Quel audit interne pour les ETI ?
Pour Sophie Joannes, il existe encore peu d'ETI possédant une structure de contrôle interne. "Pour justifier la création d'un poste d'auditeur interne, il faut une entreprise d'une certaine taille, structurée et possédant des procédures complexes. Sinon il n'y a pas grand-chose à auditer et l'audit légal suffit", estime-t-elle. Pourtant, Jean-Marie Pivard, président de l'Ifaci (Institut français de l'audit et du contrôle internes), remarque que de plus en plus de petites structures sautent le pas aujourd'hui.
Il dit même connaître des associations qui possèdent des auditeurs internes, même si ce sont plutôt de grandes associations. "Cela est dû à la réglementation qui se renforce mais aussi et surtout à la gouvernance : lorsqu'ils entrent au capital d'une société, de nombreux fonds d'investissement exigent la mise en place d'une structure d'audit interne", explique-t-il. En effet, nous l'avons dit : la fonction audit interne ne sert plus uniquement à se conformer aux réglementations mais contribue aussi à la performance des entreprises.
Mais quel modèle ces plus petites structures doivent-elle adopter ? Il paraît en effet difficile de les voir recruter une équipe d'auditeurs internes, voire même de dédier une personne à plein temps à cette fonction. A travers sa publication "Adapter l'organisation de l'entreprise pour une gestion efficiente des risques et des opportunités dans une entreprise de taille intermédiaire" (mars 2017), l'Ifaci conseille aux plus petites structures d'adopter le modèle des "trois lignes de maîtrise des risques". Ce modèle consiste à organiser le contrôle interne en trois niveau : il est réalisé par les opérationnels dans un premier temps puis par les fonctions support et enfin par l'audit interne. Cette dernière fonction n'est pas obligatoirement occupée par un auditeur interne à temps plein mais l'objectif est de se structurer afin d'avoir des process. "Ce modèle donne des responsabilités et des objectifs en termes de maîtrise des risques. Il devrait être adopté par l'ensemble des entreprises, peu importe la taille, le secteur ou la zone géographique", conseille Jean-Marie Pivard qui invite avant tout d'établir une cartographie des risques. Pour lui, ce dernier outil est le seul valable en termes de contrôle des risques. "Il n'existe pas d'outil miracle qui remplacerait un auditeur interne", prévient-il.
Attention donc : en matière d'audit interne, la structure doit être rigoureuse pour être efficace. Et ce n'est pas parce qu'une entreprise est de taille modeste qu'elle doit sacrifier cette rigueur sur l'autel du manque d'effectif et de budget. D'autant plus qu'une entreprise de taille moyenne ou intermédiaire aura moins de contrôles à réaliser.
