Gouvernance
Processus de gouvernance
« Évalue l’adéquation des structures de gouvernance, la redevabilité envers l’organe de gouvernance et la culture d’intégrité de l’organisation. »
Audit interne : la troisième ligne d’assurance de la compliance
Nous vous aidons à concevoir et à exploiter la fonction d’audit interne comme troisième ligne du Modèle des trois lignes : une assurance indépendante sur la gouvernance, la gestion des risques et le contrôle interne, avec un plan fondé sur les risques, un reporting au comité d’audit et l’audit du système de compliance.
Consultation gratuite
Nous vous répondons en moins de 24 h
- Principes du Modèle de l’IIA
- 6 principes
- Publication du Modèle de l’IIA
- Juillet 2020
- Comité d’audit (LSC)
- Art. 529 quaterdecies
- Norme de système de compliance
- ISO 37301
Services
Comment nous structurons votre fonction d’audit interne
Six volets pour concevoir et exploiter l’audit interne comme troisième ligne d’assurance, du statut et du plan fondé sur les risques à l’audit du système de compliance et au suivi des recommandations.
Fonction
Conception de la fonction d’audit interne
Nous définissons le statut, le mandat, le positionnement organisationnel et l’indépendance de l’audit interne en tant que troisième ligne du Modèle des trois lignes.
En savoir plus →
3e ligneStatutIndépendanceIIA
Plan
Plan d’audit annuel fondé sur les risques
Nous élaborons le plan d’audit à partir de la cartographie des risques de l’organisation, en priorisant les domaines les plus exposés et en l’alignant sur les objectifs.
En savoir plus →
Plan annuelRisquesPriorisation
Reporting
Indépendance et reporting au comité d’audit
Nous assurons le rattachement fonctionnel à l’organe de gouvernance ou au comité d’audit et l’accès sans restriction, éléments clés de l’indépendance.
En savoir plus →
ComitéReporting
Système
Audit du système de compliance
Nous réalisons l’audit interne du système de management de la compliance conformément à l’ISO 37301 et à la norme UNE 19601, dans le cadre de l’évaluation de la performance.
En savoir plus →
ISO 37301UNE 19601
Pénal
Vérification du modèle de prévention des infractions
Nous vérifions de manière indépendante l’efficacité du modèle d’organisation et de gestion, en soutenant sa révision périodique.
En savoir plus →
Art. 31 bis CPModèle
Suivi
Suivi des recommandations
Nous mettons en place le suivi des recommandations et des plans d’action, et nous coordonnons avec les enquêtes internes lorsque c’est pertinent.
En savoir plus →
RecommandationsSuivi
Ce que couvre l’audit
Ce qu’évalue l’audit interne
La troisième ligne fournit une assurance sur l’adéquation et l’efficacité des processus de gouvernance, de gestion des risques et de contrôle, et apporte de la valeur par un conseil indépendant.
Risques
Gestion des risques
« Vérifie si la gestion des risques identifie, évalue et traite correctement les expositions de l’organisation, indépendamment de la direction. »
Contrôle
Contrôle interne
« Contrôle la conception et l’efficacité opérationnelle des contrôles internes qui atténuent les risques significatifs de l’activité. »
Compliance
Système de compliance
« Audite le système de management de la compliance (ISO 37301 / UNE 19601) et l’efficacité du modèle de prévention des infractions. »
Pourquoi c’est important
Pourquoi l’audit interne est-il essentiel ?
Sans troisième ligne indépendante, l’organe de gouvernance ne dispose d’aucune assurance objective sur le fonctionnement des contrôles. Un audit interne bien conçu protège le conseil et renforce la crédibilité de la compliance.
Sans 3e ligne, le conseil navigue à l’aveugle : l’audit interne apporte l’assurance indépendante que ni la direction ni les fonctions de contrôle ne peuvent fournir sur elles-mêmes.
