisés et
conservés de manière appropriée?

Guide de processus pour remplir le modèle d'évaluation des risques de fraude au stade de la
planification de l'audit:

L'objectif du L'objectif de ce modèle est de disposer d'informations sur le risque de fraude dans le
remplissage du cadre de la connaissance globale de l'entité et de l'environnement de contrôle.
modèle
Exigence en matière ISSAI 4000.58
d’ISSAI

Guide
L'équipe d'évaluation du risque de fraude identifie les stratagèmes frauduleux
potentiels en utilisant le brainstorming, les entretiens avec la direction, les
procédures analytiques et l'examen des fraudes antérieures. Au cours de ce
processus, l'équipe d'évaluation des risques de fraude examine les activités de
l'organisation, les stratagèmes pertinents pour le secteur, la géographie et les
programmes, en tenant toujours compte des caractéristiques essentielles de
fraude (pression/incitation, opportunité et rationalisation), en posant des
questions telles que:
• Dans quels domaines existe-t-il des possibilités de fraude ?
• Quel est le niveau de pression auquel la direction est soumise qui la
conduirait à passer outre les contrôles internes ?
• Y a-t-il des conséquences en cas d'échec de la direction à atteindre les
objectifs?

Les domaines de fraude spécifiques doivent être identifiés sans tenir compte des
contrôles internes existants ou de leur efficacité. L'évaluation examine si la fraude
peut être commise par un individu seul ou si elle nécessite une collusion entre
employés ou personnes externes.

L'auditeur peut prendre en compte les facteurs suivants dans la définition des
priorités en matière de risques de fraude, notamment :
• Impact financier.
• Impact sur la réputation de l’organisation.
• Actions criminelles/civiles potentielles, y compris les actions potentielles
• Non-conformité règlementaire
• Probité et sécurité des données.
• Perte d'actifs
• Emplacement et taille des opérations/unités.
• Culture de l’entité.

142
 • Rotation de la direction/des employés.
• Liquidité des actifs de l’entité.
• Volume et taille des transactions.
• Externalisation.

Conclusion L'équipe d'audit conclut sur les risques de fraude potentiels à documenter dans le
registre des risques.

Éléments probants L'équipe et le réviseur, généralement le superviseur de l'audit, signent ce document

du préparateur et afin de s'assurer que le travail effectué par l'équipe a été revu et documenté.
du réviseur

143
Pièce 5.5: Définition de l’importance relative au stade de la planification
Exigence des ISSAI: ISSAI 4000.92

Nom de l’entité
Période d’audit

Préparée par Signature Revue et approuvée par Signature

Nom:
Désignation:
Date:

1 2 3 4 5 6
Point de référence Seuil % de l’importance Nombre de la Montant de Montant révisé de
relative utilisée population l'importance l'importance
relative relative
Montant du 1 à 5% x% Xxxx xxxx xxxx
versement
Révision 1 à x% x% Xxxx xxxx xxxx
Définition de l`importance relative quantitative (lorsque le sujet comprend des transactions, des informations financières)
Justification du point de référence utilisé (comment le montant total est calculé)

Justification du pourcentage utilisé

Raison de la révision de l'importance relative

Définition de l'importance relative qualitative

Importance relative par nature

Importance relative par contexte

144
145
Guide de processus permettant de remplir le modèle de définition de l’importance relative au stade
de la planification :

