ÉLABORER LE PLAN STRATÉGIQUE DE L'AUDIT … · Le Cadre de Référence International des...

ÉLABORERLE PLAN STRATÉGIQUE

DE L'AUDIT INTERNE

JUILLET 2012

Guide Pratique

2/18

ÉLABORER LE PLAN STRATÉGIQUE DE L'AUDIT INTERNE

3/18

Guide Pratique

SOMMAIRE

I. Résumé ....................................................................................................................................... 4

II. Introduction ................................................................................................................................ 5

III. Définition et élaboration du plan stratégique ............................................................................ 5

IV. Revue du plan stratégique ........................................................................................................ 13

V. Annexe : Exemple – Analyse FFOM ............................................................................................ 14

VI. Annexe : Exemple de trame du plan stratégique ...................................................................... 15

VII. Auteurs, Réviseurs, Relecteurs ................................................................................................. 17

ISBN : 978-2-915042-42-9Toute représentation ou reproduction, intégrale ou partielle, faite sans le consentement de l’auteur, ou de ses ayants droits, ou ayants cause, est illicite(loi du 11 mars 1957, alinéa 1er de l’article 40). Cette représentation ou reproduction, par quelque procédé que ce soit, constituerait une contrefaçon sanc-tionnée par les articles 425 et suivants du Code Pénal.

4/18


stratégique comprennent : Les modifications de la stratégie de l'organisation. Le niveau de croissance de l'organisation et l'évalua-

tion de sa maturité. Le niveau de confiance que l'organisation et la direc-

tion générale accordent à l'évaluation indépendanteconduite par l’audit interne et/ou leur soutienconcernant le management des risques de l'organi-sation.

Les changements significatifs dans les ressourcesmises à disposition de l'audit interne.

Les évolutions importantes des lois et/ou les autreschangements significatifs des politiques et procé-dures de l'organisation.

L’évolution de l'environnement de contrôle de l'or-ganisation.

Les changements importants au sein de l'équipe diri-geante et dans la composition du Conseil.

L'évaluation qualitative et quantitative de la façondont l'audit interne a mis en œuvre son plan straté-gique.

Les résultats des évaluations internes/externes del'audit interne.

Ce guide pratique a pour objectif de fournir aux RAI leslignes directrices de l'élaboration du plan stratégique. Ilillustre également la Modalité Pratique d'Application2120-2 du CRIPP : Gestion du risque lié à l’activité d’au-dit interne. En prenant les devants, le plan stratégiquepermettra de mieux gérer les risques de l’activité d’auditinterne.

Ce guide sera utile tant pour l’élaboration d’un premierplan stratégique, que pour la révision du plan existant.

I. RÉSUMÉ

L'audit interne doit en permanence s'adapter à l’évolu-tion des attentes et rester aligné avec les objectifs de l'or-ganisation. La stratégie de l'audit interne est un facteurdéterminant pour maintenir sa pertinence. A cet égardelle joue un rôle important dans la recherche de l'équi-libre entre coût et valeur, tout en apportant une contri-bution précieuse aux systèmes de gouvernance, demanagement des risques et de contrôle interne de l'or-ganisation.

L’élaboration du plan stratégique d'audit interne pourraêtre réalisée au moyen d’un processus systématique etstructuré qui contribuera à l’accomplissement de lavision et de la mission de l'audit interne. Selon les étapessuivantes :

1. Comprendre les objectifs de l'organisation et du/dessecteurs d’activité.

2. Prendre en compte le Cadre de Référence Interna-tional des Pratiques Professionnelles de l'auditinterne (CRIPP).

3. Comprendre les attentes des parties prenantes.4. Actualiser la vision et la mission de l'audit interne.5. Déterminer les facteurs clés de succès.6. Réaliser une analyse SWOT / FFOM (strengths, weak-

nesses, opportunities, and threats – forces, faiblesses,opportunités et menaces).

7. Identifier les principales initiatives.

Le responsable de l'audit interne (RAI) passe en revue leplan stratégique avec les principales parties prenanteset obtient l’aval du Conseil1. Il se conforme ainsi à l’exi-gence de rendre compte périodiquement à la directiongénérale et au Conseil de la mission, des pouvoirs, desresponsabilités et de la performance de l’audit interne(Norme 2060 : Rapports à la direction générale et auConseil) au regard du plan stratégique. Par ailleurs, leplan stratégique devra être revu périodiquement. Lesfacteurs influençant la fréquence de la revue du plan

1 Le terme « Conseil » utilisé dans ce guide correspond à la définitiondu glossaire des Normes (2012), à savoir : « Le Conseil est un organe degouvernance d’une organisation. Il peut s’agir d’un Conseil d’adminis-tration, d’un Conseil de surveillance, de l’organe délibérant d’un orga-nisme public ou d’une association ou de tout autre organe y compris leComité d’audit auquel le responsable de l’audit interne peut être ratta-ché sur le plan fonctionnel. »

5/18

Guide Pratique

II. INTRODUCTION

Le Cadre de Référence International des PratiquesProfessionnelles de l'audit interne (CRIPP) est le cadre deréférence théorique qui regroupe les dispositionspromulguées par The Institute of Internal Auditors (IIA).Le CRIPP englobe la définition de l'audit interne, le Codede Déontologie, les Normes internationales pour lapratique professionnelle de l’audit interne (Normes), et desdispositions recommandées telles que ce guidepratique.

