Chapitre 1 : Introduction au Contrôle Interne

Objectif du Chapitre

Comprendre la définition et les objectifs fondamentaux du contrôle interne et son importance pour la
gestion et la gouvernance d’une organisation.

1.1 Définition du Contrôle Interne

• Définition : Le contrôle interne est un ensemble de processus et de procédures mis en place

par la direction pour atteindre les objectifs de l’organisation tout en réduisant les risques et
en assurant la bonne gestion des ressources.

• Exemple illustratif :

o Une entreprise décide d’instaurer un contrôle interne pour surveiller les dépenses de
ses départements. Elle impose ainsi la double validation des dépenses : une première
vérification par le chef de département et une seconde par le directeur financier. Ce
système permet de réduire les risques de dépenses inutiles ou frauduleuses.

1.2 Les Objectifs du Contrôle Interne

• Objectif 1 : Fiabilisation des informations financières

o Explication : S’assurer que les états financiers sont exacts et qu’ils reflètent une
image fidèle de la santé financière de l’organisation.

o Exemple : Enron (2001) : Enron falsifiait ses états financiers pour cacher ses pertes.
Ce manque de contrôle interne a conduit à sa faillite et a illustré l’importance d’avoir
des contrôles stricts sur la fiabilité des données financières.

• Objectif 2 : Conformité aux lois et régulations

o Exemple : RGPD (Europe) : L’obligation de conformité impose aux entreprises de

protéger les données personnelles de leurs utilisateurs. Le non-respect de cette
régulation entraîne des sanctions financières lourdes et peut nuire à la réputation
d’une entreprise.

1.3 Discussion de Groupe : Importance du Contrôle Interne

• Cas Pratique : "Défaillance d’une banque fictive"

o Contexte : Les étudiants lisent un article fictif expliquant comment une banque s’est
effondrée en raison de l’absence de contrôle interne pour gérer ses risques
financiers.
Chapitre 2 : Les Composantes du Contrôle Interne selon le Cadre COSO

Objectif du Chapitre

Découvrir les cinq composantes du cadre COSO pour structurer un système de contrôle interne
efficace.

2.1 Introduction au COSO

• Présentation du COSO : Un cadre de contrôle interne structuré autour de cinq composantes

fondamentales pour gérer les risques et le bon fonctionnement des processus internes.

2.2 Les Cinq Composantes du Contrôle Interne

Composante 1 : Environnement de Contrôle

Exemple : Code d’éthique de la Société Générale

o Société Générale a mis en place un code d’éthique exigeant des employés qu’ils
agissent avec intégrité et respectent les règles de déontologie. Ce code est affiché sur
le site internet de l’entreprise et fait partie intégrante des pratiques de contrôle
interne.

• Cas Pratique : Créer un Code d’Éthique pour une entreprise fictive

o Activité de groupe : Chaque groupe de trois étudiants conçoit un code d’éthique

pour une entreprise fictive dans un secteur au choix (ex. : start-up de technologie,
entreprise de distribution).

o Questions : Comment inclure des valeurs d’intégrité, de respect des règles, et de

responsabilité dans ce code ?

Composante 2 : Évaluation des Risques

• Exemple : Evaluation des risques d’une entreprise de transport

o Une entreprise de transport identifie ses risques majeurs : accidents de la route,

retards de livraison et hausse des prix du carburant. Elle évalue leur impact sur les
coûts et la réputation et classe les risques par priorité pour mieux les gérer.

• Cas Pratique : Évaluation des risques dans une PME

o Contexte : Les étudiants prennent le rôle d’auditeurs dans une PME fictive de vente
de matériel informatique.

o Activité : Ils identifient et évaluent les risques possibles comme les vols, les défauts
de produits, les fluctuations des prix d’achat et les problèmes de logistique.

o Questions : Quels sont les trois risques prioritaires ? Comment les atténuer ?

Composante 3 : Activités de Contrôle

• Exemple : Contrôle des paiements chez Carrefour

o Carrefour applique une séparation des tâches pour les paiements fournisseurs. Les
achats sont d’abord validés par le service des achats, puis la comptabilité contrôle les
factures, et enfin la direction financière approuve les paiements.
 • Cas Pratique : Analyse d’un processus de paiement

o Scénario : Une entreprise reçoit de fausses factures de fournisseurs.

o Activité : Les étudiants doivent proposer des activités de contrôle pour vérifier
l’authenticité des factures et éviter les fraudes.

o Solutions attendues : Double validation des factures, vérification des informations

fournisseurs, procédure d’autorisation stricte.

Composante 4 : Information et Communication

• Exemple : Communication d’un audit chez L’Oréal

o Lors d’un audit, L'Oréal communique clairement les résultats et les mesures
correctives aux équipes concernées, garantissant ainsi que tout le monde comprend
les attentes et les règles à suivre.

• Cas Pratique : Mise en place d’une communication interne dans une filiale

o Contexte : Une filiale d’une entreprise internationale a des résultats financiers

alarmants, mais la communication avec le siège est défaillante.

o Activité : Les étudiants proposent un système de communication pour transmettre

rapidement les informations financières importantes.

o Proposition attendue : Instaurer des rapports trimestriels avec remontée

automatique d’alertes pour toute anomalie détectée.

Composante 5 : Activités de Surveillance

• Exemple : Audits internes de BNP Paribas

o BNP Paribas organise des audits internes trimestriels pour évaluer l’efficacité de ses
contrôles internes et détecter les failles potentielles.

• Cas Pratique : Surveillance d’une chaîne de production

o Scénario : Une entreprise de fabrication de pièces détachées subit des défauts de

qualité récurrents.

o Activité : Les étudiants proposent des méthodes de surveillance pour détecter et

corriger les anomalies dans la chaîne de production (par exemple, échantillonnage et
inspections régulières).

o Réponse attendue : Audit hebdomadaire, système d’évaluation de la qualité en

temps réel, reporting immédiat pour anomalies.
Chapitre 3 : Fiabilisation des Informations Financières

Objectif du Chapitre

Comprendre comment le contrôle interne renforce la fiabilité des informations financières et

contribue à leur exactitude et transparence.