L'objectif du L'objectif de ce modèle de document de travail est de déterminer l'importance relative en vue
modèle de la planification et de la réalisation de l'audit, et ce, dans le cadre de la stratégie globale
d'audit. L'importance relative déterminée au stade de la planification peut être révisée au fur
et à mesure que l'audit progresse.
Exigence en ISSAI 4000.92
matière
d'ISSAI
Guide L'objectif de l'importance relative est d'identifier les questions d'audit, sur la base de
l'évaluation des risques, et de garantir que toute non-conformité inférieure au niveau
d'importance relative n'affectera pas la conclusion et n'affectera pas l'objectif pour lequel les
rapports sont utilisés par les utilisateurs.
Colonne 1 Choisir un point de référence approprié dans la détermination de l'importance
relative de la planification du sujet considéré. En choisissant ce point de
référence, l'auditeur doit déterminer si cet élément est essentiel pour les
utilisateurs.
Colonne 2 Déterminer le seuil de l'importance relative. La limite dépendra de la politique
de l'ISC, et elle peut être, par exemple, comprise entre 0,5 % et 2 % ou entre 1
% et 5 %. Cela peut également dépendre du type de point de référence choisi
dans l'ensemble du sujet de l'audit.
Colonne 3 A partir du seuil donné, choisir un pourcentage à appliquer à la valeur totale de
la population afin d’obtenir le montant de l'importance relative. L'auditeur
applique un pourcentage du seuil de l'importance relative en tenant compte de
la sensibilité des éléments. Le pourcentage à appliquer peut être décidé comme
suit :
Très sensible : 1%, Sensible : 2,5%, Non sensible : 5%.
Colonne 4 Enregistrer le nombre total de la population du point de référence choisi en
fonction du sujet.
Colonne 5 Déterminer le montant de l'importance relative en appliquant le pourcentage
choisi (de la colonne 3) au nombre total de la population (colonne 4). Il s'agit du
montant de l'importance relative de la planification du sujet dans le cas d'une
transaction ou d'une information financière.
Colonne 6 Pour obtenir une valeur révisée, répéter le même processus que ci-dessus. En
faisant preuve de jugement professionnel, l'auditeur peut également se
contenter d'indiquer le montant révisé du seuil de l'importance relative sans
avoir à appliquer le pourcentage révisé à la population totale.
Enregistrement des descriptions relatives à la détermination de l'importance relative:
1. Dans la ligne 1, enregistrer la description de l'utilisation du point de référence choisie, la
manière dont le montant total est calculé et utilisé comme point de référence.
2. Dans la ligne 2, enregistrer la justification, qui dépend principalement de la sensibilité. Elle
peut également dépendre de la nature de l'entité et aussi de la discipline financière.
3. Dans la ligne 3, enregistrer la raison de la révision de l'importance relative, afin de garder
une trace de la raison pour laquelle le montant de l'importance relative a été révisé, et la
raison pour laquelle il était nécessaire de réviser l'importance relative.
Dans le cadre de l'importance relative qualitative:
1. être prise en compte tout au long de l'audit. Cet aspect particulier est essentiel dans les
audits du secteur public.

146
 2. Dans la deuxième ligne, noter la prise en compte de l'importance relative en fonction du
contexte, qui doit être prise en considération tout au long de l'audit. Il s'agit parfois d'une
non-conformité mineure, mais qui peut avoir un effet important.
Éléments Le réviseur, généralement le superviseur de l'audit, doit signer ce document afin de s'assurer
probants du qu'il a été revu.
préparateur
et du
réviseur

147
Pièce 5.6: Registre des risques
Exigence en matière d’ISSAI: ISSAI 4000.52

Nom de l’entité
Période d’audit

Préparée Signature Revue et approuvée par Signature

Nom:
Désignation:
Date:

1 2 3
No. Risque identifié (risques Lien vers le domaine concerné Évaluation
inhérents/de contrôle/de par le sujet (Élevé, faible, moyen)
fraude)
1. ..
2. ..

148
Guide de processus permettant de remplir le modèle de registre des risques

L'objectif du L'objectif de ce modèle de document de travail est de consigner les risques de non-
remplissage du conformité identifiés lors de la réalisation du processus d'évaluation des risques. La
modèle norme ISSAI exige de l'auditeur qu'il évalue les risques de non-conformité significative
en comprenant l'entité et son environnement.

Exigence en matière ISSAI 4000.52

d’ISSAI

Guide
Globalement L'enregistrement des risques dans le registre des risques peut se
faire simultanément à la détermination des risques inhérents, de
contrôle et de fraude. Au cours de l'audit, ce registre des risques
peut être mis à jour en fonction des nouveaux risques identifiés,
sans avoir à reprendre l'ensemble du processus. Les risques du
registre sont élaborés dans la matrice de planification avec les
procédures d'audit à effectuer
Colonne 1 Dans cette colonne, l'auditeur enregistre les risques identifiés
dans différents domaines. En enregistrant ces risques, l'auditeur
tient compte des risques inhérents, des risques de contrôle et des
risques de fraude identifiés
Colonne 2 L'auditeur enregistre les domaines pertinents du sujet où les
risques sont liés.

Colonne 3 Les risques identifiés et enregistrés dans le registre des risques

sont évalués en fonction de leur impact et de leur probabilité, et
la conclusion de l'auditeur sur le risque est enregistrée.

Éléments probants Les noms d'une personne qui a préparé ce registre des risques et du réviseur à la fin. Le
du préparateur et préparateur, qui peut être un chef d'équipe ou l'un des membres de l'équipe, doit signer
du réviseur le document en conséquence.

Le réviseur, généralement le superviseur de l'audit, doit signer ce document pour

s'assurer que le travail effectué par l'équipe a été examiné en conséquence.

