Article 19 – Comment gérer les risques avec le contrôle interne et l’audit ?

Temps de lecture : environ 5 minutes

L’essentiel en 4 points

1. La cartographie des risques : un risque est un événement incertain qui peut empêcher l’organisation d’atteindre ses objectifs. La cartographie des risques les recense, les évalue et les hiérarchise, pour concentrer les efforts sur les plus graves.

Type de risque	Exemples
Stratégique	dépendance à un client, arrivée d’un concurrent, perte d’un marché
Opérationnel	panne, incendie, erreur de facturation, rupture d’approvisionnement
Financier	fraude, impayé, variation des taux de change
Conformité	non-respect d’une loi ou d’une norme, sanction
Informatique	cyberattaque, perte de données

2. La criticité : elle permet de hiérarchiser les risques et de choisir comment les traiter.

Élément	Mode de calcul ou sens
Probabilité	note de 1 (rare) à 4 (très probable)
Gravité	note de 1 (faible impact) à 4 (impact majeur)
Criticité	probabilité × gravité
Traitement du risque	l’accepter, le réduire, le transférer (assurance) ou l’éviter (arrêter l’activité)

3. Le contrôle interne et le COSO : selon le référentiel COSO (2013), le contrôle interne est un processus mis en œuvre par la direction et le personnel pour donner une assurance raisonnable que l’organisation atteint ses objectifs d’efficacité des opérations, de fiabilité des informations et de conformité aux lois. Il repose sur cinq composantes.

Composante du COSO	Exemple
Environnement de contrôle	éthique, compétence du personnel, organisation
Évaluation des risques	cartographie des risques
Activités de contrôle	séparation des tâches, autorisations, rapprochements
Information et communication	procédures écrites, remontée des anomalies
Pilotage	suivi et amélioration du dispositif

Le contrôle interne sécurise les processus et fiabilise les informations ; le contrôle de gestion pilote la performance. Ils sont complémentaires : le contrôleur de gestion a besoin de données fiables.

4. L’audit interne et l’audit externe : l’audit vérifie, de façon indépendante, que les dispositifs fonctionnent.

Élément	Audit interne	Audit externe
Statut	service de l’entreprise, rattaché à la direction générale ou au comité d’audit	professionnel indépendant, extérieur à l’entreprise
Mission	évaluer le contrôle interne et la gestion des risques, proposer des améliorations	dans l’audit légal, certifier les comptes (commissaire aux comptes)
Destinataires	direction générale	actionnaires, tiers
Caractère	facultatif	légal : obligatoire dans certains cas ; contractuel : à la demande de l’entreprise

Exercice

Garnier Jardin est une PME de 30 salariés qui distribue du matériel de jardinage. Son dirigeant a recensé les risques suivants et les a notés de 1 à 4 :

Risque	Probabilité	Gravité	Criticité
A. Incendie de l’entrepôt	1	4
B. Un client de la grande distribution représente 40 % du chiffre d’affaires	3	3
C. Erreurs de facturation	3	2
D. Une même comptable crée les fiches fournisseurs et effectue les paiements	3	4
E. Cyberattaque : les données ne sont sauvegardées que sur le serveur de l’entreprise	2	4

Une criticité de 9 ou plus est jugée élevée, de 5 à 8 moyenne, et de 4 ou moins faible.

Travail à faire

1. Indiquez le type de chaque risque, calculez sa criticité et classez les risques.
2. Proposez un traitement pour chaque risque. Pour le risque D, quelle activité de contrôle du COSO faut-il mettre en place ?
3. Le dirigeant veut faire vérifier ses procédures. Il hésite entre un audit interne et son commissaire aux comptes. Que lui conseillez-vous ?

Corrigé express : cliquez pour l’afficher (essayez d’abord !)

1. Le classement des risques est le suivant :

Risque	Type	Criticité	Niveau
D. Fraude aux paiements fournisseurs	financier	3 × 4 = 12	élevé
B. Dépendance à un client	stratégique	3 × 3 = 9	élevé
E. Cyberattaque	informatique	2 × 4 = 8	moyen
C. Erreurs de facturation	opérationnel	3 × 2 = 6	moyen
A. Incendie de l’entrepôt	opérationnel	1 × 4 = 4	faible

2. Les traitements possibles sont les suivants :
   • D (réduire) : mettre en place une séparation des tâches, qui est une activité de contrôle du COSO. La personne qui crée les fiches fournisseurs ne doit pas être celle qui paie ; chaque paiement doit être validé par une deuxième personne ;
   • B (réduire) : diversifier la clientèle, par exemple vers les jardineries indépendantes ou la vente en ligne ;
   • E (réduire et transférer) : sauvegarder les données à l’extérieur, former le personnel et souscrire une assurance contre les cyberattaques ;
   • C (réduire) : contrôler automatiquement les factures dans le logiciel avant leur envoi ;
   • A (transférer) : le risque est peu probable mais grave : une assurance suffit, en plus des règles de sécurité incendie.
3. Le commissaire aux comptes a pour mission principale de certifier les comptes : il n’a pas à auditer toutes les procédures, même s’il signale les faiblesses de contrôle interne qu’il relève. Pour évaluer ses procédures et recevoir des recommandations, le dirigeant a besoin d’un audit interne. Avec 30 salariés, Garnier Jardin n’a pas de service d’audit interne : elle peut confier cette mission à un cabinet extérieur.

À retenir : la cartographie des risques recense et hiérarchise les risques selon leur criticité (probabilité × gravité). Le contrôle interne, structuré par le COSO, réduit ces risques et fiabilise les informations. L’audit interne évalue ce dispositif pour la direction, tandis que l’audit légal certifie les comptes pour les actionnaires et les tiers.