Selon la définition de l'IIA : « L’audit interne est une activitéindépendante et objective qui donne à une organisationune assurance sur le degré de maîtrise de ses opérations, luiapporte ses conseils pour les améliorer, et contribue à créerde la valeur ajoutée. Il aide cette organisation à atteindreses objectifs en évaluant, par une approche systématiqueet méthodique, ses processus de management des risques,de contrôle, et de gouvernement d’entreprise, et en faisantdes propositions pour renforcer leur efficacité. »

Une approche stratégique contribue à l’adhésion desauditeurs internes au CRIPP. L'élaboration du plan stra-tégique leur permet d'énoncer la vision et la mission del'audit interne, se mettant ainsi en position de répondreaux attentes des parties prenantes.

III. DÉFINITION ETÉLABORATION DU PLANSTRATÉGIQUE

Définition de la stratégie

La stratégie permet de fixer la mission de l'organisationet les bénéfices attendus, tout en définissant les critèresde prise de décision et d’actions.Pour l'audit interne, la stratégie permet d'affecter lesressources humaines et financières en vue de la réalisa-tion des objectifs définis dans la vision et la mission (cesdernières contribuent à la réalisation des objectifs del'organisation).

La stratégie fait elle-même partie de l'ensemble deséléments devant être communiqués à la direction géné-rale et au Conseil. Cette responsabilité relève de laNorme 2060 : Rapports à la direction générale et auConseil, qui stipule que « le responsable de l'audit internedoit rendre compte périodiquement à la direction généraleet au Conseil des missions, des pouvoirs et des responsabi-lités de l'audit interne, ainsi que du degré de réalisation duplan d’audit ».

Pour élaborer un plan stratégique, il est possible d'utili-ser un processus systématique et structuré qui contri-buera à l’accomplissement de la vision et de la missionde l'audit interne. Les étapes suivantes présentent uneapproche permettant d'élaborer un plan stratégique del'audit interne :

6/18


L'élaboration d’un plan stratégique de l'audit internedevrait commencer par une compréhension approfon-die des objectifs de l'organisation et du/des secteursd’activité dans lesquels elle évolue. Pour que l'auditinterne apporte une valeur ajoutée, il devrait contribuerà la réalisation des objectifs stratégiques, opérationnels,de communication et de conformité de l'organisation,tout en donnant une assurance sur le fait que l'organi-sation préserve un environnement éthique et une

culture du devoir de rendre compte. En conséquence, ilest primordial que l'audit interne ait une connaissanceapprofondie des secteurs concernés (y compris des loiset réglementations en vigueur), ainsi que des objectifsde l'organisation.

Revoir les plans stratégiques de l'organisation avantde s’entretenir avec les parties prenantes.

Lors de l'élaboration du plan stratégique de l'auditinterne, le RAI devrait prendre en compte le CRIPP. Lesvaleurs devant être adoptées par les auditeurs internessont contenues dans les Normes et le Code de Déonto-logie (ainsi que dans les valeurs propres à leur organisa-tion).

Normes de qualification : 1000 : Mission, pouvoirs et responsabilités 1110 : Indépendance dans l’organisation 1120 : Objectivité individuelle 1200 : Compétence et conscience professionnelle 1210 : Compétence 1230 : Formation professionnelle continue 1300 : Programme d'assurance et d'amélioration

qualité 1311 : Évaluations internes 1312 : Évaluations externes

Normes de fonctionnement : 2000 : Gestion de l'audit interne 2010 : Planification 2020 : Communication et approbation 2030 : Gestion des ressources 2040 : Règles et procédures 2050 : Coordination 2060 : Rapports à la direction générale et au Conseil 2110 : Gouvernement d’entreprise 2120 : Management des risques 2201 : Considérations relatives à la planification 2210 : Objectifs de la mission 2230 : Ressources affectées à la mission 2300 : Accomplissement de la mission 2310 : Identification des informations 2320 : Analyse et évaluation 2410 : Contenu de la communication 2420 : Qualité de la communication 2500 : Surveillance des actions de progrès 2600 : Acceptation des risques par la direction géné-

rale

Secteurd’activité etobjectifs

Normes etlignes

directrices

Attentesdes partiesprenantes

Vision etmission

Facteursclés desuccès

AnalyseFFOM

Principalesinitiatives


Normes etlignes

directrices


Vision etmission


AnalyseFFOM


7/18

Guide Pratique

La compréhension des attentes des parties prenantesconstitue une étape primordiale de l'élaboration du planstratégique de l'audit interne. Il est important d'inclureles principales parties prenantes internes et externes (parexemple, les administrateurs, la direction générale, lesauditeurs externes et les régulateurs).