149
Pièce 5.7: Plan d’audit
Référence en matière d’ISSAI: ISSAI 4000.137, ISSAI 4000.140, ISSAI 4000.149

Nom de l’entité
Période d’audit

Préparé par Signature Revue et approuvée par Signature

Nom:
Désignation:
Date:
[Remarque : Le plan d'audit comporte les parties suivantes : Partie A : Évaluation des risques et du contrôle interne ; Partie B :
Matrice de planification de l'audit couvrant les risques ; Partie C : Calendrier d'audit couvrant les personnes chargées d'exécuter
les procédures d'audit et le moment où elles le feront. L'équipe de l'ISC peut combiner la stratégie d'audit et le plan d'audit en un
seul document continu pour approbation par la direction de l'ISC]

PARTIE A: Évaluation des risques et contrôle interne

1. Évaluation des risques

2. Évaluation du contrôle interne

3. Résultat de l'évaluation des risques - registre des risques

4. Évaluation de de l'importance relative

150
PARTIE B: Matrice de planification des audits

No. 1 2 3 4 5
Risques identifiés Critères Éléments Sources d’éléments Procédures d'audit à mettre en
(du registre des probants/informations probants/d’informations œuvre
risques) requis
1

..

..

151
Partie C: Calendrier d’audit

Étapes d'audit Date prévue Date d’achèvement Commentaires

Plan d’audit
Préparé
Revu
Approuvé par la direction
Exécution d'audit : Travail sur le terrain
Début
Achèvement
Rapports d’audit
Projet de rapport préparé
Revu
Approuvé par la direction
Rapport d'audit publié

152
Guide de processus permettant de remplir le modèle de plan d'audit:

L’objectif du Ce document de travail constitue la base de la stratégie d'audit et du plan d'audit que l'équipe
modèle d'audit soumettra à la direction pour approbation.

Références ISSAI 4000.137, ISSAI 4000.140, ISSAI 4000.149

aux ISSAI

Partie A: Évaluation des risques et contrôle interne

Évaluation Suivre le processus d'évaluation des risques. Mentionner les informations
des risques générales tirées de la compréhension de l'entité et du risque de fraude
identifié. Ces informations doivent provenir des modèles de documents
de travail complétés.
Évaluation Rédiger l'évaluation du risque global de contrôle, sur la base des résultats
du contrôle de la compréhension du sujet et de l'évaluation initiale des risques de
interne. contrôle.
Résultat de Documenter les résultats de l'évaluation des risques et l'assurance requise
l'évaluation pour donner une assurance raisonnable sur le sujet. Les risques sont
des risques répertoriés dans le registre des risques.

Importance Décrire les aspects aussi bien quantitatifs que qualitatifs de l'importance
relative relative, le cas échéant, en tenant compte de la pièce sur l'importance
relative.

Partie B: Matrice de planification des audits

Risques Rapporter tous les risques de non-conformité importante dans cette
identifiés colonne comme les questions d'audit de la pièce 5.6 sur la liste du registre
Guide des risques.
Critères Dans la stratégie d'audit, tous les critères applicables sont identifiés dans
le cadre du sujet. Il s'agit ici de mentionner les critères spécifiques auxquels
l'entité doit se conformer par rapport au risque de la colonne 1.
Éléments De quelles éléments probants ou informations l'auditeur a-t-il besoin pour
probants répondre à la question d'audit concernant le risque de non-conformité aux
requis critères ?
Sources À quel niveau les éléments probants ou les informations sont-elles
d’éléments disponibles ? Dresser une liste des sources possibles d’éléments probants
probants dans le cadre de l'audit.
Procédures Indiquer les procédures d'audit que l'équipe prévoit de mettre en œuvre
d'audit à afin de confirmer que la situation est conforme aux critères permettant de
mettre en répondre à la question. Par exemple : se renseigner auprès du personnel et
œuvre documenter les discussions, examiner les politiques et noter les cas de non-
conformité, pour d'autres discussions avec l'entité.

Partie C: Calendrier de l’audit

Détailler les dates prévues pour l'audit. Lorsque l'audit est en cours, il peut y avoir des
changements ; la partie « date de réalisation » sera donc remplie ultérieurement et des
commentaires seront ajoutés en fonction de l'avancement de l'audit.

153
Annexe 5-A:

Objectif Examen de la qualité de la planification des audits

Référence Section 5.3
[La liste de contrôle d'examen fournie ci-dessous est suggestive. Il se peut que l'ISC dispose déjà d'un mécanisme d'examen de la
qualité assorti d'une liste convenue. L'équipe de l'ISC peut comparer les deux et finaliser la liste de contrôle pour l'examen de la
qualité lors de la phase de planification.]
En examinant le caractère adéquat de la planification de l'audit, le réviseur peut prendre en compte les éléments suivants:

