Chapitre 4 · Semestre 6

L'évaluation du contrôle interne

Audit

Cours Exercices Résumé QCM

Objectifs du chapitre — À la fin de ce chapitre, vous saurez :

définir le contrôle interne, ses objectifs, ses composantes (COSO) et ses limites ;

appliquer le principe de séparation des tâches ;

conduire la démarche d'évaluation : description, tests de cheminement, questionnaire, tests de permanence ;

identifier les forces et les faiblesses d'une procédure ;

rédiger des recommandations dans une lettre à la direction.

4.1 Définition et objectifs

Le contrôle interne est l'ensemble des dispositifs mis en œuvre par la direction et le personnel d'une entité pour obtenir une assurance raisonnable que :

les opérations sont réalisées efficacement et conformément aux objectifs ;
les informations financières sont fiables ;
les lois et règlements sont respectés ;
les actifs sont protégés (contre le vol, la perte, le gaspillage).

Il ne se limite pas aux contrôles comptables : il concerne toute l'organisation (achats, ventes, production, ressources humaines, systèmes d'information). Il ne faut pas le confondre avec l'audit interne, service qui évalue ce dispositif pour le compte de la direction et du conseil.

4.2 Les composantes du contrôle interne (COSO)

Le référentiel COSO, utilisé dans le monde entier, décrit cinq composantes :

Composante	Contenu	Exemples
Environnement de contrôle	Culture d'intégrité, attitude de la direction, organisation, compétence du personnel	Charte éthique, conseil d'administration actif, comité d'audit
Évaluation des risques	Identification et analyse des risques qui menacent les objectifs	Cartographie des risques
Activités de contrôle	Politiques et procédures qui réduisent les risques	Autorisations, rapprochements, inventaires, séparation des tâches, contrôles d'accès informatiques
Information et communication	Informations fiables transmises à temps aux bonnes personnes	Reporting, procédures écrites, remontée des incidents
Pilotage (surveillance)	Évaluation continue ou ponctuelle du dispositif	Audit interne, revues de la direction

4.3 La séparation des tâches

Principe fondamental : une même personne ne doit pas cumuler des fonctions incompatibles, car elle pourrait commettre et dissimuler une erreur ou une fraude. On distingue quatre fonctions à séparer :

Fonction	Exemple (cycle achats)
Autorisation (décision)	Le responsable des achats approuve la commande
Détention (garde des actifs)	Le magasinier réceptionne et conserve les marchandises
Enregistrement (comptabilisation)	Le comptable enregistre la facture
Contrôle	Le contrôleur rapproche commande, bon de réception et facture avant paiement

Exemple de cumul dangereux : un caissier qui encaisse les règlements et tient aussi le journal de caisse peut détourner des espèces et modifier les écritures. Dans les petites entreprises, où la séparation est difficile, on la compense par une supervision étroite du dirigeant (signature des chèques, revue des rapprochements).

4.4 Les autres contrôles clés

Autorisations et délégations écrites (seuils de signature).
Prénumérotation des documents (bons de commande, bons de livraison, factures) et contrôle de la séquence, pour s'assurer de l'exhaustivité.
Rapprochements (bancaires, entre comptabilité générale et auxiliaire, entre inventaire physique et stock comptable).
Protection physique des actifs (coffres, accès aux entrepôts) et inventaires réguliers.
Contrôles informatiques : droits d'accès, sauvegardes, contrôles de saisie, traçabilité des modifications.

4.5 Pourquoi l'auditeur évalue-t-il le contrôle interne ?

Un contrôle interne fiable réduit le risque lié au contrôle (chapitre 3) : l'auditeur peut alors réduire l'étendue de ses contrôles de substance. À l'inverse, un contrôle interne faible l'oblige à multiplier les contrôles directs sur les comptes. L'évaluation permet aussi de formuler des recommandations utiles à la direction.

4.6 La démarche d'évaluation

Description des procédures : entretiens, lecture des manuels, sous forme de narratif ou de diagramme de circulation (qui montre les documents, les personnes et les contrôles).
Tests de cheminement : suivre une ou deux opérations de bout en bout pour vérifier que la description est exacte.
Évaluation préliminaire : à l'aide d'un questionnaire de contrôle interne (QCI), dont les réponses négatives signalent des faiblesses ; identification des points forts (contrôles sur lesquels s'appuyer) et des points faibles.
Tests de permanence (tests de procédures) : vérifier sur un échantillon d'opérations de toute la période que les points forts fonctionnent réellement (par exemple, 60 factures fournisseurs choisies au hasard portent-elles le visa de contrôle ?).
Évaluation définitive : conclusion sur la fiabilité du contrôle interne, conséquences sur le programme de contrôles de substance.
Communication : lettre de recommandations à la direction (faiblesse, risque, recommandation).