3.1 Importance de la Fiabilisation des Informations Financières

• Exemple : Affaire Enron (2001)

o Enron manipulait ses états financiers pour dissimuler ses dettes. En 2001, l’absence
de contrôle interne a conduit à l’effondrement de l’entreprise, entraînant la faillite et
des sanctions pour les dirigeants impliqués.

• Cas Pratique : Identifier les failles d'un état financier fictif

o Contexte : Les étudiants reçoivent un état financier falsifié d’une entreprise fictive
qui cache des dettes et gonfle ses revenus.

o Activité : Les étudiants identifient les anomalies et suggèrent des contrôles pour
éviter de telles falsifications.

o Solutions attendues : Contrôles des comptes fournisseurs, analyse des transactions à

risque, validation par des auditeurs externes.

Chapitre 4 : Conformité aux Lois et Régulations

Objectif du Chapitre

Étudier les mécanismes du contrôle interne permettant de répondre aux exigences réglementaires.

4.1 Enjeux de la Conformité aux Lois et Régulations

• Exemple : RGPD et ses amendes pour non-respect

o Les entreprises doivent protéger les données des utilisateurs sous peine de sanctions
financières. En 2019, British Airways a reçu une amende pour non-conformité au
RGPD après une fuite de données.

4.2 Principales Régulations en Contrôle Interne

• Exemple 1 : RGPD

o L’Union européenne impose des règles strictes sur la gestion des données
personnelles pour garantir la confidentialité des informations sensibles.

• Exemple 2 : Sarbanes-Oxley Act (SOX)

o Aux États-Unis, SOX impose aux entreprises cotées de fournir des informations
financières exactes et exige la transparence dans les contrôles internes.

4.3 Cas Pratique : Étude de Cas de Non-Conformité Réglementaire

• Contexte : Une société fictive d’e-commerce a perdu les données personnelles de ses clients
et n’a pas respecté les normes de sécurité RGPD.
 • Activité de Groupe : Chaque groupe identifie les erreurs de contrôle interne et propose un
plan d’actions pour éviter de futurs incidents (ex. : sauvegardes, cryptage, gestion des accès).

• Réponses attendues : Renforcer la sécurité informatique, instaurer des procédures de

cryptage des données, suivre la conformité régulièrement.

1. Les fondamentaux du contrôle interne

1.1. Définition du contrôle interne

Le contrôle interne se définit généralement comme un ensemble de dispositifs, de politiques, de

procédures et de comportements mis en place par l’organisation pour :

1. Assurer la fiabilité et l’intégrité des informations financières et de gestion.

2. Garantir le respect des lois, règlements et politiques internes.

3. Prévenir et détecter les erreurs et fraudes.

4. Protéger les actifs de l’organisation.

5. Favoriser l’efficacité et l’efficience opérationnelles.

6. Soutenir la stratégie globale de l’entreprise.

1.2. Pourquoi le contrôle interne est-il important ?

• Maîtrise des risques : Le contrôle interne est un moyen de maîtrise des risques. En identifiant
les risques susceptibles d’impacter l’organisation et en mettant en place des dispositifs pour
les atténuer, l’entreprise préserve sa pérennité.

• Confiance des parties prenantes : Des états financiers fiables et un environnement de

contrôle robuste renforcent la confiance des investisseurs, des clients, des régulateurs et des
partenaires.

• Conformité réglementaire : Dans de nombreux secteurs, la non-conformité peut entraîner

des sanctions financières et pénales, ainsi qu’une détérioration de la réputation de
l’organisation.

• Création de valeur : Un bon contrôle interne favorise l’amélioration des processus, la

réduction de coûts et l’optimisation de la performance.

1.3. Les principaux référentiels de contrôle interne

Plusieurs référentiels et normes traitent du contrôle interne. Parmi les plus connus figurent :

• Le COSO (Committee of Sponsoring Organizations) : Cadre de référence international pour

l’établissement de systèmes de contrôle interne. Il est utilisé par de nombreuses entreprises,
notamment dans les secteurs régulés.

• COBIT (Control Objectives for Information and Related Technology) : Cadre axé sur la
gouvernance et la gestion de la technologie de l’information.

Ce cours mettra plutôt l’accent sur la réglementation française et les normes ISO applicables au
contrôle interne (ISO 31000, ISO 27001) ainsi que la réglementation de l’AMF et de l’ACPR, plus
spécifiquement pour les établissements financiers.
2. La réglementation de l’AMF et de l’ACPR en matière de contrôle interne

2.1. L’AMF (Autorité des Marchés Financiers)

2.1.1. Rôle de l’AMF

L’AMF est l’autorité publique indépendante chargée de veiller :

• À la protection de l’épargne investie dans les instruments financiers.

• Au bon fonctionnement des marchés financiers.

• À l’information des investisseurs.

En matière de contrôle interne, l’AMF impose aux sociétés cotées (et plus largement aux acteurs des
marchés financiers) :

• La mise en place de procédures de contrôle interne adaptées à la taille et à la complexité de

leur activité.

• La publication d’un rapport sur le contrôle interne et la gestion des risques (par exemple,
dans le document de référence ou dans le rapport de gestion).

2.1.2. Les obligations en matière de contrôle interne

L’AMF attend des entreprises qu’elles démontrent qu’elles ont mis en place :

1. Un système de contrôle interne formalisé, y compris un référentiel de risques.

2. Une organisation interne (rôles et responsabilités clairement définis, instances de

gouvernance, etc.).

3. Des dispositifs de vérification (audits internes et externes, contrôles permanents et

périodiques).

Concrètement, les entreprises doivent fournir une description détaillée des dispositifs de contrôle
interne dans leur rapport (souvent appelé « rapport de contrôle interne » ou « rapport sur le
gouvernement d’entreprise »). L’AMF émet aussi des recommandations sur la qualité de l’information
fournie et la transparence attendue.