Le RAI devrait communiquer directement avec chacunedes principales parties prenantes pour comprendre sesattentes vis-à-vis de l'audit interne. Les parties prenantesont des formations, des rôles et des responsabilitésspécifiques qui contribuent à modeler leurs attentes,ainsi que leur connaissance de l'audit interne. Il peutdonc être bénéfique de donner aux parties prenantesune explication générale sur le rôle et la mission de l'au-dit interne. En discutant avec les parties prenantes, le RAIpeut déterminer comment l'audit interne peut appor-ter une valeur ajoutée, à court et à long termes, à l'orga-

nisation en fonction de ses objectifs et de ses buts. Lesattentes à court et à long termes peuvent être diffé-rentes selon le degré de maturité de l'environnement decontrôle de l'organisation. Le RAI devra évaluer lesattentes des parties prenantes afin de s'assurer qu'ellesne sont pas opposées et qu’elles sont étayées par lacharte d'audit interne. Le poids donné aux attentes dechaque partie prenante sera différent selon son rôle etses responsabilités au sein de l'organisation.

Après avoir communiqué avec chaque partie prenante,le RAI devrait documenter et confirmer leurs attentes. Ilpeut également être bénéfique de réaliser une enquêteauprès des parties prenantes afin de hiérarchiser leursattentes après avoir recueilli leurs points de vue respec-tifs. Ceci représentera une contribution clé au processusd'élaboration du plan stratégique d'audit interne.

Le plan stratégique est au service de l’accomplissementde la vision et de la mission de l'audit interne. Le RAIdevrait donc les formaliser et les actualiser, en tenantcompte des attentes des parties prenantes et des lignesdirectrices de l'IIA. Lors de l'élaboration de ces éléments,il est important de reconnaître que l'audit interne nepeut répondre à toutes les attentes. En conséquence, leRAI doit faire des choix difficiles, et recommander auConseil les objectifs qui seront poursuivis et ceux qui nele seront pas.

Pour assurer une bonne communication, il estimportant de partager avec la direction généraleet avec le Conseil les attentes qui ne seront pas

intégrées au plan stratégique.

Formalisation de la vision – Elle a pour objectif d’arti-culer la philosophie de l'audit interne avec ce qu'ilespère apporter à l'organisation. Une vision transcendeles objectifs et les buts, et exprime un état futur àatteindre ; une vision est donc ambitieuse.Formalisation de la mission – Établie à partir de lavision, la mission met en exergue l'objet premier de l'au-dit interne, ce qu'il prévoit d'accomplir à l'avenir, sesvaleurs, et comment il s'intègre au plan stratégique del'organisation. Tous les auditeurs internes devraient sefaire l'écho de la mission, de même que les partiesprenantes internes et externes. Le plan stratégique del'audit interne est élaboré à partir de la mission. Il déter-mine principalement comment elle sera réalisée. Lamission est souvent la première déclaration de la charted'audit interne.


Normes etlignes

directrices


Vision etmission


AnalyseFFOM



Normes etlignes

directrices


Vision etmission


AnalyseFFOM


8/18


En identifiant les facteurs clés de succès, l'audit internepourra identifier les éléments minimum qui devraientlui permettre d’accomplir sa vision et sa mission. Lescritères essentiels d’évaluation de chaque initiativeimportante devraient être évalués afin de veiller à ce queles ressources soient affectées aux activités les plusimportantes. Trois questions peuvent contribuer à iden-tifier les facteurs clés de succès : Positionnement – L'audit interne est-il positionné et

soutenu de façon stratégique ?

Processus – Les processus de l'audit interne contri-buent-ils de façon dynamique à la réalisation desobjectifs opérationnels ?

Ressources humaines – L'audit interne dispose-t-ild'une stratégie adéquate en matière de ressourceshumaines pour réaliser sa mission ?

La surveillance de l’évolution des facteurs clés de succèspermettra de veiller à ce que le management leur porteune attention constante.


Normes etlignes

directrices


Vision etmission


AnalyseFFOM


Évaluer la situation actuelle de l'audit interne contri-buera à identifier les éléments à intégrer dans le planstratégique. Une technique consiste à effectuer uneanalyse FFOM en regard de la vision, de la mission et desfacteurs clés de succès. L'analyse FFOM a pour objectifd'identifier les principaux facteurs internes et externesimportants pour réaliser la stratégie. Lors de cetteanalyse, les informations sont regroupées en deux caté-gories principales :

Facteurs internes – Les forces et les faiblesses spéci-fiques à l'audit interne.

Facteurs externes – Les opportunités et les menacesinhérentes à l'environnement externe. L’environne-ment externe englobe tous les facteurs extérieurs àl’activité d’audit interne, qu’ils soient internes ouexternes à l’organisation.


Normes etlignes

directrices


Vision etmission


AnalyseFFOM


LES COMPOSANTES D'UNE ANALYSE FFOM SONT DÉFINIES CI-APRÈS :

Origi

ne in

tern

e FORCES FAIBLESSES

Les caractéristiques internes de l'audit interne quipeuvent faciliter la réalisation de la stratégie de l'au-dit interne.

Les caractéristiques internes qui, au contraire,peuvent empêcher la réalisation de la stratégie del'audit et mettre le service en mauvaise posture.