Pour les tests de permanence, on compare le taux d'écart observé (opérations où le contrôle n'a pas été appliqué) au taux d'écart tolérable fixé à l'avance ; s'il le dépasse, le contrôle n'est pas jugé fiable.

4.7 Les limites du contrôle interne

Le contrôle interne ne donne qu'une assurance raisonnable : erreurs humaines, collusion entre plusieurs personnes, contournement des contrôles par la direction, coût des contrôles supérieur à leur bénéfice, opérations inhabituelles non prévues par les procédures. C'est pourquoi l'auditeur réalise toujours des contrôles de substance sur les postes significatifs, même lorsque le contrôle interne est bon.

4.8 Le contrôle interne informatique et le cas des petites entités

Dans un environnement informatisé, on distingue :

les contrôles généraux : sécurité logique (identifiants personnels, mots de passe, droits d'accès limités aux besoins de chaque fonction), gestion des modifications de programmes (tests, validation), exploitation (sauvegardes régulières, plan de continuité) ;
les contrôles d'application, intégrés aux logiciels : contrôles de saisie (champs obligatoires, contrôles de vraisemblance, rejet des doublons), de traitement (totaux de contrôle) et de restitution (états d'anomalies).

Un droit d'accès mal paramétré peut annuler la séparation des tâches : un comptable qui peut créer un fournisseur et saisir un paiement peut détourner des fonds. L'auditeur examine donc la matrice des droits d'accès.

Dans les petites entités, la séparation des tâches est limitée par le faible nombre de salariés, et le contrôle interne repose largement sur l'implication du dirigeant : signature des paiements, suivi quotidien de la trésorerie, revue des marges. Cet environnement peut être efficace, mais il présente un risque de contournement par le dirigeant lui-même. L'auditeur s'appuie alors davantage sur des contrôles de substance.

4.9 Méthode : évaluer une procédure

Décrire la procédure (qui fait quoi, avec quels documents).
Repérer les cumuls de fonctions incompatibles et les contrôles absents.
Pour chaque faiblesse, indiquer le risque (erreur, fraude, assertion touchée) et la conséquence pour l'audit.
Proposer une recommandation réaliste.
Pour les points forts, prévoir un test de permanence et interpréter le taux d'écart.

Les pièges à éviter

Réduire le contrôle interne aux contrôles comptables.
Oublier que la direction est responsable du contrôle interne, l'auditeur ne faisant que l'évaluer.
S'appuyer sur un contrôle décrit sans l'avoir testé.
Proposer des recommandations disproportionnées pour une petite entreprise.
Croire qu'un bon contrôle interne dispense de tout contrôle de substance.

Exercice 1 — Les achats de Rif Matériaux

La SARL « Rif Matériaux » (Nador, 45 salariés) vend des matériaux de construction. Procédure d'achat observée :

M. Karim, responsable des achats, passe les commandes par téléphone, sans bon de commande écrit ;
il réceptionne lui-même les livraisons, car le magasinier est souvent absent, et signe les bons de livraison ;
les factures fournisseurs sont transmises à la comptable, qui les enregistre et prépare les chèques ;
le gérant signe les chèques sur la seule base de la facture ;
aucun inventaire physique n'est réalisé en cours d'année ; le stock est inventorié à la clôture par M. Karim.

L'auditeur prévoit de tester la signature du gérant sur 50 paiements tirés au hasard ; il constate 4 paiements sans signature conforme. Le taux d'écart tolérable est fixé à 5 %.

Travail à faire :

Identifiez les faiblesses du contrôle interne et les risques associés.
Proposez des recommandations adaptées à la taille de l'entreprise.
Rattachez vos recommandations aux composantes du COSO.
Interprétez le test de permanence.
Quelles conséquences pour la démarche de l'auditeur ?