Liste de contrôle Commentaire de revue

1 S'assurer que la planification est effectuée conformément aux
politiques, normes, manuels, lignes directrices et pratiques d'audit
de l'ISC.
2 Obtenir des informations pertinentes concernant les lois et les
règlements qui pourraient avoir un impact significatif sur les
objectifs de l'audit.
3 Audit d'enquête préliminaire (un audit qui vise à effectuer une étude
initiale de questions spécifiques afin d'aider à préparer le plan
d'audit)
4 Détermination des objectifs et de la portée de l'audit
5 Identification des sources (par exemple, les médias, les
constatations de l'audit interne de l'entité auditée, les inspections et
autres organismes de contrôle) comme contexte pour les audits.
6 Détermination de la liste des activités à auditer
7 Mise en évidence des problèmes particuliers prévus lors de la
planification de l'audit
8 S'assurer que les membres de l'équipe d'audit ont une
compréhension claire et cohérente du plan d'audit.
9 Un suivi des questions soulevées lors des audits précédents est
effectué
10 Compréhension de la finance, de la comptabilité et d'autres
fonctions pertinentes de l'entité/du sujet.
11 Identification des éléments critiques du système de contrôle interne
de l'entité auditée
12 Utilisation de procédures analytiques appropriées
13 Identification et analyse des ratios et des chiffres comparatifs
pertinents
14 Identification des tendances ou des écarts par rapport aux montants
prévus
16 Choix d'indicateurs de performance pertinents
17 Évaluation des risques inhérents et de contrôle
18 Établissement de critères et de seuils de l'importance relative
19 Préparation de la matrice de planification de l'audit en fonction des
risques identifiés.
21 Choix d'experts appropriés, si nécessaire

154
22 Préparation du budget et du calendrier, évaluation des ressources
nécessaires, des besoins en personnel et de l'équipe affectée à l'audit
23 Examen et réponse aux interrogations soulevées au cours de la phase
de révision.
24 Élaboration, approbation, révision du plan d'audit par les
superviseurs, le cas échéant
25 Autres procédures et pratiques utilisées dans la phase de
planification d'un audit
26 Pratiques visant à améliorer en permanence les procédures de
contrôle de la qualité dans la phase de planification de l'audit

Pièces du Chapitre 6: Collecte et évaluation des éléments probants

Pièce 6.1: Tests de l'efficacité opérationnelle des contrôles

Pièce 6.2: Exécution de tests de corroboration
Pièce 6.3: Matrice des constatations de l'audit

Annexe 6-A: Examen de la qualité des travaux d'audit sur le terrain

155
Pièce 6.1: Tests de l'efficacité opérationnelle des contrôles
Références aux ISSAI: ISSAI 4000.144-149

Nom de l’entité
Période d’audit

Préparé par Signature Revue et approuvé par Signature

Nom
Désignation:
Date:

Etape 1: Lien entre la planification, les risques, les activités de contrôle et les procédures de test

1 2 3 4 5 6
Numéro de Risque Référence du Activité de Procédures Commentaires
référence risque contrôle du de test de
de contrôle risque contrôle
effectuées
Link to… Link to… Link to…

Etape 2: Test des procédures de contrôle effectuées

1 2 3 4
Échantillon no de référence Eléments testés dans l'échantillon Conclusion
d’échantillon Elément Elément Elément Elément Elément
1 2 3 4 5
1
2
3
4