Origi

ne ext

erne OPPORTUNITÉS MENACES

Les éléments externes qui peuvent accroître lademande d'assurance et de conseil et les contribu-tions de l'audit interne.

Les éléments externes qui, au contraire, peuventfaire baisser la demande d’activités d'assurance et deconseil, peuvent empêcher la réalisation de la straté-gie de l'audit et le mettre en mauvaise posture.

9/18

Guide Pratique

Les thèmes à prendre en compte lors de la réalisationde l'analyse FFOM comprennent (sans caractère limita-tif ) :

Structure organisationnelle

La structure de l'audit interne devrait être conçue avecun niveau de supervision adéquat, pour des missions dequalité réalisées de manière efficiente. En outre, l'auditinterne ne devrait pas subir de contraintes freinant sacapacité à s'acquitter de ses responsabilités de façonobjective. Afin d’atteindre un degré d’indépendancenécessaire à l’exercice efficace de ses responsabilités, leRAI devrait avoir un accès direct et non restreint à ladirection générale et au Conseil.

Ressources

L'éventail de compétences de l'équipe d'audit interneest essentiel dans sa capacité à aider l'organisation àréaliser ses objectifs et à mettre en œuvre sa stratégie.La première étape de la planification des ressourceshumaines consiste à identifier les compétences et lesconnaissances nécessaires à la mise en œuvre de la stra-tégie de l'audit interne. Il est important d'évaluer à quelpoint il sera nécessaire de s'appuyer sur les compé-tences et les connaissances identifiées, car les besoinsinfluenceront le modèle retenu de gestion des compé-tences. De même, il est nécessaire d’optimiser l’usagedes ressources technologiques en lien avec le modèleretenu au niveau des ressources humaines. Cesressources étayeront les priorités définies par le RAI.

Une évaluation des compétences et des connaissancesnécessaires peut englober : i) le périmètre des respon-sabilités de l'audit interne telles que définies par lacharte, ii) l'équilibre attendu entre les missions d'assu-rance et de conseil, iii) les attentes et les exigences desparties prenantes, iv) les résultats de l'évaluation desrisques, v) le degré de coordination avec d'autres fonc-tions de management des risques et d’autres presta-taires d'assurance, et vi) le plan stratégique à long terme

de l'organisation. La publication du Common Body ofKnowledge (CBOK) de l'IIA, intitulée « Core Competen-cies for Today’s Internal Auditor », peut être utile pouridentifier ce que les auditeurs internes doivent savoirpour dûment s'acquitter de leurs responsabilités tout encréant de la valeur pour leurs organisations respectives.

Technologie et outils

La revue de la technologie et des outils de l'audit interneaidera un RAI à comprendre les capacités de l'activité.L'utilisation de documents de mission électroniquespeut permettre d'améliorer la productivité et de faciliterle contrôle qualité, notamment lors de la gestion deplusieurs éléments d'une même mission se déroulantdans plusieurs sites et à laquelle participent plusieursauditeurs. L'utilisation d'outils d'organisation du travailpour partager des dossiers et regrouper les constatspeut favoriser une mise en commun efficace des infor-mations et permettre de contrôler en temps utile laqualité des documents de mission et des rapports. Enoutre, ces outils peuvent permettre au RAI de mieuxsuivre la mise en œuvre du plan d'audit interne et dechaque mission. Ces outils permettent également unecentralisation des documents de mission et réduisent lerisque de versions multiples, renforçant ainsi le partageefficace des dossiers. Leur mise en œuvre devrait êtrejustifiée par une analyse du retour sur investissement.Certains outils bénéficient principalement à l'auditinterne. Toutefois, un grand nombre de logiciels degestion d’audit fournissent également des modèles dequestionnaires et d’attestations ainsi qu’une technolo-gie de workflow pour la gestion des tâches liées à lagouvernance et au contrôle.

L'utilisation de l'analyse de données ainsi que d'outils desuivi des contrôles continus peut accroître l'efficacité etl'efficience d'un service d’audit interne. L'analyse dedonnées peut permettre de mieux adapter l’utilisationdes ressources aux risques. Les outils de suivi descontrôles continus utilisés par l'ensemble de l'organisa-tion peuvent servir à apporter des preuves fiables du

10/18


fonctionnement efficace des contrôles de détectiondans une application. Ces outils peuvent s’avérer insuffi-sants si les données qu'ils produisent ne sont pas revuesen temps utile et de manière efficace par le manage-ment.

Modèle de gestion des compétences

Une évaluation des modèles de gestion des compé-tences devrait être réalisée afin de déterminer la struc-ture la plus rentable pour la réalisation des servicesattendus des entités auditables au sein de l'univers d'au-dit. Les principales variables utilisées pour l’évaluationde ce modèle de gestion des compétences compren-nent : Les compétences générales. Les compétences spécialisées. Le degré de centralisation/décentralisation au sein

de l'organisation. La couverture géographique. Les exigences linguistiques. La flexibilité désirée dans les effectifs et la structure

de coûts. Les modifications à venir des lois et des réglementa-

tions. Le budget. L’implication souhaitée en termes de gestion des

talents au bénéfice de l'organisation.