2.2. L’ACPR (Autorité de Contrôle Prudentiel et de Résolution)

2.2.1. Rôle de l’ACPR

L’ACPR est adossée à la Banque de France. Elle est chargée du contrôle prudentiel des établissements
bancaires, des assurances et des mutuelles. Sa mission est de veiller à la stabilité du système
financier, à la protection de la clientèle et au respect des règles de solvabilité, de liquidité et de
contrôle interne.

2.2.2. Les exigences en matière de contrôle interne pour les établissements financiers

Les établissements supervisés par l’ACPR doivent se conformer à des règles prudentielles strictes
relatives aux fonds propres, aux ratios de solvabilité (Bâle II, Bâle III) et à la gouvernance interne. La
gouvernance interne inclut la gestion des risques, notamment :

1. Organisation de la fonction de contrôle : présence de comités (comité d’audit, comité des

risques), d’un responsable de la conformité, d’un responsable des risques.
 2. Procédures de gestion des risques : recensement et classification des risques (crédit, marché,
opérationnels, etc.), stress tests, modèles de mesure des risques.

3. Contrôle interne et audit interne : vérification de l’efficacité des procédures et de la bonne

application des normes prudentielles.

L’ACPR peut réaliser des contrôles sur place ou sur pièces et émettre des recommandations, voire
des sanctions en cas de défaillances constatées.

3. Les normes ISO dans le domaine du contrôle interne

3.1. La norme ISO 31000 – Management du risque

3.1.1. Objectif et périmètre

La norme ISO 31000 est un cadre international pour la gestion des risques. Elle fournit des lignes
directrices et des principes pour :

• Identifier, évaluer et traiter les risques.

• Intégrer la gestion des risques dans tous les processus de l’organisation (stratégie,
opérations, processus décisionnels).

Bien que non obligatoire, elle est largement adoptée car elle permet :

• Une approche structurée et cohérente de la gestion des risques.

• Une amélioration continue par la révision périodique du système de management des

risques.

3.1.2. Les principes fondamentaux d’ISO 31000

1. La création de valeur : Le management du risque doit contribuer à atteindre les objectifs et

améliorer la performance.

2. L’intégration dans les processus : La gestion des risques n’est pas une activité isolée ; elle doit
être intégrée à la gouvernance et aux processus de l’organisation.

3. La prise de décision : Les informations issues de l’analyse des risques doivent éclairer la prise
de décision.

4. La prise en compte des facteurs humains et culturels : La culture d’entreprise influence la

perception du risque.

5. L’amélioration continue : Le processus doit être dynamique et réévalué régulièrement.

3.1.3. Avantages d’une démarche ISO 31000

• Alignement stratégique : Meilleure compréhension et priorisation des risques majeurs.

• Gain de crédibilité : Vis-à-vis des parties prenantes, démonstration d’un pilotage rigoureux
des risques.

• Réduction des coûts liés aux incidents : Identification précoce des menaces et prévention de
pertes financières ou de réputation.
3.2. La norme ISO 27001 – Sécurité de l’information

3.2.1. Objectif et périmètre

La norme ISO 27001 spécifie les exigences pour établir, mettre en œuvre, maintenir et améliorer un
Système de Management de la Sécurité de l’Information (SMSI). Elle couvre :

• La confidentialité : S’assurer que les informations ne sont accessibles qu’aux personnes

autorisées.

• L’intégrité : Garantir l’exactitude et la complétude des informations.

• La disponibilité : Faire en sorte que l’information soit accessible en temps voulu par les
personnes autorisées.

3.2.2. Les grandes étapes de mise en œuvre d’ISO 27001

1. Définition du périmètre : Sélectionner les processus et actifs qui seront couverts.

2. Analyse et appréciation des risques : Identifier les menaces et vulnérabilités, évaluer les
impacts et la probabilité d’occurrence.

3. Mise en place des contrôles de sécurité : Basés sur l’annexe A d’ISO 27001 (qui présente des
mesures de sécurité possibles).

4. Pilotage et amélioration continue : Mise en œuvre de politiques, procédures et revue

régulière de l’efficacité du système.

3.2.3. Avantages d’une démarche ISO 27001

• Renforcement de la confiance : Les clients et partenaires peuvent s’appuyer sur un système

robuste qui protège leurs données.

• Conformité réglementaire : Aide à se conformer aux exigences légales (RGPD, directives

sectorielles, etc.).

• Réduction des risques de cyberattaques : En identifiant les failles de sécurité et en y

remédiant.

4. Pourquoi ces normes et réglementations existent-elles ?

1. Protection des acteurs du marché et des consommateurs : L’AMF et l’ACPR protègent

l’épargne, la stabilité financière et la confiance dans les marchés.

2. Encadrement des établissements financiers : Pour éviter les crises et favoriser la résilience
du système, il est indispensable de mettre en place une solide gouvernance et une gestion
rigoureuse des risques.

3. Uniformisation des pratiques : Les normes ISO (31000, 27001) proposent des frameworks
internationaux reconnus, permettant aux entreprises de se doter de méthodologies
éprouvées et de faciliter la communication entre parties prenantes.

4. Amélioration de la performance : La mise en place de processus structurés de gestion des

risques et de sécurité de l’information permet une utilisation plus efficace des ressources et
une meilleure prise de décision.
 5. Obligation de transparence : Les marchés et les parties prenantes exigent une transparence
accrue sur les risques et les dispositifs de contrôle mis en place. Les réglementations
imposent donc la publication d’informations fiables et vérifiables.

5. Exemples concrets d’application

1. Société cotée et rapport de contrôle interne : Une entreprise du CAC 40 doit expliquer dans
son rapport annuel comment elle organise sa fonction d’audit interne, comment elle identifie
et gère ses risques, et quels dispositifs de contrôle interne sont en place pour prévenir la
fraude et les erreurs comptables. L’AMF veille à ce que ce rapport soit complet et conforme à
ses recommandations.