Confondre 2e et 3e ligne : la compliance et la gestion des risques relèvent de la direction ; l’audit interne doit rester indépendant pour conserver sa valeur.
L’indépendance se perd facilement : si l’audit interne assume des tâches de gestion, il ne peut plus donner une assurance objective sur ces mêmes activités.
Modèle des trois lignes 6 principes
Le Modèle des trois lignes de l’IIA (2020) repose sur six principes et place l’audit interne en troisième ligne.
Art. 529 quaterdecies LSC Sociétés cotées
Dans les sociétés cotées, le comité d’audit supervise l’efficacité du contrôle interne, de l’audit interne et de la gestion des risques.
Recommandations Avec suivi
Un audit sans suivi des recommandations perd de sa valeur : le cycle se referme en vérifiant que les déficiences sont corrigées.
Votre organisation a-t-elle besoin d’une fonction d’audit interne ?
Que vous partiez de zéro ou que vous souhaitiez renforcer une fonction existante, nous vous aidons à la concevoir, à lui donner son indépendance et à construire un plan d’audit fondé sur les risques qui apporte une réelle assurance au conseil.
Questions fréquentes
Audit interne : les questions courantes
Qu’est-ce que l’audit interne ?
C’est une fonction indépendante et objective d’assurance et de conseil qui évalue l’adéquation et l’efficacité des processus de gouvernance, de gestion des risques et de contrôle interne, et qui apporte de la valeur à l’organisation.
Qu’est-ce que le Modèle des trois lignes et où l’audit interne s’y place-t-il ?
C’est le cadre de l’IIA (2020) qui organise les rôles : la première ligne gère, la deuxième ligne contrôle et soutient (compliance, risques) et la troisième ligne est l’audit interne, qui offre une assurance indépendante.
En quoi se distingue-t-il de la 2e ligne ?
Les fonctions de 2e ligne (compliance, gestion des risques) relèvent de la direction. L’audit interne se distingue par son indépendance vis-à-vis de la direction, ce qui lui permet de donner une assurance objective.
En quoi se distingue-t-il de l’audit des comptes ?
L’audit des comptes (externe) exprime une opinion sur les états financiers et est réalisé par un auditeur externe indépendant. L’audit interne est une fonction de l’organisation elle-même, qui couvre la gouvernance, les risques et le contrôle, et pas seulement le volet financier.
À qui l’audit interne rend-il compte ?
Fonctionnellement, à l’organe de gouvernance ou au comité d’audit ; administrativement, à la direction générale. Ce rattachement et l’accès sans restriction aux personnes, aux données et aux ressources garantissent son indépendance.
Est-il obligatoire ?
Dans les sociétés cotées et les entités d’intérêt public, le comité d’audit doit superviser l’audit interne (art. 529 quaterdecies LSC). En règle générale, il s’agit d’une recommandation de bonne gouvernance ; dans les systèmes de compliance certifiables (ISO 37301 / UNE 19601), l’audit interne du système est obligatoire.
Quelles normes l’encadrent ?
Les Normes internationales pour la pratique professionnelle de l’audit interne de l’IIA et le Modèle des trois lignes, complétés pour les sociétés cotées par le Code de bon gouvernement de la CNMV.
Peut-il être externalisé ?
Oui. La fonction peut être externalisée totalement ou partiellement (co-sourcing ou outsourcing) auprès d’un tiers qualifié, en préservant l’indépendance et le rattachement à l’organe de gouvernance.
Autres questions fréquentes
DEA, plan fondé sur les risques et assurance
Qu’est-ce que le DEA ou directeur de l’audit interne ?
C’est le directeur exécutif de l’audit, responsable de la fonction. Il dirige l’audit interne, propose le plan et rend compte à l’organe de gouvernance ou au comité d’audit.
Qu’est-ce qu’un plan d’audit fondé sur les risques ?