Les options pour l’acquisition de compétencescomprennent : L'utilisation exclusive des effectifs internes. La sous-traitance (co-sourcing) à un niveau limité –

les ressources internes réalisent la plupart des activi-tés et les ressources externes fournissent les compé-tences spécialisées.

Un niveau important de sous-traitance (co-sourcing)– les activités sont réalisées grâce à des ressourcesmajoritairement externes.

Une externalisation complète – toutes les activitéssont réalisées par des prestataires externes.

Il peut être bénéfique d'effectuer des études compara-tives des organisations du même secteur ayant une tailleet une présence géographique comparables afin dejuger du volume de ressources correspondant à l'appé-tence pour le risque de l'organisation. Tenez compte deséléments suivants lorsque vous déterminez le caractèreapproprié et suffisant des ressources : Les types de risques auxquels l'organisation est

confrontée, et l'appétence pour le risque de sesparties prenantes.

Le niveau d'expérience des auditeurs internes – lescollaborateurs expérimentés peuvent avoir besoin demoins de temps pour réaliser la mission.

La nature des missions devant être réalisées – cellesqui sont complexes, dont le périmètre n'a jamais étédéfini ou nécessitant de tester les mesures correc-tives en fonction des risques, prendront davantagede temps.

La proportion de l'évaluation des contrôles automa-tisés dans le plan d'audit – le test des contrôles auto-matisés est généralement plus efficient.

Lorsque l'audit interne est considéré comme un vivierde talents pour l'organisation, il peut être avantageuxd'envisager un système de rotation des effectifs. Cesystème permet à l'organisation de bénéficier d'indivi-dus qui ont une compréhension approfondie de lagouvernance, du management des risques et descontrôles. Les systèmes de rotation offrent des avan-tages pour l'audit interne car ils introduisent des colla-borateurs (provenant d'autres départements) n'ayantpas de formation en audit, qui peuvent apporter descompétences spécialisées, ainsi qu'un point de vueindépendant sur les missions et les procédures d'audit.Les inconvénients de ces systèmes comprennent uneformation et une supervision accrues des collaborateursen rotation, une discontinuité dans les missions et une« période de latence » pour les domaines d'audit surlesquels ils ont récemment travaillé (MPA 1130.A1-1 :Audit des opérations dont les auditeurs internes ont étéauparavant responsables).

11/18

Guide Pratique

Coordination avec d'autres fonctions demanagement des risques et d’autresprestataires d'assurance

Sur la base des attentes des parties prenantes, des lignesdirectrices de l'IIA et de la charte d'audit, le RAI devraitaligner ressources et priorités, déterminer le fonction-nement futur de l'audit interne et se coordonner avecd’autres fonctions de management des risques etd’autres prestataires d'assurance.

Il existe souvent différents groupes fonctionnant indé-pendamment les uns des autres qui sont chargés dumanagement des risques et des prestations d'assurance.L'audit interne devrait avoir une compréhension clairedes objectifs des autres groupes et déterminercomment coordonner leurs efforts au mieux pour mini-miser les redondances et s’assurer que les principauxrisques sont traités. Le guide pratique de l'IIA intitulé« Reliance by Internal Audit on Other Assurance Provi-ders » présente de plus amples informations à ce sujet.

Méthodes de prestation de services

La démarche pour la réalisation de services d'assuranceet de conseil par l’audit interne devrait être définie etdocumentée afin d'assurer la cohérence et la qualité desservices liés à la planification, au travail sur le terrain, auxremontées d’informations et au suivi. Des dispositionsobligatoires et des protocoles recommandés devraientoffrir une flexibilité dans la réalisation des travaux, etprévoir les circonstances dans lesquelles il est impossibled'appliquer les dispositions obligatoires. La démarchedevrait se conformer au CRIPP.

Communication avec les parties prenantes

Le RAI devrait disposer d'un plan de communication quiprévoit que la direction générale et le Conseil sont infor-més de la planification de l'audit interne, y compris desressources nécessaires (et des restrictions), et du suivi desa mise en œuvre. Il est également souhaitable d'incluredans ce plan de communication les résultats desmissions d'assurance et de conseil de l’audit interne, ycompris la progression des mesures prises par le mana-gement en réponse aux constats.

Développement des ressources humaines

En s'appuyant sur les compétences identifiées à lasection précédente « Ressources » (page 9), il est essen-tiel de disposer d'une approche définie quant au déve-loppement, à la formation et à la gestion de l'équiped'audit. Un plan de développement des ressourceshumaines devrait intégrer des attentes clairement défi-nies pour chaque poste, notamment les compétences,les connaissances, l'expérience et les certificationsrequises. Ces attentes permettent au managementd'œuvrer à la préparation d'un collaborateur au postequ'il occupe et à ses responsabilités futures.

