Proposition d'une methodologie d'evaluation du controle interne d'une entreprise de travail temporaire française soumise au referentiel Sarbanes-Oxley

Section 3. La démarche d'évaluation du contrôle interne selon l'AS 2201, un exercice complexe et exigeant

La norme AS 2201 prévoit que le professionnel doit s'assurer que l'entreprise a bien mis en place un dispositif de contrôle interne capable d'identifier des erreurs qui auraient un impact significatif sur les comptes. Pour ce faire, le professionnel doit procéder en 4 temps :

(i) comprendre les étapes des processus significatifs afin d'identifier les risques significatifs ;

(ii) identifier au sein de ces processus les contrôles pertinents ;

(iii) vérifier la conception adéquate de ces contrôles; et

(iv) tester leur efficacité opérationnelle.

3.1. La démarche de compréhension du fonctionnement des processus significatifs

Un processus est une série d'étapes d'une transaction de son initialisation à son enregistrement. Dans le cadre de la démarche de l'auditeur en conformité avec l'AS 2201, l'auditeur doit analyser les processus ayant un impact significatif sur les comptes et les comprendre. Cela lui permet d'identifier les zones de risques liés aux assertions relatives aux comptes significatifs et aux informations significatives présentées dans les notes aux comptes ainsi que les contrôles que l'entité a mis en place pour les couvrir.

Le professionnel doit comprendre comment ces transactions sont initiées, autorisées, traitées, enregistrées et communiquées aux lecteurs des états financiers. Pour ce faire, l'auditeur, va suivre l'ensemble des étapes des processus de l'entité et interroger le personnel sur les documents et/ou systèmes d'information utilisés. Au sein de chaque étape du processus, l'auditeur interroge le management ou les autres membres de la société sur les contrôles effectués.

Il va établir suite à ces entretiens une documentation de ces processus sous la forme de narratifs et/ou de flowcharts. Le narratif est une description détaillée du processus et de ses sous-processus incluant une description des contrôles, des rôles et responsabilités. Un flowchart est une représentation graphique du processus qui décrit l'enchaînement logique des flux du processus ainsi que les activités de contrôles.

3.2. Détermination des contrôles pertinents à évaluer

Pour déterminer les contrôles les plus pertinents, l'auditeur va analyser la nature des contrôles mis en place au sein de l'entité, l'objectif de ces contrôles et leur type.

Le tableau ci-dessous détaille les différentes natures, objectifs et types de contrôles qui peuvent exister.

Catégories de contrôles		Description
Nature	Manuel	Contrôles effectués manuellement sans l'intervention d'une technologie
	Automatique	Contrôles effectués par le biais d'une technologie (grâce à une programmation informatique)
Objectif	Préventif	Contrôle ayant pour objectif de prévenir les erreurs ou les fraudes qui pourraient conduire à une anomalie dans les états financiers
	Détectif	Contrôle ayant pour objectif de détecter les erreurs ou des fraudes qui ont déjà eu lieu et qui pourraient conduire à une anomalie dans les états financiers
Type	Vérification	Comparaison entre deux ou plusieurs éléments entre eux ou avec une règle en vigueur et réalisation d'une action lorsqu'il y a une différence
	Autorisation et approbation	Une autorisation confirme qu'une transaction est valide. Elle prend généralement la forme d'une approbation par un supérieur hiérarchique.
	Comptage physique	Cela s'applique aux stocks, à la trésorerie, aux équipements ou aux autres actifs qui sont périodiquement comptés et les comptages sont comparés avec les éléments théoriques.
	Réconciliation	Comparaison entre deux ou plusieurs éléments de sources différentes et s'il existe des différences, des actions sont effectuées pour expliquer les différences.

Tableau 1 : Les types de contrôles

Une fois la catégorisation des contrôles effectués, l'auditeur doit sélectionner les contrôles qui répondent directement aux risques et assertions liés à des anomalies significatives et qui seront en mesure de les prévenir ou les corriger. Ce sont ces seuls contrôles, qualifiés de pertinents, que l'auditeur va évaluer.