C’est le plan qui hiérarchise les missions d’audit selon le niveau de risque de chaque domaine ou processus, en cohérence avec la cartographie des risques et les objectifs de l’organisation.
L’audit interne fournit-il des services d’« assurance » et de « conseil » ?
Oui. Il fournit des services d’assurance (évaluation objective pour exprimer une opinion) et de conseil (appui pour améliorer les processus), toujours en préservant son indépendance.
Quel lien entre audit interne et cartographie des risques ?
La cartographie des risques alimente le plan d’audit : les domaines les plus exposés sont audités plus souvent et plus en profondeur. L’audit, à son tour, évalue si la gestion des risques fonctionne.
Les sociétés non cotées doivent-elles en disposer ?
Pas en règle générale, mais c’est vivement recommandé : cela apporte une assurance à l’organe d’administration et renforce le système de compliance, en particulier dans les organisations exposées à des risques importants.
Quel lien avec le modèle de prévention des infractions ?
L’audit interne peut vérifier de manière indépendante l’efficacité du modèle d’organisation et de gestion (art. 31 bis du Code pénal), en soutenant sa révision périodique et sa crédibilité vis-à-vis des tiers.
Le Modèle des trois lignes
Première, deuxième et troisième ligne : comparatif
Comprendre la place de chaque fonction évite les doublons et les zones non couvertes. Nous vous aidons à positionner l’audit interne et à le délimiter par rapport aux autres lignes.
Ce qui détermine le périmètre du projet
Concevoir et exploiter l’audit interne dépend de la taille de l’organisation, de son profil de risque et du choix d’internaliser ou d’externaliser la fonction.
- Fonction
- Statut, indépendance et positionnement organisationnel.
- Plan
- Plan annuel fondé sur la cartographie des risques.
- Exécution
- Nombre et complexité des missions d’audit.
- Modèle
- Interne, co-sourcing ou externalisation.
Comment nous travaillons la fonction
Nous partons du statut et de l’indépendance, nous construisons le plan fondé sur les risques et nous laissons en place le cycle de travail et le suivi.
- Statut, mandat et indépendance de la fonction.
- Plan d’audit annuel fondé sur les risques.
- Exécution, rapport et suivi des recommandations.
| Fonction | 1re ligne | 2e ligne | 3e ligne (audit interne) | Audit externe |
|---|---|---|---|---|
| Rôle | Gestion et prise de risques | Contrôle et conformité | Assurance indépendante | Opinion sur les comptes |
| Indépendance vis-à-vis de la direction | Non | Partielle | Oui | Oui (externe) |
| Rend compte à | Direction | Direction | Organe de gouvernance / comité | Assemblée générale / comité d’audit |
| Exemple | Activité opérationnelle | Compliance, gestion des risques | Fonction d’audit interne | Commissaire aux comptes |
| Cadre de référence | Procédures internes | Politiques de contrôle | Normes de l’IIA / Trois lignes | Réglementation de l’audit des comptes |
Tableau indicatif fondé sur le Modèle des trois lignes de l’IIA (2020). Le périmètre précis de chaque fonction dépend de la structure et du profil de risque de chaque organisation.
Guide opérationnel
Comment mettre en place la fonction d’audit interne : guide pratique
Un audit interne utile ne s’improvise pas : il faut un statut qui garantisse son indépendance, un plan fondé sur les risques, une exécution méthodique et un suivi qui referme le cycle en vérifiant que les déficiences sont corrigées.
Définissez la fonction
Le statut fixe l’objet, l’autorité et la responsabilité de l’audit interne, son indépendance et son rattachement à l’organe de gouvernance ou au comité d’audit.
Planifiez et exécutez
Le plan annuel s’appuie sur la cartographie des risques. Les missions sont menées selon une approche systématique et rigoureuse et aboutissent à des rapports aux constats clairs.
Rendez compte et assurez le suivi
Les constats sont communiqués à la direction et à l’organe de gouvernance, et les recommandations font l’objet d’un suivi jusqu’à la vérification de leur mise en œuvre.
