Contrôle interne dans la démarche d’audit

Maîtriser les définitions, objectifs, domaines d’application et modalités du contrôle interne, ainsi que son rôle dans l’évaluation des risques.

Introduction

Dans la révision légale et contractuelle des comptes, le contrôle interne occupe une place centrale. Il ne se confond ni avec l’audit, ni avec la direction de l’entité, ni avec une simple accumulation de procédures administratives. Il constitue un ensemble organisé de dispositifs permettant à une entité de mieux maîtriser ses opérations, de fiabiliser son information et de réduire les risques d’anomalies.

Pour l’auditeur, le contrôle interne n’est pas un sujet accessoire : il est un levier essentiel de compréhension de l’entité, d’identification des risques d’anomalies significatives et d’adaptation de la stratégie d’audit. Autrement dit, l’auditeur ne se contente pas de vérifier des chiffres ; il cherche aussi à comprendre comment ces chiffres sont produits, par qui, avec quels contrôles, dans quels systèmes et avec quelles vulnérabilités.

Cette leçon est consacrée à quatre axes directement issus du programme :

définitions et principes du contrôle interne ;
domaines d’application du contrôle interne ;
rôle du contrôle interne dans la démarche d’audit ;
son insertion dans le cadre plus large de la révision légale et contractuelle des comptes.

Nous ne reviendrons pas ici sur le cadre général des missions, déjà étudié dans la leçon précédente. Nous nous concentrerons sur la place spécifique du contrôle interne dans la logique professionnelle de l’auditeur.

Objectifs d’apprentissage

À l’issue de cette leçon, vous devez être capable de :

définir précisément le contrôle interne ;
distinguer ses objectifs, ses principes et ses limites ;
identifier ses domaines d’application dans une entité ;
expliquer pourquoi l’auditeur étudie le contrôle interne ;
montrer comment cette étude influence l’évaluation des risques et les travaux d’audit ;
illustrer, à l’aide d’exemples, le lien entre qualité du contrôle interne et nature des diligences d’audit.

1. Le contrôle interne : définition et portée

1.1. Définition générale

Le contrôle interne peut être compris comme l’ensemble des moyens, comportements, procédures et dispositifs mis en place par une entité pour maîtriser ses activités et sécuriser l’atteinte de ses objectifs.

Cette définition appelle plusieurs observations importantes.

a) Le contrôle interne n’est pas seulement un contrôle a posteriori

Dans la pratique, beaucoup assimilent le contrôle interne à la vérification d’une opération après son exécution. C’est réducteur. Le contrôle interne comprend :

des mesures préventives ;
des mesures détectives ;
parfois des mesures correctrices.

Exemples :

obligation d’une double validation avant paiement : contrôle préventif ;
rapprochement bancaire mensuel : contrôle détectif ;
procédure de correction d’une erreur de facturation : mesure correctrice.

b) Le contrôle interne ne se limite pas à la comptabilité

Il concerne la comptabilité, mais aussi l’organisation, les systèmes d’information, la séparation des fonctions, la sécurité des accès, les circuits d’autorisation, la supervision managériale, la documentation, l’archivage et la traçabilité.

c) Le contrôle interne relève d’abord de l’entité

L’auditeur évalue le contrôle interne ; il ne s’y substitue pas. La responsabilité de concevoir et de faire fonctionner le contrôle interne incombe à la direction et, plus largement, à la gouvernance de l’entité.

1.2. Pourquoi le contrôle interne existe-t-il ?

Le contrôle interne répond à une exigence simple : une organisation ne peut pas atteindre durablement ses objectifs si elle ne maîtrise pas ses processus.

Sans contrôle interne :

les erreurs se multiplient ;
les fraudes sont plus faciles ;
les opérations sont mal autorisées ou mal enregistrées ;
l’information financière devient moins fiable ;
la direction perd en capacité de pilotage.

Le contrôle interne constitue donc un outil de maîtrise des risques. Il ne garantit pas l’absence totale d’erreurs, mais il contribue à en réduire la probabilité et à en limiter les conséquences.