2. Banque soumise à l’ACPR : Une banque en France doit avoir un département “Gestion des
risques” solidement structuré avec un Chief Risk Officer (CRO), un comité des risques, ainsi
qu’une fonction d’audit interne indépendante. Les mesures mises en place pour contrôler les
risques de crédit et de liquidité sont régulièrement inspectées par l’ACPR.

3. PME adoptant ISO 31000 : Une PME souhaitant structurer sa démarche de gestion des
risques peut s’appuyer sur le cadre d’ISO 31000 pour identifier ses risques opérationnels
(défaillance d’un fournisseur clé, volatilité des prix des matières premières, cybersécurité,
etc.) et définir des plans d’action pour réduire ou transférer ces risques (assurance, contrats,
mesures de prévention).

4. Entreprise informatique certifiée ISO 27001 : Une société fournissant des services cloud ou
logiciels SaaS met en place ISO 27001 afin de démontrer à ses clients qu’elle a des politiques
strictes de sécurité (contrôle d’accès, cryptage des données, gestion des incidents). Cette
certification améliore grandement sa réputation et est souvent un prérequis pour gagner
certains contrats.

6. Conclusion

Le contrôle interne est au cœur de la bonne gouvernance des organisations, particulièrement dans
des secteurs où la conformité réglementaire est exigeante (marchés financiers, banque, assurance,
etc.). Les réglementations AMF et ACPR imposent aux entreprises la mise en place de systèmes de
contrôle interne et de gestion des risques rigoureux, et renforcent la transparence et la confiance des
parties prenantes.

Les normes ISO 31000 et ISO 27001 constituent des cadres de référence internationaux pour la
gestion des risques et la sécurité de l’information. Elles sont souvent adoptées non seulement pour
se conformer à certaines obligations légales ou réglementaires, mais surtout pour bénéficier d’une
approche structurée et favoriser l’amélioration continue.

En comprenant pourquoi ces normes existent (sécurité, fiabilité, transparence, meilleure

performance, protection des intérêts des clients et des investisseurs) et en maîtrisant leur définition
et leur portée, les étudiants et futurs professionnels d’audit interne pourront accompagner
efficacement leurs organisations dans la mise en place et la surveillance du contrôle interne et de la
gestion des risques.
Points clés à retenir

1. Le contrôle interne est indispensable pour la fiabilité des informations, la protection des
actifs, la conformité réglementaire, et la gestion des risques.

2. L’AMF (pour les sociétés cotées, sociétés de gestion, etc.) et l’ACPR (pour les banques et
assurances) imposent des exigences strictes en termes de gouvernance, de publication
d’informations et de gestion des risques.

3. Les normes ISO 31000 (gestion du risque) et ISO 27001 (sécurité de l’information) offrent des
référentiels internationaux pour structurer et améliorer en continu les dispositifs de contrôle
et de gestion des risques.

4. Le respect de ces normes et réglementations permet d’éviter les sanctions, de gagner la

confiance des investisseurs et clients, et de renforcer la résilience et la performance de
l’organisation.

Références et ressources complémentaires

• Site de l’AMF : [Link]

• Site de l’ACPR (Banque de France) : [Link]

• Norme ISO 31000 : [Link]

• Norme ISO 27001 : [Link]

• COSO : [Link]

Les types d’activités de contrôle interne (préventif, détectif, correctif), la procédure de réponse et
la communication

Introduction

Le contrôle interne vise à garantir la maîtrise des opérations, la fiabilité de l’information, la protection
des actifs et la conformité aux réglementations. Au sein de tout système de contrôle interne, il existe
différents types d’activités de contrôle, classées généralement en trois grandes catégories :

1. Contrôles préventifs

2. Contrôles détectifs

3. Contrôles correctifs

L’apprenant devra, à l’issue de ce cours, être en mesure :

• De choisir le type d’activité de contrôle interne approprié (préventif, détectif, correctif) en

fonction de la situation.

• De mettre en place une procédure de réponse face à un problème ou un risque identifié.

• De communiquer efficacement sur cette procédure (internement, aux collaborateurs

concernés et/ou à la direction).

Ce cours propose une définition détaillée de chaque type de contrôle, des exemples concrets et une
méthodologie pour élaborer et communiquer une procédure de réponse adaptée aux situations
rencontrées.
1. Les différents types d’activités de contrôle

1.1. Les contrôles préventifs

Définition

Les contrôles préventifs sont conçus pour empêcher une anomalie, une erreur ou une fraude avant
qu’elle ne se produise. Ils interviennent en amont du processus et cherchent à réduire la probabilité
que des événements indésirables surviennent.

Exemples de contrôles préventifs

• Séparation des tâches : Afin de limiter les risques de fraude ou d’erreur (ex. la même
personne ne doit pas pouvoir initier et valider un paiement).

• Autorisation / Validation préalable : Avant de valider une commande importante, il faut

l’approbation du responsable hiérarchique.

• Formation continue : Former régulièrement les collaborateurs sur la conformité, la sécurité

informatique ou la lutte contre la fraude (ex. sensibilisation au phishing, RGPD, etc.).

• Procédures formalisées : Systèmes de manuels ou modes opératoires à suivre, check-lists

prédéfinies.

• Paramétrage des systèmes informatiques : Règles automatiques qui refusent certaines

transactions si les plafonds de dépenses sont dépassés ou si des champs obligatoires ne sont
pas renseignés.

Objectifs clés

• Réduire ou éliminer en amont les sources de risque.

• Diminuer les coûts liés aux erreurs (financiers, réputationnels, etc.) en intervenant avant
l’incident.

• Promouvoir une culture de la conformité et de la vigilance.

1.2. Les contrôles détectifs

Définition

Les contrôles détectifs interviennent après qu’un événement, une anomalie ou une fraude se soit
produit ou ait potentiellement pu se produire. Leur objectif est de déceler rapidement les problèmes
pour agir au plus tôt et limiter leur impact.

Exemples de contrôles détectifs

• Revues et rapprochements : Contrôle mensuel des comptes bancaires par rapprochement

bancaire pour détecter des écarts non expliqués.

• Vérifications aléatoires : Inventaires tournants dans un entrepôt pour repérer des

divergences de stock.