Conclusion générale sur les tests de contrôle

156
Guide de processus permettant de remplir le modèle de test de l'efficacité opérationnelle
des contrôles:
Objectif du L'objectif de ce modèle de document de travail est de documenter les procédures de test de
modèle contrôle mises en œuvre par l'auditeur. L'objectif du test est lié aux risques identifiés ; la
procédure d'audit est réalisée sur les échantillons sélectionnés.
ISSAI ISSAI 4000.144-149
Guide Etape 1: : Lier les risques du document de planification qui ont été pris en compte pour les
tests et les enregistrer dans le champ prévu ci-dessus. Par rapport à cela, retracer les risques,
les activités de contrôle, les procédures de test de contrôle identifiés dans le document de
planification.
Etape 2: Sélectionner les échantillons à tester pour une activité de contrôle à la fois. Enregistrer
d'abord le numéro de référence du contrôle et le numéro de référence du risque, afin de
confirmer le contrôle qui a été testé. Enregistrer ces informations dans le champ prévu à cet
effet dans le modèle, puis enregistrer les détails des échantillons dans le tableau indiqué.
Etape 1: Lien de la planification avec les risques, activités de contrôle, procédures de test
Colonne 1 Dans cette colonne, repérer le numéro de référence de l'activité de
contrôle dans le journal des activités de contrôle ou du tableau RMNC
(risque de non-conformité significatif) /registre des risques rempli au
stade de la planification de l'audit. La colonne 1 enregistre le numéro de
référence du contrôle et fournit ainsi un état des contrôles testés.
Colonne 2 Retracer les risques identifiés dans le tableau du RMNC/registre des
risques et les inscrire dans cette colonne. Tout d'abord, retracer les
risques évalués comme étant significatifs.
Colonne 3 Il est facultatif de retrouver le nom du risque ou la référence du risque
dans cette documentation. Le numéro de référence du risque peut être
retracer dans le tableau RMNC/registre des risques et enregistré dans
cette colonne.
Colonne 4 Repérer le nom de l'activité de contrôle dans le tableau RMNC/registre
des risques et l'enregistrer dans cette colonne. Il doit correspondre au
numéro de référence de l'activité de contrôle enregistré dans la colonne
1 et aux risques identifiés dans le tableau RMNC/registre des risques.
Colonne 5 Dans cette colonne, ajouter un commentaire sur les procédures de test de
contrôle conçues au stade de la planification à partir du tableau
RMNC/registre des risques. Il s'agit du travail qui doit être effectué par
l'auditeur.
Etape 2: Test des procédures de contrôle effectué
Colonne 1 Dans cette colonne, enregistrer les numéros des échantillons. Cela indique
le nombre d'échantillons testés.
Colonne 2 Documenter le numéro de référence de l'échantillon dans cette colonne.
Généralement, il peut s'agir d'un numéro de bon de paiement ou de bon
de réception, d'une date ou d'un élément similaire.
Colonne 3 Dans cette colonne, enregistrer les détails des éléments testés dans cet
échantillon particulier par rapport au contrôle. Les éléments à tester dans
un échantillon particulier seront déterminés par les procédures de test de
contrôle conçues au stade de la planification, et par l'objectif du test.
Colonne 4 Tirer une conclusion sur chaque échantillon testé et la noter dans cette
colonne. Cela constituera la base permettant d'arriver à une conclusion
générale.
Conclusion Sur la base des contrôles identifiés pour chaque risque testé, conclure si les contrôles mis en
sur les tests place fonctionnent efficacement. Pour ce faire, enregistrer d'abord la base de la conclusion,
de contrôle puis conclure avec l’aide de l'une des déclarations suivantes.
1. Les contrôles ont fonctionné efficacement.
2. Les contrôles n’ont pas fonctionné efficacement.

157
 Cette conclusion doit ensuite être reportée dans le tableau RMNC/registre des risques dans la
colonne « Conclusion de la procédure de test de contrôle » et enregistrée comme « efficace »
ou « non efficace » pour chaque procédure de test de contrôle.
Éléments Le tableau indiquant les noms de la personne qui a préparé et complété ce document de travail
probants du et du réviseur doit être rempli à la fin. Le préparateur peut être un chef d'équipe ou l'un des
préparateur membres de l'équipe, qui peut alors apposer sa signature. Le réviseur, généralement le
et du superviseur de l'audit, doit signer ce document afin de s'assurer que le travail effectué par
l'équipe a bien été revu en conséquence.
réviseur

Pièce 6.2: Exécution des tests de corroboration

Références aux ISSAI: ISSAI 4000.144-149

Nom de l’entité
Période d’audit

Préparé par Signature Revu et approuvé par Signature

Nom:
Désignation:
Date:

Etape 1: Lien entre la planification, les risques et les tests de corroboration

1 2 3 4
Risque Référence du risque Tests de corroboration réalisés Commentaires
Lien avec… Lien avec…

Etape 2: Procédures de corroboration réalisées

1 2 3 4
o
Echantillon n de référence Elément testés dans l’échantillon Conclusion
d’échantillon Elément Elément Elément Elément Elément
1 2 3 4 5
1
2
3
4