Checklist de la fonction d’audit interne en 10 étapes
- Statut : approuver le statut de l’audit interne et son mandat.
- Indépendance : fixer le rattachement à l’organe de gouvernance ou au comité d’audit.
- Ressources : doter la fonction de moyens, de compétences et d’un accès sans restriction.
- Risques : partir de la cartographie des risques de l’organisation.
- Plan : élaborer le plan d’audit annuel fondé sur les risques.
- Programme : concevoir le programme de chaque mission (objectifs et périmètre).
- Exécution : recueillir des preuves suffisantes et documenter le travail.
- Rapport : formuler des conclusions, des constats et des recommandations.
- Suivi : vérifier la mise en œuvre des recommandations.
- Amélioration : évaluer et améliorer la qualité de la fonction elle-même.
Si vous souhaitez concevoir ou renforcer votre fonction, consultez notre domaine corporate compliance ou la cartographie des risques.
L’audit interne en mode opérationnel
Du plan au suivi des recommandations
La fonction d’audit interne repose sur quatre piliers : planifier selon le risque, exécuter les travaux, rendre compte à la gouvernance et suivre les recommandations. Voici le panneau visuel de leur mise en pratique.
1) PlanifierPlanifier : selon le risque
Le plan annuel priorise les domaines et les processus selon leur niveau de risque, en cohérence avec la cartographie des risques et les objectifs.
- Cartographie des risques
- Plan annuel
- Priorisation
2) ExécuterExécuter : preuves et rigueur
Chaque mission définit des objectifs et un périmètre, recueille des preuves suffisantes et documente les constats selon une approche systématique.
- Programme de travail
- Preuves
- Dossiers de travail
3) Rendre compteRendre compte : à la gouvernance
Les constats et les recommandations sont communiqués à la direction et à l’organe de gouvernance pour favoriser l’amélioration continue.
- Constats
- Recommandations
- Reporting au comité
4) SuivreSuivre : refermer le cycle
La valeur de l’audit se concrétise lorsque l’on vérifie que les recommandations sont mises en œuvre et que les déficiences sont corrigées. Le suivi referme le cycle et alimente l’amélioration continue.
Conseil : un registre des recommandations indiquant le responsable, l’échéance et le statut évite que les constats se perdent d’un exercice à l’autre.
Décision rapideCarte pratique : interne ou externe ?
Organisation avec fonction propre
Audit interne internalisé, avec reporting au comité.
Ressources limitées
Co-sourcing ou externalisation auprès d’un tiers qualifié.
Système de compliance
Audit interne du système (ISO 37301 / UNE 19601).
Playbook audit interne
La fonction d’audit interne, phase par phase
Statut
Approuver le mandat, l’indépendance et le rattachement de la fonction.
Statut de l’audit interne approuvé.
Planification
Construire le plan annuel à partir de la cartographie des risques.
Plan annuel fondé sur les risques.
Exécution
Réaliser les missions, recueillir des preuves et documenter les constats.
Programmes et dossiers de travail.
Rapport
Communiquer les constats et les recommandations à la gouvernance.
Rapports d’audit.
Suivi
Vérifier la mise en œuvre des recommandations.
Registre de suivi des recommandations.
Erreurs fréquentes en audit interne
Repérez-les avant qu’elles ne réduisent la valeur de la fonction.
- Que l’audit interne assume des tâches de gestion et perde son indépendance.
- Planifier sans partir de la cartographie des risques de l’organisation.
- Confondre la 2e ligne (compliance, risques) avec la 3e ligne.
- Rendre compte à la direction au lieu de l’organe de gouvernance ou du comité.
- Émettre des recommandations sans un suivi qui referme le cycle.
Dictionnaire opérationnel
Concepts clés de l’audit interne
Si vous allez concevoir ou renforcer votre fonction d’audit interne, ces termes figurent dans le Modèle des trois lignes et dans les normes de l’IIA. Les comprendre aide à bâtir une fonction solide.