• Analyses d’écarts : Analyse systématique de la différence entre les dépenses réelles et le

budget prévu.
 • Logs et alertes informatiques : En cybersécurité, l’examen des journaux (logs) pour déceler
un comportement anormal ou des tentatives d’accès non autorisées.

• Contrôles “quatre yeux” ou double signature : Bien qu’ils aient un aspect préventif, ils
agissent souvent pour détecter une anomalie avant exécution finale (ou juste après la
validation d’une première étape).

Objectifs clés

• Identifier rapidement les erreurs ou fraudes éventuelles.

• Permettre une réaction rapide pour corriger l’erreur et éviter qu’elle ne se reproduise ou ne
prenne de l’ampleur.

• Fournir des éléments d’analyse pour renforcer, s’il le faut, le dispositif de contrôle.

1.3. Les contrôles correctifs

Définition

Les contrôles correctifs sont mis en œuvre après la détection d’un problème, pour corriger l’erreur, la
fraude ou l’anomalie et rétablir la situation normale. Ils cherchent également à prévenir la récurrence
du problème, en ajustant éventuellement les systèmes ou processus existants.

Exemples de contrôles correctifs

• Réémission de factures : Si une anomalie est détectée sur une facture (ex. mauvaise TVA,
adresse client erronée), la facture est annulée et réémise correctement.

• Révision du paramétrage système : Après la découverte d’un bug ou d’une faille de sécurité,
on met à jour les droits d’accès ou les configurations.

• Retour d’expérience (REX) : Mise en place d’une analyse post-incident pour en tirer des
enseignements et ajuster les procédures.

• Actions disciplinaires ou légales : En cas de fraude avérée, application d’une sanction ou

dépôt d’une plainte, si nécessaire.

• Formation corrective : Mise en place d’une session de “remédiation” pour un service qui a
commis des erreurs répétées (ex. formation en comptabilité, utilisation d’un outil).

Objectifs clés

• Réparer ou corriger les dommages causés par l’erreur ou la fraude.

• Améliorer les processus et renforcer les contrôles préventifs et détectifs existants.

• Garantir que l’événement ne se reproduise pas (ou dans une moindre mesure).

2. Choisir le type d’activité de contrôle approprié

Dans la plupart des organisations, les trois types de contrôles coexistent. Pour décider quel type
mettre en avant dans un processus donné, on tiendra compte de :

1. La criticité du risque :

o Plus un risque est élevé (impact fort, probabilité forte), plus on privilégiera des
contrôles préventifs.
 2. Le coût et l’efficacité du contrôle :

o Certains contrôles préventifs peuvent être coûteux à mettre en place. Un équilibre

doit être trouvé entre la “valeur” du contrôle (en termes de réduction du risque) et
son coût de mise en œuvre.

3. La nature du processus :

o Dans un process de paie, par exemple, des contrôles détectifs et correctifs peuvent
être nécessaires pour s’assurer que les salaires déjà versés sont correctement
calculés, mais il est tout aussi essentiel de mettre en place des contrôles préventifs
pour éviter des erreurs massives en amont.

4. Le degré de maturité du contrôle existant :

o Si vous avez déjà des contrôles détectifs efficaces, mais que les problèmes
surviennent souvent, il peut être plus opportun de renforcer le préventif.

o Si, au contraire, vous découvrez trop tardivement des erreurs, vous avez besoin
d’améliorer les contrôles détectifs.

La règle d’or : disposer d’un mélange équilibré de contrôles préventifs, détectifs et correctifs afin de
couvrir l’ensemble de la chaîne de valeur et de minimiser la survenue d’incidents.

3. Mettre en place une procédure de réponse et de communication

Lorsqu’un incident, une erreur ou une alerte est détecté, il est primordial de réagir rapidement et de
communiquer efficacement. Voici une démarche type :

3.1. Identifier l’incident et l’évaluer

1. Détecter et enregistrer l’incident :

o Via un contrôle détectif (alerte automatique, rapprochement mensuel, signalement

d’un collaborateur, etc.).

2. Qualifier et prioriser l’incident :

o Est-ce une fraude avérée, une erreur involontaire, une non-conformité réglementaire,
un problème technique ?

o Quel est le niveau de criticité (faible, moyen, fort) ?

3.2. Choisir la réponse adaptée

En fonction de la gravité et de la nature de l’incident, on définit la réponse adéquate :

• Action corrective immédiate : Isoler la source du problème, stopper l’opération concernée,

neutraliser la faille de sécurité, etc.

• Action préventive supplémentaire : Adapter les procédures pour empêcher la répétition (ex.
renforcer le contrôle des accès, mettre en place une nouvelle autorisation).

• Action disciplinaire : Si l’incident résulte d’une fraude ou d’une négligence grave, des
sanctions peuvent s’imposer (avec respect des obligations légales).
3.3. Formaliser la procédure

Pour structurer la réaction, on peut élaborer une procédure de réponse sous forme de document (ou
de “check-list”) décrivant :

1. Qui doit être prévenu (responsable hiérarchique, direction, service juridique, DSI, etc.).

2. Quelles actions immédiates entreprendre (analyse de l’incident, coupure d’accès, correction,

etc.).

3. Quels outils utiliser (ticketing, traceurs, scripts, etc.).

4. Quels délais pour chaque étape (notification sous 24 heures, correction sous X jours…).

5. Quels livrables : un rapport final ? un compte-rendu d’incident ?

3.4. Communiquer la procédure et l’incident

• Communication interne :

o Aux collaborateurs directement impliqués : pour qu’ils sachent quoi faire, comment
le faire et à qui remonter l’information.

o Aux fonctions supports (informatique, juridique, etc.) si nécessaire.

o À la direction ou au comité de pilotage des risques, selon la criticité.

• Communication externe (si applicable) :

o Aux autorités de régulation, si l’incident le justifie (ex. CNIL en cas de violation de

données personnelles, ACPR en cas d’incident majeur pour une banque).

o Aux partenaires ou clients, si l’incident impacte la livraison d’un produit ou un contrat

(principe de transparence).