Conclusion générale sur les tests de corroboration

158
Remplissage du modèle de tests de corroboration : Guide de processus suggéré
L’objectif du L'objectif de ce modèle de document de travail d'audit est de documenter les tests de
modèle corroboration réalisés par l'auditeur dans la phase d'exécution de l'audit afin de s'assurer que
le travail réalisé par l'auditeur est documenté en conséquence. L'objectif du test est lié au
risque identifié ; la procédure d'audit est réalisée en se basant sur les échantillons sélectionnés.
ISSAI ISSAI 4000.144-149
Guide Etape 1: Lier les risques du document de planification qui ont été considérés pour le test, et les
enregistrer dans le champ prévu ci-dessus. Par rapport à cela, Lier les risques et les tests de
corroboration identifiés dans le document de planification.
Etape 2: Sélectionner les échantillons pour les tests. En général, les échantillons sélectionnés
pour les tests de corroboration sont plus importants que pour les tests de contrôle. Par
conséquent, l'auditeur doit d'abord enregistrer le numéro de référence du risque, afin de
savoir clairement le risque qui sera traité par les tests de corroboration. Les détails ou les
éléments à tester dans l'échantillon donné dépendent de l'objectif du test, et ce qui doit être
testé doit être tiré des tests de corroboration.
Etape 1: Lien au risque et aux tests de corroboration à partir de la planification
Après avoir enregistré les risques à tester, compléter le tableau comportant quatre éléments.
L'auditeur doit d'abord se concentrer sur les risques importants, puis concevoir et exécuter des
tests de corroboration adaptés à de tels risques.
Colonne 1 Lier les risques identifiés du tableau RMNC/registre des risques et les
enregistrer dans cette colonne. Lier d'abord les risques évalués comme
étant importants.
Colonne 2 Le numéro de référence du risque peut être lié du tableau RMNC/registre
des risques et enregistré dans cette colonne pour faciliter la référence lors
de la documentation des tests de corroboration réalisés.
Colonne 3 Dans cette colonne, lier les procédures de corroboration conçues au stade
de la planification à partir du tableau RMNC/registre des risques. Il s'agit
du travail qui doit être effectué par l'auditeur.
Colonne 4 Ajouter ici un commentaire sur le processus et le résultat. Le but est de
s'assurer que l'objectif du test est maintenu de manière cohérente pour
parvenir à une conclusion appropriée sur la base des tests de
corroboration réalisés.
Etape 2: Tests de corroboration réalisés
Documenter les tests de corroboration mis en œuvre pour répondre aux risques évalués de
non-conformité significative. Lier la référence du risque et l'enregistrer dans le champ prévu
à cet effet.
Colonne 1 Dans cette colonne, noter les numéros des échantillons. Cela indique
combien d'échantillons ont été testés.
Colonne 2 Documenter le numéro de référence de l'échantillon dans cette colonne.
En général, il peut s'agir du numéro et de la date d'un bon de paiement ou
d'un bon de réception.
Colonne 3 Dans cette colonne, enregistrer le ou les éléments testés dans cet
échantillon. Les éléments à tester dans un échantillon seront déterminés

159
 par les tests de corroboration conçus et les objectifs du test déterminés
lors de la phase de planification.
Colonne 4 Dans cette colonne, enregistrer la conclusion à laquelle on est arrivé pour
chaque échantillon testé. Cela servira de base pour arriver à une
conclusion générale.
Conclusion Pour arriver à une conclusion générale, il faut d'abord établir la base de la conclusion. Cela
sur les tests peut se faire en résumant la conclusion pour chaque échantillon dans la colonne 4.
de La conclusion générale doit ensuite être reliée aux risques spécifiques du registre des risques,
corroborati afin que les auditeurs sachent quels risques ont réellement entraîné des non-conformités. À
partir de là, des recommandations constructives peuvent être suggérées
on
Toute exception observée lors de la réalisation des tests de corroboration sur chaque
échantillon sélectionné pour les tests doit être liée à la liste d'observations lors de la phase
d'achèvement et de révision de l'audit afin de traiter de manière appropriée avec la direction
et d'évaluer l'impact sur l'objectif et le sujet.

Éléments Le tableau indiquant les noms de la personne qui a préparé et complété ce document de travail
probants du et du réviseur doit être rempli à la fin. Le préparateur peut être un chef d'équipe ou l'un des
préparateur membres de l'équipe qui peut donc signer le document.
et du L'examinateur, généralement le superviseur de l'audit, doit signer ce document pour s'assurer
que le travail effectué par l'équipe a été revu en conséquence.
réviseur

160
Pièce 6.3: Matrice des constatations d’audit
Exigence en matière d’ISSAI : ISSAI 4000.179

Nom de l’entité
Période d’audit

Préparé par Signature Revu et approuvé par Signature

Nom:
Désignation:
Date:

1. Question de risque/d’audit : ………..

2. Constatation
i. Critères d’audit ii. Condition/ iii. Cause i. Effet
Elément probant

3. Conclusion: ….

4. Recommandation (Si applicable): ….

161
Remplissage du modèle de matrice de constatation d'audit : Guide de processus: suggéré

L’objectif du L'objectif de ce modèle de document de travail est de faciliter la préparation systématique des
modèle constatations d'audit. L'auditeur doit remplir ce modèle pour chaque risque. Sur la base des
informations recueillies dans le modèle, il préparera la constatation narrative individuelle (l'équipe
peut suivre le format de constatation de l'ISC). Concernant les affirmations faites par l'auditeur
dans les narratifs du modèle, elles doivent être soutenues par la documentation requise avec des
références (éléments probants). Cela facilitera le processus d’examen de la qualité pendant l'audit
et l'assurance qualité après l'audit.
ISSAI ISSAI 4000.179
Guide
Ligne 1 Question d'audit ou risques identifiés lors de la phase de planification, qui fait
référence au registre des risques. Pour chaque risque/question d'audit figurant
dans le registre, un tableau de planification de l'audit est complété sur la base
des procédures d'audit mises en œuvre pour les risques ; ce tableau est
complété séparément en fonction de chaque risque.
Ligne 2 Constatations, qui comportent quatre éléments :
i. Critères Autorités, règles ou règlements régissant l'entité/les événements/la situation
d’audit: particulière, utilisés pour déterminer la réponse au risque, c'est-à-dire s'il est
conforme ou non.
ii. Condition / La condition fait référence à la situation existante, identifiée et documentée
éléments pendant l’audit, ce que l'auditeur a constaté lors de l'audit, la situation existante
probants : dans l'entité, si elle s'écarte des critères fixés, les résultats de la collecte
d'éléments probants à l'aide de différentes méthodes/techniques/procédures.
Les éléments probants sont liés aux critères. L'auditeur analyse la différence
entre les critères (ce qui doit être) et la condition (ce qui est là), en évaluant les
éléments probants de la condition trouvée par rapport aux critères. Souvent,
plusieurs éléments de preuve constituent une constatation.
iii. Cause: La cause est le motif de la différence entre la condition et le critère. S'il y a non-
conformité, quelle en est la cause ? Il peut s'agir de l'ignorance des règles en
vigueur ou de l'annulation d'une décision de la direction. La cause (ou la cause
profonde) servira de base aux recommandations. Afin d'identifier de manière
fiable les causes de la situation existante, l'auditeur peut être amené à utiliser
des méthodologies d'analyse de données appropriées.
iv. Effet L'effet est la conséquence de la différence entre la condition et le critère, c'est-
à-dire la non-conformité. L'effet indique la gravité de la situation rencontrée et
détermine l'intensité de l'action corrective. Quel est l'effet ou la conséquence de
la non-conformité ou de l'écart en ce qui concerne les pertes ou autres
dommages subis par l'entité ?
Ligne 3 Conclusion : Conclusion : Sur la base de l'analyse, le risque faisant l'objet de
l'audit est ou n'est pas conforme aux critères respectifs.
Ligne 4 Les recommandations doivent provenir de la cause profonde de la non-
conformité déterminée. Il se peut que toutes les constatations ne donnent pas
lieu à des recommandations. En proposant une recommandation, il est de bonne
pratique de discuter avec l'entité de la logique et de la probabilité de sa mise en
œuvre. Cela améliorera les perspectives de mise en œuvre de la
recommandation.

Documentation:
Toutes les colonnes contiennent des déclarations fondées sur le jugement professionnel de
l'auditeur. Toutes ces déclarations doivent être étayées par des éléments probants suffisantes et
appropriées et par la documentation requise. Les décisions prises par l'auditeur, l'application de
son jugement professionnel et le processus de prise de décision doivent être documentés. Les

162
 travaux effectués et l'analyse des données ou des informations recueillies en vue de formuler une
conclusion doivent également être documentés de manière appropriée.

Éléments Le tableau indiquant les noms des personnes qui ont rempli le modèle et qui l'ont révisé est
probants du complété à la fin. C'est généralement le chef d'équipe qui le signe dans le cadre du contrôle de la
préparateur qualité. Le réviseur, généralement le superviseur de l'audit, doit signer ce document pour s'assurer
et du réviseur qu'il a été revu.

163
 Annexe 6-A:
Objectif Examen de la qualité du travail d'audit sur le terrain
Reference Section 6.6
[La liste de contrôle d'examen fournie ci-dessous est suggestive. Il se peut que l'ISC dispose déjà d'un mécanisme d'examen
de la qualité avec une liste convenue. L'équipe de l'ISC peut comparer les deux et finaliser la liste de contrôle pour l'examen
de la qualité au moment du dépôt du dossier d'audit.]

En examinant le caractère adéquat des travaux sur le terrain, le réviseur peut prendre en compte les éléments suivants:

Liste de contrôle Commentaire de revue

1 L'audit est réalisé conformément aux normes, manuels, directives et
pratiques d'audit de l’ISC.
2 Les auditeurs ont une bonne connaissance des techniques et des
procédures telles que l'inspection, l'observation, l'enquête,
l'entretien, permettant de recueillir des éléments probants d'audit.
3 Toutes les phases de l'audit ont été réalisées comme prévu et
approuvé.
4 Des explications sont disponibles pour la non-exécution de tout
domaine important du plan d'audit.
5 Il existe une approbation appropriée concernant les écarts
importants qui ont eu lieu par rapport à l'audit approuvé.
6 Les ressources en personnel utilisées pour l'audit sont conformes à
celles prévues en termes de temps, de catégorie de personnel et de
frais encourus.
7 Des techniques et des procédures d'audit appropriées ont été
utilisées pour atteindre chaque objectif d'audit afin de fournir des
éléments probants d'audit efficaces.
8 Des techniques d'audit assistées par ordinateur (CAATS) ont été
utilisées selon les besoins.
9 Des tests appropriés ont été utilisés pour évaluer la fiabilité des
contrôles internes.
10 Des procédures analytiques appropriées ont été utilisées, et la
fiabilité, l'indépendance et la qualité des données justificatives
pertinentes ont été évaluées.
11 Les méthodes d'échantillonnage ont été utilisées conformément aux
manuels de l'ISC et aux bonnes méthodes statistiques
12 Tous les tests d’opérations sont liés aux objectifs de l'audit,
expliquent de manière adéquate la nature et l'étendue des travaux
d'audit et fournissent une conclusion générale sur les résultats des
travaux d'audit.
13 Les étapes et les procédures d'audit ont été conçues pour obtenir
des éléments probants suffisantes et appropriées.
14 Toutes les interrogations soulevées au cours de l'audit ont fait
l'objet d'un examen approfondi.
15 Il existe des documents de travail adéquats en ce qui concerne :
- Il existe des documents de travail adéquats en ce qui concerne
- l'évaluation des systèmes de contrôle interne
- l'audit des procédures de routine
- les tests des contrôles ;
- la revue analytique
- les tests de corroboration ; et
- l'audit des applications informatiques.
16 Les documents de travail font l'objet de renvois et références
appropriés.