1.3. Les objectifs fondamentaux du contrôle interne

Le programme vise les objectifs du contrôle interne. Dans une perspective d’audit, on peut les présenter autour de quatre finalités majeures.

1) Sécuriser les opérations

L’entité doit s’assurer que ses opérations sont réalisées conformément à ce qui a été décidé, dans des conditions de régularité et d’efficacité.

Exemples :

une commande ne peut être passée que par une personne habilitée ;
un paiement fournisseur ne peut être exécuté qu’après rapprochement avec une facture et un bon de réception ;
les stocks doivent être protégés contre les pertes et détournements.

2) Fiabiliser l’information, notamment financière et comptable

C’est un objectif déterminant pour l’auditeur. Les comptes annuels résultent d’un enchaînement de traitements. Si les contrôles sur cet enchaînement sont faibles, le risque d’anomalies significatives augmente.

Exemples :

numérotation continue des factures ;
validation des écritures sensibles ;
rapprochement entre comptabilité auxiliaire et comptabilité générale ;
revue des estimations comptables.

3) Préserver le patrimoine et les ressources

Le contrôle interne protège les actifs de l’entité contre :

les détournements ;
les pertes ;
les utilisations non autorisées ;
les destructions ou altérations.

Exemples :

inventaires physiques ;
contrôle d’accès aux entrepôts ;
habilitations informatiques ;
limitation des pouvoirs bancaires.

4) Favoriser le respect des règles internes et externes

Le contrôle interne contribue au respect :

des procédures internes ;
des décisions de la direction ;
des obligations légales et réglementaires applicables à l’entité.

Dans la logique de l’audit, cet objectif est important car des non-conformités peuvent se traduire par des conséquences comptables, financières ou juridiques.

2. Les principes du contrôle interne

2.1. Un dispositif organisé et cohérent

Le contrôle interne n’est efficace que s’il est pensé comme un système cohérent. Des contrôles isolés, non documentés et mal articulés produisent rarement un résultat satisfaisant.

Un dispositif cohérent suppose :

des responsabilités définies ;
des procédures connues ;
une circulation fiable de l’information ;
une supervision adaptée ;
une traçabilité des opérations ;
des contrôles proportionnés aux risques.

2.2. Le principe de séparation des fonctions

C’est l’un des principes les plus classiques et les plus importants.

Il consiste à éviter qu’une même personne cumule des fonctions incompatibles, par exemple :

autoriser une opération ;
exécuter cette opération ;
l’enregistrer en comptabilité ;
en contrôler la régularité.

Pourquoi ?

Parce que le cumul de ces fonctions augmente fortement le risque :

d’erreur non détectée ;
de fraude ;
de manipulation intentionnelle.

Exemple

Si une même personne peut créer un fournisseur, saisir une facture, ordonner le paiement et rapprocher le relevé bancaire, le risque de paiement fictif est majeur.

2.3. Le principe d’autorisation

Certaines opérations doivent être soumises à une validation préalable ou concomitante par une personne habilitée.

Exemples :

validation d’un achat au-delà d’un seuil ;
approbation d’un avoir client ;
autorisation d’un accès informatique particulier ;
signature d’un virement.

L’autorisation matérialise la responsabilité et crée une trace de contrôle.

2.4. Le principe de traçabilité

Toute opération significative doit pouvoir être :

identifiée ;
justifiée ;
rapprochée de son origine ;
suivie jusqu’à son enregistrement final.

Sans traçabilité, il devient difficile pour l’entité comme pour l’auditeur de reconstituer le cheminement d’une opération.

Exemples :

référence de commande ;
bon de livraison ;
facture ;
pièce comptable ;
historique de validation dans l’outil.

2.5. Le principe de supervision

Un contrôle interne ne fonctionne pas durablement sans supervision. Il faut que des responsables vérifient :

que les procédures sont appliquées ;
que les anomalies remontent ;
que les corrections sont effectuées ;
que les contrôles restent adaptés aux risques.

La supervision permet d’éviter qu’un dispositif bien conçu sur le papier devienne inefficace dans la pratique.

