Proposition d'une methodologie d'evaluation du controle interne d'une entreprise de travail temporaire française soumise au referentiel Sarbanes-Oxley

Section 2. Le cadre de référence proposé par le COSO

Le COSO est une commission à but non lucratif qui a établi en 1992 une définition standard du contrôle interne et a créé un cadre de référence pour évaluer son efficacité. Ce cadre de référence a été mis à jour en 2013 et adapté aux spécificités du contrôle interne dans le cadre comptable et financier dans un recueil spécifique (COSO - Internal Control External Financial Reporting).

L'annexe 2 énonce les différents principes du référentiel COSO décliné selon les cinq composants du contrôle interne.

Ce recueil propose ainsi autour des cinq composants du contrôle interne en lien avec le reporting financier, dix-sept principes, et quatre-vingt-cinq points d'attention.

2.1. Démarche d'évaluation du contrôle interne selon le COSO

Le principe 17 du COSO dispose "l'organisation doit identifier les risques associés à la réalisation de ses objectifs dans l'ensemble de son périmètre de responsabilités et elle procède à leur analyse de façon à déterminer comment ils doivent être gérés". L'approche prévue par le COSO est donc une approche dite top/down. Il s'agit d'une approche privilégiant un point de vue "macro" puis une déclinaison à un niveau plus fin.

On retrouve deux applications de ce principe dans l'AS 2201.

D'une part, le point de départ d'une évaluation du contrôle interne sur la préparation des états financiers d'un groupe doit être une analyse des risques de l'existence de déficiences significatives dans les états financiers consolidés. Une fois ces risques analysés, l'évaluation se concentrera sur les contrôles mis en place pour répondre à ces risques.

D'autre part, la démarche d'évaluation tenir compte de l'efficacité des contrôles généraux opérant au niveau de l'ensemble de l'entité^6(*)6 avant la validation de celle des contrôles opérationnels. Les contrôles généraux opérant au niveau de l'ensemble de l'entité ne couvrent pas un risque particulier relatif à une catégorie d'opération mais l'ensemble de l'architecture du contrôle interne. Le COSO prévoit un certain nombre de contrôles standards à mettre en place tels que les contrôles généraux informatiques. Les contrôles opérationnels sont quant à eux déployés pour couvrir les risques opérationnels au niveau de chaque processus clé. Ils doivent être déterminés en fonction des risques

propres à l'organisation et aux activités de l'entreprise. Chaque contrôle doit couvrir des assertions associées à un risque.

* ⁶ Entity Level Controls en anglais