164
17 Les listes de contrôle de l'achèvement de l'audit sont exhaustives et
ont été complétées, approuvées et dûment prouvées.

Pièces du Chapitre 7: Rapports et suivi de l'audit de conformité

Annexe 7-A: Examen de la qualité des rapports d'audit

165
Annexe 7-A:
Objectif Examen de la qualité de l'établissement des rapports d'audit
Référence Section 7.5
[La liste de contrôle de l’examen fournie ci-dessous est suggestive. Il se peut que l'ISC dispose déjà d'un
mécanisme d’examen de la qualité et d'une liste de contrôle convenue. L'équipe de l'ISC peut comparer les deux
et finaliser la liste de contrôle de l’examen de la qualité au stade de l'établissement de rapports.]

En révisant le caractère adéquat de l'établissement des rapports d'audit, le réviseur peut prendre en compte les
éléments suivants:
Liste de contrôle Commentaire de revue
1 l'établissement des rapports est conforme aux politiques, normes,
manuels, directives et pratiques d'audit de l'ISC.
2 La forme et le contenu des rapports sont conformes aux procédures
établies (par exemple, titre, signature et date, objectifs et portée,
destinataire, base juridique, respect des délais, etc.).
3 La terminologie utilisée dans le rapport peut être facilement comprise par
les personnes à qui le rapport est présenté, et les termes techniques sont
pleinement expliqués.
4 Toutes les constatations d'audit ont été évaluées en termes d'importance
relative, d'erreurs et d'autres irrégularités.
5 Toutes les non-conformités, lacunes et questions inhabituelles ont été
correctement identifiées, documentées et résolues de manière
satisfaisante ou portées à l'attention d'un cadre supérieur de l'ISC, le cas
échéant.
6 Le rapport d'audit final couvre tous les domaines correspondant aux
objectifs de l'audit, ou des explications sont fournies sur les omissions.
7 Les observations et les conclusions du rapport sont étayées et bien
documentées afin de garantir l'exhaustivité, l'exactitude et la validité des
documents de travail.
8 Toutes les évaluations et conclusions sont solidement fondées et étayées
par des éléments probants compétents, pertinents et raisonnables.
9 Seules les constatations d'audit suffisamment importantes sont incluses
dans le rapport d'audit principal.
10 Le rapport est établi en temps opportun, il est complet, réalisé par un
personnel dûment qualifié, documenté de manière appropriée et
incorpore de manière adéquate l'opinion d'audit.
11 Les lettres de faiblesse, d’interrogations et de recommandations sont
soumises à l'entité auditée en temps voulu.
12 La réception des réponses pertinentes et opportunes aux rapports de l'ISC
et autres correspondances est assurée.
13 Les réponses sont étudiées avec soin.
14 Toutes les constatations, conclusions et recommandations contestées par
l'entité auditée sont dûment évaluées.
15 Les commentaires pertinents de l'entité auditée sont mentionnés dans le
rapport d'audit, le cas échéant.
16 Les événements significatifs pertinents survenus après l'achèvement de
l'audit sont pris en compte dans le rapport d'audit final.
17 Toutes les fraudes ou autres irrégularités significatives sont notifiées aux
autorités compétentes.
166
18 Les dossiers d'audit permanents ont été mis à jour en vue de prendre en
compte les résultats de l'audit.
19 Les éléments importants nécessitant un suivi ultérieur par l'ISC ont été
dûment identifiés, enregistrés et pris en compte.
20 Autres procédures et pratiques utilisées dans la phase d’établissement des
rapports d'un audit.
21 Pratiques visant à améliorer de manière continue les procédures dans la
phase d'établissement des rapports de l'audit

167
Manuel de mise en œuvre des ISSAI concernant l'audit de conformité, Version 1

Initiative de Développement de l’INTOSAI (IDI)

168