2.6. Le principe de proportionnalité

Le contrôle interne doit être adapté :

à la taille de l’entité ;
à sa complexité ;
à son secteur ;
à ses risques ;
à ses moyens humains et techniques.

Une petite structure ne disposera pas du même niveau de formalisation qu’un groupe important. Cela ne signifie pas qu’elle peut se passer de contrôle interne, mais que les modalités seront différentes.

2.7. Les limites inhérentes du contrôle interne

Il est essentiel de comprendre que même un bon contrôle interne ne procure pas une sécurité absolue.

Ses limites tiennent notamment :

à l’erreur humaine ;
à la négligence ;
à la collusion entre plusieurs personnes ;
au contournement délibéré des procédures ;
à l’évolution des risques ;
au rapport coût / utilité des contrôles.

Cette idée est fondamentale pour l’auditeur : il peut tenir compte du contrôle interne, mais il ne peut jamais conclure que celui-ci supprime totalement le risque d’anomalies significatives.

3. Les domaines d’application du contrôle interne

Le programme exige d’identifier les domaines d’application du contrôle interne. En pratique, il s’applique à tous les processus significatifs de l’entité.

3.1. Le cycle ventes – clients

Ce cycle couvre notamment :

la prise de commande ;
la livraison ou la réalisation de la prestation ;
la facturation ;
l’enregistrement comptable ;
l’encaissement ;
le suivi des créances.

Risques typiques

chiffre d’affaires fictif ;
omission de facturation ;
erreurs de prix ou de TVA ;
avoirs injustifiés ;
détournement d’encaissements ;
créances irrécouvrables mal suivies.

Contrôles internes possibles

séquence de facturation continue ;
rapprochement commandes / livraisons / factures ;
revue des avoirs ;
lettrage régulier des comptes clients ;
suivi des impayés ;
séparation entre facturation et encaissement.

3.2. Le cycle achats – fournisseurs

Ce cycle comprend :

l’expression du besoin ;
la commande ;
la réception ;
la comptabilisation de la facture ;
le règlement.

Risques typiques

achats non autorisés ;
factures fictives ;
double paiement ;
erreur d’imputation ;
paiement sans réception effective ;
fraude sur les coordonnées bancaires.

Contrôles internes possibles

bons de commande validés ;
rapprochement commande / réception / facture ;
validation des modifications de RIB ;
revue des échéanciers ;
séparation entre saisie et paiement ;
contrôle des fournisseurs créés dans le système.

3.3. Le cycle trésorerie

La trésorerie est un domaine très sensible car elle concerne des actifs immédiatement mobilisables.

Risques typiques

détournement de fonds ;
erreurs de caisse ;
paiements non autorisés ;
rapprochements bancaires non réalisés ;
dissimulation d’opérations.

Contrôles internes possibles

double signature ;
limitation des habilitations bancaires ;
rapprochements bancaires périodiques ;
revue indépendante des écritures de banque ;
contrôle des caisses ;
journalisation des accès aux plateformes bancaires.

3.4. Le cycle stocks et production

Dans les entités industrielles, commerciales ou logistiques, le contrôle interne sur les stocks est déterminant.

Risques typiques

pertes, vols, obsolescence ;
erreurs de quantités ;
valorisation incorrecte ;
mauvaise affectation des coûts ;
inventaires physiques défaillants.

Contrôles internes possibles

inventaires tournants ou annuels ;
contrôle des mouvements ;
accès limités aux zones de stockage ;
rapprochement stock physique / stock théorique ;
validation des ajustements de stock ;
suivi des produits obsolètes.

3.5. Le cycle paie et ressources humaines

Ce domaine est à la fois financier, social et sensible en matière de fraude.

Risques typiques

salariés fictifs ;
erreurs de calcul ;
primes non autorisées ;
données sociales mal mises à jour ;
charges sociales mal comptabilisées.

Contrôles internes possibles

validation des entrées et sorties ;
rapprochement entre liste du personnel et paie ;
contrôle des variables ;
revue des bulletins atypiques ;
séparation entre administration du personnel et validation de la paie.