3.5. Suivi et clôture

• Validation de l’efficacité de la mesure corrective : vérifier que l’erreur est bien corrigée et
qu’elle ne se reproduit plus.

• Mise à jour de la cartographie des risques si nécessaire.

• Capitalisation : Retour d’expérience (REX) consigné pour améliorer en continu le dispositif de

contrôle.

4. Exemples concrets d’application

4.1. Exemple 1 : Lutte contre la fraude aux paiements fournisseurs

• Type de contrôle préventif :

o Mise en place d’un processus de validation à deux signatures (responsable

administratif + responsable financier) pour tout virement > 10 000 €.

• Type de contrôle détectif :

o Réalisation d’un rapprochement bancaire hebdomadaire pour détecter toute

anomalie dans les transactions (montant, destinataire).
 • Type de contrôle correctif :

o Si une fraude est constatée (virement suspect), blocage du virement auprès de la

banque et annulation de la transaction.

o Communication au service juridique, retour d’expérience et ajustement des règles de

validation.

4.2. Exemple 2 : Gestion de la paie

• Contrôle préventif :

o Paramétrage du logiciel de paie pour refuser la génération d’un bulletin si certaines

informations (taux de cotisations, etc.) ne sont pas renseignées ou si elles dépassent
une limite paramétrée (ex. heures supplémentaires incohérentes).

• Contrôle détectif :

o Revue de la paie par le service RH + rapprochement comptable avant le paiement

final.

• Contrôle correctif :

o En cas d’erreur de calcul détectée a posteriori (trop payé, taux erroné), établir un
avenant ou un rattrapage sur le prochain bulletin et en informer l’employé.

o Mettre à jour la procédure si la même erreur se reproduit fréquemment.

4.3. Exemple 3 : Cybersécurité (ISO 27001)

• Contrôle préventif :

o Formation de l’ensemble du personnel aux bonnes pratiques (mots de passe forts,

reconnaître les e-mails de phishing), mise en place d’un pare-feu et de solutions de
filtrage.

• Contrôle détectif :

o Système d’alerte en temps réel : détection d’un nombre anormal de tentatives de

connexion, antivirus avec un tableau de bord centralisé.

• Contrôle correctif :

o Blocage d’un compte compromis, patch correctif sur un serveur, mise à jour des
règles d’accès.

o Communication aux équipes, et le cas échéant, notification au régulateur (CNIL)

selon la nature de la fuite de données.

5. Points clés à retenir

1. Trois grands types de contrôles : Préventifs (empêchent l’anomalie), Détectifs (détectent

l’anomalie), Correctifs (corrigent et rétablissent la situation).

2. Choix du contrôle : Se base sur la criticité du risque, l’efficacité attendue et le coût de mise en
œuvre.
 3. Procédure de réponse : Structurer l’identification, la qualification, l’action corrective, la
communication et le suivi pour chaque incident.

4. Communication : Elle doit être rapide, ciblée et adaptée (interne, externe, autorités) pour
réagir efficacement et préserver la confiance.

5. Amélioration continue : Chaque incident doit servir de retour d’expérience pour renforcer le
dispositif de contrôle interne.

Conclusion

Un dispositif de contrôle interne efficace repose sur un équilibre entre contrôles préventifs, détectifs
et correctifs. Les organisations doivent adapter ces contrôles à leurs spécificités (taille, secteur,
complexité) et veiller à mettre en place une procédure de réponse claire et documentée, permettant
de traiter tout incident ou alerte de manière structurée et transparente. La communication autour de
ces incidents est cruciale : elle assure la cohérence des actions menées, le respect des obligations
légales et la préservation de la réputation de l’organisation.

Par cette approche, l’apprenant saura non seulement choisir le contrôle le plus adapté, mais aussi
mettre en œuvre un processus de réponse rapide et communiquer efficacement, contribuant ainsi à
la robustesse et à la fiabilité du système de contrôle interne.

La cartographie des risques dans le cadre d’un audit des risques et du contrôle interne

Introduction

Dans le cadre d’un audit des risques et du contrôle interne, la cartographie des risques est un outil
essentiel qui permet de recenser, évaluer et hiérarchiser les risques susceptibles d’affecter la
réalisation des objectifs d’une organisation. Elle constitue un socle de pilotage pour la gouvernance
des risques et sert également de base à la définition des plans d’audit et des actions de contrôle
interne.

Ce cours détaille les concepts fondamentaux, la méthodologie, les étapes de réalisation et les bonnes
pratiques pour élaborer une cartographie des risques solide et pertinente. Nous illustrerons le propos
par des exemples concrets et des conseils pratiques.

1. Définition et objectifs de la cartographie des risques

1.1. Qu’est-ce qu’une cartographie des risques ?

La cartographie des risques (ou “risk mapping”) est un processus formalisé consistant à :

1. Identifier l’ensemble des risques significatifs pouvant impacter l’organisation (risques

financiers, opérationnels, stratégiques, réglementaires, etc.).

2. Évaluer ces risques selon des critères tels que la probabilité d’occurrence et l’impact (ou
gravité) potentiel.

3. Hiérarchiser (prioriser) les risques afin de concentrer les ressources de contrôle, de

prévention et d’audit sur les sujets les plus critiques.

4. Représenter ces risques de façon visuelle (sous forme de matrice, heat map, tableau, etc.).
.2. Finalités et avantages

• Aider à la prise de décision : En rendant les risques visibles et compréhensibles par tous, la
cartographie des risques soutient la gouvernance d’entreprise et la définition de la stratégie.

• Optimiser la gestion des risques : Identifier et classer les risques permet de déployer des
plans d’action ciblés là où le besoin est le plus urgent.

• Faciliter l’élaboration du plan d’audit : Les auditeurs internes s’appuient sur la cartographie
pour orienter leurs travaux sur les zones les plus risquées.

• Renforcer le contrôle interne : Les plans de contrôle internes peuvent être ajustés et mis à
jour en fonction des informations issues de la cartographie.