Audit interneBase
Fonction d’audit interne
Activité indépendante et objective d’assurance et de conseil sur la gouvernance, la gestion des risques et le contrôle.
Troisième ligne du modèle.
3 lignesCadre
Modèle des trois lignes
Cadre de l’IIA (2020) qui organise les rôles de gouvernance, de gestion et d’assurance autour de six principes.
Actualise les « trois lignes de défense ».
3e ligneRôle
Troisième ligne
Rôle d’assurance indépendante confié à l’audit interne, distinct des responsabilités de la direction.
Indépendance vis-à-vis de la direction.
DEARôle
Directeur exécutif de l’audit
Responsable de la fonction d’audit interne ; il propose le plan et rend compte à l’organe de gouvernance ou au comité.
Dirige la 3e ligne.
AssuranceService
Assurance et conseil
L’audit interne fournit des services d’assurance (opinion objective) et de conseil (appui à l’amélioration).
Assurance + conseil (advisory).
StatutMandat
Statut d’audit
Document qui fixe l’objet, l’autorité, la responsabilité et l’indépendance de la fonction.
Approuvé par la gouvernance.
PlanRisques
Plan fondé sur les risques
Plan annuel qui priorise les missions d’audit selon le risque de chaque domaine ou processus.
Alimenté par la cartographie des risques.
ComitéGouvernance
Comité d’audit
Commission du conseil qui, dans les sociétés cotées, supervise le contrôle interne, l’audit interne et la gestion des risques.
Art. 529 quaterdecies LSC.
IndépendancePrincipe
Indépendance
Absence d’interférences et rattachement à l’organe de gouvernance ; essentiel pour l’objectivité, l’autorité et la crédibilité.
Protège la valeur de la fonction.
Contact
Réserver un appel
Dites-nous où en est votre fonction d’audit interne : nous vous aidons à la concevoir, à lui donner son indépendance et à construire un plan d’audit fondé sur les risques.
Cadre de l’audit interne : Modèle des trois lignes, normes de l’IIA et comité d’audit
L’audit interne est une fonction indépendante et objective d’assurance et de conseil qui évalue l’adéquation et l’efficacité des processus de gouvernance, de gestion des risques et de contrôle d’une organisation. Son cadre de référence international est constitué des normes de l’Institut des auditeurs internes (IIA) et du Modèle des trois lignes.
Le Modèle des trois lignes
En juillet 2020, l’IIA a publié le Modèle des trois lignes, qui actualise l’ancien modèle des « trois lignes de défense » et repose sur six principes. La première ligne gère et prend les risques ; la deuxième ligne apporte contrôle et conformité (compliance, gestion des risques) ; et la troisième ligne est l’audit interne, qui fournit une assurance indépendante et objective et rend compte à l’organe de gouvernance et à la direction pour favoriser l’amélioration continue.
Indépendance et comité d’audit
L’indépendance de l’audit interne vis-à-vis des responsabilités de la direction est essentielle à son objectivité, à son autorité et à sa crédibilité ; elle est préservée par le rattachement à l’organe de gouvernance et l’accès sans restriction aux personnes, aux données et aux ressources. Dans les sociétés cotées, l’article 529 quaterdecies de la loi sur les sociétés de capitaux (Ley de Sociedades de Capital) confie au comité d’audit la supervision de l’efficacité du contrôle interne, de l’audit interne et des systèmes de gestion des risques, critère que développe le Guide technique 3/2017 de la CNMV.
Audit interne et compliance
Dans les systèmes de management de la compliance, l’audit interne du système est un élément obligatoire de l’évaluation de la performance selon les normes ISO 37301 et UNE 19601, et peut vérifier de manière indépendante l’efficacité du modèle d’organisation et de gestion aux fins de l’article 31 bis du Code pénal.