Audit Interne

ations) et ceux qu'il fait faire puis interprète (en audit : le recours à des experts). Les contrôles que fait l'audit sont des moyens pour s'assurer que le fonctionnement de l'organisation est sain. Et certains contrôles peuvent

surprendre, paraître déplacés ; le médecin vous fait bien tirer la langue alors que c'est ailleurs que vous avez mal ! Le médecin de famille vous dit “revenez me voir dans dix jours”, ou “appelez-moi”. L'auditeur interne reviendra s'assurer que les recommandations ont été mises en œuvre et suivies d'effet. Et si votre médecin ne vous apporte pas d'amélioration, la valeur ajoutée que vous attendez, n'en changez-vous pas ? L'audit interne a une obligation de résultats : que les processus de management des risques, de contrôle et de gouvernement d’entreprise s'améliorent réellement. Le champ d'action de l'audit interne est en effet ces trois processus, et le premier est le management des risques. Qu'est-ce qu'un risque ?

I2. Risque et management des risques

“Dépêche-toi, on risque d'arriver en retard au spectacle” lui dit-il. “Tu as raison, à cette heure on risque d'avoir des encombrements” répondelle. Pour lui, “risque” évoque une conséquence regrettable (arriver en retard), la non atteinte d'un objectif (être à l'heure) ; pour elle, une circonstance, un événement mal prévisible (les encombrements), qui peut avoir des conséquences regrettables. A les écouter tous deux, “arriver en retard” serait engendré par “les encombrements”, comme s'ils ne savaient pas que dans toutes les espèces il faut deux parents pour faire un enfant. L'autre parent est bien évidemment le choix de l'heure de départ (encore que ce n'est pas si évident que ça : lors du premier cours de l'année, je suis toujours amené à expliquer à mes étudiants que pour être sûrs d'arriver à l'heure au cours il existe une méthode : partir en avance de chez eux, et non au dernier moment). Le “Risque” est un triptyque : la possibilité que la combinaison d'un événement (ou circonstance) et d'un mode de fonctionnement (ou facteur organisationnel) compromette l'atteinte d'un objectif. Le management d'un risque consiste alors à mettre en place aux trois moments avant—pendant—après les mesures visant à 1. empêcher le risque de se matérialiser : “prévention”, 2. s'apercevoir que malgré cela il est advenu : “détection”, 3. limiter ses conséquences : “protection”.

événement, circonstance, incident mode de fonctionnement objectif compromis

C'est en effet le plus souvent à chacun des trois moments qu'il faut agir, un seul suffit rarement. Par exemple, le risque d'impayés sera réduit par des enquêtes de solvabilité (et l'utilisation d'une liste rouge), mais pas supprimé car cela nécessiterait d'être outrageusement prudent à ce stade ; il faut ensuite surveiller le paiement des factures (balance par antériorité par exemple) ; et enfin prendre les mesures de réduction du compte clients : relances de plus en plus sévères, contentieux, mise sur liste rouge, … Le risque et son management se composent donc de : 1 triptyque logique : circonstance + cause ⇒ conséquence, 3 types de mesures : prévention – détection – protection. Pour visualiser cela :

Le même triptyque logique à 3 moments

1 triptyque logique : Circonstance + Cause ⇒ Conséquence 3 types de mesures : Prévention - Détection - Protection

O R I G I N E MA NI FES TA TION IMPACT dommages menace + non prévention

événement

+

non détection

inaction

+

non protection

Au niveau opérationnel, c'est-à-dire lors d'une mission d'audit (ou pour un manager, lors de ses activités courantes s'il est soucieux de ses responsabilités), cette vision du risque comme un triptyque est indispensable : elle fait percevoir que la causalité est une combinatoire : le déclencheur est la conjonction-combinaison de causes (heure de départ et encombrements dans l'exemple du couple qui va au spectacle) ;

elle pousse à distinguer les causes maîtrisables (heure de départ), en audit les “causes”, des causes imparables (encombrements), en audit les “événements” ou “circonstances”. Quand