Voir le corrigé

1) Faiblesses et risques

Faiblesse	Risque
Commandes sans bon écrit	Achats non autorisés ou fictifs, impossibilité de contrôler prix et quantités
M. Karim commande et réceptionne (cumul autorisation / détention)	Fausses réceptions, détournement de marchandises, collusion avec un fournisseur
Pas de rapprochement commande / réception / facture avant paiement	Paiement de marchandises non reçues ou facturées deux fois
Le gérant signe sur la seule facture	Contrôle formel sans valeur
Inventaire réalisé par celui qui détient le stock, une seule fois par an	Écarts d'inventaire dissimulés, stocks surévalués ou vols non détectés

2) Recommandations

Bons de commande prénumérotés, signés par le gérant au-delà d'un montant défini.
Réception assurée par le magasinier (ou un remplaçant désigné) et non par l'acheteur, avec bon de réception signé.
Rapprochement systématique bon de commande, bon de réception et facture par la comptable, avec visa avant préparation du paiement.
Le gérant signe les chèques au vu du dossier complet (commande, réception, facture visée).
Inventaires tournants en cours d'année et inventaire annuel réalisé par une équipe distincte du magasinier et de l'acheteur, en présence du gérant.

3) COSO : bons de commande, séparation des tâches, rapprochements et inventaires = activités de contrôle ; procédures écrites et circulation des documents = information et communication ; implication du gérant et délégations de signature = environnement de contrôle ; revues des écarts d'inventaire = pilotage.

4) Test de permanence : taux d'écart $4 / 50 = \mathbf{8\,\%} > 5\,\%$ : le contrôle « signature du gérant » ne fonctionne pas de façon fiable ; l'auditeur ne peut pas s'appuyer dessus.

5) Conséquences : le risque lié au contrôle du cycle achats-stocks est élevé ; l'auditeur doit renforcer ses contrôles de substance : confirmation des soldes fournisseurs, test de séparation des exercices sur les réceptions, présence à l'inventaire avec comptages par sondage, contrôle des prix unitaires, recherche de factures non enregistrées après la clôture. Il communique les faiblesses dans une lettre de recommandations au gérant.

Exercice 2 — Fonctions incompatibles

Indiquez si le cumul est acceptable et pourquoi :

La même personne enregistre les factures clients et encaisse les règlements en espèces.
Le directeur financier approuve les paiements et effectue les rapprochements bancaires.
Le magasinier réceptionne les marchandises et les range dans l'entrepôt.
Le responsable de la paie saisit les nouveaux salariés dans le logiciel et prépare les virements de salaires.

Voir le corrigé

Non : enregistrement et détention ; risque de détournement d'espèces dissimulé par des écritures (avoirs fictifs).
Non : autorisation et contrôle ; les rapprochements doivent être faits par une personne indépendante des paiements.
Oui : il s'agit de la même fonction de détention ; il faut en revanche que la commande et l'enregistrement soient faits par d'autres.
Non : risque de salariés fictifs ; la création des salariés doit être autorisée par les RH et les virements contrôlés par une autre personne.

Exercice 3 — Test de permanence

Pour tester le visa de contrôle sur les factures fournisseurs, l'auditeur examine 80 factures : 2 ne portent pas le visa. Le taux d'écart tolérable est de 5 %.

Calculez le taux d'écart et concluez.
Que faire si l'on avait trouvé 6 factures sans visa ?

Voir le corrigé

1) $2 / 80 = \mathbf{2{,}5\,\%} < 5\,\%$ : le contrôle fonctionne de façon satisfaisante ; l'auditeur peut s'appuyer sur lui et réduire ses contrôles de substance sur les achats (en analysant quand même les deux écarts).

2) $6 / 80 = 7{,}5\,\% > 5\,\%$ : le contrôle n'est pas fiable ; le risque lié au contrôle est élevé ; l'auditeur étend ses contrôles de substance et le mentionne dans la lettre de recommandations.

L'essentiel — Le contrôle interne

Dispositifs de la direction pour une assurance raisonnable : efficacité des opérations, fiabilité de l'information financière, conformité, protection des actifs.
COSO : environnement de contrôle, évaluation des risques, activités de contrôle, information et communication, pilotage.
Séparation des tâches : autorisation, détention, enregistrement, contrôle ; compensée par la supervision dans les petites entités.
Contrôles clés : autorisations, prénumérotation, rapprochements, protection physique, inventaires, contrôles informatiques.
Démarche : description (narratif, diagramme) → test de cheminement → QCI (points forts / faibles) → tests de permanence (taux d'écart vs taux tolérable) → évaluation définitive → lettre de recommandations.
Contrôle interne fiable → risque lié au contrôle faible → contrôles de substance réduits.
Limites : erreur humaine, collusion, contournement par la direction, coût.

S'entraîner sur des sujets réels

Des sujets réels de concours (master, licence d'excellence) avec une épreuve de Audit : énoncé complet et corrigé indicatif.

Voir les 30 sujets de concours en Audit →

Nouveaux cours, cahiers et sujets corrigés : suis la chaîne WhatsApp SaadConcours.Suivre la chaîne