3.6. Le cycle immobilisations

Risques typiques

immobilisations inexistantes ;
erreurs de classification ;
amortissements erronés ;
sorties non enregistrées ;
dépenses d’entretien immobilisées à tort.

Contrôles internes possibles

procédure d’investissement ;
inventaire physique ;
suivi par fiche d’immobilisation ;
validation des mises au rebut ;
revue des durées d’utilisation.

3.7. Les systèmes d’information

Le contrôle interne s’applique aussi aux systèmes d’information, qui structurent aujourd’hui la production de l’information comptable et financière.

Risques typiques

accès non autorisés ;
modifications non tracées ;
erreurs d’interfaçage ;
perte de données ;
absence de sauvegarde ;
défaut de continuité d’activité.

Contrôles internes possibles

gestion des habilitations ;
mots de passe robustes ;
journal des accès ;
sauvegardes régulières ;
contrôles des interfaces ;
procédures de reprise.

3.8. Le processus d’arrêté des comptes

C’est un domaine majeur pour l’auditeur, car il conditionne directement la qualité des comptes annuels.

Risques typiques

écritures d’inventaire erronées ;
estimations insuffisamment documentées ;
reclassements inadaptés ;
absence de revue ;
informations annexes incomplètes.

Contrôles internes possibles

calendrier de clôture ;
dossier de révision ;
justification des comptes ;
revue des écritures manuelles ;
validation des estimations ;
contrôles de cohérence d’ensemble.

4. Le rôle du contrôle interne dans la démarche d’audit

Le programme souligne explicitement le rôle du contrôle interne dans la démarche d’audit. Ce rôle est essentiel, car l’auditeur construit son approche à partir d’une compréhension de l’entité et de ses risques.

4.1. Comprendre comment l’entité maîtrise ses risques

L’auditeur ne peut pas apprécier correctement les risques d’anomalies significatives s’il ignore comment l’entité fonctionne.

Étudier le contrôle interne lui permet de répondre à des questions concrètes :

qui initie les opérations ?
qui les autorise ?
qui les enregistre ?
quels rapprochements sont réalisés ?
quelles revues existent ?
quels systèmes produisent l’information ?
quelles zones sont les plus vulnérables ?

Cette compréhension est indispensable pour passer d’une vision abstraite des comptes à une vision opérationnelle des processus qui les alimentent.

4.2. Identifier et évaluer les risques d’anomalies significatives

Le contrôle interne aide l’auditeur à identifier les points où une anomalie significative peut apparaître.

Exemple

Si, dans le cycle ventes, aucune revue des avoirs n’est réalisée, l’auditeur peut considérer qu’il existe un risque accru de manipulation du chiffre d’affaires par émission d’avoirs injustifiés.

Autre exemple

Si les rapprochements bancaires ne sont pas établis régulièrement, le risque d’erreurs ou d’anomalies en trésorerie augmente.

L’étude du contrôle interne permet donc de :

localiser les zones sensibles ;
comprendre les causes possibles d’anomalies ;
hiérarchiser les risques.

4.3. Déterminer la nature, le calendrier et l’étendue des travaux d’audit

C’est l’un des effets les plus concrets de l’analyse du contrôle interne.

Lorsque le contrôle interne est jugé fiable sur un processus donné, l’auditeur peut adapter ses diligences. À l’inverse, si le dispositif est faible, il devra souvent renforcer ses contrôles substantifs.

En pratique

contrôle interne robuste : possibilité de s’appuyer davantage sur certains contrôles, sous réserve de tests appropriés ;
contrôle interne défaillant : nécessité d’augmenter les vérifications directes sur les comptes et les opérations.

Autrement dit, le contrôle interne influence :

la nature des procédures d’audit ;
leur moment d’exécution ;
leur étendue.

4.4. Orienter la stratégie d’audit

L’auditeur n’a pas vocation à tout vérifier de manière exhaustive. Il doit adopter une démarche fondée sur les risques.

Le contrôle interne constitue alors un outil d’orientation de la stratégie d’audit.