La MPA 2050-3 « S’appuyer sur les travaux d’autres pres-tataires de services d’assurance » ainsi que les prises deposition sur les trois lignes de défense, notamment cellespubliées par l’ECIIA :

• Corporate Governance: Insights Reinforcing auditcommittee oversight through global assurance /ECIIA. – 2012http://www.eciia.eu/about-us/news/new-publicatio-n

• Guidance on the 8th EU Company Law Directive:article 41/ ECIIA, FERMA. – 2010-2011.http://www.ferma.eu/about/publications/eciia-ferma-guidance

donnent des éléments complémentaires pour une coor-dination efficace avec les prestataires d’assurance.

Commentaire IFACI

http://www.ferma.eu/about/publications/eciia-ferma-guidance

http://www.ferma.eu/about/publications/eciia-ferma-guidance

http://www.eciia.eu/about-us/news/new-publication

http://www.eciia.eu/about-us/news/new-publication

12/18


Sur la base des résultats de l'analyse FFOM, il est possibled'identifier et de hiérarchiser les principales initiativesqui auront un impact significatif sur l’occurrence desfacteurs clés de succès de l'audit interne, et donc sur l’ac-complissement de sa vision et de sa mission. Pourchaque initiative, il est utile d'identifier un calendrier demise en œuvre, les objectifs souhaités, les indicateurs(qualitatifs et quantitatifs) de performance ainsi que leséléments correspondants de l'analyse FFOM.

Pilotage de la performance

Pour veiller à ce que le plan stratégique produise lesrésultats souhaités, il est primordial de superviser sonexécution et son impact. À ce titre, il est utile de fixer desobjectifs (qualitatifs et quantitatifs) afin d'évaluer laprogression et la performance de chaque initiativecomparativement aux attentes. Le processus d'évalua-tion peut également s'appuyer sur les informationsprovenant des principales parties prenantes quant aux

évolutions qu’ils constatent par rapport aux objectifs duplan stratégique. En outre, le RAI et son équipe de direc-tion peuvent réaliser des auto-évaluations sur l'efficienceet l'efficacité de l'exécution du plan stratégique. Cesobjectifs peuvent être inclus dans les remontées d’in-formations aux principales parties prenantes. Le guidepratique de l'IIA intitulé « Measuring Internal Audit Effec-tiveness and Efficiency » présente de plus amples infor-mations à ce sujet.

Informations fournies en retour etapprobation

Il est essentiel de passer soigneusement en revue le planstratégique avec les principales parties prenantes avantde le finaliser. La communication du plan stratégiquerévisé renforcera la sensibilisation et l'adhésion dans l'en-semble de l'organisation. L’approbation finale de la partdu Conseil devrait être obtenue.


Normes etlignes

directrices


Vision etmission


AnalyseFFOM


13/18

Guide Pratique

IV. REVUE DU PLANSTRATÉGIQUE

À l’instar du plan stratégique de l'organisation, le planstratégique d'audit interne devrait être revu périodi-quement et, le cas échéant, mis à jour. La fréquence dela revue sera déterminée par le RAI, conjointement avecle Conseil. Les facteurs influençant la fréquence desrevues comprennent (sans caractère limitatif ) : Le niveau de croissance de l'organisation et l'évalua-

tion de la maturité de l'organisation. Les modifications de la stratégie de l'organisation. Le niveau de confiance que l'organisation et la direc-

tion générale accordent à l'évaluation indépendantede l’audit interne et/ou leur soutien concernant lemanagement des risques de l'organisation.

Les changements significatifs dans les ressourcesmises à disposition de l'audit interne.

Les évolutions importantes des lois et/ou les autreschangements significatifs des politiques et procé-dures de l'organisation.

L’évolution de l'environnement de contrôle de l'or-ganisation.

Les changements importants au sein de l'équipe diri-geante et dans la composition du Conseil.

L'évaluation qualitative et quantitative de la façondont l'audit interne a mis en œuvre son plan straté-gique.

Les résultats des évaluations internes/externes del'audit interne.

14/18


V. ANNEXE : EXEMPLE – ANALYSE FFOM

FORCES FAIBLESSES

1. Définition de la vision, de la mission, des valeurset de la charte d'audit interne

2. Respect et crédibilité importants du RAI auprèsde la direction générale

3. Univers d'audit défini et validé4. Processus de planification, axé sur les risques,

formalisé et validé par le management.5. Plans de formation/certification des auditeurs

internes6. Point de vue indépendant et objectif sur l'en-

semble de l'organisation.7. Adaptabilité des auditeurs internes au change-

ment, attitude positive8. Diversité des compétences, des formations et des

connaissances des auditeurs internes9. Concentration sur les processus plutôt que sur

les transactions10. Partenariat accru avec les métiers 11. Processus de suivi formalisé

1. Déficits de compétences – connaissances enmatière de conseil et de fraude

2. Modèle de développement des auditeursinternes non défini

3. Opportunités de carrière limitées – l’audit internen’est pas un vivier de talents

4. Évaluation des risques qui ne correspond pas à lastratégie de l'organisation ; identification limitéedes risques émergents