• Responsabiliser les acteurs : Chaque entité, département ou processus se voit attribuer la

responsabilité de gérer les risques qui les concernent.

2. Cadre de référence et intégration avec l’audit interne

2.1. Les standards en matière de gestion des risques

Plusieurs référentiels et normes sont couramment utilisés pour structurer la gestion des risques :

• ISO 31000 : Norme internationale de management du risque qui propose un cadre, des
principes et un processus de gestion des risques.

• COSO Enterprise Risk Management (ERM) : Cadre de référence pour l’intégration de la

gestion des risques au sein de la stratégie et des opérations d’une organisation.

• COBIT : Référentiel focalisé sur la gouvernance et la gestion des SI (systèmes d’information).

Ces référentiels soulignent tous l’importance de la cartographie des risques comme pivot de la
démarche.

2.2. Rôle de l’audit interne

L’audit interne intervient de plusieurs façons :

1. Appui méthodologique : Il peut aider à concevoir ou à faire évoluer la méthodologie de

cartographie des risques.

2. Revues périodiques : Il peut évaluer l’efficacité et la pertinence de la cartographie des

risques, notamment en vérifiant si les risques recensés sont complets et correctement
évalués.

3. Actualisation : Il peut contribuer à la mise à jour de la cartographie suite à l’émergence de

nouveaux risques ou à des changements dans l’environnement interne ou externe.

Une cartographie des risques fiable permet également à l’audit interne de hiérarchiser ses missions
et d’optimiser l’allocation de ses ressources.
3. La méthodologie de construction d’une cartographie des risques

3.1. Étape 1 : Préparer la démarche

1. Définir le périmètre

o Déterminer si la cartographie couvrira l’ensemble de l’organisation ou un périmètre

spécifique (filiale, département, projet).

o Identifier les processus clés, les produits, les zones géographiques, etc.

2. Constituer l’équipe projet

o Faire participer les acteurs clés (direction, managers opérationnels, contrôleurs,

auditeurs internes, etc.).

o Nommer un coordinateur chargé du pilotage de la démarche.

3. Choisir les critères d’évaluation

o Probabilité : Fréquence (rare, occasionnel, probable, fréquent, etc.).

o Impact : Gravité (financier, réputationnel, opérationnel, légal, etc.).

o (Facultatif) Niveau de maîtrise actuel : Identifier le niveau de contrôle ou de maîtrise

existant sur le risque (contrôle interne, plan d’action déjà en place).

4. Sélectionner l’outil ou le format

o Tableur Excel, solution spécialisée, logiciel GRC (Governance, Risk & Compliance), etc.

3.2. Étape 2 : Identifier les risques

1. Collecte d’informations

o Entrevues, questionnaires, ateliers collaboratifs (brainstorming), retours d’expérience

passés (incidents, litiges, etc.).

o Analyse de documents existants (rapports d’audit, incidents internes, réclamations

clients).

2. Classification des risques

o Catégories de risques : Financier, opérationnel, stratégique, légal, cyber,

environnemental, etc.

o Risques transverses : Par exemple, risques de fraude, risques RH, dépendance à des
fournisseurs uniques, etc.

3. Formulation

o Chaque risque doit être décrit précisément, par exemple : “Risque de rupture
d’approvisionnement suite à l’insolvabilité d’un fournisseur clé” ou “Risque de non-
conformité RGPD”.
3.3. Étape 3 : Évaluer et prioriser les risques

1. Évaluation de la probabilité

o À l’aide d’échelles de notation (1 à 5 ou “faible, moyen, élevé”).

o Sur base de données historiques, d’avis d’experts, d’analyses statistiques, etc.

2. Évaluation de l’impact

o Impact financier (montant potentiel des pertes),

o Impact sur la réputation (médias, confiance des parties prenantes),

o Impact opérationnel (interruption de l’activité, coûts de reprise),

o Impact réglementaire (sanctions, amendes, etc.).

3. Combinaison probabilité / impact

o Généralement représentée sous forme de matrice de risques (souvent 5 x 5 ou 4 x 4).

o On définit des zones de criticité : zone verte (risque faible), zone orange (risque
moyen), zone rouge (risque élevé).

4. Prise en compte des dispositifs de maîtrise existants (optionnel à ce stade ou réalisé après
une première évaluation brute)

o Risque brut : Sans tenir compte des contrôles actuels.

o Risque résiduel : Après prise en compte des contrôles et dispositifs existants.

3.4. Étape 4 : Représenter et formaliser la cartographie

1. Matrice de risques

o Type “heat map” qui visualise l’emplacement de chaque risque selon la probabilité et
l’impact.

2. Tableau de synthèse

o Listant chaque risque, sa description, sa probabilité, son impact, son niveau de

criticité, le responsable, etc.

3. Documentation

o Rédiger un rapport ou un document de synthèse présentant la méthodologie, les

principaux résultats et les recommandations.
3.5. Étape 5 : Définir les plans d’action et suivre la mise en œuvre

1. Plans d’action

o Pour les risques jugés critiques (rouges), des plans d’action doivent être définis
(nouvelles procédures, formations, investissements, etc.).

o Déterminer un responsable et un délai pour chaque action.

2. Communication et validation

o Présenter la cartographie (et les plans d’action) à la direction, au comité d’audit ou au

conseil d’administration selon le contexte.

3. Suivi et révision périodique

o Mettre à jour la cartographie en continu, notamment lorsque survient un incident

majeur, un changement réglementaire ou stratégique.

o Contrôler l’avancement des actions correctrices et leur efficacité.

4. Exemples concrets d’application

4.1. Exemple 1 : Une PME industrielle

• Identification des risques

o Risque “Accident de production” : arrêts de chaîne et surcoût.

o Risque “Non-conformité environnementale” : amende et atteinte à la réputation.

o Risque “Panne informatique” : interruption de la vente en ligne, perte de

commandes.