Exemple de raisonnement

L’auditeur prend connaissance du processus achats.
Il constate l’absence de séparation entre création des fournisseurs et validation des paiements.
Il en déduit un risque renforcé de fraude ou de paiements irréguliers.
Il décide d’accroître ses travaux sur :
- les nouveaux fournisseurs ;
- les changements de coordonnées bancaires ;
- les paiements exceptionnels ;
- les écritures de régularisation.

Le contrôle interne joue donc un rôle de boussole dans la mission.

4.5. Apprécier la fiabilité de la production comptable

Les comptes annuels ne sont pas des données spontanées. Ils résultent :

d’opérations de gestion ;
de traitements administratifs ;
d’enregistrements comptables ;
de contrôles ;
d’estimations ;
d’opérations d’arrêté.

L’étude du contrôle interne permet à l’auditeur d’apprécier si cette chaîne de production comptable est :

structurée ;
documentée ;
supervisée ;
cohérente.

Plus cette chaîne est fragile, plus le risque que les comptes comportent des anomalies significatives est élevé.

5. Comment l’auditeur appréhende concrètement le contrôle interne

Même si le programme de cette leçon reste centré sur les principes et le rôle du contrôle interne, il est utile de montrer comment, dans la pratique, l’auditeur l’appréhende.

5.1. Prise de connaissance des processus

L’auditeur commence par comprendre le fonctionnement de l’entité.

Il s’intéresse notamment :

à l’organisation ;
aux acteurs ;
aux circuits de validation ;
aux systèmes utilisés ;
aux documents produits ;
aux points de contrôle.

Cette prise de connaissance peut s’appuyer sur :

des entretiens ;
des procédures internes ;
des organigrammes ;
des descriptions de cycles ;
l’observation des pratiques ;
des tests de cheminement.

5.2. Identification des points clés de contrôle

Tous les contrôles n’ont pas la même importance. L’auditeur cherche ceux qui répondent aux risques significatifs.

Exemples de points clés :

validation des paiements ;
rapprochements bancaires ;
revue des écritures manuelles ;
contrôle des accès aux systèmes ;
validation des avoirs ;
inventaires physiques.

5.3. Appréciation de la conception du dispositif

Un contrôle peut exister en théorie mais être mal conçu.

Exemple

Une entreprise prévoit qu’un responsable valide chaque nouveau fournisseur. Mais si cette validation est purement formelle, sans vérification de l’identité ni des coordonnées bancaires, le contrôle existe seulement en apparence.

L’auditeur doit donc apprécier si le contrôle, tel qu’il est conçu, est susceptible de prévenir ou détecter une anomalie significative.

5.4. Appréciation de la mise en œuvre

Un contrôle bien conçu peut ne pas être appliqué en pratique.

Exemple

La procédure prévoit un rapprochement bancaire mensuel. En réalité, il n’est fait qu’une fois par semestre, sans revue indépendante. Le dispositif réel est donc beaucoup moins fiable que le dispositif théorique.

L’auditeur doit distinguer :

les procédures écrites ;
les pratiques effectives.

6. Études de cas professionnelles

Cas 1 – Cycle achats dans une PME

Une PME industrielle centralise les achats au siège. Le responsable administratif peut :

créer les fournisseurs ;
enregistrer les factures ;
préparer les virements ;
transmettre les paiements à la banque.

Le dirigeant signe les paiements importants, mais n’effectue pas de revue systématique des nouveaux fournisseurs.

Analyse du contrôle interne

Points faibles :

absence de séparation suffisante des fonctions ;
risque de fournisseur fictif ;
risque de paiement indu ;
contrôle insuffisant sur les coordonnées bancaires.

Conséquences dans la démarche d’audit

L’auditeur sera conduit à renforcer ses travaux sur :

le fichier fournisseurs ;
les nouveaux comptes créés ;
les paiements exceptionnels ;
les modifications de RIB ;
la justification des charges significatives.

Pourquoi ?

Parce que le contrôle interne ne réduit pas suffisamment le risque d’anomalies ou de fraude sur ce cycle.