5. Plan d'audit sur un an seulement6. Compréhension limitée des attentes des parties

prenantes7. Absence de cohérence dans la communication

avec les parties prenantes8. Accent mis sur les constats (mentalité du « je t’ai

pris la main dans le sac » et de « policier »)9. Implication limitée dans les décisions straté-

giques de l'organisation10. Absence de programme de partage des connais-

sances 11. Faible intérêt accordé à l'efficience opération-

nelle par rapport à l'efficacité 12. Utilisation limitée des analyses et des extractions

de données13. Évaluation des performances une fois par an

seulement14. Long cycle d'audit 15. Pas d'alignement total avec les Normes de l'IIA16. Méthodologie d'audit qui ne couvre pas tous les

types de missions

OPPORTUNITÉS MENACES

1. Accroître la perception des compétences, desconnaissances et des capacités du personnel

2. Confirmer et clarifier les attentes en évolutiondes parties prenantes

3. Former les parties prenantes au rôle et aux capa-cités de l'audit interne

4. Participer précocement à de nouvelles initiativesafin d'intégrer les contrôles

5. Former la direction aux problématiques récur-rentes / courantes

6. Collaborer avec d’autres prestataires d'assu-rance / d'autres fonctions de management desrisques au cours de l'année et durant l'évaluationdes risques

7. Introduire des auto-évaluations des risques etdes contrôles

1. Prédisposition du Conseil à se concentrer sur lesrisques financiers et de conformité sans prêterune attention suffisante aux risques opération-nels

2. Mise en œuvre des recommandations freinée pardes contraintes budgétaires, de ressourceshumaines, de gouvernance

3. Moindre coopération du management 4. Augmentation des déficits de compétences due

à l'évolution des risques et aux risques émer-gents

5. Absence d'appréhension des initiatives opéra-tionnelles

6. Adaptation à des Normes de l'IIA et à des attentesdes parties prenantes plus exigeantes

15/18

Guide Pratique

VI. ANNEXE : EXEMPLE DETRAME DU PLANSTRATÉGIQUE

Vision

Devenir une activité d’audit interne hautement perfor-mante qui réponde aux attentes de nos partiesprenantes, adhère aux Normes internationales pour lapratique professionnelle de l’audit interne (Normes) de l’IIAet aux critères de performance reconnus par les servicesd’audit interne de premier plan. Nous pourrons ainsi êtreun partenaire des opérationnels et un conseiller fiable,exerçant un rôle moteur dans la culture de gouvernance,de responsabilité, de conformité et d'exécution quicontribue à la réalisation des objectifs de l'organisation.

Mission

Réaliser une évaluation indépendante des risques finan-ciers, réglementaires et opérationnels et de l'efficacitédes contrôles, et la communiquer à la direction géné-rale et au Conseil. Nous apporterons une expertise enmatière de contrôle afin de minimiser les risques, d'amé-liorer la qualité des processus et d'accroître l'efficacitéopérationnelle pour servir nos objectifs.

Facteurs clés de succès, initiatives, objectifset principales tâches

FCS 1 : Se concentrer sur les risques les plus élevésauxquels l'organisation est exposéeInitiative : Renforcer le processus de planification afind'identifier les risques stratégiques, opérationnels, finan-ciers et réglementaires les plus prioritaires pour l'orga-nisation.

Cartographie FFOM : Faiblesses – 4, 5, 9 Opportunités – 6

Objectifs : Un processus durable qui identifie les risques

internes et externes les plus importants susceptiblesd'entraver la réalisation des objectifs et de la stratégiede l'organisation.

Une collaboration avec d’autres fonctions decontrôle et de management des risques afin de coor-donner la couverture des risques.

Tâches principales : Comparer le processus actuel d'évaluation des

risques à celui d'organisations de même taille. Répertorier les processus et sources actuels utilisés

pour identifier les risques émergents (qui ne sontjamais survenus ou ne se sont pas produits pendantune période prolongée).

Comprendre le périmètre des responsabilités desautres groupes chargés des contrôles et du mana-gement des risques et leur approche de l'identifica-tion des risques.

Élaborer une méthodologie reliant la stratégie de l'or-ganisation aux risques pouvant être audités.

Valider la méthodologie avec les principales partiesprenantes.

Calendrier : août - novembre 201X

FCS 2 : Communiquer des informations pertinentesaux parties prenantesInitiative : Accroître la transparence des activités d'auditinterne au moyen de communications régulières etpertinentes auprès des principales parties prenantes surle recensement global des risques, les constats d'audit etles mesures correctives.

Cartographie FFOM : Faiblesses – 6, 7, 8Opportunités – 3, 5

Objectifs : Une cartographie des relations avec les principales

parties prenantes et un plan de communication àleur attention.

16/18


Des rapports standardisés favorisant une communi-cation régulière.

Tâches principales : Identifier les principales parties prenantes. Obtenir des retours d’informations de la part des

principales parties prenantes sur la performance etleurs attentes.

Convenir d'opportunités d'amélioration. Concevoir et mettre en œuvre l'état souhaité.

Calendrier : mars - avril 201X

FCS 3 : Maintenir des processus d'audit efficients etefficacesInitiative : Élaborer un manuel qui définit la méthodolo-gie pour réaliser toutes les missions d'assurance et deconseil de l'audit interne.