• Évaluation et hiérarchisation

o “Panne informatique” (Probabilité = moyenne, Impact = élevé) → Risque important.

o “Accident de production” (Probabilité = faible, Impact = très élevé) → Risque critique

en termes de sécurité et financier.

o “Non-conformité environnementale” (Probabilité = faible, Impact = élevé) → Risque

stratégique et réputationnel.

• Actions

o Formation sécurité en production (préventif).

o Mise en place d’un système de back-up informatique et d’un Plan de Continuité

d’Activité (PCA).

o Audit environnemental et mise à niveau des équipements.

4.2. Exemple 2 : Une banque soumise à l’ACPR

• Risques majeurs

o Risque de crédit : défaut d’un client important.

o Risque de liquidité : incapacité à faire face à des retraits massifs.

 o Risque opérationnel : erreur de saisie, fraude interne.

o Risque de compliance : non-respect de la réglementation (Lutte contre le

blanchiment, etc.).

• Matrice de risques

o Chacun de ces risques est évalué sur la base de données internes, de stress tests, etc.

• Résultats

o Un scoring fait ressortir le “risque de non-conformité réglementaire” comme élevé

(probabilité moyenne, impact financier/réputationnel élevé).

o Mise en place d’un programme renforcé de “KYC” (Know Your Customer) et de lutte
contre le blanchiment d’argent, suivi régulier des indicateurs.

4.3. Exemple 3 : Secteur IT (Entreprise de services numériques)

• Risques identifiés

o Cyberattaque (ransomware) entraînant perte de données.

o Dépendance excessive à un client principal (risque financier).

o Turn-over élevé des ingénieurs (risque RH).

• Priorisation

o Cyberattaque : Probabilité élevée dans le contexte actuel, impact potentiellement

très élevé → Risque majeur, zone rouge.

o Dépendance à un client principal : Impact élevé (perte de revenus), probabilité

moyenne.

o Turn-over : Probabilité moyenne, impact variable.

• Plan d’action

o Investir dans la cybersécurité (firewalls, SOC, audits réguliers, plan de réponse aux
incidents).

o Diversifier le portefeuille clients.

o Mettre en place des actions RH (formation, avantages sociaux, etc.) pour retenir les
talents.

5. Gouvernance de la cartographie et bonnes pratiques

1. Impliquer la Direction Générale

o Le soutien et la validation de la direction sont essentiels pour donner du poids à la

démarche.

2. Nommer un pilote

o Souvent, la fonction Risques, le Contrôle interne ou l’Audit interne pilote la

cartographie et assure la coordination.
 3. Impliquer les opérationnels

o Les acteurs de terrain connaissent les processus et les risques spécifiques. Leur
contribution est indispensable pour la qualité des informations recueillies.

4. Maintenir une approche dynamique

o La cartographie n’est pas figée. Elle doit être actualisée en fonction de l’évolution de
l’environnement (nouveau marché, nouvelle réglementation, nouveaux concurrents,
etc.).

5. Utiliser un référentiel commun

o Pour faciliter la compréhension et la cohérence, employer des échelles de notation

claires, des définitions précises, etc.

6. Assurer la traçabilité

o Conserver des documents (compte-rendus d’ateliers, grille d’évaluation, hypothèses)

pour expliquer et justifier les choix et les notations.

6. Liens avec le contrôle interne et la démarche d’audit

• Contrôle interne

o Les risques identifiés et évalués sont ensuite couverts par des contrôles (préventifs,
détectifs, correctifs).

o La cartographie oriente la mise à jour ou le renforcement des dispositifs de contrôle.

• Audit interne

o Les missions d’audit sont priorisées sur la base des risques critiques relevés dans la
cartographie.

o L’audit vérifie la pertinence et l’efficacité des actions entreprises pour gérer ces
risques.

o Le plan d’audit annuel ou pluriannuel se construit souvent en grande partie autour

des risques “rouges” (majeurs).

Ce lien étroit rend la cartographie des risques indissociable de la démarche d’audit interne et du
pilotage de la gouvernance d’entreprise.

7. Conclusion

La cartographie des risques est un outil stratégique qui va bien au-delà du simple inventaire. Elle
structure la pensée autour de ce qui peut menacer l’atteinte des objectifs de l’organisation et oriente
les décisions en matière de contrôle interne, de pilotage opérationnel et d’audit.

En synthèse :

1. Une démarche structurée : Implique la préparation, l’identification, l’évaluation, la

formalisation et le suivi.

2. Une collaboration transversale : Fait intervenir tous les niveaux de l’organisation (Direction,
Managers, Opérationnels, Audit, Contrôle Interne).
 3. Un support pour l’action : La cartographie doit déboucher sur des plans d’action concrets
pour réduire, transférer ou accepter les risques.

4. Un outil dynamique : À réviser périodiquement pour coller aux changements internes et

externes.

En se fondant sur une cartographie des risques complète et à jour, l’audit interne peut optimiser ses
travaux et l’organisation peut mieux maîtriser son avenir dans un environnement incertain et
évolutif.

Points clés à retenir

1. Définition : La cartographie des risques recense, évalue, hiérarchise les risques et guide les
décisions de gestion des risques.

2. Intérêt : Facilite la gouvernance, l’audit interne, le contrôle interne et la stratégie de

l’organisation.

3. Méthodologie : Structurée en étapes – préparation, identification, évaluation, priorisation,

plan d’action, suivi.

4. Outils : Matrices, heat maps, tableaux de synthèse, solutions GRC.

5. Bonnes pratiques : Implication de la Direction, collaboration transverse, actualisation

régulière, traçabilité des évaluations.

Références et ressources complémentaires

• ISO 31000 : Management du risque – Principes et lignes directrices.

• COSO ERM : Framework Enterprise Risk Management – Intégration des stratégies et de la

performance.

• COBIT : Cadre de gouvernance des systèmes d’information (ISACA).

• AMF (Autorité des Marchés Financiers) : Recommandations sur le gouvernement d’entreprise

et les rapports de contrôle interne.

• ACPR (Autorité de Contrôle Prudentiel et de Résolution) : Recommandations relatives au

dispositif de maîtrise des risques dans le secteur bancaire et assurance.