Cas 2 – Cycle ventes dans une société de services

La société facture mensuellement ses prestations à partir d’un outil de gestion des temps. Les chefs de mission valident les temps saisis. Les factures sont émises automatiquement selon les contrats. Les avoirs doivent être validés par la direction financière.

Analyse du contrôle interne

Points favorables :

validation en amont des temps ;
automatisation de la facturation ;
contrôle spécifique des avoirs ;
traçabilité des données.

Points de vigilance :

qualité des paramétrages ;
fiabilité des interfaces entre outil de gestion et comptabilité ;
supervision des exceptions.

Conséquences dans la démarche d’audit

L’auditeur pourra centrer son analyse sur :

le fonctionnement du système ;
les exceptions de facturation ;
les avoirs ;
les écritures de régularisation de chiffre d’affaires.

Ici, un contrôle interne structuré peut permettre une approche d’audit plus ciblée.

Cas 3 – Trésorerie dans une association

Une association reçoit des dons et subventions. Le trésorier bénévole suit les comptes bancaires. Les rapprochements bancaires ne sont pas formalisés tous les mois. Plusieurs personnes ont accès aux moyens de paiement.

Analyse du contrôle interne

Risques :

manque de formalisation ;
accès trop larges ;
risque de non-détection d’anomalies de trésorerie ;
risque accru sur la traçabilité.

Incidence pour l’auditeur

L’auditeur devra probablement :

augmenter les contrôles directs sur les relevés bancaires ;
vérifier les encaissements et décaissements significatifs ;
examiner les habilitations ;
apprécier la régularité des rapprochements.

7. Focus : articulation entre contrôle interne et révision légale et contractuelle des comptes

Dans la révision légale et contractuelle des comptes, le contrôle interne joue un rôle transversal.

7.1. En audit légal

L’auditeur légal doit se forger une opinion sur les comptes. Pour cela, il doit comprendre l’environnement de contrôle de l’entité et apprécier les risques qui pèsent sur la fiabilité de l’information financière.

Le contrôle interne constitue donc une source essentielle d’information pour construire la mission.

7.2. En intervention contractuelle

Dans une mission contractuelle, l’étendue des travaux peut varier selon l’objectif convenu. Néanmoins, dès lors qu’il faut apprécier la fiabilité d’une information ou d’un processus, le contrôle interne demeure un point d’analyse important.

7.3. Ce que le contrôle interne n’est pas

Il faut éviter trois confusions :

le contrôle interne n’est pas l’audit ;
le contrôle interne n’est pas une garantie absolue ;
le contrôle interne n’exonère jamais l’auditeur de son jugement professionnel.

L’auditeur peut s’appuyer sur le contrôle interne, mais il doit toujours conserver une approche critique.

8. Méthode de lecture d’un dispositif de contrôle interne par l’auditeur

Voici une méthode simple et professionnelle pour analyser un dispositif de contrôle interne dans un dossier d’audit.

Étape 1 – Identifier le processus

Exemple : achats, ventes, paie, trésorerie, stocks, arrêté des comptes.

Étape 2 – Repérer les objectifs du processus

Exemple pour les achats :

acheter ce qui est nécessaire ;
au bon prix ;
auprès du bon fournisseur ;
enregistrer correctement la charge ;
payer une dette réelle.

Étape 3 – Recenser les risques

Exemple :

achat fictif ;
double paiement ;
erreur d’imputation ;
fraude au fournisseur.

Étape 4 – Identifier les contrôles existants

Exemple :

validation des commandes ;
rapprochement facture / réception ;
revue des paiements ;
contrôle des modifications de RIB.

Étape 5 – Apprécier la qualité du dispositif

Questions utiles :

le contrôle est-il bien conçu ?
est-il réellement appliqué ?
est-il documenté ?
est-il supervisé ?
répond-il au bon risque ?

Étape 6 – En tirer les conséquences d’audit

Selon le résultat de l’analyse, l’auditeur adapte ses travaux.