Cartographie FFOM : Faiblesses – 1, 11, 15, 16Opportunités – 7

Objectifs : Identification des pratiques requises et recomman-

dées pour tous les types de mission, contribuant àgarantir une approche homogène conforme auxNormes.

Tâches principales : Évaluer les processus actuels pour la planification, le

travail sur le terrain, les remontées d’informations etle suivi des missions d'assurance et de conseilcomparativement au CRIPP.

Affiner les processus afin de les aligner avec le CRIPPet différencier ceux qui sont obligatoires de ceux quisont recommandés.

Développer des outils d'auto-évaluation descontrôles.

Valider le manuel d'audit interne avec tous les audi-teurs internes.

Calendrier : juin - août 201X

FCS 4 : Auditeurs internes compétents et fiables Initiative : Identifier les compétences essentielles, élabo-rer des plans de développement et une stratégie degestion des compétences conformément à la mission.

Cartographie FFOM : Faiblesses – 1, 2, 3, 10, 11, 15, 12Opportunités – 3

Objectifs : Identifier les compétences nécessaires conformé-

ment à la déclaration de la mission pour tous lesdomaines de l'univers d'audit.

Élaborer un programme formalisé de développe-ment et de formation à tous les échelons.

Tâches principales : Effectuer une évaluation des compétences Identifier les solutions liées aux effectifs internes et

externes et à la formation. Élaborer un programme d'apprentissage et de forma-

tion continue.

Calendrier : juillet - octobre 201X

Note : Un plan de travail devrait être élaboré pourdétailler les étapes, le calendrier et les ressources néces-saires pour réaliser chaque initiative.

17/18

Guide Pratique

VII. AUTEURS, RÉVISEURS,RELECTEURS

Auteurs : Brian Reed, CIA Erich Schumann, CIA Princy Jain, CIA, CCSA, CRMA Rita Thakkar, CIA

Réviseur : Steven Jameson, CIA, CBA, CCSA, CFE, CFSA, CGMA,

CPA, CRMA

Relecteurs : Marie-Elisabeth Albert, CIA Julien Cornuché, CIA Béatrice Ki-Zerbo, CIA

A PROPOS DE L’INSTITUTE OF INTERNAL AUDITORS

Fondé en 1941, The Institute of Internal Auditors (IIA) est une organisation professionnelle internationale dont le siègemondial se situe à Altamonte Springs, en Floride, aux États-Unis. L’Institute of Internal Auditors est la voix mondiale,une autorité reconnue, un leader incontesté et le principal défenseur de la profession d’auditeur interne. C’est égale-ment un acteur de premier plan pour la formation des auditeurs internes. Il est représenté en France par l’IFACI.

A PROPOS DES GUIDES PRATIQUES

Les guides pratiques détaillent la réalisation des activités d’audit interne. Ils contiennent des processus et des procé-dures, tels que les outils et techniques, les programmes et les approches pas-à-pas, et donnent des exemples delivrables. Les guides pratiques s’inscrivent dans le Cadre de référence international des pratiques professionnelles del'audit interne de l’Institute of Internal Auditors. Ces guides pratiques relèvent de la catégorie des dispositions forte-ment recommandées. La conformité à ces guides pratiques n’est donc pas obligatoire, mais fortement recommandée.Ces guides ont été officiellement révisés et approuvés par l’IIA.

Pour de plus amples informations sur les documents de référence proposés par l’Institute, vous pouvez consulternotre site Web, www.theiia.org.guidance ou www.ifaci.com.

AVERTISSEMENT

L’Institute of Internal Auditors publie ce document à titre informatif et pédagogique. Cette ligne directrice n’a pasvocation à apporter de réponses définitives à des cas précis, et doit uniquement servir de guide. L’Institute of Inter-nal Auditors vous recommande de toujours solliciter un expert indépendant pour avoir un avis dans chaque situation.L’Institute dégage sa responsabilité pour les cas où des lecteurs se fieraient exclusivement à ce guide.

COPYRIGHT

Le copyright de ce guide pratique est détenu par l’Institute of Internal Auditors et par l’IFACI pour sa version française.Pour l’autorisation de reproduction, prière de contacter l’Institute of Internal Auditors à l’adresse [email protected] l’IFACI à l’adresse recher [email protected]

The Institute of Internal Auditors247 Maitland Avenue, Altamonte Springs, Florida 32701, États-UnisTéléphone : +1 407 937 1100 Télécopie : 1 407 937 1101Site Web : www.theiia.orgCourrier électronique : [email protected]

IFACI98bis, Bulevard Haussmann75008 PARIS, FranceTéléphone : 01 40 08 48 00Fax : 01 40 08 48 20

Site Web : www.ifaci.comCourrier électronique : [email protected]

[email protected]

www.ifaci.com

mailto:[email protected]

www.theiia.org

[email protected]

mailto:[email protected]

www.ifaci.com

www.theiia.org.guidance

ÉLABORER LE PLAN STRATÉGIQUE DE L'AUDIT … · Le Cadre de Référence International des...

Documents

Transcript of ÉLABORER LE PLAN STRATÉGIQUE DE L'AUDIT … · Le Cadre de Référence International des...