9. Erreurs fréquentes d’analyse du contrôle interne

9.1. Confondre procédure et contrôle

Une procédure décrit une façon de faire. Un contrôle vérifie, prévient ou détecte une anomalie. Toutes les procédures ne sont donc pas, en elles-mêmes, des contrôles efficaces.

9.2. Surévaluer la formalisation

Une procédure écrite ne prouve pas qu’elle est appliquée. L’auditeur doit s’intéresser à la réalité du fonctionnement.

9.3. Négliger les petites entités

Dans les petites structures, les contrôles sont souvent moins formalisés. Cela ne signifie pas qu’il n’existe aucun contrôle. La supervision directe du dirigeant peut constituer un élément important, à condition d’être réelle et régulière.

9.4. Oublier les systèmes d’information

Une grande partie des contrôles est aujourd’hui embarquée dans les outils : droits d’accès, validations automatiques, blocages, journaux d’événements. Les ignorer conduit à une compréhension incomplète du dispositif.

9.5. Croire qu’un bon contrôle interne dispense de vérifications

Même en présence d’un dispositif satisfaisant, l’auditeur conserve une obligation de collecte d’éléments probants suffisants et appropriés.

10. Synthèse opérationnelle

Le contrôle interne est un ensemble de dispositifs organisés permettant à l’entité de maîtriser ses opérations, de fiabiliser son information et de réduire les risques.

Ses principes essentiels reposent notamment sur :

la séparation des fonctions ;
l’autorisation des opérations ;
la traçabilité ;
la supervision ;
l’adaptation aux risques.

Ses domaines d’application couvrent l’ensemble des processus significatifs :

ventes – clients ;
achats – fournisseurs ;
trésorerie ;
stocks ;
paie ;
immobilisations ;
systèmes d’information ;
arrêté des comptes.

Dans la démarche d’audit, le contrôle interne permet à l’auditeur :

de comprendre le fonctionnement de l’entité ;
d’identifier les risques d’anomalies significatives ;
d’apprécier la fiabilité de la production comptable ;
d’orienter sa stratégie ;
d’adapter la nature, le calendrier et l’étendue de ses travaux.

Son étude est donc une étape structurante de la révision légale et contractuelle des comptes.

Points à retenir

Le contrôle interne n’est pas limité à la comptabilité : il concerne l’ensemble de l’organisation.
Il vise la maîtrise des opérations, la fiabilité de l’information, la protection des actifs et le respect des règles.
Il repose sur des principes structurants : séparation des fonctions, autorisation, traçabilité, supervision.
Il s’applique à tous les processus significatifs de l’entité.
Dans l’audit, il sert d’abord à évaluer les risques.
Un contrôle interne faible conduit généralement à renforcer les diligences d’audit.
Un contrôle interne satisfaisant ne supprime jamais totalement le risque.

Mémo professionnel

Questions réflexes de l’auditeur sur le contrôle interne

Pour chaque cycle, se demander :

Quel est le risque principal ?
Qui autorise l’opération ?
Qui l’exécute ?
Qui l’enregistre ?
Qui la contrôle ?
Existe-t-il une trace ?
Le contrôle est-il réellement appliqué ?
Que se passe-t-il en cas d’anomalie ?

Signaux d’alerte fréquents

une seule personne cumule plusieurs fonctions sensibles ;
absence de rapprochements réguliers ;
accès informatiques trop larges ;
écritures manuelles nombreuses et peu revues ;
contrôles non documentés ;
forte dépendance à une personne clé.

Conclusion

Le contrôle interne est un maillon essentiel de la démarche d’audit. Il permet de passer d’une lecture purement comptable à une compréhension globale de la manière dont l’entité produit, sécurise et contrôle son information. Pour le professionnel de la révision légale et contractuelle des comptes, cette analyse n’est pas théorique : elle conditionne directement l’évaluation des risques et l’organisation des travaux.

Bien maîtriser le contrôle interne, c’est donc savoir lire une organisation, repérer ses vulnérabilités, apprécier ses mécanismes de maîtrise et en déduire une réponse d’audit pertinente, proportionnée et professionnelle.